Keamanan data dan informasi

Dalam lingkungan keuangan digital, data merupakan aset inti perusahaan dan, jika tidak dikelola dengan baik, dapat menjadi risiko hukum dan keuangan yang mengancam kelangsungan perusahaan.

① Peningkatan dan risiko serangan siber

② Kerugian ekonomi dan menurunnya kepercayaan terhadap perusahaan

③ Kepatuhan terhadap peraturan dan tanggung jawab hukum

Malware memungkinkan pengguna tanpa izin mengakses sistem keuangan atau jaringan internal serta dapat merusak informasi rekening nasabah, catatan transaksi, dan dokumen internal.

Dalam pengoperasian layanan keuangan, hal ini berdampak langsung pada kepercayaan nasabah dan stabilitas layanan melalui pengambilalihan rekening, gangguan sistem, keterlambatan transaksi, dan sebagainya.

Ransomware menginfeksi perangkat organisasi dan mengenkripsi data sehingga akses menjadi terbatas.

Dalam lingkungan layanan keuangan, enkripsi terhadap data transaksi nasabah dan catatan keuangan dapat mengakibatkan terhentinya kegiatan usaha secara langsung.

Risiko kehilangan data tetap ada meskipun tuntutan pembayaran dipenuhi.

Serangan phishing merupakan upaya untuk mencuri informasi masuk akun dan informasi keuangan milik pegawai atau nasabah dengan menyamar sebagai lembaga atau layanan keuangan.

Penyerang dapat menyamar sebagai pengguna yang sah untuk mencoba mengakses akun, membocorkan data, memanipulasi transaksi, dan melakukan tindakan lainnya sehingga mengancam kepercayaan dan keamanan layanan keuangan digital.

Serangan DDoS melumpuhkan sumber daya situs web, server, dan aplikasi keuangan sehingga mengganggu penyediaan layanan.

Dalam lingkungan keuangan digital, serangan ini dapat mengakibatkan keterlambatan transaksi, terhentinya layanan perbankan seluler, keluhan nasabah, dan dampak lainnya. Oleh karena itu, persiapan dan sistem penanganan sebelumnya sangat penting.

Dalam lingkungan keuangan digital, perusahaan wajib melakukan persiapan sebelumnya untuk melindungi data dan sistem transaksi keuangan secara aman.

Untuk itu, perusahaan terlebih dahulu harus menyempurnakan rencana pengelolaan internal dan kebijakan pemrosesan data pribadi berdasarkan Undang-Undang Perlindungan Data Pribadi Korea Selatan, Undang-Undang Informasi Kredit Korea Selatan, serta peraturan terkait lainnya, kemudian memeriksanya secara berkala agar sesuai dengan praktik operasional.

Pemisahan jaringan keuangan, pemeriksaan keamanan layanan komputasi awan, dan pengelolaan hubungan alih daya juga merupakan unsur penting. Perusahaan harus mengadakan perjanjian pemrosesan data (DPA) dengan penyedia layanan eksternal atau perusahaan penerima tugas untuk memperjelas tanggung jawab dan ruang lingkup pemrosesan.

Melalui tindakan tersebut, perusahaan dapat membuktikan bahwa mereka telah memenuhi kewajiban kehati-hatian yang wajar ketika terjadi insiden.

Perusahaan harus meminimalkan area yang luput dari pengamanan melalui pemantauan berkelanjutan dalam kegiatan operasional sehari-hari.

Perusahaan harus menerapkan prinsip hak akses minimum berdasarkan tugas, memeriksa akun dan catatan akses secara berkala, serta mengoperasikan sistem yang segera memblokir hak akses pegawai yang telah berhenti atau berpindah bagian.

Selain itu, penting untuk menilai terlebih dahulu kemungkinan identifikasi ulang ketika data digabungkan dalam proses pengembangan usaha baru atau pemanfaatan data agar risiko hukum dapat diminimalkan. Kebocoran informasi akibat kesalahan manusia juga harus dicegah melalui pelatihan keamanan berkala bagi pegawai, surat pernyataan komitmen, dan kepatuhan terhadap peraturan internal.

Jika terjadi insiden keamanan data dan informasi, perusahaan harus memiliki sistem penanganan segera untuk meminimalkan tanggung jawab hukum dan kerugian.

Jika terjadi kebocoran data atau peretasan, perusahaan harus segera menjalankan prosedur untuk melaporkannya kepada otoritas keuangan dalam waktu 72 jam berdasarkan Undang-Undang Perlindungan Data Pribadi Korea Selatan dan memberi tahu nasabah. Perusahaan juga harus menyimpan secara sistematis catatan terkait dan hasil pemeriksaan yang dapat membuktikan bahwa tindakan keamanan yang wajar telah dilakukan pada saat insiden terjadi.

Dengan demikian, perusahaan dapat memperoleh kemungkinan pengurangan sanksi administratif atau pembebasan dari tanggung jawab karena tidak adanya kesalahan. Perusahaan juga harus mampu merespons dengan cepat berbagai situasi hukum, seperti pengajuan pengaduan pidana terhadap penyerang eksternal dan kerja sama dalam penyidikan, penanganan proses di Komite Mediasi Sengketa Data Pribadi Korea Selatan, serta penanganan gugatan kelompok.

Terakhir, sistem penanganan keamanan data dan informasi tidak cukup hanya dibangun satu kali, tetapi harus terus disempurnakan.

Setelah terjadi insiden, penyebabnya harus dianalisis dan tindakan perbaikan untuk mencegah kejadian berulang harus diterapkan dalam kebijakan dan prosedur operasional.

Dengan memperkuat kemampuan penanganan internal melalui pemeriksaan keamanan dan simulasi pelatihan secara berkala, perusahaan dapat melindungi data nasabah dan transaksi keuangan secara stabil dalam lingkungan keuangan digital.

Dilakukan pemeriksaan untuk memastikan bahwa seluruh kegiatan terkait data yang dijalankan perusahaan, termasuk sistem transaksi keuangan, pemrosesan data pribadi, layanan komputasi awan, dan pekerjaan yang dialihdayakan kepada pihak luar, telah mematuhi Undang-Undang Perlindungan Data Pribadi Korea Selatan, Undang-Undang Informasi Kredit Korea Selatan, Undang-Undang Transaksi Keuangan Elektronik Korea Selatan, serta peraturan terkait lainnya.

Melalui pemeriksaan tersebut, risiko hukum dapat diidentifikasi terlebih dahulu dan dasar penanganan dapat disiapkan untuk menghadapi audit oleh Financial Supervisory Service Korea Selatan, penyelidikan, atau sengketa.

Kesesuaian perancangan dan pelaksanaan kebijakan, seperti kebijakan pemrosesan data pribadi, rencana pengelolaan internal, dan sistem tata kelola data, ditinjau serta diberikan nasihat perbaikan agar sesuai dengan praktik operasional.

Selain itu, keabsahan hukum peraturan pengelolaan informasi, termasuk klasifikasi, penyimpanan, akses, dan penghapusan data, diperiksa untuk membantu perusahaan membuktikan bahwa kewajiban kehati-hatian yang wajar telah dipenuhi ketika menghadapi audit atau penyelidikan.

Jika terjadi insiden seperti kebocoran data, peretasan, ransomware, atau DDoS, dirancang prosedur pelaporan wajib menurut hukum, pemberitahuan kepada nasabah, dan pelaporan kepada otoritas keuangan, serta dilakukan pemeriksaan terhadap sistem penanganan melalui simulasi pelatihan.

Catatan dan log insiden disimpan secara sistematis agar dapat digunakan sebagai dasar pembelaan hukum untuk memperoleh pengurangan sanksi administratif, pembebasan dari tanggung jawab karena tidak adanya kesalahan, menangani gugatan kelompok, dan keperluan lainnya.

Kegiatan pencegahan kesalahan manusia dirancang melalui pelatihan keamanan berkala bagi pegawai, pengumpulan surat pernyataan komitmen, simulasi uji phishing, dan kegiatan lainnya, serta tanggung jawab keamanan didokumentasikan.

Setelah terjadi insiden, penyebabnya dianalisis dan tindakan pencegahan kejadian berulang diterapkan dalam kebijakan serta prosedur operasional. Perusahaan juga dibantu untuk mengoperasikan layanan keuangan digital secara stabil melalui kegiatan penyempurnaan berkelanjutan, seperti pemeriksaan keamanan berkala, audit eksternal, dan persiapan sertifikasi.