Panduan Pengisian Indeks KAMI 5.0 dan IKASANDI 2026: Data Dukung, Contoh Evidence & Strategi Peningkatan Kematangan
Langkah praktis untuk mempersiapkan penilaian, membaca pertanyaan sesuai instrumen resmi, menyusun bukti yang benar-benar menunjukkan implementasi, dan mengubah hasil evaluasi menjadi program peningkatan keamanan informasi.
Sering kali kesulitan pengisian Indeks KAMI atau IKASANDI bukan karena organisasi sama sekali tidak memiliki pengamanan, melainkan karena ruang lingkup belum jelas, dokumen tersebar, bukti operasional tidak mudah ditelusuri, dan jawaban tidak sesuai dengan kondisi penerapan sebenarnya. Panduan ini memulai dari persoalan tersebut.
1. Indeks KAMI dan IKASANDI: berbeda, tetapi dapat saling melengkapi
Indeks KAMI membantu organisasi mengevaluasi kesiapan penerapan keamanan informasi dan pendekatan sistem manajemen keamanan informasi. IKASANDI digunakan dalam konteks evaluasi kematangan keamanan siber dan persandian. Keduanya tidak boleh dianggap memiliki daftar pertanyaan, skema skor, atau hasil yang sama.
| Aspek | Indeks KAMI | IKASANDI |
|---|---|---|
| Orientasi | Kesiapan dan pengelolaan keamanan informasi/SMKI | Kematangan kemampuan keamanan siber dan persandian sesuai instrumen |
| Langkah utama | Penetapan ruang lingkup, evaluasi pertanyaan, pembuktian penerapan, analisis kesenjangan | Penetapan objek, penilaian domain sesuai formulir, dokumen pendukung, klarifikasi/verifikasi sesuai mekanisme |
| Output yang diharapkan | Potret kesiapan dan prioritas perbaikan | Potret kematangan dan area peningkatan |
| Aturan skor | Ikuti instrumen Indeks KAMI yang dipakai | Ikuti ketentuan IKASANDI resmi pada penilaian berjalan |
Peraturan BSSN Nomor 10 Tahun 2023 mengatur pengukuran tingkat kematangan keamanan siber dalam konteks penyelenggara Infrastruktur Informasi Vital, termasuk domain identifikasi, proteksi, deteksi, serta penanggulangan dan pemulihan. Jangan menganggap ketentuan cakupan IIV tersebut otomatis sama dengan seluruh ketentuan penilaian IKASANDI bagi setiap pemerintah daerah. Periksa arahan BSSN yang berlaku pada instansi Anda.
2. Persiapan sebelum mengisi: buat penilaian lebih mudah diverifikasi
Catat versi kuesioner, surat atau petunjuk pelaksanaan, objek penilaian, tanggal batas pengumpulan, dan kanal penyampaian yang benar. Jangan memakai daftar indikator lama sebagai pengganti formulir baru.
Nyatakan apakah yang dinilai adalah organisasi, satu layanan, kelompok sistem elektronik, atau objek lain yang ditetapkan. Tentukan koordinator, pemilik kontrol, penyedia dokumen, dan pihak yang memeriksa jawaban.
Identifikasi kebijakan, SK, inventaris aset, risk register, SOP, hasil review akses, laporan backup, bukti restore test, catatan insiden, laporan pelatihan, dan hasil audit yang benar-benar tersedia.
Pastikan ada identitas dokumen, penanggung jawab, tanggal, versi, cakupan, periode, dan bukti pelaksanaan. Dokumen lama dapat dipakai jika masih berlaku dan relevan; jika tidak, tandai perlu pembaruan.
Untuk setiap jawaban, catat dasar jawaban, tautan atau nomor evidence, kekurangan, dan PIC tindak lanjut. Jika bukti belum ada, tulis status sebenarnya, bukan menaikkan penilaian untuk mengejar target.
3. Panduan mengisi Indeks KAMI 5.0 secara bertanggung jawab
Pada Indeks KAMI v5.0, organisasi perlu memahami kategori sistem elektronik dan area evaluasi keamanan informasi berdasarkan formulir resmi. Area yang lazim dibahas mencakup tata kelola, pengelolaan risiko, kerangka kerja, aset, teknologi, perlindungan data pribadi, dan pihak ketiga. Daftar dan urutan jawaban yang mengikat tetap mengikuti instrumen yang diterima.
Contoh alur saat menemukan pertanyaan tentang pengelolaan risiko
- Baca pertanyaan lengkap beserta petunjuk tahap atau kategorinya.
- Tentukan objek atau layanan yang dimaksud dalam ruang lingkup penilaian.
- Cari bukti metodologi risiko, risk register, pemilik risiko, rencana perlakuan, persetujuan, dan review berkala sesuai pertanyaan.
- Bedakan dokumen yang hanya direncanakan dengan aktivitas yang telah dilaksanakan.
- Jawab mengikuti opsi resmi yang benar dan rekam referensi evidence.
- Jika belum memenuhi persyaratan, masukkan dalam daftar perbaikan.
4. Panduan pengisian IKASANDI: dari jawaban ke bukti implementasi
Dalam praktik pengukuran kematangan, pengelola perlu menunjukkan kemampuan yang bukan hanya tertulis, tetapi juga berjalan. Untuk domain keamanan siber, kategori berikut bisa menjadi kerangka persiapan; bukan pengganti indikator atau perhitungan resmi IKASANDI.
Bagaimana dengan evidence persandian?
Siapkan bukti tata kelola dan penyelenggaraan layanan persandian sesuai mandat serta pertanyaan resmi yang berlaku, misalnya kebijakan, peran, pelatihan, pengelolaan penggunaan kriptografi dan layanan sertifikat elektronik, serta rekaman operasional yang dapat dibagikan secara sah. Jangan membuka kunci kriptografi, kredensial, konfigurasi sensitif, atau rincian kelemahan jaringan ke dalam artikel publik.
Contoh pemerintah daerah yang melaksanakan verifikasi bersama BSSN pada 2026 menunjukkan pentingnya pembahasan per indikator dan pencocokan dokumen pendukung. Tetapi jumlah indikator dalam satu kegiatan daerah tidak otomatis menjadi jumlah yang berlaku untuk semua instansi atau tahun.
5. Contoh matriks data dukung — data sintetis, bukan formulir resmi
Berikut format sederhana yang dapat dijadikan referensi untuk menyusun register evidence internal. Kode EVD-... dan status dalam tabel hanyalah contoh ilustratif; bukan kode atau skor resmi BSSN.
| ID contoh | Area praktik | Contoh bukti | Validasi yang diperlukan | Status contoh |
|---|---|---|---|---|
| EVD-001 | Tata kelola | Kebijakan keamanan informasi dan SK penanggung jawab | Disahkan, berlaku, ruang lingkup jelas, pemilik ditetapkan | Perlu telaah |
| EVD-002 | Manajemen risiko | Risk register dan rencana perlakuan risiko | Penilaian terkini, pemilik risiko, keputusan perlakuan dan review | Perlu telaah |
| EVD-003 | Aset informasi | Inventaris sistem dan klasifikasi informasi | Daftar mutakhir, pemilik dan klasifikasi tercatat | Perlu telaah |
| EVD-004 | Kontrol akses | Matriks hak akses dan hasil review akun | Persetujuan dan bukti review periodik | Perlu telaah |
| EVD-005 | Keberlangsungan | Laporan backup dan hasil uji pemulihan | Waktu uji, objek, hasil, masalah dan tindak lanjut jelas | Perlu telaah |
| EVD-006 | Deteksi | Ringkasan monitoring dan tiket tindak lanjut alert | Cakupan, periode dan mekanisme eskalasi terbukti | Perlu telaah |
| EVD-007 | Respons insiden | SOP, catatan simulasi dan lesson learned | PIC, skenario, hasil latihan dan aksi perbaikan | Perlu telaah |
| EVD-008 | Persandian | Kebijakan penggunaan kriptografi dan bukti layanan yang relevan | Mandat jelas, catatan operasional ada, informasi rahasia terlindungi | Perlu telaah |
Kolom tambahan yang dianjurkan: kode indikator resmi, instrumen, nomor dokumen, lokasi penyimpanan terbatas, klasifikasi kerahasiaan, periode berlaku, penanggung jawab, tanggal verifikasi, hasil verifikasi, gap, PIC dan target perbaikan.
6. Satu evidence bisa mendukung beberapa indikator — tetapi bukan satu jawaban otomatis
Sebuah risk register, misalnya, dapat relevan untuk area manajemen risiko pada Indeks KAMI dan area identifikasi pada pengukuran kematangan keamanan siber. Namun relevansi harus diperiksa terhadap kalimat indikator masing-masing. Satu berkas mungkin mendukung dua pertanyaan berbeda, tetapi bukan berarti status atau nilainya otomatis sama.
| Evidence sintetis | Potensi penggunaan pertama | Potensi penggunaan kedua | Batasan |
|---|---|---|---|
| Risk register terbaru | Pengelolaan risiko keamanan informasi | Identifikasi dan pengelolaan risiko keamanan siber | Harus sesuai objek, periode dan bukti tindak lanjut |
| Hasil restore test | Pengelolaan operasi dan keberlangsungan | Persiapan dan pemulihan layanan | Tidak membuktikan seluruh kontrol ketahanan |
| Review akses pengguna | Kontrol aset/teknologi dan akses | Proteksi identitas dan akses | Harus mencakup akun/sistem yang dinilai |
| Simulasi penanganan insiden | Kesiapan prosedur dan evaluasi | Penanggulangan dan pemulihan | Simulasi tidak sama dengan bukti kemampuan menangani semua insiden |
7. Kesalahan yang sering membuat pengisian kurang dapat dipercaya
- Menggunakan formulir, versi, atau ketentuan tahun sebelumnya tanpa memastikan relevansi.
- Menganggap ada dokumen kebijakan berarti kontrol sudah diterapkan efektif.
- Menyalin status “sudah” padahal belum ada bukti pelaksanaan.
- Tidak menjelaskan batas cakupan: organisasi, unit kerja, atau sistem elektronik.
- Mengunggah data sensitif tanpa menilai klasifikasi dan mekanisme penyampaian.
- Memakai matriks contoh, bobot persentase dari blog, atau tabel sintetis sebagai formula BSSN.
- Membiarkan jawaban pengisian berbeda dari praktik operasional yang diketahui petugas.
- Berhenti setelah penilaian dan tidak mengelola temuan sebagai aksi perbaikan.
8. Roadmap 30–90 hari setelah evaluasi
9. Bacaan ArrezaMP: mulai dari panduan umum, lanjut ke pengisian
HUB ini dibuat sebagai pusat navigasi dan praktik. Artikel lama dipertahankan untuk konteks; pernyataan historis, contoh skoring, dan nomor regulasi dalam arsip lama tidak otomatis dianggap sebagai ketentuan resmi terbaru.
10. FAQ — Pertanyaan yang sering muncul
Apakah Indeks KAMI sama dengan IKASANDI?
Tidak. Keduanya memiliki tujuan, objek, metode dan tata cara evaluasi yang perlu dibaca terpisah menurut instrumen resmi.
Apakah Indeks KAMI 5.0 masih bisa digunakan pada 2026?
Gunakan jika versi tersebut memang ditetapkan untuk evaluasi Anda. Pastikan terlebih dahulu kepada penyelenggara atau BSSN mengenai versi, ruang lingkup dan petunjuk yang berlaku.
Apakah satu dokumen dapat digunakan untuk beberapa indikator?
Dapat, asalkan isinya relevan, periodenya sesuai, dapat diverifikasi, serta benar-benar menjawab masing-masing indikator. Nilai tidak otomatis sama.
Apakah harus membuat dokumen baru supaya nilai naik?
Tidak selalu. Utamakan bukti praktik aktual, efektivitas kontrol dan perbaikan yang diperlukan. Dokumen baru diperlukan jika ada kebijakan atau proses penting yang memang belum didefinisikan.
Apakah hasil pengisian boleh dipublikasikan di blog?
Jangan memublikasikan dokumen internal, konfigurasi, temuan atau bukti sensitif tanpa dasar kewenangan dan pemeriksaan klasifikasi informasi. Untuk edukasi publik gunakan data sintetis atau informasi yang sah dipublikasikan.
Apakah ini kunci jawaban IKASANDI atau format BSSN?
Bukan. Artikel ini adalah panduan persiapan evidence dan cara berpikir dalam pengisian; penentuan jawaban dan skor harus mengikuti instrumen resmi serta hasil verifikasi nyata.
Rujukan primer & catatan verifikasi
- JDIH BPK — Peraturan BSSN Nomor 10 Tahun 2023, Pengukuran Tingkat Kematangan Keamanan Siber. Regulasi ini memiliki cakupan hukum tersendiri, khususnya terkait IIV; bukan pengganti seluruh instrumen IKASANDI.
- Salinan resmi Peraturan BSSN Nomor 10 Tahun 2023 untuk membaca pasal dan domain sebagaimana tertulis.
- Pemerintah Kabupaten Lombok Barat — contoh proses verifikasi IKASANDI 2026 sebagai ilustrasi praktik penilaian, bukan pedoman nasional jumlah indikator.
- Untuk daftar butir kuesioner, bobot, ketentuan unggah dan hasil penilaian yang berlaku: gunakan **dokumen resmi BSSN atau surat penyelenggara evaluasi pada periode Anda**. Artikel ini tidak menyalin kuesioner resmi yang belum diverifikasi.
0 Komentar