Cara menyiapkan penanganan insiden data pribadi

Apa yang termasuk kegagalan pelindungan data?

Insiden data pribadi tidak selalu berupa daftar pelanggan yang tersebar di internet. Penjelasan Pasal 46 UU PDP mencakup kegagalan menjaga kerahasiaan, keutuhan, dan ketersediaan data, termasuk kerusakan, kehilangan, perubahan, pengungkapan, atau akses tanpa hak.

Kesalahan mengirim berkas ke penerima lain atau hilangnya akses akibat serangan dapat memerlukan penilaian. Sebaliknya, sebuah peringatan teknis belum otomatis membuktikan kebocoran. Tim perlu memeriksa fakta dan mendokumentasikan hasilnya.

Bagi tugas sejak awal agar penanganan teknis dan penilaian kewajiban tidak saling menunggu.

Batasi dampak

Amankan sistem

Batasi akses atau layanan yang terdampak sesuai kewenangan tim.

Jaga bukti

Simpan log, kronologi, dan bukti sebelum perubahan yang dapat menghapusnya.

Nilai pemberitahuan

Periksa fakta

Nilai data dan orang yang terdampak. Catat fakta yang sudah dan belum diketahui.

Pisahkan kewajiban

Periksa pemicu, penerima, dan tenggat setiap aturan. Siapkan isi serta bukti pengiriman.

Siapkan pemulihan

Tentukan rencana

Telusuri penyebab dan pilih langkah pemulihan yang menjaga bukti.

Uji sebelum dibuka

Periksa keamanan dan fungsi sistem sebelum layanan dipulihkan.

Ini pembagian pekerjaan, bukan urutan wajib tiga tahap. Penilaian pemberitahuan jangan menunggu pemulihan selesai. Rincian penerima dan tenggat ada di bagian 3; tenggat UU PDP dan pelaporan insiden siber tidak boleh disamakan.

Rujukan: UU PDP, Pasal 46 · Peraturan BSSN 1/2024, Pasal 15 dan 18.

1. Bentuk tim dan tentukan kewenangannya

Peraturan BSSN 1/2024 Pasal 7–9 mengatur Tim Tanggap Insiden Siber (TTIS) dan registrasinya. Pasal 8 mencakup PSE selain penyelenggara Infrastruktur Informasi Vital (IIV). Siapkan dokumen pembentukan, profil tim, aset publik, dan data kompetensi sesuai Pasal 11; pastikan jalur pengajuan melalui layanan resmi BSSN.

Dalam rencana kerja, tetapkan siapa yang:

• Memimpin penanganan dan mengambil keputusan pembatasan layanan.
• Memeriksa sistem, menjaga bukti, serta melakukan pemulihan.
• Menilai data pribadi, dampak terhadap orang, dan kewajiban pemberitahuan.
• Menghubungi pengguna, regulator, vendor, serta pihak lain yang perlu dilibatkan.

Pembagian di atas adalah contoh susunan kerja. Jika ada DPO, libatkan sesuai fungsinya; pengendali tetap bertanggung jawab atas pemrosesan data. Siapkan kontak pengganti dan jalur komunikasi yang bisa dipakai saat email utama terganggu.

2. Catat kejadian dan batasi dampaknya

Pasal 18 Peraturan BSSN 1/2024 dan lampirannya mengatur analisis, penanggulangan, pemulihan, serta pemeliharaan bukti. Tim teknis perlu menentukan tindakan yang sesuai, misalnya membatasi akses akun terdampak atau memisahkan sistem yang bermasalah, sambil mempertimbangkan layanan yang harus tetap berjalan.

Simpan kronologi, waktu kejadian jika diketahui, waktu temuan pertama, sumber laporan, sistem terdampak, dan tindakan yang sudah dilakukan. Catat siapa yang mengumpulkan bukti dan batasi aksesnya. Hindari menghapus log atau memasang ulang sistem sebelum kebutuhan bukti dinilai oleh tim yang berwenang.

Gunakan ROPA untuk menelusuri jenis data dan pihak penerimanya. Jangan menunggu semua pemeriksaan teknis selesai untuk mulai menilai kewajiban pemberitahuan.

3. Periksa penerima dan tenggat pemberitahuan

Satu kejadian dapat memicu lebih dari satu kewajiban. Jangan menyamakan seluruh laporan dengan tenggat 3 × 24 jam.

Pemberitahuan menurut UU PDP

Pasal 46 ayat (1) mengharuskan pengendali menyampaikan pemberitahuan tertulis kepada subjek data dan lembaga jika terjadi kegagalan pelindungan data. Tenggatnya paling lambat 3 × 24 jam.

Gangguan serius akibat pihak lain

PP 71/2019 Pasal 24 ayat (3) berlaku untuk kegagalan atau gangguan serius akibat perbuatan pihak lain. PSE harus mengamankan informasi atau dokumen dan melaporkan kejadian kepada aparat penegak hukum serta kementerian atau lembaga terkait segera, pada kesempatan pertama.

Laporan insiden siber oleh TTIS

Peraturan BSSN 1/2024 Pasal 15 ayat (1)–(4) dan (7)–(8) mengatur pelaporan oleh TTIS organisasi kepada TTIS sektoral dengan tembusan kepada TTIS nasional. Ketentuan ini mencakup insiden paling sedikit berisiko tinggi berdasarkan analisis risiko. Ayat-ayat tersebut tidak menetapkan angka jam yang berlaku untuk semua PSE.

Tenggat khusus untuk IIV

Pasal 15 ayat (5)–(6) mengatur laporan paling lambat 1 × 24 jam setelah insiden pada IIV ditemukan. TTIS organisasi melapor kepada TTIS sektoral, atau kementerian/lembaga sektornya jika TTIS sektoral belum terbentuk, dengan tembusan kepada TTIS nasional.

Tenggat 1 × 24 jam ini khusus ketentuan IIV tersebut. Periksa pula kewajiban sektor dan kontrak. Bantuan teknis dari vendor atau pengaduan ke satu saluran tidak dengan sendirinya memenuhi semua kewajiban pemberitahuan.

Pasal 46 ayat (3) juga mengatur pemberitahuan kepada masyarakat dalam keadaan tertentu. Penjelasannya menyebut, antara lain, gangguan pelayanan publik atau dampak serius terhadap kepentingan masyarakat. Pengecualian tertentu dalam Pasal 50 berkaitan dengan kepentingan yang diatur di sana; jangan menganggap kerugian reputasi bisnis sebagai pengecualian.

Sebelum insiden, verifikasi saluran resmi penerima yang sesuai dengan bisnis dan simpan tanggal pemeriksaannya. Pastikan penerima, cara penyampaian, dan bukti pengiriman untuk setiap kewajiban yang berlaku.

4. Siapkan isi pemberitahuan

Menurut Pasal 46 ayat (2), pemberitahuan tertulis paling sedikit memuat:

• Data pribadi yang terungkap.
• Kapan dan bagaimana data tersebut terungkap.
• Upaya penanganan serta pemulihan yang dilakukan pengendali.

Jelaskan fakta yang sudah diketahui dengan bahasa yang dipahami penerima. Pisahkan informasi terverifikasi dari bagian yang masih diperiksa. Jangan menyatakan “tidak ada data terdampak” tanpa dasar pemeriksaan atau menambahkan data pribadi yang tidak diperlukan dalam lampiran.

Sebagai bantuan kerja, siapkan kolom berikut dalam catatan internal: identitas kejadian, sistem dan jenis data, kronologi, dampak, tindakan, penerima pemberitahuan, alasan penilaian kewajiban, batas waktu, orang yang menyetujui, serta bukti pengiriman. Ini kerangka persiapan, bukan formulir resmi.

5. Pulihkan layanan dan periksa ulang

Uji keamanan dan fungsi sistem sebelum layanan dipulihkan. Pastikan cadangan yang digunakan sesuai hasil pemeriksaan. Tinjau penyebab, perbaiki pengamanan, dan perbarui rencana berdasarkan hasil penanganan (Peraturan BSSN 1/2024 Pasal 18–19).

Latih rencana secara berkala bersama pihak yang menjalankannya. Sebagai contoh latihan, bahas apa yang dilakukan jika akun admin diambil alih dan email perusahaan tidak dapat dipakai. Periksa siapa yang bisa memutus akses, di mana bukti tersimpan, serta bagaimana tim tetap menghubungi penerima pemberitahuan.

Untuk menyiapkan kelangsungan pekerjaan saat layanan terganggu, baca panduan BCP dan pemulihan sistem.

Untuk pembagian petugas, penjagaan log, dan latihan eskalasi, gunakan panduan log dan respons insiden.