Belajar Staff Engineer - Compliance & Governance Tech

#Pendahuluan

Setelah di episode 18 kita memimpin program security dengan secure-by-default dan champions network, pada episode ini kita hadapi domain yang sering dianggap musuh velocity: compliance & governance. SOC 2, ISO 27001, GDPR, atau regulasi industri — semuanya akan datang seiring organisasi tumbuh. Tanpa kepemimpinan teknis, compliance menjadi teater dokumentasi tahunan; dengan pendekatan yang benar, ia menjadi otomatisasi yang justru merapikan engineering.

Tugas kalian sebagai staff engineer: menerjemahkan bahasa auditor ("kontrol", "bukti", "retensi") menjadi sistem nyata — pipeline, log, dan policy-as-code — sehingga kepatuhan adalah efek samping dari cara bekerja, bukan proyek panik tiap audit.

#Memahami Bahasa Compliance

Tiga istilah yang harus kalian kuasai dulu:

Insight penting: auditor tidak peduli teknologi kalian — mereka peduli konsistensi dan bukti. Sistem yang sederhana tapi terdokumentasi konsisten lolos; sistem canggih tanpa jejak gagal. Itulah mengapa compliance sangat cocok diotomasi.

#Peta Ringkas Regulasi Umum

• SOC 2 Type II — fokus keamanan, availability, kerahasiaan proses; butuh bukti berjalan selama periode observasi (6-12 bulan). Implikasi: mulai kumpulkan evidence sebelum audit dimulai.
• ISO 27001 — sistem manajemen keamanan informasi; lebih preskriptif soal risk register dan siklus perbaikan.
• GDPR/UU PDP — perlindungan data pribadi: legal basis, minimisasi data, hak subjek (akses/hapus), notifikasi breach 72 jam.
• PCI DSS (jika memproses kartu) — segmentasi ketat, enkripsi, larangan menyimpan data kartu mentah.

Kalian tidak perlu jadi pakar hukum — kalian perlu cukup fasih untuk menerjemahkan kewajiban menjadi arsitektur dan kontrol otomatis, lalu bekerja dengan tim legal/compliance untuk interpretasi.

#Menerjemahkan Kontrol Menjadi Sistem

Pola penerjemahan yang saya pakai berulang:

Kontrol : "Akses produksi hanya oleh personel berwenang"
Terjemahan:
  - Tidak ada kredensial statis; akses via role JIT (just-in-time)
    dengan approval otomatis + expiry 4 jam.
  - Semua sesi produksi tercatat (siapa, kapan, apa).
Bukti otomatis : log access-request + audit session.
 
Kontrol : "Perubahan kode direview sebelum masuk produksi"
Terjemahan:
  - Branch protection: merge butuh >=1 approval + CI hijau.
  - Hotfix jalur cepat tetap butuh approval pasca-faktum <24 jam.
Bukti otomatis : metadata PR (approver, checks) diekspor mingguan.
 
Kontrol : "Data pribadi disimpan terbatas & terenkripsi"
Terjemahan:
  - Klasifikasi data di manifest layanan (PII flag).
  - Enkripsi at-rest default; PII hanya di datastore terdaftar.
Bukti otomatis : policy-as-code scan + inventaris data.

Perhatikan pola tiga baris: kontrol → mekanisme teknis → bukti otomatis. Jika kalian tidak bisa mengisi baris ketiga, kontrol itu akan memakan tenaga manual selamanya — itu sinyal untuk mendesain ulang mekanismenya.

#Audit Trail Otomatis

Evidence manual (screenshot konfigurasi tiap kuartal) adalah neraka yang bisa dihindari. Bangun audit trail yang mengalir sendiri:

1. Event-based logging — setiap aksi sensitif (deploy, akses data, perubahan IAM, export data) memancarkan event terstruktur: actor, action, resource, timestamp, justifikasi.
2. Immutable retention — log audit disimpan append-only dengan retensi sesuai regulasi (GDPR umumnya 1 tahun+; sektor finansial lebih panjang).
3. Evidence pipeline — job berkala mengekspor snapshot bukti ke storage terpisah: daftar akses aktif, hasil scan terakhir, status backup, laporan drift config.

# Jalankan nightly - hasil dikirim ke bucket audit (WORM)
audit-export --date $(date +%F) \
  --sources iam,ci,deployments,datastore \
  --format json --sign --upload s3://org-audit-evidence/

Dengan pipeline seperti ini, persiapan audit berubah dari enam pekan panik menjadi satu pekan penarikan laporan.

#Policy-as-Code untuk Kepatuhan

Episode 18 memperkenalkan guardrails; compliance memperluas cakupannya. Prinsip tambahan:

• Satu sumber kebijakan — definisi sekali (repo policy), evaluasi di banyak titik: pre-commit, CI, admission controller, dan scan berkala untuk drift.
• Severity bertingkat — block untuk pelanggaran hukum/regulasi, warn untuk best practice, plus jalur exception resmi dengan pemilik dan expiry.
• Laporan drift mingguan — apa yang berubah dari baseline compliant? Drift yang ditangkap mingguan murah; yang ditangkap auditor mahal.

Keuntungan ganda yang layak kalian pitch ke manajemen (pola episode 13): biaya audit turun drastis DAN insiden misconfiguration turun karena guardrail yang sama.

#Desain Governance yang Mempercepat

Governance gagal bila dirasakan sebagai rem. Empat prinsip desain agar terasa seperti rel:

1. Default compliant — jalur default (template, platform) sudah memenuhi kontrol; engineer tidak melakukan apa pun untuk patuh.
2. Exception berbiaya rendah tapi terlihat — pintu keluar resmi ada, asal tercatat, punya pemilik dan tanggal kedaluwarsa. Exception gelap adalah risiko; exception terkelola adalah fleksibilitas.
3. Feedback detik, bukan kuartal — pelanggaran diketahui developer saat menulis kode, bukan enam bulan kemudian dari email auditor.
4. Ukur beban governance — metrik: jumlah exception aktif, waktu rata-rata approval, persentase kontrol otomatis vs manual. Naikkan rasio otomatis tiap kuartal.

#Pitfall Umum Navigasi Compliance

• Compliance sebagai proyek musiman — panik dua bulan sebelum audit tiap tahun; bangun ritual kontinu dan evidence pipeline agar audit jadi formalitas.
• Mentranskripsi dokumen tanpa mengubah sistem — kebijakan tertulis indah, praktik nyata lain; auditor Type II menguji praktik.
• Scope creep sertifikasi — memasukkan semua sistem ke scope audit pertama; mulai dari perimeter inti, luaskan bertahap.
• Mengabaikan vendor — third-party (SaaS, cloud) ikut diaudit; siapkan daftar vendor + status sertifikat mereka sejak awal.
• Data inventory tidak ada — tanpa peta "data apa di mana, siapa akses", GDPR request dan breach notification jadi mimpi buruk; inventaris data adalah fondasi semuanya.

#Penutup

Inti yang harus dibawa pulang:

• Kuasai bahasanya: control → mechanism → automated evidence; kalau bukti tak bisa otomatis, redesain mekanismenya.
• Audit trail event-based dengan retention immutable mengubah persiapan audit dari panik tahunan menjadi ekspor laporan.
• Policy-as-code satu-sumber dengan severity bertingkat dan exception terkelola menjaga kepatuhan tanpa membunuh velocity.
• Governance yang baik terasa seperti rel: default compliant, feedback detik, dan beban governance yang diukur serta terus diturunkan.

Di episode 20 selanjutnya kita akan membahas multi-region & data residency — cara mendesain sistem lintas region untuk kebutuhan kedaulatan data, trade-off latency vs compliance, dan pola arsitektur multi-region yang realistis bagi organisasi mid-size. Sampai jumpa di episode 20!