{"id":5217,"date":"2026-08-15T10:29:12","date_gmt":"2026-08-15T03:29:12","guid":{"rendered":"https:\/\/dtisolution.id\/blog\/?p=5217"},"modified":"2026-08-25T01:03:27","modified_gmt":"2026-08-24T18:03:27","slug":"mfa-berbasis-risiko-perbankan-pojk-11-2022","status":"publish","type":"post","link":"https:\/\/dtisolution.id\/blog\/mfa-berbasis-risiko-perbankan-pojk-11-2022\/","title":{"rendered":"MFA Berbasis Risiko Perbankan POJK 11\/2022: Panduan Bank"},"content":{"rendered":"
Jawaban singkat:<\/strong> POJK 11\/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum memakai pendekatan berbasis risiko: bank menetapkan kontrol pengamanan, termasuk autentikasi, secara proporsional terhadap risiko layanannya. Tidak ada satu teknologi yang diwajibkan. Bank bebas memilih faktor autentikasi kuat seperti security key FIDO2, sepanjang efektivitasnya dapat dibuktikan lewat asesmen risiko dan pengujian keamanan berkala.<\/div>\n

Hampir setiap diskusi tentang MFA berbasis risiko perbankan POJK 11\/2022<\/strong> berangkat dari dua pertanyaan yang sama: apakah regulator mewajibkan teknologi autentikasi tertentu, dan apakah metode yang dipakai bank hari ini masih memadai. POJK Nomor 11\/POJK.03\/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum tidak menyusun daftar belanja teknologi. Yang diwajibkan adalah proses: bank mengidentifikasi risiko, menetapkan kontrol yang proporsional, lalu membuktikan kontrol itu benar-benar bekerja. Artikel ini membedah cara membaca kerangka tersebut, sekaligus menunjukkan di titik mana security key hardware masuk akal ditempatkan. Untuk gambaran menyeluruh soal MFA tahan phishing di luar konteks POJK, lihat panduan lengkap MFA tahan phishing untuk enterprise dan perbankan<\/a>.<\/p>\n

\"Ilustrasi
YubiKey dari DTI.<\/figcaption><\/figure>\n

Apa yang Diatur POJK 11\/2022 dan Mengapa Pendekatannya Berbasis Risiko<\/h2>\n

POJK 11\/2022 menggantikan POJK 38\/POJK.03\/2016 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank Umum, dengan cakupan yang jauh lebih luas: tata kelola TI, manajemen risiko TI, pengamanan informasi, pengelolaan pusat data dan pusat pemulihan bencana, penyelenggaraan layanan perbankan elektronik, pemanfaatan pihak ketiga termasuk komputasi awan, sampai kewajiban pelaporan kepada Otoritas Jasa Keuangan. Rincian teknisnya dituangkan dalam surat edaran turunan, SEOJK 29\/SEOJK.03\/2022, yang menerjemahkan prinsip-prinsip POJK ke tataran operasional.<\/p>\n

Karakter utama regulasi ini principle-based<\/em> dan risk-based<\/em>. Bank memang diminta menyelenggarakan pengamanan informasi yang mencakup pengendalian akses, autentikasi pengguna, kerahasiaan dan integritas data, serta pemantauan insiden. Tetapi kekuatan kontrolnya tidak diseragamkan untuk semua kanal dan semua pengguna. Bank berskala besar dengan kanal digital masif tidak diharapkan menerapkan kontrol yang identik dengan bank berprofil risiko sederhana. Yang harus sama justru kualitas argumennya: asesmen risiko ada, keputusan kontrol tercatat, pengujian dilakukan, dan evaluasinya berjalan berkala.<\/p>\n

Konsekuensi praktis bagi desain autentikasi<\/h3>\n

Karena kerangkanya berbasis risiko, kalimat “kami sudah memakai MFA” tidak akan menyelamatkan Anda di hadapan auditor internal maupun pemeriksa OJK. Pertanyaan lanjutannya selalu sama: MFA jenis apa, untuk pengguna mana, melindungi aset apa, dari skenario ancaman apa. MFA yang cukup untuk menahan pencurian kata sandi belum tentu bertahan menghadapi phishing<\/em> real-time dengan proxy, SIM swap<\/em>, atau MFA fatigue<\/em>. Perbedaan itulah yang perlu dituangkan secara eksplisit dalam dokumen asesmen risiko Anda.<\/p>\n

Menerjemahkan MFA Berbasis Risiko Perbankan POJK 11\/2022 ke Desain Kontrol<\/h2>\n

Pendekatan yang paling mudah dipertahankan saat pemeriksaan: petakan populasi pengguna dan jenis transaksi ke tingkat risiko, lalu tetapkan kekuatan autentikasi minimum per tingkat. Tabel berikut contoh kerangkanya. Silakan sesuaikan dengan selera risiko bank Anda \u2014 angka dan batasnya adalah keputusan internal, bukan kutipan regulasi.<\/p>\n