Jasa Audit Security untuk PJP, PIP, dan Perusahaan: Apa Saja yang Diperiksa?

Transformasi digital membuat operasional organisasi semakin bergantung pada aplikasi, jaringan, data, dan layanan berbasis teknologi. Kondisi ini juga meningkatkan risiko serangan siber, kebocoran data, gangguan layanan, hingga kerugian finansial.

Karena itu, menggunakan jasa audit security tidak hanya bertujuan menemukan celah teknis. Audit juga membantu PJP, PIP, perbankan, BUMN/BUMD, dan perusahaan lainnya mengevaluasi apakah tata kelola, proses, serta kontrol keamanan siber telah berjalan secara efektif.

Bagi industri sistem pembayaran, aspek keamanan bahkan menjadi perhatian regulator. PBI Nomor 10 Tahun 2025 tentang Pengaturan Industri Sistem Pembayaran, yang berlaku sejak 31 Maret 2026, memasukkan infrastruktur teknologi informasi: termasuk keamanan sistem informasi dan ketahanan siber sebagai bagian dari kriteria TIKMI bagi Penyelenggara Jasa Sistem Pembayaran (PSP), termasuk PJP dan PIP.

Apa Itu Jasa Audit Security?

Jasa audit security adalah layanan pemeriksaan terstruktur terhadap pengamanan sistem informasi untuk mengetahui apakah kontrol yang diterapkan sudah memadai dan berjalan sesuai kebutuhan organisasi.

Audit dapat mencakup tiga aspek utama, yaitu people, process, dan technology. Artinya, auditor tidak hanya memeriksa perangkat keamanan, tetapi juga kebijakan, pembagian tanggung jawab, manajemen risiko, kesiapan menghadapi insiden, hingga bukti implementasinya.

Audit Security Bukan Sekadar Penetration Testing

Audit keamanan siber dan penetration testing memiliki ruang lingkup berbeda.

Penetration testing berfokus pada simulasi serangan untuk mengetahui apakah kerentanan teknis dapat dieksploitasi. Sementara itu, audit security melihat pengamanan secara lebih luas, termasuk tata kelola, risiko, prosedur, kontrol teknis, dan efektivitas penerapannya.

Untuk memahami perbedaannya lebih dalam, baca juga Perbedaan Penetration Testing dan Vulnerability Assessment.

Siapa yang Membutuhkan Audit Security?

Audit security relevan bagi organisasi yang mengoperasikan sistem kritikal, mengelola data penting, menyediakan layanan digital, atau memiliki persyaratan kepatuhan tertentu.

Bagi PJP dan PIP, kebutuhan tersebut semakin penting karena ketentuan Bank Indonesia saat ini memasukkan keamanan siber, resiliensi aplikasi dan infrastruktur, audit teknologi informasi, laporan pengujian keamanan, serta kesinambungan kegiatan usaha dalam aspek infrastruktur TI.

Untuk perusahaan di luar ruang lingkup pengaturan BI, audit keamanan tetap dapat dilakukan berdasarkan profil risiko, regulasi sektoral, standar keamanan, kebutuhan pelanggan, atau kebijakan internal perusahaan.

Apa Saja yang Diperiksa dalam Audit Security?

Cakupan audit keamanan siber dapat berbeda sesuai kebutuhan organisasi. Namun, beberapa area berikut umumnya menjadi fokus pemeriksaan.

1. Tata Kelola dan Kebijakan Keamanan

Auditor mengevaluasi apakah organisasi memiliki:

• strategi keamanan siber;

• kebijakan, standar, dan SOP;

• pembagian peran dan tanggung jawab;

• fungsi pengawasan keamanan; serta

• program awareness bagi pegawai.

Dalam kerangka KKS Bank Indonesia, tata kelola juga mencakup rencana strategis, kebijakan, standar, prosedur, fungsi organisasi, dan budaya KKS.

2. Cybersecurity Risk Assessment

Audit memeriksa bagaimana organisasi mengidentifikasi aset, ancaman, kerentanan, dan potensi dampak terhadap bisnis.

Dokumen seperti risk register, risk treatment plan, hingga Business Impact Analysis (BIA) dapat menjadi bukti penting. Kerangka KKS juga menempatkan identifikasi risiko, asesmen risiko siber, dan analisis dampak bisnis sebagai bagian dari pencegahan risiko siber.

3. Kontrol Akses dan Perlindungan Data

Pemeriksaan dapat mencakup:

• pengelolaan akun pengguna;

• privileged access;

• autentikasi;

• segregation of duties;

• enkripsi;

• klasifikasi informasi; serta

• mekanisme backup.

Tujuannya memastikan akses terhadap data dan sistem diberikan berdasarkan kewenangan yang tepat.

4. Keamanan Infrastruktur dan Aplikasi

Auditor dapat mengevaluasi konfigurasi jaringan, server, aplikasi, patch management, hardening, hingga pengelolaan kerentanan.

Jika termasuk dalam ruang lingkup, audit dapat dilengkapi dengan vulnerability assessment maupun penetration testing. Anda dapat membaca jenis-jenis pengujian keamanan sistem TI untuk memahami metode pengujian yang dapat digunakan.

5. Monitoring dan Deteksi Ancaman

Area ini melihat kesiapan organisasi mendeteksi aktivitas mencurigakan melalui log, monitoring sistem, alert, SOC/SIEM, serta mekanisme analisis insiden.

Kerangka KKS Bank Indonesia juga mencakup pemantauan, analisis hasil pemantauan, analisis serangan siber dan kode jahat, serta pengujian sistem deteksi.

6. Incident Response

Auditor menilai apakah organisasi mempunyai incident response plan yang jelas, termasuk klasifikasi insiden, eskalasi, komunikasi, penanganan, dokumentasi, dan simulasi.

Prosedur yang terdokumentasi saja belum cukup. Organisasi juga perlu memastikan tim memahami langkah yang harus dilakukan ketika insiden benar-benar terjadi.

7. Business Continuity dan Disaster Recovery

Audit juga dapat memeriksa BCP, DRP, backup, RTO/RPO, Data Center (DC), Disaster Recovery Center (DRC), serta hasil pengujian pemulihan.

Untuk penyelenggara penunjang dalam ketentuan industri sistem pembayaran, PADG 32/2025 bahkan mencantumkan BCP dengan DC dan DRC terpisah serta pengujian pemulihan bencana paling sedikit satu kali dalam setahun sebagai bagian dari persyaratan minimum teknologi.