Bank dapat memiliki firewall, endpoint protection, SIEM, multi-factor authentication (MFA), prosedur incident response, hingga sistem backup. Namun, keberadaan berbagai kontrol tersebut belum otomatis membuktikan bahwa keamanan siber bank sudah efektif.
Di sinilah security control assessment dibutuhkan. Assessment membantu bank memastikan bahwa kontrol keamanan bukan hanya tersedia di atas kertas, tetapi benar-benar diterapkan, dijalankan secara konsisten, dan mampu menurunkan risiko siber.
Apa Itu Security Control Assessment?
Security control assessment adalah proses sistematis untuk mengevaluasi apakah kontrol keamanan telah dirancang dengan tepat, diimplementasikan, dan beroperasi secara efektif untuk mencapai tujuan keamanan yang ditetapkan.
NIST SP 800-53A Rev. 5 menjelaskan metode assessment yang dapat digunakan untuk memverifikasi apakah kontrol telah diterapkan, memenuhi tujuan kontrol, dan menghasilkan outcome keamanan yang diharapkan.
Artinya, assessment tidak cukup hanya dengan menanyakan, “Apakah kontrol sudah tersedia?”. Assessor juga perlu mencari bukti bahwa kontrol tersebut benar-benar berjalan.
Mengapa Bank Perlu Menguji Efektivitas Kontrol Keamanan Siber?
Operasional bank semakin bergantung pada aplikasi, jaringan, data nasabah, layanan digital, hingga pihak ketiga. Kelemahan satu kontrol dapat meningkatkan risiko akses tidak sah, kebocoran data, fraud, ransomware, atau terganggunya layanan.
Kebutuhan tersebut juga berkaitan dengan regulasi. PADK OJK Nomor 1 Tahun 2026 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, yang berlaku sejak 1 Maret 2026, mengatur antara lain tata kelola TI, manajemen risiko TI, pengamanan informasi dan jaringan, penggunaan penyedia jasa TI, serta pengendalian dan audit intern.
Sementara itu, PBI Nomor 2 Tahun 2024 mengatur kerangka Keamanan Sistem Informasi dan Ketahanan Siber (KKS) bagi penyelenggara sistem pembayaran dan pihak lain yang berada dalam pengaturan dan pengawasan Bank Indonesia. Kerangkanya mencakup tata kelola, identifikasi, proteksi, deteksi, respons, dan pemulihan.
Dengan demikian, pengujian kontrol juga membantu organisasi memperoleh bukti objektif mengenai kesiapan dan efektivitas pengelolaan risiko siber.
Kontrol Keamanan Apa Saja yang Perlu Dinilai?
Ruang lingkup cybersecurity control assessment sebaiknya disesuaikan dengan profil risiko dan sistem kritikal bank. Beberapa area penting meliputi:
tata kelola dan manajemen risiko keamanan siber;
identity and access management, termasuk privileged access dan MFA;
keamanan jaringan, server, endpoint, serta konfigurasi sistem;
perlindungan dan klasifikasi data;
vulnerability dan patch management;
logging, monitoring, SIEM, dan proses deteksi;
incident response;
backup, disaster recovery, dan business continuity;
keamanan pihak ketiga; serta
security awareness bagi pegawai.
Pendekatan tersebut selaras dengan konsep NIST Cybersecurity Framework 2.0 yang mengelompokkan pengelolaan risiko siber ke dalam enam fungsi utama: Govern, Identify, Protect, Detect, Respond, dan Recover.
Bagaimana Cara Melakukan Security Control Assessment?
1. Menentukan Ruang Lingkup dan Baseline Kontrol
Assessment dimulai dengan menentukan aplikasi, infrastruktur, proses bisnis, unit, serta kontrol yang akan diuji. Prioritas sebaiknya diberikan pada aset dan layanan yang memiliki risiko tinggi.
2. Mengevaluasi Desain Kontrol
Assessor menilai apakah desain kontrol sudah memadai untuk menangani risiko.
Contohnya, bank menetapkan bahwa akses pengguna harus ditinjau setiap tiga bulan. Pada tahap ini, assessor mengevaluasi apakah frekuensi, tanggung jawab, serta prosedur review sudah dirancang dengan tepat.
3. Memastikan Kontrol Benar-Benar Diimplementasikan
Dokumen kebijakan belum cukup. Assessor perlu mencari evidence seperti:
konfigurasi sistem;
log aktivitas;
tiket perubahan;
bukti persetujuan;
laporan monitoring;
hasil access review; atau
dokumentasi pengujian.
4. Menguji Operating Effectiveness
Tahap berikutnya adalah melakukan security control testing melalui walkthrough, wawancara, observasi, sampling, pemeriksaan konfigurasi, dan pengujian teknis.
Misalnya, assessor mengambil sampel pegawai yang sudah keluar. Selanjutnya diperiksa apakah akun dan hak akses mereka benar-benar dinonaktifkan sesuai SLA.
5. Mengidentifikasi Gap dan Risiko
Hasil assessment sebaiknya tidak hanya berupa status pass atau fail. Setiap kelemahan perlu dihubungkan dengan risiko dan dampak bisnis.
Alurnya dapat berupa:
Control Gap → Threat → Business Impact → Risk Level → Recommendation
6. Menyusun Remediation Plan
Setiap temuan idealnya dilengkapi akar penyebab, rekomendasi, prioritas, PIC, serta target penyelesaian. Dengan begitu, manajemen dapat memprioritaskan perbaikan berdasarkan tingkat risiko.
Contoh Pengujian Efektivitas Kontrol
MFA
Jangan hanya memastikan MFA tersedia. Periksa apakah MFA sudah diterapkan pada seluruh akun kritikal, termasuk administrator, serta apakah terdapat pengecualian yang belum dikelola.
Patch Management
Keberadaan SOP patch management tidak membuktikan kontrol efektif. Ambil sampel vulnerability kritikal dan periksa apakah remediation dilakukan sesuai SLA.
Backup
Status backup “successful” belum cukup. Efektivitasnya perlu dibuktikan melalui hasil restore test untuk memastikan data benar-benar dapat dipulihkan.
Incident Response
Keberadaan incident response plan juga perlu dilengkapi bukti simulasi, eskalasi, komunikasi, respons, hingga evaluasi setelah insiden.
Apa Bedanya dengan VA dan Penetration Testing?
Security control assessment memiliki cakupan lebih luas.
Vulnerability Assessment (VA) fokus menemukan kerentanan teknis, sedangkan penetration testing melakukan simulasi eksploitasi terhadap kelemahan tertentu. Security control assessment mengevaluasi kontrol dari aspek manusia, proses, teknologi, governance, hingga bukti operasional.
Ketiganya dapat saling melengkapi. Pelajari juga pembahasan mengenai audit teknologi informasi dan penetration testing.
Security Control Assessment untuk Mendukung Audit KKS
Hasil assessment dapat membantu organisasi mengidentifikasi kelemahan lebih awal sebelum pelaksanaan audit, menyiapkan evidence, serta menyusun prioritas perbaikan.
Pendekatan ini penting dalam audit KKS karena pengujian tidak berhenti pada keberadaan dokumen. Organisasi perlu memperoleh keyakinan bahwa kontrol tata kelola, proteksi, deteksi, respons, dan pemulihan benar-benar bekerja sesuai tujuan.
Assessment independen juga dapat memberikan perspektif yang lebih objektif terhadap control gap dan risiko yang mungkin tidak terlihat dalam self-assessment.
Tingkatkan Efektivitas Kontrol dengan Cyber Security Services
Keamanan siber yang kuat bukan sekadar memiliki banyak security tools, tetapi memastikan setiap kontrol bekerja secara efektif ketika dibutuhkan.
Melalui Cyber Security Services, PT Integra Teknologi Solusi membantu organisasi melakukan security control assessment, audit keamanan informasi, dan audit KKS untuk mengevaluasi kondisi kontrol, menemukan gap, memetakan risiko, serta menyusun rekomendasi dan remediation roadmap.
Pelajari layanan Audit Keamanan Informasi untuk mengetahui cakupan assessment yang dapat disesuaikan dengan kebutuhan organisasi.
Konsultasikan kebutuhan security assessment atau audit KKS organisasi Anda bersama tim kami untuk memastikan kontrol keamanan tidak hanya tersedia, tetapi benar-benar efektif dalam menghadapi risiko siber.
