📑 Checklist Persiapan Indeks KAMI 2024: Dokumen dan Kebijakan Kunci yang Harus Disiapkan Pemda

Arreza MP Januari 01, 2026 0 Komentar

baca juga: Laporan Indeks Keamanan Informasi (Indeks KAMI) untuk Instansi Pemerintah Daerah

📑 Checklist Persiapan Indeks KAMI 2024: Dokumen dan Kebijakan Kunci yang Harus Disiapkan Pemda

Ancaman siber bukan lagi isu teknis, melainkan risiko strategis yang wajib ditangani oleh pimpinan daerah. Seiring masifnya inisiatif Smart City dan digitalisasi layanan publik, Pemerintah Daerah (Pemda) menghadapi tantangan besar dalam melindungi aset informasi mereka.

Untuk memastikan kapabilitas pertahanan siber, Pemerintah melalui Badan Siber dan Sandi Negara (BSSN) memperkenalkan Indeks KAMI (Keamanan Informasi). Indeks KAMI adalah alat bantu evaluasi mandiri yang dirancang khusus untuk mengukur tingkat kematangan implementasi Keamanan Informasi Pemerintah di instansi pusat maupun daerah.

Artikel ini akan memberikan Anda checklist praktis mengenai dokumen dan kebijakan kunci yang harus disiapkan oleh Pemda untuk menghadapi penilaian Indeks KAMI 2024, memastikan Tata Kelola Siber Pemda Anda berada pada level optimal.

Memahami Pilar Indeks KAMI: 5 Domain Utama

Sebelum menyusun dokumen, penting untuk memahami bahwa Indeks KAMI mengukur kematangan keamanan informasi melalui lima (5) domain yang terintegrasi. Penilaian Anda akan didasarkan pada kelengkapan dan implementasi bukti-bukti di domain ini:

Tata Kelola (Governance): Komitmen pimpinan, struktur organisasi, dan kerangka kebijakan.
Manajemen Risiko (Risk Management): Proses identifikasi, analisis, dan mitigasi risiko informasi.
Kerangka Kerja (Framework): Standar dan prosedur teknis implementasi keamanan.
Pengelolaan Aset (Asset Management): Identifikasi, klasifikasi, dan perlindungan aset informasi dan TI.
Pengelolaan Insiden dan Kelangsungan Bisnis (Incident & Continuity Management): Kapabilitas penanganan insiden dan pemulihan bencana.

🔑 Checklist Persiapan Kunci (Fokus Dokumen & Kebijakan)

Persiapan yang matang tidak hanya tentang perangkat lunak, tetapi juga komitmen yang dituangkan dalam kebijakan formal. Berikut adalah dokumen dan kebijakan vital yang harus Anda miliki untuk setiap domain:

A. Domain 1: Tata Kelola (Governance)

Domain ini mengukur komitmen pimpinan dalam membentuk kerangka kerja keamanan informasi.

Dokumen/Kebijakan Kunci	Deskripsi Singkat & Target Pemda
1. Surat Keputusan (SK) Pembentukan Tim/Komite Keamanan Informasi	SK ini harus ditandatangani oleh pimpinan tertinggi (Kepala Daerah/Kepala Dinas) dan secara jelas menunjuk Chief Information Security Officer (CISO) atau penanggung jawab keamanan informasi.
2. Kebijakan Keamanan Informasi Induk	Dokumen payung yang menguraikan tujuan, ruang lingkup, dan komitmen organisasi terhadap keamanan informasi. Wajib disahkan oleh pimpinan tinggi.
3. Prosedur Pengelolaan Akses	Mengatur bagaimana hak akses sistem dan data diberikan, dimodifikasi, dan dicabut, sesuai dengan prinsip Need-to-Know.
4. Standar Kode Etik Pengguna TI	Kebijakan yang mengikat semua pegawai dalam penggunaan aset TI Pemda, termasuk penggunaan email, media sosial, dan perangkat pribadi (Bring Your Own Device/BYOD).

B. Domain 2: Manajemen Risiko (Risk Management)

Domain ini memastikan Pemda proaktif dalam mengidentifikasi dan menangani kerentanan.

Dokumen/Kebijakan Kunci	Deskripsi Singkat & Target Pemda
1. Laporan Analisis Risiko TI Terbaru	Dokumen ini harus mengidentifikasi aset informasi kritis, ancaman yang mungkin terjadi (misal: ransomware), tingkat kerentanan, dan potensi dampaknya terhadap layanan publik.
2. Rencana Mitigasi Risiko	Tindakan perbaikan yang terperinci dan berjangka waktu (jangka pendek, menengah, panjang) untuk mengurangi atau menghilangkan risiko tinggi.
3. Dokumen Klasifikasi Aset Informasi	Pemetaan data berdasarkan tingkat sensitivitas (misal: Rahasia, Internal, Publik) untuk menentukan perlakuan keamanan yang sesuai.
4. Kebijakan Pelaporan dan Peninjauan Risiko	Jadwal rutin (misalnya, tahunan) untuk meninjau ulang risiko dan melaporkannya kepada pimpinan.

C. Domain 3: Kerangka Kerja (Framework)

Domain ini mencakup implementasi teknis dan operasional untuk mengamankan sistem.

Dokumen/Kebijakan Kunci	Deskripsi Singkat & Target Pemda
*1. Standar Konfigurasi Aman (Hardening Standard)*	Panduan teknis yang rinci mengenai pengaturan minimum keamanan yang harus diterapkan pada server, jaringan, firewall, dan workstation Pemda.
*2. Laporan Pengujian Kerentanan (Vulnerability Assessment) Tahunan*	Bukti bahwa sistem dan aplikasi kritikal telah diuji kelemahannya oleh pihak independen atau internal yang kompeten.
*3. Prosedur Pengelolaan Perubahan (Change Management)*	Mengatur proses resmi untuk setiap perubahan pada infrastruktur atau aplikasi TI untuk mencegah dampak negatif terhadap keamanan atau ketersediaan layanan.
*4. Pedoman System Development Life Cycle* (SDLC) Aman**	Memastikan aspek keamanan sudah dipertimbangkan sejak fase perencanaan dan pengembangan aplikasi, bukan hanya di akhir.

D. Domain 4: Pengelolaan Aset (Asset Management)

Domain ini berfokus pada perlindungan aset fisik dan logis yang menunjang layanan Pemda.

Dokumen/Kebijakan Kunci	Deskripsi Singkat & Target Pemda
1. Daftar Inventaris Aset TI Terperinci	Daftar lengkap perangkat keras, perangkat lunak, termasuk informasi lisensi, lokasi, dan pemilik/penanggung jawab aset.
2. Kebijakan Pengamanan Fisik Ruang Server/Data Center	Aturan ketat mengenai akses fisik, pemantauan CCTV, kontrol suhu, dan proteksi kebakaran di lokasi-lokasi krusial.
3. Prosedur Patch Management	Proses yang teratur untuk mengelola dan menerapkan pembaruan (patch) keamanan pada semua sistem operasi dan aplikasi untuk menutup celah kerentanan.
*4. Kebijakan Media Handling* dan Pemusnahan Data**	Prosedur aman untuk penyimpanan media (hard disk, flash drive) dan pemusnahan data yang tidak lagi digunakan.

E. Domain 5: Insiden dan Kelangsungan Bisnis

Domain ini menilai kesiapan Pemda dalam menghadapi krisis dan memastikan layanan tetap berjalan.

Dokumen/Kebijakan Kunci	Deskripsi Singkat & Target Pemda
*1. Rencana Pemulihan Bencana (Disaster Recovery Plan/DRP)*	Dokumen yang menguraikan prosedur pemulihan layanan TI kritikal setelah terjadi bencana besar (banjir, kebakaran, serangan siber masif).
2. Prosedur Penanganan Insiden Keamanan Informasi (CSIRT)	Proses terperinci untuk mendeteksi, merespons, menganalisis, dan memulihkan dari insiden keamanan (misal: phishing, malware). Lampirkan log latihan simulasi insiden.
*3. Kebijakan Backup* dan Restore Data**	Menentukan frekuensi backup, jenis data yang di-backup, lokasi penyimpanan backup (harus terpisah dari sistem utama), dan prosedur restore untuk verifikasi.
*4. Rencana Kelangsungan Bisnis (Business Continuity Plan/BCP)*	Fokus pada pemulihan fungsi bisnis dan layanan kritikal, bukan hanya TI.

📈 Tips Strategis untuk Skor Optimal Indeks KAMI

Komitmen Pimpinan Adalah Kunci: Bukti terkuat dalam penilaian Indeks KAMI adalah adanya SK dan kebijakan yang ditandatangani oleh pimpinan tertinggi. Tanpa dukungan ini, implementasi akan sulit divalidasi.
Jangan Jadikan Proyek, Jadikan Budaya: Indeks KAMI bukanlah proyek sekali selesai. Integrasikan seluruh prosedur ke dalam operasional Tata Kelola Siber Pemda sehari-hari, dan pastikan adanya bukti implementasi (log, notulen rapat, hasil audit).
Validasi Sumber BSSN: Selalu merujuk pada panduan resmi yang dikeluarkan oleh BSSN untuk memastikan dokumen yang disiapkan sesuai dengan standar terbaru.

V. Kesimpulan

Mempersiapkan penilaian Indeks KAMI adalah langkah krusial bagi setiap Pemerintah Daerah yang serius terhadap Keamanan Informasi Pemerintah dan Transformasi Digital yang Aman. Dengan menggunakan checklist ini sebagai peta jalan, Pemda dapat memastikan tidak hanya kelengkapan dokumen, tetapi juga kesiapan infrastruktur dan budaya organisasi.

Indeks KAMI adalah perjalanan berkelanjutan menuju kematangan siber. Mulailah persiapan hari ini untuk melindungi data publik dan kepercayaan masyarakat.