ABSTRAK<>br>Dari hasil penetration testing yang dilakukan oleh PT PQR, disimpulkan bahwa tata kelola keamanan informasi di PT XYZ belum baik dan masih berada di level 3,5 Indeks KAMI. Penelitian ini memfokuskan pada bagaimana rancangan prosedur operasional standar vulnerability management yang dapat diterapkan di PT XYZ, dengan hasil akhir berupa rancangan prosedur vulnerability management yang sesuai dengan indikator indeks KAMI dan dapat diterapkan di PT XYZ. Penelitian ini menggunakan kerangka kerja ISO 27002:2013 sebagai kerangka kerja utama untuk perancangan proses vulnerability management dan menggunakan pendekatan PDCA untuk detil dari masing-masing aktivitasnya. Metodologi penelitian yang digunakan adalah studi kasus penelitian kualitatif menggunakan hermeneutics. Hasil dan kesimpulan dari penelitian ini adalah rancangan prosedur operasional standar vulnerability management yang sesuai dengan indikator indeks KAMI. Rancangan yang telah dibuat telah divalidasi oleh kepala Divisi Infrastruktur, Operasional, dan Kepatuhan dan telah mengikuti format penyusunan Prosedur Operasional Standar Divisi Infrastruktur, Operasional, dan Kepatuhan PT XYZ

---

ABSTRACT<>br>From the results of PT PQR penetration testing, it is concluded that governance of information security in PT XYZ still at the level 3.5 of index KAMI. This research focuses on how vulnerability management Standard Operating Procedure SOP will be designed in PT XYZ, with the results vulnerability management SOP in accordance with index KAMI indicator and can be applied in PT XYZ. This research using ISO 27002 2013 as a main framework for designing vulnerability management process and using PDCA approach for details of each activity. Qualitative analysis with hermeneutics is used for the research method. In the conclusion, had beed developed vulnerability management SOP draft that fit with index KAMI indicator and the organization. Vulnerability management SOP draft had been validated by the division head of Infrastructure, Operational, and Assurance Division PT XYZ and already followed the SOP format in PT XYZ Infrastructure, Operational, and Assurance Division.