Regulasi MFA di Indonesia belum dirangkum dalam satu undang-undang khusus, tetapi kewajibannya sudah tertulis tegas dalam aturan OJK dan Bank Indonesia. Di luar sektor keuangan, dasar hukumnya datang dari kewajiban menjaga keamanan data pribadi, sehingga tim IT dan legal sering ragu sejauh mana MFA benar-benar diwajibkan.
MFA (multi-factor authentication) adalah metode login yang meminta dua faktor verifikasi atau lebih, misalnya kata sandi ditambah kode OTP di ponsel. Untuk bank umum, OJK mewajibkan minimal dua faktor autentikasi untuk verifikasi transaksi keuangan melalui POJK 21/2023 tentang Layanan Digital oleh Bank Umum.
Artikel ini memetakan aturan Indonesia yang mewajibkan MFA, pasal dan sanksinya, standar internasional pendamping, serta langkah menyiapkan bukti kepatuhan.
Peta Regulasi MFA di Indonesia
Kewajiban MFA di Indonesia bergantung pada sektor usaha dan jenis data yang Anda kelola. Aturan OJK dan Bank Indonesia menyebut autentikasi secara langsung, sedangkan perusahaan lain terikat kewajiban umum mencegah akses tidak sah ke data pribadi.
| Aturan | Pihak yang terikat | Kewajiban terkait autentikasi | Sanksi |
|---|---|---|---|
| POJK 21/2023 (OJK) | Bank umum konvensional dan syariah, termasuk kantor cabang bank asing dan unit usaha syariah | Minimal dua faktor autentikasi untuk verifikasi nasabah dan transaksi keuangan | Teguran tertulis, lalu sanksi lanjutan sampai penurunan tingkat kesehatan bank |
| PADG 24/2024 (Bank Indonesia) | Penyedia jasa pembayaran, penyelenggara infrastruktur sistem pembayaran, pelaku pasar uang dan valuta asing, serta pihak lain yang diawasi Bank Indonesia | Metode autentikasi dan otorisasi sesuai profil risiko siber | Teguran, kewajiban membayar, penghentian kegiatan, sampai pencabutan izin |
| UU 27/2022 tentang Pelindungan Data Pribadi (UU PDP) | Semua pengendali dan prosesor data pribadi | Mencegah akses tidak sah dengan sistem keamanan yang andal, tanpa menyebut MFA | Peringatan tertulis sampai denda paling tinggi 2 persen dari pendapatan tahunan terkait pelanggaran |
Dari ketiga aturan ini, hanya POJK 21/2023 yang menyebut jumlah faktor secara tegas, sementara Bank Indonesia menyerahkan pilihan metode pada hasil penilaian risiko. Bank yang juga berstatus penyedia jasa pembayaran terikat kedua aturan sekaligus, jadi pakai standar yang lebih ketat sebagai acuan.
Meski UU PDP tidak menyebut MFA, kata sandi tunggal sulit dibela sebagai sistem keamanan yang andal jika akun berisi data pribadi dibobol.
POJK 21/2023: Bank Wajib Memakai Minimal Dua Faktor Autentikasi
POJK 21/2023 mewajibkan bank umum memakai paling sedikit dua faktor autentikasi di dua titik, yaitu saat memverifikasi nasabah atau calon nasabah dan saat memverifikasi transaksi keuangan. Aturan ini berlaku sejak 22 Desember 2023 dan memberi bank waktu satu tahun untuk menyesuaikan infrastruktur TI layanan yang sudah berjalan.
Verifikasi Nasabah dan Calon Nasabah
Untuk verifikasi data nasabah, Pasal 5 ayat (6) mewajibkan dua faktor autentikasi apa pun mekanismenya. Jika verifikasi berlangsung lewat tatap muka elektronik atau tanpa tatap muka, Pasal 5 ayat (7) mewajibkan salah satu faktornya berupa ciri biometrik.
Penjelasan pasal tersebut membagi faktor autentikasi ke dalam tiga kelompok berikut:
- Something you know, yaitu informasi yang hanya diketahui nasabah, seperti nama pengguna, kata sandi, PIN, atau nama ibu kandung.
- Something you have, yaitu dokumen identitas yang disertai OTP, tanda tangan elektronik, atau bentuk lain yang setara.
- Something you are, yaitu ciri bawaan seperti pengenalan wajah, sidik jari, serta iris atau retina mata.
Verifikasi Transaksi Keuangan
Dalam transaksi, Pasal 9 ayat (1) mewajibkan dua faktor autentikasi untuk setiap verifikasi transaksi keuangan. Ayat (2) mengizinkan bank menerapkannya per transaksi atau dengan batasan tertentu, asalkan didasarkan pada analisis risiko bank dan persetujuan nasabah.
Regulator memberi contoh konkret di penjelasan Pasal 9, yaitu nasabah mendaftarkan ponselnya lalu memasukkan kata sandi sebagai dua faktor. Setelah itu, bank boleh tidak meminta kata sandi lagi untuk transaksi di bawah Rp500.000, selama batas itu ditetapkan lewat analisis risiko dan disetujui nasabah.
Sanksi dan Kewajiban Pendukung
Bank yang melanggar Pasal 5 ayat (6), ayat (7), atau Pasal 9 ayat (1) dikenai teguran tertulis menurut Pasal 19. Jika bank tetap melanggar setelah ditegur, OJK dapat membekukan layanan digital tertentu, melarang layanan digital baru, atau menurunkan tingkat kesehatan bank.
POJK yang sama mewajibkan bank mengedukasi nasabah agar memakai faktor autentikasi yang memadai (Pasal 28). Saat mengajukan izin layanan digital baru, bank juga harus menjelaskan spesifikasi tiap faktor, misalnya panjang kata sandi dan ambang keyakinan pengenalan wajah.
Baca juga: 2FA vs MFA: Memahami Perbedaan Arsitektur Autentikasi untuk Perlindungan Data Perusahaan
PADG 24/2024: Metode Autentikasi Sesuai Profil Risiko Siber
Bank Indonesia tidak menetapkan jumlah faktor, tetapi mewajibkan penyelenggara yang diawasinya memakai metode autentikasi dan otorisasi sesuai profil risiko siber (Pasal 23 huruf e PADG 24/2024). Penjelasan pasal itu membedakan autentikasi satu faktor, dua faktor, dan multifaktor beserta contohnya.
Kata sandi saja tergolong satu faktor, kata sandi ditambah token tergolong dua faktor, sedangkan gabungan kata sandi, token, dan biometrik tergolong multifaktor. Dengan pembagian ini, penyelenggara perlu bisa menjelaskan mengapa metode pilihannya untuk setiap sistem sepadan dengan risikonya.
Penyelenggara yang memakai sistem pihak lain atau sistem sendiri tanpa koneksi langsung ke Bank Indonesia tetap wajib menerapkan metode autentikasi ini (Pasal 63 dan Pasal 64 huruf n). Pasal 22 huruf a juga mewajibkan manajemen akses logis, misalnya pengelolaan nama akun dan kata sandi.
Untuk akses admin ke sistem pembayaran dan akses jarak jauh, pilih MFA sejak awal. Dalam audit tahunan yang diwajibkan Pasal 12, kata sandi saja sulit dipertahankan sebagai metode yang sepadan untuk akses berisiko tinggi.
Dasar Hukum MFA bagi Perusahaan di Luar Sektor Keuangan
Dasar hukum MFA bagi perusahaan di luar perbankan dan sistem pembayaran adalah kewajiban mengamankan data pribadi dalam UU PDP. Kewajiban itu mengikat setiap perusahaan yang mengolah data pelanggan atau karyawan, apa pun sektornya.
Pasal 35 UU PDP mewajibkan pengendali menerapkan langkah teknis operasional dan menentukan tingkat keamanan sesuai sifat serta risiko data. Pasal 39 menambahkan kewajiban mencegah akses tidak sah dengan sistem keamanan dan sistem elektronik yang andal, aman, dan bertanggung jawab.
Kedua kewajiban itu juga berlaku bagi prosesor menurut Pasal 52, misalnya penyedia cloud atau vendor penggajian yang mengolah data atas nama Anda. Pelanggarannya dapat berujung sanksi administratif menurut Pasal 57, mulai peringatan tertulis sampai denda.
Undang-undang ini tidak menentukan metode autentikasi, tetapi kata sandi tunggal mudah dicuri lewat phishing atau dipakai ulang di layanan lain. Karena itu, aktifkan MFA minimal pada akun admin dan aplikasi yang menyimpan data pelanggan atau karyawan.
Contohnya, klinik yang menyimpan rekam medis di aplikasi cloud sebaiknya mewajibkan MFA bagi semua akun dokter dan admin. Data kesehatan termasuk data pribadi spesifik dalam UU PDP, sehingga kebocorannya berdampak lebih besar bagi pasien.
Standar Internasional yang Juga Mewajibkan MFA
Di luar regulasi nasional, standar internasional yang paling relevan bagi perusahaan pemroses pembayaran di Indonesia adalah PCI DSS, yaitu standar keamanan data kartu pembayaran. Standar ini berlaku bagi merchant, pemroses pembayaran, penerbit kartu, dan penyedia layanan yang menangani data kartu.
Kewajiban mematuhi PCI DSS datang dari program kepatuhan jaringan kartu dan bank acquirer, bukan dari undang-undang. Persyaratan 8.4.2 mewajibkan MFA untuk semua akses ke cardholder data environment (CDE), yaitu lingkungan sistem yang menyimpan, memproses, atau mengirimkan data kartu.
FAQ resmi PCI Security Standards Council (PCI SSC) menambahkan bahwa akses ke sistem lain yang bisa dipakai untuk masuk ke CDE juga wajib memakai MFA. Fokusnya berbeda dari POJK 21/2023, karena PCI DSS mengatur akses karyawan dan admin ke sistem, sedangkan POJK menitikberatkan verifikasi nasabah dan transaksi.
Langkah Menyiapkan MFA agar Siap Diaudit
Cara paling aman memenuhi regulasi MFA adalah memperlakukannya sebagai kontrol yang harus bisa Anda buktikan saat audit. Lima langkah berikut membantu Anda menyiapkan bukti itu sebelum auditor atau mitra pembayaran memintanya.
- Petakan aturan yang mengikat bisnis Anda. Bank umum mengacu pada POJK 21/2023, penyelenggara sistem pembayaran pada PADG 24/2024, pemroses data kartu pada PCI DSS, dan semua perusahaan pada UU PDP.
- Daftar titik akses berisiko tinggi. Mulailah dari akun admin, akses jarak jauh seperti VPN, email perusahaan, konsol cloud, serta aplikasi yang menyimpan data pribadi atau data kartu.
- Pilih faktor sesuai tingkat risiko. OTP lewat SMS rentan dibajak melalui SIM swap, jadi gunakan aplikasi autentikator atau security key berbasis FIDO2 untuk akun admin.
- Dokumentasikan setiap pengecualian. Jika Anda membebaskan transaksi kecil atau sistem tertentu dari MFA, simpan analisis risiko dan persetujuannya seperti contoh di penjelasan Pasal 9 POJK 21/2023.
- Arsipkan bukti dan jalankan edukasi rutin. Simpan kebijakan autentikasi beserta daftar sistem yang wajib MFA, lalu pastikan log login bisa ditarik saat auditor memintanya. Jadwalkan juga edukasi bagi pengguna, karena POJK 21/2023 mewajibkannya dan PADG 24/2024 memintanya minimal setahun sekali.
Baca juga: Cara Implementasi MFA di Perusahaan Agar Akses Karyawan Tetap Aman Setiap Saat
Kesimpulan
Indonesia sudah memiliki regulasi MFA, tetapi kewajibannya baru tegas di sektor keuangan. POJK 21/2023 menuntut bank umum memakai minimal dua faktor autentikasi, sedangkan PADG 24/2024 meminta metode autentikasi sesuai profil risiko siber.
Bisnis di luar sektor keuangan tetap wajib mencegah akses tidak sah ke data pribadi menurut UU PDP. Jika Anda memproses data kartu pembayaran, PCI DSS menambah kewajiban MFA untuk setiap akses ke CDE.
Langkah pertama minggu ini adalah memetakan aturan yang berlaku bagi bisnis Anda, lalu mendaftar akun admin dan akses jarak jauh yang belum memakai MFA. Setelah itu, prioritaskan faktor yang tahan phishing dan simpan buktinya untuk audit.
Siap Mengelola Identitas Digital sebagai Strategi Keamanan Bisnis?
Request demo sekarang dan pelajari bagaimana solusi IAM membantu memusatkan proses login pengguna melalui Single Sign-On (SSO), mengotomatisasi onboarding karyawan, serta melindungi data perusahaan dari akses tidak sah tanpa mengganggu produktivitas akibat login berulang.
FAQ
Penjelasan POJK 21/2023 memasukkan OTP sebagai bagian faktor kepemilikan, sehingga kata sandi ditambah OTP dapat dihitung sebagai dua faktor. Untuk verifikasi data nasabah secara jarak jauh, kombinasi ini belum cukup karena Pasal 5 ayat (7) meminta salah satu faktornya berupa biometrik.
Tidak ada aturan yang secara khusus mewajibkan MFA bagi UMKM, tetapi UU PDP berlaku bagi semua pengendali data pribadi tanpa batas omzet. Jadi, UMKM yang menyimpan data pelanggan sebaiknya mengaktifkan MFA di email bisnis dan akun admin aplikasi terlebih dahulu.
UU ITE tidak menyebut MFA secara langsung. Undang-undang ini mewajibkan setiap penyelenggara sistem elektronik menjalankan sistemnya secara andal dan aman, dan MFA adalah salah satu kontrol paling mudah dibuktikan untuk kewajiban tersebut.
Wajib jika kejadiannya tergolong insiden siber atau kegagalan pelindungan data pribadi. Penyelenggara yang diawasi Bank Indonesia wajib mengirim notifikasi awal paling lama 1 jam, sedangkan UU PDP mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam.
PCI SSC menerima passkey tersinkron yang sesuai persyaratan FIDO2 sebagai faktor tunggal untuk persyaratan 8.4.2. Untuk akses admin ke CDE dan akses jarak jauh, passkey tetap harus digabung dengan faktor lain seperti PIN atau biometrik.
