5 Celah Keamanan yang Paling Sering Aku Temukan di Bisnis Kecil
Waktu aku ikut Bootcamp Cyber Security Engineer di Merdeka Siber — 60 jam, materinya dari penetration testing sampai digital forensics — yang paling mengejutkan bukan tekniknya.
Yang mengejutkan: hampir semua celah yang benar-benar dipakai penyerang itu sederhana. Bukan eksploit canggih. Bukan zero-day. Cuma kelalaian yang dibiarkan.
Ini lima yang paling sering aku temukan di bisnis kecil, dan cara menutupnya.
Kenapa bisnis kecil justru jadi sasaran
Anggapan “usaha saya terlalu kecil buat diserang” itu keliru, dan sudah dua kali aku dengar dari orang yang datanya sudah terlanjur bocor.
Sebagian besar serangan itu tidak menargetkan siapa-siapa secara khusus. Bot memindai internet mencari sistem yang belum di-update atau password yang gampang ditebak. Bot itu tidak peduli kamu perusahaan besar atau toko dengan 5 karyawan. Yang dia lihat cuma: pintu ini terbuka atau tidak.
Justru bisnis kecil sering lebih menarik: datanya tetap berharga, tapi pertahanannya lebih tipis.
Celah #1: Password dipakai ulang di banyak akun
Ini nomor satu, dan jaraknya jauh dari yang lain.
Polanya selalu mirip: satu password dipakai untuk email, sistem kasir, akun bank, dan akun media sosial. Begitu satu layanan bocor — dan layanan besar memang sesekali bocor — penyerang mencoba kombinasi yang sama di tempat lain. Namanya credential stuffing, dan prosesnya otomatis.
Cara menutupnya:
- Pakai pengelola password (Bitwarden gratis dan cukup)
- Nyalakan otentikasi dua faktor, minimal untuk email dan akun bank
- Password email harus unik — email itu kunci untuk mereset semua akun lain
Celah #2: Akses karyawan lama belum dicabut
Skenario yang aku temukan berulang kali: seseorang resign 8 bulan lalu, akunnya masih aktif. Kadang masih punya akses admin.
Ini bukan soal curiga kepada mantan karyawan. Masalahnya, akun yang tidak dipakai juga tidak dipantau. Kalau akun itu dibobol, tidak ada yang sadar.
Cara menutupnya:
- Buat checklist offboarding: cabut akses di hari terakhir, bukan “nanti”
- Tinjau daftar user tiap 3 bulan — 15 menit saja
- Beri akses sesuai kebutuhan, bukan admin untuk semua orang
Waktu aku menstandardisasi keamanan untuk 12+ kontainer Docker di satu proyek migrasi, sebagian besar temuannya bukan kelemahan teknis — tapi akses berlebih yang menumpuk selama bertahun-tahun.
Celah #3: Backup ada, tapi belum pernah diuji restore
Ini yang paling menyakitkan kalau terjadi.
Banyak bisnis punya backup otomatis dan merasa aman. Sampai ada yang benar-benar perlu di-restore, dan ternyata: filenya korup, cuma sebagian tabel yang ikut, atau prosesnya butuh 3 hari padahal bisnis harus jalan besok.
Backup yang tidak pernah diuji itu bukan backup — itu asumsi.
Cara menutupnya:
- Lakukan uji restore ke server terpisah, minimal 3 bulan sekali
- Catat berapa lama prosesnya. Itu waktu berhenti operasi kamu yang sebenarnya
- Simpan satu salinan di lokasi berbeda (ransomware juga mengenkripsi backup yang terhubung)
Celah #4: Software lama tidak pernah di-update
Kerentanan yang tambalannya sudah tersedia, tapi tidak dipasang. Ini termasuk yang paling mudah dicegah, sekaligus paling sering diabaikan.
Alasannya biasanya sama: “takut ada yang rusak kalau di-update”. Itu kekhawatiran yang wajar — tapi jawabannya bukan menunda selamanya, melainkan punya cara menguji dulu.
Cara menutupnya:
- Nyalakan update otomatis untuk sistem operasi dan browser
- Untuk aplikasi bisnis, jadwalkan pembaruan rutin di jam sepi
- Punya lingkungan percobaan untuk sistem penting
Sebagai gambaran: dalam migrasi Odoo v14 ke v18 yang aku pimpin, sebagian alasannya bukan cuma fitur baru — versi lama sudah berhenti mendapat patch keamanan. Sistem yang tidak lagi didukung itu utang keamanan yang bunganya berjalan.
Celah #5: Data sensitif dikirim lewat WhatsApp dan email biasa
Foto KTP di grup WhatsApp. Password dikirim lewat chat. Daftar pelanggan dilampirkan di email tanpa proteksi.
Masalahnya bukan cuma saat pengiriman. Data itu menetap — di ponsel semua anggota grup, di backup cloud mereka, di perangkat yang mungkin hilang atau dijual nanti.
Cara menutupnya:
- Kirim dokumen sensitif lewat tautan yang bisa kedaluwarsa, bukan lampiran
- Bagikan password lewat pengelola password, jangan lewat chat
- Buat aturan sederhana: data pelanggan tidak boleh keluar dari sistem resmi
Checklist 30 menit
Bisa kamu kerjakan hari ini, tanpa bantuan teknis:
| Waktu | Tindakan |
|---|---|
| 5 menit | Nyalakan 2FA untuk email utama bisnis |
| 5 menit | Cek daftar user di sistem — cabut akun yang sudah tidak dipakai |
| 5 menit | Pastikan backup benar-benar berjalan (lihat tanggal terakhir) |
| 5 menit | Update sistem operasi & browser di komputer kerja |
| 10 menit | Ganti password yang dipakai ulang, mulai dari email dan akun bank |
Kalau kamu kerjakan lima ini saja, kamu sudah menutup sebagian besar jalan masuk yang paling umum dipakai.
Pertanyaan yang sering muncul
Perlu sewa konsultan keamanan? Untuk lima hal di atas, tidak. Semua bisa kamu kerjakan sendiri. Konsultan mulai masuk akal kalau kamu menyimpan data pelanggan dalam jumlah besar, kena kewajiban kepatuhan, atau pernah mengalami insiden.
Antivirus saja cukup? Tidak. Antivirus menangani berkas berbahaya, tapi tidak menolong kalau password kamu bocor atau akun mantan karyawan disalahgunakan. Sebagian besar kebocoran terjadi lewat akses yang sah, bukan lewat virus.
Kalau sudah terlanjur kena, apa langkah pertamanya? Putuskan akses akun yang terdampak, ganti password dari perangkat yang bersih, lalu catat kronologinya sebelum apa pun dihapus. Jangan buru-buru menghapus jejak — jejak itu yang menjelaskan bagaimana penyerang masuk.
Perlu asuransi siber? Untuk sebagian besar UMKM, uangnya lebih berguna dipakai memperbaiki lima celah di atas dulu. Asuransi masuk akal setelah dasarnya beres.
Kalau kamu ragu sistemmu sudah aman atau belum, ceritakan kondisinya. Aku bantu lihat mana yang paling mendesak — dan seringkali jawabannya lebih sederhana daripada yang kamu kira.