Standar Keamanan Pemusnahan Aset IT untuk Sektor Perbankan (OJK)
Pemusnahan aset IT perbankan memerlukan standar sanitasi level Destroy, sertifikasi vendor NAID AAA, dan dokumentasi audit trail untuk memenuhi POJK dan UU PDP tentang Manajemen Risiko Teknologi Informasi.
Program ITAD yang dikelola melalui jasa terima komputer kantor borongan menjalankan sanitasi level Destroy melalui physical shredding untuk media penyimpanan bank dan menerbitkan sertifikat pemusnahan yang memenuhi audit OJK.
OJK mewajibkan bank menyimpan bukti pemusnahan data selama minimum 5 tahun dan melaporkan insiden keamanan data dalam 24 jam kepada OJK.
Mengapa Sektor Perbankan Memerlukan Standar ITAD Tertinggi?
Sektor perbankan memerlukan standar ITAD tertinggi karena data nasabah termasuk kategori rahasia bank yang dilindungi oleh UU Perbankan No.7/1992 dan diatur lebih lanjut oleh POJK.
Klasifikasi Data Nasabah Menurut POJK dan UU PDP
Data nasabah bank terbagi ke dalam beberapa klasifikasi dengan level sanitasi yang berbeda sebagai berikut.
| Klasifikasi | Contoh Data | Regulasi | Level Sanitasi |
|---|---|---|---|
| Data identitas | Nama, NIK, tanda tangan | UU PDP, rahasia bank Pasal 40 | Destroy |
| Data transaksi | Riwayat transaksi, saldo | POJK MRTI | Destroy |
| Data finansial | Skor kredit, laporan keuangan | UU Perbankan No.7/1992 | Destroy |
| Data biometrik | Sidik jari, wajah untuk KYC | UU PDP, PII | Destroy |
Klasifikasi data nasabah sebagai rahasia bank menentukan regulasi OJK yang mengatur kewajiban pemusnahan pada setiap perangkat IT yang didisposisi.
Apa Saja Regulasi OJK yang Mengatur Pemusnahan Aset IT Perbankan?
Regulasi OJK yang mengatur pemusnahan aset IT perbankan mencakup POJK 11/2022 tentang Manajemen Risiko Teknologi Informasi yang mewajibkan prosedur penghapusan data sebelum pelepasan perangkat.
| Regulasi | Cakupan |
|---|---|
| POJK 11/2022 (MRTI) | Kewajiban prosedur penghapusan data pada perangkat yang dilepas |
| SEOJK 29/2022 | Panduan teknis implementasi manajemen risiko TI perbankan |
| PBI 9/2007 (BCP) | Ketentuan business continuity yang beririsan dengan pengelolaan aset IT |
POJK Manajemen Risiko TI dan Kewajiban Pemusnahan Data
POJK 11/2022 menetapkan beberapa kewajiban utama terkait pemusnahan data pada aset IT perbankan sebagai berikut.
- Penghapusan permanen data pada perangkat yang akan dilepas.
- Penetapan media sanitization policy tertulis.
- Otorisasi disposal oleh pejabat berwenang sebelum eksekusi.
- Pelaporan insiden terkait proses pemusnahan kepada OJK.
Kewajiban pemusnahan data di bawah POJK memerlukan standar sanitasi yang menghasilkan bukti forensik pemusnahan untuk keperluan audit.
Bagaimana Standar Sanitasi Data untuk Perangkat IT Perbankan?
Untuk memenuhi standar sanitasi data perbankan, institusi keuangan menerapkan level Destroy sesuai NIST SP 800-88 dengan physical shredding DIN 66399 level H-5 untuk semua media penyimpanan.
Metode Destroy (Physical Shredding) untuk Media Penyimpanan
Metode Destroy diterapkan berbeda tergantung jenis media penyimpanan sebagai berikut:
| Media | Metode | Ukuran Partikel | Standar |
|---|---|---|---|
| HDD | Physical shredding | Maksimal 2 mm | DIN 66399 Level H-5 |
| SSD | Disintegration | Partikel sangat halus | DIN 66399 Level H-5 |
| Tape | Degaussing | Media termagnetisasi ulang total | NSA-listed |
| Media optik | Crushing | Hancur total | DIN 66399 Level O-5 |
Sertifikasi dan Dokumentasi Audit Trail
Dokumentasi audit trail pemusnahan aset IT bank mencakup elemen berikut:
- Timestamp pelaksanaan pemusnahan.
- GPS lokasi tempat shredding dilakukan.
- Video recording proses penghancuran.
- Dual-witness dari pihak bank dan vendor.
- Hash verification sebagai bukti forensik tambahan.
Sertifikasi dan dokumentasi audit trail dari proses pemusnahan mengacu pada standar kepatuhan data ITAD dan menjadi kriteria utama dalam pemilihan vendor ITAD untuk institusi perbankan.
Bagaimana Pemilihan Vendor ITAD untuk Institusi Perbankan?
Pemilihan vendor ITAD untuk institusi perbankan memerlukan sertifikasi R2v3 dan NAID AAA, fasilitas bonded, background check karyawan, dan NDA yang sesuai standar OJK.
| Kriteria | Standar Minimum |
|---|---|
| Sertifikasi | R2v3, NAID AAA, ISO 27001 |
| Fasilitas | Bonded facility dengan kontrol akses ketat |
| Personel | Background check seluruh karyawan yang menangani aset |
| Kontrak | NDA yang mengikat seluruh proses disposisi |
Kriteria sertifikasi ini selaras dengan pembahasan lebih rinci pada sertifikasi vendor ITAD, yang menjelaskan standar internasional bagi vendor ITAD secara umum.
Vendor ITAD yang memenuhi kriteria perbankan menjadi mitra strategis dalam integrasi proses disposisi ke framework manajemen risiko operasional bank.
Integrasi ITAD ke Framework Manajemen Risiko Operasional Bank
Integrasi ITAD ke framework manajemen risiko operasional bank menempatkan proses disposisi aset IT sebagai kontrol dalam lini kedua pertahanan, sesuai prinsip Three Lines of Defense.
Proses ini turut menjadi bagian dari key risk indicator dan risk register bank, dengan hasil sanitasi dan pemusnahan aset IT diverifikasi melalui internal audit sebagai bagian dari kepatuhan terhadap prinsip manajemen risiko operasional Basel III.
Bank yang mengintegrasikan ITAD ke framework manajemen risiko memiliki kontrol yang teraudit untuk setiap disposisi aset IT dari procurement hingga end-of-life.
Terima Komputer Kantor menyediakan layanan pemusnahan aset IT dan sanitasi data perbankan dengan physical shredding DIN 66399 H-5 dan sertifikat pemusnahan yang memenuhi audit OJK, menjamin setiap aset IT perbankan didisposisi sesuai standar keamanan data tertinggi di sektor keuangan.
