ELECTRONIC BANKING
8.4. MANAJEMEN RISIKO AKTIVITAS DAN PRODUK E BANKING
8.4.2. Mitigasi Risiko
8.4.2.1. Prinsip-Prinsip Pengendalian Pengamanan Atas Aktivitas E-Banking
a. Bank harus melakukan langkah-langkah yang memadai untuk menguji keaslian
(authentication) identitas dan kewenangan (authorisation) nasabah yang melakukan
transaksi melalui e-banking dengan memperhatikan hal-hal sebagai berikut:
1) Bank harus memiliki kebijakan dan prosedur tertulis untuk memastikan bahwa Bank mampu menguji keaslian identitas dan kewenangan nasabah.
2) Bank dapat menggunakan berbagai metode untuk menguji keaslian yang didasarkan atas penilaian manajemen risiko aktivitas e-banking, sensitivitas dan nilai data yang disimpan. Dalam menggunakan metode pengujian keaslian, hendaknya memperhatikan hal-hal sebagai berikut:
a) menerapkan kombinasi sekurang-kurangnya 2 faktor otentikasi (two factor
authentication) yaitu “what you know” (PIN, password), “what you have”
(kartu magnetis dengan chip, token, digital signature), “something you are”
atau “biometric” (retina, sidik jari);
b) persyaratan jumlah karakter minimum PIN. Khusus untuk PIN yang digunakan dalam alat pembayaran dengan menggunakan kartu, mobile
banking dan internet banking, panjang PIN harus sekurang-kurangnya
terdiri dari 6 digit karakter;
c) adanya batasan maksimum kesalahan memasukkan PIN untuk menghambat upaya akses secara tidak sah/legal;
d) Bank harus memastikan penerapan prinsip kehati-hatian dalam penggunaan metode pengujian keaslian yang meliputi:
(1) pembuatan, validasi dan enkripsi PIN dan metode pengujian keaslian lainnya harus menggunakan metode yang diyakini aman;
(2) database pengujian keaslian yang menyediakan akses kepada rekening
nasabah pada e-banking dilindungi dari gangguan dan perusakan;
(3) setiap penambahan, penghapusan atau perubahan database pengujian keaslian telah dengan tepat diotorisasi oleh pihak yang berwenang; (4) khusus untuk layanan e-banking dengan menggunakan kartu, fungsi
pembuatan dan pengiriman PIN harus terpisah dari fungsi pembuatan dan pengiriman kartu;
(5) terdapat sarana pengendalian yang tepat terhadap sistem e-banking
sehingga pihak ketiga yang tak dikenal tidak bisa menggantikan nasabah yang telah dikenal;
(6) terdapat kebijakan yang menyatakan bahwa jika terdapat indikasi telah terjadi pencurian data yang terkait dengan aspek otentikasi nasabah maka Bank wajib melakukan penggantian data otentikasi nasabah dimaksud secepatnya.
b. Bank harus menyusun dan menetapkan prosedur untuk menjamin bahwa transaksi tidak dapat diingkari oleh nasabah (non repudiation) sehingga transaksi dapat dipertanggungjawabkan (kredibel), yang meliputi antara lain:
1) sistem e-banking telah dirancang untuk mengurangi kemungkinan dilakukannya transaksi secara tidak sengaja (unintended) oleh para pengguna yang berhak; 2) seluruh pihak yang melakukan transaksi telah diuji keasliannya;
3) data transaksi keuangan dilindungi dari kemungkinan pengubahan dan setiap pengubahan dapat dideteksi. Proses pencatatan transaksi keuangan harus dirancang sebaik mungkin agar dapat mencegah upaya pengubahan tidak sah. Setiap upaya pengubahan yang tidak sah perlu dicatat (logged) dan menjadi perhatian manajemen Bank;
4) penerapan metode untuk menjamin dipenuhinya prinsip non repudiation, misalnya digital signature, Public Key Infrastructure (PKI). Kunci-kunci (keys) yang digunakan untuk keperluan enkripsi harus dipelihara secara aman sehingga tidak ada satu orang pun yang secara utuh mengetahui kombinasi kunci-kunci tersebut.
c. Bank harus memastikan terdapat pemisahan tugas dan tanggung jawab terkait penggunaan sistem, database dan aplikasi e-banking. Bank harus memastikan terdapat dual control dan segregation of duties untuk memastikan terlaksananya fungsi check & balance. Bank perlu memastikan terdapat pemisahan tugas antara pihak yang menginisiasi/menginput data dan pihak yang bertanggung jawab untuk memverifikasi kebenaran data tersebut. Misalnya, dalam suatu aplikasi perbankan, setiap penambahan atau perubahan database yang dilakukan oleh data entry
operator, baru dapat menjadi efektif hanya jika telah disetujui oleh penyelianya. d. Bank harus memastikan adanya pengendalian terhadap otorisasi dan hak akses
(privileges) yang tepat terhadap sistem, database dan aplikasi e-banking.
Seluruh arsip dan data Bank yang bersifat rahasia hanya dapat diakses oleh pihak yang telah memiliki kewenangan dan otorisasi. Data Bank yang bersifat rahasia harus dipelihara secara aman dan dilindungi dari kemungkinan diketahui atau dimodifikasi oleh pihak yang tidak berwenang.
e. Bank harus memastikan metode dan prosedur diterapkan untuk melindungi integritas data, catatan dan informasi terkait transaksi e-banking dengan memperhatikan hal-hal sebagai berikut:
1) Bank harus menerapkan metode dan teknik yang tepat untuk mengurangi ancaman eksternal seperti serangan virus, malicious transaction yang meliputi: a) perangkat lunak – penyediaan virus scanning dan anti virus untuk seluruh
entry point dan masing-masing sistem komputer (desktop);
b) perangkat lunak untuk mendeteksi adanya penyusupan (intrusion detection
system);
c) pengujian penetrasi (penetration testing) terhadap jaringan internal dan eksternal secara berkala sekurang-kurangnya 1 tahun sekali.
2) Bank harus melakukan pengujian integritas data transaksi e-banking. 3) Bank harus melakukan pengendalian/kontrol untuk memastikan seluruh
transaksi telah dilaksanakan dengan benar.
f. Bank harus memastikan tersedianya mekanisme penelusuran (audit trail) yang jelas untuk seluruh transaksi e-banking, yang mencakup hal-hal sebagai berikut:
1) Bank harus memelihara log transaksi sesuai kebijakan retensi data Bank sesuai ketentuan perundangan yang berlaku guna tersedianya jejak audit yang jelas serta membantu penyelesaian perselisihan. Data transaksi yang diperlukan perlu mencakup sekurang-kurangnya data nasabah, nomor rekening, jenis transaksi, waktu, lokasi, jumlah transaksi;
2) Bank harus memberikan notifikasi kepada nasabah apabila suatu transaksi telah berhasil dilakukan. Apabila terdapat transaksi yang ditolak maka perlu didokumentasikan dan terdapat prosedur tindak lanjutnya;
3) Bank harus memastikan tersedianya fungsi jejak audit (audit trail) untuk dapat mendeteksi usaha dan/atau terjadinya penyusupan yang harus di-review atau dievaluasi secara berkala. Apabila sistem pemrosesan dan jejak audit merupakan tanggung jawab pihak ketiga maka proses jejak audit tersebut harus sesuai dengan standar yang ditetapkan oleh Bank. Bank harus memiliki kewenangan yang cukup untuk dapat mengakses jejak audit yang dipelihara oleh pihak ketiga tersebut;
4) Bank harus melakukan pendeteksian dan monitoring atas transaksi yang tidak sah/tidak wajar misalnya melalui Intrusion Detection System (IDS) dan Fraud
Detection. Selanjutnya Bank harus memiliki prosedur penanganan masalah atau
kejahatan yang terdeteksi.
g. Bank harus menerapkan langkah-langkah untuk melindungi kerahasiaan informasi
e-banking. Prosedur pengamanan disesuaikan dengan tingkat sensitivitas informasi.
Bank juga harus memiliki standar dan pengendalian atas penggunaan dan perlindungan data apabila pihak penyedia jasa/outsourcing memiliki akses terhadap data tersebut;
h. Bank harus memiliki business continuity plan termasuk contingency plan yang efektif untuk memastikan tersedianya sistem dan jasa e-banking secara berkesinambungan. Pengaturan lebih lanjut dapat dilihat pada Bab VI tentang
i. Bank harus mengembangkan rencana penanganan kejadian (incident response
plans) yang cepat dan tepat untuk mengelola, mengatasi, dan meminimalkan
dampak suatu insiden, fraud, kegagalan sistem (internal dan eksternal), yang dapat menghambat penyediaan sistem dan jasa e- banking.
