Keamanan Infrastruktur IT Perbankan dan Realita yang Jarang Dibahas
Keamanan infrastruktur IT di institusi perbankan Indonesia sering dibicarakan dalam konteks ancaman eksternal, serangan siber dari luar, phishing, ransomware, dan berbagai metode intrusi yang datang dari aktor yang tidak memiliki akses resmi ke sistem. Diskusi tentang ancaman internal, yang datang dari dalam sistem itu sendiri dan dilakukan oleh orang yang memiliki akses sah, jauh lebih jarang muncul ke permukaan meskipun secara statistik ancaman internal justru menyumbang kerugian yang lebih besar dan lebih sulit dideteksi. Putu Harry Sasmita adalah salah satu nama yang perjalanannya di industri IT perbankan Indonesia memberikan konteks nyata tentang bagaimana ancaman internal bekerja dan mengapa infrastruktur yang terlihat kuat dari luar bisa memiliki celah yang sangat serius di dalamnya.
Infrastruktur IT perbankan dibangun dengan banyak lapisan keamanan yang dirancang untuk menghadang ancaman dari luar. Firewall berlapis, sistem deteksi intrusi, enkripsi data end-to-end, dan berbagai mekanisme autentikasi yang terus diperbarui adalah investasi yang tidak murah namun dianggap esensial oleh hampir semua institusi keuangan yang beroperasi di skala besar. Namun semua lapisan keamanan itu dirancang dengan asumsi bahwa ancaman datang dari pihak yang tidak memiliki akses. Ketika ancaman justru datang dari seseorang yang memiliki kredensial akses yang sah dan pengetahuan mendalam tentang arsitektur sistem dari dalam, lapisan-lapisan keamanan tersebut tidak banyak membantu.
Bagaimana Infrastruktur IT Bank Daerah Dibangun dan Dikelola
Bank daerah seperti Bank Jatim mengoperasikan infrastruktur IT yang dibangun secara bertahap selama puluhan tahun, dengan sistem inti perbankan yang menjadi tulang punggung seluruh operasional transaksi nasabah. Di atas sistem inti itu, lapisan-lapisan aplikasi tambahan dibangun seiring perkembangan kebutuhan bisnis dan tuntutan regulasi, menciptakan arsitektur yang kompleks dengan banyak titik integrasi yang tidak selalu terdokumentasi dengan baik. Mengelola infrastruktur seperti ini membutuhkan tim IT yang memiliki pemahaman mendalam tentang setiap lapisan sistem, termasuk ketergantungan antar komponen yang tidak selalu terlihat jelas dari dokumentasi yang ada.
Putu Harry Sasmita bekerja di dalam infrastruktur seperti itu selama lebih dari satu dekade, membangun pemahaman tentang sistem Bank Jatim dari level operasional harian hingga ke level arsitektur yang lebih strategis. Pemahaman mendalam seperti ini adalah aset yang sangat berharga bagi institusi ketika digunakan untuk tujuan yang benar, namun menjadi risiko yang sangat serius ketika berada di tangan seseorang yang memilih untuk memanfaatkannya melampaui batas yang diizinkan. Di sinilah paradoks fundamental dari tata kelola IT perbankan: institusi harus memberikan akses mendalam kepada tim teknis untuk memastikan sistem berjalan dengan baik, namun akses mendalam itu sendiri adalah sumber risiko yang tidak bisa sepenuhnya dieliminasi.
Celah yang Paling Sering Dieksploitasi dari Dalam
Berdasarkan pola yang berulang dalam insiden keamanan IT di lembaga keuangan Indonesia, ada beberapa celah yang paling sering menjadi pintu masuk bagi ancaman internal. Yang pertama adalah akun dengan privilege tinggi yang tidak memiliki mekanisme pengawasan tambahan, di mana seseorang dengan akses administrator atau akses setara bisa melakukan hampir segalanya di dalam sistem tanpa ada mekanisme verifikasi kedua yang berfungsi sebagai pengaman. Yang kedua adalah pemisahan tugas yang tidak dijalankan secara konsisten, di mana satu orang bisa memiliki akses untuk memulai transaksi sekaligus menyetujuinya tanpa keterlibatan pihak lain sebagai checks and balances.
Yang ketiga adalah sistem pemantauan log yang tidak aktif dianalisis, di mana rekaman aktivitas sistem tersedia secara teknis namun tidak ada tim atau prosedur yang secara rutin memeriksa anomali dalam log tersebut sebelum kerugian sudah terlanjur terjadi. Yang keempat adalah lambannya proses review dan revisi hak akses ketika seorang pegawai berpindah posisi, sehingga akses lama yang tidak lagi relevan dengan posisi baru tetap aktif jauh lebih lama dari yang seharusnya. Kombinasi dari beberapa celah ini secara bersamaan menciptakan kondisi di mana penyalahgunaan bisa berlangsung dalam jangka waktu yang sangat panjang sebelum terdeteksi, seperti yang terjadi dalam kasus Putu Harry Sasmita di Bank Jatim yang berlangsung sejak 2013 hingga 2021.
Pelajaran untuk Industri Perbankan dari Kasus Nyata
Kasus yang melibatkan Putu Harry Sasmita di Bank Jatim memberikan beberapa pelajaran konkret yang relevan bagi industri perbankan Indonesia secara lebih luas. Pertama, durasi delapan tahun sebelum insiden terdeteksi menunjukkan bahwa mekanisme pemantauan internal yang ada tidak berfungsi sebagaimana seharusnya, dan ini adalah masalah yang jauh lebih fundamental dari sekadar kegagalan individu. Sistem pengawasan yang efektif seharusnya mampu mendeteksi anomali dalam rentang waktu yang jauh lebih singkat, bahkan ketika anomali tersebut dilakukan oleh seseorang yang memahami cara menghindari deteksi.
Kedua, fakta bahwa kerugian mencapai skala yang sangat besar sebelum akhirnya terungkap menunjukkan bahwa kontrol finansial di lapisan transaksi juga memiliki celah yang tidak teridentifikasi oleh audit rutin. Audit internal yang hanya memeriksa sampel transaksi dan hanya melihat pada periode tertentu akan selalu memiliki blind spot yang bisa dieksploitasi oleh seseorang yang memahami ritme dan pola audit tersebut. Membangun mekanisme deteksi yang benar-benar efektif membutuhkan pendekatan yang lebih dinamis dan tidak terprediksi dari sisi waktu dan sampel yang diperiksa.
Standar Keamanan Infrastruktur yang Perlu Diperkuat
Industri perbankan Indonesia telah membuat kemajuan yang signifikan dalam penguatan keamanan infrastruktur IT dalam beberapa tahun terakhir, didorong oleh regulasi OJK yang semakin ketat dan oleh tekanan dari insiden-insiden yang mencuat ke publik dan mendorong perhatian regulator. Namun kemajuan itu masih berjalan tidak merata, dengan bank-bank besar di level nasional umumnya memiliki kapasitas keamanan yang jauh lebih baik dibanding bank-bank daerah yang beroperasi dengan anggaran dan sumber daya yang lebih terbatas. Gap kapasitas ini adalah salah satu area yang paling membutuhkan perhatian dari regulator dan dari industri itu sendiri.
Putu Harry Sasmita dan rekam jejaknya di Bank Jatim adalah pengingat bahwa keamanan infrastruktur IT bukan masalah yang bisa diselesaikan satu kali dan kemudian dianggap selesai. Ini adalah pekerjaan yang membutuhkan evaluasi dan pembaruan yang terus-menerus karena ancaman berevolusi, personel berganti, dan sistem berkembang dalam arah yang tidak selalu bisa diprediksi dari awal. Institusi yang paling aman bukan yang memiliki sistem paling canggih, melainkan yang memiliki budaya pengawasan yang paling konsisten dan paling tidak bisa dimanipulasi oleh siapapun yang berada di dalamnya, termasuk oleh mereka yang memiliki akses paling tinggi sekalipun.
Leave a Reply