Digitalisasi layanan keuangan membuat organisasi semakin bergantung pada sistem informasi yang selalu tersedia, aman, dan mampu pulih ketika terjadi gangguan. Di sisi lain, peningkatan digitalisasi juga meningkatkan eksposur terhadap risiko siber.
Bank Indonesia menerbitkan Peraturan Bank Indonesia (PBI) Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber (KKS) untuk memperkuat keamanan dan ketahanan siber pada penyelenggara yang diatur dan diawasi Bank Indonesia. Ketentuan tersebut dilengkapi dengan PADG Nomor 24 Tahun 2024 sebagai aturan pelaksanaan teknis.
Salah satu bagian penting dalam penerapannya adalah audit KKS. Audit ini membantu organisasi menilai kepatuhan sekaligus memastikan pengendalian keamanan yang diterapkan berjalan efektif.
Apa Itu Audit KKS?
Audit KKS adalah pemeriksaan atas penerapan Keamanan Sistem Informasi dan Ketahanan Siber untuk menilai kecukupan serta efektivitas pengendalian organisasi.
Dalam PADG 24/2024, KKS mencakup kondisi terjaganya kerahasiaan, keutuhan, dan ketersediaan informasi atau sistem informasi, sekaligus kelangsungan bisnis melalui kemampuan antisipasi, respons, dan pemulihan terhadap insiden siber.
Karena itu, audit keamanan siber tidak hanya memeriksa konfigurasi teknologi. Pemeriksaan juga dapat menyentuh tata kelola, manajemen risiko, kebijakan, proses pencegahan, hingga kesiapan organisasi menangani insiden.
Siapa yang Perlu Memperhatikan PBI 2/2024?
Objek pengaturan dan pengawasan KKS mencakup antara lain:
Penyedia Jasa Pembayaran (PJP);
Penyelenggara Infrastruktur Sistem Pembayaran (PIP);
Pelaku Usaha Sektor Keuangan di Pasar Uang dan/atau Pasar Valuta Asing (PUSK PUVA);
lembaga pendukung Pasar Uang dan Pasar Valuta Asing;
penyelenggara KUPVA Bukan Bank; dan
pihak lain yang diatur dan diawasi Bank Indonesia.
Bagi bank atau lembaga keuangan, penerapannya perlu dilihat berdasarkan aktivitas, layanan digital, dan klasifikasi penyelenggara yang relevan. PADG 24/2024 mengatur penerapan KKS berdasarkan penggunaan layanan digitalisasi serta jenis keterhubungan sistem dan infrastruktur teknologi.
Apa Saja Ruang Lingkup Audit KKS?
Pasal 11 PADG 24/2024 menetapkan bahwa audit KKS paling sedikit mencakup tata kelola, pencegahan, dan penanganan.
1. Tata Kelola
Area tata kelola dapat mencakup evaluasi rencana strategis KKS, kebijakan dan prosedur, struktur fungsi KKS, pembagian tanggung jawab, budaya keamanan, serta pengelolaan risiko siber.
Auditor tidak hanya melihat apakah dokumen tersedia, tetapi juga apakah kebijakan telah diterapkan dan didukung bukti yang memadai.
2. Pencegahan
Area pencegahan berkaitan dengan kemampuan organisasi mengidentifikasi dan mengurangi risiko siber. PBI 2/2024 menempatkan identifikasi, proteksi, dan deteksi sebagai bagian penting pencegahan.
Pemeriksaan dapat mencakup:
risk register dan asesmen risiko siber;
analisis dampak bisnis;
pengamanan sistem dan data;
pemantauan serta deteksi ancaman;
vulnerability management; dan
pengendalian keamanan pihak ketiga.
Pengujian teknis seperti vulnerability assessment atau penetration testing dapat menjadi bukti pendukung. Namun, penetration testing bukan pengganti audit KKS karena ruang lingkup audit lebih luas.
3. Penanganan
Area penanganan menilai kemampuan organisasi dalam merespons dan memulihkan layanan ketika insiden siber terjadi.
PBI 2/2024 mencakup penyusunan rencana penanganan dan pemulihan, simulasi, penanganan insiden, komunikasi, pengembalian layanan, serta perbaikan berkelanjutan.
Seberapa Sering Audit KKS Dilakukan?
PADG Nomor 24 Tahun 2024 mengatur bahwa audit KKS dilakukan secara berkala paling sedikit satu kali dalam satu tahun. Audit dapat dilakukan oleh pihak internal dan/atau eksternal secara independen.
Jika menggunakan pihak eksternal, auditor KKS harus merupakan auditor independen yang terdaftar pada Self-Regulatory Organization (SRO) dan/atau otoritas lain. Hasil audit kemudian disampaikan kepada manajemen tertinggi dan digunakan untuk perbaikan tata kelola, pencegahan, dan penanganan.
Karena itu, persiapan audit sebaiknya tidak baru dilakukan menjelang jadwal pemeriksaan. Organisasi membutuhkan waktu untuk mengumpulkan evidence, mengidentifikasi kesenjangan, dan menyelesaikan tindakan perbaikan.
Dokumen yang Perlu Disiapkan untuk Audit KKS
Kebutuhan dokumen bergantung pada ruang lingkup dan karakteristik organisasi. Secara umum, evidence yang dapat dipersiapkan antara lain:
kebijakan, standar, dan prosedur KKS;
rencana strategis KKS;
inventaris aset dan risk register;
hasil cyber risk assessment;
BIA serta BCP/DRP;
bukti access control dan monitoring;
laporan vulnerability assessment atau penetration testing;
catatan insiden siber;
bukti simulasi incident response;
hasil audit sebelumnya; dan
monitoring tindak lanjut temuan.
Organisasi juga dapat melakukan gap assessment sebelum audit untuk mengetahui kontrol yang belum lengkap atau belum memiliki bukti implementasi.
Audit KKS Bukan Hanya Penetration Testing
Kesalahan yang perlu dihindari adalah menyamakan audit keamanan siber dengan penetration testing.
Penetration testing berfokus pada pengujian kelemahan teknis pada sistem tertentu. Sementara itu, audit KKS menilai organisasi secara lebih menyeluruh, termasuk tata kelola, pencegahan, respons insiden, dan pemulihan.
PADG 24/2024 bahkan menyebut laporan audit KKS dan laporan uji penetrasi sebagai bukti pendukung yang berbeda. Dengan demikian, keduanya dapat saling melengkapi, bukan saling menggantikan.
Pelajari juga Audit Keamanan Informasi dan artikel mengenai Cybersecurity Framework sebagai referensi internal terkait keamanan siber.
Cara Mempersiapkan Audit KKS
Agar proses audit lebih efektif, organisasi dapat melakukan langkah berikut:
menentukan scope dan PIC audit;
memetakan PBI 2/2024 dan PADG 24/2024 terhadap kontrol yang sudah dimiliki;
melakukan gap assessment;
mengumpulkan dokumen dan bukti implementasi;
melakukan pengujian keamanan teknis jika diperlukan;
memprioritaskan perbaikan pada kesenjangan berisiko tinggi; dan
memantau penyelesaian temuan sampai tuntas.
Pendekatan ini membantu audit tidak berhenti pada pemenuhan dokumen, tetapi menjadi bagian dari peningkatan ketahanan siber secara berkelanjutan.
Cyber Security Services untuk Mendukung Audit KKS
Audit KKS membutuhkan kombinasi pemahaman regulasi, tata kelola keamanan informasi, manajemen risiko, dan pengujian teknis.
Melalui Cyber Security Services kami, organisasi dapat memperoleh dukungan mulai dari gap assessment, audit keamanan siber, review kebijakan dan prosedur, vulnerability assessment, penetration testing, hingga rekomendasi dan monitoring perbaikan.
Jika organisasi Anda sedang mempersiapkan audit KKS berdasarkan PBI 2/2024, konsultasikan kebutuhan audit bersama tim kami. Identifikasi kesenjangan lebih awal agar proses perbaikan dapat dilakukan secara sistematis dan kesiapan keamanan siber organisasi semakin kuat.
