72 jam pertama saat ransomware atau kebocoran data: urutan tindakan, laporan ke BSSN, dan pemberitahuan 3 × 24 jam UU PDP

Dalam 72 jam pertama setelah ransomware atau kebocoran data, ada tiga hal yang berjalan bersamaan: menahan serangan supaya tidak menyebar, mengamankan bukti supaya Anda tahu apa yang terjadi, dan memenuhi kewajiban pemberitahuan. UU 27/2022 Pasal 46 mewajibkan pemberitahuan tertulis kepada subjek data dan lembaga paling lambat 3 × 24 jam bila terjadi kegagalan pelindungan data pribadi. PP 71/2019 Pasal 24 ayat (3) mewajibkan PSE mengamankan informasi dan segera melaporkan dalam kesempatan pertama kepada aparat penegak hukum dan kementerian atau lembaga terkait bila gangguan serius disebabkan pihak lain. Peraturan BSSN 1/2024 mewajibkan pelaporan insiden yang paling sedikit berisiko tinggi, dan untuk infrastruktur informasi vital paling lambat 1 × 24 jam. Urutan di bawah adalah pola kerja umum, bukan pengganti nasihat hukum atau tim respons insiden.

Panduan ini bagian dari pola kegagalan layanan keamanan terkelola. Dasar hukumnya dijelaskan di UU PDP dan keamanan siber dan PP 71/2019, BSSN, dan pelaporan insiden. Bila Anda punya polis, lihat juga dasar asuransi siber.

Jam 0–4: tahan, catat, panggil bantuan

1. Catat waktu Anda pertama kali mengetahui insiden, siapa yang melapor, dan apa yang terlihat. Waktu ini menjadi titik awal hitungan pemberitahuan yang aman.
2. Tahan penyebaran: isolasi perangkat yang terinfeksi dari jaringan, nonaktifkan akun yang disalahgunakan, putuskan koneksi VPN yang mencurigakan. Bila penyedia MDR berwenang, mereka biasanya sudah memulai ini.
3. Jangan mematikan server yang terinfeksi kecuali disarankan tim respons insiden; memori dan log berisi bukti.
4. Aktifkan retainer respons insiden atau hubungi penyedia; lihat retainer respons insiden.
5. Beri tahu penanggung bila Anda punya asuransi siber; banyak polis mensyaratkan pemberitahuan segera dan persetujuan sebelum menunjuk penyedia.
6. Bentuk tim kecil: pimpinan, TI, hukum, komunikasi, dan penghubung dengan penyedia. Satu orang mencatat kronologi.

Jam 4–24: lingkup, keputusan, dan laporan awal

• Pelingkupan: sistem mana yang terdampak, apakah data disalin keluar, jenis data pribadi apa yang ada di sistem itu.
• Cadangan: periksa apakah cadangan utuh dan bersih sebelum memulihkan.
• Laporan ke tim tanggap insiden: untuk insiden berisiko tinggi, laporkan kepada tim tanggap insiden sektoral dengan tembusan ke tim nasional di BSSN. Laporan paling sedikit memuat kontak pelapor, deskripsi, kronologi, dan dampak serangan (Peraturan BSSN 1/2024 Pasal 15). Bagi penyelenggara IIV, batasnya 1 × 24 jam.
• Laporan ke aparat penegak hukum: PP 71/2019 Pasal 24 ayat (3) meminta pelaporan dalam kesempatan pertama untuk gangguan serius akibat perbuatan pihak lain. Simpan bukti laporan.
• Komunikasi internal: beri tahu karyawan apa yang boleh dan tidak boleh dilakukan, misalnya tidak menyalakan kembali laptop yang diisolasi dan tidak membahas insiden di media sosial.

Jam 24–72: pemberitahuan menurut UU PDP

Bila ada kegagalan pelindungan data pribadi, siapkan pemberitahuan tertulis kepada subjek data dan lembaga. Isi minimal menurut Pasal 46 ayat (2):

Bila insiden luas, Pasal 46 ayat (3) mewajibkan pemberitahuan kepada masyarakat dalam hal tertentu. Kanal penyampaian kepada lembaga pengawas PDP perlu dicek di Komdigi, karena per pemberitaan September 2026 lembaga itu belum terbentuk dan Komdigi menjalankan fungsinya selama masa transisi. Peraturan pelaksana PP 33/2026 mulai berlaku 16 Januari 2027; Pasal 114–119 merinci isi pemberitahuan, dan tata cara teknisnya masih akan diatur Peraturan Lembaga.

Bila belum semua fakta diketahui pada jam ke-72, pemberitahuan tetap dikirim dengan informasi yang tersedia, lalu dilengkapi. Itu lebih aman daripada menunggu kepastian penuh.

Pembagian tugas dengan penyedia

Pesan palsu yang menyusul insiden

Setelah kebocoran, pelanggan sering menerima SMS atau pesan WhatsApp palsu yang mengatasnamakan perusahaan. Peringatkan pelanggan tentang kanal resmi Anda. Permen Komdigi 7/2026 mengatur bahwa spam yang terindikasi penipuan dapat diadukan ke layanan pengaduan Ditjen terkait, dan operator wajib memblokir nomornya dalam 1 × 24 jam menurut tata cara di lampiran peraturan itu. Cek alurnya di JDIH Komdigi.

Setelah 72 jam

• Pulihkan sistem dari cadangan yang sudah diperiksa bersih.
• Ganti kredensial secara menyeluruh, termasuk akun layanan.
• Susun laporan akhir: akar masalah, apa yang berhasil, apa yang gagal.
• Perbaiki kontrak dan proses: aset yang tidak tercakup, jam layanan, kewenangan, retensi log.
• Latih ulang tim dengan latihan meja dalam beberapa bulan.

Pertanyaan yang sering diajukan

Apakah membayar tebusan ransomware legal?

Persoalan ini rumit dan tidak ada jawaban sederhana. Pembayaran tidak menjamin data kembali atau tidak disebarkan, dan bisa menimbulkan risiko hukum lain. Libatkan penasihat hukum, penanggung, dan aparat penegak hukum sebelum mengambil keputusan.

Kapan hitungan 3 × 24 jam dimulai?

UU PDP tidak merinci titik mulainya. PP 33/2026 Pasal 114 ayat (2), yang berlaku mulai 16 Januari 2027, menghitungnya sejak kegagalan pelindungan diketahui secara pasti, patut, dan wajar. Cara yang aman adalah menghitung sejak Anda mengetahui adanya kegagalan pelindungan, dan mencatat waktu itu.

Apakah setiap insiden wajib dilaporkan ke BSSN?

Peraturan BSSN 1/2024 menyebut insiden yang paling sedikit berisiko tinggi. Penilaian risikonya mengacu pada manajemen risiko organisasi. Bila ragu, hubungi tim tanggap insiden.

Siapa yang menanggung biaya respons insiden?

Perusahaan Anda, kecuali ditanggung retainer, kontrak MDR, atau polis asuransi siber sesuai syaratnya.

Sumber resmi

• BSSN — kanal pelaporan insiden dan tim tanggap insiden nasional
• Pasal.id — UU 27/2022 Pasal 46, PP 71/2019 Pasal 24, Peraturan BSSN 1/2024 Pasal 15
• JDIH Komdigi — Permen Komdigi 7/2026 dan informasi pelindungan data pribadi
• Kepolisian Negara Republik Indonesia — pelaporan tindak pidana siber