Seiring perkembangan layanan digital di sektor keuangan, teknologi informasi menjadi fondasi utama layanan sistem pembayaran dan juga mendorong peningkatan efisiensi operasional. Namun, perkembangan tersebut juga memperbesar risiko ancaman siber. Kondisi ini menuntut penyelenggara untuk memperkuat ketahanan dan keamanan siber (KKS) secara menyeluruh dan berkelanjutan. KKS berperan menjaga keandalan sistem, melindungi data dan mendukung stabilitas keuangan nasional. Bank Indonesia sebagai pengawas Sistem Pembayaran telah menetapkan kerangka KKS ketentuan tersebut tercantum pada Peraturan Bank Indonesia Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber bagi Penyelenggara Sistem Pembayaran, Pelaku Pasar Uang dan Pasar Valuta Asing, serta Pihak Lain yang Diatur dan Diawasi Bank Indonesia, untuk memastikan pengelolaan risiko siber yang terstruktur dan terukur. Berikut ini beberapa hal yang perlu diperhatikan dalam pengimplementasian KKS:
1. Objek pengaturan
Bank Indonesia menetapkan Objek pengaturan KKS kepada semua pihak yang terlibat dalam sistem pembayaran nasional. cakupan ini berguna untuk mengendalikan risiko siber yang bisa berdampak pada stabilitas keuangan nasional. Ketentuan ini berlaku bagi Penyedia Jasa Pembayaran (PJP), Penyedia Infrastruktur Pembayaran (PIP), PUSK PUVA, Lembaga Pendukung Pasar Uang, Lembaga Pendukung Pasar Valuta Asing, Penyelenggara Kegiatan Usaha Penukaran Valuta Asing Bukan Bank, dan pihak lain yang diatur dan diawasi Bank Indonesia.
2. Ruang Lingkup Pengaturan
Ruang lingkup pengaturan dan pengawasan Ketahanan dan Keamanan Siber mencakup tata kelola, pencegahan, penanganan, Penyampaian data dan informasi, pengenaan sanksi, serta kolaborasi. Pada aspek tata kelola, Penyelenggara dapat memperkuat KKS melalui strategi, kebijakan, dan fungsi organisasi yang terstruktur. Penyelenggara dapat menyusun rencana strategis KKS yang selaras dengan strategi bisnis, risiko, serta pemantauan dan evaluasi saat pelaksanaan. Selain itu, Penyelenggara juga perlu menetapkan kebijakan, standar, dan prosedur KKS, membentuk fungsi manajemen KKS, manajemen Risiko Siber, audit KKS, serta menumbuhkan budaya KKS.
Dalam aspek penanganan insiden, penyelenggara harus menetapkan strategi penanganan insiden untuk memastikan gangguan ditangani secara cepat dan efektif. Penyelenggara dapat menjaga kesinambungan operasional sistem pembayaran melalui evaluasi dan perbaikan pasca-insiden. Sebagai bagian pengawasan data dan informasi terkait kondisi KKS, hasil pengujian, dan insiden siber penyelenggara dapat menyusun dan melaporkan kepada Bank Indonesia. Pada aspek pengenaan sanksi, regulator menetapkan ketentuan dan konsekuensi atas ketidakpatuhan terhadap kewajiban KKS. Regulator menerapkan sanksi secara proporsional untuk mendorong kepatuhan dan memperkuat ketahanan sistem. Penyelenggara dan regulator membangun kerja sama melalui pertukaran informasi dan koordinasi penanganan ancaman siber. Kolaborasi ini dapat meningkatkan deteksi dini, efektivitas respons insiden, dan ketahanan sistem pembayaran nasional.
3. Kewajiban Implementasi Ketahanan Keamanan Siber
Penyelenggara wajib menerapkan manajemen KKS secara menyeluruh dan berkelanjutan. Dalam penerapanya, Penyelenggara dapat menugaskan personel dengan pengetahuan dan pengalaman yang relevan. Selain itu, penyelenggara dapat bekerjasama dengan pihak lain dengan tetap memperhatikan Risiko siber. Evaluasi penerapan manajemen KKS dapat dilakukan secara berkala paling sedikit satu kali dalam satu tahun.
4. Pelaporan Ketahanan Keamanan Siber
Penyelenggara wajib menyampaikan laporan KKS sebagai bagian dari mekanisme pengawasan regulator. Laporan ini mencakup Tingkat kematangan KKS dan hasil identifikasi infrastruktur informasi vital (IIV). Pengukuran tingkat kematangan KKS setidaknya mecakup 3 aspek yaitu, tata kelola, Upaya Pencegahan, serta mekanisme penanganan terhadap insiden. Sedangkan pada laporan hasil identifikasi infrastruktur informasi vital paling sedikit mencakup ukuran, keterhubungan, ketergantian, dan kompleksitas. Penyelenggara dapat melaporkan hasil pengujian keamanan dan insiden signifikan paling lambat tanggal 31 januari untuk periode tahun sebelumnya.
Masih ragu apakah implementasi KKS di perusahaan anda sudah sesuai ketentuan Regulasi dan dapat diimplementasikan? PITSI dapat membantu perusahaan anda dalam penerapan tata kelola, manajemen risiko siber, pengukuran Tingkat kematangan KKS, dan persiapan laporan kepada regulator. PITSI juga mendukung penyusunan strategi, kebijakan, dan peta jalan KKS yang sesuai dengan regulasi dan profil risiko. Dengan menggunakan pendekatan yang terorganisir dan berbasis best practice.
