Transformasi digital membuat layanan perbankan semakin bergantung pada aplikasi, data, jaringan, API, hingga layanan pihak ketiga. Kondisi ini meningkatkan kebutuhan bank untuk memastikan bahwa pengelolaan keamanan siber tidak hanya berjalan secara teknis, tetapi juga memenuhi regulasi yang berlaku.
Memiliki kebijakan dan perangkat keamanan saja belum otomatis menunjukkan kepatuhan. Bank perlu mengetahui apakah setiap persyaratan regulasi telah diterjemahkan menjadi kontrol, diterapkan secara konsisten, dan didukung bukti yang memadai. Di sinilah regulatory gap assessment berperan.
Apa Itu Regulatory Gap Assessment?
Regulatory gap assessment adalah proses membandingkan persyaratan regulasi dengan kondisi aktual kebijakan, proses, teknologi, dan kontrol keamanan organisasi.
Assessment membantu bank mengetahui mana kontrol yang telah sesuai, mana yang baru diterapkan sebagian, serta area yang masih memiliki kesenjangan kepatuhan.
Secara sederhana, prosesnya dapat digambarkan sebagai:
Regulatory Requirement → Current State → Gap → Risk → Improvement Plan
Dengan pendekatan ini, bank tidak berhenti pada pertanyaan “apakah kontrol tersedia?”, tetapi juga menilai apakah kontrol tersebut benar-benar dijalankan dan dapat dibuktikan.
Mengapa Regulatory Gap Assessment Penting bagi Bank?
Industri perbankan menghadapi risiko siber sekaligus tuntutan regulasi yang tinggi. Serangan atau gangguan terhadap sistem dapat berdampak pada data nasabah, transaksi, reputasi, hingga keberlangsungan layanan.
Dalam SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum, OJK antara lain mengatur penilaian risiko inheren keamanan siber. Penilaian tersebut mempertimbangkan sedikitnya empat faktor, yaitu teknologi, produk bank, karakteristik organisasi, dan rekam jejak insiden siber, serta dilakukan secara tahunan.
Karena itu, cybersecurity regulatory compliance membutuhkan evaluasi yang terstruktur. Regulatory gap assessment dapat membantu bank mendeteksi ketidaksesuaian lebih dini sebelum berkembang menjadi risiko yang lebih besar atau menjadi temuan pemeriksaan.
Lihat SEOJK 29/SEOJK.03/2022 di OJK
Regulasi Keamanan Siber yang Perlu Diperhatikan
Selain ketentuan OJK bagi bank umum, regulasi Keamanan Sistem Informasi dan Ketahanan Siber (KKS) dari Bank Indonesia juga relevan bagi aktivitas atau pihak yang termasuk dalam cakupan pengaturan dan pengawasan BI.
PBI Nomor 2 Tahun 2024 mengatur KKS bagi Penyelenggara Sistem Pembayaran, pelaku Pasar Uang dan Pasar Valuta Asing, serta pihak lain yang diatur dan diawasi Bank Indonesia. Regulasi tersebut mencakup antara lain tata kelola, identifikasi dan asesmen risiko, pencegahan, penanganan insiden, serta ketahanan siber.
Ketentuan pelaksanaannya diperinci melalui PADG Nomor 24 Tahun 2024, termasuk penerapan KKS berdasarkan klasifikasi penyelenggara.
Artinya, regulatory gap assessment perlu diawali dengan menentukan regulatory applicability agar organisasi menggunakan baseline yang tepat.
Apa yang Dinilai dalam Regulatory Gap Assessment?
Assessment sebaiknya tidak hanya memeriksa dokumen. Evaluasi perlu melihat hubungan antara governance, people, process, technology, dan evidence.
Area yang umumnya diperiksa meliputi:
tata kelola dan strategi keamanan siber;
manajemen risiko siber;
pengelolaan aset dan akses;
perlindungan data dan infrastruktur;
vulnerability dan security monitoring;
incident response;
backup, disaster recovery, dan business continuity;
risiko keamanan pihak ketiga;
kebijakan, SOP, laporan, serta evidence penerapan kontrol.
Sebagai contoh, bank mungkin sudah memiliki prosedur incident response. Namun, jika prosedur tersebut belum pernah diuji melalui simulasi dan tidak tersedia bukti evaluasi berkala, terdapat kemungkinan compliance gap antara dokumentasi dan implementasi nyata.
Bagaimana Regulatory Gap Assessment Dilakukan?
1. Menentukan Ruang Lingkup dan Regulasi
Tahap pertama adalah menentukan regulasi yang berlaku, unit kerja, proses, sistem, layanan digital, dan pihak ketiga yang akan dinilai.
2. Memetakan Regulatory Requirement
Setiap kewajiban regulasi diterjemahkan menjadi requirement yang dapat diuji. Requirement kemudian dikaitkan dengan control owner dan evidence yang dibutuhkan.
3. Melakukan Review dan Walkthrough
Assessor memeriksa kebijakan, SOP, risk register, laporan, konfigurasi, serta bukti lainnya. Interview dan walkthrough digunakan untuk memastikan proses yang terdokumentasi memang dijalankan.
4. Mengidentifikasi Gap dan Risiko
Temuan dapat diklasifikasikan menjadi compliant, partially compliant, non-compliant, atau not applicable.
Namun, jumlah gap saja tidak cukup. Prioritas juga perlu mempertimbangkan tingkat kepentingan regulasi, risiko siber, dampak bisnis, dan urgensi perbaikan.
5. Menyusun Improvement Plan
Tahap akhirnya adalah membuat rekomendasi dan remediation roadmap. Dengan demikian, hasil assessment dapat digunakan manajemen untuk menentukan prioritas tindakan dan investasi keamanan.
Seperti Apa Output Regulatory Gap Assessment?
Output assessment sebaiknya mampu menunjukkan hubungan antara requirement dan tindakan perbaikannya.
| Requirement | Kondisi Saat Ini | Gap | Prioritas | Perbaikan |
|---|---|---|---|---|
| Incident response testing | SOP tersedia | Simulasi belum berkala | Tinggi | Lakukan simulation test |
| Access review | Review dilakukan | Evidence belum lengkap | Tinggi | Terapkan access recertification |
| Vendor security | Assessment awal tersedia | Monitoring belum periodik | Sedang | Lakukan periodic vendor review |
Hasil akhirnya dapat dikembangkan menjadi gap register, risk rating, root cause, rekomendasi, PIC, target penyelesaian, dan remediation roadmap.
Regulatory Gap Assessment dan Security Audit, Apa Bedanya?
Regulatory gap assessment lebih berorientasi pada readiness dan improvement. Tujuannya menemukan kesenjangan antara kondisi saat ini dan persyaratan yang harus dicapai.
Sementara itu, security audit lebih menekankan pemeriksaan evidence, kepatuhan, dan efektivitas kontrol untuk memberikan assurance.
Keduanya dapat saling melengkapi. Regulatory gap assessment dapat dilakukan sebelum assessment formal atau audit KKS, sehingga organisasi memiliki kesempatan untuk menutup gap yang ditemukan.
Untuk memahami cakupan audit secara lebih luas, baca juga Audit Security Services: Panduan Lengkap Audit Keamanan Siber Perusahaan dan Jasa Audit Keamanan Informasi.
Kapan Bank Perlu Melakukan Regulatory Gap Assessment?
Assessment terutama penting ketika terdapat regulasi baru atau perubahan ketentuan, sebelum audit regulator, sebelum audit KKS, setelah implementasi sistem atau layanan digital baru, ketika terjadi perubahan infrastruktur besar, atau setelah insiden siber.
Pendekatan ini membuat compliance menjadi proses continuous improvement, bukan aktivitas reaktif menjelang pemeriksaan.
Tingkatkan Kesiapan Regulasi melalui Cyber Security Services
Regulatory gap assessment membantu bank menjawab empat pertanyaan penting: bagaimana kondisi keamanan saat ini, requirement apa yang belum dipenuhi, apa risikonya, dan perbaikan mana yang harus diprioritaskan.
Melalui Cyber Security Services, organisasi dapat melakukan regulatory mapping, assessment terhadap people, process, dan technology, identifikasi gap, pengujian kontrol, hingga penyusunan improvement plan yang lebih terarah.
Jika bank atau organisasi Anda membutuhkan regulatory gap assessment, audit security services, maupun audit KKS, konsultasikan kebutuhan tersebut bersama tim PT Integra Teknologi Solusi untuk membangun keamanan dan ketahanan siber yang lebih terukur dan sesuai kebutuhan regulasi.
