Di tengah pesatnya perkembangan transformasi digital di instansi pemerintahan, pengelolaan serta perlindungan data menjadi pilar yang sangat krusial. Direktorat Jenderal Kekayaan Negara (DJKN) di bawah Kementerian Keuangan Republik Indonesia secara konsisten menerapkan Kebijakan Sistem Manajemen Keamanan Informasi (SMKI). Berdasarkan Keputusan Kepala Badan Teknologi Informasi dan Intelijen Keuangan Nomor 43 Tahun 2025, manajemen keamanan informasi didefinisikan sebagai kegiatan untuk melindungi kerahasiaan, keutuhan, dan ketersediaan aset informasi Kementerian Keuangan dari berbagai bentuk gangguan serta ancaman keamanan informasi. Pengelolaan ini dijalankan secara berkesinambungan mengadopsi siklus tata kelola Plan, Do, Check, Act (PDCA).

 

Lima Prinsip Utama Keamanan Informasi

Penerapan SMKI di lingkungan DJKN didasarkan pada lima prinsip utama demi menjamin pengelolaan teknologi informasi dan komunikasi (TIK) yang andal serta aman:

●     Kerahasiaan (Confidentiality): Melindungi data sensitif seperti data pribadi dan kata sandi dari akses serta pengungkapan kepada pihak yang tidak berwenang. Sebagai contoh implementasinya, surat pada aplikasi Nadine hanya bisa dibuka oleh pegawai yang berhak dan modul admin hanya bisa diakses melalui role admin yang sah.

●     Keutuhan (Integrity): Menjamin bahwa data tetap akurat, konsisten, dan utuh, serta tidak diubah atau dimodifikasi secara tidak sah saat disimpan, diproses, maupun ditransmisikan. Hal ini diterapkan dengan membatasi hak ubah data hanya pada user tertentu dan mencatat seluruh riwayat perubahan data.

●     Ketersediaan (Availability): Memastikan sistem, layanan, dan data selalu tersedia serta dapat diakses oleh pihak yang berwenang kapan pun dibutuhkan. Mekanisme penjaminannya mencakup redundansi dan High Availability (Load Balancer, Cluster), manajemen kapasitas, hingga strategi Backup & Disaster Recovery.

●     Keaslian (Authenticity): Menjamin bahwa identitas dari pengguna, sistem, maupun data benar-benar asli dan dapat dipercaya.

●     Nir-Sangkaan (Non-Repudiation): Menjamin bahwa seseorang tidak dapat menyangkal bahwa mereka telah melakukan suatu tindakan atau transaksi tertentu.

 

Identifikasi dan Klasifikasi Aset Informasi DJKN

Berdasarkan Peraturan Menteri Keuangan Nomor 133/PMK.01/2022, aset informasi yang dikelola oleh DJKN dibagi ke dalam dua jenis utama:

●     Aset Berwujud (Tangible): Meliputi data keuangan, dokumen BMN, data kepegawaian, perangkat komputer, perangkat jaringan dan komunikasi, serta media penyimpanan luar yang dapat dilepas (removable media).

●     Aset Tak Berwujud (Intangible): Meliputi perangkat lunak kedinasan (seperti SIMAN, Portal Lelang, Focus PN), citra, paten, dan Hak Kekayaan Intelektual (HAKI).

Aset informasi tersebut diklasifikasikan ke dalam empat tingkatan berdasarkan dampak kerugian yang ditimbulkan jika jatuh ke pihak yang tidak sah:

1.    Sangat Rahasia: Jika bocor, dapat menyebabkan kerugian pada ketahanan ekonomi nasional.

2.    Rahasia: Jika bocor, dapat mengganggu operasional internal dan merusak citra Kementerian Keuangan.

3.    Terbatas: Jika bocor, berpotensi mengganggu operasional internal Kementerian Keuangan.

4.    Publik: Informasi yang secara sengaja disediakan untuk dapat diakses oleh masyarakat luas.

 

Ancaman Keamanan Informasi dan Dampak Risiko

DJKN mengidentifikasi berbagai ancaman siber yang datang dari sumber internal maupun eksternal organisasi. Jenis ancaman ini mencakup ancaman alam (banjir, kebakaran, gempa bumi), ancaman lingkungan (polusi, limbah, zat kimia), dan ancaman manusia seperti pencurian akun (identity theft), pembajakan situs web (deface), DoS/DDoS, spam, serta infeksi malware.

Adapun varian perangkat lunak berbahaya (malware) yang diantisipasi meliputi:

●     Ransomware: Malware bermetodologi cryptovirology yang mengunci atau mengekripsi file guna memeras pemilik data dengan meminta uang tebusan. Varian populernya mencakup Wannacrypt, Locky, Mamba, dan Petya.

●     Spyware: Perangkat lunak ilegal yang sengaja diinstal untuk memata-matai aktivitas internet pengguna sekaligus mengumpulkan informasi pribadi korban secara diam-diam.

●     Adware: Perangkat lunak yang menginstal diri tanpa izin dan secara otomatis menampilkan iklan saat pengguna berselancar di internet.

●     Worms & Trojans: Worms merupakan malware yang menyebar mandiri antar-komputer melalui celah keamanan OS tanpa intervensi pihak lain, sedangkan Trojans menyusup dengan menyamar sebagai program normal untuk membuka pintu bagi masuknya malware lain.

Jika terjadi insiden atau gangguan keamanan, dampaknya dinilai sangat masif, seperti terganggunya operasional proses bisnis (misalnya sistem Nadine atau e-auction mengalami down), rusaknya reputasi lembaga, kerugian finansial dari penurunan potensi PNBP, bocornya informasi penting ke pihak eksternal, hingga risiko menghadapi tuntutan hukum.

 

Struktur Tim dan Strategi Penguatan Keamanan

Sesuai dengan Peraturan Kepala BaTII Nomor 43/2025, organisasi keamanan informasi disusun secara berjenjang, mulai dari Tingkat Kementerian, Tingkat Unit, hingga Tingkat Instansi Vertikal. Pada Tingkat Kantor Wilayah (Kanwil) DJKN, Tim Keamanan Informasi dipimpin oleh seorang Koordinator yang dijabat oleh Kepala Bidang KIHI. Anggota Petugas Keamanan Informasi diduduki oleh pegawai perwakilan Bidang/Bagian Kanwil serta perwakilan KPKNL.

Tim Keamanan Informasi Kanwil DJKN mengemban tanggung jawab untuk mengoptimalkan keamanan siber melalui langkah-langkah berikut:

●     Membentuk dan menetapkan tim melalui SK Kepala Kantor yang disampaikan kepada Direktorat TSI.

●     Melaksanakan sosialisasi security awareness secara berkala kepada seluruh pegawai di unit kerja.

●     Melakukan pemantauan aktif terhadap implementasi kebijakan TIK dan pelacakan insiden keamanan informasi.

●     Menyusun laporan kegiatan berkala di akhir periode tahun berjalan untuk diserahkan ke Direktorat TSI.

Pada tingkat kementerian, strategi keamanan diperkuat dengan pelaksanaan IT Security Assessment bersama BSSN, monitoring anomali siber secara real-time melalui Security Operation Center (SOC), penguatan CSIRT, serta uji kesiapan tim melalui implementasi Security Drill internal.

 

Pedoman Praktis dan Best Practice bagi Pegawai

Mengingat prinsip bahwa "Security is Everyone's Responsibility" (Keamanan adalah tanggung jawab bersama), setiap individu pegawai bertanggung jawab penuh atas kerahasiaan data, akun, kata sandi, dan PIN masing-masing. Berikut adalah best practice wajib yang harus dijalankan:

1. Standar Pengelolaan Kata Sandi (Password)

●     Kata sandi wajib diperbarui secara berkala paling lama setiap 180 hari, atau segera diubah jika terindikasi telah diketahui orang lain.

●     Panjang kata sandi minimal terdiri dari 6 karakter.

●     Wajib menggunakan kombinasi variatif yang terdiri dari huruf kapital, huruf non-kapital, angka (0-9), serta simbol khusus.

●     Dilarang keras memakai kata dasar dari kamus (password dictionary), nama pribadi, kerabat, tanggal lahir, jabatan, maupun lokasi kerja.

●     Kata sandi tidak boleh sama atau menyerupai nama akun (username), baik seutuhnya maupun sebagian. Contoh kata sandi yang memenuhi standar kuat: Integritas#1 atau Kemenkeu@123.

2. Penerapan Clean Desk dan Clear Screen

●     Pegawai dilarang meninggalkan perangkat komputer dalam keadaan layar tidak terkunci (unlocked screen).

●     Dokumen rahasia (confidential documents), data klien, dokumen privat, serta media penyimpanan luar (removable media) tidak boleh diletakkan sembarangan atau dibiarkan terbuka di atas meja kerja.

●     Dilarang keras mencatat atau menempelkan informasi kata sandi pada papan memo (memo board).

3. Keamanan Internet, Surel, dan Aktivitas WFH

●     Pegawai wajib menggunakan email kedinasan resmi Kementerian Keuangan untuk seluruh keperluan dinas dan dilarang mendaftarkannya ke dalam milis atau grup di luar kepentingan kerja.

●     Waspadai teknik penipuan social engineering, email spam, dan taktik phishing dengan selalu memeriksa keaslian alamat pengirim serta tautan hyperlink (waspadai kemiripan nama domain palsu seperti kernenkeu.go.id yang mengeja huruf "m" dengan karakter "r" dan "n").

●     Saat melakukan aktivitas WFH, pastikan jaringan internet rumah dalam kondisi aman, peranti lunak selalu diperbarui (update), serta batasi akses perangkat kerja dari anggota keluarga, anak, maupun tamu.

●     Jika perangkat kerja terindikasi atau terjangkit gejala ransomware, segera putuskan koneksi jaringan dan laporkan insiden secara cepat kepada Service Desk Pusintek.

 

Kesimpulan

Sistem Manajemen Keamanan Informasi di lingkungan DJKN Kementerian Keuangan dibangun secara komprehensif dengan mengintegrasikan pilar manusia (People), proses (Process), dan teknologi (Technology). Berdasarkan kepatuhan terhadap regulasi—mulai dari Undang-Undang Perlindungan Data Pribadi hingga Dokumen Rencana SMKI DJKN Tahun 2026—tata kelola keamanan siber ini dijalankan secara ketat demi menjamin aset kekayaan negara digital tetap terlindungi dengan optimal dari segala bentuk ancaman siber modern.