Transformasi digital pada sektor keuangan membuat sistem informasi semakin terhubung. Di sisi lain, kondisi tersebut juga meningkatkan eksposur terhadap risiko serangan dan insiden siber.
Untuk memperkuat keamanan sektor keuangan, Bank Indonesia menerbitkan Peraturan Bank Indonesia (PBI) Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber (KKS). Ketentuan operasionalnya kemudian diperjelas melalui PADG Nomor 24 Tahun 2024.
Salah satu ketentuan penting di dalamnya adalah pelaksanaan audit KKS secara berkala. Lantas, siapa yang wajib audit KKS dan apakah semua perusahaan di sektor keuangan harus melakukannya?
Apa Itu KKS dalam PBI 2/2024?
KKS atau Keamanan Sistem Informasi dan Ketahanan Siber merupakan kondisi terjaganya kerahasiaan, keutuhan, dan ketersediaan informasi atau sistem informasi dari serangan siber sekaligus terjaganya kelangsungan bisnis melalui kemampuan antisipasi, respons, dan pemulihan terhadap insiden siber.
Dengan demikian, penerapan KKS tidak hanya berbicara tentang penggunaan firewall atau antivirus. Organisasi juga perlu membangun tata kelola, manajemen risiko, proteksi, deteksi, respons, hingga pemulihan insiden secara sistematis.
Siapa yang Wajib Melakukan Audit KKS?
PADG Nomor 24 Tahun 2024 menetapkan sejumlah Penyelenggara sebagai objek pengaturan dan pengawasan KKS. Pihak tersebut meliputi:
Penyedia Jasa Pembayaran (PJP);
Penyelenggara Infrastruktur Sistem Pembayaran (PIP);
Pelaku Usaha Sektor Keuangan yang Bergerak di Pasar Uang dan/atau Pasar Valuta Asing (PUSK PUVA);
Lembaga Pendukung Pasar Uang;
Lembaga Pendukung Pasar Valuta Asing;
Penyelenggara Kegiatan Usaha Penukaran Valuta Asing Bukan Bank; dan
pihak lain yang diatur dan diawasi oleh Bank Indonesia.
Artinya, bank maupun lembaga keuangan perlu terlebih dahulu melihat status, aktivitas, dan sistem yang digunakan untuk menentukan cakupan penerapan KKS.
Penyelenggara dengan Penerapan KKS Penuh
Ketentuan KKS berlaku sepenuhnya apabila Penyelenggara memiliki layanan digitalisasi yang terhubung langsung dengan sistem aplikasi atau infrastruktur teknologi informasi Bank Indonesia dan/atau Penyelenggara lain.
Penjelasan PADG memberikan contoh koneksi langsung seperti application programming interface (API) dan host-to-host.
Bagaimana Jika Menggunakan Sistem Pihak Ketiga?
Penyelenggara yang menggunakan sistem atau infrastruktur teknologi informasi milik pihak lain sebagai client, atau menggunakan sistem sendiri tetapi tidak terhubung langsung dengan Bank Indonesia maupun Penyelenggara lain, mendapatkan pengaturan tertentu.
Namun, hal ini tidak otomatis menghilangkan kewajiban audit. Pasal 64 PADG Nomor 24 Tahun 2024 memasukkan pelaksanaan audit KKS secara berkala sebagai salah satu ketentuan yang tetap diterapkan.
Sebaliknya, ketentuan penerapan KKS tidak berlaku dalam kondisi sebagaimana diatur Pasal 63 ayat (3), yaitu ketika Penyelenggara hanya menggunakan end user device, perangkat stand-alone lainnya, dan/atau perangkat analog.
Seberapa Sering Audit KKS Harus Dilakukan?
Pasal 12 PADG Nomor 24 Tahun 2024 menyatakan bahwa audit KKS dilakukan secara berkala paling sedikit satu kali dalam satu tahun.
Audit tersebut bukan sekadar aktivitas administratif. Hasilnya harus disampaikan kepada manajemen tertinggi dan digunakan sebagai dasar perbaikan terhadap penerapan KKS.
Selain audit, Penyelenggara juga memiliki kewajiban pelaporan tahunan terkait tingkat kematangan KKS dan hasil identifikasi infrastruktur informasi vital. FAQ resmi Bank Indonesia menjelaskan laporan tahunan disampaikan paling lambat 31 Januari untuk periode tahun sebelumnya.
Apa Saja yang Diperiksa dalam Audit KKS?
Menurut Pasal 11 PADG Nomor 24 Tahun 2024, ruang lingkup audit KKS paling sedikit mencakup tiga area utama.
1. Tata Kelola
Audit menilai bagaimana organisasi mengatur strategi, kebijakan, struktur tanggung jawab, manajemen risiko, kompetensi SDM, serta penerapan budaya keamanan siber.
2. Pencegahan
Pemeriksaan mencakup proses identifikasi dan asesmen risiko siber, proteksi sistem dan data, pengendalian akses, pemindaian kerentanan, hingga kemampuan deteksi ancaman.
Organisasi juga dapat melakukan penetration testing dan vulnerability assessment untuk membantu mengidentifikasi kelemahan teknis pada sistem.
3. Penanganan
Audit mengevaluasi kesiapan organisasi menghadapi insiden, termasuk incident response plan, simulasi penanganan insiden, pemulihan layanan, komunikasi insiden, serta perbaikan berkelanjutan.
Apakah Audit KKS Harus Menggunakan Auditor Eksternal?
Tidak selalu. PADG menetapkan bahwa audit dapat dilakukan oleh pihak internal dan/atau eksternal secara independen.
Namun, apabila menggunakan pihak eksternal untuk melaksanakan audit KKS, pihak tersebut harus merupakan auditor KKS independen yang terdaftar di SRO dan/atau otoritas lain.
Organisasi tetap dapat menggunakan pihak ketiga untuk membantu berbagai kegiatan pendukung KKS. Dalam FAQ PADG, Bank Indonesia menyatakan tidak menerbitkan daftar lembaga IT bersertifikasi dan Penyelenggara dapat menggunakan pihak ketiga yang memiliki kredibilitas sesuai kebutuhan organisasi.
Persiapkan Audit KKS Sebelum Muncul Temuan
Persiapan audit sebaiknya dilakukan jauh sebelum jadwal pemeriksaan. Organisasi perlu memastikan kebijakan KKS, risk register, inventaris aset, pengelolaan akses, pengamanan pihak ketiga, hasil pengujian keamanan, incident response plan, BCP/DRP, serta bukti penerapan kontrol tersedia dan konsisten.
Pendekatan ini membantu organisasi tidak sekadar memenuhi kewajiban regulasi, tetapi juga mengetahui celah yang benar-benar dapat memengaruhi layanan dan operasional.
Tingkatkan Kesiapan Audit dengan Cyber Security Services
Jika organisasi Anda termasuk pihak yang wajib audit KKS, langkah pertama yang penting adalah mengetahui kondisi kontrol keamanan saat ini dan gap terhadap PBI Nomor 2 Tahun 2024 serta PADG Nomor 24 Tahun 2024.
Melalui Cyber Security Services, organisasi dapat memperoleh dukungan untuk asesmen kesiapan KKS, pengukuran tingkat kematangan, cybersecurity risk assessment, peninjauan tata kelola, vulnerability assessment, penetration testing, hingga penyusunan rekomendasi perbaikan.
Konsultasikan kebutuhan audit keamanan siber organisasi Anda untuk mengetahui tingkat kesiapan, menemukan gap kontrol, dan menyusun prioritas perbaikan KKS secara lebih terstruktur.
