Baca PDF (OCR): Panduan Audit Keamanan Digital Media Daring

PANDUAN AUDIT KEAMANAN DIGITAL

UNTUK MEDIA DARING

Panduan Audit Keamanan Digital untuk Media Daring

Oktober 2025

Tim Penyusun: Adi Marsiela Anton Muhajir Ardy Wibisana Nike F. Andaru

Desainer & Tata Letak Syamsul Arifin

Penerbit Southeast Asia Freedom of Expression Network SAFEnet) Jalan Gita Sura III Nomor 55 Peguyangan Kaja Denpasar, Bali 80123

Telepon : 62 817 9323375 Surel: [email protected] Twitter & Instagram: @safenetvoice Situs web: safenet.or.id

Lisensi Hak Cipta CC BYSA 4.0 Atribusi-BerbagiSerupa 4.0 Internasional

Daftar Isi

Daftar Isi................................................................................vi
Pengantar Tim Penyusun........................................................vii
Pengantar IMS.......................................................................x
Tentang Panduan...................................................................xii
Panduan Etik Audit.................................................................xvi

Persiapan............................................1
A1. Persiapan dan Perencanaan.........................................2

1.1 Ringkasan.....................................................................2
1.2 Tahapan.......................................................................2
1.2.1 Pembuatan Perjanjian...............................................3
1.2.2 Pengumpulan Informasi...........................................4
1.2.3 Penyusunan Jadwal.................................................5
1.2.4 Pertemuan Awal.......................................................6
1.2.5 Persiapan Auditor.....................................................7
1.3 Catatan........................................................................8
1.4 Keluaran......................................................................8
1.5 Acuan..........................................................................9
Pelaksanaan........................................11
B 2. Penilaian Risiko dan Ancaman.....................................12

2.1 Ringkasan....................................................................12
2.2 Tahapan......................................................................13
2.2.1 Analisis Isu dan Program.........................................13
2.2.2 Analisis Kerentanan.................................................19
2.2.3 Analisis Ancaman....................................................20
2.2.4 PAKEM DIRI.............................................................22
2.3 Catatan.......................................................................22
2.4 Keluaran......................................................................23
2.5 Acuan..........................................................................23

3. Penilaian Aset & Data...................................................25
   3.1 Ringkasan....................................................................25
   3.2 Tahapan......................................................................26
   3.2.1 Memahami Konsep CIA/3K......................................26
   3.2.2 Menilai Kepatuhan terhadap Regulasi....................27
   3.2.3 Memetakan Aset Digital..........................................30
   3.2.4 Mendaftar Media Sosial & Pengelolaannya............33
   3.3 Catatan.......................................................................34
   3.4 Keluaran......................................................................34
   3.5 Acuan..........................................................................35
4. Pemetaan Infrastruktur & Jaringan..............................36
   4.1 Ringkasan....................................................................36
   4.2 Tahapan......................................................................37
   4.2.1 Observasi Infrastruktur............................................37
   4.2.2 Pemindaian Situs Web............................................39
   4.2.3 Pemetaan Jaringan Wi-Fi.....................................43
   4.3 Catatan.......................................................................49
   4.4 Keluaran......................................................................49
   4.5 Acuan..........................................................................49
   Pelaporan...........................................51
   C 5. Penyusunan Laporan....................................................52

5.1 Ringkasan....................................................................52
5.2 Tahapan......................................................................53
5.2.1 Penyusunan Laporan...............................................53
5.2.2 Penyampaian Laporan............................................55
5.3 Catatan.......................................................................55
5.4 Keluaran......................................................................56
5.5 Acuan..........................................................................56
Daftar Istilah..........................................................................57
Daftar Piranti & Aplikasi...........................................................65
Tabel Daftar Aset....................................................................67
PAKEM DIRI............................................................................68

vi

Pengantar Tim Penyusun

MEDIA dan jurnalis merupakan salah satu kelompok rentan dan berisi‐ ko tinggi menjadi sasaran serangan digital di Indonesia. Berdasarkan pemantauan SAFEnet, dari total 323 korban serangan digital sepanjang tahun 2024, setidaknya 27 jurnalis dan media menjadi korban serangan dan insiden keamanan digital. Bentuk serangan digital itu termasuk peretasan situs web, penolakan terhadap layanan DDoS, dan upaya pengambilalihan akun media sosial Instagram dan Twitter.

Serangan digital cenderung meningkat ketika ada isu kontroversial di tingkat nasional maupun lokal. Pada Mei 2024, serangan digital secara masif terjadi terhadap aktivis The People’s Water Forum PWF) yang mengadakan forum alternatif selama pelaksanaan World Water Forum WWF) di Bali. Serangan dalam beragam bentuk, terutama peretasan akun WhatsApp dan doxing, juga terjadi pada masyarakat sipil yang menggelar aksi #PeringatanDarurat pada Agustus 2024.

Sejumlah media juga pernah mengalami serangan digital dalam bentuk penggantian tampilan halaman depan (deface), penyusupan malware, distributed denial-of-service DDoS, dan pengambilalihan akun. Hal ini terjadi antara lain pada media lokal, seperti BaleBengong di Bali, Floresa di Manggarai Barat, dan Puan Khatulistiwa di Pontianak, maupun media nasional, seperti Tempo, Kompas, Project Multatuli, dan Suara.

vii

Namun, meskipun serangan digital semakin masif dan beragam, di sisi lain masih banyak kelompok rentan dan berisiko tinggi ini yang masih belum memiliki kapasitas memadai dalam keamanan digital. Kesadaran tentang pentingnya keamanan digital, termasuk dari sisi kebijakan dan kemampuan teknis, di kalangan media Indonesia masih rendah. Riset Aliansi Jurnalis Independen AJI) yang diterbitkan pada Agustus 2024 menemukan bahwa secara umum, indeks keamanan digital perusahaan

keamanan digital, SAFEnet melaksanakan proyek penyusunan panduan audit bagi media. Hal ini seiring dengan semakin tingginya kebutuhan audit keamanan digital, termasuk untuk media, tetapi di sisi lain jumlah auditor masih relatif terbatas.

viii

dalam jangka panjang, temuan audit akan menjadi landasan bagi media untuk semakin meningkatkan keamanan digital masing-masing.

Denpasar, Oktober 2025

SAFEnet

ix

Pengantar IMS

SEJAK tahun 2021, International Media Support IMS) berkolaborasi untuk mendukung pertumbuhan dan perkembangan media lokal di In‐ donesia. Kami menyadari bahwa keamanan digital bukan hanya soal perlindungan teknis, tetapi juga sangat berpengaruh terhadap keber‐ lanjutan bisnis media. Media yang mampu menjaga aset digital dan melindungi sistem kerjanya akan memiliki fondasi lebih kokoh untuk bertahan dan berkembang di tengah dinamika industri.

Di era digital saat ini, media memegang peran penting dalam memasti‐ kan masyarakat mendapatkan informasi yang akurat, independen, dan dapat dipercaya. Namun, peran tersebut tidak lepas dari tantangan, salah satunya meningkatnya risiko serangan digital yang mengancam kerja-kerja jurnalistik, keberlangsungan media, serta keamanan para jurnalis di Indonesia.

Kami percaya bahwa keamanan digital adalah fondasi bagi media untuk dapat bekerja secara profesional, terlindungi, dan berkelanjutan. Media tidak hanya memproduksi konten berkualitas, tetapi juga memastikan bahwa aset digital, data, serta infrastruktur kerja mereka terlindungi dari berbagai bentuk ancaman.

Atas dasar kebutuhan inilah, IMS mendukung inisiatif SAFEnet untuk menyusun Panduan Audit Keamanan Digital untuk Media Daring. Pan‐

x

duan ini hadir sebagai instrumen praktis yang membantu media mela‐ kukan evaluasi, mengenali kerentanan, serta meningkatkan kapasitas perlindungan digital mereka. Dengan pendekatan yang sistematis— mulai dari persiapan, pelaksanaan, hingga pelaporan—panduan ini diharapkan dapat menjadi acuan penting bagi media, auditor, maupun praktisi keamanan digital.

Kami meyakini bahwa panduan ini bukan sekadar dokumen teknis, tetapi juga bagian dari upaya kolektif memperkuat ekosistem informasi yang sehat, inklusif, dan aman di Indonesia. IMS berharap panduan ini dapat memperluas jangkauan perlindungan digital, tidak hanya bagi media di kota-kota utama, tetapi juga bagi media lokal hingga ke pelo‐ sok nusantara. Dengan semakin banyak media yang mampu melindungi dirinya secara digital, semakin kuat pula daya tahan demokrasi kita terhadap ancaman disinformasi, serangan siber, dan upaya pembung‐ kaman ruang publik.

IMS menyampaikan apresiasi kepada SAFEnet yang telah berhasil me‐ wujudkan panduan ini, serta kepada para jurnalis dan pengelola media yang telah berkontribusi dalam proses penyusunan panduan ini. Semo‐ ga panduan ini dapat menjadi pijakan bagi media untuk terus berkem‐ bang dan menjalankan fungsi sosialnya dengan lebih aman.

Jakarta, Oktober 2025

International Media Support IMS

xi

Tentang Panduan

PANDUAN ini merupakan acuan dalam melaksanakan audit keamanan digital untuk media, khususnya media daring. Materi panduan menca‐ kup landasan teoritis dan praktis bagaimana sebuah audit keamanan digital media sebaiknya dilakukan, termasuk memahami konsep, tujuan, dan tahapan kerjanya.

Penyusunan panduan ini menggunakan tiga metode utama, yaitu:

▪ Kajian pustaka (desk study) ▪ Refleksi pengalaman (empiris) ▪ Diskusi kelompok terpumpun FGD.

Materi utama panduan ini berdasarkan pada panduan audit keamanan digital yang sebelumnya sudah ada, meskipun tidak spesifik untuk me‐ dia daring. Tiga materi utama sebagai acuan adalah:

▪ CISA Official Review Manual 28th Edition yang diterbitkan Infor‐ mation Systems Audit and Control Association ISACA. Buku ini sebenarnya lebih ditujukan untuk kandidat Auditor Sistem Infor‐ masi Tersertifikasi CISA, tetapi memberikan panduan lengkap bagaimana sebuah audit dilakukan. ▪ Security Auditing Framework and Evaluation Template for Ad‐ vocacy Groups SAFETAG, panduan audit keamanan digital un‐ tuk organisasi masyarakat sipil OMS) dan kelompok advokasi yang diterbitkan Internews, serta

xii

▪ Panduan Audit Keamanan Digital untuk Organisasi Masyarakat Sipil yang diterbitkan SAFEnet mengacu pada SAFETAG dan pengalaman SAFEnet sendiri melakukan audit maupun pendam‐ pingan keamanan digital bagi OMS.

Ketiga panduan tersebut memiliki karakter masing-masing. CISA Offi‐ cial Review Manual 28th Edition, misalnya, menyajikan panduan detail yang terbagi dalam lima domain, yaitu proses audit, tata kelola tekno‐ logi informasi, hingga pelindungan aset informasi. Panduan ini lebih tepat digunakan untuk perusahaan-perusahaan skala besar, seperti perbankan. Adapun SAFETAG secara spesifik khusus untuk OMS dan kelompok advokasi. Panduan ini lebih bersifat modular dan fleksibel penerapannya.

Tim penyusun panduan kemudian melakukan adaptasi dengan cara mengambil bagian-bagian yang relevan dengan tujuan utama audit keamanan digital untuk media daring. Bagian yang relevan dari ketiga panduan tersebut kami padukan dengan pengalaman secara langsung melakukan audit keamanan digital selama lima tahun terakhir. Meskipun audit oleh tim SAFEnet tersebut lebih banyak dilakukan untuk OMS, tetapi secara metode dan alur memiliki banyak kesamaan dengan audit untuk media daring. Tentu saja tetap ada karakter dan kebutuhan spesifik dalam audit media daring.

Untuk menguji hasil kajian pustaka dan refleksi pengalaman tersebut, kami melaksanakan FGD melibatkan dua kelompok utama, yaitu penge‐ lola media dan praktisi keamanan digital. Selama FGD pada 89 Sep‐ tember 2025 di Bali ini, para peserta yang memiliki pengalaman dan persepsi berbeda-beda tentang keamanan digital media daring, men‐ diskusikan draf panduan, terutama dari sisi struktur dan alur. Secara substansi, semua tahapan dan langkah juga dibahas meskipun tidak bisa sedetail mungkin karena keterbatasan waktu.

xiii

Materi Panduan

proses Bagian terakhir adalah Pelaporan yang terdiri dari dua tahapan, yaitu Penyusunan Laporan dan Penyampaian Laporan.

Berikut tahapan audit dalam bentuk bagan alur.

xiv

Setiap bagian mencakup kegiatan-kegiatan praktis bagaimana pelaksa‐ naannya. Sebagai satu kesatuan proses, semua tahapan dan kegiatan dalam panduan ini harus dilakukan secara bertahap dan berurutan. Pengabaian terhadap salah satu tahapan dan kegiatan akan memenga‐ ruhi kedalaman temuan.

Oleh karena itu, panduan ini ditujukan untuk pengguna yang memiliki kapasitas dasar dalam keamanan digital. Misalnya sudah pernah mengikuti pelatihan keamanan digital, memiliki pendidikan formal ma‐ najemen informatika, sistem informasi atau staf teknologi informasi di medianya sendiri. Kapasitas dasar di sini mencakup pengetahuan dan keterampilan, baik dari sisi manajemen maupun teknis tertentu, misal‐ nya pemeriksaan jaringan.

Kapasitas dasar bagi pengguna panduan ini sangat berguna sebagai landasan agar audit bisa berjalan lebih baik. Hal tersebut karena pan‐ duan ini berisi informasi dan istilah-istilah terkait keamanan digital yang belum tentu bisa dipahami publik secara luas, terutama dalam konteks keamanan digital bagi media daring.

xv

Panduan Etik Audit

PANDUAN etik adalah sejumlah norma yang perlu diperhatikan baik oleh auditor maupun auditi. Panduan ini berfungsi untuk menciptakan ruang aman bagi kedua belah pihak dan memastikan proses audit ber‐ jalan dengan baik.

Panduan Etik Auditor

Pada saat melaksanakan sebuah audit, seorang auditor terikat pada etika, baik bersifat umum maupun spesifik. Panduan etik di bawah di‐ adaptasi dari Kode Etik ISACA dan SAFETAG, di mana seorang auditor harus:

▪ Menghormati auditi, termasuk latar belakang dan identitas mau‐ pun konteks isu yang mereka kerjakan. ▪ Melindungi informasi, privasi, dan keamanan auditi kecuali ter‐ dapat permintaan untuk kepentingan hukum. ▪ Menghindari penggunaan pengetahuan, keterampilan dan atau akses untuk melakukan kekerasan atau kerusakan terhadap auditi.

xvi

▪ Menghindari konflik kepentingan melalui transparansi dalam kontrak, pelaporan dan rekomendasi. ▪ Melakukan pekerjaan secara bertanggung jawab dan profe‐ sional sesuai dengan standar audit yang dimiliki. ▪ Menghormati auditor lain sebagai rekan serta mendorong pro‐ ses audit yang aman, inklusif, dan bebas kekerasan. ▪ Memberitahukan hasil audit kepada auditi secara komprehensif termasuk temuan dan rekomendasinya.

Panduan Etik Auditi

Meskipun belum ada panduan hitam di atas putih oleh satu organisasi atau lembaga apapun, pada dasarnya seorang auditi juga tetap perlu memiliki panduan etik ketika sedang diaudit. Etika tersebut termasuk:

▪ Memberikan akses sepenuhnya kepada auditor untuk melaku‐ kan pekerjaannya, terutama terhadap dokumen, personel, atau aset digital, yang diperlukan selama audit. ▪ Memberikan informasi yang benar, jujur, dan lengkap sesuai dengan kebutuhan audit. ▪ Mengelola dan menyimpan semua dokumen yang dibuat sebe‐ lum, selama, maupun setelah pelaksanaan audit. ▪ Tidak melakukan intervensi terhadap proses audit yang bisa memengaruhi hasil audit sehingga tidak sesuai dengan keadaan sebenarnya. ▪ Menyediakan waktu dan sumber daya yang cukup untuk men‐ dukung proses audit agar audit bisa selesai sesuai rencana. ▪ Menindaklanjuti temuan dan rekomendasi audit sesuai kesepa‐ katan dengan auditor termasuk dari sisi prioritas dan jadwal pe‐ laksanaan.

xvii

xviii

BAGIAN A

PERSIAPAN

1. Persiapan dan Perencanaan

1.1 Ringkasan

Sebelum melaksanakan audit, auditor terlebih dahulu harus membuat persiapan dan perencanaan. Tujuan utamanya untuk memastikan ke‐ dua belah pihak, baik auditor maupun auditi, memahami alur kerja dan keluarannya berdasarkan perjanjian kerja sama dan jadwal yang dise‐ pakati.Tahapan ini termasuk membuat perjanjian kerja sama PKS) dan perjanjian kerahasiaan atau non-disclosure agreement NDA) dengan media yang diaudit, khususnya jika auditor adalah pihak eksternal. Persiapan ini juga termasuk menentukan ruang lingkup, tahapan, dan jadwal audit.

Rangkaian audit tersusun atas tahap persiapan, pelaksanaan, dan pe‐ nyusunan laporan. Beberapa audit mungkin memiliki tahapan ekstra, yaitu tahap perbaikan dan tahap uji ulang. Pendekatan yang mencakup dua tahap tambahan ini lebih komprehensif dan memuaskan karena diharapkan setelah rangkaian kegiatan audit selesai, sudah tidak ada lagi (atau sangat minim) sisa masalah yang ditemui saat audit.

1.2 Tahapan

Kegiatan yang harus dilakukan dalam tahap persiapan termasuk:

▪ Pembuatan Perjanjian ▪ Pengumpulan Informasi ▪ Penyusunan Jadwal ▪ Pertemuan Awal ▪ Persiapan Auditor

SAFEnet

1.2.1 Pembuatan Perjanjian

PKS dan NDA diperlukan sebagai jaminan tertulis atau bahkan dasar hukum bahwa kedua belah pihak, yaitu auditor dan auditi, sepakat melakukan kerja sama audit dan akan menjaga kerahasiaan satu sama lain. Hal ini karena selama proses audit akan banyak informasi internal media yang diaudit akan dibagikan ke auditor untuk diperiksa atau diungkap sebagai bahan diskusi dan kegiatan audit lain, termasuk data dan informasi yang bersifat rahasia dan konfidensial.

Kedua dokumen tersebut bisa jadi terpisah, misalnya bila diperlukan untuk membuat NDA bagi masing-masing personel audit yang terlibat, bukan hanya satu atas nama media organisasi pelaksana audit. Per‐ janjian kerja sama cukup satu untuk masing-masing pihak.

PKS ini setidaknya harus mencantumkan informasi berikut:

▪ Identitas kedua belah pihak yaitu nama auditor dan auditi, ala‐ mat, serta kontak masing-masing. ▪ Tujuan audit yaitu untuk apa audit tersebut dilakukan. ▪ Ruang lingkup audit keamanan digital untuk media bisa dibagi menjadi dua, yaitu auditor sebagai pelaksana audit dan auditi sebagai pihak yang diaudit. ▪ Ruang lingkup audit mencakup apa saja yang mau diaudit. Mi‐ salnya, profil, risiko dan ancaman, kapasitas media, aset-aset digital, dan sumber daya manusia. ▪ Metode untuk melakukan audit. Biasanya mencakup wawanca‐ ra, diskusi terfokus, pemindaian situs web, observasi kantor, dan lain-lain. ▪ Periode yaitu berapa lama audit akan dilaksanakan dan dari tanggal berapa hingga tanggal berapa. Proses audit biasanya memerlukan waktu setidaknya tiga bulan. ▪ Hak dan kewajiban masing-masing pihak baik auditor dan media yang diaudit. Misalnya, kewajiban bagi media untuk memberikan

SAFEnet

informasi yang diperlukan dan kewajiban auditor untuk bekerja secara profesional. ▪ Kerahasiaan data yaitu jaminan bahwa auditor tidak akan mem‐ bocorkan data dan informasi media kepada pihak lain. ▪ Informasi tambahan termasuk kemungkinan perubahan periode kerja jika audit tidak selesai selama periode yang sudah disepa‐ kati.

NDA ini setidaknya harus mencantumkan informasi berikut:

▪ Identitas kedua belah pihak yaitu nama auditor dan organisasi, alamat, dan kontak masing-masing. ▪ Hak dan kewajiban masing-masing pihak baik auditor dan auditi, misalnya, kewajiban bagi organisasi untuk memberikan informa‐ si yang diperlukan dan kewajiban auditor untuk bekerja secara profesional. ▪ Kerahasiaan data yaitu jaminan bahwa auditor tidak akan mem‐ bocorkan data dan informasi organisasi kepada pihak lain. ▪ Penyelesaian Sengketa merupakan bagian dalam Perjanjian Ke‐ rahasiaan untuk membantu memastikan kerahasiaan data tetap terjaga apabila terjadi perselisihan atau perbedaan pendapat antara kedua belah pihak.

1.2.2 Pengumpulan Informasi

Guna membantu media dalam memastikan adanya PKS atau

NDA, modul ini menyediakan lampiran format perjanjian termasuk memuat informasi yang wajib tercantum di

dalamnya.

SAFEnet

Dalam tahap ini, auditor mengumpulkan berbagai informasi umum terkait media, sebagai bahan awal untuk menggali lebih dalam media yang akan diaudit. Berbagai hal yang ditemukan saat pencarian infor‐ masi ini dapat mengarah ke usulan kegiatan yang relevan pada sesi pertemuan awal. Eksekusi kegiatannya disesuaikan dengan jadwal kegiatan audit.

Informasi yang dikumpulkan dapat berupa situs-situs web, penyedia surel, dan media sosial. Umumnya, informasi tersebut tersedia secara publik, sehingga proses pengumpulan bisa dilakukan secara mandiri. Termasuk di dalamnya, aktivitas atau kegiatan di luar produksi konten berita.

1.2.3 Penyusunan Jadwal

Setelah PKS ditandatangani kedua belah pihak, auditor harus menyi‐ apkan tahapan dan jadwal pelaksanaan audit. Kesepakatan tahapan dan jadwal ini berguna sebagai acuan bagi kedua belah pihak terutama dalam persiapan waktu dan apa saja dokumen yang perlu disiapkan organisasi yang akan diaudit.

Contoh tahapan dan dokumen tersebut bisa dilihat dalam tabel berikut, tetapi bisa disesuaikan dengan kondisi nyata pada saat pertemuan awal dengan auditi:

SAFEnet

Tabel 1 Tahapan dan kebutuhan dalam persiapan audit keamanan digital

1.2.4 Pertemuan Awal

Setelah adanya PKS dan jadwal audit, perlu semacam kick-off meeting atau pertemuan awal. Dalam pertemuan awal tersebut auditor akan berkenalan dengan pihak auditi secara tatap muka langsung (luring) ataupun daring.

Dalam pertemuan awal ini tim auditor akan berkenalan dengan pihak manajemen auditi dan juga beberapa staf dengan maksud menjelaskan proses audit yang akan dilakukan. Beberapa hal yang perlu dijelaskan auditor dalam pertemuan ini yaitu:

▪ Berapa lama proses audit akan berjalan dari mulai pembuatan NDA hingga penyusunan laporan. Biasanya dalam rentang wak‐

SAFEnet

tu tiga bulan, tetapi bisa lebih lama dan bisa lebih cepat sesuai dengan kebutuhan audit. ▪ Siapa saja yang akan dilibatkan dalam proses audit ini. Misalnya siapa saja yang perlu diwawancarai, seberapa lama waktu untuk wawancara, apa saja yang perlu disiapkan, hingga kemungkinan terhubung dengan pihak ketiga jika dibutuhkan ▪ Bagaimana proses audit akan dilakukan, apa metodenya, kebu‐ tuhan data untuk audit, luring atau daring, dll.

Pertemuan ini diharapkan bisa memberikan gambaran secara keselu‐ ruhan proses audit yang akan dijalankan, sehingga pihak auditor dan auditi bisa saling bekerja sama dalam prosesnya sehingga semua ber‐ jalan dengan lancar.

1.2.5 Persiapan Auditor

Agar nantinya audit berjalan dengan baik, auditor perlu juga secara mandiri menyiapkan dan memastikan beberapa hal, termasuk:

▪ Peralatan bantu audit sudah tersedia dan siap dipakai (perang‐ kat keras, perangkat lunak, daftar periksa, maupun alat bantu lain) ▪ Rencana perjalanan, akomodasi, transportasi, dan logistik lain yang diperlukan saat audit.

Pada kondisi tertentu ketika melakukan audit terhadap organisasi de‐ ngan risiko tingkat tinggi, perlu juga persiapan manajemen risiko yang baik.

Auditor juga perlu menginformasikan beberapa hal yang perlu disiap‐ kan pihak auditi, yaitu:

▪ Profil organisasi, termasuk kegiatan dan struktur media.

SAFEnet

▪ Aset digital apa saja yang akan diaudit, termasuk situs web, da‐ ta, media sosial, dan infrastruktur media. ▪ Personel yang terlibat dalam proses audit, termasuk pimpinan umum, staf IT, dan atau staf lain yang relevan.

1.3 Catatan

Tahapan persiapan ini bagian penting dalam kegiatan audit keamanan

proses audit. Hal ini senada dengan pengalaman-pengalaman SAFEnet.

Apabila proses audit dilakukan oleh pihak ketiga atau eksternal, peru‐ sahaan media wajib mempersiapkan perjanjian kerjasama agar proses audit memiliki acuan dan akuntabilitas antar para pihak.

1.4 Keluaran

Keluaran dari tahapan ini adalah:

▪ Perjanjian dengan organisasi yang akan diaudit, mencakup ru‐ ang lingkup, linimasa, kebijakan kerahasiaan, dan nomor kontak. ▪ Daftar periksa perangkat (keras dan lunak) untuk mendukung pelaksanaan audit.

SAFEnet

1.5 Acuan

Informasi lebih lanjut terkait persiapan dan perencanaan audit adalah:

▪ Assessment Plan https://safetag.org/activities/assessment_plan ▪ Confidentiality Agreement https://safetag.org/activities/ confidentialityagreement ▪ Incident Response and Emergency Contact https://safetag.org/ activities/incidentresponse ▪ Regional Context Research https://safetag.org/activities/ regionalcontextresearch ▪ Technical Context Research https://safetag.org/activities/ technicalcontextresearch ▪ Audit Timeline and Planning https://safetag.org/activities/ safetagaudittimeline ▪ Incident Response https://safetag.org/activities/ incident_response/

SAFEnet

BAGIAN B

PELAKSANAAN

2. Penilaian Risiko dan Ancaman

2.1 Ringkasan

Penilaian risiko dan ancaman merupakan bagian paling penting dalam audit keamanan digital, termasuk untuk media daring. Tujuan rangkaian

membandingkan ancaman terhadap suatu media dengan kerentanan‐ nya dan kapasitasnya untuk merespons atau memitigasi ancaman yang muncul.

Ringkasnya, tingkat risiko sama dengan kemungkinan dikalikan dampak (tingkat risiko = kemungkinan x dampak). Sebagai contoh, jika kemung‐ kinan terjadinya tinggi dan dampaknya juga tinggi, maka tingkat risi‐ konya jelas tinggi. Sebaliknya, jika kemungkinan terjadinya rendah dan dampaknya juga rendah, maka tingkat risikonya juga rendah.

Kemungkinan adalah seberapa besar sebuah serangan atau insiden keamanan digital bisa atau akan terjadi. Dampak adalah seberapa besar kerugian yang akan terjadi pada media tersebut jika serangan atau insiden keamanan digital terjadi. Sebagai perbandingan, serangan ter‐ hadap situs web dalam bentuk DDoS atau deface tentu lebih besar dampaknya terhadap media daring yang sepenuhnya bergantung pada situs web dibandingkan intimidasi daring terhadap jurnalisnya.

SAFEnet

2.2 Tahapan

Proses analisis risiko dan ancaman dibagi menjadi tiga tahap, yaitu Analisis Isu dan Program, Analisis Kerentanan, dan Analisis Ancaman. Proses ini juga dilengkapi dengan perangkat penilaian risiko PAKEM DIRI yang mencakup pemeriksaan laptop, ponsel, identitas, dan komu‐ nikasi. Secara empiris, tingkat risiko tersebut dipengaruhi tiga faktor utama, yaitu:

▪ Sensitifnya isu yang dikerjakan, ▪ Penggunaan teknologi digital, dan ▪ Kapasitas keamanan digital.

Penggunaan teknologi digital terkait erat dengan aktivitas. Sementara sensitivitas isu terkait dengan isu dan program yang media kerjakan atau fokuskan. Adapun, kapasitas media bisa dinilai dari tiga kompo‐ nen, masing-masing: proses (termasuk kebijakan), orang (sumber daya manusia), dan platform (teknologi yang digunakan).

2.2.1 Analisis Isu dan Program

Tahap ini merupakan proses menggali lebih dalam apa isu dan program utama sebuah media. Proses ini juga memaparkan profil, aktivitas, aktor, dan kapasitas suatu media. Contohnya apa saja kegiatan yang dilakukan media untuk mencapai tujuannya. Lembaga media, khusus‐ nya yang bergerak dengan isu sensitif, rentan mengalami dan menjadi target lebih intens. Misalnya, media yang mengadvokasi isu Papua bisa jadi lebih rentan terhadap ancaman dibandingkan media yang memb‐ ahas hobi atau olahraga.

Terkait profil media, pertanyaan yang perlu digali termasuk:

▪ Bagaimana profil media? ▪ Apakah media sudah terverifikasi dan tercatat di Dewan Pers?

SAFEnet

▪ Bagaimana struktur di media? ▪ Apa tugas dan fungsi masing-masing dalam struktur tersebut?

Sensitivitas Isu

Dalam konteks isu yang dikerjakan, temuan SAFEnet menunjukkan sen‐ sitivitas isu berpengaruh terhadap tingkat risiko dan bentuk serangan yang mungkin terjadi. Meskipun tidak spesifik membahas isu dan pro‐ gram media, analisis berikut bisa menjadi acuan untuk menentukan se‐ jauh mana sebuah media memiliki tingkat risiko berdasarkan isu yang mereka liput atau publikasikan.

Tabel 2 Risiko dan bentuk serangan digital terhadap OMS berdasarkan isu yang dikerjakan.

Sumber: Sudah Rentan, Kurang Waspada Pula. SAFEnet, 2022.

SAFEnet

Aktivitas

Aktivitas atau kegiatan adalah tindakan dan proses yang disepakati oleh seluruh elemen media untuk menghasilkan karya jurnalistik, baik yang terkait redaksi maupun bisnis. Kegiatan ini terutama yang dilakukan media untuk mencapai tujuannya. Misalnya, produksi dan penyebaran konten berita, advokasi isu publik, atau diskusi di dalam atau luar kantor media, hingga penggalangan dana. Bentuk-bentuk aktivitas sebuah media juga berpengaruh terhadap tingkat risiko keamanan digitalnya.

Meskipun sebagian besar pekerjaan media berproses pada produksi berita, kegiatan lain tetap berkelindan dengan keamanan digital. Mulai dari penggunaan teknologi saat mencari sumber informasi, liputan ke lapangan, produksi, penyebaran, hingga diskusi terkait konten yang diterbitkan. Semakin tinggi ketergantungan pemanfaatan teknologi digital pada sebuah media, maka semakin tinggi tingkat risikonya. Penting bagi media untuk mendetilkan pemanfaatan teknologi pada setiap aktivitas yang mereka lakukan.

Model bisnis sebuah media juga menjadi bagian yang perlu diketahui auditor. Karena penyampaian informasi mengenai model bisnis seperti menggelar kegiatan pelatihan dan pihak media mengumpulkan data pribadi peserta, menggelar kegiatan dengan kelompok minoritas, hing‐ ga memanfaatkan programmatic ads.

Pertanyaan yang perlu dijawab terkait aktivitas media bisa mencakup:

▪ Apa saja isu berisiko yang disoroti? ▪ Apa saja program selain produksi konten berita? ▪ Siapa sasaran utama program tersebut? ▪ Apa saja kegiatan dan isu penerima manfaat programnya?

SAFEnet

Berikut contoh dari identifikasi risiko dan ancaman terkait aktivitas atau kegiatan media yang disajikan dalam format tabel. Setiap media bisa memiliki penilaian yang berbeda, tergantung kegiatannya.

Tabel 3 Bentuk risiko dan ancaman digital yang potensial terjadi terhadap media menurut kegiatannya.

Aktor

Dalam konteks analisis risiko dan ancaman, yang dimaksud dengan aktor di sini adalah semua pihak yang berpotensi untuk melakukan

SAFEnet

serangan digital maupun berperan terhadap pengamanan keamanan digital. Pihak-pihak tersebut bisa berupa individu maupun organisasi. Namun, dalam proses analisis risiko dan ancaman, pemetaan difokus‐ kan pada aktor yang potensial menjadi seteru atau penyerang.

Pemetaan aktor bisa dilakukan berdasarkan isu yang dikerjakan sebuah media disertai dengan kapasitas mereka masing-masing maupun ke‐ mungkinan mereka melakukan serangan. Sebagai contoh, jika sebuah media mengerjakan liputan terkait dengan korban bisnis tambang, maka aktor-aktor yang berpotensi melakukan serangan adalah perusa‐ haan tambang atau dalam skala tertentu juga negara.

Pada dasarnya aktor-aktor tersebut terbagi menjadi tiga jenis utama, yaitu negara, swasta, dan publik. Setiap jenis aktor memiliki potensi dan kapasitas berbeda-beda sebagai seteru. Semakin detail penjelasan tiap aktor akan semakin mudah memetakan potensi dan kapasitas mereka. Aktor negara, misalnya, bisa didetailkan lagi apakah kepolisian, militer,

aktor dalam melakukan serangan digital di waktu-waktu lain.

Pertanyaan terkait pelaku ancaman bisa termasuk:

▪ Apakah bisa diketahui siapa pelaku ancaman dan serangan ter‐ sebut? ▪ Teknik apa yang mereka gunakan? ▪ Apakah mereka menargetkan kerentanan media saat ini?

SAFEnet

▪ Apakah mereka menargetkan media serupa atau hanya me‐ nyasar media yang diaudit? ▪ Apa saja metode yang digunakan oleh pelaku ancaman untuk menyerang media serupa? ▪ Apakah pelaku ancaman saat ini mempunyai keinginan untuk melakukan serangan terhadap media ini? ▪ Apakah media merupakan target ancaman prioritas bagi pelaku ancaman?

Kapasitas

Penilaian kapasitas keamanan digital mencakup tiga komponen, yaitu proses (termasuk kebijakan), orang (sumber daya manusia), dan plat‐ form (teknologi yang digunakan). Dalam bahasa Inggris, biasanya dise‐ but 3P, yaitu process, people, and platform. Istilah tersebut tetap bisa digunakan jika lebih memudahkan.

▪ Proses: Komponen proses bertujuan memeriksa ada tidaknya sebuah kebijakan untuk memastikan proses kerjanya berlang‐ sung dengan aman. Sasaran utama audit ini adalah level pimpinan. Kebijakan ini tidak harus secara spesifik terkait kea‐ manan digital, tetapi bisa juga terkait pengelolaan data dan informasi atau pengamanan situs web dan media sosial. Lalu, jika terdapat kebijakan, apakah diterapkan dengan konsisten dan diperbarui secara berkala? Penting juga melihat apakah terdapat penanggung jawab untuk memastikan keamanan se‐ mua proses. Selain penanggung jawab juga perlu melihat kebijakan pimpinan terkait alokasi biaya dan kemauan untuk memberikan contoh bagi stafnya.

▪ Sumber daya manusia: Komponen sumber daya manusia ini mencakup ketersediaan dan keterampilan staf media untuk menjalankan proses produksi, penyebaran konten berita, hingga

SAFEnet

memengaruhi perubahan termasuk pendanaan, jaringan, serta proses dan kebijakan kelembagaan. Sasaran utama pemerik‐ saan ini di level staf. Pertanyaan yang perlu dijawab termasuk: Apakah jurnalis atau staf mendapatkan pelatihan yang memadai untuk mengenali dan merespons ancaman? Apakah staf memili‐ ki keterampilan dan pengetahuan yang diperlukan untuk pene‐ rapan keamanan yang efektif? Penting untuk mengingat bahwa sumber daya manusia meliputi semua orang yang terhubung dengan suatu organisasi media, termasuk jurnalis, desainer, staf sekretariat redaksi, dewan pengurus/pengawas, admin media sosial, bahkan bagian logistik.

▪ Platform: Komponen platform mencakup perangkat yang digu‐ nakan media dan semua stafnya. Sasaran utama pemeriksaan adalah perangkat. Penilaian terkait dengan penggunaan dan pemilihan teknologi untuk membantu seluruh proses tersebut. Apakah teknologi yang digunakan memadai dan terus diperba‐ rui? Apakah menggunakan sistem operasi terbaru? Apakah terdapat aplikasi bajakan? Penggalian informasi mengenai kualitas teknologi perangkat keras dan perangkat lunak yang digunakan akan berpengaruh terhadap tingkat keamanan sebuah media.

2.2.2 Analisis Kerentanan

Kerentanan adalah celah keamanan pada media yang dapat dieksploi‐ tasi pihak lain. Misalnya, ketiadaan kebijakan keamanan bakal menyu‐ litkan pemimpin atau pengambil kebijakan di media untuk menerapkan mitigasi keamanan. Alasannya, karena tidak ada sebuah acuan yang dapat dijadikan pegangan atau panduan.

Langkah ini serupa medical check up untuk mengetahui apakah seseo‐

SAFEnet

rang menderita penyakit tertentu dan seberapa parah. Langkah ini sangat penting karena mengidentifikasi masalah dan potensi masalah yang belum tentu disadari keberadaannya oleh media, sehingga sangat boleh jadi perlu auditor dari luar untuk memeriksanya.

Analisis kerentanan dilakukan untuk mengetahui paparan ancaman, titik lemah, dan cara-cara lain untuk memengaruhi media. Contohnya isu yang dikerjakan, praktik mitigasi yang belum dilakukan, dan sejauh ma‐ na ketergantungannya pada teknologi digital. Kerentanan lain, yang le‐ bih teknis misalnya, pemanfaatan plugin yang tidak diperbarui dapat menimbulkan celah pada keamanan situs web media.

Berikut contoh beberapa kerentanan yang biasa ditemukan saat audit adalah:

▪ Penggunaan sistem operasi dan atau program bajakan pada laptop staf, ▪ Tidak ada pencadangan data pada laptop dan ponsel staf, ▪ Kata sandi yang terlalu mudah ditebak karena identik dengan pengguna, misalnya, nama dan tahun pembuatan akun, ▪ Sistem pengelolaan konten CMS) dan plugin situs web yang tidak diperbarui, dan ▪ Berbagi hosting (shared hosting) situs web dengan situs web lain.

Kerentanan di atas hanya sekadar contoh. Kerentanan lain bisa ditemu‐ kan lebih lanjut pada saat audit.

2.2.3 Analisis Ancaman

Analisis ancaman adalah proses mengidentifikasi apa saja serangan potensial dan dampaknya bagi media. Identifikasi itu perlu menyertakan riwayat ancaman yang pernah terjadi terhadap media. Untuk memu‐

SAFEnet

dahkan analisis ancaman digital terhadap media daring, auditor bisa menggunakan komponen dan pertanyaan berikut:

Risiko dan Ancaman Digital

▪ Apa saja risiko dan ancaman serangan digital yang mungkin ter‐ jadi? ▪ Seberapa besar kemungkinan dan intensitasnya? ▪ Apa saja riwayat serangan yang pernah terjadi? ▪ Jika pernah terjadi, bagaimana dampaknya? Bagaimana pena‐ nganannya?

Semua proses tanya jawab tersebut bisa dilakukan melalui wawancara secara tatap muka maupun secara daring. Namun, metode yang paling baik adalah melalui diskusi terfokus secara langsung bersama semua staf media.

Semua temuan dalam wawancara itu dapat dimasukkan dalam matriks dengan variabel kemungkinan dan dampak. Hal ini dapat membantu auditor dalam memetakan tingkat risiko. Sebagai ilustrasi, matriks di bawah ini dapat dijadikan acuan, tetapi identifikasi ancaman ini bisa jadi berbeda-beda bagi setiap media.

SAFEnet

2.2.4 PAKEM DIRI

PAKEM DIRI merupakan singkatan dari Penilaian Keamanan Digital Mandiri. Metode penilaian keamanan digital ini dikembangkan SAFEnet untuk mengetahui tingkat risiko di level individu staf dan bersifat kuan‐ titatif.

Penilaian mengacu pada pengaturan keamananempat komponen, yaitu laptop, ponsel, identitas, dan komunikasi. Terdapat 50 pertanyaan ter‐ tutup dengan jawaban “Ya” dan “Tidak”. Setiap pertanyaan mewakili sebuah kondisi yang harus dijawab secara jujur, sesuai kondisi yang ada. Oleh karena itu, hasil PAKEM DIRI sangat bergantung pada keju‐ juran pengisinya.

Penilaian tiap individu lalu dikumpulkan dan dijadikan penilaian keama‐ nan digital di tingkat organisasi atau perusahaan media dengan cara mendapatkan nilai rata-rata. Nilai rata-rata tersebut akan menunjukkan tingkat risiko di level organisasi yang terbagi menjadi lima kondisi, mulai dari rentang tingkat risiko sangat rendah hingga risiko sangat tinggi.

Formulir PAKEM DIRI dan petunjuk pengisiannya terdapat dalam lam‐ piran panduan ini.

2.3 Catatan

Penilaian risiko dan ancaman maupun tingkat risiko adalah aktivitas yang bersifat subjektif. Tidak ada hitungan pasti ala matematika dalam penilaian tingkat risiko. Oleh karena itu, auditor tidak perlu khawatir dengan hasil yang subjektif. Meskipun demikian, hasil penilaian risiko, ancaman, dan tingkat risiko tersebut harus disertai dengan penjelasan berdasarkan temuan-temaun audit mencakup analisis isu dan program, kegiatan, hingga kapasitas sebagaimana telah disebutkan di atas.

Tahapan penilaian risiko dan ancaman ini memerlukan dukungan, parti‐

SAFEnet

sipasi, serta keterbukaan dari tingkat pimpinan sebagai pengambil keputusan hingga seluruh staf media. Pengumpulan informasi oleh au‐ ditor pada tahapan ini akan membantu proses audit dan penyusunan laporan audit.

2.4 Keluaran

Berdasarkan penilaian ini hasil yang akan didapatkan adalah sebagai berikut:

▪ Data pemetaan risiko pada jaringan dan perangkat organisasi yang diaudit. ▪ Daftar pemetaan risiko dari program dan kegiatan inti organisasi. ▪ Pemetaan ancaman dalam bentuk tabel dan matriks

2.5 Acuan

Informasi lebih lanjut terkait penilaian risiko dan ancaman adalah:

▪ Process Mapping and Risk Modeling https://safetag.org/ methods/riskmodeling ▪ Threat Assessment https://safetag.org/methods/ threatassessment ▪ Process Mapping https://safetag.org/activities/ processmappingactivity/ ▪ Risk Modeling Using the Pre-Mortem Strategy https:// safetag.org/activities/premortumriskassessmentactivity/ ▪ Creating a Risk Matrix https://safetag.org/activities/risk_matrix/ ▪ Sensitive Data https://safetag.org/activities/sensitive_data/ ▪ Self Doxing https://safetag.org/activities/self_doxing/ ▪ Guiding Questions for High-Risk Organisations https:// safetag.org/activities/interviews_highrisk/

SAFEnet

▪ Threat Identification https://safetag.org/activities/ threatidentification/ ▪ Threat Interaction https://safetag.org/activities/ threatinteraction/ ▪ Regional Context Research https://safetag.org/activities/ regionalcontextresearch/ ▪ Assessing Legal Threats https://safetag.org/activities/ assessing-legal-threats/

SAFEnet

3. Penilaian Aset & Data

3.1 Ringkasan

Setiap organisasi media, apa pun isunya, kemungkinan besar menge‐ lola data sensitif atau pribadi. Namun, data tersebut sering tersebar di berbagai perangkat dengan tingkat keamanan yang berbeda, sehingga berisiko tercecer atau disalahgunakan. Karena itu, penting untuk me‐ ngelompokkan data, mengetahui lokasinya, cara penyimpanannya, tingkat keamanannya, tujuan dan pihak yang menerima data, serta sia‐ pa saja yang memiliki akses. Semua ini harus terorganisir dengan baik.

Selain aspek penyimpanan, pada tahapan ini auditor juga menilai tang‐ gung jawab organisasi dalam mengelola data, serta risiko kebocoran atau penyalahgunaan yang mungkin terjadi selama proses pengum‐ pulan, pemrosesan, dan penggunaan data.

Tujuan utama dari tahapan ini, yaitu:

▪ Memetakan data sensitif organisasi — apa, di mana disimpan, bagaimana ditransfer, dan siapa yang memiliki akses. Hal ini penting agar auditor dapat merekomendasikan solusi penyim‐ panan yang lebih aman sesuai dengan risiko dan alur kerja organisasi. ▪ Menemukan kerentanan terhadap penyalahgunaan data dan aset.

SAFEnet

▪ Memberikan rekomendasi untuk melindungi data dan aset digital sesuai temuan audit.

3.2 Tahapan

Secara garis besar, tahapan dalam penilaian aset dan data termasuk memahami konsep keamanan data dan informasi, menilai kepatuhan terhadap regulasi, memetakan aset digital, serta mendaftar media sosi‐ al dan pengamanannya.

3.2.1 Memahami Keamanan Sistem Informasi

Untuk bisa melakukan audit terkait penilaian aset dan data, seorang auditor perlu memahami konsep keamanan komunikasi dan informasi yang biasa disebut Konsep CIA. Konsep ini terdiri dari tiga pilar utama dalam keamanan sistem informasi, yaitu confidentiality (kerahasiaan), integrity (keutuhan) dan availability (ketersediaan).

▪ Kerahasiaan berarti data dan informasi tersebut hanya bisa diakses orang yang berhak. Contohnya pesan pribadi di ponsel di mana hanya penerima dan pengirim yang boleh membaca‐ nya. Orang lain tidak boleh tahu isinya. Dalam konteks penga‐ manan situs web media, kerahasiaan ini adalah akses masuk dashboard situs web sehingga hanya pengguna tertentu yang bisa mengaksesnya. Untuk itu perlu ada mekanisme akses ter‐ tentu seperti penggunaan nama pengguna dan kata sandi.

Cara menjaga kerahasiaan adalah dengan menggunakan pass‐ word, enkripsi data, serta mengontrol akses, seperti siapa boleh mengedit atau melihat data/informasi apa.

▪ Keutuhan berarti data harus tetap akurat dan tidak berubah tanpa izin. Contohnya jika ada pesan yang diubah, tapi dila‐

SAFEnet

kukan orang yang tidak memiliki hak untuk itu. Perubahan data perlu untuk dideteksi untuk menghindari perubahan yang tidak diinginkan.

Cara menjaga keutuhan data adalah dengan menggunakan hashing (mengecek apakah data berubah) dan menggunakan kontrol versi data. Gunakan data cadangan yang dipakai untuk memulihkan jika terjadi kerusakan data.

▪ Ketersediaan berarti data harus bisa diakses atau tersedia saat dibutuhkan. Contohnya, saat kita membuka suatu halaman di situs web, maka data di situs web tersebut harus tersedia agar bisa diakses. Jika ternyata peladennya tumbang (down), maka saat itu data tidak tersedia.

Cara menjaga adalah dengan infrastruktur yang baik, cadangan data untuk pemulihan dan proteksi keamanan dari serangan DDoS.

3.2.2 Menilai Kepatuhan terhadap Regulasi

Paling tidak ada dua regulasi yang berpengaruh dalam kegiatan yang dilakukan organisasi media yaitu UU No 27 Tahun 2022 tentang Pelin‐ dungan Data Pribadi UU PDP) dan UU No 14 Tahun 2008 tentang Keterbukaan Informasi Publik UU KIP.

Dalam UU PDP ini mengatur bagaimana data pribadi harus dikumpul‐ kan, digunakan, disimpan, dan dilindungi oleh siapa pun yang mempro‐ ses data, termasuk organisasi media. Beberapa hal yang perlu diperha‐ tikan terkait UU PDP yaitu:

▪ Pengumpulan Data: Saat media melakukan wawancara, survei, atau investigasi, sering kali mereka mengumpulkan data pribadi

SAFEnet

(nama, kontak, opini, dll). UU PDP mewajibkan persetujuan eks‐ plisit dari subjek data sebelum data dikumpulkan atau dipub‐ likasikan.

▪ Penggunaan dan Penyimpanan: Data digital yang dikumpulkan harus disimpan secara aman. Organisasi media wajib menjamin tidak ada kebocoran atau penyalahgunaan, termasuk dari pihak ketiga.

▪ Hak Subjek Data: Orang yang datanya dikumpulkan berhak me‐ ngetahui, mengakses, membetulkan, bahkan meminta pengha‐ pusan data mereka. Ini memengaruhi bagaimana media menyu‐ sun kebijakan pengelolaan data.

▪ Kategori Data Sensitif: Data seperti latar belakang politik, kese‐ hatan, agama, atau orientasi seksual dianggap sangat sensitif. Media harus sangat berhati-hati jika ingin mengungkapkannya.

UU KIP ini menjamin hak publik untuk mengakses informasi yang dikua‐ sai badan publik, termasuk organisasi media milik pemerintah atau yang mendapat dana publik.

Beberapa hal yang perlu diperhatikan terkait UU KIP yaitu:

▪ Kewajiban Transparansi: Jika organisasi media menerima dana dari APBN/APBD atau merupakan bagian dari lembaga publik, mereka wajib membuka informasi tertentu ke publik (seperti la‐ poran keuangan, program kerja, atau struktur organisasi).

▪ Batasan Informasi yang Dikecualikan: Meski harus terbuka, ada informasi yang dikecualikan (misalnya yang menyangkut keamanan negara atau data pribadi). Di sinilah media harus menyeimbangkan antara keterbukaan dan perlindungan data pribadi.

SAFEnet

▪ Peran Ganda Media: Media juga bertugas mengawasi keterbu‐ kaan informasi badan publik lain. Dalam konteks ini, mereka menjadi pengguna UU KIP sekaligus bisa jadi subjeknya.

Aspek-aspek yang perlu diperhatikan media terkait kepatuhan terhadap regulasi yang relevan dengan pengelolaan data dan informasi bisa dili‐ hat pada tabel di bawah.

Pada saat media berupaya memenuhi kewajiban terhadap dua regulasi tersebut, auditor dapat memeriksa kerentanan pada pemanfaatan tek‐ nologinya pada beberapa aspek seperti:

Tabel 4 Aspek yang perlu diperhatikan media terkait kepatuhan terhadap regulasi

▪ Menyediakan dan Memberikan Informasi: Badan publik wajib menyediakan, memberikan, dan/atau menerbitkan informasi yang berada di bawah kewenangannya kepada pemohon infor‐ masi, kecuali informasi yang dikecualikan sesuai ketentuan. ▪ Membangun Sistem Informasi dan Dokumentasi: Badan publik membangun dan mengembangkan sistem untuk mengelola informasi secara baik dan efisien sehingga mudah diakses.

SAFEnet

▪ Mengumumkan Informasi Berkala: Badan publik wajib meng‐ umumkan informasi secara berkala paling singkat enam bulan sekali, dalam bentuk yang mudah dijangkau dan dipahami masyarakat.

Beberapa aspek di atas apabila memanfaatkan teknologi digital seperti tertaut dengan portal media, penting diaudit agar tidak menambah kerentanan media.

3.2.3 Memetakan Aset Digital

Aset digital adalah segala bentuk informasi atau konten yang disimpan dalam format digital dan memiliki nilai bagi individu, organisasi, atau sistem. Secara sederhana aset digital bisa diartikan barang berharga dalam bentuk digital, bisa berupa file, data, akun, atau sistem.

Contoh aset digital:

▪ Dokumen penting: laporan keuangan, kontrak, proposal ▪ Basis data: data anggota, donatur, klien, atau penerima manfaat ▪ Konten media: foto, video, desain, materi kampanye ▪ Akun dan kredensial: email organisasi, akun media sosial, akun layanan cloud ▪ Perangkat lunak & sistem: website, CMS, aplikasi internal ▪ Perangkat keras: komputer (meja atau bergerak), router, kamera, NAS, peladen.

Data Sensitif dan Privat

Seiring waktu, data dan metadata organisasi media, termasuk milik anggotanya, bisa menjadi sulit dikelola. Hal ini terutama jika staf meng‐ gunakan layanan pihak ketiga seperti Google Drive, OneDrive, atau Dropbox. Penggunaan layanan ini merupakan hal wajar, tapi penting

SAFEnet

untuk mencatat secara jelas di mana data disimpan dan siapa saja yang memiliki akses.

Pengaturan dan peninjauan hak akses harus dilakukan secara berkala, baik pada layanan pihak ketiga maupun platform yang dikelola lang‐ sung oleh organisasi, seperti situs web atau Network Attached Storage NAS. Pengelolaan hak akses yang baik memungkinkan pembatasan akses yang tepat untuk mencegah data diakses oleh pihak yang tidak berwenang.

Daftar Pertanyaan:

▪ Data apa yang dianggap penting dan harus tersedia secara publik? ▪ Apakah ada pencadangannya (back up) pada data tersebut? ▪ Apa saja data yang dianggap privat atau rahasia organisasi? ▪ Bagaimana lembaga menentukan siapa yang bisa mengakses data tersebut? ▪ Adakah orang yang tidak punya wewenang untuk mengakses data tersebut, tetapi bisa mengaksesnya? ▪ Apakah staf sudah punya kriteria apa yang termasuk dalam data sensitif? ▪ Data apa saja yang bisa diakses staf untuk melakukan peker‐ jaannya? ▪ Dari mana data tersebut berasal? ▪ Apa yang Anda lakukan terhadap data yang tidak diperlukan atau digunakan?

Risiko Penyalahgunaan Data

Organisasi media perlu mengidentifikasi risiko dan dampak jika ada data organisasi yang hilang atau bocor. Langkah ini dilakukan untuk memastikan organisasi memahami cara mengelola data. Langkah pertama adalah memetakan seluruh data yang dimiliki, lalu meng‐

SAFEnet

klasifikasikannya berdasarkan tingkat kepentingan atau sensitivitasnya.

Organisasi media juga perlu merefleksikan potensi risiko, seperti: apa akibatnya jika data hilang atau disalahgunakan? Berapa besar upaya yang telah dilakukan untuk mengumpulkan data tersebut? Jika rusak atau hilang, apakah data masih bisa dipulihkan, dan berapa besar sum‐ ber daya (waktu, tenaga, biaya) yang dibutuhkan untuk pemulihannya?

Saat tahapan ini dilakukan, auditor biasanya menemui penggunaan la‐ yanan pihak ketiga. Organisasi sangat mungkin menyimpan data atau bergantung terhadap layanan tersebut. Perlu pengecekan juga tentang Syarat dan Ketentuan serta Kebijakan Privasi layanan tersebut, sebagai bahan identifikasi risiko pada organisasi. Di berbagai organisasi peng‐ gunaan atau kebergantungan terhadap platform atau layanan pihak ketiga sering terjadi. Selain kebijakan terkait, perlu juga melihat rekam jejak bagaimana layanan tersebut merespon jika ada insiden keamanan atau kebijakan privasi mereka.

Beberapa langkah yang bisa dilakukan dalam mengidentifikasi risiko:

▪ Identifikasi data apa saja yang dikumpulkan oleh organisasi ▪ Mengelompokkan data yang terkumpul berdasar tempat penyim‐ panannya. Tempat ini bisa berupa ruang fisik maupun digital. Mi‐ salnya, catatan pada buku yang tersimpan di suatu tempat, maupun informasi data pribadi dalam fail/dokumen di penyim‐ panan awan atau perangkat penyimpanan seperti flashdisk. ▪ Klasifikasikan informasi yang terkandung dalam data tersebut. Apakah isinya memuat hal sensitif, pribadi, atau privat? Sensi‐ tivitas kepentingan data ini bisa dibagi menjadi tiga kelompok: tinggi, sedang, dan rendah. ▪ Pikirkan konsekuensi dan kemungkinan penyalahgunaan yang mungkin muncul.

SAFEnet

3.2.4 Mendaftar Media Sosial & Pengelolaannya

Informasi kredensial media sosial dan website juga menjadi data sen‐ sitif bagi organisasi media, apalagi jika media tersebut mempunyai ka‐ nal media sosial yang juga dikelola dengan baik. Untuk itu perlu adanya pengelolaan yang baik pula terhadap aset digital yang dimiliki organi‐ sasi termasuk di dalamnya aset media sosial.

Langkah yang perlu dilakukan dalam tahap ini yaitu auditor perlu men‐ dapatkan hasil pemetaan media sosial apa saja yang dimiliki oleh orga‐ nisasi dan bagaimana mereka mengelolanya, terutama dalam keama‐ nannya.

Berikut tabel yang bisa digunakan sebagai informasi daftar media sosial yang digunakan organisasi:

Tabel 5 Daftar media sosial yang dikelola media

Daftar Pertanyaan :

▪ Apa saja akun media sosial yang dimiliki? ▪ Apa media sosial yang paling aktif diukur dari jumlah pengikut atau pelanggan serta intensitas unggahannya? ▪ Bagaimana pengamanan masing-masing akun tersebut dinilai

SAFEnet

dari, antara lain, kekuatan kata sandi dan penggunaan 2FA atau bahkan MFA? ▪ Siapa saja yang punya akses terhadap media sosial? ▪ Siapa saja yang memiliki informasi login media sosial? ▪ Bagaimana media sosial tersebut dijalankan/dikelola? Apakah menggunakan perangkat khusus? Berapa banyak admin? ▪ Bagaimana pengelolaan kredensial login media sosial organisasi? ▪ Tantangan apa yang sering terjadi dalam pengelolaan media so‐ sial? ▪ Apakah admin sudah memahami cara memulihkan akun media sosial secara mandiri?

3.3 Catatan

Metode penilaian aset dan data bisa dilakukan dalam tiga bentuk, yaitu wawancara, observasi jarak jauh, atau pengisian tabel. Wawancara dilakukan secara langsung terhadap penanggung jawab media sosial auditi, termasuk menanyakan pengamanannya. Observasi bisa dilaku‐ kan secara jarak jauh, tetapi tetap perlu menanyakan ke auditi terkait pengamanannya. Adapun pengisian tabel bisa dilakukan sendiri oleh auditi.

Data hasil penilaian harus ditangani dengan sangat aman. Termasuk memastikan transfer data menggunakan saluran terenkripsi dan men‐ jaga privasi informasi selama proses berlangsung.

3.4 Keluaran

Hasil dari penilaian ini biasanya mencakup:

▪ Pemetaan lengkap aset digital termasuk di mana berada, siapa yang mengaksesnya dan menyimpan, layanan pihak ketiga yang digunakan.

SAFEnet

▪ Penilaian sensitivitas dan identifikasi risiko jika terjadi kehilang‐ an atau akses oleh pihak yang tidak berwenang. ▪ Rekomendasi mitigasi berupa sistem penyimpanan aman, pe‐ ngelolaan hak akses, data dan media sosial atau kebijakan pen‐ cadangan data.

3.5 Acuan

▪ Contoh tabel Penilaian Aset Digital ▪ Risk of Data Lost and Found https://safetag.org/activities/ datalostandfound/ ▪ Assessing Usage of Cloud Services https://safetag.org/ activities/cloudservices/ ▪ The Impacts of a Lost Device https://safetag.org/activities/ impactlostdevice/ ▪ The Impacts of a “Found” Device https://safetag.org/activities/ impactfounddevice/

SAFEnet

4. Pemetaan Infrastruktur & Jaringan

4.1 Ringkasan

menilai

dan menentukan

SAFEnet

masuk infrastruktur digital ini, pemindaian yang meliputi dari situs web dan jaringan baik eksternal seperti, layanan/aplikasi web pendukung, layanan surel, DNS, maupun jaringan internal seperti Wi-Fi perlu dilakukan.

Setelah memetakan infrastruktur dan asetnya, kita akan memeriksa apakah terdapat celah atau kerentanan. Melalui semua proses tersebut, auditor dapat menilai apakah penerapan keamanan infrastruktur saat ini cukup melindungi organisasi atau tidak.

4.2 Tahapan

4.2.1 Observasi Infrastruktur

Memastikan keamanan infrastruktur bisa diawali dengan mengenali kondisi jaringan, aplikasi, layanan pihak ketiga yang digunakan media. Selain itu, perlu juga melakukan pendataan aset digital, melengkapi tahapan pada bagian sebelumnya, yang dimiliki organisasi, utamanya terkait perangkat.

Dengan mengenali perangkat apa saja yang terhubung dalam jaringan internal. Kemudian, mengidentifikasi layanan organisasi apa saja yang bisa diakses dengan atau tanpa jaringan internal. Kemudian, melihat bagaimana kondisi pengaturan keamanan perangkat atau layanan ter‐ kait. Bisa menjadi tolok ukur untuk melakukan pemetaan dan pemin‐ daian kerentanan lebih lanjut.

Umumnya, beberapa perangkat jaringan yang terdapat dalam suatu organisasi seperti:

▪ Router ▪ Network printer ▪ Access point Wi-Fi

SAFEnet

▪ NAS LAN file storage/file sharing) ▪ Network projector (yang tersambung melalui Wi-Fi) ▪ Modem broadband ▪ Smart TV ▪ Mikrotik ▪ Jaringan internet yang terhubung dalam domain.

Perangkat selain jaringan yang mungkin menyimpan data sensitif, ter‐ masuk:

▪ Perangkat desktop, laptop, dan mobile ▪ Kamera ▪ Mesin fotokopi (mungkin memilik diska penyimpanan).

Lalu, terkait perangkat lunak yang digunakan dapat berupa:

▪ Layanan produktivitas atau kolaborasi seperti Google Work‐ space, Microsoft, atau yang lainnya ▪ Aplikasi komunikasi WhatsApp, Signal, dsb.) ▪ Aplikasi pengolah dokumen ▪ Situs web ▪ Layanan surel (termasuk layanan email pihak ketiga).

Pemilihan perangkat keras dan lunak sangat memengaruhi cara kerja organisasi media. Penting untuk memahami keuntungan dan kerugian dari setiap pilihan, seperti menggunakan aplikasi berbayar versus sum‐ ber terbuka (open-source), memilih produk dari negara tertentu, atau menggunakan layanan big tech.

Saat mempertimbangkan perangkat atau layanan pihak ketiga, setidaknya ada tiga faktor utama yang perlu dievaluasi. Kebijakan (layanan dan privasi), kepatuhan terhadap standar industri, dan rekam jejak penyedia layanan. Menganalisis ketiga faktor ini akan membantu memetakan poten‐ si ancaman dengan lebih jelas. Sebagai contoh, saat memilih aplikasi

SAFEnet

komunikasi pesan ringkas untuk grup antara Signal dan WhatsApp, Signal jelas lebih unggul jika prioritas utamanya adalah privasi pengguna. Begitu juga dengan pilihan layanan surel, apakah terdapat fitur enkripsi secara bawaan atau tidak serta layanan yang digunakan apakah memiliki kebijakan privasi yang menghargai pengguna.

Setelah itu, pendataan aset infrastruktur IT adalah langkah lanjutan yang cukup penting bagi organisasi media. Mengingat data dan infor‐ masi penting diakses melalui jaringan internal atau eksternal, perlin‐ dungan aset digital harus dimulai dari langkah dasar: mengidentifikasi dan memetakan semua perangkat keras yang dapat mengakses atau terhubung ke dalam infrastruktur tersebut. Tanpa inventarisasi yang jelas, sulit untuk melindungi dan mengelola aset digital secara efektif.

Umumnya, pendataan atau inventarisasi aset sebaiknya mencakup be‐ berapa hal berikut.

▪ Nama Aset/Nama Perangkat: Deskripsi yang jelas (misalnya, "Laptop Merk P Model QR," "Printer X model ABC"). ▪ Pengguna aset: Nama staf yang saat ini menggunakan aset tersebut. ▪ Lokasi: Lokasi fisik aset (misalnya, "Kantor," "Kerja Jarak Jauh-Rumah Nama Staf]"). ▪ Pengamanan: Metode pengamanan yang digunakan. Misalnya, kata sandi kuat dan 2FA. ▪ Spesifikasi: Detail teknis utama (misalnya, CPU, RAM, ukuran Penyimpanan, nomor model). ▪ Tanggal Pembelian: Kapan aset tersebut dibeli.

4.2.2 Pemindaian Situs Web

Pada tahap ini auditor mencari kemungkinan celah keamanan dalam perangkat, layanan, aplikasi, dan jaringan organisasi dengan menguji

SAFEnet

dan membandingkannya dengan berbagai sumber (pangkalan data kerentanan, informasi vendor/layanan, dan investigasi/temuan audit).

Dalam melakukan pemindaian kerentanan, perlu kita bedakan menge‐ nai asesmen kerentanan dan uji penetrasi. Asesmen kerentanan lebih bersifat menyeluruh, sedangkan uji penetrasi lebih mendalam. Kedua hal tersebut juga memiliki tujuan berbeda. Asesmen kerentanan ber‐ tujuan untuk melihat sejauh mana kerentanan dapat muncul atau potensial bersarang pada suatu sistem organisasi. Di sisi lain, Uji Penetrasi lebih berfungsi untuk memverifikasi suatu kerentanan dan memiliki tujuan yang spesifik.

Dalam proses pemindaian kerentanan, penggunaan aplikasi non-teknis dapat dimanfaatkan, tetapi penggunaan aplikasi harus didasarkan pada pemahaman tentang batasan, lingkup, dan konsekuensi dari pemindaian oleh aplikasi atau layanan pihak ketiga terkait, terutama jika berbasis web. Sebagai contoh, penggunaan aplikasi layanan pihak ketiga tidak dapat memindai sedalam dan sejauh aplikasi teknis khusus. Penggu‐ naannya hanya sebatas memindai pada permukaannya saja. Untuk mendapatkan pemindaian yang lebih komprehensif, perlu menggunakan aplikasi khusus, seperti Burp Suite, Nessus, Nuclei atau beberapa aplika‐ si alternatif lainnya. Namun, penggunaan aplikasi tersebut memerlukan kapasitas pemahaman dan keahlian teknis yang lebih mendalam.

Menyigi Situs Web

Menyigi situs web (website footprinting) merupakan sebuah proses menelusuri dan menemukan segala sesuatu mengenai suatu situs web atau domain, termasuk informasi berupa peladennya, teknologi yang digunakan, dan data lainnya yang mungkin berguna bagi penyerang. Kata footprinting sendiri mengacu pada istilah teknis dalam dunia kom‐ puter terkait proses untuk memperoleh informasi mengenai suatu sis‐ tem atau jaringan.

SAFEnet

Penggunaan alat pindai layanan pihak ketiga sebagai langkah awal da‐ pat dilakukan untuk mengumpulkan informasi mengenai suatu situs web, yang kemudian berguna untuk memulai Pemindaian Kerentanan. Untuk memetakan infrastruktur sebuah domain, seperti peladen e-mail, detail peladen, dan layanan terkait lainnya, dapat menggunakan tools seperti DNSDumpster, Censys, atau SecurityTrails. Sementara itu, un‐ tuk mengidentifikasi teknologi dan aplikasi spesifik yang digunakan sebuah situs web, dapat menggunakan Wappalyzer atau BuiltWith.

Beberapa rekomendasi layanan berbasis web untuk menunjang praktik ini tercantum di bawah. Untuk opsi yang lebih luas, silakan mengacu pada lampiran.

▪ Wappalyzer: https://www.wappalyzer.com/ ▪ DNSDumpster: https://dnsdumpster.com/

Data yang dikumpulkan menjadi modal utama sebagai informasi untuk menyesuaikan langkah selanjutnya. Misalnya, penggunaan situs web berbasis WordPress perlu menyesuaikan alat pemindai yang digunakan menjadi WPScan atau WPSec. Kemudian situs web secara custom atau tidak memanfaatkan CMS populer, perlu melakukan pemindaian dari sisi aplikasi web dan API-nya (Application Programming Interface). Selain itu, informasi terkait layanan atau aplikasi apa saja yang termuat dalam peladen, seperti, email, web panel, bisa menjadi catatan untuk melakukan pemindaian lebih lanjut.

Pemeriksaan melalui layanan pihak ketiga berikut dapat membantu ta‐ hapan proses ini.

▪ Mengidentifikasi Target dengan menentukan domain atau situs web yang akan diuji. ▪ Menggunakan BuiltWith atau Wappalyzer untuk mengenali tek‐ nologi pendukung aplikasi web yang digunakan.

SAFEnet

▪ Menggunakan DNSDumpster atau SecurityTrails untuk memeta‐ kan infrastrukturnya.

Pemindaian Kerentanan

Pemindaian situs web dilakukan untuk melihat postur keamanan situs web beserta aplikasi pendukungnya. Selain itu, pengecekan terhadap temuan kerentanan perlu untuk memastikan situs web tidak terinfeksi dan bukan merupakan suatu false positive.

Beberapa aplikasi atau layanan yang dapat digunakan untuk memindai kerentanan, sebagai berikut.

▪ WPScan: https://wpscan.com/ ▪ WPSec: https://wpsec.com/ ▪ Sucuri SiteCheck: https://sitecheck.sucuri.net/ ▪ UpGuard Web Scan: https://webscan.upguard.com/ ▪ SSLabs Test https://www.ssllabs.com/ssltest/. ▪ Zed Attack Proxy ZAP, Nessus, atau Burp Suite ▪ Daftar aplikasi pemindai kerentanan OWASP: https://owasp.org/ www-community/VulnerabilityScanningTools

Beberapa aspek pertanyaan yang bisa dipertimbangkan dalam menilai keamanan situs web adalah:

SAFEnet

Tabel 6 Aspek untuk menilai keamanan sebuah situs web

Pemindaian melalui layanan pihak ketiga berikut bisa membantu bebe‐ rapa tahapan proses ini.

▪ Menggunakan WPSec atau WPScan (jika relevan) untuk memin‐ dai kerentanan website yang berbasis pada WordPress. ▪ Menggunakan Sucuri SiteCheck untuk melakukan pemindaian situs web dan memeriksa daftar hitam. ▪ Menggunakan SSLabs untuk memeriksa pengaturan SSL/TLS. ▪ Menggunakan UpGuard Web mencari kerentanan. ▪ Jika memiliki kemampuan lebih teknis lakukan penetration test dan verifikasi kerentanan. ▪ Membuat laporan berdasarkan temuan dari pengujian sebe‐ lumnya.

SAFEnet

4.2.3 Pemetaan Jaringan Wi-Fi

Penggunaan jaringan internal dalam kantor biasanya digunakan untuk mengakses dan mengelola internet atau intranet, printer, kamera pengawas, dan NAS. Router atau modem yang berasal dari penyedia layanan internet ISP) biasanya merupakan pusat perangkat utama yang mengkoordinir semua perangkat yang terhubung dalam jaringan. Dengan demikian, mengamankan gerbang utama ini (modem) merupa‐ kan suatu keharusan. Memastikan pengaturan bawaan sudah diubah, meliputi, tetapi tidak terbatas pada penggunaan akun bawaan, penga‐ turan firewall, pemisahan jaringan menjadi langkah yang perlu dipenu‐ hi. Jika tidak demikian, besar kemungkinan akan menyebabkan dan mengekspos segala perangkat yang terhubung dalam suatu jaringan sehingga menjadi lebih rentan.

Untuk memudahkan pemetaan jaringan dan infrastruktur sebuah me‐ dia, daftar periksa berikut bisa membantu.

Tabel 7 Daftar periksa pemetaan infrastruktur dan jaringan sebuah media

SAFEnet

SAFEnet

SAFEnet

Tahapan yang dapat dilakukan sebagai acuan pada bagian ini adalah:

▪ Memeriksa apakah terdapat pembagian dan pemisah jaringan antara pengguna internal dan eksternal. ▪ Mengidentifikasi penyedia jasa internet yang digunakan beserta merk dan model router. ▪ Memeriksa penggunaan akun bawan router, dengan mencari informasi dari mesin pencari atau https://www.routerpasswords.com/. ▪ Mengidentifikasi perangkat yang terhubung dari Router atau aplikasi Fing.

Daftar pertanyaan yang bisa diajukan untuk mengetahui keamanan Wi-Fi bisa dilihat dalam tabel di bawah.

SAFEnet

Tabel 8 Daftar pertanyaan untuk memeriksa keamanan Wi-Fi

SAFEnet

4.3 Catatan

Pemetaan jaringan dan infrastruktur sebuah media memerlukan adanya kunjungan langsung ke kantor media tersebut. Oleh karena itu, obser‐ vasi menjadi faktor penting untuk mendapatkan hasil pemetaan secara lebih akurat.

Selama observasi tersebut, auditor juga perlu memetakan dan menga‐ nalisis keamanan fisik kantor, termasuk lingkungan kantor, kamera pengawas, pengaturan tempat kerja, hingga penempatan router.

4.4 Keluaran

Berdasarkan penilaian ini hasil yang akan didapatkan adalah sebagai berikut:

▪ Data hasil pemindaan domain beserta dengan subdomain-nya dan Informasi DNS ▪ Informasi penggunaan layanan web dan pengamanan surel ▪ Data hasil pemindaan kerentanan pada aplikasi web ▪ Data hasil pengecekan Penguji Sertifikat TLS

4.5 Acuan

▪ Network Scanning https://safetag.org/activities/ network_scanning ▪ Network Access https://safetag.org/activities/network_access ▪ Network Traffic Analysis https://safetag.org/activities/ trafficanalysis ▪ Remote Network and User Device Assessment https:// safetag.org/activities/remotenetworkdeviceassessment ▪ Router Based Attacks https://safetag.org/activities/ router_attacks

SAFEnet

▪ VoIP Security Assessment https://safetag.org/activities/ voipassessment ▪ Wireless Range Mapping https://safetag.org/activities/ wirelessrangemapping ▪ Monitor Open Wireless Traffic https://safetag.org/activities/ monitoropenwirelesstraffic ▪ Vulnerability Scanning https://safetag.org/activities/ vulnerabilityscanning/ ▪ Vulnerability Research https://safetag.org/activities/ vulnerabilityresearch/ ▪ Website Footprinting https://safetag.org/activities/ webfootprint/ ▪ Web Vulnerability Assessment https://safetag.org/activities/ webvulnerabilityassessment/ ▪ VoIP Security Assessment https://safetag.org/activities/ voipassessment/ ▪ Check Config Files https://safetag.org/activities/ checkconfigfiles/ ▪ Router Based Attacks https://safetag.org/activities/ router_attacks/

SAFEnet

BAGIAN B

PELAPORAN

SAFEnet

5. Penyusunan Laporan

5.1 Ringkasan

Tahap akhir dari proses audit adalah penyusunan laporan. Setelah selu‐ ruh informasi terkumpul—terkait tujuan audit, lingkup kerja, kapasitas organisasi, serta hasil identifikasi risiko, ancaman, pengelolaan data, aset, jaringan, dan kebijakan—auditor menyusun rekomendasi berda‐ sarkan temuan-temuan tersebut. Laporan harus disusun secara akurat, jelas, dan konstruktif.

Bentuk laporan yang umum adalah daftar temuan disertai rekomendasi perbaikan. Waktu yang dibutuhkan untuk perbaikan bervariasi. Jika dalam rencana audit awal telah dirancang pemeriksaan ulang (re- audit), maka waktu pelaksanaannya harus mempertimbangkan estimasi durasi perbaikan tersebut.

Penulisan laporan perlu memerhatikan target audiens, agar mudah dipahami. Karena pembaca laporan disampaikan pada pihak manaje‐ men organisasi yang bisa berasal dari latar belakang non-teknis, maka hindari istilah teknis yang sulit untuk dijelaskan. Jika istilah teknis harus digunakan, sertakan penjelasan singkatnya.

Inti laporan adalah agar pesan auditor tersampaikan dengan baik, serta rekomendasi dapat diterapkan oleh organisasi. Bahasa dan gaya penulisan disesuaikan dengan kebutuhan organisasi—beberapa mung‐ kin menginginkan laporan yang mendalam, sementara lainnya hanya memerlukan ringkasan eksekutif.

SAFEnet

pemindaian kerentanan, maka lampiran teknis perlu disertakan. Lampi‐ ran ini dapat mencakup data dari alat asesmen, seperti jenis dan lokasi kerentanan pada situs web atau jaringan organisasi.

5.2 Tahapan

Pada prinsipnya, penyusunan laporan terdiri dari dua tahapan, yaitu penulisan dan penyampaian laporan. Penulisan laporan dilakukan berdasarkan semua temuan audit yang dibuat secara terstruktur agar memudahkan auditi untuk mendapatkan informasi penting terkait sub‐ stansi audit. Adapun penyampaian laporan dilakukan agar auditi bisa mendapatkan informasi secara langsung dengan auditor sekaligus membuaka ruang untuk diskusi selama penyampaian tersebut.

5.2.1 Penyusunan Laporan

Secara garis besar, substansi laporan audit terdiri dari penjelasan ten‐ tang audit, profil organisasi, temuan, dan rekomendasi. Kerangka lapor‐ an dari tiap bagian tersebut bisa dilihat pada struktur berikut:

1. Halaman Depan ▪ Nama Organisasi ▪ Judul Laporan Audit
   SAFEnet

▪ Waktu Audit (bulan dan tahun) ▪ Nama Auditor

2. Pengantar ▪ Latar Belakang ▪ Tujuan Audit ▪ Ruang Lingkup Audit ▪ Metodologi
3. Profil Organisasi ▪ Deskripsi singkat organisasi ▪ Struktur teknis dasar (jika relevan) ▪ Kapasitas tim internal
4. Temuan ▪ Risiko & Ancaman ▪ Kapasitas ▪ Aset Digital ▪ Jaringan & Infrastruktur
5. Rekomendasi ▪ Kebijakan ▪ Pengelolaan Data & Aset Digital ▪ Jaringan & Infrastrukur
6. Penutup
7. Lampiran Teknis
   SAFEnet

5.2.2 Penyampaian Laporan

Penyampaian laporan melalui pemaparan dapat dilakukan sebagai langkah terakhir setelah penyampaian laporan audit secara tertulis. Tahapan ini biasanya dilakukan secara jarak jauh karena kemudahan waktunya. Penyampaian laporan ini sebaiknya dihadiri oleh manajemen organisasi yang bisa mengambil keputusan terkait hasil audit, terutama terkait dengan rekomendasi.

Pertemuan ini memaparkan atau memberikan informasi relevan menge‐ nai serangkaian langkah apa saja yang telah dilalui dalam proses audit, temuan-temuan yang ada dan juga rekomendasi yang sudah dituliskan auditor.

5.3 Catatan

menentukan apakah hasil audit akan benar-benar bermanfaat bagi or‐ ganisasi. Rekomendasi harus bisa ditindaklanjuti, dipahami, dan disesu‐ aikan dengan kapasitas organisasi.

Beberapa hal yang perlu diperhatikan dalam menyusun rekomendasi:

▪ Tautkan rekomendasi dengan hasil temuan ▪ Buatlah rekomendasi yang sifatnya spesifik, bukan umum ▪ Sesuaikan dengan kapasitas organisasi yang diaudit (pertim‐ bangkan ketersediaan SDM teknis, tingkat pemahaman terha‐ dap IT dan pendanaan)

SAFEnet

▪ Buat skala prioritas berdasarkan risiko (prioritas tinggi, sedang dan rendah) ▪ Tambahkan juga estimasi jangka waktu (jangka waktu panjang, menengah atau jangka pendek)

5.4 Keluaran

▪ Laporan audit secara tertulis berikut rekomendasinya ▪ Penjadwalan penyampaian laporan dan diskusi hasil audit

5.5 Acuan

▪ Template Laporan Audit ▪ Roadmap Development https://safetag.org/activities/ roadmapdevelopment/ ▪ Resource Identification https://safetag.org/activities/ identifyuseful_resources/ ▪ Report Creation https://safetag.org/activities/report_creation/

SAFEnet

Daftar Istilah

FORMAT PKS

Berikut adalah contoh format Perjanjian Kerja Sama yang mencakup NDA antara auditor dan auditi. Secara struktur dan substansi bisa disesuaikan dengan kondisi di lapangan. Dokumen bisa diunduh di s.id/ format-pks

SURAT PERJANJIAN KERJA SAMA

Nomor: 123/ADM/BULAN/TAHUN

Yang bertanda tangan di bawah ini, masing-masing :

Nama : Jabatan : Alamat Kantor : Telepon :

YANG DIAUDIT, selanjutnya disebut sebagai PIHAK KEDUA.

Selanjutnya PIHAK PERTAMA dan PIHAK KEDUA secara bersama-sama disebut PARA PIHAK.

Secara sadar PARA PIHAK telah bersepakat untuk membuat Perjanjian Kerja Sama dalam rangka TUJUAN KERJA SAMA] dengan ketentuan sebagai berikut:

Pasal 1 Lingkup Kerja Sama

Lingkup kerja sama PARA PIHAK dalam Perjanjian Kerja Sama ini adalah:

a) Pelaksanaan audit keamanan digital,
b) Penyusunan kebijakan dan panduan keamanan digital,
c) Pelatihan keamanan digital, serta
d) Pendampingan pelaksanaan kebijakan dan panduan keamanan digital.

Pasal 2

Jangka Waktu Perjanjian

Perjanjian ini dilaksanakan selama BERAPA) bulan pada TANGGAL MULAI HINGGA TANGGAL SELESAI.

Pasal 3 Hak dan Kewajiban

▪ PIHAK PERTAMA berkewajiban untuk melakukan audit keama‐ nan digital meliputi kebijakan dan praktik oleh PIHAK KEDUA; ▪ PIHAK PERTAMA berkewajiban untuk menyusun Laporan Hasil Audit Keamanan Digital yang mencakup pelaksanaan, metode, temuan, dan rekomendasi untuk peningkatan keamanan digital PIHAK KEDUA; ▪ PIHAK PERTAMA berhak mendapatkan informasi dan data yang diperlukan dalam pekerjaan ini dari PIHAK KEDUA;

▪ PIHAK PERTAMA berhak mendapatkan dukungan dari PIHAK KEDUA untuk bisa menyelesaikan semua pekerjaan dalam Perjanjian Kerja Sama ini; ▪ PIHAK KEDUA berkewajiban untuk memberikan informasi dan data kepada PIHAK PERTAMA untuk menyelesaikan semua pekerjaan dalam Perjanjian Kerja Sama ini; ▪ PIHAK KEDUA berkewajiban untuk berkoordinasi secara inter‐ nal agar staf-staf PIHAK KEDUA yang diperlukan dalam peker‐ jaan ini bisa bersedia dan bisa bekerja sama dalam proses audit oleh PIHAK PERTAMA; dan ▪ PIHAK KEDUA berhak mendapatkan hasil pekerjaan yang dilaku‐ kan PIHAK PERTAMA, sesuai dengan jadwal yang disepakati.

Pasal 4 Mekanisme Koordinasi

Mekanisme koordinasi dalam Perjanjian Kerja Sama ini dibagi dalam dua jalur, yaitu:

▪ Untuk proses administrasi dan perjanjian kerja, PIHAK KEDUA bisa berkoordinasi dengan PIHAK PERTAMA; dan ▪ Untuk proses komunikasi dan koordinasi dalam menyelesaikan lingkup pekerjaan, maka PIHAK PERTAMA menunjuk Tim Audi‐ tor untuk langsung berkoordinasi dengan Pemimpin Redaksi PIHAK KEDUA.

Pasal 5 Kerahasiaan Data

PIHAK PERTAMA dilarang menggunakan dan mengungkapkan rahasia organisasi seperti keuangan, data pribadi, keamanan, dan sebagainya milik PIHAK KEDUA; kecuali diperintahkan oleh pihak yang berwenang, seperti Pengadilan, Kepolisian atau instansi-instansi Pemerintah/Non Pemerintah yang resmi di mata Hukum Indonesia.

Pengungkapan untuk keperluan di atas harus mendapat persetujuan tertulis oleh PIHAK KEDUA, dalam format yang dibuat dan dikeluarkan oleh PIHAK KEDUA. Pelarangan ini akan terus berlaku walaupun per‐ janjian ini telah berakhir.

Pasal 7 Amendemen

Apabila ada suatu perubahan yang belum diatur sebelumnya dalam kesepakatan PARA PIHAK atau belum diatur dalam surat perjanjian ini maka akan dimusyawarahkan lebih lanjut oleh para pihak dan hasil dari musyawarah tersebut akan dituangkan dalam addendum yang tak terpisahkan dari perjanjian ini.

Perjanjian ini dibuat dalam dua rangkap dan ditandatangani PARA PIHAK sebagai bukti persetujuan atas isi perjanjian kerja sama ini.

KOTA, TANGGAL

PIHAK I PIHAK II

DAFTAR PIRANTI & APLIKASI

Berikut ini daftar fungsi layanan pengujian pihak ketiga yang dapat digunakan.

TABEL DAFTAR ASET

Berikut format tabel Daftar Aset media. Dokumen bisa diunduh dari

s.id/daftar-aset Lembaga : Tanggal :

PANDUAN PENILAIAN KEAMANAN DIGITAL MANDIRI PAKEM DIRI

Versi: Oktober 2025

PAKEM DIRI adalah metode penilaian keamanan digital secara mandiri yang sedang dikembangkan SAFEnet untuk menilai tingkat risiko keamanan digital secara personal. Dokumen bisa diunduh di s.id/ pakem-diri

Nama : Tanggal :

Petunjuk Pengisian:

Jawablah berdasarkan perilaku Anda sehari-hari. Jika Anda memilih Ya, masukkan angka 1. Jika Tidak, masukkan angka 0. Hasil akhir akan menunjukkan tingkat risikonya.

KEAMANAN PERANGKAT

KEAMANAN PONSEL

KEAMANAN AKUN

KEAMANAN KOMUNIKASI

Cara Menghitung

Berikut adalah penjelasan nilai akhir yang diperoleh:

▪ 1  20 = tingkat risiko sangat tinggi ▪ 21  40 = tingkat risiko tinggi ▪ 41  60 = tingkat risiko sedang ▪ 61  80 = tingkat risiko rendah ▪ 81  100 = tingkat risiko sangat rendah

Untuk menggunakan PAKEM DIRI atau berkonsultasi lebih lanjut silakan hubungi SAFEnet di [email protected] atau Hotline 628179323375.

Panduan ini merupakan acuan dalam

melaksanakan audit keamanan digital

untuk media, khususnya media daring.

Materi panduan mencakup landasan

teoritis dan praktis bagaimana sebuah

audit keamanan digital media sebaiknya

dilakukan, termasuk memahami konsep,

tujuan, dan tahapan kerjanya.

Jalan Gita Sura III Nomor 55 Peguyangan Kaja Denpasar, Bali 80123 Telepon : 62 817 9323375 Surel: [email protected] Twitter & Instagram: @safenetvoice Situs web: safenet.or.id