Rencana Tanggap Insiden Kebocoran Data: Persiapan agar Siap Lapor 3x24 Jam

Mengapa perlu rencana

Dalam 3x24 jam, organisasi harus menemukan masalah, menilai dampak, dan memberi tahu pihak terkait. Tanpa rencana, waktu habis untuk mencari tahu siapa yang harus berbuat apa.

Rencana tertulis memangkas kebingungan saat tekanan tinggi, dan membantu organisasi menunjukkan kesiapan bila ditanya. Insiden bisa terjadi pada akhir pekan atau tengah malam. Rencana yang hanya berjalan pada jam kerja biasa tidak banyak membantu dalam batas 3x24 jam.

Selain itu, rencana yang tertulis memudahkan pemeriksaan oleh auditor, mitra bisnis, dan kelak Lembaga, karena memperlihatkan bahwa organisasi telah memikirkan risiko secara serius.

Susun tim dan peran

Tentukan siapa yang memimpin penanganan, siapa yang menyelidiki teknis, siapa yang menilai hukum, dan siapa yang berkomunikasi dengan korban. Catat nama dan pengganti.

Libatkan pejabat PDP atau penanggung jawab pelindungan data sejak awal. Pastikan pimpinan dapat dihubungi setiap saat. Rencana sebaiknya menyebut siapa yang berwenang mengambil keputusan penting bila pimpinan tidak dapat dihubungi, supaya tidak ada waktu terbuang.

Latih juga pengganti masing-masing peran, karena orang yang bertugas bisa saja sedang cuti atau tidak bisa dihubungi saat insiden terjadi. Dokumen rencana tidak perlu sempurna pada percobaan pertama. Mulai dari versi sederhana, uji, lalu perbaiki berdasarkan pengalaman nyata maupun simulasi.

Isi rencana

Rencana yang baik memuat unsur berikut. Daftar ini praktik umum.

Rencana yang terlalu panjang jarang dibaca. Buat versi ringkas satu halaman untuk dipakai saat darurat, dan versi lengkap sebagai rujukan.

Daftar ini bisa disesuaikan dengan ukuran organisasi. Usaha kecil cukup membuat versi ringkas, asalkan peran dan kontaknya jelas.

• Cara mengenali dan melaporkan insiden secara internal.
• Langkah mengisolasi sistem dan menyimpan bukti.
• Cara menilai data dan korban yang terdampak.
• Templat notifikasi dan daftar penerima.
• Kontak vendor, penyedia layanan, dan penasihat hukum.
• Daftar saluran komunikasi cadangan.

Jam pertama dan hari pertama

Pada jam pertama, catat waktu penemuan dan hentikan kebocoran. Pada hari pertama, kumpulkan fakta awal dan putuskan apakah notifikasi dan pengumuman diperlukan.

Kewajiban pengumuman publik menurut Pasal 115 berlaku bila pelayanan publik terganggu atau dampak serius. Nilai kondisi ini lebih awal. Dalam hal pengumuman publik, siapkan pula juru bicara dan pesan kunci yang konsisten supaya tidak ada informasi bertentangan beredar.

Waktu 3x24 jam sebaiknya dianggap batas akhir, bukan target. Semakin cepat korban diberi tahu, semakin cepat mereka dapat melindungi dirinya.

Menyusun notifikasi

Notifikasi sebaiknya tertulis, jelas, dan jujur. Sampaikan apa yang terjadi, data apa yang terdampak, apa yang telah dilakukan, dan apa yang dapat dilakukan penerima.

Isi minimal menurut PP belum kami temukan, sehingga templat perlu dicocokkan dengan naskah resmi. Gunakan kalimat pendek dan tanpa istilah teknis berlebihan, karena penerima notifikasi umumnya orang awam.

Kirim notifikasi lewat saluran yang benar-benar dibaca korban, misalnya surel dan pesan aplikasi, dan hindari tautan yang mirip pesan penipuan.

Latihan dan evaluasi

Latih rencana minimal setahun sekali lewat simulasi. Ujilah apakah kontak masih benar dan apakah tim dapat menyelesaikan notifikasi dalam waktu singkat.

Setelah insiden atau latihan, evaluasi dan perbarui rencana. Catat pelajaran dan perubahan yang dilakukan. Sertakan pula bagian untuk mencatat hasil evaluasi: apa yang berjalan baik, apa yang gagal, dan siapa yang bertanggung jawab memperbaikinya.

Simulasi juga membantu mengenali bagian prosedur yang tidak realistis, sehingga dapat diperbaiki sebelum insiden sungguhan terjadi.

Vendor dan Lembaga

Pastikan kontrak dengan vendor mewajibkan pelaporan cepat. Untuk Lembaga yang belum terbentuk, siapkan catatan upaya melapor dan pantau jalur resmi ketika sudah ditetapkan.

Rencana juga perlu menyebut bagaimana memenuhi kewajiban hukum lain, seperti pelaporan kepada regulator sektor bila ada.

Jangan lupa kewajiban lain yang mungkin berlaku, misalnya kepada regulator sektor, penyedia asuransi siber, atau mitra bisnis. Pantau pula perkembangan aturan lembaga agar rencana dapat segera disesuaikan dengan tata cara pelaporan yang baru.

Contoh kasus

Contoh: Sebuah perusahaan asuransi kecil menyusun rencana tanggap insiden setebal tiga halaman. Isinya daftar tim beserta pengganti, langkah isolasi server, templat notifikasi, dan kontak vendor. Sebulan kemudian mereka menggelar simulasi: karyawan menerima surel pancingan dan data pelanggan dianggap bocor. Simulasi menunjukkan waktu notifikasi memakan dua hari karena persetujuan berlapis. Perusahaan lalu menyederhanakan alur persetujuan dan menunjuk wakil yang berwenang memutuskan saat pimpinan tidak ada. Mereka mencatat pelajaran dari simulasi itu dalam laporan singkat untuk direksi. Mereka mengulang simulasi setiap enam bulan dan memperbarui daftar kontak pada setiap perubahan staf. Setelah simulasi, perusahaan menetapkan bahwa notifikasi pertama harus siap dikirim paling lambat pada hari kedua untuk memberi ruang bila ada kendala.

Hal yang sering keliru

• Mengira rencana tanggap hanya urusan tim teknologi informasi, padahal hukum, humas, dan pimpinan harus terlibat.
• Mengira rencana cukup disimpan di laci, padahal harus dilatih agar berfungsi saat darurat.
• Mengira kebocoran hanya akibat peretasan, padahal salah kirim dan perangkat hilang juga dapat tergolong insiden.

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 114 dan Pasal 115 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• Retensi Data Pribadi: Berapa Lama Usaha Boleh Menyimpan Data Pelanggan?
• Ringkasan PP 33/2026 tentang Pelindungan Data Pribadi: Isi Pokok dan Kewajiban Inti
• RoPA atau Catatan Pemrosesan Data Pribadi: Apa Itu dan 13 Muatan Minimal Menurut PP 33/2026

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.