1. Aset: Data Wajib Pajak

• Threat:

  • Akses tidak sah oleh pegawai atau pihak luar.

  • Pencurian data untuk tujuan manipulasi atau penyalahgunaan.

  • Phishing terhadap wajib pajak untuk mencuri kredensial akun.

• Vulnerability:

  • Pengendalian akses yang belum optimal

  • Tidak ada pemantauan akses secara real-time.

  • Tidak adanya edukasi keamanan kepada pengguna (wajib pajak).

2. Aset: Data SDM (pegawai, payroll, akses sistem)

• Threat:

  • Penyalahgunaan hak akses oleh pegawai internal.

  • Pencurian data pegawai untuk penyamaran atau manipulasi sistem.

• Vulnerability:

  • Tidak semua perubahan data SDM dilindungi oleh autentikasi dua faktor.

  • Enkripsi data pegawai belum menyeluruh.

  • Tidak ada pemisahan tugas atau peran yang jelas antar level jabatan.

3. Aset: Data Keuangan (anggaran, gaji, laporan keuangan)

• Threat:

  • Manipulasi laporan keuangan internal.

  • Kebocoran data gaji atau anggaran operasional yang sensitif.

  • Penyalahgunaan akses sistem keuangan.

• Vulnerability:

  • Audit log tidak diterapkan secara menyeluruh.

  • Sistem belum sepenuhnya menggunakan enkripsi dan MFA.

  • Otorisasi transaksi belum menggunakan sistem berjenjang.

4. Aset: Data Transaksi (pembayaran pajak, vendor, billing)

• Threat:

  • Duplikasi pembayaran atau transaksi palsu.

  • Pemalsuan dokumen transaksi oleh pihak internal atau eksternal.

• Vulnerability:

  • Sistem belum menggunakan tokenisasi atau validasi otomatis.

  • Tidak semua transaksi divalidasi dengan digital certificate.

  • Mekanisme rollback tidak tersedia untuk transaksi gagal.

5. Aset: Data Perpajakan (e-Faktur, SKP, e-Bukti Potong)

• Threat:

  • Pemalsuan dokumen perpajakan.

  • Kehilangan arsip digital.

  • Akses ilegal terhadap arsip perpajakan.

• Vulnerability:

  • Tidak semua dokumen terlindungi dengan enkripsi atau e-signature.

  • Arsip hanya disimpan lokal tanpa cloud redundancy.

  • Tidak ada audit trail menyeluruh atas perubahan dokumen.

6. Aset: Source Code & Dokumentasi Arsitektur Sistem

• Threat:

  • Kebocoran source code ke pihak luar.

  • Penyisipan kode berbahaya (malicious code) oleh developer tidak sah.

• Vulnerability:

  • Akses ke environment development tidak dibatasi dengan baik.

  • Tidak adanya NDA saat pertukaran dokumentasi dengan pihak ketiga.

  • Evaluasi hak akses tidak dilakukan secara berkala.

https://www.djkn.kemenkeu.go.id/kanwil-rsk/baca-artikel/17390/Mengenal-Indikator-Risiko-Utama-IRU.html

https://djpb.kemenkeu.go.id/kppn/jakarta2/id/profil/nilai-budaya-organisasi/manajemen-risiko-djpb.html