Pasal 56

(1) PPE yang telah memiliki sistem elektronik wajib menerapkan kebijakan, standar, dan prosedur penggunaan teknologi informasi paling sedikit mencakup: a. manajemen; b. pengembangan dan pengadaan; c. operasional teknologi informasi; d. jaringan komunikasi yang memenuhi prinsip kerahasiaan, integritas, dan ketersediaan; e. pengamanan informasi; f. rencana pemulihan bencana; dan g. penggunaan Pihak penyedia jasa teknologi informasi, jika PPE menggunakan pihak lain sebagai penyedia jasa teknologi informasi. (2) Dalam penyelenggaraan teknologi informasi, PPE wajib: a. memastikan pengendalian pengamanan data dan informasi dilaksanakan secara efektif dan efisien; dan

b. memperhatikan paling sedikit aspek sumber daya manusia, proses, teknologi, fisik, dan lingkungannya, secara menyeluruh, termasuk dalam hal PPE menggunakan layanan keuangan elektronik. (3) Penerapan pengendalian pengamanan data dan informasi sebagaimana dimaksud pada ayat (2) huruf a dilakukan berdasarkan hasil penilaian terhadap risiko pada informasi yang dimiliki PPE. (4) Prinsip pengendalian pengamanan data dan informasi sebagaimana dimaksud pada ayat (2) huruf a mencakup paling sedikit: a. kerahasiaan; b. integritas; c. ketersediaan; d. keaslian; e. tidak dapat diingkari; f. pengendalian otorisasi dalam sistem, pangkalan data, dan aplikasi; g. pemisahan tugas dan tanggung jawab; dan h. pemeliharaan jejak audit. (5) PPE dalam menyelenggarakan sistem elektronik Transaksi Efek wajib memastikan: a. pelaksanaan prinsip keaslian, paling sedikit dengan MENETAPKAN 2 (dua) faktor keaslian; b. pelaksanaan prinsip tidak dapat diingkari, paling sedikit dengan menerapkan keamanan pengiriman data dan end to end encryption; c. ketersediaan manajemen penanganan risiko siber dan/atau risiko dalam pengamanan informasi; d. kelangsungan dan kestabilan operasional teknologi informasi yang digunakan bagi penyelenggaraan sistem elektronik dan/atau menunjang operasional kegiatan usaha PPE; dan e. melakukan mitigasi atas risiko yang berpotensi dapat mengganggu kegiatan penyelenggaraan sistem elektronik dan/atau menunjang operasional kegiatan usaha PPE. (6) Penyelenggaraan teknologi informasi oleh PPE dapat dilakukan secara sendiri dan/atau menggunakan Pihak penyedia jasa teknologi informasi.