Audit Aset Digital UMKM Kreatif: Hak Akses, Backup, dan Uji Pulih

Mengapa aset digital perlu masuk daftar aset usaha?

Kementerian Ekonomi Kreatif pada 17 September 2026 menempatkan keamanan siber sebagai fondasi perlindungan aset dan bisnis ekonomi kreatif. Perhatian itu tidak hanya mencakup transaksi dan perbankan, tetapi juga karya fotografi, penerbitan, gim, desain, foto, video, tulisan, data, kekayaan intelektual, serta reputasi yang telah dibangun pelaku usaha.

Bagi UMKM, gangguan tidak harus berupa serangan besar. Ponsel pemilik dapat hilang, akun lama masih dikuasai mantan pekerja, langganan domain luput diperpanjang, atau folder tersinkron ikut menyalin file yang rusak. Audit aset digital bukan klaim bahwa seluruh insiden dapat dicegah. Tujuannya adalah mengurangi akses yang tidak perlu, menemukan ketergantungan pada satu orang atau perangkat, dan menyiapkan jalan pulih yang pernah diuji.

1. Inventarisasi aset yang membuat usaha tetap berjalan

Buat satu baris per aset dengan nama, fungsi, pemilik bisnis, pengelola harian, lokasi, jenis data, biaya langganan, tanggal perpanjangan, ketergantungan, dan tanggal pemeriksaan terakhir. Jangan menaruh kata sandi atau kode pemulihan di lembar inventaris umum. Catatan ini menunjukkan aset mana yang kritis tanpa membuka kunci aksesnya.

• Akun utama: email bisnis, media sosial, toko daring, layanan pembayaran, hosting, domain, iklan, penyimpanan awan, dan aplikasi produksi.
• Karya dan file sumber: foto mentah, desain terbuka, video proyek, naskah, audio, pola, preset, katalog, kemasan, serta versi final.
• Data operasional: daftar pesanan, stok, pelanggan, pemasok, invoice, lisensi, kontrak, kalender konten, dan catatan persetujuan.
• Akses pemulihan: email dan nomor pemulihan, perangkat tepercaya, kode cadangan, kunci keamanan bila digunakan, serta bukti kepemilikan akun.
• Perangkat dan penyimpanan: ponsel, laptop, kamera, kartu memori, drive eksternal, perangkat kasir, dan lokasi backup.

2. Pisahkan kepemilikan bisnis dari akses harian

Pastikan akun kritis mempunyai pemilik yang sah dan dapat dibuktikan oleh usaha. Hindari menjadikan email pribadi pekerja atau agensi sebagai satu-satunya pemilik domain, toko, iklan, atau penyimpanan. Gunakan peran admin, editor, operator, atau viewer jika layanan menyediakannya, sehingga pekerjaan dapat berjalan tanpa membagikan satu kata sandi kepada semua orang.

Catat siapa yang menyetujui penambahan admin, perubahan rekening, ekspor data, penghapusan file, dan pembelian langganan. Untuk tindakan berisiko tinggi, gunakan pemeriksaan oleh orang kedua. Autentikasi berlapis membantu, tetapi metode pemulihannya juga harus aman; kode cadangan yang dikirim ke grup umum dapat mengalahkan perlindungan akun.

3. Audit akses saat peran berubah atau kerja sama berakhir

Lakukan pemeriksaan terjadwal, misalnya setiap bulan untuk akun kritis dan segera setelah pergantian staf atau vendor. Frekuensi ini adalah kebijakan internal, bukan tenggat resmi. Usaha dengan banyak transaksi, data sensitif, atau pergantian tim cepat mungkin memerlukan pemeriksaan lebih sering.

• Cocokkan daftar pengguna di setiap layanan dengan daftar pekerja, freelancer, agensi, dan mitra yang masih aktif.
• Hapus akses yang tidak lagi diperlukan dan pindahkan kepemilikan file sebelum hubungan kerja berakhir.
• Cabut sesi aktif dan perangkat lama; mengganti kata sandi saja belum tentu menutup seluruh sesi.
• Perbarui email, nomor pemulihan, kode cadangan, token aplikasi, dan integrasi pihak ketiga yang pernah dipakai.
• Simpan catatan tanggal, pelaksana, akun yang diperiksa, perubahan, dan bukti hasil tanpa menyalin rahasia akses.

4. Buat backup yang tidak ikut rusak bersama sumbernya

Sinkronisasi tidak selalu sama dengan backup. Jika file terenkripsi, tertimpa, atau terhapus lalu perubahan itu disinkronkan, salinan lain dapat ikut berubah. Panduan StopRansomware CISA menyarankan cadangan data kritis yang luring dan terenkripsi serta pengujian berkala atas ketersediaan dan integritasnya. UMKM dapat menerjemahkannya menjadi salinan kerja, salinan pada layanan tepercaya dengan riwayat versi, dan satu salinan terpisah yang tidak terus-menerus terhubung ke perangkat produksi.

Tentukan apa yang dicadangkan, seberapa sering, siapa yang memeriksa, lama penyimpanan versi, serta kapan drive terpisah disambungkan. Enkripsi dan pengelolaan kunci harus direncanakan bersama; backup yang terenkripsi tetapi kuncinya hilang tetap tidak dapat dipakai. Jangan menyimpan satu-satunya kode pemulihan di akun atau perangkat yang sama dengan data utama.

5. Uji pemulihan, bukan hanya melihat tanda tersinkron

Pilih satu proyek selesai dan pulihkan ke folder atau perangkat uji yang bersih. Periksa apakah file sumber dapat dibuka, hubungan antarfile tetap utuh, format dapat dibaca, dan versi yang dipulihkan sesuai tanggal. Untuk aset kreatif, uji juga apakah font, musik, stok, plug-in, atau elemen berlisensi masih memiliki bukti penggunaan yang sah; jangan menganggap file yang tersimpan otomatis memberi hak pakai.

Catat waktu mulai, waktu file pertama dapat dipakai, aset yang gagal, orang yang dibutuhkan, dan biaya pemulihan. Target 30 atau 60 menit boleh dipakai sebagai ukuran internal untuk folder kecil, tetapi bukan standar resmi dan tidak cocok untuk semua usaha. Tingkatkan cakupan secara bertahap sampai pesanan, katalog, akun komunikasi, dan file produksi kritis pernah dipulihkan.

6. Tetapkan urutan tindakan saat akun atau perangkat dicurigai

Jangan mengikuti nomor telepon atau tautan pemulihan yang dikirim oleh pihak tak dikenal. Membayar tebusan tidak menjamin file, kerahasiaan data, atau akses akan kembali. Rencana respons harus menunjuk satu pengambil keputusan dan satu jalur komunikasi agar staf tidak menjalankan tindakan yang saling bertentangan.

• Hentikan penggunaan perangkat yang menunjukkan aktivitas tidak wajar dan pisahkan dari jaringan bila dapat dilakukan dengan aman.
• Gunakan perangkat lain yang diyakini bersih untuk menghubungi kanal resmi penyedia layanan dan mengamankan akun.
• Catat waktu, gejala, akun, perangkat, perubahan, pesan, dan transaksi yang terdampak; jangan menghapus bukti secara terburu-buru.
• Jeda iklan, publikasi, pengiriman file, atau perubahan pembayaran bila integritas akun belum dapat dipastikan.
• Beri tahu bank atau penyedia pembayaran melalui kanal resmi bila ada risiko pada transaksi atau rekening.
• Minta bantuan tenaga keamanan siber yang kompeten untuk isolasi, pemeriksaan, dan pemulihan; backup tidak membuktikan perangkat sudah bersih.

7. Hitung biaya waktu henti sebelum memilih kontrol

Contoh simulasi: kontribusi kotor rata-rata usaha setelah biaya variabel adalah Rp1.200.000 per hari. Jika produksi dan penjualan digital berhenti dua hari, dampak operasional awal diperkirakan Rp2.400.000. Tambahkan jasa pemulihan Rp800.000 dan iklan yang tetap berjalan tanpa bisa dilayani Rp500.000. Total paparan simulasi menjadi Rp3.700.000, belum termasuk refund, reputasi, kehilangan pelanggan, kewajiban hukum, atau kebocoran data.

Bandingkan paparan tersebut dengan biaya pengelola kata sandi, penyimpanan, drive cadangan, pelatihan, dan waktu uji pulih. Angka keamanan tidak otomatis menjadi penghematan atau jaminan insiden tidak terjadi. Gunakan skenario 1, 3, dan 7 hari berhenti untuk menentukan layanan mana yang perlu dipulihkan lebih dulu dan berapa kas darurat yang harus tersedia.

8. Bedakan aset kreatif dari data pribadi

Daftar pelanggan, alamat pengiriman, nomor telepon, rekaman percakapan, foto orang, data pekerja, dan informasi pembayaran dapat memuat data pribadi. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berstatus berlaku dan mengatur hak subjek data, pemrosesan, serta kewajiban pengendali dan prosesor data pribadi. Karena itu, jangan menyimpan semua data selamanya hanya karena ruang penyimpanan murah.

Catat tujuan pengumpulan, siapa yang boleh mengakses, lokasi penyimpanan, mitra pemroses, masa retensi, dan cara penghapusan. Jika insiden diduga melibatkan data pribadi, jangan menyimpulkan sendiri bahwa dampaknya kecil atau bahwa backup menyelesaikan kewajiban. Segera minta penilaian hukum dan teknis yang sesuai serta ikuti ketentuan dan kanal resmi yang berlaku.

Checklist audit aset digital minggu ini

Mulailah dari lima aset yang jika hilang akan menghentikan penjualan atau produksi. Audit kecil yang selesai dan diuji lebih berguna daripada daftar panjang yang tidak mempunyai pemilik, bukti akses, atau salinan yang dapat dipulihkan.

• Seluruh akun, domain, langganan, file sumber, data operasional, dan perangkat kritis sudah masuk inventaris.
• Pemilik bisnis, pengelola harian, biaya, tanggal perpanjangan, dan metode pemulihan setiap aset sudah dicatat.
• Tidak ada akun kritis yang hanya dimiliki email pribadi pekerja atau vendor.
• Hak akses disesuaikan dengan tugas; akses lama, sesi aktif, dan integrasi tak terpakai sudah dicabut.
• Autentikasi berlapis aktif pada layanan yang mendukung dan kode pemulihan disimpan terpisah.
• Ada salinan data kritis yang terenkripsi dan tidak selalu terhubung ke perangkat produksi.
• Satu folder proyek sudah dipulihkan serta dibuka, bukan hanya dinyatakan berhasil tersinkron.
• Bukti lisensi dan izin penggunaan elemen kreatif dapat ditemukan bersama proyek.
• Kontak resmi platform, bank, penyedia teknologi, dan tenaga bantuan tersedia secara luring.
• Skenario biaya berhenti 1, 3, dan 7 hari telah dimasukkan ke rencana arus kas.
• Data pribadi dipetakan terpisah dengan tujuan, akses, retensi, dan penanggung jawab yang jelas.