Peraturan Teknologi Informasi OJK Wajib Dibaca Bank!

Oleh Erica, Redaksi Indonesia Finance Today

Peraturan teknologi informasi OJK menjadi rujukan utama bagi seluruh bank ketika mengelola sistem digital, mulai dari core banking sampai aplikasi mobile. Aturan ini tidak hanya mengatur keamanan data dan tata kelola, tetapi juga cara bank merancang, mengoperasikan, dan mengawasi layanan berbasis teknologi agar tetap aman bagi nasabah sekaligus stabil bagi sistem keuangan.

Mengapa peraturan teknologi informasi OJK menjadi krusial bagi bank

Bagi industri perbankan, peraturan teknologi informasi OJK adalah pagar yang mengatur bagaimana teknologi digunakan tanpa mengorbankan stabilitas dan kepercayaan publik. Bank kini mengandalkan internet banking, mobile banking, CRM, hingga analitik data besar untuk melayani nasabah. Setiap gangguan, kebocoran data, atau kegagalan sistem berpotensi menimbulkan kerugian finansial dan reputasi, bahkan berujung pada sanksi dari regulator.

Otoritas Jasa Keuangan menerbitkan berbagai aturan, di antaranya terkait manajemen risiko teknologi informasi, keamanan siber, outsourcing layanan TI, hingga pelaporan insiden. Bank wajib memastikan seluruh kebijakan internal, struktur organisasi, dan infrastruktur TI selaras dengan ketentuan tersebut. Kegagalan mematuhi dapat dinilai sebagai kelemahan tata kelola yang serius.

Bank juga tidak boleh lagi memandang TI sebagai urusan teknis di level staf. Dewan komisaris dan direksi dituntut memahami risiko teknologi, menyetujui strategi TI, dan mengawasi pelaksanaannya. Artinya, peraturan ini mengangkat isu teknologi ke meja pengambilan keputusan tertinggi.

Ruang lingkup utama peraturan teknologi informasi OJK untuk bank

Peraturan teknologi informasi OJK untuk bank mencakup seluruh siklus hidup pengelolaan TI. Mulai perencanaan strategis, pengembangan dan akuisisi sistem, pengoperasian harian, manajemen insiden, sampai penghentian layanan. Aturan ini juga menyentuh aspek sumber daya manusia, vendor eksternal, serta pengujian berkala.

Secara garis besar, ruang lingkup yang biasanya diatur meliputi:

1. Tata kelola dan organisasi TI di bank.
2. Manajemen risiko teknologi dan keamanan informasi.
3. Pengembangan, pengadaan, dan perubahan sistem.
4. Pengelolaan infrastruktur, jaringan, dan pusat data.
5. Penggunaan pihak ketiga dan layanan awan.
6. Rencana kesinambungan layanan dan pemulihan bencana.
7. Pelaporan dan penanganan insiden teknologi.

Bank diminta memiliki kebijakan tertulis yang diperbarui secara berkala untuk setiap area tersebut. Kebijakan tidak boleh sekadar formalitas, tetapi harus diterjemahkan ke prosedur operasional, standar teknis, dan catatan pelaksanaan.

> Saya melihat, bank yang memperlakukan peraturan teknologi informasi OJK sebagai panduan desain sejak awal justru lebih mudah berinovasi, karena fondasi kontrol dan tata kelola sudah kuat.

Struktur tata kelola yang diminta peraturan teknologi informasi OJK

Peraturan teknologi informasi OJK menekankan bahwa tata kelola TI tidak bisa dilepaskan dari tata kelola perusahaan secara keseluruhan. Dewan komisaris dan direksi harus memiliki peran jelas, bukan menyerahkan penuh kepada divisi TI.

Biasanya, OJK mengarahkan agar:

1. Dewan komisaris melakukan pengawasan terhadap strategi TI, kerangka kerja manajemen risiko TI, dan efektivitas pengendalian internal.
2. Direksi menyetujui strategi TI yang selaras dengan rencana bisnis bank, menetapkan kebijakan TI, dan memastikan ketersediaan sumber daya.
3. Terdapat komite yang menangani TI atau risiko, yang berfungsi memberi rekomendasi kepada direksi terkait proyek, investasi, dan prioritas TI.
4. Fungsi TI dan fungsi keamanan informasi dipisahkan secara memadai, sehingga ada check and balance antara pengembang atau operator sistem dengan pihak yang mengawasi pengamanan.
5. Satuan kerja audit internal memiliki kapasitas mengaudit TI, termasuk sistem yang kompleks dan terintegrasi.

Bank juga dituntut memiliki dokumentasi yang jelas mengenai struktur organisasi, garis pelaporan, dan tanggung jawab setiap unit terkait TI. Dokumen ini menjadi salah satu bahan pemeriksaan ketika OJK melakukan pengawasan.

Manajemen risiko dan keamanan dalam peraturan teknologi informasi OJK

Manajemen risiko adalah jantung dari peraturan teknologi informasi OJK. Bank wajib mengidentifikasi, mengukur, memantau, dan mengendalikan berbagai risiko yang muncul dari penggunaan TI. Risiko tersebut mencakup risiko operasional, risiko keamanan informasi, risiko kepatuhan, sampai risiko reputasi.

Secara umum, OJK mengharuskan bank:

1. Menetapkan kerangka kerja manajemen risiko TI yang terdokumentasi, disetujui direksi, dan diterapkan di seluruh unit.
2. Melakukan penilaian risiko untuk setiap sistem atau proyek TI baru, termasuk analisis terhadap kerahasiaan, integritas, dan ketersediaan data.
3. Menetapkan kontrol akses yang ketat, seperti prinsip need to know dan least privilege, penggunaan autentikasi berlapis, serta pemantauan aktivitas pengguna istimewa.
4. Menerapkan kebijakan kata sandi, penguncian sesi, dan mekanisme otentikasi yang sesuai tingkat risiko layanan, terutama untuk layanan digital nasabah.
5. Mengelola kerentanan dengan melakukan pemindaian berkala, patch management, dan pengujian penetrasi pada sistem kritikal.
6. Mengamankan data sensitif melalui enkripsi, baik saat disimpan maupun saat ditransmisikan, sesuai standar yang diakui.

Bank juga harus memiliki prosedur tertulis untuk klasifikasi data, sehingga informasi sangat sensitif mendapat perlindungan berbeda dibanding data yang sifatnya publik. Pelatihan keamanan informasi bagi karyawan menjadi kewajiban rutin, bukan kegiatan sesekali.

Pengembangan sistem dan perubahan yang diatur OJK

Peraturan teknologi informasi OJK mengharuskan bank menerapkan pengelolaan pengembangan dan perubahan sistem secara ketat. Setiap sistem yang menyentuh data nasabah atau proses inti perbankan tidak boleh dikembangkan secara sembarangan.

Beberapa prinsip yang biasa ditekankan adalah:

1. Adanya metodologi pengembangan sistem yang terdokumentasi, termasuk tahapan analisis kebutuhan, desain, pengujian, implementasi, dan pemeliharaan.
2. Pemisahan lingkungan pengembangan, pengujian, dan produksi, sehingga perubahan yang belum diuji tidak langsung menyentuh sistem operasional.
3. Prosedur manajemen perubahan yang mengatur bagaimana permintaan perubahan diajukan, dinilai risikonya, disetujui, diuji, dan didokumentasikan.
4. Keterlibatan unit bisnis dan manajemen risiko dalam menilai dampak perubahan, terutama jika menyangkut fitur layanan kepada nasabah.
5. Pengujian yang memadai sebelum peluncuran, termasuk uji beban, uji fungsional, dan uji keamanan.

Bank juga wajib menyimpan catatan jejak audit atas perubahan yang dilakukan, sehingga ketika terjadi gangguan, penyebabnya dapat ditelusuri. Pengembangan yang dilakukan oleh pihak ketiga tetap berada di bawah tanggung jawab bank sebagai pemilik layanan.

Infrastruktur, jaringan, dan pusat data menurut peraturan teknologi informasi OJK

Infrastruktur TI merupakan tulang punggung operasional bank. Peraturan teknologi informasi OJK menuntut agar infrastruktur dirancang dengan prinsip keandalan, ketersediaan tinggi, dan keamanan.

Beberapa aspek kunci yang biasanya diatur:

1. Pusat data dan pusat pemulihan bencana harus memiliki pengamanan fisik dan lingkungan yang memadai, termasuk kontrol akses fisik, sistem pemadam kebakaran, dan catu daya cadangan.
2. Jaringan komunikasi antar cabang, kantor pusat, dan pusat data harus dilindungi dari penyadapan dan gangguan, misalnya melalui enkripsi dan segmentasi jaringan.
3. Sistem pemantauan infrastruktur perlu berjalan 24 jam untuk mendeteksi anomali, pemanfaatan sumber daya yang berlebihan, atau gangguan layanan.
4. Inventaris aset TI harus lengkap dan diperbarui, mencakup server, perangkat jaringan, perangkat penyimpanan, hingga perangkat pengguna akhir yang mengakses sistem bank.
5. Proses pemusnahan perangkat penyimpanan data harus memastikan informasi yang tersimpan tidak dapat dipulihkan kembali.

Bank diwajibkan menguji secara berkala kemampuan failover dan pemulihan layanan, tidak hanya mengandalkan desain di atas kertas. Hasil pengujian ini perlu dilaporkan ke manajemen dan menjadi bahan perbaikan.

Penggunaan pihak ketiga dan komputasi awan dalam peraturan teknologi informasi OJK

Peraturan teknologi informasi OJK sangat memperhatikan penggunaan pihak ketiga, termasuk penyedia layanan awan. Bank tetap memegang tanggung jawab utama atas layanan kepada nasabah, meskipun sebagian fungsi TI dialihkan ke vendor.

Secara garis besar, OJK meminta bank:

1. Melakukan due diligence terhadap calon penyedia layanan, mencakup rekam jejak, kapabilitas teknis, kepatuhan hukum, dan posisi keuangan.
2. Menyusun perjanjian tertulis yang jelas, mengatur hak dan kewajiban, standar layanan, keamanan data, lokasi pemrosesan data, serta hak audit bagi bank.
3. Memastikan data nasabah dan data penting lain dikelola sesuai ketentuan kerahasiaan yang berlaku di Indonesia, termasuk jika data diproses di luar negeri.
4. Memiliki strategi keluar yang realistis, sehingga bank dapat memindahkan layanan ke penyedia lain atau kembali ke infrastruktur sendiri tanpa mengganggu nasabah.
5. Memantau kinerja dan kepatuhan penyedia layanan secara berkala, bukan hanya saat awal kontrak.

Penggunaan komputasi awan untuk fungsi inti biasanya diatur lebih ketat dibanding penggunaan untuk fungsi pendukung. Bank harus mampu menjelaskan kepada OJK bagaimana risiko dari penempatan sistem di awan dikelola secara konkret.

> Menurut saya, salah satu tantangan terbesar bank adalah menyeimbangkan kebutuhan efisiensi melalui outsourcing dengan kewajiban kontrol ketat yang dituntut peraturan teknologi informasi OJK.

Rencana kesinambungan layanan dan pemulihan bencana dalam kacamata OJK

Peraturan teknologi informasi OJK mensyaratkan bank memiliki rencana kesinambungan layanan dan pemulihan bencana yang realistis dan teruji. Sistem perbankan tidak boleh berhenti lama, karena menyangkut kepercayaan masyarakat dan stabilitas sektor keuangan.

Umumnya, bank diminta:

1. Menyusun analisis dampak bisnis untuk mengidentifikasi proses dan sistem yang paling kritikal.
2. Menetapkan tujuan waktu pemulihan dan tingkat kehilangan data yang dapat ditoleransi untuk setiap sistem.
3. Menyusun prosedur pemulihan yang jelas, termasuk peran setiap unit, alur komunikasi, dan koordinasi dengan regulator jika terjadi gangguan besar.
4. Menyediakan lokasi alternatif dan infrastruktur cadangan untuk mendukung operasi minimal jika pusat utama tidak dapat digunakan.
5. Melakukan uji coba rencana pemulihan secara berkala, baik melalui simulasi meja maupun uji teknis penuh.

Hasil uji coba tersebut harus dievaluasi untuk menemukan kelemahan dan diperbaiki. OJK dapat meminta bukti pelaksanaan uji coba dan dokumentasi hasilnya saat melakukan pengawasan.

Pelaporan insiden dan kewajiban bank kepada OJK

Peraturan teknologi informasi OJK biasanya menetapkan kewajiban pelaporan insiden yang signifikan. Bank harus memiliki definisi jelas mengenai insiden yang wajib dilaporkan, misalnya gangguan layanan yang berkepanjangan, kebocoran data, atau serangan siber besar.

Kewajiban ini mencakup:

1. Mekanisme internal untuk mendeteksi, mengklasifikasikan, dan mengeskalasi insiden TI.
2. Prosedur pelaporan kepada OJK dalam jangka waktu tertentu setelah insiden teridentifikasi.
3. Penyampaian informasi awal mengenai jenis insiden, sistem yang terdampak, perkiraan penyebab, dan langkah penanganan.
4. Laporan lanjutan setelah investigasi selesai, termasuk langkah perbaikan yang diambil untuk mencegah kejadian serupa.

Bank juga diharapkan memiliki rencana komunikasi kepada nasabah jika insiden berpotensi mempengaruhi layanan atau keamanan data mereka. Transparansi yang terkelola dengan baik dapat membantu meminimalkan kerugian reputasi.

Strategi bank menerjemahkan peraturan teknologi informasi OJK ke praktik harian

Banyak bank kesulitan bukan pada memahami bunyi peraturan teknologi informasi OJK, melainkan menerjemahkannya ke kebijakan internal dan prosedur yang dapat dijalankan karyawan. Tantangan ini semakin besar untuk bank yang memiliki jaringan luas dan sistem yang beragam.

Beberapa pendekatan yang umum digunakan bank antara lain:

1. Menyusun peta kesesuaian antara pasal dalam peraturan dengan kebijakan dan prosedur internal, sehingga terlihat area yang sudah kuat dan yang masih lemah.
2. Membentuk tim lintas fungsi yang melibatkan TI, manajemen risiko, kepatuhan, hukum, dan unit bisnis untuk merancang kebijakan yang dapat dijalankan.
3. Mengembangkan panduan operasional dan standar teknis yang lebih rinci, misalnya standar konfigurasi keamanan, standar pencadangan, dan standar pengelolaan akun pengguna.
4. Menyelenggarakan pelatihan berkala yang disesuaikan dengan peran, sehingga karyawan frontliner, staf TI, dan manajemen mendapatkan materi yang relevan.
5. Mengintegrasikan kepatuhan TI ke dalam proses perencanaan proyek, sehingga setiap inisiatif baru sejak awal mempertimbangkan kewajiban regulasi.

Pendekatan ini membantu bank tidak hanya memenuhi kewajiban di atas kertas, tetapi juga membangun budaya kerja yang sadar risiko teknologi. OJK cenderung menilai secara positif bank yang proaktif menunjukkan upaya perbaikan berkelanjutan.

Peraturan teknologi informasi OJK dan peluang inovasi digital bank

Bagi sebagian bank, peraturan teknologi informasi OJK sering dipandang sebagai beban tambahan yang memperlambat inovasi. Namun, jika dibaca cermat, banyak ketentuan yang justru memberikan kerangka kerja agar inovasi berjalan lebih aman dan terukur.

Dengan kepatuhan yang baik, bank dapat:

1. Lebih percaya diri meluncurkan layanan digital baru karena kontrol keamanan dan manajemen risiko sudah tertata.
2. Lebih mudah meyakinkan mitra bisnis dan nasabah korporasi bahwa sistem mereka dikelola sesuai standar regulator.
3. Mengurangi frekuensi insiden besar yang merusak kepercayaan publik dan menyita energi manajemen.
4. Memanfaatkan audit internal dan eksternal sebagai sarana perbaikan, bukan sekadar kewajiban formal.

Peraturan teknologi informasi OJK pada akhirnya menempatkan bank dalam posisi untuk membangun fondasi teknologi yang kokoh, sehingga transformasi digital dapat berlanjut tanpa mengorbankan stabilitas sistem keuangan dan perlindungan nasabah.