Contoh Kebijakan Penggunaan Aset dan Sistem IT Perusahaan dan Cara Mengisinya

Apa itu kebijakan penggunaan aset dan sistem TI dan kapan dipakai

Kebijakan penggunaan aset dan sistem teknologi informasi, sering disebut acceptable use policy, mengatur cara pekerja memakai perangkat dan sistem perusahaan: laptop, ponsel, surel, aplikasi, layanan awan, dan akses jaringan. Kebijakan ini juga mengatur keamanan akun, pemantauan, perangkat pribadi, dan apa yang terjadi bila perangkat hilang atau pekerja keluar.

Hampir semua kebocoran data dan serangan siber melibatkan kelalaian manusia: kata sandi lemah, tautan phishing, atau data dikirim ke surel pribadi. Kebijakan tertulis memberi pedoman yang jelas dan menjadi dasar bila perusahaan perlu menjatuhkan sanksi atau membuktikan telah mengambil langkah pengamanan.

Pakai kebijakan ini saat pekerja menerima perangkat, saat perusahaan mulai memakai layanan baru seperti kecerdasan artifisial generatif, dan saat menyusun prosedur exit clearance.

Dasar hukum dalam bahasa sehari-hari

• Pelindungan data pribadi. UU 27/2022 mewajibkan pengendali data memproses data secara sah, terbatas, dan aman, serta memberitahukan kegagalan pelindungan data kepada subjek data dan lembaga yang berwenang dalam tenggat tertentu. Pemantauan pekerja juga merupakan pemrosesan data pribadi.
• Sistem elektronik. UU ITE (UU 11/2008 sebagaimana diubah terakhir dengan UU 1/2024) dan PP 71/2019 mengatur penyelenggaraan sistem elektronik, termasuk kewajiban menjaga keandalan dan keamanannya, serta melarang akses ilegal.
• Hak cipta. UU 28/2014 melindungi program komputer. Memakai perangkat lunak tanpa lisensi untuk kepentingan komersial dapat berujung tuntutan pidana dan gugatan ganti rugi.
• Ketenagakerjaan. Sanksi disiplin mengikuti PP/PKB dan prosedur dalam UU Ketenagakerjaan serta PP 35/2021. Ganti rugi atas kerusakan aset melalui pemotongan upah dibatasi PP 36/2021.

Isi penting yang wajib ada

• Ruang lingkup pengguna, termasuk kontraktor dan peserta magang.
• Kepemilikan aset dan data.
• Serah terima aset dengan nomor seri dan kondisi.
• Penggunaan yang diizinkan, penggunaan pribadi terbatas, dan penggunaan yang dilarang.
• Aturan layanan AI generatif dan layanan daring lain.
• Kata sandi, MFA, dan peninjauan hak akses.
• Larangan perangkat lunak bajakan dan inventarisasi lisensi.
• Bentuk pemantauan yang diterapkan dan batasnya.
• Syarat BYOD dan penghapusan data kerja dari jarak jauh.
• Klasifikasi informasi.
• Pelaporan insiden keamanan dan kegagalan pelindungan data pribadi.
• Kehilangan, kerusakan, pengembalian aset, penutupan akun, dan sanksi.

Cara mengisi langkah demi langkah

1. Inventarisasi aset dan sistem. Catat perangkat dan aplikasi yang benar-benar dipakai.
2. Tentukan layanan yang disetujui. Termasuk penyimpanan awan dan layanan AI. Bila belum ada, tulis "belum ada" dan larang memasukkan data rahasia.
3. Tetapkan standar kata sandi dan MFA. Isi sistem mana saja yang wajib MFA. Pastikan kontrol itu memang sudah aktif.
4. Tulis jenis pemantauan apa adanya. Misalnya log akses dan penyaringan surel. Jangan menyembunyikan pemantauan yang ada.
5. Tetapkan penyetuju akses isi surel. Misalnya direktur bersama petugas pelindungan data pribadi.
6. Atur BYOD. Tentukan sistem yang boleh diakses dari perangkat pribadi dan apakah ada tunjangan.
7. Isi saluran pelaporan insiden. Cantumkan nomor atau surel yang aktif 24 jam bila memungkinkan.
8. Siapkan lampiran. Pernyataan penerimaan aset ditandatangani saat perangkat diserahkan.

Kesalahan yang sering terjadi

• Memantau diam-diam. Pemantauan tanpa pemberitahuan berisiko melanggar UU 27/2022 dan melemahkan bukti dalam perselisihan.
• Berbagi akun antarpegawai. Jejak audit menjadi tidak berguna saat terjadi insiden.
• Tidak menutup akses saat pekerja keluar. Akun mantan pegawai yang masih aktif adalah celah keamanan besar.
• Menahan ijazah atau upah sampai laptop dikembalikan. Pakai berita acara serah terima dan mekanisme yang sah, bukan penahanan hak normatif.
• Membebankan seluruh harga laptop baru. Ganti rugi hanya bila ada kesengajaan atau kelalaian, dan pemotongan upah dibatasi.

Contoh singkat

Kerangka ringkas berikut hanya ilustrasi. Template lengkap memuat 16 pasal dan pernyataan penerimaan aset.

• Kata sandi: paling sedikit [....] karakter; MFA wajib untuk [....].
• Perangkat lunak: hanya yang berlisensi dan disetujui Unit TI.
• Pemantauan: [jenis pemantauan], diberitahukan kepada pengguna; tidak mengaktifkan kamera secara diam-diam.
• BYOD: hanya untuk [....] dengan aplikasi pemisah data kerja.
• Insiden: lapor ke [....] paling lambat [....] jam.
• Keluar: aset dikembalikan dan akun ditutup pada hari kerja terakhir.

Pertanyaan yang sering diajukan

Bolehkah perusahaan membaca surel kerja pegawai?

Boleh untuk tujuan yang sah, seperti keamanan atau investigasi, bila sudah diberitahukan dalam kebijakan, disetujui pejabat yang berwenang, terbatas pada data yang relevan, dan dicatat. Akun dan perangkat pribadi sebaiknya tidak dipantau.

Apakah pegawai boleh memakai ChatGPT atau layanan AI lain?

Tergantung kebijakan perusahaan. Yang terpenting, data rahasia, kode sumber, dan data pribadi tidak dimasukkan ke layanan yang tidak disetujui perusahaan.

Siapa yang menanggung laptop yang hilang?

Perusahaan, kecuali terbukti hilang karena kesengajaan atau kelalaian pengguna. Bahkan dalam hal itu, besarnya ganti rugi dan cara pemotongan upah harus sesuai PP 36/2021 dan PP/PKB.

Apa yang harus dilakukan bila terlanjur mengklik tautan phishing?

Segera laporkan ke Unit TI dan ikuti instruksinya. Pelaporan cepat sangat menentukan, dan kebijakan ini menegaskan pelapor tidak dihukum semata-mata karena melapor.

Dasar hukum

• UU 27/2022 tentang Pelindungan Data Pribadi
• UU 11/2008 tentang ITE sebagaimana diubah terakhir dengan UU 1/2024
• PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik
• UU 28/2014 tentang Hak Cipta
• UU 13/2003 tentang Ketenagakerjaan jo. UU 6/2023
• PP 36/2021 tentang Pengupahan jo. PP 51/2023

Dalam kategori yang sama

• Contoh Formulir Serah Terima Aset dan Exit Clearance dan Cara Mengisinya
• Contoh Gugatan Perselisihan Hubungan Industrial (PHI) dan Cara Mengisinya
• Contoh Jawaban Gugatan PHI oleh Pengusaha dan Cara Mengisinya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.