Wawasan HR

13 mins read

Mengapa Data HR Berbeda: Tingkat Keamanan yang Sesuai dengan Risikonya

Diterbitkan: May 13, 2026

HR data security concept showing why HR data needs stronger protection in modern organizations

Pada 20 Juni 2024, serangan ransomware menghantam Pusat Data Nasional Indonesia. Serangan ini menggunakan varian Brain Cipher dari ransomware LockBit 3.0 dan mengganggu berbagai layanan penting pemerintah selama beberapa hari, termasuk proses imigrasi di bandara dan pendaftaran siswa secara online. Pelaku serangan meminta tebusan sebesar delapan juta dolar AS untuk memulihkan akses. Pemerintah menolak membayar. Setelah itu, diketahui bahwa sebagian besar data yang tersimpan di pusat data tersebut tidak memiliki backup, sehingga proses pemulihan berlangsung selama berminggu-minggu dan menyebabkan kehilangan data.

Para penyerang tidak menargetkan sistem pertahanan atau infrastruktur kritikal dalam pengertian tradisional. Mereka menargetkan data. Lebih spesifik lagi, jenis data yang dikumpulkan pemerintah dan organisasi tentang manusia: identitas, catatan, riwayat pekerjaan, dan hak-hak yang melekat pada individu.

Data HR.

Perbedaan ini penting. Insiden tersebut mencerminkan perubahan yang lebih luas dalam pola serangan saat ini. Serangan tidak selalu masuk melalui infrastruktur yang sangat khusus, tetapi melalui sistem yang menyimpan informasi terstruktur dalam jumlah besar dan bernilai tinggi.

Insiden ini bukan kasus yang berdiri sendiri, dan bukan hanya terjadi di Indonesia. Pola serupa juga terlihat di berbagai sektor dan negara. Dua tahun sebelumnya, pada 2022, Bank Indonesia juga mengalami serangan ransomware meskipun tidak sampai memengaruhi layanan publik. Pada 2021, celah dalam aplikasi COVID milik Kementerian Kesehatan mengekspos data pribadi dan status kesehatan 1,3 juta orang. Pada 2023, lembaga asuransi kesehatan nasional Filipina mengalami pelanggaran data yang mengekspos catatan sensitif puluhan juta anggotanya. Sebuah konglomerasi media di Thailand kehilangan data perusahaan dan data operasional akibat serangan ransomware. Di Inggris, data payroll dari 270.000 personel militer juga pernah terekspos dalam satu serangan.

HR data security illustration showing the shift in cyberattacks from infrastructure systems to valuable employee data

Secara global, serangan ransomware terhadap MGM Resorts menyebabkan kerugian sebesar delapan puluh juta dolar AS. Sebagian besar gangguan terjadi karena sistem HR dan payroll tidak dapat beroperasi.

Polanya konsisten: sistem HR adalah target bernilai tinggi. Namun, banyak organisasi belum melindunginya sesuai tingkat risikonya. Ini jarang terjadi karena kelalaian semata. Lebih sering, penyebabnya adalah sistem HR berkembang secara operasional lebih cepat dibandingkan model keamanan yang mengelilinginya.

Mengapa Data HR Tidak Sama dengan Data Enterprise Lainnya

Setiap organisasi mengelola data sensitif. Tim finance mengelola angka pendapatan. Tim legal menyimpan komunikasi yang bersifat rahasia. Tim IT mengelola kredensial sistem. Namun, departemen HR menyimpan jenis data yang berbeda. Data tersebut tidak hanya sensitif karena volumenya, tetapi juga karena mencakup beberapa dimensi sensitif sekaligus.

Bayangkan apa saja yang biasanya tersimpan dalam HRIS atau HCM untuk satu karyawan: nama lengkap sesuai dokumen legal, nomor identitas nasional, tanggal lahir, alamat rumah, detail rekening bank, riwayat gaji, catatan kinerja, riwayat cuti sakit, kontak darurat, ketentuan kontrak kerja, dan dalam banyak sistem modern, data biometrik yang digunakan untuk kehadiran. Di beberapa organisasi, sistem HR juga menyimpan tindakan disipliner dan dokumentasi terminasi.

Tidak ada sistem enterprise lain yang menggabungkan identitas pribadi, informasi finansial, catatan perilaku, dan data biometrik dalam satu tempat untuk setiap orang di organisasi, lalu menyimpannya selama bertahun-tahun bahkan puluhan tahun. Konsentrasi data seperti ini bukan hal yang aneh. Justru memang begitulah sistem HR dirancang untuk bekerja.

Konsentrasi inilah yang membuat sistem HR menjadi target utama secara alami. Pelanggaran pada sistem finance mungkin mengekspos angka pendapatan. Namun, pelanggaran pada sistem HR dapat mengekspos setiap individu dalam organisasi, baik karyawan aktif maupun mantan karyawan, sebagai pribadi.

Data tersebut dapat digunakan untuk penipuan, phishing, social engineering, pemerasan, dan serangan yang menargetkan individu tertentu, bahkan lama setelah insiden pelanggaran data berhasil dikendalikan.

HR data security framework showing why HR data is different by combining identity, financial, behavioral, medical, and biometric data

Implikasinya bukan berarti sistem HR secara inheren tidak aman, melainkan bahwa sistem HR membutuhkan tingkat perlindungan yang lebih terencana dan lebih sesuai dengan risikonya.

Selain itu, data HR juga semakin menjadi data yang secara hukum wajib dilindungi oleh organisasi. Bukan lagi sekadar best practice, tetapi sudah menjadi kewajiban formal.

Apa yang Berubah pada 2024: UU PDP Mulai Berlaku Sepenuhnya

IUndang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang umum disebut UU PDP, mulai berlaku penuh pada 2024 setelah masa transisi selama dua tahun. Ini merupakan regulasi privasi data paling signifikan dalam sejarah Indonesia, dan implikasinya terhadap operasional HR sangat langsung dan substansial.

UU PDP menetapkan beberapa kewajiban yang perlu dipahami oleh pemimpin HR, bukan sebagai konsep hukum yang abstrak, tetapi sebagai kebutuhan operasional:

Subjek data, dalam konteks ini karyawan, memiliki hak untuk mengakses data pribadinya, meminta koreksi, dan dalam kondisi tertentu, meminta penghapusan.
Mereka harus memberikan persetujuan yang jelas dan terdokumentasi sebelum data dikumpulkan atau diproses.
Jika terjadi pelanggaran data, organisasi wajib memberi tahu otoritas perlindungan data dan individu yang terdampak.
Data pribadi tidak dapat ditransfer ke luar Indonesia kecuali negara penerima memiliki standar perlindungan yang sebanding.

Untuk software HR secara khusus, UU PDP membedakan antara pengendali data dan pemroses data.

Pengendali Data: Organisasi yang menentukan bagaimana data karyawan digunakan.

Pemroses Data: Termasuk vendor HRIS yang menangani data atas nama organisasi.

Keduanya memiliki kewajiban. Memilih vendor bukan berarti organisasi dapat menyerahkan tanggung jawab sepenuhnya. Yang terjadi adalah akuntabilitas bersama.

UU PDP juga bukan satu-satunya regulasi di kawasan ini. PDPA Singapura telah berlaku sejak 2012 dan termasuk salah satu kerangka privasi paling matang di Asia Tenggara. Data Privacy Act di Filipina memiliki salah satu persyaratan notifikasi pelanggaran data yang paling ketat di kawasan ini. Thailand dan Malaysia memiliki kerangka PDPA masing-masing. Vietnam juga menerapkan Decree 13 tentang perlindungan data pribadi pada 2023. Organisasi yang beroperasi di beberapa pasar Asia Tenggara, sebuah kondisi yang umum bagi banyak perusahaan di kawasan ini, harus menavigasi berbagai kewajiban yang saling tumpang tindih dengan detail yang berbeda-beda.

Bagi sebagian besar organisasi, tantangannya bukan hanya memahami setiap regulasi secara terpisah, tetapi menjalankan operasional secara konsisten di tengah seluruh kewajiban tersebut.

Lanskap regulasi ini menunjukkan bahwa privasi data bukan lagi checklist compliance yang cukup ditangani tim legal setahun sekali. Privasi data kini menjadi kondisi operasional yang perlu dikelola secara berkelanjutan oleh HR, IT, dan leadership.

Dalam praktiknya, ini berarti keputusan tentang pengelolaan data, akses, dan desain sistem tidak lagi sekadar pilihan teknis. Semua itu menjadi bagian dari cara organisasi bekerja sehari-hari.

CIA Framework: Cara Praktis Memahami Keamanan HR

Para profesional keamanan sering menggunakan tiga prinsip yang dikenal sebagai CIA triad. Ini bukan badan intelijen, melainkan singkatan dari Confidentiality, Integrity, dan Availability. Ketiga konsep ini sering dijelaskan sebagai prinsip teknis. Namun, dalam konteks HR, ketiganya sangat dekat dengan kebutuhan operasional sehari-hari.

HR data security CIA framework explaining confidentiality, integrity, and availability in HR systems

Confidentiality adalah tentang memastikan bahwa data karyawan hanya dapat diakses oleh orang yang memang berwenang. Ini terdengar jelas, tetapi dalam praktiknya membutuhkan desain yang disengaja. Contohnya adalah role-based access control yang membatasi apa yang dapat dilihat dan dilakukan oleh setiap pengguna, sistem autentikasi yang memverifikasi identitas sebelum memberi akses, serta enkripsi yang membuat data tidak dapat dibaca meskipun berhasil dicegat atau dicuri.

Integrity adalah tentang memastikan bahwa data tetap akurat dan tidak dimanipulasi. Sistem HR yang integritas datanya terganggu adalah sistem di mana angka gaji bisa diubah, catatan kehadiran bisa dimanipulasi, atau tanggal terminasi bisa diganti tanpa terdeteksi. Audit trail dan data change log adalah alat utama untuk menjaga integritas data.

Availability adalah tentang memastikan sistem tetap dapat digunakan saat dibutuhkan. Sistem payroll yang tidak dapat diakses pada hari pembayaran gaji bukan sekadar gangguan operasional. Itu dapat menjadi pelanggaran terhadap kewajiban organisasi kepada karyawan. Sistem backup, rencana disaster recovery, dan infrastruktur yang tangguh adalah bentuk nyata dari availability dalam praktik.

Sebagian besar celah keamanan tidak terjadi karena kegagalan di ketiga area sekaligus.
Celah biasanya muncul ketika salah satu area dianggap kurang penting dibandingkan area lainnya.

Ketika organisasi mengevaluasi posisi keamanan HRIS, atau menilai keamanan dari sisi vendor, tiga dimensi ini adalah titik awal yang tepat. Bukan checklist fitur. Bukan daftar singkatan teknis.

Pertanyaan sederhananya: dapatkah kita memastikan bahwa data karyawan tetap rahasia, akurat, dan dapat diakses saat dibutuhkan?

Manusia Tetap Menjadi Faktor Kerentanan yang Paling Konsisten

Serangan ransomware terhadap Pusat Data Nasional Indonesia tidak disebabkan oleh kelemahan dalam teori kriptografi tingkat lanjut. Serangan tersebut terjadi karena kredensial yang berhasil dikompromikan: sebuah kerentanan dalam cara sistem menangani autentikasi, serta kegagalan lapisan perlindungan yang seharusnya dapat mendeteksinya lebih awal.

Pola seperti ini bukan hal yang jarang. Riset secara konsisten menunjukkan bahwa sebagian besar pelanggaran data melibatkan faktor manusia. Ini dapat mencakup password yang dikompromikan, serangan phishing yang menipu karyawan agar membocorkan kredensial, insider yang secara sengaja atau tidak sengaja mengekspos data, serta kegagalan dalam proses offboarding yang membuat mantan karyawan masih memiliki akses aktif ke sistem.

HR data security illustration showing how human element risks such as credentials and access can lead to employee data breaches

Profesional HR menjadi target khusus phishing karena mereka mengelola komunikasi dengan pihak internal maupun eksternal. Mereka menerima CV, korespondensi, dokumen onboarding, dan klaim benefit dari orang-orang yang belum tentu mereka kenal. Lampiran berbahaya yang disamarkan sebagai lamaran kerja adalah salah satu pola serangan yang dikenal. Begitu juga email palsu dari IT yang meminta perubahan password atau email palsu dari eksekutif yang meminta perubahan payroll secara mendesak.

Ini bukan berarti solusinya murni teknis. Artinya, keamanan data HR yang efektif selalu merupakan kombinasi antara desain sistem dan perilaku manusia. Salah satunya saja jarang cukup. Sisi teknis mencakup enkripsi, manajemen akses, dan firewall. Sisi perilaku mencakup pelatihan, disiplin proses, dan budaya di mana orang tahu apa yang harus dilakukan ketika melihat sesuatu yang mencurigakan.

Posisi Keamanan yang Efektif itu Seperti Apa?

Ada perbedaan besar antara organisasi atau vendor yang hanya berbicara tentang keamanan dan organisasi yang benar-benar berinvestasi pada keamanan di tingkat struktural. Perbedaannya dapat terlihat jika Anda tahu apa yang perlu diperhatikan. Hal-hal berikut bukan praktik yang terlalu canggih. Biasanya, elemen-elemen inilah yang hadir ketika keamanan diperlakukan sebagai disiplin operasional, bukan sekadar fitur teknis.

Sertifikasi adalah salah satu sinyal.

ISO/IEC 27001 adalah standar internasional untuk sistem manajemen keamanan informasi. Untuk memperolehnya, organisasi harus melalui audit eksternal atas kontrol keamanan di seluruh organisasi, bukan hanya pada produk.

SOC 2 Type 2 adalah standar terpisah yang berfokus secara spesifik pada bagaimana penyedia layanan menangani data pelanggan. Penilaiannya dilakukan selama periode operasional tertentu, bukan hanya pada satu titik waktu.

Organisasi yang memiliki kedua sertifikasi tersebut telah diperiksa dari beberapa sudut oleh auditor independen.

Penetration testing adalah sinyal lain.

Vendor yang bertanggung jawab akan melibatkan perusahaan keamanan eksternal untuk secara aktif mencoba menembus sistem mereka dan menguji kerentanan yang mungkin dimanfaatkan penyerang sungguhan. Hasil pengujian tersebut digunakan untuk perbaikan. Pengujian ulang secara berkala membantu memastikan bahwa kerentanan baru yang muncul akibat pembaruan sistem dapat ditemukan dan ditangani.

Keputusan infrastruktur sama pentingnya dengan keamanan aplikasi.

Di mana data secara fisik di-hosting, apakah ada lokasi disaster recovery yang terpisah, seberapa sering data di-backup, dan berapa recovery time objective jika sistem mengalami gangguan. Semua keputusan ini bukan detail teknis yang bisa dikelola tim IT secara terpisah. Keputusan tersebut menentukan apakah organisasi tetap dapat berfungsi ketika skenario terburuk terjadi.

Kebijakan juga penting.

Namun, kebijakan tanpa penegakan tidak memiliki banyak arti. Organisasi dengan kebijakan perlindungan data tertulis yang tidak pernah ditinjau selama tiga tahun, atau vendor yang tidak dapat menyediakan dokumentasi keamanan kepada pelanggan ketika diminta, pada dasarnya tidak jauh berbeda dari vendor yang tidak memiliki kebijakan sama sekali.

Keberadaan elemen-elemen tersebut penting, tetapi yang lebih penting adalah seberapa konsisten elemen tersebut diterapkan dan dipelihara dari waktu ke waktu.

Apa yang Akan Dibahas dalam Seri Ini?

Ini adalah artikel pertama dalam seri yang dirancang untuk membantu pemimpin HR, profesional IT, dan eksekutif yang bekerja bersama mereka memahami keamanan data secara jelas dan praktis dalam konteks sistem HR, khususnya di Asia Tenggara. Setiap artikel akan membahas satu lapisan dari pertanyaan tentang keamanan secara cukup mendalam agar benar-benar berguna, tanpa membuat Anda harus menjadi profesional keamanan.

Artikel-artikel berikutnya akan membahas beberapa area penting. Di antaranya adalah bagaimana data dilindungi saat disimpan, saat dikirim, dan saat digunakan; bagaimana kontrol akses bekerja dan mengapa layered authentication penting; apa sebenarnya yang diuji oleh sertifikasi seperti ISO 27001 dan SOC 2 Type 2; regulasi privasi data spesifik di berbagai pasar Asia Tenggara dan apa implikasinya dalam praktik; isu data anonymization dan consent management yang sering luput dari perhatian; pertanyaan organisasi tentang siapa yang bertanggung jawab atas keamanan data HR, apakah HR, IT, atau keduanya; lapisan infrastruktur seperti hosting, backup, dan disaster recovery; serta panduan praktis untuk mengevaluasi posisi keamanan vendor HRIS, termasuk pertanyaan yang dapat membedakan jawaban kredibel dari bahasa marketing.

Tujuan dari seri ini bukan menjadikan pemimpin HR sebagai spesialis keamanan. Tujuannya adalah membuat topik ini cukup mudah dipahami agar Anda dapat mengajukan pertanyaan yang tepat dan mengenali jawaban yang bermakna.

HR data security key takeaway showing how clarity, consistency, and understanding support better decisions and stronger data protection

Setelah membaca seri ini, Anda diharapkan dapat berdiskusi dengan tim IT secara lebih informatif, mengajukan pertanyaan yang tepat kepada vendor, memahami arti dari jawaban mereka, dan mengambil keputusan tentang keamanan data HR berdasarkan realitas, bukan asumsi.

Itulah tingkat keseriusan yang dibutuhkan.

Seri ini ditulis oleh DataOn, tim di balik SunFish, platform HRIS enterprise yang dibangun dan dioperasikan di Asia Tenggara selama lebih dari 25 tahun. Kami adalah vendor di pasar ini, dan kami ingin menyampaikan hal tersebut secara jelas agar Anda dapat menilai sendiri seberapa besar bobot yang ingin diberikan pada tulisan ini.

Yang kami bawa ke dalam topik ini adalah kedalaman operasional. Kami telah merancang, membangun, mengamankan, dan memelihara sistem HR untuk ribuan organisasi di Indonesia, Filipina, Singapura, Malaysia, Thailand, dan Vietnam. Perspektif dalam seri ini berasal dari pekerjaan tersebut: isu yang kami lihat dihadapi pelanggan, persyaratan regulasi yang harus kami penuhi di setiap pasar, investasi keamanan yang kami lakukan dan alasannya, serta pertanyaan yang diajukan para pemimpin HR dan direktur IT ketika mereka mencoba memahami topik yang kompleks.

Ketika kami menjelaskan praktik dan standar kami, itu mencerminkan bagaimana kami membangun dan menjalankan sistem. Kami percaya DataOn memiliki praktik keamanan yang kuat untuk kawasan ini, dan di beberapa area, melampaui apa yang umum ditemukan di antara penyedia software HR lokal maupun regional. Kami menyampaikan ini bukan untuk menempatkan diri melawan kompetitor, tetapi karena memahami seperti apa investasi keamanan yang serius merupakan hal yang berguna bagi siapa pun yang sedang mengevaluasi vendor di bidang ini, termasuk kami.

Perspektif ini tidak dimaksudkan sebagai jawaban final. Perspektif ini dimaksudkan untuk menjadi panduan yang praktis.

Gunakan seri ini sebagai titik awal untuk mengajukan pertanyaan yang lebih informatif, tetapi tetap konsultasikan kebutuhan compliance yang spesifik dengan penasihat legal dan IT Anda.

Footnotes:

1. HR mengelola data karyawan yang sensitif

Departemen HR bertanggung jawab mengelola data sensitif seperti informasi pribadi, detail finansial, dan catatan kesehatan. Menurut IBM, pelanggaran data yang melibatkan data pribadi dapat menelan biaya 150 dolar AS per record yang terdampak, sehingga HR menjadi target penting dalam ancaman siber. IBM Cost of a Data Breach Report 2023.

2. Insider threat sering berasal dari proses terkait HR

Insider threat, yang dapat melibatkan karyawan aktif maupun mantan karyawan, sering muncul dari proses HR seperti onboarding dan offboarding. Verizon 2023 Data Breach Investigations Report mencatat bahwa 74% pelanggaran data melibatkan faktor manusia, termasuk insider threat dan human error.

3. Penipuan rekrutmen meningkat

Pelaku kejahatan siber semakin menargetkan proses rekrutmen untuk melakukan penipuan. Menurut laporan FBI, penipuan rekrutmen menyebabkan kerugian lebih dari 58 juta dolar AS pada 2022, yang menunjukkan pentingnya praktik rekrutmen yang aman. FBI Internet Crime Report 2022.

4. HR menjadi target utama phishing

Profesional HR sering menjadi target serangan phishing karena mereka mengelola jalur komunikasi dengan pemangku kepentingan internal dan eksternal. Proofpoint 2023 State of the Phish Report menyebutkan bahwa 86% organisasi mengalami setidaknya satu serangan phishing yang berhasil, dan HR sering menjadi targetnya.

5. Keterlibatan HR dalam pelatihan keamanan siber mengurangi risiko

Pelatihan keamanan siber yang efektif dapat mengurangi kemungkinan pelanggaran yang disebabkan oleh faktor manusia. Studi dari Stanford University dan Tessian menemukan bahwa 88% pelanggaran data disebabkan oleh human error, yang menekankan peran penting HR dalam pelatihan dan awareness karyawan.

Bacaan Lebih Lanjut: