POJK 11/2022 dan Ketahanan terhadap Phishing: Apa yang Harus Dibuktikan Bank

POJK Nomor 11/POJK.03/2022 mengatur penyelenggaraan teknologi informasi oleh bank umum di Indonesia, mencakup tata kelola TI, manajemen risiko, keamanan siber, dan kewajiban pengujian ketahanan, termasuk ekspektasi terhadap kesadaran keamanan dan kontrol pada lapisan manusia, bukan hanya perlindungan teknis semata.

Bagi jajaran direksi dan komisaris, ini berarti ketahanan siber bukan sekadar pos anggaran TI. Dibutuhkan pengawasan tata kelola, asesmen risiko yang terdokumentasi, dan bukti bahwa kontrol yang ada benar-benar berjalan di lapangan, bukan hanya di atas kertas.

Salah satu benang merah dari arah regulasi ini, yang juga tecermin dalam panduan BSSN dan kontrol ISO 27001, adalah bahwa manusia merupakan bagian dari permukaan serangan, dan lembaga keuangan diharapkan mengelola risiko tersebut secara sengaja, melalui pelatihan, pengujian, dan pemantauan, bukan hanya mengandalkan dokumen kebijakan.

Secara ringkas, POJK 11/2022 mengatur penyelenggaraan teknologi informasi oleh bank umum. Bagi pemimpin keamanan dan kesadaran, empat kewajiban paling berbobot: tata kelola risiko teknologi dengan akuntabilitas direksi yang jelas, manajemen risiko yang diterapkan pada seluruh aset teknologi, pengelolaan pengaturan pihak ketiga dan alih daya, serta penanganan insiden berikut pelaporannya kepada regulator.

Masing-masing menuntut bukti, bukan pernyataan. Penilaian yang terdokumentasi, pemilik yang jelas, kontrol yang terbukti berjalan, dan pelaporan yang sampai kepada pihak yang bertanggung jawab.

Ketahanan terhadap phishing berada di dalam kewajiban manajemen risiko. Ia tidak disebut sebagai persyaratan tersendiri, tetapi kerentanan karyawan adalah salah satu risiko teknologi paling kasatmata yang ditanggung bank, dan termasuk sedikit risiko yang dapat diukur secara langsung.

Ciri khas POJK 11/2022 adalah di mana ia menempatkan akuntabilitas. Regulasi ini memperkuat peran direksi dan dewan komisaris dalam tata kelola TI, artinya ketahanan siber bukan sesuatu yang bisa sepenuhnya didelegasikan bank ke tim teknis, melainkan tanggung jawab tingkat direksi dengan pengawasan yang jelas penanggung jawabnya.

Dalam praktik, ini menaikkan standar bukti yang dibutuhkan pimpinan. Direksi diharapkan memahami postur risiko TI bank, memastikan proses manajemen risiko benar-benar berfungsi, dan mengonfirmasi bahwa kontrol diuji, bukan diasumsikan. Risiko lapisan manusia, seberapa rentan staf terhadap rekayasa sosial, berada tepat di dalam kewajiban pengawasan itu.

Bagi pemimpin keamanan, ini mengubah cara hasil sebaiknya dikomunikasikan. Anggota direksi tidak membutuhkan log kampanye mentah, mereka membutuhkan gambaran yang jelas dan bertren tentang bagaimana ketahanan karyawan berubah dan di mana risiko tersisa terkonsentrasi, disajikan dengan cara yang memungkinkan mereka menjalankan pengawasan yang diharapkan regulasi.

Phishing tetap menjadi cara paling umum bagi penyerang untuk mendapatkan akses awal ke lembaga keuangan, karena yang disasar adalah manusia, bukan infrastruktur. Satu email atau pesan WhatsApp yang berhasil menipu saja bisa berujung pada pencurian kredensial, penipuan, atau insiden yang lebih besar.

Bagi regulator yang berfokus pada stabilitas sistem keuangan, lembaga yang tidak dapat menunjukkan bahwa mereka secara aktif mengukur dan menurunkan tingkat kerentanan karyawan terhadap rekayasa sosial akan lebih sulit dipercaya klaim ketahanannya, sekalipun kontrol teknisnya kuat.

Inilah sebabnya diskusi di level direksi kini semakin sering bergeser dari pertanyaan 'apakah kita punya pelatihan kesadaran keamanan' menjadi 'bisakah kita menunjukkan perbaikan yang terukur dalam cara karyawan merespons simulasi serangan dari waktu ke waktu', sebuah standar yang jauh lebih tinggi dan membutuhkan simulasi berkelanjutan, bukan presentasi tahunan yang sekali jalan.

Yang penting, ini adalah salah satu dari sedikit area risiko yang bisa diukur langsung oleh lembaga, bukan sekadar diperkirakan. Berbeda dengan banyak risiko operasional, kerentanan karyawan dapat diamati melalui simulasi terkendali, dikuantifikasi, dan dipantau dari waktu ke waktu, dan itulah tepatnya mengapa regulator dan direksi semakin memperlakukannya sebagai metrik yang harus dikelola alih-alih kekhawatiran lunak yang tak terukur.

Program yang kredibel menggabungkan tiga elemen: simulasi phishing yang realistis melalui email dan, semakin banyak, kanal lain; micro-learning yang muncul tepat pada saat seseorang mengklik atau melaporkan pesan mencurigakan; serta skor risiko yang melacak perubahan perilaku per karyawan, departemen, dan cabang dari waktu ke waktu.

Untuk bank di Indonesia, simulasi sebaiknya mencerminkan umpan yang benar-benar relevan secara lokal, seperti notifikasi kurir, pengumuman HR, email bertema pajak atau pemerintahan, dan pesan WhatsApp, bukan template generik. Relevansi inilah yang mendorong perubahan perilaku yang nyata, bukan sekadar mengenali email yang terlihat asing.

Konsistensi lebih penting daripada intensitas: ritme simulasi yang stabil dan modul pelatihan singkat yang terfokus, dipantau lintas kuartal, menghasilkan tren yang dapat dipertanggungjawabkan. Sebaliknya, satu kampanye besar tepat sebelum audit cenderung terlihat persis seperti apa adanya.

Membantu juga untuk mendefinisikan keberhasilan sejak awal. Menyepakati target tingkat klik dan pelaporan, serta seberapa cepat individu berisiko tinggi sebaiknya menerima pelatihan lanjutan, memberi program sasaran yang jelas yang bisa dipertanggungjawabkan kepada pimpinan, dan mengubah ambisi samar untuk 'meningkatkan kesadaran' menjadi sesuatu yang cukup konkret untuk diukur dan dilaporkan.

Penyerang yang menjangkau karyawan bank di Indonesia tidak membatasi diri pada email. Panggilan suara yang menyamar sebagai dukungan TI atau eksekutif senior, dan pesan WhatsApp yang berpura-pura menjadi rekan kerja, vendor, atau pelanggan, adalah bagian dari gambaran ancaman nyata, sehingga program ketahanan yang hanya menguji email mengukur sebagian paparan yang tidak lengkap.

Menambahkan simulasi vishing dan WhatsApp yang terkendali ke dalam program memberi pembacaan yang lebih utuh dan jujur tentang bagaimana staf merespons di bawah tekanan lintas kanal yang benar-benar mereka gunakan. Ini juga mencerminkan semangat mengelola permukaan serangan manusia secara sengaja, alih-alih membentengi satu kanal sambil membiarkan yang lain tanpa diuji.

Pengujian lintas kanal memang butuh kehati-hatian, pengungkapan, persetujuan bila diperlukan, dan bingkai tanpa menyalahkan yang sama seperti simulasi email, agar karyawan mengalaminya sebagai latihan yang realistis, bukan jebakan. Ditangani dengan baik, ia menghasilkan perubahan perilaku yang lebih baik sekaligus basis bukti yang lebih luas dan dapat dipertanggungjawabkan.

Ada manfaat praktis khusus bagi bank: upaya penipuan terhadap nasabah sering kali bermula di kanal-kanal yang sama, sehingga karyawan yang belajar mengenali umpan vishing atau WhatsApp dalam simulasi lebih siap mengenali serangan sungguhan ketika menyasar lembaga atau nasabahnya. Investasi pelatihan ini melindungi bank di lebih dari satu sisi sekaligus.

Ketika pemeriksa OJK atau audit internal meminta bukti kontrol ketahanan siber, jawaban paling kuat adalah laporan yang merangkai riwayat kampanye, tingkat klik dan pelaporan dari waktu ke waktu, penyelesaian pelatihan, dan skor risiko per departemen, yang dipetakan ke area kontrol regulasi yang relevan.

Di sinilah laporan kepatuhan yang dihasilkan platform menunjukkan nilainya: alih-alih menyusun spreadsheet di bawah tekanan tenggat waktu, tim keamanan dapat menghasilkan catatan yang terstruktur dan bertanggal, yang menunjukkan bahwa program telah berjalan secara berkelanjutan dan hasilnya terus membaik.

Pelaporan kepatuhan Claro dirancang untuk mendukung jenis pengumpulan bukti ini bagi ekspektasi terkait OJK, ISO 27001, dan UU PDP. Ini bukan pengganti nasihat hukum atau regulasi, tetapi memberi tim keamanan dan kepatuhan catatan yang jelas dan dapat dipertanggungjawabkan untuk dibawa ke diskusi dengan direksi maupun pemeriksa.

Waktu juga penting di sini. Bukti yang disusun tergesa-gesa dalam beberapa minggu menjelang pemeriksaan cenderung terlihat tipis dan reaktif, sementara catatan yang terakumulasi kuartal demi kuartal terbaca sebagai bukti program yang hidup. Menghasilkan catatan itu secara berkelanjutan, alih-alih menyusunnya ulang di bawah tekanan, adalah yang mengubah kewajiban kepatuhan menjadi kekuatan operasional yang sesungguhnya.

POJK 11/2022 tidak berdiri di ruang hampa. Ekspektasinya seputar manajemen risiko, kesadaran, dan pengujian kontrol banyak beririsan dengan ISO 27001, yang kontrolnya mencakup kesadaran keamanan informasi dan keamanan sumber daya manusia, dan yang sudah dirujuk atau disertifikasi oleh banyak bank di Indonesia.

Ada juga keterkaitan yang jelas dengan UU No. 27 Tahun 2022, Undang-Undang Perlindungan Data Pribadi. Karena phishing adalah jalur utama menuju paparan data pelanggan, menurunkan kerentanan karyawan mendukung kewajiban perlindungan data di bawah UU PDP sekaligus ekspektasi ketahanan di bawah POJK 11/2022.

Efisiensi yang tercipta layak direncanakan. Satu program human risk yang terdokumentasi dengan baik dapat menghasilkan bukti yang berbicara kepada pengawasan OJK, sertifikasi ISO 27001, dan kewajiban UU PDP secara bersamaan, sehingga tim keamanan dan kepatuhan sebaiknya merancang pelaporannya agar terpetakan rapi ke ketiganya alih-alih membangun upaya terpisah untuk masing-masing.