Digitalisasi layanan perbankan membuat transaksi semakin cepat dan mudah, tetapi pada saat yang sama memperluas permukaan risiko siber. Aplikasi mobile banking, integrasi API, cloud, layanan pihak ketiga, hingga akses ke sistem kritikal membutuhkan kontrol keamanan yang tidak hanya tersedia, tetapi juga terbukti efektif.
Di sinilah cybersecurity audit bank memiliki peran penting. Audit membantu bank mengevaluasi kontrol keamanan, menemukan kesenjangan, menilai dampak risiko, dan mengubah hasil pemeriksaan menjadi rencana perbaikan yang terukur.
Bagi bank umum, evaluasi tersebut juga relevan dengan POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum serta SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum.
Apa Itu Cybersecurity Audit Bank?
Cybersecurity audit bank adalah proses evaluasi sistematis terhadap tata kelola, proses, teknologi, sumber daya manusia, dan kontrol keamanan yang digunakan bank untuk mengelola risiko siber.
Audit tidak hanya mencari kerentanan teknis. Auditor juga memeriksa apakah kebijakan sudah diterapkan, tanggung jawab telah ditetapkan, kontrol dijalankan secara konsisten, serta bukti implementasinya tersedia.
Berbeda dengan Penetration Testing
Penetration testing berfokus pada pengujian apakah kerentanan suatu sistem dapat dieksploitasi. Sementara itu, audit keamanan siber bank memiliki ruang lingkup lebih luas, mulai dari governance hingga incident response dan cyber recovery.
Karena itu, vulnerability assessment dan penetration testing dapat menjadi bagian dari cybersecurity audit, tetapi bukan keseluruhan proses audit.
Mengapa Cybersecurity Audit Penting bagi Bank?
Bank dapat memiliki berbagai teknologi keamanan, tetapi keberadaan teknologi belum otomatis menjamin efektivitas kontrol.
Cybersecurity audit membantu bank:
mengidentifikasi kelemahan dan kesenjangan kontrol;
mengetahui ketidaksesuaian antara kebijakan dan praktik;
mengevaluasi risiko pada sistem dan layanan kritikal;
meningkatkan kesiapan menghadapi insiden siber;
menentukan prioritas investasi keamanan;
mendukung kepatuhan terhadap ketentuan yang berlaku.
SEOJK 29/SEOJK.03/2022, misalnya, mengatur penilaian risiko inheren keamanan siber, penerapan manajemen risiko, proses ketahanan siber, maturitas keamanan siber, tingkat risiko, hingga pengujian keamanan siber.
Kontrol Apa Saja yang Dievaluasi?
Ruang lingkup cybersecurity audit bank perlu disesuaikan dengan karakteristik, kompleksitas, dan risiko masing-masing bank. Beberapa area utama yang umumnya menjadi perhatian antara lain:
1. Tata Kelola dan Manajemen Risiko Siber
Auditor dapat mengevaluasi kebijakan keamanan, pembagian peran, risk assessment, risk register, mekanisme pelaporan, hingga pengawasan risiko siber oleh manajemen.
Tujuannya adalah memastikan keamanan siber tidak hanya menjadi tanggung jawab teknis tim TI, tetapi menjadi bagian dari pengelolaan risiko organisasi.
2. Identifikasi Aset, Ancaman, dan Kerentanan
Bank perlu mengetahui aset apa yang harus dilindungi, sistem mana yang kritikal, ancaman yang relevan, dan kerentanan yang masih terbuka.
SEOJK 29 memasukkan identifikasi aset, ancaman, dan kerentanan sebagai salah satu proses dalam menjaga ketahanan siber bank.
3. Perlindungan Sistem dan Data
Kontrol yang diperiksa dapat mencakup:
identity and access management;
privileged access management;
keamanan jaringan dan endpoint;
patch dan vulnerability management;
hardening sistem;
enkripsi;
perlindungan data;
pengelolaan konfigurasi keamanan.
Auditor perlu memastikan kontrol tersebut tidak hanya terdokumentasi, tetapi benar-benar diterapkan.
4. Monitoring dan Deteksi Insiden
Audit juga menilai kemampuan bank mendeteksi aktivitas abnormal melalui logging, Security Information and Event Management (SIEM), Security Operations Center (SOC), alert, serta mekanisme eskalasi.
Kontrol deteksi yang baik memungkinkan bank merespons ancaman sebelum berkembang menjadi insiden yang lebih besar.
5. Incident Response dan Cyber Recovery
Bank perlu memiliki prosedur penanganan insiden yang jelas, termasuk tim tanggap insiden, jalur eskalasi, backup, proses pemulihan, serta pengujian berkala.
SEOJK 29 menyebut pengujian keamanan siber berdasarkan skenario dilaksanakan secara berkala paling sedikit satu kali dalam satu tahun untuk memvalidasi proses penanggulangan dan pemulihan insiden.
6. Risiko Pihak Ketiga
Vendor, cloud provider, mitra teknologi, dan pihak lain yang memiliki akses terhadap sistem atau data bank juga dapat menimbulkan risiko.
Audit dapat mengevaluasi proses due diligence vendor, klausul keamanan, kontrol akses, SLA, monitoring, dan evaluasi berkala terhadap pihak ketiga.
Bagaimana Proses Cybersecurity Audit Bank Dilakukan?
Agar hasilnya dapat dipertanggungjawabkan, audit perlu dilakukan melalui tahapan yang sistematis.
Menentukan ruang lingkup audit. Bank menentukan sistem, proses, unit kerja, dan kriteria yang akan dievaluasi.
Melakukan document review. Auditor memeriksa kebijakan, SOP, risk register, konfigurasi, laporan insiden, serta dokumen pendukung lainnya.
Melakukan wawancara dan walkthrough. Tahap ini memastikan proses aktual sesuai dengan dokumentasi.
Menguji efektivitas kontrol. Auditor menilai desain dan implementasi kontrol berdasarkan evidence.
Mengidentifikasi gap dan risiko. Kelemahan diklasifikasikan berdasarkan tingkat risiko dan dampaknya.
Menyusun laporan audit. Temuan dilengkapi kondisi, kriteria, risiko, akar penyebab, dan rekomendasi.
Dari Temuan Audit Menjadi Rencana Perbaikan
Nilai cybersecurity audit tidak berhenti pada banyaknya temuan yang ditemukan.
Setiap temuan sebaiknya diterjemahkan menjadi remediation plan yang mencantumkan risiko, rekomendasi, tindakan perbaikan, PIC, target waktu, dan status penyelesaian.
Sebagai contoh, audit menemukan akun administrator masih digunakan bersama. Rencana perbaikannya bukan hanya “memperketat akses”, tetapi dapat berupa penerapan akun individual, privileged access management, periodic access review, penetapan PIC, dan target implementasi yang jelas.
Perbaikan juga perlu diprioritaskan. Temuan dengan risiko tinggi pada sistem kritikal sebaiknya mendapat perhatian lebih dahulu dibandingkan kelemahan dengan dampak terbatas.
Apa Output Cybersecurity Audit?
Hasil audit yang komprehensif dapat mencakup:
executive summary;
cybersecurity assessment;
daftar gap dan temuan;
risk rating;
analisis akar penyebab;
rekomendasi perbaikan;
remediation roadmap;
action plan dan mekanisme monitoring.
Dengan output tersebut, manajemen memperoleh gambaran mengenai kondisi keamanan saat ini sekaligus langkah yang perlu dilakukan berikutnya.
Perkuat Keamanan Siber Bank dengan Cyber Security Services
Cybersecurity audit yang efektif harus mampu menjawab dua pertanyaan utama: seberapa efektif kontrol keamanan bank saat ini dan apa yang perlu diperbaiki terlebih dahulu?
Bank dapat melibatkan pihak independen untuk memperoleh perspektif yang lebih objektif, kompetensi spesifik keamanan siber, serta metodologi assessment yang terstruktur. SEOJK 29 juga menyebut pengujian keamanan siber dapat dilakukan secara mandiri maupun menggunakan pihak ketiga dengan tetap memperhatikan ketentuan yang berlaku.
Untuk evaluasi keamanan informasi yang lebih menyeluruh, Anda juga dapat mempelajari layanan Audit Keamanan Informasi.
Cyber Security Services Integra Teknologi Solusi dapat membantu organisasi perbankan melakukan evaluasi kontrol, identifikasi gap dan risiko, audit KKS, hingga penyusunan rekomendasi serta rencana perbaikan yang terukur.
Konsultasikan kebutuhan cybersecurity audit bank dan Audit KKS bersama tim kami untuk membantu memperkuat keamanan serta ketahanan siber secara berkelanjutan.
Sumber regulasi: SEOJK 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum dan POJK 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum.
