Foto oleh FlyD di Unsplash
Sistem informasi akademik (SIAKAD) menyimpan hal yang paling sensitif di kampus: identitas mahasiswa, riwayat nilai, status studi, dan data pembayaran. Ketika sistem itu berhenti saat pengisian rencana studi, nilai berubah tanpa jejak, atau data mahasiswa bocor, dampaknya langsung terasa pada layanan dan reputasi. Karena itu keamanan SIAKAD layak masuk rencana audit SPI.
Artikel ini membahas dasar aturan yang relevan, risiko utama, contoh uji audit, dan langkah menyusun program audit keamanan SIAKAD dan data mahasiswa. Rujukan dicek per 21 Oktober 2026.
Aturan Apa yang Menjadi Dasar Keamanan SIAKAD?
| Rujukan | Ketentuan yang relevan |
|---|---|
| UU 27/2022 tentang Pelindungan Data Pribadi, Pasal 35 sampai 39 | Pengendali data pribadi wajib melindungi dan memastikan keamanan data yang diprosesnya, menjaga kerahasiaan, mengawasi pihak yang terlibat dalam pemrosesan, melindungi dari pemrosesan tidak sah, dan mencegah akses tidak sah dengan sistem keamanan yang andal, aman, dan bertanggung jawab |
| UU 27/2022 Pasal 46 | Jika terjadi kegagalan pelindungan data pribadi, pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga, memuat data yang terungkap, kapan dan bagaimana terungkap, serta upaya penanganan dan pemulihan |
| UU 27/2022 Pasal 57 | Pelanggaran sejumlah kewajiban dikenai sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan/atau denda administratif |
| PP 71/2019 Pasal 3, 4, dan 24 | Setiap penyelenggara sistem elektronik harus menyelenggarakan sistem secara andal dan aman, melindungi ketersediaan, keutuhan, keotentikan, kerahasiaan, dan keteraksesan informasi, serta memiliki prosedur dan sarana pengamanan terhadap gangguan, kegagalan, dan kerugian |
| GIAS 2024 dan Topical Requirements IIA | Topical Requirements wajib dipenuhi auditor bila ruang lingkup penugasan mencakup topik yang diatur. Cybersecurity berlaku sejak 5 Februari 2026 dan Third-Party sejak 15 September 2026. |
UU 27/2022 mulai berlaku saat diundangkan pada 17 Oktober 2022, dan Pasal 74 memberi masa penyesuaian paling lama dua tahun, sehingga masa itu telah lewat. Data pribadi dibedakan menjadi data spesifik dan data umum. Data spesifik antara lain data kesehatan, data anak, dan data keuangan pribadi (Pasal 4). Dalam praktik kampus, data seperti ini dapat ditemukan pada SIAKAD, layanan kesehatan, dan data pembayaran, tergantung apa yang dikumpulkan.
Pasal 53 UU 27/2022 mewajibkan penunjukan pejabat atau petugas pelindungan data pribadi dalam hal tertentu, termasuk pemrosesan untuk kepentingan pelayanan publik. Apakah kampus Anda termasuk dan siapa yang ditunjuk perlu ditentukan berdasarkan bentuk dan fungsi perguruan tinggi serta nasihat hukum. Pembahasan umum audit kepatuhan UU PDP ada di artikel panduan audit kepatuhan UU PDP.
Apa Risiko Utama pada SIAKAD dan Data Mahasiswa?
| Area | Contoh risiko | Contoh uji audit |
|---|---|---|
| Manajemen akses | Hak akses berlebih, akun staf yang sudah pindah tugas masih aktif, akun bersama | Bandingkan daftar pengguna dengan data kepegawaian, tinjau hak akses terhadap pembagian tugas, uji akun tidak aktif |
| Integritas nilai dan data akademik | Nilai atau status studi diubah tanpa otorisasi | Telusuri log perubahan, bandingkan nilai di sistem dengan berkas sumber, uji persetujuan perubahan nilai |
| Jejak audit | Log tidak dicatat, mudah dihapus, atau tidak ditinjau | Periksa konfigurasi pencatatan, perlindungan log, dan bukti peninjauan berkala. Artikel audit trail membahas dasar konsepnya. |
| Ketersediaan | Sistem tidak dapat diakses saat pengisian rencana studi atau penerimaan mahasiswa baru, cadangan tidak dapat dipulihkan | Tinjau rencana pemulihan, hasil uji pemulihan, dan catatan gangguan |
| Perlindungan data pribadi | Ekspor data berlebihan, data tersimpan tanpa batas waktu, data dibagikan tanpa dasar | Petakan alur data, periksa dasar pemrosesan, masa simpan, dan pembatasan ekspor |
| Pihak ketiga | Vendor atau pengembang memiliki akses luas tanpa pengawasan | Telaah perjanjian, hak akses vendor, dan pengawasan sesuai UU 27/2022 Pasal 37 |
| Perubahan sistem | Pembaruan dipasang tanpa pengujian atau persetujuan | Periksa prosedur permintaan perubahan, pengujian, dan persetujuan sebelum rilis |
| Pembayaran | Status pembayaran dan tagihan tidak cocok dengan rekening, status bisa diubah manual | Rekonsiliasi data tagihan SIAKAD dengan penerimaan kas |
Tabel ini ilustrasi. Rincian disesuaikan dengan arsitektur sistem di kampus Anda, apakah dibangun sendiri, dibeli, atau berbasis layanan awan.
Bagaimana Langkah Menyusun Program Audit Keamanan SIAKAD?
- Pahami sistem. Petakan modul, basis data, integrasi dengan sistem lain, hosting, pengelola, dan vendor.
- Identifikasi data. Daftar jenis data yang diproses, termasuk data spesifik, dan siapa yang menerimanya.
- Tetapkan kriteria. UU 27/2022, PP 71/2019, kebijakan keamanan informasi kampus, dan kerangka yang telah diadopsi.
- Nilai risiko dan tentukan lingkup. Prioritaskan modul nilai, keuangan, dan akses administrator.
- Libatkan keahlian yang tepat. Untuk uji teknis yang mendalam, gunakan auditor teknologi informasi atau pihak ahli. Artikel audit sistem informasi dan audit IT membahas pendekatan umumnya.
- Uji pengendalian. Akses, perubahan, log, cadangan, enkripsi, dan pengelolaan insiden.
- Telaah kesiapan insiden. Pastikan ada prosedur yang memungkinkan pemberitahuan dalam 3 x 24 jam sesuai Pasal 46, dan kewajiban melapor kepada aparat penegak hukum serta kementerian atau lembaga terkait pada gangguan serius menurut PP 71/2019 Pasal 24 ayat (3).
- Laporkan dan pantau tindak lanjut. Sampaikan temuan dengan prioritas risiko, lalu pantau perbaikan sampai selesai.
Apa Hubungannya dengan Topical Requirements IIA?
GIAS menyatakan auditor internal harus memenuhi persyaratan yang relevan bila ruang lingkup penugasan mencakup salah satu topik yang telah ditetapkan. Topical Requirement Cybersecurity berlaku sejak 5 Februari 2026, dan Third-Party sejak 15 September 2026. Penugasan audit keamanan SIAKAD, termasuk pengelolaan vendor, dapat menyentuh keduanya. Daftar dan tanggalnya dapat berubah, jadi cek halaman Topical Requirements IIA. Ringkasan penerapan standar bagi SPI kampus ada di artikel GIAS 2024 untuk SPI perguruan tinggi.
Apa Kesalahan Umum dalam Audit SIAKAD?
- Hanya menilai dokumen kebijakan. Pengendalian tidak diuji pada sistem yang berjalan.
- Mengabaikan pihak ketiga. Vendor dan pengembang punya akses luas, tetapi tidak masuk ruang lingkup.
- Melewatkan log. Perubahan nilai tidak dapat ditelusuri karena log tidak ada atau tidak ditinjau.
- Tidak menguji pemulihan. Cadangan ada, tetapi tidak pernah dicoba dipulihkan.
- Melampaui kompetensi. Auditor memberi kesimpulan teknis tanpa keahlian yang memadai.
Bagaimana Software Audit Internal Membantu?
Audithink bukan alat uji penetrasi, pemindai kerentanan, atau sistem keamanan informasi. Untuk SPI, Audithink membantu mengelola audit melalui enam fitur utama: risk assessment, perencanaan audit berbasis penilaian risiko, template program kerja per penugasan, notifikasi tenggat, monitoring tindak lanjut rekomendasi, dan laporan otomatis. Pembahasan perangkat lunak terkait ada di artikel aplikasi audit sistem informasi. Kebutuhan audit di kampus dibahas di halaman Audithink untuk Institusi Pendidikan.
FAQ Seputar Audit Keamanan Sistem Informasi Akademik
Apakah UU PDP berlaku bagi perguruan tinggi?
UU 27/2022 mengatur pengendali data pribadi secara umum. Kampus yang memproses data pribadi mahasiswa, dosen, dan tenaga kependidikan berperan sebagai pengendali data. Penerapan rincinya bergantung pada bentuk dan fungsi kampus, sehingga perlu ditelaah bersama bagian hukum.
Berapa lama batas pemberitahuan jika terjadi kebocoran data pribadi?
UU 27/2022 Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga, dengan isi minimal yang diatur dalam pasal tersebut.
Apa sanksi pelanggaran kewajiban keamanan data pribadi?
Pasal 57 mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, dan/atau denda administratif. Undang-undang ini juga memuat ketentuan pidana pada bab terpisah.
Apakah SPI harus memiliki auditor teknologi informasi?
Tidak ada ketentuan baku. Untuk pengujian teknis yang mendalam, SPI dapat melatih auditornya, bekerja sama dengan unit teknologi informasi yang independen dari objek yang diaudit, atau memakai pihak ahli. Standar menuntut kompetensi yang memadai untuk penugasan yang diterima.
Modul mana yang sebaiknya diprioritaskan?
Umumnya modul nilai dan status studi, keuangan atau tagihan, serta akses administrator, karena dampak perubahannya terhadap mahasiswa dan keuangan kampus besar. Tentukan berdasarkan penilaian risiko di kampus Anda.
Apakah vendor SIAKAD masuk ruang lingkup audit?
Sebaiknya ya, minimal dari sisi perjanjian, hak akses, dan pengawasan. UU 27/2022 Pasal 37 mewajibkan pengendali data melakukan pengawasan terhadap pihak yang terlibat dalam pemrosesan data pribadi di bawah kendalinya.
Penutup
Keamanan SIAKAD bukan hanya urusan unit teknologi informasi. Aturan tentang data pribadi dan sistem elektronik menjadikannya tanggung jawab kampus secara kelembagaan, dan SPI berperan memastikan pengendalian benar-benar berjalan. Mulailah dari akses, perubahan nilai, jejak audit, dan pihak ketiga.
Jika SPI di kampus Anda ingin merencanakan audit sistem informasi dan memantau tindak lanjutnya dengan lebih rapi, jadwalkan demo Audithink.
