Penetration testing untuk bank dan lembaga keuangan Indonesia

Bank di Indonesia tidak bisa menunggu pemeriksaan OJK untuk tahu apakah aplikasi internet banking atau koneksi BI-SNAP miliknya bisa dieksploitasi. SEOJK 29/2022 menjadikan pengujian itu kewajiban tetap, bukan proyek sekali jalan: sistem yang terhubung internet diuji minimal setahun sekali oleh pihak ketiga independen, sistem kritis internal diperiksa triwulanan, dan temuan diperbaiki mengikuti tenggat waktu. Halaman ini membahas apa yang harus masuk cakupan untuk sebuah bank secara spesifik, bagaimana dua bentuk pengujian yang diakui regulasi berbeda satu sama lain, dan apa yang terjadi pada laporan setelah selesai. Untuk cara kerja penetration testing secara umum, lihat halaman layanan penetration testing kami.

Mengapa penetration testing menjadi kewajiban tetap bagi bank

Pengujian keamanan berada dalam kerangka yang sama dengan program ketahanan siber bank secara keseluruhan. POJK 11/2022 memperlakukan risiko siber sebagai satu dari delapan kategori risiko yang wajib dikelola bank umum, dan SEOJK 29/2022 menerjemahkannya menjadi jadwal pengujian yang konkret, bukan praktik baik yang sifatnya opsional.

Tabel di bawah merangkum kewajiban pengujian dan remediasi menurut SEOJK 29/2022, di luar persyaratan SWIFT Customer Security Programme yang berlaku bagi bank yang terhubung SWIFT.

Dua bentuk pengujian keamanan, satu regulasi

SEOJK 29/2022 mengenal dua bentuk pengujian keamanan siber, dan ada baiknya keduanya dipisahkan alih-alih memperlakukan "pengujian" sebagai satu aktivitas tunggal. Pengujian berbasis analisis kerentanan adalah penetration test klasik: mengidentifikasi kelemahan pada cakupan tertentu lalu mencoba mengeksploitasinya. Pengujian berbasis skenario lebih mirip latihan red team, dijalankan terhadap pertahanan yang sesungguhnya untuk menguji seberapa baik bank mendeteksi, menahan, dan pulih dari insiden simulasi.

Untuk detail lengkap tentang frekuensi, cakupan, dan cara OJK memperlakukan tiap bentuk pengujian, lihat artikel kami tentang ketentuan penetration testing untuk bank Indonesia berdasarkan POJK 11/2022. Jika Anda sedang menimbang antara pemindaian kerentanan yang lebih ringan dengan pengujian penuh, halaman kami tentang vulnerability assessment vs penetration testing menjelaskan di mana masing-masing cocok digunakan.

Apa yang kami uji dan cara kami menjalankannya

Permukaan serangan sebuah bank lebih luas dari satu aplikasi web saja, sehingga penentuan cakupan harus memperhitungkan setiap kanal yang menjangkau uang atau data nasabah.

Setiap penugasan mencakup satu kali retest gratis setelah perbaikan dilakukan, karena laporan yang menyatakan "sudah diperbaiki" baru berarti sesuatu kalau ada yang memeriksanya kembali. Temuan dikategorikan berdasarkan tingkat keparahan dan dipetakan ke tenggat remediasi yang bisa dipertanggungjawabkan bank kepada OJK, dan hasilnya bisa dipresentasikan langsung kepada Komite Risiko Dewan dalam format yang diharapkan pemeriksa.

Apa yang dikatakan angka tentang sektor ini

Sistem yang tidak pernah diuji adalah cara satu celah yang bisa dieksploitasi berubah menjadi insiden sebesar kasus Bank Syariah Indonesia. Dengan hanya 12 persen organisasi Indonesia yang dinilai matang dalam kesiapan siber, pengujian tahunan yang benar-benar ditindaklanjuti adalah salah satu cara paling langsung bagi bank untuk bergerak dari titik awal itu. Untuk latar belakang regulasi di balik mandat pengujian ini, lihat artikel kami tentang persyaratan keamanan siber OJK untuk bank Indonesia.

Jika pengujian tahunan Anda akan datang dan Anda ingin cakupannya benar-benar sesuai dengan yang diminta OJK dan profil risiko Anda sendiri, tim kami dapat menyusun langkah berikutnya yang konkret.