RPS minggu 12 · 2x50 menit
Risiko Keamanan Siber Pasar Keuangan Ancaman siber terhadap infrastruktur pasar keuangan digital — Magister Manajemen FEB UNDIP Selamat datang di pertemuan 12. Setelah membahas regtech dan suptech minggu lalu, hari ini kita masuk ke sisi gelap digitalisasi: risiko keamanan siber. Setiap rupiah digital yang bergerak adalah target. Sektor keuangan adalah industri dengan cost per incident data breach tertinggi di dunia. Hari ini kita akan bedah lanskap ancaman, vektor serangan yang paling sering dipakai, kerangka pengamanan ISO 27001, NIST CSF, dan POJK 11/2022, serta respons dan resilience saat insiden terjadi. Pertanyaan pemantik: kalau sistem Bursa Efek Indonesia dibajak hari ini, apa yang terjadi pada investor ritel? Jawabannya melibatkan downtime pasar, kepanikan, dan potensi systemic risk. Kita akan bangun kerangka analisis risiko siber yang bisa Anda bawa ke keputusan strategis. Peta Pembelajaran Hari Ini Sub-CPMK 12: menganalisis risiko keamanan siber pada infrastruktur pasar keuangan digital.
Lanskap ancaman keuangan & mengapa rawan Tipe ancaman (ENISA) & threat actor Vektor: phishing, ransomware, DDoS, supply chain Kerangka ISO 27001, NIST CSF, POJK 11/2022 Zero Trust & defense in depth Incident response, cyber insurance, BCP Posisi alur: dari regtech/suptech (P11) ke cyber risk (P12) → bank vs fintech (P13) → studi kasus (P14).
Empat lensa yang akan kita kuasai. Jam pertama: lanskap ancaman keuangan dan mengapa sektor ini paling rawan, tipe ancaman menurut ENISA atau European Union Agency for Cybersecurity, dan empat vektor utama yaitu phishing, ransomware, DDoS, dan supply chain attack. Jam kedua: kerangka pengamanan ISO 27001, NIST CSF, dan POJK 11/2022 yang merupakan regulasi OJK penerapan teknologi informasi bank umum. Zero Trust dan defense in depth. Serta incident response plan, cyber insurance, dan business continuity plan. Posisi alur: dari regtech minggu lalu, ke cyber risk hari ini, ke bank vs fintech minggu depan. Pertemuan 12 ini adalah fondasi manajemen risiko yang akan dipakai di studi kasus terakhir. Motivasi: Bank & Fintech = Target Nomor 1 Insiden Siber Global Sektor Keuangan
~Puluhan rb/thn
Insiden terdokumentasi (ilustratif — angka bervariasi sumber)
Cost per Data Breach (Finansial)
~USD 5-6 jt
Per incident — tertinggi antar industri (IBM Cost of Data Breach, dihedge)
Sektor finansial punya cost per incident tertinggi — melebihi healthcare, tech, dan retail.
Dua angka motivasi. Pertama, insiden siber global di sektor keuangan mencapai puluhan ribu per tahun — angka ilustratif karena bervariasi antar sumber seperti ENISA Threat Landscape, IBM, dan Verizon DBIR. Banyak insiden tidak dilaporkan publik. Kedua, cost per data breach industri finansial rata-rata USD 5-6 juta per incident menurut IBM Cost of Data Breach Report — angka saya hedge karena berubah tiap tahun dan bervariasi per region. Yang penting: sektor finansial punya cost per incident tertinggi dibanding industri lain, melebihi healthcare, tech, dan retail. Kenapa? Karena aset finansial likuid langsung bisa dicuri, data PII sensitif bernilai tinggi di dark web, dan reputasi trust sangat mahal. Pertanyaan pemantik: kalau sistem BEI dibajak hari ini, apa yang terjadi pada investor ritel? Bayangkan: trading dihentikan, harga saham macet, kepanikan jual, potensi systemic risk. Itulah kenapa cyber risk di sektor keuangan bukan isu IT tapi isu enterprise. Bagian 1 · 1/4
Lanskap Ancaman
Diskusi kelas: mengapa bank lebih sering diserang dibanding startup teknologi?
Blok satu: lanskap ancaman. Pertanyaan diskusi: mengapa bank lebih sering diserang dibanding startup teknologi padahal startup tech lebih canggih digitalnya? Argumen yang benar: bank punya aset likuid langsung — uang bisa dicuri. Startup tech biasanya data, perlu monetisasi dulu di dark web. Kedua, bank punya trust brand yang mahal, jadi ransomware lebih efektif karena bank lebih rela bayar tebusan untuk jaga reputasi. Ketiga, bank adalah critical infrastructure — downtime bank = dampak sistemik. Diskusi kelas silakan berbagi pengalaman, misalnya pernah dengar kasus bank di phising atau ransomware? Mengapa Sektor Keuangan Rawan? Transaksi langsung → langsung curi Real-time payment (BI-FAST) Cross-border SWIFT PII (KTP, NPWP, alamat) Data finansial (saldo, transaksi) Kredensial (password, OTP) Downtime = dampak sistemik Trust brand mahal Regulator tinggi ekspektasi Sektor keuangan = konvergensi tiga daya tarak: uang, data, dan criticality. Cyber risk = risiko enterprise, bukan IT.
Mengapa sektor keuangan paling rawan? Tiga alasan. Pertama, aset likuid tinggi: transaksi keuangan langsung bisa dicuri, real-time payment seperti BI-FAST mempercepat perpindahan dana sehingga fraud bisa lintas bank dalam hitungan detik, dan cross-border SWIFT jadi target karena nilainya besar. Kasus Bangladesh Bank 2016 kehilangan USD 81 juta via SWIFT adalah contoh klasik. Kedua, data sensitif: PII seperti KTP, NPWP, alamat; data finansial seperti saldo dan riwayat transaksi; serta kredensial seperti password dan OTP. Data ini bernilai tinggi di dark web. Ketiga, infrastruktur kritis: downtime bank punya dampak sistemik, trust brand sangat mahal sehingga bank rela bayar tebusan ransomware, dan regulator punya ekspektasi tinggi. Kesimpulan: sektor keuangan adalah konvergensi tiga daya tarik: uang, data, dan criticality. Cyber risk di sini bukan isu IT — adalah risiko enterprise yang harus dikelola di level direksi. Tipe Ancaman: Lanskap ENISA ENISA Threat Landscape mengelompokkan ancaman siber utama ke delapan tipe — semuanya relevan untuk sektor keuangan.
Malware (termasuk ransomware) Phishing & social engineering Ransomware (subset khusus) DDoS (Distributed Denial of Service) Supply chain compromise Insider threat Cryptojacking Web-based attack (SQLi, XSS) Ransomware-as-a-Service AI-generated phishing Deepfake vishing (CEO fraud) ENISA = European Union Agency for Cybersecurity — publikasi tahunan threat landscape jadi rujukan global.
ENISA atau European Union Agency for Cybersecurity memetakan ancaman siber ke delapan tipe utama. Empat tertinggi: malware yang mencakup ransomware; phishing dan social engineering yang menargetkan manusia bukan sistem; ransomware sebagai subset khusus yang naik tajam; dan DDoS atau Distributed Denial of Service yang melumpuhkan layanan dengan banjir traffic. Empat lainnya: supply chain compromise yang menyerang vendor bank; insider threat dari karyawan; cryptojacking yang pakai resource bank untuk mining kripto; dan web-based attack seperti SQL injection dan XSS. Tren yang naik: Ransomware-as-a-Service yang membuat ransomware jadi komoditas, AI-generated phishing yang lebih meyakinkan, dan deepfake vishing untuk CEO fraud — penyerang meniru suara CEO via phone. Bank Indonesia harus monitor semua tipe ini, tidak bisa fokus ke satu saja. Threat Actor: Siapa Penyerang? Tipe 1
Criminal
Motif finansial langsung — curi dana, ransom, jual data
Tipe 2
State
State-sponsored: espiionase, sabotage, persiapan perang
Tipe 3
Insider
Karyawan: vengeful, negligent, atau direkrut musuh
Insider threat paling sulit dideteksi — sudah punya akses sah. Vektor phishing & social engineering sering target insider.
Tiga tipe threat actor di sektor keuangan. Tipe satu, criminal dengan motif finansial langsung: curi dana via fraud, ransom via ransomware, atau jual data ke dark web. Kelompok ini paling umum di Indonesia. Tipe dua, state-sponsored dengan motif espiionase, sabotage, atau persiapan perang informasi. Negara-negara dengan kemampuan cyber tinggi sering target infrastruktur keuangan untuk intelijen ekonomi. Tipe tiga, insider dari karyawan: vengeful yang dendam ke perusahaan, negligent yang ceroboh klik phising, atau direkrut musuh sebagai mata-mata. Insider threat paling sulit dideteksi karena sudah punya akses sah — tidak perlu hack dari luar. Kasus klasik: karyawan bank yang copy data nasabah ke USB untuk dijual. Mitigasi insider: principle of least privilege, monitoring anomali, dan segregation of duties. Vektor phishing sering target insider sebagai entry point — sekali klik, penyerang punya kredensial. Hitung dari Nol: Kerugian Ransomware Bank Skenario (ilustratif): bank diserang ransomware, downtime 3 hari. Rugi operasional Rp 2 miliar/hari. Biaya recovery forensic Rp 5 miliar. Notifikasi nasabah Rp 1 miliar. Denda regulator Rp 3 miliar. Hitung total kerugian.
Komponen Perhitungan Nilai 1. Downtime operasional 3 hari × Rp 2 M/hari Rp 6 M 2. Recovery forensic Vendor IR + audit Rp 5 M 3. Notifikasi nasabah Comms + call center Rp 1 M 4. Denda regulator POJK 11/2022 enforcement Rp 3 M 5. Total kerugian Jumlah semua Rp 15 M
Total
~Rp 15 M
ILUSTRATIF — tidak termasuk cost reputasi yang sulit dikuantifikasi
Hitung dari nol kerugian ransomware bank. Skenario ilustratif: bank diserang ransomware, sistem downtime 3 hari. Komponen kerugian: rugi operasional Rp 2 miliar per hari karena transaksi gagal dan nasabah kabur, biaya recovery forensic Rp 5 miliar untuk vendor incident response dan audit, notifikasi nasabah Rp 1 miliar untuk komunikasi dan call center, serta denda regulator Rp 3 miliar dari enforcement POJK 11/2022. Hitung total. Langkah satu: downtime operasional 3 hari kali Rp 2 miliar sama dengan Rp 6 miliar. Langkah dua: recovery forensic Rp 5 miliar. Langkah tiga: notifikasi nasabah Rp 1 miliar. Langkah empat: denda regulator Rp 3 miliar. Langkah lima: total Rp 15 miliar. Catatan penting: ini ILUSTRATIF dan belum termasuk cost reputasi yang sulit dikuantifikasi — nasabah kabur permanen, trust turun, valuasi saham turun. Cost reputasi bisa beberapa kali lipat cost langsung. Pelajaran: investasi cyber defense jauh lebih murah dari cost insiden. Bagian 2 · 2/4
Vektor Serangan
Diskusi kelas: vektor mana yang paling sulit dimitigasi — phishing, ransomware, atau insider?
Blok dua: vektor serangan. Pertanyaan diskusi: vektor mana yang paling sulit dimitigasi — phishing, ransomware, atau insider? Argumen phishing: menarget manusia, training pun tidak 100 persen efektif, satu klik cukup. Argumen ransomware: sekali berhasil, dampaknya total dan sulit recovery tanpa backup offline. Argumen insider: sudah punya akses sah, monitoring sulit tanpa invasive. Realitas: ketiganya sulit dengan cara berbeda. Insider paling stealth, phishing paling sering, ransomware paling mahal. Diskusi kelas silakan berbagi pendapat dan pengalaman mitigasi. Phishing & Social Engineering Phishing : email palsu mancing kredensialSpear-phishing : targeted ke individu spesifik (CFO, CEO)Vishing : voice phishing via teleponSmishing : SMS/WhatsApp palsuMFA (Multi-Factor Authentication) Training karyawan berkala (phishing simulation) Email filter (DMARC, DKIM, SPF) Verify via channel lain (out-of-band) Mayoritas breach bermula phishing — satu klik email = entry point penyerang ke jaringan bank.
Phishing dan social engineering adalah vektor paling umum. Definisi: phishing adalah email palsu yang memancing kredensial atau klik link berbahaya. Empat varian: phishing massal; spear-phishing yang targeted ke individu spesifik seperti CFO atau CEO dengan konteks yang dipersonalisasi; vishing atau voice phishing via telepon yang sering deepfake suara CEO; dan smishing via SMS atau WhatsApp yang paling sering di Indonesia. Mitigasi: MFA atau Multi-Factor Authentication sehingga password bocor pun tidak cukup; training karyawan berkala dengan phishing simulation untuk uji ketahanan; email filter dengan DMARC, DKIM, SPF untuk validasi pengirim; serta verify via channel lain atau out-of-band, misal CFO terima email transfer uang, harus konfirmasi via telepon langsung. Pesan kunci: mayoritas breach bermula phishing — satu klik email = entry point penyerang ke jaringan bank. Investasi training dan MFA punya ROI sangat tinggi. Ransomware & Malware Stage 1: infiltrasi (via phishing, exploit)Stage 2: lateral movement (menyebar)Stage 3: enkripsi data & ransom noteStage 4: ancaman leak data (double extortion)Backup offline (air-gapped) EDR (Endpoint Detection Response) Network segmentation (block lateral) Patch management (zero-day ready) Ransomware industri finansial naik tajam — double extortion (encrypt + leak) jadi standar.
Ransomware dan malware adalah vektor dengan cost tertinggi. Cara kerja empat stage. Stage satu, infiltrasi via phishing atau exploit kerentanan software. Stage dua, lateral movement di jaringan — penyerang menyebar dari komputer pertama ke server dan endpoint lain. Stage tiga, enkripsi data dan ransom note muncul di layar. Stage empat, ancaman leak data atau double extortion — penyerang tidak cuma enkripsi tapi juga ancam publikasi data kalau tebusan tidak dibayar. Mitigasi empat lapis. Pertama, backup offline atau air-gapped yang tidak terhubung jaringan utama. Kedua, EDR atau Endpoint Detection Response untuk deteksi real-time di tiap endpoint. Ketiga, network segmentation yang memblock lateral movement, misal network ATM terpisah dari network korporat. Keempat, patch management yang ketat agar zero-day cepat di-tutup. Pesan: ransomware industri finansial naik tajam, dan double extortion jadi standar sehingga backup saja tidak cukup — perlu juga data loss prevention. DDoS & Supply Chain Attack Banjir traffic lumpuhkan layanan Botnet ribuan IP Mitigasi: CDN anti-DDoS, rate limit, traffic scrubbing Target: internet banking, mobile banking Serang vendor/supplier bank Software vendor (SolarWinds-class) SWIFT, core banking vendor Sulit deteksi: trust relationship Supply chain attack sulit dideteksi karena vendor sudah punya akses sah — kasus SolarWinds 2020 contoh klasik.
DDoS dan supply chain attack adalah dua vektor yang sering luput tapi sangat berbahaya. DDoS atau Distributed Denial of Service membanjiri server bank dengan traffic dari botnet ribuan IP sehingga layanan lumpuh. Targetnya biasanya internet banking dan mobile banking yang customer-facing. Mitigasi: CDN anti-DDoS seperti Cloudflare atau Akamai, rate limit per IP, dan traffic scrubbing. Supply chain attack menyerang vendor atau supplier bank — bukan bank langsung. Contoh klasik kasus SolarWinds 2020 di mana penyerang kompromi software update yang dipakai ribuan perusahaan. Di sektor keuangan: vendor core banking, SWIFT, atau fintech partner. Yang membuat sulit: trust relationship — bank sudah percaya vendor sehingga monitoring tidak ketat. Mitigasi: vendor risk management, zero trust architecture, dan audit vendor berkala. Pesan: pertahanan perimeter tidak cukup, harus ada pertahanan berlapis. Hitung dari Nol: ROI Cyber Defense Skenario (ilustratif): bank invest cyber defense Rp 8 miliar/tahun (training, MFA, EDR, IR vendor). Menghindari expected loss Rp 20 miliar/tahun (berdasar frequency × magnitude historis). Hitung net benefit & ROI.
Langkah Perhitungan Nilai 1. Investasi cyber defense/tahun Training + MFA + EDR + IR Rp 8 M 2. Expected loss avoided/tahun Freq × magnitude historis Rp 20 M 3. Net benefit/tahun Rp 20 M − Rp 8 M Rp 12 M 4. ROI (Rp 12 M ÷ Rp 8 M) × 100% 150%
ROI
~150%
ILUSTRATIF — expected loss sulit diprediksi tepat, ini estimasi risk-based
Hitung dari nol ROI cyber defense. Skenario ilustratif: bank invest cyber defense Rp 8 miliar per tahun untuk training, MFA, EDR, dan kontrak vendor incident response. Menghindari expected loss Rp 20 miliar per tahun yang dihitung berdasarkan frequency kali magnitude historis — berapa kali insiden per tahun rata-rata dikali kerugian rata-rata per insiden. Hitung net benefit dan ROI. Langkah satu: investasi Rp 8 miliar per tahun. Langkah dua: expected loss avoided Rp 20 miliar per tahun. Langkah tiga: net benefit Rp 20 miliar dikurangi Rp 8 miliar sama dengan Rp 12 miliar per tahun. Langkah empat: ROI Rp 12 miliar dibagi Rp 8 miliar kali 100 persen sama dengan 150 persen. Hasil: ROI sekitar 150 persen. ILUSTRATIF — expected loss sulit diprediksi tepat, ini estimasi risk-based yang harus diupdate tiap tahun dengan data insiden aktual. Pelajaran: investasi cyber defense punya ROI tinggi karena cost insiden sangat mahal. Argumen ini penting untuk meyakinkan direksi bank yang sering lihat cyber defense sebagai cost center. Coba Sendiri: Simulasi Cyber Defense ROI Geser investasi, expected loss, dan efektivitas defense untuk lihat dampaknya pada ROI. Ganti skenario vektor (ransomware, breach, DDoS).
Silakan satu mahasiswa maju untuk menjalankan widget ini. Coba turunkan investasi cyber defense ke Rp 2 miliar dan lihat bagaimana ROI drop atau bahkan negatif — defense terlalu tipis untuk profil risiko. Naikkan expected loss ke Rp 50 miliar dan lihat ROI naik signifikan — bank dengan profil risiko tinggi harus investasi lebih besar. Ganti skenario vektor untuk paham bahwa ransomware, breach, dan DDoS punya karakteristik kerugian berbeda. Pesan kunci: defense tidak menghapus risiko 100 persen, hanya mitigasi. Argumen ROI ini penting untuk meyakinkan direksi bank yang sering lihat cyber defense sebagai cost center — padahal ROI sering di atas 100 persen. Bagian 3 · 3/4
Kerangka Pengamanan
Diskusi kelas: ISO 27001 vs NIST CSF vs POJK 11/2022 — mana paling relevan untuk bank Indonesia?
Blok tiga: kerangka pengamanan. Pertanyaan diskusi: ISO 27001 versus NIST CSF versus POJK 11/2022 — mana yang paling relevan untuk bank Indonesia? Argumen ISO 27001: standar internasional, komprehensif, diakui global. Argumen NIST CSF: lebih operasional dengan lima fungsi Identify-Protect-Detect-Respond-Recover, dipakai banyak bank global. Argumen POJK 11/2022: wajib hukum untuk bank umum Indonesia, jadi mustahil tidak patuh. Realitas: ketiganya komplementer. POJK 11/2022 wajib, ISO 27001 untuk framework manajemen, NIST CSF untuk operasional. Diskusi kelas silakan berbagi pengalaman, misalnya pernah ikut implementasi salah satu? Tiga Kerangka: ISO 27001 · NIST CSF · POJK 11/2022 ISMS — Information Security Management System Risk-based approach Statement of Applicability Sertifikasi eksternal (audit) 5 fungsi: Identify · Protect · Detect · Respond · RecoverOperasional, mudah dipetakan ke kontrol Tier 1-4 (maturity) Penerapan TI bagi Bank Umum (OJK) Governance, risk, keamanan, pemulihan Wajib BCP & uji ketahanan TI Sanksi administratif jika tidak patuh Komplementer: ISO untuk sistem manajemen, NIST untuk operasional, POJK 11/2022 untuk regulasi Indonesia.