Question: Penyelenggara Skema SCCI

terdiri atas: pemilik Skema SCCI; komite Skema SCCI; penanggung Jawab Skema SCCI; LSPro; dan Laboratorium Pengujian.

Sponsor dan/atau Developer tidak diizinkan mengajukan kembali permohonan sertifikasi setelah keputusan gagal sertifikasi.

Sertifikat sistem manajemen mutu tidak relevan dalam menentukan ruang lingkup audit proses produksi.

Evaluasi kompetensi LSPro tidak mencakup legalitas kelembagaan atau sarana pengujian, dan tidak diperlukan auditor dalam proses sertifikasi.

berdasarkan SNI ISO/IEC 17065:2012 dan SNI ISO/IEC 17067:2013.

Proses determinasi dapat dilakukan dalam satu tahap tanpa pembagian evaluasi.

apabila menggunakan merek Produk, maka menyampaikan informasi merek Produk yang diajukan untuk disertifikasi; CC dan/atau SNI yang digunakan sebagai dasar pengajuan permohonan sertifikasi sesuai tabel daftar produk, acuans CC, acuan SNI dan uraian penilaian kesesuaian; tujuan penggunaan produk apakah untuk digunakan di sektor IIV dan/atau digunakan di sektor selain IIV; formulir pengajuan permohonan sertifikasi TOE; bukti evaluasi TOE termasuk level keamanan; dan EPP dan surat pernyataan dokumen penilaian awal ST dan kecukupan bukti evaluasi dari Laboratorium Pengujian yang berlisensi.

LSPro tetap akan memproses permohonan pemeliharaan meskipun persyaratan tidak dilengkapi dalam waktu yang ditentukan.

Sertifikasi ulang bisa dilakukan tanpa mengikuti prosedur administratif, determinasi, atau tinjauan yang ditetapkan.

Pussertif BSSN adalah pusat pelatihan keamanan siber di bawah BSSN yang fokus pada memberikan pendidikan keamanan siber.

Pemeliharaan jaminan keamanan bisa dilaksanakan meskipun ada masalah yang terdeteksi dalam proses verifikasi.

Perubahan mayor bisa berupa perubahan yang tidak terkait langsung dengan fungsi keamanan TOE.

Tinjauan permohonan sertifikasi bisa dilakukan tanpa batas waktu yang jelas.

atau Skema Common Criteria Indonesia (SCCI) yaitu meningkatkan daya saing produk Indonesia di pasar global dengan standar Common Criteria (CC). Sertifikasi ini meningkatkan reputasi Indonesia sebagai penyedia layanan jaminan keamanan TIK melalui partisipasi dalam Common Criteria Recognition Arrangement (CCRA), memungkinkan akses pasar internasional untuk produk TIK bersertifikasi. Selain itu, sertifikasi memastikan keamanan infrastruktur informasi Indonesia dengan menyediakan produk yang dijamin keamanannya secara independen. Analisis keamanan independen yang ketat membantu mengidentifikasi dan memperbaiki kerentanan, meningkatkan keamanan produk TIK Indonesia.

Pussertif menjalankan sistem manajemen mutu berdasarkan ISO/IEC 27001 tentang keamanan informasi.

Pengujian TOE dapat dilakukan di laboratorium mana saja tanpa akreditasi khusus.

Pengajuan pemeliharaan jaminan keamanan bisa diajukan kapan saja tanpa perlu menunggu 30 hari setelah sertifikat diterbitkan.

LSPro bisa membiarkan produk yang tidak memenuhi persyaratan tetap beredar tanpa tindakan lebih lanjut, termasuk tanpa menarik produk atau mencabut logo SCCI.

Evaluasi khusus bisa diabaikan meskipun ada keluhan atau informasi yang membutuhkan investigasi.

Surveilans bisa dilakukan tanpa audit dokumen atau rekaman, dan tanpa menggunakan media tertentu untuk mendapatkan bukti.

Sponsor dan/atau Developer bisa mengabaikan kekurangan kelengkapan persyaratan tanpa perlu melengkapinya dalam batas waktu tertentu.


Question: Dalam hal LSPro dan/atau Laboratorium Pengujian belum tersedia atau jumlahnya belum mencukupi kebutuhan

Kepala Badan dapat menunjuk LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi. Penunjukan LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi dilakukan berdasarkan hasil evaluasi kompetensi oleh Deputi.

atau tindakan lainnya yang disebabkan oleh faktor lainnya dengan mempertimbangkan risiko yang ditemukan.

LSPro tidak perlu menerbitkan laporan atau memutakhirkan register meskipun terjadi perubahan minor.

Negara anggota CCRA tidak terdaftar di portal resmi CC, dan rincian kontak tidak dapat ditemukan secara online.

Komite Skema SCCI dapat dibentuk tanpa melibatkan Deputi atau Direktur.

Sponsor dan/atau Developer tidak diberikan waktu untuk melakukan tindakan perbaikan atas ketidaksesuaian dalam proses evaluasi.

dimulai dari pengisian formulir permohonan, penyediaan informasi produk yang lengkap, dan pendaftaran untuk pengujian dan sertifikasi.

Konsultasi teknis mencakup pelatihan dasar-dasar keamanan siber dan tidak terkait dengan penyusunan dokumen pengujian.

Sponsor dan/atau Developer tidak diizinkan mengajukan kembali permohonan sertifikasi setelah keputusan gagal sertifikasi.

Dokumen Skema SCCI tidak diakui oleh CCRA dan tidak dapat digunakan sebagai acuan pelaksanaan berdasarkan standar internasional.

terdiri atas: ruang lingkup; persyaratan acuan; jenis kegiatan penilaian kesesuaian; prosedur administratif; determinasi; tinjauan dan keputusan; pemeliharaan jaminan keamanan; pemeliharaan sertifikasi; evaluasi khusus; ketentuan pengurangan, pembekuan, dan pencabutan sertifikasi; keluhan dan banding; informasi publik; penggunaan tanda SNI dan tanda SCCI atau tanda SNI dan tanda CC; daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

apabila terdapat Produk yang disertifikasi tidak memenuhi persyaratan yang ditetapkan, maka LSPro mewajibkan Sponsor dan/atau Developer untuk menarik semua Produk yang terindikasi tidak sesuai, melaporkan kepada Badan dan melarang mencantumkan logo SCCI pada Produk dan/atau media lain sejak tanggal terjadinya ketidaksesuaian tersebut sampai dengan dapat dilakukan tindakan perbaikan. Logo SCCI dapat dicantumkan kembali setelah dilakukan tindakan perbaikan dan dinyatakan memenuhi oleh LSPro.

LSPro tetap melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer belum melakukan tindakan perbaikan.

persyaratan permohonan sertifikasi dalam waktu 2 (dua) hari kerja, maka LSPro dapat menolak permohonan sertifikasi.

Tinjauan permohonan tidak melibatkan penilaian kesesuaian informasi yang disampaikan oleh Sponsor atau Developer.

Laboratorium Pengujian tidak wajib menyusun EOR, ETR, atau test plan untuk pengujian TOE.

Informasi proses produksi tidak memerlukan legalitas hukum atau sertifikat ISO 9001, dan dokumentasi pengelolaan proses produksi tidak diwajibkan.

Perpres ini bertujuan untuk mengoptimalkan tugas dan fungsi BSSN dalam keamanan siber dan sandi secara efektif dan efisien. BSSN merupakan transformasi dari Lembaga Sandi Negara dan Direktorat Keamanan Informasi KemenKominfo, sesuai Perpres Nomor 53 dan 133 tahun 2017. BSSN berada di bawah dan bertanggung jawab kepada Presiden, dengan organisasi dan tata kerjanya diatur dalam peraturan badan siber dan sandi negara republik indonesia nomor 4 tahun 2023 tentang perubahan atas peraturan badan siber dan sandi negara nomor 6 tahun 2021 tentang organisasi dan tata kerja badan siber dan sandi negara.

Laboratorium Pengujian dapat beroperasi tanpa ditetapkan melalui keputusan resmi dan tanpa memenuhi kriteria personel minimal.


Question: Evaluasi kompetensi LSPro dan/atau Laboratorium Pengujian

mencakup: aspek legalitas kelembagaan; kompetensi untuk melakukan pengujian atau sertifikasi produk yang relevan dengan persyaratan yang ditetapkan dalam SNI, berdasarkan pertimbangan: sarana pengujian dan metode uji yang digunakan untuk pengujian produk; auditor/sertifikator serta petugas pengambil contoh dalam jumlah yang memadai untuk sertifikasi produk.

Pengambilan sampel TOE dapat dilakukan tanpa keterlibatan personel kompeten atau inspeksi di lokasi produksi.

terdiri atas: pemilik Skema SCCI; komite Skema SCCI; penanggung Jawab Skema SCCI; LSPro; dan Laboratorium Pengujian.

LSPro dapat mengembangkan aturan penanganan keluhan dan banding tanpa memperhatikan aspek kompetensi dan imparsialitas.

apabila Sponsor dan/atau Developer: tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus melebihi batas waktu yang ditentukan; tidak mampu memperbaiki ketidaksesuaian yang mengakibatkan pembekuan sertifikasi melebihi batas waktu yang ditentukan; atau menyampaikan permintaan pencabutan sertifikasi kepada LSPro.

Sponsor dan/atau Developer dapat mengajukan kembali permohonan sertifikasi terhadap perubahan atau penambahan fitur keamanan atas TOE.

Evaluasi tahap 2 (dua) bisa dilakukan tanpa audit terhadap proses produksi atau memverifikasi konsistensi produksi.

Tanda SNI dan SCCI dapat dicantumkan pada produk atau media apa pun tanpa mempertimbangkan kemudahan akses atau kejelasan informasi.

atau tindakan lainnya yang disebabkan oleh faktor lainnya dengan mempertimbangkan risiko yang ditemukan.

penyalahgunaan sertifikat CC Indonesia oleh Sponsor dan/atau Developer; penyalahgunaan nama dan logo Badan, LSPro, SCCI dan/atau CCRA oleh Sponsor dan/atau Developer; atau konflik kepentingan yang mengakibatkan keberpihakan dalam proses sertifikasi.

Kepala Badan yang memiliki tanggung jawab sebagai berikut: menetapkan Skema SCCI; menetapkan rencana strategis Skema SCCI; memberikan persetujuan penggunaan tanda kesesuaian SNI SCCI berupa logo SCCI; menetapkan penyelenggara Skema SCCI; menetapkan peraturan lain sesuai dengan kewenangannya.

Layanan Pussertif meliputi pelatihan dan sertifikasi kompetensi pegawai dalam bidang keamanan siber.

Sertifikat tetap berlaku meskipun terjadi penyalahgunaan sertifikat atau konflik kepentingan.

yaitu SNI ISO/IEC 19790 (Standar Kriteria Keamanan Modul Kriptografi), SNI 8542 ISO/IEC 24759 (Standar Kriteria Pengujian Modul Kriptografi), Standar terkait Algoritma Kriptografi, SNI dan standar lain yang diacu dalam SNI serta Peraturan lain yang terkait dengan modul kriptografi.

serta Sponsor dan/atau Developer menyetujui persyaratan dan prosedur sertifikasi yang ditetapkan oleh LSPro, dilakukan pemutakhiran Register Produk CC Indonesia dan penandatanganan perjanjian sertifikasi oleh Sponsor dan/atau Developer dan LSPro.

Penanggung jawab Skema SCCI dapat menjalankan fungsinya tanpa menetapkan kebijakan operasional atau melakukan pengawasan terhadap LSPro dan laboratorium pengujian.

Pemutakhiran produk mencakup pengembangan teknologi perangkat lunak untuk pengguna komersial di sektor swasta tanpa melibatkan sektor pemerintahan.

Perubahan minor dapat mencakup aspek yang terkait langsung dengan fungsi keamanan TOE.

harus memiliki kompetensi sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

LSPro tetap harus melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer tidak menyelesaikan tindakan perbaikan.


Question: LSPro dan/atau Laboratorium Pengujian yang ditunjuk Kepala Badan harus telah diakreditasi

oleh KAN sesuai dengan lingkup Produk yang disertifikasi paling lama 2 (dua) tahun terhitung sejak tanggal penunjukan.

apabila terdapat Produk yang disertifikasi tidak memenuhi persyaratan yang ditetapkan, maka LSPro mewajibkan Sponsor dan/atau Developer untuk menarik semua Produk yang terindikasi tidak sesuai, melaporkan kepada Badan dan melarang mencantumkan logo SCCI pada Produk dan/atau media lain sejak tanggal terjadinya ketidaksesuaian tersebut sampai dengan dapat dilakukan tindakan perbaikan. Logo SCCI dapat dicantumkan kembali setelah dilakukan tindakan perbaikan dan dinyatakan memenuhi oleh LSPro.

atau Tim dalam Kegiatan Sertifikasi Pemenuhan kompetensi dapat dipenuhi secara kolektif dalam satu tim. Jika auditor juga bertindak sebagai PPC, maka harus memiliki pengetahuan pengambilan contoh uji Produk.

Deputi; dan Direktur yang mengepalai Direktorat.

Sertifikasi tetap berlaku meskipun surveilan atau evaluasi khusus tidak disetujui dan ketidaksesuaian belum diperbaiki setelah batas waktu yang ditentukan.

LSPro tidak diwajibkan untuk menyusun format permohonan sertifikasi TOE, dan informasi dari Sponsor tidak harus lengkap.

pada pengendalian proses dan mutu Produk yang berakibat pada kegagalan Produk dalam memenuhi persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI, maka LSPro memberikan kesempatan kepada Sponsor dan/atau Developer agar dapat dilakukan tindakan perbaikan dalam jangka waktu tertentu sesuai dengan kebijakan LSPro.

Sponsor dan/atau Developer harus diberi kesempatan untuk melakukan tindakan perbaikan dalam jangka waktu tertentu sesuai dengan kebijakan LSPro.

penyalahgunaan sertifikat CC Indonesia oleh Sponsor dan/atau Developer; penyalahgunaan nama dan logo Badan, LSPro, SCCI dan/atau CCRA oleh Sponsor dan/atau Developer; atau konflik kepentingan yang mengakibatkan keberpihakan dalam proses sertifikasi.

Pengambilan contoh bisa dilakukan oleh personel tanpa memerlukan kualifikasi khusus dan di luar lokasi produksi.

dapat dilakukan oleh orang atau sekelompok orang yang sama dengan yang melakukan tinjauan.

Jarak antara surveilan dapat dilakukan lebih sering dari 18 bulan.

Sponsor dan/atau Developer tidak perlu terikat pada batas waktu tertentu untuk melengkapi kekurangan persyaratan.

Sponsor dan/atau Developer bisa mengabaikan kekurangan kelengkapan persyaratan tanpa perlu melengkapinya dalam batas waktu tertentu.

merupakan perubahan yang terkait langsung dengan fungsi keamanan TOE.

audit dokumen atau rekaman dan/atau melalui audit jarak jauh dengan menggunakan media yang disepakati untuk mendapatkan bukti objektif.

meliputi Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC, Sertifikasi dan Pengujian Keamanan Modul Kriptografi / KMK, Pengujian chip KTP-el dan card reader KTP-el, Konsultasi Teknis untuk dokumen pengujian CC/KPTI dan pengujian KMK, serta Pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang meliputi produk untuk pengamanan komunikasi, pengamanan dokumen, pengamanan data dan informasi.

Evaluasi khusus bisa diabaikan meskipun ada keluhan atau informasi yang membutuhkan investigasi.

Dokumen Skema SCCI tidak diakui oleh CCRA dan tidak dapat digunakan sebagai acuan pelaksanaan berdasarkan standar internasional.

Alamat Pussertif BSSN adalah di Jalan Medan Merdeka Barat No. 10, Jakarta Pusat, 10110.

CC hanya memiliki satu tingkat jaminan yang disebut EAL, tanpa skala dari EAL1 hingga EAL7, dan tingkat jaminan tidak mempengaruhi tingkat kepercayaan pada produk.


Question: Dokumen Skema SCCI berlaku untuk

acuan pelaksanaan SCCI berdasarkan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang tercantum dalam tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.

Manfaat sertifikasi ini terbatas hanya pada sektor domestik tanpa pengaruh pada akses pasar internasional.

LSPro tidak perlu menerbitkan laporan atau memutakhirkan register meskipun terjadi perubahan minor.

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional

dilakukan oleh Sponsor dan/atau Developer dan akan dicatat serta diverifikasi oleh LSPro. Kriteria Sponsor dan/atau Developer yang dapat mengajukan sertifikasi sesuai dengan ketentuan peraturan perundang-undangan.

dilakukan dalam waktu 10 (sepuluh) hari kerja sejak permohonan diterima.

Pemeliharaan jaminan keamanan bersifat wajib dan harus dilakukan pada setiap perubahan fungsi keamanan TOE.

Tinjauan hasil evaluasi bisa dilakukan oleh orang yang terlibat dalam proses penilaian.

terdiri atas: Skema SCCI; dan Penyelenggara Skema SCCI.

Pengajuan pemeliharaan jaminan keamanan bisa diajukan kapan saja tanpa perlu menunggu 30 hari setelah sertifikat diterbitkan.

Permohonan sertifikasi tidak memerlukan informasi lengkap dari Sponsor atau Developer, dan mereka tidak bertanggung jawab atas pemenuhan persyaratan CC dan SNI.

LSPro dapat menyerahkan sertifikat tanpa mengikuti standar internasional yang diakui oleh CCRA dan/atau SNI, dengan masa berlaku sertifikat yang bervariasi.

Melengkapi persyaratan permohonan dapat memperpanjang waktu verifikasi.

tidak mengurangi jangka waktu verifikasi.

dapat melaksanakan evaluasi khusus dalam rangka audit perluasan lingkup maupun tindak lanjut atau investigasi atas keluhan atau informasi yang ada.

dilakukan oleh personel yang memiliki kompetensi sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Pemeliharaan jaminan keamanan bisa dilaksanakan meskipun ada masalah yang terdeteksi dalam proses verifikasi.

Informasi publik dapat disampaikan tanpa mengikuti persyaratan SNI ISO/IEC 17065 atau melalui saluran informasi selain website LSPro.

Presiden RI Joko Widodo menandatangani Perpres tentang Badan Nasional Penanggulangan Bencana (BNPB) pada tahun 2020.

Penanggung jawab Skema SCCI dapat menjalankan fungsinya tanpa menetapkan kebijakan operasional atau melakukan pengawasan terhadap LSPro dan laboratorium pengujian.


Question: Persyaratan acuan SCCI

mencakup: Standar internasional yang diakui oleh CCRA sebagaimana dimaksud pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; SNI sebagaimana tercantum pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan SNI dan standar lain yang diacu dalam SNI

dilakukan dalam waktu 10 (sepuluh) hari kerja sejak permohonan diterima.

berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum/asia pasific accreditation cooperation multilateral recognition agreement dengan ruang lingkup yang sesuai, maka audit proses produksi dilakukan terhadap implementasi sistem manajemen terkait mutu Produk.

Proses sertifikasi ulang dapat tetap dilanjutkan meskipun keterlambatan disebabkan oleh Sponsor atau Developer.

yang diajukan oleh Sponsor dan/atau Developer.

Audit bisa dilakukan tanpa memperhatikan konsistensi mutu produk atau pengelolaan sumber daya.

dapat melaksanakan evaluasi khusus dalam rangka audit perluasan lingkup maupun tindak lanjut atau investigasi atas keluhan atau informasi yang ada.

Kode klasifikasi dapat diterapkan tanpa memperhatikan kategori produk atau tingkatan jaminan evaluasi.

Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI) hanya melibatkan evaluasi perangkat lunak tanpa memperhitungkan perangkat keras.

Pemeliharaan jaminan keamanan juga bisa diberikan kepada TOE yang belum disertifikasi oleh LSPro.

Penilaian kesesuaian tidak memerlukan sertifikasi oleh LSPro, dan tidak ada keterlibatan KAN atau SNI dalam proses sertifikasi TOE.

LSPro melakukan pemutakhiran register produk CC Indonesia dengan status telah disertifikasi.

tanggung jawab dan komitmen manajemen puncak terhadap konsistensi mutu produk; ketersediaan dan pengendalian informasi prosedur dan rekaman pengendalian mutu; pengelolaan sumber daya termasuk personel, bangunan dan fasilitas, serta lingkungan kerja yang memengaruhi mutu produk; tahapan kritis proses produksi TOE, mulai dari bahan baku sampai TOE jadi paling sedikit sebagaimana diuraikan pada tahapan kritis proses produksi TOE pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; kelengkapan serta fungsi peralatan produksi termasuk peralatan pengendalian mutu; bukti verifikasi berdasarkan hasil kalibrasi atau hasil verifikasi peralatan produksi yang membuktikan bahwa peralatan tersebut memenuhi persyaratan produksi. Hasil verifikasi peralatan produksi dapat ditunjukkan dengan prosedur yang diperlukan untuk mencapai kondisi atau persyaratan yang ditetapkan; dan pengendalian proses produksi dan penanganan Produk yang tidak sesuai.

Untuk CC, levelnya adalah EAL1 hingga EAL7. Skala ini mewakili tingkat kepercayaan yang dapat ditempatkan pada produk TIK yang sesuai dengan tujuan keamanan. Semakin tinggi EAL, semakin besar pula tingkat ketelitian yang diterapkan dalam menilai apakah produk TIK telah memenuhi persyaratan keamanannya

rekomendasi tertulis tentang pemenuhan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang diajukan oleh Sponsor dan/atau Developer untuk Produk yang diajukan untuk disertifikasi.

pemeliharaan jaminan keamanan Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima.

LSPro dapat menolak permohonan sertifikasi.

Pelaksanaan tahap determinasi bisa dilakukan tanpa mengacu pada hal-hal spesifik yang diatur pada tabel produk.

Tinjauan hasil penilaian bisa dilakukan oleh personel tanpa memerlukan kompetensi khusus.

Jarak antara surveilan paling sedikit 18 (delapan belas) bulan.

adalah standar evaluasi keamanan teknologi informasi berdasarkan dokumen Common Criteria for Information Technology Security Evaluation. Skema Sertifikasi Common Criteria Indonesia yang selanjutnya disingkat Skema SCCI adalah sistem sertifikasi terkait dengan keamanan produk teknologi informasi yang dilakukan oleh lembaga sertifikasi produk CC Indonesia, laboratorium pengujian CC, sponsor, dan/atau developer dengan mengacu pada CC dan SNI ISO/IEC 15408-2, SNI ISO/IEC 15408-3, dan SNI ISO/IEC 15408-5.


Question: Penilaian kesesuaian

dilakukan dengan kegiatan sertifikasi oleh LSPro yang ditetapkan oleh Kepala Badan dan telah diakreditasi oleh KAN berdasarkan SNI ISO/IEC 17065 untuk lingkup produk sesuai tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian. Kegiatan sertifikasi yang dilakukan oleh LSPro terdiri atas sertifikasi TOE.

atau tindakan lainnya yang disebabkan oleh faktor lainnya dengan mempertimbangkan risiko yang ditemukan.

Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI) hanya melibatkan evaluasi perangkat lunak tanpa memperhitungkan perangkat keras.

nama, alamat, dan legalitas hukum Developer TOE, apabila berbeda dengan legalitas Sponsor; struktur organisasi, nama dan jabatan personel penanggung jawab proses produksi; informasi tentang proses pembuatan TOE yang diajukan untuk disertifikasi, termasuk proses yang dialihdayakan ke pihak lain; informasi terdokumentasi terkait pengelolaan proses produksi yang dipersyaratkan dalam SNI sesuai tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan apabila telah tersedia, menyertakan sertifikat penerapan sistem manajemen mutu berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum atau asia pasific accreditation cooperation, multilateral recognition agreement dengan ruang lingkup yang sesuai atau sistem manajemen lainnya yang relevan.

Pengujian TOE dapat dilakukan di laboratorium mana saja tanpa akreditasi khusus.

Sponsor atau Developer tidak diberikan kesempatan untuk melakukan perbaikan setelah ketidaksesuaian ditemukan.

LSPro tidak perlu memastikan bahwa informasi dari Sponsor atau Developer lengkap atau sesuai dengan persyaratan sebelum memproses permohonan.

LSPro melakukan penilaian IAR untuk menentukan kategori perubahan TOE yang terdiri atas: perubahan minor; dan perubahan mayor.

LSPro dan laboratorium pengujian dapat beroperasi tanpa akreditasi dari KAN dan tidak ada batas waktu dalam proses sertifikasi.

Penilaian IAR tidak diperlukan untuk menentukan kategori perubahan TOE.

Pengambilan contoh dilakukan oleh personel kompeten yang ditugaskan LSPro. Pengambilan contoh dilakukan di lokasi produksi dengan jumlah contoh sebagaimana diuraikan pada lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian. Apabila tidak diuraikan dalam lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian maka sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI atau kebutuhan Laboratorium Pengujian.

LSPro tidak perlu menerbitkan laporan atau memutakhirkan register meskipun terjadi perubahan minor.

Sponsor dan/atau Developer dapat mencantumkan tanda SNI dan tanda SCCI.

di Jl. Harsono RM No. 70, Ragunan, Pasar Minggu, Jakarta Selatan, 12550, Email Pussertif adalah lspro@bssn.go.id sedangkan email BSSN adalah humas@bssn.go.id

terdiri atas: ruang lingkup; persyaratan acuan; jenis kegiatan penilaian kesesuaian; prosedur administratif; determinasi; tinjauan dan keputusan; pemeliharaan jaminan keamanan; pemeliharaan sertifikasi; evaluasi khusus; ketentuan pengurangan, pembekuan, dan pencabutan sertifikasi; keluhan dan banding; informasi publik; penggunaan tanda SNI dan tanda SCCI atau tanda SNI dan tanda CC; daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Penetapan keputusan sertifikasi dapat dilakukan oleh personel tanpa memerlukan kompetensi khusus.

LSPro akan memproses permohonan sertifikasi meskipun terdapat substansi yang belum dipenuhi oleh Sponsor dan/atau Developer.

merupakan perubahan yang tidak terkait langsung dengan fungsi keamanan TOE.

Sponsor dan/atau Developer tidak diizinkan mengajukan kembali permohonan sertifikasi setelah keputusan gagal sertifikasi.

Ketidaksesuaian dalam proses audit tidak memerlukan tindakan perbaikan dari Sponsor dan/atau Developer.

Rencana evaluasi tidak perlu mencakup rincian spesifik seperti tujuan, waktu, atau metode pengujian yang jelas.


Question: LSPro harus menyusun format permohonan sertifikasi TOE

bagi Sponsor dan/atau Developer untuk mendapatkan seluruh informasi.

dengan mempertimbangkan kompetensi dan imparsialitas pelaksanaan penanganan keluhan dan banding.

Persyaratan sertifikasi hanya mencakup pengisian formulir aplikasi tanpa memerlukan dokumen Security Target atau evaluasi laboratorium.

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer dan tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

Sertifikat dapat diterbitkan tanpa memuat informasi lengkap seperti nomor sertifikat, level keamanan TOE, atau status akreditasi.

Evaluasi tahap 1 (satu) dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer terhadap persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan peraturan terkait.

Rencana evaluasi tidak perlu mencakup rincian spesifik seperti tujuan, waktu, atau metode pengujian yang jelas.

Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan sertifikasi paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima oleh Sponsor dan/atau Developer.

Laboratorium Pengujian dapat beroperasi tanpa ditetapkan melalui keputusan resmi dan tanpa memenuhi kriteria personel minimal.

LSPro tidak diwajibkan untuk menyusun format permohonan sertifikasi TOE, dan informasi dari Sponsor tidak harus lengkap.

Sponsor dan/atau Developer harus diberi kesempatan untuk melakukan tindakan perbaikan dalam jangka waktu tertentu sesuai dengan kebijakan LSPro.

atau Tim dalam Kegiatan Sertifikasi Pemenuhan kompetensi dapat dipenuhi secara kolektif dalam satu tim. Jika auditor juga bertindak sebagai PPC, maka harus memiliki pengetahuan pengambilan contoh uji Produk.

Pelaksanaan surveilans tidak perlu mengacu pada hal-hal spesifik yang diatur dalam persyaratan permohonan.

tanggung jawab dan komitmen manajemen puncak terhadap konsistensi mutu produk; ketersediaan dan pengendalian informasi prosedur dan rekaman pengendalian mutu; pengelolaan sumber daya termasuk personel, bangunan dan fasilitas, serta lingkungan kerja yang memengaruhi mutu produk; tahapan kritis proses produksi TOE, mulai dari bahan baku sampai TOE jadi paling sedikit sebagaimana diuraikan pada tahapan kritis proses produksi TOE pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; kelengkapan serta fungsi peralatan produksi termasuk peralatan pengendalian mutu; bukti verifikasi berdasarkan hasil kalibrasi atau hasil verifikasi peralatan produksi yang membuktikan bahwa peralatan tersebut memenuhi persyaratan produksi. Hasil verifikasi peralatan produksi dapat ditunjukkan dengan prosedur yang diperlukan untuk mencapai kondisi atau persyaratan yang ditetapkan; dan pengendalian proses produksi dan penanganan Produk yang tidak sesuai.

persyaratan permohonan sertifikasi dalam waktu 2 (dua) hari kerja, maka LSPro dapat menolak permohonan sertifikasi.

Pengambilan contoh dilakukan oleh personel kompeten yang ditugaskan LSPro. Pengambilan contoh dilakukan di lokasi produksi dengan jumlah contoh sebagaimana diuraikan pada lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian. Apabila tidak diuraikan dalam lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian maka sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI atau kebutuhan Laboratorium Pengujian.

sesuai waktu yang telah ditentukan, LSPro dapat menetapkan bahwa TOE tidak lulus sertifikasi.

personel kompeten yang ditugaskan LSPro. Pengambilan contoh dilakukan di lokasi produksi dengan jumlah contoh sebagaimana diuraikan pada lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian. Apabila tidak diatur dalam lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian maka sesuai dengan persyaratan SNI atau kebutuhan Laboratorium Pengujian.

Tanda SNI dapat digunakan tanpa memerlukan persetujuan dari badan standardisasi nasional.


Question: Pengajuan permohonan sertifikasi

dilakukan oleh Sponsor dan/atau Developer dan akan dicatat serta diverifikasi oleh LSPro. Kriteria Sponsor dan/atau Developer yang dapat mengajukan sertifikasi sesuai dengan ketentuan peraturan perundang-undangan.

persyaratan permohonan sertifikasi dalam waktu 2 (dua) hari kerja, maka LSPro dapat menolak permohonan sertifikasi.

Perubahan minor dapat mencakup aspek yang terkait langsung dengan fungsi keamanan TOE.

Sponsor atau Developer tidak diberikan kesempatan untuk melakukan perbaikan setelah ketidaksesuaian ditemukan.

Verifikasi permohonan pemeliharaan jaminan keamanan bisa dilakukan tanpa batas waktu yang jelas.

Pengambilan contoh dilakukan oleh personel kompeten yang ditugaskan LSPro. Pengambilan contoh dilakukan di lokasi produksi dengan jumlah contoh sebagaimana diuraikan pada lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian. Apabila tidak diuraikan dalam lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian maka sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI atau kebutuhan Laboratorium Pengujian.

Pengujian TOE dapat dilakukan di laboratorium mana saja tanpa akreditasi khusus.

harus memiliki kompetensi sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Penanggung jawab Skema SCCI dapat menjalankan fungsinya tanpa menetapkan kebijakan operasional atau melakukan pengawasan terhadap LSPro dan laboratorium pengujian.

apabila Sponsor dan/atau Developer: tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus melebihi batas waktu yang ditentukan; tidak mampu memperbaiki ketidaksesuaian yang mengakibatkan pembekuan sertifikasi melebihi batas waktu yang ditentukan; atau menyampaikan permintaan pencabutan sertifikasi kepada LSPro.

dapat dilakukan oleh orang atau sekelompok orang yang sama dengan yang melakukan tinjauan.

Tinjauan permohonan sertifikasi bisa dilakukan tanpa batas waktu yang jelas.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

LSPro dapat terdiri dari lebih sedikit personel tanpa memperhatikan peran yang diperlukan seperti peninjau sertifikasi atau auditor.

Kepala Badan yang memiliki tanggung jawab sebagai berikut: menetapkan Skema SCCI; menetapkan rencana strategis Skema SCCI; memberikan persetujuan penggunaan tanda kesesuaian SNI SCCI berupa logo SCCI; menetapkan penyelenggara Skema SCCI; menetapkan peraturan lain sesuai dengan kewenangannya.

LSPro tetap harus melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer tidak menyelesaikan tindakan perbaikan.

berdasarkan hasil tinjauan harus didokumentasikan.

sesuai waktu yang telah ditentukan, LSPro dapat menetapkan bahwa TOE tidak lulus sertifikasi.

EOR setiap kelas jaminan keamanan; ETR; dan test plan untuk pengujian fungsionalitas TOE dan pengujian penilaian kerentanan TOE.

Negara anggota CCRA tidak terdaftar di portal resmi CC, dan rincian kontak tidak dapat ditemukan secara online.


Question: Permohonan sertifikasi harus dilengkapi dengan

Informasi Sponsor dan/atau Developer, Informasi Produk, Informasi proses produksi. Informasi Sponsor dan/atau Developer: nama dan alamat Sponsor dan/atau Developer, serta nama dan kedudukan atau jabatan personel yang bertanggung jawab atas pengajuan permohonan sertifikasi; bukti pemenuhan persyaratan izin berusaha sesuai dengan ketentuan peraturan perundang-undangan; apabila menggunakan merek, maka melampirkan bukti kepemilikan atas merek; apabila Sponsor dan/atau Developer melakukan pembuatan Produk dengan merek yang dimiliki oleh pihak lain, menyertakan bukti perjanjian yang mengikat secara hukum untuk melakukan pembuatan Produk untuk pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai pemilik merek yang mengalihdayakan proses produksinya kepada pihak lain, menyertakan bukti kepemilikan merek dan perjanjian alih daya pelaksanaan produksi dengan pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai perwakilan resmi pemilik merek yang berkedudukan hukum di luar negeri, menyertakan bukti perjanjian yang mengikat secara hukum tentang penunjukan sebagai perwakilan resmi pemilik merek di wilayah Republik Indonesia; dan pernyataan bahwa Sponsor dan/atau Developer bertanggung jawab penuh atas pemenuhan persyaratan CC dan/atau SNI dan pemenuhan persyaratan proses sertifikasi, serta bersedia memberikan akses terhadap lokasi dan/atau informasi yang diperlukan oleh LSPro dalam melaksanakan kegiatan sertifikasi.

Tanda SCCI atau CC dapat dicantumkan dalam ukuran lebih besar dari tanda SNI.

Kepala Badan dapat menjalankan Skema SCCI tanpa menetapkan rencana strategis atau peraturan terkait.

Penunjukan LSPro atau laboratorium pengujian dapat dilakukan tanpa memerlukan evaluasi kompetensi atau persetujuan dari Deputi.

acuan pelaksanaan SCCI berdasarkan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang tercantum dalam tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

meliputi Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC, Sertifikasi dan Pengujian Keamanan Modul Kriptografi / KMK, Pengujian chip KTP-el dan card reader KTP-el, Konsultasi Teknis untuk dokumen pengujian CC/KPTI dan pengujian KMK, serta Pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang meliputi produk untuk pengamanan komunikasi, pengamanan dokumen, pengamanan data dan informasi.

tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus; tidak mampu memperbaiki ketidaksesuaian yang diterbitkan oleh LSPro pada saat surveilan dan/atau saat evaluasi khusus; atau menyampaikan permintaan pembekuan sertifikasi kepada LSPro.

adalah pengaturan internasional formal antara sejumlah besar negara. Pengakuan timbal balik ini memastikan bahwa sertifikat yang diterbitkan oleh salah satu lembaga sertifikasi negara anggota diakui oleh semua negara anggota. Hal ini akan membantu vendor untuk memotong biaya mereka dengan memiliki satu produk atau evaluasi sistem yang dapat dikenali oleh semua negara yang berpartisipasi. Sertifikasi Kriteria Umum dari EAL1 hingga EAL4 diakui bersama oleh semua anggota CCRA. Informasi lebih lanjut tentang CCRA dapat ditemukan di http://www.commoncriteriaportal.org/

Verifikasi permohonan pemeliharaan jaminan keamanan bisa dilakukan tanpa batas waktu yang jelas.

dapat melaksanakan evaluasi khusus dalam rangka audit perluasan lingkup maupun tindak lanjut atau investigasi atas keluhan atau informasi yang ada.

dapat dilakukan berdasarkan kondisi masa berlaku sertifikat CC Indonesia pada TOE telah berakhir;

merupakan evaluasi keamanan terhadap chip KTP-el dan card reader KTP-el. Hasil pengujian ini diterbitkan sebagai Surat Keterangan Hasil Uji, digunakan produsen untuk memenuhi persyaratan regulasi, seperti Permendagri Nomor 76 Tahun 2020 tentang Perangkat Pembaca dan Penulis serta Perangkat Pembaca Kartu Tanda Penduduk Elektronik dan Permendagri Nomor 72 Tahun 2022 tentang Tentang Standar dan Spesifikasi Perangkat Keras, Perangkat Lunak, dan Blangko Kartu Tanda Penduduk Elektronik Serta Penyelenggaraan Identitas Kependudukan Digital

yaitu produk kriptografi seperti modul kriptografi dan algoritma kriptografi.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.

LSPro dapat menolak permohonan sertifikasi.

Penanggung jawab Skema SCCI dapat menjalankan fungsinya tanpa menetapkan kebijakan operasional atau melakukan pengawasan terhadap LSPro dan laboratorium pengujian.

pemenuhan seluruh persyaratan sertifikasi dan kesesuaian proses sertifikasi, mulai dari pengajuan permohonan sertifikasi, pelaksanaan seleksi dan determinasi serta tindakan perbaikan dari Sponsor dan/atau Developer jika ada.

atau Skema Common Criteria Indonesia (SCCI) yaitu meningkatkan daya saing produk Indonesia di pasar global dengan standar Common Criteria (CC). Sertifikasi ini meningkatkan reputasi Indonesia sebagai penyedia layanan jaminan keamanan TIK melalui partisipasi dalam Common Criteria Recognition Arrangement (CCRA), memungkinkan akses pasar internasional untuk produk TIK bersertifikasi. Selain itu, sertifikasi memastikan keamanan infrastruktur informasi Indonesia dengan menyediakan produk yang dijamin keamanannya secara independen. Analisis keamanan independen yang ketat membantu mengidentifikasi dan memperbaiki kerentanan, meningkatkan keamanan produk TIK Indonesia.

LSPro tetap akan memproses permohonan pemeliharaan meskipun persyaratan tidak dilengkapi dalam waktu yang ditentukan.

Persyaratan sertifikasi hanya mencakup pengisian formulir aplikasi tanpa memerlukan dokumen Security Target atau evaluasi laboratorium.

Pengajuan permohonan sertifikasi tidak memerlukan verifikasi dari LSPro, dan Sponsor tidak diharuskan mengikuti ketentuan perundang-undangan.


Question: Informasi Produk

apabila menggunakan merek Produk, maka menyampaikan informasi merek Produk yang diajukan untuk disertifikasi; CC dan/atau SNI yang digunakan sebagai dasar pengajuan permohonan sertifikasi sesuai tabel daftar produk, acuans CC, acuan SNI dan uraian penilaian kesesuaian; tujuan penggunaan produk apakah untuk digunakan di sektor IIV dan/atau digunakan di sektor selain IIV; formulir pengajuan permohonan sertifikasi TOE; bukti evaluasi TOE termasuk level keamanan; dan EPP dan surat pernyataan dokumen penilaian awal ST dan kecukupan bukti evaluasi dari Laboratorium Pengujian yang berlisensi.

Sertifikat sistem manajemen mutu tidak relevan dalam menentukan ruang lingkup audit proses produksi.

Jenis produk yang dapat disertifikasi hanya mencakup perangkat keras (hardware) tanpa melibatkan perangkat lunak.

sebagai consuming member pada CCRA. Tanda SNI dan tanda CC digunakan saat Indonesia sudah berstatus sebagai authorizing member pada CCRA. Penggunaan tanda SCCI atau tanda CC dilakukan setelah Sponsor dan/atau Developer mendapatkan sertifikat kesesuaian yang dikeluarkan oleh LSPro dan mendapatkan surat persetujuan pencantuman tanda SCCI atau tanda CC dari Kepala Badan.

untuk melanjutkan proses sertifikasi setelah LSPro memutuskan tidak lulus sertifikasi, Sponsor dan/atau Developer dapat mengajukan kembali permohonan sertifikasi.

diajukan oleh Sponsor dan/atau Developer kepada LSPro setelah 30 (tiga puluh) hari kerja sejak sertifikat CC Indonesia diterbitkan.

yang diajukan oleh Sponsor dan/atau Developer.

Untuk CC, levelnya adalah EAL1 hingga EAL7. Skala ini mewakili tingkat kepercayaan yang dapat ditempatkan pada produk TIK yang sesuai dengan tujuan keamanan. Semakin tinggi EAL, semakin besar pula tingkat ketelitian yang diterapkan dalam menilai apakah produk TIK telah memenuhi persyaratan keamanannya

Laboratorium Pengujian tidak harus menyampaikan dokumen seperti EOR, ETR, atau test plan kepada LSPro.

Penetapan keputusan sertifikasi dapat dilakukan oleh personel tanpa memerlukan kompetensi khusus.

mencakup: aspek legalitas kelembagaan; kompetensi untuk melakukan pengujian atau sertifikasi produk yang relevan dengan persyaratan yang ditetapkan dalam SNI, berdasarkan pertimbangan: sarana pengujian dan metode uji yang digunakan untuk pengujian produk; auditor/sertifikator serta petugas pengambil contoh dalam jumlah yang memadai untuk sertifikasi produk.

Kepala Badan yang memiliki tanggung jawab sebagai berikut: menetapkan Skema SCCI; menetapkan rencana strategis Skema SCCI; memberikan persetujuan penggunaan tanda kesesuaian SNI SCCI berupa logo SCCI; menetapkan penyelenggara Skema SCCI; menetapkan peraturan lain sesuai dengan kewenangannya.

Tinjauan hasil evaluasi bisa dilakukan oleh orang yang terlibat dalam proses penilaian.

adalah layanan teknologi terkini dalam keamanan siber dan sandi yang telah dikembangkan oleh Pussertif BSSN untuk penggunaan di sektor pemerintahan termasuk K/L/D/I. Ini meliputi kategori berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

LSPro tetap harus melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer tidak menyelesaikan tindakan perbaikan.

Kriteria kompetensi personel dalam kegiatan sertifikasi dapat diabaikan, dan auditor tidak perlu memiliki pengetahuan tentang pengambilan contoh uji produk.

Pengajuan pemeliharaan jaminan keamanan bisa diajukan kapan saja tanpa perlu menunggu 30 hari setelah sertifikat diterbitkan.

Manfaat sertifikasi ini terbatas hanya pada sektor domestik tanpa pengaruh pada akses pasar internasional.

LSPro tetap melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer belum melakukan tindakan perbaikan.

Kepala unit kerja di Badan yang melaksanakan tugas dan fungsi di bidang pengujian dan sertifikasi produk keamanan siber dan sandi serta pemutakhiran sistem keamanan siber dan sandi, yang memiliki tanggung jawab berikut: menetapkan kebijakan teknis operasional LSPro; menyusun bahan rekomendasi kaji ulang Skema SCCI; melakukan pengawasan dan pengendalian LSPro dan Laboratorium Pengujian; mengawasi penjaminan mutu pengujian dan sertifikasi Produk; melakukan tinjauan mengenai ketidakberpihakan dalam proses sertifikasi paling sedikit 1 (satu) tahun sekali; dan mengesahkan laporan pelaksanaan sertifikasi dan pengujian.


Question: Informasi proses produksi

nama, alamat, dan legalitas hukum Developer TOE, apabila berbeda dengan legalitas Sponsor; struktur organisasi, nama dan jabatan personel penanggung jawab proses produksi; informasi tentang proses pembuatan TOE yang diajukan untuk disertifikasi, termasuk proses yang dialihdayakan ke pihak lain; informasi terdokumentasi terkait pengelolaan proses produksi yang dipersyaratkan dalam SNI sesuai tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan apabila telah tersedia, menyertakan sertifikat penerapan sistem manajemen mutu berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum atau asia pasific accreditation cooperation, multilateral recognition agreement dengan ruang lingkup yang sesuai atau sistem manajemen lainnya yang relevan.

mencakup: aspek legalitas kelembagaan; kompetensi untuk melakukan pengujian atau sertifikasi produk yang relevan dengan persyaratan yang ditetapkan dalam SNI, berdasarkan pertimbangan: sarana pengujian dan metode uji yang digunakan untuk pengujian produk; auditor/sertifikator serta petugas pengambil contoh dalam jumlah yang memadai untuk sertifikasi produk.

atau Tanda SNI dan Tanda CC Penggunaan tanda kesesuaian SNI, tanda SCCI atau tanda SNI dan tanda CC.

Verifikasi permohonan pemeliharaan jaminan keamanan bisa dilakukan tanpa batas waktu yang jelas.

Untuk CC, levelnya adalah EAL1 hingga EAL7. Skala ini mewakili tingkat kepercayaan yang dapat ditempatkan pada produk TIK yang sesuai dengan tujuan keamanan. Semakin tinggi EAL, semakin besar pula tingkat ketelitian yang diterapkan dalam menilai apakah produk TIK telah memenuhi persyaratan keamanannya

LSPro melaksanakan pemeliharaan jaminan keamanan.

pemenuhan seluruh persyaratan sertifikasi dan kesesuaian proses sertifikasi, mulai dari pengajuan permohonan sertifikasi, pelaksanaan seleksi dan determinasi serta tindakan perbaikan dari Sponsor dan/atau Developer jika ada.

LSPro menerbitkan laporan pemeliharaan jaminan keamanan dan melakukan pemutakhiran register Produk CC Indonesia.

kepada Sponsor dan/atau Developer terkait alasan menunda atau tidak memberikan keputusan sertifikasi, dan harus mengidentifikasi alasan keputusan tersebut.

Pelaksanaan tahap determinasi bisa dilakukan tanpa mengacu pada hal-hal spesifik yang diatur pada tabel produk.

sebagaimana diatur pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian (bila relevan).

apabila Sponsor dan/atau Developer: tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus melebihi batas waktu yang ditentukan; tidak mampu memperbaiki ketidaksesuaian yang mengakibatkan pembekuan sertifikasi melebihi batas waktu yang ditentukan; atau menyampaikan permintaan pencabutan sertifikasi kepada LSPro.

dilakukan oleh personel yang memiliki kompetensi sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Audit bisa dilakukan tanpa memperhatikan konsistensi mutu produk atau pengelolaan sumber daya.

Pussertif menjalankan sistem manajemen mutu berdasarkan ISO/IEC 27001 tentang keamanan informasi.

berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum/asia pasific accreditation cooperation multilateral recognition agreement dengan ruang lingkup yang sesuai, maka audit proses produksi dilakukan terhadap implementasi sistem manajemen terkait mutu Produk.

LSPro melakukan pemutakhiran register produk CC Indonesia dengan status telah disertifikasi.

Pemeliharaan jaminan keamanan bersifat wajib dan harus dilakukan pada setiap perubahan fungsi keamanan TOE.

adalah gambaran dan aturan terkait pedoman sertifikasi keamanan modul kriptografi / KMK yang dilakukan oleh beberapa pihak yaitu LSPro BSSN, laboratorium pengujian, vendor, dan konsumen sesuai dengan standar SNI ISO/IEC 19790 dan SNI 8542 ISO/IEC 24759


Question: Tinjauan permohonan

dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer dan tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

Tinjauan hasil penilaian bisa dilakukan oleh personel tanpa memerlukan kompetensi khusus.

Jarak antara surveilan dapat dilakukan lebih sering dari 18 bulan.

Sertifikasi ulang bisa dilakukan tanpa mengikuti prosedur administratif, determinasi, atau tinjauan yang ditetapkan.

Proses determinasi dapat dilakukan dalam satu tahap tanpa pembagian evaluasi.

Perpres ini bertujuan untuk mengoptimalkan tugas dan fungsi BSSN dalam keamanan siber dan sandi secara efektif dan efisien. BSSN merupakan transformasi dari Lembaga Sandi Negara dan Direktorat Keamanan Informasi KemenKominfo, sesuai Perpres Nomor 53 dan 133 tahun 2017. BSSN berada di bawah dan bertanggung jawab kepada Presiden, dengan organisasi dan tata kerjanya diatur dalam peraturan badan siber dan sandi negara republik indonesia nomor 4 tahun 2023 tentang perubahan atas peraturan badan siber dan sandi negara nomor 6 tahun 2021 tentang organisasi dan tata kerja badan siber dan sandi negara.

merupakan perubahan yang terkait langsung dengan fungsi keamanan TOE.

Laboratorium Pengujian diselenggarakan oleh pemerintah atau swasta. Laboratorium Pengujian ditunjuk dan ditetapkan berdasarkan Keputusan Kepala Badan Siber dan Sandi Negara. Laboratorium Pengujian memiliki tugas melakukan pengujian kesesuaian keamanan Produk berdasarkan SCCI. Laboratorium Pengujian paling sedikit terdiri atas: kepala; manajer teknis; manajer mutu; dan 4 (empat) orang evaluator.

dapat dilakukan oleh orang atau sekelompok orang yang sama dengan yang melakukan tinjauan.

Penetapan keputusan sertifikasi bisa dilakukan tanpa rekomendasi dari proses tinjauan.

Pemutakhiran Register Produk dan penandatanganan perjanjian sertifikasi dapat diabaikan meskipun persyaratan sudah dipenuhi.

LSPro melakukan pemutakhiran register produk CC Indonesia dengan status telah disertifikasi.

dilakukan oleh personel yang memiliki kompetensi sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.

Common Criteria bukan standar evaluasi keamanan teknologi informasi, dan Skema Sertifikasi Common Criteria Indonesia tidak terkait dengan lembaga sertifikasi di Indonesia.

terdiri atas: pemilik Skema SCCI; komite Skema SCCI; penanggung Jawab Skema SCCI; LSPro; dan Laboratorium Pengujian.

Sertifikasi ulang terhadap TOE bisa dilakukan sebelum masa berlaku sertifikat berakhir.

LSPro dan laboratorium pengujian dapat beroperasi tanpa akreditasi dari KAN dan tidak ada batas waktu dalam proses sertifikasi.

tanggung jawab dan komitmen manajemen puncak terhadap konsistensi mutu produk; ketersediaan dan pengendalian informasi prosedur dan rekaman pengendalian mutu; pengelolaan sumber daya termasuk personel, bangunan dan fasilitas, serta lingkungan kerja yang memengaruhi mutu produk; tahapan kritis proses produksi TOE, mulai dari bahan baku sampai TOE jadi paling sedikit sebagaimana diuraikan pada tahapan kritis proses produksi TOE pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; kelengkapan serta fungsi peralatan produksi termasuk peralatan pengendalian mutu; bukti verifikasi berdasarkan hasil kalibrasi atau hasil verifikasi peralatan produksi yang membuktikan bahwa peralatan tersebut memenuhi persyaratan produksi. Hasil verifikasi peralatan produksi dapat ditunjukkan dengan prosedur yang diperlukan untuk mencapai kondisi atau persyaratan yang ditetapkan; dan pengendalian proses produksi dan penanganan Produk yang tidak sesuai.

dilakukan dengan kegiatan sertifikasi oleh LSPro yang ditetapkan oleh Kepala Badan dan telah diakreditasi oleh KAN berdasarkan SNI ISO/IEC 17065 untuk lingkup produk sesuai tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian. Kegiatan sertifikasi yang dilakukan oleh LSPro terdiri atas sertifikasi TOE.

Tahapan pengajuan sertifikasi dan pengujian dimulai dari pelatihan internal perusahaan tanpa adanya pengisian formulir permohonan.


Question: LSPro harus memastikan bahwa informasi yang diperoleh dari permohonan sertifikasi yang diajukan oleh Sponsor dan/atau Developer telah lengkap dan memenuhi persyaratan

serta dapat memastikan kemampuan LSPro untuk menindaklanjuti permohonan sertifikasi.

Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI) hanya melibatkan evaluasi perangkat lunak tanpa memperhitungkan perangkat keras.

LSPro dapat mengembangkan aturan penanganan keluhan dan banding tanpa memperhatikan aspek kompetensi dan imparsialitas.

sebagai consuming member pada CCRA. Tanda SNI dan tanda CC digunakan saat Indonesia sudah berstatus sebagai authorizing member pada CCRA. Penggunaan tanda SCCI atau tanda CC dilakukan setelah Sponsor dan/atau Developer mendapatkan sertifikat kesesuaian yang dikeluarkan oleh LSPro dan mendapatkan surat persetujuan pencantuman tanda SCCI atau tanda CC dari Kepala Badan.

rapat kemajuan evaluasi untuk mereviu dan menyetujui EOR; rapat teknis pengujian untuk mereviu dan menyetujui test plan; dan melakukan reviu ETR.

dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer dan tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

LSPro melakukan pemutakhiran register produk CC Indonesia dengan status telah disertifikasi.

Dokumen Skema SCCI tidak diakui oleh CCRA dan tidak dapat digunakan sebagai acuan pelaksanaan berdasarkan standar internasional.

LSPro dapat mengabaikan pembekuan atau pencabutan sertifikasi meskipun ada risiko yang teridentifikasi.

EOR, ETR, dan test plan kepada LSPro untuk mendapatkan reviu dan persetujuan.

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional

mencakup: Standar internasional yang diakui oleh CCRA sebagaimana dimaksud pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; SNI sebagaimana tercantum pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan SNI dan standar lain yang diacu dalam SNI

Perubahan mayor bisa diproses tanpa memerlukan sertifikasi ulang.

Evaluasi khusus bisa dilakukan oleh auditor tanpa kompetensi khusus dan tanpa batasan waktu yang jelas.

dilakukan oleh Sponsor dan/atau Developer dan akan dicatat serta diverifikasi oleh LSPro. Kriteria Sponsor dan/atau Developer yang dapat mengajukan sertifikasi sesuai dengan ketentuan peraturan perundang-undangan.

tidak mengurangi jangka waktu verifikasi.

Sertifikasi ulang bisa dilakukan tanpa mengikuti prosedur administratif, determinasi, atau tinjauan yang ditetapkan.

Permohonan pemeliharaan jaminan keamanan tidak perlu dicatat atau diverifikasi oleh LSPro.

merupakan evaluasi keamanan terhadap chip KTP-el dan card reader KTP-el. Hasil pengujian ini diterbitkan sebagai Surat Keterangan Hasil Uji, digunakan produsen untuk memenuhi persyaratan regulasi, seperti Permendagri Nomor 76 Tahun 2020 tentang Perangkat Pembaca dan Penulis serta Perangkat Pembaca Kartu Tanda Penduduk Elektronik dan Permendagri Nomor 72 Tahun 2022 tentang Tentang Standar dan Spesifikasi Perangkat Keras, Perangkat Lunak, dan Blangko Kartu Tanda Penduduk Elektronik Serta Penyelenggaraan Identitas Kependudukan Digital

yang diajukan oleh Sponsor dan/atau Developer.

nama, alamat, dan legalitas hukum Developer TOE, apabila berbeda dengan legalitas Sponsor; struktur organisasi, nama dan jabatan personel penanggung jawab proses produksi; informasi tentang proses pembuatan TOE yang diajukan untuk disertifikasi, termasuk proses yang dialihdayakan ke pihak lain; informasi terdokumentasi terkait pengelolaan proses produksi yang dipersyaratkan dalam SNI sesuai tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan apabila telah tersedia, menyertakan sertifikat penerapan sistem manajemen mutu berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum atau asia pasific accreditation cooperation, multilateral recognition agreement dengan ruang lingkup yang sesuai atau sistem manajemen lainnya yang relevan.


Question: Tinjauan permohonan sertifikasi harus dilakukan oleh personel yang memiliki kompetensi

sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

LSPro tetap melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer belum melakukan tindakan perbaikan.

bagi Sponsor dan/atau Developer untuk mendapatkan seluruh informasi.

LSPro tidak diwajibkan untuk menyusun format permohonan sertifikasi TOE, dan informasi dari Sponsor tidak harus lengkap.

untuk melanjutkan proses sertifikasi setelah LSPro memutuskan tidak lulus sertifikasi, Sponsor dan/atau Developer dapat mengajukan kembali permohonan sertifikasi.

merupakan unit fungsional di bawah Pussertif BSSN yang menjalankan dua skema sertifikasi yaitu skema sertifikasi Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan sertifikasi Keamanan Modul Kriptografi / KMK

Pemberitahuan sertifikasi ulang dapat disampaikan kapan saja tanpa memperhatikan masa berlaku sertifikat.

di Jl. Harsono RM No. 70, Ragunan, Pasar Minggu, Jakarta Selatan, 12550, Email Pussertif adalah lspro@bssn.go.id sedangkan email BSSN adalah humas@bssn.go.id

yang diajukan oleh Sponsor dan/atau Developer.

Persyaratan sertifikasi hanya mencakup pengisian formulir aplikasi tanpa memerlukan dokumen Security Target atau evaluasi laboratorium.

terhadap ketidaksesuaian evaluasi tahap 1 (satu) sesuai jangka waktu yang ditetapkan, LSPro dapat menghentikan proses sertifikasi dan menetapkan bahwa TOE tidak lulus sertifikasi.

nama, alamat, dan legalitas hukum Developer TOE, apabila berbeda dengan legalitas Sponsor; struktur organisasi, nama dan jabatan personel penanggung jawab proses produksi; informasi tentang proses pembuatan TOE yang diajukan untuk disertifikasi, termasuk proses yang dialihdayakan ke pihak lain; informasi terdokumentasi terkait pengelolaan proses produksi yang dipersyaratkan dalam SNI sesuai tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan apabila telah tersedia, menyertakan sertifikat penerapan sistem manajemen mutu berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum atau asia pasific accreditation cooperation, multilateral recognition agreement dengan ruang lingkup yang sesuai atau sistem manajemen lainnya yang relevan.

Audit bisa dilakukan tanpa memperhatikan konsistensi mutu produk atau pengelolaan sumber daya.

Sertifikat sistem manajemen mutu tidak relevan dalam menentukan ruang lingkup audit proses produksi.

dengan mempertimbangkan kompetensi dan imparsialitas pelaksanaan penanganan keluhan dan banding.

Sponsor dan/atau Developer bisa melanjutkan proses tanpa perlu mengajukan kembali permohonan sertifikasi.

LSPro tetap dapat memproses permohonan sertifikasi meskipun Sponsor dan/atau Developer belum melengkapi persyaratan.

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

Penetapan keputusan sertifikasi dapat dilakukan oleh personel tanpa memerlukan kompetensi khusus.

yaitu evaluasi tahap 1 (satu) dan evaluasi tahap 2 (dua).


Question: Tinjauan permohonan sertifikasi dilakukan dalam waktu

10 (sepuluh) hari kerja sejak permohonan diterima dan lengkap.

terdiri atas: pemilik Skema SCCI; komite Skema SCCI; penanggung Jawab Skema SCCI; LSPro; dan Laboratorium Pengujian.

Pemberitahuan terkait keputusan sertifikasi dapat dilakukan secara lisan.

adalah gambaran dan aturan terkait pedoman sertifikasi keamanan modul kriptografi / KMK yang dilakukan oleh beberapa pihak yaitu LSPro BSSN, laboratorium pengujian, vendor, dan konsumen sesuai dengan standar SNI ISO/IEC 19790 dan SNI 8542 ISO/IEC 24759

Sponsor atau Developer tidak diizinkan untuk mengajukan pengurangan lingkup sertifikasi selama periode sertifikasi.

Evaluasi tahap 1 (satu) dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer terhadap persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan peraturan terkait.

merupakan perubahan yang terkait langsung dengan fungsi keamanan TOE.

14 (empat belas) kategori Produk yaitu: EAL X =tingkatan jaminan evaluasi Produk terdiri atas evaluation assurance level 3 (tiga) s.d. evaluation assurance level 7 (tujuh).

Sertifikasi tetap berlaku meskipun surveilan atau evaluasi khusus tidak disetujui dan ketidaksesuaian belum diperbaiki setelah batas waktu yang ditentukan.

pada saat Developer melakukan proses produksi pembuatan TOE yang diajukan untuk disertifikasi.

Tanda SCCI atau CC dapat dicantumkan dalam ukuran lebih besar dari tanda SNI.

Penilaian kesesuaian tidak memerlukan sertifikasi oleh LSPro, dan tidak ada keterlibatan KAN atau SNI dalam proses sertifikasi TOE.

Penunjukan LSPro atau laboratorium pengujian dapat dilakukan tanpa memerlukan evaluasi kompetensi atau persetujuan dari Deputi.

sebagai consuming member pada CCRA. Tanda SNI dan tanda CC digunakan saat Indonesia sudah berstatus sebagai authorizing member pada CCRA. Penggunaan tanda SCCI atau tanda CC dilakukan setelah Sponsor dan/atau Developer mendapatkan sertifikat kesesuaian yang dikeluarkan oleh LSPro dan mendapatkan surat persetujuan pencantuman tanda SCCI atau tanda CC dari Kepala Badan.

TOE paling lambat 9 (sembilan) bulan sebelum masa berlaku sertifikat berakhir.

Permohonan sertifikasi tidak memerlukan informasi lengkap dari Sponsor atau Developer, dan mereka tidak bertanggung jawab atas pemenuhan persyaratan CC dan SNI.

LSPro dapat mengabaikan pembekuan atau pencabutan sertifikasi meskipun ada risiko yang teridentifikasi.

Hasil pengujian dapat dievaluasi tanpa harus mengacu pada standar internasional atau SNI.

Sertifikasi perubahan atau penambahan fitur keamanan bisa dilakukan tanpa mengikuti prosedur administratif atau melengkapi dokumentasi yang diperlukan.

CC Indonesia atau Skema Common Criteria Indonesia (SCCI) adalah gambaran dan aturan terkait pedoman sertifikasi keamanan produk teknologi informasi dan dilakukan oleh beberapa pihak yaitu LSPro BSSN, laboratorium pengujian, sponsor atau developer, dan konsumen sesuai dengan ISO/IEC 15408 tentang Kriteria evaluasi keamanan TI juga dikenal sebagai Common Criteria (CC) dan ISO/IEC 18045 tentang Metodologi untuk evaluasi keamanan TI juga dikenal sebagai Common Evaluation Methodology (CEM).


Question: Dalam hal permohonan sertifikasi ditemukan kekurangan kelengkapan persyaratan permohonan sertifikasi

Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan sertifikasi paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima oleh Sponsor dan/atau Developer.

Kepala Badan dapat menjalankan Skema SCCI tanpa menetapkan rencana strategis atau peraturan terkait.

Laboratorium Pengujian tidak wajib menyusun EOR, ETR, atau test plan untuk pengujian TOE.

bagi Sponsor dan/atau Developer untuk mendapatkan seluruh informasi.

Penetapan keputusan sertifikasi harus dilakukan oleh pihak yang berbeda dari yang melakukan tinjauan.

Pembekuan sertifikasi dapat berlangsung tanpa batas waktu tertentu.

Sponsor atau Developer tidak diizinkan untuk mengajukan pengurangan lingkup sertifikasi selama periode sertifikasi.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.

pada hal-hal spesifik sebagaimana diatur pada melengkapi kelengkapan persyaratan permohonan.

Keputusan Kepala Badan Siber dan Sandi Negara.

Evaluasi tahap 2 (dua) dilaksanakan melalui audit proses produksi pembuatan TOE, untuk memastikan kemampuan dan konsistensi Sponsor dan/atau Developer dalam memproduksi TOE sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan sistem manajemen jika relevan.

rapat kemajuan evaluasi untuk mereviu dan menyetujui EOR; rapat teknis pengujian untuk mereviu dan menyetujui test plan; dan melakukan reviu ETR.

Pengujian TOE bisa dilaksanakan tanpa mencakup audit, fungsionalitas, atau penilaian kerentanan.

Penyelenggara Skema SCCI hanya terdiri dari LSPro tanpa adanya komite, laboratorium pengujian, atau penanggung jawab khusus.

Permohonan sertifikasi tidak memerlukan informasi lengkap dari Sponsor atau Developer, dan mereka tidak bertanggung jawab atas pemenuhan persyaratan CC dan SNI.

LSPro dan laboratorium pengujian dapat beroperasi tanpa akreditasi dari KAN dan tidak ada batas waktu dalam proses sertifikasi.

dapat dilakukan berdasarkan kondisi masa berlaku sertifikat CC Indonesia pada TOE telah berakhir;

Komite Skema SCCI dapat dibentuk tanpa melibatkan Deputi atau Direktur.

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

sampai masa berlaku sertifikat berakhir, maka: apabila keterlambatan sertifikasi disebabkan oleh LSPro, maka LSPro menerbitkan surat keterangan yang menyatakan Sponsor dan/atau Developer sedang dalam proses sertifikasi; dan apabila keterlambatan sertifikasi disebabkan oleh Sponsor dan/atau Developer, maka proses sertifikasi tidak dilanjutkan dan sertifikat tidak berlaku.

Sponsor dan/atau Developer dapat mengajukan kembali permohonan sertifikasi terhadap perubahan atau penambahan fitur keamanan atas TOE.


Question: Jangka waktu yang dibutuhkan untuk melengkapi kekurangan kelengkapan persyaratan permohonan sertifikasi

tidak mengurangi jangka waktu tinjauan permohonan sertifikasi.

Deputi; dan Direktur yang mengepalai Direktorat.

berdasarkan SNI ISO/IEC 17065:2012 dan SNI ISO/IEC 17067:2013.

Pussertif menjalankan sistem manajemen mutu berdasarkan ISO/IEC 27001 tentang keamanan informasi.

dapat dilakukan setelah Sponsor dan/atau Developer mendapatkan persetujuan penggunaan tanda SNI melalui surat persetujuan penggunaan tanda SNI yang dikeluarkan oleh badan standardisasi nasional sesuai dengan ketentuan peraturan perundang-undangan.

LSPro tetap harus melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer tidak menyelesaikan tindakan perbaikan.

adalah pengaturan internasional formal antara sejumlah besar negara. Pengakuan timbal balik ini memastikan bahwa sertifikat yang diterbitkan oleh salah satu lembaga sertifikasi negara anggota diakui oleh semua negara anggota. Hal ini akan membantu vendor untuk memotong biaya mereka dengan memiliki satu produk atau evaluasi sistem yang dapat dikenali oleh semua negara yang berpartisipasi. Sertifikasi Kriteria Umum dari EAL1 hingga EAL4 diakui bersama oleh semua anggota CCRA. Informasi lebih lanjut tentang CCRA dapat ditemukan di http://www.commoncriteriaportal.org/

penyalahgunaan sertifikat CC Indonesia oleh Sponsor dan/atau Developer; penyalahgunaan nama dan logo Badan, LSPro, SCCI dan/atau CCRA oleh Sponsor dan/atau Developer; atau konflik kepentingan yang mengakibatkan keberpihakan dalam proses sertifikasi.

Tinjauan hasil penilaian bisa dilakukan oleh personel tanpa memerlukan kompetensi khusus.

Pemeliharaan jaminan keamanan juga bisa diberikan kepada TOE yang belum disertifikasi oleh LSPro.

Audit proses produksi bisa dilakukan di luar waktu produksi TOE.

LSPro tetap dapat memproses permohonan sertifikasi meskipun Sponsor dan/atau Developer belum melengkapi persyaratan.

Penanggung jawab Skema SCCI dapat menjalankan fungsinya tanpa menetapkan kebijakan operasional atau melakukan pengawasan terhadap LSPro dan laboratorium pengujian.

mencakup: Standar internasional yang diakui oleh CCRA sebagaimana dimaksud pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; SNI sebagaimana tercantum pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan SNI dan standar lain yang diacu dalam SNI

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional

Kriteria kompetensi personel dalam kegiatan sertifikasi dapat diabaikan, dan auditor tidak perlu memiliki pengetahuan tentang pengambilan contoh uji produk.

LSPro dapat menyerahkan sertifikat tanpa mengikuti standar internasional yang diakui oleh CCRA dan/atau SNI, dengan masa berlaku sertifikat yang bervariasi.

tidak mengurangi jangka waktu verifikasi.

diajukan oleh Sponsor dan/atau Developer kepada LSPro setelah 30 (tiga puluh) hari kerja sejak sertifikat CC Indonesia diterbitkan.

Tanda SCCI atau CC dapat dicantumkan dalam ukuran lebih besar dari tanda SNI.

Evaluasi tahap 2 (dua) dilaksanakan melalui audit proses produksi pembuatan TOE, untuk memastikan kemampuan dan konsistensi Sponsor dan/atau Developer dalam memproduksi TOE sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan sistem manajemen jika relevan.


Question: Dalam hal Sponsor dan/atau Developer tidak melengkapi kekurangan kelengkapan

persyaratan permohonan sertifikasi dalam waktu 2 (dua) hari kerja, maka LSPro dapat menolak permohonan sertifikasi.

Penilaian kesesuaian tidak memerlukan sertifikasi oleh LSPro, dan tidak ada keterlibatan KAN atau SNI dalam proses sertifikasi TOE.

Laboratorium Pengujian tidak harus menyampaikan dokumen seperti EOR, ETR, atau test plan kepada LSPro.

Informasi publik dapat disampaikan tanpa mengikuti persyaratan SNI ISO/IEC 17065 atau melalui saluran informasi selain website LSPro.

LSPro tetap melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer belum melakukan tindakan perbaikan.

Jangka waktu untuk melengkapi kekurangan bisa memperpanjang proses tinjauan permohonan sertifikasi.

dimulai dari pengisian formulir permohonan, penyediaan informasi produk yang lengkap, dan pendaftaran untuk pengujian dan sertifikasi.

Sertifikasi Keamanan Modul Kriptografi / KMK Indonesia hanya memfokuskan pada aspek perangkat keras tanpa melibatkan vendor atau laboratorium pengujian.

Sponsor dan/atau Developer dapat mencantumkan tanda SNI dan tanda SCCI.

Layanan Pussertif meliputi pelatihan dan sertifikasi kompetensi pegawai dalam bidang keamanan siber.

Kepala Badan dapat menjalankan Skema SCCI tanpa menetapkan rencana strategis atau peraturan terkait.

bagi Sponsor dan/atau Developer untuk mendapatkan seluruh informasi.

dapat dilakukan berdasarkan kondisi masa berlaku sertifikat CC Indonesia pada TOE telah berakhir;

Informasi Produk tidak memerlukan rincian merek atau evaluasi dari laboratorium pengujian, dan tidak ada formulir pengajuan sertifikasi yang diperlukan.

Kepala Badan dapat menunjuk LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi. Penunjukan LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi dilakukan berdasarkan hasil evaluasi kompetensi oleh Deputi.

sesuai persyaratan SNI ISO/IEC 17065 termasuk informasi Sponsor dan/atau Developer yang disertifikasi, dibekukan dan dicabut. Informasi publik terkait informasi Sponsor dan/atau Developer yang disertifikasi, dibekukan dan dicabut tersebut juga harus disampaikan melalui sistem informasi LSPro dan di website aplikasi barang ber-SNI.

dengan mempertimbangkan kompetensi dan imparsialitas pelaksanaan penanganan keluhan dan banding.

Sertifikasi ulang dapat dilakukan tanpa memerlukan audit dokumen atau rekaman, dan tanpa menggunakan media apapun.

Keputusan Kepala Badan Siber dan Sandi Negara.

acuan pelaksanaan SCCI berdasarkan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang tercantum dalam tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

Penetapan keputusan sertifikasi harus dilakukan oleh pihak yang berbeda dari yang melakukan tinjauan.


Question: Dalam hal LSPro melakukan tinjauan permohonan sertifikasi terdapat substansi yang tidak dipenuhi oleh Sponsor dan/atau Developer

LSPro dapat menolak permohonan sertifikasi.

Persyaratan acuan SCCI hanya mencakup standar lokal dan tidak mengikuti standar internasional atau SNI yang diakui oleh CCRA.

Jangka waktu untuk melengkapi kekurangan bisa memperpanjang proses tinjauan permohonan sertifikasi.

terdiri atas: ruang lingkup; persyaratan acuan; jenis kegiatan penilaian kesesuaian; prosedur administratif; determinasi; tinjauan dan keputusan; pemeliharaan jaminan keamanan; pemeliharaan sertifikasi; evaluasi khusus; ketentuan pengurangan, pembekuan, dan pencabutan sertifikasi; keluhan dan banding; informasi publik; penggunaan tanda SNI dan tanda SCCI atau tanda SNI dan tanda CC; daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Tanda SNI dan tanda CC dapat digunakan kapan saja tanpa memperhatikan status keanggotaan Indonesia dalam CCRA.

tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus; tidak mampu memperbaiki ketidaksesuaian yang diterbitkan oleh LSPro pada saat surveilan dan/atau saat evaluasi khusus; atau menyampaikan permintaan pembekuan sertifikasi kepada LSPro.

Ketidaksesuaian dalam proses audit tidak memerlukan tindakan perbaikan dari Sponsor dan/atau Developer.

Perubahan mayor bisa diproses tanpa memerlukan sertifikasi ulang.

Tanda SNI dan SCCI dapat dicantumkan pada produk atau media apa pun tanpa mempertimbangkan kemudahan akses atau kejelasan informasi.

sesuai persyaratan SNI ISO/IEC 17065 termasuk informasi Sponsor dan/atau Developer yang disertifikasi, dibekukan dan dicabut. Informasi publik terkait informasi Sponsor dan/atau Developer yang disertifikasi, dibekukan dan dicabut tersebut juga harus disampaikan melalui sistem informasi LSPro dan di website aplikasi barang ber-SNI.

audit dokumen atau rekaman dan/atau melalui audit jarak jauh dengan menggunakan media yang disepakati untuk mendapatkan bukti objektif.

mencakup: Standar internasional yang diakui oleh CCRA sebagaimana dimaksud pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; SNI sebagaimana tercantum pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan SNI dan standar lain yang diacu dalam SNI

atau Skema Common Criteria Indonesia (SCCI) yaitu meningkatkan daya saing produk Indonesia di pasar global dengan standar Common Criteria (CC). Sertifikasi ini meningkatkan reputasi Indonesia sebagai penyedia layanan jaminan keamanan TIK melalui partisipasi dalam Common Criteria Recognition Arrangement (CCRA), memungkinkan akses pasar internasional untuk produk TIK bersertifikasi. Selain itu, sertifikasi memastikan keamanan infrastruktur informasi Indonesia dengan menyediakan produk yang dijamin keamanannya secara independen. Analisis keamanan independen yang ketat membantu mengidentifikasi dan memperbaiki kerentanan, meningkatkan keamanan produk TIK Indonesia.

Untuk CC, levelnya adalah EAL1 hingga EAL7. Skala ini mewakili tingkat kepercayaan yang dapat ditempatkan pada produk TIK yang sesuai dengan tujuan keamanan. Semakin tinggi EAL, semakin besar pula tingkat ketelitian yang diterapkan dalam menilai apakah produk TIK telah memenuhi persyaratan keamanannya

Penetapan keputusan sertifikasi harus dilakukan oleh pihak yang berbeda dari yang melakukan tinjauan.

LSPro melaksanakan pemeliharaan jaminan keamanan.

LSPro tetap harus melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer tidak menyelesaikan tindakan perbaikan.

atau Tanda SNI dan Tanda CC Penggunaan tanda kesesuaian SNI, tanda SCCI atau tanda SNI dan tanda CC.

Sertifikasi Keamanan Modul Kriptografi / KMK Indonesia hanya memfokuskan pada aspek perangkat keras tanpa melibatkan vendor atau laboratorium pengujian.

Sponsor dan/atau Developer bisa mengabaikan kekurangan kelengkapan persyaratan tanpa perlu melengkapinya dalam batas waktu tertentu.

14 (empat belas) kategori Produk yaitu: EAL X =tingkatan jaminan evaluasi Produk terdiri atas evaluation assurance level 3 (tiga) s.d. evaluation assurance level 7 (tujuh).


Question: Setelah permohonan sertifikasi dinyatakan lengkap dan memenuhi persyaratan

serta Sponsor dan/atau Developer menyetujui persyaratan dan prosedur sertifikasi yang ditetapkan oleh LSPro, dilakukan pemutakhiran Register Produk CC Indonesia dan penandatanganan perjanjian sertifikasi oleh Sponsor dan/atau Developer dan LSPro.

Penilaian kesesuaian tidak memerlukan sertifikasi oleh LSPro, dan tidak ada keterlibatan KAN atau SNI dalam proses sertifikasi TOE.

Evaluasi tahap 2 (dua) bisa dilakukan tanpa audit terhadap proses produksi atau memverifikasi konsistensi produksi.

Sertifikasi tetap aktif meskipun surveilan atau evaluasi khusus tidak disetujui atau ketidaksesuaian belum diperbaiki.

dapat dilakukan oleh orang atau sekelompok orang yang sama dengan yang melakukan tinjauan.

merupakan unit fungsional di bawah Pussertif BSSN yang menjalankan dua skema sertifikasi yaitu skema sertifikasi Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan sertifikasi Keamanan Modul Kriptografi / KMK

Pussertif BSSN adalah pusat pelatihan keamanan siber di bawah BSSN yang fokus pada memberikan pendidikan keamanan siber.

Evaluasi tahap 2 (dua) dilaksanakan melalui audit proses produksi pembuatan TOE, untuk memastikan kemampuan dan konsistensi Sponsor dan/atau Developer dalam memproduksi TOE sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan sistem manajemen jika relevan.

CC hanya memiliki satu tingkat jaminan yang disebut EAL, tanpa skala dari EAL1 hingga EAL7, dan tingkat jaminan tidak mempengaruhi tingkat kepercayaan pada produk.

Tinjauan permohonan sertifikasi bisa dilakukan tanpa batas waktu yang jelas.

Tanda kesesuaian dapat digunakan tanpa memperhatikan ketentuan mengenai tanda SNI, tanda SCCI, atau tanda CC.

audit dokumen atau rekaman dan/atau melalui audit jarak jauh dengan menggunakan media yang disepakati untuk mendapatkan bukti objektif.

Informasi Produk tidak memerlukan rincian merek atau evaluasi dari laboratorium pengujian, dan tidak ada formulir pengajuan sertifikasi yang diperlukan.

terhadap ketidaksesuaian evaluasi tahap 1 (satu) sesuai jangka waktu yang ditetapkan, LSPro dapat menghentikan proses sertifikasi dan menetapkan bahwa TOE tidak lulus sertifikasi.

diajukan oleh Sponsor dan/atau Developer kepada LSPro setelah 30 (tiga puluh) hari kerja sejak sertifikat CC Indonesia diterbitkan.

yaitu SNI ISO/IEC 19790 (Standar Kriteria Keamanan Modul Kriptografi), SNI 8542 ISO/IEC 24759 (Standar Kriteria Pengujian Modul Kriptografi), Standar terkait Algoritma Kriptografi, SNI dan standar lain yang diacu dalam SNI serta Peraturan lain yang terkait dengan modul kriptografi.

Penilaian IAR tidak diperlukan untuk menentukan kategori perubahan TOE.

Penunjukan LSPro atau laboratorium pengujian dapat dilakukan tanpa memerlukan evaluasi kompetensi atau persetujuan dari Deputi.

pemenuhan seluruh persyaratan sertifikasi dan kesesuaian proses sertifikasi, mulai dari pengajuan permohonan sertifikasi, pelaksanaan seleksi dan determinasi serta tindakan perbaikan dari Sponsor dan/atau Developer jika ada.

Tanda SNI dan tanda CC dapat digunakan kapan saja tanpa memperhatikan status keanggotaan Indonesia dalam CCRA.

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.


Question: Berdasarkan informasi yang diperoleh dari persyaratan permohonan sertifikasi yang disampaikan oleh Sponsor dan/atau Developer, LSPro menetapkan rencana evaluasi

yang mencakup paling sedikit: tujuan, waktu evaluasi termasuk jadwal dan level keamanan, durasi, lokasi, tim, metode termasuk metode pengujian, dan agenda evaluasi Produk yang diajukan untuk disertifikasi; rencana pengambilan contoh yang meliputi merek dan tipe Produk yang diajukan untuk disertifikasi dan metode pengambilan contoh sesuai dengan persyaratan SNI, yang diperlukan untuk pengujian Produk dan mewakili Produk yang diajukan untuk disertifikasi; dan waktu yang diperlukan untuk pelaksanaan pengujian berdasarkan standar acuan metode uji yang dipersyaratkan. Pelaksanaan evaluasi dilakukan oleh auditor atau tim audit yang memiliki kriteria kompetensi sesuai kriteria kompetensi personel/tim dalam kegiatan sertifikasi. Apabila relevan, tahap seleksi juga mengacu pada hal-hal spesifik sebagaimana diatur pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

dalam rangka perluasan lingkup dilakukan sesuai dengan tahapan sertifikasi namun terbatas pada perluasan lingkup yang diajukan. Evaluasi terhadap perluasan lingkup sertifikasi dapat dilakukan terpisah maupun bersamaan dengan surveilan.

Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan sertifikasi paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima oleh Sponsor dan/atau Developer.

LSPro tidak perlu memastikan bahwa informasi dari Sponsor atau Developer lengkap atau sesuai dengan persyaratan sebelum memproses permohonan.

Sertifikasi ulang bisa dilakukan tanpa mengikuti prosedur administratif, determinasi, atau tinjauan yang ditetapkan.

LSPro tetap harus melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer tidak menyelesaikan tindakan perbaikan.

Tinjauan permohonan tidak melibatkan penilaian kesesuaian informasi yang disampaikan oleh Sponsor atau Developer.

Rencana evaluasi tidak perlu mencakup rincian spesifik seperti tujuan, waktu, atau metode pengujian yang jelas.

audit bukti evaluasi TOE; pengujian fungsionalitas TOE; dan pengujian penilaian kerentanan TOE.

Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI) hanya melibatkan evaluasi perangkat lunak tanpa memperhitungkan perangkat keras.

Informasi Produk tidak memerlukan rincian merek atau evaluasi dari laboratorium pengujian, dan tidak ada formulir pengajuan sertifikasi yang diperlukan.

diajukan oleh Sponsor dan/atau Developer kepada LSPro setelah 30 (tiga puluh) hari kerja sejak sertifikat CC Indonesia diterbitkan.

yang merupakan kombinasi dari audit dokumen dan rekaman, wawancara, observasi, demonstrasi, atau metode audit lainnya.

Perubahan mayor bisa berupa perubahan yang tidak terkait langsung dengan fungsi keamanan TOE.

Sponsor dan/atau Developer harus diberi kesempatan untuk melakukan tindakan perbaikan dalam jangka waktu tertentu sesuai dengan kebijakan LSPro.

Sponsor dan/atau Developer tidak perlu terikat pada batas waktu tertentu untuk melengkapi kekurangan persyaratan.

Pemeliharaan jaminan keamanan bisa dilaksanakan meskipun ada masalah yang terdeteksi dalam proses verifikasi.

Penetapan keputusan sertifikasi dapat dilakukan oleh personel tanpa memerlukan kompetensi khusus.

dilakukan dalam waktu 10 (sepuluh) hari kerja sejak permohonan diterima.

melaksanakan sertifikasi keamanan Produk sesuai dengan CC dan seri SNI ISO/IEC 15408.

untuk melanjutkan proses sertifikasi setelah LSPro memutuskan tidak lulus sertifikasi, Sponsor dan/atau Developer dapat mengajukan kembali permohonan sertifikasi.


Question: Determinasi mencakup 2 (dua) tahap penilaian

yaitu evaluasi tahap 1 (satu) dan evaluasi tahap 2 (dua).

LSPro dapat mengembangkan aturan penanganan keluhan dan banding tanpa memperhatikan aspek kompetensi dan imparsialitas.

Keputusan Kepala Badan Siber dan Sandi Negara.

Tanda SNI dan SCCI dapat dicantumkan pada produk atau media apa pun tanpa mempertimbangkan kemudahan akses atau kejelasan informasi.

Audit bisa dilakukan tanpa memperhatikan konsistensi mutu produk atau pengelolaan sumber daya.

yang diajukan oleh Sponsor dan/atau Developer.

Jarak antara surveilan paling sedikit 18 (delapan belas) bulan.

harus memiliki kompetensi sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

dapat dilakukan berdasarkan kondisi masa berlaku sertifikat CC Indonesia pada TOE telah berakhir;

Durasi proses sertifikasi dan pengujian umumnya selesai dalam beberapa hari terlepas dari kompleksitas produk.

sebagai berikut: memberikan arahan strategis pelaksanaan Skema SCCI; mengomunikasikan arah strategis manajemen kebijakan SCCI; merumuskan Skema SCCI; merumuskan kebijakan penggunaan tanda kesesuaian SNI SCCI; melakukan pengawasan dan pengendalian terhadap implementasi Skema SCCI; melaksanakan evaluasi Skema SCCI paling sedikit 24 (dua puluh empat) bulan sejak pelaksanaan evaluasi sebelumnya, atau dapat diubah dengan ketentuan sebagai berikut: terdapat perubahan standar acuan yang digunakan pada Skema SCCI; adanya perubahan struktur organisasi dan/atau tugas dan fungsi Badan; dan/atau adanya rekomendasi kaji ulang Skema SCCI.

merupakan perubahan yang terkait langsung dengan fungsi keamanan TOE.

Sertifikat dapat diterbitkan tanpa memuat informasi lengkap seperti nomor sertifikat, level keamanan TOE, atau status akreditasi.

LSPro dan laboratorium pengujian dapat beroperasi tanpa akreditasi dari KAN dan tidak ada batas waktu dalam proses sertifikasi.

Laboratorium Pengujian tidak harus menyampaikan dokumen seperti EOR, ETR, atau test plan kepada LSPro.

Penyelenggaraan Skema Penilaian Kesesuaian CC Indonesia tidak melibatkan Skema SCCI atau penyelenggara terkait.

Penunjukan LSPro atau laboratorium pengujian dapat dilakukan tanpa memerlukan evaluasi kompetensi atau persetujuan dari Deputi.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

Rencana evaluasi tidak perlu mencakup rincian spesifik seperti tujuan, waktu, atau metode pengujian yang jelas.

Pemutakhiran Register Produk dan penandatanganan perjanjian sertifikasi dapat diabaikan meskipun persyaratan sudah dipenuhi.

Verifikasi permohonan pemeliharaan jaminan keamanan bisa dilakukan tanpa batas waktu yang jelas.


Question: Pelaksanaan evaluasi tahap 1 (satu)

Evaluasi tahap 1 (satu) dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer terhadap persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan peraturan terkait.

Sertifikasi ulang bisa dilakukan tanpa mengikuti prosedur administratif, determinasi, atau tinjauan yang ditetapkan.

adalah Layanan pendampingan dalam penyusunan Dokumen Evidence bernama EPP/ Evaluation Project Proposal dalam rangka pemenuhan kelengkapan pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan pengujian Keamanan Modul Kriptografi / KMK

LSPro menerbitkan surat rekomendasi pelaksanaan sertifikasi ulang kepada Sponsor dan/atau Developer.

dapat dilakukan berdasarkan kondisi masa berlaku sertifikat CC Indonesia pada TOE telah berakhir;

yang merupakan kombinasi dari audit dokumen dan rekaman, wawancara, observasi, demonstrasi, atau metode audit lainnya.

Sertifikasi Keamanan Modul Kriptografi / KMK Indonesia hanya memfokuskan pada aspek perangkat keras tanpa melibatkan vendor atau laboratorium pengujian.

Pengujian lainnya hanya mencakup pengujian dokumen, tanpa melibatkan evaluasi keamanan chip KTP-el.

Pemutakhiran produk mencakup pengembangan teknologi perangkat lunak untuk pengguna komersial di sektor swasta tanpa melibatkan sektor pemerintahan.

dalam waktu 2 (dua) hari kerja, LSPro dapat menolak permohonan pengajuan pemeliharaan jaminan keamanan.

oleh KAN sesuai dengan lingkup Produk yang disertifikasi paling lama 2 (dua) tahun terhitung sejak tanggal penunjukan.

LSPro melaksanakan pemeliharaan jaminan keamanan.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.

Pengambilan contoh bisa dilakukan oleh personel tanpa memerlukan kualifikasi khusus dan di luar lokasi produksi.

Pemeliharaan jaminan keamanan juga bisa diberikan kepada TOE yang belum disertifikasi oleh LSPro.

EOR, ETR, dan test plan kepada LSPro untuk mendapatkan reviu dan persetujuan.

Pemberitahuan terkait keputusan sertifikasi dapat dilakukan secara lisan.

LSPro dan laboratorium pengujian dapat beroperasi tanpa akreditasi dari KAN dan tidak ada batas waktu dalam proses sertifikasi.

Permohonan pemeliharaan jaminan keamanan tidak perlu dicatat atau diverifikasi oleh LSPro.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

Penilaian kesesuaian tidak memerlukan sertifikasi oleh LSPro, dan tidak ada keterlibatan KAN atau SNI dalam proses sertifikasi TOE.


Question: LSPro melakukan evaluasi hasil pengujian

dengan melihat kesesuaian terhadap persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI.

merupakan perubahan yang tidak terkait langsung dengan fungsi keamanan TOE.

Pemeliharaan jaminan keamanan juga bisa diberikan kepada TOE yang belum disertifikasi oleh LSPro.

sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

LSPro dapat menyerahkan sertifikat tanpa mengikuti standar internasional yang diakui oleh CCRA dan/atau SNI, dengan masa berlaku sertifikat yang bervariasi.

LSPro tidak perlu memastikan bahwa informasi dari Sponsor atau Developer lengkap atau sesuai dengan persyaratan sebelum memproses permohonan.

Konsultasi teknis mencakup pelatihan dasar-dasar keamanan siber dan tidak terkait dengan penyusunan dokumen pengujian.

Penyelenggara Skema SCCI hanya terdiri dari LSPro tanpa adanya komite, laboratorium pengujian, atau penanggung jawab khusus.

harus dilakukan oleh satu orang atau sekelompok orang yang tidak terlibat dalam proses evaluasi.

rekomendasi tertulis tentang pemenuhan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang diajukan oleh Sponsor dan/atau Developer untuk Produk yang diajukan untuk disertifikasi.

TOE paling lambat 9 (sembilan) bulan sebelum masa berlaku sertifikat berakhir.

yang diakui oleh CCRA dan/atau SNI paling sedikit harus memuat: nomor sertifikat atau identifikasi penomoran unik lainnya; nama dan alamat LSPro; nama dan alamat Sponsor dan/atau Developer (pemegang sertifikat); nomor atau identifikasi lain yang mengacu ke perjanjian sertifikasi; tujuan penggunaan produk untuk digunakan di sektor IIV dan/atau digunakan di sektor selain IIV; pernyataan kesesuaian yang mencakup: merek (jika relevan) dan spesifikasi dari Produk yang dinyatakan memenuhi persyaratan; level keamanan TOE; persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang menjadi dasar sertifikasi; dan nama dan alamat lokasi produksi pembuatan Produk yang dinyatakan memenuhi persyaratan sesuai lingkup SNI. status akreditasi atau pengakuan LSPro; tanggal penerbitan sertifikat dan masa berlakunya, serta riwayat sertifikat; dan tanda tangan yang mengikat secara hukum dari personel yang bertindak atas nama LSPro sesuai dengan ketentuan peraturan perundang-undangan.

Pengajuan permohonan sertifikasi tidak memerlukan verifikasi dari LSPro, dan Sponsor tidak diharuskan mengikuti ketentuan perundang-undangan.

atau Tanda SNI dan Tanda CC Penggunaan tanda kesesuaian SNI, tanda SCCI atau tanda SNI dan tanda CC.

dapat dilakukan berdasarkan kondisi masa berlaku sertifikat CC Indonesia pada TOE telah berakhir;

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

Laboratorium Pengujian tidak wajib menyusun EOR, ETR, atau test plan untuk pengujian TOE.

Evaluasi tahap 1 (satu) tidak harus mencocokkan informasi dengan standar internasional atau peraturan yang berlaku.

LSPro dapat melaksanakan sertifikasi tanpa mengacu pada CC atau standar SNI ISO/IEC 15408.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

atau Skema Common Criteria Indonesia (SCCI) melibatkan berbagai bidang, termasuk perangkat keras (hardware), perangkat lunak (software)


Question: Pengujian dilakukan terhadap sampel TOE

Pengambilan contoh dilakukan oleh personel kompeten yang ditugaskan LSPro. Pengambilan contoh dilakukan di lokasi produksi dengan jumlah contoh sebagaimana diuraikan pada lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian. Apabila tidak diuraikan dalam lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian maka sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI atau kebutuhan Laboratorium Pengujian.

adalah standar evaluasi keamanan teknologi informasi berdasarkan dokumen Common Criteria for Information Technology Security Evaluation. Skema Sertifikasi Common Criteria Indonesia yang selanjutnya disingkat Skema SCCI adalah sistem sertifikasi terkait dengan keamanan produk teknologi informasi yang dilakukan oleh lembaga sertifikasi produk CC Indonesia, laboratorium pengujian CC, sponsor, dan/atau developer dengan mengacu pada CC dan SNI ISO/IEC 15408-2, SNI ISO/IEC 15408-3, dan SNI ISO/IEC 15408-5.

terdiri atas: Skema SCCI; dan Penyelenggara Skema SCCI.

Sponsor atau Developer tidak diizinkan untuk mengajukan pengurangan lingkup sertifikasi selama periode sertifikasi.

Pelaksanaan tahap determinasi bisa dilakukan tanpa mengacu pada hal-hal spesifik yang diatur pada tabel produk.

untuk melanjutkan proses sertifikasi setelah LSPro memutuskan tidak lulus sertifikasi, Sponsor dan/atau Developer dapat mengajukan kembali permohonan sertifikasi.

Sponsor dan/atau Developer bisa melanjutkan proses tanpa perlu mengajukan kembali permohonan sertifikasi.

Pengambilan sampel TOE dapat dilakukan tanpa keterlibatan personel kompeten atau inspeksi di lokasi produksi.

Tanda SNI dan SCCI dapat dicantumkan meskipun Sponsor dan/atau Developer belum mendapatkan tanda kesesuaian.

Kepala Badan dapat menjalankan Skema SCCI tanpa menetapkan rencana strategis atau peraturan terkait.

terdaftar di portal CC dengan nama dan rincian kontak masing-masing skema CC, yang dapat ditemukan di http://www.commoncriteriaportal.org/

dilakukan dalam waktu 10 (sepuluh) hari kerja sejak permohonan diterima.

Hasil pengujian dapat dievaluasi tanpa harus mengacu pada standar internasional atau SNI.

Persyaratan acuan SCCI hanya mencakup standar lokal dan tidak mengikuti standar internasional atau SNI yang diakui oleh CCRA.

Pengujian lainnya hanya mencakup pengujian dokumen, tanpa melibatkan evaluasi keamanan chip KTP-el.

dapat dilakukan oleh orang atau sekelompok orang yang sama dengan yang melakukan tinjauan.

apabila terdapat Produk yang disertifikasi tidak memenuhi persyaratan yang ditetapkan, maka LSPro mewajibkan Sponsor dan/atau Developer untuk menarik semua Produk yang terindikasi tidak sesuai, melaporkan kepada Badan dan melarang mencantumkan logo SCCI pada Produk dan/atau media lain sejak tanggal terjadinya ketidaksesuaian tersebut sampai dengan dapat dilakukan tindakan perbaikan. Logo SCCI dapat dicantumkan kembali setelah dilakukan tindakan perbaikan dan dinyatakan memenuhi oleh LSPro.

atau Tanda SNI dan Tanda CC Penggunaan tanda kesesuaian SNI, tanda SCCI atau tanda SNI dan tanda CC.

Pemeliharaan jaminan keamanan bisa dilaksanakan meskipun ada masalah yang terdeteksi dalam proses verifikasi.

Negara anggota CCRA tidak terdaftar di portal resmi CC, dan rincian kontak tidak dapat ditemukan secara online.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.


Question: Pengujian TOE dilakukan di Laboratorium Pengujian

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

Proses sertifikasi ulang dapat tetap dilanjutkan meskipun keterlambatan disebabkan oleh Sponsor atau Developer.

yang diakui oleh CCRA dan/atau SNI paling sedikit harus memuat: nomor sertifikat atau identifikasi penomoran unik lainnya; nama dan alamat LSPro; nama dan alamat Sponsor dan/atau Developer (pemegang sertifikat); nomor atau identifikasi lain yang mengacu ke perjanjian sertifikasi; tujuan penggunaan produk untuk digunakan di sektor IIV dan/atau digunakan di sektor selain IIV; pernyataan kesesuaian yang mencakup: merek (jika relevan) dan spesifikasi dari Produk yang dinyatakan memenuhi persyaratan; level keamanan TOE; persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang menjadi dasar sertifikasi; dan nama dan alamat lokasi produksi pembuatan Produk yang dinyatakan memenuhi persyaratan sesuai lingkup SNI. status akreditasi atau pengakuan LSPro; tanggal penerbitan sertifikat dan masa berlakunya, serta riwayat sertifikat; dan tanda tangan yang mengikat secara hukum dari personel yang bertindak atas nama LSPro sesuai dengan ketentuan peraturan perundang-undangan.

14 (empat belas) kategori Produk yaitu: EAL X =tingkatan jaminan evaluasi Produk terdiri atas evaluation assurance level 3 (tiga) s.d. evaluation assurance level 7 (tujuh).

Kepala Badan dapat menunjuk LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi. Penunjukan LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi dilakukan berdasarkan hasil evaluasi kompetensi oleh Deputi.

Sponsor dan/atau Developer bisa mengabaikan kekurangan kelengkapan persyaratan tanpa perlu melengkapinya dalam batas waktu tertentu.

tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus; tidak mampu memperbaiki ketidaksesuaian yang diterbitkan oleh LSPro pada saat surveilan dan/atau saat evaluasi khusus; atau menyampaikan permintaan pembekuan sertifikasi kepada LSPro.

rapat kemajuan evaluasi untuk mereviu dan menyetujui EOR; rapat teknis pengujian untuk mereviu dan menyetujui test plan; dan melakukan reviu ETR.

Jenis produk yang dapat disertifikasi hanya mencakup perangkat keras (hardware) tanpa melibatkan perangkat lunak.

Tanda SNI dan SCCI dapat dicantumkan meskipun Sponsor dan/atau Developer belum mendapatkan tanda kesesuaian.

Sponsor dan/atau Developer dapat mencantumkan tanda SNI dan tanda SCCI.

yang mencakup paling sedikit: tujuan, waktu evaluasi termasuk jadwal dan level keamanan, durasi, lokasi, tim, metode termasuk metode pengujian, dan agenda evaluasi Produk yang diajukan untuk disertifikasi; rencana pengambilan contoh yang meliputi merek dan tipe Produk yang diajukan untuk disertifikasi dan metode pengambilan contoh sesuai dengan persyaratan SNI, yang diperlukan untuk pengujian Produk dan mewakili Produk yang diajukan untuk disertifikasi; dan waktu yang diperlukan untuk pelaksanaan pengujian berdasarkan standar acuan metode uji yang dipersyaratkan. Pelaksanaan evaluasi dilakukan oleh auditor atau tim audit yang memiliki kriteria kompetensi sesuai kriteria kompetensi personel/tim dalam kegiatan sertifikasi. Apabila relevan, tahap seleksi juga mengacu pada hal-hal spesifik sebagaimana diatur pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

terdiri atas: ruang lingkup; persyaratan acuan; jenis kegiatan penilaian kesesuaian; prosedur administratif; determinasi; tinjauan dan keputusan; pemeliharaan jaminan keamanan; pemeliharaan sertifikasi; evaluasi khusus; ketentuan pengurangan, pembekuan, dan pencabutan sertifikasi; keluhan dan banding; informasi publik; penggunaan tanda SNI dan tanda SCCI atau tanda SNI dan tanda CC; daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Tanda SNI dan tanda CC dapat digunakan kapan saja tanpa memperhatikan status keanggotaan Indonesia dalam CCRA.

Evaluasi khusus bisa diabaikan meskipun ada keluhan atau informasi yang membutuhkan investigasi.

LSPro akan memproses permohonan sertifikasi meskipun terdapat substansi yang belum dipenuhi oleh Sponsor dan/atau Developer.

Sertifikasi tetap aktif meskipun surveilan atau evaluasi khusus tidak disetujui atau ketidaksesuaian belum diperbaiki.

merupakan perubahan yang terkait langsung dengan fungsi keamanan TOE.

apabila Sponsor dan/atau Developer: tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus melebihi batas waktu yang ditentukan; tidak mampu memperbaiki ketidaksesuaian yang mengakibatkan pembekuan sertifikasi melebihi batas waktu yang ditentukan; atau menyampaikan permintaan pencabutan sertifikasi kepada LSPro.

LSPro menerbitkan surat rekomendasi pelaksanaan sertifikasi ulang kepada Sponsor dan/atau Developer.

yang merupakan kombinasi dari audit dokumen dan rekaman, wawancara, observasi, demonstrasi, atau metode audit lainnya.