Apakah Itu RMiT BNM? Panduan Lengkap Pematuhan untuk Institusi Kewangan
Pengurusan Risiko dalam Teknologi (RMiT) yang diterbitkan oleh Bank Negara Malaysia menetapkan jangkaan kawalan teknologi bagi institusi kewangan berlesen di Malaysia. Artikel ini meringkaskan domain utama RMiT, iaitu tadbir urus, operasi teknologi, risiko siber, pengurusan pihak ketiga, kesinambungan perniagaan dan penilaian risiko pusat data (DCRA), serta cara institusi menstrukturkan program pematuhan yang berkesan tanpa membebankan operasi. Rujukan rasmi: https://www.bnm.gov.my/
Apakah RMiT dan kepada Siapakah Ia Terpakai?
Pengurusan Risiko dalam Teknologi (RMiT) ialah dokumen dasar yang dikeluarkan oleh Bank Negara Malaysia bagi memastikan institusi kewangan menguruskan risiko teknologi dengan kawalan yang sepadan dengan saiz, kerumitan dan kesalinghubungan operasi mereka. Berdasarkan panduan rasmi yang diterbitkan oleh BNM, dasar ini meliputi bank perdagangan, bank Islam, syarikat insurans, pengendali pembayaran, pengendali wang elektronik dan entiti lain di bawah penyeliaan BNM.
RMiT menggabungkan jangkaan tadbir urus peringkat Lembaga dengan kawalan teknikal operasi. Tujuannya supaya keputusan teknologi, termasuk pemilihan pembekal awan, seni bina rangkaian dan strategi pertahanan siber, dibuat dengan pemahaman risiko yang jelas dan didokumentasikan.
- Institusi perbankan dan kewangan Islam
- Pengendali insurans dan takaful
- Pengendali sistem pembayaran (PSP) dan wang elektronik
- Institusi kewangan pembangunan tertentu
Domain Utama dalam RMiT
Walaupun struktur dokumen telah dikemas kini dari semasa ke semasa, beberapa domain utama ditekankan secara konsisten: tadbir urus teknologi dan akauntabiliti Lembaga, pengurusan operasi teknologi, pengurusan risiko siber, pengurusan pihak ketiga dan penyumberan luar, kesinambungan perniagaan (BCM) dan penilaian risiko pusat data (DCRA).
Setiap domain mempunyai jangkaan kawalan minimum yang perlu dipetakan terhadap dasar dalaman institusi. Organisasi disyorkan merujuk teks RMiT terkini di portal BNM untuk mendapatkan butiran khusus.
- Tadbir urus teknologi — peranan Lembaga, Jawatankuasa Risiko Teknologi
- Operasi teknologi — pengurusan perubahan, tampalan (patch), kapasiti
- Risiko siber — kawalan akses, kriptografi, pemantauan
- Penyumberan luar — usaha wajar terhadap pembekal awan, pelan keluar
- BCM dan pelan pemulihan bencana (DRP) — RTO, RPO, ujian pindah tugas (failover) secara berkala
- DCRA — penilaian risiko pusat data fizikal
Apakah Ujian Penembusan Dipacu Risikan (Intelligence-Led)?
Bagi institusi yang berkemampuan tinggi, BNM menggalakkan pendekatan ujian penembusan yang dipacu risikan ancaman (intelligence-led penetration testing). Pendekatan ini menyimulasikan TTP (taktik, teknik dan prosedur) pelaku ancaman sebenar yang menyasarkan sektor kewangan, dan berbeza daripada ujian penembusan pematuhan yang biasa.
Penyedia ujian dijangka mempunyai akreditasi yang relevan (contohnya CREST) dan keupayaan pasukan merah (red team) yang membolehkan latihan dijalankan tanpa pengetahuan terperinci pasukan biru (blue team) institusi. Hasil ujian harus dibentangkan kepada Jawatankuasa Risiko dan tindakan pembaikan dijejaki secara formal.
Peranan CISO dan Tadbir Urus
RMiT menjangkakan institusi melantik CISO (atau peranan setara) yang bebas daripada fungsi operasi teknologi. CISO biasanya melapor kepada CEO atau Jawatankuasa Risiko, dengan akses tanpa halangan kepada Lembaga bagi isu yang ketara.
Bagi institusi yang lebih kecil atau pengendali wang elektronik baharu, model vCISO (CISO sebagai perkhidmatan) boleh digunakan sebagai langkah jangka pendek sementara fungsi keselamatan dalaman dibina. Pemilihan model perlu diwajarkan dalam dokumen tadbir urus.
Jangka Masa Pelaksanaan dan Jejak Audit
Pelaksanaan RMiT bukan projek sekali sahaja, tetapi program berterusan. Jangka masa biasa untuk mencapai kematangan pematuhan penuh berbeza mengikut saiz institusi, tetapi kebanyakan bank memperuntukkan tempoh 12 hingga 24 bulan untuk transformasi besar (contohnya migrasi awan dan pengukuhan SOC).
Setiap kawalan perlu mempunyai jejak audit: dasar, prosedur, bukti pelaksanaan dan ujian keberkesanan. Juruaudit dalaman dan luaran akan menyemak kewujudan dan keberkesanan kawalan ini.
- Dasar dan prosedur bertulis yang diluluskan Lembaga
- Daftar risiko teknologi yang dikemas kini sekurang-kurangnya setahun sekali
- Laporan penilaian kerentanan dan ujian penembusan
- Log SOC dan metrik MTTD/MTTR
- Laporan ujian BCM/DRP
Cara Memulakan Program Pematuhan RMiT
Langkah pertama yang disyorkan ialah penilaian jurang (gap assessment) terhadap teks RMiT yang dikeluarkan oleh BNM. Hasilnya menjadi asas peta jalan pematuhan berfasa yang diberi keutamaan mengikut risiko dan kos.
nCrypt Malaysia membantu institusi kewangan menjalankan penilaian jurang, menyediakan dokumentasi tadbir urus, mengendalikan ujian penembusan dipacu risikan dan menyediakan vCISO untuk mengisi jurang peranan keselamatan. Sila rujuk halaman Pematuhan RMiT untuk maklumat lanjut.
Nota penting: maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA, Pesuruhjaya Perlindungan Data Peribadi) dan mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Adakah RMiT terpakai kepada syarikat teknologi kewangan (fintech) bukan bank?
Fintech yang berlesen di bawah BNM (contohnya pengendali wang elektronik atau PSP) tertakluk kepada RMiT. Fintech tanpa lesen BNM mungkin tidak tertakluk secara langsung, tetapi sering perlu mematuhi keperluan setara apabila bekerjasama dengan bank.
Berapa kerapkah ujian penembusan perlu dijalankan?
Walaupun kekerapan yang khusus perlu disahkan dengan teks RMiT terkini, amalan industri di Malaysia ialah ujian penembusan sekurang-kurangnya setahun sekali, ditambah ujian khusus selepas perubahan besar (pelancaran aplikasi kritikal dan migrasi awan).
Bolehkah kami menggunakan pembekal luar negara untuk SOC?
Penyumberan luar SOC dibenarkan tetapi tertakluk kepada keperluan penyumberan luar RMiT, termasuk usaha wajar, lokasi data, hak audit dan pelan keluar. Banyak bank di Malaysia memilih SOC hibrid dengan komponen tempatan.
Apakah perbezaan antara RMiT dengan ISO 27001?
ISO 27001 ialah piawaian sukarela antarabangsa untuk sistem pengurusan keselamatan maklumat. RMiT pula ialah dasar wajib BNM yang khusus untuk sektor kewangan Malaysia. ISO 27001 boleh digunakan sebagai asas teknikal yang memudahkan pematuhan RMiT.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.