Panduan Membuat Protokol Keamanan Akun (SOP Security) untuk Mencegah Kebocoran Data oleh Mantan Karyawan
Keamanan data perusahaan adalah aset paling berharga di era digital. Banyak organisasi fokus membangun benteng pertahanan dari serangan luar (peretas atau malware), tetapi sering melupakan ancaman dari dalam. Salah satu risiko terbesar dan paling sering terjadi adalah kebocoran data atau sabotase sistem yang dilakukan oleh mantan karyawan.
Ketika seorang karyawan meninggalkan perusahaan—baik mengundurkan diri secara baik-baik maupun karena pemutusan hubungan kerja (PHK)—mereka sering kali masih memiliki akses ke berbagai akun, dokumen sensitif, dan infrastruktur IT perusahaan. Tanpa adanya prosedur yang ketat, celah ini dapat merugikan perusahaan secara finansial dan merusak reputasi.
Artikel ini akan membahas secara mendalam cara menyusun Standar Operasional Prosedur (SOP) Security atau Protokol Keamanan Akun yang efektif untuk mengantisipasi risiko kebocoran data oleh mantan staf.
Mengapa Mantan Karyawan Menjadi Risiko Keamanan Terbesar?
Sebelum menyusun protokol, kita harus memahami mengapa transisi karyawan menjadi titik rawan. Ada beberapa alasan utama:
Akses yang Terlupa: Karyawan sering kali mendaftar ke puluhan layanan digital selama bekerja. Manajemen IT sering kali tidak memiliki daftar lengkap akun-akun tersebut.
Sakit Hati atau Kekecewaan: Mantan karyawan yang keluar dengan kondisi konflik (misalnya terkena PHK sepihak) memiliki motivasi untuk membalas dendam dengan menghapus data atau membocorkannya ke kompetitor.
Kelalaian Tidak Sengaja: Kadang kala, mantan karyawan tidak berniat jahat, tetapi mereka masih menggunakan perangkat pribadi yang terhubung dengan email atau penyimpanan awan (cloud) perusahaan.
Oleh karena itu, perusahaan memerlukan pendekatan yang sistematis dan terintegrasi antara divisi Human Resources (HR), IT/Security, dan Manajemen Operasional.
Langkah demi Langkah Menyusun SOP Keamanan Akun (Offboarding)
SOP keamanan yang sukses harus bersifat proaktif (dilakukan sejak karyawan masih bekerja) dan reaktif (dilakukan segera saat karyawan keluar). Berikut adalah struktur protokol yang wajib diterapkan:
1. Fase Preventif: Audit dan Inventarisasi Akun Sejak Awal
Keamanan saat karyawan keluar ditentukan oleh seberapa rapi manajemen akun saat mereka masuk (onboarding).
Pencatatan Log Akses Sentral: Setiap kali karyawan diberikan akses ke platform digital (Email, CRM, Cloud Storage, Social Media, Core System), tim IT wajib mencatatnya dalam sistem manajemen aset digital.
Gunakan Single Sign-On (SSO): Terapkan teknologi SSO seperti Google Workspace, Microsoft Entra ID (Azure AD), atau Okta. Dengan SSO, semua akses ke aplikasi pihak ketiga terikat pada satu email utama perusahaan. Ketika email utama dimatikan, akses ke semua aplikasi lain otomatis terputus.
Batasi Hak Akses (Principle of Least Privilege): Pastikan karyawan hanya memiliki akses ke data yang benar-benar mereka butuhkan untuk menyelesaikan pekerjaan mereka. Jangan berikan hak akses Administrator kecuali sangat diperlukan.
2. Fase Pemberitahuan: Koordinasi Instan antara HR dan IT
Sering kali, kebocoran terjadi karena HR terlambat memberi tahu tim IT bahwa ada karyawan yang keluar.
Notifikasi Otomatis: Buat alur kerja di mana sistem HR (HRIS) secara otomatis mengirimkan tiket prioritas tinggi ke tim IT begitu tanggal efektif keluar seorang karyawan ditetapkan.
Prosedur PHK Mendadak (Immediate Offboarding): Jika karyawan diberhentikan secara mendadak karena pelanggaran berat, SOP harus mengizinkan IT untuk mencabut semua akses secara instan sesaat sebelum atau selama pertemuan PHK berlangsung.
3. Fase Eksekusi: Proses Offboarding Teknis (Daftar Periksa IT)
Saat hari terakhir kerja tiba, tim IT harus mengeksekusi daftar periksa (checklist) berikut dengan ketat:
A. Penarikan Aset Fisik
Ambil kembali semua perangkat keras milik perusahaan (Laptop, Smartphone, Token Bank, Harddisk Eksternal).
Pastikan karyawan tidak melakukan reset pabrik sendiri sebelum diperiksa oleh IT, untuk memastikan tidak ada penghapusan data sepihak secara mencurigakan.
B. Penonaktifan Email Utama dan Akun SSO
Ubah kata sandi email utama segera, lalu nonaktifkan akun tersebut atau ubah statusnya menjadi suspended.
Jika email tersebut memiliki pesan penting yang perlu dipantau, alihkan (forward) email masuk ke supervisor atau penggantinya, namun pastikan mantan karyawan tidak lagi memiliki akses log masuk.
C. Penghapusan Akses dari Aplikasi Pihak Ketiga (Non-SSO)
Jika ada aplikasi yang tidak terintegrasi dengan SSO (misalnya akun media sosial perusahaan seperti Instagram/TikTok, atau tools desain seperti Canva), ganti kata sandi utama akun tersebut hari itu juga.
Keluarkan (remove) akun personal karyawan dari dashboard tim (seperti di Facebook Business Manager atau Google Analytics).
D. Pemutusan Akses Jaringan (VPN & Wi-Fi)
Hapus akun VPN milik karyawan agar mereka tidak bisa masuk ke jaringan internal perusahaan dari rumah.
Jika perusahaan menggunakan password Wi-Fi bersama di kantor, pertimbangkan untuk memperbaruinya secara berkala atau gunakan autentikasi berbasis akun individu (WPA2/WPA3 Enterprise).
E. Pembersihan Perangkat Pribadi (BYOD - Bring Your Own Device)
Jika perusahaan mengizinkan karyawan menggunakan laptop atau HP pribadi untuk bekerja, perusahaan harus menggunakan sistem MDM (Mobile Device Management).
Melalui MDM, tim IT bisa menghapus semua data dan aplikasi perusahaan dari perangkat pribadi karyawan dari jarak jauh (remote wipe) tanpa menghapus data pribadi mereka.
Aspek Hukum: Perjanjian Kerahasiaan (NDA) Post-Employment
SOP teknis tidak akan lengkap tanpa adanya payung hukum yang kuat. Perusahaan wajib menyertakan klausul keamanan data dalam kontrak kerja awal dan mempertegasnya saat karyawan keluar.
Non-Disclosure Agreement (NDA): Pastikan NDA menegaskan bahwa kewajiban menjaga kerahasiaan data perusahaan tetap berlaku selamanya atau dalam jangka waktu tertentu (misal 3-5 tahun) setelah mereka tidak lagi bekerja di sana.
Edukasi Konsekuensi Hukum: Saat proses exit interview, ingatkan mantan karyawan secara tegas namun profesional mengenai sanksi hukum (seperti UU ITE atau UU Perlindungan Data Pribadi yang berlaku) jika mereka terbukti menyebarkan, menjual, atau merusak data perusahaan.