Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuan…

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia Pedoman Keamanan Siber untuk Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia ditujukan untuk meningkatkan pemahaman dan kesadaran ( awareness ) dari pemangku kepentingan ( stakeholders )

Disclaimer 1. Pedoman ini memberikan panduan umum dan tidak dimaksudkan untuk menggantikan ketentuan perundang-undangan yang berlaku. Pedoman ini harus dibaca bersamaan dengan undang-undang, peraturan terkait dan pedoman lain yang diterbitkan oleh OJK atau badan otoritas lainnya. 2. Produk atau layanan yang disebutkan dalam dokumen ini bukan merupakan dukungan terhadap produk atau layanan tersebut, melainkan hanya digunakan sebagai contoh praktik yang umum digunakan.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Hasan Fawzi Kepala Eksekutif Pengawas Inovasi Teknologi Sektor Keuangan, Aset Keuangan Digital dan Aset Kripto merangkap Anggota Dewan Komisioner Otoritas Jasa Keuangan

Kata Pengantar

Assalamu’alaikum warahmatullahi wabarakatuh.

Segala puji dan syukur kami panjatkan ke hadirat Allah SWT, Tuhan Yang Mahakuasa, karena berkat limpahan rahmat, karunia, dan ridha- Nya Otoritas Jasa Keuangan (OJK) dapat menyelesaikan penyusunan Pedoman Keamanan Siber bagi Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia. Dokumen ini merupakan hasil dari sinergi dan kolaborasi strategis lintas pemangku kepentingan yang memiliki komitmen tinggi dalam memperkuat integritas dan ketahanan ekosistem keuangan nasional, khususnya dalam pengawasan industri aset keuangan digital yang semakin dinamis. Sebagai salah satu negara dengan pertumbuhan pasar aset keuangan digital terbesar di Asia Tenggara, Indonesia dihadapkan pada tantangan krusial untuk membangun sistem pengawasan dan pelindungan yang adaptif, tangguh, dan visioner. Laporan Chainalysis mencatat bahwa pada tahun 2024, kerugian global akibat serangan siber di sektor aset keuangan digital meningkat sebesar 21% dibandingkan tahun sebelumnya, dengan total kerugian mencapai sekitar USD 2,2 miliar. Ini merupakan tahun keempat berturut-turut di mana kerugian global akibat peretasan aset

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

“keamanan siber tidak hanya menjadi kebutuhan, tetapi juga menjadi ujung tombak dalam memastikan pelindungan konsumen dan keberlangsungan layanan keuangan digital yang terpercaya.”

keuangan digital menembus angka USD 1 miliar. Fakta ini menjadi peringatan serius akan pentingnya keamanan siber sebagai pilar utama dalam menjaga stabilitas dan kepercayaan publik terhadap sektor ini. Pentingnya penguatan keamanan siber juga didukung oleh amanat Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan (UU P2SK), yang menetapkan mandat baru bagi OJK untuk mengatur dan mengawasi sektor Inovasi Teknologi Sektor Keuangan, Aset Keuangan Digital, dan Aset Kripto (IAKD) mulai Januari 2025. Transisi ini menandai fase penting dalam pengawasan sektor IAKD, di mana keamanan siber tidak hanya menjadi kebutuhan, tetapi juga menjadi ujung tombak dalam memastikan pelindungan konsumen dan keberlangsungan layanan keuangan digital yang terpercaya. Sejalan dengan konteks tersebut, pedoman ini disusun sebagai living document yang mengedepankan prinsip secure by design dan resilience by architecture , sekaligus merespons kebutuhan industri yang terus berkembang. Pakar keamanan siber Bruce Schneier menyerukan bahwa “ Security is not a product, but a process ”, yang selaras dengan semangat penyusunan pedoman ini, di mana pembangunan kerangka sistem pertahanan siber bukanlah sesuatu yang bersifat statis, namun sebuah proses yang berkelanjutan.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Oleh karena itu, pedoman ini dirancang untuk senantiasa relevan, progresif, dan adaptif terhadap dinamika ancaman siber di masa mendatang. Beberapa pokok substansi strategis yang menjadi perhatian utama dalam pedoman ini antara lain: 1. Penerapan Prinsip Zero Trust , yang meniadakan kepercayaan implisit dalam jaringan dan mendorong sistem autentikasi yang berlapis, pengelolaan perangkat, serta kebijakan akses yang dinamis. 2. Manajemen Risiko Siber yang berlandaskan kerangka kerja nasional maupun internasional seperti ISO, NIST, CSMA BSSN, dan CREST, guna mengukur tingkat kematangan sistem keamanan dari masing-masing Penyelenggara. 3. Pelindungan Data dan Wallet , melalui penerapan penggunaan cold wallet untuk mayoritas aset konsumen, serta enkripsi end-to-end menggunakan algoritma kriptografi sesuai standar industri. 4. Rencana Tanggap Insiden ( Incident Response Plan ), yang disusun dengan prinsip koordinasi efektif, pemulihan cepat, serta pelaporan yang terintegrasi dengan OJK dan seluruh pemangku kepentingan terkait. 5. Peningkatan Kompetensi Teknis, yang dilakukan secara berkelanjutan melalui pelatihan intensif, sertifikasi profesional (seperti CISA, CISSP, dan CISM), serta simulasi insiden untuk meningkatkan kesiapan operasional. Selain substansi teknis tersebut, pedoman ini juga secara holistik mengintegrasikan prinsip-prinsip tata kelola keamanan informasi yang baik, mengacu pada praktik terbaik internasional, serta mempertimbangkan karakteristik unik masyarakat Indonesia dalam konteks ekosistem perdagangan aset digital yang inklusif. Penting untuk dicatat bahwa dalam konteks ini, keamanan siber tidak semata merupakan urusan teknis, tetapi bagian integral dari sistem tata kelola yang komprehensif. Oleh karenanya, pedoman ini menekankan pentingnya security governance , asesmen maturitas berkala, audit independen, penguatan kapasitas SDM, serta budaya

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

kesadaran terkait keamanan siber yang merata di seluruh lapisan organisasi. Lebih jauh, kolaborasi antara regulator, pelaku industri, asosiasi, akademisi, dan masyarakat menjadi prinsip dasar untuk membangun ketahanan siber nasional yang kokoh. Sebagai regulator, OJK percaya bahwa implementasi pedoman ini tidak hanya akan memperkuat pelindungan konsumen, tetapi juga meningkatkan daya saing industri aset keuangan digital Indonesia di kancah global. Keamanan siber adalah komitmen jangka panjang, yang mencerminkan integritas, akuntabilitas, dan tanggung jawab institusional dalam merespons transformasi digital di sektor jasa keuangan. Akhir kata, OJK menyampaikan apresiasi yang setinggi-tingginya kepada seluruh pihak yang telah memberikan kontribusi dalam proses penyusunan pedoman ini khususnya kepada British Embassy Jakarta yang telah memberikan Technical Assistance dalam penyusunan pedoman serta lingkungan internal OJK, komunitas profesional keamanan siber, pelaku industri, akademisi, maupun institusi dan stakeholders terkait lainnya. Semoga pedoman ini dapat menjadi rujukan strategis dalam membangun ekosistem perdagangan aset digital yang aman, tangguh, dan berkelanjutan bagi Indonesia.

Wassalamu’alaikum warahmatullahi wabarakatuh. Jakarta, 12 Agustus 2025

Hasan Fawzi Kepala Eksekutif Pengawas Inovasi Teknologi Sektor Keuangan, Aset Keuangan Digital dan Aset Kripto merangkap Anggota Dewan Komisioner Otoritas Jasa Keuangan

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Daftar Isi Kata Pengantar

BAB 1 Pendahuluan 1.1 Latar Belakang

BAB 2 Tata Kelola Keamanan Siber Pada Ekosistem Aset Keuangan Digital 2.1 Teknologi Blockchain 18 2.2 Urgensi Keamanan Siber 21 2.3 Infrastruktur Informasi Vital 26 BAB 3 Pelindungan Data 3.1 Kebijakan Perlindungan Data 31 3.2 Prinsip Keamanan Data dan Informasi 32 3.2.1 Kerahasiaan ( Confidentiality ) 33 3.2.2 Integritas ( Integrity ) 34 3.2.3 Ketersediaan ( Availability ) 34 3.2.4 Akuntabilitas ( Accountability ) 35 3.2.5 Autentikasi ( Authentication ) 35 3.2.6 Otorisasi ( Authorization ) 36 3.2.7 Non-repudiasi ( Non- repudiation ) 36

10 12 14

1.2 Tujuan 1.3 Cakupan

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

BAB 4 Strategi Keamanan Siber untuk Penyelenggara 4.1 Implementasi Keamanan Siber

40 41 43 47 51 54 56 59 65 67 71 71 74 75 78 79 90 92 93

4.1.1 Penerapan Zero Trust

BAB 5 Manajemen Risiko Siber 5.1 Risk Assessment

4.1.2 Kendali Akses

4.1.3 Media Penyimpanan yang Aman

4.1.4

End-to-End Encryption

98 101

4.1.5 Segmentasi Jaringan 4.1.6 Protokol Autentikasi Berlapis 4.1.7 Pelindungan Wallet

5.2 5.3

Risk Treatment

Anti-Money Laundering (AML)

104

5.4 Manajemen Risiko Pihak Ketiga

4.1.8

Secure Coding

106 108

4.2 Penilaian Tingkat Maturitas Keamanan Siber 4.3 Pendukung Keamanan Siber

5.5 Audit

Glosarium dan Lampiran Glosarium: Definisi, istilah utama dan akronim dalam keamanan siber 112 Lampiran: Checklist Implementasi Pedoman Keamanan Siber untuk Penyelenggara 117

4.3.1 Pelatihan

4.3.2 Peningkatan Awareness

4.3.3 Kolaborasi

4.4 Tanggap Insiden

4.4.1 Fase Tanggap Insiden 4.4.2 Alokasi Sumber Daya 4.4.3 Sinergi Keamanan Siber

Narahubung

146

4.4.4 Pelaporan Insiden

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Pendahuluan BAB 1

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

1.1 Latar Belakang

Pasal 215 Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan (UU P2SK) mengamanatkan bahwa salah satu asas Inovasi Teknologi Sektor Keuangan (ITSK), termasuk industri Aset Keuangan Digital, dan Aset Kripto (AKD/AK) adalah menyelenggarakan keamanan dan keandalan sistem informasi, meliputi ketahanan siber. Peraturan Presiden Nomor 47 Tahun 2023 tentang Strategi Keamanan Siber Nasional dan Manajemen Krisis Siber juga mengatur mengenai pentingnya keamanan siber dan penanganan insiden. Amanat Peraturan Pemerintah Republik Indonesia Nomor 49 Tahun 2024 salah satunya mencakup peralihan tugas pengaturan dan pengawasan aset keuangan digital termasuk aset kripto yang efektif beralih dari Badan Pengawas Perdagangan Berjangka Komoditi (BAPPEBTI) kepada Otoritas Jasa Keuangan (OJK) pada 10 Januari 2025. Guna mengemban tugas pengawasan dan pengaturan tersebut, OJK menerbitkan POJK Nomor 27 Tahun 2024 tentang Penyelenggaraan Perdagangan Aset Keuangan Digital termasuk Aset Kripto yang juga menekankan pentingnya keamanan dan ketahanan siber. Penyelenggara Perdagangan Aset Keuangan Digital yang selanjutnya disebut Penyelenggara adalah Bursa, Lembaga Kliring Penjaminan dan Penyelesaian, Pengelola Tempat Penyimpanan, Pedagang, dan pihak lain yang ditetapkan oleh OJK. Lanskap keamanan siber di Indonesia berkembang pesat karena peningkatan penggunaan teknologi di sektor jasa keuangan. Namun, perkembangan ini juga membawa tantangan keamanan siber, termasuk risiko akan serangan siber, pelanggaran data, dan aktivitas ilegal lainnya. Keamanan siber telah menjadi perhatian utama di kalangan pelaku Industri Jasa Keuangan.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Selama tahun 2025, hingga tanggal 30 Juni 2025, terdapat 20 Pedagang yang memiliki status berizin di OJK. Selain itu terdapat 3 entitas pendukung pada ekosistem yaitu satu Bursa, satu Lembaga Kliring dan Penjaminan Penyelesaian serta satu Pengelola Tempat Penyimpanan. Pada periode yang sama, jumlah konsumen kripto telah terakumulasi sebanyak 15,85 juta berdasarkan jumlah konsumen yang sudah melakukan transaksi pada platform Pedagang, dengan nilai transaksi aset kripto mencapai Rp224,11 triliun. Di Indonesia, pernah terjadi kasus peretasan terhadap sebuah platform Pedagang kripto yang menyebabkan kerugian aset digital. Insiden ini bermula dari adanya akses tidak sah ke dalam sistem backend Pedagang, yang diduga dilakukan melalui phishing . Setelah berhasil mendapatkan kredensial, pelaku mengeksploitasi celah keamanan dan mulai memindahkan dana dari wallet Pedagang ke dalam wallet anonim. Sementara itu, di luar negeri, salah satu insiden keamanan siber terbesar dalam sejarah perdagangan kripto terjadi pada Februari 2025, ketika salah satu platform Pedagang kripto mengalami peretasan yang mengakibatkan kehilangan lebih dari $1,5 miliar dalam bentuk Ethereum dan token ERC-20 lainnya. Serangan ini terjadi selama proses transfer rutin antara wallet dingin ( cold

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

wallet ) dan wallet hangat ( hot/warm wallet ) milik Pedagang. Peretas menyisipkan kode JavaScript berbahaya yang memungkinkan eksploitasi terhadap kerentanan dalam antarmuka pengguna ( user interface ) dari sistem kustodial yang digunakan, dengan memodifikasi logika smart contract dan menyamarkan transaksi yang sebenarnya. Akibatnya, transaksi yang tampak sah bagi tim keamanan Pedagang tersebut justru mengalihkan dana ke wallet yang dikendalikan oleh peretas. Berdasarkan bahasan yang telah diuraikan, Penyelenggara perlu memiliki sebuah pedoman dalam menerapkan keamanan siber yang efektif dan efisien. Pedoman ini memberikan kerangka manajemen risiko untuk mendorong terciptanya ekosistem yang seimbang antara pengembangan inovasi, ketahanan siber dan pelindungan konsumen. Untuk mencapainya, beberapa langkah penting harus dilakukan. Pertama, Penyelenggara perlu menerapkan pedoman keamanan siber. Kedua, memastikan praktik keamanan siber terintegrasi dan tidak terabaikan dalam pengembangan inovasi. Ketiga, penting untuk terus mengikuti kemajuan teknologi dan memperbarui pedoman ini sehingga dapat memberikan manfaat bagi konsumen dan ekosistem keuangan digital di Indonesia.

1.2 Tujuan

Pesatnya pertumbuhan adopsi Aset Kripto di Indonesia telah menjadikan perdagangan aset kripto sebagai komponen penting dalam ekosistem keuangan digital di negara Indonesia. Sebagai otoritas regulasi yang mengawasilayanankeuangan,OJKmenyadaripentingnya menjaga lingkungan yang aman dan terpercaya termasuk untuk transaksi aset kripto. Pedoman ini menguraikan keamanan siber yang dirancang khusus untuk Penyelenggara yang beroperasi di Indonesia.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Memperkuat ketahanan platform Penyelenggara terhadap ancaman siber, baik yang bersifat teknis, sosial, maupun operasional.

Menjadi kerangka standar keamanan teknologi yang dapat dijadikan acuan dalam pengembangan, pengelolaan,

Pedoman ini memiliki beberapa tujuan diantaranya:

dan pengawasan sistem informasi Penyelenggara.

Memastikan perlindungan aset dan data konsumen.

Melindungi konsumen dari dampak negatif seperti kerugian finansial, pencurian data, maupun kerusakan reputasi yang ditimbulkan oleh insiden siber.

Mendorong kepercayaan publik dan konsumen, melalui penerapan kontrol keamanan yang andal, transparansi, dan kepatuhan terhadap peraturan yang berlaku.

Pedoman ini juga menekankan pada peningkatan kepercayaan konsumen dan penguatan keamanan yang merupakan faktor penting dalam mendorong pertumbuhan pasar yang berkelanjutan. Dengan menyelaraskan kebutuhan akan keamanan yang andal dengan fleksibilitas untuk beradaptasi dengan kemajuan teknologi, pedoman ini memprioritaskan integritas, ketahanan, dan inklusivitas pasar kripto.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

1.3 Cakupan

Pedoman ini memberikan kerangka untuk Penyelenggara, yang mencakup pelindungan data, strategi keamanan siber, tanggap insiden, penilaian maturitas, pelatihan karyawan dan manajemen risiko. Lingkup Pedoman ini, antara lain:

Pedagang Aset Keuangan Digital adalah badan usaha yang melakukan perdagangan Aset Keuangan Digital, baik atas nama diri sendiri dan/atau memfasilitasi konsumen.

Penyelenggara Bursa Aset Keuangan Digital termasuk Aset Kripto adalah badan usaha yang menyelenggarakan dan menyediakan sistem dan/ atau sarana untuk memfasilitasi kegiatan terkait perdagangan Aset Keuangan Digital termasuk Aset Kripto dan/atau menyediakan laporan perdagangan Aset Keuangan Digital.

Lembaga Kliring Penjamin dan Penyelesaian Perdagangan Aset Keuangan Digital termasuk Aset Kripto adalah adalah badan usaha yang menyediakan jasa penyelesaian transaksi perdagangan Aset Keuangan Digital dan penjaminan penyelesaian transaksi perdagangan Aset Keuangan Digital. 3.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Pengelola Tempat Penyimpanan Aset Keuangan Digital termasuk Aset Kripto adalah badan usaha yang mengelola tempat penyimpanan Aset Keuangan Digital dalam rangka melakukan penyimpanan, pemeliharaan, pengawasan, dan/atau penyerahan Aset Keuangan Digital.

Untuk mendukung penerapan pedoman ini secara efektif, disediakan checklist yang merupakan bagian dari Pedoman ini sebagai acuan verifikasi dan pengendalian atas langkah-langkah keamanan siber bagi Penyelenggara.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Tata Kelola Keamanan Siber Pada Ekosistem Aset Keuangan Digital BAB 2

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

2.1 Teknologi Blockchain

Blockchain adalah buku besar digital terdesentralisasi yang terdiri dari rangkaian catatan yang terus bertambah yang dikenal sebagai blok, dan saling terhubung secara aman menggunakan hash kriptografi. Setiap blok terstruktur secara unik yang memuat tiga elemen utama yaitu: 1. Hash Kriptografi: merupakan sidik jari digital yang bersifat unik untuk mengidentifikasi blok sebelumnya, berfungsi memastikan kesinambungan dan integritas rantai terhadap perubahan yang tidak sah. 2. Timestamp : menunjukkan catatan waktu saat blok dibuat, sehingga memberikan kerangka waktu kronologis bagi seluruh aktivitas transaksi.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

3. Data Transaksi: berisi informasi detail mengenai aktivitas atau pertukaran yang dicatat dalam blok tersebut.

Struktur yang saling terkait ini membentuk rantai di mana setiap blok bergantung pada integritas blok sebelumnya. Ketika sebuah blok ditambahkan ke rantai, datanya menjadi tidak dapat diubah. Setiap perubahan informasi mengharuskan perhitungan ulang hash kriptografi dari blok terkait serta semua blok yang mengikutinya dalam rantai tersebut. Perubahan tersebut juga membutuhkan konsensus dari jaringan peserta ( network participants ) yang terdistribusi, sehingga menjadikan blockchain sangat sulit untuk dimanipulasi dan memiliki tingkat keamanan yang tinggi 1 . Konsensus ini dapat dicapai melalui mekanisme seperti: a. Proof of Work (PoW): mekanisme konsensus dalam blockchain yang mengandalkan kekuatan komputasi untuk menjaga keamanan jaringan. Dalam sistem ini, penambang ( miners ) bersaing untuk memecahkan teka-teki matematika yang kompleks guna mendapatkan hak menambahkan blok baru ke dalam blockchain . Penambang pertama yang berhasil akan mendapatkan insentif berupa imbalan kripto. Meskipun terbukti andal dalam menjaga integritas jaringan, PoW membutuhkan energi dan daya komputasi yang sangat besar, sehingga sering dianggap tidak efisien dari sisi konsumsi energi 2 . b. Proof of Stake (PoS): mekanisme konsensus alternatif yang lebih efisien energi dibandingkan PoW. Alih-alih menggunakan kekuatan komputasi, PoS memilih validator untuk membuat dan memverifikasi blok baru berdasarkan jumlah aset kripto yang mereka “taruhkan” ( stake ) dalam jaringan. Semakin besar kepemilikan ( stake ), semakin tinggi peluang validator tersebut untuk dipilih. Dengan pendekatan ini, PoS mengurangi kebutuhan energi secara signifikan (lebih efisien) dengan tetap menjaga keamanan dan desentralisasi jaringan 3 .

1 Zairis, Antonios, and George Zairis. “Digital Innovation: The Challenges of a Game-Changer.” European Conference on Innovation and Entrepreneurship, vol. , no. , 2022, pp. 630-637. 2 https://www.forbes.com/advisor/investing/cryptocurrency/proof-of-stake/; Sivianes Castaño, Manuel. “Design of a Blockchain-based Platform for Peer-to peer Energy Trading.” 2021, https://core.ac.uk/download/483360619.pdf. 3 https://www.forbes.com/advisor/investing/cryptocurrency/proof-of-stake/

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Dengan mendistribusikan buku besar di beberapa node , teknologi blockchain menghilangkan potensi kegagalan tunggal serta meningkatkan ketahanan terhadap serangan. Di dalam teknologi blockchain terdapat konsep smart contract . Smart contract merupakan perjanjian digital otomatis berbasis kode yang dieksekusi secara mandiri di dalam jaringan blockchain , tanpa perlu intervensi pihak ketiga. Ketika kondisi-kondisi tertentu yang telah tertanam dalam kode terpenuhi, smart contract secara otomatis mengeksekusi instruksi yang telah ditetapkan, seperti melakukan transfer aset digital atau melakukan persetujuan akses secara otomatis. Karena smart contract dijalankan di atas platform blockchain , sifat yang dimilikinya sama, yaitu desentralisasi, transparansi, dan ketidakberubahan ( immutability ), dimana setiap pelaksanaan kontrak dicatat secara permanen dan tidak dapat dimanipulasi. Namun, kerentanan dapat terjadi pada kode smart contract yang tidak diaudit, sehingga mudah dieksploitasi dan berpotensi menyebabkan kerugian finansial 4 . Selain smart contract , aspek penting lain dalam keamanan blockchain adalah manajemen wallet . Wallet adalah sarana untuk menyimpan dan mengelola aset kripto dengan menggunakan private key dan public key . Private key ini disimpan di dalam wallet . Dalam praktiknya, wallet dapat dibedakan menjadi hot wallet (terhubung ke internet dan mudah diakses, namun lebih rentan terhadap serangan) dan cold wallet (tidak terhubung ke internet, sehingga lebih aman terhadap phishing , malware , dan peretasan). Penggunaan cold wallet menjadi standar praktik terbaik untuk menjaga aset kripto dalam jangka panjang, terutama oleh entitas seperti bursa aset digital dan kustodian aset virtual. Dengan demikian, integrasi antara blockchain sebagai infrastruktur dasar, smart contract sebagai logika otomatisasi transaksi, serta manajemen wallet sebagai kontrol akses terhadap aset, membentuk ekosistem teknologi yang saling melengkapi dan menopang keamanan serta efisiensi dalam ekonomi digital berbasis blockchain .

4 https://link.springer.com/article/10.1007/s12083-021-01127-0

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

2.2 Urgensi Keamanan Siber

Dalameradigitalyangsemakinterkoneksi,keamanansiber menjadi pilar utama dalam menjaga keberlangsungan layanan dan kepercayaan pengguna, khususnya bagi Penyelenggara. Ancaman siber yang terus berkembang menuntut kesiapan dan respons yang cepat dari seluruh entitas, serta kemampuan untuk memulihkan sistem dan layanan setelah serangan terjadi. Keamanan siber mencakup upaya untuk menjaga kerahasiaan, integritas, dan ketersediaan informasi serta sistem informasi

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

yang terhubung melalui media digital. Selain tiga pilar utama tersebut, keamanan siber juga melibatkan aspek keaslian ( authenticity ), akuntabilitas ( accountability ), non- repudiation , dan keandalan ( reliability ) dari proses maupun sistem informasi. Untuk memahami urgensi keamanan siber secara menyeluruh, penting untuk mengenali berbagai bentuk ancaman yang berpotensi mengganggu sistem informasi dan aset digital. Ancaman-ancaman ini menjadi alasan utama perlindungan siber harus menjadi prioritas strategis. Ancaman ini tidak hanya berasal dari aktor jahat eksternal, tetapi dapat juga bersumber dari kesalahan internal, penyalahgunaan akses, serta kerentanan yang belum teridentifikasi dalam rantai pasok digital. Beberapa bentuk ancaman siber yang patut mendapat perhatian khusus meliputi:

Malware

Malware (malicious software) adalah perangkat lunak yang dirancang untuk merusak, mencuri data, atau mengambil alih kendali perangkat tanpa izin. Gangguan ini bisa menimbulkan kerugian, baik secara langsung maupun tidak langsung bagi pemilik sistem tersebut.

2. Ransomware

Ransomware adalah jenis malware yang mengenkripsi file milik korban dan meminta tebusan agar file tersebut bisa dibuka kembali. Dengan kata lain, ransomware menawan data dan meminta tebusan untuk pembebasan.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Web defacement adalah serangan terhadap situs web dengan cara mengubah atau memodifikasi tampilannya sesuai keinginan penyerang. Serangan ini seringkali bertujuan untuk mempromosikan ideologi tertentu atau sebagai bentuk tindakan vandalisme elektronik. 3. Web Defacement

4. Denial of Services (DoS) dan

Distributed Denial of Services (DDos)

Serangan DoS dan DDoS adalah serangan yang mengganggu ketersediaan sistem elektronik, seperti layanan transaksi atau akses resmi dengan membanjiri jaringan atau sistem menggunakan permintaan akses dalam jumlah besar, sehingga kapasitasnya seolah-olah penuh

5. Phishing

Phishing adalah teknik penipuan yang digunakan untuk memperoleh informasi pribadi atau sensitif seperti data login , informasi keuangan, atau data pribadi lainnya. Umumnya dilakukan melalui email , pesan singkat, atau situs palsu yang meniru situs resmi.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

6. Rekayasa Sosial (Social Engineering)

Rekayasa sosial adalah manipulasi psikologis terhadap korban untuk melakukan tindakan yang merugikan dirinya sendiri atau orang lain, seperti mengklik tautan berbahaya, membagikan informasi rahasia, atau mentransfer uang.

Man-in-the-Middle (MitM)

Man-in-the-middle adalah jenis serangan siber di mana pelaku secara diam-diam memposisikan dirinya di antara dua pihak yang sedang berkomunikasi baik antara pengguna dan aplikasi, maupun antarsistem dengan tujuan untuk mencuri, mengubah, atau memanipulasi informasi yang dipertukarkan tanpa sepengetahuan kedua belah pihak.

8. Zero-Day Attack

Zero-Day Attack adalah jenis serangan siber yang mengeksploitasi kerentanan ( vulnerability ) pada perangkat lunak atau sistem yang belum diketahui atau belum diperbaiki oleh pengembang atau vendor karena belum ada patch atau solusi keamanan yang tersedia saat serangan terjadi.

9. Cyber Espionage

Cyber Espionage adalah pencurian informasi rahasia atau sensitif seperti data bisnis, data pemerintahan, atau rahasia dagang. Biasanya dilakukan oleh peretas yang didukung negara atau kelompok kriminal.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

10. Supply Chain Attack

Supply Chain Attack adalah serangan yang menargetkan pihak ketiga untuk mendapatkan akses ke sistem atau data organisasi yang lebih besar. Serangan ini sangat berbahaya karena bisa berdampak pada banyak organisasi sekaligus.

11. Credential Stuffing

Credential stuffing adalah serangan yang memanfaatkan kredensial (seperti nama konsumen dan kata sandi) yang diperoleh secara ilegal untuk mengakses akun daring. Kredensial ini biasanya didapat dari phishing , pelanggaran data atau malware. Jenis-jenis ancaman siber tidak terbatas pada yang telah disebutkan. Seiring dengan pesatnya perkembangan teknologi dan kompleksitas ekosistem digital, Penyelenggara harus secara proaktif memantau dan mengantisipasi berbagai potensi ancaman

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

baru yang terus bermunculan. Hal ini mencakup eksploitasi kerentanan perangkat lunak, serangan berbasis kecerdasan buatan, penyalahgunaan identitas digital, serta teknik social engineering yang semakin canggih. Oleh karena itu, Penyelenggara perlu menerapkan pendekatan keamanan yang adaptif berbasis intelijen ancaman ( threat intelligence ), serta memastikan pembaruan kebijakan dan infrastruktur keamanan dilakukan secara berkala untuk menjaga ketahanan siber yang berkelanjutan. Penyelenggara menjadi target yang menarik bagi peretas karena nilai aset besar yang mereka kelola. Penyelenggara mengumpulkan dana konsumen dalam hot wallet sehingga lebih rentan terhadap serangan siber berskala besar. Peretasan terus menjadi ancaman serius dalam dunia keamanan siber berbagai organisasi. Cyber resilience mengacu pada kemampuan Penyelenggara untuk mempertahankan kelangsungan bisnisnya dengan mengambil langkah-langkah antisipatif, adaptif, dan proaktif terhadap ancaman siber. Penyelenggara tidak hanya wajib melindungi sistem elektroniknya dari serangan siber, tetapi juga harus mampu mendeteksi dan memulihkan diri dari insiden siber. Selain itu, Penyelenggara perlu memantau insiden siber sebagai bentuk komunikasi kepada stakeholders mengenai ketangguhan dan keamanan siber mereka.

2.3 Infrastruktur Informasi Vital

Identifikasi Infrastruktur Informasi Vital (IIV) yang dicantumkan dalam pedoman ini sangat penting, terutama dalam kaitannya dengan regulasi. Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital (IIV) menguraikan tanggung jawab dan proses yang diperlukan untuk melindungi infrastruktur informasi vital, yang penting untuk menjaga keamanan nasional, stabilitas ekonomi, dan keamanan publik.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Penyelenggara menangani transaksi keuangan dan data pribadi yang signifikan, menjadikannya target potensial untuk ancaman siber. Identifikasi dan klasifikasi sistem Penyelenggara sebagai bagian dari IIV dapat berkontribusi pada upaya yang lebih luas dalam melindungi infrastruktur yang vital bagi stabilitas dan keamanan negara. Hal ini mencakup penilaian berkala, pembaruan, serta peningkatan protokol keamanan, sehingga sistem menjadi tangguh terhadap serangan siber dan mengurangi kemungkinan terjadinya serangan yang berhasil. Peraturan ini juga mengharuskan entitas yang menjadi bagian dari IIV untuk melaksanakan penilaian mandiri serta memenuhi standar keamanan siber yang ditetapkan.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Pelindungan Data BAB 3

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Dengan meningkatnya eksposur terhadap berbagai bentuk serangan siber, pelindungan data menjadi aspek strategis yang harus mendapatkan perhatian serius dari Penyelenggara. Kompleksitas ancaman seperti peretasan sistem, pencurian identitas, dan penyusupan terhadap infrastruktur backend menuntut penerapan kebijakan keamanan informasi yang menyeluruh dan berlapis. Dalam hal ini, Penyelenggara diwajibkan untuk memiliki dan menerapkan kebijakan pelindungan data yang setidaknya mencakup empat komponen utama: enkripsi data, keamanan penyimpanan data, kontrol akses, dan pengendalian perangkat.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Kebijakan enkripsi harus dirancang untuk melindungi seluruh data sensitif, termasuk nomor identitas pelanggan, data pribadi, informasi keuangan, serta hasil pemrosesan data yang dapat mengarah pada identifikasi individu, menggunakan algoritma kriptografi yang telah terstandarisasi dan terbukti keamanannya. Enkripsi ini harus berlaku tidak hanya saat data berada dalam penyimpanan ( at rest ), tetapi juga saat data ditransmisikan ( in transit ). Selain itu, server yang menyimpan data harus diproteksi oleh sistem firewall canggih, segmentasi jaringan, dan mekanisme deteksi intrusi untuk mencegah serangan dari luar maupun dalam. Pelindungan data tidak akan efektif tanpa diimbangi dengan pengelolaan kontrol akses yang ketat, di mana hanya pihak yang memiliki otorisasi sah dan sesuai profil risiko yang dapat mengakses data tertentu. Hal ini harus diperkuat dengan implementasi prinsip least privilege , penggunaan multi-factor authentication (MFA), serta pencatatan log akses yang terdokumentasi untuk keperluan audit dan investigasi. Terakhir, uji keamanan dan audit sistem penyimpanan data perlu dilakukan secara berkala, baik oleh tim internal maupun pihak ketiga independen, guna memastikan bahwa sistem yang diterapkan telah sesuai dengan standar industri AKD/ AK dan regulasi yang berlaku, termasuk kebijakan perlindungan data pribadi.

3.1 Kebijakan Pelindungan Data

Di era digital saat ini, pelindungan data pribadi menjadi semakin krusial mengingat proses pengumpulan dan penyimpanan data umumnya dilakukan secara daring. Oleh karena itu, kepatuhan terhadap ketentuan pelindungan dan privasi data pribadi, sebagaimana diatur dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, menjadi suatu keharusan. Kepatuhan ini mencakup, namun tidak terbatas pada, penetapan lokasi penyimpanan data pribadi serta mekanisme transfer data, baik di dalam negeri maupun lintas negara.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

POJK Nomor 27 Tahun 2024 telah membahas lebih rinci mengenai penerapan pelindungan data pribadi yang harus diterapkan oleh Penyelenggara. Pada pasal 3 ayat 2 huruf (g) disebutkan bahwa Penyelenggara harus menerapkan pelindungan data pribadi dalam melakukan perdagangan. Bab 12 mengenai Pelindungan Data Pribadi Pasal 119 membahas lebih lanjut bahwa Penyelenggara wajib menjaga keutuhan dan ketersediaan data pribadi, data transaksi, dan data keuangan yang dikelolanya sejak data diperoleh hingga data tersebut dimusnahkan. Penyelenggara juga memiliki kewajiban merahasiakan data dan/atau informasi konsumen. Lebih lanjut, aset kripto yang diperdagangkan di Pasar Aset Keuangan Digital berdasarkan pasal 8 ayat 2 huruf (k), harus mempertimbangkan metode aspek pelindungan Konsumen dan pelindungan data pribadi. Hal-hal tersebut memperkuat alasan Penyelenggara untuk lebih memperhatikan aspek penerapan kebijakan pelindungan data dalam operasional bisnisnya.

3.2 Prinsip Keamanan Data dan Informasi

Sistem yang dibangun dan/atau digunakan oleh Penyelenggara harus menerapkan prinsip Zero Trust Architecture (ZTA). Dalam pendekatan zero trust , setiap pengguna aplikasi, perangkat, dan sistem harus melalui proses verifikasi setiap kali mengajukan permintaan akses. Artinya, akses tidak diberikan secara otomatis, meskipun pengguna atau perangkat tersebut sudah berada di dalam jaringan internal 5 . Prinsip Zero Trust mengedepankan Secure by Design , memastikan bahwa pertimbangan keamanan telah diintegrasikan sejak tahap perancangan awal sistem dan bukan hanya ditambahkan sebagai fitur pelengkap, meliputi konfigurasi awal sistem yang secara bawaan sudah berada dalam kondisi paling aman guna meminimalkan risiko dari kelalaian atau kesalahan konfigurasi.

5 National Institute of Standards and Technology, NIST Special Publication 800‑207 - Zero Trust Architecture

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Pendekatan Zero Trust memperkuat penerapan prinsip-prinsip dasar keamanan informasi, yaitu kerahasiaan ( Confidentiality ), integritas ( Integrity ), dan ketersediaan ( Availability ) atau yang dikenal sebagai model CIA, dan prinsip lainnya sebagaimana dijabarkan dibawah ini.

Semua data sensitif harus dienkripsi menggunakan standar kriptografi yang andal untuk memastikan bahwa data tetap aman meskipun diakses oleh entitas yang tidak berwenang. Penyelenggara harus menerapkan standar enkripsi yang andal seperti AES-256, dengan tetap memperhatikan trade- off antara level keamanan dan kecepatan pemrosesan. Selain bentuk enkripsi, keamanan penyimpanan data dalam bentuk pelindungan berlapis perlu diperhatikan , yang mencakup pembaruan perangkat lunak dan keamanan, hingga penerapan tata kontrol dan kebijakan akses yang tepat. Strategi ini dilakukan untuk menjaga keamanan data dan membantu mencegah data sensitif rentan terhadap serangan siber. 3.2.1 Kerahasiaan ( Confidentiality )

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

3.2.2 Integritas ( Integrity )

Integritas mengacu pada jaminan bahwa keutuhan dan keakuratan data sepanjang siklus hidupnya terjamin. Oleh sebab itu, agar data tidak dapat diubah secara tidak sah baik secara sengaja maupun tidak sengaja diperlukan sebuah praktik yang dapat diterapkan oleh Penyelenggara untuk menjaga integritasnya. Pemangku kepentingan dapat dilibatkan untuk mengedepankan arsitektur sistem yang berjalan dengan prinsip privacy by design untuk memperkuat integritas dalam seluruh proses operasional.

Ketersediaan berfokus dalam memastikan bahwa data dan sistem informasi dapat diakses secara konsisten oleh pihak yang berwenang ketika dibutuhkan. Memastikan bahwa backup data terjaga dengan baik dan juga memiliki sistem failover otomatis merupakan salah satu contoh dalam menjaga ketersediaan berjalan dengan baik. 3.2.3 Ketersediaan ( Availability )

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

3.2.4 Akuntabilitas ( Accountability )

Akuntabilitas diartikan bahwa setiap aktivitas dan akses terhadap sistem dapat ditelusuri kembali ke entitas atau individu tertentu. Dalam hal tersebut, harus dipastikan bahwa seluruh aktivitas operasional dan administratif tercatat dan tersimpan (sesuai dengan best practice ) secara sistematis melalui mekanisme logging yang aman dan tidak dapat dimodifikasi. Penerapan seperti implementasi SIEM untuk logging aktivitas sistem maupun audit eksternal oleh pihak ketiga dapat menjadi bentuk akuntabilitas guna memastikan pemenuhan kebutuhan regulasi dan kebijakan yang berlaku.

3.2.5 Autentikasi ( Authentication )

Autentikasi merupakan proses untuk memverifikasi identitas entitas sebelum diberi akses ke sistem. Contoh metode autentikasi yang kuat dan adaptif adalah, Multi-Factor Authentication (MFA) untuk seluruh akun yang memiliki akses ke sistem sensitif atau aset digital.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

3.2.6 Otorisasi ( Authorization )

Otorisasi mengatur hak akses pengguna setelah proses autentikasi berhasil. Menerapkan kontrol otorisasi berbasis peran atau Role-Based Access Control (RBAC) agar hanya pihak yang memiliki wewenang yang dapat mengakses atau memodifikasi data dan sistem tertentu merupakan langkah yang dapat dijadikan acuan dalam mekanisme otorisasi yang baik.

3.2.7. Non-repudiasi ( Non-repudiation )

Prinsip non-repudiation sangat penting dalam penerapan autentikasi dan otorisasi transaksi konsumen di perdagangan aset digital untuk menjamin bahwa setiap tindakan atau transaksi yang dilakukan konsumen tidak dapat disangkal maupun direplikasi oleh pihak manapun. Dengan demikian, apabila terjadi sengketa atau aktivitas mencurigakan, Otoritas dan Penyelenggara dapat membuktikan siapa yang bertanggung jawab atas transaksi tersebut.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Dalam POJK Nomor 27 Tahun 2024 telah dibahas lebih rinci mengenai penerapan pelindungan data pribadi yang harus diterapkan oleh Penyelenggara.

*Peraturan ini bersifat dinamis, mohon agar mengacu pada POJK yang berlaku

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Strategi Keamanan Siber untuk Penyelenggara BAB 4

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

4.1 Implementasi Keamanan Siber

Implementasi keamanan siber menjadi sangat penting di era digital saat ini karena meningkatnya ketergantungan pada teknologi informasi dan internet. Tanpa perlindungan yang andal, sistem dan data yang sensitif rentan terhadap serangan siber seperti peretasan, pencurian data, ransomware , dan gangguan operasional yang dapat menimbulkan kerugian finansial maupun jatuhnya reputasi Penyelenggara. Keamanan siber bukan hanya tanggung jawab tim IT; diperlukan kesadaran dan partisipasi aktif seluruh pegawai dalam membangun sistem pertahanan digital yang tangguh dan berkelanjutan guna menjaga integritas, kerahasiaan, dan ketersediaan informasi. Implementasi keamanan siber mencakup namun tidak terbatas pada hal-hal sebagai berikut:

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

4.1.1 Penerapan Zero Trust

Penerapan arsitektur Zero Trust merupakan langkah strategis dalam meningkatkan ketahanan sistem informasi terhadap berbagai bentuk ancaman siber yang kompleks dan terus berkembang. Zero Trust tidak lagi mengandalkan perimeter jaringan sebagai pengaman utama, melainkan berfokus pada verifikasi berkelanjutan, kontrol akses berbasis risiko, dan pemisahan hak akses yang ketat. Implementasi Zero Trust dalam lingkungan operasional dapat dilakukan melalui sejumlah kriteria utama berikut:

Pemeriksaan Postur Perangkat ( Device Posture Checking ) 1 Merupakan proses evaluasi kondisi dan status keamanan perangkat sebelum diberikan akses ke jaringan atau sumber daya organisasi. Tujuan dari langkah ini adalah memastikan bahwa hanya perangkat yang memenuhi standar keamanan minimum yang diizinkan untuk berkomunikasi dalam sistem. Adapun parameter yang harus diperiksa minimal meliputi: a. Status pembaruan sistem operasi ( OS Update ): untuk memastikan perangkat tidak memiliki kerentanan yang diketahui. b. Antivirus aktif dan terbarui: untuk mendeteksi serta mencegah potensi malware yang dapat mengancam sistem. Langkah ini secara langsung mendukung prinsip Zero Trust bahwa akses tidak boleh diberikan hanya berdasarkan lokasi jaringan, melainkan berdasarkan trust worthiness perangkat.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

Penegakan Kebijakan Dinamis ( Dynamic Policy Enforcement )

Zero Trust mengharuskan sistem untuk menyesuaikan kebijakan akses secara adaptif dan kontekstual. Mekanisme penegakan kebijakan dinamis ini memastikan bahwa setiap permintaan akses dievaluasi berdasarkan konteks yang relevan secara real-time , seperti identitas pengguna, lokasi geografis, jenis perangkat, dan pola lalu lintas jaringan. Beberapa kriteria penting dalam penegakan kebijakan ini antara lain: a. Geolokasi: Sistem hanya mengizinkan akses dari wilayah geografis yang telah disetujui, untuk mencegah aktivitas akses dari lokasi berisiko tinggi. b. Analisis lalu lintas dan deteksi anomali: Sistem harus mengintegrasikan metode deteksi berbasis aturan ( rule-based detection ) maupun perilaku ( behavioral analytics ) guna mengidentifikasi aktivitas yang menyimpang dari pola normal.

Dukungan Teknologi dan Arsitektur Keamanan Tambahan

Penerapan Zero Trust tidak terlepas dari integrasi teknologi pendukung yang memperkuat kontrol dan visibilitas terhadap seluruh aktivitas sistem. Beberapa komponen teknis yang direkomendasikan oleh Cybersecurity and Infrastructure Security Agency (CISA) sebagai bagian dari implementasi Zero Trust antara lain:

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

a. Security Information and Event Management (SIEM): untuk konsolidasi, korelasi, dan analisis log secara terpusat. b. Intrusion Detection System (IDS): untuk mendeteksi aktivitas berbahaya atau penyusupan secara pasif. c. Intrusion Prevention System (IPS): untuk secara aktif mencegah dan memblokir serangan yang teridentifikasi secara otomatis.

Dengan pendekatan ini, Penyelenggara tidak hanya mengandalkan autentikasi awal, tetapi terus memantau, memverifikasi, dan mengevaluasi semua aktivitas dalam sistem, sesuai dengan prinsip dasar Zero Trust : “ Never trust, always verify. ”

4.1.2 Kendali Akses

Dalam upaya memperkuat sistem keamanan informasi, penerapan kebijakan kontrol akses yang ketat dan terstruktur menjadi hal yang krusial. Salah satu pendekatan efektif yang dapat diterapkan adalah dengan mengadopsi berbagai prinsip dan praktik terbaik dalam manajemen akses pengguna. Beberapa komponen utama yang perlu diperhatikan dalam implementasi kontrol akses antara lain mencakup pengelolaan peran pengguna, prinsip least privilege , pengaturan sesi dan mekanisme permintaan akses, serta manajemen sesi. Berikut ini adalah poin-poin penting yang perlu diterapkan untuk memastikan sistem tetap aman, terkontrol, dan sesuai dengan standar tata kelola keamanan informasi:

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

2. Least Privilege Principle : a. Hanya memberikan pengguna tingkat akses paling rendah yang diperlukan untuk menjalankan tugasnya. b. Lakukan audit berkala terhadap tingkat akses untuk memastikan kepatuhan terhadap prinsip least privilege . b. Peninjauan secara rutin terhadap hak akses, peran, serta izin akses agar sesuai dengan perubahan fungsi kebijakan. 1. Role-Based Access Control (RBAC): a. Terapkan RBAC untuk memberikan hak akses berdasarkan peran pengguna dalam organisasi.

3. Permintaan dan Persetujuan Akses: a. Membuat kebijakan yang mencakup tahapan pengajuan, peninjauan, dan persetujuan akses berdasarkan prinsip least privilege dan kebutuhan operasional yang sah. b. Penyusunan kebijakan harus mencakup verifikasi identitas pemohon, penilaian terhadap relevansi permintaan berdasarkan fungsi kerja, validasi oleh pemilik data atau sistem, serta pencatatan lengkap atas seluruh riwayat persetujuan sebagai bagian dari akuntabilitas dan jejak audit ( audit trail ).

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

c. Membuat mekanisme peninjauan hak akses secara berkala guna mengidentifikasi dan mencabut hak akses yang tidak lagi relevan atau berlebihan. d. Memiliki sistem peringatan dini ( proactive alerting ) yang secara otomatis memantau dan memberikan notifikasi terhadap setiap perubahan pada akses atau peran dengan hak istimewa tinggi ( high privilege ). e. Penerapan Identity and Access Management (IAM) secara terpusat dan terintegrasi memungkinkan organisasi untuk mengelola identitas dan hak akses pengguna secara konsisten di seluruh lingkungan teknologi informasi, termasuk sistem lokal, cloud , maupun aplikasi pihak ketiga. f. Implementasi Privileged Access Management (PAM) dalam mengelola, memantau, dan mengendalikan akses terhadap akun-akun dengan hak istimewa tinggi ( privileged accounts ), seperti akun administrator sistem, akun root basis data , maupun akun layanan yang memiliki akses terhadap infrastruktur dan data kritikal. g. PAM berfungsi untuk memastikan bahwa akses hanya diberikan kepada pihak yang berwenang, dalam jangka waktu terbatas, serta dengan pemantauan dan pencatatan secara menyeluruh terhadap setiap aktivitas yang dilakukan 4. Session Management Manajemen sesi ( Session Management ) merupakan aspek krusial dalam pengendalian keamanan akses pengguna terhadap sistem informasi, terutama dalam konteks aplikasi berbasis web , cloud , atau platform layanan keuangan digital. Pengelolaan sesi yang tidak tepat dapat membuka celah bagi berbagai bentuk penyalahgunaan, seperti session hijacking , session fixation , dan akses tidak sah akibat sesi yang tidak tertutup secara semestinya. Untuk mengurangi risiko tersebut, penerapan kebijakan dan kontrol teknis

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

terhadap sesi pengguna perlu dilakukan secara menyeluruh, dengan mempertimbangkan hal-hal berikut: a. Timeout Sesi Otomatis Organisasi harus menerapkan mekanisme auto-session timeout yang memutus koneksi atau mengakhiri sesi pengguna secara otomatis setelah periode tidak aktif tertentu (misalnya 15–30 menit untuk sistem kritikal). Tujuannya adalah untuk mencegah pihak tidak berwenang mengakses sistem dari perangkat yang ditinggalkan dalam keadaan login . Timeout juga sebaiknya disesuaikan berdasarkan tingkat sensitivitas data yang diakses dan risiko operasional yang terkait. b. Pengamanan dan Pengelolaan Sesi Token Token sesi (misalnya Java Web Token (JWT), OAuth token) yang digunakan untuk mengautentikasi sesi pengguna harus: 1 Disimpan secara aman (misalnya di HTTP only secure cookies untuk aplikasi web ). 2 Diatur agar memiliki waktu kadaluarsa ( token expiration ) yang wajar dan proporsional terhadap tingkat risikonya. 3 Dibatalkan ( revoked ) secara otomatis saat pengguna keluar dari sistem ( logout ), atau saat terjadi perubahan kredensial seperti pembaruan kata sandi, rotasi token, atau terdeteksi anomali pada sesi. U ntuk mencegah penyalahgunaan token yang telah dicuri, sistem juga harus mampu mengenali dan memutus sesi aktif secara paksa jika ditemukan aktivitas mencurigakan atau bila terdapat laporan akun dikompromikan.

Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia

c. Re-Authentication dan Step-Up Authentication U ntuk akses ke data atau fungsi dengan hak istimewa tinggi ( privileged functions ), sistem harus menerapkan re-authentication atau step-up authentication . Mekanisme ini mewajibkan pengguna untuk melakukan autentikasi ulang (misalnya memasukkan ulang kata sandi, OTP, atau menggunakan faktor biometrik) sebelum mengakses sumber daya sensitif seperti:

• Pengelolaan akun pengguna lain. • Transaksi bernilai besar atau kritikal. • Perubahan konfigurasi sistem. • Akses ke log atau data terenkripsi.

Tujuan dari langkah ini adalah untuk memverifikasi kembali identitas pengguna, terutama dalam sesi yang telah berjalan lama, dan memperkuat kontrol akses agar tidak bergantung sepenuhnya pada autentikasi awal.

4.1.3 Media Penyimpanan yang Aman

Dalam sistem informasi modern, penyimpanan data yang aman merupakan komponen vital dalam menjaga kerahasiaan, integritas, dan ketersediaan informasi. Penerapan secure storage tidak hanya bergantung pada teknologi enkripsi, tetapi juga mencakup pengelolaan akses, pengawasan operasional, serta kebijakan dan prosedur yang kuat. Strategi keamanan penyimpanan data harus dirancang secara menyeluruh dengan mempertimbangkan beberapa aspek penting berikut:

Page 1 Page 2 Page 3 Page 4 Page 5 Page 6 Page 7 Page 8 Page 9 Page 10 Page 11 Page 12 Page 13 Page 14 Page 15 Page 16 Page 17 Page 18 Page 19 Page 20 Page 21 Page 22 Page 23 Page 24 Page 25 Page 26 Page 27 Page 28 Page 29 Page 30 Page 31 Page 32 Page 33 Page 34 Page 35 Page 36 Page 37 Page 38 Page 39 Page 40 Page 41 Page 42 Page 43 Page 44 Page 45 Page 46 Page 47 Page 48 Page 49 Page 50 Page 51 Page 52 Page 53 Page 54 Page 55 Page 56 Page 57 Page 58 Page 59 Page 60 Page 61 Page 62 Page 63 Page 64 Page 65 Page 66 Page 67 Page 68 Page 69 Page 70 Page 71 Page 72 Page 73 Page 74 Page 75 Page 76 Page 77 Page 78 Page 79 Page 80 Page 81 Page 82 Page 83 Page 84 Page 85 Page 86 Page 87 Page 88 Page 89 Page 90 Page 91 Page 92 Page 93 Page 94 Page 95 Page 96 Page 97 Page 98 Page 99 Page 100 Page 101 Page 102 Page 103 Page 104 Page 105 Page 106 Page 107 Page 108 Page 109 Page 110 Page 111 Page 112 Page 113 Page 114 Page 115 Page 116 Page 117 Page 118 Page 119 Page 120 Page 121 Page 122 Page 123 Page 124 Page 125 Page 126 Page 127 Page 128 Page 129 Page 130 Page 131 Page 132 Page 133 Page 134 Page 135 Page 136 Page 137 Page 138 Page 139 Page 140 Page 141 Page 142 Page 143 Page 144 Page 145 Page 146 Page 147 Page 148

Made with FlippingBook - professional solution for displaying marketing and sales documents online