Audit keamanan siber tidak berhenti ketika auditor selesai melakukan pemeriksaan. Bagi penyelenggara yang berada dalam cakupan pengaturan Bank Indonesia (BI), hasil evaluasi keamanan perlu didokumentasikan, ditindaklanjuti, dan dilaporkan sesuai ketentuan yang berlaku.
Dalam konteks audit keamanan siber Bank Indonesia, organisasi juga perlu membedakan laporan audit sistem informasi dengan laporan tahunan Keamanan Sistem Informasi dan Ketahanan Siber (KKS). Keduanya berkaitan, tetapi memiliki bentuk dan tenggat pelaporan yang berbeda.
Pemahaman ini penting bagi bank, Penyelenggara Sistem Pembayaran (PSP), serta pihak lain yang diatur dan diawasi BI agar pelaporan audit KKS tidak terlambat atau keliru.
Ketentuan Audit Keamanan Siber Bank Indonesia
Bank Indonesia menerbitkan PBI Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber bagi Penyelenggara Sistem Pembayaran, pelaku Pasar Uang dan Pasar Valuta Asing, serta pihak lain yang diatur dan diawasi BI.
Regulasi tersebut mencakup tiga area utama KKS, yaitu tata kelola, pencegahan, dan penanganan risiko maupun insiden siber.
Ketentuan teknisnya kemudian dijabarkan melalui PADG Nomor 24 Tahun 2024, yang berlaku sejak 31 Desember 2024. PADG ini antara lain mengatur penerapan KKS dan kewajiban penyampaian laporan kepada Bank Indonesia.
Berdasarkan Petunjuk Teknis Pelaporan KKS BI, audit KKS juga menjadi salah satu indikator penilaian tingkat kematangan. Audit dinilai antara lain dari frekuensi pelaksanaan, cakupan pemeriksaan, independensi auditor, serta pemanfaatan hasil audit oleh manajemen.
Apa Saja yang Harus Dilaporkan ke Bank Indonesia?
Istilah pelaporan audit KKS perlu dipahami secara tepat. Laporan audit, laporan kematangan KKS, dan laporan pengujian keamanan bukanlah dokumen yang sama.
1. Laporan Tingkat Kematangan KKS
Penyelenggara dengan kewajiban pelaporan penuh maupun sebagian menyampaikan laporan tingkat kematangan KKS setiap tahun.
Laporan untuk periode tahun sebelumnya harus disampaikan paling lambat 31 Januari. Sebagai contoh, laporan periode 2025 harus disampaikan paling lambat 31 Januari 2026.
2. Laporan Hasil Identifikasi IIV
Selain tingkat kematangan KKS, laporan tahunan juga mencakup hasil identifikasi Infrastruktur Informasi Vital (IIV). Tenggatnya sama, yaitu paling lambat 31 Januari untuk periode tahun sebelumnya.
3. Laporan Hasil Audit Sistem Informasi
Khusus bagi PSP, PADG Nomor 32 Tahun 2025 tentang Pengaturan Industri Sistem Pembayaran, yang berlaku sejak 31 Maret 2026, mengatur laporan hasil audit sistem informasi dari auditor internal atau eksternal.
Laporan tersebut harus disampaikan maksimal 10 hari kerja setelah laporan audit selesai.
4. Laporan Pengujian Keamanan
PADG yang sama juga mengatur laporan pengujian keamanan dari auditor independen internal atau eksternal. Batas penyampaiannya paling lambat 10 hari kerja setelah laporan audit selesai.
Karena itu, organisasi tidak sebaiknya menganggap semua laporan terkait audit keamanan memiliki tenggat 31 Januari.
Bagaimana Audit KKS Mendukung Pelaporan?
Audit membantu organisasi memperoleh gambaran objektif mengenai kondisi penerapan kontrol keamanan.
Petunjuk teknis BI mencantumkan bahwa audit KKS dilakukan minimal satu kali dalam satu tahun dan mencakup aspek tata kelola, pencegahan, serta penanganan. Hasil audit juga menjadi indikator yang dinilai apakah telah disampaikan kepada manajemen tertinggi dan digunakan untuk perbaikan.
Dengan demikian, alurnya dapat digambarkan sebagai:
penerapan kontrol → audit dan evaluasi → identifikasi temuan → perbaikan → pengukuran kematangan → pelaporan.
Audit bukan sekadar menghasilkan dokumen, tetapi membantu memastikan bahwa penilaian KKS memiliki bukti yang dapat dipertanggungjawabkan.
Baca juga mengenai Audit Keamanan Informasi untuk memahami bagaimana evaluasi keamanan membantu mengidentifikasi risiko dan efektivitas kontrol.
Persiapan Sebelum Audit dan Pelaporan KKS
1. Tentukan Ruang Lingkup Audit
Ruang lingkup perlu disesuaikan dengan sistem, proses, dan risiko organisasi. Audit KKS idealnya mencakup tata kelola, pencegahan, hingga kesiapan penanganan insiden sesuai area KKS yang diatur BI.
2. Siapkan Dokumen dan Bukti Penerapan
Organisasi dapat mulai mengumpulkan bukti seperti:
kebijakan dan prosedur KKS;
cyber risk register;
inventaris aset;
hasil vulnerability assessment dan penetration testing;
log pemantauan keamanan;
incident response plan;
BCP dan DRP;
hasil pengujian backup dan recovery;
hasil audit sebelumnya; serta
daftar temuan dan rencana tindak lanjut.
Evidence sebaiknya tidak baru dikumpulkan ketika auditor datang. Pengelolaan yang konsisten akan mempermudah proses pemeriksaan dan penyusunan laporan.
3. Pastikan Auditor Memiliki Kompetensi dan Independensi
Petunjuk teknis BI memasukkan penggunaan auditor KKS eksternal independen yang terdaftar pada SRO dan/atau otoritas lain sebagai salah satu indikator penilaian.
Karena itu, pemilihan auditor perlu mempertimbangkan kompetensi, independensi, pengalaman, serta kesesuaian metodologi audit.
4. Susun Remediation Plan
Setiap temuan sebaiknya dilengkapi dengan risiko, akar penyebab, rekomendasi, PIC, target penyelesaian, dan status tindak lanjut.
Langkah ini penting agar hasil audit tidak berhenti sebagai laporan formal, tetapi benar-benar meningkatkan ketahanan siber organisasi.
Hindari Kesalahan dalam Pelaporan Audit KKS
Beberapa kesalahan yang perlu dihindari antara lain menyamakan laporan audit dengan laporan tingkat kematangan KKS, terlambat menyiapkan evidence, memiliki ruang lingkup audit yang tidak memadai, serta tidak memonitor penyelesaian temuan.
Selain itu, jangan menjadikan audit sekadar aktivitas compliance tahunan. Hasil audit seharusnya memberikan dasar bagi manajemen untuk menentukan prioritas perbaikan keamanan.
Persiapkan Audit KKS dengan Cyber Security Services
Persiapan audit keamanan siber Bank Indonesia membutuhkan pemahaman regulasi sekaligus kemampuan untuk menilai implementasi kontrol secara objektif.
Melalui Cyber Security Services, organisasi dapat memperoleh dukungan dalam mengidentifikasi kesenjangan keamanan, mengevaluasi efektivitas pengendalian, mengukur kematangan KKS, serta menyusun rekomendasi perbaikan berbasis risiko dan bukti.
Jika organisasi Anda sedang mempersiapkan audit KKS atau ingin mengevaluasi kesiapan terhadap ketentuan Bank Indonesia, konsultasikan kebutuhan audit security services organisasi Anda agar proses audit dan tindak lanjut dapat dilakukan secara lebih terstruktur.
