Risiko Keamanan pada Sistem Pembayaran Digital QRIS: Pendekatan NIST SP 800–30

Oleh: Fenza Oktaviano 1232002018 | Publikasi: Medium.com | Kategori: Teknologi & Keamanan Informasi

Abstrak — Seiring dengan popularitas QRIS sebagai sistem untuk pembayaran digital terintegrasi di Indonesia, berbagai macam masalah keamanan siber seringkali pun muncul yang memerlukan pendekatan manajemen risiko yang sistematis. Dengan menggunakan kerangka kerja NIST SP 800–30, artikel ini menganalisis bagaimana ancaman terhadap keamanan ekosistem QRIS dan mengidentifikasi lima ancaman utama: seperti pemalsuan kode QR, serangan man-in-the-middle, phishing, ancaman dari dalam, dan serangan terhadap infrastruktur GPN. Hasil analisis ini menunjukkan bahwa, karena dampaknya yang langsung terhadap keuangan, penggantian stiker kode QR menimbulkan risiko tertinggi. Untuk mempertahankan kepercayaan terhadap ekosistem pembayaran digital Indonesia, artikel ini menyimpulkan bahwa pendekatan manajemen risiko proaktif yang didasarkan pada kerangka kerja sangatlah penting.

Kata Kunci: QRIS, NIST SP 800–30, Penilaian Risiko, Keamanan Siber, Pembayaran Digital, Fintech, Indonesia

Abstract — Due to the popularity of QRIS as an integrated digital payment system in Indonesia, cybersecurity issues have emerged that require a systematic risk management approach. Using the NIST SP 800–30 framework, this article analyzes threats to the security of the QRIS ecosystem and identifies five major threats: QR code forgery, man-in-the-middle attacks, phishing, insider threats, and attacks on the GPN infrastructure. The analysis results indicate that, due to its direct financial impact, QR code sticker replacement poses the highest risk. To maintain trust in Indonesia’s digital payment ecosystem, this article concludes that a proactive risk management approach based on a framework is essential.

Keywords: QRIS, NIST SP 800–30, Risk Assessment, Cybersecurity, Digital Payment, Fintech, Indonesia

Pendahuluan

1.1 Latar Belakang

Quick Response Code Indonesian Standard, atau yang mungkin lebih dikenal sebagai QRIS, telah mengubah cara dari jutaan orang bertransaksi sejak saat diluncurkan oleh Bank Indonesia pada 17 Agustus 2019. Pada tahun 2023, jumlah merchant QRIS di Indonesia telah melebihi 30 juta. Volume transaksi penggunaan Qris mencapai miliaran per tahun (Bank Indonesia, 2023). Dari warung nasi padang di pojok gang sempit hingga pusat perbelanjaan modern, serta dari donasi masjid hingga parkir berbayar, QRIS ada di mana-mana.

Namun dibalik kemudahan yang luar biasa ini, tersembunyi lapisan risiko keamanan yang jarang dibicarakan secara terbuka. Artikel ini mencoba membedah risiko-risiko tersebut menggunakan kerangka kerja manajemen risiko yang diakui secara internasional: NIST Special Publication 800–30 (NIST SP 800–30).

1.2 Apa Itu QRIS dan Bagaimana Cara Kerjanya?

QRIS adalah standar kode QR nasional yang menyatukan berbagai platform pembayaran digital di Indonesia mulai dari GoPay, OVO, DANA, LinkAja, ShopeePay, hingga mobile banking berbagai bank ke dalam satu kode QR yang sama. Artinya, kamu tidak perlu memiliki aplikasi yang sama dengan merchant untuk bisa melakukan transaksi.

1.3 Mekanisme kerja QRIS

Mekanisme kerja QRIS secara sederhana:

1. Penjual mendaftar ke bank yang menerima pembayaran atau platform pembayaran.
2. Sistem membuat kode QR yang berbeda untuk setiap transaksi sesuai dengan standar Bank Indonesia.
3. Pembeli melakukan pemindaian menggunakan aplikasi pembayaran apa saja yang memiliki logo QRIS.
4. Informasi transaksi diproses melalui sistem pembayaran nasional.
5. Pemberitahuan tentang transaksi akan dikirimkan ke kedua belah pihak dalam beberapa detik.

Gambar 1: Ilustrasi alur transaksi QRIS dari pembeli ke merchant melalui sistem switching nasional

Dari diagram sederhana di atas, sudah terlihat bahwa ada banyak beberapa aktor yang terlibat: aplikasi pembeli, jaringan internet, server payment aggregator, sistem switching GPN, dan sistem merchant. Setiap node dalam rantai atau hubungan ini berpotensi menjadi titik kelemahan.

Metode Penelitian

2.1 Mengenal NIST SP 800–30: Panduan resiko manajemen yang Menyeluruh

NIST SP 800–30 merupakan dokumen panduan yang diterbitkan oleh National Institute of Standards and Technology (NIST) lembaga federal Amerika Serikat di bawah Departemen Perdagangan. Dokumen ini berjudul lengkap “Guide for Conducting Risk Assessments” dan merupakan bagian dari seri panduan keamanan informasi NIST SP 800.

2.2 Mengapa NIST SP 800–30?

NIST SP 800–30 bukan hanya sekadar panduan teknis biasa. Ini adalah cara berpikir yang teratur tentang bagaimana suatu organisasi, apakah itu perusahaan fintech kecil, bank besar, atau lembaga pemerintah, seharusnya menjawab pertanyaan: “Seberapa aman sistem kita, dan langkah apa yang perlu diambil untuk meningkatkan keamanannya? “

Dokumen ini mendefinisikan risiko sebagai fungsi dari tiga komponen utama:

Risiko = Ancaman × Kerentanan × Dampak

Secara khusus, NIST SP 800–30 mendefinisikan risiko keamanan informasi sebagai berikut:

“A gauge of the degree to which a prospective event or circumstance poses a threat to an entity, often determined by: (i) the negative repercussions that would result if the event or circumstance were to occur; and (ii) the probability of occurrence”.

2.3 Tiga Tingkatan Penilaian Risiko NIST SP 800–30

NIST SP 800–30 menggunakan cara bertahap dalam menilai risiko:

Tingkat 1: Organisasi (Tingkat Tata Kelola) Menekankan strategi bisnis dan seberapa banyak risiko yang bisa diterima oleh seluruh organisasi. Pertanyaan yang mungkin muncul di tingkat ini adalah: “Berapa besar kerugian yang bisa ditanggung oleh bisnis kita? “

Tingkat 2: Proses Bisnis (Tingkat Misi/Proses Bisnis) Menentukan bagaimana risiko teknologi informasi mempengaruhi proses bisnis yang penting. Dalam konteks QRIS: bagaimana masalah pada sistem pembayaran digital berpengaruh pada operasi pedagang?

Tingkat 3: Sistem Informasi (Tingkat Sistem Informasi) Melakukan analisis teknis yang mendalam terhadap bagian-bagian sistem, aset informasi, serta pengendalian keamanan yang ada.

Gambar 2: Tiga tingkatan penilaian risiko dalam kerangka NIST SP 800–30

Tier 1 — Tingkat Organisasi (paling atas) Ini adalah level paling tertinggi yang berfokus pada pandangan secara keseluruhan. Pada tahap ini, organisasi akan menetapkan kebijakan risiko dalam keseluruhan melalui tiga elemen: Tata Kelola (strategi dan kebijakan), Toleransi Risiko (seberapa banyak kerugian yang dapat ditoleransi), dan Aturan & Hukum (PBI, OJK, BSSN). Dalam hal QRIS, Bank Indonesia berfungsi di tingkat ini dengan membuat regulasi untuk keamanan pembayaran digital di seluruh negara.

Tier 2 — Tingkat Proses Bisnis (tengah) Tingkat ini menerjemahkan kebijakan dari Tingkat 1 menjadi tindakan nyata. Fokus di sini adalah bagaimana risiko teknologi informasi mempengaruhi proses bisnis utama, apa konsekuensinya jika terjadi gangguan, dan bagaimana desain sistem dibuat untuk menjaga keamanan. Contohnya: jika GPN terganggu, seluruh operasi merchant QRIS di Indonesia akan terpengaruh.

Tier 3 — Tingkat Sistem Informasi (paling bawah) Ini adalah level paling teknis yang memberikan detail mendalam. Memuat analisis bagian-bagian infrastruktur teknologi informasi, menemukan kerentanan teknis yang bisa dimanfaatkan, dan menilai kontrol keamanan seperti enkripsi, autentikasi, dan pemantauan. Sebagai contoh: memeriksa apakah enkripsi TLS pada transaksi QRIS cukup baik.

3.1 Proses Penilaian Risiko NIST SP 800–30: Langkah demi Langkah

NIST SP 800–30 mendefinisikan empat langkah utama dalam proses penilaian risiko:

3.1.1 Langkah 1: Prepare for Assessment (Persiapan Penilaian)

Berikut adalah tahap organisasi yang mendefinisikan konteks dari penilaian risiko:

• Tujuan dan ruang lingkup penilaian
• Asumsi dan batasan
• Sumber informasi yang akan digunakan
• Model risiko yang akan dipakai (termasuk faktor-faktor risiko dan skala penilaian)

Untuk konteks QRIS, tahap persiapan melibatkan pemahaman mendalam tentang arsitektur sistem, regulasi Bank Indonesia terkait keamanan pembayaran digital, dan identifikasi semua pihak yang terlibat (stakeholder).

3.1.2 Langkah 2: Conduct the Assessment (Pelaksanaan Penilaian)

Ini adalah inti dari seluruh proses. NIST SP 800–30 membagi langkah ini menjadi lima sub-aktivitas:

3.1.2.1 Identifikasi Sumber Ancaman (Threat Sources)

Mengkategorikan siapa atau apa yang bisa mengancam sistem. NIST membagi sumber ancaman menjadi:

• Adversarial threats: Pelaku kejahatan siber, kompetitor yang tidak bermoral, insider threat
• Accidental threats: Kesalahan pengguna, kegagalan perangkat keras
• Structural threats: Kegagalan infrastruktur, bencana alam
• Environmental threats: Pemadaman listrik, kondisi cuaca ekstrem

3.1.2.2 Identifikasi Kejadian Ancaman (Threat Events)

Kejadian spesifik yang bisa terjadi akibat sumber ancaman di atas. Contoh: phishing, SQL injection, man-in-the-middle attack.

3.1.2.3 Identifikasi Kerentanan (Vulnerabilities)

Kelemahan dalam sistem yang bisa dieksploitasi oleh ancaman. Contoh: enkripsi yang lemah, autentikasi yang tidak memadai.

3.1.2.4 Penentuan Kemungkinan (Likelihood Determination)

Seberapa besar kemungkinan suatu kejadian ancaman benar-benar terjadi dan berhasil mengeksploitasi kerentanan yang ada.

3.1.2.5 Penentuan Dampak (Impact Determination)

Seberapa besar kerugian yang ditimbulkan jika ancaman berhasil terealisasi diukur dari dampak terhadap kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) informasi, atau yang dikenal sebagai CIA Triad.

3.1.3 Langkah 2: Communicate Results (Komunikasi Hasil)

Hasil penilaian risiko harus dikomunikasikan kepada semua pemangku kepentingan yang relevan dalam format yang dapat dipahami dan ditindaklanjuti.

3.1.4 Langkah 3: Maintain Assessment (Pemeliharaan Penilaian)

Penilaian risiko bukan kegiatan sekali jalan. Seiring berkembangnya teknologi dan lanskap ancaman, penilaian harus diperbarui secara berkala.

Hasil dan Pembahasan

4.1 Analisis Risiko Keamanan QRIS Menggunakan NIST SP 800–30

menerapkan framework NIST SP 800–30 secara konkret pada sistem QRIS.

Aset yang Perlu Dilindungi

Sebelum mengidentifikasi ancaman, kita perlu memetakan aset kritis dalam ekosistem QRIS:

Gambar 3: Aset dan NIlai Kritis Yang Perlu Dilindungi

4.1.1 Ancaman 1: QR Code Tampering (Pemalsuan Kode QR)

Deskripsi Ancaman: Ini adalah jenis ancaman yang paling mudah dimengerti dan sudah sering terjadi di Indonesia. Orang-orang melakukan penipuan dengan mengganti stiker QRIS asli dari pedagang dengan yang palsu supaya uangnya masuk ke rekening mereka sendiri.

Sumber Ancaman: Dari pihak yang tidak bertanggung jawab (pelaku kejahatan yang terorganisir serta yang mengambil kesempatan).

Kerentanan yang Dieksploitasi:

• Tidak ada cara untuk memeriksa QR code dan bukti identitas penjual dengan segera
• Penjual jarang memeriksa kondisi stiker QRIS mereka secara teratur
• Pengguna sering langsung melakukan pembayaran tanpa mengecek nama penjual yang muncul

Kemungkinan Terjadi: TINGGI — sudah ada laporan mengenai kejadian ini di berbagai tempat di Indonesia

Dampak: TINGGI — kerugian uang secara langsung bagi pembeli, serta kerusakan pada nama baik penjual

Rekomendasi Mitigasi (NIST SP 800–30):

• Penerapan kontrol keamanan fisik: melapisi stiker QRIS, menempatkan stiker di lokasi yang sulit dijangkau orang banyak
• Memberi tahu pengguna agar selalu memeriksa nama penjual sebelum menyetujui pembayaran
• Bank atau fintech harus menambahkan cara yang lebih jelas untuk mengonfirmasi nama penjual di antarmuka aplikasi

Gambar 4: kasus penggantian stiker QRIS oleh pihak tidak bertanggung jawab

4.1.2 Ancaman 2: Man-in-the-Middle (MitM) Attack

Deskripsi Ancaman: Penyerang menempatkan diri di antara perangkat pengguna dan server pembayaran, sehingga mereka dapat menangkap dan mungkin mengubah informasi transaksi yang dikirim.

Sumber Ancaman: Pihak yang bersikap jahat (hacker dengan keahlian teknis tinggi)

Kerentanan yang dieksploitasi:

• Menggunakan jaringan Wi-Fi umum yang tidak dilindungi
• Penerapan SSL/TLS yang tidak baik (melewatkan validasi sertifikat)
• Perangkat pengguna yang tidak diperbarui (kurang patch keamanan)

Kemungkinan Terjadi: SEDANG — memerlukan keahlian teknis tertentu, tetapi alatnya semakin mudah didapatkan

Dampak: SANGAT TINGGI — penyerang dapat mencuri informasi login dan data keuangan secara lengkap

Rekomendasi Mitigasi:

• Memaksakan HTTPS dengan HSTS (Keamanan Transportasi HTTP Ketat)
• Penyimpanan sertifikat pada aplikasi seluler
• Deteksi transaksi yang tidak biasa menggunakan AI/ML
• Mendidik pengguna agar tidak melakukan transaksi keuangan di jaringan publik

4.1.3 Ancaman 3: Phishing dan Social Engineering

Deskripsi Ancaman: Pelaku membuat situs web atau aplikasi yang palsu dan mirip dengan layanan QRIS resmi untuk mencuri informasi pribadi pengguna. Variasi lainnya adalah melalui WhatsApp atau SMS yang mengirimkan “tautan pembayaran QRIS” yang tidak benar.

Sumber Ancaman: Kelompok penjahat siber

Kerentanan yang Dieksploitasi:

• Kurangnya pemahaman digital di kalangan pengguna
• Kemudahan dalam menciptakan situs web yang menyerupai aslinya
• Tingkat kepercayaan yang tinggi terhadap merek QRIS

Kemungkinan Terjadi: SANGAT TINGGI — phishing merupakan salah satu cara serangan yang paling umum di Indonesia

Dampak: TINGGI — hilangnya akses akun, kerugian finansial

Rekomendasi Mitigasi:

• Penggunaan autentikasi multi-faktor (MFA) wajib untuk setiap transaksi
• Sistem pemantauan untuk mendeteksi phishing berbasis domain
• Program pendidikan tentang keamanan siber yang luas dan berkelanjutan
• Sistem pelaporan yang mudah untuk URL yang mencurigakan

4.1.4 Ancaman 4: Insider Threat dan Data Breach pada Penyedia Layanan

Deskripsi Ancaman: Karyawan atau pekerja kontrak yang mempunyai akses ke sistem pembayaran internal menggunakan kekuasaan mereka untuk mencuri informasi transaksi atau mengubah sistem.

Sumber Ancaman: Musuh + Tidak sengaja (individu dalam yang memiliki niat jahat atau tidak hati-hati)

Kerentanan yang Dieksploitasi:

• Akses yang terlalu luas (prinsip hak akses minimal tidak diterapkan)
• Lemahnya pencatatan audit dan pemantauan aktivitas di dalam
• Proses pemeriksaan latar belakang karyawan yang tidak cukup baik
• Kemungkinan Terjadi: SEDANG tetapi dampaknya bisa sangat besar

Dampak: KRITIS satu ancaman dari dalam bisa membocorkan data jutaan pengguna sekaligus

Rekomendasi Mitigasi:

• Menerapkan Arsitektur Zero Trust
• Kontrol akses berdasarkan peran (RBAC) yang ketat
• Pemantauan terus menerus aktivitas pengguna internal
• Pemisahan tugas untuk operasi yang sensitif

4.1.5 Ancaman 5: Serangan pada Infrastruktur GPN

Deskripsi Ancaman: Serangan DDoS (Distributed Denial of Service) atau masuknya pihak yang tidak berwenang ke sistem Gerbang Pembayaran Nasional yang menangani semua transaksi QRIS di Indonesia.

Sumber Ancaman: Pihak yang memiliki niat buruk (aktor yang didukung negara, kejahatan siber terorganisir) + Struktur

Kerentanan yang Dieksploitasi:

• Titik tunggal kegagalan dalam desain sistem
• Tingginya kompleksitas sistem meningkatkan area yang bisa diserang
• Ketergantungan pada jaringan telekomunikasi nasional

Kemungkinan Terjadi: RENDAH-SEDANG tetapi risiko semakin tumbuh seiring dengan bertambahnya nilai aset

Dampak: KRITIS gangguan dapat membuat seluruh sistem pembayaran QRIS nasional terhenti

Rekomendasi Mitigasi:

• Pembangunan infrastruktur yang dapat diandalkan dan rencana pemulihan bencana yang lengkap
• Pelaksanaan pengujian penetrasi secara teratur dan program hadiah bug
• Bekerjasama dengan BSSN (Badan Siber dan Sandi Negara)
• Rencana kelangsungan bisnis yang telah teruji

Gambar 5: Matriks penilaian risiko QRIS menggunakan skala likelihood-impact NIST SP 800–30

4.2 Bagaimana NIST SP 800–30 Membantu Bisnis dan Organisasi?

Pertanyaan yang paling dasar yang kerap ditanyakan adalah: mengapa kita memerlukan kerangka kerja semacam ini? Apakah tidak cukup hanya dengan memakai teknologi keamanan yang paling mutakhir?

Penyebabnya adalah: hanya dengan teknologi saja tidak memadai atau tidak cukup.

4.2.1 Memberikan Bahasa yang Sama

NIST SP 800–30 memberikan istilah dan cara yang seragam supaya tim teknis, manajemen perusahaan, dan auditor dapat berkomunikasi dengan cara yang sama mengenai risiko. Ini sangat penting untuk membuat keputusan yang didasarkan pada risiko.

4.2.2 Memprioritaskan Investasi Keamanan

Tidak ada lembaga yang memiliki sumber daya tanpa batas untuk menjaga keamanan siber. Kerangka kerja ini membantu menjawab pertanyaan: “Dari berbagai risiko yang ada, mana yang seharusnya diutamakan untuk ditangani? “ Jawabannya bukan yang paling mudah atau termurah, tetapi yang memiliki risiko paling tinggi (kombinasi likelihood × impact).

Untuk QRIS, investasi pertama harus dilakukan pada sistem yang bisa mendeteksi kode QR yang palsu dan juga memberikan pendidikan kepada pengguna (karena ini memiliki risiko tinggi dan sering terjadi), bukan pada situasi serangan yang didukung oleh negara yang kemungkinannya jauh lebih kecil.

4.2.3 Memenuhi Kepatuhan Regulasi

Bank Indonesia melalui PBI (Peraturan Bank Indonesia) dan SEBI (Surat Edaran Bank Indonesia) mengharuskan penyelenggara sistem pembayaran untuk memiliki pengelolaan risiko yang menyeluruh. Penggunaan NIST SP 800–30 dapat membuktikan bahwa organisasi telah melakukan perhatian yang tepat dalam mengelola risiko keamanan informasi.

4.2.4 Membangun Kepercayaan Pemangku Kepentingan

Bagi perusahaan fintech yang menyertakan QRIS dalam platform mereka, kemampuan untuk menunjukkan bahwa mereka memiliki program pengelolaan risiko yang terencana dan tidak hanya menanggapi masalah adalah keuntungan yang sangat bernilai bagi investor, rekan bisnis, dan para pengatur.

4.2.5 Menciptakan Budaya Keamanan Proaktif

Mungkin ini adalah keuntungan yang paling penting namun paling susah untuk diukur. Organisasi yang menggunakan NIST SP 800–30 secara teratur akan menciptakan pola pikir “keamanan dari awal” di mana aspek keamanan sudah menjadi bagian dari setiap keputusan yang diambil, bukan hanya ditambahkan setelahnya.

4.3 Studi Kasus: Penerapan NIST SP 800–30 pada Merchant UMKM

Mari kita lihat dengan contoh yang konkretnya: Pak Budi, seorang pemilik warung makan yang omzetnya mencapai Rp 5 juta per hari, baru saja mendaftarkan usahanya ke QRIS. Bagaimana NIST SP 800–30 dapat membantunya?

Langkah 1: Persiapan Pak Budi (atau lebih tepatnya, agregator pembayaran yang melayaninya) menentukan bahwa aset utama yang perlu dilindungi adalah: integritas kode QR pedagang, kerahasiaan data transaksi pelanggan, dan ketersediaan layanan pembayaran.

Langkah 2: Lakukan Evaluasi untuk Menentukan Risiko yang Berlaku bagi Usaha Kecil dan Menengah:

• Penggantian label QRIS (Kemungkinan: TINGGI, Dampak: TINGGI)
• Phishing yang menargetkan pelanggan Bapak Budi (Kemungkinan: SEDANG, Dampak: SEDANG)
• Serangan teknologi canggih (Kemungkinan: RENDAH untuk UMKM yang lebih kecil)

Area Fokus Mitigasi:

• Lindungi label QRIS dengan laminasi dan lakukan inspeksi harian setiap pagi
• Pasang pemberitahuan di kasir yang mendorong pelanggan untuk memverifikasi identitas pedagang
• Pastikan aplikasi selalu diperbarui ke versi terbaru

Langkah 3: Berkomunikasi Penyedia pembayaran harus memberitahukan risiko ini kepada semua pedagang dengan menggunakan bahasa yang jelas dan mudah dimengerti — tanpa istilah teknis.

Langkah 4: Memelihara Laksanakan pemeriksaan status stiker QRIS setiap hari sebagai bagian dari rutinitas pembukaan kedai.

Kesederhanaan ini merupakan kekuatan dari NIST SP 800–30: kerangka kerja ini dapat disesuaikan, mulai dari usaha mikro kecil dan menengah hingga bank yang memiliki sistem penting bagi negara.

4.4 Tantangan Implementasi di Indonesia

Meskipun NIST SP 800–30 merupakan kerangka kerja yang sangat lengkap, ada beberapa masalah inti dan khusus dalam penerapannya di Indonesia:

1. Kesenjangan Pengetahuan Digital Sebagian besar pengguna QRIS, terutama di kalangan UMKM dan masyarakat umum, mungin masih belum mempunyai pemahaman dasar tentang keamanan digital. Hal ini membuatnya sangat sulit untuk menerapkan kontrol yang berbasis pada pengguna.

2. Pecahan Ekosistem Dengan banyaknya penyedia layanan QRIS yang masing-masing memiliki standar keamanan yang berbeda, ini menjadi sulit untuk menjaga keseragaman dalam penerapan manajemen risiko di seluruh ekosistem.

3. Kecepatan Inovasi vs. Ketelitian Keamanan Industri fintech berkembang dengan sangat cepat. Ada tekanan dari sisi bisnis untuk meluncurkan fitur baru secepat mungkin, namun penilaian risiko yang menyeluruh memerlukan waktu.

4. Keterbatasan Sumber Daya Tidak semua pihak dalam ekosistem QRIS memiliki cukup sumber daya untuk mempekerjakan tim keamanan informasi yang khusus.

4.5 Rekomendasi Strategis

Berdasarkan analisis dengan menggunakan kerangka NIST SP 800–30, berikut adalah saran yang bisa diterapkan oleh berbagai pihak terkait:

Bagi Bank Indonesia sebagai Pengawas:

• Mengharuskan semua dari penyelenggara QRIS untuk melakukan penilaian risiko formal setiap tahun dengan metode yang diakui seperti NIST SP 800–30.
• Membangun platform intelijen ancaman terpusat untuk sistem pembayaran digital di negara ini.
• Mengembangkan standar keamanan minimal yang harus dipenuhi oleh semua pihak.

Bagi Penyedia Jasa Pembayaran dan Fintech:

• Berinvestasi dalam Security Operations Center (SOC) yang dapat memantau selama 24 jam setiap hari.
• Menerapkan program bug bounty untuk mendorong pelaporan yang bertanggung jawab dari komunitas keamanan.
• Mengintegrasikan penilaian risiko dalam Siklus Hidup Pengembangan Perangkat Lunak (SDLC).

Bagi Pedagang:

• Selalu periksa kondisi fisik stiker QRIS sebelum mulai beroperasi.
• Rekonsiliasi transaksi harian tanpa terkecuali.
• Segera laporkan jika ada anomali dalam transaksi ke bank atau penyedia layanan.

Bagi Pengguna:

• Selalu periksa nama dari pedagang tersebut sebelum mengonfirmasi pembayaran.
• Gunakan jaringan internet yang aman saat melakukan transaksi.
• Aktifkan notifikasi transaksi secara real-time.
• Jangan pernah berbagi PIN atau OTP dengan siapapun.

Gambar 6: Infografis tips keamanan bertransaksi menggunakan QRIS untuk pengguna awam

Kesimpulan

Dalam proses menuju keuangan digital yang menyeluruh, QRIS merupakan atau salah satu terobosan terpenting di Indonesia. Kini, jutaan transaksi dapat diselesaikan dengan secara digital, aman, dan efisien, tanpa perlu menggunakan uang kertas/uang tunai.

Namun, “aman” di sini tidak atau bukan berarti tidak adanya ancaman. Sebaliknya, hal ini lebih mengarah kepada risiko yang dipahami, ditangani, dan diatasi dengan baik.

NIST SP 800–30 memberikan kita panduan dan petunjuk tentang bagaimana cara melakukannya. Tujuannya bukan hanya untuk membuat kita takut pada teknologi, melainkan agar kita dapat menggunakannya dengan pemahaman penuh tentang risiko yang terlibat dan mengambil langkah-langkah pencegahan yang diperlukan.

Di era saat ini, ketika satu transaksi QRIS melibatkan banyak pihak dan banyak data penting berpindah dalam waktu singkat, pengelolaan risiko menjadi penting. Ini menunjukkan bahwa sistem pembayaran digital memerlukan pengelolaan risiko yang terstruktur dan berkelanjutan selain teknologi (National Institute of Standards and Technology, 2012).

Referensi

1. National Institute of Standards and Technology. (2012). Guide for Conducting Risk Assessments: NIST Special Publication 800–30 Revision 1. U.S. Department of Commerce. https://doi.org/10.6028/NIST.SP.800-30r1
2. Bank Indonesia. (2019). Peraturan Bank Indonesia Nomor 21/18/PBI/2019 tentang Penyelenggaraan Teknologi Finansial. Bank Indonesia.
3. Bank Indonesia. (2023). Laporan Sistem Pembayaran dan Pengelolaan Uang Rupiah 2023. Bank Indonesia. https://www.bi.go.id
4. Badan Siber dan Sandi Negara (BSSN). (2023). Laporan Tahunan Keamanan Siber Indonesia 2023. BSSN. https://www.bssn.go.id
5. Otoritas Jasa Keuangan. (2022). Roadmap Pengembangan dan Penguatan Layanan Keuangan Digital 2023–2027. OJK.
6. ISO/IEC. (2022). ISO/IEC 27005:2022 Information Security, Cybersecurity and Privacy Protection — Guidance on Managing Information Security Risks. International Organization for Standardization.
7. Payment Card Industry Security Standards Council. (2022). PCI DSS v4.0: Payment Card Industry Data Security Standard. PCI SSC.
8. Kaspersky. (2023). Cybersecurity in ASEAN Financial Services: Threats, Trends, and Responses. Kaspersky Lab.
9. Pranggono, B., & Arabo, A. (2021). COVID-19 pandemic cybersecurity issues. Internet Technology Letters, 4(2), e247. https://doi.org/10.1002/itl2.247
10. Wirjoatmodjo, W. (2022). Transformasi Digital Sistem Pembayaran Indonesia: Strategi dan Implementasi. PT Elex Media Komputindo.
11. Ross, R., et al. (2019). Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy — NIST SP 800–37 Rev. 2. NIST. https://doi.org/10.6028/NIST.SP.800-37r2
12. Tempo.co. (2024). Marak Penipuan QRIS, Ini Tips Aman Bertransaksi Digital. Tempo Interactive. https://www.tempo.co