Ketahanan dan keamanan siber bagi bank umum: apa yang diwajibkan OJK

Mengapa bank-bank Indonesia kini berada di bawah pengawasan lebih ketat

Pada Mei 2023, Bank Syariah Indonesia (BSI), salah satu bank syariah terbesar di Indonesia, mengalami serangan ransomware yang melumpuhkan jaringan ATM dan layanan mobile banking selama beberapa hari. Jutaan nasabah tidak dapat mengakses rekening mereka. LockBit kemudian mengklaim bertanggung jawab dan mempublikasikan 1,5 terabyte data yang dicuri di dark web setelah negosiasi tebusan gagal.

OJK mencermati kejadian ini. Dalam beberapa minggu, regulator telah mengeluarkan panduan tambahan tentang tenggat waktu pelaporan insiden dan memperketat ekspektasi pengawasan terhadap manajemen risiko TI. Pesannya jelas bagi sektor perbankan Indonesia: kepatuhan keamanan siber bukan lagi pilihan, dan kegagalan membawa konsekuensi operasional sekaligus regulatoris.

Panduan ini membahas apa yang sebenarnya diwajibkan OJK dari bank dan lembaga keuangan saat ini. Bukan kerangka teoritis, melainkan kontrol, tenggat waktu, dan struktur tata kelola spesifik yang harus Anda miliki.

Regulasi yang berlaku

Persyaratan keamanan siber OJK untuk bank tersebar di beberapa regulasi. Dua yang paling penting:

POJK No. 11/POJK.03/2022: penyelenggaraan teknologi informasi oleh bank umum

Peraturan ini mengganti POJK No. 38/POJK.03/2016 tentang penerapan manajemen risiko dalam penggunaan TI, dan cakupannya jauh lebih luas: tata kelola TI, arsitektur TI, manajemen risiko penyelenggaraan TI, ketahanan dan keamanan siber, penggunaan penyedia jasa TI, penempatan sistem elektronik, pengelolaan data, audit intern, dan pelaporan. Kewajiban utama:

• Wewenang dan tanggung jawab Direksi serta Dewan Komisaris atas penyelenggaraan TI yang ditetapkan secara eksplisit
• Penilaian sendiri atas tingkat maturitas keamanan siber, dilakukan tahunan untuk posisi akhir Desember dan dilaporkan ke OJK
• Rencana Pemulihan Bencana yang diuji minimal sekali setahun terhadap seluruh aplikasi dan infrastruktur kritikal
• Notifikasi awal insiden TI signifikan kepada OJK paling lama 24 jam setelah insiden diketahui, disusul laporan insiden dalam 5 hari kerja

SEOJK No. 29/SEOJK.03/2022: ketahanan dan keamanan siber bagi bank umum

Surat edaran ini adalah ketentuan pelaksana dari Bab V POJK 11/2022, dan memuat persyaratan teknis paling rinci. Isinya mencakup penilaian risiko inheren keamanan siber, penerapan manajemen risiko keamanan siber, proses ketahanan siber (identifikasi aset, ancaman, dan kerentanan; pelindungan aset; deteksi insiden; serta penanggulangan dan pemulihan), penilaian tingkat maturitas keamanan siber, pengujian keamanan siber, unit atau fungsi yang menangani ketahanan dan keamanan siber, dan pelaporan insiden siber. Kerangkanya memetakan ke ISO 27001 dan NIST CSF dengan tambahan persyaratan spesifik Indonesia.

Kedua instrumen ini masih menjadi acuan yang berlaku saat tinjauan ini diperbarui pada Agustus 2026. Kami cukup sering menerima pertanyaan apakah sudah ada POJK keamanan siber baru untuk bank umum di 2026. Selama belum ada penggantinya yang diundangkan, POJK 11/2022 dan SEOJK 29/2022 adalah dasar yang dipakai pemeriksa, dan pekerjaan kepatuhan sebaiknya disandarkan pada keduanya, bukan pada rancangan yang beredar.

Regulasi pendukung

• POJK No. 38/POJK.03/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum, sebagaimana diubah dengan POJK No. 13/POJK.03/2020: keduanya dicabut oleh POJK 11/2022, tetapi masih muncul sebagai rujukan dalam kebijakan dan dokumen lama
• PBI No. 9/15/PBI/2007 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum: pendahulu rezim ini dari era sebelum OJK, tidak lagi menjadi acuan pengawasan setelah pengawasan perbankan beralih ke OJK, tetapi masih dikutip dalam materi lama. Relevansi Bank Indonesia bagi bank kini lewat aturan sistem pembayaran, bukan lewat ketentuan ini
• PP No. 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik: menetapkan kewajiban keamanan, keandalan, dan pelindungan data pribadi bagi penyelenggara sistem elektronik, terutama di bawah Kominfo dengan peran BSSN. Ketentuan ini kerap salah dikutip sebagai kerangka strategi keamanan siber nasional, padahal bukan

Apa yang sebenarnya diwajibkan OJK: delapan area

1. Tata kelola TI dan akuntabilitas dewan

OJK mengharuskan kepemilikan risiko TI dan siber di tingkat dewan. Ini tidak bisa didelegasikan sepenuhnya kepada tim TI.

• Direksi wajib menetapkan kebijakan, standar, dan prosedur TI, serta mengomunikasikannya kepada satuan kerja penyelenggara maupun pengguna TI
• Dewan Komisaris menerima laporan pertanggungjawaban secara berkala atas risiko keamanan siber yang material, memuat perkembangan, permasalahan, dan langkah perbaikan yang telah, sedang, dan akan dilakukan
• Komite pengarah TI wajib ada, diketuai salah satu direktur, dengan anggota mencakup direktur yang membawahkan penyelenggara TI, direktur yang membawahkan manajemen risiko, serta pejabat tertinggi satuan kerja penyelenggara dan pengguna TI
• Unit atau fungsi yang menangani ketahanan dan keamanan siber harus independen terhadap fungsi pengelolaan TI, yaitu perencanaan, pengembangan, pengoperasian, dan pemantauan TI

Perhatikan pilihan katanya soal irama. Untuk pelaporan ke dewan, aturannya menyebut berkala, bukan triwulanan: baik POJK 11/2022 maupun SEOJK 29/2022 tidak menetapkan frekuensi pelaporan kepada Dewan Komisaris, sehingga bank menentukan sendiri iramanya dan harus bisa mempertanggungjawabkannya. Aturannya memang mencantumkan satu angka pada satu kontrol, yaitu contoh setiap tiga bulan untuk peninjauan izin akses pengguna, tetapi contoh itu tidak berlaku untuk pelaporan ke dewan. Dalam praktiknya, CISO Anda perlu jalur pelaporan langsung ke Direktur, dan risalah rapat dewan perlu mencerminkan diskusi nyata tentang risiko TI, bukan sekadar tanda tangan pada laporan tahunan.

2. Inventaris dan klasifikasi aset

Anda tidak dapat melindungi apa yang tidak dapat Anda lihat. OJK mengharuskan bank memelihara inventaris lengkap dan terkini semua aset TI, diklasifikasikan berdasarkan tingkat kekritisan.

• Inventarisasi aset TI mencakup perangkat keras, perangkat lunak, data, jaringan, dan infrastruktur, untuk menetapkan prioritas aset
• Analisis, penilaian, dan klasifikasi aset berdasarkan tingkat kritikalitas dan sensitivitas, dengan mempertimbangkan hasil business impact analysis bank
• Mekanisme pencatatan konfigurasi perangkat keras dan perangkat lunak yang efektif, antara lain lewat system configuration management
• Inventarisasi aset TI yang diulang secara berkala

SEOJK 29/2022 tidak menetapkan jumlah tingkatan klasifikasi maupun interval peninjauan yang baku, sehingga bank yang mengklasifikasikan berdasarkan kritikalitas dan sensitivitas serta bisa menunjukkan inventarisnya benar-benar terkini sudah memenuhi ketentuan itu dengan caranya sendiri. Tanpa klasifikasi, aset tidak bisa diberi peringkat risiko. Semua penilaian risiko bergantung pada ini.

3. Kontrol akses dan manajemen akun privileged

Sebagian besar pembobolan bank dimulai dengan kredensial yang disusupi. Persyaratan kontrol akses OJK bersifat spesifik:

• Otentikasi yang dibangun di atas single ID yang unik, dengan pengaturan tenggat kedaluwarsa hak akses akun pengguna
• Prosedur terdokumentasi untuk penambahan, perubahan, dan penghapusan hak akses ketika terjadi perpindahan pegawai
• Hak akses administrator yang ditetapkan secara eksplisit pada perangkat dan sistem, dengan batasan akses pada database, misalnya read-only bagi pengguna selain admin database
• Akses pihak ketiga dan subkontraktornya ke data bank yang sensitif atau kritikal dilacak secara aktif berdasarkan prinsip hak istimewa, dengan autentikasi yang kuat pada setiap koneksi eksternal
• Peninjauan izin akses pengguna secara berkala, yang dalam lampiran diberi contoh setiap tiga bulan
• MFA untuk akses data sensitif atau akses ke seluruh jaringan apabila diperlukan, serta memastikan penyedia cloud sudah menerapkan MFA

Dua hal perlu diluruskan. MFA muncul dalam SEOJK 29/2022 sebagai kriteria kontrol pada lampiran maturitas, dengan kualifikasi "apabila diperlukan", bukan sebagai kewajiban menyeluruh untuk setiap sistem yang menyentuh data nasabah. Selain itu, tidak ada satu pun tenggat pencabutan akses dalam kedua aturan. Pemeriksa OJK memang memperhatikan seberapa cepat karyawan yang keluar kehilangan akses, dan SLA internal 24 jam adalah jawaban yang umum, tetapi itu standar bank sendiri, bukan ketentuan yang bisa Anda kutip.

4. Pemantauan keamanan dan respons insiden

Di sinilah banyak bank Indonesia gagal memenuhi persyaratan. OJK mengharuskan pemantauan berkelanjutan terhadap sistem TI, bukan hanya firewall perimeter.

Untuk pemantauan, Anda memerlukan:

• Pengumpulan log dari sistem kritis (jaringan, server, aplikasi, basis data)
• Detailed logging yang disimpan pada log server tersentralisasi, dengan back-up dan kontrol terhadap akses atau perubahan yang tidak diotorisasi
• Deteksi anomali untuk pola akses mencurigakan dan eksfiltrasi data

Untuk respons insiden:

• Rencana penanggulangan dan pemulihan terdokumentasi yang mempertimbangkan berbagai skenario insiden siber dan selaras dengan business continuity plan, disaster recovery plan, serta crisis management plan
• Tim tanggap insiden siber dengan peran yang jelas, dipimpin pejabat dari unit siber, dan menjalankan latihan respons insiden secara rutin
• Jalur eskalasi dan pelaporan intern yang ditetapkan, termasuk pegawai yang terlibat dalam proses eskalasi
• Notifikasi awal insiden dikirim ke OJK dalam 1x24 jam sejak insiden siber diketahui
• Laporan insiden lengkap diserahkan dalam 5 hari kerja, mencakup kronologi, penilaian dampak, dan root cause analysis

Tenggat ini berasal dari Pasal 60 ayat (1) POJK 11/2022 dan diperinci SEOJK 29/SEOJK.03/2022, dan kewajiban pelaporan mencakup insiden siber secara luas: insiden yang memengaruhi sistem yang berhadapan dengan nasabah, melibatkan eksfiltrasi data, atau memicu aktivasi BCP jelas termasuk di dalamnya. Pemicunya adalah insiden yang berpotensi atau telah mengakibatkan kerugian signifikan atau mengganggu kelancaran operasional, dan hitungan waktunya mulai dari saat insiden diketahui, bukan dari saat insiden terjadi.

Satu ketentuan sering terlewat dan mengubah rencana eskalasi. Pasal 60 ayat (4) dan (5) menyatakan bila otoritas lain mewajibkan notifikasi lebih cepat, bank menyampaikannya kepada OJK pada saat yang bersamaan, dan itu dianggap memenuhi tenggat 24 jam. Bagi bank yang juga penyelenggara sistem pembayaran, PBI 2/2024 Pasal 40 mewajibkan notifikasi awal dalam 1 jam, sehingga tenggat efektif ke OJK juga menjadi 1 jam. Bila insidennya menyentuh data pribadi, tenggat UU PDP berjalan terpisah, yaitu 3x24 jam kepada subjek data dan lembaga menurut Pasal 46.

5. Uji penetrasi dan manajemen kerentanan

OJK mengharuskan pengujian formal terhadap pertahanan Anda, bukan sekadar pemindaian.

• Pengujian keamanan siber berbasis skenario minimal sekali dalam setahun, dengan laporan hasil ke OJK paling lama 10 hari kerja setelah pengujian selesai
• Pengujian berbasis analisis kerentanan yang dilakukan secara berkala, hasilnya disampaikan sebagai bagian dari laporan kondisi terkini penyelenggaraan TI
• Temuan didokumentasikan dengan peringkat risiko, dan ditindaklanjuti hingga remediasi sesuai tenggat yang ditetapkan bank
• Hasil pengujian disampaikan kepada Direksi sebagai landasan perbaikan tata kelola, kebijakan, dan pengendalian intern
• Hasil pengujian didokumentasikan dan diamankan, karena aturannya memperlakukan keluaran pengujian sebagai informasi rahasia

Pengujian boleh dilakukan sendiri oleh bank atau melalui pihak ketiga. SEOJK 29/2022 romawi VII angka 5 menyatakannya langsung: bank dapat melakukan pengujian secara mandiri atau menggunakan pihak ketiga. Aturannya tidak mewajibkan penguji eksternal, meskipun bank tanpa tim pengujian internal yang matang pada praktiknya menggunakan pihak ketiga. Bila pihak ketiga dipakai, kompetensinya dibuktikan antara lain dengan sertifikasi atau pengakuan dari lembaga yang berwenang di Indonesia atau di luar negeri, dan tanggung jawab pelaksanaannya tetap pada bank.

Tiga rincian penyampaian laporan layak dicatat, karena ketiganya sering keliru dipahami. Pertama, tenggat 10 hari kerja untuk hasil pengujian skenario dihitung dari saat laporan hasil pengujian selesai disusun, bukan dari hari terakhir aktivitas pengujian; SEOJK menyebutnya secara eksplisit. Kedua, hasil pengujian berbasis analisis kerentanan, termasuk penetration test, disampaikan sebagai kompilasi paling lama 15 hari kerja setelah akhir tahun pelaporan, bukan per pengujian. Ketiga, formatnya tidak bebas: Lampiran VI SEOJK 29/2022 memuat tabel laporan hasil pengujian berbasis skenario, dan kolom pihak yang terlibat di dalamnya secara eksplisit mencakup pihak ketiga yang dipakai bank untuk menguji.

Rincian lengkapnya, termasuk contoh perhitungan tenggat yang diberikan SEOJK sendiri, kami uraikan di isi laporan pengujian keamanan siber dan laporan insiden ke OJK. Untuk pertanyaan siapa yang boleh menguji, termasuk soal vendor luar negeri, lihat siapa yang boleh melakukan pentest bank.

Bank yang mengajukan atau memperbarui konektivitas SWIFT menghadapi persyaratan pengujian tambahan berdasarkan Customer Security Programme (CSP) SWIFT, yang diselaraskan oleh OJK.

6. Keberlangsungan bisnis dan pemulihan bencana

OJK mengharuskan bank membuktikan bahwa mereka dapat bertahan dari kegagalan TI besar, bukan sekadar mengklaimnya di atas kertas.

• Rencana Pemulihan Bencana yang benar-benar dapat dilaksanakan, sehingga operasional bank tetap berjalan saat terjadi bencana atau gangguan pada sarana TI
• Uji coba Rencana Pemulihan Bencana minimal sekali setahun terhadap seluruh aplikasi dan infrastruktur kritikal sesuai hasil business impact analysis, dengan melibatkan pengguna TI
• Kaji ulang Rencana Pemulihan Bencana minimal sekali setahun
• Sistem back-up dan Rencana Pemulihan Bencana yang teruji juga diperluas ke pengaturan dengan penyedia jasa TI
• Perencanaan penanggulangan dan pemulihan insiden siber yang menelusuri berbagai skenario insiden, termasuk ransomware

Satu koreksi yang perlu dibuat karena banyak beredar: POJK 11/2022 dan SEOJK 29/2022 tidak menetapkan angka RTO maupun RPO untuk bank, dan tidak menetapkan frekuensi latihan tabletop. Angka-angka itu berasal dari business impact analysis Anda sendiri. Sistem perbankan inti biasanya memang berada di ujung yang paling menuntut, tetapi menyodorkan RTO empat jam kepada pemeriksa sebagai kewajiban OJK berarti mengutip sesuatu yang tidak ada di sana. Hasil uji DR tetap perlu didokumentasikan dan kesenjangannya diremediasi dalam tenggat yang ditetapkan.

7. Manajemen risiko pihak ketiga dan cloud

Seiring bank-bank Indonesia semakin banyak menggunakan layanan cloud dan kemitraan fintech, persyaratan pihak ketiga semakin sulit diabaikan.

• Kebijakan dan prosedur terdokumentasi untuk penggunaan penyedia jasa TI, mencakup identifikasi kebutuhan, pemilihan penyedia, tata cara kerja sama, manajemen risiko, serta penilaian kinerja dan kepatuhan penyedia
• Kebijakan dan prosedur manajemen risiko keamanan siber tersendiri untuk pihak ketiga dan subkontraktornya, mengatur pengelolaan data bank dan data nasabah
• Perjanjian kerja sama tertulis yang memuat komitmen kerahasiaan, penyampaian hasil audit TI berkala oleh auditor independen kepada bank, persetujuan bank sebelum subkontrak, mekanisme pelaporan kejadian kritis, mekanisme penghentian perjanjian, dan kesediaan penyedia memberikan akses pemeriksaan kepada OJK
• Pengendalian memadai atas logical access ke sistem bank, serta kebijakan klasifikasi kritikalitas dan sensitivitas data yang disimpan di cloud
• Sistem Elektronik ditempatkan pada Pusat Data dan Pusat Pemulihan Bencana di wilayah Indonesia, kecuali memperoleh izin OJK untuk menempatkannya di luar negeri

Soal cloud sering disebut secara longgar. POJK 11/2022 tidak meminta notifikasi sebelum penerapan cloud. Aturannya mewajibkan Sistem Elektronik berada di Pusat Data dan Pusat Pemulihan Bencana di wilayah Indonesia sebagai default, dan penempatan di luar negeri memerlukan izin OJK dengan kriteria tertentu, yang jelas lebih berat daripada sekadar memberi tahu regulator setelahnya. Bank juga tetap bertanggung jawab atas kegiatan yang dialihdayakan, apa pun isi kontraknya.

8. Audit intern TI, dan satu-satunya kewajiban pihak ekstern

Di sini letak kewajiban yang paling sering disalahpahami. Pasal 54 ayat (4) POJK 11/2022 mewajibkan audit intern atas penyelenggaraan TI paling sedikit sekali dalam setahun, sesuai kebutuhan, prioritas, dan hasil analisis risiko. Pasal 55 ayat (1) mewajibkan adanya pedoman audit intern TI.

Kemudian Pasal 55 ayat (2): bank wajib melakukan kaji ulang terhadap fungsi audit intern atas penyelenggaraan TI paling sedikit sekali dalam tiga tahun dengan menggunakan jasa pihak ekstern yang independen, dan hasilnya disampaikan kepada OJK. Inilah satu-satunya tempat rezim ini mewajibkan pihak ekstern yang independen.

Perhatikan objeknya, karena di sinilah kekeliruan bermula. Yang dikaji ulang adalah fungsi audit intern TI bank, bukan sistem bank, dan siklusnya tiga tahun. Jadi pernyataan bahwa OJK mewajibkan pihak eksternal itu benar untuk Pasal 55 ayat (2) dan tidak benar untuk pengujian keamanan siber. Keduanya rutin tertukar, dan campurannya biasanya muncul saat seseorang menjual pekerjaan yang salah.

Sanksi ketidakpatuhan

OJK memiliki kewenangan penegakan yang nyata dan mulai menggunakannya.

Tangganya memang pendek: teguran tertulis lebih dulu, lalu satu atau lebih dari tiga eskalasi itu, yang menurut POJK 11/2022 boleh dikenakan sekaligus. Dua hal yang biasanya orang cari justru tidak ada di sana. Aturan ini tidak mengatur denda dalam bentuk uang, dan tidak mengatur pencabutan izin usaha bank. Yang dijangkaunya adalah tingkat kesehatan bank, dan faktor tata kelola yang turun akan mengikuti bank itu ke setiap percakapan pengawasan berikutnya. Itulah sebabnya sanksi ini ditanggapi lebih serius daripada kesan daftar pendeknya.

Setelah insiden BSI, OJK secara terbuka menyatakan akan meningkatkan frekuensi dan kedalaman teknis pemeriksaan TI untuk bank-bank yang memiliki kepentingan sistemik. Bank kelas menengah pun melihat lebih banyak pertanyaan pemeriksaan yang berfokus pada TI dalam siklus pengawasan terbaru.

Membangun program keamanan yang patuh: peta jalan praktis

Fase 1: penilaian kesenjangan (bulan 1-2)

Sebelum Anda dapat menutup kesenjangan, Anda perlu menemukannya. Petakan kontrol Anda saat ini terhadap persyaratan SEOJK No. 29:

• Sudahkah Anda menjalankan penilaian sendiri atas risiko inheren dan tingkat maturitas keamanan siber, serta menyampaikan tingkat risiko sibernya ke OJK? Ini kesenjangan yang paling cepat terlihat dalam pengawasan, karena OJK memang menunggu laporan itu
• Apakah inventaris aset TI Anda lengkap, terklasifikasi berdasarkan kritikalitas dan sensitivitas, serta benar-benar terkini?
• Apakah Anda punya unit yang menangani ketahanan dan keamanan siber yang independen dari fungsi pengelolaan TI, atau siber masih berada di dalam tim TI?
• Apakah Anda memiliki kebijakan terdokumentasi untuk risiko siber pihak ketiga, penanggulangan dan pemulihan insiden, serta pemulihan bencana?
• Apakah pengujian keamanan berjalan dalam kedua bentuk yang diakui aturan, dan hasilnya sampai ke OJK tepat waktu?
• Apakah log dikumpulkan secara tersentralisasi, terlindungi dari perubahan, dan dipantau?

Fase 2: fondasi tata kelola (bulan 2-4)

Jika dewan Anda tidak terlibat aktif dalam risiko TI, itulah kesenjangan pertama yang harus ditutup.

• Formalkan komite pengarah TI dengan susunan yang benar-benar diminta POJK 11/2022: diketuai seorang direktur, beranggotakan direktur yang membawahkan penyelenggara TI, direktur yang membawahkan manajemen risiko, serta pejabat tertinggi satuan kerja penyelenggara dan pengguna TI
• Bentuk unit atau fungsi yang menangani ketahanan dan keamanan siber, independen dari fungsi pengelolaan TI, dengan tugas koordinasi yang diberikan SEOJK 29/2022 kepadanya
• Pastikan kebijakan, standar, dan prosedur TI disetujui dewan dan masuk siklus kaji ulang yang ditetapkan
• Tetapkan irama pelaporan risiko siber material kepada Dewan Komisaris dan patuhi. Aturannya menyebut berkala, jadi triwulanan adalah pilihan yang bisa dipertanggungjawabkan, bukan kewajiban, dan yang penting Anda bisa membuktikan irama yang Anda pilih
• Rekrut atau tunjuk CISO dengan mandat jelas dan jalur eskalasi

Fase 3: kontrol teknis (bulan 3-9)

Urutan prioritas:

1. MFA pada akses jarak jauh dan sistem kritis: pengurangan risiko tertinggi per upaya
2. Manajemen akses privileged: inventarisasi dan pantau semua akun admin
3. Manajemen log dan SIEM: Anda tidak dapat mendeteksi atau melaporkan insiden tanpa visibilitas
4. Manajemen kerentanan: bangun siklus pindai-lacak-remediasi
5. Endpoint detection and response (EDR): penting untuk mendeteksi ransomware lebih awal

Fase 4: pengujian dan dokumentasi (berkelanjutan)

Kepatuhan bukan proyek satu kali:

• Pengujian berbasis skenario minimal sekali setahun yang dianggarkan dan dijadwalkan, dengan laporan disampaikan paling lama 10 hari kerja setelah pengujian selesai
• Siklus pengujian berbasis analisis kerentanan, termasuk penetration test, dengan frekuensi yang Anda tetapkan dari kritikalitas sistem dan perubahan yang menaikkan eksposur, hasilnya masuk laporan kondisi terkini penyelenggaraan TI
• Penilaian sendiri risiko inheren dan tingkat maturitas untuk posisi akhir Desember, disampaikan bersama tingkat risiko siber paling lama 15 hari kerja setelah akhir tahun pelaporan
• Uji DR tahunan dan kaji ulang Rencana Pemulihan Bencana tahunan, dengan paparan kepada dewan
• Latihan tabletop yang mencakup skenario ransomware dan pelanggaran data

Bagian tenggat inilah yang paling sering terlewat. Kontrolnya biasanya ada; yang gagal adalah menyampaikan hasilnya di dalam jendela waktu yang ditetapkan.

Bagaimana managed security services dapat membantu

Sebagian besar bank Indonesia, khususnya BPD dan bank umum kelas menengah, tidak memiliki kapasitas internal untuk menjalankan pemantauan keamanan berkelanjutan secara mandiri. Ini bukan kritik; memang itulah realitas sektor ini.

MSSP yang berkualifikasi dapat:

• Menyediakan cakupan SOC 24/7 untuk pemantauan log dan deteksi insiden. POJK 11/2022 Pasal 53 ayat (4) huruf a meminta "kegiatan pemantauan secara terus menerus", bukan pola penjadwalan staf tertentu, dan cakupan sepanjang hari adalah salah satu cara memenuhinya
• Melaksanakan atau mengkoordinasikan pengujian berbasis skenario tahunan dan siklus uji penetrasi Anda, dengan laporan skenario disusun mengikuti format Lampiran VI SEOJK 29/2022
• Membantu menyusun dan memelihara dokumen kebijakan (IRP, BCP, kebijakan TPRM) yang selaras dengan SEOJK No. 29
• Menghasilkan laporan siap dewan yang menunjukkan status kontrol terhadap persyaratan OJK

Pertanyaannya adalah menemukan mitra yang benar-benar memahami ekspektasi regulasi Indonesia. MSSP yang sekadar memetakan kerangka internasional ke persyaratan OJK dan berharap pemetaan itu bertahan dalam pemeriksaan adalah risiko, bukan aset.

Apa yang sebenarnya dicari pemeriksa

Dalam pemeriksaan TI OJK, pertanyaan yang sama selalu muncul:

1. Tunjukkan hasil penilaian sendiri terakhir Anda. Peringkat risiko inheren, tingkat maturitas, tingkat risiko siber yang Anda laporkan, dan dasar penalarannya. OJK menelaah semua itu dan dapat menyesuaikan peringkat yang dinilai tidak kredibel.
2. Tunjukkan register aset Anda. Mereka ingin register itu terkini, terklasifikasi berdasarkan kritikalitas dan sensitivitas, serta memiliki pemilik yang jelas.
3. Ceritakan insiden terakhir Anda. Kronologi, bukti eskalasi, dan laporan pascainsiden, diadu dengan notifikasi 24 jam dan laporan 5 hari kerja yang Anda sampaikan.
4. Kapan terakhir kali Anda melakukan uji DR? Apa yang gagal? Mereka mencari dokumentasi yang jujur, bukan laporan bersih.
5. Tunjukkan tinjauan akses untuk sistem perbankan inti Anda. Siapa yang memiliki akses admin, kapan terakhir ditinjau?
6. Apa yang terjadi dengan temuan pengujian terakhir Anda? Apakah temuan ditindaklanjuti sampai tuntas sesuai tenggat yang Anda janjikan. Karena aturannya tidak menetapkan tenggat remediasi, tenggat dalam kebijakan Anda sendirilah yang akan menjadi ukuran, dan kerentanan kritis yang lama terbuka adalah tanda bahaya.

Jika Anda tidak dapat menjawab pertanyaan-pertanyaan ini dengan cepat dan disertai dokumentasi, berarti ada kesenjangan kepatuhan, terlepas dari apa yang tertulis dalam kebijakan Anda.

Untuk panduan khusus tentang apa yang dicakup dalam pemeriksaan OJK dan cara bank mempersiapkan diri, lihat halaman audit ketahanan dan keamanan siber kami.

Langkah selanjutnya

Jika Anda tidak yakin di mana posisi bank Anda, mulailah dengan penilaian kesenjangan risiko TI yang terstruktur berdasarkan SEOJK No. 29/SEOJK.03/2022. Hasilnya adalah peta jalan kepatuhan yang diprioritaskan yang bisa Anda bawa ke dewan dan, jika diperlukan, ke pengawas OJK.

Alpha Code Technologies bekerja sama dengan bank-bank Indonesia untuk menilai, membangun, dan mengoperasikan program keamanan yang memenuhi persyaratan OJK. Untuk mendiskusikan postur keamanan bank Anda saat ini, hubungi tim kami.

Referensi

1. SEOJK No. 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum, berlaku 27 Desember 2022 (naskah lengkap). Romawi VII mengatur pengujian keamanan siber dan penyampaian hasilnya, dan Lampiran VI memuat format laporan pengujian berbasis skenario. - Otoritas Jasa Keuangan
2. POJK No. 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, Database Peraturan BPK RI. Pasal 23 sampai 27 mengatur pengujian dan sanksinya, Pasal 54 sampai 56 mengatur audit intern TI, dan Pasal 60 sampai 64 mengatur laporan insidentil serta penyampaian laporan.
3. Kelompok Ransomware LockBit Sebar 1,5 TB Data Karyawan dan Nasabah BSI - Liputan6, Mei 2023
4. Cyber Security and Resiliency for Indonesia Banking Sector - KPMG Indonesia, Januari 2023
5. OJK Sets New Cyber Security Best Practices for the Banking Industry - Assegaf Hamzah & Partners