Data telah menjadi salah satu aset paling penting dalam penyelenggaraan Pemerintahan Digital. Hampir seluruh layanan publik saat ini bergantung pada data. Mulai dari identitas masyarakat, informasi kesehatan, pendidikan, bantuan sosial, perizinan, hingga data administrasi pemerintahan.
Namun, nilai data tidak berhenti pada saat data tersimpan dalam basis data. Dalam ekosistem digital, data terus bergerak melalui berbagai tahapan, mulai dari dikumpulkan dari masyarakat, disimpan dalam sistem, dimanfaatkan oleh aparatur maupun aplikasi, hingga dipertukarkan dengan sistem lainnya. Setiap tahapan tersebut memiliki potensi risiko keamanan yang perlu diidentifikasi dan dikelola secara tepat.
Karena itu, melindungi data tidak cukup hanya dengan mengatur siapa yang boleh mengaksesnya. Pemerintah juga perlu memastikan bahwa apabila data berada di luar kendali langsung sistem atau jaringan, informasi tersebut tetap terlindungi dari akses maupun perubahan yang tidak semestinya.
Di sinilah kriptografi memiliki peran penting.
Dalam Indikator 11 Tingkat Kematangan Penerapan Kriptografi untuk Keamanan Data, kemampuan pemerintah dinilai dari penerapan fungsi kriptografi untuk memproteksi keamanan dan kerahasiaan data dalam penyelenggaraan Layanan Digital Pemerintah. Materi indikator 11 secara khusus memperhatikan perlindungan data ketika disimpan (at-rest), digunakan (in-use), maupun dipertukarkan (in-transit).
Dengan demikian, pemerintah daerah perlu melihat isu keamanan data secara lebih menyeluruh. Pertanyaan yang perlu dijawab bukan hanya “apakah kita sudah menggunakan enkripsi?”, tetapi juga “pada tahap mana data perlu dilindungi, seberapa luas penerapannya, dan apakah penerapannya sudah dikelola secara matang?”
Baca juga: IKASANDI: Pilar Keamanan Siber dalam Pemerintahan Digital
1. Mengapa Kriptografi Penting bagi Pemerintahan Digital?
Dalam lingkungan digital, data dapat mengalir dan diproses melalui berbagai komponen dalam sebuah ekosistem. Informasi yang dikirimkan masyarakat melalui layanan digital dapat diterima oleh server, diproses oleh aplikasi, disimpan dalam basis data, hingga diteruskan ke sistem lain melalui mekanisme integrasi.
Setiap proses perpindahan dan pengolahan data tersebut memiliki potensi risiko keamanan.
Jika data sensitif hanya dilindungi ketika tersimpan, tetapi tidak terlindungi ketika dikirimkan, maka terdapat celah pada perjalanan data. Sebaliknya, komunikasi yang telah diamankan juga belum sepenuhnya menjamin keamanan data setelah informasi tersebut tersimpan dan diproses di dalam sistem.
Karena itu, perlindungan data tidak cukup hanya berfokus pada satu titik atau teknologi tertentu. Pendekatan keamanan perlu melihat siklus hidup data secara utuh, mulai dari data dikumpulkan, dikirimkan, diproses, disimpan, digunakan, hingga dipertukarkan dengan sistem lainnya.
National Institute of Standards and Technology (NIST) menjelaskan bahwa kriptografi dan standar kriptografi dapat digunakan untuk melindungi informasi digital sensitif, termasuk ketika informasi berada dalam penyimpanan maupun ketika dikirimkan. NIST juga menempatkan enkripsi, tanda tangan digital, hashing, autentikasi, dan mekanisme kriptografi lainnya sebagai bagian dari perlindungan informasi.
Bagi pemerintah daerah, hal ini menjadi semakin relevan karena layanan digital sering kali memproses informasi yang bernilai tinggi dan memiliki konsekuensi langsung terhadap masyarakat.
2. Data Pemerintah yang Harus Dilindungi
Tidak semua data memiliki tingkat sensitivitas dan risiko yang sama. Materi Indikator 11 menggunakan tiga kategori Sistem Elektronik, yaitu Strategis, Tinggi, dan Rendah. Sistem Elektronik Strategis merupakan sistem yang dapat berdampak serius terhadap kepentingan umum, pelayanan publik, kelancaran penyelenggaraan negara, atau pertahanan dan keamanan negara. Kategori Tinggi memiliki dampak terbatas pada sektor dan/atau daerah tertentu, sedangkan kategori Rendah merupakan sistem elektronik lainnya.
Pendekatan ini penting karena penerapan kriptografi perlu memperhatikan tingkat risiko dan karakteristik sistem.
Pemerintah daerah perlu terlebih dahulu mengetahui:
- sistem apa saja yang digunakan;
- data apa yang diproses;
- seberapa sensitif data tersebut;
- bagaimana data disimpan;
- bagaimana data digunakan;
- bagaimana data dipertukarkan;
- siapa yang memiliki kewenangan mengaksesnya; dan
- apa dampaknya apabila data tersebut diakses atau diubah oleh pihak yang tidak berwenang.
Dengan pemetaan tersebut, penerapan kriptografi dapat diarahkan berdasarkan risiko, bukan sekadar mengikuti tren teknologi.
3. Kerahasiaan, Integritas, dan Keamanan Data
Secara sederhana, kriptografi memungkinkan informasi diubah ke dalam bentuk yang tidak mudah dipahami oleh pihak yang tidak memiliki kewenangan atau mekanisme untuk mengembalikannya ke bentuk yang dapat digunakan.
Namun, fungsi kriptografi dalam keamanan informasi tidak hanya berkaitan dengan kerahasiaan.
Dalam praktik keamanan digital, mekanisme kriptografi dapat mendukung kerahasiaan, integritas, autentikasi, dan non repudiasi, tergantung pada mekanisme yang digunakan. NIST, misalnya, mencantumkan enkripsi, tanda tangan digital, hashing, message authentication codes, key agreement, serta mekanisme lainnya dalam keluarga mekanisme kriptografi.
Hal tersebut penting bagi pemerintah daerah karena sebuah data yang tidak bocor sekalipun belum tentu aman jika dapat diubah tanpa terdeteksi.
Bayangkan data administrasi pelayanan yang tetap tersimpan dan dapat diakses, tetapi isinya telah dimodifikasi tanpa kewenangan. Dari perspektif tata kelola pemerintahan, masalahnya bukan hanya kerahasiaan, tetapi juga integritas dan keandalan informasi.
Karena itu, penerapan kriptografi perlu ditempatkan sebagai bagian dari keseluruhan arsitektur keamanan data.
4. Kriptografi dalam Ekosistem Layanan Digital
Indikator 11 secara spesifik membagi penerapan kriptografi berdasarkan tiga posisi data:
Data At-Rest
Data at-rest adalah data yang sedang tersimpan, misalnya dalam basis data, server, media penyimpanan, atau sistem penyimpanan lainnya.
Perlindungan pada tahap ini bertujuan mengurangi risiko apabila media penyimpanan atau sistem penyimpanan mengalami akses yang tidak sah.
NIST juga menempatkan perlindungan data at-rest sebagai bagian penting dari keamanan informasi dan menjelaskan bahwa enkripsi dapat digunakan untuk membantu melindungi data yang tersimpan.
Data In-Transit
Data in-transit adalah data yang sedang dikirim atau dipertukarkan dari satu sistem ke sistem lain.
Dalam ekosistem Pemerintahan Digital, hal ini menjadi sangat penting karena berbagai aplikasi pemerintah semakin membutuhkan integrasi dan pertukaran data.
Perlindungan pada tahap in-transit membantu mengurangi risiko penyadapan maupun modifikasi informasi selama perjalanan data.
Data In-Use
Data in-use merupakan data ketika sedang digunakan atau diproses oleh sistem.
Materi Indikator 11 secara eksplisit memasukkan in-use sebagai salah satu siklus data yang menjadi perhatian penilaian.
Ketiga kondisi tersebut menunjukkan bahwa keamanan data seharusnya tidak berhenti pada satu titik. Data perlu dilindungi sepanjang perjalanan dan penggunaannya dalam ekosistem layanan digital.
5. Dari Penerapan Kriptografi Menuju Tata Kelola Persandian
Salah satu pesan penting dari Indikator 11 adalah bahwa kematangan tidak hanya ditentukan oleh ada atau tidaknya teknologi kriptografi.
Materi indikator 11 menempatkan objek pengukuran pada dua aspek, yaitu penerapan teknologi kriptografi dan Area Persandian pada IKASANDI.
Area Persandian tersebut mencakup lima kontrol utama:
- Kebijakan Pengamanan Informasi
- Pengelolaan Sumber Daya
- Pengamanan Sistem Elektronik dan Informasi non-Elektronik
- Layanan Keamanan Informasi
- Pola Hubungan Komunikasi Sandi
Artinya, pemerintah daerah tidak cukup membeli perangkat atau menggunakan algoritma tertentu lalu menganggap persoalan selesai.
Diperlukan kebijakan, sumber daya, pengelolaan sistem, layanan keamanan, serta hubungan komunikasi yang mendukung penyelenggaraan persandian secara menyeluruh.
Dengan perspektif tersebut, kriptografi menjadi bagian dari tata kelola keamanan data, bukan sekadar fitur teknis sebuah aplikasi.
6. Strategi Pemerintah Daerah Memperkuat Keamanan Data
Ada beberapa langkah strategis yang dapat dilakukan Pemda.
Pertama, petakan data dan sistem yang perlu dilindungi. Prioritaskan sistem dengan kategori dan risiko tinggi, terutama layanan yang memproses data sensitif atau memiliki dampak besar terhadap pelayanan publik.
Kedua, petakan siklus data. Pemerintah perlu mengetahui kapan data berada dalam kondisi at-rest, kapan diproses sebagai in-use, dan kapan dipertukarkan sebagai in-transit.
Ketiga, tentukan kebutuhan kriptografi berdasarkan risiko dan regulasi. Algoritma dan mekanisme yang digunakan tidak boleh dipilih semata-mata karena populer atau mudah diterapkan. Materi Indikator 11 mengacu pada Keputusan Kepala BSSN Nomor 443 Tahun 2025 tentang Algoritma Kriptografi Indonesia sebagai salah satu rujukan dalam penerapan algoritma kriptografi.
Keempat, dokumentasikan penerapan. Laporan pelaksanaan penerapan teknologi kriptografi menjadi salah satu bentuk data dukung dalam penilaian indikator.
Kelima, lakukan evaluasi. Penerapan kriptografi perlu dinilai secara berkala untuk memastikan kontrol yang digunakan masih sesuai dengan kebutuhan, risiko, teknologi, dan ketentuan yang berlaku.
Keenam, jadikan hasil evaluasi sebagai dasar perbaikan. Pada tingkat kematangan tertinggi, optimalisasi penerapan kriptografi telah dilakukan secara menyeluruh dan penerapan tersebut telah menjadi bagian dari budaya kerja untuk mendukung kualitas Layanan Digital Pemerintah.
7. Mengukur Kematangan, Bukan Sekadar Kepemilikan Teknologi
Indikator 11 menggambarkan perjalanan kematangan yang menarik.
Pada tingkat Kurang/Initiate, pemerintah masih berada pada tahap penyiapan penerapan teknologi kriptografi, sementara penerapannya masih bersifat sewaktu-waktu atau terbatas pada layanan digital tertentu.
Pada tingkat Cukup/Emerging, teknologi kriptografi telah diterapkan pada sebagian layanan digital pemerintah, setidaknya pada satu siklus data, dengan algoritma yang sesuai ketentuan pada sebagian layanan.
Pada tingkat Baik/Developing, penerapan telah mencakup minimal dua siklus data pada sebagian layanan digital pemerintah.
Kemudian pada tingkat Sangat Baik/Embedded, penerapan kriptografi telah dilakukan minimal pada dua siklus data terhadap 100% Sistem Elektronik/Layanan Digital Pemerintah dengan minimal kategorisasi tingkat tinggi, disertai evaluasi pada seluruh layanan prioritas dan/atau tematik.
Pada tingkat Memuaskan/Leading, pemerintah tidak hanya melakukan penerapan dan evaluasi, tetapi juga menindaklanjuti hasil evaluasi. Optimalisasi telah dilakukan secara menyeluruh, penerapan kriptografi telah menjadi budaya kerja, dan penyelenggaraan persandian telah terorganisasi serta terkelola dengan baik.
Perjalanan tersebut menunjukkan bahwa kematangan kriptografi bukan tentang seberapa banyak teknologi yang dimiliki, melainkan seberapa konsisten teknologi tersebut diterapkan, dievaluasi, dan ditingkatkan.
8. Mengamankan Data di Setiap Perjalanan
Dalam konteks Pemerintahan Digital, data terus bergerak melalui berbagai proses, mulai dari dikumpulkan, disimpan, diproses, digunakan, hingga dipertukarkan antarsistem. Oleh karena itu, keamanan dan perlindungan data tidak dapat hanya diterapkan pada satu tahapan, tetapi perlu diperhatikan sepanjang siklus hidup data.
Kriptografi menjadi salah satu mekanisme penting dalam melindungi data dari berbagai risiko keamanan selama proses tersebut. Namun, penerapan teknologi kriptografi saja belum cukup untuk membangun keamanan data yang efektif.
Pemerintah daerah juga memerlukan tata kelola persandian yang didukung oleh sumber daya manusia yang kompeten, kebijakan yang jelas, pemilihan algoritma yang tepat, pengelolaan sistem, dokumentasi, evaluasi berkala, serta perbaikan berkelanjutan. Dengan pendekatan tersebut, perlindungan data tidak hanya bergantung pada teknologi, tetapi menjadi bagian dari pengelolaan keamanan yang terencana dan berkelanjutan.
Itulah inti dari Indikator 11 Tingkat Kematangan Penerapan Kriptografi untuk Keamanan Data.
Bagi pimpinan daerah, pertanyaan strategisnya bukan lagi sekadar “apakah kita sudah menggunakan enkripsi?”, tetapi:
“Apakah data masyarakat dan data pemerintahan terlindungi secara konsisten pada setiap tahap ketika data disimpan, digunakan, dan dipertukarkan?”
Ketika jawabannya semakin kuat, Pemerintah Daerah tidak hanya memiliki teknologi keamanan yang lebih baik. Pemerintah juga sedang membangun ekosistem data yang lebih terpercaya, layanan publik yang lebih tangguh, dan fondasi Pemerintahan Digital yang semakin aman.
Setelah memastikan data terlindungi sepanjang siklusnya, tantangan berikutnya adalah kesiapan ketika perlindungan tersebut menghadapi ancaman nyata. Indikator 12 — Tingkat Kapabilitas Penanganan Insiden Siber akan membawa pembahasan ini pada pertanyaan berikutnya: ketika serangan terjadi, seberapa siap Pemerintah Daerah mendeteksi, merespons, memulihkan, dan belajar dari insiden tersebut?
Leave a Reply