Penetration Testing untuk Kepatuhan POJK & SEOJK: Kewajiban Bank, Fintech, dan Penyelenggara Pembayaran

Pentest Bukan Lagi Pilihan bagi Lembaga Jasa Keuangan

Bagi bank, fintech lending, dan penyelenggara jasa pembayaran di Indonesia, penetration testing sudah bergeser dari praktik baik menjadi bagian dari kewajiban regulasi. OJK dan Bank Indonesia sama-sama menuntut pengujian keamanan berkala atas sistem elektronik yang kritikal — dan hasilnya ditanyakan saat pemeriksaan.

Artikel ini merangkum peta regulasinya, apa yang secara praktis diminta pengawas, scope yang lazim diuji, proses engagement dari scoping sampai retest, dan cara memilih vendor yang laporannya benar-benar diterima auditor maupun pengawas.

Peta Regulasi: Siapa Diwajibkan Apa

Kewajiban pengujian keamanan tersebar di beberapa regulasi, tergantung jenis lembaganya:

Apa yang Secara Praktis Diminta Pengawas

Di lapangan — dari pemeriksaan OJK/BI maupun audit internal yang mengacu ke SEOJK 29/2022 — ekspektasi terhadap program pengujian keamanan biasanya mencakup:

• 1

  Pengujian berkala, minimal tahunan

  Penetration testing atas sistem elektronik kritikal dilakukan secara berkala — praktik yang diterima umum adalah minimal setahun sekali, ditambah pengujian ulang setelah perubahan besar (rilis mayor, migrasi, integrasi baru).

• 2

  Berbasis skenario dan risiko

  SEOJK 29/2022 mengarahkan pengujian berbasis skenario ancaman — bukan sekadar scan kerentanan, tetapi menguji jalur serangan yang realistis terhadap fungsi bisnis kritikal.

• 3

  Pelaksana yang kompeten dan independen

  Penguji harus independen dari pengembang sistem yang diuji — bisa internal yang terpisah atau pihak ketiga — dengan kompetensi yang bisa dibuktikan (sertifikasi, metodologi, rekam jejak).

• 4

  Tindak lanjut yang tuntas

  Temuan diklasifikasikan menurut tingkat risikonya, diberi penanggung jawab dan tenggat, ditutup, lalu diverifikasi lewat retest. Temuan kritikal yang menggantung adalah temuan pemeriksaan berikutnya.

• 5

  Dokumentasi menyeluruh

  Ruang lingkup, metodologi, laporan, bukti remediasi, dan hasil retest tersimpan rapi — inilah yang diserahkan saat pengawas atau auditor meminta bukti.

Scope yang Lazim Diuji di Sektor Keuangan

Prioritas scope mengikuti kekritikalan sistem — aset yang bila jebol berdampak pada dana nasabah, data pribadi, atau kelangsungan layanan:

Proses Pentest Kepatuhan dari Awal sampai Bukti Audit

Memilih Vendor Pentest untuk Kebutuhan Kepatuhan

Tidak semua penawaran pentest menghasilkan bukti kepatuhan yang diterima. Saring vendor dengan daftar ini:

• Metodologi tertulis dan diakui (OWASP, PTES) — tercantum di proposal, bukan hanya di marketing.

• Penguji bersertifikasi yang bisa diverifikasi (mis. OSCP, OSWE, CRTO) dan independen dari pengembang sistem Anda.

• Contoh laporan (sanitized) yang menunjukkan kedalaman: langkah reproduksi, dampak bisnis, dan remediasi — bukan tempelan output scanner.

• Retest termasuk dalam paket — tanpa verifikasi perbaikan, siklus kepatuhan Anda tidak tertutup.

• NDA dan penanganan data yang jelas: di mana bukti disimpan, berapa lama, siapa yang bisa mengakses.

• Pengalaman dengan lingkungan finansial: jendela pengujian di luar jam sibuk, koordinasi dengan tim operasional, dan kepekaan terhadap sistem produksi.

• Ringkasan eksekutif yang bisa dibaca pengawas — laporan yang hanya bisa dibaca engineer akan menyulitkan fungsi kepatuhan Anda.

Kesalahan yang Paling Sering Ditemui

• Menyamakan vulnerability scan dengan pentest

  Scan otomatis adalah baris pertama, bukan pemenuh kewajiban. Pengujian berbasis skenario menuntut penguji manusia yang merangkai kelemahan menjadi jalur serangan.

• Menguji hanya menjelang pemeriksaan

  Pentest dadakan sebulan sebelum pemeriksaan tidak menyisakan waktu remediasi — temuan kritikal yang masih terbuka justru menjadi catatan pengawas.

• Scope yang dikecilkan demi anggaran

  Mengecualikan sistem back-office atau API internal membuat laporan bersih di atas kertas — dan tidak menggambarkan risiko sebenarnya.

• Temuan tidak masuk register risiko

  Laporan pentest yang berhenti sebagai PDF di folder tidak mengubah apa pun. Temuan harus masuk register risiko/temuan dengan owner dan tenggat, lalu diverifikasi tutup.

• Tidak ada retest

  Tanpa pengujian ulang, tidak ada bukti bahwa perbaikan benar-benar efektif — dan pertanyaan pertama auditor adalah bukti itu.

Kesimpulan

Untuk lembaga jasa keuangan Indonesia, penetration testing adalah kewajiban yang berulang — bank umum diarahkan oleh POJK 11/2022 dan SEOJK 29/2022, fintech lending oleh POJK 10/2022, penyelenggara pembayaran oleh regulasi BI, dan semuanya dilapisi kewajiban pengamanan data pribadi UU PDP. Pola ekspektasinya sama: pengujian berkala oleh pihak kompeten yang independen, tindak lanjut yang tuntas, dan dokumentasi yang bisa diserahkan.

Perlakukan pentest sebagai siklus tahunan yang terencana — scoping yang jujur, pengujian berbasis skenario, remediasi berprioritas, retest, dan arsip bukti — bukan proyek panik menjelang pemeriksaan. Dengan begitu, biaya yang sama menghasilkan dua nilai sekaligus: keamanan yang nyata dan pemeriksaan yang tenang.

Untuk menyiapkan anggarannya, panduan harga penetration testing di Indonesia memberi rentang yang realistis. Pengujian yang memenuhi ekspektasi auditor OJK termasuk dalam layanan security assessment.