Ditulis untuk CIO Indonesia, ketua pematuhan, dan CTO serantau yang stack mereka merangkumi Singapura + Jakarta. Berlabuh pada teks pengawalseliaan awam: UU PDP No. 27/2022, POJK No. 11/POJK.03/2022, Perpres No. 82/2022, dan Permenkominfo No. 5/2020. Artikel ini bersifat maklumat, bukan nasihat undang-undang — keputusan pelancaran pengeluaran wajar mendapat tandatangan peguam Indonesia bertauliah.
Fakta pengawalseliaan yang anda perlu rancang sekelilingnya
Empat instrumen memacu perancangan data Indonesia hari ini:
-
UU PDP No. 27/2022 (Undang-Undang Perlindungan Data Peribadi) — diisytiharkan pada 17 Oktober 2022, dengan tetingkap peralihan dua tahun. Penguatkuasaan penuh telah aktif sejak 17 Oktober 2024. Mengkodifikasikan pembezaan pengawal / pemproses, asas sah untuk pemprosesan (Perkara 20), kewajiban kebertanggungjawaban pengawal (Perkara 24), kewajiban menyimpan rekod semua aktiviti pemprosesan data peribadi (Perkara 31), tetingkap notifikasi pelanggaran 3 × 24 jam (72 jam) kepada kedua-dua subjek data dan pihak berkuasa penyelia (Perkara 46), dan jangkaan pelantikan DPO untuk pemprosesan berskala besar atau sensitif. Sanksi pentadbiran mencecah sehingga 2% hasil tahunan.
-
Rejim pendaftaran PSE di bawah Permenkominfo No. 5/2020 — mana-mana Operator Sistem Elektronik Skop Privat (PSE Lingkup Privat), asing atau domestik, yang menyampaikan perkhidmatan ke atau dari Indonesia mesti mendaftar dengan Kominfo (kini Komdigi). Tarikh akhir penguatkuasaan adalah 21 Julai 2022, dan sanksi sekatan akses di bawah Perkara 7 adalah nyata: PayPal dan Yahoo Search disekat sementara pada Julai 2022; Kominfo memberi notis kepada enam platform ejen pelancongan dalam talian pada Mac 2024; dan pada Jun 2025 Komdigi memutuskan akses ke bathandbodyworks.com (PT Dunia Luxindo), eBay Inc. dan KLM Royal Dutch Airlines kerana tidak mendaftar.
-
Penyetempatan data khusus sektor — kewangan — POJK No. 11/POJK.03/2022 (“Pelaksanaan Teknologi Maklumat oleh Bank Komersial”, berkuat kuasa 7 Oktober 2022) mengawal tadbir urus IT, pengurusan risiko, keselamatan siber dan penyumberan luar untuk bank komersial. Inilah peraturan yang mengikat pemprosesan luar pesisir beban kerja tertentu kepada kelulusan OJK terlebih dahulu — “semua di Indonesia” bukan peraturan, tetapi penempatan rentas sempadan memerlukan kes yang didokumenkan.
-
Infrastruktur maklumat kritikal / vital — BSSN — Perpres No. 82/2022 mengenai Perlindungan Infrastruktur Maklumat Vital (IIV) menetapkan BSSN sebagai pihak berkuasa penyelaras dan menamakan lapan sektor strategik: pentadbiran kerajaan, tenaga & sumber mineral, pengangkutan, kewangan, kesihatan, ICT, makanan, dan pertahanan. Operator dalam sektor ini menghadapi kewajiban pengenalan, rangka kerja perlindungan, pembinaan kapasiti, pengukuran kematangan dan pengurusan insiden tambahan di bawah peraturan derivatif BSSN.
“Semua data mesti dihos di Indonesia” bukan universal — tetapi ia benar secara material untuk kewangan yang dikawal selia dan untuk operator yang dinamakan IIV. Salah menerapkan versi luas peraturan ini kos wang; salah membaca di tempat ia benar-benar mengikat kos pekerjaan.
Apa maksudnya untuk seni bina sandaran anda
Seni bina sandaran 2026 yang boleh dipertahankan untuk perniagaan yang melayan Indonesia memenuhi empat sifat secara serentak:
| Sifat | Mengapa |
|---|---|
| Sandaran utama di Indonesia (atau setara di-pesisir dengan asas didokumenkan) | Pintu kelulusan luar pesisir POJK 11/2022 + kewajiban IIV Perpres 82/2022 |
| Snapshot tidak berubah / tahan ransomware | Jam notifikasi pelanggaran UU PDP Perkara 46 + jangkaan asas audit gaya OJK |
| Log akses per-pengguna / per-sistem | UU PDP Perkara 24 (kebertanggungjawaban pengawal) + Perkara 31 (rekod pemprosesan) |
| Replikasi rentas sempadan (jika ada) didokumenkan | Rejim pemindahan rentas sempadan UU PDP + pendedahan DPA kepada subjek data |
Jika seni bina anda sekarang adalah “kami salin ke AWS S3 di Singapura” tanpa asas didokumenkan, anda ada kerja. Bukan kerja mustahil — tetapi kerja.
Senarai semak backup-dan-restore 2026
Senarai praktikal untuk dibawa ke kajian suku tahunan anda yang seterusnya:
- Kami boleh nama wilayah fizikal Indonesia tempat sandaran pengeluaran turun
- Sandaran tidak boleh diubah untuk tempoh pengekalan (tanpa mengira keistimewaan admin)
- Kami boleh hasilkan pemulihan titik-dalam-masa dalam masa 1 jam untuk setiap sistem Tier-1
- Kami telah uji pemulihan dalam 90 hari lepas, dengan bukti bercap masa
- Replikasi rentas sempadan (jika ada) didokumenkan dalam DPA yang ditunjukkan kepada subjek data, dengan asas sah di bawah UU PDP Perkara 56
- Log akses ke data sandaran dikekalkan ≥ 1 tahun dan terikat ke identiti bernama (bukan akaun bersama) — dikehendaki oleh UU PDP Perkara 24 + Perkara 31
- Polisi pengekalan sandaran sepadan dengan keperluan tahanan undang-undang untuk sektor kami (FS: biasanya 7 tahun; kesihatan: lebih lama)
- Kami ada runbook notifikasi pelanggaran yang menamakan individu dan menghormati tetingkap 3 × 24 jam UU PDP Perkara 46 ke subjek data + pihak berkuasa penyelia
- Jika kami bank komersial atau operator IIV, penempatan luar pesisir kami ada kelulusan OJK di bawah POJK 11/2022 atau postur sejajar BSSN yang didokumenkan
- Kami ada Pegawai Perlindungan Data (DPO) bernama (atau keputusan didokumenkan bahawa satu tidak diperlukan) — UU PDP menggalakkan DPO untuk pemprosesan berskala besar atau sensitif
Bagaimana TWO TWO BaaS menyelesaikan ini untuk anda
Kami bina TWO TWO BaaS khusus kerana produk sandaran global generik tidak menjadikan sifat-sifat ini mudah disahkan di bawah penelitian Indonesia. Secara lalai:
- Sandaran utama turun di Singapura (Azure Asia Tenggara) atau Jakarta (Azure Indonesia Tengah, ikut serta)
- Snapshot tidak boleh diubah untuk tetingkap pengekalan (anti-ransomware)
- Tindakan per-pemulihan dilog ke log audit kalis-pengubahsuaian dikekalkan 1 tahun — sejajar dengan UU PDP Perkara 24 + 31
- Ujian pemulihan termasuk (tiada yuran per-pemulihan) supaya pasukan anda boleh benar-benar laksanakan runbook setiap suku tahun
- Templat runbook notifikasi pelanggaran sejajar tetingkap 3 × 24 jam Perkara 46 dihantar bersama perkhidmatan
Enjin sandaran dibina oleh Jumborca; TWO TWO mengendalikan penyewaan Singapura, memiliki SLA, dan menyediakan dokumentasi pematuhan tempatan.
Bagaimana untuk bermula
Jika anda CIO di Jakarta, KL, atau Singapura dengan beban kerja yang menyentuh pelanggan Indonesia, langkah pertama yang betul adalah 30 minit — bukan kitaran perolehan. Kami akan melalui senarai semak dengan anda, menunjukkan item mana yang akan gagal audit jika dicuba hari ini.
Mohon percubaan TWO TWO BaaS 30-hari atau tempah panggilan penemuan.