Manajemen Risiko dalam Tata Kelola UU SDI: Cara Menilai dan Mengendalikan Risiko Data

Apa yang disebut pemberitaan

Menurut pemberitaan, tata kelola Satu Data Indonesia (SDI) meliputi Rencana Induk SDI, Arsitektur SDI, Manajemen SDI, dan Siklus SDI, serta peran pembina data, produsen data, wali data, dan pengguna data. Manajemen risiko juga disebut sebagai bagian tata kelola.

Sumber kami tidak menjelaskan bentuknya, misalnya apakah ada dokumen wajib, standar penilaian, atau laporan berkala. Penulis karena itu hanya menjelaskan konsep umum manajemen risiko agar pembaca dapat bersiap.

Dalam tata kelola yang berjenjang dari pusat sampai desa, tanggung jawab risiko juga berjenjang. Produsen data memahami datanya, wali data mengoordinasikan, dan pembina data menetapkan arah. Pembagian tugas yang jelas mencegah risiko jatuh di antara celah.

Arti risiko data

Risiko adalah kemungkinan sesuatu yang buruk terjadi dikalikan dengan seberapa parah dampaknya. Risiko data bisa berupa kebocoran, perubahan data tanpa izin, kehilangan data, atau sistem tidak dapat dipakai.

Dua hal diukur: seberapa mungkin kejadian itu terjadi, dan seberapa besar kerugiannya. Risiko yang mungkin terjadi dan dampaknya besar harus ditangani lebih dulu daripada risiko yang jarang dan dampaknya kecil.

Penilaian risiko sebaiknya melibatkan orang yang memahami pekerjaan sehari-hari, bukan hanya tim teknologi informasi. Petugas lapangan sering tahu kebiasaan berisiko, misalnya berkas dikirim lewat aplikasi pesan pribadi, yang tidak tampak dari ruang server.

Empat langkah dasar

Manajemen risiko umumnya berjalan dalam siklus berulang. Daftar berikut adalah praktik umum, bukan ketentuan resmi UU SDI.

Pada tahap pertama, jangan terlalu rumit. Daftar sepuluh risiko terbesar dengan penanggung jawab dan tenggat sudah lebih baik daripada dokumen tebal yang tidak dibaca siapa pun. Kerumitan dapat ditambah ketika organisasi sudah terbiasa.

• Identifikasi: data apa yang dimiliki dan apa ancamannya.
• Penilaian: seberapa mungkin dan seberapa parah dampaknya.
• Penanganan: kurangi, alihkan, terima, atau hindari risiko.
• Pemantauan: tinjau berkala karena risiko terus berubah.

Matriks risiko sederhana

Alat yang mudah dipakai adalah matriks dua sumbu: kemungkinan dan dampak, masing-masing rendah, sedang, tinggi. Tiap risiko diletakkan pada kotak yang sesuai. Risiko di sudut tinggi-tinggi menjadi prioritas utama.

Contoh risiko untuk dinas daerah: akun pegawai yang sudah pindah tugas masih aktif, cadangan tidak pernah diuji, atau server memakai perangkat lunak lama. Dengan matriks, pimpinan melihat mana yang perlu anggaran dan tindakan lebih dulu.

Pilihan mengalihkan risiko lewat kontrak perlu hati-hati. Menyerahkan pengelolaan data kepada vendor tidak menghapus tanggung jawab instansi atas data itu. Kontrak yang baik memuat kewajiban keamanan, pelaporan insiden, dan hak audit bagi instansi.

Penanganan risiko

Setelah dinilai, risiko ditangani. Mengurangi risiko, misalnya dengan enkripsi dan pembatasan akses. Mengalihkan risiko, misalnya lewat kontrak atau asuransi. Menerima risiko kecil secara sadar. Atau menghindari risiko dengan tidak memproses data tertentu.

Pilihan harus dicatat beserta alasannya. Catatan ini membantu audit dan menunjukkan bahwa keputusan diambil secara sadar, bukan karena kelalaian. Pimpinan sebaiknya menandatangani penerimaan risiko yang besar.

Pemantauan risiko mencakup indikator sederhana, misalnya jumlah akun tidak aktif, tanggal cadangan terakhir yang berhasil diuji, dan jumlah pembaruan keamanan yang tertunda. Indikator membuat pimpinan dapat memantau tanpa harus memahami detail teknis.

Risiko dari rantai pihak lain

Instansi tidak hanya menanggung risiko dari sistemnya sendiri. Vendor, penyedia awan, dan instansi lain yang terhubung dapat membawa risiko. Karena SDI mengutamakan interoperabilitas, risiko di satu titik dapat merambat ke titik lain.

Maka penilaian risiko perlu mencakup pihak ketiga: apakah mereka punya kontrol keamanan, apakah memberi tahu bila insiden terjadi, dan apakah data dapat dikembalikan. Pertanyaan ini sejalan dengan semangat audit keamanan dan audit kedaulatan data.

Risiko juga dapat berasal dari pemanfaatan AI. Menurut pemberitaan, Menteri Bappenas mengingatkan agar pemanfaatan data dan AI tidak menimbulkan bias algoritma atau diskriminasi baru. Ini perlu dimasukkan sebagai bagian penilaian risiko sistem pengambilan keputusan.

Kaitan dengan kepatuhan

Manajemen risiko membantu kepatuhan karena memberi alasan di balik setiap kontrol. Ketika standar keamanan resmi terbit, instansi yang sudah menilai risikonya dapat memetakan kontrol yang ada terhadap standar dan menutup kekurangannya.

Namun jangan menganggap penilaian internal menggantikan kewajiban hukum. Kewajiban dalam UU SDI dan aturan data pribadi tetap harus dipenuhi, apa pun hasil penilaian risiko internal.

Dengan begitu, manajemen risiko menjadi kebiasaan kerja, bukan beban administrasi tahunan.

Tinjau hasilnya bersama pimpinan secara berkala.

Contoh kasus

Contoh: Sebuah pemerintah desa mendata risikonya. Ditemukan bahwa data penerima bantuan hanya ada di satu komputer tanpa cadangan, kemungkinan rusak sedang, dampaknya tinggi. Desa memprioritaskan cadangan berkala dan akun terpisah, sedangkan risiko kecil seperti perubahan tampilan situs dicatat dan diterima. Tinjauan diulang setiap enam bulan.

Hal yang sering keliru

• Mengira manajemen risiko hanya dokumen yang dibuat sekali.
• Mengira semua risiko harus dihilangkan, padahal ada yang diterima secara sadar.
• Mengira bentuk manajemen risiko wajib dalam UU SDI sudah dijelaskan secara rinci.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Perpres 39 Tahun 2019 tentang Satu Data Indonesia

Dalam kategori yang sama

• Masa Transisi dari Perpres 39/2019 ke UU Satu Data Indonesia: Apa yang Perlu Diperhatikan?
• Mediasi Sengketa UU Satu Data: 14 Hari Kerja dan Perpanjangan 14 Hari Kerja
• Menarik Persetujuan Data Pribadi: Langkah di Pengaturan, Surat Penarikan, dan Akibatnya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.