Hasil Pencarian  ::  Simpan CSV :: Kembali

"Terdapat beberapa jenis pendekatan manajemen risiko keamanan informasi sebagai panduan dalam menerapkan program risiko keamanan. Setiap pendekatan mempunyai tujuan dan metodologi yang berbeda tergantung pada kebutuhan dan selera organisasi yang melakukannya. Jika suatu organisasi memiliki personel yang kompeten untuk mengimplementasikan manajemen risiko keamanan informasi, maka akan mudah untuk melakukannya. Namun, itu akan menjadi tantangan bagi organisasi yang tidak memiliki personil yang kompeten. Tujuan dari penelitian ini adalah untuk merancang kerangka kerja manajemen risiko keamanan informasi yang sederhana namun memenuhi prinsip-prinsip manajemen risiko keamanan informasi. Desain didasarkan pada integrasi empat pendekatan manajemen risiko keamanan informasi yang berbeda. ISO 27005 mewakili standar, Risk Management Framework (RMF) oleh NIST mewakili pedoman, OCTAVE Allegro mewakili metodologi, dan COBIT mewakili kerangka kerja. Integrasi tersebut dipenuhi dengan melakukan analisis komparatif dengan menyortir dan menggabungkan berdasarkan proses aktivitas manajemen risiko keamanan informasi. Penyortiran diterapkan untuk mendapatkan desain model sederhana, dan penggabungan digunakan untuk mendapatkan desain model lengkap. Desain model sederhana terdiri dari proses identifikasi, pengukuran, administrasi dan pemantauan. Proses identifikasi terdiri dari identifikasi konteks dan komponen risiko. Proses pengukuran meliputi pengukuran faktor risiko dan risiko. Proses administrasi menghasilkan rencana penanganan risiko dan pengambilan keputusan. Proses pemantauan dengan objek perubahan dan pertukaran informasi. Untuk memvalidasi hasil perancangan desain model sederhana, dilakukan studi penerapan awal dalam bentuk simulasi penerapan di Pusdiklat Badan XYZ. Hasil studi penerapan awal ini adalah mayoritas responden baik online maupun offline menyatakan bahwa desain sederhana namun memenuhi prinsip manajemen risiko keamanan informasi dibuktikan dengan seluruh indikator evaluasi penerapan desain bernilai di atas passing grade 50%.

---

There are several types of information security risk management (ISRM) methods as guidance in implementing a security risk program. Each method carried different goals and methodologies depending on the needs and tastes of the organization that carried it out. If an organization has personnel who are competent to implement ISRM, it will be easy to do so. However, it will be challenging for an organization that lacks skilled personnel. The purpose of this study is to design a framework for ISRM that is simple but meets the principles of ISRM. The design is based on the integration of four different ISRM methods. ISO 27005 represents the standard, RMF by NIST represents guidelines, OCTAVE represents methodology, and COBIT represents framework. The integration is fulfilled by conducting a comparative analysis by sorting and merging based on the activity processes of ISRM. The result of this study is two designs of ISRM, namely full design and simple design. Sorting is applied to get a simple design, and merging is used to get a full design. The simple model design consists of the process of identification, measurement, administration and monitoring. The identification process consists of identifying the context and components of risk. The measurement process includes the measurement of risk and risk factors. The administrative process produces a plan for risk management and decision making. The process of monitoring with objects of change and information exchange. To validate the results of the design of a simple model, a preliminary implementation study was carried out in the form of a simulation application at the XYZ Agency Training Center. The results of this preliminary implementation study are that the majority of respondents both online and offline stated that the design was simple but met the principles of information security risk management, evidenced by all the indicators of the evaluation values above 50% passing grade."

"Keamanan informasi menjadi perhatian penting bagi pemerintah dan industri karena meningkatnya serangan siber selama Covid-19. Pemerintah dalam menyelenggarakan Sistem Pemerintahan Berbasis Elektronik (SPBE) Peraturan Presiden Republik Indonesia Nomor 95 tahun 2018 berkewajiban menjamin kerahasiaan, keutuhan, ketersediaan, keaslian dan kenirsangkalan sumber daya terkait data dan informasi, Infrastruktur SPBE, dan Aplikasi SPBE. Untuk mengatasi masalah tersebut pemerintah membutuhkan pendekatan untuk implementasi pengelolaan risiko keamanan informasi dan kontrol keamanan informasi. Penelitian ini bertujuan untuk melakukan risk identification, risk analysis, risk evaluation, risk treatment, risk acceptance, pengendalian risiko, menyusun kerangka kerja manajemen risiko keamanan informasi dan menilai kematangan Cyber security maturity pada domain tata kelola, identifikasi, proteksi, deteksi dan respon. Metodologi menggunakan ISO/IEC 27005:2018 sebagai panduan melakukan risk assesment. Kode praktik untuk kontrol keamanan informasi menggunakan standar ISO/IEC 27002:2013 dan menilai kematangan siber menggunakan model cyber security matury versi 1.10 yang dikembangkan oleh Badan Siber dan Sandi Negara Republik Indonesia. Dari hasil penelitian didapatkan bahwa penilaian risiko dan pengendalian risiko dengan dua metode yang digunakan dapat meningkatkan nilai kematangan siber organisasi dari 3.19 menjadi 4.06. Hasil penelitian ini juga menunjukkan bahwa kerangka kerja manajemen risiko keamanan informasi aplikasi pengelolaan data ABC telah sesuai dengan kebutuhan Institusi XYZ dalam menjalankan proses bisnisnya.

---

Information security is an important concern for the government and industry due to cyber attacks during Covid-19. The government in implementing the Electronic-Based Government System (SPBE) Presidential Regulation of the Republic of Indonesia Number 95 of 2018 guarantees the confidentiality, integrity, availability, authenticity and denial of resources related to data and information, SPBE Infrastructure, and SPBE Applications. To overcome these problems, the government in the approach to the implementation of information security risks and information security controls. This study aims to carry out risk identification, risk analysis, risk evaluation, risk treatment, risk acceptance, risk control, developing an information security risk management, and evaluation of cyber ​​security maturity,  governance domain maturity, examination, protection, detection and response. The methodology uses ISO/IEC 27005:2018 as a guide for conducting a risk assessment. The code of practice for information security control uses the ISO/IEC 27002:2013 standard and assesses cyber maturity using the cyber security maturity model version 1.10 developed by the National Cyber ​​and Crypto Agency of the Republic of Indonesia. From the results of the study, it was found that risk assessment and risk control with the two methods used can improve the cyber quality of the organization from 3.19 to 4.06. The results of this study also show that the security risk management framework for the application of ABC data management application is in accordance with the needs of XYZ Institution in carrying out its business processes."

"Keamanan organisasi tidak hanya terletak pada bangunan fisik, tetapi juga pada aset informasinya. Melindungi aset informasi memerlukan studi lebih lanjut untuk menetapkan langkah-­langkah mitigasi keamanan yang optimal. Dalam menentukan mitigasi aset informasi yang tepat, diperlukan penilaian risiko keamanan informasi dan peringkat yang jelas dan terukur. Sebagian besar metode manajemen risiko tidak memberikan fokus yang tepat pada peringkat aset informasi kritis suatu organisasi. Penelitian ini menganalisis pendekatan kerangka kerja untuk peringkat aset informasi kritis. Pendekatan kerangka tersebut menggunakan metode OCTAVE Allegro, yang berfokus pada profil aset informasi dengan menggabungkan pengukuran peringkat prioritas menggunakan metode Sistem Pendukung Keputusan (SPK), seperti Simple Additive Weighting (SAW) dan Analytic Hierarchy Process (AHP). Metode OCTAVE Allegro 􀂱 SAW dan OCTAVE Allegro 􀂱 AHP yang dikombinasikan diharapkan dapat mengatasi prioritas risiko dengan lebih baik sebagai input untuk membuat keputusan mitigasi untuk aset informasi penting. Kombinasi ini akan membantu manajemen untuk menghindari kesalahan langkah dalam menyesuaikan penanganan resiko aset informasi kritikal dalam memilih mitigasi menggunakan hasil pemeringkatan beberapa metode. Pengerjaan analisis ini dilaksanakan di salah satu instansi pemerintah di Indonesia. Kinerja perhitungan menggunakan metode kombinasi SPK lebih memiliki tingkat granularitas yang tinggi dalam membedakan urutan prioritas dibandingkan perhitungan menggunakan metode OCTAVE Allegro saja, sehingga prioritas suatu aset informasi kritikal satu dengan yang lain dapat dibedakan posisi pendekatan mitigasi resiko secara lebih jelas. Hasil kinerja pada metode OCTAVE Allegro, aset informasi kritikal pendekatan mitigasi cenderung lebih banyak di-­accept dengan jumlah 10 aset, dibanding hasil dari metode kombinasi OCTAVE Allegro -­ SAW / AHP yang pendekatan mitigasi aset informasi kritikal cenderung lebih banyak di-­defer dengan jumlah 13 atau 10. Hal ini menunjukan granularitas hasil dengan penggabungan metode SPK lebih condong untuk mempertimbangkan kembali aset dalam penanganan mitgasinya apakah akan mitigate atau accept. Hasil rekomendasi penggabungan ketiga metode OCTAVE Allegro, OCTAVE Allegro -­ SAW, dengan OCTAVE Allegro -­ AHP berdasar unit kerja pendekatan mitigate ada 5 aset, defer ada 8 aset, dan accept ada 10 aset.

---

Organizational security is not only in physical buildings, but also in information assets. Protecting information assets requires further study to establish optimal security mitigation measures. In determining appropriate information asset mitigation, information security risk assessment and clear and measurable ratings are needed. Most risk management methods do not provide the right focus on ranking critical information assets of an organization. This study analyzes the framework approach to ranking critical information assets. The framework approach uses the OCTAVE Allegro method, which focuses on the profile of information assets by combining priority ranking measurements using Decision Support System (DSS) methods, such as Simple Additive Weighting (SAW) and Analytic Hierarchy Process (AHP). The OCTAVE Allegro-­SAW method and the OCTAVE Allegro-­AHP combined are expected to better deal with risk priorities as input for making mitigation decisions for important information assets. This combination will help management to avoid missteps in adjusting the risk handling of critical information assets in choosing mitigation using the results of ranking several methods. The work of this analysis was carried out in one of the government agencies in Indonesia. The performance of calculations using the DSS combination method has a higher level of granularity in differentiating priority sequences compared to calculations using the OCTAVE Allegro method only, so that the priority of a critical information asset with one another can be distinguished from a position of risk mitigation approach more clearly. The results of performance in the OCTAVE Allegro method, the critical information assets of the mitigation approach tend to be more accepted with 10 assets, compared to the results of the OCTAVE Allegro-­SAW/AHP combination method where critical information asset mitigation approaches tend to be deferred by 13 or 10. This shows that the granularity of the results by combining the DSS method is more likely to reconsider the assets in handling the calculation whether to mitigate or accept. The results of the recommendations incorporate the three OCTAVE Allegro methods, OCTAVE Allegro-SAW, with OCTAVE Allegro-­AHP based on work units namely the mitigate approach with 5 assets, defer approach there are 8 assets, and accept approach there are 10 assets."

"Salah satu bentuk transaksi elektronik yang semakin diminati oleh masyarakat pada saat ini adalah dompet digital. Dengan penggunaan yang mudah karena tidak menggunakan uang sebagai alat pembayaran langsung, proses registrasi pendaftarannya juga tidak sulit untuk dilakukan. Di balik semua kemudahan yang ada dalam dompet digital, sebagai suatu aplikasi yang didalamnya terdapat dana yang berasal dari pengguna, aplikasi dompet digital ini menjadi salah satu aplikasi yang banyak diincar oleh pelaku serangan siber. Tesis ini membahas dan menelaah proses desain suatu kerangka kerja keamanan infrastruktur untuk layanan dompet digital yang menggunakan standarisasi kombinasi PCI DSS 4.0 dan COBIT 2019 dengan pendekatan analisis berbasis manajemen risiko. Desain kerangka kerja tersebut kemudian diimplementasikan dalam suatu lingkup organisasi dompet digital XYZ. Penerapan kerangka kerja ini berisikan rangkaian proses berupa identifikasi ruang lingkup, aset dan celah keamanan, asesmen risiko, pengendalian risiko dalam bentuk validitas dan penerapan kontrol serta pengamatan dan umpan balik dari penerapan kendali terhadap risiko. Dalam proses pencarian data untuk penerapan kerangka kerja ini dilakukan juga wawancara dengan jumlah 10 pertanyaan terkait kebijakan teknis kepada Kepala Bagian IT dan Senior Expert divisi IT dengan hasil wawancara berupa data-data aset kritikal, celah keamanan dan kerentanan yang timbul dan kebijakan yang sudah diambil perusahaan untuk mengurangi risiko yang ditimbulkan oleh serangan keamanan sistem infrastruktur. Hasil kuesioner terhadap desain kerangka kerja yang dilakukan menyatakan 100% setuju bahwa kerangka kerja ini memiliki langkah-langkah yang lengkap dan dapat menjadi tolok ukur untuk digunakan dalam layanan dompet digital akan tetapi hanya 66,7% responden yang menyatakan kerangka kerja ini mudah untuk diterapkan. Dari hasil penerapan kerangka kerja di organisasi dompet digital XYZ ditemukan terdapat 27 aset kritikal dengan 30 faktor risiko teridentifikasi, dan 14 risiko dalam level sangat tinggi, tinggi dan sedang yang perlu dilakukan pengendalian kontrol baru.

---

e-Wallets are one form of electronic transaction that is increasingly favored by everyone. Apart from the convenience of not having to carry physical cash as a direct means of payment, the registration process is also considered relatively easy to do. However, behind all the conveniences found in digital wallets, as an application that contains funds originating from users, these digital wallet applications have become one of the applications that are being aggressively targeted by cyber attackers. This thesis examines the process of developing an infrastructure security framework for e-wallet services by combining a standardized of PCI DSS 4.0 and COBIT 2019 with an analytical risk management approach. The framework design is then implemented into practice within the parameters of the XYZ e-wallet company. This framework's implementation process entails the number of steps, including scope, asset, and security vulnerability identification; risk assessment; risk control, including the implementation of controls and monitoring their effectiveness; and observation feedback on the process. In the process of searching for data to implement this framework, interviews were also conducted with the Head of IT Department and Senior IT Expert of the IT division, consisting of 10 questions related to technical policies. The interview results include critical asset data, security vulnerabilities and weaknesses that arise, and the company's policies already implemented to mitigate the risks posed by security attacks on the infrastructure system. According to the survey findings on the framework design, 100% of respondents agreed that this framework contained complete stages and could serve as a benchmark for usage in digital wallet services, however only 66.7% said that it was simple to put into practice. Following the framework's implementation, it was discovered that the XYZ e-wallet company had 27 important assets, 30 recognized risk factors, and 14 risks at very high, high, and medium levels that needed for new controls."

"Informasi merupakan aset yang cukup penting baik bagi perusahaan maupun klien yang terkait dengan perusahaan tersebut. Perusahaan yang menyediakan aplikasi kepada kliennya harus menjaga keamanan informasi yang disimpan di dalamnya. Informasi yang disimpan di dalam aplikasi harus memenuhi aspek keamanan informasi, yaitu terlindungi (confidentiality), utuh (integrity), dan tersedia (availibility). PT. XYZ sebagai perusahaan yang menawarkan jasa berupa aplikasi CRM (Customer Relationship Management) kepada kliennya harus memastikan keamanan informasi yang terdapat pada aplikasinya. Permasalahan yang muncul pada aplikasi ini adalah ada begitu banyak error, baik yang tampak maupun tidak tampak yang bisa berdampak pada keutuhan informasi yang dimiliki. Selain itu, pada saat ini, belum pernah dilakukan penilaian risiko pada aplikasi CRM oleh PT. XYZ.  Oleh karena itu, perlu untuk dilakukan penilaian risiko pada aplikasi ini untuk mengetahui risiko yang dapat terjadi dan bagaimana penanganannya. Penilaian risiko dilakukan dengan metode OCTAVE Allegro. Penilaian risiko ini nantinya dapat digunakan untuk paduan dan menyusun kebijakan baru untuk mengamankan keamanan informasi pada aplikasi CRM di PT. XYZ. Penelitian ini berfokus pada penilaian risiko pada setiap area of concern di aplikasi CRM.

---

Information is an important asset for both the company and the clients associated with the company. Companies that provide applications to their clients must maintain the security of the information stored on them. Information stored in the application must meet information security aspects, namely protected (confidentiality), intact (integrity), and available (availability). PT. XYZ as a company that offers services in the form of a CRM (Customer Relationship Management) application to its clients must ensure the security of the information contained in its application. The problem that arises in this application is that there are so many errors, both visible or invisible, that can have an impact on the integrity of the information held. In addition, at this time, there has never been a risk assessment on the CRM application by PT. XYZ. Therefore, it is necessary to carry out a risk assessment on this application to find out the risks that can occur and how to handle them. The risk assessment is carried out using the OCTAVE Allegro method. This risk assessment can later be used to integrate and develop new policies to secure information security in CRM applications at PT. XYZ. This study focuses on risk assessment in each area of ​​concern in CRM applications."