Decommissioning Server: Apa Itu, Risiko, dan Checklist Data

Server yang sudah tidak dipakai jarang sekali benar-benar kosong. Rak yang dibongkar setelah migrasi ke cloud, storage array yang habis masa sewanya, atau node virtualisasi yang diganti generasi baru biasanya masih menyimpan basis data nasabah, log transaksi, salinan VM, bahkan kredensial administrator. Karena itu decommissioning server perlu diperlakukan sebagai proses keamanan data. Kalau hanya dianggap urusan logistik gudang, celahnya mudah terlewat. Artikel ini menyajikan checklist yang dapat Anda pakai sejak server ditandai untuk dipensiunkan sampai perangkatnya meninggalkan gedung.

Apa itu decommissioning server dan mengapa sering bocor

Decommissioning adalah penghentian layanan sebuah server atau sistem storage secara terencana: datanya dipindahkan atau dimusnahkan, aksesnya dicabut, asetnya dicatat ulang, lalu perangkat fisiknya dijual kembali, dikembalikan ke vendor leasing, atau dihancurkan. Bagian yang paling sering gagal adalah bagian data. Penyebabnya hampir selalu sama. Tim infrastruktur menganggap memformat ulang disk atau menghapus LUN dari konsol SAN sudah cukup. Padahal kedua tindakan itu hanya menghapus penunjuk ke data, dan isinya masih bisa dipulihkan dengan alat forensik yang mudah didapat.

Masalahnya bertambah karena satu server berisi lebih banyak media daripada yang terlihat di daftar aset. Ada disk hot-spare yang belum pernah aktif, cache pada kontroler RAID, kartu SD atau modul flash tempat hypervisor di-boot, dan memori pada BMC (iLO, iDRAC, XClarity) yang menyimpan konfigurasi jaringan serta akun lokal. Pendekatan data sanitization yang terstandar dimulai dari kesadaran ini: yang harus disanitasi adalah setiap komponen yang pernah menyimpan data, termasuk yang tidak tercatat sebagai “disk”.

Landasan regulasi yang perlu Anda pegang

Tidak ada satu regulasi Indonesia yang mengatur langkah teknis decommissioning secara rinci. Kewajibannya tersebar di beberapa aturan. UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data memusnahkan data pribadi ketika masa retensinya habis atau tujuan pemrosesannya sudah tercapai. Pembahasan lengkapnya ada di artikel kewajiban pemusnahan data pribadi menurut UU PDP. PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik meminta penyelenggara sistem elektronik menjaga kerahasiaan dan keamanan data sepanjang siklus hidupnya, termasuk saat sistem tersebut dihentikan.

Di sektor perbankan, POJK 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum menuntut manajemen risiko TI yang mencakup pengelolaan aset dan data. Auditor biasanya akan meminta bukti pemusnahan untuk setiap perangkat yang keluar, dan konteks khususnya dibahas dalam artikel pemusnahan data perbankan menurut POJK dan PADK. Untuk metode teknisnya, rujukan yang lazim dipakai adalah NIST SP 800-88, yang membagi sanitasi menjadi tiga tingkat: Clear, Purge, dan Destroy. Pedoman ini bukan kewajiban hukum di Indonesia. Meski begitu, auditor dan regulator umumnya menerimanya sebagai praktik baik yang bisa dipertanggungjawabkan.

Checklist decommissioning server dan storage

Urutan di bawah ini dirancang agar tidak ada langkah yang bergantung pada ingatan seseorang. Setiap butir sebaiknya menghasilkan bukti tertulis.

1. Sebelum server dimatikan

• Inventaris lengkap per perangkat. Catat nomor seri chassis serta nomor seri setiap disk, SSD, modul NVMe, kartu boot, dan tape. Cocokkan dengan CMDB, karena selisih yang ditemukan di tahap ini jauh lebih murah daripada selisih yang ditemukan auditor.
• Klasifikasi data. Tentukan apakah server tersebut memuat data pribadi, data nasabah, rekam medis, atau data rahasia perusahaan. Klasifikasi ini menentukan tingkat sanitasi yang dipilih.
• Cek retensi dan legal hold. Pastikan tidak ada data yang masih wajib disimpan, misalnya dokumen yang terkait perkara, pemeriksaan pajak, atau masa simpan arsip keuangan. Data seperti ini dipindahkan dulu, baru media lamanya dimusnahkan.
• Migrasi dan verifikasi salinan. Setelah data dipindahkan, lakukan uji restore di sistem tujuan. Jangan memusnahkan sumber sebelum salinannya terbukti utuh.
• Telusuri salinan di tempat lain. Snapshot di storage array, replika di DR site, backup di tape library, dan image VM di repositori backup sering terlupa saat server utamanya sudah dibongkar.

2. Mencabut server dari layanan

• Hapus akun layanan, entri DNS, objek komputer di Active Directory, dan sertifikat TLS yang terbit untuk host tersebut. Cabut sertifikat yang masih berlaku.
• Lepaskan host dari monitoring, SIEM, dan daftar target backup agar tidak muncul alarm palsu atau job yang gagal berulang.
• Bila disk memakai enkripsi (self-encrypting drive, BitLocker, LUKS, atau enkripsi tingkat array), catat lokasi kuncinya di KMS. Kunci ini diperlukan untuk crypto-erase, jadi jangan dihapus lebih dulu tanpa rencana.
• Reset BMC ke setelan pabrik dan hapus akun lokal serta konfigurasi SNMP dan LDAP yang tersimpan di sana.

3. Sanitasi sesuai jenis media

Satu metode tidak cocok untuk semua media. Degaussing efektif untuk HDD dan tape magnetik, tetapi tidak berpengaruh pada SSD. Overwrite berulang pada SSD juga tidak menjamin hasil, karena area over-provisioning dan blok cadangan tidak dapat dijangkau dari sistem operasi. Perbandingan metodenya dibahas lebih rinci di panduan degaussing, penghancuran fisik, dan crypto-erase.

Storage array enterprise perlu perhatian khusus. Menghapus LUN atau RAID group tidak menyentuh data di disk fisik. Jika array dikembalikan ke vendor atau perusahaan leasing, pastikan fitur sanitasi bawaan array dijalankan dan laporannya disimpan. Alternatifnya, keluarkan disk dari array sebelum perangkat diserahkan.

4. Chain-of-custody

Sejak disk dicabut dari rak, setiap perpindahan tangan perlu dicatat: siapa yang melepas, siapa yang menerima, kapan, dan di mana disimpan. Wadah sebaiknya disegel dengan nomor segel yang ikut tercatat. Jika pemusnahan dilakukan pihak ketiga, pilih proses di lokasi Anda sendiri (on-site) atau minta pengawalan sampai fasilitas mereka. Celah terbesar dalam rantai ini justru ada di gudang, karena disk dapat tertahan di sana berminggu-minggu menunggu jadwal pemusnahan.

5. Verifikasi dan dokumentasi

• Untuk sanitasi logis, ambil sampel media dan periksa apakah masih ada data yang terbaca. Simpan log alat sanitasi yang mencantumkan nomor seri dan status setiap disk.
• Untuk penghancuran fisik, dokumentasikan dengan foto atau video yang memperlihatkan nomor seri sebelum media dihancurkan.
• Terbitkan sertifikat pemusnahan per batch yang mencantumkan nomor seri, metode, standar rujukan, tanggal, dan penanggung jawab. Isi yang membuat sertifikat bisa dipertahankan di depan auditor dijelaskan di anatomi sertifikat pemusnahan data.
• Perbarui status aset di CMDB dan catatan aset tetap agar penghapusbukuan dan jejak auditnya konsisten.

6. Disposal akhir

Chassis, power supply, dan rel yang sudah bebas media dapat dijual kembali atau diserahkan ke pengelola limbah elektronik berizin. Serpihan hasil shredding juga termasuk limbah elektronik, sehingga penanganannya mengikuti ketentuan lingkungan hidup yang berlaku, bukan dibuang bersama sampah kantor.

Kesalahan yang paling sering kami temui

Ada beberapa pola yang terus berulang di lapangan. Disk RMA dikirim ke vendor dalam kondisi utuh karena masih bergaransi. Server lama dihibahkan ke cabang atau unit lain tanpa sanitasi, dengan alasan masih di dalam satu perusahaan. Proyek migrasi ditutup sementara rak lama dibiarkan menyala tanpa pemilik selama berbulan-bulan. Masalah pertama biasanya bisa diatasi dengan klausul keep your drive dalam kontrak dukungan vendor. Dua masalah lainnya hanya bisa dicegah jika decommissioning dijadikan tahap resmi dalam penutupan proyek, lengkap dengan pemilik dan tenggat.

Pertanyaan yang sering diajukan

Apakah memformat ulang disk sebelum server dijual sudah cukup?

Tidak. Format cepat hanya menghapus tabel alokasi, dan isi file masih dapat dipulihkan. Untuk HDD minimal diperlukan overwrite terverifikasi. Untuk SSD dan NVMe, gunakan perintah sanitize bawaan firmware atau crypto-erase.

Apakah NIST SP 800-88 wajib diikuti di Indonesia?

Tidak ada regulasi Indonesia yang mewajibkannya secara eksplisit. Pedoman ini banyak dipakai sebagai rujukan praktik baik, sehingga memudahkan Anda menunjukkan kepada auditor bahwa metode sanitasi yang dipilih dapat dipertanggungjawabkan.

Bagaimana dengan server yang disewa (leasing) dan harus dikembalikan?

Tetap lakukan sanitasi sebelum perangkat diserahkan, lalu minta laporan atau sertifikat sebagai bukti. Bila kontrak memungkinkan, ganti disk dengan unit baru dan musnahkan disk lama di lokasi Anda.

Berapa lama dokumen bukti pemusnahan perlu disimpan?

Ikuti kebijakan retensi internal dan ketentuan sektor Anda. Banyak organisasi menyimpannya setidaknya selama masa simpan dokumen keuangan, agar bukti tetap tersedia ketika audit atau pemeriksaan regulator dilakukan beberapa tahun kemudian.