Jakarta, Kakinews – Badan Pemeriksa Keuangan (BPK) RI mengungkap sederet persoalan serius terkait sistem keamanan teknologi informasi dan pengelolaan operasional digital di Bank Kalsel. Dalam Laporan Hasil Pemeriksaan (LHP) Kinerja atas Efektivitas Kegiatan Operasional Bank Kalsel Tahun 2023 sampai Semester I 2025, BPK menilai masih terdapat berbagai kelemahan mendasar yang berpotensi mengancam keamanan data hingga layanan perbankan.

Sebagaimana data yang diperoleh Kakinews, Selasa (12/5/2026), BPK secara tegas menyebut bahwa pengelolaan keamanan siber Bank Kalsel belum sepenuhnya memadai, meski bank daerah tersebut telah menggelontorkan investasi teknologi informasi mencapai Rp23,09 miliar.

“Permasalahan tersebut mengakibatkan keamanan data tidak dapat dijamin, terutama pada aplikasi non-aktif, data backup, dan core banking system karena ketiadaan standar sanitasi dan retensi serta backup data DC/DRC,” tulis BPK dalam laporannya.

BPK juga mengingatkan adanya risiko ketidaktepatan, ketidaktersediaan, dan ketidakkonsistenan data akibat proses pemindahan, replikasi, hingga sinkronisasi data yang masih dilakukan secara manual.

Lihat Juga:
KPK Bongkar Dugaan Setoran Fee Proyek Rel Kereta ke Pejabat Kemenhub
KPK Telusuri Dugaan Uang Mengalir ke Pemeriksa BPK dalam Kasus Korupsi Proyek Rel KA Jatim

Tak hanya itu, auditor negara menemukan bahwa sejumlah sistem dan prosedur penting di Bank Kalsel belum memiliki standar operasional prosedur (SOP) yang lengkap. Salah satunya terkait pengelolaan aplikasi yang sudah tidak digunakan atau non-active application.

BPK mengungkap Bank Kalsel memang telah menginventarisasi dan menonaktifkan 64 aplikasi. Namun, proses tersebut belum disertai SOP memadai terkait sanitasi data, verifikasi data, hingga pemusnahan data dan dokumentasi teknis penghentian aplikasi.

“Selama ini, bank hanya melakukan takedown terhadap aplikasi yang tidak lagi diakses, tanpa menghapus aplikasi atau database, sambil menunggu ada kebutuhan atau proses lain,” ungkap BPK.

Lihat Juga:
KPK menahan empat tersangka kasus dugaan korupsi pengadaan iklan BJB. Pengadaan diduga direkayasa melalui pemecahan paket, penunjukan langsung, pengondisian penyedia, dan penyediaan dana nonbujeter yang menimbulkan dugaan kerugian negara Rp223,6 miliar.
Dugaan Audit BPK Dikondisikan dalam Kasus Bank BJB, Dana Nonbujeter Diduga Dipakai untuk “Mengurus” Temuan

Lebih jauh, BPK juga menyoroti lemahnya pengelolaan data pada sistem core banking. Dalam temuannya, Bank Kalsel disebut belum memiliki SOP retensi data dan pemindahan data historis core banking, termasuk mekanisme backup di data center maupun disaster recovery center (DRC).

Kondisi itu dinilai berisiko tinggi karena seluruh proses pemindahan dan pengelolaan data masih dilakukan manual tanpa SOP baku.

“Hal ini membuat seluruh data core banking system tetap dipertahankan tanpa aturan formal terkait batas usia data atau pengelolaan data historis,” demikian bunyi laporan BPK.

Sorotan tajam lainnya datang dari sistem DRC internal Bank Kalsel. BPK menyebut bank belum memiliki SOP teknis pengelolaan server internal, termasuk proses backup-recovery data. Bahkan monitoring replikasi data antar data center dan DRC masih dilakukan manual menggunakan crosscheck data.

Tak kalah serius, BPK mengungkap pengujian penetrasi atau penetration test terhadap sistem keamanan Bank Kalsel tidak dilakukan secara rutin sebagaimana diwajibkan dalam kontrak kerja sama dengan PT JTI.

Padahal, penetration test menjadi salah satu instrumen penting untuk mendeteksi celah keamanan dan mencegah serangan siber.

“Penetration test baru satu kali dilakukan oleh PJTI bekerja sama dengan PT DKI pada tahun 2023,” tulis BPK.

BPK juga menemukan penggunaan Buku Pedoman Sistem Operasional Teknologi Informasi Bank Kalsel masih mengacu pada DBMS lama yang belum diperbarui mengikuti perkembangan teknologi terbaru.

Yang paling mengkhawatirkan, auditor negara mengungkap bahwa analisis kode jahat atau malware analysis untuk identifikasi Indicators of Compromise (IoC) belum dilaksanakan secara komprehensif.

Padahal pada 2024, Bank Kalsel disebut pernah melaporkan insiden serangan ransomware Qilin yang mengandung kode enkripsi MD5, SHA-256 dan SHA1. Namun, dokumen insiden disebut tidak dilengkapi penjelasan menyeluruh dan belum memiliki pedoman khusus analisis IoC.

“Analisis kode jahat untuk identifikasi IoC belum dilaksanakan secara komprehensif karena insiden peretasan belum pernah terjadi,” ungkap hasil wawancara BPK dengan pihak terkait dalam laporan tersebut.

Atas berbagai temuan itu, BPK menyimpulkan penanganan dan pencegahan risiko siber Bank Kalsel “belum optimal” yang ditandai pengujian penetrasi tidak berkala, lemahnya klausul mitigasi siber dengan vendor, hingga belum lengkapnya SOP pengamanan data digital.

BPK kemudian merekomendasikan Direktur Utama Bank Kalsel agar segera:

  1. Menyusun SOP pengelolaan aplikasi tidak aktif, retensi dan pemindahan data core banking serta backup-recovery DC/DRC;
  2. Merevisi kontrak kerja sama dengan PJTI untuk memperkuat mitigasi risiko siber dan audit digital forensik;
  3. Meningkatkan pengawasan penetration test minimal satu kali setiap tahun;
  4. Memutakhirkan buku pedoman sistem operasi dan keamanan TI;
  5. Menyusun SOP khusus analisis kode jahat untuk identifikasi IoC.

Pihak Bank Kalsel dalam keterangannya kepada BPK mengaku telah mulai melakukan pembenahan dan penyusunan berbagai SOP baru dengan target penyelesaian bertahap hingga Juni 2026.