Checklist Kesiapan Keamanan Data bagi Instansi dan Vendor Menghadapi UU SDI

Cara memakai daftar ini

Daftar periksa ini disusun dari hal yang diberitakan tentang UU Satu Data Indonesia (SDI) dan dari praktik keamanan umum. Ia bukan daftar resmi dan tidak menjamin kepatuhan. Gunakan sebagai alat bantu untuk menemukan kekurangan awal.

Beri tanda pada tiap butir: sudah, sebagian, atau belum. Lalu pilih tiga butir yang paling berdampak untuk dikerjakan lebih dulu. Ulangi pemeriksaan setiap triwulan dan setelah aturan turunan terbit.

Daftar ini sengaja dibuat sederhana supaya dapat dipakai pemerintah desa maupun usaha kecil. Instansi besar dapat menambah butir sesuai kompleksitasnya. Hal terpenting bukan banyaknya butir, melainkan kejujuran dalam menilai dan konsistensi dalam memperbaiki.

Bagian satu: data dan klasifikasi

Mulailah dengan mengetahui apa yang dimiliki. Menurut pemberitaan, data dalam SDI diklasifikasikan terbuka, terbatas, dan tertutup. Walaupun kriterianya belum jelas, inventarisasi tetap diperlukan.

Inventarisasi sering dianggap membosankan, padahal ia dasar semua langkah lain. Tanpa tahu data apa yang dimiliki, instansi tidak dapat menentukan apa yang harus dilindungi paling kuat, apalagi menjawab pertanyaan auditor atau permintaan akses dari pihak lain.

• Daftar kumpulan data dan penanggung jawabnya sudah ada.
• Sensitivitas tiap data sudah dinilai awal.
• Data yang mengalir ke vendor atau luar negeri sudah ditandai.
• Data pribadi sudah dibedakan dari data lain.

Bagian dua: akses dan perlindungan

Bagian ini memeriksa siapa yang dapat membuka data dan bagaimana data dilindungi. Kebanyakan insiden berawal dari akses yang terlalu longgar atau perlindungan yang lemah.

Banyak butir pada bagian ini murah. Menonaktifkan akun lama, mengaktifkan verifikasi dua langkah, dan memisahkan jaringan tamu hampir tidak memerlukan anggaran besar. Dampaknya terhadap risiko justru sering lebih besar dibandingkan pembelian perangkat mahal.

• Setiap pengguna punya akun pribadi dengan hak minimum.
• Akun pegawai yang pindah atau berhenti segera dinonaktifkan.
• Verifikasi dua langkah aktif pada akun penting.
• Data penting terenkripsi saat disimpan dan dikirim.
• Jaringan data penting dipisahkan dari jaringan umum.

Bagian tiga: cadangan dan pencatatan

Cadangan dan log menentukan kemampuan pulih dan menelusuri. Menurut pemberitaan, keterlacakan menjadi syarat pemanfaatan teknologi tertentu, dan audit keamanan menjadi bagian UU SDI.

Pastikan cadangan tidak hanya ada, tetapi juga teruji. Pastikan juga log disimpan terpisah dan ditinjau. Catat tanggal uji pemulihan terakhir dan hasilnya sebagai bukti.

Mintalah vendor mendemonstrasikan pemulihan cadangan, bukan sekadar menyatakan cadangan ada. Demonstrasi memperlihatkan berapa lama pemulihan, apakah data utuh, dan apakah tim vendor benar-benar paham langkahnya. Hasilnya dapat dijadikan bukti audit.

• Cadangan memiliki salinan terpisah dari jaringan utama.
• Pemulihan sudah diuji dalam beberapa bulan terakhir.
• Log akses aktif, jam sistem sinkron, dan log ditinjau.
• Urutan prioritas pemulihan sistem tertulis.

Bagian empat: insiden dan pelaporan

Menurut pemberitaan, insiden keamanan data wajib dilaporkan paling lambat 1x24 jam. Untuk data pribadi, menurut KRES.ID, PP 33/2026 menetapkan notifikasi tertulis paling lambat 3x24 jam. Persiapan prosedur menentukan apakah tenggat dapat dipenuhi.

Perhatikan kalimat pada jalur laporan: tenggat berbeda dapat berlaku untuk jenis data yang berbeda. Menetapkan tenggat terpendek sebagai patokan internal menyederhanakan kerja tim, lalu laporan dapat disesuaikan isinya untuk setiap penerima.

• Penanggung jawab dan penggantinya ditetapkan.
• Daftar kontak darurat tersedia dan mutakhir.
• Formulir laporan awal sudah disiapkan.
• Jalur laporan untuk data pribadi dan non-pribadi dibedakan.
• Simulasi insiden dilakukan secara berkala.

Bagian lima: vendor dan kedaulatan

Menurut pemberitaan, UU SDI menyebut audit kedaulatan data dan persetujuan DPR bagi akses atau transfer Data Tertutup ke luar yurisdiksi. Vendor dan layanan awan perlu diperiksa dari sudut pandang itu.

Beberapa vendor enggan membuka rincian lokasi data atau subpenyedia. Ini patut dicatat sebagai risiko. Bila vendor tidak transparan, instansi perlu mempertimbangkan alternatif atau menambah klausul kontrak yang mewajibkan keterbukaan.

• Lokasi data dan cadangan di vendor diketahui.
• Pemegang kunci enkripsi jelas.
• Subpenyedia dan akses dari luar negeri didata.
• Kontrak memuat pemberitahuan insiden dan pengembalian data.
• Hak audit atas vendor tercantum.

Bagian enam: manusia dan tata kelola

Keamanan bukan hanya teknologi. Pegawai perlu memahami aturan dan tahu apa yang harus dilakukan. Pimpinan perlu memantau risiko dan memastikan anggaran. Menurut pemberitaan, manajemen risiko adalah bagian tata kelola SDI.

Tambahkan jadwal pelatihan, pemantauan perkembangan aturan, dan penunjukan orang yang bertugas membaca naskah resmi serta aturan turunan begitu tersedia.

Setelah aturan resmi terbit

Ketika naskah resmi dan aturan turunan diumumkan, bandingkan daftar ini dengan kewajiban yang tertulis. Tambahkan butir yang kurang, hapus yang tidak relevan, dan perbarui tenggat. Tetapkan satu orang untuk memantau pengumuman lembaga yang menetapkan standar dan lembaga penyelenggara SDI.

Jika ada keraguan tentang kewajiban tertentu, minta pendapat penasihat hukum yang memahami bidang ini. Daftar periksa membantu membuat percakapan itu lebih terarah karena Anda sudah memiliki data tentang kondisi sistem dan bukti upaya yang telah dilakukan.

Contoh kasus

Contoh: Sebuah vendor kecil mengelola aplikasi untuk beberapa pemerintah desa. Pemilik memakai daftar periksa ini dan menemukan tiga kekurangan: akun bersama, cadangan belum pernah diuji, dan tidak ada prosedur lapor insiden. Dalam sebulan ia memperbaiki ketiganya, mencatat buktinya, dan menyiapkan jawaban bila klien meminta penjelasan keamanan.

Hal yang sering keliru

• Mengira daftar periksa ini sama dengan daftar resmi yang ditetapkan pemerintah.
• Mengira memenuhi semua butir otomatis menjamin kepatuhan hukum.
• Menunda semua pembenahan sampai aturan teknis terbit.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi (menurut KRES.ID)

Dalam kategori yang sama

• Checklist Persiapan Sebelum 16 Januari 2027: Kesiapan Usaha Menghadapi PP 33/2026
• Cookie dan Pelacak di Situs Web: Banner Persetujuan, Kapan Perlu, dan Kesiapan PP 33/2026
• Daftar Pertanyaan Warga untuk Wakil Rakyat dan Pemda tentang Pelaksanaan UU SDI

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.