Pasal 36

(1) Penerapan standar keamanan sistem informasi sebagaimana dimaksud dalam Pasal 34 ayat (1) huruf b paling sedikit berupa: a. pemenuhan sertifikasi dan/atau standar keamanan dan keandalan sistem yang berlaku umum atau yang ditetapkan oleh Bank INDONESIA atau otoritas/lembaga terkait; b. pemeliharaan dan peningkatan keamanan teknologi; c. self assessment atas sistem informasi yang digunakan paling sedikit 1 (satu) tahun sekali; dan d. pelaksanaan audit sistem informasi oleh security auditor independen secara berkala paling sedikit 3 (tiga) tahun sekali atau setiap terdapat perubahan yang signifikan. (2) Cakupan audit sistem informasi sebagaimana dimaksud pada ayat (1) huruf d paling sedikit berupa: a. keamanan operasional; b. keamanan jaringan, aplikasi, dan sistem; c. keamanan dan integritas data atau informasi; d. keamanan fisik dan lingkungan, termasuk kontrol terhadap akses sistem dan data; e. manajemen perubahan sistem; f. manajemen implementasi sistem; dan g. prosedur tertulis terkait keamanan teknologi. (3) Ketentuan lebih lanjut mengenai penerapan standar keamanan sistem informasi diatur dalam Peraturan Anggota Dewan Gubernur.