Kepatuhan Sistem Informasi Bukan Sekadar Daftar Regulasi

Kepatuhan Sistem Informasi Bukan Sekadar Daftar Regulasi

Tim HR, TI, legal, dan compliance sering berhadapan dengan situasi yang sama: daftar regulasi terus bertambah, tetapi belum jelas mana yang benar-benar berlaku bagi perusahaan. Setelah itu, muncul pekerjaan yang lebih rumit: menentukan kontrol yang harus dijalankan, dokumen yang perlu disimpan, dan bukti bahwa semua proses tersebut benar-benar berjalan.

Solusinya bukan membuat daftar regulasi sepanjang mungkin. Kepatuhan dan regulasi dalam pengelolaan sistem informasi perlu dimulai dari konteks perusahaan, lalu diterjemahkan menjadi kontrol, pemilik proses, bukti, dan pemeriksaan berkala. Dengan pendekatan ini, perusahaan tidak menganggap semua aturan berlaku universal, tetapi juga tidak melewatkan kewajiban yang relevan.

Mulai dari cakupan perusahaan, bukan dari daftar aturan

Sebelum mencari aturan, petakan dulu sistem informasi yang dikelola perusahaan. Empat pertanyaan berikut dapat membantu menyaring ruang lingkup awal:

• Data apa yang diproses? Petakan data pribadi, informasi pembayaran, data karyawan, data pelanggan, atau informasi lain yang bersifat sensitif.

• Sektor apa yang dijalankan? Perusahaan teknologi, lembaga keuangan, layanan kesehatan, dan sektor lain dapat memiliki persyaratan sektoral yang berbeda.

• Di wilayah mana perusahaan beroperasi? Lokasi perusahaan, pelanggan, subjek data, dan penyedia layanan dapat memengaruhi aturan yang perlu diperiksa.

• Layanan dan aktivitas apa yang digunakan? Perhatikan penggunaan cloud, pemrosesan pembayaran, pengelolaan identitas, layanan pihak ketiga, serta akses lintas negara.

Hasil awal yang dibutuhkan bukan opini hukum, melainkan inventaris yang bisa ditinjau bersama. Isinya dapat mencakup daftar sistem, jenis data di dalamnya, pemilik sistem, pihak yang memiliki akses, penyedia layanan yang terlibat, serta aktivitas pemrosesan utama.

Kesalahan yang sering terjadi di lapangan adalah membeli alat keamanan atau menulis kebijakan sebelum mengetahui sistem mana yang paling kritis. Kontrol yang baik harus menjawab risiko dan kewajiban tertentu, bukan sekadar membuat dokumen terlihat lengkap.

Aturan mana yang relevan bagi perusahaan?

Untuk perusahaan di Indonesia, Undang-Undang Perlindungan Data Pribadi (UU PDP) No. 27 Tahun 2022 merupakan titik pemeriksaan penting ketika perusahaan memproses data pribadi. Cakupan dan kewajiban yang relevan tetap perlu dibaca dari teks serta sumber resmi, sesuai peran perusahaan dan aktivitas pemrosesannya.

Peraturan Bank Indonesia (BI), peraturan Otoritas Jasa Keuangan (OJK), dan peraturan Kominfo juga perlu diperiksa bila perusahaan bergerak pada sektor, layanan, atau aktivitas yang berada dalam cakupan aturan tersebut. Menyebut nama lembaganya saja belum cukup untuk menyimpulkan bahwa seluruh ketentuannya berlaku bagi setiap perusahaan.

Sumber aturan atau standar	Kapan perlu diperiksa	Contoh area kontrol	Bukti yang mungkin disiapkan
UU PDP No. 27 Tahun 2022	Ketika perusahaan memproses data pribadi dalam aktivitas bisnisnya	Pengelolaan akses, pengamanan data, pencatatan aktivitas, penanganan insiden, dan dokumentasi sesuai kewajiban yang relevan	Inventaris data, matriks akses, prosedur, catatan aktivitas, dan hasil pengujian
Peraturan BI atau OJK	Ketika perusahaan termasuk sektor atau layanan yang berada dalam cakupan aturan terkait	Pengelolaan risiko, keamanan sistem, identitas, pemantauan, dan pemeriksaan sesuai persyaratan yang berlaku	Kebijakan, laporan pemantauan, hasil audit, dan catatan tindak lanjut
Peraturan Kominfo	Ketika aktivitas, layanan, atau pemrosesan perusahaan berada dalam cakupan peraturan yang relevan	Kontrol tata kelola, keamanan, dan pengelolaan informasi sesuai ketentuan yang telah diverifikasi	Dokumen tata kelola, prosedur, catatan pelaksanaan, dan bukti pemeriksaan
GDPR	Ketika aktivitas perusahaan masuk dalam cakupan wilayah dan pemrosesan data yang diatur GDPR	Area privasi, pengelolaan data, hak subjek data, dan keamanan sesuai ketentuan yang berlaku	Catatan pemrosesan, kebijakan, prosedur, dan bukti kontrol yang relevan
CCPA atau HIPAA	Hanya jika hubungan bisnis, wilayah, jenis data, atau sektor perusahaan memenuhi kondisi penerapannya	Kontrol privasi atau informasi kesehatan sesuai cakupan aturan masing-masing	Dokumen dan catatan yang disyaratkan setelah cakupan diverifikasi
PCI DSS	Ketika perusahaan menyimpan, memproses, atau menangani informasi pembayaran dalam cakupan standar tersebut	Perlindungan data pembayaran, pengelolaan identitas, pemantauan keamanan, dan pengujian	Konfigurasi, log, hasil pengujian, catatan pelatihan, dan laporan pemeriksaan
COBIT	Ketika perusahaan membutuhkan framework tata kelola dan pemetaan kontrol	Pengelolaan risiko TI, akuntabilitas, proses pengendalian, dan pemantauan	Rancangan kontrol, pemetaan proses, hasil evaluasi, dan rencana perbaikan

Tabel tersebut berfungsi sebagai peta awal, bukan penetapan cakupan hukum. GDPR, CCPA, HIPAA, dan PCI DSS tidak otomatis menjadi kewajiban semua perusahaan Indonesia. Begitu pula COBIT: framework ini membantu tata kelola dan pemetaan kontrol, tetapi bukan pengganti regulasi yang mengikat.

Terjemahkan kewajiban menjadi kontrol yang jelas

Bahasa regulasi biasanya bersifat umum, sedangkan pekerjaan perusahaan harus konkret. Karena itu, setiap kewajiban perlu diterjemahkan menjadi empat hal: kontrol yang dilakukan, pemilik proses, sistem atau data yang dicakup, dan bukti yang dihasilkan.

Kontrol yang dipertimbangkan dapat mencakup pengelolaan akses berbasis kebutuhan, multi-factor authentication (MFA), pengamanan atau enkripsi data, pencatatan aktivitas, pemantauan keamanan, prosedur penanganan insiden, penetration testing (pentest), pelatihan, serta audit internal. Tidak semua kontrol harus diterapkan dengan cara atau tingkat yang sama. Pilihan akhirnya bergantung pada risiko, jenis data, arsitektur sistem, dan kewajiban yang telah diverifikasi.

Contoh ilustratif: sebuah perusahaan di Indonesia menyimpan data pribadi pelanggan dalam sistem internal. Akses diberikan kepada tim operasional dan penyedia layanan TI. Perusahaan dapat memulai dengan menginventarisasi jenis data serta pihak yang memiliki akses, kemudian memetakan kewajiban perlindungan data ke beberapa kontrol berikut:

• akses hanya diberikan kepada pihak yang membutuhkannya untuk pekerjaan;

• aktivitas akses dicatat dan dapat ditinjau;

• data diamankan sesuai kebutuhan dan risiko sistem;

• tersedia prosedur penanganan insiden;

• personel yang relevan menerima pelatihan;

• pelaksanaan kontrol didokumentasikan dan diuji.

Pemetaan ini belum membuktikan perusahaan telah patuh. Namun, langkah tersebut mengubah kewajiban yang abstrak menjadi daftar pekerjaan yang dapat diberikan kepada pemilik sistem, tim keamanan, HR, legal, compliance, dan manajemen.

Dokumen saja belum cukup menjadi bukti kepatuhan

Kebijakan menjelaskan apa yang seharusnya dilakukan. Bukti operasional menunjukkan apakah hal itu benar-benar dilakukan dan diperiksa. Keduanya perlu dipisahkan agar perusahaan tidak menganggap dokumen yang telah disahkan sebagai bukti bahwa kontrol berjalan.

Satu siklus penilaian dapat disusun dengan urutan berikut:

1. Inventarisasi kewajiban: catat aturan atau standar yang mungkin relevan dan alasan penerapannya.

2. Analisis kesenjangan: bandingkan persyaratan dengan kontrol dan dokumen yang saat ini tersedia.

3. Penetapan kontrol: tentukan tindakan, pemilik proses, ruang lingkup sistem, dan cara pengujiannya.

4. Dokumentasi bukti: simpan bukti pelaksanaan secara teratur dan dapat ditelusuri.

5. Pengujian: periksa apakah kontrol berjalan sesuai rancangan, bukan hanya apakah kebijakannya ada.

6. Perbaikan: catat temuan, tetapkan tindak lanjut, dan tinjau kembali kontrol pada jadwal yang sesuai.

Contoh bukti yang mungkin dibutuhkan antara lain daftar sistem dan data, matriks akses, catatan perubahan hak akses, catatan aktivitas, prosedur insiden, materi pelatihan, hasil pengujian, laporan pentest bila relevan, serta catatan tindak lanjut. Jenis bukti dan kedalamannya tetap perlu disesuaikan dengan kewajiban dan risiko perusahaan.

Coba gunakan sudut pandang pemeriksaan sederhana: siapa pemilik bukti ini, kapan terakhir diperbarui, sistem apa yang dicakup, dan temuan apa yang belum ditutup? Pertanyaan tersebut sering lebih berguna daripada terus menambah panjang daftar kebijakan.

Risiko muncul ketika kontrol hanya ada di atas kertas

Risiko ketidakpatuhan biasanya muncul dalam beberapa bentuk yang saling berhubungan:

• Risiko hukum: perusahaan dapat menghadapi konsekuensi berdasarkan regulasi, sektor, wilayah, jenis pelanggaran, dan fakta kasus yang berlaku.

• Risiko keamanan: akses berlebihan, pencatatan yang lemah, atau pengamanan data yang tidak memadai dapat memperbesar dampak insiden.

• Risiko operasional: sistem dapat terganggu, proses pemulihan melambat, dan tim kesulitan mengetahui apa yang terjadi karena bukti tidak tersedia.

• Risiko reputasi: pelanggan, mitra, dan karyawan dapat kehilangan kepercayaan ketika perusahaan tidak mampu menjelaskan cara mengelola informasi.

Konsekuensi hukum tidak dapat disamaratakan untuk semua perusahaan. Cakupan wilayah, sektor, jenis data, aturan yang berlaku, bentuk pelanggaran, serta fakta kasus dapat mengubah kewajiban dan dampaknya. Rincian sanksi, tenggat pelaporan, lembaga pengawas, dan kewajiban penanganan insiden perlu diverifikasi melalui sumber resmi atau penasihat hukum yang kompeten.

Mulai dari sistem dan data yang paling kritis

Perusahaan yang baru memulai tidak perlu menunggu sampai seluruh sistem siap diaudit. Mulailah dari sistem dan data yang paling kritis menurut penilaian risiko internal, lalu hasilkan artefak kerja yang dapat ditinjau manajemen.

Setidaknya, penilaian awal sebaiknya menghasilkan:

• daftar sistem, data, pihak yang memiliki akses, dan penyedia layanan terkait;

• daftar aturan atau standar yang perlu diverifikasi beserta alasan relevansinya;

• pemetaan kewajiban ke kontrol dan pemilik proses;

• daftar bukti yang sudah tersedia dan bukti yang belum ada;

• kesenjangan, prioritas perbaikan, serta jadwal pemeriksaan berikutnya.

Libatkan fungsi yang memang memegang prosesnya. TI dan keamanan memahami sistem serta kontrol teknis; HR dapat membantu aspek akses dan pelatihan; legal atau compliance menilai cakupan aturan; sementara manajemen menetapkan prioritas dan menerima risiko yang tersisa.

Kepatuhan sistem informasi bukan proyek yang selesai ketika satu kebijakan disetujui atau satu audit berakhir. Ini adalah kebiasaan menerjemahkan kewajiban menjadi kontrol, menyimpan bukti, menguji pelaksanaan, dan memperbaiki celah ketika konteks bisnis berubah. Gunakan artikel ini sebagai peta awal, lalu verifikasi aturan dan kewajiban spesifik pada sumber resmi sebelum menetapkan keputusan perusahaan.