1 of 24

AWARENESS

SISTEM MANAJEMEN

KEAMANAN INFORMASI

ISO/IEC 27001:2022

PEMERINTAH DAERAH KOTA SEMARANG

​

1 APRIL 2026

2 of 24

Agenda

Informasi dan Keamanan

Pengenalan Standar ISO/IEC 27001:2022

Panduan Praktis Keamanan Informasi

Pertanyaan & Masukan

3 of 24

CITRA ARFANUDIN

Pengalaman lebih dari 13 tahun dalam infrastruktur, keamanan informasi, dan audit TI, termasuk proyek implementasi ISO/IEC 27001 dan penerapan UU PDP di sektor publik dan korporasi.

​

Latar belakang Digital Forensic serta sertifikasi CEH, CEI, MTCRE, CCNA, CAPM, dan Lead Auditor ISO/IEC 27001:2022, berfokus membantu organisasi meningkatkan tata kelola, kepatuhan, dan keandalan sistem informasi.

Lead Auditor ISO 27001

​

13 Y

1200+

Experience

Organization

Positive Rating

99%

4 of 24

Professional Profile

    • Master of Computer Science (Digital Forensic) UII
    • 13+ tahun di infrastruktur TI, keamanan informasi, dan audit TI.
    • Membantu organisasi membangun sistem keamanan informasi sesuai standar ISO/IEC 27001.
    • Ahli dalam Audit ITGC, Audit Aplikasi, Audit infrastruktur TI, Serta Audit Keamanan
    • Berpengalaman dalam penerapan UU PDP di institusi publik dan korporasi.
    • Fokus pada peningkatan Tata Kelola, Kepatuhan, dan Keandalan sistem informasi.
    • Sertifikasi Profesional, termasuk CEI, CEH, MTCRE, CCNA, CAPM, dan Lead Auditor ISO/IEC 27001:2022.

Lead Auditor ISO 27001

​

5 of 24

Kebocoran Data :

Retention Rate:

94,22 JT

2%

Sanksi Administratif

Pendapatan / Tahun Fiskal

Risiko Kebocoran Data

5 TH

Penutupan Izin

Usaha

10 X

Denda

Sanksi Perorangan

6 of 24

Data Organisasi, Mitra Bocor

Kebocoran data merupakan ancaman serius bagi Organisasi

Bagi Organisasi, kebocoran data merupakan ancaman serius yang dapat berdampak pada operasional, reputasi, dan kepercayaan pemangku kepentingan. Sebagai organisasi yang mengelola jutaan data, karyawan, mitra, dan data internal yang bersifat strategis, Organisasi bertanggung jawab melindungi beragam informasi sensitif seperti identitas, kontak, riwayat interaksi, data operasional, serta informasi keuangan yang digunakan dalam transaksi bisnis dan aktivitas layanan.

    • UU Perlindungan Data Pribadi (UU PDP)
    • PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (PSTE)
    • Permenkominfo No. 20/2016 tentang Perlindungan Data Pribadi dalam Sistem Elektronik
    • Kerangka SPBE (Sistem Pemerintahan Berbasis Elektronik) – termasuk keamanan SPBE
    • Adopsi standar ISO/IEC 27001 pada institusi publik

​

REGULASI KEAMANAN INFORMASI DI INDONESIA

7 of 24

PELINDUNGAN INFRASTRUKTUR INFORMASI VITAL (PIIV)

(Peraturan Presiden No.82 Tahun 2022 tentang Infrastruktur Informasi Vital)

Merupakan amanat PP 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, yaitu:

​

”Peran pemerintah untuk melindungi kepentingan umum dari segala jenis gangguan akibat penyalahgunaan Informasi dan Transaksi Elektronik yang mengganggu ketertiban umum termasuk salah satunya

pengaturan penyelenggaraan pelindungan infrastruktur informasi vital.”

Infrastruktur Informasi Vital adalah :

Sistem Elektronik yang memanfaatkan teknologi informasi dan/atau teknologi operasional, baik berdiri sendiri maupun saling bergantung dengan Sistem Elektronik lainnya dalam menunjang sektor strategis, yang jika terjadi gangguan, kerusakan, dan/atau kehancuran pada infrastruktur dimaksud berdampak serius terhadap kepentingan umum, pelayanan publik, pertahanan dan keamanan, atau perekonomian nasional.

Tujuan :

    • Keberlangsungan Penyelenggaraan Pelindungan IIV.
    • Mencegah gangguan dan kegagalan IIV terhadap kerentanan dan serangan siber.
    • Meningkatkan kesiapan tanggap insiden dan

mempercepat pemulihan pasca insiden.

8 SEKTOR INFRASTRUKTUR INFORMASI VITAL (IIV)

Pemerintahan

Pertahanan

Keuangan

Transportasi

Kesehatan

ESDM

Komunikasi

Pangan

8 of 24

Regulasi Terkait Keamanan Siber dan Sandi

Pedoman Manajemen Keamanan SPBE Kemenperin

9 of 24

Informasi

Aset berharga organisasi — berupa fakta, data, pengetahuan, atau catatan — yang mendukung pengambilan keputusan dan operasional.

Keamanan Informasi

Perlindungan atas informasi organisasi dari akses, penggunaan, pengungkapan, gangguan, atau penghancuran yang tidak sah.

Confidentiality

Informasi tidak diketahui oleh pihak yang tidak berwenang.

Integrity

Informasi terjaga akurasi dan kelengkapannya.

Availability

Informasi dapat digunakan pada saat dibutuhkan.

10 of 24

ISO 27001:2022

ISO 27001 adalah standar internasional untuk Sistem Manajemen Keamanan Informasi (SMKI) yang berfungsi untuk membantu organisasi mengelola dan melindungi aset informasi mereka, seperti data keuangan, kekayaan intelektual, dan informasi pelanggan, melalui pendekatan manajemen risiko yang sistematis. Dengan menerapkan standar ini, perusahaan dapat menjamin aspek kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) data mereka, sekaligus meningkatkan kepercayaan pemangku kepentingan dan memastikan kepatuhan terhadap regulasi keamanan data yang berlaku.

11 of 24

Mengurangi risiko operasional, finansial, hukum, dan kerusakan reputasi.

Mengamankan informasi dari ancaman internal maupun eksternal secara sistematis.

Selaras dengan PP SPBE, Permenkominfo, dan regulasi keamanan siber nasional.

Membuktikan komitmen pemerintah dalam menjaga keamanan data warga.

PERLINDUNGAN MENYELURUH

MENCEGAH DAMPAK BURUK

KEPERCAYAAN PEMANGKU KEPENTINGAN

KEPATUHAN REGULASI

Manfaat ISO 27001

12 of 24

ISO 27001:2022

Kerangka manajemen ini mencakup bagaimana organisasi mengidentifikasi, menganalisis, dan menangani risiko informasi yang mereka hadapi.

Klausal 5 : Organizational Controls (37 controls)

Klausal 6 : People Controls (8 controls)

Klausal 7 : Physical Controls (14 controls)

Klausal 8 : Technological Controls (34 controls)

​

ISMS (Clauses 4 - 10)

ANNEX A (93 New Control

Klausal inti (4–10) ISO 27001:2022 mencakup konteks organisasi, kepemimpinan, perencanaan berbasis risiko, dukungan, operasi, evaluasi kinerja, dan peningkatan berkelanjutan. Annex A berisi 93 kontrol keamanan yang dikelompokkan dalam Organizational, People, Physical, dan Technological Controls untuk memperkuat perlindungan terhadap ancaman digital modern.

13 of 24

Evolusi ISO/IEC 27001

14 of 24

ISO 27001

SCOPE

Manajemen Keamanan

SPBE (PDCA)

POSISI MANAJEMEN KEAMANAN

SISTEM MANAJEMEN KEAMANAN PEMERINTAH KOTA SEMARANG

SISTEM MANAJEMEN KEAMANAN SPBE

Audit Keamanan SPBE

(Menilai Kepatuhan)

PERBAN BSSN NO.4 TAHUN 2021

15 of 24

    • Kebijakan keamanan
    • Manajemen risiko
    • Audit & compliance
    • Dokumentasi & kontrol

ISO 27001 & NIST

ISO 27001

"Sistem Manajemen"

    • Identify
    • Protect
    • Detect
    • Respond
    • Recover

NIST

"Kerangka Teknis"

    • Framework keamanan komprehensif
    • Integrasi tata kelola + teknis
    • Risk-based & evidence-based
    • Mendukung kepatuhan (UU PDP, BSSN)
    • Meningkatkan resiliensi & trust

Relevansi / Intersepsi di ASDP

    • Personal Data Protection – Safeguard data from leaks & unauthorized access.
    • Regulatory Compliance – Ensure adherence to UU PDP & avoid sanctions.
    • Reputation Management – Prevent breaches that damage public trust.
    • Gov’t System Security – Defend systems from malware, DDoS & cyber threats.
    • Risk Management – Identify & mitigate security risks systematically.
    • Research Security – Protect sensitive research from leaks & misuse.
    • Operational Efficiency – Improve info management & minimize disruption.
    • Stronger Cyber Resilience – Improves the ability to prevent, detect, respond, and recover from cyber threats.
    • Risk-Based Approach – Helps prioritize security investments based on real risks and business impact.
    • Regulatory Alignment – Supports compliance with national and international cybersecurity regulations.
    • Operational Continuity – Minimizes downtime and ensures ferry operations run smoothly during incidents.
    • Scalability & Flexibility – Adaptable togrowing digital infrastructure and future technologies.
    • Global Best Practice – Recognized internationally as a leading cybersecurity framework.

16 of 24

DOMAIN KONTROL

Organisasi

SDM

    • Kebijakan & prosedur keamanan
    • Manajemen aset informasi
    • Kontrol akses & otorisasi
    • Respons insiden keamanan

​

    • Screening sebelum bergabung
    • Awareness & pelatihan reguler
    • Kewajiban kerahasiaan
    • Pengelolaan saat keluar kerja

​

Fisik

Teknologi

    • Perimeter & area aman
    • Kontrol akses fisik
    • Perlindungan perangkat keras
    • Clear desk & clear screen

​

    • Keamanan jaringan & sistem
    • Enkripsi & kriptografi
    • Perlindungan malware
    • Monitoring & logging aktivitas

​

17 of 24

PANDUAN PRAKTIS — AKUN & PASSWORD

Do

Dont

    • Kunci layar PC (Windows+L) saat meninggalkan meja
    • Ganti password default saat pertama kali login
    • Gunakan password unik untuk setiap akun/sistem
    • Aktifkan autentikasi dua faktor (2FA) bila tersedia
    • Minimalkan penggunaan akun administrator
    • Menggunakan akun kantor untuk keperluan pribadi
    • Menulis password di catatan tempel atau kertas
    • Menggunakan fitur 'Remember Password' di browser
    • Memberitahu user ID dan password kepada siapapun
    • Menggunakan password yang sama untuk banyak akun

18 of 24

PANDUAN PRAKTIS — EMAIL

    • Verifikasi ulang alamat penerima sebelum kirim
    • Enkripsi email berisi lampiran rahasia
    • Kirim password file rahasia melalui jalur terpisah
    • Waspada terhadap email yang tidak biasa / mencurigakan
    • Klik link/buka lampiran email mencurigakan
    • Forward email yang belum terverifikasi kebenarannya
    • Menulis informasi rahasia di badan teks email
    • Sebarkan hoax, spam, atau phishing

Do

Dont

19 of 24

PANDUAN PRAKTIS — AKUN & PASSWORD

    • Kunci layar PC (Windows+L) saat meninggalkan meja
    • Ganti password default saat pertama kali login
    • Gunakan password unik untuk setiap akun/sistem
    • Aktifkan autentikasi dua faktor (2FA) bila tersedia
    • Minimalkan penggunaan akun administrator
    • Menggunakan akun kantor untuk keperluan pribadi
    • Menulis password di catatan tempel atau kertas
    • Menggunakan fitur 'Remember Password' di browser
    • Memberitahu user ID dan password kepada siapapun
    • Menggunakan password yang sama untuk banyak akun

Do

Dont

20 of 24

PANDUAN PRAKTIS — PELINDUNGAN DATA PRIBADI

    • Minta Izin: Selalu minta persetujuan sebelum ambil data orang.
    • Pakai Seperlunya: Gunakan data hanya untuk tujuan awal.
    • Jaga Aman: Gunakan password atau enkripsi pada file data.
    • Hapus Data: Musnahkan data jika sudah tidak diperlukan.
    • Sebar Data: Jangan bagi data pribadi orang tanpa hak.
    • Jual Beli: Dilarang keras menjual atau beli basis data.
    • Palsukan: Jangan pakai atau buat identitas palsu.
    • Akses Ilegal: Jangan intip data yang bukan wewenang Anda.

Do

Dont

21 of 24

Poin Penting!

Keamanan informasi adalah tanggung jawab semua orang, bukan hanya Diskominfo

Gunakan password kuat, unik, dan jangan pernah dibagikan kepada siapapun.

Kelola dokumen dengan benar — beri label, simpan aman, buang dengan tepat.

Waspada phishing: jangan klik tautan atau lampiran mencurigakan.

Laporkan insiden segera ke Diskominfo — jangan ditangani sendiri.

22 of 24

SKKNI

23 of 24

24 of 24

Thank You

Any Question?

Keamanan informasi bukan hanya tanggung jawab IT, tapi tanggung jawab kita semua. ISO 27001 adalah fondasi kepercayaan, perlindungan, dan keberlangsungan bisnis. Tanpa awareness, sistem terbaik pun bisa gagal. Mari kita jaga data, jaga kepercayaan, dan jadikan keamanan sebagai budaya.

​

-Citra Arfanudin 2026