3 Aspek Utama Penilaian TIKMI Berdasarkan PBI No. 10 Tahun 2025

1. Elemen Infrastruktur TI (TIKMI)

Infrastruktur teknologi yang andal menjadi fondasi utama dalam operasional bisnis pembayaran modern. Dalam proses penilaian TIKMI, auditor akan menguji ketahanan dan kesiapan elemen-elemen digital berikut:

• Pusat Data Utama (Data Center): Tempat penyimpanan seluruh server dan data transaksi yang harus terlindungi secara fisik (dari risiko bencana seperti kebakaran) maupun akses digital tanpa izin.

• Pusat Pemulihan Bencana (Disaster Recovery Center / DRC): Fasilitas cadangan yang wajib ada di lokasi terpisah untuk memastikan transaksi tetap berjalan normal saat terjadi krisis atau bencana.

• Sistem Cadangan (Backup System): Proses replikasi dan pembackupan data transaksi yang berjalan secara otomatis dan terjadwal secara berkala.

• Keamanan Jaringan: Penerapan firewall, enkripsi data sensitif (SSL/TLS), serta sistem kontrol akses (Access Control) yang ketat untuk mencegah masuknya pihak tidak berwenang.

2. Kesiapan Terhadap Ancaman Siber

Bisnis pembayaran mengelola dana dan data sensitif yang menjadikannya sasaran empuk kejahatan siber. Penilaian TIKMI memastikan perusahaan memiliki strategi mitigasi yang kuat terhadap risiko berikut:

• Kebocoran Data (Data Leakage): Antisipasi terhadap pencurian data sensitif nasabah, seperti nomor kartu kredit, akun bank, maupun PIN.

• Serangan Ransomware: Penguncian dan penyanderaan data operasional finansial oleh program jahat (malware) yang meminta tebusan.

• Serangan DDoS (Distributed Denial of Service): Lonjakan lalu lintas jaringan palsu yang sengaja dikirimkan untuk melumpuhkan layanan transaksi digital.

• Penipuan Phishing: Teknik rekayasa sosial (social engineering) yang memanipulasi kelengahan karyawan atau pengguna untuk mencuri data akses.

3. Manajemen Risiko

Proses penilaian risiko TIKMI yang selaras dengan standar manajemen keamanan informasi internasional ISO 27001 yang berdasarkan aset dan juga proses pada Penyedia Sistem Pembayaran (PSP).

• Transaksi
  Aspek transaksi menilai keamanan, keandalan, dan volume transaksi
  • Kontrol Annex A terkait:
    • A.5.24 – A.5.28: Prosedur untuk mendeteksi, melaporkan, dan merespons kegagalan transaksi atau anomali sistem secara cepat.
    • A.5.29 & A.5.30: Menjamin ketersediaan transaksi tidak mati total saat terjadi bencana (high availability).
    • A.8.24: Memastikan seluruh data transaksi terenkripsi end-to-end, baik saat disimpan (at rest) maupun dikirim (in transit).
• Interkoneksi
  Aspek Interkoneksi menilai keamanan jaringan dan risiko pihak ketiga (third-party risk) seperti cloud provider atau API eksternal.
  • Kontrol Annex A Terkait:
    • A.5.19 – A.5.23: Kewajiban melakukan audit kepatuhan siber (due diligence) terhadap vendor payment gateway atau cloud provider.
    • A.5.23: Aturan ketat mengenai manajemen keamanan khusus penyedia layanan cloud.
    • A.8.20 – A.8.22: Pengamanan jalur komunikasi interkoneksi, pemisahan jaringan (network segregation), dan perlindungan transfer informasi antar-entitas.
• Kompetensi
  Aspek Kompetensi TIKMI menguji kelayakan personel inti dan mitigasi kesalahan manusia (human error).
  • Kontrol Annex A Terkait:
    • A.6.1 & A.6.2: Proses verifikasi latar belakang karyawan TI secara ketat sebelum direkrut.
    • A.6.3: Pelatihan siber berkala bagi karyawan, yang selaras dengan kewajiban sertifikasi kompetensi sistem pembayaran dari Bank Indonesia.
• Manajemen Risiko
  Aspek Manajemen Risiko menilai efektivitas tata kelola risiko, fraud management system, dan penanganan insiden.
  
  • Kontrol Annex A Terkait:
    • A.5.1 – A.5.4: Pembentukan kebijakan keamanan informasi tertulis dan kejelasan peran (siapa yang bertanggung jawab memantau fraud).
    • A.5.7: Pengumpulan informasi ancaman siber terbaru untuk mengantisipasi modus fraud secara real-time.
• Infrastruktur
  Aspek Infrastruktur TI menilai ketahanan fisik server, aplikasi, perlindungan data, dan resiliensi sistem.
  
  • Kontrol Annex A Terkait:
    • A.7.1 – A.7.14: Pengamanan area ruang server fisik, pembatasan akses masuk, dan perlindungan perangkat dari pencurian.
    • A.8.1 – A.8.5: Dokumentasi prosedur operasi, pemantauan log aktivitas sistem (information logging) untuk kebutuhan audit BI.
    • A.8.12: Implementasi tools pencegahan kebocoran data sensitif nasabah.

Ikuti Pelatihan terbaru kami : Training Awareness ISO 27001:2022 dan Internal Audit