Harga layanan keamanan siber terkelola: komponen biaya, satuan tagihan, dan cara membandingkan penawaran

Harga layanan keamanan siber terkelola ditentukan oleh empat hal: apa yang dipantau (berapa perangkat, pengguna, server, akun cloud, dan berapa GB log per hari), kapan dipantau (jam kerja atau 24/7), apa yang boleh dilakukan penyedia (hanya memberi tahu atau juga menahan serangan), dan apa yang ditambahkan di luar langganan (onboarding, respons insiden, uji penetrasi, CISO virtual). Dua penawaran dengan angka bulanan yang mirip bisa berbeda jauh isinya. Cara paling aman membandingkannya adalah memecah setiap penawaran ke komponen yang sama, lalu menghitung biaya setahun termasuk PPN. Semua angka di panduan ini adalah ilustrasi, bukan harga penyedia mana pun.

Panduan ini adalah pintu masuk kategori komponen harga dan aturan. Setiap bagian merujuk ke panduan yang lebih rinci.

Lima kelompok layanan yang sering digabung dalam satu penawaran

Penawaran "keamanan siber terkelola" biasanya berisi gabungan dari kelompok berikut. Perbedaan istilahnya dibahas di MSSP, MDR, dan SOC sebagai layanan: apa bedanya.

Rincian harga perimeter dan endpoint ada di harga firewall dan EDR terkelola. Tata kelola dibahas di biaya CISO virtual, dan pengujian di biaya uji penetrasi.

Faktor yang paling menggerakkan harga

1. Jumlah dan jenis aset. Laptop dan PC biasanya paling murah per unit. Server, terutama yang menjalankan basis data atau aplikasi pelanggan, sering dihitung dengan tarif lebih tinggi karena volume log dan risikonya lebih besar. Akun cloud dan email korporat kadang dihitung per pengguna.

2. Jam layanan. Pemantauan 24/7 memerlukan analis di setiap shift, termasuk malam, akhir pekan, dan hari libur nasional. Itu sebabnya MDR 24/7 hampir selalu lebih mahal daripada EDR yang dipantau pada jam kerja. Banyak serangan ransomware dijalankan di luar jam kantor, jadi selisih ini bukan sekadar kemewahan.

3. Kewenangan bertindak. Penyedia yang boleh mengisolasi perangkat atau menonaktifkan akun tanpa menunggu persetujuan memikul tanggung jawab lebih besar dan biasanya menagih lebih. Penyedia yang hanya mengirim email peringatan lebih murah, tetapi tindakannya tetap harus dilakukan tim Anda, kapan pun peringatan datang.

4. Volume log. Untuk SOC sebagai layanan, satuan yang paling sering dipakai adalah GB log per hari. Volume ini cenderung naik setiap kali Anda menambah sumber log: firewall baru, aplikasi baru, atau akun cloud baru. Cara menghitung dan membaca batasnya ada di model harga per pengguna, per perangkat, dan per volume log.

5. Retensi dan lokasi data. Menyimpan log 12 bulan lebih mahal daripada 90 hari. Lokasi penyimpanan juga berpengaruh pada kepatuhan; lihat kewajiban keamanan dalam UU PDP dan PP 71/2019 dan BSSN.

6. Masa kontrak dan mata uang. Kontrak 3 tahun biasanya memberi tarif per bulan lebih rendah, tetapi mengunci Anda. Harga dalam USD memindahkan risiko kurs ke Anda.

Contoh ilustratif: memecah satu penawaran menjadi komponen

Misalkan perusahaan distribusi dengan 60 perangkat, 1 kantor pusat, dan 2 gudang menerima penawaran "paket keamanan terkelola Rp22.000.000 per bulan". Setelah diminta rinciannya:

Biaya setahun Rp22.000.000 × 12 = Rp264.000.000. Ditambah onboarding satu kali Rp15.000.000, tahun pertama menjadi Rp279.000.000. PPN efektif 11%: Rp279.000.000 × 11% = Rp30.690.000, sehingga total tahun pertama Rp309.690.000.

Rincian ini langsung memunculkan pertanyaan: respons insiden tidak ada di daftar, log firewall tidak dikirim ke SIEM, dan tidak ada uji penetrasi. Itu bukan berarti penawarannya buruk, tetapi Anda tahu apa yang belum dibeli. Contoh untuk ukuran usaha lain ada di simulasi biaya UMKM dan perusahaan menengah.

Biaya yang sering tidak tertulis di halaman pertama penawaran

• Onboarding: pemasangan agen, penyetelan aturan deteksi, dan integrasi log. Kadang gratis untuk kontrak panjang, kadang ditagih terpisah.
• Lisensi alat: penyedia bisa memakai lisensi EDR atau SIEM milik Anda (bring your own licence) atau menyediakannya. Pastikan tidak dibayar dua kali.
• Tarif kelebihan: perangkat atau GB log di atas kuota.
• Respons insiden: banyak paket MDR hanya mencakup penahanan awal; forensik, pemulihan, dan pendampingan hukum ditagih per jam. Lihat retainer respons insiden.
• Laporan kepatuhan: laporan khusus untuk auditor atau klien bank.
• PPN dan kurs: dibahas di kenaikan perpanjangan, PPN, dan kurs USD.

Aturan yang membuat keamanan menjadi kewajiban, bukan pilihan

Tidak ada peraturan yang mewajibkan UMKM membeli layanan terkelola tertentu. Namun beberapa kewajiban hukum harus dipenuhi dengan cara apa pun:

• UU 27/2022 tentang Pelindungan Data Pribadi: Pasal 35 mewajibkan langkah teknis operasional dan penentuan tingkat keamanan, Pasal 39 mewajibkan pencegahan akses tidak sah dengan sistem keamanan yang andal, dan Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 × 24 jam bila terjadi kegagalan pelindungan.
• PP 71/2019 Pasal 24: penyelenggara sistem elektronik wajib memiliki prosedur dan sarana pengamanan, serta melaporkan gangguan serius akibat perbuatan pihak lain kepada aparat penegak hukum dan kementerian atau lembaga terkait.
• Peraturan BSSN 1/2024 tentang Pengelolaan Insiden Siber: setiap penyelenggara sistem elektronik membentuk tim tanggap insiden siber organisasi, dan insiden berisiko tinggi dilaporkan.

Layanan terkelola adalah salah satu cara memenuhi kewajiban itu, tetapi tanggung jawab hukumnya tetap pada Anda sebagai pengendali data atau penyelenggara sistem.

Pertanyaan yang sering diajukan

Mengapa harga per perangkat bisa berbeda dua sampai tiga kali lipat antar penawaran?

Biasanya karena isinya berbeda: jam layanan, kewenangan bertindak, retensi log, dan apakah lisensi EDR sudah termasuk. Samakan ke-empat hal itu sebelum membandingkan angka.

Apakah paket per pengguna selalu lebih murah?

Tidak. Paket per pengguna menguntungkan bila setiap karyawan memakai beberapa perangkat. Bila banyak perangkat bersama (kasir, PC gudang) atau server, paket per perangkat bisa lebih murah. Hitung titik impasnya di model harga.

Apakah harga sudah termasuk PPN?

Tanyakan selalu. Penawaran B2B sering ditulis sebelum PPN. Untuk sebagian besar jasa, beban PPN efektif 11%.

Kapan perlu konsultasi profesional?

Bila Anda mengelola data pribadi dalam jumlah besar, data kesehatan atau keuangan, menjadi pemasok bank atau instansi pemerintah, atau sedang menghadapi insiden. Libatkan penasihat hukum untuk kontrak dan tim respons insiden untuk kejadian nyata.

Sumber resmi

• Badan Siber dan Sandi Negara (BSSN) — peraturan BSSN, panduan insiden, dan kontak tim tanggap insiden
• Pasal.id — teks UU 27/2022, PP 71/2019, dan Peraturan BSSN 1/2024 beserta statusnya
• JDIH Komdigi — peraturan Kementerian Komunikasi dan Digital tentang penyelenggara sistem elektronik
• Direktorat Jenderal Pajak — ketentuan PPN atas jasa