Keamanan siber BPRS skala kecil sebaiknya dimulai dari empat hal yang murah dan realistis: kebijakan kata sandi yang jelas, autentikasi dua faktor untuk sistem penting, jadwal backup yang benar-benar dijalankan dan diuji, serta daftar kontak dan langkah darurat bila terjadi insiden. Serangan yang paling sering terjadi bukan yang rumit, melainkan phishing, kata sandi yang dipakai berulang, perangkat yang tidak diperbarui, dan data nasabah di Excel tanpa enkripsi. Tulisan ini membahas yang sering luput dan urutan langkah yang masuk akal.
BPRS sering menganggap dirinya bukan sasaran menarik bagi peretas. Alasannya masuk akal: aset kecil, nasabah terbatas, tidak setenar bank besar. Kenyataannya justru sebaliknya. Institusi kecil sering jadi sasaran empuk karena pertahanannya paling minim, bukan karena datanya paling berharga.
Serangan yang paling sering terjadi bukan yang rumit. Phishing lewat email atau WhatsApp yang menyamar sebagai atasan atau vendor. Password yang dipakai berulang di banyak akun. Laptop kantor yang tidak pernah di-update. Data nasabah yang tersimpan di file Excel tanpa enkripsi, bisa diakses siapa saja yang tahu di mana filenya.
Yang sering luput
Banyak BPRS punya firewall dan antivirus, tapi tidak punya rencana kalau insiden benar-benar terjadi. Siapa yang dihubungi pertama kali? Sistem mana yang diisolasi dulu? Bagaimana cara memberi tahu nasabah kalau datanya bocor? Tanpa jawaban yang sudah disiapkan sebelumnya, insiden kecil bisa berubah jadi krisis karena responsnya lambat dan tidak terkoordinasi.
Risiko dari pihak ketiga juga sering terlewat. Vendor yang mengelola sistem inti, penyedia layanan cloud, atau teknisi yang datang servis komputer, semuanya punya akses yang kalau disalahgunakan bisa berdampak besar. Perjanjian dengan vendor jarang mengatur secara jelas siapa yang bertanggung jawab kalau terjadi kebocoran dari sisi mereka.
Mulai dari yang realistis
BPRS skala kecil tidak perlu langsung membangun pusat operasi keamanan seperti bank besar. Yang lebih penting di awal: kebijakan password yang jelas, autentikasi dua faktor untuk akses sistem penting, jadwal backup yang benar-benar dijalankan dan diuji, serta daftar kontak dan langkah darurat kalau terjadi insiden.
POJK 34/2025 juga mendorong ini lewat area “keamanan informasi dan ketahanan siber” dalam rencana aksi TI. Kami pernah mendampingi sebuah BPRS membentuk unit keamanan siber dari nol, mulai dari kajian risiko, memo persetujuan direksi, struktur organisasi, sampai proyeksi anggaran dan persiapan uji penetrasi oleh pihak ketiga. Prosesnya bertahap dan disesuaikan dengan kemampuan lembaga masing-masing, jauh dari skala sumber daya bank besar.
Kalau lembaga Anda belum punya unit atau kebijakan keamanan siber formal, hubungi kami untuk mendiskusikan langkah awal yang realistis sesuai skala organisasi.
Program khusus BPRS: kami membantu menyusun rencana aksi POJK 34/2025 untuk lima area penyelenggaraan TI, lengkap dengan lembar pemantauan bulanan untuk direksi. Lihat program rencana aksi POJK 34/2025 dan unduh daftar periksanya.
