Digitalisasi layanan perbankan membuat transaksi, data nasabah, aplikasi, jaringan, hingga layanan pihak ketiga semakin terhubung. Di sisi lain, kondisi tersebut memperluas risiko serangan siber, akses tidak sah, kebocoran data, hingga gangguan operasional.
Karena itu, audit keamanan informasi perbankan tidak cukup hanya memastikan bank memiliki firewall, antivirus, atau kebijakan keamanan. Auditor perlu mengevaluasi apakah kontrol keamanan benar-benar dirancang dengan tepat, diterapkan secara konsisten, dan dapat dibuktikan efektivitasnya.
Bagi bank umum, aspek tersebut juga berkaitan dengan ketentuan OJK mengenai penyelenggaraan teknologi informasi serta ketahanan dan keamanan siber.
Apa Itu Audit Keamanan Informasi Perbankan?
Audit keamanan informasi perbankan adalah proses sistematis untuk menilai tata kelola, proses, sumber daya manusia, teknologi, dan pengendalian keamanan yang diterapkan bank.
Berbeda dengan vulnerability assessment atau penetration testing yang lebih fokus menemukan kerentanan teknis, audit memiliki cakupan lebih luas. Auditor dapat memeriksa kebijakan, pembagian tanggung jawab, manajemen risiko, kontrol akses, pengamanan data, monitoring, hingga kesiapan menghadapi insiden.
Dalam SEOJK 29/SEOJK.03/2022, OJK mengatur ketahanan dan keamanan siber bagi bank umum, termasuk penilaian risiko inheren, penerapan manajemen risiko keamanan siber, proses ketahanan siber, dan tingkat maturitas keamanan siber.
Mengapa Audit Keamanan Informasi Penting bagi Bank?
Audit membantu bank mengetahui apakah kontrol yang dimiliki hanya tersedia secara dokumentatif atau benar-benar berfungsi saat dibutuhkan.
Hasil audit dapat digunakan untuk:
mengidentifikasi kesenjangan pengamanan;
mengetahui kontrol yang belum efektif;
memprioritaskan perbaikan berdasarkan risiko;
meningkatkan kesiapan menghadapi insiden;
mendukung kepatuhan dan tata kelola TI; serta
menyediakan evidence bagi manajemen maupun pemeriksaan berikutnya.
OJK juga mewajibkan bank melakukan penilaian risiko inheren keamanan siber secara tahunan untuk posisi akhir Desember. Penilaian antara lain mempertimbangkan teknologi, produk bank, karakteristik organisasi, dan rekam jejak insiden siber.
Kontrol Apa Saja yang Harus Dievaluasi?
Berikut sejumlah area penting yang umumnya menjadi fokus audit keamanan siber perbankan.
1. Tata Kelola dan Manajemen Risiko Keamanan
Auditor perlu memeriksa apakah bank telah memiliki kebijakan, pembagian peran, proses risk assessment, risk register, serta mekanisme pelaporan risiko keamanan kepada manajemen.
Kontrol yang baik harus menunjukkan siapa yang bertanggung jawab, bagaimana risiko dinilai, dan bagaimana tindak lanjut dimonitor.
2. Identity and Access Management
Kontrol akses penting untuk memastikan pengguna hanya memperoleh hak sesuai tugasnya.
Pemeriksaan dapat mencakup:
user provisioning dan deprovisioning;
privileged access;
segregation of duties;
autentikasi;
akun bersama atau dormant account; dan
periodic access review.
Contohnya, auditor tidak cukup melihat prosedur pengelolaan akses. Auditor dapat melakukan sampling terhadap pegawai yang pindah unit atau sudah keluar untuk memastikan hak akses telah dicabut.
3. Manajemen Aset dan Kerentanan
Bank harus mengetahui aset apa yang dimiliki dan risiko yang melekat pada aset tersebut.
Area yang dapat dievaluasi meliputi inventaris aset, klasifikasi aset kritis, patch management, secure configuration, vulnerability assessment, dan mekanisme remediation.
Baca juga pembahasan mengenai tahapan audit dari asesmen risiko hingga laporan pada artikel Tahapan Security Audit.
4. Keamanan Data dan Informasi
Bank mengelola data nasabah dan informasi transaksi yang bernilai tinggi. Karena itu, audit perlu mengevaluasi klasifikasi informasi, enkripsi, backup, retensi data, pengamanan media, serta perlindungan data saat disimpan maupun dikirimkan.
Auditor juga perlu melihat apakah mekanisme tersebut dapat menjaga confidentiality, integrity, dan availability informasi.
5. Keamanan Jaringan, Endpoint, dan Aplikasi
Pemeriksaan teknis dapat mencakup firewall, segmentasi jaringan, IDS/IPS, endpoint security, konfigurasi perangkat, serta pengamanan server.
Untuk aplikasi, area audit dapat mencakup secure SDLC, secure coding, change management, application security testing, dan pengamanan API.
6. Logging, Monitoring, dan Deteksi
Bank harus mampu mengetahui aktivitas abnormal sebelum berkembang menjadi insiden besar.
Auditor dapat mengevaluasi audit trail, log management, SIEM, security alert, monitoring aktivitas administrator, serta mekanisme eskalasi dari SOC atau tim keamanan.
7. Incident Response dan Cyber Recovery
Kontrol keamanan tidak hanya berfungsi mencegah serangan. Bank juga harus mampu merespons dan memulihkan layanan.
Audit dapat mencakup incident response plan, tim penanganan insiden, escalation matrix, root cause analysis, BCP, DRP, backup, serta pengujian pemulihan.
8. Risiko Pihak Ketiga
Penggunaan data center, cloud, aplikasi, atau penyedia jasa TI menciptakan risiko tambahan.
Auditor perlu mengevaluasi due diligence vendor, klausul keamanan, SLA, hak audit, monitoring penyedia, serta mekanisme penanganan insiden pihak ketiga.
PADK OJK Nomor 1 Tahun 2026 yang berlaku sejak 1 Maret 2026 antara lain mengatur tata kelola TI, manajemen risiko TI, pengamanan informasi dan jaringan, penyedia jasa TI, pelindungan data, serta pengendalian dan audit intern bank umum.
Evidence Apa yang Biasanya Diperiksa Auditor?
Audit yang efektif harus didukung bukti yang dapat diverifikasi. Contohnya meliputi:
kebijakan dan SOP keamanan;
risk register;
daftar aset;
daftar dan approval akses pengguna;
hasil vulnerability assessment atau penetration testing;
bukti patching;
log SIEM atau SOC;
laporan dan tiket insiden;
hasil backup dan restore test;
hasil DR drill; serta
kontrak, SLA, dan hasil assessment vendor.
Dengan pendekatan tersebut, auditor tidak hanya bertanya “apakah kontrol tersedia?”, tetapi juga “apakah kontrol bekerja dan dapat dibuktikan?”
Bagaimana Tahapan Audit Dilakukan?
Secara umum, audit keamanan informasi dilakukan melalui tahapan:
Penentuan ruang lingkup → review dokumen → wawancara → pengujian dan sampling → identifikasi gap → penilaian risiko → rekomendasi → remediation → retest.
Pendekatan berbasis risiko membantu bank memprioritaskan temuan yang paling berdampak terhadap layanan, data, dan operasional.
Untuk memahami audit KKS secara lebih luas, baca juga Panduan Audit KKS PBI 2/2024. Penerapan regulasi tetap perlu disesuaikan dengan jenis dan ruang lingkup kegiatan organisasi.
Perkuat Audit Keamanan dengan Cyber Security Services
Audit keamanan informasi perbankan membantu organisasi mengetahui apakah kontrol yang telah dibangun benar-benar efektif dalam menghadapi risiko siber.
Melalui Cyber Security Services, Integra membantu organisasi melakukan gap assessment, evaluasi efektivitas kontrol, audit keamanan siber, vulnerability assessment, penetration testing, hingga penyusunan rekomendasi dan prioritas perbaikan.
Konsultasikan kebutuhan audit security services atau Audit KKS bersama tim kami untuk menentukan ruang lingkup assessment yang sesuai dengan sistem, profil risiko, dan kebutuhan kepatuhan organisasi.
