Notifikasi Pelanggaran 72 Jam UU PDP: Apakah SOC Anda Sudah Siap?

Hitungan 72 jam dimulai tepat saat SOC Anda mendeteksi pelanggaran — bukan saat tim legal mengetahuinya. Bagi institusi keuangan Indonesia, celah antara deteksi dan notifikasi adalah tempat terkonsentrasinya risiko regulasi di tahun 2026.

Apa yang Sebenarnya Diwajibkan oleh UU PDP

Undang-Undang Pelindungan Data Pribadi (UU PDP, UU No. 27 Tahun 2022) telah berlaku penuh sejak 17 Oktober 2024. Pasal 46 UU PDP mewajibkan setiap pengendali data — termasuk bank, platform fintech, pemroses pembayaran, perusahaan asuransi, dan platform pinjaman online — untuk memberikan notifikasi kepada subjek data yang terdampak DAN kepada Lembaga Perlindungan Data Pribadi dalam waktu 72 jam sejak terdeteksinya kegagalan pelindungan data pribadi.

Notifikasi tersebut harus mencakup: data apa yang terdampak, kapan dan bagaimana pelanggaran terjadi, serta langkah-langkah apa yang sedang diambil untuk mitigasi. Apabila pelanggaran berdampak pada layanan publik atau kepentingan publik yang signifikan, pengumuman publik yang lebih luas juga dapat diwajibkan.

Sanksi atas ketidakpatuhan bersifat material. Denda administratif dapat mencapai 2% dari pendapatan tahunan. Untuk pelanggaran yang disengaja — termasuk pemalsuan data insiden atau kelalaian pelaporan — sanksi pidana mencakup penjara hingga enam tahun dan denda korporasi hingga IDR 60 miliar.

Bagi institusi keuangan, kewajiban ini berjalan bersamaan dengan persyaratan OJK yang sudah ada. POJK No. 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, dikombinasikan dengan SEOJK No. 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber, mewajibkan bank untuk memiliki Tim Tanggap Insiden Siber (CIRT) yang berdedikasi, melakukan pelaporan insiden siber yang wajib, serta melaksanakan penilaian risiko inheren secara berkala. Peraturan BSSN 1/2024 menambahkan persyaratan pelaporan 14 jam bagi operator infrastruktur kritikal.

Kerangka penegakan hukum sudah ada. Pertanyaannya adalah: apakah SOC Anda dapat menghasilkan laporan insiden yang terverifikasi dan terdokumentasi dalam waktu 72 jam sejak deteksi — secara konsisten dan dalam skala besar?

Realitas Operasional: Mengapa 72 Jam Itu Tidak Mudah

Jendela 72 jam terdengar cukup lama. Pada praktiknya, tidak demikian.

Hitungan tidak dimulai saat peretas mendapatkan akses. Hitungan dimulai saat SOC Anda mendeteksi pelanggaran. Bagi banyak perusahaan di Indonesia, deteksi itu sendiri adalah hambatan utama.

Menurut AI SOC Market Landscape 2025, organisasi menerima rata-rata 960 alert keamanan per hari. Perusahaan dengan lebih dari 20.000 karyawan menerima lebih dari 3.000 alert per hari. Seorang analis tipikal memproses sekitar 4.484 alert per hari dan menghabiskan sekitar tiga jam hanya untuk triage manual. Survei Trend Micro menemukan bahwa 51% tim SOC merasa kewalahan oleh volume alert, dengan analis menghabiskan lebih dari 25% waktu kerja mereka menangani alert yang ternyata merupakan false positive.

Hasilnya adalah pola operasional yang dapat diprediksi: alert dari pelanggaran yang sedang berlangsung masuk ke antrian. Alert tersebut terlihat seperti alert lainnya. Indikatornya ada, tetapi bandwidth kognitif analis terkuras oleh 89 alert lain dalam antriannya. Sinyal pelanggaran diklasifikasikan sebagai prioritas rendah dan dijadwalkan untuk ditinjau. Pada saat pelanggaran yang dikonfirmasi teridentifikasi, didokumentasikan, dan dieskalasikan, sudah berjam-jam berlalu — terkadang lebih dari sehari.

Laporan Tahunan ReliaQuest 2026 memberikan data dari sisi ancaman: penyerang mencapai gerakan lateral dalam 4 menit pada insiden tercepat yang tercatat di 2025, dengan waktu rata-rata 34 menit. SOC yang beroperasi dengan triage manual yang diukur dalam jam tidak dapat membendung ancaman yang menyebar dalam hitungan menit.

Dalam lanskap ancaman siber Indonesia 2026, kampanye aktif mencerminkan dinamika ini. SURXRAT V5, trojan akses jarak jauh Android yang terdokumentasi awal 2026, mencegat OTP dan token sesi perbankan secara real-time. Kampanye phishing Coretax mendistribusikan APK berbahaya melalui WhatsApp yang menyamar sebagai komunikasi otoritas pajak. Kelompok ransomware termasuk Lotus Blossom, Fancy Bear (APT28), dan The Gentlemen secara aktif menargetkan perbankan, pemerintah, dan infrastruktur kritikal Indonesia. Pada Januari 2026, sekitar 3 juta data nasabah dari sebuah bank besar Indonesia dilaporkan ditawarkan untuk dijual di forum kejahatan siber.

Celah Kepatuhan Adalah Celah Deteksi

Kebanyakan organisasi di Indonesia mendekati kepatuhan UU PDP sebagai latihan hukum dan dokumentasi. Kebijakan privasi disusun. Penunjukan DPO dipertimbangkan. Template notifikasi disiapkan.

Asumsi operasional yang tertanam dalam pendekatan ini adalah bahwa ketika pelanggaran terjadi, SOC akan mendeteksinya dengan cepat, mengkonfirmasinya secara akurat, dan menyerahkan laporan insiden yang terverifikasi kepada tim kepatuhan tepat waktu untuk memenuhi jendela 72 jam.

Data tidak mendukung asumsi tersebut bagi organisasi yang menjalankan proses SOC manual.

Osterman Research Report menemukan bahwa hampir 90% SOC kewalahan oleh backlog dan false positive, dan 80% analis melaporkan merasa terus-menerus tertinggal dalam pekerjaan mereka. Tolok ukur industri menunjukkan bahwa 25–30% alert tidak pernah diinvestigasi sama sekali karena kelebihan beban. Secara global, biaya triage alert manual diperkirakan mencapai USD 3,3 miliar per tahun.

Bagi institusi keuangan yang tunduk pada UU PDP, setiap alert yang tidak diinvestigasi merupakan pelanggaran potensial yang tidak terdeteksi. Setiap jam keterlambatan triage adalah satu jam dari jendela 72 jam yang terpakai sebelum proses notifikasi bahkan dimulai.

Bagi institusi yang diawasi OJK, taruhannya berlipat ganda. SEOJK 29/2022 tidak hanya mensyaratkan pelaporan insiden, tetapi juga mensyaratkan bank untuk mempertahankan postur ketahanan siber yang dapat didemonstrasikan. Audit pasca-insiden akan memeriksa apakah alur kerja deteksi dan respons SOC sudah memadai — bukan hanya apakah notifikasi sudah diajukan tepat waktu.

Apa yang Dibutuhkan SOC untuk Notifikasi Tepat Waktu

Memenuhi jendela 72 jam secara andal membutuhkan empat kemampuan SOC yang spesifik:

1. Triage alert dalam skala besar, tanpa backlog. Jika analis Anda memproses ribuan alert secara manual, indikator pelanggaran yang sesungguhnya akan menunggu dalam antrean. Triage otomatis yang memisahkan ancaman berkepercayaan tinggi dari kebisingan adalah prasyarat untuk deteksi cepat.

2. Penentuan ruang lingkup insiden yang cepat. Setelah alert ditriage sebagai mencurigakan, SOC harus menentukan ruang lingkupnya: sistem mana yang terdampak, kategori data apa yang terlibat, dan apakah data pribadi diakses atau dieksfiltrasi. Di bawah UU PDP, notifikasi harus menyebutkan data yang terdampak. Dengan investigasi berbantuan AI, pekerjaan scoping diselesaikan dalam hitungan menit.

3. Eskalasi dengan konteks, bukan data mentah. Tim hukum dan kepatuhan membutuhkan laporan insiden yang terverifikasi dan terdokumentasi — bukan alert SIEM mentah. Dokumentasi insiden otomatis yang menghasilkan laporan siap audit untuk setiap alert yang diinvestigasi menghilangkan hambatan produksi tersebut.

4. Pengawasan manusia pada keputusan akhir. Keputusan notifikasi adalah tindakan hukum. 90% alert yang merupakan kebisingan rutin harus ditangani secara otonom. 10% yang merupakan insiden nyata memerlukan analis yang kompeten dengan konteks lengkap di hadapan mereka.

Bagaimana AIgis Menjawab Persyaratan Kepatuhan 72 Jam

AIgis — platform SOC berbasis AI dari Norsesight yang dibangun khusus untuk perusahaan Asia Tenggara — dirancang berdasarkan persyaratan operasional yang diciptakan oleh UU PDP, OJK POJK 11/2022, dan SEOJK 29/2022.

Platform ini beroperasi melalui tiga AI Agent yang terkoordinasi: The Guardian (L1), yang menangani triage alert dan klasifikasi awal; The Investigator (L2), yang melakukan investigasi multi-sumber otonom dan penentuan ruang lingkup insiden; dan The Commander, yang mengelola routing eskalasi, titik keputusan human-in-the-loop, dan dokumentasi audit.

Hasil operasionalnya terukur. AIgis menurunkan MTTA (Mean Time to Acknowledge) dari 4 jam menjadi 15 menit — peningkatan 94%. Platform ini menyelesaikan 90% alert rutin secara otomatis dengan pengawasan manusia yang tetap terjaga, mengurangi kebisingan false positive lebih dari 70%. Setiap alert menghasilkan jejak investigasi yang lengkap dan siap audit.

Untuk institusi yang mengoperasikan SIEM Wazuh atau Elastic — konfigurasi paling umum di lingkungan enterprise Indonesia — AIgis terintegrasi tanpa memerlukan penggantian infrastruktur yang ada. Deployment memakan waktu 4 jam.

Periode payback ROI adalah 45 hari. Penghematan biaya dibandingkan model SOC manual penuh adalah 41%. Perbedaan antara MTTA 15 menit dan MTTA 4 jam adalah 225 menit dari jendela 72 jam yang dikembalikan kepada proses respons dan dokumentasi organisasi.

Yang Perlu Diperiksa di SOC Anda Hari Ini

Sebelum insiden berikutnya, tiga pertanyaan operasional menentukan apakah organisasi Anda dapat memenuhi persyaratan notifikasi UU PDP:

Berapa lama SOC Anda membutuhkan waktu untuk men-triage alert prioritas tinggi dari awal hingga akhir? Jika jawabannya diukur dalam jam, jendela 72 jam lebih pendek dari yang terlihat.

Dapatkah SOC Anda menghasilkan ruang lingkup insiden yang terdokumentasi — sistem yang terdampak, kategori data, timeline — dalam 24 jam sejak deteksi? Jika jawabannya memerlukan peninjauan log manual di berbagai alat, langkah dokumentasi saja sudah dapat menghabiskan sebagian besar jendela notifikasi.

Apakah setiap alert menghasilkan catatan siap audit? Pemeriksaan OJK setelah insiden melihat dokumentasi respons SOC. Insiden yang diinvestigasi tetapi tidak terdokumentasi menciptakan eksposur regulasi terlepas dari hasilnya.

Ini adalah celah operasional, bukan celah hukum. Mereka diselesaikan dengan kecepatan deteksi dan otomasi proses.

Pertanyaan yang Sering Diajukan

Apa yang diwajibkan UU PDP Indonesia untuk notifikasi pelanggaran data?
Di bawah UU PDP (UU No. 27/2022), yang berlaku penuh sejak Oktober 2024, pengendali data wajib memberitahukan subjek data yang terdampak DAN Lembaga Perlindungan Data Pribadi dalam 72 jam sejak terdeteksinya kegagalan pelindungan data pribadi. Denda administratif dapat mencapai 2% dari pendapatan tahunan; sanksi pidana untuk pelanggaran yang disengaja mencakup hingga IDR 60 miliar untuk korporasi.

Kapan hitungan 72 jam UU PDP dimulai?
Jendela 72 jam dimulai pada saat deteksi — ketika SOC Anda mengidentifikasi pelanggaran — bukan pada saat dilaporkan kepada manajemen atau penasihat hukum.

Bagaimana regulasi OJK berlaku untuk pelaporan insiden siber bank Indonesia?
OJK POJK No. 11/POJK.03/2022 dan SEOJK No. 29/SEOJK.03/2022 mewajibkan bank untuk memiliki CIRT yang berdedikasi, melakukan pelaporan insiden siber, dan menjalani pengujian keamanan adversarial secara berkala. Peraturan BSSN 1/2024 menambahkan persyaratan pelaporan 14 jam untuk operator infrastruktur kritikal.

Bagaimana kelelahan alert (alert fatigue) mempengaruhi kepatuhan UU PDP?
Alert fatigue secara langsung menciptakan risiko kepatuhan di bawah UU PDP. Ketika analis menghabiskan 25%+ waktu mereka untuk false positive dan meninggalkan 25–30% alert tanpa investigasi, alert yang terkait pelanggaran dapat tidak terdeteksi selama berjam-jam atau berhari-hari.

Seberapa cepat AIgis dapat mendeteksi dan mendokumentasikan pelanggaran untuk notifikasi UU PDP?
AIgis menurunkan MTTA dari rata-rata industri 4 jam menjadi 15 menit — peningkatan 94%. Platform menyelesaikan 90% alert rutin secara otomatis dan menghasilkan dokumentasi siap audit untuk setiap kasus. Deployment terintegrasi dengan SIEM Wazuh atau Elastic yang ada dalam 4 jam.