Checklist Ketahanan Siber OJK untuk Bank di Indonesia

Sebagian besar bank di Indonesia sudah memiliki kebijakan keamanan informasi yang tebal. Celah yang menjadi perhatian regulator jarang soal ada atau tidaknya kebijakan. Yang dinilai adalah apakah bank bisa menunjukkan, kapan pun diminta, bahwa kontrol yang tertulis benar-benar berjalan dan menghasilkan bukti. POJK 11/2022 (Penyelenggaraan Teknologi Informasi oleh Bank Umum) beserta surat edaran pendampingnya, SEOJK 29/2022, mengarah persis ke sana: tata kelola yang terstruktur, penilaian tingkat kematangan keamanan siber, pengujian berkala, dan pelaporan insiden yang disiplin kepada OJK.

Panduan ini mengubah ekspektasi tersebut menjadi checklist yang siap dipakai. Perlakukan setiap butir sebagai pertanyaan yang mungkin diajukan pemeriksa: bukan 'apakah Anda punya kebijakan soal ini?' melainkan 'tunjukkan kapan terakhir kontrol ini berjalan, siapa yang menyetujui, dan apa yang berubah sesudahnya.' Tujuannya membuat ketahanan mudah dibaca, bukan menambah beban administrasi.

Satu catatan sebelum mulai. Uraian di bawah ini adalah ringkasan dari sudut pandang praktisi, bukan nasihat hukum. Selalu cocokkan program Anda dengan teks resmi POJK 11/2022 dan SEOJK 29/2022 yang berlaku, serta panduan OJK terbaru, bersama fungsi kepatuhan dan hukum internal Anda.

Ketahanan dimulai dari kepemilikan yang jelas. Pastikan ada unit atau fungsi yang secara formal bertanggung jawab atas ketahanan dan keamanan siber, dan hal itu tercermin dalam struktur organisasi, bukan sekadar lewat email. POJK 11/2022 mengharapkan bank memiliki fungsi yang bertanggung jawab atas ketahanan dan keamanan siber, dengan Direksi memikul akuntabilitas tertinggi atas risiko TI.

Checklist: kebijakan risiko TI dan siber yang disetujui Direksi dan ditinjau minimal setahun sekali; selera risiko TI yang terdokumentasi dan terhubung dengan selera risiko bank secara keseluruhan; fungsi atau unit pemilik ketahanan siber dengan jalur pelaporan yang jelas ke Direksi; serta risalah rapat Direksi atau komite yang benar-benar membahas risiko siber dan insiden penting. Buktinya berupa artefak tata kelola: tanggal persetujuan, riwayat versi, kehadiran, dan keputusan.

Jika Direksi meninjau risiko siber setahun sekali hanya sebagai formalitas, itu temuan yang tinggal menunggu waktu. Bidik irama berkala saat metrik nyata (insiden terbuka, hasil pengujian, hasil pelatihan dan simulasi phishing) sampai ke Direksi dalam bentuk yang bisa mereka tantang.

Anda tidak bisa melindungi apa yang belum dipetakan. Pelihara inventaris terkini atas sistem elektronik kritis, data yang diproses, dan ketergantungannya, termasuk penyedia alih daya dan layanan cloud. POJK 11/2022 mewajibkan bank mengidentifikasi, mengevaluasi, dan memitigasi risiko terkait TI, termasuk risiko operasional, kebocoran data, dan serangan siber, serta mengatur ekspektasi soal lokasi pusat data dan pusat pemulihan bencana, di mana penempatan di luar negeri pada umumnya memerlukan persetujuan OJK.

Checklist: inventaris aset dan data yang ditinjau sesuai jadwal yang ditetapkan; metodologi penilaian risiko TI yang terdokumentasi dengan hasil yang mengalir ke rencana mitigasi; uji tuntas dan pemantauan berkelanjutan terhadap penyedia layanan teknologi, lengkap dengan hak keamanan dan hak audit dalam kontrak; serta catatan yang jelas tentang lokasi sistem dan data kritis, beserta dasar setiap penempatan lintas batas.

Risiko pihak ketiga dan konsentrasi adalah tema yang berulang dalam pemeriksaan. Untuk setiap penyedia yang material, siapkan peringkat risikonya, tanggal tinjauan terakhir, hak audit, serta rencana keluar atau kesinambungan jika penyedia tersebut gagal.

SEOJK 29/2022 menempatkan pengujian keamanan siber dan penilaian kematangan di barisan depan. Bank diharapkan menilai tingkat kematangan keamanan sibernya dan menguji pertahanannya secara berkala. Dalam praktik, ini berarti penilaian kerentanan, uji penetrasi, dan untuk bank yang berdampak sistemik, latihan yang lebih lanjut. Dokumentasikan ruang lingkup, temuan, tingkat keparahan, penanggung jawab perbaikan, dan tanggal penyelesaian untuk setiap siklus pengujian.

Lapisan manusia adalah bagian dari butir ini, bukan tempelan di akhir. Pintu masuk utama serangan nyata terhadap bank adalah manusia: phishing, pengambilalihan email bisnis, vishing, dan makin sering rekayasa sosial lewat WhatsApp. Perlakukan tenaga kerja Anda sebagai kontrol yang bisa diukur. Artinya menjalankan simulasi phishing yang realistis, memantau tingkat klik dan tingkat pelaporan per departemen, memberi pelatihan tepat waktu ketika seseorang terjebak simulasi, dan mengamati apakah skor risiko membaik dari waktu ke waktu.

Checklist untuk lapisan manusia: hasil simulasi phishing sebagai garis dasar beserta tren, bukan satu angka tahunan; pelatihan kesadaran keamanan yang wajib dengan catatan penyelesaian dan penilaian; cara melapor pesan mencurigakan yang mudah bagi staf, dengan tingkat pelaporan dipantau sebagai sinyal positif; serta micro-training perbaikan yang otomatis diberikan kepada pengeklik berulang. Ketika OJK atau auditor internal bertanya bagaimana Anda mengelola risiko manusia, yang Anda inginkan adalah dasbor, bukan cerita. Inilah jenis bukti perubahan perilaku yang terukur yang memang dirancang untuk dihasilkan Claro.

Deteksi dan respons adalah saat ketahanan diuji di bawah tekanan. POJK 11/2022 menetapkan ekspektasi yang jelas untuk penanganan insiden serta untuk pemberitahuan dan pelaporan insiden TI dan siber kepada OJK, termasuk pemberitahuan awal atas insiden signifikan yang disusul laporan yang lebih lengkap. Rencana respons insiden Anda harus menyebut pemicu dan tenggat pelaporan OJK secara eksplisit, sehingga petugas jaga tidak menebak-nebak saat insiden berlangsung.

Checklist: rencana respons insiden yang terdokumentasi dengan klasifikasi keparahan serta pemicu dan tenggat pemberitahuan OJK yang jelas; peran yang ditunjuk dan rantai eskalasi di luar jam kerja; integrasi perkakas pelaporan (SIEM, pelaporan phishing, peringatan) ke dalam alur respons; serta tinjauan pascainsiden yang menghasilkan tindakan korektif yang terpantau. Jalankan minimal satu latihan tabletop yang realistis per tahun dan simpan catatan hasilnya.

Pola kegagalan yang paling umum bukan ketiadaan rencana, melainkan rencana yang belum pernah dilatih. Jika orang-orang yang sebenarnya menerima peringatan pukul 03.00 belum pernah menelusuri langkah pemberitahuan OJK, rencana itu belum melindungi Anda.

Ketahanan juga berarti bertahan dari gangguan dan membuktikan bahwa Anda telah merencanakannya. Pelihara dan uji pengaturan kesinambungan bisnis serta pemulihan bencana, termasuk susunan pusat data dan pusat pemulihan bencana Anda, dan selaraskan target pemulihan dengan tingkat kritis setiap sistem. POJK 11/2022 juga mewajibkan bank menyampaikan sejumlah dokumen kepada OJK, seperti rencana strategis TI, laporan kondisi penyelenggaraan TI terkini, pemberitahuan dan laporan insiden, serta laporan realisasi.

Checklist: BCP dan DRP yang teruji dengan target waktu pemulihan dan titik pemulihan per sistem kritis; bukti uji failover atau pemulihan terakhir beserta hasilnya; proses manajemen perubahan yang terkendali dengan jejak audit; serta kalender pemantauan untuk setiap penyampaian ke OJK yang berkala maupun yang dipicu kejadian agar tidak ada yang terlambat. Pelihara satu register yang memetakan setiap kewajiban regulasi ke penanggung jawab, frekuensi, dan lokasi bukti terbarunya.

Satukan seluruh program dalam satu paket bukti ketahanan yang diperbarui tiap triwulan: persetujuan tata kelola, hasil penilaian risiko, hasil pengujian dan kematangan, metrik risiko manusia, log insiden dan pelaporan, serta hasil uji kesinambungan. Saat pemeriksa datang, Anda menyerahkan cerita yang utuh, bukan menyusunnya di bawah tenggat. Kesiapan itulah hasil sesungguhnya dari sebuah checklist yang baik.