Jawaban singkatnya: tidak ada satu pasal pun di Indonesia yang berbunyi eksplisit “setiap rumah sakit wajib melakukan penetration test.” Namun pertanyaan ini menyesatkan jika dijawab hitam-putih, karena beberapa jalur regulasi yang saling tumpang tindih pada praktiknya menciptakan kewajiban yang hampir setara — tergantung skala, kepemilikan, dan status kelembagaan rumah sakit tersebut. Berikut peta lengkapnya.
Jalur Pertama: UU Pelindungan Data Pribadi
Pasal 35 UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan Pengendali Data Pribadi untuk melindungi dan memastikan keamanan data pribadi yang diproses, termasuk melalui langkah-langkah teknis dan operasional guna mencegah akses tidak sah, pengungkapan, perubahan, atau penghancuran data. Karena rumah sakit bertindak sebagai pengendali data pribadi — menentukan tujuan dan melakukan pengendalian terhadap pemrosesan data pasien — rumah sakit memikul tanggung jawab hukum penuh atas keamanan data yang dikelolanya, dengan konsekuensi tanggung jawab perdata, administratif, maupun pidana jika gagal.
Undang-undang ini tidak menyebut kata “penetration test” secara eksplisit. Namun jika terjadi kebocoran data dan diselidiki regulator, pertanyaan yang hampir pasti muncul adalah: “langkah teknis apa yang sudah dilakukan untuk mencegah ini?” Ketiadaan bukti pengujian keamanan sistem — baik berupa penetration test, vulnerability assessment, maupun audit keamanan lain — akan sulit dipertahankan sebagai bentuk “langkah teknis yang memadai” di hadapan investigasi.
Jalur Kedua: Kategorisasi Sistem Elektronik (SMPI)
Peraturan Menteri Komunikasi dan Informatika Nomor 4 Tahun 2016 tentang Sistem Manajemen Pengamanan Informasi (SMPI) mengatur kewajiban keamanan informasi bagi Penyelenggara Sistem Elektronik (PSE) untuk pelayanan publik, dengan sistem elektronik dikategorikan menjadi tiga tingkat risiko: strategis, tinggi, dan rendah, berdasarkan sepuluh kriteria penilaian seperti nilai investasi sistem dan tingkat kepatuhan regulasi yang berlaku. Penyelenggara sistem elektronik kategori strategis dan tinggi wajib memiliki Sertifikat Sistem Manajemen Pengamanan Informasi berbasis SNI ISO/IEC 27001, dengan audit pengawasan tahunan dari lembaga sertifikasi.
Yang menarik: dalam materi sosialisasi resmi Kominfo tentang SMPI, sistem elektronik rumah sakit (SE Rumah Sakit) secara eksplisit dicantumkan sebagai salah satu contoh sistem yang termasuk kategori tinggi — dengan skor 18 dari rentang 16-35 yang menentukan kategori tersebut. Konsekuensinya, sistem elektronik rumah sakit yang masuk kategori ini wajib memenuhi standar SNI ISO/IEC 27001 — dan meskipun ISO 27001 tidak secara literal mewajibkan kata “penetration test,” proses uji penetrasi umumnya diterapkan sebagai bagian dari tahap penilaian risiko dan manajemen kerentanan teknis dalam siklus sertifikasi maupun audit pengawasan tahunannya.
Catatan penting soal cakupan: SMPI berlaku bagi “penyelenggara sistem elektronik untuk pelayanan publik” — mencakup instansi penyelenggara negara, BUMN/BUMD, dan badan hukum yang menyelenggarakan pelayanan publik. Rumah sakit milik pemerintah (RSUD, RS vertikal Kemenkes) jelas termasuk. Untuk rumah sakit swasta murni, cakupannya lebih ambigu dan tergantung interpretasi apakah layanan kesehatan yang diselenggarakannya dianggap “pelayanan publik” dalam pengertian regulasi ini — poin yang idealnya dikonsultasikan dengan penasihat hukum atau Data Protection Officer (DPO) rumah sakit masing-masing.
Jalur Ketiga: Infrastruktur Informasi Vital Nasional
Ini yang paling sering luput dari perhatian manajer rumah sakit. Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital (IIV) secara eksplisit menetapkan kesehatan sebagai satu dari delapan sektor strategis nasional, bersama administrasi pemerintahan, energi, transportasi, keuangan, teknologi informasi dan komunikasi, pangan, dan pertahanan — dengan Menteri Kesehatan ditetapkan sebagai penanggung jawab sektor tersebut. Pasal 10 Perpres ini mewajibkan setiap penyelenggara IIV menerapkan manajemen risiko keamanan siber secara efektif, mencakup kepatuhan terhadap peraturan yang berlaku, kesesuaian dengan standar sektor, dan sistem pengendalian internal — serta wajib melaporkan hasil penerapan manajemen risiko tersebut kepada kementerian terkait.
Namun sekali lagi ada mekanisme penting yang perlu dipahami: tidak semua rumah sakit otomatis menjadi IIV. Setiap penyelenggara sistem elektronik wajib melaporkan hasil identifikasi disertai informasi relevan kepada kementerian terkait untuk diverifikasi — dan hanya setelah verifikasi tersebut, sistem elektronik ditetapkan resmi sebagai Infrastruktur Informasi Vital dan penyelenggaranya sebagai penyelenggara IIV. Dalam praktiknya, ini kemungkinan besar menyasar rumah sakit vertikal skala nasional atau rumah sakit rujukan yang memiliki peran kritis dalam sistem kesehatan, bukan seluruh klinik dan rumah sakit daerah secara otomatis.
Jalur Keempat: Akreditasi Rumah Sakit
Berdasarkan penelusuran yang tersedia, standar akreditasi rumah sakit (STARKES/KARS) menekankan tata kelola informasi, keamanan data, sistem pencadangan, dan kesiapan pemulihan bencana (disaster recovery) sebagai bagian dari manajemen informasi rumah sakit — namun tidak ditemukan ketentuan yang secara eksplisit dan literal mewajibkan penetration test berkala sebagai instrumen tunggal kepatuhan akreditasi. Ini berbeda dengan tiga jalur di atas yang menyebutkan kewajiban keamanan siber secara lebih langsung.
Catatan transparansi: Poin mengenai akreditasi ini disampaikan berdasarkan hasil penelusuran yang tersedia dan bukan tinjauan menyeluruh terhadap seluruh dokumen standar STARKES/KARS edisi terbaru; pembaca yang membutuhkan kepastian mutlak sebaiknya merujuk langsung ke dokumen instrumen survei KARS terkini atau berkonsultasi dengan surveior akreditasi.
Jadi, Bagaimana Sebaiknya Rumah Sakit Menyikapinya?
Terlepas dari perdebatan soal kewajiban hukum yang eksplisit, ada tiga alasan praktis mengapa penetration test atau minimal vulnerability assessment tetap layak dilakukan secara berkala:
1. Sebagai bukti itikad baik kepatuhan UU PDP. Jika kebocoran data terjadi, keberadaan laporan pengujian keamanan berkala menjadi bukti konkret bahwa rumah sakit telah mengambil “langkah teknis yang wajar” — jauh lebih kuat secara hukum dibanding sekadar mengklaim “sudah menggunakan antivirus.”
2. Sebagai persiapan status kelembagaan yang bisa berubah. Rumah sakit daerah yang hari ini belum ditetapkan sebagai IIV bisa saja ditetapkan di kemudian hari seiring perluasan cakupan regulasi — memiliki kebiasaan pengujian keamanan sejak awal jauh lebih mudah dibanding membangunnya dari nol saat mendadak diwajibkan.
3. Sebagai kebutuhan yang lebih mendesak daripada sekadar kepatuhan. Mengingat probabilitas institusi kesehatan Indonesia menjadi korban ransomware mencapai puluhan persen setiap tahunnya (sebagaimana dibahas dalam artikel sebelumnya tentang keamanan siber fasyankes beranggaran terbatas), menunggu kepastian hukum mutlak sebelum bertindak adalah taruhan yang mahal.
Pendekatan Realistis Sesuai Skala Fasilitas
Bagi rumah sakit besar atau yang berpotensi ditetapkan sebagai IIV/kategori tinggi SMPI, jalur menuju sertifikasi ISO 27001 — yang di dalamnya mencakup pengujian kerentanan teknis secara berkala — adalah investasi yang realistis dan sejalan arah regulasi.
Bagi klinik dan rumah sakit kecil dengan anggaran terbatas, full penetration test oleh pihak ketiga bersertifikasi mungkin belum proporsional dengan skala risiko. Alternatif yang lebih terjangkau: vulnerability assessment dasar menggunakan alat pemindaian gratis atau berbiaya rendah, dilakukan minimal sekali setahun atau setiap kali terjadi perubahan signifikan pada sistem (migrasi SIMRS, integrasi SATUSEHAT baru, penambahan modul). Ini bukan pengganti sempurna dari penetration test profesional, tetapi jauh lebih baik daripada tidak melakukan pengujian keamanan sama sekali — dan tetap memberikan dokumentasi kepatuhan yang relevan dengan kewajiban UU PDP.
Penutup
Tidak ada kalimat tunggal dalam regulasi Indonesia yang berbunyi “rumah sakit wajib pentest.” Yang ada adalah jalinan kewajiban dari UU PDP, kategorisasi risiko sistem elektronik (SMPI), status Infrastruktur Informasi Vital bagi rumah sakit yang ditetapkan demikian, serta ekspektasi akreditasi terhadap tata kelola keamanan informasi — yang secara kumulatif membuat pengujian keamanan berkala menjadi langkah yang secara praktis sulit dihindari, meski belum ditulis sebagai kalimat perintah tunggal. Bagi manajer fasyankes, pertanyaan yang lebih berguna daripada “apakah ini wajib?” adalah “apa yang bisa kami buktikan sudah kami lakukan, jika suatu hari data pasien kami bocor?”
Referensi
Badan Siber dan Sandi Negara. (2022). Perpres IIV. https://www.bssn.go.id/perpres-iiv/
Kartika Rouly Law Firm. (2022). Untuk melindungi kepentingan umum, Presiden Jokowi terbitkan Perpres baru yang mengatur pelindungan infrastruktur informasi vital. https://kartikaroulylawfirm.com/insight/untuk-melindungi-kepentingan-umum-presiden-jokowi-terbitkan-perpres-baru-yang-mengatur-pelindungan-infrastruktur-informasi-vital/
Mutu Certification. (2024). ISO 27001:2022 – Sistem Manajemen Keamanan Informasi. https://mutucertification.com/sertifikasi-iso-27001-2022/
Peraturan Menteri Komunikasi dan Informatika Republik Indonesia Nomor 4 Tahun 2016 tentang Sistem Manajemen Pengamanan Informasi.
Peraturan Presiden Republik Indonesia Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital.
SIP Law Firm. (2026). Tanggung jawab hukum rumah sakit atas kebocoran data pasien. https://siplawfirm.id/resources/tanggung-jawab-hukum-rumah-sakit-kebocoran-data-pasien
Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
Tinggalkan Balasan