Transformasi digital telah mengubah cara industri perbankan memberikan layanan kepada nasabah. Transaksi yang sebelumnya membutuhkan kunjungan ke kantor cabang kini dapat dilakukan melalui aplikasi mobile banking, internet banking, dan berbagai layanan keuangan digital yang semakin terintegrasi.

Namun, semakin luas pemanfaatan teknologi, semakin penting pula pengelolaan risiko keamanan sistem informasi. Infrastruktur digital perbankan harus mampu melindungi data nasabah, menjaga keandalan transaksi, dan memastikan layanan tetap berjalan ketika menghadapi ancaman siber.

Perhatian terhadap isu ini kembali mengemuka setelah Otoritas Jasa Keuangan (OJK) menyoroti kebutuhan investasi teknologi dan keamanan IT perbankan yang berkaitan dengan kebijakan pembagian dividen bank.

Dalam pemberitaan pada awal Oktober 2026, Kepala Eksekutif Pengawas Perbankan OJK, Dian Ediana Rae, menjelaskan bahwa kebutuhan investasi teknologi perlu menjadi pertimbangan dalam menentukan besaran dividen yang dibagikan kepada pemegang saham. Langkah tersebut dikaitkan dengan tantangan serangan siber, penipuan digital, dan perkembangan layanan perbankan seperti superapp.

Sumber pemberitaan: detikFinance dan Bloomberg Technoz.

Lantas, mengapa kebutuhan investasi keamanan IT menjadi perhatian regulator? Apa saja risiko yang perlu diantisipasi dalam pengembangan superapp? Dan bagaimana penetration testing (pentest) dapat membantu perusahaan mengevaluasi keamanan sistem digitalnya?

1. Mengapa OJK Menyoroti Investasi Keamanan IT Bank?

Dalam pemberitaan awal Oktober 2026, OJK menyampaikan bahwa kebutuhan investasi teknologi perlu dipertimbangkan dalam penentuan dividend payout ratio atau rasio pembagian laba kepada pemegang saham.

Pesan utamanya adalah bank perlu menjaga keseimbangan antara pembagian keuntungan kepada pemegang saham dan kebutuhan memperkuat kapasitas bisnis, termasuk infrastruktur teknologi dan keamanan digital.

Perkembangan teknologi membutuhkan investasi, terutama ketika bank mengembangkan layanan digital yang semakin terintegrasi. Kebutuhan tersebut juga berkaitan dengan upaya menghadapi serangan siber dan penipuan digital.

Apa itu dividend payout ratio?

Dividend payout ratio merupakan persentase laba yang dibagikan perusahaan kepada pemegang saham dalam bentuk dividen.

Sebagai ilustrasi, jika sebuah perusahaan membukukan laba Rp1 triliun dan membagikan dividen sebesar Rp600 miliar, dividend payout ratio-nya adalah 60%.

Sisa laba tidak otomatis seluruhnya dialokasikan untuk keamanan IT. Dana tersebut dapat digunakan untuk berbagai kebutuhan perusahaan sesuai keputusan korporasi, termasuk penguatan modal, ekspansi bisnis, pengembangan teknologi, dan kebutuhan operasional.

Dalam konteks perbankan, pertimbangan investasi teknologi menjadi penting karena layanan keuangan digital membutuhkan infrastruktur yang andal, perlindungan data, pengendalian akses, serta mekanisme pemantauan dan penanganan insiden.

Catatan: Pernyataan OJK mengenai penyesuaian dividen perlu dibedakan dari ketentuan final mengenai besaran atau formula pembagian dividen. Hal ini tidak berarti seluruh bank telah memiliki persentase pemotongan dividen yang seragam.

2. Superapp Perbankan dan Tantangan Keamanan yang Semakin Kompleks

Superapp merupakan aplikasi yang mengintegrasikan berbagai layanan atau fungsi ke dalam satu platform. Dalam sektor keuangan, pendekatan ini dapat menghubungkan beragam kebutuhan nasabah melalui satu aplikasi digital.

Integrasi tersebut memberikan kemudahan bagi pengguna. Namun, semakin banyak fungsi dan komponen yang terhubung berarti semakin banyak pula aspek yang perlu dikelola dan diuji. Risiko aktual bergantung pada arsitektur sistem, implementasi kontrol keamanan, konfigurasi, dan cara layanan tersebut dioperasikan.

3. Data OJK Menunjukkan Skala Tantangan Penipuan Digital

Urgensi penguatan keamanan ekosistem keuangan juga dapat dilihat dari data penanganan penipuan transaksi keuangan.

Berdasarkan publikasi OJK mengenai kinerja sektor jasa keuangan per Agustus 2026, Indonesia Anti-Scam Centre (IASC) mencatat data kumulatif sejak mulai beroperasi pada 22 November 2024 hingga 31 Agustus 2026 sebagai berikut:

Sumber: Siaran Pers OJK, Agustus 2026. Data merupakan angka kumulatif hingga tanggal tersebut.

Angka tersebut menggambarkan besarnya aktivitas penanganan penipuan transaksi keuangan di Indonesia. Namun, data IASC bukan statistik jumlah serangan siber terhadap bank, dan tidak seluruh kasus penipuan dapat disimpulkan berasal dari kerentanan teknis aplikasi perbankan.

Penipuan digital dapat melibatkan berbagai faktor, seperti manipulasi korban, penyalahgunaan identitas, rekayasa sosial, pengambilalihan akun, maupun penyalahgunaan rekening. Penanganannya membutuhkan pendekatan berlapis yang menggabungkan kontrol teknologi, pemantauan transaksi, edukasi nasabah, mekanisme pelaporan, dan koordinasi antarpenyelenggara keuangan.

Pentest memiliki peran yang lebih spesifik: membantu mengidentifikasi kelemahan teknis yang dapat dimanfaatkan penyerang, sehingga organisasi dapat memperbaikinya sebelum kelemahan tersebut digunakan untuk melakukan serangan.

4. Keamanan Digital Menjadi Bagian dari Arah Strategis Perbankan

Perhatian OJK terhadap penguatan teknologi juga sejalan dengan arah kebijakan pengembangan industri perbankan.

Pada 2 Oktober 2026, OJK meluncurkan Roadmap Pengembangan dan Penguatan Perbankan Indonesia (RP3I) 2026–2030. Salah satu dari lima prioritas strategisnya adalah Modernisasi Teknologi dan Ketahanan Digital.

Prioritas tersebut mencakup dorongan terhadap transformasi dan inovasi digital yang disertai penguatan tata kelola, keamanan, dan ketahanan digital.

Sumber: Roadmap RP3I 2026–2030 — OJK.

Di sisi regulasi, OJK juga telah menerbitkan beberapa ketentuan yang relevan dengan pengelolaan teknologi perbankan:

• SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum.
• PADK OJK Nomor 1 Tahun 2026 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum, yang berlaku sejak 1 Maret 2026.

Referensi: SEOJK 29/SEOJK.03/2022 dan PADK OJK Nomor 1 Tahun 2026.

Keberadaan kerangka tersebut memperlihatkan bahwa keamanan teknologi merupakan bagian dari tata kelola dan manajemen risiko perbankan. Penerapan kewajiban teknis tertentu tetap perlu merujuk pada isi ketentuan yang berlaku dan ruang lingkup penerapannya.

5. Mengapa Investasi Keamanan IT Perlu Disertai Penetration Testing?

Investasi keamanan IT dapat mencakup berbagai kebutuhan, mulai dari infrastruktur, perangkat keamanan, pemantauan, pengembangan sistem, hingga peningkatan kompetensi sumber daya manusia.

Namun, pengadaan teknologi keamanan saja tidak otomatis membuktikan bahwa seluruh sistem telah terlindungi dengan baik. Kontrol keamanan dapat mengalami kelemahan akibat kesalahan implementasi, perubahan konfigurasi, penambahan fitur, atau integrasi dengan sistem lain.

Karena itu, organisasi perlu memiliki mekanisme evaluasi untuk mengetahui apakah kontrol yang diterapkan benar-benar bekerja sesuai tujuan. Salah satu pendekatan yang dapat digunakan adalah penetration testing atau pentest.

Apa itu penetration testing?

Penetration testing adalah pengujian keamanan terotorisasi yang dilakukan untuk mengidentifikasi dan memvalidasi kerentanan sistem melalui simulasi teknik serangan dalam ruang lingkup yang telah disepakati.

Berbeda dari pemeriksaan yang hanya mengidentifikasi potensi kelemahan, pentest dapat mengevaluasi apakah kelemahan tertentu dapat dieksploitasi dalam kondisi pengujian yang ditetapkan. Hasilnya digunakan untuk memahami risiko, menentukan prioritas perbaikan, dan membantu tim teknis memperkuat pertahanan sistem.

Area yang dapat diuji melalui pentest

• Web application penetration testing: menguji kontrol akses, autentikasi, manajemen sesi, validasi input, dan kelemahan relevan lainnya.
• API penetration testing: mengevaluasi autentikasi, otorisasi, akses objek, validasi permintaan, pembatasan penggunaan, dan potensi penyalahgunaan fungsi backend.
• Mobile application security testing: menguji mekanisme autentikasi, penyimpanan data sensitif, komunikasi aplikasi dengan server, dan aspek keamanan implementasi aplikasi.
• Infrastructure penetration testing: mengidentifikasi kelemahan pada layanan jaringan, konfigurasi, dan komponen pendukung dalam ruang lingkup yang disepakati.
• Retesting: memverifikasi apakah perbaikan yang dilakukan telah mengatasi kerentanan yang ditemukan.

Cakupan pentest perlu disesuaikan dengan arsitektur, profil risiko, dan kebutuhan organisasi. Tidak semua pengujian harus mencakup seluruh area sekaligus.

6. Pentest Bukan Sekadar Mencari Celah, tetapi Membantu Mengelola Risiko

Nilai pentest tidak hanya terletak pada jumlah temuan yang dihasilkan. Hasil pengujian yang baik perlu membantu organisasi memahami konsekuensi bisnis dari setiap kerentanan.

Sebagai contoh, kelemahan kontrol akses yang memungkinkan pengguna melihat data milik pengguna lain dapat memiliki implikasi berbeda dari temuan konfigurasi berisiko rendah. Karena itu, laporan pentest sebaiknya memuat:

• Ringkasan eksekutif: gambaran kondisi keamanan dan risiko utama bagi manajemen.
• Deskripsi temuan: penjelasan teknis mengenai kelemahan yang teridentifikasi.
• Bukti pengujian: bukti relevan yang mendukung validitas temuan dengan tetap menjaga kerahasiaan data.
• Analisis dampak: potensi konsekuensi terhadap kerahasiaan, integritas, dan ketersediaan sistem.
• Rekomendasi remediasi: langkah perbaikan yang dapat ditindaklanjuti oleh tim terkait.
• Retesting: verifikasi terhadap perbaikan sesuai ruang lingkup layanan.

Dengan pendekatan tersebut, laporan pentest dapat menjadi salah satu masukan bagi manajemen dalam menentukan prioritas perbaikan dan merencanakan investasi keamanan berikutnya.

Meski demikian, pentest tidak menjamin sistem bebas dari seluruh serangan. Pengujian memiliki batasan berdasarkan waktu, ruang lingkup, akses, dan kondisi sistem saat diuji. Pentest perlu menjadi bagian dari program keamanan berkelanjutan bersama pemantauan, manajemen kerentanan, pengelolaan akses, dan kesiapan respons insiden.

7. Kapan Perusahaan Perlu Melakukan Pentest?

Pentest dapat dipertimbangkan dalam beberapa kondisi berikut:

• Sebelum meluncurkan aplikasi atau fitur baru. Pengujian membantu mengidentifikasi kelemahan sebelum layanan digunakan secara luas oleh pelanggan.
• Setelah perubahan besar pada sistem. Pembaruan arsitektur, integrasi API, perubahan autentikasi, atau penambahan fitur dapat mengubah profil risiko aplikasi.
• Ketika mengintegrasikan layanan pihak ketiga. Integrasi eksternal dapat memperluas jalur komunikasi dan akses antarsistem.
• Sebagai bagian dari evaluasi keamanan berkala. Pengujian membantu organisasi menilai kembali kondisi keamanan seiring perubahan aplikasi, konfigurasi, ancaman, dan kebutuhan bisnis.
• Setelah perbaikan kerentanan penting. Retesting dilakukan untuk memastikan perbaikan benar-benar mengatasi temuan sebelumnya.

Frekuensi dan cakupan pengujian sebaiknya ditetapkan berdasarkan profil risiko, perubahan sistem, kebijakan internal, serta ketentuan regulator yang berlaku bagi organisasi.

8. Menghubungkan Investasi Teknologi dengan Ketahanan Bisnis

Pembahasan mengenai dividen bank dan keamanan IT menunjukkan bahwa keputusan teknologi memiliki hubungan erat dengan keberlangsungan bisnis.

Bagi industri perbankan dan fintech, layanan digital bukan sekadar kanal transaksi. Layanan tersebut merupakan bagian penting dari hubungan dengan nasabah, proses operasional, pengelolaan data, dan reputasi perusahaan.

Ketika keamanan tidak dikelola secara memadai, konsekuensinya dapat melampaui persoalan teknis. Gangguan layanan, kebocoran data, penyalahgunaan akun, dan biaya pemulihan dapat memengaruhi kepercayaan pelanggan serta kelangsungan operasional.

Karena itu, investasi keamanan perlu diarahkan pada pengelolaan risiko yang terukur. Organisasi perlu memahami aset yang paling kritis, ancaman yang relevan, kelemahan yang perlu diperbaiki, serta efektivitas kontrol yang telah diterapkan.

Penetration testing dapat membantu menjawab salah satu pertanyaan penting dalam proses tersebut: apakah sistem yang telah dibangun dan dilindungi masih memiliki kelemahan yang dapat dimanfaatkan penyerang?

Jawabannya dapat menjadi masukan bagi tim IT, keamanan informasi, manajemen risiko, dan pimpinan perusahaan dalam menentukan langkah perbaikan yang sesuai dengan prioritas bisnis.

Kesimpulan

Sorotan OJK terhadap investasi teknologi dan penyesuaian pembagian dividen bank menegaskan pentingnya mempertimbangkan ketahanan digital dalam pengelolaan bisnis perbankan.

Di tengah perkembangan superapp dan layanan keuangan digital, keamanan perlu dipandang sebagai bagian dari strategi bisnis, bukan sekadar pengeluaran operasional tambahan.

Namun, investasi teknologi harus disertai evaluasi yang memadai. Organisasi perlu memastikan bahwa sistem, aplikasi, API, dan kontrol aksesnya diuji sesuai profil risiko dan kebutuhan operasional.

Penetration testing merupakan salah satu pendekatan untuk mengidentifikasi dan memvalidasi kerentanan, memahami potensi dampaknya, serta membantu menentukan prioritas perbaikan.

Bagi perusahaan di sektor perbankan, fintech, maupun industri lain yang mengandalkan layanan digital, langkah penting bukan hanya membangun sistem yang canggih, tetapi juga memastikan keamanannya dievaluasi secara terukur dan diperbaiki secara berkelanjutan.

Keamanan digital yang kuat dibangun melalui kombinasi teknologi, proses, kompetensi, dan evaluasi yang konsisten.

FAQ