Keamanan & Kepatuhan

Halaman ini menjelaskan bagaimana PT Ikara Digital Nusantara ("IKARA") melindungi sistem dan data klien. Ketentuan ini berlaku untuk seluruh produk dan layanan IKARA: situs ikara.id, IKARA Console, setiap aplikasi berlangganan IKARA (termasuk IKARA Samaya dan produk berikutnya), serta sistem custom yang dibangun dan dikelola IKARA di server kami.

Ringkasan

Infrastruktur

• Aplikasi berjalan di server penyedia hosting dengan pusat data di Indonesia. Akses server hanya untuk tim teknis IKARA yang berwenang, melalui koneksi terenkripsi.
• Semua halaman hanya dapat diakses lewat HTTPS. Browser diminta selalu memakai koneksi aman (HSTS), dan setiap halaman memasang header keamanan untuk mencegah clickjacking, penyisipan skrip, dan kebocoran alamat rujukan.
• Percobaan masuk, pengiriman formulir, dan akses API dibatasi jumlahnya untuk menahan serangan tebak kata sandi dan penyalahgunaan.

Pemisahan data antarklien

• Setiap klien produk berlangganan memiliki database sendiri, kunci enkripsi aplikasi sendiri, dan folder berkas sendiri, walaupun memakai kode aplikasi yang sama.
• Pemisahan ini diuji otomatis setiap kali aplikasi diperbarui: data, berkas, sesi, dan tembolok satu klien tidak boleh terbaca dari klien lain.
• Di dalam satu instansi, data dibatasi lagi sesuai peran dan unit kerja pengguna.

Akses & akun

• Kata sandi minimal 10 karakter dan disimpan dalam bentuk hash, tidak pernah dalam bentuk asli.
• Verifikasi dua langkah (aplikasi autentikator) wajib bagi akun pengelola tertinggi dan pengurus tagihan.
• Akun dikunci sementara setelah beberapa kali gagal masuk. Pemilik akun menerima peringatan saat masuk dari perangkat baru dan dapat mengakhiri sesi di perangkat lain.
• Hak akses mengikuti peran (misalnya Super Admin, Admin, Staf, Pimpinan); setiap tindakan diperiksa di server, bukan hanya disembunyikan di tampilan.
• Akses tim IKARA ke IKARA Console juga memakai verifikasi dua langkah dan hak akses per peran.

Enkripsi & rahasia

• Data dikirim lewat koneksi terenkripsi (TLS).
• Kunci, token, dan rahasia integrasi disimpan terenkripsi atau hanya di berkas konfigurasi server yang tidak dapat diakses publik; token yang hanya perlu dicocokkan disimpan sebagai hash.
• Sesi pengguna dienkripsi. Rahasia dirotasi berkala dan segera bila ada dugaan kebocoran.

Cadangan & pemulihan

• Database setiap klien dicadangkan setiap hari di server.
• Salinan cadangan dikirim ke luar server dalam keadaan terenkripsi AES-256 sebelum meninggalkan server; kuncinya hanya dipegang IKARA. Salinan disimpan di layanan penyimpanan awan tepercaya (pusat datanya dapat berada di luar Indonesia) dan, bila diaktifkan, di pusat data dalam negeri.
• Prosedur pemulihan bencana terdokumentasi dan diuji, sehingga layanan dapat dipulihkan ke server lain bila diperlukan.
• Klien dapat mengunduh seluruh datanya kapan saja dari menu Pengaturan aplikasi.

Jejak audit

• Masuk, keluar, gagal masuk, perubahan data, ekspor, dan perubahan pengaturan tercatat dalam log aktivitas yang tidak dapat diubah atau dihapus dari aplikasi.
• Log di IKARA Console disusun berantai dengan hash, sehingga perubahan di luar aplikasi dapat terdeteksi.

Kecerdasan buatan (AI)

• Fitur AI hanya aktif bila termasuk paket klien. Permintaan dikirim melalui gerbang IKARA Console, bukan langsung dari aplikasi klien.
• Nama orang, nama instansi mitra, dan nomor dokumen disamarkan sebelum dikirim ke penyedia AI dan dipulihkan setelah jawaban diterima. Isi dokumen lengkap hanya dikirim bila pengelola instansi mengizinkannya.
• Penyedia AI diakses melalui layanan API komersial yang tidak memakai data untuk melatih model. Salinan permintaan AI di sistem IKARA dihapus paling lama 30 hari.

Pembayaran

Pembayaran online diproses oleh gerbang pembayaran berizin Bank Indonesia. IKARA tidak menerima maupun menyimpan data kartu pembayaran.

Pengembangan yang aman

• Setiap pembaruan melewati analisis kode statis, uji otomatis (termasuk uji hak akses dan pemisahan data), dan pemeriksaan celah keamanan pada pustaka pihak ketiga sebelum dipasang.
• Data klien tidak dipakai di komputer pengembang; pengujian memakai data contoh.
• Setiap perubahan tercatat dalam riwayat versi dan catatan rilis.

Pelindungan data pribadi

• Pemrosesan data pribadi mengikuti UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi; rinciannya ada di Kebijakan Privasi.
• IKARA bertindak sebagai pemroses data bagi data yang dimasukkan klien ke aplikasi, dan menyediakan perjanjian pemrosesan data serta berita acara serah terima untuk setiap layanan.
• Setelah langganan berakhir, data dapat diekspor selama masa retensi, lalu dihapus dan dicatat dalam berita acara penghapusan.

Penanganan insiden

Bila terjadi kegagalan pelindungan data pribadi, IKARA menghentikan dan menangani insiden, memberi tahu klien yang terdampak, dan menyampaikan pemberitahuan tertulis paling lambat 3 × 24 jam sesuai UU Pelindungan Data Pribadi, berisi data yang terdampak, waktu dan cara kejadian, serta langkah penanganan dan pemulihan.

Sistem di server milik klien

Untuk sistem custom yang dipasang di server atau pusat data milik klien, keamanan infrastruktur mengikuti lingkungan klien. IKARA tetap menerapkan praktik pengembangan, pengujian, dan pengaturan aplikasi yang sama seperti di halaman ini.

Melaporkan masalah keamanan

Bila Anda menemukan celah keamanan pada sistem IKARA, laporkan ke info@ikara.id dengan judul "Laporan keamanan". Mohon tidak mengakses data milik pihak lain dan tidak mengungkapkan celah ke publik sebelum kami memperbaikinya. Kami menanggapi laporan pada hari kerja.

Versi bahasa Indonesia adalah versi yang berlaku.