Security Awareness Training: Pelatihan Kesadaran Keamanan

# ============================================
# CHECKLIST MENGENALI EMAIL PHISHING
# ============================================

# ✅ 1. PERIKSA PENGIRIM (Sender)
#    - Periksa alamat email dengan teliti
#    - Phishing: support@bank-bca.security.com  ← BUKAN domain resmi
#    - Asli: support@bca.co.id                  ← Domain resmi BCA
#    - Perhatikan typo: gmai1.com, micros0ft.com
#    - Periksa display name vs actual email address

# ✅ 2. PERIKSA SUBJECT & URGENCY
#    - "AKUN ANDA AKAN DIBLOKIR DALAM 24 JAM!"
#    - "Verifikasi segera atau kehilangan akses!"
#    - "Anda memenangkan hadiah Rp 500 juta!"
#    - Pola: Menciptakan urgency/panic untuk menghindari penalaran logis

# ✅ 3. PERIKSA ISI EMAIL
#    - Salam generik: "Dear Customer" bukan nama Anda
#    - Tata bahasa buruk, typo, kalimat tidak natural
#    - Minta informasi sensitif (password, PIN, OTP)
#    - Ancaman: akun diblokir, denda, masalah hukum

# ✅ 4. PERIKSA LINK (HOVER, JANGAN KLIK!)
#    - Hover mouse ke link — periksa URL sebenarnya
#    - https://www.bca.co.id     ← ASLI (domain benar)
#    - https://www.bca-secure.com ← PALSU (domain berbeda)
#    - Link shortener (bit.ly, tinyurl) — gunakan URL checker
#    - Perhatikan: https://bca.co.id.evil.com → domain utama = evil.com

# ✅ 5. PERIKSA ATTACHMENT
#    - File .exe, .scr, .bat, .js, .vbs — SANGAT MENCURIGAKAN
#    - File .pdf, .docx yang meminta "Enable Macros"
#    - Password-protected archive (ZIP/RAR) — teknik bypass AV
#    - Jangan buka attachment yang tidak Anda harapkan!

# ✅ 6. PERIKSA LOGO & BRANDING
#    - Logo buram atau resolusi rendah
#    - Warna/font tidak sesuai dengan brand asli
#    - Layout email tidak profesional

# ✅ 7. VERIFIKASI MANDIRI
#    - Jika ragu, hubungi organisasi melalui channel resmi
#    - Jangan gunakan nomor telepon/email yang ada di email mencurigakan
#    - Buka website resmi langsung dari browser (ketik manual)

# ============================================
# CONTOH EMAIL PHISHING (ANALISIS)
# ============================================

# --- EMAIL PHISHING ---
From: BCA Customer Service <security@bca-update.co.id>
      ↑ BUKAN domain resmi BCA!
To: Pelanggan Yth
      ↑ Salam generik, bukan nama spesifik
Subject: ⚠️ AKUN ANDA TERDETEKSI AKTIVITAS MENCURIGAKAN - SEGERA VERIFIKASI!
      ↑ Menciptakan PANIC dan URGENCY

"Kepada Pelanggan yang Terhormat,

Sistem kami mendeteksi aktivitas tidak biasa pada akun Anda.
Akun Anda AKAN DIBLOKIR dalam 24 jam jika tidak diverifikasi.

Segera klik link di bawah untuk verifikasi:
https://ibank.bca.co.id.secure-login.xyz/verify
                      ↑ Domain sebenarnya = secure-login.xyz, BUKAN bca.co.id

Masukkan:
- User ID Internet Banking
- Password
- PIN Kartu ATM
         ↑ Bank TIDAK PERNAH minta kredensial via email!

Hormat kami,
Departemen Keamanan BCA"

# TANDA-TANDA PHISHING:
# 1. Email sender bukan dari @bca.co.id
# 2. Salam generik, bukan nama Anda
# 3. Urgency — "akan diblokir dalam 24 jam"
# 4. Link mengarah ke domain palsu (secure-login.xyz)
# 5. Meminta kredensial lengkap (tidak pernah diminta bank via email)
# 6. Ancaman untuk menakut-nakuti

# --- EMAIL ASLI (CONTOH) ---
From: BCA <info@bca.co.id>
      ↑ Domain resmi @bca.co.id
To: Budi Santoso <budi@email.com>
      ↑ Ditujukan ke nama spesifik
Subject: Tagihan Kartu Kredit BCA Bulan Juni 2026
      ↑ Tidak ada urgency berlebihan

"Yth. Budi Santoso,

Kami informasikan tagihan kartu kredit BCA Anda untuk
periode Juni 2026 telah tersedia.

Silakan login ke KlikBCA di https://www.klikbca.com
untuk melihat detail tagihan.

Terima kasih,
PT Bank Central Asia Tbk"

# PERBEDAAN UTAMA:
# ✅ Sender dari domain resmi
# ✅ Nama penerima spesifik
# ✅ Tidak ada urgency/ancaman
# ✅ Tidak meminta kredensial
# ✅ Mengarahkan ke website resmi yang benar

# ============================================
# TEKNIK SOCIAL ENGINEERING
# ============================================

# 1. PRETEXTING (Alasan Palsu)
#    Penyerang membuat skenario palsu untuk mendapatkan kepercayaan
#    Contoh:
#    - Mengaku dari IT support: "Saya dari tim IT, perlu reset
#      password Anda untuk maintenance"
#    - Mengaku dari vendor: "Kami dari vendor software, perlu
#      akses ke server untuk update"
#    - Mengaku dari auditor: "Kami dari KAP, perlu akses ke
#      sistem keuangan untuk audit tahunan"

# 2. BAITING (Umpan)
#    Menyediakan sesuatu yang menarik untuk memancing korban
#    Contoh:
#    - USB flash drive berisi malware ditinggal di parkiran
#    - Label "Gaji Q4 2026.xlsx" pada USB
#    - Free WiFi berbahaya di tempat umum
#    - Software bajakan yang sudah dimodifikasi malware

# 3. QUID PRO QUO (Timbal Balik)
#    Menawarkan sesuatu sebagai imbalan informasi
#    Contoh:
#    - "Saya dari IT, saya bisa bantu perbaiki komputer Anda
#      kalau Anda beri saya password"
#    - Free security scan yang meminta instalasi software

# 4. TAILGATING / PIGGYBACKING
#    Mengikuti orang yang berwenang masuk ke area terlarang
#    Contoh:
#    - Mengikuti karyawan masuk ke pintu yang dilindungi access card
#    - "Tolong tahan pintu, saya lupa kartu akses"
#    - Mengaku sebagai kurir atau teknisi

# 5. WATERING HOLE
#    Menginfeksi website yang sering dikunjungi target
#    Contoh:
#    - Menginfeksi website industri yang sering dikunjungi karyawan
#    - Website berita populer yang sudah dimodifikasi

# 6. TYPOSQUATTING
#    Membuat domain mirip dengan website asli
#    Contoh:
#    - www.gooogle.com (3 huruf 'o')
#    - www.bca.co.id → www.bca-security.co.id
#    - www.amaz0n.com (angka 0)

# ============================================
# PASSWORD BEST PRACTICES
# ============================================

# ❌ YANG TIDAK BOLEH DILAKUKAN:
#    - Menggunakan password yang sama untuk semua akun
#    - Menggunakan password yang mudah ditebak (nama, tanggal lahir)
#    - Menulis password di sticky note di monitor
#    - Membagikan password ke siapapun (termasuk IT support)
#    - Mengirim password melalui email atau chat
#    - Menggunakan password pendek (< 12 karakter)
#    - Tidak mengaktifkan MFA/2FA

# ✅ YANG HARUS DILAKUKAN:

# 1. PASSWORD KUAT
#    - Minimal 14+ karakter
#    - Kombinasi huruf besar, kecil, angka, simbol
#    - Atau gunakan passphrase: "Kucing-Orange42!Melompat"
#    - Contoh kuat: "M@k4n$3t4h4ri!n1"

# 2. PASSWORD UNIK
#    - Setiap akun harus punya password berbeda
#    - Gunakan password manager:
#      - Bitwarden (gratis, open source)
#      - 1Password
#      - KeePass (offline, open source)
#      - LastPass

# 3. MULTI-FACTOR AUTHENTICATION (MFA)
#    - Aktifkan MFA di SEMUA akun yang mendukung
#    - Urutan preferensi MFA:
#      1. Hardware key (YubiKey) — paling aman
#      2. Authenticator app (Google Auth, Authy) — sangat aman
#      3. SMS OTP — kurang aman tapi lebih baik dari tidak ada
#    - Jangan pernah berikan OTP ke siapapun!

# 4. PASSWORD ROTATION
#    - Ganti password jika ada indikasi kompromi
#    - Jangan gunakan password lama yang sama
#    - Periksa: haveibeenpwned.com untuk cek kebocoran

# ============================================
# MODUL TRAINING — TOPIK INTI
# ============================================

# MODUL 1: Pengenalan Keamanan Informasi (30 menit)
# - Apa itu keamanan informasi dan mengapa penting
# - CIA Triad (Confidentiality, Integrity, Availability)
# - Peran Anda dalam keamanan organisasi
# - Kasus nyata pelanggaran data dan dampaknya

# MODUL 2: Mengenali Phishing (45 menit)
# - Jenis-jenis phishing (email, SMS, vishing, quishing)
# - Cara mengenali email phishing (checklist praktis)
# - Live demo: membedakan email asli vs phishing
# - Cara melaporkan email mencurigakan
# - Latihan: analisis 10 contoh email (asli vs phishing)

# MODUL 3: Password & Autentikasi (30 menit)
# - Password policy organisasi
# - Cara membuat password yang kuat
# - Password manager — demo Bitwarden
# - Multi-Factor Authentication (MFA)
# - Demo: cara setup MFA di akun penting

# MODUL 4: Social Engineering (45 menit)
# - Prinsip psikologi yang dieksploitasi
# - Teknik social engineering umum
# - Vishing (phishing telepon) — contoh rekaman
# - Pretexting dan impersonation
# - Bagaimana merespon: Verify → Validate → Report

# MODUL 5: Keamanan Data (30 menit)
# - Klasifikasi data organisasi
# - Cara menangani data sensitif
# - Clean desk policy
# - Data transfer yang aman
# - DLP (Data Loss Prevention) awareness

# MODUL 6: Keamanan Fisik (20 menit)
# - Tailgating awareness
# - Penggunaan access card
# - Visitor management
# - Screen locking (Win+L)
# - USB safety — jangan colok USB yang ditemukan!

# MODUL 7: Remote Work & Mobile Security (30 menit)
# - VPN — kapan dan bagaimana menggunakannya
# - WiFi publik — bahaya dan mitigasi
# - Perangkat mobile security
# - Video conference security
# - Cloud storage security

# MODUL 8: Incident Reporting (15 menit)
# - Apa yang harus dilaporkan
# - Cara melaporkan insiden keamanan
# - Channel pelaporan (email, hotline, ticketing)
# - Pentingnya melapor — no blame culture
# - Contoh: apa yang terjadi jika tidak melapor

# ============================================
# PHISHING SIMULATION PROGRAM
# ============================================

# TOOLS YANG DIGUNAKAN:
# 1. GoPhish (open source, gratis) — https://getgophish.com
# 2. KnowBe4 (komersial) — platform terpopuler
# 3. Proofpoint (komersial) — enterprise-grade
# 4. Cofense (komersial) — phishing-focused
# 5. SANS Security Awareness (komersial)

# ===== FASE 1: BASELINE =====
# Kirim phishing simulation pertama untuk mengukur "click rate"
# Tujuan: Tahu posisi awal sebelum training

BASELINE_METRICS = {
    "phishing_click_rate": "Misalnya 35% karyawan mengklik link",
    "credential_submission_rate": "Misalnya 20% memasukkan password",
    "report_rate": "Misalnya 5% melaporkan email",
    "department_breakdown": "Departemen mana yang paling rentan",
}

# ===== FASE 2: TRAINING =====
# Berikan training berdasarkan hasil baseline
# Fokus pada departemen yang paling rentan

# ===== FASE 3: RUTIN SIMULATION =====
# Jadwal simulation per bulan dengan difficulty bertahap

SIMULATION_SCHEDULE = {
    "Bulan 1": {
        "difficulty": "Mudah",
        "scenario": "Email dari 'bank' meminta verifikasi",
        "clues": "Logo buram, domain palsu, grammar buruk",
    },
    "Bulan 2": {
        "difficulty": "Mudah-Sedang",
        "scenario": "Email 'password reset' dari IT department",
        "clues": "Domain mirip, urgency tinggi",
    },
    "Bulan 3": {
        "difficulty": "Sedang",
        "scenario": "Email dari 'CEO' meminta transfer segera (BEC)",
        "clues": "Email CEO palsu, meminta kerahasiaan",
    },
    "Bulan 4": {
        "difficulty": "Sedang-Tinggi",
        "scenario": "Invoice dari vendor yang sudah dikenal",
        "clues": "Domain sangat mirip, konteks relevan",
    },
    "Bulan 5": {
        "difficulty": "Tinggi",
        "scenario": "Phishing targeted (spear phishing) dengan nama personal",
        "clues": "Menggunakan informasi LinkedIn, nama spesifik",
    },
    "Bulan 6": {
        "difficulty": "Sangat Tinggi",
        "scenario": "Clone phishing dari email asli organisasi",
        "clues": "Sangat sulit dibedakan — menguji kewaspadaan",
    },
}

# ===== METRICS YANG DIUKUR =====
PHISHING_KPIS = {
    "Click Rate": "Target: < 5% (dari baseline 35%)",
    "Credential Submission": "Target: < 2%",
    "Report Rate": "Target: > 60%",
    "Time to Report": "Target: < 5 menit",
    "Repeat Offenders": "Target: < 3% karyawan",
    "Training Completion": "Target: 100%",
}

# ============================================
# CONTINUOUS IMPROVEMENT CYCLE
# ============================================

# STEP 1: MEASURE — Ukur kondisi saat ini
# - Phishing simulation metrics
# - Training completion rates
# - Incident reporting patterns
# - Survey kesadaran keamanan (pre & post training)
# - Security culture assessment

# STEP 2: ANALYZE — Analisis data untuk menemukan gap
# - Departemen mana yang paling rentan?
# - Topik training mana yang efektif/tidak?
# - Apakah ada pattern tertentu pada repeat offenders?
# - Bagaimana perbandingan dengan industri sejenis?

# STEP 3: IMPROVE — Perbaiki program berdasarkan analisis
# - Tingkatkan frekuensi training untuk departemen rentan
# - Sesuaikan konten berdasarkan ancaman terbaru
# - Buat konten yang lebih engaging (video, gamification)
# - Implementasikan reward system untuk pelapor yang baik

# STEP 4: REPEAT — Ulangi siklus
# - Monthly: Phishing simulation + micro-learning
# - Quarterly: Full training module
# - Annual: Comprehensive assessment + program review

# ===== GAMIFICATION IDEAS =====
# - Leaderboard departemen (siapa yang paling banyak melapor)
# - Badges & rewards untuk karyawan yang tidak pernah click
# - Security Champion program — ambassador per departemen
# - Monthly security quiz dengan hadiah
# - Annual security awareness month dengan event khusus