Persyaratan keamanan siber dari klien bank, lembaga keuangan, dan instansi pemerintah: kuesioner pemasok, bukti, dan anggaran persiapan

Bila Anda memasok jasa atau sistem kepada bank, perusahaan pembiayaan, asuransi, BUMN, atau instansi pemerintah, klien itu akan menilai keamanan Anda karena mereka sendiri diawasi. Bank umum, misalnya, tunduk pada POJK 11/POJK.03/2022 tentang penyelenggaraan teknologi informasi dan SEOJK 29/SEOJK.03/2022 tentang ketahanan dan keamanan siber, yang menuntut pengelolaan risiko termasuk risiko dari pihak penyedia jasa. Instansi pemerintah sebagai PSE lingkup publik memiliki kewajiban lokasi data dalam PP 71/2019. Dampaknya bagi Anda: kuesioner keamanan, permintaan bukti uji penetrasi, laporan pemantauan, prosedur insiden, dan kadang hak audit. Panduan ini memberi gambaran singkat, bukan analisis lengkap kewajiban sektor keuangan; untuk itu rujuk OJK dan penasihat kepatuhan.

Panduan ini bagian dari pola kegagalan layanan keamanan terkelola. Uji penetrasi yang sering diminta dibahas di biaya uji penetrasi, dan peran tata kelola di biaya CISO virtual. Kerangka BSSN dan IIV dijelaskan di PP 71/2019, BSSN, dan pelaporan insiden.

Sektor keuangan: gambaran singkat

• POJK 11/POJK.03/2022 mengatur penyelenggaraan TI oleh bank umum, menggantikan ketentuan manajemen risiko TI sebelumnya.
• SEOJK 29/SEOJK.03/2022 memerinci ketahanan dan keamanan siber bank umum, antara lain penilaian risiko, pengujian keamanan, dan pelaporan insiden siber.
• Lembaga jasa keuangan nonbank memiliki ketentuan sendiri dari OJK yang dapat berbeda.

Ketentuan ini mengikat bank, bukan pemasoknya secara langsung. Namun bank biasanya meneruskan kewajibannya ke kontrak pemasok: hak audit, kewajiban melapor insiden dalam waktu singkat, lokasi data, dan pengujian berkala. Ketentuan OJK bisa diperbarui; cek versi terbaru di situs OJK sebelum menjawab kuesioner yang merujuk pasal tertentu.

Sektor pemerintah dan infrastruktur informasi vital

• PSE lingkup publik wajib mengelola, memproses, dan menyimpan sistem dan data elektronik di Indonesia, kecuali teknologinya tidak tersedia di dalam negeri (PP 71/2019 Pasal 20). Bila Anda menyediakan sistem untuk instansi, pertanyaan lokasi data akan muncul di awal.
• Infrastruktur informasi vital (IIV) menurut Perpres 82/2022 mencakup sektor administrasi pemerintahan, energi dan sumber daya mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan, pertahanan, dan sektor lain yang ditetapkan Presiden. Insiden pada IIV wajib dilaporkan paling lambat 1 × 24 jam menurut Peraturan BSSN 1/2024, dan penyelenggara IIV akan menuntut pemasoknya mendukung tenggat itu.

Isi kuesioner pemasok yang paling sering muncul

Layanan keamanan terkelola membantu menjawab topik pemantauan, pengujian, dan insiden. Topik tata kelola dan data tetap membutuhkan dokumen Anda sendiri.

Contoh anggaran persiapan ilustratif

Misalkan perusahaan jasa TI dengan 60 karyawan ingin lolos penilaian pemasok sebuah bank dalam enam bulan. Komponen tambahan di luar layanan yang sudah berjalan:

Bandingkan angka ini dengan nilai kontrak klien. Bila nilai kontrak kecil, tanyakan kepada klien apakah ada jalur penilaian yang lebih ringan untuk pemasok berisiko rendah, misalnya karena Anda tidak memegang data nasabah.

Kesalahan yang sering terjadi

• Menjawab "ya" untuk kontrol yang baru direncanakan. Kuesioner sering menjadi lampiran kontrak.
• Mengirim laporan uji penetrasi lengkap yang memuat celah yang belum diperbaiki. Kirim ringkasan atau surat keterangan.
• Menjanjikan pemberitahuan insiden dalam waktu yang tidak bisa dipenuhi penyedia MDR Anda sendiri.
• Tidak menyesuaikan kontrak MSSP setelah menyetujui syarat klien, misalnya hak audit yang harus diteruskan ke penyedia.

Menyusun paket bukti sekali, dipakai berkali-kali

Pemasok yang melayani beberapa klien besar biasanya menerima kuesioner yang mirip berulang kali. Daripada menjawab dari nol setiap kali, susun paket bukti yang diperbarui berkala:

1. Ringkasan kebijakan keamanan informasi dan nama penanggung jawabnya.
2. Surat keterangan atau ringkasan eksekutif uji penetrasi terbaru, beserta status perbaikan temuan.
3. Ringkasan layanan pemantauan: jenis layanan, jam jaga, retensi log, dan waktu respons yang disepakati.
4. Rencana tanggap insiden versi ringkas, termasuk batas waktu pemberitahuan kepada klien.
5. Templat perjanjian pemrosesan data dan daftar subprosesor.
6. Sertifikat atau polis yang relevan, misalnya sertifikat sistem manajemen keamanan informasi dan sertifikat asuransi.

Tetapkan jadwal pembaruan, misalnya setiap enam bulan dan setiap ada perubahan besar. Bagikan paket ini hanya setelah perjanjian kerahasiaan ditandatangani, dan catat versi mana yang dikirim kepada klien mana. Dengan cara ini jawaban Anda konsisten antar klien, dan biaya CISO virtual untuk menjawab kuesioner turun pada siklus berikutnya.

Pertanyaan yang sering diajukan

Apakah pemasok bank wajib bersertifikat ISO/IEC 27001?

Tidak selalu. Itu tergantung kebijakan bank dan sifat layanan. Sertifikasi memudahkan, tetapi bank tetap bisa meminta bukti lain.

Apakah data klien bank boleh disimpan di cloud luar negeri?

Bergantung pada ketentuan OJK, kebijakan bank, dan isi kontrak. Tanyakan sejak awal dan jangan berasumsi.

Bagaimana bila klien meminta hak audit ke penyedia MSSP saya?

Pastikan kontrak MSSP Anda memuat hak serupa, setidaknya dalam bentuk laporan audit pihak ketiga, supaya Anda bisa meneruskannya.

Siapa yang menjawab kuesioner bila tidak ada staf keamanan?

Penanggung jawab internal dengan dukungan CISO virtual dan penyedia layanan. Jawaban teknis dari penyedia perlu diperiksa sebelum dikirim atas nama perusahaan.

Sumber resmi

• Otoritas Jasa Keuangan — POJK 11/POJK.03/2022 dan SEOJK 29/SEOJK.03/2022 beserta perubahannya
• BSSN — IIV, Gov-CSIRT, dan Peraturan BSSN 1/2024
• Pasal.id — PP 71/2019 Pasal 20 dan Perpres 82/2022