Siapa pemilik akun organisasi?
Akun penting harus atas nama organisasi, bukan satu relawan atau pengurus. Daftarkan email, domain, hosting, media sosial, dan layanan berlangganan dengan email organisasi, beri akses kepada minimal dua admin, dan catat siapa memegang apa.
Masalah keamanan yang paling sering terjadi di organisasi kecil bukan peretasan canggih, melainkan akun yang dikuasai satu orang lalu orang tersebut pergi, lupa kata sandi, atau kehilangan nomor ponselnya. Daftar akun yang sederhana mencegah sebagian besar masalah ini.
| Akun | Login dengan | Admin | Pemulihan |
|---|---|---|---|
| Domain (registrar) | Email organisasi | Ketua dan sekretaris | Kode pemulihan disimpan di pengelola kata sandi |
| Email organisasi | Akun admin organisasi | Dua pengurus | Nomor pemulihan milik organisasi |
| Media sosial | Akun bisnis atau halaman organisasi | Dua pengurus | Email organisasi |
| Formulir dan spreadsheet | Akun organisasi | Koordinator program | Berbagi folder milik organisasi |
Mengapa verifikasi dua langkah perlu diaktifkan?
Verifikasi dua langkah meminta bukti kedua selain kata sandi, misalnya kode dari aplikasi autentikator atau passkey. Jika kata sandi bocor, akun tetap sulit diambil alih. Aktifkan pada email, registrar domain, hosting, media sosial, dan layanan pembayaran.
Aplikasi autentikator atau passkey umumnya lebih aman daripada kode SMS, tetapi kode SMS tetap lebih baik daripada tidak ada sama sekali. Simpan kode pemulihan di tempat aman yang dapat dibuka lebih dari satu pengurus, misalnya brankas bersama di pengelola kata sandi.
Bagaimana mengenali pesan phishing dan penipuan?
Waspadai pesan yang mendesak, meminta login lewat tautan, meminta kode verifikasi, atau mengirim file aplikasi (.apk) dan lampiran tak terduga. Periksa alamat pengirim dan alamat website sebelum memasukkan kata sandi. Jangan pernah membagikan kode OTP kepada siapa pun.
Penipu juga dapat menyamar sebagai organisasi Anda, misalnya membuka "lowongan relawan" berbayar atau meminta biaya pendaftaran. Jelaskan di halaman relawan bahwa organisasi tidak memungut biaya. Calon relawan atau pencari kerja dapat memeriksa tanda bahaya lowongan dengan Cek Loker di KarirAman.
- Ada tenggat yang sangat mendesak atau ancaman akun ditutup.
- Tautan login mengarah ke alamat yang mirip tetapi berbeda.
- Permintaan kode OTP, PIN, atau kata sandi.
- File .apk atau dokumen yang meminta izin tambahan.
- Permintaan transfer ke rekening baru atau rekening pribadi.
Bagaimana melindungi organisasi dari halaman donasi palsu?
Terbitkan satu halaman kanal resmi di website organisasi yang memuat semua akun media sosial dan rekening atas nama organisasi. Tautkan halaman itu dari setiap akun resmi. Periksa secara berkala akun dengan nama atau logo serupa dan laporkan ke platformnya.
Jika ada pendukung yang tertipu dan sudah mentransfer uang, arahkan mereka ke Indonesia Anti-Scam Centre (IASC) OJK. Konten penipuan dapat diadukan melalui aduankonten.id. Situs Komdigi juga menautkan layanan Cek Rekening untuk memeriksa rekening yang dilaporkan.
Bagaimana menyimpan kata sandi dengan aman?
Gunakan kata sandi berbeda untuk setiap layanan dan simpan di pengelola kata sandi yang mendukung brankas bersama. Jangan menyimpan kata sandi di spreadsheet, catatan ponsel, atau grup percakapan. Ganti kata sandi ketika pengurus atau relawan berhenti.
Buat prosedur keluar yang sederhana: saat seseorang tidak lagi bertugas, cabut aksesnya dari email, folder bersama, media sosial, dan aplikasi, lalu ganti kata sandi yang pernah ia ketahui.
Bagaimana membuat cadangan data?
Ekspor data penting secara berkala, misalnya setiap bulan, ke format terbuka seperti CSV. Simpan setidaknya dua salinan di tempat berbeda yang dimiliki organisasi, dan uji apakah cadangan benar-benar dapat dibuka. Catat tanggal perpanjangan domain dan langganan agar layanan tidak berhenti.
Periksa kemampuan ekspor sebelum memilih alat. Beberapa layanan gratis membatasi ekspor atau menghapus data lama ketika kuota penuh. Lihat perbandingan alat gratis dan murah untuk batas tiap layanan.
Apa yang dilakukan jika akun diretas atau data bocor?
Segera ganti kata sandi, keluarkan semua sesi aktif, periksa aturan penerusan email dan admin yang tidak dikenal, lalu umumkan melalui kanal resmi bahwa akun sempat diambil alih. Jika data pribadi terdampak, organisasi memiliki kewajiban pemberitahuan menurut UU Pelindungan Data Pribadi.
Catat waktu kejadian, data yang mungkin terdampak, dan langkah yang sudah diambil. Baca panduan UU PDP untuk LSM untuk langkah pemberitahuan. Jika uang hilang, laporkan ke bank atau penyedia pembayaran dan IASC OJK secepatnya.