Panduan Kepatuhan Bank Indonesia (PBI 2/2024)

Peraturan Bank Indonesia Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber, sering disebut ISSCR, memperkuat pertahanan siber di seluruh ekosistem pembayaran Indonesia. Peraturan ini berlaku bagi penyedia jasa pembayaran, yang dikenal sebagai PJP, dan penyelenggara infrastruktur sistem pembayaran, yang dikenal sebagai PIP, yang beroperasi di bawah pengawasan Bank Indonesia. Peraturan ini merespons meningkatnya volume dan kecanggihan serangan terhadap jalur pembayaran, tempat ketersediaan dan kepercayaan sangat penting. Tujuannya adalah menaikkan standar dasar manajemen risiko siber bagi pelaku bank maupun nonbank dalam sistem pembayaran.

Peraturan ini mengharapkan penyelenggara memelihara kebijakan manajemen risiko dan prosedur operasional standar yang memadai yang mengatur cara sistem informasi diamankan dan cara risiko siber ditangani. Ketersediaan layanan menjadi perhatian khusus, karena gangguan pada layanan pembayaran memengaruhi ekonomi yang lebih luas. Penyelenggara juga diharapkan merencanakan pemulihan, dengan rencana pemulihan bencana yang tidak sekadar didokumentasikan tetapi diuji secara berkala. Tata kelola, dokumentasi, dan pengujian yang dapat diulang mengalir di sepanjang peraturan ini. Karena ekosistem pembayaran mencakup banyak pelaku yang saling terhubung, kelemahan pada satu penyelenggara dapat merembet ke luar, itulah sebabnya harapan dasar berlaku secara konsisten bagi peserta bank maupun nonbank.

Persyaratan yang khas adalah bahwa penyelenggara harus menjalankan simulasi ketahanan siber setidaknya sekali setahun. Ini adalah harapan berbasis latihan: menjelaskan ketahanan di atas kertas saja tidak cukup, penyelenggara harus mempraktikkan bagaimana mereka akan mendeteksi, merespons, dan pulih dari peristiwa siber. Lapisan manusia adalah bagian alami dari simulasi semacam itu, karena orang yang menerima, melaporkan, dan merespons aktivitas mencurigakan menjadi sentral atas berhasil atau tidaknya sebuah serangan. Penyelenggara juga diharapkan melaporkan penerapan ISSCR mereka kepada Bank Indonesia.

Halaman ini menyajikan informasi umum dan bukan nasihat hukum; PJP dan PIP sebaiknya memastikan cakupan, tenggat, dan format pelaporan yang tepat yang berlaku bagi mereka dengan penasihat hukum berkualifikasi serta kontak pengawasan Bank Indonesia mereka. Claro mendukung elemen lapisan manusia dari ISSCR, termasuk kesadaran, simulasi phishing sebagai bagian dari latihan ketahanan, dan bukti pendukungnya, tetapi Claro sendiri tidak membuat sebuah penyelenggara patuh. Kepatuhan bergantung pada keseluruhan program manajemen risiko, ketersediaan, pemulihan, dan pelaporan yang dituntut peraturan.