Deteksi Ancaman Insider untuk Usaha Kecil

Apa yang dimaksud dengan ancaman insider

Ancaman insider adalah risiko ketika seseorang dengan akses sah menggunakannya — baik secara sengaja maupun tidak — untuk merugikan organisasi. Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) mendefinisikan insider sebagai siapa pun yang memiliki atau pernah memiliki akses sah atau pengetahuan atas sumber daya organisasi, termasuk personel, fasilitas, informasi, peralatan, jaringan, dan sistem. Kata kuncinya di sana adalah sah. Tidak ada yang perlu membobol masuk.

Perbedaan utama CISA adalah antara kerugian yang tidak disengaja dan yang disengaja, dan secara terpisah CISA menandai dua situasi yang melintasi keduanya. Itu memberi Anda empat label yang akan Anda temui dalam praktik — penting diketahui, karena frasa “tiga jenis ancaman insider” diulang-ulang di mana-mana padahal tidak sesuai dengan sumber aslinya:

Sekarang bagian yang dilewatkan oleh sebagian besar artikel tentang topik ini. Insiden insider bukanlah cara paling umum sebuah usaha kecil mengalami pelanggaran data, dan Anda harus curiga pada siapa pun yang mengatakan sebaliknya. Data Breach Investigations Report 2026 dari Verizon — disusun dari lebih dari 31,000 insiden nyata — menemukan aktor internal dalam 12% pelanggaran, penurunan dari 18% tahun lalu. Panel usaha kecilnya, yang mencakup organisasi dengan kurang dari 1,000 karyawan, mengaitkan hampir seluruh pelanggaran dengan aktor eksternal bermotif finansial.

Jadi mengapa perlu meluangkan waktu untuk ini sama sekali? Karena profil biayanya terbalik. Studi Cost of Insider Risks 2026 dari Ponemon Institute dan DTEX menemukan bahwa insiden insider butuh rata-rata 67 hari untuk dikendalikan, dengan biaya sekitar $747,000 per insiden akibat kelalaian, $742,000 per insiden berniat jahat, dan $842,000 ketika pihak luar menggunakan kredensial curian. Insiden insider lebih jarang terjadi dibanding phishing, tetapi berlangsung lebih lama sebelum ada yang menyadarinya, dan yang biasanya terbawa keluar adalah materi yang menjadi fondasi bisnis itu sendiri.

Mengapa masa kepergian karyawan menjadi titik tekan

Karena risikonya terkonsentrasi pada rentang waktu yang sempit dan bisa diprediksi. Software Engineering Institute milik Carnegie Mellon — divisi CERT yang telah mempelajari kasus-kasus insider selama dua dekade — menyatakannya dengan jelas dalam analisisnya atas kasus pencurian kekayaan intelektual: sebagian besar insider mencuri IP dalam 30 hari setelah meninggalkan organisasi. Temuan itu berasal dari tahun 2011, dan usianya patut dicatat; meskipun begitu, temuan ini tetap bertahan sebagai prinsip pengorganisasian praktik risiko insider sejak saat itu, dan setiap laporan telemetri vendor yang terbit sesudahnya menunjukkan aktivitas yang mengelompok di sekitar rentang kepergian yang sama.

Satu kalimat itu saja lebih berguna secara operasional daripada feed threat-intelligence mana pun yang bisa dibeli usaha kecil. Artinya, Anda tidak perlu mengawasi semua orang secara terus-menerus. Anda perlu tahu kapan seseorang akan keluar, dan mengamati segelintir sinyal yang tepat untuk beberapa minggu sebelum dan sesudah tanggal itu.

Periksa statistiknya sebelum Anda menyusun rencana berdasarkan angka itu

Tiga angka mendominasi hampir setiap artikel tentang pencurian data oleh karyawan, dan masing-masing dikutip dalam bentuk yang melebih-lebihkan. Ini penting secara praktis: jika Anda percaya separuh staf Anda mencuri data, Anda akan membeli hal yang salah dan memperlakukan orang secara tidak adil karenanya.

• “45% karyawan membawa data saat keluar.” Angkanya nyata, tetapi itu adalah subset AS dari survei Tessian bulan Mei 2020. Angka keseluruhan dalam studi yang sama adalah 34%, dan angka untuk UK adalah 23%. Kualifikasi itu nyaris selalu hilang setiap kali angka ini dikutip.
• “72% karyawan mengambil data perusahaan.” Ini adalah kesalahan pembacaan. Angka 72% dalam laporan Code42 tahun 2019 adalah proporsi pemimpin keamanan informasi yang setuju dengan pernyataan sikap ini bukan sekadar data perusahaan, ini pekerjaan saya — dan ide saya. Ini adalah temuan tentang bagaimana perasaan orang soal kepemilikan, bukan tentang berapa banyak dari mereka yang menyalin file.
• “63% membawa data dari pemberi kerja sebelumnya.” Angka ini punya sumber yang nyata dan bisa ditelusuri — Global Data Exposure Report 2019 milik Code42 yang diterbitkan Oktober 2019. Tetapi perhatikan populasinya, yang menjadi jebakan yang sama dengan angka 72%: respondennya adalah 1,028 pemimpin keamanan dan 615 pengambil keputusan bisnis, bukan penampang lintas staf secara umum. Dan angka ini menggambarkan orang yang datang membawa data, yang merupakan risiko berbeda dari risiko yang sedang Anda coba deteksi saat karyawan keluar.

Angka yang paling bisa dipertanggungjawabkan berasal dari Cyberhaven Labs tahun 2022, dan itu bisa dipertanggungjawabkan justru karena angka ini adalah telemetri hasil observasi, bukan laporan mandiri (self-report): dari sekitar 1.4 million karyawan yang menangani data sensitif, 9.4% melakukan eksfiltrasi data dalam rentang enam bulan. Postingan blog yang memuat angka ini sejak itu telah dihapus — laporan aslinya masih ada sebagai unduhan berpagar (gated) — sehingga cara paling mudah memeriksanya sekarang adalah melalui liputan pers sezaman. Anggap saja angka ini sudah agak lawas. Laporan investigasi DTEX tahun 2023 menyebut proporsi karyawan yang keluar dan membawa kekayaan intelektual sensitif sebesar 12%.

Panduan CISA juga patut dihayati di sini: penilaian ancaman harus didasarkan pada perilaku, bukan profil, dan tindakan semacam ini jarang bersifat spontan — semuanya mengikuti keputusan yang disengaja. Tidak ada pola demografis yang perlu diwaspadai, dan mencari pola semacam itu hanya akan membuat Anda salah sekaligus tidak adil.

Bagaimana data sebenarnya keluar

Data keluar dari jaringan Windows skala kecil melalui daftar jalur yang pendek dan tidak istimewa. Yang penting secara operasional bukan jalurnya itu sendiri, melainkan apakah jalur itu meninggalkan artefak yang bisa Anda temukan kemudian — dan untuk beberapa di antaranya, jawaban jujurnya adalah tidak.

Dalam istilah MITRE ATT&CK, ini masing-masing setara dengan T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — deskripsi MITRE sendiri menyebut nama Dropbox dan Google Docs) dan T1114.003 (Email Forwarding Rule). Analitik deteksi MITRE untuk kasus USB adalah penyisipan perangkat USB yang diikuti akses dan staging file bervolume tinggi atau sensitif — yang persis sama dengan Event 6416 yang dikorelasikan dengan 4663, dan persis seperti yang disiapkan oleh bagian-bagian berikutnya.

Sebelum Anda memantau apa pun

Sebelum Anda mengaktifkan satu pun kebijakan audit, tulis dulu pemberitahuannya. Ini bukan catatan kepatuhan yang bisa dirapikan belakangan — di tiga negara bagian AS, ini adalah kewajiban hukum yang berlaku sebelum pemantauan dimulai, dan tidak satu pun dari undang-undang tersebut mengecualikan pemberi kerja skala kecil. Perusahaan dengan sepuluh karyawan di New York diatur persis sama seperti perusahaan dengan sepuluh ribu karyawan.

Dasar hukum federal, dan jebakannya

Electronic Communications Privacy Act adalah dasar hukum federal paling minimum. Dua pengecualian melakukan sebagian besar pekerjaan bagi pemberi kerja. Pengecualian penyedia (provider exception) pada 18 U.S.C. § 2511(2)(a)(i) mencakup penyadapan pada fasilitas milik Anda sendiri, sejauh itu merupakan bagian yang perlu dari layanan atau untuk melindungi hak atau properti penyedia layanan tersebut. Secara terpisah, § 2511(2)(d) menjadikan hukum federal berbasis persetujuan satu pihak (one-party consent): sah ketika salah satu pihak dalam komunikasi tersebut telah memberikan persetujuan lebih dulu.

Manfaat praktisnya — dan ini nyata, meskipun bukan cerita satu-dokumen yang rapi seperti yang kadang Anda dengar — adalah bahwa pengakuan pemantauan (monitoring acknowledgement) yang ditandatangani berfungsi ganda. Hukum federal tidak mewajibkan persetujuan ketika pengecualian penyedia sudah berlaku, tetapi persetujuan adalah jalur kedua yang independen berdasarkan § 2511(2)(d), dan memiliki keduanya adalah posisi yang lebih kokoh daripada mengandalkan salah satunya saja. Tanda tangan yang sama sekaligus memenuhi pengakuan yang diminta New York dan Delaware.

Meski begitu, ini tidak mencakup segalanya, dan tiga celah berikut patut disebutkan. Tanda tangan saja tidak memenuhi kewajiban pemasangan (posting) — New York mewajibkan pemberitahuan di dinding sekaligus pengakuan, dan di Connecticut pemasangan itu sendiri sudah menjadi pemberitahuan yang diwajibkan. Cakupan pengecualian penyedia berkembang lewat putusan pengadilan, bukan garis yang tegas, sehingga “kami pemilik laptop ini” adalah posisi awal yang kuat, bukan pembelaan yang sudah pasti. Dan jika Anda merekam panggilan telepon, periksa undang-undang penyadapan negara bagian Anda secara terpisah: beberapa negara bagian mewajibkan persetujuan dari semua pihak, yang lebih ketat daripada dasar hukum federal.

Jika Anda memiliki staf di UE, jawabannya terbalik

Berdasarkan GDPR, dasar hukum yang berlaku untuk pemantauan tempat kerja adalah kepentingan sah (legitimate interests) berdasarkan Article 6(1)(f) — bukan persetujuan. Opinion 2/2017 dari Article 29 Working Party menyatakan bahwa karyawan hampir tidak pernah berada dalam posisi untuk secara bebas memberikan, menolak, atau mencabut persetujuan dan bahwa persetujuan sangat tidak mungkin menjadi dasar hukum bagi pemrosesan data di tempat kerja. Ini persis kebalikan dari posisi di AS, di mana tanda tangan adalah pembelaan terkuat Anda.

Kepentingan sah mensyaratkan uji tiga bagian yang terdokumentasi — tujuan yang spesifik, kebutuhan yang genuine tanpa alternatif yang kurang intrusif, dan proses penyeimbangan terhadap hak-hak karyawan — dan Article 21 memberi setiap karyawan hak untuk mengajukan keberatan (right to object). Data protection impact assessment diwajibkan ketika pemantauan bersifat sistematis dan berpotensi berisiko tinggi, yang secara konsisten dianggap demikian oleh regulator nasional untuk pemantauan karyawan yang terus-menerus. Article 88 juga memungkinkan negara anggota menerapkan aturan nasional yang lebih ketat, sehingga Jerman, Prancis, dan Belanda khususnya melangkah lebih jauh daripada standar dasar GDPR.

Setelan deteksi tanpa biaya

Untuk mendeteksi jalur eksfiltrasi yang paling umum, Anda bisa mulai dari pengaturan Group Policy yang sudah tersedia bawaan di Windows dan tidak memerlukan biaya sama sekali. Berikut urutan yang memberi cakupan terbanyak dengan usaha paling sedikit.

1. Audit Removable Storage — pengaturan bernilai paling tinggi

Inilah yang harus diaktifkan lebih dulu, dan alasannya adalah sebuah detail yang dinyatakan Microsoft dalam dokumentasinya sendiri namun nyaris tidak pernah diulang siapa pun: Peristiwa audit keamanan dihasilkan untuk semua objek dan semua jenis akses yang diminta, tanpa bergantung pada SACL objek tersebut.

Baca ulang kalimat itu jika Anda pernah mencoba mengatur file auditing. Auditing file system biasa tidak aktif sampai Anda mengonfigurasi system access control list pada setiap folder yang Anda pedulikan — Microsoft menyatakan secara eksplisit bahwa tidak ada event audit yang dihasilkan untuk SACL file system default. Audit Removable Storage melewati semua itu. Aktifkan, dan Anda akan mendapat event 4663 untuk setiap file yang dibaca dari atau ditulis ke perangkat USB, di setiap mesin, tanpa perlu rekayasa per-folder. Panduan Microsoft menilainya Success and Failure baik pada workstation, member server, maupun domain controller, sementara Audit File System hanya dinilai “jika diperlukan”.

2. Audit PNP Activity — mengetahui kapan sebuah perangkat muncul

Yang ini berada di bawah Detailed Tracking, bukan Object Access — hal kecil yang membuat orang menghabiskan sepuluh menit mencari-cari di pohon kebijakan. Ini menghasilkan Event ID 6416, “A new external device was recognized by the System”, pada Windows 10 dan Server 2016 ke atas. Payload-nya membawa device instance path, vendor ID, dan ClassName — saring dengan DiskDrive untuk memisahkan penyimpanan dari keyboard dan mouse. Microsoft menilai volumenya biasanya rendah dan menambahkan tip penyetelan yang berguna: laporkan setiap kali Subject Security ID bukan SYSTEM. Perhatikan batasannya — 6416 mencatat pemasangan dan pengaktifan, bukan pelepasan, jadi ini tidak akan memberi tahu Anda berapa lama sebuah stick terpasang.

3. Audit Logon — menangkap pola akses di luar jam kerja

Event ID 4624 mencatat logon yang berhasil lengkap dengan Logon Type: 2 untuk interaktif di keyboard, 3 untuk jaringan, 10 untuk RDP, 7 untuk unlock. Microsoft secara eksplisit mendukung kasus penggunaan ini: Anda mungkin perlu memantau penggunaan akun di luar jam kerja. Logon type 10 pada Sabtu malam dari akun yang tidak pernah bekerja di akhir pekan adalah alert bersinyal tinggi paling murah yang pernah bisa Anda bangun.

4. SACL, tetapi hanya di tempat yang sepadan

Untuk dua atau tiga share yang benar-benar menyimpan aset paling berharga, tambahkan SACL dan aktifkan Audit File System. Satu catatan penting: daftar jenis akses yang direkomendasikan Microsoft untuk dipantau mencakup write, delete, dan perubahan izin — tetapi tidak ReadData. Read itulah yang menyerupai pencurian, jadi tambahkan secara sengaja. Microsoft juga memperingatkan agar tidak mengaktifkannya secara menyeluruh, dan itu benar: pasang SACL pada seluruh file server dan Anda akan tenggelam dalam data, lalu berhenti memantaunya sama sekali — yang lebih buruk daripada tidak melakukan logging sama sekali.

5. Perbesar ukuran log, lalu benar-benar jadwalkan peninjauannya

Log Security default akan cepat ter-overwrite begitu event 4663 mulai mengalir, dan log yang buktinya sudah tertimpa bukan lagi sebuah kontrol. Perbesar dulu ukurannya. Lalu buat jadwal rutin bulanan di kalender — event USB, logon di luar jam kerja, aturan penerusan mailbox yang baru. Deteksi adalah kebiasaan, bukan sekadar centang; logging yang tidak pernah dibaca siapa pun tidak pernah berhasil menangkap siapa pun.

Satu tambahan gratis yang layak diinstal: Sysmon, dari Sysinternals suite milik Microsoft, mengisi beberapa celah di atas. Event 3 mencatat koneksi jaringan yang terkait dengan sebuah proses — ini nonaktif kecuali Anda mengonfigurasinya — dan Event 22 mencatat DNS query, sehingga pencarian ke domain file-sharing konsumen menjadi terlihat. Event 9 menangkap raw disk read, yang menurut catatan Microsoft digunakan untuk menghindari alat auditing akses file. Ketiga event itulah yang layak dijalankan secara rutin.

Sysmon juga bisa mencatat perubahan clipboard (Event 24), dan Anda perlu berpikir masak-masak sebelum mengaktifkannya. Clipboard membawa password, pesan pribadi, dan data milik orang lain, dan menangkapnya adalah tindakan yang jauh lebih intrusif secara kategoris dibanding sekadar mencatat bahwa sebuah file berpindah. Jika Anda memang mengaktifkannya, nyatakan secara eksplisit dalam pemberitahuan pemantauan, alih-alih menyembunyikannya di balik deskripsi umum — pengungkapan (disclosure) itu harus sesuai dengan apa yang benar-benar Anda kumpulkan, atau pemberitahuannya tidak menjalankan fungsinya.

Apa yang tidak bisa dilihat Windows

Windows tidak bisa melihat ke dalam trafik terenkripsi, dan satu keterbatasan itu saja yang menentukan batas dari setelan gratis ini. Jujur soal ini lebih penting daripada daftar fitur lainnya, karena kontrol yang Anda kira Anda miliki padahal tidak justru lebih buruk daripada kontrol yang Anda sadari tidak Anda miliki.

• Payload HTTPS. Setiap unggahan webmail, sinkronisasi cloud konsumen, dan aplikasi pesan bersifat opak. Anda mungkin bisa melihat bahwa sebuah koneksi terjadi; Anda tidak akan melihat apa yang lewat di dalamnya.
• Egress jaringan dengan atribusi. Logging Windows Firewall nonaktif secara default, dan bahkan setelah diaktifkan pun ia hanya mencatat connection tuple — bukan proses atau pengguna mana yang bertanggung jawab.
• File mana pergi ke mana. Windows mencatat pembacaan file dan pengiriman jaringan secara terpisah dan tidak pernah mengorelasikan keduanya. Menyatukan kedua belah bagian itu justru fungsi utama produk data loss prevention.
• Kamera ponsel yang diarahkan ke layar. Tidak ada artefak, tidak ada kontrol, tidak ada produk. Ini adalah jalur eksfiltrasi tertua dan masih belum terpecahkan sampai sekarang.

Dua hal yang sering salah dipahami di internet

Pertama, durasi sesi. Banyak panduan menyarankan memasangkan event logon 4624 dengan event logoff 4634 untuk mengukur berapa lama seseorang bekerja. Microsoft mendokumentasikan kasus penggunaan ini tetapi menyertakan peringatan yang dihilangkan oleh kebanyakan tulisan lain: Event logoff tidak 100 persen dapat diandalkan. Misalnya, komputer bisa dimatikan tanpa proses logoff dan shutdown yang semestinya; dalam kasus ini, event logoff tidak dihasilkan. Durasi sesi adalah tren yang masuk akal untuk diamati; tetapi bangun alert keras berdasarkan itu dan alert tersebut akan berbunyi pada orang yang sekadar menutup laptopnya.

Kedua, print logging. Mengaktifkan log operasional PrintService biasanya digambarkan sebagai cara mendapatkan rekaman apa saja yang dicetak. Ini memang memberi Anda Event 307 lengkap dengan job-nya — tetapi nama dokumennya disamarkan menjadi string literal “Print Document” sampai Anda mengubah pengaturan terpisah. Aktifkan log-nya, cetak halaman uji, dan periksa namanya sebelum Anda mengandalkannya.

Ada juga dua klaim forensik USB yang beredar luas — sekumpulan Event ID DriverFrameworks untuk plug dan unplug, serta sebuah event diagnostik Partition yang membawa nomor seri perangkat — yang muncul di puluhan postingan blog tetapi tidak didokumentasikan Microsoft di mana pun, dan log yang relevan nonaktif secara default. Klaim-klaim ini bisa saja benar-benar berfungsi. Jangan membangun kontrol berdasarkan klaim itu tanpa mengujinya lebih dulu pada perangkat keras Anda sendiri.

Kapan software tambahan sepadan dengan biayanya

Software tambahan menjadi sepadan pada titik ketika setelan gratis berhenti menjawab pertanyaan yang sebenarnya ingin Anda jawab — biasanya ketika Anda membutuhkan visibilitas ke unggahan terenkripsi, atau ketika meninjau raw event log secara manual sudah tidak realistis lagi. Berikut perbandingan yang jujur pada skala 10 hingga 50 PC.

Celah yang mendorong sebagian besar usaha kecil keluar dari tingkat gratis bukanlah kemampuan deteksi, melainkan keterbacaan (legibility). Windows dengan senang hati akan mencatat ribuan event 4663; mengubahnya menjadi “inilah yang dilakukan orang ini selama dua minggu terakhir” adalah kerja manual yang tidak sanggup dijaga siapa pun dalam jangka panjang. Itulah tugas yang dijalankan oleh pemantauan aktivitas yang diungkapkan (disclosed) pada komputer perusahaan — dan ini hanya berhasil, secara hukum maupun budaya, di atas basis pengungkapan (disclosure) yang sudah dijelaskan sebelumnya.

Apa pun yang Anda pilih, terapkan pada semua orang di level yang sama, alih-alih menyasar khusus orang yang Anda curigai. Pemantauan yang ditargetkan dan diam-diam terhadap satu karyawan adalah titik di mana risiko hukum berada, dan itu juga cara Anda menghancurkan kepercayaan sembilan rekan kerja lain yang belakangan mengetahuinya.

Daftar periksa kepergian karyawan dan jam pertama

Mengingat sebagian besar pencurian kekayaan intelektual terjadi dalam 30 hari setelah kepergian, daftar periksa di bawah ini lebih berharga daripada software apa pun di daftar sebelumnya. Semua orang berkata “cabut akses segera”; nyaris tidak ada yang menuliskan apa maksudnya secara praktis.

• Nonaktifkan akunnya, jangan dihapus. Menghapus akan merusak audit trail dan mailbox apa pun yang mungkin Anda butuhkan nanti.
• Cabut sesi aktif dan token, jangan hanya password-nya. Sesi yang masih signed-in di ponsel pribadi akan tetap bertahan meskipun password sudah diganti.
• Periksa aturan penerusan (forwarding) mailbox — baik forwarding di level mailbox maupun inbox rule. Aturan bisa dibuat agar tidak muncul di Outlook, jadi periksalah dari sisi server.
• Tarik audit log sekarang, jangan nanti. Microsoft 365 Audit (Standard) menyimpan rekaman selama 180 hari secara default — tetapi admin audit search yang sudah deprecated hanya menjangkau 90 hari ke belakang, dan masa retensinya berbeda-beda tergantung lisensi. Ekspor apa yang Anda butuhkan, jangan berharap datanya masih ada pada kuartal berikutnya.
• Putuskan klien sinkronisasi cloud pribadi dari mesin tersebut dan periksa folder mana saja yang sedang disinkronkan.
• Ganti (rotate) kredensial bersama — kunci Wi-Fi, login admin bersama, akun-akun yang belum sempat diberi login individual. Di usaha kecil, ini biasanya bagian terpanjang dari daftar.
• Ambil kembali perangkat keras, termasuk drive atau dongle apa pun yang dipegang secara pribadi, dan catat apa saja yang kembali.
• Simpan perangkat karyawan yang keluar tanpa disentuh selama dua minggu sebelum membangun ulang (rebuild) perangkat itu, jika kepergiannya terjadi dengan cara yang tidak baik-baik saja.
• Lakukan exit interview dengan perjanjian kekayaan intelektual (IP agreement) di tangan. Divisi CERT milik Carnegie Mellon sudah lama merekomendasikan penggunaan exit interview untuk menuntun karyawan yang keluar meninjau kembali perjanjian yang mereka tanda tangani, dan meminta mereka mengakuinya ulang. Ini hanya butuh sepuluh menit dan menjadi satu-satunya item dalam daftar ini yang menyasar niat, bukan sekadar peluang.

Jika Anda menduga ini sedang terjadi sekarang

Amankan dulu, selidiki kedua, bertindak ketiga — dalam urutan itu, karena naluri alami justru membalik ketiga-tiganya.

1. Jangan matikan mesinnya. Mematikan daya akan menghilangkan semua yang tersimpan di memori dan bisa memicu proses cleanup saat shutdown. Sebagai gantinya, isolasi dari jaringan dan biarkan tetap menyala.
2. Jangan menjelajah-jelajah di perangkat itu. Setiap folder yang Anda buka akan menulis ulang access timestamp — metadata yang sama yang nantinya akan Anda andalkan. Jika kasus ini berpotensi berujung ke pihak lain, ambil image-nya terlebih dahulu.
3. Tangkap log sebelum ter-overwrite. Ekspor log Security dari endpoint dan audit search Microsoft 365 yang relevan segera.
4. Jangan pernah membuka akun pribadi mereka. Kredensial tersimpan di browser perusahaan tidak memberi Anda otorisasi, dan menggunakannya adalah titik di mana posisi kuat seorang pemberi kerja runtuh.
5. Hubungi penasihat hukum sebelum mengonfrontasi siapa pun. Percakapan yang dilakukan berdasarkan bukti yang belum lengkap justru memperingatkan satu-satunya orang yang masih bisa menghapus sesuatu — dan jika Anda salah, Anda sudah menuduh seorang karyawan melakukan tindak kriminal.

Semua ini tidak membutuhkan tim keamanan. Yang dibutuhkan adalah keputusan, sebelum apa pun terjadi, bahwa Anda akan menjalankan versi yang membosankan ini dengan benar: pemberitahuan yang ditandatangani sejak hari pertama, tiga kebijakan audit yang diaktifkan, daftar periksa yang dijalankan setiap kali seseorang keluar, dan satu jam sebulan yang benar-benar dipakai untuk memeriksa. Begitulah wujud deteksi ancaman insider pada skala ini, dan itu sepenuhnya bisa dicapai.

Pertanyaan yang sering diajukan