Bank boleh menjalankan pengujian keamanan siber dengan tim internalnya, dengan perusahaan pengujian Indonesia, atau dengan vendor yang berkedudukan di luar negeri. POJK 11/2022 tidak mewajibkan penguji eksternal dan tidak menetapkan syarat kewarganegaraan bagi penyedia jasa teknologi informasi. Yang diaturnya adalah kompetensi penyedia jasa, kemampuan bank mengawasinya, dan satu klausul yang dalam praktik paling sering menggagalkan pemakaian vendor asing: kesediaan vendor memberikan akses pemeriksaan kepada OJK.
Pertanyaan ini sampai ke kami hampir selalu dalam bentuk yang tercampur, biasanya karena kewajiban penempatan sistem elektronik di dalam negeri dikira berlaku juga untuk pengujinya. Kedua hal itu diatur di bab yang berbeda dan tidak saling menggantikan.
Yang diwajibkan adalah menguji, dalam dua bentuk
Pasal 23 POJK 11/2022 mewajibkan bank melakukan pengujian keamanan siber berdasarkan analisis kerentanan dan berdasarkan skenario. Keduanya berjalan pada irama yang berbeda. Pasal 24 ayat (1) menyatakan pengujian berbasis analisis kerentanan wajib dilaksanakan secara berkala, tanpa menyebut angka, sehingga kekerapannya ditetapkan bank sendiri. Pasal 25 ayat (1) menetapkan pengujian berbasis skenario wajib dilaksanakan paling sedikit satu kali dalam satu tahun.
Tidak ada satu pun dari ketiga pasal itu yang menyebut siapa yang harus menjalankannya, dan SEOJK 29/2022 menjawabnya secara langsung di romawi VII angka 5: "Bank dapat melakukan pengujian keamanan siber secara mandiri atau menggunakan pihak ketiga." Bila pihak ketiga dipakai, bank harus memastikan pihak ketiga itu memiliki kompetensi yang memadai sesuai kebutuhan pengujian, dan tetap bertanggung jawab atas pelaksanaan pengujiannya. Jadi klaim bahwa OJK mewajibkan penguji independen untuk pengujian keamanan siber tidak benar, dan kami cukup sering melihatnya dipakai sebagai alat jual.
Satu hal yang perlu diperjelas karena sering tertukar. Penetration test masuk ke jalur pengujian berdasarkan analisis kerentanan, bukan berdasarkan skenario. SEOJK 29/2022 romawi VII angka 2 menyatakan pengujian ini diawali dengan identifikasi kerentanan yang kemudian dilanjutkan dengan penetration test, dan frekuensinya ditetapkan berdasarkan evaluasi intern bank. Penjelasan Pasal 24 ayat (1) POJK 11/2022 menyebut hal yang sama, bahwa contoh pengujian berdasarkan analisis kerentanan antara lain penetration test. Sementara itu contoh pengujian berdasarkan skenario adalah table-top exercise, cyber range exercise, social engineering exercise, dan adversarial attack simulation exercise. Artinya kewajiban minimal setahun sekali di Pasal 25 ayat (1) melekat pada latihan skenario, bukan pada pentest.
Meski begitu, pentest bukan sesuatu yang opsional bagi semua bank. Romawi VII angka 2 menutup bagian itu dengan kalimat tegas: pengujian ini harus dilakukan oleh bank yang menyelenggarakan layanan perbankan digital atau layanan lain yang beroperasi secara daring.
Begitu Anda memakai pihak ketiga, BAB VI berlaku
Menunjuk penyedia jasa memindahkan Anda ke wilayah aturan yang lain. Pasal 29 ayat (1) mengizinkan bank menggunakan pihak penyedia jasa TI. Ayat (2) di pasal yang sama mewajibkan bank memiliki kemampuan melakukan pengawasan atas pelaksanaan kegiatan bank yang diselenggarakan penyedia jasa itu. Kalimat itu penting dibaca dengan tenang: bank harus mampu mengawasi, bukan sekadar menerima laporan. Bank yang tidak punya seorang pun yang bisa membaca temuan pengujian secara kritis belum memenuhi ayat itu, meski laporannya lengkap.
Pasal 29 ayat (3) mewajibkan kebijakan dan prosedur yang memuat proses identifikasi kebutuhan, pemilihan penyedia jasa, tata cara hubungan kerja sama, manajemen risiko penggunaannya, serta penilaian kinerja dan kepatuhannya. Pasal 30 kemudian mengisi masing-masing bagian itu. Untuk pemilihan, ayat (2) meminta bank memperhatikan kualifikasi dan kompetensi penyedia jasa termasuk sumber daya manusia yang dimilikinya, analisis biaya dan manfaat yang mengikutsertakan satuan kerja TI bank, prinsip kehati-hatian dan manajemen risiko, serta prinsip hubungan kerja sama yang wajar bila penyedia jasa itu pihak terkait.
Pertanyaan vendor luar negeri, dijawab persis
Pasal 30 ayat (3) mengatur muatan perjanjian kerja sama, dan huruf i adalah butir yang paling menentukan untuk vendor asing: kesediaan penyedia jasa memberikan akses kepada Otoritas Jasa Keuangan dan pihak lain yang berwenang untuk melakukan pemeriksaan terhadap kegiatan penyediaan jasa yang diberikan. Perusahaan pengujian yang tidak mau menandatangani klausul itu tidak bisa dipakai, dan tempat kedudukannya tidak mengubah apa pun. Sebaliknya, vendor asing yang menerima klausul itu secara tertulis tidak melanggar apa pun hanya karena berada di luar Indonesia.
Dua butir lain di ayat yang sama sering menjadi masalah nyata dengan vendor pengujian. Huruf d mewajibkan pengalihan sebagian kegiatan atau subkontrak dilakukan atas persetujuan bank yang dibuktikan dengan dokumen tertulis, dan banyak perusahaan pentest memakai penguji lepas untuk beban puncak. Huruf c mewajibkan komitmen penyedia jasa menyampaikan hasil audit TI berkala yang dilakukan auditor independen atas penyediaan jasanya, yang berbeda dari laporan pengujian yang Anda beli.
Penempatan sistem dan lokasi penguji adalah dua hal berbeda
Kewajiban di dalam negeri yang sering dikutip ada di Pasal 35, di bab tentang penempatan sistem elektronik. Ayat (1) mewajibkan bank menempatkan sistem elektronik pada pusat data dan pusat pemulihan bencana di wilayah Indonesia. Ayat (2) mengizinkan penempatan di luar wilayah Indonesia sepanjang memperoleh izin dari OJK, dan ayat (3) membatasi izin itu pada enam kriteria, di antaranya sistem untuk manajemen risiko terintegrasi dengan kantor pusat di luar negeri, penerapan anti pencucian uang secara terintegrasi, layanan nasabah global yang memerlukan integrasi dengan sistem grup, dan manajemen intern bank.
Tidak ada bagian dari Pasal 35 yang berbicara tentang siapa yang boleh menguji sistem itu. Yang diaturnya adalah di mana sistemnya berada. Konsekuensi praktisnya justru terbalik dari dugaan umum: karena sistem produksi Anda hampir selalu berada di Indonesia, penguji dari luar negeri mengakses sistem yang tetap ada di dalam negeri, dan pertanyaan yang perlu dijawab adalah tentang kendali akses dan penanganan data temuan, bukan tentang paspor pengujinya.
Di mana OJK memang mewajibkan pihak ekstern yang independen
Keyakinan bahwa bank wajib memakai penyedia eksternal bukan muncul dari kekosongan. POJK 11/2022 memang memuat kewajiban memakai pihak ekstern yang independen, tetapi untuk hal yang berbeda. Pasal 55 ayat (2) mewajibkan bank melakukan kaji ulang terhadap fungsi audit intern atas penyelenggaraan TI paling sedikit satu kali dalam tiga tahun dengan menggunakan jasa pihak ekstern yang independen, dan Pasal 55 ayat (3) huruf a mewajibkan hasil kaji ulang itu disampaikan kepada OJK.
Perhatikan objeknya. Yang dikaji ulang pihak ekstern adalah fungsi audit intern TI bank, bukan sistem bank, dan itu penilaian atas mutu fungsi audit, bukan pengujian keamanan. Kewajiban itu juga berjalan pada siklus tiga tahun, bukan tahunan. Jadi ketika seseorang mengatakan OJK mewajibkan pihak eksternal, kalimat itu benar untuk Pasal 55 ayat (2) dan tidak benar untuk pengujian keamanan siber di Pasal 23 sampai 25. Dua kewajiban ini kerap tercampur, dan campurannya biasanya dipakai untuk menjual pekerjaan yang salah.
Di mana sertifikasi seperti OSCP sesungguhnya berperan
Tidak ada peraturan OJK yang menyebut OSCP, CREST, atau sertifikasi tertentu mana pun. Yang ada lebih umum dari itu, dan justru lebih berguna. SEOJK 29/2022 romawi VII angka 5 menutup bagiannya dengan kalimat bahwa kompetensi pihak ketiga dibuktikan antara lain dengan adanya sertifikasi dan/atau pengakuan dari lembaga yang berwenang di Indonesia atau di luar negeri. Dua hal mengikuti dari satu kalimat itu. Sertifikasi memang diakui sebagai alat bukti kompetensi, dan pengakuan dari lembaga di luar negeri berlaku setara dengan pengakuan dari lembaga Indonesia, yang menutup keraguan tentang penyedia dan sertifikasi asing. Pasal 30 ayat (2) huruf a POJK 11/2022 melengkapinya dengan kualifikasi dan kompetensi, termasuk sumber daya manusia yang dimiliki penyedia jasa. Karena kalimatnya berbunyi "antara lain", sertifikasi bukan satu-satunya cara. Riwayat pengujian di sektor yang sama, contoh laporan yang disunting, dan nama penguji yang benar-benar akan mengerjakan pekerjaan itu biasanya lebih meyakinkan daripada daftar sertifikat tanpa nama.
Sanksi jika pengujian tidak dilakukan
Pasal 27 ayat (1) menetapkan sanksi administratif berupa teguran tertulis bagi bank yang melanggar antara lain Pasal 23, Pasal 24, dan Pasal 25 ayat (1). Bila setelah teguran itu ketentuannya tetap tidak dipenuhi, ayat (2) menaikkannya menjadi larangan menerbitkan produk bank baru, pembekuan kegiatan usaha tertentu, dan atau penurunan penilaian faktor tata kelola dalam penilaian tingkat kesehatan bank. Tidak ada denda dalam pasal itu.
Untuk cakupan, metode, dan isi laporan pengujian aplikasi, lihat pentest website dan aplikasi. Untuk perencanaan jadwal, lihat berapa lama penetration testing berlangsung, dan untuk gambaran kewajiban pengujian bank secara keseluruhan, persyaratan pentest untuk bank Indonesia.
Referensi
- Peraturan OJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, Database Peraturan BPK RI. Pasal 23 sampai 27 mengatur pengujian keamanan siber dan sanksinya, Pasal 29 sampai 32 mengatur penggunaan pihak penyedia jasa TI, dan Pasal 35 mengatur penempatan sistem elektronik.
- SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum, OJK, berlaku 27 Desember 2022 (naskah lengkap). Romawi VII angka 2 menempatkan penetration test pada jalur analisis kerentanan dan mewajibkannya bagi bank dengan layanan daring, angka 5 menyatakan pengujian dapat dilakukan mandiri atau melalui pihak ketiga serta cara membuktikan kompetensinya.