CSIRT (Computer Security Incident Response Team) adalah tim kunci yang berwenang mengambil keputusan cepat dan mengoordinasikan penanganan saat insiden siber terjadi. Tanpa struktur dan kewenangan yang jelas, respons terhadap insiden keamanan siber sering kali terlambat dan memperbesar dampak kerugian.
Di Indonesia, pembentukan tim ini telah menjadi kewajiban regulasi. Peraturan BSSN Nomor 1 Tahun 2024 mewajibkan Penyelenggara Sistem Elektronik membentuk TTIS dan mendaftarkannya ke BSSN. Selain itu, PP 33/2026 menetapkan tenggat notifikasi kebocoran data pribadi maksimal 3×24 jam mulai 16 Januari 2027.
Kecepatan penanganan di jam-jam pertama sangat menentukan tingkat pemulihan organisasi. Artikel ini membahas langkah praktis membentuk CSIRT internal dari nol, meliputi struktur tim, penyusunan SOP, alur registrasi ke BSSN, hingga evaluasi kesiapan tim.
Pengertian CSIRT Internal dan Kewajiban Hukum Organisasi
CSIRT internal adalah tim di dalam organisasi yang menerima laporan, menilai, dan menangani insiden siber. Dalam regulasi Indonesia, tim ini disebut TTIS organisasi. Peraturan BSSN 1/2024 mewajibkan operator Infrastruktur Informasi Vital (IIV) dan penyelenggara sistem elektronik lain untuk membentuknya, lalu mendaftarkannya ke BSSN.
Peraturan ini membagi TTIS menjadi tiga jenis (Pasal 4):
TTIS nasional, dibentuk oleh BSSN.
TTIS sektoral, dibentuk oleh kementerian atau lembaga pembina sektor.
TTIS organisasi, dibentuk oleh operator IIV (Pasal 7) dan penyelenggara sistem elektronik lain (Pasal 8).
Artinya, jika perusahaan Anda menjalankan aplikasi, situs, atau sistem yang melayani pelanggan, Anda termasuk penyelenggara sistem elektronik. Kewajiban membentuk TTIS organisasi berlaku untuk Anda.
Regulasi juga menetapkan fungsi minimum TTIS (Pasal 3 ayat 3). Tim harus bisa memberi peringatan keamanan, menyusun panduan teknis penanganan, mencatat laporan dan memberi rekomendasi awal, melakukan triase, serta berkoordinasi dengan pihak terkait. Fungsi tambahan seperti penanganan kerentanan, deteksi serangan, dan peningkatan kesadaran keamanan boleh dijalankan sesuai kebutuhan.
Perbedaan CSIRT, SOC, dan MDR dalam Keamanan Siber
SOC dan MDR bertugas mendeteksi dan memantau ancaman, biasanya selama 24 jam. CSIRT bertugas mengambil keputusan saat insiden terjadi: menentukan prioritas, mengoordinasikan penanganan, dan melapor ke regulator. Ketiganya saling melengkapi. SOC atau MDR adalah mata dan telinga, sedangkan CSIRT adalah pusat komando.
Banyak perusahaan mengira CSIRT tidak perlu karena sudah punya SOC atau vendor MDR. Padahal fungsinya berbeda.
| Aspek | SOC | MDR | CSIRT |
| Fokus utama | Memantau dan mendeteksi | Deteksi dan respons awal oleh vendor | Keputusan, koordinasi, dan pelaporan |
| Pemilik | Internal atau vendor | Vendor | Organisasi |
| Hasil kerja | Alert dan analisis | Alert, containment awal | Keputusan bisnis, laporan ke BSSN dan pihak lain |
| Terdaftar di BSSN | Tidak wajib | Tidak wajib | Wajib sebagai TTIS organisasi |
Vendor layanan MDR 24/7 atau SOC modern berbasis AI bisa menjadi bagian dari CSIRT. Namun kewajiban membentuk dan mendaftarkan TTIS tetap ada pada organisasi Anda, bukan pada vendor.
Struktur Organisasi dan Peran Kunci dalam Tim CSIRT
Tidak ada satu struktur yang cocok untuk semua organisasi. Ada tiga model yang paling umum dipakai:
Terpusat: satu tim inti menangani semua insiden. Cocok untuk perusahaan dengan satu kantor pusat dan sistem yang terpusat.
Terdistribusi: ada perwakilan di tiap unit bisnis atau cabang, dengan koordinator di pusat. Cocok untuk grup usaha atau bank dengan banyak cabang.
Hybrid: tim inti internal mengambil keputusan, sementara vendor menangani pemantauan atau forensik. Model ini paling realistis untuk perusahaan menengah.
Panduan pembentukan TTIS dari Kemenkes menempatkan penentuan peran, tanggung jawab, dan hierarki tim di tahap perancangan, sebelum registrasi. Berikut peran kunci yang perlu ada:
| Peran | Tanggung jawab utama |
| Ketua CSIRT (direksi atau CISO) | Keputusan akhir, misalnya memutus sistem atau melapor ke publik |
| Koordinator insiden | Memimpin penanganan dari awal sampai pulih |
| Analis triase | Menilai laporan dan menentukan tingkat prioritas |
| Spesialis forensik | Mengamankan bukti digital, bisa dari vendor |
| Legal dan kepatuhan | Memastikan tenggat pelaporan terpenuhi |
| Humas | Mengatur komunikasi ke pelanggan dan media |
| DPO | Menilai dampak ke data pribadi dan notifikasi ke subjek data |
Pada perusahaan menengah, beberapa peran bisa dirangkap. Yang penting, setiap peran punya nama, cadangan, dan nomor kontak yang aktif di luar jam kerja.
6 SOP Wajib CSIRT untuk Penanganan Insiden Efektif
CSIRT butuh enam SOP inti: penerimaan aduan, triase dan klasifikasi, eskalasi, containment dan pemulihan, pelaporan eksternal, serta tinjauan pascainsiden. SOP pelaporan paling kritis karena tenggatnya ketat: 1×24 jam untuk insiden IIV menurut Peraturan BSSN 1/2024, dan 3×24 jam untuk kebocoran data pribadi menurut PP 33/2026.
Berikut isi singkat tiap SOP:
Penerimaan aduan: saluran resmi untuk laporan dari karyawan, pelanggan, vendor, atau pihak luar.
Triase dan klasifikasi: kriteria untuk menentukan tingkat risiko rendah, sedang, tinggi, atau kritis.
Eskalasi: siapa yang harus dihubungi, dalam berapa menit, untuk tiap tingkat risiko.
Containment dan pemulihan: langkah membatasi penyebaran, lalu memulihkan layanan. Bagian ini sebaiknya terhubung dengan rencana business continuity management.
Pelaporan eksternal: format dan tenggat laporan ke BSSN, regulator sektor, dan pemilik data.
Tinjauan pascainsiden: evaluasi penyebab dan perbaikan agar insiden serupa tidak terulang.
Untuk pelaporan ke BSSN, setiap insiden dilaporkan oleh TTIS organisasi ke TTIS sektoral, dengan tembusan ke TTIS nasional (Pasal 15 ayat 1). Laporan minimal memuat kontak, deskripsi insiden, kronologi, dan dampak (Pasal 15 ayat 4). Insiden yang wajib dilaporkan adalah insiden berisiko tinggi menurut manajemen risiko organisasi Anda.
Untuk data pribadi, tenggat 3×24 jam di PP 33/2026 dihitung dalam jam. Artinya akhir pekan tidak menghentikan hitungan. Siklus SOP Anda bisa diselaraskan dengan NIST SP 800-61 Revisi 3, panduan respons insiden yang direvisi NIST pada April 2025.
Panduan Langkah Registrasi CSIRT Internal ke BSSN
Registrasi CSIRT ke BSSN melalui tiga tahap: permohonan, validasi, dan penerbitan surat tanda registrasi (Pasal 10 Peraturan BSSN 1/2024). Dokumen wajibnya adalah profil RFC 2350, dokumen hukum pembentukan tim, data aset yang bisa diakses publik, dan data kompetensi SDM. Surat tanda registrasi untuk TTIS organisasi berlaku 3 tahun.
Dalam praktik, langkahnya bisa diurutkan seperti ini:
Terbitkan SK pembentukan tim yang ditandatangani pimpinan tertinggi organisasi.
Susun profil RFC 2350 yang menjelaskan siapa tim Anda dan apa layanannya.
Inventarisasi aset publik, yaitu nama sistem, alamat IP, dan domain yang bisa diakses dari internet (Pasal 11 ayat 2).
Kumpulkan data kompetensi SDM, seperti pelatihan dan sertifikasi anggota tim.
Ajukan permohonan. Panduan Kemenkes mencantumkan surat permohonan registrasi, formulir registrasi, surat pernyataan narahubung, dan formulir sumber daya penyelenggara.
Ikuti proses validasi oleh BSSN.
Terima surat tanda registrasi, lalu catat tanggal kedaluwarsanya.
TTIS yang sudah berdiri sebelum aturan ini berlaku diberi waktu 6 bulan untuk mengajukan registrasi (Pasal 27). Registrasi ulang wajib dilakukan saat surat kedaluwarsa atau saat organisasi berubah (Pasal 14).
Registrasi ini juga berlaku untuk sektor non-pemerintah. Contohnya, BSSN memberikan legalitas pada CSIRT Bank Papua.
Cara Menyusun Dokumen Profil RFC 2350 yang Lolos Validasi
RFC 2350 adalah format standar internasional untuk menjelaskan profil sebuah tim tanggap insiden. Dokumen ini menjawab satu pertanyaan sederhana: kalau ada insiden, bagaimana cara menghubungi Anda dan apa yang bisa Anda bantu?
Isi utamanya mencakup:
Informasi dokumen: versi, tanggal terbit, dan lokasi dokumen terbaru.
Informasi kontak: email, telepon, jam layanan, dan kunci PGP untuk komunikasi terenkripsi.
Piagam (charter): misi, konstituen yang dilayani, dan sumber kewenangan tim.
Kebijakan: jenis insiden yang ditangani, kerja sama dengan pihak lain, dan aturan berbagi informasi.
Layanan: layanan yang benar-benar Anda jalankan, misalnya penanganan insiden atau peringatan keamanan.
Formulir pelaporan dan penafian (disclaimer).
Sebagai contoh dari sektor swasta, CSIRT Jalin menerbitkan profil RFC 2350 dan kunci PGP versi 1.0 pada 24 Oktober 2024. Layanannya dijelaskan secara spesifik, dari koordinasi penanganan insiden sampai forensik digital.
Kesalahan yang sering terjadi cukup sederhana. Konstituen ditulis terlalu umum. Email kontak tidak dipantau di luar jam kerja. Kunci PGP tidak disertakan. Layanan yang ditulis melebihi kemampuan tim yang sebenarnya.
5 Ciri CSIRT Hanya Formalitas dan Belum Siap Menerima Insiden
SK sudah terbit dan surat registrasi sudah di tangan. Namun, CSIRT belum tentu siap. Periksa lima tanda berikut:
Tidak pernah simulasi. Peraturan BSSN 1/2024 mewajibkan simulasi minimal sekali dalam 2 tahun (Pasal 26 ayat 2). Tim yang belum pernah berlatih biasanya panik saat insiden pertama.
Kontak di RFC 2350 tidak menjawab. Coba kirim email uji ke alamat kontak pada Sabtu malam. Kalau tidak ada balasan, pelapor dari luar juga tidak akan mendapat respons.
Tidak ada playbook ransomware. Ransomware adalah skenario yang paling sering membutuhkan keputusan cepat. Gunakan checklist kesiapan ransomware sebagai titik awal.
Tidak terhubung dengan DPO. Kalau insiden menyangkut data pribadi, jam notifikasi 3×24 jam mulai berjalan. DPO harus ada di jalur eskalasi sejak awal.
Registrasi kedaluwarsa. Surat tanda registrasi TTIS organisasi hanya berlaku 3 tahun (Pasal 13 ayat 3). Pasang pengingat minimal 3 bulan sebelum habis.
Kesimpulan: Pentingnya CSIRT yang Terdaftar dan Teruji
CSIRT internal yang baik punya tiga ciri: wajib, terdaftar, dan teruji. Wajib, karena Peraturan BSSN 1/2024 sudah mengaturnya untuk penyelenggara sistem elektronik. Terdaftar, karena surat tanda registrasi dengan profil RFC 2350 menjadi bukti resmi keberadaan tim. Teruji, karena hanya simulasi rutin yang membuktikan tim bisa bekerja saat insiden sungguhan terjadi.
Dengan PP 33/2026 berlaku 16 Januari 2027, waktu untuk menyiapkan alur pelaporan dalam hitungan jam tidak lagi panjang. Mulailah dengan penilaian kematangan keamanan siber untuk melihat posisi organisasi Anda hari ini. Konsultan Proxsis IT berpengalaman mendampingi sektor keuangan, energi, dan publik, dan siap membantu Anda membentuk CSIRT yang siap bekerja, bukan sekadar siap diaudit.
Konsultasikan kebutuhan Anda dengan tim Proxsis IT →
Pertanyaan yang Sering Diajukan
Berapa lama masa berlaku surat tanda registrasi CSIRT?
Surat tanda registrasi TTIS organisasi berlaku 3 tahun, sedangkan TTIS sektoral berlaku 5 tahun (Pasal 13 Peraturan BSSN 1/2024). Registrasi ulang wajib dilakukan saat masa berlaku habis atau saat organisasi berubah.
Apakah CSIRT boleh dijalankan oleh vendor?
Fungsi teknis seperti pemantauan, analisis, dan forensik boleh dikerjakan vendor. Namun kewajiban membentuk TTIS ada pada penyelenggara sistem elektronik (Pasal 7 dan 8). Pastikan kontrak vendor mengatur waktu respons dan akses ke bukti digital.
Berapa minimal anggota tim CSIRT?
Regulasi menekankan kompetensi, bukan jumlah. Saat registrasi, Anda wajib melampirkan data kompetensi SDM tim (Pasal 11). Perusahaan menengah bisa memulai dengan tim kecil yang merangkap peran, ditambah dukungan vendor.
Insiden apa yang wajib dilaporkan ke BSSN, dan berapa lama tenggatnya?
Insiden yang wajib dilaporkan minimal berisiko tinggi menurut manajemen risiko organisasi. Laporan dikirim ke TTIS sektoral dengan tembusan ke TTIS nasional. Untuk insiden IIV, tenggatnya 1×24 jam sejak insiden diketahui (Pasal 15).
Apakah CSIRT perlu terhubung dengan DPO?
Perlu, terutama jika insiden menyangkut data pribadi. PP 33/2026 mewajibkan pemberitahuan tertulis ke subjek data dan Lembaga dalam 3×24 jam (Pasal 114). DPO sebaiknya masuk jalur eskalasi sejak tahap triase.
Sumber utama
Referensi utama untuk regulasi, standar, dan data insiden dalam artikel ini.
Peraturan BSSN Nomor 1 Tahun 2024
Panduan pembentukan TTIS dari Kemenkes
