Digitalisasi layanan perbankan memberikan kemudahan bagi nasabah, tetapi pada saat yang sama meningkatkan ketergantungan bank terhadap sistem teknologi informasi. Mobile banking, API, pusat data, cloud, hingga integrasi dengan penyedia layanan pihak ketiga memperluas permukaan serangan yang harus dikelola.
Karena itu, ketahanan siber perbankan tidak cukup diukur dari keberadaan firewall, antivirus, atau Security Operations Center (SOC). Pertanyaan yang lebih penting adalah: apakah bank mampu mendeteksi, merespons, mempertahankan layanan kritis, dan memulihkan operasional ketika insiden siber benar-benar terjadi?
Apa Itu Ketahanan Siber Perbankan?
Ketahanan siber atau cyber resilience adalah kemampuan organisasi untuk tetap menjalankan fungsi penting ketika menghadapi ancaman maupun insiden siber, sekaligus memulihkan kondisi operasional secara efektif.
Konsep ini lebih luas daripada keamanan siber. Keamanan siber berfokus pada perlindungan terhadap sistem dan data, sedangkan ketahanan siber juga mencakup kemampuan untuk menghadapi, merespons, dan pulih dari gangguan.
Dalam SEOJK No. 29/SEOJK.03/2022, OJK mengatur ketahanan dan keamanan siber bagi bank umum. Proses ketahanan siber yang ditetapkan mencakup identifikasi aset, ancaman, dan kerentanan; pelindungan aset; deteksi insiden; serta penanggulangan dan pemulihan insiden siber.
Mengapa Ketahanan Siber Penting bagi Bank?
Insiden siber dapat berdampak lebih luas daripada gangguan teknis. Serangan terhadap sistem kritis dapat menghambat transaksi, mengganggu layanan nasabah, menimbulkan risiko kebocoran data, hingga memengaruhi reputasi bank.
Karena itu, pendekatan keamanan perlu bergeser dari sekadar mencegah seluruh serangan menjadi mempersiapkan organisasi agar tetap mampu beroperasi ketika serangan berhasil menembus pertahanan.
Regulasi OJK juga mengharuskan bank melakukan penilaian risiko inheren keamanan siber secara tahunan. Penilaiannya memperhatikan setidaknya empat faktor, yaitu teknologi, produk bank, karakteristik organisasi, dan rekam jejak insiden siber.
Bagaimana Menilai Kesiapan Ketahanan Siber Bank?
Penilaian kesiapan menghadapi insiden siber perlu dilakukan secara menyeluruh terhadap tata kelola, teknologi, proses, dan sumber daya manusia.
1. Evaluasi Tata Kelola dan Risiko Siber
Bank perlu memastikan terdapat struktur pengelolaan keamanan siber yang jelas.
Assessment dapat mengevaluasi beberapa aspek, seperti:
strategi dan kebijakan keamanan siber;
pembagian peran dan tanggung jawab;
cyber risk register;
mekanisme eskalasi kepada manajemen; dan
pemantauan tindak lanjut risiko.
Bank seharusnya dapat menjawab dengan jelas risiko siber apa yang berpotensi mengganggu layanan bisnis paling kritis.
2. Identifikasi Aset dan Layanan Kritis
Organisasi perlu mengetahui aset apa yang harus diprioritaskan ketika insiden terjadi.
Identifikasi mencakup aplikasi kritis, database, jaringan, server, pusat data, API, cloud, serta ketergantungan terhadap vendor.
Tanpa pemetaan aset dan dependensi yang baik, bank akan lebih sulit menentukan prioritas respons dan pemulihan.
3. Evaluasi Efektivitas Kontrol Keamanan
Keberadaan kontrol belum tentu menunjukkan bahwa kontrol tersebut bekerja efektif.
Assessment dapat mencakup:
Identity and Access Management (IAM);
Vulnerability dan Patch Management;
keamanan jaringan dan endpoint;
perlindungan data;
konfigurasi keamanan; serta
pengelolaan akses istimewa.
Untuk evaluasi yang lebih komprehensif, bank dapat melakukan Audit Keamanan Informasi guna mengidentifikasi kelemahan kontrol dan risiko yang perlu diperbaiki.
4. Uji Kemampuan Deteksi Insiden
Kecepatan mendeteksi serangan sangat menentukan besarnya dampak insiden.
Bank perlu mengevaluasi efektivitas SOC, SIEM, security logging, alert management, serta mekanisme pemantauan aktivitas mencurigakan.
Pertanyaan sederhananya adalah: seberapa cepat tim mengetahui bahwa sistem sedang diserang?
5. Evaluasi Incident Response
Bank perlu memiliki Incident Response Plan yang tidak hanya terdokumentasi, tetapi juga dapat dijalankan.
Evaluasi dapat mencakup klasifikasi insiden, matriks eskalasi, pembagian peran, komunikasi dengan manajemen dan regulator, hingga koordinasi dengan vendor.
Tabletop exercise atau simulasi insiden juga penting untuk mengetahui apakah tim benar-benar memahami tindakan yang harus dilakukan ketika kondisi darurat terjadi.
6. Evaluasi Business Continuity dan Disaster Recovery
Ketahanan siber berkaitan erat dengan kemampuan menjaga layanan tetap tersedia dan memulihkan sistem.
Bank perlu menguji:
Business Continuity Plan (BCP);
Disaster Recovery Plan (DRP);
backup dan redundansi;
Recovery Time Objective (RTO);
Recovery Point Objective (RPO); dan
keberhasilan proses pemulihan.
Dokumen BCP atau DRP saja tidak cukup. Target pemulihan perlu dibuktikan melalui pengujian berkala.
7. Evaluasi Risiko Pihak Ketiga
Serangan tidak selalu berasal langsung dari infrastruktur internal. Vendor teknologi, cloud provider, API partner, dan penyedia layanan lainnya dapat menjadi bagian dari rantai risiko.
Karena itu, security assessment perbankan perlu mengevaluasi pengelolaan risiko pihak ketiga, persyaratan keamanan dalam kontrak, mekanisme monitoring, dan prosedur respons apabila vendor mengalami insiden.
Apa Hasil dari Assessment Ketahanan Siber?
Assessment yang baik tidak berhenti pada daftar temuan.
Bank seharusnya memperoleh gambaran mengenai:
kondisi keamanan saat ini (current state);
kesenjangan kontrol;
risiko berdasarkan tingkat prioritas;
efektivitas proses deteksi, respons, dan pemulihan;
tingkat kesiapan atau kematangan; serta
remediation roadmap yang dapat ditindaklanjuti.
Dengan demikian, investasi keamanan dapat diarahkan pada risiko yang memberikan dampak terbesar terhadap operasional bank.
Bagi bank atau entitas yang termasuk dalam ruang lingkup pihak yang diatur dan diawasi Bank Indonesia, PBI No. 2 Tahun 2024 dan PADG No. 24 Tahun 2024 juga menjadi rujukan terkait penerapan keamanan sistem informasi dan ketahanan siber.
Tingkatkan Ketahanan Siber melalui Cyber Security Services
Bank yang memiliki banyak perangkat keamanan belum tentu siap ketika insiden terjadi. Kesiapan perlu dibuktikan melalui evaluasi terhadap tata kelola, kontrol keamanan, deteksi, incident response, business continuity, dan proses pemulihan.
Melalui Cyber Security Services dan audit KKS (Keamanan Sistem Informasi dan Ketahanan Siber), organisasi dapat memperoleh penilaian yang lebih objektif terhadap kondisi keamanan saat ini, menemukan gap, menentukan risiko prioritas, serta menyusun roadmap perbaikan.
Ingin mengetahui seberapa siap organisasi Anda menghadapi insiden siber? Konsultasikan kebutuhan Cyber Security Services bersama PT Integra Teknologi Solusi untuk membangun keamanan serta ketahanan siber yang lebih terukur dan berkelanjutan.
