Digitalisasi layanan keuangan membuat transaksi semakin cepat dan efisien. Namun, ketergantungan pada sistem digital juga meningkatkan risiko serangan siber yang dapat mengganggu operasional, menyebabkan kerugian finansial, hingga berdampak pada stabilitas sistem keuangan.
Untuk memperkuat ketahanan sektor tersebut, Bank Indonesia menerbitkan PBI 2/2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber (KKS). Regulasi ini menjadi salah satu acuan penting bagi penyelenggara yang berada dalam pengaturan dan pengawasan Bank Indonesia untuk meningkatkan keamanan siber secara sistematis.
Apa Itu PBI 2/2024?
Peraturan Bank Indonesia Nomor 2 Tahun 2024 mengatur Keamanan Sistem Informasi dan Ketahanan Siber bagi Penyelenggara Sistem Pembayaran, pelaku Pasar Uang dan Pasar Valuta Asing, serta pihak lain yang diatur dan diawasi Bank Indonesia.
Tujuannya bukan sekadar mencegah serangan. Penyelenggara juga dituntut memiliki kemampuan yang antisipatif, adaptif, dan proaktif dalam menghadapi risiko siber serta mampu merespons dan memulihkan layanan setelah insiden.
Ketentuan lebih teknis kemudian dijabarkan melalui PADG Nomor 24 Tahun 2024 tentang KKS.
Siapa yang Perlu Memahami PBI 2/2024?
PBI 2/2024 tidak otomatis berlaku bagi seluruh perusahaan. Berdasarkan ketentuan pelaksanaannya, objek pengaturan KKS antara lain mencakup:
Penyedia Jasa Pembayaran (PJP);
Penyelenggara Infrastruktur Sistem Pembayaran (PIP);
penyelenggara di Pasar Uang dan Pasar Valuta Asing;
lembaga pendukung Pasar Uang dan Pasar Valuta Asing;
penyelenggara kegiatan usaha penukaran valuta asing bukan bank; dan
pihak lain yang diatur dan diawasi Bank Indonesia.
Artinya, perbankan, BUMN/BUMD, maupun perusahaan lain perlu terlebih dahulu melihat aktivitas, perizinan, dan posisi mereka dalam ekosistem yang diawasi Bank Indonesia.
Untuk industri Sistem Pembayaran, perusahaan juga perlu memperhatikan perkembangan regulasi terbaru. Sejak 31 Maret 2026, PBI Nomor 10 Tahun 2025 tentang Pengaturan Industri Sistem Pembayaran berlaku dan turut mengatur tata kelola, manajemen risiko, serta keamanan dan keandalan sistem informasi dan siber.
Apa Saja yang Diatur dalam PBI 2/2024?
Kerangka KKS tidak hanya membahas perangkat keamanan. Pengaturannya mencakup manusia, proses, tata kelola, hingga teknologi.
1. Tata Kelola KKS
Penyelenggara perlu memiliki rencana strategis, kebijakan, standar, prosedur, fungsi organisasi, dan budaya KKS. Dengan demikian, keamanan siber menjadi tanggung jawab organisasi, bukan hanya tim TI.
2. Pencegahan Risiko Siber
Pencegahan meliputi identifikasi risiko siber, asesmen risiko, analisis dampak bisnis, pembangunan sistem pertahanan, perlindungan data, serta kegiatan pemantauan dan deteksi ancaman.
3. Respons dan Pemulihan Insiden
Organisasi perlu menyiapkan rencana penanganan dan pemulihan, melakukan simulasi, menangani insiden, mengembalikan layanan ke kondisi normal, serta melakukan perbaikan berkelanjutan.
4. Pelaporan dan Tingkat Kematangan KKS
Petunjuk teknis Bank Indonesia mewajibkan penyelenggara dalam cakupan pelaporan menyampaikan laporan tingkat kematangan KKS secara tahunan, paling lambat 31 Januari untuk periode tahun sebelumnya. Jika terjadi insiden siber, notifikasi awal disampaikan maksimal 1 jam setelah diketahui, sedangkan laporan insiden disampaikan maksimal 3 hari kalender setelah kejadian.
Mengapa Audit KKS Penting?
Penerapan berbagai kebijakan keamanan belum tentu berarti seluruh kontrol sudah efektif. Di sinilah audit KKS membantu organisasi mendapatkan gambaran objektif mengenai kondisi keamanan aktual.
Audit dapat digunakan untuk memeriksa kesesuaian kebijakan, proses, kontrol teknis, dokumentasi, hingga bukti penerapan.
Dalam format asesmen tingkat kematangan KKS Bank Indonesia terdapat indikator bahwa audit KKS dilakukan minimal satu kali dalam satu tahun, mencakup tata kelola, pencegahan, dan penanganan. Terdapat pula indikator mengenai pelaksanaan audit oleh auditor KKS eksternal yang independen.
Baca juga: Audit Keamanan Informasi untuk memahami bagaimana proses audit membantu mengidentifikasi kesenjangan pengendalian keamanan.
Apa yang Perlu Dipersiapkan Sebelum Audit KKS?
Sebelum assessment atau audit dilakukan, organisasi dapat mempersiapkan beberapa evidence utama, seperti:
kebijakan dan prosedur KKS;
struktur organisasi dan penanggung jawab keamanan;
profil dan register risiko siber;
hasil Business Impact Analysis;
inventaris aset serta sistem kritikal;
mekanisme access management, logging, dan monitoring;
incident response dan disaster recovery plan;
hasil vulnerability assessment atau security testing;
bukti simulasi penanganan insiden; serta
hasil audit dan tindak lanjut temuan sebelumnya.
Petunjuk teknis BI bahkan membedakan cakupan asesmen berdasarkan kewajiban pelaporan dan riwayat insiden. Untuk penyelenggara dengan kewajiban pelaporan penuh, asesmen dapat mencakup 267 hingga 318 indikator KKS.
Tingkatkan Kesiapan KKS dengan Cyber Security Services
Memahami PBI 2/2024 merupakan langkah awal. Tantangan berikutnya adalah memastikan kebijakan, proses, teknologi, dan bukti penerapan benar-benar sesuai dengan kebutuhan KKS serta mampu mendukung ketahanan organisasi menghadapi serangan siber.
Melalui Cyber Security Services, organisasi dapat melakukan audit KKS, mengidentifikasi gap keamanan, mengevaluasi efektivitas pengendalian, serta memperoleh rekomendasi perbaikan untuk meningkatkan tingkat kematangan KKS.
Konsultasikan kebutuhan audit security services dan kesiapan KKS organisasi Anda agar proses peningkatan keamanan siber dapat dilakukan secara terarah, terukur, dan sesuai kebutuhan regulasi.
