SLA dan kontrak layanan keamanan siber terkelola: waktu respons per tingkat keparahan, kredit layanan, batas tanggung jawab, dan klausul keluar

SLA layanan keamanan terkelola yang berguna mengukur seberapa cepat penyedia memberi tahu dan bertindak setelah ancaman terdeteksi, dibedakan per tingkat keparahan, dengan cara pengukuran yang jelas dan kompensasi bila tidak tercapai. SLA yang hanya menjanjikan "ketersediaan portal 99,9%" tidak mengatakan apa-apa tentang perlindungan Anda. Di sisi kontrak, pasal yang paling sering menimbulkan masalah adalah cakupan aset, kewenangan bertindak, batas tanggung jawab, perpanjangan otomatis, dan rencana keluar. Panduan ini memberi contoh tabel yang bisa Anda minta dan daftar pasal yang perlu dibaca; angka di dalamnya adalah contoh untuk dinegosiasikan, bukan standar resmi.

Panduan ini bagian dari metode memilih penyedia yang paling cocok. Respons insiden di luar paket dibahas di retainer respons insiden, dan pemeriksaan penyedia sebelum kontrak di uji tuntas penyedia. Ini bukan nasihat hukum.

Metrik SLA yang relevan

Metrik	Arti	Mengapa penting
Waktu triase	Dari peringatan muncul sampai analis mulai memeriksa	Menunjukkan apakah ada orang yang benar-benar berjaga
Waktu pemberitahuan	Dari konfirmasi ancaman sampai Anda dihubungi lewat kanal yang disepakati	Menentukan seberapa cepat Anda bisa memutuskan
Waktu penahanan	Dari konfirmasi sampai tindakan seperti isolasi perangkat	Paling dekat dengan kerugian nyata
Waktu eskalasi	Bila kontak pertama tidak menjawab, berapa lama sampai kontak kedua dan ketiga	Banyak insiden malam gagal di titik ini
Cakupan aset aktif	Persentase aset yang mengirim log atau melapor dari agen	Aset diam berarti titik buta
Laporan berkala	Tanggal dan isi laporan bulanan	Dasar mengawasi prosesor sesuai UU PDP Pasal 37

Ketersediaan portal tetap boleh dicantumkan, tetapi jangan dijadikan satu-satunya SLA.

Contoh tabel tingkat keparahan untuk dinegosiasikan

Tingkat	Contoh kejadian	Pemberitahuan	Tindakan
Kritis	Ransomware berjalan, akun admin dipakai dari lokasi asing, data keluar dalam jumlah besar	Telepon dalam 15–30 menit, 24/7	Isolasi atau penonaktifan akun tanpa menunggu persetujuan
Tinggi	Malware di satu perangkat, upaya masuk berulang yang berhasil	Telepon atau pesan dalam 1 jam	Penahanan sesuai daftar tindakan yang disetujui
Sedang	Perilaku mencurigakan tanpa bukti keberhasilan	Tiket dalam 4 jam	Rekomendasi
Rendah	Konfigurasi lemah, kebijakan tidak diikuti	Laporan harian atau mingguan	Rekomendasi

Yang perlu ditulis bersama tabel: siapa yang menentukan tingkat (penyedia atau bersama), apa yang terjadi bila penyedia salah menurunkan tingkat, dan jam mulai pengukuran (saat peringatan muncul, bukan saat analis sempat membukanya).

Kredit layanan: contoh perhitungan

Kredit layanan adalah potongan tagihan bila SLA tidak tercapai. Contoh rumusan yang bisa diajukan: 5% dari biaya bulanan untuk setiap insiden kritis yang terlambat diberitahukan, maksimal 20% per bulan.

Contoh ilustratif: biaya bulanan Rp85.240.000. Dalam satu bulan ada tiga insiden kritis yang pemberitahuannya terlambat. Kredit = 3 × 5% = 15% × Rp85.240.000 = Rp12.786.000. Bila ada lima keterlambatan, kredit dibatasi 20% = Rp17.048.000.

Kredit layanan jarang sebanding dengan kerugian insiden. Fungsinya terutama sebagai sinyal: keterlambatan tercatat dan berulang memberi Anda hak keluar. Tuliskan bahwa pelanggaran SLA kritis berulang, misalnya tiga kali dalam enam bulan, memberi hak mengakhiri kontrak tanpa penalti.

Pasal kontrak yang perlu dibaca baris demi baris

Lampiran cakupan: daftar aset, sumber log, jam layanan, dan daftar pengecualian.
Kewenangan bertindak: tindakan apa, pada aset apa, tanpa atau dengan persetujuan siapa.
Kewajiban Anda: menjaga daftar kontak, memberi akses, memasang agen di aset baru. Penyedia sering membatasi tanggung jawab bila kewajiban ini tidak dipenuhi.
Batas tanggung jawab: sering dibatasi pada biaya 12 bulan atau kurang. Periksa pengecualian untuk kebocoran data akibat kelalaian penyedia dan pelanggaran kerahasiaan.
Perlindungan data: perjanjian pemrosesan data, lokasi log, subprosesor, pemberitahuan insiden ke Anda dalam hitungan jam. Lihat UU PDP dan keamanan siber.
Harga dan kenaikan: satuan, kuota, tarif kelebihan, batas kenaikan saat perpanjangan, mata uang, dan PPN. Lihat kenaikan perpanjangan, PPN, dan kurs.
Masa dan perpanjangan: perpanjangan otomatis dan masa pemberitahuan berhenti, misalnya 60 atau 90 hari.
Rencana keluar: ekspor log dan laporan dalam format terbuka, pencopotan agen, pengembalian akun admin, penghapusan data dengan surat keterangan.
Uji penetrasi dan simulasi: izin tertulis dan aturan pelaksanaan; lihat izin uji penetrasi.
Bahasa dan hukum yang berlaku: UU 24/2009 Pasal 31 mewajibkan Bahasa Indonesia dalam nota kesepahaman atau perjanjian yang melibatkan pihak Indonesia; versi bahasa asing boleh ada berdampingan.

Tanda bahaya dalam draf kontrak

SLA hanya berupa "upaya terbaik" tanpa angka.
Penyedia boleh mengubah lampiran layanan secara sepihak.
Log dan laporan menjadi milik penyedia atau hanya bisa diakses selama berlangganan.
Biaya keluar tidak disebut, atau agen hanya bisa dicopot oleh penyedia dengan tarif per jam.
Respons insiden disebut "termasuk" tanpa batas jam dan tanpa definisi.

Laporan bulanan yang membuktikan SLA

SLA hanya berguna bila bisa diukur dari laporan. Mintalah laporan bulanan yang memuat setiap insiden kritis dan tinggi dengan tiga cap waktu (peringatan muncul, Anda dihubungi, tindakan diambil), jumlah peringatan per tingkat, aset yang berhenti melapor, dan daftar keterlambatan beserta kredit yang dihitung. Simpan laporan ini; selain untuk menagih kredit, laporan menjadi bukti pengawasan atas prosesor data.

Pertanyaan yang sering diajukan

Apakah SLA waktu respons 15 menit realistis?

Untuk pemberitahuan insiden kritis oleh layanan MDR 24/7, angka dalam kisaran itu sering diajukan. Yang lebih penting adalah bukti: minta laporan waktu respons nyata dari uji coba.

Bisakah batas tanggung jawab dinegosiasikan?

Sering bisa, terutama untuk pengecualian kebocoran data dan pelanggaran kerahasiaan. Penyedia mungkin meminta Anda membeli asuransi atau menaikkan harga sebagai gantinya.

Apakah kontrak perlu bermeterai?

Bea meterai Rp10.000 dikenakan atas dokumen tertentu, termasuk surat perjanjian, menurut UU 10/2020. Cek ketentuan dokumen elektronik di DJP.

Siapa yang memegang aturan deteksi yang dibuat penyedia?

Tuliskan di kontrak. Banyak penyedia mempertahankan hak atas aturan umum mereka, tetapi konfigurasi khusus untuk lingkungan Anda sebaiknya bisa diekspor.

Sumber resmi

Pasal.id — UU 27/2022, UU 24/2009 Pasal 31, dan UU 10/2020 tentang bea meterai
BSSN — Peraturan BSSN 1/2024 tentang pengelolaan insiden siber
Direktorat Jenderal Pajak — bea meterai dan PPN atas jasa