Security Awareness Level 4

Bu Anna Frans, seorang Manager Retail Credit Center (RCC) memiliki akses Loan Origination System (LOS) untuk dapat memberikan layanan nasabah yang membutuhkan (inquiry) status pengajuan kredit, termasuk data pribadi nasabah.

Pada minggu tersebut, Tim IT sedang mempersiapkan User Acceptance Test (UAT) untuk menambah fitur dalam LOS, sehingga membutuhkan data nasabah untuk proses validasi. Tim IT meminta Bu Anna untuk memberikan data pribadi dan data kredit nasabah untuk diberikan kepada pihak vendor IT.

Berdasarkan prinsip keamanan informasi, menurut Bapak/Ibu, tindakan tersebut merupakan …

• Diperbolehkan sharing data pribadi nasabah, karena vendor/pihak ketiga tersebut merupakan teman baik Bu Ana

• Diperbolehkan sharing data pribadi nasabah, karena vendor/pihak ketiga berjanji tidak akan membocorkan data ke pihak lain.

• Tidak diperbolehkan sharing data pribadi nasabah kepada vendor/pihak ketiga, karena tidak disetujui oleh Employee Manager Bu Ana.

• Tidak diperbolehkan sharing data pribadi nasabah ke vendor/pihak ketiga, karena merupakan data yang bersifat confidential.

Pak Andi adalah seorang direktur bank, karena kesibukannya dia melakukan sharing password dengan sekretarisnya agar sekretarisnya bisa mengakses laptop dan email kantornya untuk kemudahan berkoordinasi dan alasan kenyamanan.

Dari kacamata keamanan informasi, menurut Bapak Ibu, hal ini merupakan

• Diperbolehkan, karena sharing password membuat pekerjaan delegasi simpel dan tidak ribet.

• Diperbolehkan, karena sekretaris tersebut dapat dipercaya, sehingga sharing password tidak berisiko menyebabkan kebocoran informasi atau penyalahgunaan akses.

• Tidak diperbolehkan, karena terdapat risiko penyalahgunaan akses oleh sekretaris tersebut menggunakan otoritas milik atasan nya.

• Tidak diperbolehkan, jika direktur sharing password dengan sekretarisnya, namun diperbolehkan jika direktur sharing password dengan sesama direktur.

Berikut cara terhindar dari phishing, kecuali

• Menjaga password/PIN karena merupakan hal yang strictly confidential.

• Mengklik tautan dari email yang tidak dikenal.

• Memperhatikan konten email yang mencurigakan dan melaporkan kepada CISO.

• Tidak mengumbar data pribadi ke social media.

Senin, 20 Oktober 2015 pukul 14.30, Petugas Cabang Kuningan melaporkan kehilangan blanko bilyet deposito di ruang kerja Kepala Cabang.

Dari investigasi awal melalui rekaman CCTV, diketahui pada pukul 12:05 saat jam makan siang, terdapat orang tidak dikenal berseragam petugas kebersihan membuntuti pegawai cabang masuk ke restricted area melalui access door yang hanya dapat dibuka dengan swipe ID Card pegawai. Orang tak dikenal tersebut keluar pada pukul 12.37 melalui access door yang sama dengan menekan tombol akses keluar di sisi kiri pintu.

Menurut Bapak/Ibu hal-hal terkait IT Security yang tidak relevan dengan kasus tersebut adalah

• Kurangnya awareness pegawai tersebut terhadap tailgating.

• Clean Desk Policy yang tidak diterapkan dengan baik.

• Lemahnya pengamanan fisik akses keluar restricted area.

• Kurangnya kewaspadaan terhadap phishing

Selasa, 13 September 2017 pukul 17.00, Emily Wijaya, seorang nasabah Bank Paris melaporkan kehilangan uang total 50 juta dari rekening nya dari 5 transaksi tak dikenal via internet banking pada dini hari tersebut antara pukul 01:10-02:00 AM pada saat Emily sedang tidur.

Sehari sebelumnya, Emily mengaku menerima email dari pihak Customer Service (CS) Bank Paris yang menyarankan agar Emily login ke akun internet banking melalui link yang tersedia di email tersebut untuk mengupdate data pribadi di akun nya agar akun miliknya tidak ditutup oleh bank.

Setelah investigasi, diketahui bahwa alamat email CS dan link internet banking tersebut berbeda dengan alamat official email CS dan link internet banking dari Bank Paris.

Menurut Bapak/Ibu, manakah hal terkait IT Security yang relevan dengan kasus tersebut ?

• Kurangnya awareness terhadap email phishing (social engineering).

• Kurangnya kewaspadaan terhadap infeksi malware.

• Lemahnya pengamanan fisik buku nasabah.

• Kurangnya kewaspadaan terhadap ATM skimming.

Di Bank ABC ada sekitar 40.000 pegawai yang menggunakan perangkat PC dan Laptop. Dari 40.000 pegawai tersebut, masih ada 10.000 PC pegawai yang menggunakan OS Windows XP yang obsolete di April 2009.

Dari sisi keamanan informasi, hal ini merupakan?

• Major issue karena PC dengan OS Windows XP yang obsolete berpotensi menjadi media penyebaran malware ke jaringan.

• Minor issue karena PC dengan OS Windows XP yang obsolete tersebut baik-baik saja dan tidak terinfeksi malware.

• Tidak masalah karena PC dengan OS Windows XP yang obsolete tersebut masih bisa digunakan pegawai untuk bekerja.

• Hal yang normal karena upgrade OS Windows XP ke Windows 10 membutuhkan biaya, jadi sebaiknya ditunda dalam rangka efisiensi.

Budi bekerja di bagian Internal Audit. Suatu hari dia ingin mengirimkan laporan hasil kajian audit kepada manager nya. Supaya lebih cepat dan nyaman, Budi mengirimkan laporan tersebut melalui pesan Whatsapp tanpa diproteksi password.

Dari sisi keamanan informasi, tindakan Budi tersebut merupakan

• Tidak disarankan, karena laporan audit merupakan dokumen yang confidential. Namun jika terpaksa pengiriman file melalui Whatsapp menggunakan pengamanan password dan password dikirimkan terpisah.

• Tidak diperbolehkan karena Budi sudah memiliki license O365, sehingga sebaiknya dikirim melalui Microsoft Teams/ Sharepoint internal agar license O365 tidak dibeli sia-sia.

• Diperbolehkan karena Budi mengirimkan laporan audit tersebut kepada manager nya sendiri yang merupakan pihak yang berwenang untuk mengetahui isi laporan tersebut.

• Diperbolehkan karena sudah menjadi kebiasaan di unit kerja Budi bahwa laporan audit dikirim melalui Whatsapp, sehingga rekan-rekan Budi juga melakukan hal yang sama.

Anda sedang menghadiri event di DRC Rempoa untuk kalangan terbatas dengan agenda pembahasan mengenai rencana strategis IT Bank. Tiba-tiba, terdapat seseorang tak dikenal meminjam kartu akses Anda untuk ikut masuk ke restricted area (tailgating).

Dalam situasi ini, apa yang sebaiknya Bapak Ibu lakukan?

• Mempersilahkan orang tak dikenal tersebut mengikuti Anda masuk, karena Anda adalah orang yang ramah dan baik hati.

• Meminjamkan kartu akses Anda kepada orang tak dikenal tersebut, sambil berkenalan agar tidak dikira sombong.

• Meminta orang tak dikenal tersebut pergi ke resepsionis untuk menukar tanda pengenal dengan kartu akses tamu.

• Meminta sekretaris Anda membukakan akses kepada orang tak dikenal tersebut, karena ia tampak baik dan tidak mencurigakan.

Manakah di bawah ini yang bukan merupakan wewenang dan tanggung jawab Direksi sesuai POJK dan SEOJK Manajemen Risiko Teknologi Informasi (MRTI) ?

• Menetapkan Rencana Strategis Teknologi Informasi (RSTI).

• Memastikan proses manajemen risiko berjalan efektif

• Memastikan sistem pengelolaan pengamanan informasi berjalan efektif ​

• Menetapkan Kebijakan Fiskal.

Feb 2016, Bank Bangladesh terkena cyber attack melalui 35 instruksi penipuan oleh hacker melalui jaringan SWIFT untuk mentransfer secara ilegal hampir US $ 1 miliar dari rekening Federal Reserve Bank New York milik Bank Bangladesh.

Hacker menyerang dengan malware yang melumpuhkan sistem operasional bank. Hal ini tentunya menyebabkan pemberitaan negatif mengenai Bank Bangladesh di berbagai media.

Dari kasus di atas, yang tidak termasuk dampak negatif dari cyber attack yang terjadi di Bank Bangladesh adalah

• Financial loss

• Penurunan reputasi

• Gangguan operasional

• Kehilangan competitive advantage