Memiliki kebijakan keamanan, firewall, sistem monitoring, dan pernah melakukan penetration testing belum otomatis membuat bank siap menghadapi audit kepatuhan keamanan siber. Saat audit dilakukan, bank juga harus mampu membuktikan bahwa setiap kontrol benar-benar diterapkan, dipantau, diuji, dan diperbaiki secara konsisten.
Karena itu, persiapan audit tidak seharusnya dilakukan hanya dengan mengumpulkan dokumen menjelang pemeriksaan. Bank perlu memastikan kesesuaian antara regulasi, kebijakan internal, implementasi kontrol, hingga evidence yang tersedia.
Apa Itu Audit Kepatuhan Keamanan Siber?
Audit kepatuhan keamanan siber adalah evaluasi sistematis untuk mengetahui apakah tata kelola, proses, teknologi, serta kontrol keamanan organisasi telah sesuai dengan ketentuan atau kriteria yang berlaku.
Dalam praktiknya, auditor tidak hanya menanyakan apakah bank memiliki kebijakan tertentu. Auditor juga dapat memeriksa apakah kebijakan tersebut telah diterapkan dan apakah tersedia bukti penerapannya.
Alurnya dapat digambarkan sebagai:
Requirement → Control → Implementation → Evidence
Audit ini berbeda dengan penetration testing. Penetration testing berfokus pada pengujian kerentanan teknis, sedangkan audit keamanan siber mencakup area yang lebih luas, seperti tata kelola, manajemen risiko, pengelolaan akses, incident response, hingga pemulihan layanan.
Baca juga: Cybersecurity Audit untuk Bank: Dari Evaluasi Kontrol hingga Rencana Perbaikan.
Regulasi Keamanan Siber yang Perlu Diperhatikan Bank
Untuk bank umum, salah satu ketentuan penting adalah SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum. Ketentuan tersebut mencakup antara lain penilaian risiko inheren keamanan siber, penerapan manajemen risiko, proses ketahanan siber, dan penilaian tingkat maturitas keamanan siber.
Selain itu, PADK OJK Nomor 1 Tahun 2026 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum berlaku sejak 1 Maret 2026 dan menjadi bagian penting dalam pengaturan penyelenggaraan TI bank umum.
Untuk aktivitas yang masuk ruang lingkup pengaturan dan pengawasan Bank Indonesia, terdapat PBI Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber (KKS). Aturan tersebut mencakup tata kelola, identifikasi risiko, proteksi, deteksi, respons, pemulihan, pengawasan, dan kolaborasi.
Namun, PBI 2/2024 tidak dapat digeneralisasi berlaku identik kepada seluruh bank. Bank perlu memetakan kewajiban berdasarkan aktivitas dan statusnya sebagai pihak yang diatur dan diawasi Bank Indonesia.
Apa yang Perlu Dipersiapkan Sebelum Audit Kepatuhan Keamanan Siber?
Persiapan audit sebaiknya dimulai jauh sebelum auditor melakukan pemeriksaan. Berikut beberapa area utama yang perlu diperhatikan.
1. Pemetaan Regulasi dan Ruang Lingkup Audit
Tentukan terlebih dahulu:
regulasi dan standar yang menjadi kriteria audit;
unit kerja yang masuk ruang lingkup;
aplikasi dan infrastruktur yang diperiksa;
periode evidence;
sistem kritikal dan layanan pihak ketiga yang relevan.
Pemetaan yang jelas membantu mencegah adanya kontrol penting yang terlewat saat audit.
2. Kebijakan, Standar, dan SOP Keamanan
Pastikan dokumen yang digunakan masih berlaku dan sesuai dengan proses aktual, seperti:
kebijakan keamanan informasi;
access management;
vulnerability dan patch management;
incident response;
backup dan disaster recovery;
pengamanan vendor atau pihak ketiga.
Dokumen yang lengkap tetap perlu didukung dengan bukti bahwa prosedur tersebut benar-benar dijalankan.
3. Cyber Risk Assessment dan Inventaris Aset
Bank perlu mengetahui aset mana yang kritikal dan risiko apa yang dapat memengaruhinya.
Persiapkan antara lain:
asset inventory;
klasifikasi aset;
cyber risk register;
identifikasi ancaman dan kerentanan;
existing control;
residual risk;
risk treatment plan.
Informasi tersebut membantu auditor melihat apakah pengamanan telah disesuaikan dengan tingkat risiko.
4. Evidence Implementasi Kontrol
Bagian ini sering menjadi pembeda antara kontrol yang hanya terdokumentasi dan kontrol yang benar-benar efektif.
Contoh evidence yang dapat dipersiapkan meliputi:
user dan privileged access review;
log aktivitas keamanan;
patching record;
firewall review;
hasil monitoring;
backup record;
bukti konfigurasi keamanan;
laporan vulnerability assessment.
Dengan kata lain, policy tanpa implementation evidence masih dapat menjadi gap audit.
5. Vulnerability Assessment dan Penetration Testing
Bank juga perlu memastikan pengujian keamanan tidak berhenti pada penyampaian laporan.
Periksa kembali:
kapan pengujian terakhir dilakukan;
sistem yang masuk scope;
temuan berisiko tinggi;
status remediation;
hasil retesting.
Penetration testing dapat digunakan untuk melengkapi audit dengan pengujian teknis terhadap potensi kerentanan.
6. Incident Response dan Pemulihan Layanan
Ketahanan siber juga berkaitan dengan kemampuan organisasi merespons ketika insiden benar-benar terjadi.
Evidence yang dapat dipersiapkan antara lain:
incident response plan;
escalation matrix;
catatan insiden;
tabletop exercise;
disaster recovery plan;
hasil DR test;
pengujian proses restore backup.
PBI 2/2024 juga menempatkan respons dan pemulihan sebagai bagian dari kerangka KKS.
7. Temuan Audit dan Remediation Plan
Temuan audit sebelumnya perlu dipantau sampai benar-benar selesai.
Remediation plan idealnya memuat:
Finding → Risk → Recommendation → PIC → Target Date → Status
Dengan pendekatan tersebut, hasil audit dapat diterjemahkan menjadi tindakan perbaikan yang terukur.
Bagaimana Mengetahui Bank Sudah Siap Diaudit?
Bank dapat dikatakan relatif siap jika:
ruang lingkup dan regulasi sudah dipetakan;
kebijakan masih relevan;
evidence tersedia;
kontrol diterapkan secara konsisten;
pengujian keamanan dilakukan;
incident response dan recovery pernah diuji;
temuan sebelumnya memiliki tindak lanjut;
setiap remediation memiliki PIC dan target penyelesaian.
Jika sebagian kontrol sudah tersedia tetapi evidence belum lengkap, bank dapat melakukan readiness assessment sebelum audit formal.
Tahapannya dapat berupa:
Scope & Regulatory Mapping → Document Review → Interview & Walkthrough → Control Testing → Gap Assessment → Remediation Roadmap
Pendekatan tersebut membantu menemukan kesenjangan lebih awal sehingga perbaikan dapat diprioritaskan berdasarkan tingkat risiko.
Persiapkan Audit Keamanan Siber dengan Cyber Security Services
Kesiapan audit kepatuhan keamanan siber tidak ditentukan oleh banyaknya dokumen yang dimiliki, tetapi oleh kemampuan bank membuktikan bahwa kebijakan, proses, dan kontrol keamanan benar-benar diterapkan, diuji, dimonitor, dan diperbaiki.
PT Integra Teknologi Solusi melalui Cyber Security Services dapat membantu organisasi melakukan cybersecurity assessment, identifikasi gap dan risiko, Audit KKS, evaluasi kontrol keamanan, hingga penyusunan rekomendasi dan remediation roadmap.
Pelajari juga layanan Jasa Audit Keamanan Informasi Integra.
Konsultasikan kebutuhan audit security services dan Audit KKS bersama tim Integra untuk mengetahui kesiapan organisasi serta menentukan langkah perbaikan keamanan siber secara lebih terukur.
