Belajar Data Center Engineer - Compliance & Standards
Menavigasi dunia sertifikasi data center: proses Tier certification Uptime Institute dan Operational Sustainability, TIA-942 dan EN 50600, ISO 27001, ISO 50001 hingga SOC 2 dan PCI DSS sisi fisik, regulasi lokal Indonesia, serta praktik menyiapkan internal audit dengan matriks bukti yang membuat auditor kehabisan pertanyaan
#Pendahuluan
Setelah di episode 16 kita mengelola efisiensi energi, episode ini membahas bahasa resmi industri: compliance & standards. Data center adalah bisnis kepercayaan — penyewa dan regulator tidak cukup dengar janji "kami aman"; mereka minta bukti terstruktur yang dinilai pihak independen. Standar adalah cara dunia menyepakati apa yang dihitung bukti.
Kita petakan lanskap standar (Uptime, TIA-942, EN 50600, ISO, SOC 2, PCI DSS, regulasi lokal), pahami bedanya desain vs operasi, lalu praktik menjalankan internal audit dengan matriks bukti.
#Lanskap Standar DC
| Standar/Body | Fokus | Kapan Relevan |
|---|---|---|
| Uptime Institute Tier | Topologi infrastruktur I-IV | Klaim availability ke pasar global |
| TIA-942 | Rated 1-4; detail telekom/network/facility | Kontrak vendor & tender Amerika |
| EN 50600 | Kelas 1-4 Eropa; holistik power-cool-security | Proyek Eropa/multinational |
| ISO/IEC 27001 | Manajemen keamanan informasi (fisik termasuk) | Wajib de facto enterprise |
| ISO 50001 | Sistem manajemen energi | Program efisiensi berkelanjutan |
| SOC 2 | Laporan kontrol layanan provider | Penyewa SaaS/cloud menuntutnya |
| PCI DSS Req. 9 | Kontrol fisik untuk data kartu | Menyentuh ekosistem pembayaran |
| Regulasi lokal | Izin & penyelenggaraan elektronik | Wajib hukum di yurisdiksi kalian |
Tidak ada satu "juara" — mereka menjawab audiens berbeda. Fasilitas serius biasanya: Tier/TIA sebagai klaim infrastruktur, ISO 27001 sebagai payung keamanan, plus SOC 2 bila melayani pelanggan enterprise.
#Uptime Institute: Tier Certification dan Operational Sustainability
Dua produk Uptime yang sering tertukar:
- Tier Certification — membuktikan TOPOLOGI:
- Design Documents (Tier I-IV) — kertas desain dinilai.
- Constructed Facility — bangunan jadi diverifikasi fisik termasuk uji demonstrasi failover nyata.
- Operational Sustainability (OS) — menilai CARA OPERASI: perilaku manusia, proses, maintenance, training. Skala Bronze/Silver/Gold.
Pesan terpenting dari data insiden Uptime selama bertahun-tahun: mayoritas outage besar melibatkan faktor proses/manusia, bukan kegagalan komponen murni. Tier IV dengan operasi buruk tetap jatuh — itulah alasan OS lahir.
Important
Saat membeli colocation, minta tiga hal terpisah: sertifikat Design, sertifikat Constructed Facility, dan level Operational Sustainability. Brosur yang hanya menulis "Tier III certified" perlu diklarifikasi mana yang benar-benar bersertifikat.
#ISO 27001: Payung Keamanan Termasuk Fisik
ISO 27001 adalah sistem manajemen keamanan informasi (ISMS) — auditnya menilai proses berjalan, bukan sekadar perangkat ada. Untuk DC engineer, area sentuh utamanya:
- Physical controls — zona aman, entri berlapis, perlindungan perangkat, pengamanan kantor/rak.
- Asset management — inventaris aset akurat (NetBox kalian!).
- Access control — hak akses logis + fisik, review berkala.
- Operations security — change management, capacity, malware, backup.
- Supplier relationships — SLA vendor dan monitoring (episode 19).
Siklusnya PDCA: tetapkan → kerjakan → cek → perbaiki. Bukti favorit auditor: kebijakan tertulis + record pelaksanaan + hasil review + tindakan perbaikan.
#Regulasi Lokal Indonesia
Bekerja di Indonesia berarti patuh pada lapisan regulasi domestik selain standar internasional:
- Penyelenggaraan Sistem Elektronik (PP 71/2019 dan turunannya di lingkungan Kominfo/Komdigi) — kewajiban penyelenggara, termasuk aspek keandalan dan lokasi data untuk sektor tertentu.
- UU PDP (Perlindungan Data Pribadi) — mengikat cara data pribadi disimpan/diproses; berdampak langsung ke keputusan penempatan workload (menyambung episode 14).
- Regulasi sektoral — OJK untuk finansial, kesehatan, telko punya ketentuan tambahan soal availability & audit.
- Aspek bangunan/listrik lokal (SLF, standar SNI instalasi) untuk sisi fasilitas.
Praktiknya: daftarkan semua kewajiban ini dalam register compliance internal — siapa pemiliknya, bukti apa, kapan direview. Regulasi berubah; register yang dirawat membuat kalian tidak pernah kaget saat audit.
#Praktik: Internal Audit dengan Matriks Bukti
Audit eksternal mahal dan jarang; internal audit kuartalan adalah latihan murah yang membuat audit sungguhan terasa rutin. Bangun matriks domain × kontrol × bukti:
# Internal Audit Q3-2026 - DC-JKT01
| # | Domain | Kontrol | Bukti Diperiksa | Hasil |
|---|-----------------|--------------------------------|------------------------------|-------|
| 1 | Power | PM UPS bulanan sesuai MOP | 3 tiket MOP + form terisi | OK |
| 2 | Cooling | Kalibrasi sensor kuartalan | Sertifikat kalibrasi vendor | OK |
| 3 | Akses fisik | Review kartu akses | Export log + daftar revoke | TEMUAN|
| 4 | Change mgmt | CAB minutes + approval | 12 CHG records lengkap | OK |
| 5 | Capacity | Report bulanan otomatis | 3 laporan + tren kW/U | OK |
| 6 | Vendor | SLA review kuartalan | Scorecard + notulen meeting | OK |
Temuan #3: 4 kartu ex-karyawan masih aktif.
Aksi : revoke segera; perbaiki integrasi HR->access;
re-audit bulan depan.Aturan emas audit internal:
- Sampling acak, bukan contoh yang sudah rapi — ambil 10 tiket terakhir secara acak, bukan 10 terbaik.
- Bukti = record tersimpan, bukan ingatan: foto, export log, notulen, hasil script.
- Setiap temuan punya pemilik & deadline — temuan tanpa tindak lanjut akan muncul lagi tahun depan dengan bunga.
#Menyusun Evidence Room
Siapkan repositori dc-docs/compliance/evidence/ berstruktur per-domain, di-update otomatis sebisa mungkin (export monitoring bulanan, hasil capacity report, log handover). Ketika auditor datang, kalian tinggal menunjuk — tidak panik mencari.
evidence/
├── power/ (MOP forms, thermography, genset test)
├── cooling/ (kalibrasi, filter logs)
├── access/ (access review, CCTV retention proof)
├── change/ (CAB minutes, MOP approved)
├── capacity/ (monthly reports)
└── vendor/ (scorecards, SLA reports)#Common Pitfalls Compliance
- Membangun bukti saat audit diumumkan — record retroaktif terlihat dari orbit; budaya pencatatan harian adalah satu-satunya jalan.
- Sertifikat sebagai tujuan akhir — sertifikat kedaluwarsa tapi proses mati lebih berbahaya daripada tanpa sertifikat; audit internal menjaga proses hidup.
- Satu orang pegang semuanya — auditor suka bertanya ke orang berbeda; jawaban bertolak belakang antar-personel adalah temuan klasik.
- Mengabaikan supplier — kontrol kalian seteguh vendor terlemah kalian; masukkan vendor dalam lingkup ISMS.
#Penutup
Inti yang harus dibawa pulang:
- Setiap standar punya audiens: Uptime/TIA/EN untuk klaim infrastruktur; ISO 27001 payung keamanan; ISO 50001 energi; SOC 2/PCI untuk pelanggan spesifik; regulasi lokal wajib hukum.
- Pisahkan tiga klaim Uptime: design cert, constructed facility cert, dan Operational Sustainability — faktor manusia/proses adalah penyebab outage dominan.
- ISO 27001 menilai proses berjalan; bukti favoritnya: kebijakan + record + review + perbaikan.
- Internal audit kuartalan dengan matriks bukti dan evidence room membuat audit eksternal menjadi formalitas, bukan drama.
Di episode 18 selanjutnya kita kembali ke teknis dengan pisau tajam: network security DC — segmentasi zona produksi-management-storage-backup, penempatan firewall, microsegmentation east-west, hardening OOB dan jump host, serta konfigurasi ACL nyata yang bisa langsung dipraktikkan. Sampai jumpa di episode 18!