Bagaimana negara-negara yang baru saja dilanda gelombang serangan siber merespons krisis ini? Kita perlu melihat perbandingan tata kelola dan regulasi mereka sebagai cermin bagi Indonesia:
Singapura (Respons Regulasi dan Pembagian Beban):
Meskipun menjadi sasaran empuk serangan siber karena statusnya sebagai hub keuangan Asia, Monetary Authority of Singapore (MAS) memiliki standar manajemen risiko teknologi (TRM) yang sangat ketat. MAS membatasi waktu henti (downtime) maksimal bagi sistem kritikal bank hanya beberapa jam dalam setahun.
Lebih progresif lagi, Singapura menerapkan Shared Responsibility Framework (SRF), sebuah kerangka kerja yang memperjelas tanggung jawab kerugian antara bank dan operator telekomunikasi jika terjadi pembobolan akibat kelalaian sistem, sehingga nasabah tidak selalu menjadi pihak yang dikorbankan.
Prancis dan Uni Eropa (Standar DORA):
Menghadapi serangan pada sektor perbankan dan maskapai, Prancis bersama negara Uni Eropa mengandalkan kerangka Digital Operational Resilience Act (DORA). Regulasi ini memaksa seluruh entitas keuangan tidak hanya menguji ketahanan internal mereka melalui threat-led penetration testing secara berkala, tetapi juga mengaudit secara ketat seluruh vendor teknologi pihak ketiga (cloud provider, penyedia software) yang bekerja sama dengan bank.
Jepang dan Taiwan (Pertahanan Kolektif dan Geopolitik):
Serangan terhadap institusi di Jepang dan Taiwan sering kali berkelindan dengan motif geopolitik serta spionase siber. Respons mereka adalah memperkuat integrasi antara Computer Emergency Response Team (CERT) sektor finansial dengan badan pertahanan siber militer/nasional, memungkinkan pertukaran intelijen ancaman (threat intelligence sharing) secara real-time dalam hitungan detik antarbank.
Malaysia (Ketegasan Bank Negara):
Bank Negara Malaysia (BNM) merespons maraknya insiden digital dengan menginstruksikan seluruh perbankan untuk menghentikan penggunaan SMS One-Time Password (OTP) yang rentan disadap, beralih ke autentikasi berbasis perangkat yang lebih aman, serta mewajibkan adanya kill switch bagi nasabah untuk membekukan rekening secara instan saat mendeteksi anomali.
Evaluasi dan Pembaruan Regulasi Nasional: Dari “Kepatuhan di Atas Kertas” Menuju Ketahanan Substantif
Harus diakui, institusi negara di Indonesia bukannya berdiam diri. Dalam beberapa tahun terakhir, kita melihat akselerasi pembaruan payung hukum yang cukup progresif untuk memagari sistem perbankan nasional:
- Otoritas Jasa Keuangan (OJK): Telah menerbitkan POJK Nomor 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, yang diperkuat dengan aturan teknis SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum, serta diperluas ke sektor BPR/BPRS melalui regulasi tata kelola TI terbaru. Aturan ini mewajibkan bank membentuk unit khusus keamanan siber yang independen, melakukan uji penetrasi berbasis skenario (scenario-based testing) minimal setahun sekali, dan melaporkan insiden siber paling lambat 1 jam sejak diketahui sebagai notifikasi awal.
- Bank Indonesia (BI): Mengeluarkan Peraturan Bank Indonesia (PBI) Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber (KKS) bagi Penyelenggara Sistem Pembayaran. BI menekankan aspek pencegahan efek penularan (contagion effect) pada ekosistem pembayaran seperti BI-FAST dan QRIS, serta mewajibkan kolaborasi pertukaran intelijen ancaman.
- Pemerintah dan BSSN: Pemberlakuan penuh Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) serta Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital (IIV) yang menempatkan sektor keuangan di bawah koordinasi pengawasan teknis Badan Siber dan Sandi Negara (BSSN).
Namun, pertanyaan kritisnya sebagai seorang praktisi dan akademisi adalah: Mengapa dengan tumpukan regulasi yang begitu berlapis, insiden seperti Bank Jambi masih bisa terjadi dan membuat layanan lumpuh?
Jawabannya terletak pada regulatory gap (kesenjangan implementasi). Pertama, banyak perbankan kita khususnya di daerah masih memandang regulasi POJK dan PBI sebatas checklist compliance (kepatuhan administratif di atas kertas) demi menghindari sanksi teguran, bukan sebagai budaya manajemen risiko. Kedua, terjadinya fragmentasi pelaporan (siloed reporting).
Saat insiden terjadi, tim IT bank yang sedang panik memulihkan sistem harus berhadapan dengan kewajiban birokrasi pelaporan yang terpisah-pisah ke OJK, BI, dan BSSN dengan format yang berbeda. Ketiga, regulasi kita saat ini masih membebankan tanggung jawab penuh pada entitas bank, namun belum memiliki taji hukum yang kuat untuk mengaudit dan menjatuhkan sanksi langsung kepada vendor pihak ketiga (penyedia core banking atau jaringan) yang menjadi sumber celah keamanan (supply chain vulnerability).
Rekomendasi Praktis untuk Negara dan Otoritas
Berkaca pada rentetan insiden global, kasus domestik Bank Jambi, serta evaluasi regulasi di atas, pemerintah dan otoritas moneter/keuangan harus segera melakukan pembaruan kebijakan (regulatory reform) melalui empat langkah strategis:
- Pertama, Harmonisasi Regulasi melalui Single Incident Reporting Portal dan Mandat Konsorsium BPD. OJK, BI, dan BSSN harus melebur ego sektoral dengan menciptakan satu pintu pelaporan insiden siber terpadu dan otomatis. Lebih jauh, mengingat lebarnya kesenjangan kapabilitas teknologi antara bank raksasa (KBMI 4) dengan BPD, OJK perlu memperbarui regulasinya dengan mewajibkan skema Shared Security Operations Center (SOC Bersama) bagi konsorsium BPD, serta menetapkan batas minimal rasio belanja modal (capex) khusus keamanan siber terhadap total anggaran TI bank.
- Kedua, Adopsi Regulasi Setara DORA untuk Mengikat Vendor Pihak Ketiga. OJK dan BI perlu merevisi POJK dan PBI terkait dengan memasukkan klausul pengawasan langsung (direct oversight) terhadap penyedia layanan TI pihak ketiga yang kritikal. Jika sebuah bank daerah jebol akibat kecerobohan coding atau arsitektur dari vendor penyedia aplikasi/jaringan, vendor tersebut harus turut dikenai sanksi denda hingga pencabutan izin beroperasi di seluruh ekosistem perbankan nasional.
- Ketiga, Mengubah Mandat Pengujian menjadi Unannounced Cyber Wargaming. Aturan pengujian keamanan siber tahunan dalam SEOJK 29/2022 sering kali terlalu mudah ditebak karena dijadwalkan sendiri oleh bank. Regulator perlu memperbarui aturan ini dengan menerapkan unannounced red-teaming simulasi serangan dan pemutusan sistem secara mendadak tanpa pemberitahuan oleh tim gabungan OJK-BSSN untuk menguji apakah Disaster Recovery Plan (DRP) dan backup system bank benar-benar berfungsi dalam hitungan menit, bukan hari.
- Keempat, Regulasi Strict Liability dan Pemulihan Hak Nasabah Seketika. Menindaklanjuti UU PDP dan meniru Shared Responsibility Framework di Singapura, OJK harus menerbitkan aturan turunan yang menerapkan prinsip tanggung jawab mutlak (strict liability) dalam insiden sistemik. Harus ada batas waktu maksimal (Service Level Agreement regulasi) misalnya $2\times 24$ jam bagi bank untuk mengembalikan dana nasabah yang terdampak anomali sistem sebelum investigasi internal yang memakan waktu berbulan-bulan selesai dilakukan.
Pada akhirnya, stabilitas sistem keuangan nasional di abad ke-21 tidak lagi hanya ditentukan oleh rasio kecukupan modal (Capital Adequacy Ratio) atau rasio kredit macet (Non-Performing Loan), melainkan oleh ketangguhan baris-baris kode dan ketegasan regulasi yang melindunginya.
Kasus Bank Jambi dan gelombang serangan siber dari Prancis hingga Singapura adalah lonceng peringatan terakhir. Membiarkan regulasi hanya tajam di atas kertas tanpa pembaruan eksekusi di lapangan sama saja dengan mempertaruhkan kedaulatan ekonomi negara di meja judi para peretas global.(*)
