Audit ketahanan dan keamanan siber: apa yang diperiksa regulator

Audit ketahanan dan keamanan siber mencakup dua hal: siklus pelaporan tahunan yang dijalankan bank kepada OJK, dan pemeriksaan langsung yang dapat dilakukan OJK kapan saja. Kedua mekanisme ini bersumber dari POJK No. 11/POJK.03/2022 dan SEOJK No. 29/SEOJK.03/2022, dua instrumen yang bersama-sama membentuk kerangka pengawasan teknologi informasi bagi bank umum Indonesia. Halaman ini menjelaskan apa yang dicakup dalam pemeriksaan tersebut, bukti yang biasanya diminta pemeriksa, tenggat pelaporan yang berlaku, dan bagaimana Alpha Code membantu bank mempersiapkan diri.

Halaman ini juga berfungsi sebagai titik masuk bagi bank dan penyelenggara pembayaran yang ingin memahami kerangka mana yang berlaku untuk institusi mereka. Untuk pembahasan mendalam tentang semua kewajiban dan jalur kepatuhan, lihat halaman masing-masing kerangka yang sesuai.

Kerangka pengawasan per jenis institusi

Tiga kerangka regulasi yang berbeda mengatur ketahanan dan keamanan siber di sektor keuangan Indonesia, masing-masing dengan regulator dan instrumen tersendiri.

Bank umum beroperasi di bawah POJK 11/2022 dan SEOJK 29/2022. Kedua instrumen ini membentuk siklus penilaian tahunan, mewajibkan pengujian keamanan secara berkala, dan menetapkan tenggat pelaporan insiden kepada OJK. Panduan lengkap tentang kewajiban dan jalur kepatuhan untuk bank umum tersedia di halaman kepatuhan keamanan siber bank umum OJK.

Bank Perekonomian Rakyat (BPR) dan BPRS tunduk pada POJK 34/2025, yang berlaku efektif 18 Desember 2026. Kewajiban ketahanan sibernya dikalibrasi sesuai skala dan model bisnis BPR, berbeda dari persyaratan yang berlaku untuk bank umum. Selengkapnya di halaman kepatuhan TI dan keamanan siber BPR berdasarkan POJK 34/2025.

Penyelenggara sistem pembayaran diawasi Bank Indonesia berdasarkan PBI 2/2024. Pemeriksaan BI dan OJK, meskipun berkaitan di beberapa titik, tetap terpisah dan menilai hal yang berbeda. Panduan untuk penyelenggara sistem pembayaran tersedia di halaman kepatuhan ketahanan siber penyelenggara sistem pembayaran PBI 2/2024.

Selebihnya halaman ini berfokus pada pemeriksaan yang dilakukan OJK terhadap bank umum berdasarkan POJK 11/2022 dan SEOJK 29/2022.

Bagaimana OJK menjalankan pemeriksaan

Pemeriksaan OJK terhadap ketahanan dan keamanan siber bukan prosedur tunggal. Ia terdiri dari laporan rutin yang disampaikan bank ke OJK setiap tahun, dan pemeriksaan langsung yang dapat dijadwalkan OJK terpisah dari siklus itu.

Siklus rutin dimulai dari penilaian sendiri. Setiap tahun, untuk posisi akhir Desember, bank menilai sendiri risiko inheren keamanan sibernya berdasarkan empat faktor: teknologi, produk bank, karakteristik organisasi, dan rekam jejak insiden siber. Hasilnya berupa peringkat 1 (rendah) sampai 5 (tinggi). Penilaian tingkat maturitas dilakukan bersamaan, menilai kualitas penerapan manajemen risiko keamanan siber dan proses ketahanan siber. Kedua penilaian digabung menjadi tingkat risiko siber yang juga berperingkat 1 sampai 5.

Laporan kondisi terkini penyelenggaraan TI, yang memuat hasil penilaian tersebut, dikirim ke OJK paling lama 15 hari kerja setelah akhir tahun pelaporan, menggunakan format Lampiran V SEOJK 29/2022. OJK menelaah laporan itu dan, bila menilai peringkat tidak mencerminkan kondisi bank yang sebenarnya, OJK dapat menyesuaikan sendiri peringkat tersebut.

Di luar siklus tahunan, bank menyampaikan hasil pengujian keamanan berbasis skenario kepada OJK paling lama 10 hari kerja setelah pengujian selesai, mengikuti format Lampiran VI. Perlu dicatat bahwa SEOJK mendefinisikan selesainya pengujian sebagai saat laporan hasil pengujian selesai disusun, bukan hari terakhir aktivitas pengujian. Ketika insiden terjadi, ada dua tenggat tambahan: notifikasi awal ke OJK dalam 1x24 jam dan laporan insiden lengkap dalam 5 hari kerja.

Ruang lingkup pemeriksaan

SEOJK 29/2022 memiliki sepuluh bagian yang membentuk kerangka pemeriksaan OJK. Dalam praktik pemeriksaan TI, pemeriksa menelusuri empat area utama yang mencakup keseluruhan siklus tersebut.

Bukti yang paling sering diminta

Pemeriksa OJK umumnya memulai dengan pertanyaan yang sama: tunjukkan hasil penilaian sendiri terakhir Anda. Itu mencakup peringkat risiko inheren, tingkat maturitas, dan tingkat risiko siber, serta penalaran di baliknya. OJK memiliki kewenangan menyesuaikan peringkat yang dinilai tidak mencerminkan kondisi bank, jadi bank yang tidak bisa menjelaskan dasar penilaiannya dengan baik berisiko mendapat penyesuaian dari OJK.

Register aset TI perlu terkini, terklasifikasi berdasarkan kritikalitas dan sensitivitas, dan memiliki pemilik yang jelas. Register yang terakhir diperbarui setahun lalu sendiri sudah menjadi temuan.

Rekam jejak insiden ditelusuri dari dua arah. Pertama, kronologi dari sisi teknis. Kedua, kapan notifikasi dan laporan dikirimkan ke OJK. Pemeriksa membandingkan keduanya untuk memastikan tenggat pelaporan dipenuhi, bukan hanya didokumentasikan dalam kebijakan.

Hasil pengujian keamanan diperiksa bersama bukti tindak lanjutnya. Aturannya tidak menetapkan tenggat remediasi secara eksplisit, sehingga SLA internal bank yang akan menjadi ukuran. Temuan kritis yang dibiarkan terbuka lama, bahkan jika tidak ada kewajiban tertulis tentang tenggat, cenderung menjadi catatan pemeriksa.

Terakhir, struktur unit siber perlu menunjukkan independensi yang nyata dari fungsi pengelolaan TI. Ini bukan soal nama unit yang berbeda di bagan organisasi; strukturnya harus memisahkan fungsi itu secara sesungguhnya. Unit yang melapor ke direktur yang sama dengan kepala TI operasional akan mendapat pertanyaan lebih lanjut.

Independensi dalam pengujian dan tata kelola

Ada dua soal independensi yang kerap tercampur di sini, dan hanya satu di antaranya merupakan kewajiban.

Yang pertama adalah independensi unit atau fungsi yang menangani ketahanan dan keamanan siber dari fungsi pengelolaan TI. Fungsi pengelolaan TI yang dimaksud adalah aktivitas perencanaan, pengembangan, pengoperasian, dan pemantauan TI. Unit siber tidak boleh berada dalam satu kesatuan komando dengan aktivitas-aktivitas itu.

Yang kedua bukan kewajiban, meski sering disampaikan seolah-olah begitu, yaitu independensi pelaksana pengujian keamanan. Pengujian berbasis skenario maupun berbasis analisis kerentanan boleh dilakukan tim internal bank atau pihak ketiga. Bila menggunakan pihak ketiga, bank harus memastikan penyedia memiliki kompetensi yang memadai, misalnya dibuktikan dengan sertifikasi dari lembaga berwenang, dan bank tetap bertanggung jawab atas pelaksanaan pengujian. Hasil pengujian disampaikan kepada Direksi sebagai dasar perbaikan tata kelola, kebijakan, dan pengendalian intern, bukan sekadar disimpan sebagai dokumen teknis.

SEOJK 29/2022 juga memberikan satu contoh angka periodik yang patut dicatat: peninjauan izin akses pengguna diberi contoh setiap tiga bulan dalam lampiran. Contoh itu berlaku spesifik untuk peninjauan akses pengguna, dan tidak berlaku untuk pelaporan ke dewan, peninjauan akun privileged, atau pengujian kerentanan.

Audit intern TI, kewajiban yang terpisah dari pemeriksaan OJK

Sejauh ini halaman ini membahas pengawasan yang dijalankan OJK. Ada kewajiban audit yang berbeda dan berdiri sendiri, yaitu audit yang harus dijalankan bank atas dirinya, dan letaknya bukan di Bab V melainkan di Bab X POJK 11/2022 tentang pengendalian dan audit intern dalam penyelenggaraan TI.

Pasal 54 ayat (4) mewajibkan bank melaksanakan audit intern atas penyelenggaraan TI sesuai kebutuhan, prioritas, dan hasil analisis risiko, paling sedikit satu kali dalam satu tahun. Pasal 54 ayat (2) mewajibkan tersedianya jejak audit atas seluruh kegiatan penyelenggaraan TI, untuk keperluan pengawasan, penegakan hukum, penyelesaian sengketa, verifikasi, pengujian, dan pemeriksaan lain. Pasal 55 ayat (1) mewajibkan adanya pedoman audit intern atas penyelenggaraan TI.

Kemudian Pasal 55 ayat (2), yang paling sering disalahpahami di seluruh rezim ini: bank wajib melakukan kaji ulang terhadap fungsi audit intern atas penyelenggaraan TI paling sedikit satu kali dalam tiga tahun dengan menggunakan jasa pihak ekstern yang independen. Hasilnya disampaikan kepada OJK berdasarkan Pasal 55 ayat (3) huruf a.

Inilah satu-satunya tempat rezim ini mewajibkan pihak ekstern yang independen, dan objeknya perlu dibaca dengan tepat. Yang dikaji ulang adalah fungsi audit intern TI bank, bukan sistem banknya, sehingga ini penilaian atas mutu fungsi audit dan bukan pengujian keamanan. Siklusnya tiga tahun, bukan tahunan. Jadi pernyataan bahwa OJK mewajibkan pihak eksternal itu benar untuk Pasal 55 ayat (2) dan tidak benar untuk pengujian keamanan siber. Bila ada yang menawarkan penetration testing dengan dasar Pasal 55, dasarnya salah.

Pasal 56 menempatkan pelanggaran Pasal 54 ayat (2), ayat (4), dan Pasal 55 pada pola sanksi yang sama seperti kewajiban lainnya, dimulai dari teguran tertulis.

Cara Alpha Code membantu

Mempersiapkan bank untuk pemeriksaan OJK dimulai dengan memahami posisi saat ini. Kami memulai dengan gap assessment yang memetakan kondisi tata kelola, pengujian, pelaporan, dan struktur unit siber terhadap kewajiban spesifik SEOJK 29/2022. Hasilnya membedakan kewajiban yang sudah terpenuhi, yang sebagian ada, dan yang belum ada sama sekali, sehingga pengurus dapat memprioritaskan pekerjaan.

Untuk bukti pengujian, layanan penetration testing kami menyediakan pengujian oleh tim independen dengan laporan dalam format yang sesuai ekspektasi pemeriksa OJK, termasuk kategorisasi risiko dan rekomendasi remediasi. Ketika insiden terjadi, layanan respons insiden kami membantu bank menyusun notifikasi dan laporan dalam tenggat OJK yang ketat.

Layanan SOC-as-a-Service kami menyediakan pemantauan log berkelanjutan dan pengumpulan log terpusat yang mendukung persyaratan deteksi SEOJK 29/2022. Konsultasi GRC kami membantu membangun struktur unit siber yang independen, menyusun kebijakan manajemen risiko pihak ketiga, dan menyiapkan dokumentasi yang diharapkan pemeriksa, termasuk template self-assessment dan instrumen penilaian maturitas.

Langkah berikutnya

Pemeriksaan TI OJK dapat datang kapan saja, tidak terikat siklus tahunan. Bank yang belum menyelesaikan self-assessment terbaru, yang register aset TI-nya belum diperbarui dalam setahun, atau yang belum menguji prosedur pelaporan insiden lebih berisiko mendapat temuan yang berdampak pada penilaian tingkat kesehatan. Jika Anda ingin memahami seberapa siap bank Anda menghadapi pemeriksaan ini, tim kami siap membantu.