Digitalisasi perbankan membuat layanan semakin bergantung pada aplikasi, jaringan, API, cloud, data, dan pihak ketiga. Di sisi lain, kondisi tersebut memperluas risiko keamanan siber yang harus dikelola secara sistematis.
Memiliki firewall, antivirus, atau prosedur keamanan saja belum cukup. Bank perlu memastikan bahwa setiap kontrol telah diterapkan, diuji, dipantau, dan didukung bukti yang memadai. Salah satu caranya adalah melalui cybersecurity compliance assessment.
Cybersecurity compliance assessment merupakan proses evaluasi untuk membandingkan penerapan keamanan siber dengan regulasi, standar, kebijakan, atau framework yang menjadi acuan. Hasilnya membantu bank mengetahui posisi kepatuhan, menemukan gap, serta menentukan prioritas perbaikan.
Mengapa Cybersecurity Compliance Assessment Penting bagi Bank?
Compliance assessment tidak hanya bertujuan mendapatkan status “patuh” atau “tidak patuh”. Assessment membantu memastikan bahwa ketentuan regulator benar-benar diterjemahkan menjadi kontrol yang berjalan dalam operasional.
Sebagai contoh, bank mungkin telah memiliki prosedur respons insiden. Namun, apakah prosedur tersebut sudah diuji? Apakah jalur eskalasinya jelas? Apakah hasil simulasi dan tindak lanjutnya terdokumentasi?
Melalui cybersecurity compliance assessment, bank dapat:
menemukan gap sebelum menjadi temuan audit;
mengevaluasi efektivitas kontrol keamanan;
mengetahui risiko yang masih terbuka;
mempersiapkan evidence kepatuhan;
menentukan prioritas remediation; dan
memberikan gambaran keamanan siber kepada manajemen.
Untuk memahami evaluasi keamanan secara lebih luas, baca juga Cybersecurity Audit untuk Bank: Dari Evaluasi Kontrol hingga Rencana Perbaikan.
Regulasi Keamanan Siber yang Perlu Diperhatikan Bank
Untuk bank umum, salah satu landasan penting adalah POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum. Ketentuan mengenai keamanan dan ketahanan siber juga diperkuat melalui SEOJK Nomor 29/SEOJK.03/2022.
Sejak 1 Maret 2026, PADK OJK Nomor 1 Tahun 2026 juga berlaku untuk penyelenggaraan TI oleh bank umum. Aturan tersebut mencakup antara lain tata kelola TI, manajemen risiko TI, pengamanan informasi dan jaringan, penggunaan penyedia jasa TI, pelindungan data, audit intern, serta pelaporan.
Selain ketentuan OJK, bank yang berdasarkan aktivitas dan statusnya termasuk dalam lingkup pengaturan Bank Indonesia perlu memperhatikan PBI Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber beserta PADG Nomor 24 Tahun 2024. Regulasi KKS tersebut mencakup penyelenggara sistem pembayaran, pelaku pasar uang dan pasar valuta asing, serta pihak lain yang diatur dan diawasi Bank Indonesia.
Karena itu, cakupan regulasi perlu ditentukan terlebih dahulu sebelum melakukan assessment.
Apa Saja yang Dinilai dalam Cybersecurity Compliance Assessment?
1. Tata Kelola Keamanan Siber
Assessment mengevaluasi strategi, kebijakan, struktur organisasi, pembagian tanggung jawab, kompetensi SDM, hingga pengawasan keamanan siber oleh manajemen.
2. Manajemen Risiko Siber
Bank perlu memiliki proses untuk mengidentifikasi aset, ancaman, kerentanan, dampak, tingkat risiko, serta rencana penanganannya.
3. Perlindungan Sistem dan Data
Area yang dapat diperiksa meliputi:
identity and access management;
privileged access;
network dan endpoint security;
patch management;
enkripsi dan perlindungan data; serta
keamanan konfigurasi.
4. Vulnerability Management dan Security Testing
Assessment perlu memastikan vulnerability assessment maupun penetration testing tidak hanya dilakukan, tetapi temuannya juga ditindaklanjuti dan diuji kembali.
Pelajari juga bagaimana penetration testing membantu mengidentifikasi kelemahan keamanan sistem.
5. Detection dan Incident Response
Bank perlu mampu mendeteksi aktivitas mencurigakan, mengelola log, melakukan eskalasi, menangani insiden, hingga memulihkan layanan.
6. Business Continuity dan Third-Party Risk
Compliance assessment juga perlu memperhatikan backup, disaster recovery, pengujian pemulihan, serta risiko yang berasal dari vendor, cloud provider, outsourcing, dan integrasi pihak ketiga.
Bagaimana Tahapan Cybersecurity Compliance Assessment?
Assessment dapat dilakukan melalui beberapa tahapan berikut.
1. Menentukan Scope dan Compliance Baseline
Tentukan regulasi, sistem, proses, unit kerja, dan layanan yang masuk ruang lingkup.
2. Memetakan Requirement dan Kontrol
Setiap requirement dipetakan menjadi kontrol yang dapat diperiksa beserta evidence yang diperlukan.
3. Melakukan Review Dokumen
Dokumen yang diperiksa dapat berupa kebijakan, SOP, risk register, hasil penetration testing, laporan insiden, BCP, DRP, hingga laporan audit sebelumnya.
4. Melakukan Wawancara dan Evidence Testing
Assessor perlu memastikan bahwa kontrol tidak hanya terdokumentasi, tetapi benar-benar diterapkan dan efektif.
Prinsip sederhananya adalah:
Documented ≠ Implemented ≠ Effective
5. Melakukan Gap Analysis
Hasil assessment dapat diklasifikasikan menjadi:
Comply;
Partially Comply;
Not Comply; atau
Not Applicable.
6. Menentukan Risiko dan Remediation Plan
Setiap gap sebaiknya dilengkapi tingkat risiko, rekomendasi, PIC, serta target penyelesaian sehingga dapat ditindaklanjuti secara terukur.
Kapan Bank Membutuhkan Assessment Independen?
Independent cybersecurity compliance assessment dapat dipertimbangkan ketika bank akan menghadapi pemeriksaan regulator, mengalami perubahan sistem kritikal, memiliki temuan audit berulang, menghadapi regulasi baru, atau membutuhkan gambaran objektif mengenai kondisi keamanan saat ini.
Untuk organisasi yang termasuk dalam cakupan ketentuan KKS Bank Indonesia, pelaksanaan Audit KKS juga perlu disesuaikan dengan klasifikasi dan kewajiban yang berlaku. Selengkapnya, baca Siapa yang Wajib Melakukan Audit KKS?
Tingkatkan Kesiapan Compliance dengan Cyber Security Services
Cybersecurity compliance assessment yang efektif harus mampu menjawab tiga pertanyaan: apa yang belum sesuai, apa risikonya, dan apa yang harus diperbaiki terlebih dahulu?
Melalui Cyber Security Services, organisasi perbankan dapat memperoleh dukungan untuk melakukan assessment keamanan siber, evaluasi kontrol, identifikasi gap dan risiko, penetration testing, hingga Audit KKS dan penyusunan remediation roadmap.
Jika bank Anda ingin mengetahui tingkat kesiapan keamanan siber atau mempersiapkan audit security services secara lebih terstruktur, konsultasikan kebutuhan Anda bersama PT Integra Teknologi Solusi untuk menentukan ruang lingkup assessment dan prioritas perbaikan yang sesuai.
