Keamanan di Data Center: Empat Lapis Pertahanan dan Anggaran nya dalam pembangunan

Ke mana uang pembangunan data center sebenarnya pergi?

Biaya membangun data center di Indonesia berada di kisaran USD 8 juta sampai USD 9 juta per megawatt kapasitas terpasang, menurut Indonesia Data Center Investment Analysis Report 2026 dari Research and Markets. Angka itu lebih rendah dibanding rata-rata global 2026 yang dilaporkan sekitar USD 11,3 juta per MW. Hendra Kusuma, Ketua Umum IDPRO, menyebut angka USD 9 juta sampai USD 10 juta per MW untuk pekerjaan mekanikal, elektrikal, serta core and shell saja (Kontan, Agustus 2025). Belum termasuk perangkat IT.

Catatan penting sebelum Anda melanjutkan. Semua angka di artikel ini bersifat indikatif dan hanya layak dipakai untuk perencanaan awal, penyusunan business case, atau kalibrasi ekspektasi internal. Costing aktual sebuah data center wajib berasal dari feasibility study yang dikerjakan konsultan MEP atau kontraktor EPC, dengan basis kondisi lahan, ketersediaan daya PLN di titik tersebut, target rated level, dan kepadatan rak yang Anda rencanakan. Perbedaan antara estimasi benchmark dan hasil studi kelayakan bisa mencapai puluhan persen. Kami menampilkan struktur biaya di sini sebagai konteks, bukan sebagai penawaran.

Dan supaya jelas sejak awal: SECOM tidak membangun data center. SECOM mengamankannya. Perhitungan daya, cooling, dan struktur bangunan adalah ranah konsultan MEP dan kontraktor EPC. Ranah kami dimulai di lapisan berikutnya, ketika fasilitas itu harus dijaga 24 jam dan setiap orang yang masuk ke white space harus bisa dipertanggungjawabkan.

Komponen biaya CapEx

Lahan dan bangunan

Harga tanah menyumbang porsi paling kecil dari total proyek, sering di bawah 10%, tapi lokasi menentukan hampir segalanya yang datang setelahnya. Kementerian Komdigi, saat menjelaskan kriteria lokasi Pusat Data Nasional, menyebut syarat seperti tidak memiliki riwayat gempa dan banjir, serta berjarak dari pusat keramaian, bandara, dan jalur kereta api. Kriteria itu mengacu pada SNI 8799:2019 dan standar internasional ANSI/TIA-942.

Bangunannya sendiri bukan gudang biasa. Slab beton lebih tebal untuk menahan beban rak, standar kerataan lantai lebih ketat untuk raised floor, dan struktur harus memperhitungkan beban seismik. Untuk site di Jakarta atau Surabaya, pertimbangan seismik ini menambah biaya struktur yang tidak muncul di proyek komersial biasa.

Daya: genset, UPS, switchgear

Inilah pos terbesar. Sistem elektrikal menyerap 40% sampai 45% anggaran konstruksi menurut Dgtl Infra, dan konfigurasi redundansi adalah pengali terbesarnya. Naik dari N+1 ke 2N di sisi elektrikal bisa menambah 40% sampai 60% pada kategori ini saja.

Isinya: transformer dan switchgear tegangan menengah, UPS beserta bank baterai, genset diesel dengan tangki bahan bakar, automatic transfer switch, PDU dan busway sampai ke rak. Di banyak proyek Indonesia, yang jadi penentu jadwal bukan gedungnya, melainkan kapan PLN bisa menyambungkan daya.

Cooling

Iklim tropis membuat pos ini lebih mahal dibanding fasilitas serupa di Jepang atau Eropa. Kelembapan tinggi dan suhu luar yang bisa melewati 35 derajat memaksa sistem pendingin bekerja lebih keras sepanjang tahun, tanpa jeda musim dingin untuk free cooling.

Kepadatan rak juga naik. Uptime Institute mencatat rata-rata daya per rak global bergerak dari 6,8 kW ke 7,5 kW pada survei 2025. Beban AI mendorong angka itu jauh lebih tinggi, dan begitu Anda masuk ke rentang 30 kW ke atas per rak, pendinginan udara konvensional mulai kehabisan napas. Direct-to-chip dan immersion cooling masuk sebagai opsi, dengan tambahan biaya per rak yang tidak kecil.

IT infrastructure

Server, storage, switch, router, dan structured cabling. Untuk fasilitas colocation, pos ini milik tenant. Untuk enterprise yang membangun sendiri, dia sering menjadi porsi terbesar dari total pengeluaran, bahkan melampaui biaya fasilitas.

Satu hal yang sering terlewat di tahap anggaran: siklus refresh. Perangkat IT umumnya diasumsikan berumur 5 tahun, sementara fasilitasnya dirancang untuk belasan tahun. Artinya Anda akan belanja besar lagi jauh sebelum gedungnya tua.

Sistem keamanan

Nah, di sinilah anomali anggaran itu terjadi.

Sistem keamanan fisik jarang berdiri sebagai kategori CapEx sendiri. Dia numpang, kadang dipecah ke beberapa paket kontraktor yang berbeda. Padahal cakupannya luas: access control dan controller-nya, pembaca kartu dan biometrik, CCTV beserta VMS dan storage, sensor intrusi perimeter, mantrap atau interlocking door, sistem visitor management, kunci kabinet elektronik, sampai command center tempat semuanya dipantau.

Karena tidak punya baris sendiri, sistem keamanan sering jadi yang pertama dipangkas ketika proyek kena tekanan biaya. Konsekuensinya baru terasa dua tahun kemudian, saat audit pelanggan pertama datang dan menanyakan audit trail per rak yang tidak pernah dipasang.

Kami sengaja tidak mencantumkan harga sistem SECOM di artikel ini, dan itu bukan karena disembunyikan. Konfigurasi keamanan tidak bisa dikutip dari katalog. Jumlah titik akses, panjang perimeter, jumlah data hall, jam operasional pos jaga, dan target rated level semuanya mengubah desain secara mendasar. Angka yang jujur hanya keluar setelah site survey.

Sertifikasi dan commissioning

Audit TIA-942 atau Uptime Institute, sertifikasi SNI 8799, ISO 27001, dan integrated systems testing sebelum go-live. Pos ini kecil secara nominal, besar secara risiko. Kegagalan saat integrated systems testing, yang biasanya berakar dari koordinasi MEP yang buruk di tahap desain, dilaporkan bisa menunda proyek rata-rata hampir empat bulan.

Komponen biaya OpEx

Listrik dan PUE

Listrik adalah tagihan terbesar seumur hidup fasilitas. Fasilitas 100 MW yang berjalan penuh mengonsumsi sekitar 876 juta kWh setahun, sebelum dikalikan tarif.

Efisiensinya diukur dengan Power Usage Effectiveness. Survei Uptime Institute 2025 mencatat rata-rata tertimbang PUE global di angka 1,54, praktis tidak bergerak selama enam tahun berturut-turut. Google melaporkan PUE armada 1,09 untuk 2025. Selisih itu bukan soal teknologi rahasia, melainkan soal iklim, umur fasilitas, dan skala.

Untuk operator Indonesia, PUE 1,5 sudah termasuk capaian bagus. Iklim tropis memberi handicap struktural yang tidak dimiliki fasilitas di Skandinavia.

Maintenance

Estimasi Thunder Said Energy menempatkan maintenance sebagai porsi OpEx terbesar, sekitar 40%, dengan listrik di kisaran 15% sampai 25%. Isinya kontrak servis genset, penggantian baterai UPS, servis chiller, kalibrasi sensor, dan penggantian filter. Semuanya berjadwal, semuanya berulang.

Manned guarding dan monitoring

Teknologi mendeteksi. Manusia memutuskan dan merespons.

Pos ini mencakup personel satpam bersertifikat, supervisor, operator command center, dan tim respons. Untuk fasilitas dengan target rated level tinggi, kehadiran petugas 24 jam bukan pilihan operasional melainkan bagian dari persyaratan desain.

Perlu dicatat pembagian peran di grup SECOM: sisi tenaga pengamanan ditangani SECOM Bhayangkara, sementara SECOM Indonesia menangani sisi sistem, mulai dari alarm, access control, CCTV, sampai monitoring terpusat. Dua entitas, satu rantai tanggung jawab.

Lisensi dan audit kepatuhan

Yang paling sering hilang dari model finansial tahun pertama. Lisensi VMS dan sistem access control biasanya berbasis jumlah kamera atau jumlah pintu, dan bertambah setiap kali fasilitas berekspansi. Tambahkan biaya surveillance audit tahunan untuk ISO 27001 dan SNI 8799, resertifikasi TIA-942, plus audit dari pelanggan enterprise yang punya standar sendiri.

Sebuah data center colocation dengan puluhan tenant korporat bisa menerima permintaan audit fisik beberapa kali setahun. Setiap audit menyita waktu tim operasional.

Kenapa rated level menentukan biaya keamanan

Di sinilah dua bagian artikel ini bertemu.

ANSI/TIA-942, yang versi terbarunya TIA-942-C terbit Mei 2024, mengklasifikasikan data center ke dalam empat Rated level. Rated 1 punya komponen tunggal tanpa redundansi. Rated 2 menambah komponen redundan. Rated 3 concurrently maintainable, artinya setiap komponen bisa dirawat tanpa mematikan layanan. Rated 4 fault tolerant, dengan jalur ganda penuh.

Yang sering disalahpahami: Rated level bukan cuma soal listrik dan pendingin. Standar ini menilai empat kategori sekaligus, dan arsitektur beserta keamanan fisik termasuk di dalamnya. Naik Rated level berarti naik pula persyaratan zona keamanan, kontrol akses, dan pemisahan jalur.

Ringkasan publik dari standar tersebut menyebutkan pola kenaikan seperti ini: di Rated 2 mulai direkomendasikan kontrol akses dua faktor, sementara di Rated 3 muncul persyaratan zona keamanan yang terpisah, mantrap sebagai jalur masuk ke server hall, dan kehadiran petugas di lokasi selama 24 jam. Rated 4 menaikkannya lagi. Teks normatif lengkapnya hanya tersedia lewat pembelian standar resmi dari TIA, jadi verifikasi klausul spesifik sebaiknya dilakukan bersama auditor berlisensi, bukan dari ringkasan mana pun termasuk artikel ini.

Konsekuensi anggarannya terukur. Beberapa analisis konstruksi menempatkan kenaikan dari Tier II ke Tier III di kisaran 15% sampai 25%, dan Tier IV 25% sampai 40% di atas Tier III. Sebagian dari kenaikan itu murni elektrikal dan mekanikal. Sebagian lagi arsitektural dan keamanan.

Jadi kalau Anda menargetkan Rated 3 atau Rated 4, keamanan fisik bukan add-on yang bisa ditunda ke fase dua. Dia konsekuensi desain. Mantrap butuh ruang yang harus dialokasikan di denah sejak awal. Zona keamanan berlapis butuh alur sirkulasi yang dirancang sejak gambar arsitektur, bukan ditambal setelah dinding berdiri. Conduit untuk kabel access control dan CCTV harus masuk ke koordinasi MEP bersama pipa dan ducting.

Retrofit selalu lebih mahal. Kadang bukan cuma mahal, tapi mustahil tanpa membongkar.

Keamanan di data center: empat lapis pertahanan

Prinsipnya sederhana dan sudah lama dipakai di dunia pengamanan fisik: satu lapis pasti bisa ditembus, jadi aset kritis butuh beberapa lapis kontrol yang independen. Setiap lapis punya tugas berbeda. Menghalangi, mendeteksi, memperlambat, lalu merespons.

Ada aritmetika sederhana di baliknya yang sering hilang saat pembahasan berpindah ke spesifikasi produk. Total waktu tunda yang diberikan seluruh lapisan harus lebih panjang daripada waktu yang dibutuhkan tim respons untuk sampai ke titik kejadian. Kalau pagar dan pintu Anda bersama-sama menahan penyusup selama tiga menit sementara petugas terdekat butuh delapan menit, jumlah perangkatnya tidak akan menyelamatkan situasi. Deteksi dini di lapis terluar berfungsi memperpanjang sisi kiri persamaan itu, dan penempatan pos jaga memperpendek sisi kanannya.

Untuk data center, empat lapis berikut adalah kerangka yang kami pakai saat merancang sistem.

Lapis 1: Perimeter

Tugas perimeter bukan menghentikan penyusup. Tugasnya memaksa siapa pun yang mau masuk untuk melewati satu titik yang Anda kendalikan, dan memberi tahu Anda lebih awal kalau ada yang mencoba lewat titik lain.

Elemennya dimulai dari pagar dan jarak aman antara pagar dengan dinding gedung. Standoff distance ini punya fungsi ganda: memberi waktu respons, dan menjauhkan kendaraan dari struktur. Bollard atau barrier anti-ram di jalur masuk kendaraan melengkapi fungsi kedua.

Deteksi intrusi perimeter bisa berupa sensor yang dipasang di pagar, kabel sensor yang ditanam, atau microwave barrier untuk area terbuka. Pilihan teknologinya sangat bergantung kondisi lahan.

Lalu CCTV dengan video analytics. Kamera tanpa analytics di perimeter sepanjang ratusan meter praktis tidak berguna, karena tidak ada operator yang sanggup menatap dua puluh layar sepanjang malam. Analytics mengubah kamera dari alat rekam jadi alat deteksi: line crossing, deteksi loitering, deteksi objek yang ditinggalkan, klasifikasi manusia versus kendaraan.

Di sini ada persoalan lokal yang jarang muncul di brosur vendor. Hujan deras, kabut, serangga yang tertarik lampu infra merah, kucing, daun palem yang bergoyang, semuanya memicu alarm palsu. Sistem perimeter yang dikalibrasi untuk iklim sedang akan membanjiri command center dengan notifikasi dalam seminggu pertama musim hujan. Setelah itu operator berhenti percaya pada alarm, dan itu jauh lebih berbahaya daripada tidak punya sistem sama sekali. Kalibrasi tropis bukan detail teknis kecil, dan sebaiknya masuk ke scope pengujian saat commissioning.

Penerangan sering dianggap urusan estetika gedung, padahal dia komponen deteksi. Kamera dengan sensor terbaik pun butuh cahaya yang merata di sepanjang jalur pengamatan. Titik gelap di antara dua tiang lampu adalah lubang di cakupan Anda, dan lubang itu tidak terlihat di gambar desain, cuma terlihat saat uji malam hari. Prinsip Crime Prevention Through Environmental Design berlaku di sini: pangkas vegetasi yang bisa jadi tempat sembunyi, hindari sudut mati di sisi bangunan, dan arahkan jalur pejalan kaki melewati area yang terlihat dari pos jaga.

Screening kendaraan punya beberapa tingkat, dan pilihannya bergantung profil risiko fasilitas. Paling dasar adalah verifikasi identitas pengemudi plus pencocokan dengan jadwal pengiriman. Tingkat berikutnya menambah pemeriksaan kompartemen kendaraan dan cermin pemeriksa kolong. Fasilitas dengan tenant sektor pemerintah atau keuangan kadang meminta area holding terpisah, tempat kendaraan menunggu verifikasi sebelum gerbang kedua dibuka.

Pos jaga menutup lapis ini. Bukan sekadar tempat duduk, tapi titik kendali: verifikasi identitas pengemudi, pemeriksaan kendaraan yang masuk area loading, pencatatan, dan komunikasi ke command center.

Kualitas lapis pertama pada akhirnya ditentukan oleh apa yang terjadi setelah alarm berbunyi. Sensor yang menyala tanpa prosedur respons yang jelas cuma menghasilkan catatan. Yang perlu dirancang bersamaan dengan perangkatnya: siapa yang menerima notifikasi, dalam berapa detik dia harus mengonfirmasi lewat kamera, kapan dia mengirim patroli, dan kapan dia menaikkan eskalasi ke pihak luar. Prosedur ini sebaiknya sudah ada di dokumen desain, bukan disusun setelah sistem terpasang.

Lapis 2: Bangunan dan lobi

Begitu seseorang masuk gedung, pertanyaannya berubah. Bukan lagi "siapa yang ada di luar", tapi "apakah orang ini berhak berada di sini, dan sedang menuju ke mana".

Access control di titik masuk gedung sebaiknya sudah dua faktor, minimal kartu dan PIN. Kartu bisa dipinjam, hilang, atau dikloning. Faktor kedua memutus rantai itu.

Mantrap, kadang disebut airlock atau access control vestibule, adalah ruang kecil dengan dua pintu yang saling mengunci. Pintu pertama harus tertutup penuh sebelum pintu kedua bisa terbuka. Efeknya: satu orang lewat pada satu waktu, dan siapa pun yang gagal verifikasi terperangkap di ruang antara. Versi yang lebih ketat memakai sensor berat atau time-of-flight untuk memastikan hanya ada satu orang di dalam.

Visitor management sering jadi titik terlemah, karena di banyak fasilitas prosesnya masih buku tamu dan kartu visitor generik. Praktik yang lebih ketat: pra-registrasi sebelum kedatangan, verifikasi identitas dengan dokumen resmi yang dipindai, badge dengan masa berlaku yang otomatis mati, kebijakan escort wajib untuk seluruh area teknis, dan pencatatan otomatis yang bisa ditarik saat audit.

Screening masuk di titik ini juga. X-ray baggage scanner dan walk-through metal detector lazim di fasilitas dengan tenant sektor keuangan atau pemerintah. Kalau Anda mempertimbangkan X-ray scanner, penempatannya harus mengikuti pola lalu lintas orang di gedung, dan operatornya perlu izin pemanfaatan sumber radiasi dari BAPETEN. Ini bagian yang sering luput saat vendor menawarkan unit tanpa membahas perizinan.

Satu area yang hampir selalu diabaikan: loading dock. Barang masuk, teknisi vendor masuk, kontraktor masuk, sering lewat pintu yang kontrolnya jauh lebih longgar daripada lobi utama. Rancang loading dock sebagai zona terpisah dengan kontrol sendiri, bukan sebagai pintu belakang.

Ada ketegangan desain yang harus diselesaikan di lapis ini, dan menyelesaikannya di gambar jauh lebih murah daripada di lapangan. Regulasi keselamatan kebakaran mengharuskan jalur evakuasi bisa dibuka bebas dari dalam, sementara logika keamanan menginginkan setiap pintu terkunci dan tercatat. Jawabannya bukan memilih salah satu. Pintu darurat tetap bebas dibuka dari dalam, tapi dilengkapi alarm lokal dan monitoring status pintu, sehingga setiap pembukaan tercatat dan memicu verifikasi lewat kamera. Fasilitas yang mencoba menyiasati ini dengan merantai pintu darurat akan gagal inspeksi keselamatan, dan pantas gagal.

Kunci mekanis juga butuh tata kelola sendiri. Setiap data center punya kunci fisik untuk panel, ruang genset, ruang UPS, dan area teknis yang tidak semuanya masuk sistem elektronik. Tanpa key management yang rapi, mencakup lemari kunci terkontrol, pencatatan peminjaman, dan audit berkala, Anda punya sistem access control canggih di pintu depan dengan kunci cadangan yang menggantung di laci meja resepsionis.

Kontraktor dan teknisi vendor pantas mendapat perlakuan berbeda dari tamu biasa. Mereka datang berulang, membawa peralatan, dan bekerja di area teknis. Praktik yang lebih aman: daftar personel vendor yang disetujui di muka, kredensial sementara yang otomatis kedaluwarsa di akhir periode kerja, pemeriksaan tas keluar untuk area tertentu, dan pencabutan akses yang otomatis terpicu saat kontrak berakhir. Poin terakhir itu yang paling sering bocor. Banyak fasilitas rajin menerbitkan akses dan lupa mencabutnya.

Lapis 3: Data hall dan white space

Ini area dengan konsekuensi tertinggi, dan populasi yang berhak masuk paling sedikit.

Autentikasi di pintu data hall sebaiknya multi-faktor dengan biometrik sebagai salah satu faktornya. Palm vein, iris, atau sidik jari, tergantung kondisi lingkungan dan preferensi operasional. Palm vein punya keunggulan praktis di lingkungan teknis karena tidak terpengaruh kondisi permukaan kulit dan tidak butuh kontak langsung.

Anti-tailgating jadi kontrol wajib di lapis ini. Tailgating, yaitu mengikuti orang berwenang masuk tanpa melakukan verifikasi sendiri, adalah cara paling sederhana untuk melewati sistem access control termahal sekalipun. Solusinya bisa berupa turnstile setinggi badan, portal interlock dengan sensor okupansi, atau sensor tailgate detection di atas pintu yang memicu alarm saat mendeteksi dua orang lewat pada satu kredensial.

Logging adalah alasan lapis ini ada dari sisi kepatuhan. Setiap pembukaan pintu tercatat: siapa, kapan, pintu mana, arah masuk atau keluar. Anti-passback memastikan kredensial yang sudah dipakai masuk tidak bisa dipakai masuk lagi sebelum tercatat keluar. Log ini yang nanti ditarik saat auditor ISO 27001 atau tenant sektor perbankan meminta bukti kontrol akses fisik.

Untuk fasilitas colocation multi-tenant, pemisahan fisik antar tenant lewat cage atau ruang terkunci jadi standar. Tenant A tidak boleh punya jalur fisik ke perangkat tenant B, dan itu harus bisa ditunjukkan, bukan sekadar dijanjikan di kontrak.

Cakupan kamera di dalam data hall perlu dirancang per lorong, bukan per ruangan. Kamera sudut ruangan yang menangkap gambaran umum tidak akan membantu ketika Anda harus menjawab pertanyaan siapa yang membuka kabinet nomor 14 pada pukul dua pagi.

Soal retensi rekaman, tentukan angkanya dari kewajiban kepatuhan dan permintaan tenant, lalu hitung storage-nya sebelum menetapkan jumlah kamera. Urutan ini penting dan sering dibalik. Resolusi, frame rate, jumlah kamera, dan periode retensi saling terikat dalam satu persamaan kapasitas. Menaikkan salah satunya tanpa menghitung yang lain menghasilkan sistem yang menimpa rekaman lama lebih cepat dari yang Anda kira, dan biasanya baru ketahuan saat rekaman itu dibutuhkan.

Untuk zona dengan konsekuensi tertinggi, sebagian operator menerapkan two-person rule: tidak ada seorang pun boleh berada sendirian di dalam area tertentu, dan pintu hanya terbuka ketika dua kredensial berbeda diverifikasi berurutan. Kontrol ini mahal secara operasional karena mengikat dua orang untuk satu pekerjaan, jadi penerapannya biasanya terbatas pada ruang yang benar-benar kritis, bukan seluruh data hall.

Kebijakan escort perlu punya angka, bukan cuma pernyataan. Berapa maksimal orang yang boleh didampingi satu petugas escort? Rasio satu banding sepuluh secara praktis sama dengan tidak ada pendampingan. Rasio yang masuk akal untuk area teknis biasanya berada di kisaran satu banding dua sampai satu banding empat, tergantung tata letak ruangan dan garis pandang.

Kebijakan perangkat juga bagian dari lapis ini. Larangan kamera dan ponsel di dalam data hall lazim di fasilitas dengan tenant sektor keuangan, meski penegakannya menuntut disiplin dan loker di titik masuk. Sama pentingnya, media penyimpanan yang keluar dari fasilitas butuh prosedur tersendiri, mulai dari pencatatan sampai bukti penghapusan atau penghancuran.

Lapis 4: Rack dan cabinet

Lapis terakhir, dan yang paling sering dilewati sepenuhnya.

Logikanya begini. Tiga lapis sebelumnya memverifikasi bahwa seseorang berhak masuk ke ruangan. Tidak satu pun memverifikasi bahwa dia berhak menyentuh rak tertentu di dalam ruangan itu. Teknisi vendor yang datang untuk mengganti disk di kabinet 7 punya akses fisik yang sama ke kabinet 8 sampai 30, kecuali ada kontrol di level kabinet.

Kunci kabinet elektronik menutup celah ini. Handle dengan pembaca kartu atau biometrik, terhubung ke sistem access control yang sama, dengan kewenangan yang diberikan per kabinet dan bisa dibatasi per rentang waktu. Ada juga varian dengan kunci mekanis terkontrol untuk fasilitas yang belum siap ke sistem elektronik penuh.

Audit trail per akses adalah nilai sebenarnya dari lapis ini. Setiap pembukaan kabinet tercatat lengkap dengan identitas dan waktu, lalu bisa direkonsiliasi dengan tiket kerja. Kalau ada perangkat hilang atau konfigurasi berubah tanpa penjelasan, Anda punya daftar nama yang pendek, bukan daftar semua orang yang masuk gedung hari itu.

Sensor tamper pada pintu kabinet melengkapi kunci elektroniknya. Kunci mencatat pembukaan yang sah. Sensor mencatat pembukaan yang tidak sah, termasuk percobaan membuka lewat cara lain. Dua-duanya perlu, karena yang Anda cari saat investigasi justru anomali, bukan aktivitas normal.

Integrasi ke sistem tiket mengubah log jadi kontrol yang benar-benar berfungsi. Log akses kabinet yang berdiri sendiri hanya berguna kalau ada orang yang membacanya. Ketika log itu direkonsiliasi otomatis dengan tiket pekerjaan, setiap pembukaan tanpa tiket yang cocok langsung menonjol. Ini pekerjaan yang mustahil dilakukan manual di fasilitas dengan ratusan kabinet.

Satu detail fisik yang sering luput: kabinet dengan pintu depan dan belakang terkunci rapi, tapi panel samping yang bisa dilepas tanpa alat khusus. Atau dua kabinet bersebelahan tanpa panel pemisah, sehingga tangan bisa menjangkau dari satu ke yang lain lewat bagian belakang. Kontrol level rak yang serius memeriksa integritas seluruh enclosure, bukan cuma pintunya.

Untuk operator colocation, kontrol level kabinet berubah dari fitur teknis jadi argumen komersial. Tenant dari sektor perbankan dan asuransi semakin sering menjadikannya syarat tender, bukan nilai tambah. Menambahkannya setelah rak terpasang dan terisi jauh lebih merepotkan daripada menyiapkannya sejak awal.

Kalau ada satu lapis yang paling sering hilang dari anggaran dan paling mahal untuk ditambahkan belakangan, ini orangnya.

Standar dan regulasi yang perlu dipenuhi di Indonesia

Kepatuhan data center Indonesia berdiri di atas beberapa lapis aturan yang berbeda sifatnya.

PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik mewajibkan Penyelenggara Sistem Elektronik menjalankan sistemnya secara andal dan aman, dengan manajemen risiko terhadap kerusakan atau kerugian yang mungkin timbul. Untuk PSE lingkup publik, data dan pemrosesannya wajib berada di wilayah Indonesia. Untuk PSE lingkup privat, penempatan di luar negeri masih dimungkinkan dengan syarat jaminan akses audit dan perlindungan setara.

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, disahkan 17 Oktober 2022, menetapkan kewajiban Pengendali dan Prosesor Data Pribadi untuk melindungi data lewat kontrol teknis dan organisasional. Sanksinya berjenjang, dari administratif sampai pidana. Kontrol akses fisik ke fasilitas penyimpanan masuk dalam cakupan kewajiban ini.

SNI 8799 Teknologi Informasi Pusat Data, pertama terbit 2019 oleh Komite Teknis 35-01 dengan revisi pada Bagian 1 dan 2 tahun 2023, mengatur klasifikasi strata 1 sampai 4 beserta persyaratan teknisnya. Keamanan fisik, mencakup pengawasan akses dan sistem surveilans, disebut sebagai salah satu komponen utamanya.

ANSI/TIA-942 dan skema Uptime Institute adalah standar internasional yang dipakai luas di pasar colocation Indonesia. Sertifikasinya sering jadi syarat masuk tender enterprise.

ISO/IEC 27001 untuk sistem manajemen keamanan informasi dan ISO 22301 untuk kelangsungan bisnis melengkapi sisi tata kelola. Kontrol keamanan fisik dan lingkungan adalah bagian eksplisit dari Annex A ISO 27001.

Satu lapis lagi yang khas Indonesia dan sering luput dari checklist konsultan asing: Perpol Nomor 4 Tahun 2020 tentang Pengamanan Swakarsa, dengan sebagian ketentuan diperbarui lewat Perpol Nomor 1 Tahun 2023. Aturan ini mensyaratkan penyedia jasa pengamanan berbentuk Perseroan Terbatas dengan Surat Izin Operasional dari Polri, dan setiap anggota satpam aktif wajib memiliki Kartu Tanda Anggota serta kualifikasi pelatihan minimal Gada Pratama.

Praktisnya: kalau vendor manned guarding Anda tidak bisa menunjukkan SIO yang masih berlaku dan KTA personel yang ditempatkan, kepatuhan fasilitas Anda punya lubang di titik yang paling mudah diperiksa auditor.

Langkah berikutnya

Kalau Anda sedang menyusun business case data center, gunakan angka di artikel ini untuk kalibrasi awal, lalu serahkan costing sebenarnya ke konsultan MEP atau kontraktor EPC yang akan mengerjakan feasibility study. Itu ranah mereka, dan mereka lebih baik di sana daripada siapa pun yang menjual sistem keamanan.

Untuk lapisan keamanannya, prosesnya berbeda. Tidak ada harga standar yang bisa kami kirim lewat email, karena tidak ada dua fasilitas dengan perimeter, alur sirkulasi, dan profil risiko yang sama. Yang kami lakukan pertama adalah site survey: memetakan titik akses, menghitung kebutuhan cakupan, menilai kondisi lingkungan yang akan memengaruhi kalibrasi sensor, dan menyesuaikan desain dengan target rated level Anda. Rekomendasi dan angkanya keluar dari situ.

Kalau proyek Anda masih di tahap gambar, ini justru waktu terbaik untuk bicara. Lapisan keamanan yang dirancang bersamaan dengan arsitektur selalu lebih rapi, lebih murah, dan lebih tahan audit dibanding yang ditambahkan setelah dinding berdiri.