Uji tuntas penyedia keamanan siber terkelola: dokumen yang diminta, cara memverifikasi, dan desain uji coba

Uji tuntas penyedia keamanan siber berarti membuktikan secara tertulis apa yang dijanjikan dalam presentasi: bahwa badan usahanya sah, sertifikasinya mencakup layanan yang Anda beli, analisnya benar-benar berjaga, data Anda disimpan di tempat yang jelas dengan perjanjian pemrosesan, dan layanannya bekerja pada aset Anda sendiri dalam uji coba. Penyedia keamanan memegang akses yang sangat dalam ke sistem Anda, sehingga pemeriksaannya harus lebih ketat daripada pemasok TI biasa. UU PDP Pasal 37 juga mewajibkan pengendali mengawasi setiap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendalinya. Gunakan checklist uji tuntas untuk mencatat hasilnya.

Panduan ini bagian dari metode memilih penyedia yang paling cocok. Pasal kontrak yang terkait dibahas di SLA dan kontrak, dan pilihan membangun tim sendiri di SOC internal versus layanan terkelola.

Dokumen yang diminta dan cara memeriksanya

Dokumen	Yang diperiksa	Cara verifikasi
Akta dan data badan usaha	Nama resmi, pengurus, bidang usaha	Cek di layanan administrasi hukum umum (AHU) Kementerian Hukum dan perizinan berusaha
NPWP dan status PKP	Bisa menerbitkan faktur pajak	Cek konfirmasi status wajib pajak di DJP
Sertifikat ISO/IEC 27001 atau sejenis	Ruang lingkup mencakup layanan SOC/MDR yang Anda beli, masa berlaku	Cek nama lembaga sertifikasi dan nomor sertifikat ke lembaga tersebut
Daftar subprosesor	Platform EDR/SIEM, pusat data, pihak yang memberi dukungan dari luar negeri	Cocokkan dengan lampiran perjanjian pemrosesan data
Lokasi data dan log	Negara penyimpanan utama dan cadangan	Tertulis di kontrak dan di dokumentasi platform
Struktur tim dan jadwal shift	Jumlah analis per shift, lokasi, bahasa	Minta bagan shift anonim dan uji di malam hari saat uji coba
Prosedur penanganan insiden	Alur dari deteksi sampai pemberitahuan	Bandingkan dengan SLA yang ditawarkan
Contoh laporan bulanan (disamarkan)	Isi, metrik, kejelasan	Bandingkan antar penyedia
Polis asuransi tanggung gugat profesional, bila ada	Batas pertanggungan, ruang lingkup	Minta salinan sertifikat polis

Sertifikat yang ruang lingkupnya hanya "pengembangan perangkat lunak" atau "kantor pusat" tidak membuktikan apa pun tentang SOC mereka. Ruang lingkup adalah baris yang paling sering dilewatkan.

Pertanyaan tentang personel dan akses

Siapa yang bisa mengakses konsol dan log Anda, dan apakah aksesnya dicatat?
Apakah analis menjalani pemeriksaan latar belakang dan menandatangani perjanjian kerahasiaan?
Bagaimana akses diputus saat analis keluar?
Apakah penyedia memakai akun admin bersama ke sistem Anda? (Jawaban yang baik: tidak; akun pribadi dengan MFA.)
Apakah ada bagian pekerjaan yang disubkontrakkan, dan ke siapa?

Penyedia keamanan adalah target menarik bagi penyerang karena satu pembobolan membuka akses ke banyak pelanggan. Cara mereka mengamankan akses ke sistem Anda sama pentingnya dengan cara mereka memantau.

Referensi tanpa testimoni

Anda boleh meminta kontak dua atau tiga pelanggan yang bersedia dihubungi. Tanyakan hal yang bisa diverifikasi, bukan kesan umum: berapa lama onboarding, apakah laporan bulanan tepat waktu, bagaimana penanganan malam hari, apakah tagihan pernah melonjak, dan bagaimana proses saat mereka meminta perubahan. Jangan menjadikan logo pelanggan di presentasi sebagai bukti; logo tidak menjelaskan layanan apa yang dibeli.

Desain uji coba (proof of value)

Uji coba yang berguna punya skenario dan ukuran yang disepakati sebelum dimulai:

Unsur	Contoh
Lingkup	10–20 perangkat nyata dari beberapa divisi, satu server uji, satu akun cloud uji
Lama	2–4 minggu
Skenario	Simulasi serangan yang aman dan disepakati tertulis, dijalankan sekali pada jam kerja dan sekali pada malam atau akhir pekan
Ukuran	Waktu deteksi, waktu pemberitahuan, kanal yang dipakai, tindakan yang diambil, kualitas penjelasan
Catatan	Jumlah peringatan per hari, berapa yang relevan, berapa positif palsu
Keputusan	Ditulis dalam satu halaman sebelum tanda tangan

Simulasi serangan harus dilakukan dengan izin tertulis dan pada aset yang Anda kendalikan; lihat izin uji penetrasi menurut KUHP baru. Jangan memakai malware sungguhan.

Tanda bahaya selama uji tuntas

Penyedia enggan menyebut lokasi data atau subprosesor.
Ruang lingkup sertifikat tidak mencakup layanan yang dijual.
Semua pertanyaan teknis dijawab tim penjualan, tidak pernah oleh analis.
Uji coba hanya berupa demo di lingkungan milik penyedia.
Kontrak contoh tidak memuat SLA terukur atau rencana keluar.
Harga jauh di bawah penawaran lain tanpa penjelasan cakupan.

Mengawasi penyedia setelah kontrak berjalan

Uji tuntas tidak berhenti di tanda tangan. Untuk memenuhi kewajiban pengawasan dan untuk kepentingan Anda sendiri:

Baca laporan bulanan dan tanyakan setiap angka yang aneh.
Periksa setiap triwulan daftar aset yang berhenti melapor.
Jalankan latihan meja setahun sekali bersama penyedia.
Tinjau ulang subprosesor dan lokasi data setiap perpanjangan.
Uji SLA malam hari sesekali dengan skenario yang disepakati.

Menilai jawaban: bukti kuat dan bukti lemah

Klaim penyedia	Bukti lemah	Bukti kuat
"Kami berjaga 24/7"	Slide presentasi	Jadwal shift anonim dan waktu respons nyata dari uji coba malam hari
"Data disimpan di Indonesia"	Jawaban lisan	Pasal kontrak dan dokumentasi platform yang menyebut lokasi
"Kami bersertifikat"	Logo di situs	Salinan sertifikat dengan ruang lingkup dan masa berlaku yang bisa dicek ke lembaga sertifikasi
"Respons insiden termasuk"	Kalimat di brosur	Kuota jam, waktu respons, dan tarif di luar kuota tertulis di kontrak

Pertanyaan yang sering diajukan

Apakah penyedia keamanan wajib bersertifikat?

Per Oktober 2026 kami tidak menemukan kewajiban umum sertifikasi bagi semua penyedia keamanan siber; RUU Keamanan dan Ketahanan Siber yang mungkin mengatur hal ini belum disahkan. Sektor tertentu bisa memiliki syarat sendiri.

Bolehkah meminta audit ke lokasi penyedia?

Boleh diminta dan sebaiknya dicantumkan sebagai hak di kontrak, setidaknya dalam bentuk laporan audit pihak ketiga.

Bagaimana bila penyedia memakai platform dari vendor global?

Itu umum. Platform tersebut menjadi subprosesor. Pastikan lokasi data platform dan perjanjian di antara mereka sesuai kebutuhan Anda.

Apakah uji coba perlu dibayar?

Tidak selalu. Bila dibayar, tanyakan apakah biayanya dipotong dari kontrak bila Anda melanjutkan.

Sumber resmi

AHU Online Kementerian Hukum — data badan hukum penyedia
Direktorat Jenderal Pajak — konfirmasi status wajib pajak dan PKP
Komite Akreditasi Nasional — lembaga sertifikasi yang terakreditasi
Pasal.id — UU 27/2022 Pasal 37 dan 51 tentang pengawasan dan prosesor