Yth. Bapak/Ibu,

Sehubungan dengan permintaan informasi lanjutan yang disampaikan, berikut adalah penjelasan yang dapat saya berikan berdasarkan pengetahuan saya:

1. Penjelasan Mengenai "Shadow IT" yang Dimaksud
“Shadow IT” yang saya maksud dalam laporan ini adalah tindakan Direktur  GPDA yang diduga merancang dan membangun sendiri sistem lingkungan pengembangan (https://eda.dev.lps.go.id dan https://ida.dev.lps.go.id) tanpa melalui proses pengajuan, penginformasian, dan persetujuan resmi dari Grup Sistem dan Teknologi Informasi (GSTI).

Meskipun beliau mungkin memiliki kapabilitas teknis untuk melakukannya, tindakan pengembangan aplikasi secara mandiri ini bertentangan dengan prinsip tata kelola TI LPS yang fundamental, yaitu sentralisasi, di mana pengembangan sistem merupakan wewenang penuh dari GSTI. Tindakan ini berada di luar kewenangan resmi dari jabatan beliau.

2. Cara Mengetahui Adanya Sistem Tersebut
Saya mengetahui keberadaan sistem ini karena tautan (link) https://eda.dev.lps.go.id dan https://ida.dev.lps.go.id pernah dibagikan (di-share) kepada saya untuk digunakan sebagai media layanan terkait data asuransi. Fakta bahwa sistem di lingkungan pengembangan (.dev) digunakan untuk layanan operasional merupakan indikasi awal adanya ketidaksesuaian prosedur.

3. Cara Mengetahui Pengembangan Dilakukan Tanpa Melibatkan GSTI
Pengetahuan saya didasarkan pada beberapa hal berikut:

- Prosedur Standar: Sepengetahuan saya, tidak pernah ada pengajuan dokumen kebutuhan bisnis (Business Requirement Document/BRD) yang merupakan syarat wajib untuk pengembangan sistem, dari GPDA kepada GSTI untuk portal tersebut.

- Rencana Pengembangan Resmi: Sistem ini juga tidak tercatat dalam rencana pengembangan aplikasi resmi yang dikelola oleh GSTI.

- URL Lingkungan Pengembangan: Penggunaan URL dengan domain .dev untuk layanan operasional sangat tidak lazim dan menunjukkan bahwa sistem tersebut belum melalui proses deployment ke lingkungan produksi yang resmi, yang mana proses tersebut hanya dapat dilakukan oleh GSTI.

Fakta-fakta ini mengindikasikan dengan kuat bahwa pengembangan dilakukan secara mandiri di luar prosedur dan pengawasan resmi.

4. Bukti yang Dimiliki
Bukti utama yang saya miliki adalah tautan (link) aktif ke sistem itu sendiri, yang menunjukkan adanya sebuah aplikasi yang telah dikembangkan dan digunakan di lingkungan pengembangan. Bukti pendukung lainnya bersifat prosedural, yaitu tidak adanya catatan resmi mengenai sistem ini dalam dokumen BRD maupun dalam daftar rencana pengembangan GSTI, yang tentunya dapat diverifikasi lebih lanjut oleh tim pemeriksa.

5. Pihak yang Memberikan Akses ke Server
Mengenai siapa pihak yang memberikan akses ke server tempat website itu berada, saya tidak memiliki informasi yang spesifik dan pasti mengenai hal ini.
Hal ini justru menjadi salah satu kekhawatiran utama saya dan merupakan pertanyaan krusial yang perlu didalami dalam proses investigasi. Adanya pihak yang dapat memberikan akses ke server di luar prosedur resmi GSTI merupakan sebuah celah keamanan dan tata kelola yang sangat serius bagi lembaga.

Penjelasan ini saya sampaikan dengan tujuan untuk membantu proses analisis dan demi perbaikan tata kelola serta mitigasi risiko di lingkungan LPS.

Terima kasih atas perhatian Bapak/Ibu.