Standar Sanitasi Data: NIST SP 800-88 vs IEEE 2883

Tidak ada satu pun regulasi Indonesia yang menjelaskan cara teknis memusnahkan data di media simpan. UU PDP memerintahkan pemusnahan data pribadi, POJK 11/POJK.03/2022 menuntut bank mengelola siklus hidup aset TI, Permenkes 24/2022 mengatur retensi rekam medis elektronik. Semuanya berhenti di kewajiban hasil: data harus musnah dan tidak dapat dipulihkan. Bagaimana caranya, regulator menyerahkan kepada praktik terbaik. Di titik inilah standar sanitasi data internasional masuk, dan dua nama yang paling sering muncul dalam dokumen pengadaan maupun temuan audit adalah NIST SP 800-88 dan IEEE 2883. Keduanya sering dianggap sama. Padahal tidak.

Perbedaannya bukan sekadar akademis. Salah memahami kedua standar ini bisa berujung pada prosedur yang keliru, misalnya menganggap degaussing cukup untuk SSD, atau menuliskan “sesuai NIST” di berita acara pemusnahan tanpa tahu level sanitasi mana yang sebenarnya dijalankan. Artikel ini membedah keduanya supaya Anda bisa memilih dan mengaudit dengan dasar yang benar.

NIST SP 800-88: kerangka Clear, Purge, Destroy

NIST Special Publication 800-88 Revision 1, “Guidelines for Media Sanitization”, diterbitkan National Institute of Standards and Technology pada Desember 2014. Statusnya pedoman (guidelines), bukan standar wajib, kecuali bagi instansi federal Amerika Serikat. Namun karena kerangkanya jernih, dokumen ini menjadi rujukan de facto industri di seluruh dunia, termasuk oleh penyedia jasa pemusnahan data di Indonesia.

Kontribusi terbesar NIST SP 800-88 adalah taksonomi tiga level sanitasi:

• Clear: menghapus data dengan teknik logis standar, umumnya overwrite satu lintasan, cukup untuk melindungi dari pemulihan menggunakan perangkat lunak biasa. Cocok bila media akan dipakai ulang di lingkungan internal yang sama.
• Purge: teknik yang membuat pemulihan data tidak layak dilakukan bahkan dengan peralatan laboratorium, misalnya perintah sanitize bawaan drive, degaussing untuk media magnetik, atau Cryptographic Erase. Diperlukan bila media keluar dari kendali organisasi, contohnya server sewa yang dikembalikan ke lessor.
• Destroy: pemusnahan fisik seperti shredding atau incineration, sehingga media tidak dapat digunakan lagi sama sekali.

NIST juga menyertakan diagram keputusan yang mengaitkan level sanitasi dengan klasifikasi kerahasiaan data dan nasib media berikutnya, plus contoh formulir Certificate of Sanitization. Formulir inilah yang menjadi cikal bakal dokumen serah terima yang kami bahas di anatomi sertifikat pemusnahan data.

Kelemahannya satu: usia. Revisi 1 terbit ketika SSD SATA masih barang baru dan NVMe belum lazim di pusat data. Panduan per jenis media di Appendix A tidak mengenal banyak teknologi simpan yang hari ini justru dominan.

IEEE 2883-2022: standar untuk media generasi sekarang

IEEE 2883, “IEEE Standard for Sanitizing Storage”, terbit tahun 2022 dan disusun justru untuk menutup celah usia tersebut. Berbeda dengan NIST yang berbentuk pedoman manajemen risiko, IEEE 2883 adalah standar teknis normatif: ia mendefinisikan metode sanitasi per teknologi media dan per antarmuka, mulai dari perintah SANITIZE pada perangkat ATA dan SCSI hingga Sanitize command set pada NVMe, lengkap dengan syarat verifikasinya.

IEEE 2883 mempertahankan taksonomi tiga level, dengan istilah Clear, Purge, dan Destruct. Yang berubah adalah kedalaman teknisnya. Beberapa hal yang ditegaskan standar ini dan sering terlewat di lapangan:

• Degaussing hanya berlaku untuk media magnetik. Pada SSD dan media flash lainnya, degaussing tidak menghapus apa pun karena data tersimpan di sel NAND, bukan di lapisan magnetik. Perbandingan lengkapnya ada di artikel degaussing vs penghancuran fisik vs crypto-erase.
• Overwrite konvensional tidak menjamin sanitasi SSD, karena wear leveling dan over-provisioning menyisakan blok yang tidak tersentuh perangkat lunak penghapus.
• Cryptographic Erase sah sebagai teknik Purge hanya bila syaratnya terpenuhi, antara lain seluruh data terenkripsi sejak awal dan kunci media dapat dimusnahkan secara terverifikasi.

Perlu dicatat, IEEE 2883 tidak datang untuk menggusur NIST. NIST sendiri, dalam proses peninjauan SP 800-88 untuk revisi berikutnya, membuka masukan publik yang banyak mengarah pada penyelarasan dengan IEEE 2883. Arahnya konvergensi, bukan kompetisi.

Perbandingan dua standar sanitasi data

Posisinya dalam regulasi Indonesia

Ini bagian yang perlu dipahami dengan jujur: tidak ada regulasi Indonesia yang mewajibkan NIST SP 800-88 maupun IEEE 2883 secara eksplisit. Pasal 44 UU PDP mewajibkan pengendali data memusnahkan data pribadi dalam kondisi tertentu, misalnya saat masa retensi berakhir, dan rinciannya kami ulas di kewajiban pemusnahan data pribadi menurut UU PDP. PP 71/2019 membebani penyelenggara sistem elektronik kewajiban menghapus informasi elektronik yang tidak relevan. POJK 11/POJK.03/2022 menuntut bank umum menerapkan manajemen keamanan informasi sepanjang siklus hidup aset, termasuk saat aset dihapuskan.

Semua kewajiban itu berbentuk hasil. Standar internasional berfungsi sebagai alat pembuktian bahwa hasil itu dicapai dengan metode yang dapat dipertanggungjawabkan. Ketika auditor internal bank menanyakan dasar prosedur pemusnahan 200 hard disk bekas mesin ATM, jawaban “kami overwrite lalu shredding” jauh lebih kuat bila disertai rujukan level Purge atau Destroy menurut NIST SP 800-88, berikut berita acara dan chain-of-custody per serial number. Rumah sakit yang memusnahkan server arsip PACS lama setelah migrasi menghadapi logika yang sama: Permenkes 24/2022 menetapkan kewajiban menjaga rekam medis elektronik, dan standar sanitasi menjadi bukti kepatutan prosedurnya.

Praktiknya: pakai keduanya, di lapisan berbeda

Memilih salah satu adalah pertanyaan yang keliru. Keduanya bekerja di lapisan berbeda dan paling kuat saat digabungkan.

Gunakan NIST SP 800-88 sebagai kerangka kebijakan. Diagram keputusannya membantu Anda menetapkan aturan internal: data kategori apa, di media apa, dengan nasib akhir apa, membutuhkan level sanitasi yang mana. Formulir sertifikasinya menjadi templat dokumentasi yang diterima auditor hampir di mana pun.

Gunakan IEEE 2883 sebagai acuan eksekusi teknis, terutama untuk armada perangkat yang didominasi SSD dan NVMe. Laptop hasil refresh lima tahunan, server pusat data yang di-decommission, atau storage array yang habis masa sewanya, semuanya kini berbasis flash. Prosedur yang hanya merujuk NIST 2014 berisiko memakai metode yang tidak lagi memadai untuk media ini. Untuk media magnetik lama seperti tape backup dan hard disk, kombinasi metode tetap relevan dan pilihannya kami bahas di degaussing vs shredding untuk HDD dan SSD.

Satu hal yang tidak berubah di kedua standar: sanitasi tanpa verifikasi dan dokumentasi tidak bernilai apa-apa di hadapan auditor. Metode boleh berbeda per media, tetapi bukti per perangkat, dari serial number sampai berita acara, adalah syarat yang tidak bisa ditawar.

Pertanyaan yang sering diajukan

Apakah NIST SP 800-88 wajib dipatuhi di Indonesia?

Tidak. NIST SP 800-88 hanya mengikat instansi federal Amerika Serikat. Regulasi Indonesia seperti UU PDP dan POJK 11/POJK.03/2022 mewajibkan hasil pemusnahan data, bukan metode tertentu. Namun merujuk NIST atau IEEE 2883 memperkuat posisi Anda saat membuktikan kepatutan prosedur kepada auditor dan regulator.

Apakah IEEE 2883 menggantikan NIST SP 800-88?

Tidak menggantikan, melainkan melengkapi. IEEE 2883 memperbarui sisi teknis yang tertinggal di NIST 2014, terutama untuk SSD dan NVMe. NIST tetap unggul sebagai kerangka kebijakan dan klasifikasi risiko. Proses revisi SP 800-88 yang berjalan pun mengarah pada penyelarasan dengan IEEE 2883.

Standar mana yang tepat untuk memusnahkan data di SSD dan NVMe?

IEEE 2883-2022 memberi panduan paling rinci untuk media flash, termasuk perintah sanitize per antarmuka dan syarat Cryptographic Erase. Yang pasti, degaussing tidak berlaku untuk SSD dan overwrite biasa tidak menjangkau seluruh sel NAND, jadi jangan memakai prosedur warisan era hard disk.

Apa arti “Purge” dalam standar sanitasi data?

Purge adalah level sanitasi yang membuat pemulihan data tidak layak dilakukan meski memakai peralatan laboratorium forensik. Contoh tekniknya: perintah sanitize bawaan drive, degaussing untuk media magnetik, dan Cryptographic Erase yang memenuhi syarat. Level ini umumnya dipilih saat media akan berpindah tangan ke luar organisasi.