Syarat Ujian Penembusan dan SOC di Bawah Dasar RMiT Bank Negara
RMiT meletakkan jangkaan khusus terhadap ujian penembusan, pemantauan keselamatan dan keupayaan respons insiden bagi institusi kewangan. Artikel ini menerangkan kekerapan ujian yang dijangka, keperluan SOC 24/7, pengekalan log, peranan pembekal berakreditasi CREST atau berlesen NACSA, serta hubungan dengan MaCERT untuk pelaporan insiden. Maklumat ini berasaskan amalan industri dan panduan awam. Institusi disyorkan untuk mengesahkan butiran dengan penyelia BNM mereka.
Kekerapan ujian penembusan yang dijangka
Berdasarkan panduan rasmi dan amalan industri Malaysia, institusi kewangan dijangka menjalankan ujian penembusan sekurang-kurangnya setahun sekali ke atas sistem yang terdedah kepada internet dan sistem kritikal. Ujian tambahan biasanya diperlukan selepas perubahan besar, contohnya pelancaran aplikasi perbankan mudah alih baharu, migrasi ke awan atau penambahan integrasi pihak ketiga.
Ujian penembusan bukan sekadar pengimbasan automatik; ia melibatkan eksploitasi manual oleh penguji bertauliah yang menyimulasikan teknik penyerang sebenar. Skop ujian, kaedah dan kelayakan penguji perlu didokumentasikan dan diluluskan oleh fungsi keselamatan dalaman.
- Ujian tahunan untuk aplikasi web dan aplikasi mudah alih perbankan
- Ujian API dan kerentanan logik perniagaan
- Ujian rangkaian dalaman dan luaran
- Ujian khusus untuk integrasi pembekal baharu
- Latihan pasukan merah (red team) berpandukan risikan ancaman bagi institusi yang berkemampuan tinggi
Keperluan SOC 24/7 dan pemantauan
RMiT menjangkakan institusi mempunyai keupayaan pemantauan keselamatan yang aktif. Bagi kebanyakan bank dan institusi besar, hal ini bermaksud SOC 24/7 dengan analis aktif (dalaman, penyumberan luar atau hibrid). SOC perlu menerima telemetri daripada titik kritikal: titik akhir (EDR), rangkaian, log aplikasi, pengurusan identiti dan akses (IAM) dan sistem awan.
Kes penggunaan pengesanan perlu dipetakan kepada ancaman yang relevan dengan sektor kewangan: penipuan transaksi, pengambilalihan akaun, pencurian data dan tanda-tanda awal serangan perisian tebusan (ransomware). Metrik MTTD (purata masa pengesanan) dan MTTR (purata masa respons) perlu dijejaki dan dilaporkan kepada Jawatankuasa Risiko.
Pengekalan log dan keperluan forensik
Log keselamatan ialah aset penting bagi penyiasatan insiden dan audit pematuhan. Walaupun tempoh khusus mungkin berbeza, amalan industri di sektor kewangan Malaysia ialah pengekalan log sekurang-kurangnya 12 bulan dalam talian dan tempoh yang lebih panjang di arkib (storan sejuk atau cold storage).
Log mestilah bersifat kalis usik (tamper-evident), iaitu sebarang pengubahsuaian dapat dikesan, disimpan secara berpusat dan boleh dicari dengan cepat semasa insiden. Banyak institusi menggunakan SIEM atau platform kebolehcerapan moden untuk tujuan ini.
Peranan pembekal berakreditasi CREST dan berlesen NACSA
Pemilihan pembekal ujian dan SOC ialah keputusan usaha wajar yang penting. CREST (Council of Registered Ethical Security Testers) ialah akreditasi antarabangsa yang menyediakan jaminan kualiti penguji.
Selain itu, di bawah rangka kerja NACSA (Akta Keselamatan Siber 2024), pembekal perkhidmatan keselamatan siber tertentu di Malaysia mungkin perlu memperoleh lesen. Institusi kewangan disyorkan memilih pembekal yang mempunyai akreditasi atau lesen yang relevan dan rekod prestasi dalam sektor kewangan.
Nota penting: Maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan untuk merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA, Pesuruhjaya Perlindungan Data Peribadi) dan mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.
- CREST CRT/CCT untuk penguji individu
- CREST OVS untuk syarikat
- Lesen NACSA apabila terpakai
- Rujukan pelanggan dalam sektor kewangan
- Insurans liabiliti profesional yang mencukupi
Pelaporan insiden kepada BNM dan MaCERT
Insiden ketara perlu dilaporkan kepada BNM mengikut garis panduan pelaporan insiden yang berkuat kuasa. Selain itu, MaCERT (Malaysia Computer Emergency Response Team) menyediakan platform perkongsian risikan ancaman yang berguna untuk sektor kewangan.
Institusi disyorkan mempunyai buku panduan operasi respons insiden yang menjelaskan ambang pelaporan, saluran komunikasi dan templat laporan awal. Latihan simulasi meja secara berkala membantu memastikan pasukan bersedia.
Cara memilih gabungan pentest dan SOC yang sesuai
Gabungan yang berkesan menyatukan ujian penembusan ofensif (untuk mencari kelemahan) dengan pemantauan SOC defensif (untuk mengesan eksploitasi). Hasil pentest perlu disalurkan ke dalam kes penggunaan SOC; sebaliknya, telemetri SOC perlu membantu menentukan skop pentest yang seterusnya.
nCrypt Malaysia menyediakan kedua-dua perkhidmatan ini dengan integrasi yang rapat; sila rujuk halaman perkhidmatan ujian penembusan dan SOC kami.
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Bolehkah SOC dikongsi dengan syarikat induk di luar negara?
Boleh, tetapi tertakluk kepada keperluan penyumberan luar dan kawalan rentas sempadan data RMiT. Banyak kumpulan perbankan serantau menggunakan model pusat dan cabang (hub-and-spoke) dengan komponen tempatan untuk pematuhan data.
Adakah pentest tahunan mencukupi?
Pentest tahunan ialah garis dasar. Aplikasi yang berubah dengan cepat (DevOps berterusan) perlu ditambah dengan pengujian PTaaS atau ujian khusus selepas setiap pelancaran besar.
Bolehkah kami menggunakan alat pentest automatik sahaja?
Tidak. Alat automatik ialah pelengkap, bukan pengganti ujian manual. RMiT menjangkakan ujian yang merangkumi eksploitasi manual dan analisis logik perniagaan.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.