Blog

Keamanan Siber DepositoBPR: 6 Pertahanan di Balik Layar yang Menjaga Dana Nasabah

ditulis oleh

Eko Purnomo

25 Agu 2026

Sepanjang 2025, BSSN mencatat 5,5 miliar serangan siber menargetkan Indonesia — naik 714% dibandingkan rata-rata lima tahun sebelumnya. Sektor keuangan menjadi salah satu target utama. OJK melaporkan kerugian akibat penipuan digital melampaui Rp2,6 triliun hanya sampai Mei 2025. Dan yang lebih mengkhawatirkan, 60% insiden keamanan di sektor keuangan melibatkan faktor manusia yaitu kelalaian karyawan, manipulasi sosial, atau kesalahan prosedur.

Bagi platform seperti DepositoBPR by Komunal yang mengelola data pribadi dan transaksi keuangan ratusan ribu nasabah, angka-angka ini bukan sekadar statistik. Setiap KTP yang diunggah, setiap nomor rekening yang dimasukkan, setiap tanda tangan digital yang dibubuhkan adalah amanah yang harus dijaga dengan sistem pertahanan berlapis.

Artikel ini membuka tirai di balik layar yang menjelaskan enam pilar keamanan siber yang menjadi standar perlindungan bagi platform keuangan digital, dan mengapa masing-masing penting bagi keamanan dana dan data nasabah.

Sekilas: 6 Pilar Keamanan Siber

Sebelum masuk ke penjelasan detail, berikut ringkasan enam pilar keamanan yang akan dibahas:

No	Pilar Keamanan	Fungsi Utama	Analogi Sederhana
1	Penetration Testing	Menguji ketahanan sistem dengan mensimulasikan serangan nyata	Menyewa "pencuri profesional" untuk mencoba membobol rumahmu dan melaporkan celahnya
2	Vulnerability Assessment	Memindai seluruh komponen sistem untuk menemukan kelemahan sebelum dieksploitasi	Medical check-up rutin berguna untuk mendeteksi penyakit sebelum menimbulkan gejala
3	Secure Coding	Memastikan aplikasi dibangun dengan prinsip keamanan sejak baris kode pertama	Membangun rumah dengan material tahan gempa, bukan menambal retakan setelah gempa terjadi
4	Code of Conduct	Menetapkan standar perilaku seluruh karyawan dalam menangani data dan sistem	Aturan main yang memastikan setiap orang di dalam organisasi menjaga keamanan, bukan hanya tim IT
5	Enkripsi & Perlindungan Data	Mengacak data sehingga tidak bisa dibaca meskipun berhasil dicuri	Mengirim surat dalam bahasa sandi yang hanya bisa dibaca oleh penerima yang dituju
6	Incident Response Plan	Prosedur terstruktur untuk mendeteksi, merespons, dan memulihkan diri dari insiden keamanan	Rencana evakuasi gedung, semua orang tahu apa yang harus dilakukan saat alarm berbunyi

Mari kita bahas masing-masing secara lebih mendalam.

1. Penetration Testing: Menyerang Diri Sendiri Sebelum Diserang Orang Lain

Penetration testing atau sering disebut "pentest" adalah proses di mana perusahaan menyewa ahli keamanan siber profesional (sering disebut ethical hacker) untuk mencoba membobol sistemnya sendiri. Tujuannya bukan merusak, tapi menemukan celah keamanan sebelum pihak jahat menemukannya lebih dulu.

Aspek	Detail
Apa yang diuji	Aplikasi web (depositobpr.id), aplikasi mobile, API internal, infrastruktur server, dan jaringan
Siapa yang melakukan	Pihak ketiga independen yang tersertifikasi (bukan tim internal) untuk menjamin objektivitas
Metodologi	Mengikuti standar internasional seperti OWASP Top 10 (kerentanan aplikasi web paling umum) dan PTES (Penetration Testing Execution Standard)
Frekuensi	Minimal satu kali per tahun, serta setiap ada perubahan besar pada sistem atau peluncuran fitur baru
Output	Laporan detail berisi temuan kerentanan, tingkat keparahan (critical/high/medium/low), bukti eksploitasi, dan rekomendasi perbaikan
Regulasi terkait	POJK 3/2024 tentang ITSK dan Panduan Keamanan Siber OJK untuk ITSK (Juli 2024) mensyaratkan pengujian keamanan secara berkala

Dalam praktiknya, pentest dilakukan pada beberapa level. Black box testing mensimulasikan serangan dari luar tanpa pengetahuan tentang sistem, persis seperti yang akan dilakukan peretas sungguhan. Grey box testing memberikan sebagian informasi kepada penguji, mensimulasikan serangan dari pihak yang memiliki akses terbatas. Dan white box testing memberikan akses penuh ke kode sumber dan arsitektur, memungkinkan pengujian yang paling mendalam.

Bagi nasabah, pentest adalah jaminan bahwa keamanan platform tidak hanya diklaim, tapi diuji secara aktif oleh pihak independen yang memang tugasnya mencari celah.

2. Vulnerability Assessment: Memeriksa Setiap Sudut Sistem

Jika pentest adalah simulasi serangan, vulnerability assessment (VA) adalah pemeriksaan sistematis dan menyeluruh terhadap seluruh komponen teknologi untuk menemukan kelemahan yang diketahui. Cakupannya lebih luas dari pentest karena tidak hanya menguji dari luar, tapi juga memeriksa konfigurasi internal.

Komponen yang Diperiksa	Contoh Kerentanan yang Dicari
Docker image & container	Image yang menggunakan base OS dengan kerentanan yang sudah dipublikasikan, konfigurasi container yang terlalu permisif, secret atau credential yang tertanam di dalam image
Library & dependency	Library open-source yang digunakan dalam aplikasi memiliki kerentanan keamanan yang sudah diketahui (CVE) tapi belum di-patch atau di-update
Vendor & pihak ketiga	Payment gateway, penyedia tanda tangan digital, dan layanan cloud yang digunakan diperiksa standar keamanannya — karena kerentanan bisa masuk melalui mitra
Konfigurasi server	Pengaturan firewall, port yang terbuka, protokol enkripsi yang digunakan, dan kebijakan update sistem operasi
Database	Hak akses yang terlalu luas, data sensitif yang tidak terenkripsi, dan konfigurasi backup yang tidak aman
Jaringan	Segmentasi jaringan, deteksi intrusi, dan isolasi antara lingkungan produksi, staging, dan development

Yang membuat VA krusial adalah sifatnya yang berkelanjutan. Setiap hari, kerentanan baru ditemukan di berbagai software dan library yang digunakan oleh ribuan perusahaan di seluruh dunia. Database kerentanan global (CVE) memublikasikan puluhan ribu kerentanan baru setiap tahun. VA memastikan bahwa komponen-komponen yang digunakan platform selalu diperiksa terhadap database kerentanan terbaru.

Khusus untuk Docker image. teknologi containerisasi yang umum digunakan platform digital modern. VA memeriksa apakah image yang digunakan memiliki kerentanan di level sistem operasi, apakah konfigurasinya mengikuti prinsip least privilege, dan apakah tidak ada credential atau secret yang tertinggal di dalam image. Satu Docker image yang rentan bisa menjadi pintu masuk bagi penyerang ke seluruh sistem.

3. Secure Coding: Keamanan Dimulai dari Baris Kode Pertama

Sebagian besar kerentanan keamanan bukan berasal dari serangan canggih melainkan dari kesalahan dalam penulisan kode. SQL injection, cross-site scripting (XSS), dan insecure direct object reference adalah contoh kerentanan yang muncul karena developer tidak menerapkan prinsip keamanan saat menulis kode.

Secure coding adalah pendekatan pengembangan software di mana keamanan menjadi pertimbangan sejak tahap desain, bukan ditambahkan setelah aplikasi selesai dibangun.

Prinsip Secure Coding	Penjelasan	Contoh Implementasi
Input Validation	Setiap data yang dimasukkan pengguna harus diperiksa dan dibersihkan sebelum diproses	Formulir pendaftaran memvalidasi format KTP, menolak karakter mencurigakan, dan membatasi ukuran file upload
Least Privilege	Setiap komponen sistem hanya diberi akses seminimal yang dibutuhkan untuk menjalankan fungsinya	Modul yang menampilkan suku bunga tidak memiliki akses ke database data pribadi nasabah
Secure Authentication	Proses login dan verifikasi identitas menggunakan mekanisme yang tahan terhadap serangan	Multi-factor authentication, session management yang ketat, dan penyimpanan password dengan hashing yang aman
Error Handling	Pesan error tidak mengungkapkan informasi internal sistem yang bisa dimanfaatkan penyerang	Pengguna melihat "Terjadi kesalahan, silakan coba lagi" bukan detail teknis tentang database atau server
Dependency Management	Library dan framework yang digunakan selalu di-update dan diperiksa terhadap kerentanan yang diketahui	Automated scanning terhadap seluruh dependency sebelum kode masuk ke produksi
Code Review	Setiap perubahan kode harus direview oleh developer lain sebelum digabungkan ke sistem produksi	Peer review wajib dengan checklist keamanan sebelum merge, ditambah automated security scanning

Standar internasional yang menjadi acuan utama adalah OWASP Secure Coding Practices dan OWASP Top 10, daftar sepuluh kerentanan aplikasi web paling kritis yang diperbarui secara berkala. Platform yang menerapkan secure coding memastikan bahwa sepuluh kerentanan ini tidak ada di dalam aplikasinya.

4. Code of Conduct: Karena Ancaman Terbesar Bukan Selalu dari Luar

Data DBIR Verizon menunjukkan bahwa 60% insiden keamanan di sektor keuangan melibatkan faktor manusia. Bukan peretas canggih dari luar negeri tetapi karyawan yang mengklik tautan phishing, membagikan password, atau mengakses data di luar kewenangannya.

Code of Conduct keamanan informasi adalah dokumen yang menetapkan standar perilaku seluruh karyawan, dari level direksi hingga staf operasional dalam menangani data, sistem, dan informasi sensitif.

Area yang Diatur	Ketentuan
Penanganan data nasabah	Data pribadi hanya boleh diakses oleh personil yang berwenang, hanya untuk tujuan bisnis yang sah, dan setiap akses tercatat dalam audit log
Penggunaan perangkat	Perangkat kerja tidak boleh digunakan untuk kepentingan pribadi yang berisiko; instalasi software harus melalui persetujuan tim IT
Password dan autentikasi	Dilarang membagikan password, menggunakan password yang sama untuk beberapa akun, atau menyimpan password dalam bentuk plain text
Komunikasi dan media sosial	Dilarang membagikan informasi internal perusahaan, screenshot sistem, atau data operasional di media sosial atau platform publik
Pelaporan insiden	Setiap karyawan wajib melaporkan kejadian mencurigakan (email phishing, aktivitas tidak wajar, kehilangan perangkat) sesegera mungkin
Clean desk & clear screen	Dokumen sensitif tidak boleh ditinggalkan terbuka di meja; layar komputer harus dikunci saat ditinggalkan
Konsekuensi pelanggaran	Pelanggaran terhadap code of conduct dapat berujung pada teguran, sanksi administratif, hingga pemutusan hubungan kerja

Code of Conduct bukan dokumen yang hanya ditandatangani saat onboarding lalu dilupakan. Efektivitasnya bergantung pada pelatihan berkala, simulasi (misalnya phishing simulation untuk menguji kewaspadaan karyawan), dan penegakan konsekuensi yang konsisten. BSSN sendiri menekankan pentingnya membangun human firewall yaitu kesadaran bahwa setiap karyawan adalah garis pertahanan pertama keamanan siber.

5. Enkripsi & Perlindungan Data: Membuat Data Tidak Bernilai bagi Pencuri

Meskipun seluruh pertahanan di atas sudah diterapkan, prinsip keamanan yang baik selalu mengasumsikan skenario terburuk: bagaimana jika data berhasil dicuri? Enkripsi memastikan bahwa data yang dicuri tidak bisa dibaca atau digunakan.

Jenis Enkripsi	Penerapan
Enkripsi saat transit (in transit)	Seluruh komunikasi antara browser/aplikasi nasabah dan server platform menggunakan protokol TLS/SSL — ikon gembok di address bar browser adalah indikatornya
Enkripsi saat tersimpan (at rest)	Data sensitif di database (KTP, nomor rekening, tanda tangan digital) disimpan dalam bentuk terenkripsi bahkan administrator database tidak bisa membaca data mentah
Tokenisasi	Data sensitif diganti dengan token acak untuk proses internal; data asli hanya bisa diakses melalui sistem tokenisasi yang terisolasi
Hashing password	Password nasabah tidak pernah disimpan dalam bentuk asli yang disimpan adalah hasil hash yang tidak bisa di-reverse

Prinsipnya sederhana: jika data dicuri tapi tidak bisa dibaca, maka pencurian itu tidak menghasilkan apa-apa bagi pelaku.

6. Incident Response Plan: Kesiapan Saat yang Terburuk Terjadi

Tidak ada sistem yang 100% kebal dari serangan. Yang membedakan platform yang bertanggung jawab dari yang tidak bukan apakah insiden terjadi, tapi seberapa cepat dan efektif ia merespons.

Fase Respons	Kegiatan
Deteksi	Sistem monitoring otomatis mendeteksi aktivitas anomali, lonjakan akses tidak wajar, percobaan login massal, atau perubahan data yang tidak terotorisasi
Eskalasi	Tim keamanan melakukan triase untuk menentukan tingkat keparahan insiden dan mengaktifkan protokol respons yang sesuai
Containment	Mengisolasi sistem yang terdampak untuk mencegah penyebaran, seperti menutup pintu ruangan yang terbakar agar api tidak merambat
Eradikasi	Menghapus penyebab insiden dari sistem: menutup celah keamanan, menghapus malware, mencabut akses yang disusupi
Pemulihan	Memulihkan layanan ke kondisi normal menggunakan backup yang sudah terverifikasi, dengan validasi bahwa ancaman sudah sepenuhnya diatasi
Pembelajaran	Melakukan analisis pasca-insiden (post-mortem): apa yang terjadi, mengapa bisa terjadi, dan apa yang harus diperbaiki agar tidak terulang

Fase terakhir yaitu pembelajaran, sering kali yang paling penting. Setiap insiden, sekecil apa pun, menjadi bahan untuk memperkuat sistem. Platform yang matang secara keamanan tidak pernah membiarkan insiden berlalu tanpa pelajaran.

Bagaimana Semua Ini Melindungi Nasabah?

Keenam pilar di atas tidak bekerja secara terpisah. Mereka membentuk ekosistem pertahanan berlapis yang saling melengkapi:

Lapisan	Pilar yang Bekerja	Perlindungan
Sebelum serangan	Secure Coding, Vulnerability Assessment, Code of Conduct	Meminimalkan celah yang bisa dieksploitasi, baik celah teknis maupun celah manusia
Saat serangan terjadi	Penetration Testing (temuan sudah diperbaiki), Enkripsi, Monitoring	Serangan terdeteksi lebih cepat, data yang berhasil diakses tidak bisa dibaca
Setelah serangan	Incident Response Plan, backup terenkripsi	Dampak diminimalkan, layanan dipulihkan, dan pelajaran diambil untuk penguatan

Bagi nasabah, ini berarti bahwa setiap kali kamu mengakses depositobpr.id, data yang kamu kirim dienkripsi dalam perjalanan, disimpan dalam bentuk terenkripsi di server, diakses hanya oleh personil berwenang berdasarkan code of conduct, dilindungi oleh aplikasi yang dibangun dengan prinsip secure coding, di-scan secara berkala melalui vulnerability assessment, dan diuji ketahanannya melalui penetration testing.

Ditambah dengan sertifikasi ISO 27001 sebagai kerangka manajemen keamanan informasi yang menaungi seluruh pilar di atas, serta status PAJK dari OJK yang mewajibkan standar keamanan dan tata kelola platform, nasabah mendapatkan perlindungan yang terstruktur dan terawasi.

Penutup: Keamanan Bukan Fitur, Tapi Fondasi

Di era di mana 5,5 miliar serangan siber menghantam Indonesia dalam satu tahun dan serangan berbasis AI semakin canggih, keamanan siber bukan lagi "nice-to-have" ia adalah fondasi eksistensi sebuah platform keuangan digital.

Nasabah berhak tahu bahwa platform tempat mereka mempercayakan data dan dana memiliki pertahanan yang nyata bukan sekadar klaim di halaman "Tentang Kami." Penetration testing, vulnerability assessment, secure coding, code of conduct, enkripsi, dan incident response plan adalah enam pilar yang, ketika dijalankan dengan konsisten, membentuk benteng pertahanan yang membuat data dan dana nasabah terlindungi dari ujung ke ujung.

Karena pada akhirnya, kepercayaan nasabah bukan hanya soal bunga deposito yang menarik atau tampilan aplikasi yang modern. Kepercayaan dibangun di atas keyakinan bahwa di balik layar, ada sistem dan manusia yang bekerja tanpa henti untuk menjaga apa yang kamu percayakan.

Disclaimer: Artikel ini bersifat edukatif tentang standar keamanan siber di industri keuangan digital. DepositoBPR by Komunal tercatat di OJK sebagai Penyelenggara Agregasi Jasa Keuangan (No. S-576/IK.01/2024). Seluruh produk deposito dijamin oleh LPS sesuai ketentuan yang berlaku.