JAMBI – Temuan Badan Pemeriksa Keuangan (BPK) terhadap PT Bank Pembangunan Daerah (BPD) Jambi atau Bank 9 Jambi kembali menyoroti lemahnya tata kelola keamanan siber di bank milik Pemerintah Provinsi Jambi tersebut. Meski Bank 9 Jambi telah membentuk Tim Tanggap Insiden Siber melalui SK Direksi Nomor 127 Tahun 2024 yang ditetapkan pada 12 Desember 2024, BPK menemukan bahwa kebijakan tersebut belum dimutakhirkan sesuai Peraturan Anggota Dewan Gubernur (PADG) Nomor 24 Tahun 2024 sebagai aturan teknis pelaksanaan keamanan sistem informasi dan ketahanan siber.
Dalam hasil pemeriksaannya, BPK menyebut SK Direksi tersebut masih mengacu pada Peraturan Bank Indonesia Nomor 2 Tahun 2024, namun belum menyesuaikan dengan PADG Nomor 24 Tahun 2024 yang mulai berlaku pada 31 Desember 2024. Padahal regulasi tersebut menjadi pedoman teknis dalam penerapan keamanan sistem informasi dan ketahanan siber secara konsisten, efektif, dan terukur.
Selain itu, BPK juga mengungkap bahwa Bank 9 Jambi belum memiliki rencana strategis Keamanan Sistem Informasi dan Ketahanan Siber (KKS). Struktur organisasi yang seharusnya terdiri atas tiga fungsi utama, yakni Manajemen KKS, Manajemen Risiko Siber, dan Audit KKS, juga belum sepenuhnya terbentuk karena fungsi Manajemen KKS masih digabung dengan Manajemen Risiko.
Hasil klarifikasi BPK kepada Kepala Bidang Anti Fraud dan Ketahanan Keamanan Siber menyebutkan bahwa perubahan SK Tim Tanggap Insiden masih menunggu penyesuaian struktur organisasi baru berdasarkan SK Nomor 135 A Tahun 2024.
Sekretaris Jenderal DPP LSM MAPPAN, Hadi Prabowo, S.H., menilai temuan tersebut menimbulkan pertanyaan serius terhadap efektivitas tata kelola keamanan digital Bank 9 Jambi.
Menurutnya, keberadaan Tim Tanggap Insiden Siber seharusnya tidak hanya bersifat administratif melalui penerbitan SK Direksi, tetapi juga dibuktikan dengan kesiapan sistem, prosedur, serta kemampuan mendeteksi dan merespons ancaman siber secara cepat.
“Kalau Tim Tanggap Insiden Siber sudah dibentuk sejak 12 Desember 2024 melalui SK Direksi Nomor 127 Tahun 2024, maka publik berhak mempertanyakan mengapa sistem Bank 9 Jambi masih bisa ditembus oleh hacker. Ini menunjukkan bahwa pembentukan tim saja tidak cukup apabila implementasi pengamanan, mitigasi risiko, monitoring, dan evaluasi tidak berjalan optimal,” ujar Hadi Prabowo.
Hadi menilai temuan BPK memperlihatkan adanya kesenjangan antara pembentukan organisasi dengan pelaksanaan fungsi keamanan siber. Menurutnya, belum adanya rencana strategis KKS, belum diperbaruinya SK sesuai regulasi terbaru, serta belum terbentuknya tiga fungsi utama keamanan siber merupakan indikator bahwa tata kelola keamanan informasi belum sepenuhnya matang.
Ia juga menyoroti rekomendasi BPK yang menyebut Pemimpin Divisi Manajemen Risiko dan Kepala Bidang Anti Fraud dan Ketahanan Keamanan Siber belum optimal dalam:
menyusun dan memantau postur keamanan siber;
menjalankan sistem dan prosedur keamanan siber;
mengembangkan kebijakan pencegahan serangan siber; serta
membangun perlindungan terhadap jaringan dan sistem komputer perusahaan.
Menurut Hadi, kelemahan tersebut berpotensi meningkatkan risiko apabila terjadi serangan siber terhadap layanan perbankan.
“Dalam dunia perbankan, serangan siber bukan hanya soal diretas atau tidak. Yang paling penting adalah kesiapan organisasi dalam mencegah, mendeteksi, mengisolasi, memulihkan, dan mengevaluasi setiap insiden. Jika aspek tata kelolanya belum memenuhi ketentuan regulator, maka risiko operasional akan semakin besar,” tegasnya.
LSM MAPPAN mendesak Direksi Bank 9 Jambi segera menindaklanjuti seluruh rekomendasi BPK, termasuk menyusun rencana strategis keamanan siber, memperbarui SK Tim Tanggap Insiden sesuai PADG Nomor 24 Tahun 2024, membentuk tiga fungsi organisasi Keamanan Sistem Informasi dan Ketahanan Siber secara terpisah, serta meningkatkan kapasitas sumber daya manusia melalui simulasi dan pengujian keamanan secara berkala.
Hadi juga menegaskan bahwa terjadi pembobolan sistem oleh peretas, maka perlu dilakukan evaluasi menyeluruh terhadap efektivitas Tim Tanggap Insiden Siber, kepatuhan terhadap regulasi Bank Indonesia, serta audit forensik digital untuk mengetahui penyebab insiden dan memastikan tidak terjadi kelemahan pengendalian internal yang membahayakan keamanan data maupun layanan nasabah.
