Kegagalan, Insiden & Sumber Resmi
Dasar asuransi siber untuk perusahaan di Indonesia: jaminan pihak pertama dan ketiga, pengecualian, syarat keamanan, dan hubungannya dengan MDR
Dasar asuransi siber di Indonesia: jaminan pihak pertama dan ketiga, pengecualian, syarat MFA, EDR, dan cadangan, contoh klaim ilustratif, dan kaitan dengan MDR.
Asuransi siber adalah polis yang menanggung sebagian kerugian finansial akibat insiden siber, misalnya biaya forensik, pemulihan data, gangguan usaha, pemberitahuan kepada subjek data, dan tuntutan pihak ketiga. Polis ini tidak mencegah insiden; ia membiayai sebagian akibatnya, dengan batas, risiko sendiri, dan pengecualian. Penanggung biasanya menanyakan kontrol keamanan Anda sebelum menerbitkan polis, sehingga layanan keamanan terkelola dan asuransi saling memengaruhi: MFA, EDR yang dipantau, dan cadangan terpisah sering menjadi syarat. Di Indonesia, asuransi siber dijual oleh perusahaan asuransi umum yang diawasi OJK. Isi polis sangat berbeda antar penanggung, jadi panduan ini menjelaskan konsep umum, bukan isi polis tertentu.
Panduan ini bagian dari pola kegagalan layanan keamanan terkelola. Hubungannya dengan biaya respons insiden dibahas di retainer respons insiden, dan urutan tindakan saat kejadian di langkah 72 jam pertama.
Jaminan yang biasanya ditawarkan
| Kelompok | Contoh jaminan | Catatan |
|---|---|---|
| Pihak pertama: biaya respons | Forensik, penasihat hukum, pemulihan data dan sistem, pemberitahuan, layanan bagi subjek data | Sering mensyaratkan penyedia dari panel atau persetujuan penanggung |
| Pihak pertama: gangguan usaha | Kehilangan laba dan biaya tambahan selama sistem tidak berfungsi | Ada masa tunggu dalam jam sebelum jaminan berjalan |
| Pihak pertama: pemerasan siber | Biaya menangani tuntutan tebusan | Sangat bergantung pada syarat polis dan hukum yang berlaku |
| Pihak ketiga: tanggung gugat privasi dan keamanan | Tuntutan dari pelanggan atau mitra karena kebocoran data | Biaya pembelaan dan ganti rugi sesuai batas |
| Pihak ketiga: media | Pelanggaran hak dalam konten digital | Tidak semua polis memuatnya |
| Denda dan sanksi | Denda administratif | Apakah denda boleh dan dapat dijamin bergantung pada hukum dan polis; jangan berasumsi dijamin |
Pengecualian yang sering muncul
- Kejadian yang sudah diketahui sebelum polis berlaku.
- Kegagalan infrastruktur umum, misalnya listrik atau internet nasional.
- Perang dan tindakan permusuhan antarnegara, dengan rumusan yang bisa luas.
- Kelalaian menerapkan kontrol yang dinyatakan dalam formulir pengajuan, misalnya MFA yang dinyatakan ada padahal tidak.
- Kerugian nilai rahasia dagang, perbaikan sistem menjadi lebih baik dari semula, atau denda kontraktual.
- Kerugian akibat penipuan pembayaran tertentu, kecuali ada perluasan khusus.
Formulir pengajuan adalah bagian penting dari polis. Jawaban yang tidak akurat bisa membuat klaim ditolak. Libatkan penyedia keamanan Anda saat mengisinya.
Pertanyaan underwriting yang perlu disiapkan
- Apakah MFA diterapkan untuk email, akses jarak jauh, dan akun dengan hak tinggi?
- Apakah semua laptop dan server dipasangi EDR, dan siapa yang memantaunya di luar jam kerja?
- Apakah cadangan disimpan terpisah atau tidak dapat diubah, dan kapan terakhir diuji pemulihannya?
- Seberapa cepat patch kritis dipasang?
- Apakah ada rencana tanggap insiden dan retainer?
- Berapa jumlah data pribadi yang dikelola, dan jenisnya?
- Apakah pernah terjadi insiden dalam beberapa tahun terakhir?
Laporan bulanan MSSP atau MDR yang menunjukkan cakupan agen dan waktu respons bisa menjadi bukti yang berguna.
Contoh klaim ilustratif
Asumsi polis: batas pertanggungan Rp5.000.000.000 per tahun, risiko sendiri Rp100.000.000 per kejadian, masa tunggu gangguan usaha 12 jam. Insiden ransomware menimbulkan biaya:
| Pos | Jumlah (ilustratif) |
|---|---|
| Forensik dan pemulihan oleh penyedia panel | Rp300.000.000 |
| Kehilangan laba setelah masa tunggu 12 jam | Rp900.000.000 |
| Penasihat hukum dan pemberitahuan subjek data | Rp50.000.000 |
| Jumlah kerugian yang dijamin | Rp1.250.000.000 |
| Dikurangi risiko sendiri | Rp100.000.000 |
| Dibayar penanggung, bila semua pos memenuhi syarat | Rp1.150.000.000 |
Kerugian yang tidak tercantum, misalnya kehilangan pelanggan jangka panjang atau biaya meningkatkan keamanan setelah insiden, biasanya tetap ditanggung sendiri. Angka ini bukan perkiraan premi atau klaim untuk usaha Anda.
Asuransi dan layanan keamanan: saling melengkapi
| Pertanyaan | Mengapa penting |
|---|---|
| Apakah penyedia retainer Anda bisa diterima penanggung? | Supaya biaya respons insiden tidak dibayar dua kali atau ditolak |
| Siapa yang memberi tahu penanggung saat insiden? | Banyak polis mensyaratkan pemberitahuan segera |
| Apakah kontrak MDR membatasi tanggung jawab penyedia? | Penanggung mungkin menuntut balik penyedia bila lalai; batas tanggung jawab memengaruhi hal ini |
| Apakah bukti digital diamankan sesuai kebutuhan klaim? | Klaim gangguan usaha dan pemerasan membutuhkan kronologi yang terdokumentasi |
Langkah membeli polis: dari pengajuan sampai perpanjangan
Premi bukan satu-satunya angka yang perlu dibandingkan. Dua polis dengan premi mirip bisa memberi perlindungan yang sangat berbeda karena batas per pos dan syaratnya.
| Istilah polis | Yang dicek | Mengapa penting |
|---|---|---|
| Batas pertanggungan dan sublimit | Batas total per tahun dan batas per pos, misalnya pemerasan atau gangguan usaha | Sublimit kecil bisa membuat batas total tampak besar padahal pos terpenting dibatasi |
| Risiko sendiri | Jumlah per kejadian yang Anda tanggung | Menentukan apakah insiden kecil layak diklaim |
| Masa tunggu | Jam pertama gangguan usaha yang tidak dijamin | Gangguan singkat mungkin tidak dibayar sama sekali |
| Tanggal retroaktif | Kejadian sebelum tanggal ini tidak dijamin | Penyusupan lama yang baru ketahuan bisa tidak tercakup |
| Kewajiban pemberitahuan | Batas waktu dan kanal memberi tahu penanggung | Terlambat memberi tahu bisa memengaruhi klaim |
| Panel penyedia | Daftar penyedia forensik dan hukum yang diterima | Menentukan apakah retainer Anda bisa dipakai |
Urutan yang praktis: kumpulkan bukti kontrol keamanan, minta penawaran lewat pialang berizin, bandingkan rumusan polis per baris seperti tabel di atas, lalu cocokkan prosedur klaim dengan rencana tanggap insiden Anda. Saat perpanjangan, perbarui formulir pengajuan. Bila kontrol berubah, misalnya Anda menambah MDR 24/7 atau sebaliknya menghentikannya, sampaikan kepada penanggung supaya jawaban dalam polis tetap benar.
Pertanyaan yang sering diajukan
Apakah asuransi siber wajib?
Tidak ada kewajiban umum. Sebagian klien besar mensyaratkannya dalam kontrak pemasok.
Apakah polis asuransi properti atau tanggung gugat umum sudah mencakup risiko siber?
Sering tidak, atau hanya terbatas. Banyak polis tradisional memuat pengecualian siber. Tanyakan secara tertulis kepada penanggung atau pialang.
Berapa premi asuransi siber?
Ditentukan penanggung berdasarkan pendapatan, sektor, jumlah data, kontrol keamanan, dan riwayat insiden. Mintalah penawaran dari beberapa penanggung lewat pialang yang terdaftar di OJK.
Kapan perlu konsultasi profesional?
Saat membaca rumusan pengecualian, terutama perang, kegagalan infrastruktur, dan kewajiban kontrol keamanan. Pialang asuransi dan penasihat hukum bisa membantu.
Sumber resmi
- Otoritas Jasa Keuangan — daftar perusahaan asuransi dan pialang berizin, perlindungan konsumen
- Pasal.id — UU 27/2022 tentang pemberitahuan kegagalan pelindungan data pribadi
- BSSN — panduan kesiapan dan penanganan insiden siber
