Data Security, Breach Handling, and Incident Response
Domain ini menguji penerapan kontrol keamanan dan penanganan kegagalan pelindungan data pribadi, termasuk tenggat pemberitahuan.
Kontrol keamanan
Pengendali wajib menjaga kerahasiaan, integritas, dan ketersediaan data melalui enkripsi dan pseudonimisasi, kontrol akses berbasis peran dan MFA, pencatatan log, segmentasi jaringan, serta pengujian kerentanan; kebijakan, SOP, pemisahan tugas, dan pelatihan berkala; ditambah pengamanan fisik ruang server dan media penyimpanan.
Alur penanganan insiden
- Deteksi dan pencatatan: waktu kejadian, sistem terdampak, kategori data.
- Kontainmen dan pemulihan layanan.
- Penilaian risiko bagi subjek data: jenis data, jumlah, kemungkinan penyalahgunaan.
- Pemberitahuan tertulis paling lambat 3×24 jam kepada subjek data dan lembaga pengawas, memuat data yang terungkap, kapan dan bagaimana terungkap, serta upaya penanganan dan pemulihan.
- Perbaikan, pelajaran pasca-insiden, pembaruan register insiden.
Prosesor yang mengalami insiden wajib memberitahukan pengendali; kewajiban pemberitahuan kepada subjek data dan pengawas berada pada pengendali.
Contoh terapan
Server HR terenkripsi terserang ransomware dan penyerang mengunggah salinan tabel gaji berisi NIK serta nomor rekening. Penalaran: ini kegagalan pelindungan data pribadi karena data keuangan pribadi berisiko disalahgunakan; meski enkripsi aktif, kerahasiaan dan integritas terganggu, sehingga pemberitahuan tetap dilakukan dalam 3×24 jam sejak diketahui, disertai analisis forensik, reset kredensial, dan tawaran pemantauan bagi karyawan terdampak.
Jebakan
- Menunggu investigasi selesai sebelum memberi tahu sehingga tenggat terlampaui.
- Hanya melapor ke regulator, tidak kepada subjek data.
- Menganggap insiden tanpa data spesifik tidak perlu dilaporkan.
- Prosesor melapor langsung ke pengawas tanpa memberi tahu pengendali.