Pedoman Keamanan Siber Bagi Penyelenggara Inovasi Teknologi Sektor Keuangan (ITSK)
Didukung oleh:
Pedoman Keamanan Siber Bagi Penyelenggara Inovasi Teknologi Sektor Keuangan (ITSK)
Pedoman Keamanan Siber untuk Penyelenggara ITSK ditujukan untuk meningkatkan pemahaman dan kesadaran ( awareness ) dari pemangku kepentingan ( stakeholders ).
Didukung oleh:
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
KATA PENGANTAR
Assalamualaikum warahmatullahi wabarakatuh.
Puji dan syukur kami panjatkan ke hadirat Allah Yang Mahakuasa, karena atas berkat dan rahmat-Nya, Otoritas Jasa Keuangan dapat menyelesaikan penyusunan Pedoman Keamanan Siber bagi Sektor Inovasi Teknologi Sektor Keuangan di Indonesia (ITSK) di Indonesia. Pedoman ini dimaksudkan untuk memberikan penjelasan kepada seluruh Penyelenggara ITSK mengenai kerangka dan mekanisme implementasi pengelolaan risiko siber yang termasuk di dalamnya terkait penerapan manajemen risiko siber dan respons terhadap insiden siber. Melalui penerapan kerangka keamanan siber yang efektif dan responsif, diharapkan dapat tercipta ekosistem keuangan digital di sektor jasa keuangan yang aman, tangguh, dan tepercaya. Pada zaman yang serba terhubung saat ini, data dan informasi yang tersimpan dan saling terhubung dalam jaringan digital dan elemen ruang siber lainnya, menjadi komponen penting dalam mendukung transaksi di sektor keuangan. Keterhubungan di ruang siber ini tidak hanya memberikan peluang untuk pengembangan sektor keuangan namun juga memunculkan risiko baru yaitu risiko siber bagi sektor keuangan termasuk sektor ITSK. Berdasarkan data global, sektor keuangan merupakan industri yang paling banyak mengalami serangan siber pada tahun 2023, dengan tingkat keterjadian sebesar 16 persen dari keseluruhan insiden siber. Selain itu, rata-rata biaya pelanggaran data di sektor keuangan mencapai USD 4,35 juta, yang secara signifikan lebih tinggi dari
2
Otoritas Jasa Keuangan
rata-rata biaya pelanggaran data di semua industri (USD 3,92 juta). Di tingkat domestik sendiri, Badan Siber dan Sandi Negara mencatat bahwa Indonesia mengalami 361 juta serangan siber pada tahun 2023 dimana sektor keuangan menjadi sektor yang paling banyak mengalami serangan siber dibandingkan dengan sektor lainnya. Terkait hal itu, Otoritas Jasa Keuangan menyadari bahwa sektor keuangan termasuk sektor ITSK akan terus menjadi target utama serangan siber, dan akan sangat rentan apabila tidak menerapkan kerangka keamanan siber yang efektif dan responsif. Untuk itu sangat diperlukan penerapan kerangka keamanan siber di sektor ITSK yang diharapkan menjadi mekanisme perlindungan yang dapat digunakan dalam meminimalisasi gangguan pada aspek ketersediaan (availability), integritas ( integrity ), dan kerahasiaan ( confidentiality ) atas data dan informasi yang dikelola oleh Penyelenggara ITSK di ruang siber. Dalam konteks penerapan kerangka keamanan siber, pedoman ini memberikan pemetaan atas kerangka keamanan siber melalui pendekatan multi-aspek dan strategi keamanan yang berlapis dimana pemahaman Penyelenggara ITSK atas risiko siber dari inovasi yang sedang dijalankan menjadi langkah pertama dan terpenting dalam menyusun dan mengimplementasikan mitigasi risiko yang tepat dalam mencegah insiden siber. Otoritas Jasa Keuangan juga menegaskan pentingnya implementasi keamanan siber yang dapat diintegrasikan ke dalam siklus hidup inovasi (innovation life-cycle) . Hal ini dapat dimaknai bahwa pengembangan inovasi dengan memanfaatkan teknologi baru bukan merupakan hal yang terpisah dengan penerapan keamanan siber. Melalui mekanisme ini maka dapat dipastikan bahwa
3
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
inovasi di sektor keuangan telah aman sejak awal pengembangannya mengingat Penyelenggara ITSK telah menjadikan keamanan siber sebagai bagian penting dari proses pengembangan inovasi, dimana risiko yang terkait dengan teknologi baru dan siber telah dapat diidentifikasi dan dimitigasi sebelum menjadi celah bagi terjadinya serangan siber. Tentunya seluruh Penyelenggara ITSK juga harus terus memperbarui pengetahuan atas perkembangan serangan siber yang terjadi di ruang siber sehingga dapat mengembangkan kerangka keamanan siber sesuai dengan kebutuhan. Keseluruhan Inisiatif dan upaya Otoritas Jasa Keuangan dalam meningkatkan keamanan siber di sektor ITSK dimaksud selaras dengan amanat Undang-Undang Nomor 4 tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan yang mengatur bahwa salah satu prinsip industri ITSK adalah penerapan keamanan dan keandalan sistem informasi, termasuk keamanan siber. Dalam upaya pengembangan sektor ITSK, Otoritas Jasa Keuangan tentunya tidak dapat berjalan sendiri tanpa dukungan dan peran serta dari seluruh pemangku kepentingan. Oleh karena itu, Otoritas Jasa Keuangan mengharapkan dukungan dari semua pihak agar pelaksanaan penerapan kerangka keamanan siber di sektor ITSK dapat berjalan secara efektif dan selaras dengan seluruh kebijakan, program, dan harapan dari seluruh pemangku kepentingan di sektor keuangan Indonesia. Pedoman keamanan siber bagi Sektor Inovasi Teknologi Sektor Keuangan di Indonesia merupakan dokumen dinamis (living document) yang dapat terus disesuaikan dengan perkembangan sektor ITSK, untuk dapat menghasilkan respons pengaturan, ketentuan, ataupun kebijakan yang relevan dan kredibel.
4
Otoritas Jasa Keuangan
Akhir kata, kami berharap pedoman ini dapat terus mendorong pemberdayaan ekosistem digital dan memperkuat ketahanan siber dalam mendukung ketahanan ekonomi nasional sehingga sektor ITSK dapat terus tumbuh dan berkontribusi optimal bagi pertumbuhan perekonomian nasional yang inklusif, berkelanjutan, dan berkeadilan.
Wassalamu’alaikum warahmatullahi wabarakatuh .
Hasan Fawzi Kepala Eksekutif Pengawas Inovasi Teknologi Sektor Keuangan, Aset Keuangan Digital dan Aset Kripto merangkap Anggota Dewan Komisioner Otoritas Jasa Keuangan
5
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Daftar Isi
Bab 1 - PENDAHULUAN 1.1. Latar belakang 1.2. Tujuan 1.3. Cakupan
8 10 11 13 14 17 17
Bab 2 - URGENSI KEAMANAN SIBER 2.1. Aspek Ancaman 2.2. Jenis Ancaman Siber
20 22 24 24 29 31 40 42 45 47 50 52 56 57 58 59 60
Bab 3 - PELINDUNGAN DATA 3.1.
Kebijakan Perlindungan Data Prinsip Keamanan Informasi
3.2.
3.2.1 3.2.2 3.2.3
Kerahasiaan ( Confidentiality )
Integritas ( Integrity )
Ketersediaan ( Availability )
Bab 4 - MANAJEMEN RISIKO 4.1. Penilaian Risiko 4.2. Mitigasi Risiko 4.3. Bab 5 - TANGGAP INSIDEN 5.1. Persiapan 5.2. Deteksi dan Analisis 5.3.
Perlakuan Risiko ( Risk Treatment )
Pengisolasian ( Containment ) Pemberantasan ( Eradication )
5.4. 5.5. 5.6.
Pemulihan ( Recovery ) Aktivitas Pasca-Insiden
6
Otoritas Jasa Keuangan
Bab 6 - PENILAIAN TINGKAT MATURITAS KEAMANAN SIBER
62
Bab 7 - PENDUKUNG KEAMANAN SIBER 7.1. Pelatihan 7.2. Peningkatan Awareness 7.3. Kolaborasi
70 72 74 76
Bab 8 - KESIMPULAN
78
Bab 9 - LAMPIRAN 9.1
82 84
Glosarium: Definisi Istilah Utama dan Akronim dalam Keamanan Siber Sumber: Daftar Sumber, Alat, dan Layanan Keamanan Siber Langkah-langkah Keamanan Siber yang Esensial Langkah-langkah Keamanan Siber Lanjutan
9.2
88
9.3 9.4
89 96
KODE ETIK KEAMANAN SIBER
102
NARAHUBUNG
116
Pedoman ini memberikan panduan umum dan tidak dimaksudkan untuk menggantikan ketentuan perundang-undangan yang berlaku. Pedoman ini harus dibaca bersamaan dengan undang-undang, peraturan terkait dan pedoman lain yang diterbitkan oleh OJK atau badan otoritas lainnya. Produk atau layanan yang disebutkan dalam dokumen ini bukan merupakan dukungan terhadap produk atau layanan tersebut, melainkan hanya digunakan sebagai contoh praktik yang umum digunakan. Untuk hal-hal yang berkaitan dengan aset kripto akan diatur dalam panduan tersendiri dalam pedoman teknis yang terpisah. 1. 2. 3. Disclaimer
7
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
01 Pendahuluan
8
Otoritas Jasa Keuangan
9
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Pendahuluan 01
1.1. Latar Belakang
Keamanan siber telah menjadi perhatian di kalangan Industri Jasa Keuangan. Pasal 215 dari Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan (UUP2SK) mengatur bahwa salah satu prinsip industri Inovasi Teknologi Sektor Keuangan (ITSK) adalah menerapkan keamanan dan keandalan sistem informasi, termasuk ketahanan siber. Peraturan Otoritas Jasa Keuangan (POJK) Nomor 3 Tahun 2024 tentang Penyelenggaraan Inovasi Teknologi Sektor Keuangan juga menekankan pentingnya keamanan siber dan ketahanan siber. Oleh karena itu, diperlukan suatu Pedoman Keamanan Siber untuk Penyelenggara ITSK yang ditujukan Namun, perkembangan ini juga menimbulkan tantangan keamanan siber, termasuk risiko serangan siber, kebocoran data dan aktivitas ilegal lainnya. Lanskap keamanan siber di Indonesia berkembang pesat, didorong oleh meningkatnya penggunaan teknologi di sektor jasa keuangan. Industri Inovasi Teknologi Sektor Keuangan (ITSK) juga terus berkembang secara signifikan dalam menciptakan inovasi dan teknologi terbaru.
10
Otoritas Jasa Keuangan
untuk meningkatkan pemahaman dan kesadaran (awareness) dari pemangku kepentingan (stakeholders). ITSK diartikan sebagai inovasi berbasis teknologi yang berdampak pada produk, aktivitas, layanan, dan model bisnis dalam ekosistem keuangan digital Penyelenggara ITSK. ITSK, dalam konteks ini, tidak termasuk aset digital dan aset kripto. Pedoman ini merupakan kerangka kerja manajemen risiko untuk mendorong keseimbangan ekosistem
antara perkembangan inovasi dan pelindungan konsumen. Untuk mencapai hal tersebut, beberapa langkah penting perlu diambil. Pertama, perlunya penerapan pedoman keamanan siber oleh Penyelenggara ITSK. Kedua, memastikan bahwa praktik keamanan siber diintegrasikan dan tidak diabaikan dalam pengembangan inovasi. Terakhir, penting untuk terus mengikuti kemajuan teknologi dan memperbarui pedoman ini sehingga dapat memberikan manfaat bagi konsumen dan industri ITSK.
1.2. Tujuan
Pedoman keamanan siber menetapkan kerangka kerja untuk memastikan keamanan dan integritas inovasi berbasis teknologi dalam industri ITSK yang mencakup strategi pencegahan, penanganan keamanan siber, penilaian risiko dan respons terhadap insiden.
11
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Tujuan umum dari pedoman ini adalah:
Memberikan panduan bagi Penyelenggara ITSK: Untuk melindungi informasi/data pribadi, menjaga integritas transaksi keuangan, dan membangun kepercayaan konsumen.
Mengatasi kerentanan: Untuk mendorong Penyelenggara ITSK memahami dan mengatasi setiap ancaman yang teridentifikasi, serta memberikan kerangka kerja yang komprehensif dalam menangani ancaman tersebut.
Meningkatkan awareness manajemen: Untuk memastikan bahwa manajemen memahami pentingnya keamanan siber dan mendapatkan informasi yang memadai untuk melakukan tindakan proaktif dan membuat keputusan strategis dalam memperkuat ketahanan siber Penyelenggara ITSK.
Meningkatkan tingkat awareness audit dan manajemen risiko: Untuk memberikan informasi yang diperlukan dalam menyusun, menilai dan meningkatkan protokol keamanan siber.
12
Otoritas Jasa Keuangan
1.3. Cakupan
Pedoman ini memberikan kerangka kerja untuk Penyelenggara ITSK, yang mencakup pelindungan data, manajemen risiko, tanggap insiden, penilaian maturitas dan pelatihan karyawan, dengan tetap mempertimbangkan kesetaraan gender dan inklusi sosial dalam pelaksanaanya.
Lingkup industri atau model bisnis Penyelenggara ITSK, antara lain:
Aggregator
adalah Situs Web atau Aplikasi yang membantu nasabah untuk mendapatkan informasi mengenai produk dan layanan jasa keuangan dengan menghimpun informasi, serta menyaring dan membandingkan produk dan layanan antar Lembaga Jasa Keuangan (LJK) secara digital.
Innovative Credit Scoring (ICS)
Lembaga atau badan yang mengolah data selain data kredit maupun turunannya menggunakan algoritma tertentu melalui teknologi informasi (TI) untuk menghasilkan nilai atau huruf yang menunjukan assessment kelayakan seseorang menerima layanan di bidang Jasa Keuangan.
13
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
02 Urgensi Keamanan Siber
14
Otoritas Jasa Keuangan
15
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Urgensi Keamanan Siber 02
Urgensi keamanan siber diperlukan untuk mengantisipasi datangnya ancaman dan serangan siber, sehingga diperlukan kesiapan dan kesigapan dalam menghadapi serangan dan kemampuan untuk memulihkan dampak serangan siber.
Keamanan siber merupakan kondisi terjaganya kerahasiaan, keutuhan, serta ketersediaan informasi dan/atau sistem informasi yang saling terkoneksi satu sama lain melalui media siber dari serangan siber. Keamanan siber dapat juga mencakup aspek lain, seperti keaslian, akuntabilitas, nirsangkal, dan keandalan. Ketahanan siber merupakan kemampuan Penyelenggara ITSK untuk tetap menjaga kelangsungan
bisnisnya dengan melakukan tindakan antisipatif, adaptif, dan proaktif terhadap ancaman siber. Penyelenggara ITSK tidak hanya dituntut untuk dapat menjaga keamanan sistem elektronik yang dimiliki dari serangan siber, namun juga perlu memiliki kemampuan dalam mendeteksi dan memulihkan keadaan pasca terjadinya insiden siber. Penyelenggara ITSK juga perlu melakukan pemantauan atas kejadian siber sebagai bentuk komunikasi kepada para pemangku kepentingan atas ketahanan dan keamanan siber.
16
Otoritas Jasa Keuangan
2.1 Aspek Ancaman
Aspek ancaman adalah segala sesuatu yang melatarbelakangi ancaman dan serangan siber, yang meliputi aspek- aspek Ideologi, Politik, Ekonomi, Sosial, Budaya, Kebangsaan, Militer, Ilmu
Pengetahuan, Keuangan dan Teknologi serta aspek lain yang terkait dalam kehidupan berbangsa, bernegara dan bermasyarakat termasuk kepentingan pribadi.
2.2. Jenis Ancaman Siber Ancaman siber dapat berbentuk, antara lain:
1. Malware
2. Ransomware
Malware merupakan perangkat lunak dengan fitur atau kemampuan yang berpotensi mengganggu suatu sistem informasi. Gangguan yang dimaksud dapat menimbulkan kerugian bagi pemilik sistem informasi, baik secara langsung maupun tidak langsung.
Ransomware merupakan jenis malware yang mengenkripsi file korban dan menuntut pembayaran tebusan untuk mendekripsi file tersebut. Ransomware dapa t menyebabkan kerugian finansial yang signifikan bagi individu dan organisasi.
17
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
4. Denial of Services (DoS) dan Distributed Denial of Services (DDos)
3. Web Defacement
Web defacement merupakan serangan yang dilakukan terhadap situs web dengan cara mengganti atau memodifikasi situs web dengan cara mengganti atau memodifikasi situs web sehingga isi dari situs web berubah sesuai dengan keinginan penyerang
DoS dan DDoS merupakan serangan yang bertujuan untuk mengganggu keberlangsungan operasional ( availability ) suatu sistem elektronik dalam memproses transaksi atau akses yang sah, antara lain dengan cara membuat kapasitas jaringan atau kapasitas komputer seolah-olah telah terpakai penuh karena adanya permintaan akses dalam volume besar.
5. Phishing
Phishing merupakan teknik penipuan yang bertujuan untuk mendapatkan informasi pribadi atau sensitif, seperti kredensial login , data keuangan, atau informasi pribadi lainnya. Biasanya dilakukan melalui email, pesan teks, atau situs web palsu yang dibuat menyerupai situs web sah.
6. Social Engineering
Sosial Engineering merupakan manipulasi psikologis untuk menipu korban agar melakukan tindakan yang membahayakan diri sendiri atau orang lain. Contohnya, meyakinkan korban untuk mengklik tautan berbahaya, memberikan informasi sensitif, atau mentransfer uang.
18
Otoritas Jasa Keuangan
7. Man-in-the-Middle (MitM)
8. Zero-Day Attack
Man-in-the-Middle (MitM) merupakan serangan yang mengintersep komunikasi antara dua pihak dan menyamar sebagai salah satu pihak tersebut. MitM dapat digunakan untuk mencuri data, mengubah pesan, atau mengganggu komunikasi.
Zero-Day Attack merupakan serangan yang memanfaatkan kerentanan perangkat lunak yang belum diketahui oleh pengembangnya. Serangan ini biasanya lebih sulit dideteksi dan dicegah karena tidak ada patch yang tersedia untuk mengatasinya.
9. Cyber Espionage
10. Supply Chain Attack
Cyber Espionage adalah pencurian informasi rahasia atau sensitif, seperti data bisnis, data pemerintah, atau rahasia dagang. Biasanya dilakukan oleh peretas yang disponsori negara atau organisasi kriminal.
Supply Chain Attack merupakan serangan yang menargetkan pemasok pihak ketiga untuk mendapatkan akses ke sistem atau data organisasi yang lebih besar. Serangan ini bisa sangat berbahaya karena dapat memengaruhi banyak organisasi sekaligus.
11. Credential Stuffing
Credential Stuffing merupakan serangan yang menggunakan kredensial yang diperoleh secara ilegal, seperti nama pengguna dan kata sandi, untuk masuk ke akun daring. Kredensial ini dapat diperoleh melalui phishing, kebocoran data, atau malware .
Jenis serangan siber tidak terbatas pada hal-hal di atas. Penyelenggara ITSK harus terus mengikuti potensi serangan siber yang terus berkembang.
19
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
03 Pelindungan Data
20
Otoritas Jasa Keuangan
21
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Pelindungan Data 03
Kebijakan pelindungan data mencakup enkripsi data, keamanan penyimpanan data, dan kontrol akses. Pengamanan enkripsi data ditujukan untuk semua informasi/data sensitif, seperti nomor kartu kredit, rincian perbankan, dan data identifikasi pribadi dengan menggunakan algoritma kriptografi yang memadai. Selain enkripsi, perlu untuk melakukan langkah keamanan penyimpanan data seperti melengkapi server dengan firewall untuk memastikan data terlindungi dari serangan siber dan potensi ancaman lainnya. Langkah pelindungan data juga harus diikuti dengan kontrol akses yang memadai untuk mencegah akses data yang tidak sah. Selain itu, perlu untuk menguji dan mengaudit keamanan penyimpanan data secara rutin guna memastikan Penyelenggara ITSK telah memenuhi standar keamanan yang memadai. 3.1. Kebijakan Pelindungan Data Kebijakan pelindungan data yang komprehensif sangat penting bagi upaya keamanan siber Penyelenggara ITSK dengan beberapa alasan: 1. Melindungi data sensitif Penyelenggara ITSK menangani sejumlah besar data yang sensitif. Kebijakan pelindungan data memastikan bahwa data telah dienkripsi dan disimpan dengan aman, serta hanya dapat diakses oleh personel yang berwenang. Penyelenggara ITSK dapat menerapkan standar enkripsi yang memadai seperti AES-256 atau setidaknya AES-128, seperti yang direkomendasikan oleh Badan Siber dan Sandi Negara (BSSN).
22
Otoritas Jasa Keuangan
2. Kepatuhan terhadap peraturan Indonesia memiliki berbagai peraturan perundang-undangan terkait pelindungan data dan keamanan siber, seperti Undang-Undang Pelindungan Data Pribadi (UU PDP), Peraturan OJK, dan Peraturan lainnya. Penyelenggara ITSK harus memperhatikan peraturan terkait dalam melakukan implementasi pedoman ini untuk menghindari potensi pelanggaran dan risiko reputasi. 3. Meningkatkan kepercayaan pelanggan Menerapkan kebijakan pelindungan data dan mengkomunikasikan dengan jelas kepada pelanggan untuk membangun kepercayaan atas layanan yang diberikan. 4. Memitigasi risiko dunia maya ( cyber risk ) Kebijakan pelindungan data yang mencakup penilaian keamanan, pengkinian metode enkripsi, dan kontrol akses yang memadai membantu Penyelenggara ITSK dalam memitigasi risiko dan melindungi data dari risiko serangan siber. 5. Membangun kolaborasi yang aman Dalam hal Penyelenggara ITSK berkolaborasi dengan entitas lain, seperti kolaborasi dengan Bank dalam pemrosesan pembayaran atau penyedia layanan pihak ketiga, maka diperlukan kebijakan pelindungan data yang memadai untuk memastikan bahwa data yang dikirimkan kepada mitra telah dienkripsi. 6. Mendorong inovasi dan pertumbuhan Penyelenggara ITSK harus mendorong inovasi dan pertumbuhan dengan memprioritaskan pelindungan data dan keamanan siber untuk tetap menjaga kepercayaan pelanggan dan pemangku kepentingan.
23
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
3.2. Prinsip Keamanan Informasi
Kerangka kerja fundamental untuk menjaga keamanan informasi mencakup Confidentiality , Integrity , dan Availability (CIA).
3.2.1. Kerahasiaan ( Confidentiality )
Semua data sensitif harus dienkripsi menggunakan standar kriptografi yang memadai untuk memastikan bahwa data tetap aman meskipun diakses oleh entitas yang tidak berwenang. Penyelenggara ITSK menerapkan standar enkripsi yang memadai seperti AES-256 atau setidaknya AES-128, seperti yang direkomendasikan oleh Badan Siber dan Sandi Negara (BSSN).
1.
Enkripsi
a) Standar Enkripsi - Enkripsi data at rest menggunakan algoritma standar industri seperti AES ( Advanced Encryption Standard ) dengan minimum menggunakan AES-128 sesuai rekomendasi BSSN. Gunakan TLS 1.2 atau lebih tinggi untuk mengenkripsi data in transit guna memastikan pertukaran data yang aman antara klien dan server . 2 b) Penerapan Enkripsi - Melakukan enkripsi untuk semua data sensitif, termasuk informasi identifikasi pribadi, rincian transaksi, dan catatan keuangan. - Pastikan kunci enkripsi dikelola dengan aman, dengan prosedur pembuatan, distribusi, penyimpanan, rotasi, dan penghancuran kunci telah tepat untuk mencegah akses tidak sah.
1 Advanced Encryption Standard (AES), https://www.techtarget.com/searchsecurity/definition/ Advanced-Encryption-Standard 2 Advanced Encryption Standard (AES) - National Institute of Standards and Technology (NIST), https:// www.nist.gov/publications/advanced-encryption-standard-aes
24
Otoritas Jasa Keuangan
c) Enkripsi End-to-End - Menerapkan end-to-end encryption (E2EE) 3 untuk semua pertukaran data di dalam jaringan dan dengan entitas eksternal untuk memastikan bahwa data dienkripsi dari titik asal ke titik tujuan, sehingga membatasi akses bahkan pada saat transit.
Keamanan Penyimpanan Data Keamanan penyimpanan data harus menggunakan pelindungan berlapis yang mencakup penerapan server firewall dan langkah-langkah pengamanan fisik yang memadai. 2. Autentikasi dan Kontrol Akses Menerapkan mekanisme autentikasi yang memadai sangat penting untuk memverifikasi identitas dari pengguna yang mengakses data. Multi-factor Authentication (MFA) harus digunakan untuk memperkuat lapisan keamanan. Selain itu, kebijakan kata sandi harus menerapkan kata sandi yang kuat dan unik yang wajib diperbarui secara berkala selama dalam penyimpanan database dan proses login . 3.
3 Encryption end-to-end encryption (E2EE), https://www.techtarget.com/searchsecurity/definition/ end-to-end-encryption-E2EE
25
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
a) Autentikasi atau pengamanan kata sandi
•
Hashing Password : - Menggunakan algoritma hashing kriptografi yang kuat (contoh: bcrypt, Argon2, PBKDF2) untuk mengamankan kata sandi sebelum disimpan di database untuk memastikan kata sandi asli tidak bisa dipulihkan dengan mudah meskipun database diretas. - Menerapkan mekanisme salt untuk menambahkan data acak ke setiap kata sandi sebelum di- hashing . Hal ini mencegah hacker menggunakan tabel yang telah dibuat sebelumnya ( rainbow tables ) untuk memecahkan hash password . Masking Passwords in User Interfaces: - Selalu menampilkan kata sandi sebagai tanda bintang (*) atau titik (•) saat login dan pendaftaran. - Memberikan opsi untuk menampilkan atau menyembunyikan kata sandi untuk menjaga keseimbangan antara pengalaman pengguna dan keamanan. Namun perlu dipastikan bahwa keadaan default yang diberikan adalah opsi untuk menyembunyikan kata sandi. Secure Transmission of Passwords : - Menggunakan Hypertext Transfer Protocol Secure (HTTPS) untuk mengenkripsi data yang dikirimkan antara klien dan server , memastikan bahwa kata sandi terlindungi selama transit. - Menerapkan tindakan tambahan seperti HTTP Strict Transport Security (HSTS) untuk memastikan koneksi aman.
•
•
26
Otoritas Jasa Keuangan
•
Password Policy Enforcement - Menerapkan kebijakan kata sandi yang kuat, termasuk panjang minimum kata sandi, kombinasi huruf besar dan kecil, angka, dan penggunaan karakter khusus. - Membatasi jumlah percobaan login ( rate limiting ) dan blokir akun sementara ( account logout ) untuk melindungi serangan brute force. Regularly Update Hashing Algorithms - Melakukan reviu dan pengkinian algoritma hashing secara berkala untuk memastikan algoritma tersebut tetap aman dari ancaman yang terus berkembang. - Menerapkan mekanisme untuk mengulangi kata sandi eksisting dengan algoritma yang lebih kuat ketika pengguna login atau mengubah kata sandi. Store Passwords Separately from Other Data - Memastikan password hashes disimpan secara terpisah dari data sensitif lainnya untuk mengurangi risiko kebocoran data. Secure Password Reset Processes - Menerapkan mekanisme pengaturan ulang kata sandi dengan menggunakan token sementara atau tautan yang dikirim melalui email . - Pastikan token yang digunakan untuk reset kata sandi memiliki batas waktu dan hanya dapat digunakan satu kali. -
•
•
27
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
b) Mekanisme Kontrol Akses
•
Role-Based Access Control (RBAC): - Menerapkan RBAC untuk menetapkan hak akses berdasarkan peran dalam organisasi. - Melakukan reviu dan pengkinian izin akses secara berkala untuk mencerminkan perubahan dalam fungsi pekerjaan. Least Privilege Principle : - Memberikan tingkat akses ( access level ) minimum kepada penguna sesuai dengan peran dan tanggung jawab dalam melakukan pekerjaan. - Melakukan reviu tingkat akses ( access level ) secara berkala untuk memastikan kepatuhan terhadap least privilege principle . Access Requests and Approvals - Menetapkan kebijakan formal terkait proses untuk meminta, meninjau, dan menyetujui akses ke sistem dan data sensitif. - Menyimpan log rinci terkait permintaan akses dan persetujuan, untuk tujuan audit. Session Management - Menerapkan batas waktu sesi otomatis setelah pengguna tidak aktif untuk mencegah akses yang tidak sah. - Menggunakan metode yang aman untuk mengelola session tokens dan memastikan token tersebut tidak valid saat log out.
•
•
•
28
Otoritas Jasa Keuangan
4.
Penilaian Keamanan 4 ( Security Assessment ) - Melakukan penilaian keamanan tahunan untuk menilai dan mengevaluasi efektifitas tindakan enkripsi yang diterapkan. - Melakukan pengkinian metode enkripsi sesuai kebutuhan untuk mengatasi kerentanan dan agar selaras dengan standar keamanan dan praktik terbaru.
3.2.2. Integritas ( Integrity )
1.
Dokumentasi dan Audit
- Menyimpan semua catatan aktivitas pemusnahan data, mendokumentasikan metode pemusnahan data, termasuk personel yang bertanggung jawab dan tanggal pemusnahan. - Melakukan peninjauan dan audit berkala terhadap praktik penyimpanan dan pemusnahan data secara efektif dengan tetap mematuhi kebijakan dan peraturan yang berlaku.
2.
Privacy by Design
- Memastikan prinsip pelindungan data pribadi telah dimasukkan ke dalam perancangan arsitektur sistem dan proses bisnis sebagai bagian integral dari data life cycle , mulai dari pengumpulan hingga pemusnahan data.
4 Lihat bagian Penilaian Risiko pada Bab 4.
29
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
3.
Keamanan Penyimpanan Data dan Kontrol Akses - Keamanan penyimpanan data harus menggunakan pelindungan berlapis yang mencakup penerapan server firewall dan langkah- langkah pengamanan fisik yang memadai untuk mencegah akses yang tidak sah. - Menerapkan mekanisme kontrol akses yang memadai untuk memastikan bahwa hanya personel berwenang yang dapat mengakses data sensitif. Contoh mekanisme kontrol akses berdasarkan standar internasional antara lain: multi-factor authentication (MFA), role-based access control (RBAC), dan the principle of least privilege (PoLP) 5 . Pelatihan dan Peningkatan Awareness - Pelatihan mencakup penjelasan pentingnya pelindungan data yang berfokus pada penanganan, penyimpanan, dan pemusnahan informasi sensitif dengan tepat. - Memperbaharui materi pelatihan secara berkala dengan mengikuti perubahan peraturan yang berlaku, perkembangan teknologi dan potensi munculnya ancaman baru yang berdampak pada pelindungan data.
4.
5 A Balanced Approach to Permission Control. https://www.doc-elite.co.uk/post/a-balanced-approach- to-permission-control-1
30
Otoritas Jasa Keuangan
3.2.3. Ketersediaan ( Availability )
Mekanisme Penyimpanan Data Dalam hal penyimpanan data, Penyelenggara ITSK perlu memperhatikan hal-hal sebagai berikut: 1.
a) Kebijakan Retensi Data
- Menetapkan kebijakan masa penyimpanan sesuai dengan kategori dan jenis data, seperti catatan transaksi, dokumen identifikasi pelanggan, dan log komunikasi sesuai dengan peraturan yang berlaku. - Memperbaharui kebijakan penyimpanan secara berkala sesuai dengan perubahan peraturan yang berlaku di Indonesia. - Penyimpanan data, retensi data, dan pemusnahan data dapat mengacu kepada Undang-Undang Republik Indonesia Nomor 43 Tahun 2009 tentang Kearsipan dan/atau Undang- Undang Pelindungan Data Pribadi No. 27 tahun 2022. - Berikut ini disajikan pedoman khusus untuk berbagai jenis data yang mengacu kepada GDPR Uni Eropa 6 :
6 GDPR - General Data Protection Regulation: Peraturan dalam mengenai Pelindungan data dan privasi di Uni Eropa dan Wilayah Ekonomi Eropa.
31
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
a. Informasi Identitas Pribadi Jangka waktu penyimpanan:
Data terkait Ketenagakerjaan: Selama masa kerja + 7 tahun
Data terkait Pelanggan: Simpan selama hubungan jangka waktu pelanggan + 5 tahun.
Kondisi: - Memastikan kepatuhan periode retensi sesuai dengan undang- undang yang berlaku. - Memastikan keamanan penghapusan informasi identitas pribadi setelah masa penyimpanan berakhir, kecuali diperlukan untuk proses hukum yang sedang berlangsung.
b. Catatan Keuangan
Jangka waktu penyimpanan:
Data terkait Pajak: Simpan selama 7 tahun sejak tanggal pengajuan
Data terkait Audit: Simpan selama 7 tahun sejak selesainya audit
Data terkait Akuntansi Umum: Simpan selama 7 tahun
Kondisi: - Memastikan periode retensi sesuai dengan peraturan perpajakan yang berlaku dan peraturan terkait lainnya. - Menyimpan dan menjaga catatan keuangan dengan kontrol akses yang memadai.
32
Otoritas Jasa Keuangan
c. Data Transaksi Pelanggan Jangka waktu penyimpanan:
Data terkait Transaksi: Simpan selama 5 tahun sejak tanggal transaksi
Informasi Kartu Kredit: Simpan hanya selama diperlukan untuk pemrosesan transaksi dan penyelesaian sengketa, umumnya tidak lebih dari 90 hari
Kondisi: - Mematuhi Payment Card Industry Data Security Standard (PCI DSS) untuk penanganan dan penyimpanan informasi kartu kredit. - Memastikan keamanan penghapusan informasi identitas pribadi setelah masa penyimpanan berakhir.
d. Komunikasi Bisnis
Jangka waktu penyimpanan:
Instant Messaging & Chat Log: Simpan selama 1 tahun
Email: Simpan selama 3 tahun
Kondisi: - Memastikan kepatuhan terhadap peraturan yang berlaku terkait penyimpanan komunikasi bisnis. - Memastikan keamanan penyimpanan data komunikasi bisnis untuk melindungi dari akses tidak sah dan memastikan integritas data.
33
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
e. Data Operasional
Jangka waktu penyimpanan:
Log System : Simpan selama + 1 tahun
Dokumentasi Proyek: Simpan selama durasi Proyek + 3 tahun
Kondisi: - Memastikan data operasional disimpan cukup lama untuk mendukung kelangsungan bisnis dan upaya pemulihan bencana. - Melakukan reviu dan memperbaharui kebijakan penyimpanan secara berkala sesuai dengan perubahan peraturan yang berlaku di Indonesia.
Selain acuan penyimpanan data di atas, berikut adalah praktik yang direkomendasikan bagi Penyelenggara ITSK:
- Melakukan penilaian risiko secara berkala untuk mengevaluasi apakah periode retensi perlu diperpanjang berdasarkan risiko yang muncul. - Menerapkan teknik minimalisasi data untuk mengumpulkan dan menyimpan data yang diperlukan. - Untuk penyedia Innovative Credit Scoring (ICS), anonimkan data non- keuangan yang digunakan dalam model kredit setelah periode retensi.
34
Otoritas Jasa Keuangan
2.
Keamanan Pemusnahan Data - Menetapkan dan memastikan prosedur keamanan pemusnahan untuk data yang sudah tidak diperlukan atau telah melewati masa penyimpanan. - Menghapus data dengan aman dari perangkat penyimpanan menggunakan metode seperti penghapusan data, degaussing (penghapusan media penyimpanan magnetik, contoh: penghancuran hard disk atau flash disk ), atau penghancuran fisik.
Back-up dan Recovery Data 3.
Back-up Integrity : - Melakukan uji integritas secara berkala untuk memastikan data dapat terpulihkan. - Penggunaan enkripsi untuk melindungi data back-up dari akses tidak sah. Regular Back-up : - Menerapkan strategi back-up data yang memadai mencakup back-up secara berkala dan otomatis untuk semua data penting. - Melakukan penyimpanan back-up di beberapa lokasi, termasuk di dalam dan di luar lokasi kantor, untuk mengurangi risiko kehilangan data akibat bencana lokal. Recovery Planning : - Menyusun dan menetapkan rencana pemulihan data secara terperinci yang menguraikan prosedur pemulihan data. - Melakukan pelatihan proses pemulihan data secara berkala untuk memastikan personel memahami prosedur pemulihan data dan dapat melaksanakan tugas secara efisien.
35
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Pusat Data ( Data Centre ) 4.
Pengalihan Sistem: - Menerapkan pengalihan otomatis ke sistem cadangan jika terjadi kegagalan sistem utama. - Memastikan pengalihan sistem diuji secara berkala untuk memverifikasi efektivitasnya. Redundansi: - Menerapkan langkah-langkah redundansi di pusat data, termasuk alternatif pasokan listrik, koneksi jaringan, dan sistem pendingin, untuk memastikan operasi bisnis tetap berjalan. - Memanfaatkan konfigurasi Redundant Array of Independent Disks (RAID) untuk melindungi data karena kegagalan disk . Keamanan dan Pemeliharaan: - Melakukan audit keamanan secara berkala untuk mengidentifikasi dan mengatasi kerentanan pada infrastruktur pusat data. - Menerapkan pembaruan otomatis untuk semua perangkat lunak, termasuk definisi virus dan konfigurasi firewall .
Lokasi: - Pusat data wajib berlokasi di Indonesia.
36
Otoritas Jasa Keuangan
5.
Pusat Pemulihan Data ( Data Recovery Centre ) - Penempatan pusat pemulihan data di lokasi yang berbeda dengan jarak minimal 35km dari lokasi pusat data dan harus mempertimbangkan area geografis yang berbeda (misal: tidak berada di dalam area yang berpotensi memiliki dampak bencana yang sama) untuk memastikan bahwa data dapat dipulihkan bahkan jika terjadi bencana regional. - Memastikan pusat pemulihan data dilengkapi dengan infrastruktur yang diperlukan untuk mendukung pemulihan data yang tepat. - Pusat pemulihan data wajib berlokasi di Indonesia.
Hal-hal yang perlu menjadi perhatian dalam penetapan pusat pemulihan data:
a. Sinkronisasi: - Melakukan sinkronisasi data antara pusat data dan pusat pemulihan data untuk memastikan bahwa data terkini tersedia untuk pemulihan. - Menggunakan teknologi replikasi real-time jika mungkin untuk meminimalkan kehilangan data jika terjadi kegagalan.
b. Pengujian Pemulihan Bencana ( Disaster Recovery Testing ):
- Melakukan pengujian pemulihan bencana secara berkala (misal: setiap semester atau tahun) untuk memvalidasi efektivitas proses pemulihan dan infrastruktur. - Mendokumentasikan dan mereviu hasil pengujian untuk mengidentifikasi area yang perlu ditingkatkan.
37
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Penggunaan Cloud Jika Penyelenggara ITSK menggunakan jasa penyedia cloud , maka pusat data dan pusat pemulihan data juga mengikuti butir no. 4 dan 5 di atas. 6.
Business Continuity Plans 7.
a. Kebijakan Komprehensif: - Memiliki kebijakan komprehensif terkait Business Continuity Plans (BCP) yang mencakup business impact analysis, business continuity management , dan strategi pemulihan meliputi semua aspek penting operasi termasuk sistem TI, peran manajemen, personel, dan strategi komunikasi. - Memastikan BCP diperbarui secara berkala untuk mencerminkan perubahan pada proses bisnis, teknologi, dan ancaman internal/eksternal. b. Pelatihan dan Peningkatan Awareness : - Memberikan pelatihan tahunan kepada personel mengenai peran dan tanggung jawab dalam melaksanakan rencana kelangsungan bisnis. - Melaksanakan program peningkatan awareness untuk memastikan bahwa seluruh personel memahami pentingnya kelangsungan bisnis dan peran masing-masing dari mereka.
c. Continuous Improvement :
- Melakukan peninjauan secara tahunan dan meningkatkan rencana bisnis yang berkesinambungan dengan mempertimbangkan aktivitas Pasca-Insiden ( lesson learned ) dari pelatihan, insiden nyata dan perubahan dalam lingkungan bisnis. - Melibatkan pemangku kepentingan untuk memastikan BCP selaras dengan tujuan organisasi dan peraturan yang berlaku.
38
Otoritas Jasa Keuangan
39
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Manajemen Risiko 04
40
Otoritas Jasa Keuangan
41
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Manajemen Risiko 04
Manajemen risiko adalah proses multifaset yang melibatkan identifikasi, penilaian, dan mitigasi risiko keamanan siber untuk melindungi informasi/data sensitif dan menjaga integritas transaksi keuangan. Proses ini sangat penting dalam memastikan keamanan dan stabilitas operasional Penyelenggara ITSK.
4.1. Penilaian Risiko
Penilaian ini diperlukan untuk mengidentifikasi potensi ancaman dan kerentanan keamanan siber yang spesifik pada operasional Penyelenggara ITSK. Penilaian ini diperlukan untuk mengidentifikasi potensi ancaman dan kerentanan keamanan siber yang spesifik pada operasional Penyelenggara ITSK. Langkah pertama dalam mengelola risiko keamanan siber adalah melakukan penilaian risiko. Proses ini melibatkan identifikasi potensi kerentanan yang dapat membahayakan kerahasiaan, integritas, dan ketersediaan data keuangan. Penyelenggara ITSK dapat menggunakan berbagai teknik, seperti penilaian kerentanan, pengujian penetrasi, dan pemodelan risiko, untuk mengidentifikasi dan memprioritaskan risiko berdasarkan kemungkinan dan potensi dampaknya.
42
Otoritas Jasa Keuangan
Hal-hal yang dapat dilakukan dalam proses penilaian risiko antara lain:
1. Vulnerability Assessment a. Menetapkan penilaian kerentanan secara berkala. Idealnya, penilaian harus dilakukan setiap triwulan dan ketika ada perubahan signifikan pada infrastruktur, seperti pengkinian sistem, peluncuran layanan baru, atau integrasi perangkat keras atau perangkat lunak baru. b. Menyesuaikan kebijakan atas hasil penilaian kerentanan agar sesuai dengan arsitektur spesifik jaringan dan sistem Penyelenggara ITSK, termasuk mengatur tingkat kedalaman penilaian dan kompleksitas pengujian. 2. Risk Modelling Techniques Menerapkan model penilaian risiko kuantitatif dan kualitatif untuk mengevaluasi potensi dampak ancaman. Teknik yang dapat digunakan antara lain: a. Menggunakan ISO 27001 sebagai kerangka penilaian ke dalam teknik pemodelan risiko Penyelenggara ITSK. b. Mengintegrasikan pemodelan risiko ke dalam proses pengambilan keputusan bisnis. c. Menggunakan hasil dari pemodelan risiko untuk melakukan penyesuaian kebijakan, peningkatan keamanan, dan perencanaan strategis.
43
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
3. Regular Compliance Check a. Memantau perubahan peraturan secara berkala untuk memastikan kepatuhan terhadap undang-undang dan peraturan yang berlaku. b. Penyelenggara ITSK dapat menggunakan bantuan alat /perangkat untuk pengecekan status kepatuhan terhadap undang-undang dan standar yang berlaku secara real-time , seperti Microsoft Compliance Manager 7 . c. Melakukan pertemuan rutin dengan pemangku kepentingan, termasuk tim kepatuhan, tim keamanan TI, dan pimpinan unit bisnis, untuk mengevaluasi status kepatuhan dan mendiskusikan perbaikan yang diperlukan. d. Mengintegrasikan pemeriksaan kepatuhan ke dalam siklus pengembangan perangkat lunak ( Software Development Life Cycle-SDLC ). Memastikan setiap pengembangan baru mematuhi peraturan yang berlaku. 4. Penetration Test a. Melakukan pengujian penetrasi oleh pakar keamanan siber eksternal setiap tahun atau setiap adanya perubahan jaringan yang signifikan atau setelah implementasi infrastruktur yang kritikal. b. Selain jadwal rutin, melakukan uji penetrasi ad-hoc sebagai respons terhadap ancaman baru atau setelah implementasi infrastruktur atau aplikasi baru. c. Menggunakan hasil uji penetrasi untuk mengatasi kerentanan pada kesempatan pertama.
7 Microsoft Purview Compliance Manager, https://learn.microsoft.com/en-us/purview/compliance- manager
44
Otoritas Jasa Keuangan
4.2. Mitigasi Risiko Strategi untuk memitigasi risiko keamanan siber antara lain penggunaan kontrol keamanan, audit keamanan berkala, dan program pelatihan karyawan. Untuk memastikan keamanan data sensitif dan mencegah akses tidak sah, kontrol keamanan seperti firewall , enkripsi, dan kontrol akses perlu disiapkan. Audit keamanan berkala dan uji penetrasi dapat membantu mengidentifikasi dan mengatasi kerentanan. a. Menerapkan solusi keamanan tingkat lanjut seperti next-generation firewalls , intrusion prevention systems (IPS), intrusion detection system (IDS) dan endpoint detection and response (EDR). b. Menerapkan enkripsi untuk data at rest dan data in transit . 1. Meningkatkan Kontrol Keamanan
2. Audit Keamanan Berkala
a. Menjadwalkan audit secara berkala menggunakan auditor internal dan/ atau eksternal untuk memastikan semua sistem dan kontrol memenuhi standar. b. Melakukan audit internal setidaknya setiap tahun untuk meninjau kebijakan keamanan, kontrol akses, dan kepatuhan terhadap peraturan yang berlaku. c. Menggunakan auditor pihak ketiga setiap tahun untuk melakukan audit eksternal yang komprehensif. Auditor eksternal dapat memberikan reviu objektif terhadap praktik keamanan dan membandingkannya dengan standar dan peraturan yang berlaku.
45
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
a. Memiliki karyawan yang memiliki keahlian di bidang keamanan siber. b. Mengembangkan pelatihan keamanan siber untuk semua karyawan yang berfokus pada topik seperti phishing , praktik kata sandi yang aman, dan penanganan informasi sensitif. c. Memperbaharui materi pelatihan secara berkala untuk mengatasi ancaman keamanan siber terkini. 3. Program Pelatihan Berkala
4. Menerapkan Rencana Tanggap Insiden
a. Menetapkan rencana tanggap insiden yang jelas yang mencakup langkah- langkah untuk melakukan isolasi dan memberantas ancaman siber, membangun strategi komunikasi internal dan eksternal (termasuk dengan OJK dan/atau pihak Otoritas terkait lainnya), dan menyiapkan rencana pemulihan untuk melanjutkan operasi bisnis.
46
Otoritas Jasa Keuangan
4.3. Perlakuan Risiko ( Risk Treatment ) Rencana aksi Penyelenggara ITSK terhadap penilaian risiko dan mitigasi risiko meliputi pendekatan terstruktur untuk mengatasi risiko yang teridentifikasi, termasuk memilih pilihan perlakuan risiko yang tepat, menerapkan langkah- langkah tindakan keamanan, dan meninjau efektivitas tindakan keamanan.
1. Opsi perlakuan risiko
a) Risk Avoidance Menerapkan strategi untuk menghindari aktivitas yang menimbulkan risiko yang tidak dapat diterima. Misalnya, menghindari penggunaan perangkat lunak usang yang diketahui memiliki kerentanan. b) Risk Reduction Menerapkan kontrol dan langkah pengamanan untuk mengurangi kemungkinan dan dampak risiko yang teridentifikasi, termasuk meningkatkan kontrol keamanan, melakukan audit rutin, dan memberikan pelatihan kepada karyawan. c) Risk Sharing Mentransfer atau meneruskan risiko kepada pihak lain. Risk sharing dapat melibatkan pengalihdayaan fungsi-fungsi tertentu ke perusahaan khusus keamanan siber atau pembelian asuransi siber untuk menutupi potensi kerugian akibat insiden siber. d) Risk Acceptance Menerima risiko ketika biaya mitigasi risiko melebihi potensi dampak yang mungkin terjadi. Penerimaan risiko harus memiliki dasar pemahaman yang jelas atas potensi dampak dan kerugian yang mungkin terjadi.
47
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
2. Langkah/perangkat tindakan keamanan a) Menerapkan langkah-langkah keamanan lanjutan, seperti multi- factor authentication , enkripsi data, dan praktik pengkodean yang aman untuk memitigasi risiko yang teridentifikasi. b) Memanfaatkan alat pemantauan otomatis untuk melacak dan menganalisis lalu lintas jaringan dan aktivitas sistem untuk mengetahui potensi ancaman. c) Menyusun dan menerapkan rencana tanggap insiden yang memadai, yang mencakup tindakan spesifik untuk mendeteksi, mengisolasi, memberantas, dan memulihkan insiden keamanan. d) Memastikan pihak ketiga/vendor mematuhi kebijakan keamanan Penyelenggara ITSK dan bersedia diperiksa oleh OJK jika diperlukan. Secara berkala, Penyelenggara ITSK menilai tingkat keamanan pihak ketiga untuk memitigasi supply chain risks . 3. Pemantauan dan peninjauan berkala a) Melakukan penilaian risiko secara berkala untuk mengidentifikasi risiko baru dan mengevaluasi kembali risiko yang ada. b) Melakukan tinjauan tahunan terhadap efektivitas tindakan penanganan risiko melalui audit, uji penetrasi, dan penilaian kerentanan. a)
Memberikan umpan balik berdasarkan pembelajaran yang didapat dari insiden yang terjadi dan melakukan pengkinian proses manajemen risiko. b) Secara berkala, memantau kepatuhan terhadap standar industri dan peraturan yang berlaku.
48
Otoritas Jasa Keuangan
4.
Implementasi rencana aksi
a) Menetapkan prioritas risiko berdasarkan potensi dampak dan kemungkinan, serta mengutamakan pengerahan sumber daya pada area yang paling kritis. b) Mengalokasikan sumber daya yang diperlukan, termasuk anggaran, personel, dan teknologi, untuk menerapkan langkah penanganan risiko secara efektif. c) Timeline : menetapkan jadwal, pencapaian dan tenggat waktu yang jelas dalam langkah penanganan risiko. d) Menyusun dan menetapkan tanggung jawab yang jelas kepada tim tertentu untuk memantau tindakan penanganan risiko.
5.
Pelaporan dan komunikasi
a) Menetapkan mekanisme pelaporan berkala untuk memberikan informasi kepada pihak manajemen dan pemangku kepentingan terkait dengan status penanganan risiko. b) Berkomunikasi dengan otoritas terkait, pelanggan, dan pemangku kepentingan eksternal lainnya tentang strategi penanganan risiko Penyelenggara ITSK. c) Memastikan transparansi dalam praktik manajemen risiko untuk membangun kepercayaan di antara para pemangku kepentingan.
Dengan mengikuti pendekatan terstruktur terhadap penanganan risiko, Penyelenggara ITSK dapat secara efektif mengatasi risiko yang teridentifikasi, meningkatkan mekanisme keamanan siber, dan memastikan keselamatan dan integritas operasional.
49
05 Tanggap Insiden
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Tanggap Insiden 05
5.1. Persiapan Tahap persiapan dalam tanggap insiden merupakan salah satu fondasi untuk menghadapi insiden dengan efektif. Pada tahap ini, Penyelenggara ITSK perlu untuk membangun landasan dalam mengelola insiden. Langkah-langkah utama yang dilakukan meliputi: Memiliki strategi tanggap insiden yang memadai merupakan hal yang krusial bagi Penyelenggara ITSK dalam menghadapi tantangan keamanan siber. Rencana ini harus mencakup langkah- langkah untuk mendeteksi, mengevaluasi, dan menangani insiden siber dengan cepat dan efektif. Deteksi awal memungkinkan perusahaan untuk bertindak cepat dalam mengurangi dampak dan mencegah eskalasi masalah lebih lanjut. Selain itu, melaporkan insiden dengan segera kepada pihak Otoritas dan pemangku kepentingan menunjukkan komitmen terhadap transparansi dan kepatuhan terhadap peraturan yang berlaku. Tanggapan yang cepat dan efektif tidak hanya membantu meminimalkan downtime operasional, tetapi juga mengurangi potensi kerugian finansial yang dapat ditimbulkan akibat insiden keamanan. Secara umum berikut merupakan tahapan dalam penyusunan rencana tanggap insiden:
52
Otoritas Jasa Keuangan
1. Membuat Rencana Tanggap Insiden ( Incident Response Plan atau IRP), meliputi uraian peran, tanggung jawab, protokol komunikasi termasuk kepada otoritas dan pemangku kepentingan, dan prosedur untuk menangani insiden sebagai landasan strategi keamanan siber yang kuat. 2. Mengidentifikasi aset kritis, memprioritaskan sistem dan data yang krusial terhadap operasional organisasi. 3. Membentuk tim tanggap insiden yang efektif dan bertanggung jawab. Tim tanggap insiden harus terdiri dari anggota berbagai departemen untuk memastikan pendekatan menyeluruh terhadap manajemen insiden. 4. Pelatihan rutin terhadap tim tanggap insiden tentang rencana tanggap insiden, alat keamanan, dan prosedur penanganan insiden. 5. Membuat kebijakan eskalasi dan pelaporan atas insiden siber kepada OJK atau otoritas terkait sesuai dengan jalur komunikasi yang telah ditetapkan.
53
Pedoman Keamanan Siber Bagi Penyelenggara ITSK
Definisi yang jelas mengenai peran dan tanggung jawab setiap personel penting untuk memastikan berfungsinya tim tanggap insiden secara efektif dan efisien. Setiap anggota tim harus memiliki pemahaman yang tepat tentang tugas pada berbagai fase manajemen insiden. Fungsi dan tanggung jawab tim tanggap insiden sebagaimana dalam tabel di bawah ini:
Personel Keamanan TI:
1.
Bertanggung jawab atas penanganan teknis insiden dengan menerapkan keahlian yang dimiliki. Melakukan pemantauan sistem untuk mencari tanda-tanda penyusupan.
2.
3.
Melakukan analisis awal atas terjadinya insiden.
4.
Melakukan upaya pengisolasian dan pemberantasan ancaman.
5.
Melakukan proses pemulihan.
Tim Hukum:
1.
Memastikan bahwa aktivitas tanggap insiden mematuhi hukum yang berlaku.
2.
Menangani dampak hukum yang timbul dari insiden.
3.
Memberikan nasihat mengenai kewajiban pelaporan.
4.
Berinteraksi dengan penegak hukum jika diperlukan.
54
Page 1 Page 2 Page 3 Page 4 Page 5 Page 6 Page 7 Page 8 Page 9 Page 10 Page 11 Page 12 Page 13 Page 14 Page 15 Page 16 Page 17 Page 18 Page 19 Page 20 Page 21 Page 22 Page 23 Page 24 Page 25 Page 26 Page 27 Page 28 Page 29 Page 30 Page 31 Page 32 Page 33 Page 34 Page 35 Page 36 Page 37 Page 38 Page 39 Page 40 Page 41 Page 42 Page 43 Page 44 Page 45 Page 46 Page 47 Page 48 Page 49 Page 50 Page 51 Page 52 Page 53 Page 54 Page 55 Page 56 Page 57 Page 58 Page 59 Page 60 Page 61 Page 62 Page 63 Page 64 Page 65 Page 66 Page 67 Page 68 Page 69 Page 70 Page 71 Page 72 Page 73 Page 74 Page 75 Page 76 Page 77 Page 78 Page 79 Page 80 Page 81 Page 82 Page 83 Page 84 Page 85 Page 86 Page 87 Page 88 Page 89 Page 90 Page 91 Page 92 Page 93 Page 94 Page 95 Page 96 Page 97 Page 98 Page 99 Page 100 Page 101 Page 102 Page 103 Page 104 Page 105 Page 106 Page 107 Page 108 Page 109 Page 110 Page 111 Page 112 Page 113 Page 114 Page 115 Page 116 Page 117 Page 118Made with FlippingBook - Online magazine maker