Bukti Asesmen Keamanan SPBE: Rekaman yang Dapat Ditinjau
Persyaratan sumber dan praktik assessment
Peraturan Presiden Nomor 95 Tahun 2018 membahas SPBE. Artikel ini memakai publikasi pemerintah resmi sebagai sumber terbatas untuk identitas dan status instrumen; artikel ini tidak memetakan instrumen BSSN maupun menjadi kriteria assessment BSSN. Naskah terkini, tanggal, dan penerapan pada instansi atau sistem pemerintah memerlukan review operator serta legal berwenang.
Persyaratan sumber adalah isi instrumen berwenang. Praktik assessment adalah rekam praktis agar pengujian dapat direview. NIST SP 800-115, terbit September 2008, menjelaskan perencanaan, pelaksanaan, analisis, dan mitigasi pengujian teknis; dokumen ini berguna sebagai metodologi, bukan instrumen hukum Indonesia. Review operator dan legal wajib sebelum pemetaan SPBE. Bila ada assessment atau assurance formal, reviewer kompeten atau akreditasi terkait menetapkan aturan penerimaan.
Rantai bukti
Bangun rantai dari otoritas sampai aksi. Simpan dokumen asli read-only dan catat hash bukti yang diterima.
| Rekam | Kriteria lulus | Owner | Penanganan gagal |
|---|---|---|---|
| Keputusan penerapan | instansi, sistem, instrumen, ketentuan, reviewer, tanggal tercatat | owner SPBE/legal | belum terkonfirmasi; jangan klaim pemetaan |
| Cakupan aset | aset produksi, integrasi, klasifikasi data, pengecualian disebut | owner sistem | celah scope memblokir kesimpulan |
| Otorisasi tertulis | waktu, target, metode, kontak henti, aksi terlarang ditandatangani | pejabat akuntabel | uji tidak dimulai |
| Log uji | metode, penguji, waktu UTC, versi target, hasil, hash terhubung | lead assessment | hasil tidak cukup sebagai bukti |
| Rekam temuan | batas reproduksi, dasar dampak, severity, owner, tenggat | owner remediasi | tetap terbuka |
| Rekam retest | versi berubah, metode, hasil, keputusan risiko residual terhubung | lead assessment | penutupan ditolak |
Contoh terisi: rilis portal instansi 3.7.2 memiliki persetujuan scope untuk web publik, API, dan integrasi SSO; denial-of-service produksi serta social engineering dikecualikan. Assessor menyimpan ROE, bukti request tersanitasi, hash laporan, dan tiket SPBE-42. Temuan otorisasi rusak lulus retest hanya jika akun uji tidak dapat mengakses tenant lain setelah rilis 3.7.3, bukti mencatat tanggal dan metode, serta owner sistem menerima keterbatasan tersisa. “Laporan telah dikirim” bukan kriteria lulus.
Pertanyaan review dan remediasi
Uji apakah bukti membuktikan scope, bukan hanya ada kebijakan. Apakah reviewer dapat melihat pemberi izin? Dapatkah hasil direproduksi pada versi yang dinyatakan? Apakah bukti terlindung dari perubahan? Apakah pengecualian memuat penyetuju dan kedaluwarsa? Apakah remediasi membuktikan efektivitas, bukan status tiket?
Tandai gagal bila otorisasi tidak ada, bukti tidak dapat dikaitkan dengan target/versi, bukti mentah mengandung data pribadi tanpa izin, severity tanpa dasar, atau item tertutup tanpa retest maupun penerimaan risiko resmi. Rekam remediasi memuat aksi, owner, target waktu, dependensi, metode validasi, dan keputusan jika tertunda. Simpan bukti minimum sesuai retensi serta klasifikasi instansi; jangan unggah kredensial, rahasia produksi, atau data pribadi yang tidak perlu ke workspace assessor.
Batas interpretasi
Assessment tidak menggantikan pengelolaan keamanan harian. Bukti snapshot hanya menjelaskan kondisi target pada waktu dan metode yang dinyatakan. Perubahan konfigurasi, integrasi baru, atau perubahan ancaman perlu memicu review scope dan bila perlu uji tambahan. Jangan memakai hasil lama untuk menyimpulkan kondisi sistem baru.
Pengendalian perubahan bukti
Saat target berubah selama assessment, catat komponen berubah, identitas rilis, owner penyetuju, dan apakah hasil sebelumnya masih valid. Jangan memakai bukti build staging untuk produksi secara diam-diam. Bila scope berubah material, jeda kesimpulan, perbarui otorisasi, dan putuskan kebutuhan retest terarah. Rekam ini menjaga garis waktu yang dapat dipertanggungjawabkan tanpa memperluas otoritas uji.
Aturan keputusan reviewer
Reviewer mencatat tiap tujuan sebagai didukung, sebagian didukung, atau tidak didukung, dengan rujukan artefak tepat. Didukung memerlukan scope berizin, hasil dapat diatribusikan, dan disposisi lengkap; bukan berarti kontrol efektif permanen. Sebagian didukung menunjukkan sampling kurang, batasan, atau retest tertunda. Tidak didukung membuka remediasi atau keputusan risiko resmi. Bahasa ini membuat ketidakpastian assessment terlihat tanpa menghasilkan kesimpulan assurance tanpa dasar.
Serah-terima bukti
Berikan paket terindeks kepada tim review: keputusan penerapan; otorisasi bertanda tangan; daftar aset disetujui; manifest bukti dan hash; register temuan; register pengecualian; status remediasi; output retest; serta keputusan retensi. Tiap item menyebut custodian, klasifikasi, dan pembaca yang diizinkan. Reviewer dapat meminta dokumen asli terlindungi bila ringkasan bukti belum cukup.
Gunakan status internal dengan sengaja: siap berarti rekam wajib ada serta dapat diatribusikan; terblokir berarti otorisasi, scope, atau integritas belum selesai; bersyarat berarti owner bernama menerima pengecualian terbatas. Ini status alur kerja, bukan label status SPBE.
Batas publikasi dan assurance
Periksa ulang naskah serta status otoritas pada publikasi pemerintah resmi sebelum dipakai untuk publikasi atau pengadaan. Rekam ini membantu instansi menyiapkan paket assessment yang dapat direview. Rekam ini tidak membuktikan kepatuhan SPBE, persetujuan BSSN, sertifikasi, akreditasi, atau hasil keamanan yang dijamin.
Penutupan assessment menyebut periode bukti, batas sistem, reviewer, gap belum selesai, dan tindak lanjut yang bertanggung jawab. Output diharapkan: setiap kesimpulan dapat ditelusuri ke observasi bertanggal tanpa melampaui scope assessment. Kasus tepi: konfigurasi berubah saat bukti dikumpulkan; pisahkan hasil sebelum dan sesudah perubahan. Tutup paket setelah owner instansi menerima batasan serta tanggal review berikutnya.
Sources
Validasi bukti layanan publik
Untuk alur layanan publik, tautkan otorisasi pengujian, versi rilis, metode, hash artefak, dan temuan pada indeks bukti. Peninjau tata kelola harus dapat memastikan bahwa hasil hanya berlaku pada sistem serta periode yang diuji. Perubahan scope atau target menghentikan penggunaan bukti lama sampai otorisasi dan retest yang relevan tersedia; rekam ini tidak menyatakan penerimaan BSSN atau kepatuhan SPBE.