Managed SOC untuk bank dan lembaga keuangan Indonesia

Bank di Indonesia tidak bisa memilih kapan diserang. Core banking berjalan semalaman, ATM dan QRIS tidak pernah tutup, dan OJK menuntut bank menyadari adanya insiden siber lalu mulai melaporkannya pada tenggat yang tetap. Security operations center adalah fungsi yang mengawasi insiden itu sepanjang waktu. Sebagian besar lembaga di bawah bank tier-1 terbesar tidak sanggup mengoperasikannya sendiri, dan di situlah managed SOC masuk.

Halaman ini membahas pengoperasian SOC untuk bank Indonesia secara spesifik: ancaman yang menjangkau sistem keuangan, aturan OJK dan Bank Indonesia yang menentukan iramanya, serta apa yang benar-benar kami pantau. Untuk penjelasan umum tentang cara kerja SOC, lihat halaman layanan SOC-as-a-Service kami.

Mengapa bank membutuhkan managed SOC

Sistem keuangan diserang karena di situlah uang dan data nasabah berada. Profil ancaman yang menjangkau bank Indonesia lebih sempit dan lebih spesifik daripada daftar umum, dan profil itulah yang menentukan apa yang harus diawasi SOC.

Di atas ancaman itu, regulator menentukan iramanya. POJK 11/2022 memperlakukan risiko siber sebagai salah satu dari delapan kategori risiko yang wajib dikelola bank umum, dan SEOJK 29/2022 menerjemahkannya menjadi kewajiban konkret: pemantauan berkelanjutan atas sistem kritis, pengumpulan log dengan retensi minimal lima tahun, rencana respons insiden yang diuji, dan pelaporan insiden ke OJK pada lini waktu yang ketat. Di sisi pembayaran, PBI 23/6/2021 mewajibkan pemantauan transaksi dan deteksi penipuan di QRIS, BI-FAST, dan transfer dana elektronik. UU PDP menambahkan kewajiban notifikasi pelanggaran dalam 72 jam ketika data pribadi nasabah terlibat. Managed SOC adalah lapisan operasional yang membuat bagian pemantauan, deteksi, dan pelaporan dari aturan-aturan itu menjadi nyata, bukan sekadar kebijakan tertulis.

Tabel di bawah memetakan kewajiban terkait pemantauan ke apa yang sebenarnya dilakukan SOC. Tata kelola, daftar aset, dan risiko pihak ketiga adalah domain kontrol terpisah yang ditangani oleh pekerjaan GRC dan kepatuhan kami, bukan SOC.

Cara kami menjalankannya untuk bank

SOC keuangan ditentukan oleh apa yang bisa dilihatnya. Telemetri endpoint saja tidak cukup ketika nilai berada di sistem transaksi, jadi kami mengumpulkan dan mengorelasikan log dari seluruh estate perbankan, bukan satu lapisan saja.

Tujuan menyatukan semua ini adalah korelasi. Satu transaksi mencurigakan di log core banking bisa tampak biasa jika berdiri sendiri, tetapi ketika dibaca bersama login istimewa yang tidak lazim dan lalu lintas keluar ke tujuan asing, ia menjadi insiden yang layak dieskalasi. Analis kami berbasis di Indonesia dan menangani use case perbankan, sehingga triase disetel ke pola sektor keuangan alih-alih aturan generik. Layanan berjalan dalam empat fase berkelanjutan.

Tenggat pelaporan adalah bagian yang paling sulit diimprovisasi, jadi SOC dibangun di sekelilingnya. SEOJK 29/2022 menjalankan dua jendela waktu sejak insiden ditemukan: satu jendela pendek untuk notifikasi awal dan satu lagi untuk laporan lengkap. Deteksi dan triase harus cukup cepat untuk memulai jendela pertama, dan catatan investigasi harus cukup lengkap untuk mengisi jendela kedua.

Ketika insiden tereskalasi melampaui penahanan, layanan respons insiden kami mengambil alih investigasi forensik yang lebih dalam dan pemulihan, sementara bank tetap memegang hubungan dengan OJK dan keputusan kelangsungan usaha. Untuk gambaran lengkap yang harus dipenuhi bank umum di bawah kedua regulasi, lihat halaman kami tentang kepatuhan keamanan siber bank umum menurut POJK 11/2022 dan SEOJK 29/2022. Bank perkreditan rakyat mengikuti kerangka terpisah yang dibahas di halaman kepatuhan BPR menurut POJK 34/2025.

Apa yang dikatakan angka tentang sektor ini

Kasus Bank Syariah Indonesia adalah rujukan yang dipakai banyak bank Indonesia secara internal: satu serangan ransomware yang mengganggu layanan sekitar dua minggu dan mendorong OJK memperketat panduan pelaporan insiden di seluruh sektor. Biaya pelanggaran ASEAN dan rendahnya tingkat kesiapan siber menjelaskan mengapa pemantauan berkelanjutan kini diperlakukan sebagai kontrol dasar, bukan peningkatan tambahan. Untuk pembacaan lebih dalam tentang persyaratan OJK di balik semua ini, lihat artikel kami tentang persyaratan keamanan siber OJK untuk bank Indonesia.

Jika Anda ingin memahami apa yang akan dicakup managed SOC bagi lembaga Anda dan bagaimana pemetaannya ke kewajiban OJK Anda, tim kami dapat menyusun langkah pertama yang konkret.