Transformasi layanan keuangan membuat proses transaksi semakin cepat dan terhubung. Namun, peningkatan digitalisasi juga memperbesar eksposur terhadap risiko siber yang dapat mengganggu operasional, menimbulkan kerugian, hingga berdampak pada stabilitas sistem keuangan.
Untuk memperkuat penerapan keamanan siber, Bank Indonesia menerbitkan PADG 24/2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber (KKS). Ketentuan yang berlaku sejak 31 Desember 2024 ini merupakan aturan pelaksanaan dari PBI Nomor 2 Tahun 2024 dan memberikan panduan yang lebih operasional bagi pihak yang diatur dan diawasi Bank Indonesia.
Salah satu aspek penting yang perlu diperhatikan adalah audit KKS. Karena itu, organisasi tidak cukup hanya memiliki perangkat keamanan, tetapi perlu memastikan tata kelola, kontrol, prosedur, hingga bukti implementasinya siap dievaluasi.
Apa Itu PADG 24/2024?
PADG 24/2024 mengatur pelaksanaan teknis KKS bagi penyelenggara sistem pembayaran, pelaku Pasar Uang dan Pasar Valuta Asing, serta pihak lain yang termasuk dalam pengaturan dan pengawasan Bank Indonesia.
Objek pengaturannya mencakup antara lain PJP, PIP, pelaku usaha sektor keuangan di Pasar Uang dan/atau Pasar Valuta Asing, lembaga pendukung, penyelenggara KUPVA bukan bank, dan pihak lain yang ditetapkan Bank Indonesia.
Ruang lingkup KKS sendiri meliputi:
tata kelola;
pencegahan;
penanganan;
penyampaian data dan informasi;
tata cara pengenaan sanksi; dan
kolaborasi.
Dengan demikian, penerapan PADG 24/2024 tidak hanya berkaitan dengan teknologi, tetapi juga mencakup manusia, proses, kebijakan, manajemen risiko, dan kesiapan organisasi menghadapi insiden.
Apa Hubungan PADG 24/2024 dengan Audit Keamanan Siber?
Dalam PADG 24/2024, fungsi organisasi KKS meliputi manajemen KKS, manajemen Risiko Siber, dan audit KKS. Audit KKS merupakan mekanisme untuk mengevaluasi apakah pengamanan yang dirancang organisasi benar-benar diterapkan dan berjalan efektif.
Ruang Lingkup Audit KKS
Pasal 11 menetapkan bahwa audit KKS paling sedikit mencakup tiga aspek utama, yaitu:
Tata kelola, seperti strategi, kebijakan, struktur organisasi, serta pembagian peran dan tanggung jawab.
Pencegahan, termasuk identifikasi risiko, proteksi sistem dan data, serta kemampuan deteksi.
Penanganan, termasuk respons, pemulihan, simulasi, dan perbaikan setelah insiden.
Audit KKS berbeda dari sekadar vulnerability assessment atau penetration testing. Pengujian teknis dapat menjadi bagian dari evaluasi keamanan, tetapi audit KKS memiliki cakupan yang lebih luas hingga tata kelola dan proses organisasi.
Seberapa Sering Audit KKS Harus Dilakukan?
PADG 24/2024 menetapkan bahwa audit KKS dilakukan secara berkala paling sedikit satu kali dalam satu tahun. Audit dapat dilakukan oleh pihak internal dan/atau eksternal secara independen. Untuk pihak eksternal, auditor KKS harus independen dan terdaftar pada SRO dan/atau otoritas lain.
Hasil audit kemudian disampaikan kepada manajemen tertinggi dan digunakan sebagai dasar perbaikan tata kelola, pencegahan, serta penanganan KKS.
Apa yang Perlu Dipersiapkan Sebelum Audit KKS?
Kesiapan audit sebaiknya dimulai jauh sebelum auditor melakukan pemeriksaan. Beberapa area berikut perlu menjadi perhatian.
1. Kebijakan dan Prosedur KKS
Pastikan organisasi memiliki kebijakan, standar, dan prosedur yang telah ditetapkan serta dikomunikasikan. PADG menyebut aspek tersebut setidaknya mencakup pengamanan data, aplikasi, infrastruktur TI, pengamanan pihak ketiga, pelindungan konsumen, dan manajemen fraud.
2. Struktur Organisasi dan Tanggung Jawab
Dokumentasikan fungsi KKS secara jelas, termasuk siapa yang bertanggung jawab terhadap pengelolaan keamanan, risiko siber, respons insiden, dan audit.
3. Asesmen Risiko Siber
Organisasi perlu memiliki identifikasi aset, ancaman, kerentanan, hasil asesmen risiko, rencana mitigasi, serta monitoring tindak lanjut.
PADG juga mengatur pengukuran tingkat kematangan KKS yang paling sedikit mencakup tata kelola, pencegahan, dan penanganan. Hasil pengukurannya disampaikan kepada manajemen tertinggi.
4. Kesiapan Respons dan Pemulihan Insiden
Pastikan tersedia rencana penanganan dan pemulihan insiden, termasuk prosedur eskalasi, komunikasi, simulasi, backup, serta mekanisme pengembalian layanan ke kondisi normal. PADG secara eksplisit memasukkan simulasi dan uji coba penanganan serta pemulihan insiden ke dalam aspek penanganan KKS.
5. Bukti Implementasi Kontrol
Dokumen saja belum cukup. Organisasi perlu menyiapkan audit evidence yang menunjukkan kontrol benar-benar dijalankan, misalnya:
log dan laporan monitoring;
tiket insiden;
bukti approval;
hasil vulnerability assessment;
laporan pengujian backup atau disaster recovery;
notulen evaluasi;
bukti pelatihan keamanan; dan
dokumentasi corrective action.
Mengapa Gap Assessment Penting Sebelum Audit?
Gap assessment membantu organisasi membandingkan kondisi aktual dengan persyaratan yang perlu dipenuhi. Dari proses tersebut, perusahaan dapat mengetahui kelemahan kontrol, dokumen yang belum memadai, evidence yang belum tersedia, hingga area yang membutuhkan prioritas perbaikan.
Pendekatan ini juga membantu tim TI, keamanan informasi, risk management, compliance, dan internal audit mempersiapkan audit secara lebih terstruktur.
Untuk memahami pendekatan audit lebih luas, baca juga Audit Keamanan Informasi.
Persiapkan Audit KKS secara Lebih Sistematis
Implementasi PADG 24/2024 bukan sekadar memenuhi kebutuhan dokumentasi. Organisasi perlu membuktikan bahwa pengelolaan risiko, kontrol keamanan, deteksi, respons, dan pemulihan benar-benar berjalan serta dievaluasi secara berkelanjutan.
Jika organisasi Anda perlu mengetahui gap sebelum audit atau membutuhkan evaluasi keamanan secara independen, Cyber Security Services dapat membantu melalui audit keamanan informasi, evaluasi kontrol, gap assessment, dan rekomendasi perbaikan sesuai kebutuhan organisasi.
Konsultasikan kebutuhan audit security services dan kesiapan audit KKS organisasi Anda agar proses evaluasi dapat dilakukan secara lebih sistematis, terukur, dan tepat sasaran.
