Panduan Registrasi Akun Baru

Apa itu? ISO 31000 adalah standar internasional yang diterbitkan oleh International Organization for Standardization (ISO), organisasi dunia yang membuat standar untuk berbagai bidang. ISO 31000 adalah panduan tentang cara mengelola risiko secara umum, berlaku untuk semua jenis organisasi (pemerintah, swasta, besar, kecil).

Apa isinya? Memberikan prinsip, kerangka kerja, dan proses manajemen risiko: mulai dari identifikasi risiko, analisis dampak, evaluasi, hingga mitigasi (tindakan mengurangi risiko).

Mengapa penting? Ini adalah acuan paling umum digunakan di dunia, termasuk di Indonesia. Banyak instansi pemerintah dan perusahaan menggunakan ISO 31000 sebagai dasar kebijakan manajemen risikonya.

Analogi: Seperti "buku resep umum" untuk mengelola risiko — bisa dipakai untuk semua jenis organisasi dan situasi.

Contoh penerapan: Instansi yang menggunakan ISO 31000 biasanya memiliki dokumen Risk Register (daftar risiko) dan melakukan Risk Assessment (penilaian risiko) secara berkala.

Apa itu? COSO ERM adalah kerangka kerja manajemen risiko yang dibuat oleh Committee of Sponsoring Organizations of the Treadway Commission (COSO), sebuah organisasi internasional yang terdiri dari 5 asosiasi profesi keuangan dan akuntansi terbesar di dunia.

Apa bedanya dengan ISO 31000? COSO ERM lebih fokus pada tata kelola perusahaan (corporate governance) dan keuangan. Jika ISO 31000 seperti buku resep umum, COSO ERM lebih seperti "buku resep khusus untuk restoran besar" — lebih detail untuk organisasi yang sudah mapan.

Apa isinya? 5 komponen utama: Tata Kelola & Budaya, Strategi & Penetapan Tujuan, Performa, Tinjauan & Revisi, serta Informasi, Komunikasi & Pelaporan.

Mengapa penting? Banyak digunakan oleh BUMN, bank, dan perusahaan besar di Indonesia karena kesesuaiannya dengan standar audit dan pelaporan keuangan.

Contoh penerapan: Bank-bank besar di Indonesia menggunakan COSO ERM untuk mengelola risiko kredit, risiko operasional, dan risiko pasar.

Apa itu? Ini adalah peraturan resmi pemerintah Indonesia yang dikeluarkan oleh Badan Siber dan Sandi Negara (BSSN). "Perban" adalah singkatan dari "Peraturan Badan".

Apa isinya? Mengatur tentang Sistem Pengamanan dalam Penyelenggaraan Sistem Elektronik. Isinya mencakup kewajiban penyelenggara sistem elektronik untuk menerapkan keamanan informasi, melakukan penilaian risiko, dan melaporkan insiden keamanan siber.

Mengapa penting? Peraturan ini bersifat mengikat secara hukum bagi penyelenggara sistem elektronik di Indonesia, terutama yang mengelola Infrastruktur Informasi Vital (IIV). Jika instansi Anda adalah penyelenggara sistem elektronik, peraturan ini wajib dipatuhi.

Analogi: Jika ISO 31000 adalah "buku panduan umum", maka Perban BSSN ini adalah "undang-undang lalu lintas" — bukan sekadar saran, tapi aturan yang harus diikuti.

Contoh penerapan: Instansi yang mengacu pada Perban ini wajib memiliki Tim Tanggap Insiden Siber (CSIRT), melakukan audit keamanan, dan melaporkan insiden keamanan ke BSSN.

Apa itu? PP 71/2019 adalah Peraturan Pemerintah yang merupakan turunan dari UU ITE (Undang-Undang Informasi dan Transaksi Elektronik). "PP" artinya Peraturan Pemerintah, yaitu aturan yang dibuat oleh presiden untuk melaksanakan undang-undang.

Apa isinya? Mengatur secara detail tentang:
• Kewajiban penyelenggara sistem elektronik (PSE) dalam menjaga keamanan, keandalan, dan kerahasiaan data
• Klasifikasi sistem elektronik (strategis, tinggi, rendah)
• Perlindungan data pribadi (sebelum UU PDP terbit)
• Tata kelola dan pengawasan sistem elektronik

Mengapa penting? PP ini adalah dasar hukum utama yang mengatur kewajiban keamanan bagi semua penyelenggara sistem elektronik di Indonesia, baik pemerintah maupun swasta. Pelanggaran terhadap PP ini dapat dikenai sanksi administratif.

Analogi: Jika sistem elektronik Anda seperti "kendaraan di jalan", maka PP 71/2019 adalah "buku aturan lalu lintas" yang wajib diikuti semua pengendara.

Contoh penerapan: Semua aplikasi e-Government, platform fintech, dan marketplace diwajibkan mendaftar dan memenuhi standar keamanan sesuai PP ini.

Apa itu? Beberapa instansi memiliki kebijakan atau pedoman manajemen risiko sendiri yang dibuat secara internal, biasanya dalam bentuk Surat Keputusan (SK), Standar Operasional Prosedur (SOP), atau pedoman tertulis lainnya.

Mengapa ada yang membuat sendiri? Karena setiap instansi memiliki karakteristik, risiko, dan kebutuhan yang berbeda. Kebijakan internal biasanya mengadopsi sebagian dari standar internasional (seperti ISO 31000) dan disesuaikan dengan konteks lokal instansi.

Contoh: "Pedoman Manajemen Risiko TI Dinas Kominfo Kota Surabaya", "SOP Manajemen Risiko Keamanan Informasi PT Telkom Indonesia".

Jika instansi Anda menggunakan ini: Tuliskan nama dokumen kebijakan internal tersebut di kolom Acuan Manajemen Risiko.

Apa itu? NIST CSF 2.0 adalah kerangka kerja keamanan siber yang dibuat oleh NIST (National Institute of Standards and Technology), sebuah lembaga pemerintah Amerika Serikat yang bertugas mengembangkan standar teknologi. Versi 2.0 adalah versi terbaru yang dirilis tahun 2024.

Apa isinya? NIST CSF membagi keamanan siber menjadi 6 fungsi utama:
• Govern (Tata Kelola) — kebijakan dan strategi keamanan
• Identify (Identifikasi) — mengenali aset dan risiko
• Protect (Proteksi) — membangun perlindungan
• Detect (Deteksi) — mendeteksi serangan/ancaman
• Respond (Respons) — merespons insiden keamanan
• Recover (Pemulihan) — memulihkan layanan setelah insiden

Mengapa penting? NIST CSF adalah acuan utama yang digunakan IKAS ini. BSSN mengadaptasi NIST CSF untuk membuat instrumen penilaian kematangan keamanan siber Indonesia. Jadi jika Anda menggunakan IKAS, secara tidak langsung Anda sudah mengacu pada NIST CSF 2.0.

Analogi: NIST CSF seperti "kurikulum lengkap pertahanan benteng" — mencakup semua aspek dari perencanaan, perlindungan, deteksi, hingga pemulihan setelah serangan.

Siapa yang cocok? Semua jenis organisasi. NIST CSF dirancang fleksibel — bisa digunakan oleh instansi kecil maupun besar, pemerintah maupun swasta.

Apa itu? ISO/IEC 27001 adalah standar internasional yang dibuat oleh ISO (International Organization for Standardization) dan IEC (International Electrotechnical Commission). Standar ini mengatur cara membangun, menerapkan, memelihara, dan terus meningkatkan Sistem Manajemen Keamanan Informasi (SMKI) di organisasi.

Apa bedanya dengan NIST CSF?
• NIST CSF lebih seperti "panduan/framework" — fleksibel, bisa diterapkan sebagian
• ISO 27001 lebih seperti "sertifikasi/ujian" — Anda bisa diaudit dan mendapat sertifikat resmi ISO 27001 yang diakui secara internasional

Apa isinya? ISO 27001 berisi 93 kontrol keamanan yang dikelompokkan dalam 4 tema: Organisasi, Orang, Fisik, dan Teknologi. Contoh kontrol: kebijakan keamanan informasi, kontrol akses, enkripsi, backup, manajemen insiden.

Mengapa penting? ISO 27001 adalah standar keamanan informasi paling diakui di dunia. Banyak instansi pemerintah dan perusahaan Indonesia yang sudah atau sedang mengejar sertifikasi ISO 27001 sebagai bukti bahwa mereka serius mengelola keamanan informasi.

Analogi: Jika NIST CSF adalah "panduan membangun benteng yang kuat", maka ISO 27001 adalah "ujian sertifikasi yang membuktikan benteng Anda memang sudah memenuhi standar internasional".

Contoh penerapan: Bank Indonesia, beberapa kementerian, dan perusahaan teknologi besar Indonesia sudah tersertifikasi ISO 27001.

Apa itu? CIS Controls adalah daftar 18 kontrol keamanan siber yang paling penting, disusun berdasarkan prioritas dari yang paling kritis hingga yang bersifat pelengkap. Dibuat oleh Center for Internet Security (CIS), sebuah organisasi nirlaba internasional yang fokus pada keamanan siber.

Apa bedanya dengan standar lain? CIS Controls lebih praktis dan langsung bisa diterapkan. Jika ISO 27001 adalah "kurikulum lengkap", CIS Controls adalah "daftar 18 hal terpenting yang harus dilakukan dulu" — cocok untuk organisasi yang baru memulai perjalanan keamanan siber.

Contoh isi CIS Controls:
• Kontrol 1: Inventaris dan Pengendalian Aset Perangkat Keras (tahu semua perangkat yang terhubung)
• Kontrol 2: Inventaris dan Pengendalian Aset Perangkat Lunak (tahu semua software yang dipakai)
• Kontrol 3: Perlindungan Data (enkripsi, backup)
• Kontrol 4: Konfigurasi Aman (setting perangkat dengan benar)
• Kontrol 5: Manajemen Akun (siapa yang boleh akses apa)

Analogi: Jika keamanan siber adalah "menjaga rumah dari pencuri", CIS Controls adalah "checklist 18 langkah terpenting": kunci pintu, pasang CCTV, nyalakan alarm, simpan barang berharga di brankas, dst.

Siapa yang cocok? Sangat cocok untuk instansi yang baru mulai menerapkan keamanan siber dan ingin tahu harus mulai dari mana.

Apa itu? COBIT adalah kerangka kerja untuk tata kelola dan manajemen teknologi informasi (IT Governance) yang dibuat oleh ISACA (Information Systems Audit and Control Association), sebuah asosiasi profesional internasional di bidang audit dan keamanan sistem informasi.

Apa bedanya dengan standar keamanan siber lain? COBIT lebih luas cakupannya — bukan hanya tentang keamanan, tapi tentang seluruh tata kelola IT: bagaimana IT dikelola, diawasi, dan diselaraskan dengan tujuan bisnis organisasi. Keamanan siber hanyalah salah satu bagiannya.

Apa isinya? COBIT 2019 (versi terbaru) berisi 40 tujuan tata kelola dan manajemen yang mencakup: perencanaan strategis IT, pengelolaan anggaran IT, manajemen risiko IT, keamanan informasi, manajemen perubahan, dan lainnya.

Mengapa penting? Banyak digunakan oleh instansi pemerintah Indonesia yang menerapkan SPBE (Sistem Pemerintahan Berbasis Elektronik), karena COBIT memberikan panduan lengkap tentang cara mengelola IT secara profesional.

Analogi: Jika NIST CSF dan ISO 27001 fokus pada "keamanan benteng", COBIT fokus pada "bagaimana mengelola seluruh kerajaan secara efisien" — termasuk keuangan, sumber daya, dan strategi, di mana keamanan benteng hanyalah salah satu aspek.

Siapa yang cocok? Instansi atau perusahaan yang ingin mengelola seluruh aspek IT secara profesional, bukan hanya keamanan saja.

Apa itu? SNI ISO/IEC 27001:2022 adalah adopsi resmi Indonesia dari standar internasional ISO/IEC 27001. "SNI" artinya Standar Nasional Indonesia, yang diterbitkan oleh BSN (Badan Standardisasi Nasional). Isinya sama persis dengan ISO 27001 internasional, tetapi sudah diadaptasi dan diterjemahkan ke bahasa Indonesia.

Apa bedanya dengan ISO/IEC 27001? Secara isi, tidak ada perbedaan — keduanya adalah standar yang sama. Perbedaannya hanya:
• ISO/IEC 27001 diterbitkan oleh ISO internasional (dalam bahasa Inggris)
• SNI ISO/IEC 27001:2022 diterbitkan oleh BSN Indonesia (tersedia dalam bahasa Indonesia)

Mengapa penting? Beberapa regulasi Indonesia mewajibkan penggunaan versi SNI untuk sertifikasi di Indonesia. Jadi jika instansi Anda ingin mendapat sertifikasi keamanan informasi yang diakui di Indonesia, gunakan SNI ISO/IEC 27001:2022.

Analogi: Seperti buku teks internasional yang sudah "diterjemahkan dan disahkan" oleh pemerintah Indonesia supaya bisa digunakan secara resmi di Indonesia.

Apa itu? Beberapa instansi memiliki kebijakan keamanan siber internal yang dibuat sendiri, biasanya dalam bentuk SK Kepala Daerah/Menteri, SOP Keamanan Informasi, atau Pedoman Pengamanan Sistem Elektronik.

Mengapa ada yang membuat sendiri? Kebijakan internal biasanya mengambil sebagian dari standar internasional dan disesuaikan dengan kebutuhan, anggaran, dan kapasitas instansi.

Contoh: "SK Gubernur tentang Kebijakan Keamanan Informasi", "SOP Pengamanan Jaringan Dinas Kominfo", "Pedoman Keamanan Siber PT Pertamina".

Jika instansi Anda menggunakan ini: Tuliskan nama dokumen kebijakan internal tersebut di kolom Acuan Keamanan Siber.