Laporan Indeks Keamanan Informasi: Panduan Indeks KAMI dan IKASANDI untuk Instansi Pemerintah

Update 3 Oktober 2026. Artikel ini kini menjadi panduan gabungan Indeks KAMI dan IKASANDI untuk instansi pemerintah. Indeks KAMI tetap dibahas sebagai instrumen kesiapan penerapan keamanan informasi/SMKI, sedangkan IKASANDI dibahas sebagai instrumen pengukuran kematangan keamanan siber dan persandian. Keduanya tidak disamakan dan tidak dinyatakan saling menggantikan secara universal.

Indeks KAMI dan IKASANDI sama-sama digunakan dalam ekosistem penguatan keamanan pemerintah, tetapi fokusnya berbeda. Indeks Keamanan Informasi (Indeks KAMI) membantu menilai kesiapan penerapan keamanan informasi dan Sistem Manajemen Keamanan Informasi (SMKI), termasuk kelengkapan serta kematangan kerangka kerja. IKASANDI digunakan untuk mengukur kematangan keamanan siber dan penyelenggaraan persandian, dengan penilaian berbasis bukti dan verifikasi sesuai instrumen yang berlaku.

Karena tujuan keduanya tidak identik, hasil Indeks KAMI dan IKASANDI tidak seharusnya dicampur menjadi satu skor. Gunakan keduanya sesuai ruang lingkup, objek penilaian, level pemerintahan, dan arahan program BSSN pada periode berjalan. Prinsip dasarnya tetap sama: dokumen menunjukkan desain; bukti operasional menunjukkan penerapan; pengukuran dan pengujian menunjukkan efektivitas.

Catatan penting 2026: bukti publik 2025–2026 menunjukkan Indeks KAMI v5.0 dan IKASANDI sama-sama masih digunakan. Contohnya, Bimtek Pemprov Kalimantan Barat pada April 2026 menyebut materi Indeks KAMI v5.0 untuk tingkat provinsi dan IKASANDI untuk tingkat kabupaten/kota dalam persiapan penilaian Pemerintah Digital. Karena itu artikel ini membahas keduanya berdampingan, bukan menyatakan satu instrumen menghapus instrumen lainnya.

Navigasi cepat:
Indeks KAMI vs IKASANDI · Indeks KAMI · IKASANDI · Domain IKASANDI · Area Indeks KAMI · Regulasi · Tata kelola · Risiko · ISO 27001 · Bukti dukung · Kematangan · PEMDI 2026 · FAQ

Indeks KAMI vs IKASANDI: Apa Bedanya?

Untuk kebutuhan instansi pemerintah, cara paling aman adalah memperlakukan keduanya sebagai dua alat ukur yang saling melengkapi tetapi tidak identik. Indeks KAMI membantu melihat kesiapan pengelolaan keamanan informasi/SMKI, sedangkan IKASANDI memperluas perhatian pada kematangan keamanan siber dan persandian.

Aspek	Indeks KAMI	IKASANDI
Fokus utama	Kesiapan penerapan keamanan informasi / SMKI serta kelengkapan dan kematangan kerangka kerja.	Kematangan keamanan siber dan penyelenggaraan persandian.
Objek yang dilihat	Tata kelola, risiko, kerangka kerja, aset, teknologi, PDP, pihak ketiga, serta bukti penerapan.	Area keamanan siber dan area persandian; pada keamanan siber mencakup Identifikasi, Proteksi, Deteksi, Penanggulangan dan Pemulihan.
Karakter hasil	Skor/kategori kesiapan sesuai instrumen Indeks KAMI dan konteks sistem elektronik yang dinilai.	Level kematangan 1–5 untuk kemampuan keamanan siber; penilaian persandian dilaporkan sebagai indeks/level tersendiri.
Dasar penting	Peraturan BSSN No. 8 Tahun 2021 sebagaimana diubah dengan Peraturan BSSN No. 9 Tahun 2021.	Peraturan BSSN No. 10 Tahun 2023 untuk pengukuran tingkat kematangan keamanan siber; penyelenggaraan persandian pemerintah daerah juga terkait Peraturan BSSN No. 10 Tahun 2019.
Hubungan dengan ISO 27001	Sangat dekat; digunakan untuk kesiapan penerapan SNI ISO/IEC 27001.	Dapat memakai praktik/kerangka kontrol yang selaras dengan ISO 27001, tetapi tujuan pengukurannya adalah kematangan keamanan siber dan sandi.
Apakah saling menggantikan?	Tidak dapat disimpulkan demikian secara universal.	Penggunaan aktual bergantung pada program, level pemerintahan, objek penilaian, dan arahan BSSN.

Apa Itu Indeks KAMI v5.0?

Indeks KAMI v5.0 merupakan instrumen evaluasi keamanan informasi yang dikembangkan dalam ekosistem BSSN dan diselaraskan dengan pendekatan Sistem Manajemen Keamanan Informasi. Versi 5.0 yang beredar sejak Maret 2023 memperluas evaluasi agar lebih selaras dengan ISO/IEC 27001:2022, termasuk area Pelindungan Data Pribadi serta penyesuaian pada aspek aset, teknologi, layanan awan, dan pihak ketiga.

Tujuannya bukan menggantikan audit teknis. Indeks KAMI membantu pimpinan dan pengelola keamanan memahami posisi organisasi: apa yang sudah tersedia, apa yang sudah dijalankan, seberapa konsisten penerapannya, dan bagian mana yang perlu menjadi prioritas perbaikan.

Area Evaluasi Utama Indeks KAMI

Kategori Sistem Elektronik — memahami tingkat kepentingan dan karakteristik sistem yang dinilai.
Tata Kelola Keamanan Informasi — kebijakan, struktur, wewenang, akuntabilitas, dan dukungan pimpinan.
Pengelolaan Risiko Keamanan Informasi — identifikasi, analisis, perlakuan, penerimaan, pemantauan, dan review risiko.
Kerangka Kerja Keamanan Informasi — kebijakan, prosedur, standar, kontrol, dan integrasi ke proses organisasi.
Pengelolaan Aset Informasi — inventaris, pemilik, klasifikasi, penggunaan, penyimpanan, transfer, retensi, dan penghapusan.
Teknologi dan Keamanan Informasi — kontrol akses, autentikasi, jaringan, endpoint, backup, logging, monitoring, kerentanan, konfigurasi, pengembangan aplikasi, dan kontrol teknis lain.
Pelindungan Data Pribadi — perlindungan data pribadi dalam siklus pemrosesan sesuai risiko dan kewajiban hukum.
Keterlibatan Pihak Ketiga — risiko pemasok/penyedia layanan, kontrak, SLA, hak akses, monitoring, insiden, dan penghentian layanan.

Apa Itu IKASANDI?

IKASANDI digunakan BSSN sebagai instrumen pengukuran tingkat kematangan keamanan siber dan sandi pada organisasi atau Penyelenggara Sistem Elektronik. Dalam praktik penilaian pemerintah, prosesnya dapat mencakup self-assessment, penyampaian dokumen pendukung, wawancara/diskusi, dan verifikasi bukti oleh tim BSSN.

Pada penilaian ANRI tahun 2025, IKASANDI dibagi ke dalam dua area besar: tingkat kematangan keamanan siber dan tingkat kematangan persandian. Area keamanan siber membahas domain Identifikasi, Proteksi, Deteksi, serta Penanggulangan dan Pemulihan; aspek persandian dinilai sebagai area tersendiri.

Domain Keamanan Siber dalam IKASANDI

Identifikasi — memahami aset, layanan, risiko, ancaman, konteks organisasi, dan ketergantungan yang perlu dilindungi.
Proteksi — menerapkan kontrol untuk mengurangi kemungkinan dan dampak serangan, termasuk akses, konfigurasi, SDM, backup, kriptografi, dan perlindungan teknologi.
Deteksi — kemampuan menemukan kejadian/anomali secara tepat waktu melalui logging, monitoring, analisis, dan mekanisme eskalasi.
Penanggulangan dan Pemulihan — kemampuan merespons insiden, mengendalikan dampak, memulihkan layanan, dan melakukan perbaikan pascainsiden.

Area Persandian

Persandian tidak hanya berarti “enkripsi”. Dalam konteks pemerintah, area ini berkaitan dengan penyelenggaraan persandian untuk pengamanan informasi, penerapan kriptografi, tata kelola layanan dan perangkat sandi sesuai kewenangan, serta pengamanan kerahasiaan, keaslian, integritas, dan/atau nirpenyangkalan sesuai kebutuhan layanan digital.

Tingkat Kematangan Keamanan Siber

Level	Nama	Makna praktis
1	Awal	Praktik masih awal/ad-hoc dan belum konsisten.
2	Berulang	Praktik mulai dilakukan berulang tetapi belum seluruhnya terdefinisi/terstandar.
3	Terdefinisi	Kebijakan, proses, dan prosedur telah didefinisikan serta diterapkan lebih konsisten.
4	Terkelola	Penerapan dikelola, dipantau, dan diukur.
5	Inovatif	Organisasi mampu melakukan optimasi dan peningkatan berkelanjutan secara matang.

Peraturan BSSN No. 8 Tahun 2023 menggunakan lima level tersebut untuk target penerapan kontrol keamanan pada pelindungan Infrastruktur Informasi Vital, dan Peraturan BSSN No. 10 Tahun 2023 mengatur pelaksanaan, pelaporan, serta verifikasi pengukuran tingkat kematangan keamanan siber.

Contoh Bukti Dukung IKASANDI

Area	Contoh evidence
Identifikasi	Inventaris aset/sistem elektronik, klasifikasi, risk register, pemilik aset, profil ancaman, dependensi layanan, hasil assessment.
Proteksi	Kebijakan akses, MFA sesuai risiko, hardening, patching, backup, kriptografi, segmentasi, awareness, keamanan pemasok/cloud.
Deteksi	Log, SIEM/monitoring, use case deteksi, alert, baseline, analisis anomali, prosedur eskalasi.
Penanggulangan & Pemulihan	SOP insiden, CSIRT/TTIS, tiket dan timeline insiden, komunikasi krisis, recovery plan, restore test, lesson learned.
Persandian	Kebijakan persandian, tata kelola kunci/sertifikat, penerapan kriptografi, layanan sertifikat elektronik, inventaris penggunaan sandi, bukti operasional sesuai kewenangan.

Catatan verifikasi: praktik penilaian 2026 menunjukkan jawaban “sudah” perlu disertai bukti. Pada penilaian IKASANDI Lombok Barat, indikator dan dokumen pendukung diklarifikasi serta divalidasi bersama verifikator BSSN. Karena itu, lebih baik menyiapkan evidence register daripada hanya daftar kebijakan.

Peta Regulasi dan Standar yang Relevan pada 2026

Untuk artikel 2026, rujukan perlu dipisahkan secara jelas antara instrumen kesiapan Indeks KAMI, SPBE, pelindungan IIV, audit keamanan SPBE, pelindungan data pribadi, dan standar ISO. Berikut acuan yang lebih tepat dibanding rujukan lama yang mencampurkan beberapa nomor peraturan.

Acuan	Pokok materi	Relevansi
Peraturan BSSN No. 9 Tahun 2021	Perubahan atas Peraturan BSSN No. 8 Tahun 2021 tentang penyelenggaraan penilaian kesiapan penerapan SNI ISO/IEC 27001 menggunakan Indeks Keamanan Informasi.	Acuan langsung untuk konteks penilaian kesiapan melalui Indeks KAMI.
Perpres No. 95 Tahun 2018	Sistem Pemerintahan Berbasis Elektronik (SPBE).	Menempatkan keamanan sebagai bagian dari penyelenggaraan SPBE.
Perpres No. 82 Tahun 2022	Pelindungan Infrastruktur Informasi Vital (IIV).	Relevan untuk layanan/sistem pemerintah yang memenuhi kriteria IIV.
Peraturan BSSN No. 8 Tahun 2023	Kerangka Kerja Pelindungan Infrastruktur Informasi Vital.	Memperkuat konteks tata kelola, risiko, pelindungan, pembinaan, dan pengawasan IIV.
Peraturan BSSN No. 8 Tahun 2024	Standar dan Tata Cara Pelaksanaan Audit Keamanan SPBE.	Relevan untuk tata kelola, manajemen, bukti audit, dan evaluasi keamanan SPBE.
Peraturan BSSN No. 5 Tahun 2025	Peta Jalan Pelindungan IIV Sektor Administrasi Pemerintahan Tahun 2025–2029.	Memberi konteks strategis terbaru bagi sektor administrasi pemerintahan.
UU No. 27 Tahun 2022	Pelindungan Data Pribadi (PDP).	Relevan untuk pengendalian pemrosesan data pribadi, keamanan, dan akuntabilitas.
ISO/IEC 27001:2022	Persyaratan Sistem Manajemen Keamanan Informasi (SMKI/ISMS), dengan Amendment 1:2024.	Kerangka manajemen berbasis risiko; Annex A menjadi referensi kontrol untuk perlakuan risiko.
Peraturan BSSN No. 10 Tahun 2023	Pengukuran Tingkat Kematangan Keamanan Siber.	Dasar penting untuk pelaksanaan, pelaporan, dan verifikasi pengukuran kematangan keamanan siber.
Peraturan BSSN No. 10 Tahun 2019	Pelaksanaan Persandian untuk Pengamanan Informasi di Pemerintah Daerah.	Relevan untuk tata kelola penyelenggaraan persandian pemerintah daerah.

Catatan: daftar di atas merupakan peta acuan umum. Instansi tetap perlu memeriksa regulasi sektoral, kebijakan internal, keputusan pimpinan, standar teknis, serta ketentuan terbaru yang secara khusus berlaku pada sistem dan layanan yang dikelolanya.

1. Tata Kelola dan Kebijakan Keamanan Informasi

Keamanan informasi yang matang dimulai dari keputusan manajemen, bukan dari pembelian perangkat. Pimpinan perlu menetapkan kebijakan, sasaran, peran, batas kewenangan, mekanisme eskalasi, serta sumber daya. Kebijakan harus terhubung dengan risiko organisasi dan layanan publik yang dilindungi.

Peran dan tanggung jawab

Peran	Tanggung jawab utama	Contoh evidence
Pimpinan instansi	Menetapkan arah, kebijakan, sasaran, dukungan sumber daya, dan penerimaan risiko.	SK/kebijakan, notulen tinjauan manajemen, persetujuan risk treatment, alokasi anggaran.
Pengelola keamanan informasi / fungsi persandian	Koordinasi SMKI, Indeks KAMI, register risiko, kontrol, kepatuhan, dan pelaporan.	Risk register, SoA, rencana kerja, laporan monitoring, bukti koordinasi.
Pemilik proses / pemilik aset	Menetapkan kebutuhan keamanan dan klasifikasi aset serta memastikan kontrol diterapkan pada prosesnya.	Inventaris aset, klasifikasi, kebutuhan CIA, persetujuan akses.
Tim CSIRT / penanganan insiden	Deteksi, triase, respons, eskalasi, pemulihan, dan pembelajaran pascainsiden.	Tiket insiden, timeline, laporan insiden, lesson learned, bukti latihan.
Pengelola TI / administrator	Menerapkan kontrol teknis, patching, konfigurasi, backup, logging, akses, dan monitoring.	Konfigurasi sistem, log, laporan patch, hasil restore test, daftar akun.
Audit internal / pengawasan	Memberikan assurance independen atas desain, implementasi, dan efektivitas kontrol.	Program audit, working paper, temuan, tindak lanjut, status corrective action.

Pemisahan tugas perlu diterapkan secara proporsional. Pihak yang membuat atau mengoperasikan kontrol tidak selalu ideal menjadi satu-satunya pihak yang menyatakan kontrol tersebut efektif. Audit, review, atau verifikasi independen membantu menjaga objektivitas.

Kebijakan minimum yang biasanya diperlukan

Kebijakan keamanan informasi/SMKI dan ruang lingkupnya.
Kebijakan manajemen risiko keamanan informasi.
Klasifikasi dan penanganan informasi.
Pengendalian akses, autentikasi, dan pengelolaan akun istimewa.
Penggunaan aset, email, internet, perangkat bergerak, dan media penyimpanan.
Backup, pemulihan, keberlangsungan, dan pemulihan bencana.
Pengelolaan kerentanan, patch, hardening, dan konfigurasi.
Logging, monitoring, dan respons insiden.
Keamanan pengembangan aplikasi dan perubahan sistem.
Keamanan pihak ketiga dan layanan cloud.
Pelindungan data pribadi, retensi, dan penghapusan informasi.

2. Penilaian dan Manajemen Risiko Keamanan Informasi

Risk assessment perlu konsisten, terdokumentasi, dan dapat diulang. Organisasi harus menetapkan konteks, skala kemungkinan, skala dampak, kriteria penerimaan risiko, pemilik risiko, metode perlakuan, serta frekuensi review. Metodologi boleh berbeda antarorganisasi, tetapi hasilnya harus dapat ditelusuri kembali ke aset, proses, ancaman, kerentanan, dampak, dan kontrol yang dipilih.

Contoh register aset dan risiko

Aset/layanan	Risiko utama	Level contoh	Contoh perlakuan
Database layanan publik	Kebocoran data, perubahan tidak sah, kehilangan data	Tinggi	Kontrol akses, enkripsi sesuai kebutuhan, backup teruji, logging, pemantauan, DLP sesuai risiko.
Aplikasi layanan publik	Eksploitasi kerentanan, penyalahgunaan akun, gangguan layanan	Tinggi	Secure SDLC, patching, MFA untuk akun berisiko, security testing, WAF/monitoring sesuai konteks.
Jaringan intra instansi	Akses tidak sah, lateral movement, DDoS/gangguan	Tinggi/Sedang	Segmentasi, hardening, network monitoring, secure configuration, redundansi.
Dokumen elektronik sensitif	Eksposur tidak sah, salah kirim, retensi berlebihan	Sedang/Tinggi	Klasifikasi, akses berbasis kebutuhan, masking, DLP, retensi dan penghapusan aman.
Layanan cloud/pihak ketiga	Kegagalan pemasok, konfigurasi salah, akses vendor	Sedang/Tinggi	Due diligence, klausul keamanan, pembagian tanggung jawab, review akses, monitoring SLA dan insiden.

Risk treatment yang baik harus menjawab

Risiko apa yang ditangani?
Kontrol apa yang dipilih dan mengapa?
Siapa PIC/pemilik tindakan?
Apa target waktu dan sumber dayanya?
Apa bukti bahwa tindakan benar-benar diterapkan?
Bagaimana efektivitasnya diuji?
Berapa risiko residual setelah kontrol berjalan?
Siapa yang menerima risiko residual tersebut?

Prinsip evidence: risk register tanpa bukti implementasi belum cukup. Contoh: “backup harian” perlu didukung laporan job dan restore test; “MFA diterapkan” perlu didukung konfigurasi atau laporan enrolment; “patching rutin” perlu didukung inventory, status patch, exception, dan tindak lanjut.

3. Kontrol Keamanan Informasi — ISO/IEC 27001:2022 Annex A

ISO/IEC 27001:2022 menggunakan pendekatan berbasis risiko. Annex A menyediakan kumpulan kontrol referensi yang dibandingkan dengan kebutuhan perlakuan risiko. Pada edisi 2022, kontrol dikelompokkan menjadi empat tema besar.

Kelompok	Fokus	Contoh kontrol
A.5 — Organizational	Kebijakan; peran; threat intelligence; penggunaan aset; pemasok; cloud; kesiapan TIK untuk keberlangsungan.	A.5.1, A.5.4, A.5.7, A.5.10, A.5.19–A.5.23, A.5.30
A.6 — People	Screening, syarat kerja, awareness, disiplin, kewajiban setelah perubahan/berakhirnya kerja, pelaporan event.	A.6.1–A.6.8
A.7 — Physical	Perimeter, akses fisik, pengamanan ruang, monitoring fisik, perlindungan peralatan dan media.	A.7.1–A.7.14
A.8 — Technological	Endpoint, akses, autentikasi, malware, kerentanan, konfigurasi, penghapusan/masking/DLP, backup, log, monitoring, jaringan, kriptografi, secure development.	A.8.1–A.8.34

Koreksi nomor kontrol penting dari draft lama

HTML lama masih mencampur nomor kontrol dari struktur ISO lama dengan ISO/IEC 27001:2022. Versi refresh ini menggunakan penomoran 2022 untuk contoh-contoh berikut.

Topik	Rujukan 2022	Keterangan
Kriptografi	A.8.24 — Use of cryptography	Menggantikan rujukan lama/keliru seperti A.8.2.3 pada draft sebelumnya.
Backup informasi	A.8.13 — Information backup	Bukan A.8.3.1 pada struktur ISO/IEC 27001:2022.
Secure authentication	A.8.5 — Secure authentication	MFA adalah salah satu implementasi yang dapat digunakan sesuai risiko.
Secure coding	A.8.28 — Secure coding	Digunakan bersama kontrol secure development lain sesuai konteks.
ICT readiness for business continuity	A.5.30	Menghubungkan kesiapan TIK dengan sasaran keberlangsungan, termasuk RTO/RPO.

3.1 Organizational Controls (A.5)

Kontrol organisasi menghubungkan kebijakan, risiko, pemasok, informasi ancaman, penggunaan aset, layanan cloud, dan keberlangsungan. Contoh area yang biasanya penting bagi instansi pemerintah adalah kebijakan keamanan informasi, tanggung jawab manajemen, threat intelligence, penggunaan aset yang dapat diterima, pengelolaan hubungan pemasok, keamanan cloud, dan kesiapan TIK untuk keberlangsungan.

3.2 People Controls (A.6)

Manusia tetap menjadi bagian penting dari keamanan. Kontrol perlu mencakup screening sesuai kewenangan dan kebutuhan, persyaratan kerja, awareness, pelatihan, proses disiplin, kewajiban ketika pegawai pindah/berhenti, perjanjian kerahasiaan, kerja jarak jauh, dan pelaporan kejadian keamanan.

3.3 Physical Controls (A.7)

Perimeter, akses ruang, perlindungan perangkat, pengamanan lingkungan, CCTV/monitoring fisik jika relevan, perlindungan media, cabling, maintenance, serta disposal aset perlu disesuaikan dengan risiko dan klasifikasi aset.

3.4 Technological Controls (A.8)

Kontrol teknologi mencakup endpoint, akses istimewa, autentikasi, kapasitas, malware, kerentanan, konfigurasi, penghapusan informasi, masking, DLP, backup, redundancy, logging, monitoring, sinkronisasi waktu, network security, segregasi jaringan, web filtering, kriptografi, secure SDLC, security testing, separation environment, change management, dan kontrol teknis lain yang relevan.

3.5 Pelindungan Data Pribadi

Area PDP harus diperlakukan sebagai bagian dari tata kelola dan risiko, bukan hanya sebagai checkbox. Instansi perlu mengetahui data pribadi apa yang diproses, mengapa diproses, siapa yang mengakses, berapa lama disimpan, kepada siapa ditransfer, bagaimana dilindungi, dan bagaimana insiden ditangani. UU No. 27 Tahun 2022 perlu dibaca bersama kebijakan sektoral dan prosedur internal yang berlaku.

4. Pemantauan, Audit, dan Evaluasi Efektivitas

Organisasi yang matang tidak berhenti setelah kontrol dipasang. Kontrol perlu dipantau, diuji, dievaluasi, dan diperbaiki. Audit internal, audit keamanan SPBE, review risiko, management review, vulnerability management, pengujian pemulihan, evaluasi insiden, serta pengukuran indikator kinerja memberi bukti apakah kontrol benar-benar bekerja.

Contoh indikator yang lebih berguna daripada sekadar “sudah/belum”

Persentase aset kritis yang memiliki pemilik, klasifikasi, dan risk assessment terkini.
Persentase akun istimewa yang telah direview pada periode berjalan.
Persentase sistem kritis dengan backup berhasil dan restore test yang lulus.
Rata-rata waktu penutupan kerentanan kritis/tinggi sesuai SLA internal.
Persentase log sumber kritis yang masuk ke mekanisme monitoring.
Jumlah temuan audit overdue dan umur temuan tertua.
Persentase pegawai yang menyelesaikan awareness dan simulasi yang diwajibkan.
Mean Time to Detect / Mean Time to Respond bila organisasi memiliki data yang cukup andal.

5. Evidence / Bukti Dukung yang Perlu Disiapkan

Indeks KAMI dan evaluasi keamanan akan lebih bernilai jika setiap jawaban dapat diikat ke bukti yang jelas. Hindari membuat dokumen semata-mata untuk “mengisi skor”; bukti harus berasal dari praktik yang benar-benar berjalan.

Area	Contoh bukti dukung
Tata kelola	Kebijakan keamanan informasi, SK peran/tanggung jawab, sasaran keamanan, rencana kerja, notulen tinjauan manajemen.
Risiko	Metodologi risiko, daftar aset, risk register, risk treatment plan, acceptance risiko, review berkala.
Aset & akses	Inventaris aset, pemilik aset, klasifikasi informasi, matriks hak akses, review akun berkala, bukti offboarding.
Operasional teknis	Baseline konfigurasi, patch/vulnerability report, backup report + restore test, log dan monitoring, antivirus/EDR bila digunakan.
Pengembangan aplikasi	Security requirements, code review, SAST/DAST/VA/PT sesuai risiko, change record, pemisahan dev/test/prod.
Insiden	Prosedur respons, kontak eskalasi, tiket insiden, laporan analisis, bukti tabletop/simulasi, lesson learned.
Pihak ketiga/cloud	Due diligence, SLA, klausul keamanan, pembagian tanggung jawab, review vendor, bukti monitoring.
PDP	Inventaris pemrosesan, dasar pemrosesan, retensi, kontrol akses, prosedur insiden data pribadi, bukti penghapusan/anonimisasi sesuai kebutuhan.
Audit & perbaikan	Program audit, temuan, corrective action, PIC dan target waktu, bukti closure serta verifikasi efektivitas.

Prinsip kualitas evidence

Relevan: benar-benar mendukung kontrol atau jawaban yang dinilai.
Valid: sumbernya dapat dipercaya dan tidak direkayasa.
Mutakhir: mewakili periode penilaian yang relevan.
Dapat ditelusuri: jelas pemilik, waktu, sistem, dan prosesnya.
Konsisten: kebijakan, konfigurasi, tiket, log, dan praktik lapangan tidak saling bertentangan.

6. Tingkat Kematangan Indeks KAMI

Tingkat	Nama	Makna praktis
I	Kondisi Awal	Praktik masih ad-hoc; bukti dan konsistensi penerapan terbatas.
II	Penerapan Kerangka Kerja Dasar	Kebijakan/proses dasar mulai tersedia dan sebagian diterapkan.
III	Terdefinisi dan Konsisten	Proses terdokumentasi dan dilakukan secara konsisten.
IV	Terkelola dan Terukur	Kinerja diukur, ditinjau, dan dikelola berbasis data.
V	Optimal	Perbaikan berkelanjutan, adaptasi, dan optimasi menjadi bagian dari operasi.

Indeks KAMI juga mengenal tingkatan antara seperti I+, II+, III+, dan IV+. Angka/level ini sebaiknya digunakan sebagai peta perbaikan, bukan sebagai tujuan administratif semata.

Klarifikasi penting: apabila materi Indeks KAMI menggunakan III+ sebagai indikator kesiapan menuju sertifikasi, hal tersebut adalah indikator dalam instrumen kesiapan. ISO/IEC 27001 sendiri tidak menetapkan “level kematangan III+” sebagai syarat formal sertifikasi.

7. Prioritas Implementasi untuk Instansi Pemerintah

0–90 hari: fondasi

Tetapkan ruang lingkup dan pemilik keamanan informasi.
Validasi inventaris aset dan sistem elektronik.
Susun/refresh risk register untuk layanan paling kritis.
Pastikan backup, restore test, akses istimewa, MFA sesuai risiko, dan logging dasar berjalan.
Perbaiki temuan kritis dan kerentanan tinggi yang sudah diketahui.
Bangun daftar evidence per area Indeks KAMI/SMKI.
Buat matriks silang evidence: Indeks KAMI → IKASANDI → ISO 27001 → SPBE/PEMDI agar bukti tidak dikelola terpisah-pisah.

3–6 bulan: konsistensi

Integrasikan keamanan ke change management, pengadaan, vendor, dan pengembangan aplikasi.
Jalankan awareness, tabletop incident response, serta review hak akses.
Tetapkan KPI/KRI yang dapat diukur.
Lakukan audit internal dan tindak lanjut temuan dengan PIC dan due date.
Perbarui SoA/risk treatment berdasarkan risiko aktual.

6–12 bulan: assurance dan peningkatan

Uji efektivitas kontrol secara periodik.
Latih skenario gangguan layanan dan pemulihan.
Perkuat keamanan pihak ketiga/cloud.
Gunakan hasil Indeks KAMI, audit, insiden, dan IKASANDI (jika berlaku) sebagai input program kerja tahun berikutnya.

9. Kesalahan Umum yang Perlu Dihindari

Menganggap “punya dokumen” sama dengan “kontrol efektif”.
Mengisi skor lebih tinggi daripada bukti implementasi yang tersedia.
Menggunakan contoh data sebagai seolah-olah data aktual instansi.
Mencampur nomor kontrol ISO/IEC 27001:2013 dengan ISO/IEC 27001:2022.
Menggunakan nomor/tahun regulasi tanpa memeriksa judul dan status resminya.
Menganggap vulnerability scan, penetration test, Indeks KAMI, audit SPBE, dan sertifikasi ISO sebagai hal yang sama.
Tidak menindaklanjuti temuan setelah assessment selesai.

Buku Panduan Respons Insiden SOC Security Operations Center untuk Pemerintah Daerah

FAQ — Indeks KAMI dan IKASANDI untuk Instansi Pemerintah

Apa itu Indeks KAMI?

Indeks KAMI adalah alat evaluasi untuk memotret kesiapan penerapan keamanan informasi dari sisi kelengkapan dan kematangan kerangka kerja. Ia bukan pengganti audit teknis mendalam atau penetration test.

Apakah Indeks KAMI sama dengan sertifikasi ISO/IEC 27001?

Tidak. Indeks KAMI membantu menilai kesiapan dan kematangan penerapan. Sertifikasi ISO/IEC 27001 dilakukan melalui proses audit sertifikasi oleh lembaga sertifikasi yang berwenang. Tingkat kematangan dalam Indeks KAMI bukan persyaratan formal yang tertulis di ISO/IEC 27001.

Apakah Indeks KAMI v5.0 masih relevan pada 2026?

Ya untuk konteks kesiapan SMKI dan evaluasi yang masih menggunakan instrumen tersebut. Pada saat yang sama, pada 2026 banyak instansi pemerintah juga menjalani IKASANDI BSSN untuk pengukuran kematangan keamanan siber dan sandi. Keduanya perlu dibaca sesuai tujuan dan dasar penilaiannya.

Berapa kali Indeks KAMI sebaiknya dievaluasi?

Evaluasi berkala lebih bermanfaat daripada penilaian sekali saja. Frekuensi sebaiknya mengikuti kebutuhan organisasi, siklus risiko, perubahan sistem, dan arahan/ketentuan instansi pembina yang berlaku.

Apa bukti yang paling sering dibutuhkan?

Bukan hanya dokumen kebijakan. Penilaian yang matang memerlukan bukti penerapan: log, tiket, konfigurasi, daftar aset, review akses, restore test, hasil audit, tindak lanjut temuan, laporan insiden, dan bukti persetujuan manajemen.

Apakah skor tinggi berarti sistem pasti aman?

Tidak. Skor kesiapan/kematangan harus dibaca bersama bukti teknis, hasil audit, vulnerability assessment, pengujian keamanan, insiden aktual, dan efektivitas kontrol.

Apa perbedaan utama Indeks KAMI dan IKASANDI?

Indeks KAMI berfokus pada kesiapan penerapan keamanan informasi/SMKI dan keterkaitannya dengan SNI ISO/IEC 27001. IKASANDI berfokus pada kematangan keamanan siber dan penyelenggaraan persandian. Ada area yang tumpang tindih, tetapi tujuan dan metode skornya tidak identik.

Apakah IKASANDI menggantikan Indeks KAMI?

Tidak tepat membuat kesimpulan universal seperti itu. Bukti publik 2025–2026 menunjukkan keduanya masih digunakan dalam konteks pemerintahan. Penggunaan aktual dapat berbeda berdasarkan level pemerintahan, objek yang dinilai, program evaluasi, dan arahan BSSN.

Apa domain utama keamanan siber IKASANDI?

Empat domain yang muncul dalam implementasi pemerintah adalah Identifikasi, Proteksi, Deteksi, serta Penanggulangan dan Pemulihan. Di samping itu terdapat area penilaian persandian.

Apakah dokumen Indeks KAMI bisa dipakai untuk IKASANDI?

Bisa jika evidence tersebut benar-benar relevan. Misalnya risk register, inventaris aset, log, backup, restore test, SOP insiden, hasil vulnerability assessment, kebijakan akses, dan bukti kriptografi dapat mendukung lebih dari satu instrumen. Namun pemetaan dan penilaiannya tetap harus dilakukan terpisah.

Untuk pemerintah daerah, mana yang perlu disiapkan?

Siapkan fondasi yang sama: tata kelola, risiko, inventaris aset, kontrol teknis, CSIRT/TTIS, persandian, audit, serta evidence yang dapat diverifikasi. Setelah itu ikuti instrumen yang ditetapkan BSSN atau mekanisme evaluasi pemerintah digital pada tahun berjalan.

Sumber Resmi dan Rujukan Utama

Disclaimer: Artikel ini bersifat edukasi dan panduan umum. Untuk audit, sertifikasi, kepatuhan hukum, atau penetapan kontrol pada sistem tertentu, gunakan dokumen resmi terbaru dan lakukan penilaian sesuai ruang lingkup serta kewenangan instansi.