Sudut Pandang Hukum dalam Keamanan Siber

Mata Kuliah

Cyber Security

Pertemuan

12 — Minggu RPS 13

Sub-CPMK

Framework Legal Keamanan

Agenda Pertemuan

Sesi Teori (75 menit)

Framework legal keamanan siber: fitur utama
Isu legal dalam keamanan teknologi
Regulasi nasional & internasional
Kepatuhan (compliance) dan audit

Sesi Praktik (75 menit)

Studi kasus pelanggaran hukum siber di Indonesia
Analisis regulasi pada konteks bisnis digital
Diskusi: tanggung jawab legal perusahaan tech
Tugas kelompok: compliance gap analysis

Tujuan Pembelajaran

Menjelaskan fitur penting framework legal keamanan siber dan komponen kuncinya

Mengidentifikasi isu-isu legal utama dalam penerapan teknologi keamanan

Menjelaskan regulasi nasional (UU ITE, PP PSTE, PDP) dan standar internasional (GDPR, ISO 27001)

Merancang strategi kepatuhan keamanan siber untuk konteks bisnis digital Indonesia

Topik 1

Fitur Penting Framework Legal Keamanan Siber

Apa itu Framework Legal Keamanan Siber?

Definisi: Seperangkat aturan hukum, standar, prosedur, dan mekanisme penegakan yang mengatur bagaimana organisasi melindungi aset digital, data, dan sistem informasi dari ancaman siber.

Fungsi Preventif

Mencegah pelanggaran melalui kewajiban keamanan minimum yang harus dipenuhi setiap organisasi

Fungsi Korektif

Memberikan mekanisme respons, pelaporan insiden, dan pemulihan saat terjadi pelanggaran

Fungsi Punitif

Sanksi administratif, perdata, dan pidana untuk pelanggar — mendorong kepatuhan

Fungsi Koordinatif

Menyediakan bahasa dan standar bersama antar lembaga, industri, dan negara

Komponen Utama Framework Legal

Komponen	Isi / Contoh	Relevansi Bisnis Digital
Definisi & Ruang Lingkup	Apa yang dilindungi, siapa yang terkena kewajiban	Platform e-commerce, fintech, PSE wajib mematuhi
Kewajiban Keamanan Minimum	Enkripsi data, kontrol akses, audit log	Standar keamanan transaksi digital
Hak Subjek Data	Hak akses, koreksi, hapus data pribadi	Tokopedia, Shopee wajib sediakan fitur ini
Kewajiban Pelaporan Insiden	Timeline, otoritas pelaporan, format laporan	PSE wajib lapor ke Kominfo/BSSN dalam 14 hari
Mekanisme Penegakan	Audit, inspeksi, sanksi administratif & pidana	Denda, pemblokiran layanan, pidana pengurus
Kerjasama Internasional	Mutual Legal Assistance, extradition treaties	Kejahatan siber lintas negara — Interpol, ASEANAPOL

Prinsip-Prinsip Dasar Framework Legal

Proporsionalitas

Kewajiban keamanan sebanding dengan risiko dan skala operasi — startup kecil vs. unicorn memiliki beban regulasi berbeda

Akuntabilitas

Organisasi bertanggung jawab atas keamanan data yang mereka kelola, tidak bisa dilempar ke vendor atau penyedia cloud

Transparansi

Kebijakan privasi, SLA keamanan, dan laporan insiden harus dapat diakses publik dan pemangku kepentingan

Privacy by Design

Keamanan dan privasi diintegrasikan sejak tahap perancangan sistem, bukan ditambahkan belakangan

Minimisasi Data

Hanya kumpulkan data yang benar-benar diperlukan — mengurangi risiko dan kewajiban regulasi

Hak atas Remediasi

Korban pelanggaran siber berhak atas kompensasi dan pemulihan yang efektif

Topik 2

Isu Legal dalam Keamanan Teknologi

Isu Legal Utama: Privasi vs. Keamanan

Argumen Keamanan

Pemerintah perlu akses data untuk mencegah terorisme dan kejahatan siber
Enkripsi "end-to-end" bisa melindungi penjahat dari pengawasan sah
Backdoor kriptografi untuk kepentingan penegak hukum
Data retention untuk investigasi pascainsiden

Argumen Privasi

Backdoor menciptakan celah yang bisa dieksploitasi peretas
Pengawasan massal melanggar hak asasi manusia fundamental
Data retention berlebihan meningkatkan risiko kebocoran massal
Kepercayaan pengguna rusak — dampak bisnis signifikan

Contoh Indonesia: Kontroversi pemblokiran WhatsApp (2017) dan perdebatan soal akses pemerintah ke data terenkripsi dalam konteks UU ITE — dilema yang belum terselesaikan sepenuhnya.

Isu Legal: Tanggung Jawab dan Yurisdiksi

Isu	Tantangan Hukum	Contoh Kasus
Liability Vendor	Siapa bertanggung jawab jika software/cloud provider gagal — pelanggan atau vendor?	SLA AWS/Azure vs. tanggung jawab pengguna
Shared Responsibility	Model cloud: provider aman infrastruktur, pelanggan aman data — pembagian tak selalu jelas	Kebocoran data karena misconfiguration S3 bucket
Yurisdiksi Lintas Negara	Kejahatan siber terjadi di server negara A, korban di B, pelaku di C — hukum mana berlaku?	Ransomware grup Rusia menyerang perusahaan Indonesia
Data Sovereignty	Data warga negara Indonesia harus disimpan di server dalam negeri (PP PSTE) — konflik dengan global cloud	PSE asing wajib punya data center lokal atau mitra
Kekayaan Intelektual	Reverse engineering untuk keamanan — apakah legal? Disclosure vulnerability — kapan etis?	Bug bounty program Gojek, Tokopedia

Isu Legal: Kejahatan Siber & Pembuktian Digital

Kategori Kejahatan Siber (UU ITE)

Akses ilegal ke sistem elektronik (Pasal 30)
Penyadapan data/informasi (Pasal 31)
Gangguan terhadap sistem elektronik (Pasal 33)
Manipulasi informasi elektronik (Pasal 35)
Penyebaran konten ilegal (Pasal 27–29)

Tantangan Pembuktian Digital

Keaslian — bukti digital mudah dimanipulasi; butuh chain of custody yang ketat
Integritas — hash verification untuk membuktikan data tidak berubah
Volatilitas — RAM, log sementara bisa hilang dalam menit
Enkripsi — bukti terenkripsi sulit diakses tanpa kunci

Topik 3

Regulasi & Kepatuhan Keamanan Siber

Regulasi Keamanan Siber Indonesia

Regulasi	Substansi Utama	Penegak
UU No. 11/2008 jo. UU No. 19/2016 (ITE)	Kejahatan siber, informasi elektronik, tanda tangan digital, sanksi pidana	Kominfo, Polri, Kejaksaan
PP No. 71/2019 (PSTE)	Penyelenggaraan sistem transaksi elektronik: kewajiban PSE, sertifikasi, data center lokal	Kominfo
UU No. 27/2022 (PDP)	Perlindungan data pribadi: hak subjek data, kewajiban pengendali, sanksi administratif & pidana	Lembaga PDP (belum terbentuk penuh)
Perpres No. 82/2022 (SNSK)	Strategi nasional keamanan siber: koordinasi BSSN, standar minimum keamanan	BSSN
POJK terkait Keamanan TI	Standar keamanan sistem informasi lembaga keuangan, fintech, dan payment system	OJK, Bank Indonesia

Standar Internasional & Kerangka Kepatuhan

Standar Teknis

Standar	Fokus
ISO/IEC 27001	Sistem manajemen keamanan informasi (ISMS)
ISO/IEC 27701	Ekstensi privasi — integrasi dengan ISMS
NIST CSF	Framework keamanan siber 5 fungsi (Identify–Protect–Detect–Respond–Recover)
PCI DSS	Keamanan data kartu pembayaran — wajib bagi payment processor
SOC 2	Audit kontrol keamanan layanan cloud — diakui global

Regulasi Internasional Relevan

GDPR (EU): Berlaku jika perusahaan Indonesia proses data warga EU — ekspor/impor, pariwisata, e-commerce lintas negara
APEC CBPR: Kerangka transfer data lintas batas di kawasan Asia-Pasifik
Budapest Convention: Perjanjian internasional kejahatan siber — Indonesia belum ratifikasi
ASEAN Framework: Harmonisasi regulasi siber kawasan ASEAN

Studi Kasus: Kepatuhan Keamanan di Ekosistem Digital Indonesia

Tokopedia — Kebocoran Data 2020

~91 juta data akun pengguna bocor dan dijual di forum dark web
Investigasi menunjukkan kelemahan pada sistem autentikasi internal
Implikasi: kewajiban notifikasi pengguna, investigasi BSSN
Pembelajaran: pentingnya monitoring anomali dan enkripsi password (bcrypt)

BRImo / BRI — Kepatuhan Regulasi BI

Wajib memenuhi POJK dan PBI terkait keamanan sistem pembayaran
Implementasi multi-factor authentication dan enkripsi transaksi
Audit reguler oleh OJK dan Bank Indonesia
Pembelajaran: compliance as business enabler — meningkatkan kepercayaan nasabah

Gojek — Manajemen Data Skala Besar

Data ~38 juta pengguna aktif: lokasi, transaksi, perilaku
Bug bounty program aktif — ethical disclosure framework
Persiapan sertifikasi ISO 27001 dan kepatuhan UU PDP
Pembelajaran: Privacy by Design sejak pengembangan fitur

Telkom — Infrastruktur Kritis Nasional

Insiden kebocoran data IndiHome (2023) — data browsing pelanggan
Kewajiban sebagai PSE sektor strategis — regulasi BSSN ketat
Penetration testing berkala dan CSIRT internal
Pembelajaran: operator infrastruktur kritis = target prioritas, standar lebih tinggi

Kerangka Kerja Kepatuhan: Implementasi Praktis

Compliance bukan checklist — ini adalah proses manajemen risiko berkelanjutan.

1. Identifikasi Kewajiban

Inventarisasi regulasi yang berlaku: UU PDP, POJK, PP PSTE, standar sektoral. Petakan ke operasi bisnis.

2. Gap Analysis

Bandingkan praktik keamanan saat ini dengan kewajiban regulasi. Dokumentasikan kesenjangan dan risiko.

3. Prioritasi & Roadmap

Urutkan berdasarkan risiko dan tenggat regulasi. Buat roadmap implementasi yang realistis.

4. Implementasi Kontrol

Terapkan kontrol teknis (enkripsi, access control) dan organisasi (kebijakan, pelatihan, prosedur).

5. Pemantauan & Audit

Audit internal berkala, penetration testing, review kebijakan. Dokumentasikan bukti kepatuhan.

6. Respons & Pembaruan

Update program kepatuhan saat regulasi berubah atau insiden terjadi. Continual improvement.

Coba Sendiri: Bangun Risk Register Compliance Gap

Tambahkan risiko kepatuhan, atur inherent risk dan kontrol yang diterapkan, lalu lihat residual risk yang tersisa.

Peta Regulasi dan Standar Keamanan Siber

Rangkuman

Key Takeaway Pertemuan 12

Framework legal keamanan siber memiliki empat fungsi: preventif, korektif, punitif, dan koordinatif — bekerja sinergis dalam melindungi ekosistem digital.
Isu legal utama meliputi tegangan privasi-keamanan, tanggung jawab vendor (shared responsibility), yurisdiksi lintas negara, dan pembuktian digital dalam proses hukum.
Regulasi Indonesia — UU ITE, UU PDP, PP PSTE, Perpres SNSK — membentuk kewajiban konkret bagi PSE dan perusahaan digital, dengan sanksi yang semakin berat.

Standar internasional (ISO 27001, NIST CSF, GDPR, PCI DSS) memberikan kerangka teknis dan hukum tambahan yang relevan untuk bisnis yang beroperasi lintas negara.
Kepatuhan adalah proses berkelanjutan — bukan checklist sekali jalan. Gap analysis, audit berkala, dan pembaruan program compliance adalah kunci keberhasilan jangka panjang.

Tugas & Diskusi

Tugas Kelompok (Dikumpulkan P13)

Pilih satu perusahaan digital Indonesia (startup/korporasi)
Lakukan compliance gap analysis sederhana: regulasi apa yang berlaku? Apa yang sudah dipenuhi? Apa celah yang tersisa?
Gunakan template: Regulasi → Kewajiban → Status Perusahaan → Rekomendasi
Presentasikan dalam 5 menit per kelompok

Pertanyaan Diskusi

Apakah sanksi UU PDP (2% pendapatan global) sudah cukup efektif sebagai deterrent bagi perusahaan besar?
Bagaimana bisnis digital Indonesia seharusnya menyikapi GDPR jika ingin masuk pasar Eropa?
Apakah "backdoor" kriptografi untuk penegak hukum adalah solusi yang tepat? Apa risikonya?

Pertanyaan & Diskusi

Preview Pertemuan 13:
Membangun sistem keamanan yang mudah digunakan dan efektif — menyeimbangkan keamanan dengan user experience dalam produk digital

Ada pertanyaan mengenai framework legal, regulasi, atau studi kasus hari ini?