POJK 11/2022 menyebut muatan minimum laporan, dan SEOJK 29/2022 menetapkan formatnya di Lampiran VI. Untuk laporan hasil pengujian keamanan siber berbasis skenario, Pasal 25 ayat (4) menetapkan tiga hal: ringkasan pelaksanaan pengujian, pelajaran terpetik atau hasil observasi dari hasil pengujian, dan rencana atau perbaikan yang telah dilakukan. Formatnya mengikuti Lampiran VI SEOJK 29/2022, dan penyampaiannya secara daring lewat sistem pelaporan OJK sesuai Pasal 62 ayat (1).
Tiga butir itu lebih sedikit daripada yang dibayangkan banyak orang, dan itu bukan berarti laporan tipis sudah cukup. Muatan minimum adalah batas bawah kepatuhan, bukan ukuran laporan yang berguna.
Dua jenis pengujian, dua jalur pelaporan
Pasal 23 mewajibkan dua bentuk pengujian, berdasarkan analisis kerentanan dan berdasarkan skenario, dan keduanya dilaporkan dengan cara yang berbeda. Perbedaan ini sering menjadi sumber kebingungan.
Untuk pengujian berbasis analisis kerentanan, yang mencakup penetration test, Pasal 24 ayat (1) mewajibkan pelaksanaan secara berkala tanpa menyebut angka, dan ayat (2) mewajibkan hasilnya disampaikan kepada OJK sebagai bagian dari laporan kondisi terkini penyelenggaraan TI bank. Tenggatnya ada di SEOJK 29/2022 romawi VII angka 4 huruf b: paling lama 15 hari kerja setelah akhir tahun pelaporan. Yang disampaikan adalah kompilasi, bukan laporan per pengujian. Contoh yang diberikan SEOJK sendiri memperjelasnya: bank yang menjalankan penetration test pada Maret, Juli, dan November 2022 menyampaikan kompilasinya paling lambat 20 Januari 2023.
Untuk pengujian berbasis skenario, Pasal 25 ayat (1) menetapkan minimal satu kali dalam satu tahun, dan ayat (3) memberi tenggat sendiri: laporan hasilnya disampaikan kepada OJK paling lama 10 hari kerja setelah pengujian keamanan siber selesai dilaksanakan. Kapan pengujian dianggap selesai tidak diserahkan pada tafsir. SEOJK 29/2022 romawi VII angka 4 huruf b mendefinisikannya: pengujian dianggap selesai dilaksanakan pada saat laporan hasil pengujian selesai disusun. Jadi hitungannya mulai dari selesainya penyusunan laporan, bukan dari hari terakhir aktivitas pengujian, dan contoh SEOJK menunjukkannya: pengujian pada 3 November 2023 yang laporannya selesai disusun 14 November 2023 harus disampaikan paling lambat 28 November 2023.
Yang wajib dicakup pengujian berbasis skenario
Sebelum bicara laporan, Pasal 25 ayat (2) menetapkan cakupan pengujiannya sendiri, paling sedikit empat hal: penetapan tujuan, cakupan, dan skenario pengujian; pelaksanaan pengujian; evaluasi hasil pengujian; dan penilaian terhadap efektivitas upaya mitigasi, respon, dan tindakan pemulihan bank terhadap serangan siber.
Butir keempat itu yang paling sering terlewat. Pengujian yang hanya menghasilkan daftar kerentanan belum memenuhi ayat ini, karena yang diminta adalah penilaian atas seberapa efektif bank menanggulangi dan memulihkan diri. Itu berarti pengujian berbasis skenario lebih dekat ke latihan tanggap insiden daripada ke pemindaian teknis, dan tim tanggap insiden bank harus benar-benar dilibatkan.
Laporan insiden TI: 24 jam dan 5 hari kerja
Pasal 60 ayat (1) mengatur jalur yang berbeda dari pelaporan pengujian. Bila terjadi insiden TI yang berpotensi atau telah mengakibatkan kerugian yang signifikan atau mengganggu kelancaran operasional bank, bank wajib menyampaikan notifikasi awal paling lama 24 jam setelah insiden TI diketahui, dan laporan insiden TI paling lama 5 hari kerja setelah insiden TI diketahui.
Dua hal perlu diperhatikan pada kalimat itu. Hitungannya dimulai dari saat insiden diketahui, bukan dari saat insiden terjadi, sehingga catatan waktu penemuan menjadi dokumen yang penting. Pemicunya juga bukan setiap insiden, melainkan insiden yang berpotensi atau telah mengakibatkan kerugian signifikan atau mengganggu kelancaran operasional, dan penilaian itu ada pada bank. Untuk notifikasi awal, Pasal 60 ayat (2) menyatakan penyampaiannya melalui sarana elektronik secara tertulis kepada OJK berdasarkan informasi awal yang tersedia. Jadi notifikasi 24 jam tidak menuntut kepastian penyebab, hanya informasi awal yang ada.
Ketika regulator lain punya tenggat lebih cepat
Bagian yang paling sering tidak diketahui ada di Pasal 60 ayat (4) dan (5). Bila terdapat pengaturan otoritas lain mengenai penyampaian notifikasi awal atau laporan insiden TI dalam jangka waktu yang lebih cepat, bank wajib menyampaikannya kepada OJK pada saat yang bersamaan dengan ketentuan otoritas tersebut. Bank yang sudah melakukannya dianggap telah memenuhi ketentuan 24 jam dan 5 hari kerja.
Konsekuensinya nyata bagi bank yang juga penyelenggara sistem pembayaran. PBI 2/2024 Pasal 40 mewajibkan notifikasi awal insiden siber dalam 1 jam, jadi tenggat efektif ke OJK juga menjadi 1 jam, bukan 24 jam. Tenggat tercepat menarik yang lain, dan itu mengubah cara prosedur eskalasi harus disusun.
Untuk insiden yang melibatkan data pribadi, tenggat UU PDP berjalan terpisah dan kepada penerima yang berbeda. Pasal 46 ayat (1) mewajibkan pemberitahuan tertulis paling lambat 3x24 jam kepada subjek data dan kepada lembaga, dan ayat (2) menetapkan muatan minimumnya: data pribadi yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihan oleh pengendali. Rinciannya kami bahas di kewajiban vendor dan DPA di bawah UU PDP.
Formatnya ada, di Lampiran VI SEOJK 29/2022
POJK 11/2022 hanya menyebut muatan minimum, sehingga mudah menyimpulkan tidak ada format resmi. Kesimpulan itu salah. SEOJK 29/2022 romawi VII angka 4 huruf b mewajibkan hasil pengujian berbasis skenario disampaikan sesuai format dalam Lampiran VI, yang merupakan bagian tidak terpisahkan dari surat edaran itu.
Lampiran VI berbentuk tabel dengan judul "Laporan Hasil Pengujian Keamanan Siber Berdasarkan Skenario", diisi per pengujian, dengan kolom nama bank dan tahun di atasnya. Kolomnya adalah tujuan pengujian, jenis pengujian, ruang lingkup pengujian, tanggal pengujian dimulai, tanggal pengujian selesai, pihak yang terlibat, hasil pengujian, perbaikan yang dilakukan, dan rencana tindak lanjut.
Dua catatan kaki di lampiran itu layak dibaca. Kolom pihak yang terlibat secara eksplisit mencakup pihak penyedia jasa TI atau pihak ketiga yang dipakai bank untuk melakukan pengujian, jadi formulirnya sendiri mengandaikan penguji pihak ketiga sebagai hal yang wajar. Dan kolom perbaikan yang dilakukan diisi bila bank sudah memperbaiki, sedangkan rencana tindak lanjut diisi bila belum, sehingga keduanya tidak dimaksudkan diisi bersamaan.
Untuk penyampaiannya, Pasal 62 ayat (3) POJK 11/2022 menyerahkan tata cara pelaporan daring kepada ketentuan OJK mengenai pelaporan bank melalui sistem pelaporan OJK. Jadi Lampiran VI mengatur isi dan bentuk laporannya, sementara ketentuan pelaporan itu mengatur mekanisme pengirimannya.
Dalam praktik, kekurangan yang paling sering kami temukan bukan pada format, melainkan pada butir ketiga Pasal 25 ayat (4). Laporan menyebut rencana perbaikan tanpa penanggung jawab dan tanpa tanggal, atau menyebut perbaikan yang telah dilakukan tanpa bukti retest. Keduanya lolos secara formal dan sulit dipertahankan saat pemeriksaan.
Sanksi keterlambatan dan laporan tidak lengkap
Pasal 27 mengatur sanksi untuk kegagalan menguji: teguran tertulis lebih dulu, lalu larangan menerbitkan produk bank baru, pembekuan kegiatan usaha tertentu, atau penurunan penilaian faktor tata kelola bila ketentuannya tetap tidak dipenuhi. Untuk pelaporan, Pasal 63 menetapkan pola yang sama bagi bank yang terlambat menyampaikan notifikasi awal insiden TI. Pasal 62 ayat (2) menyatakan pelanggaran terkait penyampaian laporan dikenai sanksi administratif, dan Pasal 64 mengatur bank yang menyampaikan laporan secara tidak lengkap dikenai sanksi administratif atas kesalahan informasi sesuai ketentuan pelaporan bank. Tidak ada denda dalam pasal-pasal itu.
Untuk gambaran kewajiban pengujian secara keseluruhan dan siapa yang boleh menjalankannya, lihat siapa yang boleh melakukan pentest bank dan kepatuhan keamanan siber bank umum.
Referensi
- Peraturan OJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, Database Peraturan BPK RI. Pasal 23 sampai 27 mengatur pengujian dan sanksinya, Pasal 60 mengatur laporan insidentil, dan Pasal 62 sampai 64 mengatur penyampaian laporan serta sanksinya.
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, Database Peraturan BPK RI, Pasal 46 untuk pemberitahuan kegagalan pelindungan data pribadi.
- SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum, OJK (naskah lengkap). Romawi VII angka 4 mengatur tenggat penyampaian kedua jenis hasil pengujian dan definisi selesainya pengujian, angka 5 mengatur pelaksana pengujian, dan Lampiran VI memuat format laporannya.
- Peraturan Bank Indonesia Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber, Bank Indonesia, Pasal 40 untuk tenggat notifikasi insiden siber.