Kepatuhan keamanan siber bank umum: POJK 11/2022 dan SEOJK 29/2022

Bank umum Indonesia menangani simpanan, kredit, dan transfer yang memengaruhi puluhan juta nasabah setiap hari. Ketika sistem inti, aplikasi mobile banking, dan koneksi ke infrastruktur pembayaran menjadi tulang punggung layanan, gangguan pada teknologi langsung terasa oleh nasabah, bukan hanya oleh tim TI. OJK merespons realitas ini dengan menerbitkan POJK 11/2022, lalu mempertegas ketentuan teknisnya melalui SEOJK 29/2022.

Dua instrumen ini membentuk kerangka ketahanan siber yang berlaku bagi semua bank umum berizin OJK. Halaman ini menjelaskan kewajiban konkret yang dimuat keduanya dan bagaimana layanan Alpha Code membantu bank memenuhinya. Untuk pembahasan teknis yang lebih dalam, lihat artikel kami tentang persyaratan keamanan siber OJK untuk bank dan ketentuan pentest bagi bank Indonesia berdasarkan POJK 11/2022.

Halaman ini berfokus khusus pada bank umum. Untuk gambaran yang lebih luas tentang kepatuhan dan GRC di sektor BFSI Indonesia, termasuk bagaimana bank umum dibandingkan dengan BPR, perusahaan asuransi, dan penyelenggara pembayaran, lihat kepatuhan dan GRC untuk BFSI.

Siapa yang wajib memenuhi ketentuan ini

POJK 11/2022 dan SEOJK 29/2022 berlaku bagi bank umum yang beroperasi di bawah izin OJK, termasuk bank konvensional, bank syariah, bank asing yang beroperasi di Indonesia, dan bank pembangunan daerah (BPD). Keduanya tidak berlaku untuk BPR dan BPRS yang tunduk pada kerangka terpisah di bawah POJK 34/2025, dan juga tidak untuk penyelenggara sistem pembayaran yang diawasi Bank Indonesia di bawah PBI 2/2024.

Bagi bank umum yang juga menjalankan layanan pembayaran atau produk lain yang berizin Bank Indonesia, ada kemungkinan kedua rezim regulasi berlaku sekaligus. Dalam situasi itu, memetakan kewajiban tiap regulator secara terpisah adalah langkah awal yang penting. Terminologi seperti "keamanan informasi" dan "ketahanan siber" muncul di kedua sisi dengan konteks dan ekspektasi kontrol yang sedikit berbeda, sehingga pemetaan yang cermat lebih aman daripada asumsi bahwa satu program kepatuhan sudah cukup untuk dua regulator.

Bagaimana SEOJK 29/2022 disusun

SEOJK 29/2022 adalah ketentuan pelaksana dari Bab V POJK 11/2022, dan isinya terbagi ke dalam sepuluh bagian. Alih-alih daftar kontrol yang datar, aturan ini membangun siklus penilaian tahunan di sekitar sejumlah kewajiban proses. Siklus itu yang perlu dipahami lebih dulu, karena itulah yang dilaporkan bank ke OJK setiap tahun dan yang ditelaah OJK.

Siklusnya dimulai dari risiko inheren keamanan siber. Bank menilai sendiri risiko inherennya berdasarkan empat faktor: teknologi, produk bank, karakteristik organisasi, dan rekam jejak insiden siber. Hasilnya berupa peringkat 1 (low) sampai 5 (high) untuk posisi akhir Desember, disampaikan ke OJK paling lama 15 hari kerja setelah akhir tahun pelaporan. OJK menelaah hasil tersebut, dan bila menilai peringkatnya tidak mencerminkan kondisi bank yang sebenarnya, OJK dapat menyesuaikan sendiri hasil penilaian itu.

Separuh lainnya adalah penilaian tingkat maturitas, yang menilai kualitas dua hal. Pertama, penerapan manajemen risiko keamanan siber: tata kelola risiko yang mencakup pengawasan aktif Direksi dan Dewan Komisaris serta penetapan risk appetite dan risk tolerance, kerangka manajemen risiko, proses manajemen risiko beserta kecukupan SDM dan sistem informasi manajemen risiko, dan sistem pengendalian risiko. Kedua, kualitas penerapan proses ketahanan siber. Risiko inheren dan maturitas digabung menjadi tingkat risiko keamanan siber bank, juga berperingkat 1 sampai 5, juga dilaporkan ke OJK dan juga bisa disesuaikan OJK.

Proses ketahanan siber adalah tempat kontrol teknis berada, dengan empat tahap: identifikasi aset, ancaman, dan kerentanan; pelindungan aset; deteksi insiden siber; serta penanggulangan dan pemulihan insiden siber. Tahap identifikasi mencakup inventarisasi dan penilaian aset TI, pencatatan konfigurasi, serta pengujian keamanan siber berkala. Tahap pelindungan mencakup pengendalian keamanan yang komprehensif, manajemen keamanan data dan informasi, pelindungan jaringan, perangkat keras dan perangkat lunak, pelindungan akses dan pengguna, pengamanan dalam kerja sama dengan penyedia jasa TI termasuk cloud, secure coding, dan patching. Tahap deteksi mencakup dokumentasi kinerja dasar atas fungsi kritis, pemantauan aktivitas mencurigakan, dan deteksi kerentanan secara berkelanjutan. Tahap penanggulangan dan pemulihan mencakup rencana penanggulangan, peran tim tanggap insiden siber, jalur eskalasi dan pelaporan, serta analisis pascainsiden.

Aturan ini kemudian mewajibkan rumah organisasi untuk semuanya. Bank wajib membentuk unit atau fungsi yang menangani ketahanan dan keamanan siber, dan unit itu harus independen terhadap fungsi pengelolaan TI, yaitu aktivitas perencanaan, pengembangan, pengoperasian, dan pemantauan TI. Unit tersebut mengoordinasikan proses ketahanan siber, kedua penilaian sendiri, penetapan tingkat risiko siber, pengujian keamanan siber, dan tim tanggap insiden siber.

Tenggat pelaporan insiden ke OJK

Salah satu aspek paling konkret dari SEOJK 29/2022 adalah kewajiban pelaporan insiden yang berjalan dengan dua tenggat: satu yang sangat pendek untuk notifikasi awal, dan satu lagi untuk laporan lengkap. Ini bukan prosedur yang bisa dibuat saat insiden sudah terjadi. Prosedur, jalur eskalasi, dan kemampuan menyusun laporan harus sudah ada sebelumnya.

Diagram berikut menunjukkan dua jendela pelaporan tersebut. Skala waktu dikompresi agar kedua tenggat terlihat jelas dalam satu tampilan.

Notifikasi awal disampaikan secara tertulis melalui sarana elektronik, seperti email, dalam 1x24 jam sejak insiden siber diketahui. Tenggat itu terasa sangat ketat ketika tim sedang berfokus pada penanganan teknis, itulah mengapa prosedur pelaporan harus siap sebelum ada insiden. Laporan insiden siber lengkap menyusul dalam 5 hari kerja, mencakup informasi pelapor, penilaian dampak, kronologi kejadian, root cause analysis, dan penilaian akhir. Kewajiban pelaporan ini mencakup insiden siber secara luas: insiden yang memengaruhi sistem yang berhadapan dengan nasabah, melibatkan eksfiltrasi data, atau memicu aktivasi BCP jelas termasuk di dalamnya.

OJK memandang kemampuan melaporkan dengan akurat dan tepat waktu sebagai bukti bahwa manajemen insiden benar-benar berjalan, bukan sekadar tertulis di dalam kebijakan.

Jadwal pengujian yang dimandatkan

Pengujian keamanan bukan pilihan di bawah SEOJK 29/2022, dan bentuknya ada dua. Pengujian berbasis skenario memvalidasi cara bank menanggulangi dan memulihkan diri dari insiden, termasuk rencana komunikasinya, dan wajib dilakukan minimal sekali setahun. Bentuknya bisa berupa table-top exercise, cyber range exercise, social engineering exercise, atau adversarial attack simulation, dan hasilnya disampaikan ke OJK paling lama 10 hari kerja setelah pengujian selesai.

Bentuk kedua adalah pengujian berbasis analisis kerentanan. Pengujian ini diawali identifikasi kerentanan lalu dilanjutkan penetration test, dan frekuensinya ditentukan evaluasi intern bank atas tingkat kritikalitas sistem serta perubahan yang menaikkan eksposur risiko siber, bukan oleh kalender tetap. Bank yang menyelenggarakan layanan perbankan digital atau layanan daring lain harus melakukannya. Hasilnya disampaikan ke OJK sebagai bagian dari laporan kondisi terkini penyelenggaraan TI, paling lama 15 hari kerja setelah akhir tahun pelaporan.

Kedua bentuk pengujian boleh dilakukan tim internal bank maupun pihak ketiga. Bila menggunakan pihak ketiga, bank harus memastikan penyedianya memiliki kompetensi yang memadai, dibuktikan antara lain dengan sertifikasi atau pengakuan dari lembaga berwenang di dalam maupun luar negeri, dan bank tetap bertanggung jawab atas pelaksanaan pengujian. Hasil pengujian disampaikan kepada Direksi sebagai dasar perbaikan tata kelola, kebijakan, dan pengendalian intern, bukan hanya disimpan sebagai dokumen teknis. Bank yang mengajukan atau memperbarui konektivitas SWIFT menghadapi lapisan pengujian tambahan berdasarkan Customer Security Programme (CSP) SWIFT yang diselaraskan oleh OJK.

Untuk panduan teknis lebih rinci tentang ketentuan pentest bagi bank, lihat artikel kami tentang ketentuan penetration testing berdasarkan POJK 11/2022.

Jalur menuju kepatuhan

Tidak ada urutan tunggal yang berlaku untuk semua bank karena titik awal tiap bank berbeda. Namun pola yang paling umum berhasil dimulai dari pemahaman posisi saat ini, kemudian perbaikan tata kelola dan kontrol teknis, diikuti dengan membangun kemampuan pengujian dan pelaporan yang berjalan terus.

1. 1

   Penilaian kesenjangan

   Petakan kontrol, kebijakan, dan prosedur yang ada terhadap sepuluh bagian SEOJK 29/2022. Jalankan penilaian risiko inheren dan maturitas untuk menemukan di mana celah sebenarnya berada.

2. 2

   Penguatan tata kelola dan kontrol teknis

   Tetapkan pengawasan risiko siber di tingkat dewan, bentuk unit siber yang independen, perkuat manajemen akun privileged, dan lengkapi inventarisasi aset TI.

3. 3

   Kemampuan pengujian dan pemantauan

   Jadwalkan pengujian berbasis skenario tahunan, bangun siklus pengujian analisis kerentanan, dan terapkan pemantauan berkelanjutan atas aktivitas mencurigakan dan kerentanan.

4. 4

   Prosedur insiden dan pelaporan

   Dokumentasikan rencana respons insiden dengan jalur eskalasi ke OJK, uji prosedurnya setidaknya dua kali setahun, dan pastikan tim yang terlibat sudah terlatih.

Penilaian kesenjangan di awal menghindarkan bank dari membenahi hal yang sudah memadai sambil melewatkan kekurangan yang sebenarnya berisiko. Hasilnya menjadi peta jalan yang bisa dibawa ke dewan dan direksi untuk persetujuan anggaran dan prioritas waktu.

Cara Alpha Code membantu

Kami memulai dengan penilaian kesenjangan yang memetakan postur keamanan informasi bank terhadap kewajiban spesifik POJK 11/2022 dan SEOJK 29/2022. Hasilnya bukan sekadar daftar temuan, melainkan prioritas yang membedakan kewajiban yang sudah terpenuhi, yang sebagian ada, dan yang perlu perhatian segera agar bank memiliki dasar yang jelas untuk merencanakan anggaran dan waktu.

Untuk kewajiban pemantauan yang dimandatkan SEOJK 29/2022, layanan SOC kami menyediakan pemantauan log dan deteksi anomali secara berkelanjutan, serta pengumpulan dan penyimpanan log sesuai ketentuan retensi lima tahun. Kami juga membantu bank menyiapkan pengujian sistem deteksi secara berkala sebagaimana disyaratkan regulasi.

Ketika insiden terjadi, layanan respons insiden kami mencakup pendampingan teknis sekaligus dukungan dalam menyusun notifikasi dan laporan kepada OJK sesuai tenggat waktunya. Tim kami memahami format dan konten yang umumnya diharapkan dalam pelaporan regulasi, sehingga bank tidak belajar dari awal saat berada di bawah tekanan insiden aktif.

Untuk uji penetrasi yang dimandatkan, kami menyediakan layanan pentest oleh tim independen yang menghasilkan laporan dalam format yang sesuai dengan ekspektasi pemeriksa OJK, termasuk kategorisasi risiko dan rekomendasi remediasi dengan tenggat yang jelas. Hasil pengujian bisa dipresentasikan langsung kepada Komite Risiko Dewan.

Di sisi tata kelola, konsultasi GRC kami membantu menyesuaikan kebijakan keamanan informasi, memperkuat manajemen risiko pihak ketiga, dan mempersiapkan dokumentasi yang dibutuhkan untuk pemeriksaan OJK. Bagi bank yang membutuhkan kepemimpinan keamanan informasi tanpa harus merekrut CISO penuh waktu, layanan vCISO kami menyediakan fungsi tersebut dengan model yang lebih fleksibel.

Langkah berikutnya

POJK 11/2022 dan SEOJK 29/2022 sudah berlaku. Bagi bank yang belum menyelesaikan penilaian kesenjangan terhadap kedua ketentuan ini, memulai sekarang jauh lebih baik daripada menunggu sampai pemeriksaan OJK atau insiden yang mendorong pembenahan terburu-buru. Jika Anda ingin memahami di mana posisi bank Anda terhadap kewajiban di kedua ketentuan ini, tim kami siap membantu menyusun langkah pertama yang konkret dan terukur.