DokumenPeraturan Bupati (Perbup)Berlaku

Peraturan Bupati (Perbup) Kabupaten Garut Nomor 51 Tahun 2025

Nomor: 51
Tahun: 2025
Ditetapkan: 17 Oktober 2025
Status: Berlaku
Pasal terindeks: 31

Lembaga terkait

Ringkasan

Peraturan ini mengatur tentang ketentuan umum; kebijakan sistem manajemen keamanan informasi; pembiayaan; ketentuan penutup.

Isi peraturan

Menimbang

b.bahwa dalam rangka menjamin kerahasiaan, keutuhan, ketersediaan, keaslian, dan kenirsangkalan sumber daya terkait data dan informasi, infrastruktur dan aplikasi sistem Pemerintahan Berbasis Elektronik, perlu melaksanakan manajemen keamanan informasi Sistem Pemerintahan Berbasis Elektronik;
c.bahwa untuk memberikan arah, landasan, dan kepastian hukum dalam menjamin keberlangsungan Sistem Pemerintahan Berbasis Elektronik dengan meminimalkan dampak risiko keamanan informasi perlu adanya pengaturan mengenai manajemen keamanan informasi Sistem Pemerintahan Berbasis Elektronik;
d.bahwa berdasarkan pertimbangan sebagaimana dimaksud dalam huruf a, huruf b, dan huruf c, perlu

Menetapkan

menetapkan Peraturan Bupati Garut tentang Sistem Manajemen Keamanan Informasi; Mengingat : 1. Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 58, Tambahan Lembaran Negara Republik Indonesia Nomor 4843) sebagaimana telah diubah beberapa kali terakhir dengan Undang-Undang Nomor 1 Tahun 2024 tentang Perubahan Kedua atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2024 Nomor 1, Tambahan Lembaran Negara Republik Indonesia Nomor 6905);

2.Undang-Undang Nomor 23 Tahun 2014 tentang Pemerintahan Daerah (Lembaran Negara Republik Indonesia Tahun 2014 Nomor 244, Tambahan Lembaran Negara Republik Indonesia Nomor 5587) sebagaimana telah beberapa kali diubah, terakhir dengan Undang-Undang Nomor 6 Tahun 2023 tentang Penetapan Peraturan Pemerintah Pengganti Undang-Undang Nomor 2 Tahun 2022 tentang Cipta Kerja menjadi Undang-Undang (Lembaran Negara Republik Indonesia Tahun 2023 Nomor 41, Tambahan Lembaran Negara Republik Indonesia Nomor 6856);
3.Undang-Undang Nomor 110 Tahun 2024 tentang Kabupaten Garut di Provinsi Jawa Barat (Lembaran Negara Republik Indonesia Tahun 2024 Nomor 296, Tambahan Lembaran Negara Republik Indonesia Nomor 7047);
4.Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2019 Nomor 185, Tambahan Lembaran Negara Republik Indonesia Nomor 6400);
5.Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintahan Berbasis Elektronik (Lembaran Negara Republik Indonesia Tahun 2018 Nomor 182);
6.Peraturan Badan Siber dan Sandi Negara Nomor 8 Tahun 2020 tentang Sistem Pengamanan dalam Penyelenggaraan Sistem Elektronik (Berita Negara Republik Indonesia Tahun 2020 Nomor 1375);
7.Peraturan Badan Siber dan Sandi Negara Nomor 4 Tahun 2021 tentang Pedoman Manajemen Keamanan Informasi Sistem Pemerintahan Berbasis Elektronik dan Standar Teknis dan Prosedur Keamanan Sistem Pemerintahan Berbasis Elektronik (Berita Negara Republik Indonesia Tahun 2021 Nomor 541);
8.Peraturan Bupati Garut Nomor 35 Tahun 2022 tentang Penyelenggaraan Sistem Pemerintahan Berbasis Elektronik (Berita Daerah Kabupaten Garut Tahun 2022 Nomor 35); MEMUTUSKAN: Menetapkan : PERATURAN BUPATI TENTANG SISTEM MANAJEMEN KEAMANAN INFORMASI.

BAB I

KETENTUAN UMUM

Pasal 1

Dalam Peraturan Bupati ini yang dimaksud dengan:

1.Daerah Kabupaten yang selanjutnya disebut Daerah adalah Daerah Kabupaten Garut.
2.Pemerintah Daerah adalah Bupati sebagai unsur penyelenggara Pemerintahan Daerah yang memimpin pelaksanaan urusan pemerintahan yang menjadi kewenangan daerah otonom.
3.Bupati adalah Bupati Garut.
4.Sekretaris Daerah adalah Sekretaris Daerah Kabupaten Garut.
5.Perangkat Daerah adalah unsur pembantu Bupati dan Dewan Perwakilan Rakyat Daerah Kabupaten dalam penyelenggaraan urusan pemerintahan yang menjadi kewenangan daerah.
6.Sistem Pemerintahan Berbasis Elektronik yang selanjutnya disingkat SPBE adalah penyelenggaraan pemerintahan yang memanfaatkan teknologi informasi dan komunikasi untuk memberikan layanan kepada pengguna SPBE.
7.Informasi adalah keterangan, pernyataan, gagasan, dan tanda-tanda yang mengandung nilai, makna, dan pesan, baik data, fakta maupun penjelasannya yang dapat dilihat, didengar, dan dibaca yang disajikan dalam berbagai kemasan dan format sesuai dengan perkembangan teknologi informasi dan komunikasi secara elektronik ataupun nonelektronik.
8.Teknologi Informasi dan Komunikasi yang selanjutnya disingkat TIK adalah segala kegiatan yang mencakup seluruh peralatan teknis untuk memproses dan menyampaikan informasi.
9.Data adalah tulisan, suara, gambar, peta, rancangan, foto, electronic data interchange, surat elektronik, telegram, teleks, telecopy atau sejenisnya, huruf, tanda, angka, kode akses, simbol, atau perforasi.
10.Informasi Elektronik adalah satu atau sekumpulan data, termasuk tetapi tidak terbatas pada tulisan, suara, gambar, peta, rancangan, foto, electronic data interchange, surat elektronik, telegram, teleks, telecopy atau sejenisnya, huruf, tanda, angka, kode akses, simbol, atau perforasi yang telah diolah yang memiliki arti atau dapat dipahami oleh orang yang mampu memahaminya.
11.Aplikasi adalah satu atau sekumpulan program komputer dan prosedur yang dirancang untuk melakukan tugas atau fungsi layanan.
12.Infrastruktur adalah semua perangkat keras, perangkat lunak, dan fasilitas yang menjadi penunjang utama untuk menjalankan sistem, aplikasi, komunikasi data, pengolahan dan penyimpanan data, perangkat integrasi/penghubung, dan perangkat elektronik lainnya.
13.Sistem Manajemen Keamanan Informasi yang selanjutnya disingkat SMKI adalah sistem manajemen untuk membangun, mengimplementasikan, mengoperasikan, memonitor, meninjau, memelihara dan meningkatkan keamanan informasi berdasarkan pendekatan risiko.
14.Keamanan Informasi adalah terjaganya kerahasiaan, keaslian, keutuhan, ketersediaan dan kenirsangkalan informasi.
15.Risiko adalah kejadian atau kondisi yang tidak diinginkan, yang dapat menimbulkan dampak negatif terhadap pencapaian sasaran kinerja dan layanan sistem elektronik.
16.Manajemen Risiko adalah aktivitas terkoordinasi untuk identifikasi, penilaian, dan penentuan prioritas risiko yang kemudian akan dikelola, dipantau, dan dikontrol untuk mengurangi dampak dan/atau kemungkinan terjadinya risiko tersebut.
17.Rencana Tindak Lanjut risiko yang selanjutnya disebut RTL adalah respon yang direncanakan manajemen untuk menindaklanjuti hasil evaluasi risiko, seperti mitigate/reduce, avoid, share/transfer atau accept.
18.Audit adalah proses yang sistematis untuk memperoleh dan mengevaluasi bukti secara objektif terhadap aset teknologi informasi dan komunikasi dengan tujuan untuk menetapkan tingkat kesesuaian antara teknologi informasi dan komunikasi dengan kriteria dan/atau standar yang telah ditetapkan.
19.Auditor Keamanan Informasi yang selanjutnya disebut Auditor adalah orang yang memiliki kompetensi untuk melakukan Audit Keamanan Informasi.
20.Audit Internal Keamanan Informasi adalah Audit Keamanan Informasi yang dilaksanakan oleh Auditor Keamanan Informasi internal Pemerintah Daerah.
21.Audit Eksternal Keamanan Informasi adalah Audit Keamanan Informasi yang dilaksanakan oleh Auditor Keamanan Informasi eksternal Pemerintah Daerah yang memiliki sertifikasi Auditor Keamanan Informasi.
22.Auditan adalah keseluruhan atau sebagian dari organisasi yang diaudit.
23.Sistem Elektronik adalah serangkaian perangkat dan prosedur elektronik yang berfungsi mempersiapkan, mengumpulkan, mengolah, menganalisis, menyimpan, menampilkan, mengumumkan, mengirimkan, dan/atau menyebarkan informasi elektronik.
24.Sertifikat Elektronik adalah sertifikat yang bersifat elektronik yang memuat Tanda Tangan Elektronik dan identitas yang menunjukkan status subjek hukum para pihak dalam Transaksi Elektronik yang dikeluarkan oleh Penyelenggara Sertifikasi Elektronik.
25.Insiden siber adalah satu atau serangkaian kejadian yang mengganggu atau mengancam keamanan informasi antara lain namun tidak terbatas pada web defacement, malware unauthorized access, data breach, dan Distributed Denial of Service.
26.Tim Tanggap Insiden Siber yang selanjutnya disebut TTIS adalah sekelompok orang yang bertanggung jawab menangani Insiden Siber dalam ruang lingkup yang ditentukan terhadapnya.
27.Tim Pengelola Sistem Manajemen Keamanan Informasi yang selanjutnya disebut Tim SMKI adalah sekelompok orang yang bertanggung jawab untuk menyusun, mengkomunikasikan, memastikan, dan memantau pelaksanaan SMKI di Pemerintah Daerah.
28.Keamanan SPBE adalah pengendalian keamanan yang terpadu dalam SPBE mencakup penjaminan kerahasiaan, keutuhan, ketersediaan, keaslian, dan kenirsangkalan sumber daya terkait data dan informasi, infrastruktur SPBE, dan aplikasi SPBE.
29.Pusat Data adalah fasilitas yang digunakan untuk penempatan sistem elektronik dan komponen terkait lainnya untuk keperluan penempatan, penyimpanan dan pengolahan data, dan pemulihan data.
30.Enkripsi adalah proses mengubah data teks biasa menjadi bentuk yang tidak dapat dibaca atau dimengerti oleh pihak yang tidak berwenang.
31.Kriptografi adalah ilmu yang mempelajari cara menyamarkan informasi dan mengubah kembali bentuk tersamar tersebut ke informasi awal untuk meningkatkan Keamanan Informasi dengan menggunakan 2 (dua) prinsip yaitu enkripsi dan deskripsi.
32.Penyimpanan Awan yang selanjutnya disebut dengan Cloud adalah teknologi penyimpanan data digital yang memungkinkan menyimpan, mengakses, dan mengelola file di server yang terhubung melalui internet.
33.Penilaian Kerentanan adalah proses mengidentifikasi, menganalisis, dan memprioritaskan celah keamanan pada sistem, jaringan, dan aplikasi berdasarkan tingkat kritikalitas.
34.Pencatatan adalah proses penyimpanan informasi terkait kejadian, aktivitas, dan interaksi pada aplikasi dan infrastruktur SPBE.
35.Manajemen Aset TIK adalah serangkaian proses untuk merencanakan, mengakuisisi, mengelola, dan menghapus seluruh aset aplikasi dan infrastruktur SPBE.
36.Peta Rencana SPBE adalah dokumen yang mendeskripsikan arah dan langkah penyiapan dan pelaksanaan SPBE yang terintegrasi.
37.Layanan Informasi adalah layanan yang menyediakan, mengelola, dan menyajikan informasi untuk memenuhi kebutuhan pelayanan informasi.

Pasal 2

(1)Peraturan Bupati ini dimaksudkan sebagai pedoman bagi Pemerintah Daerah dalam penerapan manajemen Keamanan Informasi SPBE di lingkungan Pemerintah Daerah.
(2)Pedoman dalam penerapan manajemen Kemanana Informasi SPBE sebagaimana dimaksud pada ayat (1) meliputi:
1. a.penetapan ruang lingkup;
2. b.penetapan penanggung jawab SMKI;
3. c.perencanaan;
4. d.dukungan pengoperasian;
5. e.kendali keamanan;
6. f.audit Keamanan Informasi; dan
7. g.evaluasi kinerja dan perbaikan berkelanjutan Keamanan Informasi.
(3)Kendali keamanan sebagaimana diatur pada ayat (2) huruf e terdiri dari:
1. a.keamanan sumber daya manusia;
2. b.keamanan aset informasi;
3. c.keamanan akses;
4. d.keamanan kriptografi;
5. e.keamanan fisik dan lingkungan;
6. f.keamanan opersional;
7. g.keamanan komunikasi;
8. h.keamanan pengembangan dan pemeliharaan;
9. i.keamanan Pihak Ketiga;
10. j.manajemen insiden siber;
11. k.manajemen keberlangsungan layanan informasi; dan
12. l.pengendalian kepatuhan.

BAB II

KEBIJAKAN SISTEM MANAJEMEN KEAMANAN INFORMASI

Pasal 3

(1)Penetapan ruang lingkup manajemen Keamanan Informasi sebagaimana dimaksud dalam pasal 2 ayat (2) huruf a meliputi:
1. a.data dan informasi;
2. b.aplikasi;
3. c.infrastruktur; dan
4. d.sumber daya manusia.
(2)Penetapan ruang lingkup sebagaimana dimaksud pada ayat (1) merupakan aset Pemerintah Daerah yang harus diamankan.

Pasal 4

(1)Sekretaris Daerah selaku koordinator SPBE berperan sebagai penanggung jawab SMKI.
(2)Dalam melaksanakan tanggung jawab sebagaimana dimaksud pada ayat (1), Sekretaris Daerah dibantu oleh Tim SMKI selaku pelaksana teknis Keamanan Informasi.
(3)Penanggung jawab SMKI sebagaimana dimaksud pada ayat (1) ditetapkan oleh Bupati.

Pasal 5

(1)Tim SMKI sebagaimana dimaksud dalam Pasal 4 ayat (2) terdiri atas:
1. a.ketua tim; dan
2. b.anggota tim.
(2)Ketua Tim sebagaimana dimaksud pada ayat (1) huruf a dijabat oleh Kepala Perangkat Daerah yang melaksanakan urusan pemerintahan bidang komunikasi dan informatika.
(3)Ketua tim SMKI sebagaimana dimaksud pada ayat (2) memiliki kewenangan dalam menentukan komposisi, kualifikasi, dan jumlah anggota tim.
(4)Anggota Tim Sebagaimana dimaksud pada ayat (1) huruf b terdiri dari Kepala Perangkat Daerah yang memiliki, membawahi, membangun, memelihara, dan/atau mengembangkan aplikasi dan/atau infrastruktur Teknologi Informasi dan Komunikasi di Daerah.
(5)Khusus di lingkungan Sekretariat Daerah dan Sekretariat DPRD, anggota tim sebagaimana dimaksud pada ayat (4) dilaksanakan oleh kepala unit kerja yang memiliki, membawahi, membangun, memelihara, dan/atau mengembangkan aplikasi dan/atau infrastruktur Teknologi Informasi dan Komunikasi di Daerah.
(6)Tim SMKI sebagaimana dimaksud pada ayat (1) ditetapkan oleh Bupati.

Pasal 6

Dalam pengelolaan SMKI di lingkungan Pemerintah Daerah, Perangkat Daerah yang melaksanakan urusan pemerintahan bidang pengawasan berperan melaksanakan audit internal Keamanan Informasi.

Pasal 7

(1)Sekretaris Daerah bertanggung jawab untuk:
1. a.memastikan pelaksanaan kebijakan SMKI;
2. b.menyediakan sumber daya yang memadai untuk menetapkan, mengimplementasikan, mengoperasikan, memantau, meninjau, memelihara, dan meningkatkan SMKI Pemerintah Daerah;
3. c.menetapkan kriteria penerimaan risiko dan tingkat risiko yang dapat diterima;
4. d.memastikan pelaksanaan audit internal Keamanan Informasi;
5. e.menetapkan arsitektur Keamanan Informasi;
6. f.menetapkan peta rencana 5 (lima) tahunan dan sasaran Keamanan Informasi setiap tahunnya;
7. g.melakukan tinjauan secara berkala atas pelaksanaan kebijakan SMKI; dan
8. h.menyampaikan kinerja pelaksanaan kebijakan SMKI kepada Bupati.
(2)Tim SMKI sebagaimana dimaksud dalam Pasal 5 bertanggung jawab untuk:
1. a.menyusun, mengkomunikasikan, dan memantau pelaksanaan kebijakan SMKI di Pemerintah Daerah;
2. b.melakukan analisis kebutuhan Keamanan Informasi;
3. c.merumuskan, mengkoordinasikan, dan melaksanakan program kerja dan anggaran Keamanan Informasi;
4. d.memastikan seluruh pembangunan dan/atau pengembangan aplikasi dan infrastruktur informasi termasuk yang dilakukan oleh Pihak Ketiga, minimal memenuhi Standar Teknis dan Prosedur Keamanan Informasi yang ditetapkan oleh badan yang melaksanakan tugas pemerintahan dibidang keamanan siber;
5. e.memastikan peningkatan kesadaran, kepedulian, dan kepatuhan oleh seluruh pegawai terhadap kebijakan, prosedur, dan standar Keamanan Informasi;
6. f.memastikan diterapkannya perjanjian menjaga kerahasiaan aset informasi yang dituangkan dalam dokumen perjanjian kerahasiaan;
7. g.mengendalikan dan menjaga kemutakhiran kebijakan, prosedur, dan standar Keamanan Informasi;
8. h.memfasilitasi pelaksanaan audit internal dan audit eksternal Keamanan Informasi;
9. i.dalam memfasilitasi pelaksanaan audit eksternal Keamanan Informasi sebagaimana dimaksud pada huruf h, Tim SMKI dapat menunjuk pihak yang berkompeten dibidang audit Keamanan Informasi sebagai konsultan;
10. j.memastikan diterapkannya manejemen risiko, manajemen insiden siber, dan manajemen aset dalam pelaksanaan pengamanan aset informasi;
11. k.mendorong perbaikan penerapan Keamanan Informasi berdasarkan hasil temuan audit internal dan audit eksternal; dan
12. l.menyusun laporan evaluasi penerapan Kebijakan SMKI dan menyampaikannya kepada Sekretaris Daerah.
(3)Analisis kebutuhan Keamanan Informasi sebagaimanan dimaksud pada ayat (2) huruf b diselenggarakan dengan cara:
1. a.mengidentifikasi aplikasi dan infrastruktur untuk Keamanan Informasi;
2. b.mengidentifikasi standar kompetensi personel Keamanan Informasi; dan
3. c.mengidentifikasi program peningkatan kompetensi Keamanan Informasi dan penanggulangan insiden siber.
(4)Perangkat Daerah yang melaksanakan urusan pemerintahan bidang pengawasan internal sebagaimana dimaksud dalam Pasal 6 bertanggung jawab untuk :
1. a.menyusun pedoman audit internal Keamanan Informasi;
2. b.menyusun perencanaan audit internal Keamanan Informasi;
3. c.melaksanakan kegiatan audit internal Keamanan Informasi;
4. d.memberikan rekomendasi perbaikan atas hasil temuan audit internal Keamanan Informasi;
5. e.menyusun laporan audit Keamanan Informasi;
6. f.menyampaikan laporan audit internal Keamanan Informasi kepada Sekretaris Daerah.

Pasal 8

(1)Pemerintah Daerah sebagai Penyelenggara SPBE, melakukan kategorisasi setiap sistem elektronik yang dimilikinya sebagai salah satu dasar dalam pelaksanaan Keamanan Informasi.
(2)Penentuan kategorisasi sistem elektronik dilakukan sesuai peraturan perundangan yang ditetapkan oleh badan yang menyelenggarakan tugas pemerintahan dibidang keamanan siber.

Pasal 9

(1)Pelaksanaan Keamanan Informasi dilakukan dengan memperhatikan berbagai risiko yang dapat mengakibatkan terjadinya kegagalan Keamanan Informasi di Pemerintah Daerah.
(2)Dalam melaksanakan perencanaan Keamanan Informasi, Tim SMKI melakukan manajemen risiko Keamanan Informasi yang meliputi:
1. a.menyusun penilaian risiko Keamanan Informasi dengan megidentifikasi ancaman, kerentanan, peluang dan dampak apabila risiko terjadi;
2. b.menyusun RTL bersama Perangkat Daerah pemilik aset TIK; dan
3. c.melakukan sosialisasi dan komunikasi RTL kepada para pemilik risiko.
(3)Proses manajemen risiko dilakukan secara berkala paling sedikit 1 (satu) kali dalam 1 (satu) tahun dan juga apabila ada perubahan aset atau proses bisnis yang berdampak signifikan terhadap profil risiko yang ditetapkan.

Pasal 10

(1)Tim SMKI menyusun program kerja Keamanan Informasi berdasarkan RTL sebagai wujud realisasi atas tindak lanjut risiko Keamanan Informasi.
(2)Program kerja sebagaimana yang dimaksud pada ayat (1) dilakukan dengan merumuskan:
1. a.program kerja Keamanan Informasi; dan
2. b.target realisasi program kerja Keamanan Informasi.
(3)Program kerja Keamanan Informasi sebagaimana dimaksud pada ayat (2) paling sedikit meliputi:
1. a.edukasi kesadaran Keamanan Informasi;
2. b.penilaian kerentanan Keamanan Informasi;
3. c.peningkatan Keamanan Informasi;
4. d.penanganan insiden siber; dan
5. e.audit Keamanan Informasi.
(4)Program kerja Keamanan Informasi dituangkan dalam peta rencana Keamanan Informasi yang disusun untuk periode 5 (lima) tahunan dengan sasaran Keamanan Informasi yang ditetapkan untuk setiap tahunnya.
(5)Peta rencana Keamanan Informasi sebagaimana dimaksud pada ayat (4) menjadi bagian dari peta rencana SPBE.

Isi peraturan

Teks31PDFHirarki

Memuat teks peraturan…