Compliance vs Threat-Driven SOC: Bedah PBI, POJK, dan TIKMI 2026

Lolos audit regulasi tidak otomatis berarti infrastruktur aman. Di sektor jasa keuangan Indonesia, pengawas memerlukan bukti kontrol operasional yang relevan dengan risiko TI, melampaui dokumen kebijakan administratif semata. Artikel ini membedah empat regulasi yang paling sering disalahpahami tim SOC, yaitu PBI (Peraturan Bank Indonesia), POJK 11/2022, PCI DSS v4.0.1, dan TIKMI (Transaksi, Interkoneksi, Kompetensi, Manajemen Risiko, Infrastruktur TI).

EXECUTIVE SUMMARY (KEY TAKEAWAYS)

• Compliance-driven SOC mengoptimalkan pembuatan bukti audit, sedangkan threat-driven SOC mengoptimalkan kecepatan deteksi dan ketahanan terhadap serangan aktif.

• Bank Indonesia mengevaluasi bukti PJP dalam tiga pilar mandiri (Tata Kelola, Pencegahan, dan Penanganan Insiden) berdasarkan PBI No. 23/6/PBI/2021, PBI No. 2 Tahun 2024, dan PADG No. 24 Tahun 2024.

• Tenggat waktu pelaporan insiden 1x24 jam pada POJK No. 11/POJK.03/2022 dihitung sejak saat kesadaran (awareness), bukan saat serangan terjadi (occurrence).

• Standar PCI DSS v4.0.1 Requirement 12.10.5 mewajibkan pemantauan komponen kritis, termasuk deteksi manipulasi script pada halaman pembayaran (tamper-detection).

• Instrumen TIKMI pada PADG No. 32 Tahun 2025 menuntut bukti operasional SOC pada komponen Manajemen Risiko dan Infrastruktur TI.

Dua Orientasi SOC yang Harus Berjalan Beriringan

Compliance-driven SOC dan threat-driven SOC memiliki fokus yang berbeda, tetapi keduanya perlu berjalan dalam satu proses operasional. Keduanya mencerminkan dua orientasi kerja yang kerap dipisahkan secara struktural di organisasi besar.

Tim dengan orientasi kepatuhan membangun log dan dokumentasi untuk menjawab pertanyaan auditor. Tim dengan orientasi deteksi ancaman merancang logika korelasi untuk menghentikan penyerang sebelum data keluar dari jaringan. SOC yang matang menggabungkan keduanya sehingga kapabilitas deteksi aktif menjadi sumber bukti audit itu sendiri, bukan dua proses terpisah yang dijalankan paralel.

Dalam audit SOC di sektor perbankan, tim yang hanya membangun bukti untuk auditor kerap menemukan ratusan log terkumpul tanpa aturan korelasi dinamis. Organisasi dapat berstatus patuh 100%, namun gagal mendeteksi penyerang yang bergerak secara bertahap (low-and-slow) selama berminggu-minggu.

Tiga Pilar Pemantauan Ketahanan Siber PJP Bank Indonesia

Bank Indonesia mengawasi Penyelenggara Jasa Pembayaran (PJP) melalui PBI No. 23/6/PBI/2021, PBI No. 2 Tahun 2024, dan Petunjuk Teknis Peraturan Anggota Dewan Gubernur atau PADG No. 24 Tahun 2024. Pengawas mengevaluasi tiga pilar bukti secara mandiri.

1. Pilar Tata Kelola mencakup struktur komite keamanan, pembagian peran operasional, dan kebijakan manajemen risiko TI yang disahkan oleh direksi.

2. Pilar Pencegahan mencakup pemantauan log keamanan berkelanjutan, segmentasi jaringan transaksi, dan pembaruan aturan deteksi berkala.

3. Pilar Penanganan Insiden mencakup dokumentasi incident playbook, alur eskalasi, dan bukti pengujian simulasi krisis minimal satu kali setahun.

Dalam praktik audit, tim keamanan kerap menggabungkan bukti Pilar Pencegahan dengan Pilar Penanganan Insiden. Pengawas Bank Indonesia mengevaluasi setiap pilar secara terpisah, sehingga ketiadaan bukti pada salah satu pilar tetap menjadi temuan kepatuhan mandiri.

Titik Awal Jam Pelaporan Insiden POJK 11/2022

POJK No. 11/POJK.03/2022 BAB V dan SEOJK No. 29/SEOJK.03/2022 Bab V mewajibkan Bank Umum melaporkan insiden siber berkategori kritis kepada OJK paling lambat 1x24 jam.

Banyak tim kepatuhan keliru menafsirkan titik awal penghitungan waktu pelaporan. Jam pelaporan kerap disalahpahami dihitung sejak penyerang pertama kali memperoleh akses (occurrence), padahal penghitungan resmi berjalan sejak saat kesadaran (awareness), yaitu saat analis SOC mengidentifikasi dan mengonfirmasi anomali sebagai insiden siber yang mengganggu operasional.

Implikasinya cukup signifikan. Keterlambatan deteksi selama periode tersebut tidak dengan sendirinya menjadi titik awal penghitungan 1x24 jam, karena penghitungan terkait kewajiban pelaporan mengikuti saat awareness atas insiden. Periode 1x24 jam baru berjalan saat insiden terkonfirmasi. Namun, keterlambatan deteksi yang berkepanjangan tetap dicatat sebagai kelemahan kapabilitas pemantauan dalam evaluasi maturitas tahunan OJK.

Kontrol Pemantauan yang Relevan dalam PCI DSS v4.0.1

PCI DSS v4.0.1 Requirement 12.10.5 mewajibkan pemantauan pada komponen kritis di lingkungan data pemegang kartu (Cardholder Data Environment). Empat jenis sistem yang tercakup:

1. Intrusion Detection/Prevention Systems (IDS/IPS) berfungsi memantau lalu lintas jaringan di perimeter CDE.

2. Network Security Controls mencatat dan menganalisis perubahan konfigurasi firewall dan perangkat jaringan.

3. File Integrity Monitoring (FIM) mendeteksi modifikasi tidak sah pada berkas sistem operasi, aplikasi pembayaran, dan konfigurasi basis data.

4. Payment-Page Tamper-Detection (Requirement 11.6.1 dan 6.4.3) mendeteksi injeksi skrip berbahaya (JavaScript web skimming/Magecart) pada halaman pembayaran di sisi peramban (penelusur web / web browser) pengguna.

Dalam implementasi SOC yang hanya berfokus pada log server dan network security controls, kontrol tamper-detection pada halaman pembayaran dapat terlewat karena membutuhkan pemantauan di sisi client-side.

Mekanisme ini menuntut verifikasi integritas skrip secara berkala untuk mendeteksi injeksi kode tidak sah yang mengekstrak data kartu. Tanpa kontrol di sisi browser, manipulasi DOM atau eksekusi pustaka pihak ketiga tidak akan tercatat dalam log server tradisional.

Bukti Operasional SOC dalam Instrumen TIKMI 2026

Bank Indonesia menerbitkan instrumen penilaian mandiri TIKMI melalui PADG No. 32 Tahun 2025 sebagai aturan pelaksana PBI No. 10/2025 tentang Pengaturan Industri Sistem Pembayaran, berlaku efektif 31 Maret 2026.

Instrumen TIKMI mencakup lima komponen, yaitu Transaksi, Interkoneksi, Kompetensi, Manajemen Risiko, dan Infrastruktur TI. Dua komponen yang paling berkaitan langsung dengan bukti operasional SOC adalah Manajemen Risiko dan Infrastruktur TI.

• Manajemen Risiko mencakup laporan evaluasi kinerja keamanan berkala, tren anomali trafik, analisis akar masalah insiden, dan evaluasi kapasitas tampung log.

• Infrastruktur TI mencakup bukti teknis ketersediaan log audit minimal satu tahun, waktu respons penanganan anomali, dan sertifikasi keahlian analis yang bertugas.

Penyelarasan bukti operasional mempermudah institusi memenuhi kriteria evaluasi berkala Bank Indonesia secara terukur. Dokumentasi yang rapi membuktikan pemantauan keamanan berjalan konsisten sesuai ketentuan arsitektur sistem pembayaran nasional.

Matriks Kepatuhan Regulasi dan Kapabilitas Deteksi

Menyelaraskan Deteksi Aktif dan Kepatuhan di Cisometric

Menyusun dokumen kepatuhan dan menganalisis ribuan peringatan harian secara bersamaan jarang dapat ditangani oleh tim internal yang sama secara efektif.

Cisometric menyediakan layanan SOC dari fasilitas Data Center Tier-3, lengkap dengan tim analis tersertifikasi CISSP, CRTO, CEH, OSCP, CASP+, CHFI, dan sertifikasi cybersecurity pendukung lainnya. Dengan pendekatan threat-driven detection engineering, Cisometric menyelaraskan pemantauan aktif dengan standar regulasi nasional, terdaftar secara resmi di ASPI dan Daftar Putih BSSN.

Tim auditor bersertifikasi CISA, CISSP, dan ISO 27001 Lead Auditor siap mendampingi organisasi melalui layanan Compliance, Risk, dan Audit. Diskusikan evaluasi kesiapan regulasi SOC Anda melalui halaman layanan tersebut.

Dengan tim SOC dan auditor bersertifikasi dan memiliki riwayat pengalaman sebagai praktisi di industri dengan regulasi ketat serta lingkungan TI yang sangat kompleks, Cisometric siap membantu organisasi menilai kesiapan pemantauan, respons insiden, dan kepatuhan SOC berdasarkan kebutuhan serta konteks operasionalnya.

Ulasan dalam artikel ini ditujukan sebagai panduan edukasi teknis dan informasi umum manajemen pemantauan keamanan siber. Pembahasan ini bukan merupakan nasihat hukum formal atau jaminan kelulusan audit terhadap regulasi perbankan, PJP, maupun standar keamanan industri.

Pemenuhan kepatuhan terhadap POJK 11/2022, PBI 2/2024, PADG 32/2025, dan PCI DSS v4.0.1 memerlukan audit menyeluruh yang disesuaikan dengan arsitektur teknologi dan profil risiko institusi.

FAQ

Kapan jam pelaporan 1x24 jam POJK 11/2022 resmi dimulai?

Penghitungan jam pelaporan 1x24 jam dimulai sejak saat tim keamanan atau bank menyadari (awareness) adanya insiden siber yang mengganggu operasional, bukan sejak saat penyerang pertama kali memperoleh akses (occurrence).

Apa perbedaan utama antara compliance-driven SOC dan threat-driven SOC?

Compliance-driven SOC mengoptimalkan pembuatan bukti audit untuk membuktikan pengawasan telah berjalan, sedangkan threat-driven SOC mengoptimalkan kecepatan deteksi dan penghentian serangan aktif penyerang di dunia nyata.

Mengapa pemantauan PCI DSS v4.0.1 Requirement 12.10.5 sering gagal diaudit?

Banyak organisasi hanya memantau firewall dan log server, namun belum menerapkan mekanisme deteksi perubahan script pada halaman pembayaran (tamper-detection) sesuai mandat klausul 11.6.1 dan 6.4.3.

Bagaimana menyelaraskan bukti operasional SOC dengan TIKMI Bank Indonesia?

Berdasarkan PADG No. 32 Tahun 2025, organisasi menyelaraskan bukti operasional SOC pada dua dari lima pilar TIKMI (komponen Manajemen Risiko untuk laporan metrik deteksi berkala, dan komponen Infrastruktur TI untuk retensi log serta SOP eskalasi insiden).

Link Terkait

Rujukan Internal Cisometric

• Layanan SOC

• Layanan Compliance, Risk, dan Audit

Rujukan Regulasi Eksternal

• PBI No. 23/6/PBI/2021

• PBI No. 2 Tahun 2024

• POJK No. 11/POJK.03/2022

• SEOJK No. 29/SEOJK.03/2022

• PCI DSS v4.0.1

• PADG No. 32 Tahun 2025