Foundations of Information Security and the Indonesian Regulatory Context

Foundations of Information Security and the Indonesian Regulatory Context

Pendahuluan

Transformasi digital telah mengubah cara organisasi menjalankan bisnis, berinteraksi dengan pelanggan, dan mengelola informasi. Perbankan, fintech, e-commerce, rumah sakit, hingga instansi pemerintah kini sangat bergantung pada teknologi informasi untuk mendukung operasional dan pelayanan. Namun, peningkatan ketergantungan terhadap teknologi juga diikuti oleh meningkatnya ancaman siber, mulai dari kebocoran data, ransomware, pencurian identitas, hingga gangguan layanan yang dapat berdampak pada reputasi, operasional, dan kepatuhan regulasi.

Dalam konteks tersebut, keamanan informasi tidak lagi menjadi tanggung jawab tim TI semata, melainkan menjadi bagian penting dari tata kelola organisasi dan manajemen risiko. ISO/IEC 27001:2022 sebagai standar internasional Information Security Management System (ISMS) menyediakan pendekatan berbasis risiko (risk-based approach) untuk melindungi aset informasi dan memastikan keberlangsungan bisnis. Di Indonesia, implementasi keamanan informasi juga harus memperhatikan berbagai regulasi seperti UU Perlindungan Data Pribadi (UU PDP), PP Penyelenggaraan Sistem dan Transaksi Elektronik (PSTE), serta regulasi sektoral dari OJK, Bank Indonesia, dan Kementerian Kesehatan.

CIA Triad dalam Konteks Industri

Confidentiality, Integrity, dan Availability sebagai Fondasi Keamanan Informasi

Konsep Confidentiality, Integrity, dan Availability (CIA Triad) merupakan fondasi utama keamanan informasi.

Confidentiality (Kerahasiaan)

Confidentiality memastikan bahwa informasi hanya dapat diakses oleh pihak yang berwenang.

Contoh nyata:

• Kebocoran data pelanggan e-commerce dapat mengungkap nama, alamat, nomor telepon, hingga informasi pembayaran pelanggan.
• Kebocoran data nasabah bank dapat menimbulkan kerugian finansial dan hilangnya kepercayaan masyarakat.

Dampak bisnis:

• Penurunan reputasi perusahaan.
• Potensi sanksi regulator.
• Tuntutan hukum dan kompensasi kepada pelanggan.

Integrity (Integritas)

Integrity menjamin bahwa data tidak dimodifikasi secara tidak sah.

Contoh:

• Manipulasi transaksi perbankan oleh insider atau malware.
• Perubahan data rekam medis pasien yang dapat memengaruhi keputusan dokter.

Dampak bisnis:

• Fraud dan kerugian finansial.
• Kesalahan pengambilan keputusan.
• Hilangnya kepercayaan pelanggan.

Availability (Ketersediaan)

Availability memastikan layanan dan informasi dapat diakses saat dibutuhkan.

Contoh:

• Serangan ransomware yang menyebabkan sistem rumah sakit tidak dapat beroperasi.
• Gangguan layanan internet banking yang berdampak pada transaksi pelanggan.

Dampak bisnis:

• Downtime operasional.
• Kehilangan pendapatan.
• Menurunnya kualitas layanan.

Terminologi ISO/IEC 27001:2022 Melalui Contoh Nyata

ISO/IEC 27001 memperkenalkan beberapa konsep penting yang saling berkaitan.

Asset

Segala sesuatu yang memiliki nilai bagi organisasi.

Contoh:

• Database pelanggan.
• Source code aplikasi.
• Infrastruktur cloud.
• Informasi transaksi.

Threat

Sesuatu yang berpotensi menyebabkan kerugian.

Contoh:

• Hacker.
• Malware.
• Insider threat.
• Human error.

Vulnerability

Kelemahan yang dapat dieksploitasi oleh ancaman.

Contoh:

• Password lemah.
• Sistem tidak di-patch.
• Salah konfigurasi cloud storage.

Risk

Kemungkinan ancaman memanfaatkan kerentanan dan menimbulkan dampak.

Impact

Konsekuensi yang diterima organisasi akibat terjadinya risiko.

Hubungan Vulnerability → Threat → Risk → Impact

Sebagai contoh pada industri perbankan:

Asset

Database nasabah.

Vulnerability

Tidak adanya Multi-Factor Authentication (MFA).

Threat

Credential theft melalui phishing.

Risk

Akses tidak sah terhadap data pelanggan.

Impact

• Kebocoran data.
• Pelanggaran UU PDP.
• Denda regulator.
• Kehilangan kepercayaan nasabah.

Pendekatan ini menjadi dasar dalam proses risk assessment pada ISO/IEC 27001:2022.

Klasifikasi Kontrol Keamanan

Preventive Control

Kontrol yang bertujuan mencegah insiden terjadi.

Contoh:

• Firewall.
• Multi-Factor Authentication.
• Access Control.
• Security Awareness Training.

Detective Control

Kontrol untuk mendeteksi aktivitas mencurigakan.

Contoh:

• SIEM.
• IDS/IPS.
• Log Monitoring.
• Vulnerability Scanning.

Corrective Control

Kontrol yang digunakan untuk memulihkan kondisi setelah insiden.

Contoh:

• Backup dan Recovery.
• Incident Response.
• Disaster Recovery Plan.
• Patch Management.

Ketiga jenis kontrol tersebut harus diterapkan secara seimbang agar organisasi memiliki kemampuan pencegahan, deteksi, dan pemulihan yang efektif.

Memetakan Aset, Ancaman, dan Kerentanan

Pendekatan berbasis risiko dimulai dari identifikasi aset.

Aset	Ancaman	Kerentanan
Database Pelanggan	Data Breach	Password lemah
Server Produksi	Ransomware	Patch terlambat
Email Perusahaan	Phishing	Awareness rendah
Cloud Storage	Misconfiguration	Public bucket
Laptop Karyawan	Malware	Antivirus tidak update

Hasil identifikasi ini menjadi dasar pemilihan kontrol keamanan yang sesuai.

Landscape Regulasi Keamanan Informasi di Indonesia

UU PDP No. 27 Tahun 2022

UU PDP mengatur perlindungan data pribadi serta kewajiban pengendali dan prosesor data.

Kewajiban utama:

• Menjaga kerahasiaan data pribadi.
• Menerapkan pengamanan teknis dan organisasi.
• Melaporkan insiden kebocoran data.
• Memenuhi hak subjek data.

PP No. 71 Tahun 2019 tentang PSTE

Mengatur penyelenggaraan sistem elektronik dan kewajiban pengamanan sistem elektronik.

Peraturan Kominfo

Mengatur tata kelola sistem elektronik, keamanan informasi, serta perlindungan data.

Regulasi Sektoral

OJK

Untuk sektor:

• Perbankan.
• Asuransi.
• Pasar modal.

Berfokus pada manajemen risiko TI dan ketahanan siber.

Bank Indonesia

Mengatur:

• Sistem pembayaran.
• QRIS.
• Infrastruktur pembayaran digital.

Kementerian Kesehatan

Mengatur keamanan dan kerahasiaan data kesehatan.

Peran BSSN

Badan Siber dan Sandi Negara (BSSN) memiliki peran sebagai:

• Government CSIRT nasional.
• Koordinator penanganan insiden siber.
• Penyusun standar keamanan siber nasional.
• Pusat berbagi informasi ancaman siber.

BSSN juga berperan dalam meningkatkan kesiapan organisasi dalam menghadapi ancaman siber nasional.

Gap Analysis antara UU PDP dan ISO/IEC 27001 Annex A

Walaupun UU PDP merupakan regulasi dan ISO/IEC 27001 merupakan standar internasional, terdapat banyak irisan di antara keduanya.

Kewajiban UU PDP	Annex A ISO 27001
Perlindungan data pribadi	A.5.34 Privacy and Protection of PII
Access control	A.5.15 Access Control
Logging dan monitoring	A.8.15 Logging
Enkripsi data	A.8.24 Use of Cryptography
Incident response	A.5.24 Incident Management
Business continuity	A.5.30 ICT Readiness for Business Continuity

Melalui gap analysis, organisasi dapat mengetahui kontrol mana yang sudah tersedia dan area mana yang masih perlu ditingkatkan.

Studi Kasus Kebocoran Data E-Commerce Indonesia

Timeline

Penyerang berhasil memperoleh akses ke database pelanggan dan menjual data di forum gelap.

Root Cause

• Salah konfigurasi sistem.
• Kontrol akses yang lemah.
• Monitoring tidak memadai.

Dampak Bisnis

• Hilangnya kepercayaan pelanggan.
• Penurunan reputasi.
• Potensi tuntutan hukum.

Dampak Regulasi

• Kewajiban pelaporan insiden.
• Potensi sanksi berdasarkan UU PDP.

Studi Kasus Ransomware pada Institusi Pemerintah

Serangan ransomware menyebabkan banyak layanan publik tidak dapat diakses.

Root Cause

• Patch management tidak optimal.
• Segmentasi jaringan kurang memadai.
• Backup tidak terlindungi.

Dampak

• Downtime massal.
• Gangguan pelayanan masyarakat.
• Proses pemulihan yang memakan waktu.

Kasus ini menunjukkan pentingnya:

• Backup yang aman.
• Incident Response Plan.
• Disaster Recovery Plan.
• Business Continuity Management.

Studi Kasus Kebocoran Data Nasabah Bank

Industri perbankan menghadapi tuntutan tinggi terkait keamanan dan kepercayaan.

Dampak Operasional

• Investigasi insiden.
• Gangguan layanan.

Dampak Regulasi

• Kewajiban pelaporan kepada OJK.
• Potensi pelanggaran UU PDP.

Dampak Reputasi

• Hilangnya kepercayaan nasabah.
• Risiko perpindahan pelanggan ke kompetitor.

Kesimpulan

Keamanan informasi merupakan kombinasi antara manusia, proses, teknologi, serta tata kelola yang baik. Prinsip CIA Triad, pendekatan berbasis risiko pada ISO/IEC 27001:2022, serta pemahaman terhadap regulasi Indonesia menjadi fondasi penting dalam membangun organisasi yang aman, patuh, dan resilien.

Pada akhirnya, tujuan utama keamanan informasi bukanlah menghilangkan seluruh risiko, melainkan memastikan bahwa risiko dapat dikelola secara efektif sehingga organisasi dapat terus menjalankan bisnis secara berkelanjutan, memenuhi kewajiban regulasi, serta menjaga kepercayaan pelanggan dan para pemangku kepentingan.