"Buat Apa ISO?" Pertanyaan yang Salah Setelah Kasus PDNS

Setelah lumpuhnya PDNS, "buat apa ISO?" adalah pertanyaan yang salah: ISO bukan soal sertifikat, melainkan disiplin yang perlu dilatih sejak.

• "Buat apa sih ISO? Toh cuma dokumen dan sertifikat."

  Kalimat seperti ini sering terdengar di ruang kelas dan ruang rapat proyek. Sampai Juni 2024, ketika antrean di konter imigrasi sejumlah bandara mendadak tersendat karena sistem tidak bisa dipakai. Tidak ada kabel putus dan tidak ada listrik padam. Data pemerintah terkunci oleh ransomware.

  Dampak serangan ke Pusat Data Nasional Sementara (PDNS) pertama kali terlihat pada 20 Juni 2024 sekitar pukul 15.00 WIB. Pemerintah kemudian mengonfirmasi pelakunya adalah ransomware LockBit 3.0 Brain Cipher, dan ratusan layanan pemerintah ikut terdampak. Setelah kejadian seperti ini, pertanyaan "buat apa ISO?" terasa keliru. Pertanyaan yang lebih tepat adalah: apa yang terjadi kalau kita tidak disiplin menjalankannya?

  Kegagalan yang seharusnya sudah ada kontrolnya

  Yang paling mengusik dari kasus PDNS bukan kecanggihan penyerangnya, melainkan kelemahan mendasarnya. Beredar pemberitaan bahwa DPR menyesalkan PDNS 2 bertahun-tahun tidak memiliki data cadangan (backup).

  Backup bukan konsep baru atau rumit. Ia termasuk kontrol dasar dalam kerangka manajemen keamanan informasi seperti ISO/IEC 27001:2022, yang di Indonesia diadopsi sebagai SNI ISO/IEC 27001:2022. Standar itu meminta organisasi menilai risikonya, menetapkan kontrol yang sesuai, menjalankannya, lalu mengevaluasinya secara berkala. Dengan kerangka seperti itu, pertanyaan "kalau data kita terkunci, bagaimana pulihnya?" harus dijawab sebelum kejadian, bukan sesudahnya.

  Saya tidak mengklaim bahwa ISO pasti menyelamatkan PDNS. Penyebab pastinya sebaiknya dirujuk pada laporan audit resmi. Poinnya lebih sederhana: kegagalan mendasar seperti ini justru yang paling efektif dicegah oleh disiplin yang dipaksakan standar.

  ISO bukan hanya soal keamanan

  Di kalangan mahasiswa, "ISO" sering diasosiasikan dengan tumpukan dokumen. Padahal beberapa standar menyentuh pekerjaan kita sehari-hari:

  • ISO/IEC 27001:2022: sistem manajemen keamanan informasi, yaitu cara organisasi mengelola risiko terhadap kerahasiaan, integritas, dan ketersediaan data.
  • ISO/IEC 25010:2023: model kualitas produk perangkat lunak dengan sembilan karakteristik, termasuk keandalan, keamanan, dan kemudahan pemeliharaan. Edisi terbaru menambahkan aspek keselamatan (safety). Berguna sebagai daftar periksa saat menulis kebutuhan non-fungsional.
  • ISO/IEC/IEEE 12207:2026: proses siklus hidup perangkat lunak, dari perencanaan sampai pemeliharaan.
  • ISO/IEC 27034 (seri): panduan mengintegrasikan keamanan ke dalam siklus hidup aplikasi.

  Memakai standar-standar ini di awal proyek sama dengan punya peta sebelum berangkat. Kita tidak menebak-nebak apa yang perlu diuji, didokumentasikan, atau diamankan.

  Sertifikat saja memang tidak cukup, dan di situlah pelajarannya

  Argumen yang paling sering dipakai untuk meremehkan ISO adalah: "Banyak yang bersertifikat tapi tetap kebobolan." Argumen ini ada benarnya. Sebuah ulasan dari konsultan ISO mencatat bahwa ratusan perusahaan dan instansi di Indonesia sudah bersertifikat ISO 27001, namun insiden PDNS menunjukkan sertifikat saja belum tentu cukup. Ulasan itu juga menggambarkan bagaimana management review bisa berubah menjadi formalitas tanda tangan ketika sertifikasi hanya dikejar untuk syarat tender atau kepatuhan regulasi.

  Tetapi kesimpulan yang tepat bukan "ISO tidak penting". Kesimpulannya: ISO bekerja kalau dijalankan, bukan kalau dipajang. Sertifikat mirip ijazah. Ia bukti bahwa seseorang pernah lulus, bukan jaminan bahwa ia terus belajar. Kegagalan ada pada organisasi yang mengejar logonya, bukan pada kerangka kerjanya.

  Lalu, apa artinya untuk kita?

  Kita tidak perlu mengejar sertifikasi resmi untuk setiap proyek kuliah. Itu mahal dan berlebihan. Yang bisa kita adopsi adalah cara berpikirnya:

  1. Mulai dari risiko. Sebelum menulis kode, tanyakan apa yang paling merugikan kalau sistem ini gagal atau datanya bocor.
  2. Dokumentasikan yang penting, bukan semuanya. Dokumentasi berguna kalau ada yang membaca dan memakainya.
  3. Uji pemulihan, bukan hanya pencadangan. Backup yang belum pernah dicoba dipulihkan belum bisa dianggap backup.
  4. Evaluasi berkala. Keamanan bukan fitur yang selesai di sprint terakhir.

  Penutup

  Jadi, buat apa ISO? Bukan untuk logo di dinding atau syarat tender. ISO ada supaya pertanyaan-pertanyaan tak nyaman, seperti "kalau data kita terkunci, bagaimana pulihnya?", dijawab sebelum insiden terjadi, bukan sesudahnya.

  Sistem yang kita bangun hari ini mungkin kecil. Tetapi kebiasaan yang kita bentuk sekarang akan terbawa ke sistem yang dipakai banyak orang nanti. Pertanyaan yang salah adalah "buat apa ISO?". Pertanyaan yang benar adalah "sudahkah kita menjalankannya dengan sungguh-sungguh?"

  Referensi

  • BSSN/CSIRT BPS. Serangan Ransomware Terjadi di PDNS2, BSSN Sebut PDNS Lain Aman. https://csirt.bps.go.id/portal/berita/46
  • BizPlus. (2024, 22 Juli). Kebocoran Data dan Pentingnya Standar ISO 27001 dan 27701. https://bizplus.id/kebocoran-data-dan-pentingnya-standar-iso-27001-dan-27701/
  • 3AC. (2026). Sertifikasi ISO 27001: Lebih dari Sekadar Dokumen. https://3a-consulting.id/blog/sertifikasi-iso-27001/
  • Analisis Dampak Kebocoran Data Pusat Data Nasional Sementara 2 (PDNS 2) Surabaya. Selekta Manajemen: Jurnal Mahasiswa Bisnis & Manajemen (2024). https://journal.uii.ac.id/selma/article/view/35529