Di Balik Selamatnya Bank Jatim dari Klaim Kebocoran 57 Juta Data, Ada Standar Kualitas Perangkat Lunak yang Jarang Dibahas

Klaim kebocoran 57 juta data nasabah Bank Jatim terbantahkan, pola responsnya ternyata mengikuti standar kualitas perangkat lunak, bukan keberuntungan.

Pertengahan Juni 2026, publik sempat dibuat resah oleh unggahan di forum dark web yang mengklaim telah membocorkan 57 juta data nasabah Bank Jatim. Kabar ini cepat viral di media sosial sebelum akhirnya manajemen Bank Jatim buka suara. Corporate Secretary Bank Jatim, Fenty Rischana K, menegaskan bahwa setelah dilakukan investigasi mendalam bersama Badan Siber dan Sandi Negara, karakteristik data yang beredar tidak menunjukkan keterkaitan dengan data transaksi maupun kredensial layanan perbankan milik Bank Jatim. Respons cepat semacam ini biasanya bukan sekadar keberuntungan, melainkan hasil dari standar kualitas dan keamanan perangkat lunak yang sudah dirancang jauh sebelum insiden terjadi. Publik pun bertanya tanya, bukankah negara ini sudah punya undang undang khusus untuk melindungi data pribadi.

Jawabannya, sudah. Undang Undang Pelindungan Data Pribadi resmi berlaku penuh sejak 17 Oktober 2024, setelah masa transisi dua tahun sejak disahkan pada 2022. Kementerian Komunikasi dan Informatika bahkan mencatat ada 124 dugaan pelanggaran pelindungan data pribadi sepanjang 2019 hingga Mei 2024, dan 111 di antaranya adalah kasus kebocoran data. Pertanyaannya, kalau aturannya sudah ada, kenapa isu kebocoran seperti kasus Bank Jatim ini masih terus bermunculan.

Di sinilah letak kesalahpahaman yang sering terjadi. Undang undang hanya mengatur apa yang wajib dilakukan perusahaan dan sanksi kalau mereka lalai, tapi tidak mengajarkan bagaimana cara teknis membangun sistem yang benar benar aman sejak awal. Bagian teknis inilah yang justru dipelajari di bidang kajian yang jarang terdengar di luar kampus, yaitu Software Engineering Standards and Models, atau standar dan model rekayasa perangkat lunak.

Salah satu keluarga standar yang paling relevan di sini adalah ISO/IEC 27000, kumpulan standar internasional tentang keamanan informasi yang mengatur bagaimana sebuah organisasi seharusnya mengelola risiko keamanan data, mulai dari cara menyimpan, siapa yang boleh mengakses, sampai bagaimana merespons insiden seperti yang baru saja dialami Bank Jatim. Kalau UU PDP adalah aturan hukum yang mewajibkan perusahaan menjaga data, maka ISO 27000 adalah panduan teknis tentang bagaimana cara benar benar mewujudkan kewajiban itu di level sistem dan proses pengembangan software.

Masalahnya, banyak perusahaan di Indonesia, terutama startup dan software house skala kecil, menganggap standar semacam ini hanya formalitas sertifikasi yang mahal dan ribet, bukan kebutuhan nyata. Padahal, tanpa standar kualitas yang jelas sejak proses pengembangan, sebuah sistem bisa saja terlihat berfungsi normal di permukaan tapi menyimpan celah keamanan yang baru disadari setelah isu kebocoran sudah telanjur viral duluan. Standar seperti ISO/IEC 27000, bersama standar siklus hidup pengembangan seperti ISO/IEC 12207 dan standar proses jaminan kualitas seperti IEEE 730, sebenarnya dirancang untuk mencegah skenario itu, bukan sekadar pajangan sertifikat di dinding kantor.

Bagi mahasiswa di bidang teknologi informasi, baik itu teknik informatika, sistem informasi, maupun ilmu komputer, kasus seperti ini seharusnya jadi alasan kenapa topik tentang standar dan model rekayasa perangkat lunak tidak boleh dianggap sekadar teori yang membosankan. Kelak saat terjun ke industri, entah membangun aplikasi fintech, sistem perbankan, atau sekadar platform e-commerce kecil, pemahaman soal standar kualitas semacam ini akan menentukan apakah produk yang mereka bangun benar benar bisa dipercaya menyimpan data jutaan penggunanya, atau justru menjadi berita kebocoran data berikutnya.

Aturan hukum seperti UU PDP memang penting untuk memberi efek jera. Tapi pencegahan sesungguhnya dimulai jauh sebelum kasus itu viral, yaitu sejak baris kode pertama ditulis dengan mengikuti standar kualitas yang benar. Data pribadi kita akan terus berisiko bocor selama standar semacam ini masih dianggap urusan sertifikasi belaka, bukan tanggung jawab teknis yang wajib dipahami setiap orang yang membangun sistem perangkat lunak.

Referensi

1. Republik Indonesia. (2022). Undang Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
2. International Organization for Standardization. ISO/IEC 27000 family, Information security management systems. https://www.iso.org/standard/iso-iec-27000-family
3. ISO/IEC/IEEE. (2017). ISO/IEC/IEEE 12207:2017, Systems and software engineering, Software life cycle processes.
4. IEEE. (2014). IEEE Std 730-2014, IEEE Standard for Software Quality Assurance Processes.
5. Laporte, C. Y., & April, A. (2018). Software Quality Assurance. Wiley-IEEE Computer Society. (Bab 4, Software Engineering Standards and Models)
6. PT Bank Pembangunan Daerah Jawa Timur Tbk. (2026, 15 Juni). Tanggapi isu data di dark web, Bank Jatim berkoordinasi dengan BSSN. https://www.bankjatim.co.id/id/informasi/berita/tanggapi-isu-data-di-dark-web-bank-jatim-gunakan-platform-ctis-bssn
7. Hukumonline.com. (2024, 17 Oktober). UU PDP jadi solusi pencegahan kebocoran data. https://www.hukumonline.com/berita/a/uu-pdp-jadi-solusi-pencegahan-kebocoran-data-lt67127d0b65d67