Requisiti di penetration test in Indonesia: OJK, Bank Indonesia e BSSN

Il POJK 11/POJK.03/2022 sull'uso delle tecnologie dell'informazione da parte delle banche commerciali ha sostituito il POJK 38/2016 ed è in vigore dal 7 ottobre 2022. Gli obblighi di test sono negli articoli da 23 a 26:

• Articolo 23. Le banche devono eseguire test di sicurezza informatica basati su (a) analisi delle vulnerabilità e (b) scenari.
• Articolo 24. I test di analisi delle vulnerabilità vanno eseguiti periodicamente e i risultati comunicati all'OJK. La norma non fissa un numero.
• Articolo 25. I test a scenari vanno eseguiti almeno una volta l'anno. Coprono obiettivi, perimetro e scenari, esecuzione, valutazione e una verifica dell'efficacia di mitigazione, risposta e ripristino. Il report, con sintesi, lezioni apprese e interventi correttivi, va all'OJK entro 10 giorni lavorativi dalla fine del test.
• Articolo 26. Le banche devono avere una funzione di resilienza e sicurezza informatica indipendente dalla gestione dell'IT.

La SEOJK 29/SEOJK.03/2022 sulla resilienza e sicurezza informatica delle banche commerciali (27 dicembre 2022) aggiunge i dettagli. Secondo Kontan e la sintesi di Assegaf Hamzah & Partners, il test sulle vulnerabilità è periodico, basato sulla valutazione della banca stessa, e parte dall'identificazione delle vulnerabilità seguita da un penetration test. Il test a scenari può essere un'esercitazione da tavolo, un'esercitazione su cyber range, un'esercitazione di social engineering o una simulazione di attacco avversario, svolta sotto stretto controllo. Entrambi possono essere eseguiti internamente o da terzi.

In pratica: l'OJK non prescrive un calendario dei pentest, ma si aspetta una cadenza documentata e basata sul rischio che tu possa difendere, e un'esercitazione a scenari ogni anno.

Bank Indonesia regola i fornitori di servizi di pagamento, i gestori delle infrastrutture di pagamento e gli operatori del mercato monetario e dei cambi con il PBI 2/2024 sulla sicurezza dei sistemi informativi e la resilienza informatica e con il regolamento attuativo PADG 24/2024 (in vigore dal 31 dicembre 2024).

• Scansione delle vulnerabilità di applicazioni, infrastruttura e dati, basata sul profilo di rischio informatico, che secondo la relazione illustrativa comprende penetration test e vulnerability assessment. Può essere svolta internamente e/o da terzi ed è valutata almeno una volta l'anno.
• Audit di sicurezza almeno una volta l'anno. Gli auditor esterni devono essere indipendenti e registrati presso l'organismo di autoregolamentazione del settore o un'altra autorità.
• Simulazione di risposta agli incidenti almeno una volta l'anno, anche con il coinvolgimento di terzi.
• Evidenze. I report di penetration test sono tra i documenti a supporto della rendicontazione a Bank Indonesia. Il primo report annuale, relativo al 2025, era dovuto a gennaio 2026.

• Le banche commerciali islamiche rientrano nel POJK 11/2022 e nella SEOJK 29/2022 come le banche convenzionali.
• Le banche rurali (BPR e BPRS) hanno un proprio regolamento IT, il POJK 34/2025, che entra in vigore circa un anno dopo la promulgazione di dicembre 2025.
• Gli istituti finanziari non bancari (assicurazioni, società finanziarie e altri) restano sotto il POJK 4/POJK.05/2021, che fissa obblighi generali di sicurezza delle informazioni e impone di collocare i sistemi in Indonesia salvo autorizzazione dell'OJK. Non contiene una clausola esplicita sul penetration test.
• Il prestito peer-to-peer è ora regolato dal POJK 40/2024, in vigore dal 27 dicembre 2024.

Per questi settori verifica con la tua funzione compliance le circolari attuative in vigore: i dettagli sui test di solito sono lì, non nel regolamento.

• Il Perpres 82/2022 sulla protezione delle infrastrutture informative vitali (infrastrutture critiche, tra cui il settore finanziario) impone agli operatori di applicare standard di sicurezza delle informazioni, gestire il rischio informatico, svolgere simulazioni di risposta agli incidenti, condurre un'autovalutazione della maturità di sicurezza almeno una volta l'anno e segnalare gli incidenti entro 24 ore. Non nomina il penetration test.
• Il Regolamento BSSN 8/2020 sulla sicurezza dei sistemi elettronici classifica i sistemi come strategici, alti o bassi e richiede SNI ISO/IEC 27001 e/o gli standard BSSN.
• Il Regolamento BSSN 8/2024 sugli audit di sicurezza dei sistemi di e-government (SPBE) richiede audit almeno annuali per infrastrutture nazionali e applicazioni generali, svolti da auditor registrati presso BSSN.

Il penetration test è il modo pratico per dimostrare che i controlli richiesti da questi standard funzionano, ma per i sistemi pubblici l'obbligo formale è l'audit.

La Legge 27/2022 sulla protezione dei dati personali (UU PDP) impone ai titolari di proteggere e garantire la sicurezza dei dati personali con misure tecniche e organizzative adeguate al rischio (articolo 35). Il periodo transitorio di due anni si è chiuso il 17 ottobre 2024. Il regolamento attuativo, PP 33/2026, entra in vigore il 16 gennaio 2027 e a ottobre 2026 l'autorità di controllo non è ancora operativa.

La legge non prescrive penetration test, ma i test sono la prova abituale che le misure di sicurezza esistono e funzionano.

L'articolo 35 del POJK 11/2022 impone alle banche di collocare i sistemi elettronici in un data center e in un sito di disaster recovery in Indonesia. La collocazione all'estero è ammessa solo con l'autorizzazione dell'OJK e solo per finalità elencate, come analisi di gruppo, gestione del rischio di gruppo o antiriciclaggio; l'OJK decide entro tre mesi. Gli istituti non bancari hanno una regola simile nel POJK 4/2021, e i sistemi elettronici di ambito pubblico previsti dal PP 71/2019 vanno gestiti, elaborati e conservati in Indonesia, salvo che la tecnologia non sia disponibile nel paese.

Un penetration test produce credenziali, mappe di rete e prove di come entrare nella banca. Una piattaforma di test SaaS che le elabora o conserva all'estero, o un modello AI ospitato fuori dal paese che le legge, merita la stessa verifica di localizzazione di qualsiasi altro sistema. Un'appliance che gira dentro il data center della banca, con modelli propri, evita il problema. Vedi la guida al red team AI sovrano.

1. 1Documenta una frequenza basata sul rischio per analisi delle vulnerabilità e penetration test, e i casi che richiedono test aggiuntivi (modifiche rilevanti, nuovi servizi esposti su internet).
2. 2Pianifica ogni anno un'esercitazione a scenari e il report all'OJK entro 10 giorni lavorativi.
3. 3Mantieni la funzione di resilienza informatica indipendente dalla gestione dell'IT e decidi quali test svolgere internamente e quali affidare a terzi.
4. 4Per l'ambito Bank Indonesia: pianifica l'audit di sicurezza annuale con un auditor indipendente registrato e la valutazione annuale delle scansioni; conserva i report di pentest come evidenza.
5. 5Verifica dove ogni strumento di sicurezza elabora e conserva i dati dei test, e se servirebbe l'autorizzazione prevista dall'articolo 35.
6. 6Ritesta le correzioni e conserva le evidenze: l'autorità chiede la correzione, non solo i risultati.

La pagina sui requisiti per normativa confronta l'approccio indonesiano con quello di altri paesi.

Zero Hunt è un red team AI autonomo su un'appliance on-premise: esegue penetration test black box e gray box di reti e infrastrutture dall'interno del tuo data center, con modelli propri, così risultati e credenziali non escono dall'Indonesia. Gli operatori scelgono uno di cinque livelli di autonomia che decidono quali azioni aspettano un'approvazione, e ogni risultato è supportato da evidenze firmate Ed25519 e concatenate con hash, utili per il report a OJK o Bank Indonesia.

Zero Hunt mappa i risultati su 34 framework, tra cui ISO/IEC 27001 (la base del Regolamento BSSN 8/2020) e PCI DSS. Non include un modello di report specifico per OJK, Bank Indonesia o BSSN: la mappatura delle evidenze su quelle regole la fa il tuo team o il tuo partner.

L'OJK richiede un penetration test annuale? Non con queste parole. Il POJK 11/2022 richiede test di analisi delle vulnerabilità periodici e test a scenari almeno una volta l'anno. La SEOJK 29/2022 precisa che il test sulle vulnerabilità parte dall'identificazione delle vulnerabilità ed è seguito da un penetration test, con una frequenza basata sulla valutazione della banca.

Il penetration test deve farlo una società esterna? Per le banche no: la SEOJK 29/2022 ammette test interni o di terzi. Per l'audit di sicurezza annuale di Bank Indonesia, gli auditor esterni devono essere indipendenti e registrati.

I risultati vanno all'autorità? Sì. Le banche comunicano all'OJK i risultati dei test sulle vulnerabilità e i report dei test a scenari entro 10 giorni lavorativi. Bank Indonesia elenca i report di pentest tra le evidenze a supporto.

Una banca può usare una piattaforma di pentest cloud o SaaS ospitata fuori dall'Indonesia? Verificalo con la compliance. Le banche devono tenere i sistemi elettronici in Indonesia salvo autorizzazione dell'OJK per finalità elencate; uno strumento che conserva i dati dei test all'estero va valutato rispetto a questa regola.

E le banche rurali e le assicurazioni? Le banche rurali hanno il POJK 34/2025, in vigore da circa dicembre 2026. Assicurazioni e altri istituti non bancari restano sotto il POJK 4/2021 e la relativa circolare.