KONSULTASI TATA KELOLA & PEMUSNAHAN DATA
Konsultasi Keamanan Data: Tata Kelola Retensi hingga Pemusnahan yang Siap Audit
Datasan membantu institusi merancang kebijakan retensi, prosedur decommissioning aman, dan mekanisme pemusnahan data yang terverifikasi. Setiap tahap mengacu pada NIST SP 800-88 dan ISO/IEC 27001, dengan dokumentasi yang dapat Anda tunjukkan kepada auditor dan regulator.
Sebagian besar program keamanan informasi berfokus pada perlindungan data yang sedang digunakan: firewall, enkripsi, kontrol akses. Namun siklus hidup data tidak berhenti di situ. Konsultasi keamanan data yang menyeluruh harus menjawab pertanyaan yang sering diabaikan: apa yang terjadi pada data ketika masa gunanya berakhir — saat server diganti, laptop dihapusbukukan, kontrak layanan cloud berakhir, atau arsip melewati masa retensinya.
Regulasi Indonesia kini menjadikan pertanyaan itu kewajiban hukum. UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan pengendali data menghapus dan/atau memusnahkan data pribadi dalam kondisi tertentu, termasuk ketika masa retensi berakhir, dan menuntut akuntabilitas atas pemrosesan tersebut. PP 71/2019 mengatur kewajiban penyelenggara sistem elektronik menjaga keamanan informasi, sementara regulator sektoral — dari OJK untuk lembaga jasa keuangan hingga Kementerian Kesehatan melalui Permenkes 24/2022 untuk rekam medis elektronik — menetapkan ketentuan retensi dan pengelolaan datanya masing-masing.
Masalahnya, kepatuhan tidak cukup dibuktikan dengan niat baik. Auditor dan regulator meminta bukti: kebijakan tertulis, jadwal retensi, prosedur pemusnahan yang mengacu pada standar seperti NIST SP 800-88, dan sertifikat pemusnahan per aset. Layanan konsultasi keamanan data Datasan dirancang untuk menutup celah ini — dari perumusan kebijakan hingga eksekusi pemusnahan yang terverifikasi — sehingga tata kelola akhir hidup data Anda berdiri di atas dokumen, bukan asumsi.
Celah Tata Kelola yang Baru Terlihat Saat Audit
Kebijakan retensi tidak ada atau tidak dijalankan
Banyak institusi menyimpan data tanpa batas waktu karena tidak ada jadwal retensi yang disepakati. Data yang seharusnya sudah dimusnahkan menjadi liabilitas hukum dan memperluas dampak jika terjadi kebocoran.
Aset IT bekas menumpuk dengan data tersisa
Server, harddisk, tape, dan laptop hasil peremajaan sering tersimpan bertahun-tahun di gudang tanpa status yang jelas. Setiap media itu berpotensi memuat data pribadi dan rahasia bisnis yang masih dapat dipulihkan.
Kewajiban UU PDP tanpa bukti yang bisa ditunjukkan
UU PDP menuntut pengendali data mampu mempertanggungjawabkan penghapusan dan pemusnahan data pribadi. Format ulang biasa tidak menyisakan bukti apa pun bahwa data benar-benar tidak dapat dipulihkan.
Metode pemusnahan tidak sesuai jenis media
Degaussing tidak efektif untuk SSD, dan penghapusan logis saja bisa menyisakan data pada area yang tidak tersentuh. Tanpa pemetaan metode per media sesuai NIST SP 800-88, risiko data tersisa tetap terbuka.
Lingkup Konsultasi Keamanan Data Datasan
Perumusan kebijakan retensi dan klasifikasi data
Kami membantu menyusun jadwal retensi per kategori data yang selaras dengan UU PDP dan ketentuan sektoral Anda, lengkap dengan klasifikasi sensitivitas sebagai dasar penentuan metode pemusnahan.
Prosedur decommissioning aset yang aman
Kami merancang alur baku dari penarikan aset, pencatatan chain of custody, hingga sanitasi atau penghancuran — sehingga tidak ada media penyimpanan yang keluar dari organisasi tanpa status yang terdokumentasi.
Pemilihan metode sesuai NIST SP 800-88
Setiap jenis media dipetakan ke metode Clear, Purge, atau Destroy yang tepat: overwrite atau crypto-erase untuk SSD, degaussing untuk media magnetik, hingga penghancuran fisik untuk data berklasifikasi tinggi.
Bukti pemusnahan dan jejak audit
Setiap eksekusi menghasilkan sertifikat pemusnahan per aset dengan nomor seri, metode, waktu, dan personel pelaksana — format bukti yang dapat diterima auditor internal, eksternal, maupun regulator.
Penyelarasan dengan ISO/IEC 27001 dan SOP internal
Kebijakan dan prosedur yang kami susun dipetakan ke kontrol ISO/IEC 27001 terkait pengelolaan dan pembuangan media, disertai pelatihan tim agar praktik berjalan konsisten setelah konsultasi selesai.
Pendekatan ini telah kami jalankan bersama institusi keuangan, layanan kesehatan, dan badan usaha milik negara di Indonesia, dengan dokumentasi pemusnahan yang diterima dalam proses audit mereka.
Bagaimana Konsultasi Berjalan
Asesmen dan pemetaan data
Kami memetakan jenis data, lokasi penyimpanan, media fisik, dan kewajiban regulasi yang berlaku bagi institusi Anda — termasuk aset bekas yang statusnya belum jelas. Hasilnya adalah gambaran risiko akhir hidup data beserta prioritas penanganannya.
Perancangan kebijakan dan prosedur
Berdasarkan asesmen, kami menyusun kebijakan retensi, prosedur decommissioning, dan matriks metode pemusnahan per jenis media mengacu pada NIST SP 800-88. Draf dibahas bersama tim hukum, IT, dan manajemen risiko Anda hingga disahkan.
Eksekusi sanitasi dan pemusnahan
Untuk aset yang jatuh tempo, tim Datasan melaksanakan sanitasi atau pemusnahan sesuai prosedur — dapat dilakukan on-site di lokasi Anda — dengan chain of custody yang tercatat sejak aset diserahterimakan.
Verifikasi dan dokumentasi audit
Setiap media diverifikasi setelah proses, lalu diterbitkan sertifikat pemusnahan dan laporan rekapitulasi. Dokumentasi ini menjadi bukti kepatuhan yang siap Anda sertakan dalam audit ISO 27001, audit internal, maupun pemeriksaan regulator.
Pertanyaan yang Sering Diajukan
Apa bedanya menghapus data biasa dengan pemusnahan data yang aman?
Menghapus file atau memformat ulang hanya menghilangkan penunjuk ke data; isinya kerap masih dapat dipulihkan dengan perangkat forensik. Pemusnahan aman menggunakan metode terverifikasi — overwrite, crypto-erase, degaussing, atau penghancuran fisik — sehingga data tidak dapat dipulihkan, dan prosesnya didokumentasikan sebagai bukti.
Apakah UU PDP mewajibkan metode pemusnahan tertentu?
Tidak. UU PDP mewajibkan penghapusan dan/atau pemusnahan data pribadi dalam kondisi tertentu serta akuntabilitas pengendali data, tetapi tidak menetapkan metode teknisnya. Karena itu praktik yang lazim adalah mengadopsi standar internasional seperti NIST SP 800-88 sebagai acuan metode dan pembuktiannya.
Standar apa yang menjadi acuan dalam konsultasi ini?
Acuan utama kami adalah NIST SP 800-88 Rev. 1 untuk metode sanitasi media (Clear, Purge, Destroy) dan ISO/IEC 27001 untuk kontrol pengelolaan serta pembuangan media dalam sistem manajemen keamanan informasi. Keduanya kami selaraskan dengan kewajiban regulasi Indonesia seperti UU PDP dan PP 71/2019.
Bagaimana menentukan masa retensi data di institusi kami?
Masa retensi ditentukan oleh kombinasi ketentuan sektoral, kebutuhan bisnis, dan prinsip pembatasan penyimpanan dalam UU PDP. Sektor kesehatan misalnya tunduk pada ketentuan retensi rekam medis dalam Permenkes 24/2022, sementara lembaga jasa keuangan mengikuti ketentuan OJK; konsultasi kami memetakan kewajiban ini per kategori data Anda.
Apakah metode pemusnahan sama untuk semua jenis media?
Tidak, dan di sinilah banyak kesalahan terjadi. Degaussing efektif untuk media magnetik seperti HDD dan tape tetapi tidak menghapus data pada SSD, sehingga SSD memerlukan crypto-erase, overwrite yang sesuai, atau penghancuran fisik. Matriks metode per media sesuai NIST SP 800-88 adalah salah satu keluaran utama konsultasi ini.
Bukti apa yang kami terima setelah pemusnahan dilakukan?
Anda menerima sertifikat pemusnahan per aset yang mencantumkan identitas media, nomor seri, metode yang digunakan, waktu pelaksanaan, dan personel pelaksana, disertai laporan rekapitulasi dan catatan chain of custody. Dokumen ini dirancang agar dapat langsung digunakan sebagai bukti dalam audit dan pemeriksaan regulator.
KONSULTASI TATA KELOLA & PEMUSNAHAN DATA
Mulai dari Asesmen Tata Kelola Data Anda
Diskusikan kondisi retensi, aset bekas, dan kewajiban kepatuhan institusi Anda bersama konsultan Datasan. Kami akan membantu memetakan risiko akhir hidup data dan menyusun langkah yang siap dipertanggungjawabkan di hadapan auditor.
