Menyiapkan keamanan sistem layanan aset kripto

Untuk tim penyelenggara dan vendor sistemnya

Mulai dari peran badan usaha dan sistem yang dioperasikan. POJK 27/2024 mengatur perdagangan aset keuangan digital termasuk aset kripto, dengan perubahan melalui POJK 23/2025. Lingkupnya mencakup bursa, lembaga kliring penjaminan dan penyelesaian, pengelola tempat penyimpanan serta pedagang.

Panduan ini membahas persiapan pemeriksaan sistem, data dan bukti operasi. Tidak membahas pemilihan aset, keuntungan investasi atau petunjuk menjalankan layanan tanpa izin. Pembuat aplikasi, penyedia wallet untuk pengguna, dan penyelenggara perdagangan tidak otomatis memiliki peran hukum yang sama.

Baca catatan POJK 27/2024 beserta perubahannya dahulu. Dokumen Bappebti lama atau klaim “terdaftar” belum menjawab status dan kegiatan yang diizinkan OJK sekarang; gunakan pemeriksaan mitra untuk memeriksanya.

Pisahkan empat peran

Peran penyelenggara	Fokus awal pemeriksaan
Bursa	Sistem perdagangan/pengawasan dan aturan pasar; periksa tugas serta persyaratan bursa pada bagian terkait.
Lembaga kliring penjaminan dan penyelesaian	Sistem kliring, penyelesaian dan kesesuaian catatan; jangan samakan dengan penyimpanan aset.
Pengelola tempat penyimpanan	Pengamanan aset yang disimpan, mekanisme pemindahan dan pertanggungjawaban penyimpanan.
Pedagang	Sistem yang dipakai konsumen untuk transaksi, akses data, catatan order/saldo dan pengamanan aset yang disimpan sendiri.

Peta ini orientasi, bukan daftar seluruh kewajiban setiap peran. Guide berikut memakai contoh pedagang; persyaratan pedagang tidak boleh ditempelkan begitu saja ke semua vendor atau ke wallet pribadi.

Periksa kepemilikan, penguasaan dan pengendalian sistem

POJK 23/2025 mengubah antara lain Pasal 20, 28, 36, 40 dan 45. Untuk pedagang, Pasal 45 ayat (4) huruf b hasil perubahan mengatur kepemilikan, penguasaan dan pengendalian sistem/sarana perdagangan daring yang terhubung dengan bursa serta lembaga kliring. Jangan membaca persyaratan versi 2024 tanpa perubahannya.

Siapkan peta sistem, kontrak, pengelola, hak akses dan bukti pengendalian. Pertanyaan praktis: siapa bisa mengganti kode, menghentikan layanan, mengambil catatan dan memulihkan operasi jika vendor berhenti? Jawaban teknis itu membantu review, tetapi tidak dengan sendirinya membuktikan semua unsur hukum kepemilikan terpenuhi.

Ketentuan penyesuaian pada POJK 23/2025 Pasal II angka 4 memberi waktu paling lama 12 bulan sejak berlaku untuk kewajiban sistem tersebut dan memungkinkan perpanjangan berdasarkan pertimbangan OJK. Halaman resmi mencatat berlaku 10 November 2025. Periksa tenggat yang berlaku bagi entitas, bukti penyesuaian dan keputusan perpanjangan; jangan menganggap perpanjangan otomatis. Pasal II angka 5 mengatur penyesuaian penempatan dana konsumen secara terpisah.

Ubah persyaratan sistem menjadi bukti kerja

Untuk pedagang, POJK 27/2024 Pasal 46 memuat antara lain fungsi pelindungan akses data keuangan/transaksi, kelangsungan bisnis, pemulihan, konfigurasi, pangkalan data, infrastruktur, sertifikasi serta pengamanan API. Penjelasannya juga perlu dibaca bersama POJK 23/2025.

Bagian pemeriksaan	Bukti praktis yang disiapkan tim
Akses konsumen	Pengujian bahwa pengguna hanya melihat data dan transaksi miliknya; matriks peran serta hasil uji penolakan.
Catatan transaksi	Alur order, saldo dan mutasi; kecocokan dengan catatan pihak terkait, selisih serta penyelesaiannya.
Pemulihan	Rencana, dependensi sistem, lingkungan cadangan, hasil latihan serta tindak lanjut kegagalan.
API dan admin	Batas tindakan/penerima, pengelolaan kredensial, pencatatan perubahan dan pemeriksaan akses istimewa.
Sertifikasi	Pemegang sertifikat, lembaga, masa berlaku dan cakupan yang sesuai sistem; sertifikat bukan pengganti bukti tiap proses.

Bukti dalam tabel adalah saran Kompli, bukan format resmi OJK. Sebagai rincian aturan, Pasal 46 ayat (1) huruf h membedakan penyimpanan data transaksi/keuangan paling singkat sepuluh tahun, rekam jejak harga/saldo/mutasi sedikitnya enam bulan, serta penyalinan rekam jejak setelah enam bulan ke media di luar pangkalan data perdagangan. Itu bukan izin menghapus seluruh bukti pada bulan ketujuh.

Ketentuan pemulihan dan lokasi infrastruktur terdapat pada Pasal 46 ayat (1) huruf f dan i, serta syarat pihak ketiga pada ayat (2). Periksa bunyi, alternatif dan kondisi setiap ketentuan; tidak cukup menyimpulkan “cloud bersertifikat pasti sesuai”. Artikel ini tidak menetapkan arsitektur produksi atau daftar seluruh syarat perizinan.

Pisahkan aset konsumen dari operasional perusahaan

Pasal 90–92 mengatur catatan kepemilikan dan pengamanan penyimpanan. Pasal 91 menetapkan batas aset yang disimpan sendiri oleh pedagang serta pembagian cold/hot storage untuk bagian tersebut. Angka pembagian mempunyai basis perhitungan berbeda; jangan menuliskan persentase tunggal untuk semua wallet.

Sebagai persiapan, pisahkan inventaris dana, aset, wallet, kewenangan penandatanganan dan catatan konsumen. Cocokkan sistem pedagang, penyimpanan dan kliring. Tetapkan pemilik selisih serta bukti penyelesaian. Penggunaan multi-signature atau cold storage tidak dengan sendirinya membuktikan catatan kepemilikan benar.

Contoh fiktif: perubahan status penarikan di aplikasi tidak cocok dengan catatan penyimpanan. Tim menahan penyelesaian kasus sesuai prosedur, mengamankan bukti, memeriksa tindakan yang sudah terjadi dan berkoordinasi dengan pihak berwenang dalam alur. Tim tidak sekadar mengubah saldo tampilan agar terlihat cocok. Tindakan penahanan, rekonsiliasi dan eskalasi harus mengikuti kewenangan serta prosedur entitas; contoh ini bukan instruksi transaksi.

Catat akses vendor dan kejadian yang perlu dieskalasi

Petakan akses produksi, pihak lanjutan, batas perubahan dan jalur penghentian akses. Simpan referensi bukti di tempat terbatas, bukan seed phrase, private key atau data identitas konsumen dalam worksheet. Gunakan pemeriksaan vendor keuangan dan persiapan respons insiden.

Buat daftar pemicu eskalasi: ketidaksesuaian catatan, akses tidak sah, gangguan pemulihan dan perubahan sistem. Pisahkan tindakan teknis, kewajiban kepada konsumen, pelaporan OJK dan pemberitahuan data pribadi; satu laporan tidak otomatis menggantikan lainnya.

OJK menerbitkan PADK 3/2026 sebagai pedoman pelaporan. Halaman resmi dan FAQ menunjukkan mulai berlaku 1 September 2026 serta penggunaan format untuk periode September yang disampaikan Oktober. Jangan memakai jadwal/format SEOJK 20/2024 tanpa memeriksa ketentuan penggantian dan peralihannya. Artikel ini tidak membuat kalender pelaporan; rincian tenggat dan pengecualian harus dibaca pada naskah PADK serta lampirannya.

Hasil review: kewajiban, bukti dan pekerjaan yang belum selesai

Isi peta kewajiban layanan keuangan dengan satu peran/kewajiban per baris. Kaitkan pasal versi yang berlaku, pemilik, pemicu, bukti, selisih dan tindakan berikutnya. Mulai dari satu alur konsumen sampai rekonsiliasi; periksa bahwa bukti dapat ditemukan dan bahwa masalah memiliki penanggung jawab.

Untuk persiapan teknis umum, lanjutkan ke pengujian hak akses aplikasi, pengelolaan kunci dan BCP/DRP. Panduan umum tersebut tidak menggantikan kewajiban khusus penyelenggara.

Pisahkan kewajiban kanal pembayaran dan perdagangan aset

Jika layanan memakai mitra pembayaran, baca pemeriksaan mitra dan jalur penyedia pembayaran. Kewajiban PJP, LPBBTI dan perdagangan aset digital mempunyai pelaku serta dasar berbeda; laporan pada satu kanal tidak dianggap memenuhi kanal lain. Untuk menyiapkan pemicu, format dan bukti penerimaan, buka panduan kalender pelaporan aset digital serta rekaman PADK 3/2026.