DokumenPeraturan Kementerian / Lembaga/BadanBerlaku

Peraturan Badan Siber dan Sandi Negara Nomor 8 Tahun 2024

Nomor: 8
Tahun: 2024
Ditetapkan: 9 Oktober 2024
Status: Berlaku
Pasal terindeks: 74

Lembaga terkait

Ringkasan

Peraturan ini mengatur mengenai Standar dan Tata Cara Pelaksanaan Audit Keamanan Sistem Pemerintahan Berbasis Elektronik (SPBE). Standar Audit Keamanan SPBE terdiri atas: a. objek Audit Keamanan SPBE; b. pelaksana Audit Keamanan SPBE; c. kriteria Audit Keamanan SPBE; d. bukti Audit Keamanan SPBE; dan e. kesimpulan Audit Keamanan SPBE.

Isi peraturan

Menetapkan

menetapkan Peraturan Badan Siber dan Sandi Negara tentang Standar dan Tata Cara Pelaksanaan Audit Keamanan Sistem Pemerintahan Berbasis Elektronik; Mengingat : 1. Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik (Lembaran Negara Republik Indonesia Tahun 2018 Nomor 182);

2.Peraturan Presiden Nomor 28 Tahun 2021 tentang Badan Siber dan Sandi Negara (Lembaran Negara Republik Indonesia Tahun 2021 Nomor 101);
3.Peraturan Menteri Komunikasi dan Informatika Republik Indonesia Nomor 16 Tahun 2022 tentang Kebijakan Umum Penyelenggaraan Audit Teknologi Informasi dan Komunikasi (Berita Negara Republik Indonesia Tahun 2022 Nomor 1374);
4.Peraturan Badan Siber dan Sandi Negara Nomor 6 Tahun 2021 tentang Organisasi dan Tata Kerja Badan Siber dan Sandi Negara (Berita Negara Republik Indonesia Tahun 2021 Nomor 803) sebagaimana telah diubah dengan Peraturan Badan Siber dan Sandi Negara Nomor 4 Tahun 2023 tentang Perubahan atas Peraturan Badan Siber dan Sandi Negara Nomor 6 Tahun 2021 tentang Organisasi dan Tata Kerja Badan Siber dan Sandi Negara (Berita Negara Republik Indonesia Tahun 2023 Nomor 544); MEMUTUSKAN: Menetapkan : PERATURAN BADAN SIBER DAN SANDI NEGARA TENTANG STANDAR DAN TATA CARA PELAKSANAAN AUDIT KEAMANAN SISTEM PEMERINTAHAN BERBASIS ELEKTRONIK.

BAB I

KETENTUAN UMUM

Pasal 1

Dalam Peraturan Badan ini yang dimaksud dengan:

1.Sistem Pemerintahan Berbasis Elektronik yang selanjutnya disingkat SPBE adalah penyelenggaraan pemerintahan yang memanfaatkan teknologi informasi dan komunikasi untuk memberikan layanan kepada pengguna sistem pemerintahan berbasis elektronik.
2.Keamanan SPBE adalah pengendalian keamanan yang terpadu dalam SPBE.
3.Audit Keamanan SPBE adalah audit teknologi informasi dan komunikasi cakupan keamanan SPBE.
4.Audit Teknologi Informasi dan Komunikasi yang selanjutnya disebut Audit TIK adalah proses yang sistematis untuk memperoleh dan mengevaluasi bukti secara objektif terhadap aset teknologi informasi dan komunikasi dengan tujuan untuk menetapkan tingkat kesesuaian antara teknologi informasi dan komunikasi dengan kriteria dan/atau standar yang telah ditetapkan.
5.Badan Siber dan Sandi Negara yang selanjutnya disebut Badan adalah lembaga pemerintah yang melaksanakan tugas pemerintahan di bidang keamanan siber dan sandi.
6.Instansi Pusat adalah kementerian, lembaga pemerintah non kementerian, kesekretariatan lembaga negara, kesekretariatan lembaga nonstruktural, dan lembaga pemerintah lainnya.
7.Pemerintah Daerah adalah kepala daerah sebagai unsur penyelenggara pemerintahan daerah yang memimpin pelaksanaan urusan pemerintahan yang menjadi kewenangan daerah otonom.
8.Lembaga Pelaksana Audit TIK yang selanjutnya disebut LATIK adalah lembaga yang melaksanakan Audit TIK.
9.LATIK Terakreditasi adalah badan hukum yang telah terakreditasi sebagai pelaksana Audit TIK.
10.Layanan SPBE adalah keluaran yang dihasilkan oleh 1 (satu) atau beberapa fungsi aplikasi SPBE dan yang memiliki nilai manfaat.
11.Infrastruktur SPBE adalah semua perangkat keras, perangkat lunak, dan fasilitas yang menjadi penunjang utama untuk menjalankan sistem, aplikasi, komunikasi data, pengolahan dan penyimpanan data, perangkat integrasi/penghubung, dan perangkat elektronik lainnya.
12.Infrastruktur SPBE Nasional adalah Infrastruktur SPBE yang terhubung dengan Infrastruktur SPBE Instansi Pusat dan Pemerintah Daerah dan digunakan secara bagi pakai oleh Instansi Pusat dan Pemerintah Daerah.
13.Peta Rencana SPBE adalah dokumen yang mendeskripsikan arah dan langkah penyiapan dan pelaksanaan SPBE yang terintegrasi.
14.Aplikasi SPBE adalah satu atau sekumpulan program komputer dan prosedur yang dirancang untuk melakukan tugas atau fungsi Layanan SPBE.
15.Aplikasi Umum adalah Aplikasi SPBE yang sama, standar, dan digunakan secara bagi pakai oleh Instansi Pusat dan/atau Pemerintah Daerah.
16.Aplikasi Khusus adalah Aplikasi SPBE yang dibangun, dikembangkan, digunakan, dan dikelola oleh Instansi Pusat atau Pemerintah Daerah tertentu untuk memenuhi kebutuhan khusus yang bukan kebutuhan Instansi Pusat dan Pemerintah Daerah lain.
17.Jaringan Intra adalah jaringan tertutup yang menghubungkan antar simpul jaringan dalam suatu organisasi.
18.Sistem Penghubung Layanan adalah perangkat integrasi/penghubung untuk melakukan pertukaran Layanan SPBE.
19.Pusat Data adalah fasilitas yang digunakan untuk penempatan sistem elektronik dan komponen terkait lainnya untuk keperluan penempatan, penyimpanan dan pengolahan data, dan pemulihan data.
20.Sistem Elektronik adalah serangkaian perangkat dan prosedur elektronik yang berfungsi mempersiapkan, mengumpulkan, mengolah, menganalisis, menyimpan, menampilkan, mengumumkan, mengirimkan, dan/atau menyebarkan informasi elektronik.
21.Infrastruktur Informasi Vital yang selanjutnya disingkat IIV adalah Sistem Elektronik yang memanfaatkan teknologi informasi dan/atau teknologi operasional, baik berdiri sendiri maupun saling bergantung dengan Sistem Elektronik lainnya dalam menunjang sektor strategis, yang jika terjadi gangguan, kerusakan, dan/atau kehancuran pada infrastruktur dimaksud berdampak serius terhadap kepentingan umum, pelayanan publik, pertahanan dan keamanan, atau perekonomian nasional.

BAB II

STANDAR AUDIT KEAMANAN SPBE

Pasal 2

Standar Audit Keamanan SPBE terdiri atas:

a.objek Audit Keamanan SPBE;
b.pelaksana Audit Keamanan SPBE;
c.kriteria Audit Keamanan SPBE;
d.bukti Audit Keamanan SPBE; dan
e.kesimpulan Audit Keamanan SPBE.

Pasal 3

(1)Objek Audit Keamanan SPBE sebagaimana dimaksud dalam Pasal 2 huruf a terdiri atas:
1. a.Infrastruktur SPBE Nasional;
2. b.Infrastruktur SPBE Instansi Pusat dan Pemerintah Daerah;
3. c.Aplikasi Umum; dan
4. d.Aplikasi Khusus.
(2)Infrastruktur SPBE Nasional sebagaimana dimaksud pada ayat (1) huruf a terdiri atas:
1. a.Pusat Data nasional;
2. b.Jaringan Intra pemerintah; dan
3. c.Sistem Penghubung Layanan pemerintah.
(3)Infrastruktur SPBE Instansi Pusat dan Pemerintah Daerah sebagaimana dimaksud pada ayat (1) huruf b terdiri atas:
1. a.Jaringan Intra Instansi Pusat dan Pemerintah Daerah; dan
2. b.Sistem Penghubung Layanan Instansi Pusat dan Pemerintah Daerah.
(4)Objek Audit Keamanan SPBE sebagaimana dimaksud pada ayat (1) termasuk keamanan data dan informasi yang dikelola di dalamnya.

Pasal 4

(1)Pelaksana Audit Keamanan SPBE sebagaimana dimaksud dalam Pasal 2 huruf b yaitu LATIK cakupan Keamanan SPBE.
(2)LATIK cakupan Keamanan SPBE sebagaimana dimaksud pada ayat (1) terdiri atas:
1. a.LATIK pemerintah; atau
2. b.LATIK Terakreditasi yang terdaftar.

Pasal 5

(1)LATIK pemerintah sebagaimana dimaksud dalam Pasal 4 ayat (2) huruf a melaksanakan audit keamanan terhadap Infrastruktur SPBE Nasional dan Aplikasi Umum.
(2)LATIK pemerintah sebagaimana dimaksud pada ayat (1) dilaksanakan oleh Badan.
(3)Audit keamanan sebagaimana dimaksud pada ayat (1) dilaksanakan paling sedikit 1 (satu) kali dalam 1 (satu) tahun.

Pasal 6

(1)LATIK Terakreditasi yang terdaftar sebagaimana dimaksud dalam Pasal 4 ayat (2) huruf b harus:
1. a.terakreditasi oleh lembaga nonstruktural yang bertugas dan bertanggung jawab di bidang akreditasi lembaga penilaian kesesuaian; dan
2. b.terdaftar pada Badan.
(2)LATIK Terakreditasi yang terdaftar sebagaimana dimaksud pada ayat (1) melaksanakan Audit Keamanan SPBE terhadap Infrastruktur SPBE Instansi Pusat dan Pemerintah Daerah serta Aplikasi Khusus.
(3)LATIK Terakreditasi yang terdaftar dalam melaksanakan Audit Keamanan SPBE sebagaimana dimaksud pada ayat (2) membentuk tim auditor Keamanan SPBE.
(4)Dalam hal LATIK Terakreditasi yang terdaftar sebagaimana dimaksud pada ayat (1) belum ada, pelaksanaan Audit Keamanan SPBE sebagaimana dimaksud pada ayat (2) dilaksanakan oleh LATIK pemerintah.
(5)Audit Keamanan SPBE sebagaimana dimaksud pada ayat (2) dilaksanakan paling sedikit 1 (satu) kali dalam 2 (dua) tahun.

Pasal 7

(1)Auditor Keamanan SPBE sebagaimana dimaksud dalam Pasal 6 ayat (3) harus memiliki kompetensi Audit Keamanan SPBE yang terdiri atas:
1. a.latar belakang pendidikan;
2. b.keahlian dan pengalaman;
3. c.pengetahuan tentang standar Audit Keamanan SPBE;
4. d.pengetahuan umum tentang objek Audit Keamanan SPBE; dan
5. e.keterampilan yang memerlukan pengetahuan khusus dalam bidang tertentu sesuai dengan Audit Keamanan SPBE yang dilaksanakan.
(2)Bentuk kompetensi sebagaimana dimaksud pada ayat
(1)dibuktikan dengan sertifikat kompetensi yang diterbitkan oleh lembaga yang berwenang dan masih berlaku.
(3)Dalam hal penyelenggara sertifikasi kompetensi sebagaimana dimaksud pada ayat (2) belum tersedia, kompetensi dibuktikan dengan dokumen lainnya yang berlaku dan menyatakan keahlian.

Pasal 8

(1)Pelaksanaan Audit Keamanan SPBE yang dilaksanakan oleh LATIK Terakreditasi sebagaimana dimaksud dalam Pasal 6 dikecualikan untuk Instansi Pusat tertentu.
(2)Pelaksanaan Audit Keamanan SPBE untuk Instansi Pusat tertentu sebagaimana dimaksud pada ayat (1) dilaksanakan oleh Badan.
(3)Instansi Pusat tertentu sebagaimana dimaksud pada ayat (2) terdiri atas:
1. a.kementerian yang menyelenggarakan urusan pemerintahan di bidang kesekretariatan negara;
2. b.lembaga pemerintah yang menyelenggarakan tugas memberikan dukungan manajemen kabinet kepada Presiden dan Wakil Presiden;
3. c.kementerian yang menyelenggarakan urusan pemerintahan di bidang luar negeri;
4. d.kementerian yang menyelenggarakan urusan pemerintahan di bidang pertahanan;
5. e.Tentara Nasional Indonesia;
6. f.Kepolisian Negara Republik Indonesia;
7. g.Badan Intelijen Negara; dan
8. h.Instansi Pusat lain yang ditetapkan dengan Keputusan Kepala Badan.
(4)Penetapan Instansi Pusat lain sebagaimana dimaksud pada ayat (3) huruf h dilakukan berdasarkan usulan Instansi Pusat yang merupakan penyelenggara IIV.

Pasal 9

(1)Audit Keamanan SPBE sebagaimana dimaksud dalam Pasal 8 ayat (2) dilakukan pada Aplikasi Khusus dan Infrastruktur SPBE Instansi Pusat tertentu sebagaimana dimaksud dalam Pasal 8 ayat (3) yang ditetapkan sebagai IIV sesuai dengan ketentuan peraturan perundang-undangan.
(2)Dalam hal Aplikasi Khusus dan Infrastruktur SPBE Instansi Pusat tertentu tidak termasuk dalam IIV, Audit Keamanan SPBE dilaksanakan oleh LATIK Terakreditasi yang terdaftar.
(3)Audit Keamanan SPBE terhadap Aplikasi Khusus dan Infrastruktur SPBE Instansi Pusat tertentu sebagaimana dimaksud pada ayat (1) dilaksanakan paling sedikit 1 (satu) kali dalam 2 (dua) tahun.

Pasal 10

(1)Kriteria Audit Keamanan SPBE sebagaimana dimaksud dalam Pasal 2 huruf c meliputi hal pokok teknis pada:
1. a.tata kelola Keamanan SPBE;
2. b.manajemen Keamanan SPBE;
3. c.fungsionalitas dan kinerja Keamanan SPBE; dan
4. d.aspek keamanan lainnya.
(2)Hal pokok teknis sebagaimana dimaksud pada ayat (1) disusun dengan mempertimbangkan:
1. a.kebijakan makro terkait Keamanan SPBE dan pelindungan data pribadi; dan
2. b.kebijakan meso terkait Keamanan SPBE dan pelindungan data pribadi.
(3)Kebijakan makro dan kebijakan meso sebagaimana dimaksud pada ayat (2) merupakan kebijakan yang ditetapkan dalam peraturan perundang-undangan.
(4)Kriteria Audit Keamanan SPBE sebagaimana dimaksud pada ayat (1) ditetapkan dengan Keputusan Kepala Badan.

Pasal 11

(1)Tata Kelola Keamanan SPBE sebagaimana dimaksud dalam Pasal 10 ayat (1) huruf a meliputi pemeriksaan atas aktivitas:
1. a.evaluasi Keamanan SPBE;
2. b.pengarahan Keamanan SPBE; dan
3. c.pengendalian Keamanan SPBE.
(2)Evaluasi Keamanan SPBE sebagaimana dimaksud pada ayat (1) huruf a dilakukan untuk memeriksa mekanisme penilaian kinerja Keamanan SPBE yang dilakukan oleh organisasi sesuai dengan standar dan tujuan yang ditetapkan.
(3)Pengarahan Keamanan SPBE sebagaimana dimaksud pada ayat (1) huruf b dilakukan untuk memeriksa komitmen pimpinan dalam pengambilan keputusan dan pemberian arahan strategis Keamanan SPBE.
(4)Pengendalian Keamanan SPBE sebagaimana dimaksud pada ayat (1) huruf c dilakukan untuk memeriksa mekanisme pengawasan manajemen Keamanan SPBE yang dilakukan oleh organisasi sesuai dengan kebijakan dan prosedur yang ditetapkan.

Isi peraturan

Teks74PDFHirarki

Memuat teks peraturan…