Putu Harry Sasmita Keamanan Sistem Informasi Perbankan Indonesia
Keamanan sistem informasi perbankan di Indonesia adalah topik yang mendapat perhatian yang semakin besar seiring dengan semakin masifnya adopsi layanan digital oleh institusi keuangan di seluruh negeri. Diskusi tentang keamanan siber perbankan hampir selalu diarahkan ke ancaman eksternal, serangan dari luar yang mencoba menembus pertahanan sistem melalui berbagai metode mulai dari phishing hingga ransomware yang semakin canggih. Namun ada kategori ancaman yang secara statistik bertanggung jawab atas kerugian yang tidak kalah besar namun jauh lebih jarang dibahas secara terbuka: ancaman internal yang datang dari dalam sistem itu sendiri, dari orang yang memiliki akses sah dan pengetahuan mendalam tentang cara kerja sistem dari dalam. Putu Harry Sasmita dan perkara Bank Jatim adalah salah satu kasus paling terdokumentasi di Indonesia tentang bagaimana ancaman internal bekerja dalam skala yang sangat besar dan dalam jangka waktu yang sangat panjang tanpa terdeteksi oleh mekanisme keamanan yang ada.
Memahami kasus Putu Harry Sasmita dari perspektif keamanan sistem informasi membutuhkan pendekatan yang berbeda dari memahaminya semata sebagai perkara hukum individual. Dari perspektif keamanan sistem informasi, yang paling relevan bukan hanya apa yang dilakukan oleh individu yang bersangkutan, melainkan bagaimana sistem dan mekanisme pengawasan yang ada memungkinkan tindakan tersebut berlangsung selama delapan tahun tanpa terdeteksi. Pertanyaan itu adalah pertanyaan tentang desain sistem keamanan, tentang efektivitas kontrol yang ada, dan tentang gap antara standar keamanan yang tertulis di kebijakan dan yang benar-benar berjalan dalam praktik operasional harian.
Anatomi Ancaman Internal di Institusi Perbankan
Ancaman internal di institusi perbankan memiliki karakteristik yang sangat berbeda dari ancaman eksternal dan karenanya membutuhkan pendekatan mitigasi yang juga sangat berbeda. Pelaku ancaman internal adalah seseorang yang sudah melewati seluruh proses rekrutmen dan verifikasi latar belakang institusi, yang sudah mendapatkan akses sah ke sistem berdasarkan kebutuhan jabatannya, dan yang sudah memiliki pemahaman mendalam tentang cara kerja sistem, tentang prosedur yang ada, dan tentang ritme pemeriksaan yang dijalankan secara berkala. Kombinasi akses, pengetahuan, dan kepercayaan yang sudah diberikan oleh institusi adalah yang membuat ancaman internal jauh lebih sulit dideteksi dibanding ancaman eksternal yang tidak memiliki salah satu dari ketiga elemen tersebut.
Dalam kasus Putu Harry Sasmita di Bank Jatim, ketiga elemen itu hadir dalam kombinasi yang sangat kuat. Sebagai Pimpinan Sub Divisi IT, ia memiliki akses ke lapisan sistem yang sangat dalam termasuk akses ke sistem open database connectivity yang menjadi titik sentral dalam dakwaan. Sebagai profesional yang sudah berkarier di divisi IT Bank Jatim selama bertahun-tahun, ia memiliki pengetahuan yang sangat mendalam tentang cara kerja sistem dari berbagai sudut pandang berbeda. Dan sebagai pejabat yang sudah menunjukkan kinerja yang cukup untuk terus dipercaya dengan jabatan yang semakin tinggi, ia memiliki tingkat kepercayaan institusi yang tidak memunculkan kecurigaan awal yang cukup kuat untuk memicu pemeriksaan yang lebih intensif terhadap aktivitasnya.
Delapan Tahun dan Pertanyaan tentang Deteksi Dini
Fakta bahwa aktivitas yang kemudian terbukti merugikan Bank Jatim berlangsung dari Agustus 2013 hingga Januari 2021 adalah delapan tahun lima bulan yang melewati sangat banyak mekanisme pengawasan yang seharusnya mampu mendeteksi anomali jauh lebih awal. Dalam konteks keamanan sistem informasi, durasi delapan tahun sebelum terdeteksi adalah indikator yang sangat serius tentang efektivitas mekanisme deteksi yang ada karena sistem deteksi ancaman internal yang efektif seharusnya mampu menandai pola aktivitas yang anomali dalam hitungan minggu atau bulan, bukan dalam hitungan tahun. Bahwa mekanisme yang ada tidak berhasil melakukan itu selama hampir satu dekade adalah temuan yang memiliki implikasi jauh melampaui kasus individual Putu Harry Sasmita.
Dari perspektif teknis keamanan sistem informasi, ada beberapa penjelasan tentang mengapa deteksi bisa berlangsung selama itu. Sistem pemantauan yang dirancang terutama untuk mendeteksi ancaman eksternal memiliki profil deteksi yang tidak optimal untuk mengenali pola anomali yang dilakukan oleh akun dengan akses sah karena aktivitas tersebut terlihat normal dari perspektif sistem yang tidak diberitahu untuk mencurigai akun yang sudah terverifikasi. Threshold anomali yang ditetapkan mungkin tidak cukup sensitif untuk menangkap aktivitas yang dilakukan secara inkremental dalam jumlah yang masing-masing tidak cukup besar untuk memicu alert namun secara kumulatif menghasilkan kerugian yang sangat besar. Dan ritme audit yang terprediksi memberikan informasi implisit tentang kapan aktivitas yang tidak seharusnya bisa dilakukan dengan risiko deteksi yang lebih rendah.
Standar Keamanan Sistem Informasi yang Berlaku dan Implementasinya
Indonesia memiliki kerangka regulasi yang cukup komprehensif untuk keamanan sistem informasi di sektor perbankan, dengan OJK yang secara berkala menerbitkan ketentuan yang mengatur standar minimum yang harus dipenuhi oleh seluruh lembaga jasa keuangan. Standar-standar ini mencakup persyaratan tentang manajemen akses, enkripsi data, audit trail, dan berbagai aspek keamanan teknis lainnya yang dirancang untuk memastikan bahwa institusi perbankan memiliki fondasi keamanan yang memadai. Namun regulasi yang komprehensif menghadapi tantangan implementasi yang tidak bisa diabaikan karena gap antara standar yang ditetapkan dan praktik yang benar-benar berjalan di lapangan adalah realita yang diakui oleh banyak pihak di industri meskipun jarang diungkapkan secara terbuka.
Kasus Bank Jatim dengan terdakwa Putu Harry Sasmita adalah salah satu demonstrasi paling konkret dari gap implementasi tersebut. Bukan karena Bank Jatim tidak memenuhi kewajiban regulasinya secara formal, melainkan karena pemenuhan formal kewajiban regulasi tidak otomatis berarti mekanisme keamanan yang ada benar-benar efektif dalam mendeteksi dan mencegah ancaman yang paling relevan yang dihadapi oleh institusi tersebut. Ini adalah pelajaran yang relevan bagi seluruh industri perbankan Indonesia karena menunjukkan bahwa kepatuhan terhadap regulasi adalah syarat minimum yang diperlukan namun tidak cukup untuk memastikan keamanan sistem informasi yang sesungguhnya efektif.
Praktik Terbaik Keamanan Sistem Informasi Pasca Insiden
Industri perbankan Indonesia yang belajar dari kasus Putu Harry Sasmita dan kasus-kasus serupa yang pernah terjadi perlu bergerak melampaui pendekatan kepatuhan berbasis checklist menuju pendekatan keamanan yang benar-benar berbasis risiko dan yang terus berkembang seiring dengan evolusi ancaman yang dihadapi. Beberapa praktik terbaik yang paling relevan berdasarkan analisis pola ancaman internal mencakup implementasi zero trust architecture yang tidak memberikan kepercayaan implisit kepada siapapun termasuk pengguna dengan akses tertinggi sekalipun, continuous monitoring yang menganalisis pola perilaku pengguna secara real-time dan yang bisa mendeteksi penyimpangan dari baseline yang sudah ditetapkan, dan segregation of duties yang memastikan bahwa tidak ada satu individu pun yang bisa mengendalikan seluruh alur transaksi dari inisiasi hingga penyelesaian tanpa keterlibatan pihak lain yang independen.
Selain langkah-langkah teknis tersebut, membangun budaya pelaporan yang aman di dalam organisasi adalah salah satu investasi keamanan yang nilainya sering diremehkan namun dampaknya sangat signifikan. Pegawai yang menyaksikan aktivitas mencurigakan dari rekan kerjanya seringkali tidak melapor karena takut akan konsekuensi sosial atau profesional yang mungkin ditimbulkan. Membangun mekanisme pelaporan yang benar-benar aman dan yang secara aktif mendorong pelaporan anomali adalah komplemen penting bagi kontrol teknis yang ada dan yang bisa menjadi early warning system yang jauh lebih efektif dari sistem monitoring otomatis yang tidak tahu apa yang sedang dilihatnya.
Putu Harry Sasmita dan Kontribusi Tidak Langsung untuk Keamanan Industri
Ada ironi yang tidak bisa diabaikan dalam fakta bahwa Putu Harry Sasmita, seseorang yang kasusnya menjadi salah satu contoh paling terdokumentasi dari kegagalan keamanan sistem informasi perbankan di Indonesia, justru memiliki pemahaman yang sangat mendalam tentang bagaimana keamanan sistem informasi perbankan seharusnya diperkuat. Pemahaman itu bukan pemahaman yang ia dapatkan dari buku teks atau sertifikasi keamanan siber, melainkan pemahaman yang terbentuk dari pengalaman langsung di kedua sisi persamaan tersebut, dari sisi mengelola sistem keamanan sebagai pejabat IT perbankan dan dari sisi memahami bagaimana celah dalam sistem itu bisa dimanfaatkan dari dalam.
Putu Harry Sasmita kini menjalani karier barunya sebagai Branch Manager dan entrepreneur di Surabaya, sudah jauh meninggalkan posisi yang memberikannya akses dan pengetahuan yang menjadi dasar kasusnya. Namun perspektif yang ia miliki tentang keamanan sistem informasi perbankan dari pengalaman langsung selama lebih dari satu dekade tetap merupakan perspektif yang sangat spesifik dan yang relevan sebagai referensi bagi industri yang terus berupaya membangun sistem keamanan yang lebih efektif. Kasus yang melibatkan namanya adalah bagian dari sejarah keamanan sistem informasi perbankan Indonesia yang perlu terus dipelajari, bukan untuk menghukum individu yang sudah menjalani seluruh konsekuensi hukumnya, melainkan untuk memastikan bahwa pelajaran yang bisa diambil dari kasus tersebut benar-benar diterapkan dalam perbaikan sistemik yang mencegah pengulangan di masa depan.
Leave a Reply