Audit Keamanan dalam UU SDI: Apa yang Diperiksa dan Siapa yang Terkena

Yang disebut pemberitaan

Pemberitaan tentang UU Satu Data Indonesia (SDI) menyebut adanya audit keamanan, di samping standar keamanan, infrastruktur kriptografi, sertifikat digital, dan audit kedaulatan data.

Kami belum menemukan penjelasan siapa auditornya, seberapa sering audit dilakukan, atau apa akibat bila hasilnya buruk. Bagian berikut menjelaskan makna audit secara umum agar pembaca punya gambaran.

Hasil audit umumnya berupa laporan dengan tingkat temuan, misalnya ringan, sedang, dan berat. Instansi diminta membuat rencana perbaikan dengan tenggat. Cara penyampaian laporan dan siapa yang berhak menerimanya dalam UU SDI belum kami ketahui.

Arti audit keamanan

Audit keamanan adalah pemeriksaan terstruktur. Auditor membandingkan kondisi nyata dengan sebuah acuan, lalu menulis temuan dan saran perbaikan. Acuan itu bisa berupa standar yang ditetapkan lembaga berwenang.

Audit berbeda dari uji coba serangan. Uji coba serangan mencari celah dengan meniru penyerang. Audit lebih luas karena juga memeriksa aturan, dokumen, kebiasaan kerja, dan pembagian tanggung jawab.

Kata kunci dalam audit adalah keterlacakan. Auditor ingin menelusuri siapa melakukan apa, kapan, dan atas dasar apa. Jika sistem tidak mencatat aktivitas pengguna, auditor sulit menyimpulkan bahwa kontrol berjalan, walaupun sistemnya tampak canggih.

Hal yang lazim diperiksa

Dalam praktik umum, audit mencakup teknologi, orang, dan prosedur. Daftar berikut adalah contoh umum, bukan daftar resmi dari UU SDI.

Sering terjadi, audit mengungkap hal yang sepele tetapi berbahaya, seperti akun bersama yang dipakai banyak orang atau kata sandi bawaan pabrik yang tidak pernah diganti. Hal sederhana seperti ini dapat diperbaiki cepat dan mengurangi risiko secara nyata.

• Siapa yang boleh mengakses data dan apakah hak akses sesuai tugas.
• Apakah data penting dienkripsi dan kunci disimpan aman.
• Apakah ada catatan aktivitas dan apakah catatan itu ditinjau.
• Apakah cadangan data ada dan pernah diuji dipulihkan.
• Apakah ada prosedur menangani insiden dan melapor tepat waktu.

Bukti lebih penting daripada janji

Auditor biasanya meminta bukti. Kebijakan tertulis saja tidak cukup bila tidak ada catatan pelaksanaannya. Misalnya, aturan penggantian kata sandi perlu disertai bukti bahwa aturan itu dijalankan.

Karena itu, kebiasaan mencatat hasil kegiatan keamanan jauh lebih berguna daripada menumpuk dokumen kebijakan yang tidak pernah dipakai.

Audit juga menilai kesiapan menghadapi insiden. Menurut pemberitaan, insiden keamanan data wajib dilaporkan paling lambat 1x24 jam. Auditor dapat menanyakan siapa yang memutuskan melapor, kepada siapa laporan dikirim, dan apakah latihan simulasi pernah dilakukan.

Siapa yang mungkin terkena

Secara logika, audit paling dekat dengan pihak yang mengelola data dalam sistem SDI, yaitu produsen data, wali data, dan pengelola infrastruktur. Vendor yang menyimpan atau memproses data mereka berpotensi diminta bukti keamanan lewat kontrak.

Namun cakupan resmi audit belum kami ketahui. Jangan menyimpulkan bahwa seluruh pelaku usaha otomatis diaudit. Tunggu peraturan pelaksana.

Bagi vendor, audit sering datang dalam bentuk kuesioner dan permintaan bukti dari klien. Jawaban sebaiknya jujur dan tepat. Menyatakan telah patuh tanpa bukti dapat menimbulkan sengketa kontrak, dan dalam kasus tertentu dapat membawa risiko hukum lain.

Cara bersiap tanpa menunggu

Mulailah dengan daftar aset data dan penanggung jawabnya. Lalu kumpulkan bukti dasar seperti daftar akun, catatan akses, jadwal cadangan, dan laporan insiden terdahulu.

Latih petugas agar tahu cara melaporkan kejadian mencurigakan. Satu kejadian yang ditangani dan dicatat dengan baik sering menjadi bukti terbaik di hadapan auditor.

Biaya dan sumber daya juga persoalan nyata. Pemerintah desa mungkin tidak punya tenaga ahli. Pendampingan dari pemerintah daerah atau pusat dapat membantu, tetapi apakah UU SDI mengatur pendampingan seperti itu belum kami ketahui.

Tindak lanjut setelah audit

Audit tidak berhenti pada laporan. Nilai sebenarnya ada pada tindak lanjut. Sebaiknya setiap temuan diberi penanggung jawab, tenggat, dan bukti penyelesaian, lalu ditinjau berkala oleh pimpinan.

Bila temuan berulang tidak diperbaiki, risikonya bukan hanya teknis. Menurut pemberitaan, UU SDI memuat sanksi administratif hingga pidana, tetapi sumber tidak merinci sanksi untuk pelanggaran standar keamanan. Jangan menyimpulkan sanksi tertentu sebelum membaca naskah resmi.

Singkatnya, anggaplah audit sebagai cermin. Ia tidak dimaksudkan untuk menakut-nakuti, melainkan menunjukkan bagian yang perlu diperbaiki sebelum terjadi insiden nyata. Instansi yang terbiasa diaudit biasanya lebih tenang ketika menghadapi kejadian darurat.

Tidak ada salahnya pula meminta pendapat ahli independen sebelum audit resmi. Penilaian awal yang jujur membantu instansi menetapkan prioritas dan anggaran secara realistis.

Dengan persiapan yang baik, audit menjadi proses belajar dan bukan sekadar pemeriksaan.

Contoh kasus

Contoh: Sebuah dinas ingin tahu apakah pegawai yang sudah pindah tugas masih bisa membuka basis data bantuan. Saat memeriksa daftar akun, ditemukan beberapa akun lama yang masih aktif. Dinas menonaktifkannya, mencatat tanggalnya, dan membuat aturan bahwa akun ditinjau setiap triwulan. Catatan itu menjadi bukti perbaikan saat pemeriksaan.

Hal yang sering keliru

• Mengira audit hanya urusan perangkat lunak, padahal orang dan prosedur ikut diperiksa.
• Mengira kebijakan tertulis sudah cukup tanpa bukti pelaksanaan.
• Mengira jadwal dan pelaksana audit sudah ditetapkan; sumber kami belum menyebutnya.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Perpres 39 Tahun 2019 tentang Satu Data Indonesia

Dalam kategori yang sama

• Audit Kedaulatan Data dalam UU SDI: Arti, Ruang Lingkup, dan Yang Belum Jelas
• Bab Larangan Dipindah ke Bab Pidana: Apa Dampaknya pada UU Satu Data?
• Backup dan Pemulihan Data Setelah Serangan Ransomware: Panduan Praktis bagi Instansi

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.