Blog ini pertama kali diterbitkan pada tahun 2025 dan telah diperbarui.
Undang-Undang Ketahanan Operasional Digital (DORA) merupakan kewajiban kepatuhan yang sudah berlaku—penegakannya dimulai pada 17 Januari 2025—yang mengatur cara lembaga keuangan mengelola, memantau, dan memulihkan diri dari gangguan TIK. Bagi para CISO, undang-undang ini mendefinisikan ulang identitas bukan sebagai alat akses, melainkan sebagai pengendalian inti dalam ketahanan operasional.
Kepatuhan sering dianggap sebagai beban yang tak terhindarkan dalam layanan keuangan—serangkaian persyaratan yang harus dipenuhi untuk menghindari denda atau kerusakan reputasi. Namun, Undang-Undang Ketahanan Operasional Digital (DORA) bukanlah sekadar formalitas belaka. Undang-undang ini menandai perubahan mendasar dalam cara regulator mengharapkan organisasi-organisasi di Eropa mengelola risiko digital.
Apa itu DORA?
Undang-Undang Ketahanan Operasional Digital (DORA) adalah Peraturan Uni Eropa Nomor 2022/2554, yang mewajibkan lembaga keuangan untuk membuktikan bahwa mereka mampu bertahan, merespons, dan pulih dari gangguan TIK. Peraturan ini mencakup lima pilar: manajemen risiko TIK, pelaporan insiden, pengujian ketahanan, manajemen risiko pihak ketiga, dan pertukaran informasi.
Bagi CISO dan pemimpin identitas, DORA merupakan peluang untuk mengubah kepatuhan menjadi pendorong pengurangan risiko dan ketahanan jangka panjang. Untuk mewujudkan peluang tersebut, mereka harus memulai dengan identitas.
Pilar manajemen risiko TIK dalam kerangka kerja DORA secara khusus mensyaratkan kontrol akses yang ketat, otentikasi multi-faktor, dan catatan identitas yang siap diaudit—sehingga menjadikan identitas sebagai landasan operasional kepatuhan, bukan sekadar fungsi pendukung.
Setiap transaksi digital di dalam lembaga keuangan dimulai dengan pertanyaan keamanan dasar: siapa yang meminta akses? Dalam lingkungan yang semakin bersifat hibrida, terhubung ke cloud, dan mendukung kerja jarak jauh, verifikasi dan pengendalian identitas menjadi lebih kompleks—dan lebih krusial—daripada sebelumnya.
DORA menyadari bahwa tanpa sistem identitas yang aman dan tangguh, tidak ada organisasi yang dapat mempertahankan kelangsungan operasional selama krisis. Jika Anda kehilangan kendali atas identitas, Anda kehilangan kendali atas bisnis.
Sistem identitas tradisional tidak dirancang untuk lanskap ancaman atau ekspektasi peraturan saat ini. Sistem ini sering kali bersifat reaktif, digerakkan oleh kebijakan, dan sangat bergantung pada kata sandi dan proses manual.
Kesenjangan yang umum terjadi antara lain:
- Kebijakan akses statis yang tidak memperhitungkan risiko kontekstual
- Kurangnya visibilitas menjadi perilaku identitas secara real-time
- Respons insiden yang lambat karena alat identitas yang terpisah-pisah
- Tidak ada strategi pencadangan jika sistem IAM offline
DORA memiliki ekspektasi yang lebih tinggi. DORA mengharapkan lembaga-lembaga untuk secara proaktif mengelola risiko identitas sebagai bagian dari program ketahanan operasional mereka. Lembaga keuangan yang beroperasi di Uni Eropa kini wajib mematuhi persyaratan tersebut, karena tanggal 17 Januari 2025 menandai dimulainya tahap penegakan DORA.
Manajemen Risiko Identitas melampaui kontrol akses berbasis aturan dengan terus-menerus mengevaluasi tingkat risiko setiap pengguna, perangkat, dan upaya akses—serta menyesuaikan persyaratan otentikasi secara dinamis dan seketika berdasarkan sinyal-sinyal tersebut.
Sebagai contoh:
- Apakah pengguna masuk dari lokasi yang diketahui pada perangkat tepercaya?
- Apakah perilaku mereka sesuai dengan pola-pola historis?
- Apakah ada peningkatan permintaan meja bantuan yang dapat mengindikasikan adanya rekayasa sosial?
Sinyal-sinyal ini membantu membangun profil risiko waktu nyata yang memandu autentikasi dan keputusan akses.
Solusi RSA memenuhi setiap persyaratan identitas yang ditetapkan oleh DORA—mulai dari otentikasi yang tahan terhadap phishing dan deteksi risiko berbasis perilaku hingga failover hibrida dan pelaporan tata kelola:
- Risiko AI menganalisis sinyal perilaku untuk mendeteksi dan memblokir akses yang berisiko
- Meja Bantuan Verifikasi Langsung mencegah serangan rekayasa sosial pada titik interaksi manusia
- Solusi tanpa kata sandi (termasuk solusi bersertifikasi FIDO2, OTP, biometrik, dan lainnya) mengurangi pelanggaran terkait kredensial
- Tata Kelola & Siklus Hidup RSA menyederhanakan penegakan kebijakan dan pelaporan kepatuhan
- Failover Hibrida memastikan bahwa otentikasi terus berlanjut bahkan ketika sistem sedang down
Bersama-sama, perangkat ini memungkinkan institusi untuk mengelola identitas sebagai fungsi risiko yang dinamis dan berbasis data.
Memenuhi persyaratan minimum DORA hanyalah titik awal, bukan batas akhir. Lembaga yang memanfaatkan DORA sebagai pendorong modernisasi identitas akan berhasil mengurangi insiden pelanggaran, mempercepat proses audit, dan mewujudkan operasi yang lebih tangguh dibandingkan dengan lembaga yang hanya menganggapnya sebagai sekadar formalitas belaka.
Dengan berinvestasi dalam manajemen risiko identitas sekarang, CISO dapat melakukannya:
- Mengurangi kemungkinan dan dampak pelanggaran
- Menurunkan biaya dan kompleksitas audit
- Meningkatkan pengalaman pengguna melalui akses adaptif tanpa kata sandi
- Membangun ketahanan yang langgeng di semua operasi digital
DORA merupakan peringatan untuk memikirkan kembali identitas. Bukan hanya sebagai penjaga gerbang akses, tetapi sebagai sinyal risiko yang kritis dan landasan ketahanan.
Dengan RSA, lembaga keuangan dapat mengatasi tantangan tersebut—dan memanfaatkan identitas tidak hanya untuk memenuhi persyaratan, tetapi juga untuk menjadi pelopor.
Tonton webinar RSA, DORA & Risiko Digital: Memperkuat Keamanan Identitas di Sektor Jasa Keuangan, untuk memahami arti sebenarnya dari kepatuhan terhadap DORA dalam konteks Keamanan Identitas, praktik terbaik dalam mempersiapkan diri menghadapi audit DORA, serta kewajiban kepatuhan utama yang berkaitan dengan otorisasi pengguna, akses, otentikasi, dan kelangsungan bisnis.
DORA—Undang-Undang Ketahanan Operasional Digital—adalah peraturan Uni Eropa yang mewajibkan lembaga keuangan dan penyedia layanan TIK pihak ketiga yang kritis untuk membuktikan ketahanan mereka terhadap gangguan TIK melalui lima pilar: manajemen risiko, pelaporan insiden, pengujian ketahanan, risiko pihak ketiga, dan pertukaran informasi. Penegakan undang-undang ini dimulai pada 17 Januari 2025, sehingga menjadi kewajiban regulasi yang berlaku bagi lembaga-lembaga yang beroperasi di Uni Eropa.
DORA mulai berlaku pada Januari 2023 dengan jangka waktu implementasi selama dua tahun. Tanggal berlakunya adalah 17 Januari 2025, yang berarti lembaga keuangan kini wajib mematuhi persyaratan kepatuhan dan berada di bawah pengawasan aktif dari otoritas pengawas keuangan Uni Eropa.
Pilar manajemen risiko TIK dalam DORA mensyaratkan kontrol akses yang ketat, otentikasi multi-faktor, dan jejak audit yang lengkap untuk peristiwa identitas. Tanpa sistem identitas yang tangguh, organisasi tidak dapat membuktikan kelangsungan operasional yang dituntut oleh DORA—atau melindungi diri dari serangan berbasis kredensial yang paling sering memicu pelaporan insiden yang diwajibkan oleh DORA.
Regulator Uni Eropa dapat menjatuhkan denda hingga 1% dari rata-rata omzet harian global atas pelanggaran yang masih berlangsung, atau hingga €5 juta bagi individu yang menduduki jabatan manajemen. Selain sanksi finansial, regulator dapat mewajibkan lembaga-lembaga tersebut untuk menghentikan sementara kegiatan yang melanggar persyaratan DORA.
Audit DORA menilai apakah lembaga-lembaga dapat menunjukkan visibilitas identitas secara real-time, kontrol akses yang terdokumentasi, dan prosedur penanggulangan insiden yang telah diuji. Organisasi harus memastikan adanya jejak audit yang lengkap untuk semua peristiwa otentikasi, peninjauan akses pengguna secara berkala, serta prosedur failover yang terdokumentasi untuk sistem identitas sebelum periode audit dimulai.
DORA mensyaratkan MFA yang tahan terhadap serangan phishing, pemantauan berkelanjutan terhadap perilaku akses, serta otentikasi yang tetap berfungsi selama gangguan sistem. Kunci keamanan perangkat keras, otentikasi berbasis risiko, dan kemampuan failover hibrida—seperti yang terdapat dalam RSA ID Plus—dirancang khusus untuk memenuhi persyaratan tersebut.
GDPR mengatur privasi data pribadi: bagaimana data tersebut dikumpulkan, disimpan, dan diproses. DORA mengatur ketahanan operasional: apakah lembaga keuangan dapat menjaga sistem TIK tetap beroperasi dan pulih dari gangguan. Kedua kerangka kerja tersebut saling tumpang tindih dalam hal data identitas, namun fokus utama DORA adalah kelangsungan bisnis, bukan pengelolaan data.
Manajemen Risiko Identitas berarti secara berkelanjutan mengevaluasi tingkat risiko pengguna, perangkat, dan upaya akses—serta menyesuaikan persyaratan otentikasi secara real-time berdasarkan sinyal-sinyal tersebut. Dalam kerangka DORA, pendekatan ini menjadi inti dari manajemen risiko TIK yang proaktif, bukan model reaktif yang hanya mengandalkan kebijakan seperti yang ditawarkan oleh alat-alat IAM tradisional.
