Standar Keamanan Data dalam UU SDI: Peran Lembaga Siber dan Persandian

Apa yang dilaporkan tentang standar keamanan

Menurut pemberitaan, UU Satu Data Indonesia (SDI) memberi tugas kepada lembaga bidang siber dan persandian untuk menetapkan standar keamanan. Standar ini berlaku dalam pengelolaan data yang tercakup tata kelola SDI.

Pemberitaan tidak menyebut nama lembaga secara final. Kami juga belum menemukan isi teknis standar tersebut. Karena itu, uraian di bawah ini hanya menjelaskan arah umumnya, bukan bunyi pasal.

Sebagai pembaca, pegangan paling aman saat ini adalah membedakan tiga hal: apa yang sudah diberitakan, apa yang masih belum diketahui, dan apa yang hanya dugaan. Artikel ini berusaha menjaga ketiganya tetap terpisah agar tidak menimbulkan salah paham.

Mengapa standar keamanan perlu seragam

Satu Data Indonesia menghubungkan banyak sistem dari pusat sampai desa. Sistem yang terhubung hanya sekuat bagian yang paling lemah. Bila satu instansi kurang menjaga datanya, risikonya dapat merambat ke instansi lain.

Standar yang seragam membantu semua pihak memakai tolok ukur yang sama. Instansi kecil pun punya acuan jelas tentang apa yang harus dipenuhi, tidak hanya mengandalkan kebiasaan masing-masing.

Contoh dampaknya mudah dibayangkan. Tanpa standar bersama, satu dinas bisa mewajibkan sandi panjang, sedangkan dinas lain membiarkan sandi sederhana. Ketika kedua sistem saling terhubung, celah dinas kedua dapat dipakai untuk menyusup ke sistem pertama.

Unsur yang disebut dalam pemberitaan

Pemberitaan menyebut beberapa unsur keamanan yang berkaitan dengan UU SDI. Unsur-unsur ini dibahas lebih rinci pada artikel lain di klaster ini.

Dalam praktik, standar biasanya berisi persyaratan yang dapat diukur, misalnya cara mengelola akses, cara menyimpan data, dan cara memantau kejadian. Karena dapat diukur, standar mudah diaudit. Bentuk standar dalam UU SDI sendiri masih menunggu penjelasan resmi.

• Infrastruktur kriptografi, yaitu perangkat dan aturan untuk menyandikan data.
• Sertifikat digital, untuk memastikan identitas pihak dan sistem.
• Audit keamanan, untuk memeriksa apakah standar benar-benar dijalankan.
• Audit kedaulatan data, untuk memeriksa penguasaan dan lokasi data.

Siapa yang kemungkinan terdampak

Pihak yang paling jelas terdampak adalah pembina data, produsen data, wali data, dan pengguna data, yaitu peran yang diatur dalam tata kelola SDI. Mereka berada di kementerian, lembaga, pemerintah daerah, sampai pemerintah desa.

Pelaku usaha dapat ikut terdampak bila menjadi vendor, penyedia layanan, atau pengguna data pemerintah. Kontrak kerja sama dapat saja meminta penyedia memenuhi standar yang sama. Namun hal ini perlu dipastikan lewat aturan pelaksana.

Peran vendor patut diperhatikan. Banyak instansi memakai penyedia luar untuk membangun dan menjaga sistem. Instansi tetap perlu memastikan bahwa penyedia memahami standar dan mampu menunjukkan buktinya, sebab tanggung jawab atas data tidak otomatis berpindah ke penyedia.

Standar dan keamanan data pribadi

UU SDI menyentuh perlindungan data pribadi, tetapi sumber tidak menjelaskan hubungan rincinya. Data pribadi tetap memiliki rezim khusus melalui UU Pelindungan Data Pribadi dan peraturan pelaksananya.

Artinya, instansi dapat menghadapi dua lapis kewajiban sekaligus. Satu lapis berasal dari tata kelola data SDI, satu lapis lagi dari aturan data pribadi. Keduanya perlu dibaca berdampingan.

Perlu diingat pula bahwa data pribadi punya kewajiban sendiri. Misalnya, menurut pemberitaan tentang PP 33/2026, kebocoran data pribadi harus diberitahukan dalam waktu tiga kali dua puluh empat jam. Kewajiban ini berbeda dari kewajiban lapor insiden pada UU SDI.

Langkah praktis sambil menunggu aturan teknis

Menunggu standar resmi tidak berarti berhenti bekerja. Praktik dasar tetap berguna dan lazim dilakukan: mendata aset data, membatasi akses, mengenkripsi data penting, menyimpan cadangan, dan menyiapkan prosedur bila terjadi insiden.

Setelah standar resmi terbit, hasil pembenahan awal itu dapat dicocokkan dengan standar. Ini lebih murah daripada membangun dari nol di bawah tenggat.

Bagi pelaku usaha kecil, jangan menunggu aturan sempurna. Biaya membenahi dasar keamanan jauh lebih kecil daripada biaya menangani kebocoran. Mulai dari hal yang murah dan berdampak besar, seperti verifikasi dua langkah dan pembaruan perangkat lunak.

Sikap yang disarankan bagi pembaca

Sikap yang bijak adalah memantau tiga hal: terbitnya nomor dan naskah resmi, keluarnya peraturan pelaksana, dan pengumuman lembaga yang menetapkan standar. Tiga hal itu akan menentukan apa yang wajib dilakukan dan kapan.

Sambil menunggu, simpan catatan upaya keamanan yang sudah dilakukan. Catatan itu berguna sebagai bukti iktikad baik dan memudahkan penyesuaian ketika standar resmi sudah diketahui. Bila ragu tentang kewajiban tertentu, konsultasikan dengan penasihat hukum yang memahami bidang ini.

Contoh kasus

Contoh: Sebuah pemerintah desa memakai satu komputer bersama untuk menyimpan data penerima bantuan. Kata sandinya ditempel di meja dan tidak ada cadangan. Ketika standar keamanan resmi diumumkan, desa itu mulai dari yang paling sederhana: akun terpisah untuk tiap petugas, cadangan berkala, dan daftar siapa yang boleh membuka data.

Hal yang sering keliru

• Mengira standar keamanan sudah diumumkan lengkap; sumber kami belum memuat isi teknisnya.
• Mengira hanya instansi pusat yang perlu memperhatikan keamanan data.
• Mengira mematuhi UU SDI otomatis berarti sudah patuh pada aturan data pribadi.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Perpres 39 Tahun 2019 tentang Satu Data Indonesia (payung hukum sebelumnya)

Dalam kategori yang sama

• Startup Aplikasi dan PP 33/2026: Privasi Sejak Desain, DPIA, dan Kesiapan Menghadapi Investor
• Struktur UU Satu Data Indonesia: Garis Besar 20 Bab dan 141 Pasal
• Studi Kasus: Warga Tercatat Ganda Penerima Bantuan di Dua Daerah

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.