Question: Presiden RI Joko Widodo menandatangani Perpres Nomor 28 Tahun 2021 tentang Badan Siber dan Sandi Negara (BSSN) pada 13 April 2021

Perpres ini bertujuan untuk mengoptimalkan tugas dan fungsi BSSN dalam keamanan siber dan sandi secara efektif dan efisien. BSSN merupakan transformasi dari Lembaga Sandi Negara dan Direktorat Keamanan Informasi KemenKominfo, sesuai Perpres Nomor 53 dan 133 tahun 2017. BSSN berada di bawah dan bertanggung jawab kepada Presiden, dengan organisasi dan tata kerjanya diatur dalam peraturan badan siber dan sandi negara republik indonesia nomor 4 tahun 2023 tentang perubahan atas peraturan badan siber dan sandi negara nomor 6 tahun 2021 tentang organisasi dan tata kerja badan siber dan sandi negara.

Sertifikasi tetap aktif meskipun surveilan atau evaluasi khusus tidak disetujui atau ketidaksesuaian belum diperbaiki.

Produk yang disertifikasi pada skema ini hanya mencakup perangkat jaringan tanpa melibatkan modul kriptografi.

atau tindakan lainnya yang disebabkan oleh faktor lainnya dengan mempertimbangkan risiko yang ditemukan.

Permohonan jaminan keamanan dapat diajukan tanpa dokumen pendukung seperti IAR, ST, atau fotokopi sertifikat CC Indonesia.

Sertifikasi Keamanan Modul Kriptografi / KMK Indonesia hanya memfokuskan pada aspek perangkat keras tanpa melibatkan vendor atau laboratorium pengujian.

Sponsor dan/atau Developer dapat mengajukan kembali permohonan sertifikasi terhadap perubahan atau penambahan fitur keamanan atas TOE.

Konsultasi teknis mencakup pelatihan dasar-dasar keamanan siber dan tidak terkait dengan penyusunan dokumen pengujian.

Penilaian kesesuaian tidak memerlukan sertifikasi oleh LSPro, dan tidak ada keterlibatan KAN atau SNI dalam proses sertifikasi TOE.

Tinjauan permohonan sertifikasi bisa dilakukan tanpa batas waktu yang jelas.

dilakukan dalam waktu 10 (sepuluh) hari kerja sejak permohonan diterima.

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional

Sponsor dan/atau Developer dapat diberi kesempatan untuk melakukan tindakan perbaikan dalam jangka waktu tertentu sesuai dengan kesepakatan antara LSPro, Laboratorium Pengujian dan Sponsor dan/atau Developer dengan melakukan pemutakhiran pada EPP.

dalam rangka investigasi keluhan atau informasi yang ada dilakukan oleh auditor yang memiliki kompetensi untuk melakukan investigasi dan terbatas pada permasalahan yang ada, serta dilakukan dalam waktu yang singkat dari diperolehnya keluhan atau informasi.

atau Tim dalam Kegiatan Sertifikasi Pemenuhan kompetensi dapat dipenuhi secara kolektif dalam satu tim. Jika auditor juga bertindak sebagai PPC, maka harus memiliki pengetahuan pengambilan contoh uji Produk.

LSPro bisa membiarkan produk yang tidak memenuhi persyaratan tetap beredar tanpa tindakan lebih lanjut, termasuk tanpa menarik produk atau mencabut logo SCCI.

personel kompeten yang ditugaskan LSPro. Pengambilan contoh dilakukan di lokasi produksi dengan jumlah contoh sebagaimana diuraikan pada lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian. Apabila tidak diatur dalam lampiran daftar produk, acuan CC, acuan SNI, dan uraian penilaian kesesuaian maka sesuai dengan persyaratan SNI atau kebutuhan Laboratorium Pengujian.

yang diajukan oleh Sponsor dan/atau Developer.

LSPro dapat menolak permohonan sertifikasi.

dalam waktu 2 (dua) hari kerja, LSPro dapat menolak permohonan pengajuan pemeliharaan jaminan keamanan.

Pengujian TOE dapat dilakukan di laboratorium mana saja tanpa akreditasi khusus.


Question: Pussertif BSSN

singkatan dari Pusat Sertifikasi Teknologi Keamanan Siber dan Sandi, adalah unit kerja di bawah BSSN yang bertugas menguji dan mensertifikasi produk keamanan siber dan sandi. Produk yang telah diuji dan tersertifikasi direkomendasikan untuk digunakan di Indonesia. Pussertif juga melakukan pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang telah dikembangkan dan dimanfaatkan oleh K/L/D/I. Produk yang dimaksud berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

Durasi proses sertifikasi dan pengujian umumnya selesai dalam beberapa hari terlepas dari kompleksitas produk.

LSPro menyerahkan sertifikat CC Indonesia, CR dan ST kepada Sponsor dan/atau Developer yang telah memenuhi persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI. Sertifikat CC Indonesia berlaku selama 5 (lima) tahun setelah diterbitkan.

LSPro melakukan penilaian IAR untuk menentukan kategori perubahan TOE yang terdiri atas: perubahan minor; dan perubahan mayor.

kepada TOE yang sudah disertifikasi oleh LSPro sesuai Skema SCCI.

terdiri atas: pemilik Skema SCCI; komite Skema SCCI; penanggung Jawab Skema SCCI; LSPro; dan Laboratorium Pengujian.

Pengajuan pemeliharaan jaminan keamanan bisa diajukan kapan saja tanpa perlu menunggu 30 hari setelah sertifikat diterbitkan.

Tanda SNI dan tanda CC dapat digunakan kapan saja tanpa memperhatikan status keanggotaan Indonesia dalam CCRA.

Perubahan minor dapat mencakup aspek yang terkait langsung dengan fungsi keamanan TOE.

Pengujian TOE bisa dilaksanakan tanpa mencakup audit, fungsionalitas, atau penilaian kerentanan.

Pengujian TOE dapat dilakukan di laboratorium mana saja tanpa akreditasi khusus.

merupakan evaluasi keamanan terhadap chip KTP-el dan card reader KTP-el. Hasil pengujian ini diterbitkan sebagai Surat Keterangan Hasil Uji, digunakan produsen untuk memenuhi persyaratan regulasi, seperti Permendagri Nomor 76 Tahun 2020 tentang Perangkat Pembaca dan Penulis serta Perangkat Pembaca Kartu Tanda Penduduk Elektronik dan Permendagri Nomor 72 Tahun 2022 tentang Tentang Standar dan Spesifikasi Perangkat Keras, Perangkat Lunak, dan Blangko Kartu Tanda Penduduk Elektronik Serta Penyelenggaraan Identitas Kependudukan Digital

Pemutakhiran Register Produk dan penandatanganan perjanjian sertifikasi dapat diabaikan meskipun persyaratan sudah dipenuhi.

Rekomendasi untuk keputusan sertifikasi bisa dilakukan tanpa perlu didokumentasikan.

dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer dan tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

Layanan Pussertif meliputi pelatihan dan sertifikasi kompetensi pegawai dalam bidang keamanan siber.

bagi Sponsor dan/atau Developer untuk mendapatkan seluruh informasi.

rekomendasi tertulis tentang pemenuhan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang diajukan oleh Sponsor dan/atau Developer untuk Produk yang diajukan untuk disertifikasi.

Pemeliharaan jaminan keamanan bersifat wajib dan harus dilakukan pada setiap perubahan fungsi keamanan TOE.

merupakan unit fungsional di bawah Pussertif BSSN yang menjalankan dua skema sertifikasi yaitu skema sertifikasi Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan sertifikasi Keamanan Modul Kriptografi / KMK

Penetapan keputusan sertifikasi dapat dilakukan oleh personel tanpa memerlukan kompetensi khusus.


Question: Alamat Pussertif

di Jl. Harsono RM No. 70, Ragunan, Pasar Minggu, Jakarta Selatan, 12550, Email Pussertif adalah lspro@bssn.go.id sedangkan email BSSN adalah humas@bssn.go.id

Rencana evaluasi tidak perlu mencakup rincian spesifik seperti tujuan, waktu, atau metode pengujian yang jelas.

LSPro dapat beroperasi tanpa memerlukan penetapan dari Kepala Badan Siber dan Sandi Negara.

atau tindakan lainnya yang disebabkan oleh faktor lainnya dengan mempertimbangkan risiko yang ditemukan.

Informasi Sponsor dan/atau Developer, Informasi Produk, Informasi proses produksi. Informasi Sponsor dan/atau Developer: nama dan alamat Sponsor dan/atau Developer, serta nama dan kedudukan atau jabatan personel yang bertanggung jawab atas pengajuan permohonan sertifikasi; bukti pemenuhan persyaratan izin berusaha sesuai dengan ketentuan peraturan perundang-undangan; apabila menggunakan merek, maka melampirkan bukti kepemilikan atas merek; apabila Sponsor dan/atau Developer melakukan pembuatan Produk dengan merek yang dimiliki oleh pihak lain, menyertakan bukti perjanjian yang mengikat secara hukum untuk melakukan pembuatan Produk untuk pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai pemilik merek yang mengalihdayakan proses produksinya kepada pihak lain, menyertakan bukti kepemilikan merek dan perjanjian alih daya pelaksanaan produksi dengan pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai perwakilan resmi pemilik merek yang berkedudukan hukum di luar negeri, menyertakan bukti perjanjian yang mengikat secara hukum tentang penunjukan sebagai perwakilan resmi pemilik merek di wilayah Republik Indonesia; dan pernyataan bahwa Sponsor dan/atau Developer bertanggung jawab penuh atas pemenuhan persyaratan CC dan/atau SNI dan pemenuhan persyaratan proses sertifikasi, serta bersedia memberikan akses terhadap lokasi dan/atau informasi yang diperlukan oleh LSPro dalam melaksanakan kegiatan sertifikasi.

Penetapan keputusan sertifikasi bisa dilakukan oleh pihak yang terlibat dalam proses evaluasi.

Pengajuan permohonan sertifikasi tidak memerlukan verifikasi dari LSPro, dan Sponsor tidak diharuskan mengikuti ketentuan perundang-undangan.

atau Tim dalam Kegiatan Sertifikasi Pemenuhan kompetensi dapat dipenuhi secara kolektif dalam satu tim. Jika auditor juga bertindak sebagai PPC, maka harus memiliki pengetahuan pengambilan contoh uji Produk.

Penetapan keputusan sertifikasi bisa dilakukan tanpa rekomendasi dari proses tinjauan.

Komite Skema SCCI dapat menjalankan fungsinya tanpa melakukan evaluasi berkala atau mengomunikasikan kebijakan SCCI.

LSPro tetap dapat memproses permohonan sertifikasi meskipun Sponsor dan/atau Developer belum melengkapi persyaratan.

sesuai dengan tahapan pada prosedur administratif, determinasi, serta tinjauan dan keputusan.

audit bukti evaluasi TOE; pengujian fungsionalitas TOE; dan pengujian penilaian kerentanan TOE.

Sertifikat tetap berlaku meskipun terjadi penyalahgunaan sertifikat atau konflik kepentingan.

tanggung jawab dan komitmen manajemen puncak terhadap konsistensi mutu produk; ketersediaan dan pengendalian informasi prosedur dan rekaman pengendalian mutu; pengelolaan sumber daya termasuk personel, bangunan dan fasilitas, serta lingkungan kerja yang memengaruhi mutu produk; tahapan kritis proses produksi TOE, mulai dari bahan baku sampai TOE jadi paling sedikit sebagaimana diuraikan pada tahapan kritis proses produksi TOE pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; kelengkapan serta fungsi peralatan produksi termasuk peralatan pengendalian mutu; bukti verifikasi berdasarkan hasil kalibrasi atau hasil verifikasi peralatan produksi yang membuktikan bahwa peralatan tersebut memenuhi persyaratan produksi. Hasil verifikasi peralatan produksi dapat ditunjukkan dengan prosedur yang diperlukan untuk mencapai kondisi atau persyaratan yang ditetapkan; dan pengendalian proses produksi dan penanganan Produk yang tidak sesuai.

Pemeliharaan jaminan keamanan juga bisa diberikan kepada TOE yang belum disertifikasi oleh LSPro.

Pemutakhiran produk mencakup pengembangan teknologi perangkat lunak untuk pengguna komersial di sektor swasta tanpa melibatkan sektor pemerintahan.

Sertifikasi ulang bisa dilakukan tanpa mengikuti prosedur administratif, determinasi, atau tinjauan yang ditetapkan.

Kepala Badan dapat menunjuk LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi. Penunjukan LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi dilakukan berdasarkan hasil evaluasi kompetensi oleh Deputi.

Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI) hanya melibatkan evaluasi perangkat lunak tanpa memperhitungkan perangkat keras.

Layanan Pussertif meliputi pelatihan dan sertifikasi kompetensi pegawai dalam bidang keamanan siber.


Question: Layanan Pussertif

meliputi Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC, Sertifikasi dan Pengujian Keamanan Modul Kriptografi / KMK, Pengujian chip KTP-el dan card reader KTP-el, Konsultasi Teknis untuk dokumen pengujian CC/KPTI dan pengujian KMK, serta Pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang meliputi produk untuk pengamanan komunikasi, pengamanan dokumen, pengamanan data dan informasi.

Permohonan jaminan keamanan dapat diajukan tanpa dokumen pendukung seperti IAR, ST, atau fotokopi sertifikat CC Indonesia.

LSPro menyerahkan sertifikat CC Indonesia, CR dan ST kepada Sponsor dan/atau Developer yang telah memenuhi persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI. Sertifikat CC Indonesia berlaku selama 5 (lima) tahun setelah diterbitkan.

tidak mengurangi jangka waktu tinjauan permohonan sertifikasi.

Sponsor dan/atau Developer tidak diberikan waktu untuk melakukan tindakan perbaikan atas ketidaksesuaian dalam proses evaluasi.

Pelaksanaan surveilans tidak perlu mengacu pada hal-hal spesifik yang diatur dalam persyaratan permohonan.

atau Tanda SNI dan Tanda CC Penggunaan tanda kesesuaian SNI, tanda SCCI atau tanda SNI dan tanda CC.

rapat kemajuan evaluasi untuk mereviu dan menyetujui EOR; rapat teknis pengujian untuk mereviu dan menyetujui test plan; dan melakukan reviu ETR.

LSPro dapat mengabaikan pembekuan atau pencabutan sertifikasi meskipun ada risiko yang teridentifikasi.

Pengajuan pemeliharaan jaminan keamanan bisa diajukan kapan saja tanpa perlu menunggu 30 hari setelah sertifikat diterbitkan.

Hasil pengujian dapat dievaluasi tanpa harus mengacu pada standar internasional atau SNI.

dilakukan oleh Sponsor dan/atau Developer dan akan dicatat serta diverifikasi oleh LSPro. Kriteria Sponsor dan/atau Developer yang dapat mengajukan sertifikasi sesuai dengan ketentuan peraturan perundang-undangan.

Informasi Sponsor dan/atau Developer, Informasi Produk, Informasi proses produksi. Informasi Sponsor dan/atau Developer: nama dan alamat Sponsor dan/atau Developer, serta nama dan kedudukan atau jabatan personel yang bertanggung jawab atas pengajuan permohonan sertifikasi; bukti pemenuhan persyaratan izin berusaha sesuai dengan ketentuan peraturan perundang-undangan; apabila menggunakan merek, maka melampirkan bukti kepemilikan atas merek; apabila Sponsor dan/atau Developer melakukan pembuatan Produk dengan merek yang dimiliki oleh pihak lain, menyertakan bukti perjanjian yang mengikat secara hukum untuk melakukan pembuatan Produk untuk pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai pemilik merek yang mengalihdayakan proses produksinya kepada pihak lain, menyertakan bukti kepemilikan merek dan perjanjian alih daya pelaksanaan produksi dengan pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai perwakilan resmi pemilik merek yang berkedudukan hukum di luar negeri, menyertakan bukti perjanjian yang mengikat secara hukum tentang penunjukan sebagai perwakilan resmi pemilik merek di wilayah Republik Indonesia; dan pernyataan bahwa Sponsor dan/atau Developer bertanggung jawab penuh atas pemenuhan persyaratan CC dan/atau SNI dan pemenuhan persyaratan proses sertifikasi, serta bersedia memberikan akses terhadap lokasi dan/atau informasi yang diperlukan oleh LSPro dalam melaksanakan kegiatan sertifikasi.

adalah layanan teknologi terkini dalam keamanan siber dan sandi yang telah dikembangkan oleh Pussertif BSSN untuk penggunaan di sektor pemerintahan termasuk K/L/D/I. Ini meliputi kategori berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

kepada Sponsor dan/atau Developer terkait alasan menunda atau tidak memberikan keputusan sertifikasi, dan harus mengidentifikasi alasan keputusan tersebut.

Standar yang digunakan dalam sertifikasi ini hanya mencakup ISO/IEC 27001 tentang keamanan informasi, tanpa melibatkan standar kriptografi spesifik.

Penilaian IAR tidak diperlukan untuk menentukan kategori perubahan TOE.

Sertifikasi perubahan atau penambahan fitur keamanan bisa dilakukan tanpa mengikuti prosedur administratif atau melengkapi dokumentasi yang diperlukan.

Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan sertifikasi paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima oleh Sponsor dan/atau Developer.

penyalahgunaan sertifikat CC Indonesia oleh Sponsor dan/atau Developer; penyalahgunaan nama dan logo Badan, LSPro, SCCI dan/atau CCRA oleh Sponsor dan/atau Developer; atau konflik kepentingan yang mengakibatkan keberpihakan dalam proses sertifikasi.

14 (empat belas) kategori Produk yaitu: EAL X =tingkatan jaminan evaluasi Produk terdiri atas evaluation assurance level 3 (tiga) s.d. evaluation assurance level 7 (tujuh).


Question: Pussertif menjalankan sistem manajamen mutu

berdasarkan SNI ISO/IEC 17065:2012 dan SNI ISO/IEC 17067:2013.

pengisian Formulir Aplikasi Permohonan Sertifikasi, Security Target (ST), Evaluation Project Proposal (EPP), Surat pernyataan dokumen penilaian awal ST dan kecukupan bukti evaluasi dari Laboratorium Pengujian yang berlisensi, dan Target of Evaluation (TOE)

CCRA adalah pengaturan informal yang hanya diikuti oleh beberapa negara, dan sertifikat yang diterbitkan oleh satu negara tidak diakui oleh negara anggota lainnya.

Durasi proses sertifikasi dan pengujian umumnya selesai dalam beberapa hari terlepas dari kompleksitas produk.

Proses determinasi dapat dilakukan dalam satu tahap tanpa pembagian evaluasi.

yaitu SNI ISO/IEC 19790 (Standar Kriteria Keamanan Modul Kriptografi), SNI 8542 ISO/IEC 24759 (Standar Kriteria Pengujian Modul Kriptografi), Standar terkait Algoritma Kriptografi, SNI dan standar lain yang diacu dalam SNI serta Peraturan lain yang terkait dengan modul kriptografi.

dalam rangka investigasi keluhan atau informasi yang ada dilakukan oleh auditor yang memiliki kompetensi untuk melakukan investigasi dan terbatas pada permasalahan yang ada, serta dilakukan dalam waktu yang singkat dari diperolehnya keluhan atau informasi.

Pemeliharaan jaminan keamanan bisa dilaksanakan meskipun ada masalah yang terdeteksi dalam proses verifikasi.

Pengujian TOE bisa dilaksanakan tanpa mencakup audit, fungsionalitas, atau penilaian kerentanan.

tidak mengurangi jangka waktu tinjauan permohonan sertifikasi.

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional

Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan sertifikasi paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima oleh Sponsor dan/atau Developer.

LSPro dapat mengabaikan pembekuan atau pencabutan sertifikasi meskipun ada risiko yang teridentifikasi.

Informasi publik dapat disampaikan tanpa mengikuti persyaratan SNI ISO/IEC 17065 atau melalui saluran informasi selain website LSPro.

Persyaratan acuan SCCI hanya mencakup standar lokal dan tidak mengikuti standar internasional atau SNI yang diakui oleh CCRA.

Tanda SNI dan SCCI ditampilkan pada Produk dan/atau pada kemasan terkecil, apabila tidak memungkinkan, tanda SNI dan SCCI ditampilkan pada kemasan yang lebih besar sedemikian rupa sehingga mudah dilihat oleh pembeli atau pengguna. Pencantuman tanda SNI dan SCCI harus dengan pencetakan yang permanen di Produk atau kemasannya. Tanda SNI dan SCCI yang tidak memungkinkan ditampilkan pada Produk, dapat ditampilkan dalam media lain seperti brosur, situs web, dan sebagainya, yang tidak menyebabkan salah pengertian.

Pemutakhiran Register Produk dan penandatanganan perjanjian sertifikasi dapat diabaikan meskipun persyaratan sudah dipenuhi.

mencakup: aspek legalitas kelembagaan; kompetensi untuk melakukan pengujian atau sertifikasi produk yang relevan dengan persyaratan yang ditetapkan dalam SNI, berdasarkan pertimbangan: sarana pengujian dan metode uji yang digunakan untuk pengujian produk; auditor/sertifikator serta petugas pengambil contoh dalam jumlah yang memadai untuk sertifikasi produk.

Permohonan pemeliharaan jaminan keamanan tidak perlu dicatat atau diverifikasi oleh LSPro.

Penetapan keputusan sertifikasi dapat dilakukan oleh personel tanpa memerlukan kompetensi khusus.

Pussertif menjalankan sistem manajemen mutu berdasarkan ISO/IEC 27001 tentang keamanan informasi.


Question: LSPro / lembaga sertifikasi produk

merupakan unit fungsional di bawah Pussertif BSSN yang menjalankan dua skema sertifikasi yaitu skema sertifikasi Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan sertifikasi Keamanan Modul Kriptografi / KMK

dapat melaksanakan evaluasi khusus dalam rangka audit perluasan lingkup maupun tindak lanjut atau investigasi atas keluhan atau informasi yang ada.

Penetapan keputusan sertifikasi dilakukan berdasarkan rekomendasi yang dihasilkan dari proses tinjauan.

Pelaksanaan tahap determinasi bisa dilakukan tanpa mengacu pada hal-hal spesifik yang diatur pada tabel produk.

LSPro dapat mengabaikan pembekuan atau pencabutan sertifikasi meskipun ada risiko yang teridentifikasi.

dilakukan sesuai dengan tahapan pada prosedur administratif, determinasi, serta tinjauan dan keputusan, dengan informasi yang harus disampaikan Sponsor dan/atau Developer meliputi: formulir aplikasi permohonan sertifikasi TOE; ST; dokumentasi test plan pada penambahan atau perubahan fitur keamanan; CR; IAR; surat rekomendasi pelaksanaan sertifikasi TOE ulang dari LSPro yang masih berlaku; dan TOE yang sudah terdapat perubahan atau penambahan fitur keamanan.

rekomendasi tertulis tentang pemenuhan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang diajukan oleh Sponsor dan/atau Developer untuk Produk yang diajukan untuk disertifikasi.

terhadap ketidaksesuaian evaluasi tahap 1 (satu) sesuai jangka waktu yang ditetapkan, LSPro dapat menghentikan proses sertifikasi dan menetapkan bahwa TOE tidak lulus sertifikasi.

adalah gambaran dan aturan terkait pedoman sertifikasi keamanan modul kriptografi / KMK yang dilakukan oleh beberapa pihak yaitu LSPro BSSN, laboratorium pengujian, vendor, dan konsumen sesuai dengan standar SNI ISO/IEC 19790 dan SNI 8542 ISO/IEC 24759

tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus; tidak mampu memperbaiki ketidaksesuaian yang diterbitkan oleh LSPro pada saat surveilan dan/atau saat evaluasi khusus; atau menyampaikan permintaan pembekuan sertifikasi kepada LSPro.

Sponsor dan/atau Developer tidak perlu terikat pada batas waktu tertentu untuk melengkapi kekurangan persyaratan.

Sertifikasi ulang terhadap TOE bisa dilakukan sebelum masa berlaku sertifikat berakhir.

Komite Skema SCCI dapat dibentuk tanpa melibatkan Deputi atau Direktur.

Evaluasi khusus dapat dilakukan tanpa memperhatikan tahapan sertifikasi atau batasan lingkup yang diajukan.

Pembekuan sertifikasi dapat berlangsung tanpa batas waktu tertentu.

Sertifikasi perubahan atau penambahan fitur keamanan bisa dilakukan tanpa mengikuti prosedur administratif atau melengkapi dokumentasi yang diperlukan.

LSPro melakukan penilaian IAR untuk menentukan kategori perubahan TOE yang terdiri atas: perubahan minor; dan perubahan mayor.

Persyaratan acuan SCCI hanya mencakup standar lokal dan tidak mengikuti standar internasional atau SNI yang diakui oleh CCRA.

Presiden RI Joko Widodo menandatangani Perpres tentang Badan Nasional Penanggulangan Bencana (BNPB) pada tahun 2020.

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional


Question: Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI)

CC Indonesia atau Skema Common Criteria Indonesia (SCCI) adalah gambaran dan aturan terkait pedoman sertifikasi keamanan produk teknologi informasi dan dilakukan oleh beberapa pihak yaitu LSPro BSSN, laboratorium pengujian, sponsor atau developer, dan konsumen sesuai dengan ISO/IEC 15408 tentang Kriteria evaluasi keamanan TI juga dikenal sebagai Common Criteria (CC) dan ISO/IEC 18045 tentang Metodologi untuk evaluasi keamanan TI juga dikenal sebagai Common Evaluation Methodology (CEM).

Sertifikasi tetap berlaku meskipun surveilan atau evaluasi khusus tidak disetujui dan ketidaksesuaian belum diperbaiki setelah batas waktu yang ditentukan.

Pelaksanaan surveilans tidak perlu mengacu pada hal-hal spesifik yang diatur dalam persyaratan permohonan.

Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan sertifikasi paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima oleh Sponsor dan/atau Developer.

yaitu SNI ISO/IEC 19790 (Standar Kriteria Keamanan Modul Kriptografi), SNI 8542 ISO/IEC 24759 (Standar Kriteria Pengujian Modul Kriptografi), Standar terkait Algoritma Kriptografi, SNI dan standar lain yang diacu dalam SNI serta Peraturan lain yang terkait dengan modul kriptografi.

Evaluasi tahap 2 (dua) dilaksanakan melalui audit proses produksi pembuatan TOE, untuk memastikan kemampuan dan konsistensi Sponsor dan/atau Developer dalam memproduksi TOE sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan sistem manajemen jika relevan.

audit bukti evaluasi TOE; pengujian fungsionalitas TOE; dan pengujian penilaian kerentanan TOE.

2 (dua) kali dalam periode sertifikasi. Surveilans pertama dilaksanakan pada bulan ke 20 (dua puluh) sampai dengan 24 (dua puluh empat), surveilans kedua dilaksanakan pada bulan ke 40 (empat puluh) sampai dengan 44 (empat puluh empat). Kunjungan surveilan dilakukan melalui kegiatan audit proses produksi dan/atau pengujian Produk.

Sertifikat sistem manajemen mutu tidak relevan dalam menentukan ruang lingkup audit proses produksi.

dalam rangka perluasan lingkup dilakukan sesuai dengan tahapan sertifikasi namun terbatas pada perluasan lingkup yang diajukan. Evaluasi terhadap perluasan lingkup sertifikasi dapat dilakukan terpisah maupun bersamaan dengan surveilan.

orang atau sekelompok orang yang tidak terlibat dalam proses penilaian.

Pengujian TOE bisa dilaksanakan tanpa mencakup audit, fungsionalitas, atau penilaian kerentanan.

rapat kemajuan evaluasi untuk mereviu dan menyetujui EOR; rapat teknis pengujian untuk mereviu dan menyetujui test plan; dan melakukan reviu ETR.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.

Sertifikat tetap berlaku meskipun terjadi penyalahgunaan sertifikat atau konflik kepentingan.

LSPro tidak perlu memastikan bahwa informasi dari Sponsor atau Developer lengkap atau sesuai dengan persyaratan sebelum memproses permohonan.

mencakup: Standar internasional yang diakui oleh CCRA sebagaimana dimaksud pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; SNI sebagaimana tercantum pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan SNI dan standar lain yang diacu dalam SNI

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional

Pemeliharaan jaminan keamanan juga bisa diberikan kepada TOE yang belum disertifikasi oleh LSPro.

terdaftar di portal CC dengan nama dan rincian kontak masing-masing skema CC, yang dapat ditemukan di http://www.commoncriteriaportal.org/

dapat dilakukan berdasarkan kondisi masa berlaku sertifikat CC Indonesia pada TOE telah berakhir;


Question: Sertifikasi Keamanan Modul Kriptografi / KMK Indonesia

adalah gambaran dan aturan terkait pedoman sertifikasi keamanan modul kriptografi / KMK yang dilakukan oleh beberapa pihak yaitu LSPro BSSN, laboratorium pengujian, vendor, dan konsumen sesuai dengan standar SNI ISO/IEC 19790 dan SNI 8542 ISO/IEC 24759

sesuai dengan tahapan pada prosedur administratif, determinasi, serta tinjauan dan keputusan.

dengan mempertimbangkan kompetensi dan imparsialitas pelaksanaan penanganan keluhan dan banding.

CCRA adalah pengaturan informal yang hanya diikuti oleh beberapa negara, dan sertifikat yang diterbitkan oleh satu negara tidak diakui oleh negara anggota lainnya.

Sponsor dan/atau Developer bisa mengabaikan kekurangan kelengkapan persyaratan tanpa perlu melengkapinya dalam batas waktu tertentu.

kepada TOE yang sudah disertifikasi oleh LSPro sesuai Skema SCCI.

CC hanya memiliki satu tingkat jaminan yang disebut EAL, tanpa skala dari EAL1 hingga EAL7, dan tingkat jaminan tidak mempengaruhi tingkat kepercayaan pada produk.

singkatan dari Pusat Sertifikasi Teknologi Keamanan Siber dan Sandi, adalah unit kerja di bawah BSSN yang bertugas menguji dan mensertifikasi produk keamanan siber dan sandi. Produk yang telah diuji dan tersertifikasi direkomendasikan untuk digunakan di Indonesia. Pussertif juga melakukan pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang telah dikembangkan dan dimanfaatkan oleh K/L/D/I. Produk yang dimaksud berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

Surveilans dapat dilakukan kurang dari dua kali dalam periode sertifikasi.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.

Permohonan jaminan keamanan dapat diajukan tanpa dokumen pendukung seperti IAR, ST, atau fotokopi sertifikat CC Indonesia.

sampai masa berlaku sertifikat berakhir, maka: apabila keterlambatan sertifikasi disebabkan oleh LSPro, maka LSPro menerbitkan surat keterangan yang menyatakan Sponsor dan/atau Developer sedang dalam proses sertifikasi; dan apabila keterlambatan sertifikasi disebabkan oleh Sponsor dan/atau Developer, maka proses sertifikasi tidak dilanjutkan dan sertifikat tidak berlaku.

Penunjukan LSPro atau laboratorium pengujian dapat dilakukan tanpa memerlukan evaluasi kompetensi atau persetujuan dari Deputi.

orang atau sekelompok orang yang tidak terlibat dalam proses penilaian.

Proses sertifikasi ulang dapat tetap dilanjutkan meskipun keterlambatan disebabkan oleh Sponsor atau Developer.

Pengajuan pemeliharaan jaminan keamanan bisa diajukan kapan saja tanpa perlu menunggu 30 hari setelah sertifikat diterbitkan.

LSPro dapat terdiri dari lebih sedikit personel tanpa memperhatikan peran yang diperlukan seperti peninjau sertifikasi atau auditor.

dalam rangka investigasi keluhan atau informasi yang ada dilakukan oleh auditor yang memiliki kompetensi untuk melakukan investigasi dan terbatas pada permasalahan yang ada, serta dilakukan dalam waktu yang singkat dari diperolehnya keluhan atau informasi.

Ketidaksesuaian dalam proses audit tidak memerlukan tindakan perbaikan dari Sponsor dan/atau Developer.

atau tindakan lainnya yang disebabkan oleh faktor lainnya dengan mempertimbangkan risiko yang ditemukan.


Question: Pengujian Lainnya

merupakan evaluasi keamanan terhadap chip KTP-el dan card reader KTP-el. Hasil pengujian ini diterbitkan sebagai Surat Keterangan Hasil Uji, digunakan produsen untuk memenuhi persyaratan regulasi, seperti Permendagri Nomor 76 Tahun 2020 tentang Perangkat Pembaca dan Penulis serta Perangkat Pembaca Kartu Tanda Penduduk Elektronik dan Permendagri Nomor 72 Tahun 2022 tentang Tentang Standar dan Spesifikasi Perangkat Keras, Perangkat Lunak, dan Blangko Kartu Tanda Penduduk Elektronik Serta Penyelenggaraan Identitas Kependudukan Digital

LSPro melaksanakan pemeliharaan jaminan keamanan.

terhadap ketidaksesuaian evaluasi tahap 1 (satu) sesuai jangka waktu yang ditetapkan, LSPro dapat menghentikan proses sertifikasi dan menetapkan bahwa TOE tidak lulus sertifikasi.

dapat melaksanakan evaluasi khusus dalam rangka audit perluasan lingkup maupun tindak lanjut atau investigasi atas keluhan atau informasi yang ada.

tidak mengurangi jangka waktu verifikasi.

kepada Sponsor dan/atau Developer terkait keputusan sertifikasi.

atau Skema Common Criteria Indonesia (SCCI) melibatkan berbagai bidang, termasuk perangkat keras (hardware), perangkat lunak (software)

Kepala Badan dapat menunjuk LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi. Penunjukan LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi dilakukan berdasarkan hasil evaluasi kompetensi oleh Deputi.

Produk yang disertifikasi pada skema ini hanya mencakup perangkat jaringan tanpa melibatkan modul kriptografi.

persyaratan permohonan sertifikasi dalam waktu 2 (dua) hari kerja, maka LSPro dapat menolak permohonan sertifikasi.

Laboratorium Pengujian tidak harus menyampaikan dokumen seperti EOR, ETR, atau test plan kepada LSPro.

apabila terdapat Produk yang disertifikasi tidak memenuhi persyaratan yang ditetapkan, maka LSPro mewajibkan Sponsor dan/atau Developer untuk menarik semua Produk yang terindikasi tidak sesuai, melaporkan kepada Badan dan melarang mencantumkan logo SCCI pada Produk dan/atau media lain sejak tanggal terjadinya ketidaksesuaian tersebut sampai dengan dapat dilakukan tindakan perbaikan. Logo SCCI dapat dicantumkan kembali setelah dilakukan tindakan perbaikan dan dinyatakan memenuhi oleh LSPro.

rapat kemajuan evaluasi untuk mereviu dan menyetujui EOR; rapat teknis pengujian untuk mereviu dan menyetujui test plan; dan melakukan reviu ETR.

terdiri atas: Skema SCCI; dan Penyelenggara Skema SCCI.

LSPro dapat beroperasi tanpa memerlukan penetapan dari Kepala Badan Siber dan Sandi Negara.

Persyaratan sertifikasi hanya mencakup pengisian formulir aplikasi tanpa memerlukan dokumen Security Target atau evaluasi laboratorium.

dalam rangka perluasan lingkup dilakukan sesuai dengan tahapan sertifikasi namun terbatas pada perluasan lingkup yang diajukan. Evaluasi terhadap perluasan lingkup sertifikasi dapat dilakukan terpisah maupun bersamaan dengan surveilan.

Pemberitahuan sertifikasi ulang dapat disampaikan kapan saja tanpa memperhatikan masa berlaku sertifikat.

yaitu evaluasi tahap 1 (satu) dan evaluasi tahap 2 (dua).

Pemeliharaan jaminan keamanan bisa dilaksanakan meskipun ada masalah yang terdeteksi dalam proses verifikasi.

Pengujian TOE bisa dilaksanakan tanpa mencakup audit, fungsionalitas, atau penilaian kerentanan.


Question: konsultasi teknis

adalah Layanan pendampingan dalam penyusunan Dokumen Evidence bernama EPP/ Evaluation Project Proposal dalam rangka pemenuhan kelengkapan pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan pengujian Keamanan Modul Kriptografi / KMK

pengisian Formulir Aplikasi Permohonan Sertifikasi, Security Target (ST), Evaluation Project Proposal (EPP), Surat pernyataan dokumen penilaian awal ST dan kecukupan bukti evaluasi dari Laboratorium Pengujian yang berlisensi, dan Target of Evaluation (TOE)

Informasi Sponsor dan/atau Developer, Informasi Produk, Informasi proses produksi. Informasi Sponsor dan/atau Developer: nama dan alamat Sponsor dan/atau Developer, serta nama dan kedudukan atau jabatan personel yang bertanggung jawab atas pengajuan permohonan sertifikasi; bukti pemenuhan persyaratan izin berusaha sesuai dengan ketentuan peraturan perundang-undangan; apabila menggunakan merek, maka melampirkan bukti kepemilikan atas merek; apabila Sponsor dan/atau Developer melakukan pembuatan Produk dengan merek yang dimiliki oleh pihak lain, menyertakan bukti perjanjian yang mengikat secara hukum untuk melakukan pembuatan Produk untuk pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai pemilik merek yang mengalihdayakan proses produksinya kepada pihak lain, menyertakan bukti kepemilikan merek dan perjanjian alih daya pelaksanaan produksi dengan pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai perwakilan resmi pemilik merek yang berkedudukan hukum di luar negeri, menyertakan bukti perjanjian yang mengikat secara hukum tentang penunjukan sebagai perwakilan resmi pemilik merek di wilayah Republik Indonesia; dan pernyataan bahwa Sponsor dan/atau Developer bertanggung jawab penuh atas pemenuhan persyaratan CC dan/atau SNI dan pemenuhan persyaratan proses sertifikasi, serta bersedia memberikan akses terhadap lokasi dan/atau informasi yang diperlukan oleh LSPro dalam melaksanakan kegiatan sertifikasi.

dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer dan tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

2 (dua) kali dalam periode sertifikasi. Surveilans pertama dilaksanakan pada bulan ke 20 (dua puluh) sampai dengan 24 (dua puluh empat), surveilans kedua dilaksanakan pada bulan ke 40 (empat puluh) sampai dengan 44 (empat puluh empat). Kunjungan surveilan dilakukan melalui kegiatan audit proses produksi dan/atau pengujian Produk.

Sertifikasi perubahan atau penambahan fitur keamanan bisa dilakukan tanpa mengikuti prosedur administratif atau melengkapi dokumentasi yang diperlukan.

atau Skema Common Criteria Indonesia (SCCI) melibatkan berbagai bidang, termasuk perangkat keras (hardware), perangkat lunak (software)

serta Sponsor dan/atau Developer menyetujui persyaratan dan prosedur sertifikasi yang ditetapkan oleh LSPro, dilakukan pemutakhiran Register Produk CC Indonesia dan penandatanganan perjanjian sertifikasi oleh Sponsor dan/atau Developer dan LSPro.

Evaluasi tahap 1 (satu) tidak harus mencocokkan informasi dengan standar internasional atau peraturan yang berlaku.

Konsultasi teknis mencakup pelatihan dasar-dasar keamanan siber dan tidak terkait dengan penyusunan dokumen pengujian.

Laboratorium Pengujian tidak harus menyampaikan dokumen seperti EOR, ETR, atau test plan kepada LSPro.

Sponsor dan/atau Developer menyampaikan: formulir permohonan jaminan keamanan; IAR; ST CR; dan fotokopi sertifikat CC Indonesia.

Sponsor dan/atau Developer tidak perlu terikat pada batas waktu tertentu untuk melengkapi kekurangan persyaratan.

Alasan menunda atau tidak memberikan keputusan sertifikasi bisa disampaikan tanpa rincian tertulis.

Sertifikasi ulang terhadap TOE bisa dilakukan sebelum masa berlaku sertifikat berakhir.

terdiri atas: ruang lingkup; persyaratan acuan; jenis kegiatan penilaian kesesuaian; prosedur administratif; determinasi; tinjauan dan keputusan; pemeliharaan jaminan keamanan; pemeliharaan sertifikasi; evaluasi khusus; ketentuan pengurangan, pembekuan, dan pencabutan sertifikasi; keluhan dan banding; informasi publik; penggunaan tanda SNI dan tanda SCCI atau tanda SNI dan tanda CC; daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

kepada Sponsor dan/atau Developer terkait alasan menunda atau tidak memberikan keputusan sertifikasi, dan harus mengidentifikasi alasan keputusan tersebut.

EOR, ETR, dan test plan kepada LSPro untuk mendapatkan reviu dan persetujuan.


Question: Pemutakhiran produk

adalah layanan teknologi terkini dalam keamanan siber dan sandi yang telah dikembangkan oleh Pussertif BSSN untuk penggunaan di sektor pemerintahan termasuk K/L/D/I. Ini meliputi kategori berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

Alasan menunda atau tidak memberikan keputusan sertifikasi bisa disampaikan tanpa rincian tertulis.

Pengujian lainnya hanya mencakup pengujian dokumen, tanpa melibatkan evaluasi keamanan chip KTP-el.

Penanggung jawab Skema SCCI dapat menjalankan fungsinya tanpa menetapkan kebijakan operasional atau melakukan pengawasan terhadap LSPro dan laboratorium pengujian.

Pemutakhiran Register Produk dan penandatanganan perjanjian sertifikasi dapat diabaikan meskipun persyaratan sudah dipenuhi.

Informasi proses produksi tidak memerlukan legalitas hukum atau sertifikat ISO 9001, dan dokumentasi pengelolaan proses produksi tidak diwajibkan.

Penetapan keputusan sertifikasi bisa dilakukan tanpa rekomendasi dari proses tinjauan.

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

dapat dilakukan oleh orang atau sekelompok orang yang sama dengan yang melakukan tinjauan.

Presiden RI Joko Widodo menandatangani Perpres tentang Badan Nasional Penanggulangan Bencana (BNPB) pada tahun 2020.

atau Tim dalam Kegiatan Sertifikasi Pemenuhan kompetensi dapat dipenuhi secara kolektif dalam satu tim. Jika auditor juga bertindak sebagai PPC, maka harus memiliki pengetahuan pengambilan contoh uji Produk.

LSPro tetap dapat memproses permohonan sertifikasi meskipun Sponsor dan/atau Developer belum melengkapi persyaratan.

Sertifikasi ulang dapat dilakukan tanpa memerlukan audit dokumen atau rekaman, dan tanpa menggunakan media apapun.

Penetapan keputusan sertifikasi bisa dilakukan oleh pihak yang terlibat dalam proses evaluasi.

oleh KAN sesuai dengan lingkup Produk yang disertifikasi paling lama 2 (dua) tahun terhitung sejak tanggal penunjukan.

dalam rangka investigasi keluhan atau informasi yang ada dilakukan oleh auditor yang memiliki kompetensi untuk melakukan investigasi dan terbatas pada permasalahan yang ada, serta dilakukan dalam waktu yang singkat dari diperolehnya keluhan atau informasi.

Tahapan pengajuan sertifikasi dan pengujian dimulai dari pelatihan internal perusahaan tanpa adanya pengisian formulir permohonan.

Kepala Badan dapat menjalankan Skema SCCI tanpa menetapkan rencana strategis atau peraturan terkait.

Sertifikasi Keamanan Modul Kriptografi / KMK Indonesia hanya memfokuskan pada aspek perangkat keras tanpa melibatkan vendor atau laboratorium pengujian.

serta Sponsor dan/atau Developer menyetujui persyaratan dan prosedur sertifikasi yang ditetapkan oleh LSPro, dilakukan pemutakhiran Register Produk CC Indonesia dan penandatanganan perjanjian sertifikasi oleh Sponsor dan/atau Developer dan LSPro.

atau Skema Common Criteria Indonesia (SCCI) melibatkan berbagai bidang, termasuk perangkat keras (hardware), perangkat lunak (software)


Question: Tahapan / proses pengajuan sertifikasi dan pengujian

dimulai dari pengisian formulir permohonan, penyediaan informasi produk yang lengkap, dan pendaftaran untuk pengujian dan sertifikasi.

LSPro bisa membiarkan produk yang tidak memenuhi persyaratan tetap beredar tanpa tindakan lebih lanjut, termasuk tanpa menarik produk atau mencabut logo SCCI.

Kepala Badan dapat menjalankan Skema SCCI tanpa menetapkan rencana strategis atau peraturan terkait.

Sponsor dan/atau Developer tidak perlu terikat pada batas waktu tertentu untuk melengkapi kekurangan persyaratan.

Kriteria kompetensi personel dalam kegiatan sertifikasi dapat diabaikan, dan auditor tidak perlu memiliki pengetahuan tentang pengambilan contoh uji produk.

Produk yang disertifikasi pada skema ini hanya mencakup perangkat jaringan tanpa melibatkan modul kriptografi.

Pussertif menjalankan sistem manajemen mutu berdasarkan ISO/IEC 27001 tentang keamanan informasi.

Kode klasifikasi dapat diterapkan tanpa memperhatikan kategori produk atau tingkatan jaminan evaluasi.

Permohonan pemeliharaan jaminan keamanan tidak perlu dicatat atau diverifikasi oleh LSPro.

orang atau sekelompok orang yang tidak terlibat dalam proses penilaian.

di Jl. Harsono RM No. 70, Ragunan, Pasar Minggu, Jakarta Selatan, 12550, Email Pussertif adalah lspro@bssn.go.id sedangkan email BSSN adalah humas@bssn.go.id

Penetapan keputusan sertifikasi bisa dilakukan oleh pihak yang terlibat dalam proses evaluasi.

Persyaratan acuan SCCI hanya mencakup standar lokal dan tidak mengikuti standar internasional atau SNI yang diakui oleh CCRA.

LSPro menerbitkan laporan pemeliharaan jaminan keamanan dan melakukan pemutakhiran register Produk CC Indonesia.

Penyelenggaraan Skema Penilaian Kesesuaian CC Indonesia tidak melibatkan Skema SCCI atau penyelenggara terkait.

Laboratorium Pengujian tidak harus menyampaikan dokumen seperti EOR, ETR, atau test plan kepada LSPro.

Evaluasi tahap 1 (satu) tidak harus mencocokkan informasi dengan standar internasional atau peraturan yang berlaku.

Audit hanya perlu menggunakan satu metode, seperti audit dokumen atau rekaman saja.

Sponsor dan/atau Developer menyampaikan: formulir permohonan jaminan keamanan; IAR; ST CR; dan fotokopi sertifikat CC Indonesia.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

Pemeliharaan jaminan keamanan juga bisa diberikan kepada TOE yang belum disertifikasi oleh LSPro.


Question: Durasi / lamanya proses sertifikasi dan pengujian

dapat bervariasi tergantung pada kompleksitas produk. Namun, secara umum, proses ini dapat memakan waktu hingga beberapa bulan.

audit bukti evaluasi TOE; pengujian fungsionalitas TOE; dan pengujian penilaian kerentanan TOE.

LSPro dapat mengabaikan pembekuan atau pencabutan sertifikasi meskipun ada risiko yang teridentifikasi.

atau tindakan lainnya yang disebabkan oleh faktor lainnya dengan mempertimbangkan risiko yang ditemukan.

Perubahan mayor bisa diproses tanpa memerlukan sertifikasi ulang.

Penanggung jawab Skema SCCI dapat menjalankan fungsinya tanpa menetapkan kebijakan operasional atau melakukan pengawasan terhadap LSPro dan laboratorium pengujian.

Pemberitahuan sertifikasi ulang dapat disampaikan kapan saja tanpa memperhatikan masa berlaku sertifikat.

dapat dilakukan berdasarkan kondisi masa berlaku sertifikat CC Indonesia pada TOE telah berakhir;

Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan sertifikasi paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima oleh Sponsor dan/atau Developer.

tidak mengurangi jangka waktu tinjauan permohonan sertifikasi.

Informasi Sponsor dan/atau Developer, Informasi Produk, Informasi proses produksi. Informasi Sponsor dan/atau Developer: nama dan alamat Sponsor dan/atau Developer, serta nama dan kedudukan atau jabatan personel yang bertanggung jawab atas pengajuan permohonan sertifikasi; bukti pemenuhan persyaratan izin berusaha sesuai dengan ketentuan peraturan perundang-undangan; apabila menggunakan merek, maka melampirkan bukti kepemilikan atas merek; apabila Sponsor dan/atau Developer melakukan pembuatan Produk dengan merek yang dimiliki oleh pihak lain, menyertakan bukti perjanjian yang mengikat secara hukum untuk melakukan pembuatan Produk untuk pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai pemilik merek yang mengalihdayakan proses produksinya kepada pihak lain, menyertakan bukti kepemilikan merek dan perjanjian alih daya pelaksanaan produksi dengan pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai perwakilan resmi pemilik merek yang berkedudukan hukum di luar negeri, menyertakan bukti perjanjian yang mengikat secara hukum tentang penunjukan sebagai perwakilan resmi pemilik merek di wilayah Republik Indonesia; dan pernyataan bahwa Sponsor dan/atau Developer bertanggung jawab penuh atas pemenuhan persyaratan CC dan/atau SNI dan pemenuhan persyaratan proses sertifikasi, serta bersedia memberikan akses terhadap lokasi dan/atau informasi yang diperlukan oleh LSPro dalam melaksanakan kegiatan sertifikasi.

serta dapat memastikan kemampuan LSPro untuk menindaklanjuti permohonan sertifikasi.

Evaluasi khusus dapat dilakukan tanpa memperhatikan tahapan sertifikasi atau batasan lingkup yang diajukan.

berdasarkan SNI ISO/IEC 17065:2012 dan SNI ISO/IEC 17067:2013.

Persyaratan sertifikasi hanya mencakup pengisian formulir aplikasi tanpa memerlukan dokumen Security Target atau evaluasi laboratorium.

Tahapan pengajuan sertifikasi dan pengujian dimulai dari pelatihan internal perusahaan tanpa adanya pengisian formulir permohonan.

dimulai dari pengisian formulir permohonan, penyediaan informasi produk yang lengkap, dan pendaftaran untuk pengujian dan sertifikasi.

CC Indonesia atau Skema Common Criteria Indonesia (SCCI) adalah gambaran dan aturan terkait pedoman sertifikasi keamanan produk teknologi informasi dan dilakukan oleh beberapa pihak yaitu LSPro BSSN, laboratorium pengujian, sponsor atau developer, dan konsumen sesuai dengan ISO/IEC 15408 tentang Kriteria evaluasi keamanan TI juga dikenal sebagai Common Criteria (CC) dan ISO/IEC 18045 tentang Metodologi untuk evaluasi keamanan TI juga dikenal sebagai Common Evaluation Methodology (CEM).

yaitu evaluasi tahap 1 (satu) dan evaluasi tahap 2 (dua).

Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI) hanya melibatkan evaluasi perangkat lunak tanpa memperhitungkan perangkat keras.

LSPro tidak perlu memastikan bahwa informasi dari Sponsor atau Developer lengkap atau sesuai dengan persyaratan sebelum memproses permohonan.


Question: Jenis Produk yang dapat disertifikasi dan diuji pada skema Keamanan Produk Teknologi Informasi (KPTI) / CC Indonesia

atau Skema Common Criteria Indonesia (SCCI) melibatkan berbagai bidang, termasuk perangkat keras (hardware), perangkat lunak (software)

Laboratorium Pengujian dapat beroperasi tanpa ditetapkan melalui keputusan resmi dan tanpa memenuhi kriteria personel minimal.

dimulai dari pengisian formulir permohonan, penyediaan informasi produk yang lengkap, dan pendaftaran untuk pengujian dan sertifikasi.

terhadap ketidaksesuaian evaluasi tahap 1 (satu) sesuai jangka waktu yang ditetapkan, LSPro dapat menghentikan proses sertifikasi dan menetapkan bahwa TOE tidak lulus sertifikasi.

Sponsor dan/atau Developer tidak diberikan waktu untuk melakukan tindakan perbaikan atas ketidaksesuaian dalam proses evaluasi.

Deputi; dan Direktur yang mengepalai Direktorat.

Penilaian kesesuaian tidak memerlukan sertifikasi oleh LSPro, dan tidak ada keterlibatan KAN atau SNI dalam proses sertifikasi TOE.

dilakukan dalam waktu 10 (sepuluh) hari kerja sejak permohonan diterima.

Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan sertifikasi paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima oleh Sponsor dan/atau Developer.

Perubahan mayor bisa berupa perubahan yang tidak terkait langsung dengan fungsi keamanan TOE.

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

adalah pengaturan internasional formal antara sejumlah besar negara. Pengakuan timbal balik ini memastikan bahwa sertifikat yang diterbitkan oleh salah satu lembaga sertifikasi negara anggota diakui oleh semua negara anggota. Hal ini akan membantu vendor untuk memotong biaya mereka dengan memiliki satu produk atau evaluasi sistem yang dapat dikenali oleh semua negara yang berpartisipasi. Sertifikasi Kriteria Umum dari EAL1 hingga EAL4 diakui bersama oleh semua anggota CCRA. Informasi lebih lanjut tentang CCRA dapat ditemukan di http://www.commoncriteriaportal.org/

rekomendasi tertulis tentang pemenuhan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI yang diajukan oleh Sponsor dan/atau Developer untuk Produk yang diajukan untuk disertifikasi.

Kriteria kompetensi personel dalam kegiatan sertifikasi dapat diabaikan, dan auditor tidak perlu memiliki pengetahuan tentang pengambilan contoh uji produk.

terdiri atas: Skema SCCI; dan Penyelenggara Skema SCCI.

Untuk CC, levelnya adalah EAL1 hingga EAL7. Skala ini mewakili tingkat kepercayaan yang dapat ditempatkan pada produk TIK yang sesuai dengan tujuan keamanan. Semakin tinggi EAL, semakin besar pula tingkat ketelitian yang diterapkan dalam menilai apakah produk TIK telah memenuhi persyaratan keamanannya

Informasi Sponsor dan/atau Developer, Informasi Produk, Informasi proses produksi. Informasi Sponsor dan/atau Developer: nama dan alamat Sponsor dan/atau Developer, serta nama dan kedudukan atau jabatan personel yang bertanggung jawab atas pengajuan permohonan sertifikasi; bukti pemenuhan persyaratan izin berusaha sesuai dengan ketentuan peraturan perundang-undangan; apabila menggunakan merek, maka melampirkan bukti kepemilikan atas merek; apabila Sponsor dan/atau Developer melakukan pembuatan Produk dengan merek yang dimiliki oleh pihak lain, menyertakan bukti perjanjian yang mengikat secara hukum untuk melakukan pembuatan Produk untuk pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai pemilik merek yang mengalihdayakan proses produksinya kepada pihak lain, menyertakan bukti kepemilikan merek dan perjanjian alih daya pelaksanaan produksi dengan pihak lain; apabila Sponsor dan/atau Developer bertindak sebagai perwakilan resmi pemilik merek yang berkedudukan hukum di luar negeri, menyertakan bukti perjanjian yang mengikat secara hukum tentang penunjukan sebagai perwakilan resmi pemilik merek di wilayah Republik Indonesia; dan pernyataan bahwa Sponsor dan/atau Developer bertanggung jawab penuh atas pemenuhan persyaratan CC dan/atau SNI dan pemenuhan persyaratan proses sertifikasi, serta bersedia memberikan akses terhadap lokasi dan/atau informasi yang diperlukan oleh LSPro dalam melaksanakan kegiatan sertifikasi.

sesuai dengan tahapan pada prosedur administratif, determinasi, serta tinjauan dan keputusan.

Evaluasi tahap 1 (satu) dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer terhadap persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan peraturan terkait.

Alamat Pussertif BSSN adalah di Jalan Medan Merdeka Barat No. 10, Jakarta Pusat, 10110.


Question: Jenis Produk yang dapat disertifikasi dan diuji pada skema Keamanan Modul Kriptografi / KMK

yaitu produk kriptografi seperti modul kriptografi dan algoritma kriptografi.

terdiri atas: ruang lingkup; persyaratan acuan; jenis kegiatan penilaian kesesuaian; prosedur administratif; determinasi; tinjauan dan keputusan; pemeliharaan jaminan keamanan; pemeliharaan sertifikasi; evaluasi khusus; ketentuan pengurangan, pembekuan, dan pencabutan sertifikasi; keluhan dan banding; informasi publik; penggunaan tanda SNI dan tanda SCCI atau tanda SNI dan tanda CC; daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional

Pengambilan contoh bisa dilakukan oleh personel tanpa memerlukan kualifikasi khusus dan di luar lokasi produksi.

adalah pengaturan internasional formal antara sejumlah besar negara. Pengakuan timbal balik ini memastikan bahwa sertifikat yang diterbitkan oleh salah satu lembaga sertifikasi negara anggota diakui oleh semua negara anggota. Hal ini akan membantu vendor untuk memotong biaya mereka dengan memiliki satu produk atau evaluasi sistem yang dapat dikenali oleh semua negara yang berpartisipasi. Sertifikasi Kriteria Umum dari EAL1 hingga EAL4 diakui bersama oleh semua anggota CCRA. Informasi lebih lanjut tentang CCRA dapat ditemukan di http://www.commoncriteriaportal.org/

Laboratorium Pengujian diselenggarakan oleh pemerintah atau swasta. Laboratorium Pengujian ditunjuk dan ditetapkan berdasarkan Keputusan Kepala Badan Siber dan Sandi Negara. Laboratorium Pengujian memiliki tugas melakukan pengujian kesesuaian keamanan Produk berdasarkan SCCI. Laboratorium Pengujian paling sedikit terdiri atas: kepala; manajer teknis; manajer mutu; dan 4 (empat) orang evaluator.

10 (sepuluh) hari kerja sejak permohonan diterima dan lengkap.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

Perubahan mayor bisa diproses tanpa memerlukan sertifikasi ulang.

Dokumen Skema SCCI tidak diakui oleh CCRA dan tidak dapat digunakan sebagai acuan pelaksanaan berdasarkan standar internasional.

Pemutakhiran register produk CC Indonesia tidak perlu dilakukan setelah penetapan keputusan sertifikasi.

Penetapan keputusan sertifikasi bisa dilakukan oleh pihak yang terlibat dalam proses evaluasi.

LSPro tidak perlu menerbitkan laporan atau memutakhirkan register meskipun terjadi perubahan minor.

terdaftar di portal CC dengan nama dan rincian kontak masing-masing skema CC, yang dapat ditemukan di http://www.commoncriteriaportal.org/

Persyaratan acuan SCCI hanya mencakup standar lokal dan tidak mengikuti standar internasional atau SNI yang diakui oleh CCRA.

pemeliharaan jaminan keamanan Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima.

Audit proses produksi bisa dilakukan di luar waktu produksi TOE.

Tinjauan permohonan sertifikasi boleh dilakukan oleh personel tanpa kompetensi khusus.

Pemutakhiran produk mencakup pengembangan teknologi perangkat lunak untuk pengguna komersial di sektor swasta tanpa melibatkan sektor pemerintahan.

Sertifikasi ulang terhadap TOE bisa dilakukan sebelum masa berlaku sertifikat berakhir.

Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI) hanya melibatkan evaluasi perangkat lunak tanpa memperhitungkan perangkat keras.


Question: LSPro BSSN tidak memungut biaya

pada saat Developer melakukan proses produksi pembuatan TOE yang diajukan untuk disertifikasi.

Konsultasi teknis mencakup pelatihan dasar-dasar keamanan siber dan tidak terkait dengan penyusunan dokumen pengujian.

Evaluasi tahap 2 (dua) dilaksanakan melalui audit proses produksi pembuatan TOE, untuk memastikan kemampuan dan konsistensi Sponsor dan/atau Developer dalam memproduksi TOE sesuai dengan persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan sistem manajemen jika relevan.

berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum/asia pasific accreditation cooperation multilateral recognition agreement dengan ruang lingkup yang sesuai, maka audit proses produksi dilakukan terhadap implementasi sistem manajemen terkait mutu Produk.

Rekomendasi untuk keputusan sertifikasi bisa dilakukan tanpa perlu didokumentasikan.

Evaluasi tahap 2 (dua) bisa dilakukan tanpa audit terhadap proses produksi atau memverifikasi konsistensi produksi.

Kriteria kompetensi personel dalam kegiatan sertifikasi dapat diabaikan, dan auditor tidak perlu memiliki pengetahuan tentang pengambilan contoh uji produk.

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

yang mencakup paling sedikit: tujuan, waktu evaluasi termasuk jadwal dan level keamanan, durasi, lokasi, tim, metode termasuk metode pengujian, dan agenda evaluasi Produk yang diajukan untuk disertifikasi; rencana pengambilan contoh yang meliputi merek dan tipe Produk yang diajukan untuk disertifikasi dan metode pengambilan contoh sesuai dengan persyaratan SNI, yang diperlukan untuk pengujian Produk dan mewakili Produk yang diajukan untuk disertifikasi; dan waktu yang diperlukan untuk pelaksanaan pengujian berdasarkan standar acuan metode uji yang dipersyaratkan. Pelaksanaan evaluasi dilakukan oleh auditor atau tim audit yang memiliki kriteria kompetensi sesuai kriteria kompetensi personel/tim dalam kegiatan sertifikasi. Apabila relevan, tahap seleksi juga mengacu pada hal-hal spesifik sebagaimana diatur pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian.

dalam waktu 2 (dua) hari kerja, LSPro dapat menolak permohonan pengajuan pemeliharaan jaminan keamanan.

Manfaat sertifikasi ini terbatas hanya pada sektor domestik tanpa pengaruh pada akses pasar internasional.

Kepala Badan dapat menunjuk LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi. Penunjukan LSPro dan/atau Laboratorium Pengujian yang belum dilakukan akreditasi dilakukan berdasarkan hasil evaluasi kompetensi oleh Deputi.

serta dapat memastikan kemampuan LSPro untuk menindaklanjuti permohonan sertifikasi.

Pengajuan permohonan sertifikasi tidak memerlukan verifikasi dari LSPro, dan Sponsor tidak diharuskan mengikuti ketentuan perundang-undangan.

apabila Sponsor dan/atau Developer: tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus melebihi batas waktu yang ditentukan; tidak mampu memperbaiki ketidaksesuaian yang mengakibatkan pembekuan sertifikasi melebihi batas waktu yang ditentukan; atau menyampaikan permintaan pencabutan sertifikasi kepada LSPro.

LSPro dapat menyerahkan sertifikat tanpa mengikuti standar internasional yang diakui oleh CCRA dan/atau SNI, dengan masa berlaku sertifikat yang bervariasi.

Tinjauan hasil evaluasi bisa disampaikan secara lisan tanpa rekomendasi tertulis.

Pussertif menjalankan sistem manajemen mutu berdasarkan ISO/IEC 27001 tentang keamanan informasi.

LSPro melakukan pemutakhiran register produk CC Indonesia dengan status telah disertifikasi.


Question: Manfaat sertifikasi dan pengujian Keamanan Produk Teknologi Informasi (KPTI) / CC Indonesia

atau Skema Common Criteria Indonesia (SCCI) yaitu meningkatkan daya saing produk Indonesia di pasar global dengan standar Common Criteria (CC). Sertifikasi ini meningkatkan reputasi Indonesia sebagai penyedia layanan jaminan keamanan TIK melalui partisipasi dalam Common Criteria Recognition Arrangement (CCRA), memungkinkan akses pasar internasional untuk produk TIK bersertifikasi. Selain itu, sertifikasi memastikan keamanan infrastruktur informasi Indonesia dengan menyediakan produk yang dijamin keamanannya secara independen. Analisis keamanan independen yang ketat membantu mengidentifikasi dan memperbaiki kerentanan, meningkatkan keamanan produk TIK Indonesia.

dapat bervariasi tergantung pada kompleksitas produk. Namun, secara umum, proses ini dapat memakan waktu hingga beberapa bulan.

dapat dilakukan setelah Sponsor dan/atau Developer mendapatkan persetujuan penggunaan tanda SNI melalui surat persetujuan penggunaan tanda SNI yang dikeluarkan oleh badan standardisasi nasional sesuai dengan ketentuan peraturan perundang-undangan.

sampai masa berlaku sertifikat berakhir, maka: apabila keterlambatan sertifikasi disebabkan oleh LSPro, maka LSPro menerbitkan surat keterangan yang menyatakan Sponsor dan/atau Developer sedang dalam proses sertifikasi; dan apabila keterlambatan sertifikasi disebabkan oleh Sponsor dan/atau Developer, maka proses sertifikasi tidak dilanjutkan dan sertifikat tidak berlaku.

orang atau sekelompok orang yang tidak terlibat dalam proses penilaian.

Pengambilan sampel TOE dapat dilakukan tanpa keterlibatan personel kompeten atau inspeksi di lokasi produksi.

nama, alamat, dan legalitas hukum Developer TOE, apabila berbeda dengan legalitas Sponsor; struktur organisasi, nama dan jabatan personel penanggung jawab proses produksi; informasi tentang proses pembuatan TOE yang diajukan untuk disertifikasi, termasuk proses yang dialihdayakan ke pihak lain; informasi terdokumentasi terkait pengelolaan proses produksi yang dipersyaratkan dalam SNI sesuai tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan apabila telah tersedia, menyertakan sertifikat penerapan sistem manajemen mutu berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum atau asia pasific accreditation cooperation, multilateral recognition agreement dengan ruang lingkup yang sesuai atau sistem manajemen lainnya yang relevan.

meliputi Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC, Sertifikasi dan Pengujian Keamanan Modul Kriptografi / KMK, Pengujian chip KTP-el dan card reader KTP-el, Konsultasi Teknis untuk dokumen pengujian CC/KPTI dan pengujian KMK, serta Pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang meliputi produk untuk pengamanan komunikasi, pengamanan dokumen, pengamanan data dan informasi.

pemenuhan seluruh persyaratan sertifikasi dan kesesuaian proses sertifikasi, mulai dari pengajuan permohonan sertifikasi, pelaksanaan seleksi dan determinasi serta tindakan perbaikan dari Sponsor dan/atau Developer jika ada.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

terdiri atas: ruang lingkup; persyaratan acuan; jenis kegiatan penilaian kesesuaian; prosedur administratif; determinasi; tinjauan dan keputusan; pemeliharaan jaminan keamanan; pemeliharaan sertifikasi; evaluasi khusus; ketentuan pengurangan, pembekuan, dan pencabutan sertifikasi; keluhan dan banding; informasi publik; penggunaan tanda SNI dan tanda SCCI atau tanda SNI dan tanda CC; daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Tinjauan hasil evaluasi bisa dilakukan oleh orang yang terlibat dalam proses penilaian.

pada hal-hal spesifik sebagaimana diatur pada melengkapi kelengkapan persyaratan permohonan.

dapat melaksanakan evaluasi khusus dalam rangka audit perluasan lingkup maupun tindak lanjut atau investigasi atas keluhan atau informasi yang ada.

Audit bisa dilakukan tanpa memperhatikan konsistensi mutu produk atau pengelolaan sumber daya.

Melengkapi persyaratan permohonan dapat memperpanjang waktu verifikasi.

kepada Sponsor dan/atau Developer terkait alasan menunda atau tidak memberikan keputusan sertifikasi, dan harus mengidentifikasi alasan keputusan tersebut.

dalam rangka investigasi keluhan atau informasi yang ada dilakukan oleh auditor yang memiliki kompetensi untuk melakukan investigasi dan terbatas pada permasalahan yang ada, serta dilakukan dalam waktu yang singkat dari diperolehnya keluhan atau informasi.

Sertifikasi ulang terhadap TOE bisa dilakukan sebelum masa berlaku sertifikat berakhir.

Penilaian IAR tidak diperlukan untuk menentukan kategori perubahan TOE.


Question: persyaratan sertifikasi Keamanan Produk Teknologi Informasi (KPTI) / CC Indonesia

pengisian Formulir Aplikasi Permohonan Sertifikasi, Security Target (ST), Evaluation Project Proposal (EPP), Surat pernyataan dokumen penilaian awal ST dan kecukupan bukti evaluasi dari Laboratorium Pengujian yang berlisensi, dan Target of Evaluation (TOE)

Evaluasi tahap 2 (dua) bisa dilakukan tanpa audit terhadap proses produksi atau memverifikasi konsistensi produksi.

dilakukan oleh Sponsor dan/atau Developer dan akan dicatat serta diverifikasi oleh LSPro. Kriteria Sponsor dan/atau Developer yang dapat mengajukan sertifikasi sesuai dengan ketentuan peraturan perundang-undangan.

Tanda SNI dan SCCI dapat dicantumkan meskipun Sponsor dan/atau Developer belum mendapatkan tanda kesesuaian.

yang telah ditunjuk oleh Kepala Badan dan telah dilakukan akreditasi oleh KAN.

LSPro melaksanakan pemeliharaan jaminan keamanan.

melaksanakan sertifikasi keamanan Produk sesuai dengan CC dan seri SNI ISO/IEC 15408.

Sponsor dan/atau Developer dapat diberi kesempatan untuk melakukan tindakan perbaikan dalam jangka waktu tertentu sesuai dengan kesepakatan antara LSPro, Laboratorium Pengujian dan Sponsor dan/atau Developer dengan melakukan pemutakhiran pada EPP.

LSPro tetap harus melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer tidak menyelesaikan tindakan perbaikan.

LSPro BSSN memungut biaya untuk setiap pengujian produk kriptografi.

terdiri atas: pemilik Skema SCCI; komite Skema SCCI; penanggung Jawab Skema SCCI; LSPro; dan Laboratorium Pengujian.

berdasarkan hasil tinjauan harus didokumentasikan.

adalah Layanan pendampingan dalam penyusunan Dokumen Evidence bernama EPP/ Evaluation Project Proposal dalam rangka pemenuhan kelengkapan pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan pengujian Keamanan Modul Kriptografi / KMK

Alasan menunda atau tidak memberikan keputusan sertifikasi bisa disampaikan tanpa rincian tertulis.

Sponsor atau Developer tidak diberikan kesempatan untuk melakukan perbaikan setelah ketidaksesuaian ditemukan.

terdaftar di portal CC dengan nama dan rincian kontak masing-masing skema CC, yang dapat ditemukan di http://www.commoncriteriaportal.org/

Pussertif menjalankan sistem manajemen mutu berdasarkan ISO/IEC 27001 tentang keamanan informasi.

Permohonan jaminan keamanan dapat diajukan tanpa dokumen pendukung seperti IAR, ST, atau fotokopi sertifikat CC Indonesia.

Evaluasi khusus bisa dilakukan oleh auditor tanpa kompetensi khusus dan tanpa batasan waktu yang jelas.

Sponsor atau Developer tidak diizinkan untuk mengajukan pengurangan lingkup sertifikasi selama periode sertifikasi.

pemenuhan seluruh persyaratan sertifikasi dan kesesuaian proses sertifikasi, mulai dari pengajuan permohonan sertifikasi, pelaksanaan seleksi dan determinasi serta tindakan perbaikan dari Sponsor dan/atau Developer jika ada.


Question: Manfaat Sertifikasi dan Pengujian Keamanan Modul Kriptografi / KMK

adalah Keamanan dan kepercayaan pengguna yang lebih baik terhadap kriptografi, Mempromosikan penggunaan algoritma/modul kriptografi yang tervalidasi dan Diakui sebagai kriptografi/modul yang terpercaya di tingkat nasional

dalam rangka perluasan lingkup dilakukan sesuai dengan tahapan sertifikasi namun terbatas pada perluasan lingkup yang diajukan. Evaluasi terhadap perluasan lingkup sertifikasi dapat dilakukan terpisah maupun bersamaan dengan surveilan.

jaminan keamanan merupakan proses sukarela yang diajukan oleh Sponsor dan/atau Developer terhadap perubahan dan/atau penambahan fungsi keamanan TOE untuk peningkatan jaminan keamanan.

Pengujian lainnya hanya mencakup pengujian dokumen, tanpa melibatkan evaluasi keamanan chip KTP-el.

terdaftar di portal CC dengan nama dan rincian kontak masing-masing skema CC, yang dapat ditemukan di http://www.commoncriteriaportal.org/

Jarak antara surveilan paling sedikit 18 (delapan belas) bulan.

merupakan unit fungsional di bawah Pussertif BSSN yang menjalankan dua skema sertifikasi yaitu skema sertifikasi Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan sertifikasi Keamanan Modul Kriptografi / KMK

sampai masa berlaku sertifikat berakhir, maka: apabila keterlambatan sertifikasi disebabkan oleh LSPro, maka LSPro menerbitkan surat keterangan yang menyatakan Sponsor dan/atau Developer sedang dalam proses sertifikasi; dan apabila keterlambatan sertifikasi disebabkan oleh Sponsor dan/atau Developer, maka proses sertifikasi tidak dilanjutkan dan sertifikat tidak berlaku.

Surveilans bisa dilakukan tanpa audit dokumen atau rekaman, dan tanpa menggunakan media tertentu untuk mendapatkan bukti.

Pengajuan pemeliharaan jaminan keamanan bisa diajukan kapan saja tanpa perlu menunggu 30 hari setelah sertifikat diterbitkan.

singkatan dari Pusat Sertifikasi Teknologi Keamanan Siber dan Sandi, adalah unit kerja di bawah BSSN yang bertugas menguji dan mensertifikasi produk keamanan siber dan sandi. Produk yang telah diuji dan tersertifikasi direkomendasikan untuk digunakan di Indonesia. Pussertif juga melakukan pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang telah dikembangkan dan dimanfaatkan oleh K/L/D/I. Produk yang dimaksud berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

meliputi Sertifikasi dan Pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC, Sertifikasi dan Pengujian Keamanan Modul Kriptografi / KMK, Pengujian chip KTP-el dan card reader KTP-el, Konsultasi Teknis untuk dokumen pengujian CC/KPTI dan pengujian KMK, serta Pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang meliputi produk untuk pengamanan komunikasi, pengamanan dokumen, pengamanan data dan informasi.

sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Pengambilan sampel TOE dapat dilakukan tanpa keterlibatan personel kompeten atau inspeksi di lokasi produksi.

adalah Layanan pendampingan dalam penyusunan Dokumen Evidence bernama EPP/ Evaluation Project Proposal dalam rangka pemenuhan kelengkapan pengujian Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan pengujian Keamanan Modul Kriptografi / KMK

Tanda SNI dan SCCI dapat dicantumkan meskipun Sponsor dan/atau Developer belum mendapatkan tanda kesesuaian.

Produk yang disertifikasi pada skema ini hanya mencakup perangkat jaringan tanpa melibatkan modul kriptografi.

LSPro dapat mengabaikan pembekuan atau pencabutan sertifikasi meskipun ada risiko yang teridentifikasi.

apabila terdapat Produk yang disertifikasi tidak memenuhi persyaratan yang ditetapkan, maka LSPro mewajibkan Sponsor dan/atau Developer untuk menarik semua Produk yang terindikasi tidak sesuai, melaporkan kepada Badan dan melarang mencantumkan logo SCCI pada Produk dan/atau media lain sejak tanggal terjadinya ketidaksesuaian tersebut sampai dengan dapat dilakukan tindakan perbaikan. Logo SCCI dapat dicantumkan kembali setelah dilakukan tindakan perbaikan dan dinyatakan memenuhi oleh LSPro.

Standar yang digunakan dalam sertifikasi ini hanya mencakup ISO/IEC 27001 tentang keamanan informasi, tanpa melibatkan standar kriptografi spesifik.


Question: Standard yang digunakan dalam Sertifikasi Keamanan Modul Kriptografi / KMK

yaitu SNI ISO/IEC 19790 (Standar Kriteria Keamanan Modul Kriptografi), SNI 8542 ISO/IEC 24759 (Standar Kriteria Pengujian Modul Kriptografi), Standar terkait Algoritma Kriptografi, SNI dan standar lain yang diacu dalam SNI serta Peraturan lain yang terkait dengan modul kriptografi.

Evaluasi khusus bisa diabaikan meskipun ada keluhan atau informasi yang membutuhkan investigasi.

Evaluasi tahap 1 (satu) dilakukan terhadap kesesuaian informasi yang disampaikan Sponsor dan/atau Developer terhadap persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI dan peraturan terkait.

LSPro bisa membiarkan produk yang tidak memenuhi persyaratan tetap beredar tanpa tindakan lebih lanjut, termasuk tanpa menarik produk atau mencabut logo SCCI.

harus dilakukan oleh satu orang atau sekelompok orang yang tidak terlibat dalam proses evaluasi.

Komite Skema SCCI dapat dibentuk tanpa melibatkan Deputi atau Direktur.

Presiden RI Joko Widodo menandatangani Perpres tentang Badan Nasional Penanggulangan Bencana (BNPB) pada tahun 2020.

dapat bervariasi tergantung pada kompleksitas produk. Namun, secara umum, proses ini dapat memakan waktu hingga beberapa bulan.

Laboratorium Pengujian tidak harus menyampaikan dokumen seperti EOR, ETR, atau test plan kepada LSPro.

Proses determinasi dapat dilakukan dalam satu tahap tanpa pembagian evaluasi.

Manfaat sertifikasi ini terbatas hanya pada sektor domestik tanpa pengaruh pada akses pasar internasional.

Penyelenggara Skema SCCI hanya terdiri dari LSPro tanpa adanya komite, laboratorium pengujian, atau penanggung jawab khusus.

Sponsor dan/atau Developer tidak diberikan waktu untuk melakukan tindakan perbaikan atas ketidaksesuaian dalam proses evaluasi.

apabila menggunakan merek Produk, maka menyampaikan informasi merek Produk yang diajukan untuk disertifikasi; CC dan/atau SNI yang digunakan sebagai dasar pengajuan permohonan sertifikasi sesuai tabel daftar produk, acuans CC, acuan SNI dan uraian penilaian kesesuaian; tujuan penggunaan produk apakah untuk digunakan di sektor IIV dan/atau digunakan di sektor selain IIV; formulir pengajuan permohonan sertifikasi TOE; bukti evaluasi TOE termasuk level keamanan; dan EPP dan surat pernyataan dokumen penilaian awal ST dan kecukupan bukti evaluasi dari Laboratorium Pengujian yang berlisensi.

tidak mengurangi jangka waktu tinjauan permohonan sertifikasi.

serta Sponsor dan/atau Developer menyetujui persyaratan dan prosedur sertifikasi yang ditetapkan oleh LSPro, dilakukan pemutakhiran Register Produk CC Indonesia dan penandatanganan perjanjian sertifikasi oleh Sponsor dan/atau Developer dan LSPro.

LSPro dapat terdiri dari lebih sedikit personel tanpa memperhatikan peran yang diperlukan seperti peninjau sertifikasi atau auditor.

dilakukan oleh personel yang memiliki kompetensi sesuai kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

Sertifikasi Keamanan Modul Kriptografi / KMK Indonesia hanya memfokuskan pada aspek perangkat keras tanpa melibatkan vendor atau laboratorium pengujian.

terdiri atas: pemilik Skema SCCI; komite Skema SCCI; penanggung Jawab Skema SCCI; LSPro; dan Laboratorium Pengujian.

dilakukan sesuai dengan tahapan pada prosedur administratif, determinasi, serta tinjauan dan keputusan, dengan informasi yang harus disampaikan Sponsor dan/atau Developer meliputi: formulir aplikasi permohonan sertifikasi TOE; ST; dokumentasi test plan pada penambahan atau perubahan fitur keamanan; CR; IAR; surat rekomendasi pelaksanaan sertifikasi TOE ulang dari LSPro yang masih berlaku; dan TOE yang sudah terdapat perubahan atau penambahan fitur keamanan.


Question: Negara anggota CCRA

terdaftar di portal CC dengan nama dan rincian kontak masing-masing skema CC, yang dapat ditemukan di http://www.commoncriteriaportal.org/

Presiden RI Joko Widodo menandatangani Perpres tentang Badan Nasional Penanggulangan Bencana (BNPB) pada tahun 2020.

Sertifikasi ulang terhadap TOE bisa dilakukan sebelum masa berlaku sertifikat berakhir.

Evaluasi khusus bisa dilakukan oleh auditor tanpa kompetensi khusus dan tanpa batasan waktu yang jelas.

pemeliharaan jaminan keamanan Sponsor dan/atau Developer harus melengkapi kelengkapan persyaratan permohonan paling lama 2 (dua) hari kerja sejak pemberitahuan kekurangan kelengkapan persyaratan permohonan diterima.

tidak mengurangi jangka waktu verifikasi.

atau Tanda SNI dan Tanda CC Penggunaan tanda kesesuaian SNI, tanda SCCI atau tanda SNI dan tanda CC.

yaitu produk kriptografi seperti modul kriptografi dan algoritma kriptografi.

Pemutakhiran produk mencakup pengembangan teknologi perangkat lunak untuk pengguna komersial di sektor swasta tanpa melibatkan sektor pemerintahan.

dapat dilakukan setelah Sponsor dan/atau Developer mendapatkan persetujuan penggunaan tanda SNI melalui surat persetujuan penggunaan tanda SNI yang dikeluarkan oleh badan standardisasi nasional sesuai dengan ketentuan peraturan perundang-undangan.

Hasil pengujian dapat dievaluasi tanpa harus mengacu pada standar internasional atau SNI.

Sponsor dan/atau Developer tidak diberikan waktu untuk melakukan tindakan perbaikan atas ketidaksesuaian dalam proses evaluasi.

dimulai dari pengisian formulir permohonan, penyediaan informasi produk yang lengkap, dan pendaftaran untuk pengujian dan sertifikasi.

Surveilans bisa dilakukan tanpa audit dokumen atau rekaman, dan tanpa menggunakan media tertentu untuk mendapatkan bukti.

Permohonan sertifikasi tidak memerlukan informasi lengkap dari Sponsor atau Developer, dan mereka tidak bertanggung jawab atas pemenuhan persyaratan CC dan SNI.

Perubahan minor dapat mencakup aspek yang terkait langsung dengan fungsi keamanan TOE.

Keputusan Kepala Badan Siber dan Sandi Negara.

Pemutakhiran register produk CC Indonesia tidak perlu dilakukan setelah penetapan keputusan sertifikasi.

Pemberitahuan terkait keputusan sertifikasi dapat dilakukan secara lisan.

LSPro dapat melaksanakan sertifikasi tanpa mengacu pada CC atau standar SNI ISO/IEC 15408.

Durasi proses sertifikasi dan pengujian umumnya selesai dalam beberapa hari terlepas dari kompleksitas produk.


Question: Common Criteria Recognition Arrangement (CCRA)

adalah pengaturan internasional formal antara sejumlah besar negara. Pengakuan timbal balik ini memastikan bahwa sertifikat yang diterbitkan oleh salah satu lembaga sertifikasi negara anggota diakui oleh semua negara anggota. Hal ini akan membantu vendor untuk memotong biaya mereka dengan memiliki satu produk atau evaluasi sistem yang dapat dikenali oleh semua negara yang berpartisipasi. Sertifikasi Kriteria Umum dari EAL1 hingga EAL4 diakui bersama oleh semua anggota CCRA. Informasi lebih lanjut tentang CCRA dapat ditemukan di http://www.commoncriteriaportal.org/

apabila terdapat Produk yang disertifikasi tidak memenuhi persyaratan yang ditetapkan, maka LSPro mewajibkan Sponsor dan/atau Developer untuk menarik semua Produk yang terindikasi tidak sesuai, melaporkan kepada Badan dan melarang mencantumkan logo SCCI pada Produk dan/atau media lain sejak tanggal terjadinya ketidaksesuaian tersebut sampai dengan dapat dilakukan tindakan perbaikan. Logo SCCI dapat dicantumkan kembali setelah dilakukan tindakan perbaikan dan dinyatakan memenuhi oleh LSPro.

kepala; peninjau sertifikasi terdiri atas paling sedikit 1 (satu) orang anggota LSPro yang tidak terlibat dalam proses evaluasi; manajer teknis; manajer mutu; 4 (empat) orang auditor; dan PPC.

Pengajuan permohonan sertifikasi tidak memerlukan verifikasi dari LSPro, dan Sponsor tidak diharuskan mengikuti ketentuan perundang-undangan.

tidak mengurangi jangka waktu verifikasi.

berdasarkan SNI ISO 9001 dari lembaga sertifikasi yang diakreditasi oleh KAN atau ISO 9001 oleh badan akreditasi penandatangan international accreditaion forum/asia pasific accreditation cooperation multilateral recognition agreement dengan ruang lingkup yang sesuai, maka audit proses produksi dilakukan terhadap implementasi sistem manajemen terkait mutu Produk.

Surveilans bisa dilakukan tanpa audit dokumen atau rekaman, dan tanpa menggunakan media tertentu untuk mendapatkan bukti.

Penetapan keputusan sertifikasi harus dilakukan oleh pihak yang berbeda dari yang melakukan tinjauan.

Sertifikasi perubahan atau penambahan fitur keamanan bisa dilakukan tanpa mengikuti prosedur administratif atau melengkapi dokumentasi yang diperlukan.

merupakan unit fungsional di bawah Pussertif BSSN yang menjalankan dua skema sertifikasi yaitu skema sertifikasi Keamanan Produk Teknologi Informasi (KPTI)/CC Indonesia dan sertifikasi Keamanan Modul Kriptografi / KMK

Surveilans dapat dilakukan kurang dari dua kali dalam periode sertifikasi.

berdasarkan hasil tinjauan harus didokumentasikan.

Tanda SNI dan SCCI ditampilkan pada Produk dan/atau pada kemasan terkecil, apabila tidak memungkinkan, tanda SNI dan SCCI ditampilkan pada kemasan yang lebih besar sedemikian rupa sehingga mudah dilihat oleh pembeli atau pengguna. Pencantuman tanda SNI dan SCCI harus dengan pencetakan yang permanen di Produk atau kemasannya. Tanda SNI dan SCCI yang tidak memungkinkan ditampilkan pada Produk, dapat ditampilkan dalam media lain seperti brosur, situs web, dan sebagainya, yang tidak menyebabkan salah pengertian.

2 (dua) kali dalam periode sertifikasi. Surveilans pertama dilaksanakan pada bulan ke 20 (dua puluh) sampai dengan 24 (dua puluh empat), surveilans kedua dilaksanakan pada bulan ke 40 (empat puluh) sampai dengan 44 (empat puluh empat). Kunjungan surveilan dilakukan melalui kegiatan audit proses produksi dan/atau pengujian Produk.

dimulai dari pengisian formulir permohonan, penyediaan informasi produk yang lengkap, dan pendaftaran untuk pengujian dan sertifikasi.

dilakukan dalam waktu 10 (sepuluh) hari kerja sejak permohonan diterima.

kepada TOE yang sudah disertifikasi oleh LSPro sesuai Skema SCCI.

Penetapan keputusan sertifikasi bisa dilakukan tanpa rekomendasi dari proses tinjauan.

dapat dilakukan setelah Sponsor dan/atau Developer mendapatkan persetujuan penggunaan tanda SNI melalui surat persetujuan penggunaan tanda SNI yang dikeluarkan oleh badan standardisasi nasional sesuai dengan ketentuan peraturan perundang-undangan.

LSPro menerbitkan laporan pemeliharaan jaminan keamanan dan melakukan pemutakhiran register Produk CC Indonesia.


Question: Common Criteria (CC) mengoperasikan konsep tingkat jaminan yang disebut Evaluation Assurance Level (EAL)

Untuk CC, levelnya adalah EAL1 hingga EAL7. Skala ini mewakili tingkat kepercayaan yang dapat ditempatkan pada produk TIK yang sesuai dengan tujuan keamanan. Semakin tinggi EAL, semakin besar pula tingkat ketelitian yang diterapkan dalam menilai apakah produk TIK telah memenuhi persyaratan keamanannya

Evaluasi tahap 2 (dua) bisa dilakukan tanpa audit terhadap proses produksi atau memverifikasi konsistensi produksi.

Sponsor dan/atau Developer tidak diizinkan mengajukan kembali permohonan sertifikasi setelah keputusan gagal sertifikasi.

yaitu SNI ISO/IEC 19790 (Standar Kriteria Keamanan Modul Kriptografi), SNI 8542 ISO/IEC 24759 (Standar Kriteria Pengujian Modul Kriptografi), Standar terkait Algoritma Kriptografi, SNI dan standar lain yang diacu dalam SNI serta Peraturan lain yang terkait dengan modul kriptografi.

melaksanakan sertifikasi keamanan Produk sesuai dengan CC dan seri SNI ISO/IEC 15408.

Keputusan Kepala Badan Siber dan Sandi Negara.

Tinjauan hasil evaluasi bisa dilakukan oleh orang yang terlibat dalam proses penilaian.

tanggung jawab dan komitmen manajemen puncak terhadap konsistensi mutu produk; ketersediaan dan pengendalian informasi prosedur dan rekaman pengendalian mutu; pengelolaan sumber daya termasuk personel, bangunan dan fasilitas, serta lingkungan kerja yang memengaruhi mutu produk; tahapan kritis proses produksi TOE, mulai dari bahan baku sampai TOE jadi paling sedikit sebagaimana diuraikan pada tahapan kritis proses produksi TOE pada tabel daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; kelengkapan serta fungsi peralatan produksi termasuk peralatan pengendalian mutu; bukti verifikasi berdasarkan hasil kalibrasi atau hasil verifikasi peralatan produksi yang membuktikan bahwa peralatan tersebut memenuhi persyaratan produksi. Hasil verifikasi peralatan produksi dapat ditunjukkan dengan prosedur yang diperlukan untuk mencapai kondisi atau persyaratan yang ditetapkan; dan pengendalian proses produksi dan penanganan Produk yang tidak sesuai.

Melengkapi persyaratan permohonan dapat memperpanjang waktu verifikasi.

Rencana evaluasi tidak perlu mencakup rincian spesifik seperti tujuan, waktu, atau metode pengujian yang jelas.

pada saat Developer melakukan proses produksi pembuatan TOE yang diajukan untuk disertifikasi.

Penetapan keputusan sertifikasi harus dilakukan oleh pihak yang berbeda dari yang melakukan tinjauan.

Evaluasi kompetensi LSPro tidak mencakup legalitas kelembagaan atau sarana pengujian, dan tidak diperlukan auditor dalam proses sertifikasi.

audit dokumen atau rekaman dan/atau melalui audit jarak jauh dengan menggunakan media yang disepakati untuk mendapatkan bukti objektif.

Sertifikat tetap berlaku meskipun terjadi penyalahgunaan sertifikat atau konflik kepentingan.

adalah layanan teknologi terkini dalam keamanan siber dan sandi yang telah dikembangkan oleh Pussertif BSSN untuk penggunaan di sektor pemerintahan termasuk K/L/D/I. Ini meliputi kategori berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

Surveilans bisa dilakukan tanpa audit dokumen atau rekaman, dan tanpa menggunakan media tertentu untuk mendapatkan bukti.

dapat melaksanakan evaluasi khusus dalam rangka audit perluasan lingkup maupun tindak lanjut atau investigasi atas keluhan atau informasi yang ada.

singkatan dari Pusat Sertifikasi Teknologi Keamanan Siber dan Sandi, adalah unit kerja di bawah BSSN yang bertugas menguji dan mensertifikasi produk keamanan siber dan sandi. Produk yang telah diuji dan tersertifikasi direkomendasikan untuk digunakan di Indonesia. Pussertif juga melakukan pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang telah dikembangkan dan dimanfaatkan oleh K/L/D/I. Produk yang dimaksud berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

Deputi; dan Direktur yang mengepalai Direktorat.

Sponsor dan/atau Developer bisa melanjutkan proses tanpa perlu mengajukan kembali permohonan sertifikasi.


Question: Common Criteria yang selanjutnya disingkat CC

adalah standar evaluasi keamanan teknologi informasi berdasarkan dokumen Common Criteria for Information Technology Security Evaluation. Skema Sertifikasi Common Criteria Indonesia yang selanjutnya disingkat Skema SCCI adalah sistem sertifikasi terkait dengan keamanan produk teknologi informasi yang dilakukan oleh lembaga sertifikasi produk CC Indonesia, laboratorium pengujian CC, sponsor, dan/atau developer dengan mengacu pada CC dan SNI ISO/IEC 15408-2, SNI ISO/IEC 15408-3, dan SNI ISO/IEC 15408-5.

LSPro tetap melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer belum melakukan tindakan perbaikan.

merupakan evaluasi keamanan terhadap chip KTP-el dan card reader KTP-el. Hasil pengujian ini diterbitkan sebagai Surat Keterangan Hasil Uji, digunakan produsen untuk memenuhi persyaratan regulasi, seperti Permendagri Nomor 76 Tahun 2020 tentang Perangkat Pembaca dan Penulis serta Perangkat Pembaca Kartu Tanda Penduduk Elektronik dan Permendagri Nomor 72 Tahun 2022 tentang Tentang Standar dan Spesifikasi Perangkat Keras, Perangkat Lunak, dan Blangko Kartu Tanda Penduduk Elektronik Serta Penyelenggaraan Identitas Kependudukan Digital

adalah layanan teknologi terkini dalam keamanan siber dan sandi yang telah dikembangkan oleh Pussertif BSSN untuk penggunaan di sektor pemerintahan termasuk K/L/D/I. Ini meliputi kategori berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

Jangka waktu untuk melengkapi kekurangan bisa memperpanjang proses tinjauan permohonan sertifikasi.

Pussertif BSSN adalah pusat pelatihan keamanan siber di bawah BSSN yang fokus pada memberikan pendidikan keamanan siber.

LSPro tetap harus melanjutkan proses sertifikasi meskipun Sponsor dan/atau Developer tidak menyelesaikan tindakan perbaikan.

rapat kemajuan evaluasi untuk mereviu dan menyetujui EOR; rapat teknis pengujian untuk mereviu dan menyetujui test plan; dan melakukan reviu ETR.

LSPro tetap akan memproses permohonan pemeliharaan meskipun persyaratan tidak dilengkapi dalam waktu yang ditentukan.

Pengambilan sampel TOE dapat dilakukan tanpa keterlibatan personel kompeten atau inspeksi di lokasi produksi.

Perubahan mayor bisa diproses tanpa memerlukan sertifikasi ulang.

LSPro adalah lembaga yang bertanggung jawab atas pengujian perangkat keras (hardware) saja tanpa melakukan sertifikasi.

merupakan perubahan yang tidak terkait langsung dengan fungsi keamanan TOE.

Kode klasifikasi dapat diterapkan tanpa memperhatikan kategori produk atau tingkatan jaminan evaluasi.

Evaluasi kompetensi LSPro tidak mencakup legalitas kelembagaan atau sarana pengujian, dan tidak diperlukan auditor dalam proses sertifikasi.

melaksanakan sertifikasi keamanan Produk sesuai dengan CC dan seri SNI ISO/IEC 15408.

Layanan Pussertif meliputi pelatihan dan sertifikasi kompetensi pegawai dalam bidang keamanan siber.

Produk yang disertifikasi pada skema ini hanya mencakup perangkat jaringan tanpa melibatkan modul kriptografi.

Surveilans bisa dilakukan tanpa audit dokumen atau rekaman, dan tanpa menggunakan media tertentu untuk mendapatkan bukti.

Sponsor dan/atau Developer menyampaikan: formulir permohonan jaminan keamanan; IAR; ST CR; dan fotokopi sertifikat CC Indonesia.

dapat bervariasi tergantung pada kompleksitas produk. Namun, secara umum, proses ini dapat memakan waktu hingga beberapa bulan.


Question: Penyelenggaraan Skema Penilaian Kesesuaian CC Indonesia

terdiri atas: Skema SCCI; dan Penyelenggara Skema SCCI.

EOR setiap kelas jaminan keamanan; ETR; dan test plan untuk pengujian fungsionalitas TOE dan pengujian penilaian kerentanan TOE.

Sertifikat dapat diterbitkan tanpa memuat informasi lengkap seperti nomor sertifikat, level keamanan TOE, atau status akreditasi.

Sertifikasi tetap berlaku meskipun surveilan atau evaluasi khusus tidak disetujui dan ketidaksesuaian belum diperbaiki setelah batas waktu yang ditentukan.

apabila Sponsor dan/atau Developer: tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus melebihi batas waktu yang ditentukan; tidak mampu memperbaiki ketidaksesuaian yang mengakibatkan pembekuan sertifikasi melebihi batas waktu yang ditentukan; atau menyampaikan permintaan pencabutan sertifikasi kepada LSPro.

dapat bervariasi tergantung pada kompleksitas produk. Namun, secara umum, proses ini dapat memakan waktu hingga beberapa bulan.

Komite Skema SCCI dapat menjalankan fungsinya tanpa melakukan evaluasi berkala atau mengomunikasikan kebijakan SCCI.

singkatan dari Pusat Sertifikasi Teknologi Keamanan Siber dan Sandi, adalah unit kerja di bawah BSSN yang bertugas menguji dan mensertifikasi produk keamanan siber dan sandi. Produk yang telah diuji dan tersertifikasi direkomendasikan untuk digunakan di Indonesia. Pussertif juga melakukan pemutakhiran Produk Teknologi Keamanan Siber dan Sandi yang telah dikembangkan dan dimanfaatkan oleh K/L/D/I. Produk yang dimaksud berjenis produk pengamanan dokumen, produk pengamanan komunikasi dan produk pengamanan data dan informasi.

Konsultasi teknis mencakup pelatihan dasar-dasar keamanan siber dan tidak terkait dengan penyusunan dokumen pengujian.

harus dilakukan oleh satu orang atau sekelompok orang yang tidak terlibat dalam proses evaluasi.

tidak menyetujui untuk dilaksanakan surveilan dan/atau evaluasi khusus; tidak mampu memperbaiki ketidaksesuaian yang diterbitkan oleh LSPro pada saat surveilan dan/atau saat evaluasi khusus; atau menyampaikan permintaan pembekuan sertifikasi kepada LSPro.

Evaluasi tahap 1 (satu) tidak harus mencocokkan informasi dengan standar internasional atau peraturan yang berlaku.

Ketidaksesuaian dalam proses audit tidak memerlukan tindakan perbaikan dari Sponsor dan/atau Developer.

LSPro menerbitkan surat rekomendasi pelaksanaan sertifikasi ulang kepada Sponsor dan/atau Developer.

LSPro bisa membiarkan produk yang tidak memenuhi persyaratan tetap beredar tanpa tindakan lebih lanjut, termasuk tanpa menarik produk atau mencabut logo SCCI.

pada pengendalian proses dan mutu Produk yang berakibat pada kegagalan Produk dalam memenuhi persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI, maka LSPro memberikan kesempatan kepada Sponsor dan/atau Developer agar dapat dilakukan tindakan perbaikan dalam jangka waktu tertentu sesuai dengan kebijakan LSPro.

sesuai waktu yang telah ditentukan, LSPro dapat menetapkan bahwa TOE tidak lulus sertifikasi.

Informasi proses produksi tidak memerlukan legalitas hukum atau sertifikat ISO 9001, dan dokumentasi pengelolaan proses produksi tidak diwajibkan.

Persyaratan acuan SCCI hanya mencakup standar lokal dan tidak mengikuti standar internasional atau SNI yang diakui oleh CCRA.

Sponsor atau Developer tidak diizinkan untuk mengajukan pengurangan lingkup sertifikasi selama periode sertifikasi.

LSPro dapat menyerahkan sertifikat tanpa mengikuti standar internasional yang diakui oleh CCRA dan/atau SNI, dengan masa berlaku sertifikat yang bervariasi.


Question: Skema SCCI

terdiri atas: ruang lingkup; persyaratan acuan; jenis kegiatan penilaian kesesuaian; prosedur administratif; determinasi; tinjauan dan keputusan; pemeliharaan jaminan keamanan; pemeliharaan sertifikasi; evaluasi khusus; ketentuan pengurangan, pembekuan, dan pencabutan sertifikasi; keluhan dan banding; informasi publik; penggunaan tanda SNI dan tanda SCCI atau tanda SNI dan tanda CC; daftar produk, acuan CC, acuan SNI dan uraian penilaian kesesuaian; dan kriteria kompetensi personel atau tim dalam kegiatan sertifikasi.

dengan melihat kesesuaian terhadap persyaratan standar internasional yang diakui oleh CCRA dan/atau SNI.

LSPro bisa membiarkan produk yang tidak memenuhi persyaratan tetap beredar tanpa tindakan lebih lanjut, termasuk tanpa menarik produk atau mencabut logo SCCI.

bagi Sponsor dan/atau Developer untuk mendapatkan seluruh informasi.

Tinjauan hasil evaluasi bisa disampaikan secara lisan tanpa rekomendasi tertulis.

Sertifikat sistem manajemen mutu tidak relevan dalam menentukan ruang lingkup audit proses produksi.

Sponsor atau Developer tidak diizinkan untuk mengajukan pengurangan lingkup sertifikasi selama periode sertifikasi.

Laboratorium Pengujian tidak harus menyampaikan dokumen seperti EOR, ETR, atau test plan kepada LSPro.

atau Tim dalam Kegiatan Sertifikasi Pemenuhan kompetensi dapat dipenuhi secara kolektif dalam satu tim. Jika auditor juga bertindak sebagai PPC, maka harus memiliki pengetahuan pengambilan contoh uji Produk.

Pussertif BSSN adalah pusat pelatihan keamanan siber di bawah BSSN yang fokus pada memberikan pendidikan keamanan siber.

Tinjauan hasil evaluasi bisa dilakukan oleh orang yang terlibat dalam proses penilaian.

LSPro tetap dapat memproses permohonan sertifikasi meskipun Sponsor dan/atau Developer belum melengkapi persyaratan.

Standar yang digunakan dalam sertifikasi ini hanya mencakup ISO/IEC 27001 tentang keamanan informasi, tanpa melibatkan standar kriptografi spesifik.

Pelaksanaan tahap determinasi bisa dilakukan tanpa mengacu pada hal-hal spesifik yang diatur pada tabel produk.

Jangka waktu untuk melengkapi kekurangan bisa memperpanjang proses tinjauan permohonan sertifikasi.

yaitu evaluasi tahap 1 (satu) dan evaluasi tahap 2 (dua).

LSPro tidak perlu menerbitkan laporan atau memutakhirkan register meskipun terjadi perubahan minor.

audit dokumen/rekaman dan/atau melalui audit jarak jauh dengan menggunakan media yang disepakati untuk mendapatkan bukti objektif.

kepada Sponsor dan/atau Developer terkait alasan menunda atau tidak memberikan keputusan sertifikasi, dan harus mengidentifikasi alasan keputusan tersebut.

TOE paling lambat 9 (sembilan) bulan sebelum masa berlaku sertifikat berakhir.

LSPro tidak perlu mengawasi pengujian TOE atau mengadakan rapat kemajuan evaluasi.