Trust Center

Infrastruktur Mekari di-hosting dalam Alibaba Cloud (AliCloud) dengan pusat server yang berlokasi di Jakarta, Indonesia (ap-southeast-5). Pusat data Alibaba Cloud Indonesia terdiri dari tiga availability zone yang berada di wilayah hukum Indonesia (ap-southeast-5a, ap-southeast-5b, dan ap-southeast-5c). Data konsumen di-hosting dan disimpan dalam pusat data yang berlokasi di Indonesia sesuai dengan standar keamanan ISO 27001 dan regulasi lokal yang berlaku (UU PDP). Data tidak akan ditransfer ke yurisdiksi atau wilayah lain di luar Indonesia tanpa persetujuan konsumen.

Beban kerja produksi disebar di beberapa availability zone dalam pusat data Alibaba Cloud Indonesia untuk memastikan ketersediaan layanan, toleransi kesalahan, dan kesinambungan bisnis. Arsitektur ini menyediakan redundansi data dan mendukung failover otomatis jika terjadi gangguan pada tingkat zona, sehingga menjaga ketangguhan layanan dengan downtime minimal.

Arsitektur jaringan multi-tier diimplementasi dengan isolasi Virtual Private Cloud (VPC) yang memisahkan komponen ke dalam subnet tersegmentasi (publik dan privat). Seluruh lalu lintas masuk difilter melalui Web Application Firewall (WAF) untuk perlindungan terhadap OWASP Top 10 dan sebagai penyeimbang beban. Server aplikasi dan dan database berlokasi dalam subnet privat terisolasi yang hanya bisa diakses melalui port dan grup keamanan tertentu. Akses administratif membutuhkan koneksi VPN terenkripsi (AES-256), serta infrastruktur dilindungi oleh layanan mitigasi DDoS terhadap serangan volumetrik.

Seluruh server Mekari diperkuat mengikuti standar keamanan industri (CIS Benchmark) dengan enkripsi aktif untuk data pada server dan database pada saat penyimpanan. Layanan, port, dan protokol yang tidak diperlukan dinonaktifkan secara default. Kontrol akses dikelola melalui grup keamanan yang membatasi lalu lintas hanya pada protokol yang diizinkan. Akses administratif didiwajibkan melalui koneksi VPN terenkripsi untuk meminimalisasi celah serangan (attack surface) dan menghindari akses yang tidak sah.

Vulnerability scanning dilakukan secara terautomasi dan berkelanjutan terhadap seluruh infrastruktur, aplikasi, database, dan source code untuk mengidentifikasi celah keamanan. Selain itu, VAPT tahunan dijalankan oleh firma keamanan pihak ketiga yang terakreditasi BSSN dan ASPI, dengan ringkasan eksekutif yang tersedia berdasarkan permintaan. Kerentanan kritis pada aset publik akan diremediasi dalam waktu 3 hari, serta kerentanan dengan tingkat keseriusan lebih rendah akan ditangani dengan SLA berbasis risiko. Temuan bersifat high dan critical akan diperbaiki atau diberikan kompensasi kontrol sebelum diimplementasikan dalam produksi.

Seluruh data pelanggan dienkripsi saat dalam penyimpanan dengan standar AES-256, baik pada tingkat database maupun storage (Full Disk Encryption). Kunci enkripsi dikelola melalui Alibaba Cloud KMS dengan sistem manajemen kunci terpusat, kontrol akses yang ketat, dan rotasi kunci otomatis untuk tingkat keamanan maksimal.

Seluruh data dalam transmisi dienkripsi menggunakan protokol TLS 1.2 atau TLS 1.3 dengan algoritma enkripsi yang kokoh (ECDHE-RSA-AES-256-GCM). Sertifikat SSL/TLS dikelola dan diperbarui secara otomatis untuk memastikan komunikasi pengguna dengan sistem Mekari terus terenkripsi secara berkelanjutan.

Aset informasi diklasifikasi berdasarkan nilai, persyaratan hukum, dan sensitivitas mengikuti prinsip CIA Triad (Confidentiality, Integrity, Availability). Setiap level klasifikasi memiliki prosedur penanganan, kontrol akses, dan protokol perlindungan yang telah ditentukan sesuai dengan standar ISO 27001:2022.

Pencadangan data dilakukan otomatis setiap hari dengan penyimpanan geo-redundant di availability zone berbeda di Indonesia. Rencana pemulihan bencana diimplementasikan dengan Recovery Time Objective (RTO) dan Recovery Point Objective (RPO) kurang dari 1 jam untuk layanan kritis. Seluruh data pencadangan dienkripsi menggunakan standar AES-256.

Data pelanggan tersimpan selama masa langganan aktif dan patuh pada persyaratan hukum dan regulasi lokal yang berlaku. Setelah pengakhiran layanan atau permintaan penghapusan, data akan dihapus secara aman mengikuti prosedur sanitasi yang terdokumentasi untuk menjamin penghapusan data secara menyeluruh dan tidak dapat dipulihkan.

Seluruh kunci enkripsi dikelola secara terpusat melalui Alibaba Cloud KMS dengan fitur rotasi otomatis, kontrol akses yang ketat, dan pencatatan log audit menyeluruh.

MFA bersifat wajib bagi seluruh pengguna dan akses administratif ke infrastruktur cloud, server, dan aplikasi internal. Sistem Mekari Expense mendukung TOTP, aplikasi autentikator, dan verifikasi SMS atau email, untuk lapisan keamanan tambahan di luar penggunaan password.

Akses diberikan berdasarkan fungsi dan tanggung jawab pekerjaan menggunakan matriks kontrol akses yang terdokumentasi. Izin akses diberikan secara granular dan diterapkan di seluruh sistem dan database untuk memastikan pengguna hanya bisa mengakses data yang diperlukan sesuai dengan perannya.

Integrasi SSO enterprise tersedia melalui protokol SAML 2.0 dan OpenID Connect (OIDC) dengan dukungan untuk berbagai identity providers, seperti Google Workspace dan Azure AD. Manajemen identitas terpusat menyederhanakan proses pembuatan dan penghapusan akun pengguna serta penegakan kebijakan autentikasi secara sistematis.

Seluruh akses mengikuti prinsip least privilege, yang memberikan pengguna izin paling dasar untuk menjalankan tugasnya. Akses privileged membutuhkan persetujuan formal dan melalui proses peninjauan akses berkala setiap kuartal untuk memastikan bahwa hak akses tersebut masih relevan dengan kebutuhan bisnis.

Setiap sesi pengguna diamankan menggunakan token OAuth 2.0 dengan timeout otomatis setelah periode ketidakaktifan yang telah ditentukan. Administrator dapat mengonfigurasi batasan sesi simultan (concurrent session limit) untuk mencegah akses yang tidak sah.

Seluruh aktivitas autentikasi, percobaan login, perubahan konfigurasi, akses privileged, dan akses data sensitif tercatat secara otomatis dalam jejak audit yang tahan manipulasi. Log dipantau secara real-time oleh tim keamanan dan disimpan untuk kebutuhan compliance dan analisis forensik.

Keamanan terintegrasi di seluruh Software Development Lifecycle dengan kebijakan terdokumentasi yang mencakup fase pengembangan hingga deployment. Pemeriksaan keamanan diterapkan di setiap tahapan menggunakan praktik shift-left security dan quality gate sebelum kode masuk ke lingkungan produksi. Hal ini mencakup threat modeling, peninjauan kode secara aman, dan pengujian keamanan.

Static Application Security Testing (SAST) terintegrasi dalam pipeline CI/CD untuk mendeteksi kerentanan di tingkat source code. Selain itu, Dynamic Application Security Testing (DAST) dan uji penetrasi berkala dilakukan pada aplikasi yang sedang berjalan untuk mengidentifikasi kerentanan runtime sebelum kode diluncurkan ke lingkungan produksi.

Library dan dependensi pihak ketiga dipantau secara berkelanjutan menggunakan alat pemindaian terautomasi untuk mendeteksi kerentanan (CVE) dan mencegah penggunaan komponen yang rentan atau outdated. Seluruh dipendensi dinilai dan diperbarui secara berkala sebagai bagian dari proses pengembangan yang aman.

Seluruh perubahan kode wajib melalui proses peer review melalui mekanisme Request For Change (RFC) dengan fitur proteksi cabang yang aktif. Perubahan harus ditinjau oleh setidaknya satu developer tambahan untuk memastikan compliance dengan standar coding yang aman sebelum digabungkan dalam cabang produksi.

API dilindungi menggunakan autentikasi OAuth 2.0, manajemen kunci API, enkripsi HTTPS/TLS 1.2+, rate limiting, dan validasi input. Web Application Firewall (WAF) memberikan perlindungan tambahan terhadap serangan umum API, seperti ancaman yang terdaftar dalam OWASP API Security Top 10.

Responsible vulnerability disclosure program ditetapkan untuk temuan keamanan oleh pihak internal maupun eksternal. Peneliti keamanan dan klien dapat melaporkan kerentanan melalui infosec@mekari.com. Hasil penilaian kerentanan dan ringkasan keamanan tersedia kepada klien berdasarkan permintaan dengan ketentuan NDA.

Real-time monitoring 24/7 diterapkan pada seluruh infrastruktur dan aplikasi menggunakan centralized log management system. Seluruh audit log mencatat percobaan login, akses data sensitif, serta perubahan konfigurasi sistem dalam format tamper-proof. Alert otomatis dikirimkan saat terdeteksi suspicious activity atau security anomaly untuk memastikan respons yang cepat dan terukur.

Security Operations Center (SOC) khusus beroperasi dengan Incident Response Plan yang terdokumentasi. Proses mencakup identification, triage, escalation, containment, dan recovery. Setiap tingkat severity memiliki target Mean Time to Respond (MTTR) yang terukur serta communication protocol yang jelas untuk notifikasi kepada stakeholder terkait.

Seluruh perubahan di lingkungan produksi mengikuti proses formal Request For Change (RFC). Proses ini mencakup peer review, pengujian di staging environment, serta approval sebelum deployment. Prosedur rollback terdokumentasi untuk memastikan pemulihan cepat apabila terjadi kegagalan dan meminimalkan service disruption.

Disaster Recovery Plan (DRP) diterapkan dengan replikasi data harian di beberapa availability zone yang terpisah di Indonesia. Uji coba Disaster Recovery dilakukan setiap tahun untuk memvalidasi efektivitas prosedur pemulihan. Layanan kritikal memiliki Recovery Time Objective (RTO) dan Recovery Point Objective (RPO) kurang dari 1 jam.

Security awareness training bersifat wajib bagi seluruh karyawan saat onboarding dan dilakukan setiap bulan, mencakup current threat landscape dan internal security policy. Tim engineering mendapatkan additional secure coding training untuk mengatasi application-specific security risk.

Mekari mematuhi Undang-Undang Perlindungan Data Pribadi (UU PDP) No. 27 Tahun 2022. Data Protection Officer (DPO) ditunjuk untuk memastikan kepatuhan terhadap hak subjek data, tata kelola pemrosesan data, dan persyaratan regulasi yang berlaku.

Seluruh data pelanggan diproses dan disimpan secara eksklusif di data center Alibaba Cloud Indonesia. Data tidak dipindahkan ke luar wilayah Indonesia tanpa persetujuan atau instruksi eksplisit dari pelanggan.

DPA tersedia sebagai bagian dari kontrak layanan dan menjelaskan tanggung jawab Mekari sebagai data processor. Dokumen ini mencakup kontrol keamanan, kewajiban confidentiality, pengelolaan sub-processor, serta kepatuhan terhadap instruksi pelanggan sebagai data controller.

Subjek data dapat mengajukan permintaan penghapusan sesuai ketentuan UU PDP. Setelah permintaan diverifikasi, data pribadi akan dihapus secara permanen dari sistem aktif dan backup sesuai kebijakan retensi dan prosedur data sanitization yang terdokumentasi.

Prinsip privasi diterapkan sejak tahap awal pengembangan melalui framework Secure SDLC. Data minimization, purpose limitation, dan access control menjadi persyaratan utama sebelum fitur dirilis ke lingkungan produksi.

Mekanisme consent management dirancang transparan dengan informasi yang jelas terkait tujuan pemrosesan data. Explicit consent diperoleh sebelum pemrosesan dilakukan, dan pengguna dapat mengelola preferensi persetujuan melalui kontrol yang mudah diakses.

Proses background verification dilakukan sebelum onboarding karyawan. Pemeriksaan mencakup verifikasi identitas, riwayat pekerjaan, latar belakang pendidikan, dan referensi profesional untuk memastikan integritas personel yang menangani data pelanggan.

Seluruh karyawan dan third-party contractor wajib menandatangani Non-Disclosure Agreement (NDA) serta klausul confidentiality sebelum diberikan akses ke sistem dan data perusahaan. Kewajiban kerahasiaan tetap berlaku setelah hubungan kerja berakhir.

Security awareness training bersifat wajib saat onboarding dan dilakukan secara berkala. Materi mencakup pengelolaan data sensitif, phishing awareness, kebijakan password, social engineering, dan ancaman keamanan terkini. Simulasi phishing serta security bulletin rutin dilakukan untuk memperkuat budaya keamanan.

Acceptable Use Policy (AUP) mendefinisikan hak dan tanggung jawab karyawan dalam penggunaan sistem, perangkat, jaringan, dan akses internet perusahaan. Kebijakan ini mencegah penyalahgunaan aset serta memastikan akuntabilitas atas pelanggaran keamanan.

Proses offboarding formal memastikan seluruh akses sistem dicabut segera setelah termination atau perubahan peran. Proses mencakup asset return, account deactivation, access review, serta pengingat kewajiban confidentiality untuk memitigasi risiko insider threat.