Manajemen Risiko Keamanan Informasi OJK: Daftar Periksa Bukti
Mulai dari cakupan, bukan label patuh
Artikel ini membahas POJK No. 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, yang dipublikasikan OJK pada 2022. Halaman regulasi OJK mengidentifikasi instrumen untuk bank umum. Instrumen ini bukan aturan keamanan informasi universal untuk semua usaha jasa keuangan; artikel ini juga tidak memutuskan penerapan bagi lembaga, entitas grup, pemasok, atau produk tertentu.
Pembedaan ini penting. Persyaratan sumber berarti rumusan dan keberlakuan yang ditetapkan instrumen berwenang. Interpretasi implementasi berarti cara praktis mengelola bukti assessment. Laporan pengujian adalah bukti implementasi; bukan keputusan regulator, nasihat hukum, bukti kepatuhan, atau sertifikasi.
Sebelum memakai checklist, owner compliance, legal, serta owner teknologi/risk yang akuntabel perlu mencatat: entitas hukum; status izin atau usaha; instrumen dan versi tepat; ketentuan relevan; status tanggal berlaku; batas sistem; serta kewajiban OJK terkait. Eskalasi ambiguitas. Jangan menggantinya dengan klaim luas “patuh OJK”.
Register bukti layanan yang diuji
Gunakan satu baris untuk tiap pernyataan. Pisahkan salinan sumber dari artefak assessment.
| Bukti | Owner | Kriteria lulus | Catatan gagal atau remediasi |
|---|---|---|---|
| Memo penerapan | compliance/legal | reviewer bernama menyetujui cakupan bertanggal | status belum terkonfirmasi; pemetaan regulasi tidak dipakai |
| Peta aset dan data | owner sistem | antarmuka produksi, jalur istimewa, pemasok disebut | komponen hilang mendapat owner dan tenggat |
| Catatan risiko | owner risk | risiko, perlakuan, persetujuan, tanggal review terlacak | risiko terbuka atau penerimaan kedaluwarsa dieskalasi |
| Otorisasi uji | eksekutif akuntabel | target, waktu, metode, kontak henti, pengecualian ditandatangani | uji tidak dimulai |
| Bukti uji | assessor | waktu, versi target, metode, hasil, hash integritas tersimpan | hasil ditandai tidak cukup, bukan lulus |
| Remediasi dan retest | owner engineering | versi perbaikan dan hasil ulang terhubung ke temuan | temuan tetap terbuka atau diterima owner bernama |
Contoh terisi: API gateway / rilis 2026.08.4 / owner Platform. Memo cakupan menyatakan entitas bank dan gateway berada dalam batas assessment yang disetujui. Folder bukti menyimpan otorisasi, catatan uji terautentikasi, sampel request tersanitasi, hash laporan, tiket SEC-184, referensi merge, serta retest 2026-08-08. Kriteria lulus bukan “tidak ada kerentanan”. Kriterianya: tujuan uji berjalan dalam otorisasi, bukti dapat ditelusuri, temuan material punya disposisi, dan temuan kritis terbuka tidak salah ditandai selesai.
Sampling dan pengecualian
Sampling harus menguji operasi kontrol, bukan hanya keberadaan kebijakan. Untuk review akses, minta periode, populasi, reviewer, keputusan, dan bukti pencabutan. Untuk change management, minta perubahan disetujui, identitas deployment, hasil tes keamanan, keputusan rollback, dan review sesudah perubahan. Untuk kesiapan insiden, minta playbook terkini, tanggal latihan, peserta, pelajaran, dan aksi terlacak. Samarkan data pribadi serta kredensial sebelum dibagikan.
Pengecualian wajib memuat aset atau kontrol, alasan bisnis, pernyataan risiko, kontrol kompensasi, otoritas penyetuju, tanggal mulai, kedaluwarsa, dan pemicu review. “Sementara” tanpa kedaluwarsa gagal checklist. Temuan assessment wajib memuat dasar severity, versi terdampak, kondisi reproduksi, owner, target waktu, dan aturan retest. Penerimaan risiko residual adalah keputusan tata kelola pelanggan yang berwenang, bukan staf assessor.
Batas review
Tanggal publikasi, status perubahan, dan penerapan harus diperiksa ulang terhadap sumber OJK sebelum artikel ini dijadikan dasar. Operator, legal, dan—bila ada proses assurance formal—reviewer akreditasi atau sertifikasi terkait harus menentukan standar buktinya sendiri. Bukti dapat mendukung keputusan risiko internal; bukti tidak menjamin penerimaan OJK, kepatuhan hukum, hasil audit, atau sertifikasi.
Aturan keputusan reviewer
Reviewer wajib menguji konsistensi antara memo penerapan, scope yang diotorisasi, dan bukti teknis. Status didukung hanya bila artefak bertanggal, dapat diatribusikan, dan sesuai batas yang disetujui. Status sebagian didukung harus menyebut sampel kurang, batas metode, atau retest tertunda. Status tidak didukung membuka remediasi atau keputusan risiko resmi. Status tersebut adalah bahasa review internal; status bukan pernyataan kepatuhan atau penerimaan regulator.
Serah-terima bukti
Saat serah-terima, berikan indeks kepada reviewer tata kelola, bukan arsip tanpa struktur: referensi sumber; keputusan scope; otorisasi; rencana uji; hash bukti; register temuan; register pengecualian; status remediasi; hasil retest; serta tanda terima retensi atau pemusnahan. Setiap entri perlu menyebut custodian dan batas akses. Reviewer dapat melihat bukti hilang tanpa memperoleh akses luas ke material uji sensitif.
Status review siap hanya bila tiap entri wajib ada, dapat diatribusikan, dan masih dalam periode review yang disetujui. Status terblokir bila penerapan, otorisasi, atau integritas bukti belum selesai; bersyarat bila owner risiko bernama menerima pengecualian terbatas. Label alur kerja ini adalah status bukti internal, bukan kesimpulan regulasi.
Pemeriksaan perubahan sebelum keputusan
Perubahan pada rilis, batas layanan, atau ketentuan yang dipetakan dapat membuat bukti lama tidak lagi cukup. Pemilik risiko harus mencatat perubahan tersebut, menentukan kesimpulan yang terdampak, dan meminta peninjauan terbatas atas artefak terkait. Dengan cara ini, indeks bukti tetap menjelaskan keadaan yang diuji, bukan keadaan yang telah berubah tanpa catatan.
Sumber
Validasi rilis API pembayaran
Untuk rilis API pembayaran, catat aset terdampak, versi, dasar tingkat keparahan, pemilik risiko, dan hasil uji ulang. Risiko residual hanya dapat diterima oleh otoritas pelanggan yang ditetapkan, dengan batas waktu dan pemicu eskalasi yang jelas. Bukti teknis mendukung keputusan risiko internal; bukti tersebut tidak membuktikan penerimaan OJK, kepatuhan hukum, atau sertifikasi.
Dalam review, pisahkan bukti yang membuktikan fakta teknis dari memo yang memutus penerapan. Hasil scan tanpa versi target tidak cukup untuk mendukung keputusan. Jika pemilik sistem berganti, custodian baru harus mengonfirmasi akses dan integritas arsip. Uji akhir: reviewer membuka indeks tanpa bantuan assessor dan menemukan artefak yang disebut oleh satu kesimpulan.