Transformasi digital membuat layanan perbankan semakin bergantung pada aplikasi, jaringan, data, cloud, API, dan berbagai layanan pihak ketiga. Kondisi ini meningkatkan kebutuhan bank untuk memastikan keamanan siber tidak hanya kuat secara teknis, tetapi juga memenuhi ketentuan regulator.
Cybersecurity compliance bank adalah proses memastikan tata kelola, kebijakan, prosedur, kontrol keamanan, serta penerapannya sesuai dengan regulasi dan persyaratan yang berlaku. Namun, kepatuhan bukan hanya tentang memiliki dokumen. Bank juga harus mampu menunjukkan bukti bahwa kontrol tersebut benar-benar diterapkan dan berjalan efektif.
Apa Itu Cybersecurity Compliance Bank?
Cybersecurity compliance menghubungkan persyaratan regulator dengan implementasi keamanan di dalam organisasi.
Secara sederhana, prosesnya dapat digambarkan sebagai:
Regulasi → Kebijakan → Kontrol → Implementasi → Bukti → Assessment
Sebagai contoh, kebijakan bank dapat mewajibkan penonaktifan akun pegawai yang sudah tidak bekerja. Kepatuhan tidak cukup dibuktikan dengan SOP. Auditor dapat memeriksa daftar pegawai yang keluar, waktu penonaktifan akun, approval, hingga audit log untuk memastikan kontrol benar-benar berjalan.
Karena itu, cybersecurity compliance perlu melibatkan tim IT, keamanan informasi, risk management, compliance, internal audit, hingga manajemen.
Regulasi Cybersecurity yang Perlu Diperhatikan Perbankan
Bank perlu memetakan regulasi berdasarkan kegiatan dan ruang lingkup bisnisnya.
POJK 11/POJK.03/2022
POJK Nomor 11/POJK.03/2022 mengatur Penyelenggaraan Teknologi Informasi oleh Bank Umum. Dalam penerapan manajemen risiko TI, regulasi ini secara eksplisit memasukkan keamanan siber, pengelolaan data, penggunaan pihak penyedia jasa TI, dan penggunaan TI secara umum.
Pada 2026, OJK juga menerbitkan PADK Nomor 1 Tahun 2026 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, yang berlaku mulai 1 Maret 2026.
PBI 2 Tahun 2024 dan PADG 24 Tahun 2024
Bagi bank atau entitas yang termasuk dalam lingkup pengaturan dan pengawasan Bank Indonesia terkait sistem pembayaran atau aktivitas terkait, PBI Nomor 2 Tahun 2024 menjadi rujukan penting mengenai Keamanan Sistem Informasi dan Ketahanan Siber (KKS).
Kerangka tersebut mencakup tata kelola, identifikasi dan asesmen risiko siber, proteksi, deteksi, respons, pemulihan, pengawasan, serta penerapan KKS.
Ketentuan tersebut diperjelas melalui PADG Nomor 24 Tahun 2024.
UU Pelindungan Data Pribadi
Bank juga memproses data pribadi dalam jumlah besar. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mengatur kewajiban pengendali dan prosesor dalam pemrosesan serta pelindungan data pribadi.
Kontrol Cybersecurity Apa yang Perlu Disiapkan Bank?
Regulasi perlu diterjemahkan menjadi kontrol yang dapat diterapkan dan diuji. Beberapa area penting meliputi:
1. Tata Kelola dan Manajemen Risiko Siber
Bank perlu memiliki strategi, kebijakan, pembagian tanggung jawab, cyber risk assessment, serta mekanisme pelaporan kepada manajemen.
Bukti yang dapat diperiksa antara lain kebijakan, struktur organisasi, risk register, notulen rapat, dan laporan keamanan.
2. Identity and Access Management
Kontrol dapat mencakup:
user provisioning dan termination;
role-based access;
privileged access management;
periodic access review; dan
autentikasi yang memadai.
Evidence dapat berupa daftar pengguna, approval akses, hasil access review, inventaris privileged account, dan audit log.
3. Vulnerability Management dan Security Testing
Bank perlu mengidentifikasi serta menangani kerentanan sebelum dimanfaatkan oleh penyerang.
Bukti kepatuhan dapat berupa laporan Vulnerability Assessment, Penetration Testing, patch management, tiket remediation, dan hasil retest.
Baca juga panduan mengenai Audit Security Services untuk memahami bagaimana audit dapat menilai efektivitas kontrol keamanan.
4. Security Monitoring dan Incident Response
Kontrol meliputi logging, monitoring, deteksi ancaman, eskalasi, penanganan insiden, hingga evaluasi setelah insiden.
Evidence dapat berupa SIEM log, alert investigation, incident ticket, root cause analysis, dan laporan post-incident review.
5. Business Continuity dan Cyber Resilience
Bank juga perlu memastikan layanan dapat dipulihkan ketika terjadi gangguan.
Dokumen dan bukti yang biasanya diperiksa meliputi BCP, DRP, backup log, hasil restore test, serta laporan simulasi penanganan insiden.
Dokumen Tersedia, Apakah Kontrol Sudah Efektif?
Salah satu kesalahan dalam cybersecurity compliance perbankan adalah terlalu berfokus pada kelengkapan dokumen.
Assessment perlu melihat setidaknya tiga aspek:
Design effectiveness: apakah kontrol dirancang dengan tepat?
Implementation: apakah kontrol sudah diterapkan?
Operating effectiveness: apakah kontrol berjalan konsisten dalam periode tertentu?
Inilah sebabnya audit tidak cukup hanya melakukan document review. Auditor perlu melakukan wawancara, observasi, sampling, serta pemeriksaan evidence.
Bagaimana Cybersecurity Compliance Assessment Dilakukan?
Secara umum, assessment dapat dilakukan melalui tahapan berikut:
Menentukan scope sistem, proses, dan unit yang dinilai.
Regulatory mapping untuk mengidentifikasi persyaratan.
Document review terhadap kebijakan dan prosedur.
Control and evidence testing untuk menguji implementasi.
Gap analysis untuk menemukan ketidaksesuaian.
Remediation plan berdasarkan tingkat risiko dan prioritas.
Hasil assessment membantu bank mengetahui area yang sudah memadai dan kontrol yang masih perlu diperbaiki sebelum menjadi temuan audit atau meningkatkan risiko siber.
Checklist Cybersecurity Compliance Bank
Beberapa hal yang dapat diperiksa antara lain:
regulasi dan kewajiban telah dipetakan;
cyber risk assessment dilakukan;
akses pengguna direview secara berkala;
privileged account dikendalikan;
Vulnerability Assessment dan Penetration Testing dilakukan;
security monitoring berjalan;
incident response plan tersedia dan diuji;
backup dan recovery diuji;
third-party cyber risk dinilai;
evidence kontrol terdokumentasi; dan
temuan memiliki remediation plan.
Pastikan Kesiapan Cybersecurity Compliance dengan Audit yang Tepat
Cybersecurity compliance bank bukan sekadar memenuhi checklist atau memiliki sejumlah kebijakan. Bank harus mampu menunjukkan bahwa kontrol keamanan telah dirancang, diterapkan, dijalankan secara konsisten, dan didukung evidence yang dapat diverifikasi.
Assessment dan audit independen dapat membantu menemukan compliance gap, kelemahan kontrol, serta risiko yang perlu diprioritaskan sebelum berkembang menjadi temuan atau insiden keamanan.
PT Integra Teknologi Solusi melalui Cyber Security Services membantu organisasi melakukan audit security services, assessment keamanan siber, hingga Audit KKS untuk mengevaluasi tata kelola, penerapan kontrol, bukti kepatuhan, serta area yang memerlukan remediation.
Konsultasikan kebutuhan Cybersecurity Compliance dan Audit KKS organisasi Anda bersama PT Integra Teknologi Solusi untuk membangun keamanan yang lebih terukur, patuh, dan resilient.
