| Klien | Perusahaan Penyedia Jasa Pembayaran (PJP) berizin Bank Indonesia |
| Topik | Keamanan informasi berbasis ISO 27001, PBI 2/2024, dan UU PDP |
| Format | In-house training |
| Peserta | Lintas divisi: IT, audit, governance, operasional, layanan pelanggan, keuangan |
| Durasi | Full day (1 hari) |
Studi kasus ini membahas ketahanan siber sistem pembayaran dari sisi manusia: bagaimana staf IT dan non-IT di sebuah penyelenggara jasa pembayaran dibekali memahami ISO 27001, PBI 2/2024, dan UU PDP dalam satu hari training.
Perusahaan sistem pembayaran mengelola dana dan data jutaan orang setiap hari. Karena itu, mereka menjadi salah satu target serangan siber paling menarik. Banyak di antaranya sudah mengantongi sertifikasi ISO 27001. Namun, sertifikasi saja tidak menjamin seluruh karyawan siap menghadapi ancaman nyata, dan juga tidak otomatis memenuhi seluruh kewajiban regulasi Bank Indonesia.
Studi kasus ini menceritakan bagaimana NEMA Academy merancang training ISO 27001 untuk sebuah perusahaan jasa pembayaran, dengan fokus menjembatani teori keamanan informasi dan pekerjaan sehari-hari peserta.
Tantangan: Sudah Bersertifikat ISO 27001, Lalu Apa Lagi?
Sebagian besar peserta berasal dari tim IT, audit, dan governance. Mereka sudah akrab dengan konsep seperti CIA Triad (Confidentiality, Integrity, Availability) dan kontrol Annex A ISO 27001, karena konsep-konsep ini muncul setiap kali audit berlangsung.
Tantangannya justru di situ. Peserta yang sudah hafal teori cenderung menganggap training keamanan informasi sebagai formalitas untuk memenuhi kebutuhan auditor. Jika materi hanya mengulang definisi, pelatihan kehilangan maknanya.
Kebutuhan klien sebenarnya adalah menjawab pertanyaan yang lebih praktis: kapan sebuah risiko menjadi kritis, mengapa, dan apa yang harus dilakukan setiap orang sesuai perannya.
Selain itu, perusahaan jasa pembayaran juga tunduk pada PBI Nomor 2 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber, serta UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Ketiga kerangka ini, ISO 27001, PBI 2/2024, dan UU PDP, saling beririsan tetapi tidak identik.
Pendekatan: Mulai dari Bisnis Klien, Baru ke Kontrol
Sebelum pelatihan dimulai, tim trainer NEMA Academy mempelajari model bisnis klien secara mendalam: cara kerja ekosistem pembayaran di Indonesia, layanan yang dijalankan klien, dan jenis risiko yang lazim muncul di setiap layanan.
Langkah ini penting karena contoh yang kontekstual jauh lebih mudah diingat daripada contoh generik. Kalimat “phishing bisa terjadi di mana saja” terasa jauh dan mudah dilupakan. Contoh yang menggambarkan alur kerja peserta sendiri langsung terasa relevan.
Materi kemudian disusun dengan alur bisnis → risiko → kontrol:
- Bisnis: memahami bagaimana setiap layanan bekerja.
- Risiko: mengidentifikasi ancaman yang paling mungkin terjadi pada layanan tersebut.
- Kontrol: memetakan kontrol ISO 27001 yang relevan, lalu menghubungkannya dengan kewajiban dalam PBI 2/2024 dan UU PDP.
Dengan alur ini, peserta tidak sekadar menghafal nomor kontrol, tetapi memahami alasan di balik setiap kontrol.
Cakupan Materi
Secara garis besar, pelatihan mencakup:
- Lanskap ancaman di industri pembayaran, termasuk phishing, Business Email Compromise (BEC) yang menyasar tim keuangan, social engineering ke layanan pelanggan, dan penyalahgunaan API.
- CIA Triad dalam konteks operasional, yaitu memahami bahwa prioritas bisa berbeda per layanan. Pada proses penyelesaian transaksi, ketersediaan sistem sering kali paling kritis. Pada data identitas nasabah, kerahasiaan menjadi yang utama.
- Pemetaan ISO 27001, PBI 2/2024, dan UU PDP, untuk menemukan celah antara apa yang sudah disertifikasi dan apa yang diwajibkan regulator.
- Pelindungan data pribadi, termasuk perbedaan peran pengendali dan prosesor data pribadi dalam UU PDP.
- Respons insiden, mulai dari mengenali dan mengeskalasi insiden hingga memahami kewajiban pelaporan kepada regulator.
ISO 27001 dan PBI 2/2024: Mengapa Keduanya Perlu Dipahami
Salah satu diskusi yang paling hidup selama pelatihan adalah pertanyaan: “Kalau sudah bersertifikat ISO 27001, kenapa masih harus memikirkan PBI 2/2024?”
Jawabannya terletak pada sifat keduanya. ISO 27001 adalah kerangka kerja yang fleksibel. Organisasi dapat menentukan kontrol mana yang diterapkan sesuai penilaian risikonya sendiri. PBI 2/2024 adalah regulasi yang ketentuannya wajib dipenuhi oleh pihak yang diatur Bank Indonesia.
Artinya, sertifikasi ISO 27001 adalah fondasi yang kuat, tetapi tidak otomatis berarti seluruh kewajiban regulasi sudah terpenuhi. Memetakan keduanya membantu organisasi menemukan celah sebelum celah itu ditemukan oleh auditor atau regulator.
Mengapa Staf Non-IT Juga Harus Ikut
Pelatihan ini tidak hanya untuk tim IT. Peserta dari divisi keuangan, operasional, layanan pelanggan, hingga sumber daya manusia turut dilibatkan.
Alasannya sederhana: banyak insiden siber justru bermula dari titik non-teknis. Contohnya email palsu yang meminta perubahan rekening pembayaran, telepon yang mengaku sebagai nasabah untuk membuka blokir akun, atau pesan yang menyamar sebagai tim IT untuk meminta kata sandi. Karyawan non-IT sering menjadi pintu masuk pertama, sehingga mereka juga menjadi garis pertahanan pertama.
Regulasi pun menuntut hal yang sama. PBI 2/2024 menekankan budaya keamanan sistem informasi yang dibangun lintas fungsi, bukan hanya di divisi teknologi.
Butuh Training Serupa untuk Tim Anda?
Setiap industri memiliki risiko yang berbeda. NEMA Academy merancang training ISO 27001 dan keamanan informasi yang dimulai dari pemahaman bisnis Anda, sehingga materi yang dipelajari peserta dapat langsung diterapkan dalam pekerjaan sehari-hari.