Menyiapkan pelindungan Infrastruktur Informasi Vital

Tidak setiap sistem penting otomatis berstatus IIV

Perpres 82/2022 membahas Infrastruktur Informasi Vital atau IIV. Konteksnya adalah sistem pada sektor strategis yang gangguannya dapat berdampak serius terhadap kepentingan umum, layanan publik, pertahanan/keamanan, atau perekonomian nasional.

Pasal 4 memuat sektor IIV. Pasal 6 mengatur identifikasi oleh penyelenggara sistem elektronik dalam lingkup sektor tersebut, pelaporan, verifikasi, dan penetapan oleh kementerian/lembaga. Bedakan keberadaan dalam sektor, hasil identifikasi, dan penetapan sistem serta penyelenggaranya.

Mulai dari pemetaan layanan dan dampak

Pasal 6 mengatur identifikasi berkala paling sedikit sekali setahun bagi subjek yang dicakup. Untuk menyiapkan pemeriksaan, petakan layanan utama, pengguna terdampak, sistem, ketergantungan, serta akibat jika layanan gagal. Ikuti metode dan proses sektor yang berlaku; panduan ini bukan formulir penetapan IIV.

Peta kerja	Pertanyaan
Layanan	Pelayanan penting apa yang ditopang sistem?
Ketergantungan	Sistem TI/operasional, jaringan, listrik, penyedia, dan integrasi apa yang dibutuhkan?
Dampak	Siapa terdampak dan bagaimana gangguan merambat?
Status	Dokumen identifikasi, verifikasi, atau penetapan apa yang sudah tersedia?
Koordinasi	Siapa otoritas sektor dan kontak penanganan insiden?

Siapkan pengelolaan setelah lingkup jelas

Pasal 9–10 mengatur pelindungan, standar, dan manajemen risiko bagi penyelenggara IIV. Tautkan risiko dengan pengendalian yang benar-benar berjalan, bukti pemeriksaan, rencana pemulihan, dan pemilik keputusan.

Sistem teknologi operasional dapat mempunyai batas keselamatan serta ketersediaan yang berbeda dari aplikasi web. Jangan menerapkan pemindaian atau perubahan produksi tanpa pemeriksaan dampak dan otorisasi.

Bedakan jalur pelaporan

Perpres memuat koordinasi insiden melalui tim organisasi, sektoral, dan nasional. Pasal 13 mencantumkan pelaporan insiden IIV paling lambat 1 × 24 jam setelah ditemukan, sesuai lingkupnya. Jangan menyamakannya dengan pemberitahuan kegagalan pelindungan data pribadi atau kewajiban sektor lain; beberapa kewajiban dapat berjalan bersamaan.

Contoh persiapan internal

Contoh fiktif: pengelola layanan penting menemukan satu koneksi penyedia menjadi titik kegagalan. Tim mencatat dampak lintas layanan, menguji rencana komunikasi, dan menyiapkan alternatif yang telah disetujui. Hasil dipakai untuk pemeriksaan sektor, bukan diumumkan sebagai penetapan IIV oleh perusahaan sendiri.

Baca keamanan sistem sektoral dan persiapan CSIRT. Penetapan serta rincian pelaksanaan memerlukan aturan BSSN dan sektor terkait di luar pengantar ini.