Pentest untuk Bank: Kunci Kepatuhan Regulasi Otuhan Regulasi OJK

Di tengah akselerasi digital yang mengubah lanskap perbankan Indonesia, ancaman siber tumbuh dengan kecepatan yang sama. Widya Security, perusahaan cyber security asal Indonesia yang berfokus pada Penetration Testing, mencermati bahwa pentest untuk bank kini tidak lagi diposisikan sebagai aktivitas teknis opsional. Regulasi terbaru dari Otoritas Jasa Keuangan (OJK) telah menempatkan pengujian penetrasi sebagai pilar kepatuhan yang wajib dipenuhi oleh seluruh institusi perbankan, mulai dari bank umum hingga Bank Perekonomian Rakyat (BPR). Artikel ini mengupas tuntas landasan regulasi, cakupan implementasi, serta bagaimana pentest untuk instansi dalam bidang cybersecuriti juga mulai diterapkan di lingkungan pemerintahan sebagai standar audit keamanan yang semakin relevan.

Mengapa Pentest untuk Bank Menjadi Kebutuhan Mendesak?

Sektor perbankan Indonesia menghadapi permukaan serangan yang kian luas seiring dengan masifnya adopsi layanan digital. Core banking, platform fintech, sistem pembayaran digital, aplikasi mobile, hingga API yang terekspos internet semuanya menjadi vektor serangan potensial. Laporan dari Kompas pada awal 2026 menyoroti tiga prioritas mendesak di ranah ICT perbankan Indonesia, dengan ketahanan terhadap ransomware dan fraud berbasis AI menempati posisi teratas. Dalam konteks inilah pentest untuk bank menjadi instrumen vital guna mengidentifikasi celah sebelum dieksploitasi oleh pihak yang tidak bertanggung jawab.

Selain faktor ancaman eksternal, tekanan dari sisi kepatuhan juga semakin kuat. OJK secara eksplisit mendorong lembaga keuangan untuk memperkuat keamanan transaksi digital. Menurut laporan Xinhua pada Juni 2026, otoritas keuangan Indonesia menyerukan penguatan keamanan transaksi digital secara nasional di tengah kenaikan insiden siber yang mengkhawatirkan. Artinya, pentest bukan hanya tentang teknologi, melainkan juga tentang menjaga kepercayaaasabah dan keberlangsungan bisnis.

Regulasi yang Mewajibkan Pentest untuk Bank

Kerangka regulasi yang mengatur kewajiban pentest untuk bank di Indonesia semakin kokoh dan terstruktur. Berikut adalah beberapa regulasi utama yang perlu dipahami oleh setiap institusi perbankan:

POJK 11/2022 dan Pengujian Berbasis Skenario

Peraturan OJK Nomor 11/POJK.03/2022 tentang Penerapan Manajemen Risiko Teknologi Informasi pada Bank Umum menjadi landasan utama. Dalam aturan ini, pengujian keamanan siber termasuk Penetration Testing dan analisis kerentanan wajib dilakukan secara berkala. Pengujian berbasis skenario disyaratkan minimal satu kali per tahun, dan hasilnya harus dilaporkan kepada OJK dalam waktu 10 hari kerja setelah pengujian selesai. Detail lebih lanjut mengenai persyaratan ini dapat ditemukan dalam ringkasan kebijakan yang disusun oleh Alpha Code.

Sistem Kritikal dan Sektor Pembayaran

Untuk sektor pembayaran seperti Penyelenggara Jasa Sistem Pembayaran (PJSP) dan Penyedia Infrastruktur Sistem Pembayaran (PISP), ketentuan lebih spesifik berlaku. Audit eksternal keamanan sistem informasi umumnya diwajibkan minimal setiap dua tahun. Namun, untuk sistem kritikal, frekuensi pentest bisa meningkat menjadi setiap enam bulan atau setelah terjadi perubahan sistem yang signifikan. Informasi mengenai ketentuan ini dirangkum oleh Kres dalam panduan kepatuhan mereka untuk sektor pembayaran digital.

POJK 34/2025 untuk BPR dan BPRS

Cakupan regulasi juga meluas ke segmen yang lebih kecil. POJK 34/2025 yang mengatur tata kelola TI untuk BPR dan BPRS akan mulai berlaku pada 18 Desember 2026. Regulasi ini menitikberatkan pada tata kelola TI, manajemen risiko TI, ketahanan siber, dan kewajiban pelaporan insiden. Hal ini menandakan bahwa pentest tidak lagi menjadi domain eksklusif bank besar, melainkan menyentuh seluruh ekosistem perbankaasional.

Pentest untuk Instansi dalam Bidang Cybersecurity: Konteks Pemerintahan

Sementara regulasi perbankan sangat eksplisit mengenai kewajiban pentest, pentest untuk instansi dalam bidang cybersecuriti di lingkungan pemerintahan memiliki pendekatan yang berbeda. Tidak ada satu aturan tunggal setara POJK yang secara spesifik mewajibkan pentest bagi instansi pemerintah. Namun, pengujian penetrasi umumnya masuk dalam kerangka besar manajemen risiko TIK, audit keamanan, evaluasi kerentanan, dan penguatan ketahanan siber yang diatur melalui standar Sistem Pemerintahan Berbasis Elektronik (SPBE) serta kebijakan internal masing-masing kementerian atau lembaga.

Dalam praktiknya, instansi pemerintah yang mengelola layanan publik, data sensitif, atau sistem yang terhubung ke infrastruktur layanan digital nasional cenderung menerapkan pentest sebagai bagian dari audit keamanan berkala dan readiness assessment. Fokus pengujian biasanya diarahkan pada aplikasi web, API, dan infrastruktur yang terekspos internet. Karena regulasi pemerintah tersebar di berbagai lembaga dan sektor, detail frekuensi dan ruang lingkup pentest untuk instansi sangat bergantung pada kebijakan internal masing-masing. Bagi instansi yang membutuhkan panduan lebih lanjut, bekerja sama dengan konsultan keamanan siber yang berpengalaman dapat membantu menyelaraskan praktik pentest dengan kerangka SPBE dan persyaratan audit TI yang berlaku.

Perbandingan Kepatuhan Pentest: Bank vs Instansi

Tabel berikut merangkum perbedaan pendekatan pentest antara sektor perbankan dan instansi pemerintahan di Indonesia:

Langkah Strategis Memilih Layanan Pentest yang Tepat

Memilih penyedia layanan pentest bukan sekadar soal harga. Berikut adalah beberapa kriteria yang perlu dipertimbangkan oleh bank maupun instansi pemerintah:

• Pengalaman di sektor spesifik: Pastikan penyedia memiliki rekam jejak di sektor perbankan atau pemerintahan. Widya Security misalnya, telah menangani berbagai proyek Penetration Testing untuk institusi keuangan dan instansi di Indonesia.
• Pemahaman regulasi lokal: Penyedia harus memahami seluk-beluk POJK, SPBE, dan kerangka kepatuhaasional laiya agar hasil pengujian selaras dengan kebutuhan pelaporan.
• Metodologi yang terstandarisasi: Pastikan pengujian mengikuti kerangka kerja yang diakui secara global seperti OWASP, PTES, atau NIST.
• Pelaporan yang komprehensif: Laporan hasil pentest harus mencakup temuan, tingkat risiko, dan rekomendasi remediasi yang actionable, siap digunakan untuk pelaporan ke regulator.
• Dukungan pasca-pengujian: Layanan pelatihan keamanan siber dan konsultasi remediasi membantu tim internal menutup celah dengan lebih efektif.

Kesimpulan

Pentest untuk bank telah bertransformasi dari praktik opsional menjadi kewajiban kepatuhan yang tidak bisa ditawar. POJK 11/2022, ketentuan sektor pembayaran, hingga POJK 34/2025 untuk BPR menunjukkan bahwa regulator bergerak cepat mengantisipasi lonjakan ancaman siber. Di sisi lain, pentest untuk instansi dalam bidang cybersecuriti juga terus berkembang sebagai bagian integral dari tata kelola TI pemerintahan, meskipun dengan pendekatan yang lebih terdesentralisasi. Baik bank maupun instansi pemerintah, keduanya membutuhkan strategi pengujian yang terstruktur, berkala, dan dilaksanakan oleh mitra yang memahami lanskap regulasi lokal. Dengan memilih layanan pentest yang tepat, institusi tidak hanya memenuhi kepatuhan, tetapi juga membangun fondasi ketahanan siber jangka panjang yang melindungi aset digital dan kepercayaan publik.

Takeaways

• Pentest untuk bank adalah kewajiban regulasi: POJK 11/2022 mewajibkan pengujian berbasis skenario minimal satu kali per tahun dengan pelaporan ke OJK dalam 10 hari kerja.
• Sistem kritikal memerlukan perhatian lebih: Sektor pembayaran dan sistem kritikal dapat mensyaratkan pentest setiap enam bulan atau pasca perubahan signifikan.
• BPR juga terkena dampak: POJK 34/2025 mulai berlaku Desember 2026, memperluas cakupan kewajiban tata kelola TI ke seluruh ekosistem perbankan.
• Instansi pemerintah mengadopsi pendekatan berbeda: Pentest untuk instansi lebih banyak terintegrasi dalam kerangka manajemen risiko TIK dan audit keamanan berbasis SPBE.
• Pilih mitra yang memahami regulasi lokal: Keberhasilan pentest tidak hanya ditentukan oleh keahlian teknis, tetapi juga oleh pemahaman konteks regulasi dan kebutuhan pelaporan di Indonesia.
• Frekuensi adalah kunci: Ancaman siber berevolusi dengan cepat; pengujian berkala memastikan pertahanan selalu selangkah lebih maju dari potensi serangan.

“}