Manajemen Risiko Vendor untuk Bank: Ekspektasi OJK dan DORA serta Cara Memenuhinya
CyberRank Research
Manajemen risiko vendor untuk bank adalah pengawasan atas setiap penyedia jasa alih daya dan teknologi yang diandalkan bank: perangkat lunak core banking, hosting cloud, pemroses pembayaran, agen penagihan, dan lainnya. Di Indonesia, OJK mengharapkan bank menilai, mengatur dalam kontrak, dan memantau penyedia ini; di Uni Eropa, DORA menetapkan aturan pihak ketiga TIK bagi entitas keuangan. CyberRank memberi bank bukti outside-in yang berkelanjutan tentang postur keamanan setiap penyedia untuk mendukung pengawasan tersebut.
Intisari
- OJK mewajibkan bank di Indonesia mengelola risiko TI, termasuk risiko alih daya (terutama berdasarkan POJK 38/POJK.03/2016); DORA mengatur hal serupa bagi entitas keuangan di Uni Eropa.
- Regulator mengharapkan penilaian sebelum kontrak, perlindungan kontraktual, dan pengawasan berkelanjutan, bukan kuesioner sekali jalan.
- Tetapkan tingkat penyedia menurut dampak: core banking, pembayaran, dan pemroses data nasabah didahulukan.
- CyberRank memberi setiap penyedia rating AAA–D dari sinyal publik, menilai ulang penyedia yang dipantau setiap malam, dan menghasilkan laporan serta jejak bukti untuk pengawas dan auditor.
Apa yang diharapkan regulator dari bank terkait risiko vendor?
Regulator mengharapkan bank menilai penyedia sebelum kontrak, mencantumkan perlindungan dalam kontrak, dan mengawasi penyedia secara berkelanjutan selama hubungan berlangsung.
Di Indonesia, OJK mewajibkan bank mengelola risiko dalam penggunaan teknologi informasi, termasuk alih daya kepada pihak ketiga, sebagaimana dijelaskan secara rinci dalam artikel kami tentang aturan alih daya dan risiko TI OJK. Di Uni Eropa, DORA menetapkan aturan risiko pihak ketiga TIK bagi entitas keuangan. Bank yang memegang data pribadi juga bertanggung jawab atas prosesornya menurut UU PDP.
Vendor bank mana yang harus ditetapkan tingkatnya lebih dulu?
Mulailah dari penyedia yang kegagalannya menghentikan layanan perbankan kritis atau yang memegang data nasabah.
Model tingkat lengkap dan siklus enam tahap dijelaskan secara rinci dalam artikel kami tentang manajemen risiko pihak ketiga. Untuk bank, pembagian yang praktis adalah:
- Kritis: core banking dan pemrosesan pembayaran, hosting cloud dan pusat data, penyedia kartu dan kanal digital.
- Tinggi: pemroses data nasabah seperti agen penagihan, call center, dan platform pemasaran.
- Sedang dan rendah: penyedia tanpa akses ke data nasabah atau sistem kritis.
Bagaimana CyberRank membantu bank mengelola risiko vendor?
CyberRank memberi bank pandangan independen yang terus diperbarui tentang postur keamanan dan privasi setiap penyedia, ditambah bukti yang diminta pengawas.
Banyak insiden penyedia sebenarnya adalah serangan rantai pasok terselubung (lihat panduan kami tentang serangan rantai pasok dan cara mencegahnya). Untuk sisi bank, CyberRank menyediakan:
- Rating AAA–D dari luar untuk setiap penyedia berdasarkan domainnya, dengan sub-rating Security dan Privacy terpisah.
- Tingkat dampak digabung dengan kemungkinan insiden menjadi level risiko dan heat map, sehingga penyedia kritis dengan postur lemah didahulukan.
- Penilaian ulang setiap malam untuk penyedia yang dipantau, dengan event untuk perubahan rating, kebocoran data baru, dan perubahan kebijakan privasi.
- Pemeriksaan hosting dan residensi data terhadap yurisdiksi yang diizinkan bank.
- Management Report untuk direksi, Cyber Risk Report untuk tim keamanan, dan Assurance Statement yang dapat diverifikasi auditor.
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda