Cara Membuat Aturan BYOD agar Akses Kerja Aman, Privasi Tetap Terjaga

Cara Membuat Aturan BYOD agar Akses Kerja Aman, Privasi Tetap Terjaga

Bagi HR, aturan Bring Your Own Device (BYOD) perlu menjawab dua kekhawatiran sekaligus. Perusahaan harus melindungi data kerja, tetapi tidak boleh membuat karyawan merasa laptop atau ponsel pribadinya bebas diperiksa. Di sisi lain, karyawan perlu tahu dengan jelas data apa yang dapat diamankan, kapan akses bisa dicabut, dan bagian mana dari perangkatnya yang tetap menjadi ranah pribadi.

BYOD biasanya muncul dari kebutuhan yang praktis: karyawan sudah memiliki perangkat yang nyaman digunakan, sedangkan perusahaan ingin mempercepat akses kerja tanpa menyediakan perangkat untuk semua orang. Masalahnya mulai terasa ketika batas akses tidak pernah ditulis dengan jelas. Karena itu, regulasi BYOD sebaiknya diperlakukan sebagai kesepakatan tertulis tentang ruang lingkup penggunaan, persetujuan, kontrol keamanan, dan batas tindakan perusahaan.

Tentukan dulu perangkat dan akses yang memang dibutuhkan

Mulailah dengan menjelaskan tujuan regulasi dan siapa saja yang tercakup. Sebutkan apakah aturan berlaku untuk laptop, ponsel, tablet, atau perangkat pribadi lain yang digunakan untuk mengakses sistem perusahaan. Jelaskan juga kelompok karyawan yang boleh menggunakan BYOD dan pekerjaan apa yang membutuhkan akses tersebut.

Ruang lingkupnya sebaiknya mengikuti kebutuhan pekerjaan. Misalnya, karyawan boleh mengakses aplikasi pengelolaan tugas dan email perusahaan melalui perangkat pribadi. Namun, izin tersebut tidak otomatis berarti karyawan boleh mengunduh seluruh basis data perusahaan ke penyimpanan lokal atau cloud pribadi.

Definisi BYOD perlu dibedakan dari model lain jika pembedaan itu membantu menentukan kebijakan. Dalam BYOD, perangkat tetap milik karyawan. Model ini berbeda dari COBO (Company Owned Business Only) yang menggunakan perangkat milik perusahaan untuk kepentingan bisnis, COPE (Corporate Owned Personality Enabled) yang memberi ruang penggunaan pribadi pada perangkat perusahaan, dan CYOD (Choose Your Own Device) yang memberi pilihan perangkat dalam batas yang ditentukan perusahaan.

Contoh rumusan ruang lingkup yang dapat diadaptasi:

“Regulasi ini berlaku bagi karyawan yang menggunakan laptop, ponsel, atau tablet pribadi untuk mengakses aplikasi, akun, dokumen, atau layanan perusahaan yang telah disetujui. Izin akses diberikan berdasarkan kebutuhan pekerjaan dan tidak memberikan hak kepada perusahaan untuk mengakses data pribadi yang tidak berkaitan dengan pekerjaan.”

Jelaskan persetujuan dan batas pemeriksaan secara terbuka

Persetujuan BYOD perlu menjelaskan apa yang diproses, untuk tujuan apa, siapa yang dapat mengaksesnya, dan kapan akses tersebut dapat dicabut. Kalimat seperti “perusahaan berhak memantau perangkat” terlalu luas karena tidak menjelaskan data atau aktivitas yang dimaksud. Batasnya mudah diperdebatkan dan dapat memicu konflik.

Setidaknya, pisahkan tiga kategori berikut:

• Data perusahaan: dokumen, informasi pelanggan, data operasional, kredensial, atau hasil kerja yang dibuat dan disimpan untuk kepentingan perusahaan.

• Ruang kerja perusahaan: akun, aplikasi, folder, profil kerja, atau layanan penyimpanan yang disediakan atau disetujui perusahaan.

• Data pribadi karyawan: foto, pesan pribadi, dokumen keluarga, akun pribadi, dan file lain yang tidak berkaitan dengan pekerjaan.

Pemisahan ini membuat klausul penghapusan lebih terarah: yang diamankan atau dihapus adalah ruang kerja perusahaan, bukan seluruh isi laptop atau ponsel. Pemantauan, audit, pencadangan, Mobile Device Management (MDM), enkripsi, dan penghapusan jarak jauh juga tidak seharusnya dicantumkan sebagai kewenangan tanpa batas. Sebelum memasukkan kontrol tersebut ke dalam regulasi, perusahaan perlu menjelaskan dasar, tujuan, cara penerapan, dan batas aksesnya.

Contoh klausul yang lebih terukur:

“Perusahaan dapat mengamankan, mencadangkan, mencabut akses, atau menghapus data perusahaan yang tersimpan pada aplikasi, akun, atau ruang kerja perusahaan. Tindakan tersebut tidak mencakup pemeriksaan atau penghapusan file pribadi yang tidak berkaitan dengan pekerjaan, kecuali terdapat dasar yang relevan dan telah dijelaskan dalam kebijakan yang berlaku.”

Atur keamanan minimum tanpa menjadikan perangkat pribadi sepenuhnya milik perusahaan

Kontrol keamanan perlu cukup konkret untuk dijalankan, tetapi tidak otomatis berarti semua perangkat harus dipasangi teknologi yang sama. Sesuai risikonya, regulasi dapat mengatur penggunaan kata sandi atau PIN, pembaruan sistem, autentikasi multifaktor (MFA), aplikasi kerja yang disetujui, serta larangan menyimpan data perusahaan di cloud pribadi tanpa izin.

MDM, enkripsi, dan penghapusan jarak jauh dapat menjadi pilihan kontrol, khususnya jika perusahaan perlu memisahkan ruang kerja dari penggunaan pribadi. Penerapannya tetap perlu disesuaikan dengan jenis data dan tingkat risiko, lalu dijelaskan secara transparan kepada karyawan. Istilah keamanan tidak seharusnya menjadi alasan untuk mengambil alih seluruh perangkat.

Pembagian tanggung jawab juga perlu tertulis. Tabel berikut dapat menjadi kerangka awal:

Pihak	Tanggung jawab utama
Perusahaan	Menentukan data dan aplikasi yang boleh diakses, menyediakan kanal kerja yang disetujui, serta menetapkan batas kontrol dan dukungan.
Karyawan	Menjaga kredensial, mengikuti kontrol keamanan, menggunakan aplikasi yang disetujui, dan melaporkan kehilangan perangkat atau dugaan kebocoran.
HR	Mengelola persetujuan, menyampaikan regulasi, mengoordinasikan perubahan status karyawan, dan mendokumentasikan insiden atau penutupan akses.
Tim IT atau administrator jaringan	Mengelola akun dan akses, memberi dukungan teknis, melakukan pengamanan pada ruang kerja perusahaan, serta mencatat tindakan yang dilakukan.

Jika perusahaan menetapkan batas pelaporan, tuliskan sebagai kebijakan internal yang memang dapat dijalankan. Misalnya, pelaporan dugaan kebocoran maksimal 24 jam dapat digunakan sebagai contoh kebijakan, bukan dianggap sebagai standar universal. Batas waktu itu perlu disesuaikan dengan proses pelaporan dan ketersediaan tim yang bertanggung jawab.

Pastikan ada prosedur saat perangkat hilang atau karyawan keluar

Regulasi biasanya benar-benar diuji ketika laptop hilang, akun disalahgunakan, atau karyawan mengundurkan diri. Karena itu, bagian insiden dan offboarding perlu menjelaskan urutan tindakan secara jelas, tanpa memberi kewenangan yang terlalu luas.

Untuk perangkat yang hilang, alurnya dapat mencakup:

1. Karyawan melaporkan kehilangan atau dugaan kebocoran kepada HR dan tim IT melalui kanal yang ditentukan.

2. Tim IT mengamankan akun, mencabut sesi atau akses yang berisiko, dan memeriksa ruang kerja perusahaan yang relevan.

3. Perusahaan mengamankan atau menghapus data kerja dari akun, aplikasi, atau ruang kerja perusahaan sesuai persetujuan dan regulasi.

4. HR mencatat laporan, tindakan yang dilakukan, dan status penutupan insiden.

Jika penghapusan jarak jauh digunakan, tindakannya harus diarahkan pada ruang kerja atau data perusahaan yang telah didefinisikan. File pribadi tidak boleh ikut terhapus hanya karena berada di perangkat yang sama.

Saat karyawan keluar, HR memberi tahu tim IT mengenai tanggal dan waktu pencabutan akses. IT kemudian menonaktifkan akun dan aplikasi kerja, mengamankan data perusahaan, serta memastikan akses tidak lagi aktif. Karyawan dapat diminta mengonfirmasi bahwa salinan data kerja tidak tersimpan di cloud pribadi atau media lain yang tidak disetujui.

Ilustrasi: apa yang terjadi ketika laptop pribadi hilang?

Ilustratif. Seorang karyawan menggunakan laptop pribadi untuk mengakses data perusahaan melalui aplikasi yang disetujui. Dalam contoh kebijakan internal, ia wajib melaporkan dugaan kebocoran maksimal 24 jam. Ketika laptop hilang, karyawan melapor kepada tim IT dan HR.

Tim IT mencabut akses akun, mengamankan atau menghapus data kerja yang berada di ruang kerja perusahaan, lalu mencatat hasil tindakannya. Tim IT tidak memeriksa foto, dokumen keluarga, atau akun pribadi karyawan karena bagian tersebut tidak diperlukan untuk mengamankan data perusahaan. HR mendokumentasikan penutupan akses dan, bila perlu, mengoordinasikan tindak lanjut insiden.

Contoh ini menunjukkan apakah regulasi sudah cukup jelas. Karyawan tahu harus melapor kepada siapa, IT tahu ruang mana yang boleh diamankan, dan HR memiliki catatan untuk memastikan proses selesai.

Jangan lupakan biaya, dukungan, dan evaluasi

Regulasi yang hanya mengatur kata sandi dan kebocoran data biasanya masih menyisakan persoalan sehari-hari. Siapa yang membantu ketika aplikasi kerja gagal dipasang? Apakah perusahaan menanggung koneksi atau kerusakan perangkat? Bagaimana perlakuannya ketika perangkat hilang? Tidak ada jawaban universal untuk semua perusahaan, tetapi pertanyaan tersebut perlu dijawab secara tertulis.

Setidaknya, regulasi perlu menyebutkan:

• pihak yang menyediakan dan memberi dukungan teknis;

• batas bantuan perusahaan pada perangkat milik karyawan;

• pengaturan biaya perangkat, koneksi, perbaikan, atau penggantian sesuai kebijakan internal;

• konsekuensi pelanggaran yang proporsional dan mengikuti aturan perusahaan yang berlaku; serta

• jadwal evaluasi ketika aplikasi, pola kerja, atau risiko keamanan berubah.

Hindari menetapkan nominal biaya atau sanksi spesifik jika perusahaan belum memiliki dasar dan keputusan internal yang jelas. Regulasi lebih mudah diterapkan ketika karyawan memahami bukan hanya kewajibannya, tetapi juga dukungan dan batas tanggung jawab perusahaan.

Uji draf dengan skenario offboarding

Sebelum disahkan, minta HR dan IT membaca draf sambil menguji satu skenario: seorang karyawan mengundurkan diri setelah menggunakan laptop pribadi untuk mengakses aplikasi kerja. Apakah HR tahu kapan harus memberi tahu IT? Apakah IT dapat mencabut akses tanpa menghapus file pribadi? Apakah karyawan tahu cara memastikan salinan data kerja tidak lagi tersimpan di cloud pribadi?

Jika jawabannya masih bergantung pada “nanti kita lihat”, regulasi belum operasional. Perbaiki definisi ruang kerja, daftar aplikasi yang disetujui, pihak yang berwenang, serta bukti penutupan akses.

Saat menyusun regulasi penggunaan perangkat pribadi untuk urusan kantor, mulai dari batas data dan ruang kerja yang boleh diakses. Setelah itu, tentukan kontrol keamanan, persetujuan, pembagian tugas, respons insiden, dan proses offboarding. Dengan urutan tersebut, perusahaan tetap dapat melindungi data kerja tanpa mengubah perangkat pribadi karyawan menjadi perangkat yang bebas diperiksa.