Pemerintahan Digital membawa perubahan besar dalam cara pemerintah daerah menyelenggarakan pelayanan publik. Layanan administrasi, perizinan, kesehatan, pendidikan, pengaduan, hingga berbagai layanan prioritas kini semakin bergantung pada aplikasi, infrastruktur, jaringan, data, dan teknologi digital.
Di satu sisi, digitalisasi membuat pelayanan menjadi lebih cepat dan terintegrasi. Namun di sisi lain, ketergantungan tersebut membuat gangguan keamanan pada satu layanan dapat memberikan dampak yang jauh lebih luas. Ketika sebuah layanan tidak dapat diakses, data tidak terlindungi, atau sistem mengalami gangguan, yang dipertaruhkan bukan hanya kinerja teknologi, tetapi juga keberlangsungan pelayanan publik dan kepercayaan masyarakat.
Karena itu, pemerintah daerah membutuhkan mekanisme yang mampu menjawab pertanyaan sederhana tetapi sangat penting: apakah layanan digital pemerintah benar-benar aman dan berjalan sesuai dengan standar yang ditetapkan?
Di sinilah audit keamanan memiliki peran strategis.
Dalam Indikator 9 Tingkat Kematangan Pelaksanaan Audit Keamanan Pemerintahan Digital dan Teknologi Pemerintahan Digital, kemampuan pemerintah dinilai berdasarkan pelaksanaan audit keamanan di lingkungan instansi sesuai standar dan tata cara yang berlaku. Materi paparan indikator menempatkan empat objek utama, yaitu tata kelola, manajemen, fungsionalitas dan kinerja, serta aspek lainnya, dengan keterlibatan fungsi pengawasan intern, TIK, pengelola layanan digital, dan pemilik layanan.
Baca juga: Kepercayaan Masyarakat Dimulai dari Pelindungan Data Pribadi dalam Pemerintahan Digital
1. Mengapa Keamanan Perlu Diaudit?
Keamanan digital tidak cukup hanya dinyatakan melalui kebijakan atau dibuktikan dengan keberadaan perangkat keamanan. Sebuah layanan dapat terlihat berjalan normal bagi pengguna, tetapi belum tentu memiliki pengendalian keamanan yang memadai di belakangnya.
Audit diperlukan untuk memperoleh gambaran yang lebih objektif mengenai kondisi keamanan layanan. Melalui audit, pemerintah dapat memeriksa apakah pengendalian yang dirancang telah diterapkan, apakah proses pengelolaan keamanan berjalan sebagaimana mestinya, serta apakah terdapat kelemahan yang perlu segera diperbaiki.
Dalam konteks pemerintahan, audit keamanan juga membantu memastikan bahwa aspek keamanan tidak berdiri sendiri sebagai urusan teknis. Keamanan harus terhubung dengan tata kelola, manajemen, pembangunan aplikasi, pengelolaan data, keberlangsungan layanan, dan kepatuhan terhadap regulasi.
Peraturan BSSN Nomor 8 Tahun 2024 secara khusus mengatur standar dan tata cara pelaksanaan Audit Keamanan SPBE. Regulasi tersebut mencakup objek audit, pelaksana audit, kriteria, bukti audit, hingga kesimpulan audit.
Dengan demikian, audit seharusnya dipandang sebagai instrumen pengendalian manajemen, bukan sekadar dokumen untuk memenuhi kebutuhan evaluasi.
2. Risiko Digital yang Dihadapi Pemerintah Daerah
Pemerintah daerah mengelola ekosistem digital yang semakin kompleks. Satu layanan dapat melibatkan aplikasi, basis data, jaringan, infrastruktur komputasi, integrasi dengan sistem lain, penyedia teknologi, serta berbagai unit kerja.
Kompleksitas tersebut menciptakan banyak titik yang perlu dikendalikan.
Risiko dapat muncul karena konfigurasi sistem yang tidak tepat, kelemahan aplikasi, pengelolaan hak akses yang tidak memadai, ketergantungan terhadap pihak ketiga, dokumentasi yang tidak lengkap, maupun proses pengembangan aplikasi yang tidak memperhatikan aspek keamanan sejak awal.
Karena itu, audit keamanan tidak seharusnya hanya dilakukan ketika terjadi insiden. Audit justru dibutuhkan sebelum masalah berkembang menjadi gangguan pelayanan atau insiden keamanan.
Materi Paparan Indikator 9 mengarahkan agar perencanaan audit mempertimbangkan kategorisasi kritikalitas keamanan layanan digital, kepatuhan terhadap kontrol keamanan yang dipersyaratkan, dan profil risiko layanan digital.
Pendekatan berbasis risiko ini penting bagi Pemda. Tidak semua layanan memiliki tingkat dampak yang sama. Layanan yang menyangkut pelayanan publik kritis atau data strategis tentu membutuhkan perhatian dan prioritas pengawasan yang berbeda dibandingkan layanan dengan dampak yang lebih terbatas.
3. Audit sebagai Instrumen Pengendalian
Audit keamanan yang efektif tidak hanya mencari kesalahan. Tujuan yang lebih penting adalah memberikan informasi kepada pimpinan mengenai kondisi aktual keamanan layanan dan area yang membutuhkan perbaikan.
Materi paparan indikator membagi lingkup audit ke dalam beberapa aspek. Pada tata kelola keamanan, audit melihat evaluasi, pengarahan, dan pengendalian. Pada manajemen keamanan, perhatian diberikan pada perencanaan, pengembangan, pengoperasian, dan pemantauan keamanan. Sementara dari sisi fungsionalitas dan kinerja keamanan, audit memperhatikan kelengkapan, kebenaran, dan kelayakan.
Audit juga memperhatikan aspek lain, seperti pemenuhan peraturan perundang-undangan, penilaian kesesuaian untuk sertifikasi, tindak lanjut atas pelaporan publik, serta persyaratan pembangunan dan pengembangan aplikasi, data dan informasi, interoperabilitas, keberlangsungan layanan, manajemen, dan dokumentasi aplikasi.
Dengan cakupan tersebut, audit keamanan menjadi instrumen untuk melihat layanan digital secara lebih utuh.
4. Dari Menemukan Masalah Menuju Perbaikan
Nilai audit tidak berhenti pada laporan temuan.
Justru setelah laporan diterbitkan, pekerjaan penting dimulai: menentukan prioritas, menetapkan penanggung jawab, menyusun rencana perbaikan, melaksanakan mitigasi, dan memastikan bahwa kelemahan yang ditemukan benar-benar telah ditangani.
Hal ini terlihat jelas dalam tingkat kematangan Indikator 9. Pada tingkat Kurang/Initiate, pemerintah setidaknya telah membentuk tim audit dan menyusun perencanaan audit keamanan yang mempertimbangkan kritikalitas layanan, kontrol keamanan, dan profil risiko.
Pada tingkat Cukup/Emerging, audit internal telah dilaksanakan pada sebagian layanan pemerintah. Merupakan kondisi bahwa 90% audit internal keamanan dan teknologi pemerintahan digital telah dilakukan, dengan laporan hasil audit sebagai data dukung.
Selanjutnya, tingkat Baik/Developing tidak hanya mensyaratkan pelaksanaan audit internal, tetapi juga tindak lanjut atas hasil audit. Menempatkan kondisi 100% pelaksanaan audit internal sesuai IPPD sekaligus 100% perbaikan dari hasil audit sebagai gambaran tingkat tersebut.
Pesannya jelas: audit tanpa tindak lanjut belum menciptakan perbaikan yang berarti.
5. Keamanan sebagai Bagian dari Tata Kelola
Audit keamanan juga perlu ditempatkan dalam mekanisme tata kelola pemerintahan, bukan berjalan sebagai kegiatan teknis yang terpisah.
Pimpinan daerah perlu mengetahui siapa yang bertanggung jawab terhadap keamanan layanan, bagaimana hasil audit dilaporkan, bagaimana temuan diklasifikasikan berdasarkan risiko, dan bagaimana tindak lanjut dipantau.
Hal ini sejalan dengan Peraturan Menteri Kominfo Nomor 16 Tahun 2022 yang menempatkan audit TIK dalam konteks tata kelola, termasuk pemeriksaan terhadap kerangka pengaturan, pengarahan, dan pengendalian penerapan pemerintahan berbasis elektronik.
Di sisi pembangunan aplikasi, Permenkomdigi Nomor 6 Tahun 2025 juga mensyaratkan agar pemerintah pusat dan daerah memenuhi standar teknis dan prosedur pembangunan serta pengembangan aplikasi, termasuk persyaratan umum, infrastruktur, siklus pembangunan, data dan informasi, interoperabilitas, keberlangsungan layanan, manajemen, dan dokumentasi aplikasi.
Dengan demikian, hasil audit seharusnya dapat menjadi masukan bagi keputusan organisasi: apakah sebuah aplikasi perlu diperbaiki, diperkuat, dikembangkan kembali, atau bahkan ditinjau ulang.
6. Strategi Membangun Budaya Audit Keamanan
Pemerintah daerah tidak perlu menunggu munculnya insiden untuk mulai membangun budaya audit.
Langkah pertama adalah membentuk tim audit dan menetapkan peran yang jelas. Tim perlu memiliki koordinasi dengan fungsi pengawasan intern, TIK, pengelola layanan digital, dan pemilik layanan.
Kedua, menyusun rencana audit berbasis risiko dengan memetakan seluruh layanan digital berdasarkan kritikalitas, jenis data, ketergantungan infrastruktur, serta potensi dampaknya terhadap masyarakat.
Ketiga, melaksanakan audit internal secara berkala. Materi Paparan Indikator 9 menetapkan frekuensi internal satu kali setiap tahun terhadap layanan digital instansi. Untuk audit eksternal, dibedakan berdasarkan kategori layanan; layanan digital prioritas dan tematik dicantumkan satu kali per tahun oleh BSSN, sedangkan layanan digital instansional satu kali setiap dua tahun oleh badan usaha pelaksana audit non-pemerintah yang sesuai ketentuan.
Keempat, membangun mekanisme tindak lanjut temuan yang terukur. Setiap temuan perlu memiliki status, penanggung jawab, target penyelesaian, dan bukti perbaikan.
Kelima, pemerintah daerah perlu memanfaatkan hasil audit sebagai bagian dari pengambilan keputusan pimpinan, bukan menyimpannya sebagai dokumen administratif.
7. Audit untuk Memastikan Keamanan Benar-Benar Bekerja
Kematangan Pemerintahan Digital tidak ditentukan oleh seberapa banyak aplikasi yang dimiliki pemerintah daerah. Salah satu ukurannya adalah seberapa baik pemerintah memastikan bahwa layanan tersebut aman, dapat diandalkan, dan terus diperbaiki.
Karena itu, audit keamanan bukan formalitas.
Audit adalah mekanisme untuk mengetahui apakah pengendalian keamanan benar-benar bekerja, apakah risiko telah dikelola, dan apakah layanan digital mampu memberikan pelayanan secara aman dan berkelanjutan.
Perjalanan kematangan Indikator 9 memperlihatkan arah yang jelas: dari membentuk tim dan merencanakan audit, menuju pelaksanaan audit internal, kemudian tindak lanjut perbaikan, dilanjutkan dengan audit eksternal pada layanan prioritas, hingga akhirnya perbaikan atas hasil audit eksternal.
Pada tingkat Memuaskan/Leading, pemerintah telah melakukan perbaikan atas hasil audit eksternal.
Inilah esensi audit keamanan dalam Pemerintahan Digital: bukan mencari siapa yang salah, melainkan memastikan pemerintah mengetahui risikonya, memperbaiki kelemahannya, dan mampu memberikan layanan yang semakin aman dari waktu ke waktu.
Pada akhirnya, ketika masyarakat menggunakan layanan digital pemerintah, mereka tidak melihat proses audit yang berlangsung di belakang sistem. Mereka hanya merasakan apakah layanan dapat dipercaya atau tidak. Karena itu, audit keamanan pada dasarnya adalah salah satu cara pemerintah menjaga kepercayaan tersebut.
Leave a Reply