Regulasi dan Kepatuhan Keamanan Siber untuk Instansi Publik
1. Pendahuluan
Transformasi digital telah mengubah secara fundamental cara instansi pemerintah menjalankan tugas dan memberikan pelayanan kepada masyarakat. Administrasi kependudukan, perpajakan, kesehatan, pendidikan, perizinan, bantuan sosial, pengelolaan keuangan negara, hingga berbagai layanan administrasi kini semakin bergantung pada sistem elektronik.
Perubahan tersebut memberikan banyak manfaat. Digitalisasi dapat mempercepat proses birokrasi, meningkatkan efisiensi, memperluas akses pelayanan, memperbaiki transparansi, serta memungkinkan pertukaran data antarinstansi. Namun, ketergantungan yang semakin tinggi terhadap teknologi informasi juga meningkatkan risiko keamanan siber.
Serangan siber terhadap instansi publik dapat memiliki dampak yang jauh lebih luas dibandingkan gangguan terhadap organisasi biasa. Gangguan terhadap sistem pemerintah dapat menyebabkan terhentinya pelayanan publik, kebocoran data masyarakat, terganggunya administrasi negara, kerugian finansial, serta menurunnya kepercayaan masyarakat terhadap pemerintah.
Karena itu, keamanan siber tidak dapat hanya dipandang sebagai persoalan teknis. Keamanan siber harus menjadi bagian dari tata kelola pemerintahan, manajemen risiko, kepatuhan hukum, pengelolaan data, dan perlindungan kepentingan publik.
Dalam konteks tersebut, regulasi memiliki fungsi penting. Regulasi memberikan dasar hukum mengenai kewajiban instansi, standar keamanan, pengelolaan data, pengamanan sistem elektronik, pelindungan infrastruktur kritis, serta mekanisme audit dan evaluasi.
Kepatuhan terhadap regulasi keamanan siber juga tidak boleh dipahami sekadar sebagai kegiatan administratif untuk memenuhi checklist. Kepatuhan yang efektif harus menghasilkan sistem yang benar-benar lebih aman, tangguh, dapat diaudit, dan mampu mempertahankan layanan ketika terjadi gangguan.
Dengan demikian, hubungan antara regulasi dan keamanan siber dapat dipahami sebagai sebuah siklus:
Siklus tersebut menjadi fondasi penting dalam membangun pemerintahan digital yang aman dan terpercaya.
2. Konsep Regulasi dan Kepatuhan Keamanan Siber
2.1 Pengertian Regulasi Keamanan Siber
Regulasi keamanan siber adalah seperangkat ketentuan hukum, kebijakan, standar, dan persyaratan yang mengatur bagaimana informasi, sistem elektronik, infrastruktur digital, dan layanan teknologi harus dilindungi.
Regulasi dapat menetapkan kewajiban mengenai:
pengamanan sistem elektronik;
perlindungan data;
pengelolaan risiko;
pengendalian akses;
pencatatan aktivitas;
penanganan insiden;
audit keamanan;
pengelolaan pihak ketiga;
keberlangsungan layanan;
serta pelaporan dan pertanggungjawaban.
Dalam instansi publik, regulasi memiliki kedudukan strategis karena sistem yang dilindungi sering kali berkaitan langsung dengan kepentingan masyarakat dan penyelenggaraan negara.
2.2 Pengertian Kepatuhan
Kepatuhan keamanan siber atau cybersecurity compliance merupakan kemampuan organisasi untuk memenuhi persyaratan hukum, regulasi, standar, kebijakan, dan kontrol yang relevan dengan aktivitasnya.
Kepatuhan memiliki setidaknya tiga dimensi.
Pertama, legal compliance, yaitu kepatuhan terhadap peraturan perundang-undangan.
Kedua, regulatory compliance, yaitu pemenuhan ketentuan teknis atau sektoral yang ditetapkan oleh regulator.
Ketiga, organizational compliance, yaitu kepatuhan terhadap kebijakan dan standar internal organisasi.
Ketiga dimensi tersebut harus berjalan bersama. Instansi yang memiliki kebijakan internal yang baik tetapi tidak memenuhi kewajiban hukum tetap menghadapi risiko kepatuhan. Sebaliknya, memenuhi peraturan secara formal tetapi tidak menerapkan kontrol secara nyata juga tidak cukup untuk menghasilkan keamanan yang efektif.
3. Mengapa Regulasi Keamanan Siber Penting bagi Instansi Publik?
3.1 Melindungi Kepentingan Masyarakat
Instansi publik mengelola berbagai sumber daya dan informasi yang berkaitan langsung dengan masyarakat.
Data kependudukan, data kesehatan, data pendidikan, data perpajakan, informasi bantuan sosial, dan berbagai data administratif memiliki nilai tinggi bagi masyarakat maupun negara.
Regulasi membantu memastikan bahwa pengelolaan sumber daya tersebut dilakukan berdasarkan prinsip keamanan, akuntabilitas, dan perlindungan hak.
3.2 Menjamin Keandalan Layanan
Layanan digital pemerintah harus tersedia ketika dibutuhkan.
Serangan ransomware, gangguan pusat data, kompromi akun administrator, kegagalan infrastruktur, atau eksploitasi kerentanan dapat menyebabkan layanan berhenti.
Kerangka regulasi membantu mendorong instansi untuk memiliki kontrol yang mendukung:
availability;
integrity;
confidentiality;
authentication;
accountability;
serta resilience.
3.3 Meningkatkan Akuntabilitas
Penggunaan teknologi pemerintah harus dapat dipertanggungjawabkan.
Regulasi menentukan siapa yang memiliki kewenangan, bagaimana sistem harus diamankan, bagaimana insiden ditangani, serta bagaimana audit dilakukan.
Dengan demikian, keamanan siber menjadi bagian dari tata kelola pemerintahan, bukan hanya tanggung jawab unit teknologi informasi.
3.4 Membangun Kepercayaan Publik
Kepercayaan masyarakat sangat bergantung pada kemampuan pemerintah menjaga informasi dan menyediakan layanan secara konsisten.
Ketika masyarakat mengetahui bahwa data dan layanan pemerintah dikelola berdasarkan standar keamanan yang jelas, kepercayaan terhadap transformasi digital pemerintah dapat meningkat.
4. Kerangka Regulasi Keamanan Siber di Indonesia
Regulasi keamanan siber Indonesia tidak berdiri dalam satu undang-undang tunggal. Kerangka hukumnya terdiri atas berbagai peraturan yang saling berkaitan berdasarkan objek, sektor, dan jenis kewajiban.
4.1 Undang-Undang tentang Pelindungan Data Pribadi
Salah satu landasan terpenting adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Peraturan tersebut berstatus berlaku dan ditetapkan pada 17 Oktober 2022.
UU PDP menempatkan pelindungan data pribadi sebagai bagian penting dari perlindungan hak warga negara.
Bagi instansi publik, implikasinya sangat besar karena banyak proses pemerintahan menggunakan data pribadi.
Kepatuhan terhadap UU PDP harus diterjemahkan ke dalam praktik, antara lain:
identifikasi jenis data pribadi;
pemetaan aliran data;
penetapan dasar pemrosesan;
pembatasan akses;
pengamanan data;
pengelolaan retensi;
pengendalian pihak ketiga;
penanganan insiden;
serta pemenuhan hak subjek data sesuai ketentuan yang berlaku.
Artinya, pelindungan data pribadi tidak boleh hanya menjadi dokumen kebijakan. Ia harus diwujudkan dalam arsitektur sistem, proses bisnis, pengendalian akses, dan tata kelola data.
4.2 Peraturan Pemerintah Nomor 71 Tahun 2019
Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PP PSTE) merupakan salah satu regulasi penting dalam penyelenggaraan sistem elektronik di Indonesia dan berstatus berlaku.
Peraturan ini mengatur berbagai aspek penyelenggaraan sistem dan transaksi elektronik, termasuk kewajiban penyelenggara sistem elektronik dalam memastikan sistemnya beroperasi secara andal, aman, dan bertanggung jawab.
Bagi instansi publik yang menyelenggarakan sistem elektronik, ketentuan ini menjadi salah satu dasar dalam membangun tata kelola keamanan sistem.
4.3 Peraturan Presiden Nomor 95 Tahun 2018 tentang SPBE
Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik merupakan landasan penting penyelenggaraan SPBE di Indonesia dan berstatus berlaku.
SPBE bertujuan mendorong penyelenggaraan pemerintahan yang memanfaatkan teknologi informasi dan komunikasi secara terpadu.
Keamanan menjadi komponen penting karena integrasi sistem pemerintahan meningkatkan ketergantungan antar layanan dan infrastruktur.
Semakin banyak sistem yang terhubung, semakin penting pula pengendalian identitas, akses, jaringan, aplikasi, data, dan infrastruktur.
4.4 Peraturan BSSN Nomor 4 Tahun 2021
Peraturan BSSN Nomor 4 Tahun 2021 mengatur Pedoman Manajemen Keamanan Informasi SPBE serta Standar Teknis dan Prosedur Keamanan SPBE dan berstatus berlaku.
Peraturan tersebut penting karena memberikan dasar yang lebih teknis bagi instansi pemerintah dalam menerapkan keamanan SPBE.
Secara konseptual, instansi perlu mengembangkan manajemen keamanan yang mencakup:
kebijakan keamanan;
pengelolaan risiko;
pengendalian keamanan;
perlindungan infrastruktur;
perlindungan aplikasi;
perlindungan data;
keamanan jaringan;
keamanan perangkat;
pengelolaan insiden;
serta evaluasi keamanan.
4.5 Peraturan BSSN Nomor 8 Tahun 2020
Peraturan BSSN Nomor 8 Tahun 2020 tentang Sistem Pengamanan dalam Penyelenggaraan Sistem Elektronik juga berstatus berlaku.
Peraturan ini relevan bagi penyelenggara sistem elektronik karena memberikan kerangka mengenai sistem pengamanan dalam penyelenggaraan sistem elektronik.
Dalam praktiknya, instansi perlu menerjemahkan persyaratan pengamanan ke dalam kontrol teknis dan prosedural yang dapat diverifikasi.
4.6 Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital
Untuk sistem yang memiliki dampak sangat penting terhadap kepentingan umum, terdapat Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital (IIV) yang berstatus berlaku.
Regulasi tersebut penting karena gangguan terhadap Infrastruktur Informasi Vital dapat menimbulkan dampak serius terhadap kepentingan umum, pelayanan publik, pertahanan dan keamanan, serta perekonomian nasional.
Karena itu, instansi yang mengelola infrastruktur yang termasuk dalam cakupan IIV membutuhkan tingkat pengamanan dan tata kelola yang lebih tinggi.
4.7 Peraturan BSSN Nomor 8 Tahun 2024
Aspek audit keamanan SPBE diperkuat melalui Peraturan BSSN Nomor 8 Tahun 2024 tentang Standar dan Tata Cara Pelaksanaan Audit Keamanan SPBE.
Peraturan ini mendefinisikan Audit Keamanan SPBE sebagai audit TIK dengan cakupan keamanan SPBE.
Kriteria audit mencakup hal pokok teknis seperti:
tata kelola Keamanan SPBE;
manajemen Keamanan SPBE;
fungsionalitas dan kinerja Keamanan SPBE;
serta aspek keamanan lainnya.
Peraturan tersebut juga mengatur kondisi tertentu terkait pelaksanaan audit pada aplikasi khusus dan infrastruktur SPBE yang menjadi bagian dari IIV serta mekanisme pelaksanaan oleh Lembaga Pelaksana Audit TIK terakreditasi dalam kondisi yang ditentukan.
5. Prinsip Dasar Kepatuhan Keamanan Siber
5.1 Risk-Based Compliance
Kepatuhan modern harus menggunakan pendekatan berbasis risiko.
Tidak semua sistem memiliki nilai dan tingkat risiko yang sama.
Sistem yang mengelola data sensitif atau mendukung layanan publik kritis harus mendapatkan prioritas pengamanan lebih tinggi.
Pendekatan ini memungkinkan instansi mengalokasikan anggaran dan sumber daya secara proporsional terhadap risiko.
5.2 Defense in Depth
Tidak ada satu teknologi yang dapat memberikan perlindungan sempurna.
Instansi perlu menggunakan beberapa lapisan pertahanan, seperti:
identity security;
endpoint security;
network security;
application security;
data security;
monitoring;
backup;
dan incident response.
Jika satu lapisan gagal, lapisan lain dapat mengurangi dampaknya.
5.3 Least Privilege
Setiap pengguna hanya diberikan hak akses yang diperlukan.
Administrator tidak boleh memperoleh akses lebih besar daripada yang dibutuhkan hanya karena memiliki posisi teknis.
Hak akses harus ditinjau secara berkala dan dicabut ketika tidak lagi diperlukan.
5.4 Separation of Duties
Tugas kritis sebaiknya tidak berada sepenuhnya pada satu individu.
Misalnya, orang yang membuat transaksi tidak selalu menjadi pihak yang menyetujui transaksi.
Pemisahan kewenangan dapat mengurangi risiko penyalahgunaan privilege.
5.5 Accountability
Setiap aktivitas penting harus dapat ditelusuri.
Logging dan audit trail menjadi penting untuk mengetahui:
siapa yang mengakses sistem;
kapan akses dilakukan;
resource apa yang diakses;
tindakan apa yang dilakukan;
dan dari perangkat atau lokasi mana aktivitas dilakukan.
6. Kewajiban Strategis Instansi Publik
6.1 Menetapkan Tata Kelola Keamanan
Pimpinan instansi harus menetapkan struktur tanggung jawab yang jelas.
Keamanan siber tidak boleh sepenuhnya diserahkan kepada tim TI.
Pimpinan, unit hukum, pengadaan, manajemen risiko, auditor internal, pemilik proses bisnis, dan pengelola teknologi harus memiliki peran masing-masing.
6.2 Menyusun Kebijakan Keamanan Informasi
Instansi perlu memiliki kebijakan tertulis yang mengatur:
klasifikasi informasi;
akses sistem;
penggunaan perangkat;
pengelolaan password;
penggunaan cloud;
keamanan aplikasi;
pengelolaan vendor;
respons insiden;
backup;
dan pemulihan bencana.
6.3 Melakukan Inventarisasi Aset
Instansi tidak dapat melindungi aset yang tidak diketahui.
Inventarisasi harus mencakup:
server;
endpoint;
aplikasi;
database;
API;
cloud resource;
akun;
sertifikat;
domain;
dan data.
6.4 Melakukan Penilaian Risiko
Setiap aset perlu dinilai berdasarkan:
nilai bisnis;
sensitivitas data;
ketergantungan layanan;
kemungkinan ancaman;
kerentanan;
dan dampak apabila terjadi insiden.
Hasilnya digunakan untuk menentukan prioritas pengamanan.
6.5 Melakukan Audit Berkala
Audit diperlukan untuk memastikan bahwa kontrol keamanan benar-benar diterapkan.
Audit juga membantu menemukan kesenjangan antara kebijakan dengan praktik aktual.
7. Kepatuhan terhadap Pelindungan Data Pribadi
7.1 Inventarisasi Data
Instansi harus mengetahui data pribadi apa saja yang diproses.
Data perlu dipetakan berdasarkan:
jenis;
sumber;
tujuan pemrosesan;
lokasi penyimpanan;
pihak yang memiliki akses;
serta pihak yang menerima data.
7.2 Data Minimization
Instansi sebaiknya tidak mengumpulkan data yang tidak diperlukan.
Semakin banyak data dikumpulkan dan disimpan, semakin besar pula potensi dampak ketika terjadi kebocoran.
7.3 Access Control
Akses terhadap data pribadi harus diberikan berdasarkan kebutuhan.
Pegawai tidak boleh memiliki akses terhadap seluruh data hanya karena bekerja di instansi yang sama.
7.4 Enkripsi
Data yang sensitif perlu dilindungi dengan mekanisme kriptografi yang sesuai.
Perlindungan harus dipertimbangkan baik ketika data tersimpan maupun ketika ditransmisikan.
7.5 Pengelolaan Insiden
Instansi harus memiliki prosedur untuk mendeteksi, menangani, mendokumentasikan, dan memenuhi kewajiban terkait insiden pelindungan data sesuai ketentuan yang berlaku.
8. Kepatuhan dalam Pengelolaan Identitas dan Akses
Identitas digital menjadi salah satu titik kritis keamanan pemerintahan.
Instansi harus menerapkan proses identity lifecycle management yang mencakup:
pembuatan akun;
pemberian hak akses;
perubahan jabatan;
review hak akses;
penonaktifan akun;
pencabutan akses;
dan penghapusan akun.
Penerapan multi-factor authentication juga penting, terutama untuk akun dengan hak akses tinggi.
Akun administrator harus mendapatkan perlindungan lebih kuat karena kompromi terhadap satu akun privileged dapat memberikan akses terhadap banyak sistem.
9. Kepatuhan dalam Keamanan Aplikasi
9.1 Secure Software Development
Keamanan harus dimasukkan sejak tahap pengembangan.
Pengembang perlu mempertimbangkan:
secure coding;
dependency management;
secret management;
vulnerability scanning;
code review;
security testing;
dan secure deployment.
9.2 Keamanan API
API menjadi komponen penting dalam integrasi layanan pemerintahan.
API harus memiliki:
autentikasi;
otorisasi;
rate limiting;
validasi input;
logging;
monitoring;
dan perlindungan terhadap penyalahgunaan.
9.3 Manajemen Kerentanan
Instansi harus memiliki proses untuk:
menemukan kerentanan;
menilai tingkat risikonya;
menentukan prioritas;
melakukan perbaikan;
melakukan pengujian ulang;
dan mendokumentasikan hasilnya.
10. Kepatuhan Infrastruktur dan Jaringan
Keamanan infrastruktur mencakup pusat data, server, perangkat jaringan, cloud, endpoint, dan komponen pendukung lainnya.
Beberapa kontrol penting meliputi:
patch management;
hardening;
network segmentation;
firewall;
endpoint protection;
secure configuration;
backup;
monitoring;
dan vulnerability management.
Pendekatan Zero Trust juga dapat digunakan untuk memperkuat kontrol akses dengan tidak memberikan kepercayaan implisit hanya berdasarkan lokasi jaringan.
11. Kepatuhan terhadap Infrastruktur Informasi Vital
Instansi yang mengelola sistem yang termasuk dalam kategori Infrastruktur Informasi Vital harus memperhatikan persyaratan perlindungan yang lebih ketat.
Alasannya sederhana: kegagalan sistem tersebut dapat memberikan dampak luas terhadap masyarakat dan negara.
Pengamanan IIV perlu mempertimbangkan:
identifikasi aset kritis;
pengelolaan risiko;
perlindungan infrastruktur;
monitoring;
respons insiden;
keberlangsungan layanan;
dan pemulihan.
Perpres Nomor 82 Tahun 2022 secara khusus memberikan kerangka hukum mengenai pelindungan Infrastruktur Informasi Vital.
12. Audit dan Evaluasi Kepatuhan
12.1 Mengapa Audit Diperlukan?
Kepatuhan tidak dapat dibuktikan hanya melalui keberadaan dokumen.
Auditor harus dapat memperoleh bukti bahwa kontrol benar-benar diterapkan.
Sebagai contoh, apabila kebijakan menyatakan bahwa administrator wajib menggunakan MFA, audit harus memeriksa implementasi aktualnya.
12.2 Bukti Audit
Bukti dapat berupa:
konfigurasi;
log;
laporan vulnerability assessment;
hasil penetration testing;
dokumen kebijakan;
daftar aset;
daftar akun;
laporan insiden;
hasil backup test;
dan hasil review akses.
12.3 Temuan Audit
Temuan harus dikategorikan berdasarkan risiko.
Temuan kritis harus mendapatkan prioritas tertinggi karena dapat memberikan dampak besar terhadap kerahasiaan, integritas, atau ketersediaan sistem.
12.4 Remediasi
Setiap temuan harus memiliki:
pemilik;
rencana tindakan;
target penyelesaian;
prioritas;
dan bukti penyelesaian.
Audit yang tidak diikuti remediasi hanya menghasilkan dokumentasi, bukan peningkatan keamanan.
13. Manajemen Insiden sebagai Bagian dari Kepatuhan
Instansi harus menganggap kemungkinan terjadinya insiden sebagai bagian dari manajemen risiko.
Kemampuan respons harus mencakup:
13.1 Detection
Mendeteksi indikasi serangan secepat mungkin.
13.2 Analysis
Menentukan jenis, sumber, dan dampak insiden.
13.3 Containment
Membatasi penyebaran serangan.
13.4 Eradication
Menghilangkan penyebab atau artefak serangan.
13.5 Recovery
Memulihkan sistem dan layanan secara aman.
13.6 Lessons Learned
Mengevaluasi penyebab dan memperbaiki kontrol agar kejadian serupa tidak berulang.
14. Business Continuity dan Disaster Recovery
Kepatuhan keamanan siber harus dikaitkan dengan keberlangsungan layanan.
Instansi perlu menentukan layanan mana yang kritis dan berapa lama layanan tersebut dapat berhenti.
Dua parameter penting adalah:
Recovery Time Objective (RTO), yaitu target waktu pemulihan layanan.
Recovery Point Objective (RPO), yaitu batas kehilangan data yang dapat diterima berdasarkan titik pemulihan.
Backup harus diuji secara berkala.
Memiliki backup tetapi tidak pernah menguji proses restore merupakan risiko tersendiri.
15. Risiko Pihak Ketiga
Instansi publik semakin banyak menggunakan penyedia layanan eksternal.
Risiko dapat muncul dari:
cloud provider;
software vendor;
data center;
konsultan;
integrator;
penyedia aplikasi;
dan penyedia layanan lainnya.
Karena itu, keamanan harus menjadi bagian dari proses pengadaan.
Kontrak sebaiknya mempertimbangkan:
persyaratan keamanan;
hak audit;
pengelolaan data;
kontrol akses;
pelaporan insiden;
kewajiban pemulihan;
penghapusan data;
dan penghentian akses.
16. Tantangan Penerapan Regulasi Keamanan Siber
16.1 Regulasi yang Kompleks
Instansi harus memahami berbagai regulasi yang dapat berlaku secara bersamaan.
Karena itu, diperlukan pemetaan regulasi berdasarkan jenis sistem, data, sektor, dan layanan.
16.2 Sistem Legacy
Sistem lama sering kali tidak dirancang dengan standar keamanan modern.
Migrasi harus dilakukan secara bertahap agar tidak mengganggu layanan.
16.3 Keterbatasan SDM
Keamanan siber membutuhkan tenaga yang memahami teknologi sekaligus regulasi.
Kekurangan tenaga ahli dapat membuat kepatuhan hanya bersifat administratif.
16.4 Keterbatasan Anggaran
Tidak semua instansi memiliki sumber daya yang sama.
Karena itu, pendekatan berbasis risiko penting untuk menentukan prioritas investasi.
16.5 Resistensi Organisasi
Kontrol keamanan yang lebih ketat dapat dianggap menghambat pekerjaan.
Solusinya adalah menggabungkan keamanan dengan desain layanan agar kontrol tidak mengorbankan usability secara berlebihan.
16.6 Perubahan Teknologi
Cloud, AI, API, Internet of Things, microservices, dan teknologi lainnya menciptakan risiko baru.
Regulasi dan kebijakan internal harus diterjemahkan secara adaptif terhadap perubahan teknologi.
17. Strategi Membangun Budaya Kepatuhan
Kepatuhan tidak akan efektif jika hanya menjadi tanggung jawab unit TI.
17.1 Peran Pimpinan
Pimpinan harus menetapkan keamanan sebagai prioritas organisasi.
17.2 Pelatihan Pegawai
Pegawai perlu mendapatkan edukasi mengenai:
phishing;
password;
MFA;
perlindungan data;
penggunaan perangkat;
pelaporan insiden;
dan keamanan informasi.
17.3 Simulasi
Organisasi dapat melakukan simulasi phishing, tabletop exercise, incident response exercise, dan disaster recovery exercise.
17.4 Evaluasi Berkala
Budaya keamanan harus diukur melalui audit, assessment, dan indikator kinerja.
18. Model Kepatuhan Keamanan Siber yang Ideal
Instansi publik dapat menggunakan model berikut:
1. Identifikasi Regulasi
Menentukan seluruh aturan yang berlaku.
2. Pemetaan Kewajiban
Mengidentifikasi kewajiban dari setiap regulasi.
3. Pemetaan Aset
Menentukan sistem, data, aplikasi, dan infrastruktur yang terdampak.
4. Gap Assessment
Membandingkan kondisi aktual dengan persyaratan.
5. Risk Assessment
Menentukan tingkat risiko setiap gap.
6. Remediation
Melaksanakan tindakan perbaikan.
7. Audit
Memverifikasi efektivitas kontrol.
8. Monitoring
Memantau perubahan risiko dan regulasi.
9. Continuous Improvement
Melakukan penyempurnaan secara berkelanjutan.
Model tersebut mengubah kepatuhan dari aktivitas administratif menjadi sistem manajemen risiko.
19. Indikator Keberhasilan Kepatuhan
Keberhasilan tidak cukup diukur dari persentase checklist yang terpenuhi.
Indikator yang lebih bermakna meliputi:
persentase aset yang telah terinventarisasi;
persentase akun privileged yang menggunakan MFA;
persentase sistem kritis yang telah diuji keamanannya;
persentase kerentanan kritis yang telah diperbaiki;
cakupan logging;
waktu deteksi insiden;
waktu respons insiden;
keberhasilan pengujian pemulihan;
penyelesaian temuan audit;
serta penurunan risiko residual.
Indikator tersebut memberikan gambaran apakah kepatuhan benar-benar meningkatkan keamanan.
20. Integrasi Regulasi, Zero Trust, dan Audit
Regulasi, Zero Trust, dan audit sebaiknya tidak dipandang sebagai tiga konsep terpisah.
Ketiganya dapat membentuk satu ekosistem.
Regulasi menentukan apa yang wajib dilakukan.
Zero Trust menyediakan salah satu pendekatan untuk mengimplementasikan kontrol akses dan perlindungan resource.
Audit memeriksa apakah kontrol tersebut benar-benar diterapkan dan efektif.
Sebagai contoh, regulasi dapat mensyaratkan perlindungan terhadap akses sistem.
Instansi kemudian dapat menerapkan:
MFA;
least privilege;
device verification;
segmentation;
continuous monitoring.
Selanjutnya auditor dapat menguji apakah kontrol tersebut benar-benar berjalan.
Dengan pendekatan tersebut, regulasi menjadi dasar, teknologi menjadi alat, dan audit menjadi mekanisme verifikasi.
21. Rekomendasi Strategis bagi Instansi Publik
Untuk membangun kepatuhan yang matang, instansi publik sebaiknya menerapkan beberapa langkah strategis.
21.1 Membuat Regulatory Mapping
Setiap regulasi yang berlaku harus dipetakan ke:
sistem;
proses;
unit pemilik;
kontrol;
dan bukti kepatuhan.
21.2 Menerapkan Compliance by Design
Persyaratan keamanan harus dimasukkan sejak tahap perencanaan layanan dan aplikasi.
Jangan menunggu sistem selesai baru memikirkan keamanan.
21.3 Mengembangkan Risk Register
Semua risiko keamanan perlu dicatat, dinilai, memiliki pemilik, dan memiliki rencana mitigasi.
21.4 Mengintegrasikan Audit dengan Manajemen Risiko
Temuan audit harus masuk ke mekanisme manajemen risiko organisasi.
21.5 Membangun Security Operations
Instansi yang memiliki sistem kritis membutuhkan kemampuan monitoring dan respons yang memadai.
21.6 Memperkuat Vendor Governance
Keamanan pihak ketiga harus menjadi bagian dari siklus pengadaan dan pengelolaan kontrak.
21.7 Membangun Continuous Compliance
Kepatuhan harus dipantau secara berkelanjutan, bukan hanya menjelang audit.
22. Masa Depan Regulasi Keamanan Siber Instansi Publik
Regulasi keamanan siber akan semakin kompleks seiring meningkatnya ketergantungan terhadap teknologi.
Cloud computing mengubah batas infrastruktur.
AI menciptakan model risiko baru.
API meningkatkan keterhubungan antar sistem.
Internet of Things memperluas jumlah perangkat yang harus diamankan.
Microservices meningkatkan kompleksitas arsitektur.
Sementara itu, meningkatnya serangan terhadap layanan publik membuat ketahanan digital semakin penting.
Karena itu, pendekatan regulasi masa depan harus mampu menjaga keseimbangan antara:
keamanan;
inovasi;
privasi;
interoperabilitas;
efisiensi;
dan keberlangsungan layanan.
Regulasi yang terlalu lemah tidak mampu mengurangi risiko. Namun, regulasi yang terlalu kaku juga dapat menghambat inovasi.
Solusinya adalah membangun regulasi yang berbasis risiko, memiliki tujuan keamanan yang jelas, dan dapat diterjemahkan ke dalam kontrol yang terukur.
23. Kesimpulan
Regulasi dan kepatuhan keamanan siber merupakan fondasi penting bagi keberlangsungan transformasi digital pemerintahan.
Instansi publik tidak hanya bertanggung jawab terhadap keamanan infrastruktur teknologi, tetapi juga terhadap perlindungan data masyarakat, keandalan layanan, akuntabilitas pemerintahan, serta keberlangsungan fungsi-fungsi penting negara.
Di Indonesia, kerangka tersebut didukung oleh berbagai regulasi, antara lain Perpres Nomor 95 Tahun 2018 tentang SPBE, PP Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Perpres Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital, Peraturan BSSN Nomor 4 Tahun 2021, Peraturan BSSN Nomor 8 Tahun 2020, serta Peraturan BSSN Nomor 8 Tahun 2024 mengenai audit keamanan SPBE. Regulasi-regulasi tersebut memiliki ruang lingkup dan fungsi berbeda sehingga perlu dipetakan sesuai karakteristik sistem dan kewajiban instansi.
Namun, kepatuhan tidak boleh berhenti pada pemenuhan dokumen.
Instansi dapat memiliki kebijakan keamanan yang lengkap tetapi tetap rentan apabila kontrol tidak diterapkan dengan benar. Sebaliknya, teknologi keamanan yang canggih juga tidak cukup apabila tata kelola, proses, dan sumber daya manusia tidak mendukung.
Karena itu, kepatuhan keamanan siber harus dibangun sebagai siklus berkelanjutan:
Pendekatan tersebut memungkinkan instansi publik bergerak dari sekadar compliance-oriented security menuju risk-oriented security.
Pada akhirnya, tujuan regulasi keamanan siber bukan sekadar membuat instansi pemerintah memenuhi kewajiban hukum. Tujuan yang lebih penting adalah memastikan bahwa teknologi pemerintah dapat digunakan secara aman, andal, bertanggung jawab, tangguh, dan berorientasi pada kepentingan masyarakat.
Keamanan siber yang matang merupakan bagian dari kualitas pemerintahan itu sendiri. Ketika data terlindungi, layanan tersedia, sistem dapat dipulihkan, dan aktivitas dapat dipertanggungjawabkan, maka transformasi digital pemerintah tidak hanya menjadi lebih modern, tetapi juga lebih dipercaya oleh masyarakat.
