Modul 14Term 4 · Operasional produksi

Kepatuhan, Tata Kelola, dan Audit

Masuk untuk menyimpan progres Anda di semua perangkat. Sampai saat itu, progres disimpan di browser ini.

Modul ini menjelaskan berbagai framework untuk engineer. Ini bukan nasihat hukum; konfirmasikan kewajiban Anda dengan penasihat hukum yang kompeten untuk yurisdiksi dan sektor Anda.

Mengapa ini penting

"Kelas enterprise" pada akhirnya berarti Anda bisa membuktikannya. Tim pengadaan enterprise mengirim kuesioner keamanan; regulator meminta catatan; due diligence investor menanyakan penanganan data. Semua yang Anda bangun di M01 sampai M13 menjadi bukti di sini.

Capaian pembelajaran

  1. Membangun audit trail yang menjawab siapa melakukan apa, kapan, dari mana, dan atas nama siapa.
  2. Menerapkan prinsip perlindungan data (PDPA Singapura sebagai acuan; perbandingan dengan GDPR).
  3. Memahami struktur SOC 2 dan ISO/IEC 27001 serta cara mengumpulkan bukti secara berkelanjutan.
  4. Mengetahui aturan sektoral yang berlaku untuk fintech di Singapura (MAS Technology Risk Management Guidelines, ekspektasi outsourcing).
  5. Mengelola sistem AI memakai IMDA Model AI Governance Framework for Agentic AI, dan mengetahui kapan EU AI Act mungkin berlaku.
  6. Menjawab kuesioner keamanan vendor dengan bukti.

Materi

14.1 Audit trail

  • Log append-only untuk event yang relevan dari sisi keamanan dan bisnis: login, perubahan permission, ekspor data, tindakan admin, pergerakan uang, pemanggilan tool oleh agen beserta persetujuannya.
  • Field: aktor (identitas manusia atau agen), atas nama siapa, tindakan, target, sebelum/sesudah, timestamp (server), IP/perangkat, request ID, hasil.
  • Tahan rusak dan bisa dibuktikan bila diubah (storage write-once, hash chaining, atau akun terpisah), dengan aturan retensi.
  • Terpisah dari log debug; akses ke audit log itu sendiri juga diaudit.

14.2 Perlindungan data: PDPA (Singapura) sebagai acuan

Kewajiban utama yang diimplementasikan engineer:

  • Persetujuan dan tujuan: kumpulkan data hanya untuk tujuan yang dinyatakan; catat persetujuannya.
  • Akses dan koreksi: pengguna bisa meminta datanya dan mengoreksinya. Bangun jalur ekspor dan edit.
  • Perlindungan: pengaturan keamanan yang wajar (semua yang ada di M05).
  • Pembatasan retensi: hapus atau anonimkan ketika tidak lagi dibutuhkan. Bangun job retensi.
  • Pembatasan transfer: perlindungan yang setara ketika data keluar dari Singapura (cek di mana region cloud dan penyedia AI Anda memproses data).
  • Pemberitahuan kebocoran data: nilai dugaan kebocoran dengan segera; beri tahu PDPC dalam 3 hari kalender setelah memastikan kebocoran wajib dilaporkan, serta individu yang terdampak bila diwajibkan.
  • NRIC dan nomor identitas nasional: pengumpulannya dibatasi; samarkan di UI dan log.
  • Akuntabilitas: tunjuk Data Protection Officer, dokumentasikan kebijakan. GDPR menambahkan aturan dasar hukum yang lebih ketat, pemberitahuan ke regulator dalam 72 jam, hak subjek data termasuk penghapusan dan portabilitas, serta DPIA untuk pemrosesan berisiko tinggi.

Pola engineering: inventaris/peta data, klasifikasi (publik, internal, rahasia, terbatas), enkripsi tingkat field untuk data terbatas, redaksi PII di log dan di prompt yang dikirim ke penyedia LLM, penghapusan yang merambat ke backup sesuai jadwal, DPA dengan setiap sub-processor (termasuk vendor AI, dengan ketentuan training/retensi yang sudah dicek).

14.3 Framework keamanan: SOC 2 dan ISO/IEC 27001

  • SOC 2 (AICPA): laporan auditor atas kontrol terhadap Trust Services Criteria (Security, plus opsional Availability, Processing Integrity, Confidentiality, Privacy). Type I = desain pada satu titik waktu; Type II = efektivitas operasional selama satu periode (biasanya 3 sampai 12 bulan).
  • ISO/IEC 27001:2022: sistem manajemen keamanan informasi yang bisa disertifikasi, dengan kontrol Annex A (93 di versi 2022).
  • Apa yang dicari auditor terpetakan langsung ke kursus ini: tinjauan akses, MFA, manajemen perubahan lewat PR dan CI, manajemen kerentanan, logging dan monitoring, respons insiden, backup dan uji restore, manajemen vendor, pelatihan keamanan, kebijakan.
  • Gunakan otomasi kepatuhan (Vanta, Drata, Secureframe, atau padanan open-source) untuk mengumpulkan bukti secara berkelanjutan dari GitHub, cloud, dan penyedia identitas.

14.4 Fintech di Singapura: ekspektasi MAS

Bagi entitas yang diatur MAS dan penyedia teknologinya, MAS Technology Risk Management (TRM) Guidelines menetapkan ekspektasi tentang tata kelola risiko teknologi, pengembangan software yang aman, resiliensi TI, access control, kriptografi, pengawasan siber, dan manajemen insiden, ditambah risiko outsourcing dan cloud. Tenggat pemberitahuan untuk insiden yang relevan sangat singkat; ketahui sebelum Anda membutuhkannya. Jika Anda membangun untuk institusi berlisensi, siapkan diri karena penilaian vendor mereka akan menguji Anda terhadap TRM.

14.5 Tata kelola AI

  • IMDA Model AI Governance Framework for Agentic AI (diluncurkan Jan 2026, diperbarui Mei 2026): batasi risiko sejak awal; jadikan manusia benar-benar akuntabel dengan titik persetujuan; kontrol teknis di sepanjang siklus hidup; transparansi dan pelatihan bagi pengguna akhir. Bukti dari M06 Anda terpetakan ke sini.
  • AI Verify dan LLM testing starter kit dari IMDA untuk praktik pengujian.
  • EU AI Act: kewajiban bertingkat berdasarkan risiko, berlaku bagi provider dan deployer yang melayani pasar EU; credit scoring dan sebagian penggunaan di bidang ketenagakerjaan tergolong berisiko tinggi. Cek timeline terkini, karena tanggal penerapan bertahapnya pernah berubah.
  • ISO/IEC 42001 (sistem manajemen AI) dan NIST AI RMF adalah framework acuan enterprise untuk tata kelola AI.
  • Pelihara register model/AI: setiap fitur AI, tujuannya, model dan vendornya, data yang dipakai, kelas risiko, kontrol, penanggung jawab, hasil eval.

14.6 Paket kepercayaan

Yang diserahkan penjual B2B yang serius kepada pembeli: halaman ringkasan keamanan, diagram arsitektur dan alur data, daftar sub-processor, DPA, ringkasan pen-test, laporan SOC 2 atau sertifikat ISO (atau roadmap menuju ke sana), ringkasan respons insiden dan BCP, pernyataan penggunaan dan tata kelola AI, kuesioner standar yang sudah diisi (SIG Lite atau CAIQ).

Lab 14: Lolos kuesioner

  1. Bangun peta data untuk aplikasi Anda: setiap field data pribadi, tujuannya, lokasinya, retensinya, siapa yang bisa mengakses, sub-processor mana yang menerimanya.
  2. Implementasikan audit log untuk tindakan admin dan pemanggilan tool oleh agen.
  3. Implementasikan ekspor dan penghapusan data pengguna.
  4. Isi kuesioner keamanan vendor berisi 100 pertanyaan untuk aplikasi Anda, dengan tautan bukti untuk setiap jawaban "ya."
  5. Tulis pernyataan tata kelola AI satu halaman yang dipetakan ke IMDA MGF.

Definition of Done

Paket prompt AI

  • "Pindai schema dan kodenya; buat peta data dari setiap field data pribadi, ke mana alirannya, dan pihak ketiga mana yang menerimanya."
  • "Susun draf jawaban untuk kuesioner keamanan ini hanya dengan bukti yang ada di repo dan konfigurasi; tandai apa pun yang tidak didukung bukti sebagai gap."