Hasil Pencarian  ::  Simpan CSV :: Kembali

"Perusahaan sektor air Kota XYZ atau disebut perusahaan ABC adalah perusahaan negara yang memiliki perjanjian kerjasama (PKS) dengan dua mitra swasta selama 25 tahun sejak tahun 1998 dalam hal mendistribusikan air minum ke seluruh warga kota. PKS tersebut berakhir pada tahun 2023 sehingga perusahaan ABC kembali mengelola 100% operasional air minum tanpa swastanisasi melalui transisi operasional selama 6 bulan. Fokus pada penelitian ini adalah berdasarkan hasil konsultan transisi operasional bahwa kerangka kerja informasi dan siber yang dirujuk tidak mencakup seluruh proses bisnis serta organisasi dan tata kelola TI tidak cukup kuat mendukung proses bisnis perusahaan. Metode pemecahan masalah dalam penelitian ini adalah membuat desain kerangka kerja keamanan informasi dan siber yang sesuai dengan lingkup industri utilitas (C2M2 dan ISO 27019) dan memenuhi ketentuan pemerintah Republik Indonesia dalam PP 71:2019. Kerangka kerja ini menjadi acuan dalam penentuan langkah-langkah keamanan informasi dan siber serta penentuan prioritas berdasarkan kerangka SWOT dan Matrix Einsenhower. Selanjutnya kerangka kerja ini dijadikan acuan untuk perencanaan implementasi pada perusahaan ABC. Hasil dari penelitian ini adalah Kerangka Kerja (framework) keamanan informasi dan siber menghasilkan 73 sub-domain, selain itu juga menghasilkan 16 rekomendasi rencana kegiatan yang dapat diimplementasikan oleh organisasi. Melalui hasil tersebut diharapkan dapat menjadi masukan dalam penyusunan Key Performance Indicator (KPI) dalam mewujudkan keamanan informasi dan siber secara organisasi.

---

Since 1998, the XYZ City water sector firm, also known as company ABC, has had a 25-year cooperation agreement (PKS) with two private partners to deliver drinking water to the entire city's people. The Agreement has been end in 2023, after which company ABC retake complete management of the drinking water operations through a 6-month operational transition. The findings of the operational transition consultant, which indicate that the referenced information and cybersecurity framework does not encompass the entire business processes and organization, and IT governance is insufficient to support the company's business operations, are the focus of this research. The problem-solving strategy is to construct an information and cybersecurity framework that fits with the utilities sector scope (using C2M2 and ISO 27019) and complies with the government regulation of the Republic of Indonesia in PP 71:2019. Based on the SWOT framework and the Eisenhower Matrix, this framework serves as a guide for determining information and cybersecurity measures and prioritizing tasks. Furthermore, this framework serves as a roadmap for putting the action plan within company ABC. The study produces a complete information and cybersecurity framework with 73 sub-domains and 16 suggestions for actions plan that enterprises can implement. These findings are likely to be used to produce Key Performance Indicators Indicators (KPIs) to achieve organizational information and cybersecurity."

"Pengelolaan informasi yang baik dapat menjaga keberlanjutan bisnis perusahaan, memanfaatkan peluang bisnis, dan memaksimalkan nilai return dari investasi. Pengelolaan keamanan informasi dilakukan perusahaan dengan membuat Sistem Manajemen Keamanan Informasi (SMKI) untuk mengantisipasi setiap ancaman terhadap aset informasi. Standar SMKI yang banyak diadopsi adalah ISO/IEC 27001:2005. Standar versi 2005 ini mengalami revisi pada tahun 2013. Dengan adanya revisi tersebut, maka perusahaan yang telah memiliki sertifikasi ISO/IEC 27001 harus melakukan penyesuaian SMKI agar tetap selaras dengan versi 2013. PT. XYZ sebagai operator selular dengan jumlah pelanggan terbanyak di Indonesia mengelola aset informasinya dengan menerapkan SMKI berbasis ISO/IEC 27001:2005. PT. XYZ harus menyesuaikan SMKI dengan versi 2013 agar pengelolaan keamanan informasi yang dilakukan tetap sesuai dengan best practices terbaru dalam mengatasi risiko informasi terkini. Penyesuaian ini juga menunjukkan komitmen PT. XYZ dalam melindungi data pelanggan, meningkatkan kredibilitas dalam pasar yang kompetitif, dan mempertahankan sertifikasi ISO/IEC 27001 yang pernah diraihnya. Untuk itu perlu dilakukan audit kepatuhan keamanan informasi yang berlaku di PT. XYZ terhadap ISO/IEC 27001:2013. Penelitian menunjukkan sejauh mana SMKI PT. XYZ patuh terhadap ISO/IEC 27001:2013. Untuk meningkatkan kepatuhan direkomendasikan beberapa kebijakan dan prosedur yang perlu ditambahkan, yaitu terkait komunikasi SMKI kepada pihak terkait, kontrol terhadap supply chain, dan kontrol redundan.

---

Information management will maintain the sustainability of the company's business, take advantage of business opportunities, and maximize the return value of the investment. Information Security Management System (ISMS) done by enterprise to anticipate any threats to information assets. Widely adopted ISMS standard is ISO / IEC 27001: 2005. This version of the standard was revised in 2013. With this revision, the company with ISO / IEC 27001 Certification should make adjustments to comply with new standard.

PT. XYZ as a service provider with the highest number of subscribers in Indonesia manage their information assets by implementing ISMS based on ISO / IEC 27001:2005. PT. XYZ must adjust the ISMS in order to stay aligned with the latest best practices and newest information risk. This adjustment also shows the commitment of PT. XYZ in protecting customer data, improving credibility in a competitive market, and maintain ISO / IEC 27001 Certification. Therefore, compliance audit of information security in PT. XYZ need to be done. Audit shows the extent of the ISMS adherence to ISO / IEC 27001:2013. To improve compliance, we recommend several policies and procedures that need to be added: communications to related parties, control of the supply chain, and control of redundancy."

"In this era of digital age where considerable business activities are powered by digital and telecommunication technologies, deriving customer loyalty and satisfaction through delivering high quality services, driven by complex and sophisticated Information Technology (IT) systems, is one of the main services objectives of the Bank towards its customers. From customer services perspective, "availability" is a degree of how closed the Bank is to its customers so that they can "consume" the Bank"s services easily and in preference to its competitors. "Reliability" is the degree of how adequate and responsive the Bank is in meeting its customers" needs. "Confidentiality" is the trust the customers have in the Bank in that their confidential information will not fall into the wrong hands.Information Technology is one of the means that Bank uses to achieve quality service objectives. Reliance on IT requires an understanding of the importance of IT Security within the IT environments. As business advantages are derived from the use of IT to deliver quality services, critical IT security issues related to the use of IT should be understood and addressed. Safeguarding and protecting security Information systems and assets are prominent issues that all responsible IT users must address. Information is the most valuable assets of the Bank. Adequate resources must be allocated to carry out the safeguarding of Bank"s information assets through enforcing a defined IT Security Policies, Standards and Procedures.Compliance with international and national standards designed to facilitate the Interchange of data between Banks should be considered by the Bank"s management as part of the strategy for IT Security which helps to enforce and strengthen IT security within an organization."

"Teknologi informasi telah menjadi bagian penting bagi sebuah organisasi. Hal ini tercermin semakin banyaknya pemanfaatan teknologi informasi untuk membantu jalannya proses bisnis organisasi. Lembaga XYZ selaku lembaga pemerintah yang diberi amanat untuk mengembangkan dan merumuskan kebijakan terkait pengadaan pemerintah telah banyak memanfaatkan teknologi informasi. Hal ini tercermin dari banyaknya aplikasi e-procurement dan aplikasi pendukungnya yang dikembangkan oleh Direktorat ABC. Teknologi informasi telah banyak memberikan solusi-solusi dari tantangan terkait pengadaan yang ada di Indonesia. Tingkat pemanfaatan teknologi informasi yang tinggi oleh Direktorat ABC memberikan tantangan baru terkait keamanan informasi. Kerawanan yang ada pada setiap aset informasi yang dimiliki direktorat tersebut dapat dieksploitasi kapan saja oleh ancaman yang ada. Dampak yang ditimbulkan akibat eksploitasi tersebut dapat mengancam keberlangsungan organisasi tersebut. Oleh karena itu perlu dilakukan audit keamanan informasi terhadap Direktorat ABC agar dampak tersebut dapat diminimalisir. Audit keamanan informasi yang dilakukan pada penelitian ini adalah audit kepatuhan organisasi dalam mengelola keamanan informasi terhadap ISO/IEC 27001:2005. Penelitian ini fokus untuk melakukan audit pada aset-aset yang dimiliki oleh Direktorat ABC. Penelitian ini dilakukan mengikuti tahapan yang terdapat pada proses Plan yang terdapat dalam model PDCA (Plan-Do-Check-Act) pada ISMS. Hasil penelitian ini memberikan gambaran sejauh mana Lembaga XYZ khususnya Direktorat ABC sudah menerapkan pengelolaan keamanan informasi. Daftar kerawanan, daftar ancaman yang mampu mengeksploitasi kerawanan tersebut, dan daftar dampak yang mungkin diterima oleh direktorat tersebut dianalisa untuk diidentifikasi kontrol-kontrol yang mungkin untuk diterapkan guna memperbaiki kondisi yang ada. Rencana kerja kemudian di susun untuk merencanakan kapan kontrol-kontrol tersebut harus diterapkan.

---

Information technology has become an important part of an organization.This is reflected in the increasing use of information technology to assist the organization to do their business processes. XYZ Agency as the government agency mandated to develop and formulate policies related to government procurement has been widely using information technology. This is reflected in the many applications of e-procurement and supporting applications developed by the Directorate of ABC. Information technology has provided solutions to procurement-related challenges in Indonesia.

The level of high utilization of information technology by the Directorate of ABC provide new challenges related to information security. Vulnerabilities that exist on any asset owned by the directorate of information that can be exploited by a threat anytime there. Impact caused by the exploitation may threaten the sustainability of the organization. Therefore, it is necessary to audit security information to the Directorate of ABC so that these impacts can be minimized.

Information security audit conducted in this study is an audit of compliance in managing information security organization against ISO/IEC 27001:2005. This research focus to audit the assets held by the Directorate of ABC. This study was conducted following the steps contained in the Plan are contained in the PDCA model (Plan-Do-Check-Act) to ISMS.

The results of this study illustrate the extent to which XYZ Agency in particular Directorate of ABC have implemented information security management. Vulnerability list, a list of threats capable of exploiting the vulnerability, and a list of effects that may be received by the directorate analyzed to identify the controls that are likely to be applied in order to improve the existing conditions. The work plan then collated to plan when such controls should be applied."

"Ancaman terhadap keamanan informasi menjadi hal yang sering dijumpai saat ini baik di lingkup individu maupun organisasi. Beberapa jenis ancaman tersebut berasal dari serangan virus, malware, web defacement dan phising. Untuk mengantisipasi dan merespon serangan tersebut, lembaga XYZ membentuk tim insiden respon atau yang dikenal sebagai CSIRT ( Computer and Security Incident Response Team). Penanganan insiden keamanan informasi merupakan aspek kritis dalam memastikan integritas dan kelangsungan operasional suatu organisasi. Berdasarkan catatan, insiden keamanan informasi masih sering terjadi hingga saat ini di lingkungan organisasi.Penelitian ini bertujuan untuk melakukan analisis terhadap pendekatan yang diambil oleh organisasi dalam menangani insiden keamanan informasi dengan area fokus pada efektivitas langkah-langkah yang dilakukan. Kerangka kerja yang digunakan adalah ISO/IEC 27035:2016, terdapat 69 klausul dilakukan untuk mengevaluasi penanganan insiden dan 62 klausul untuk diterapkan untuk perencanaan kebijakan penanganan insiden. Hasil asesmen pada lembaga XYZ menggunakan ISO/IEC 27035 mengenai manajemen insiden keamanan informasi didapatkan bahwa organisasi telah menerapkan sejumlah 53% dari 69 klausul yang diterapkan.

---

Threats to information security are something that is often encountered today, both in individuals and organizations. Several types of threats come from virus attacks, malware, web defacement and phishing. To anticipate and respond to these attacks, XYZ Institution formed an incident response team or known as CSIRT (Computer and Security Incident Response Team). Handling information security incidents is a critical aspect to ensuring the integrity and operational continuity of an organization. Based on records, information security incidents still frequently occur today in organizational environments.

This research aims to conduct an analysis of the approaches taken by organizations in handling information security incidents with a focus area on the effectiveness of the steps taken. The framework used is ISO/IEC 27035:2016, there are 69 clauses to evaluate incident handling and 62 clauses to be applied for planning incident handling policies. The results of an assessment at XYZ institution using ISO/IEC 27035 regarding information security incident management found that the organization had implemented 53% of the 69 clauses implemented."

"Tren digitalisasi yang semakin meningkat pada situasi pandemi Covid-19 saat ini telah mempengaruhi gaya hidup masyarakat baik individu maupun organisasi dan mengubah perilaku konvensional menjadi digital. Era digital menawarkan berbagai kemudahan, namun disisi lain terdapat tantangan berupa ancaman siber yang mempengaruhi keamanan siber suatu negara. Dalam rangka meningkatkan keamanan siber secara lebih efektif dan efisien pada salah satu Instansi Pemerintah di Indonesia, Pusat Data dan Teknologi Informasi Komunikasi (TIK) yang merupakan salah satu unsur pendukung di Badan XYZ menjadi obyek penelitian dalam rencana implementasi pengukuran kematangan keamanan siber. Berdasarkan kondisi saat ini, dapat diketahui bahwa implementasi pengelolaan keamanan TIK belum diterapkan secara optimal. Mengacu hal tersebut, maka dibutuhkan kerangka kerja keamanan secara komprehensif yang akan membantu dalam pengelolaan TIK secara lebih aman dalam mengantisipasi adanya ancaman siber yang semakin meningkat. Dalam penelitian ini, akan melakukan perancangan kerangka kerja kematangan keamanan siber dengan melakukan integrasi berdasarkan kerangka kerja, standar NIST CSF, ISO 27002 dan COBIT 2019. Hasil dari penelitian ini diantaranya: Kerangka kerja (framework) kematangan keamanan siber yang dihasilkan terdiri dari 201 aktivitas yang dapat diimplementasikan oleh organisasi, dan terbagi dalam 38 kategori pada framework kematangan keamanan siber. Selain itu, distribusi aktivitas dalam framework terdiri dari 21.56% berasal dari NIST CSF Model, 14.59% berasal dari ISO 27002, dan 63.85% berasal dari COBIT 2019 Model. Melalui konsep kerangka kerja kematangan keamanan siber yang dihasilkan diharapkan dapat menjadi masukan dalam penyusunan instrumen tingkat kematangan keamanan siber dan sandi secara organisasi.

---

The increasing trend of digitization in the current Covid-19 pandemic situation has affected the lifestyles of both individuals and organizations and changed conventional behavior to digital. The digital era offers various conveniences, but on the other hand, there are challenges in the form of cyber threats that affect the cybersecurity of a country. To improve cybersecurity more effectively and efficiently at one of the Government Agencies in Indonesia, the Center for Data and Information and Communication Technology (ICT), one of the XYZ Agency’s supporting elements, is the research object in implementing cybersecurity maturity. Based on current conditions, it can be seen that the implementation of ICT security management has not been implemented optimally. A comprehensive security framework is needed that will assist in managing ICT more securely in anticipating the increasing cyber threats. This research/ will design a cybersecurity maturity framework by integrating based on the framework, the NIST CSF standard, ISO 27002, and COBIT 2019. The results of this study include: The resulting cybersecurity maturity framework consists of 201 activities that can be implemented by the organization/ and is divided into 38 categories in the cybersecurity maturity framework. In addition, the distribution of activities in the frameworks consists of 21.56% derived from the NIST CSF Model, 14.59% comes from ISO 27002, and 63.85% comes from the COBIT 2019 Model. Through the concept of cybersecurity maturity framework produced, it is hoped that it becomes an input for preparing an organizational cybersecurity maturity level instrument. "

"Pertukaran informasi dan penyebaran informasi melalui perangkat TIK akan melahirkan era banjirnya informasi dan berujung pada munculnya isu keamanan informasi. Untuk kementerian, lembaga, dan instansi pemerintah, isu keamanan informasi mulai mengemuka setelah diterbitkannya peraturan PP No.82 Tahun 2012 tentang Penyelenggaraan Sistem dan Transaksi Elektronik. Pada peraturan tersebut terdapat kewajiban pengamanan sistem elektronik bagi penyelenggara sistem elektronik untuk pelayanan publik. Pemerintah Kabupaten X merupakan instansi pemerintah yang melayani publik. Kondisi keamanan informasi di Pemerintah Kabupaten X saat ini masih lemah, terbukti dengan adanya insiden serangan malware yang ditujukan ke situs www.xkab.go.id. Penelitian ini difokuskan pada audit kepatuhan keamanan informasi dengan menggunakan kerangka kerja ISO/IEC 27001:2013. Model audit yang digunakan adalah model Plan. Model Plan adalah salah satu model Plan-Do-Check-Act yang merupakan pendekatan dalam mengelola Sistem Manajemen Keamanan Informasi (SMKI) pada ISO/IEC 27001:2005. Audit dilakukan dengan mengidentifikasi aset, ancaman, kerawanan dan rencana kerja untuk menghasilkan rekomendasi kebijakan, prosedur, instruksi dan dokumentasi. Hasil penelitian ini terdapat 143 kebijakan, prosedur, instruksi, dan dokumentasi yang direkomendasikan. Hasil rekomendasi tersebut telah memenuhi 148 kontrol dari 163 kontrol yang ada pada ISO/IEC 27001:2013.

---

Information exchange and dissemination of information with ICT will give birth to the era of the flood of information and lead to the emergence of the issue of information security. For ministries, institutions and government agencies, information security related issues started to emerge after the issuance of regulation PP 82/2012 on the Implementation of the System and Electronic Transactions. There is an obligation on the regulation of electronic security systems for organizing electronic system for public services. X Regency is a government agency that serves the public. Information security conditions in X Regency still weak, as evidenced by the incidents of malware attacks aimed to the site www.xkab.go.id.

This study focused on information security compliance auditing by using the framework of ISO / IEC 27001: 2013. The audit model used is a model Plan. Model Plan is one model of Plan-Do-Check-Act which is an approach to managing an Information Security Management System (ISMS) in ISO/IEC 27001:2005. Audit carried out by identifying assets, threats, vulnerabilities and work plan to produce policy recommendations, procedures, instructions and documentation. Results of this study are 143 policies, procedures, instructions, and documentation are recommended. Results of these recommendations have met control 148 of the 163 existing controls in ISO / IEC 27001:2013."

"Tesis ini membahas implementasi integrasi kerangka kerja keamanan informasi NIST Versi 1.1 dengan Tata Kelola I&T berbasis Cobit 2019, adapun pengukuran kinerja manajemen menggunakan metode Cobit Performance Management (CPM) model. Penelitian ini adalah penelitian kualitatif dengan metode studi kasus, digabungkan dengan penelitian kuantitatif dengan metode deskriptif kuantitatif. Mengintegrasikan standar kerangka kerja keamanan informasi NIST Versi 1.1 dan tata kelola I&T Cobit 2019 dengan cara memetakan tahapan-tahapan pada cobit 2019 dan langkah-langkah pada NIST Vers 1.1. Tingkat kapabilitas untuk setiap Fungsi Kerangka Kerja Keamanan Informasi NIST Vers 1.1 di Direktorat ABC didominasi oleh level 2, namun terdapat fungsi yang masih berada di level 1 yaitu fungsi Deteksi [DE], yang artinya proses kurang lebih mencapai tujuannya melalui penerapan serangkaian kegiatan yang tidak lengkap yang dapat dikategorikan sebagai awal atau intuitif-tidak terlalu terorganisir. Hasil pengukuran diketahui bahwa terdapat 42 subkategori yang memiliki kesenjangan, 51 Subproses Cobit 2019 sebagai rekomendasi kepada pihak manajemen agar dapat terpenuhi dalam praktik operasional Direktorat ABC atau sebanyak 20 Governance & Management Objectives Cobit 2019 yang harus diperbaiki. Dengan menerapkan Kerangka Kerja Keamanan Informasi NIST Versi 1.1. yang diintegrasikan dengan Tata kelola Teknologi Informasi berbasis Cobit 2019 diharapkan dapat meningkatkan komunikasi tentang prioritas I&T, membantu memaksimalkan I&T untuk keunggulan kompetitif dan membawa transparansi ke definisi dan manajemen risiko I&T.

---

This thesis discusses the implementation of the integration of the NIST information security framework Version 1.1 with the I&T Governance based on Cobit 2019, as for the measurement of management performance using the Cobit Performance Management (CPM) model. This research is a qualitative research with case study method, combined with quantitative research with quantitative descriptive methods. Integrate the standard information security framework NIST Version 1.1 with the I&T Governance based on Cobit 2019 by mapping the stages in Cobit 2019 and the steps in NIST Vers 1.1. The capability level for each function of the NIST Information Security Framework Vers 1.1 at the Directorate ABC is dominated by level 2, but there is a function that is still at level 1, the Detection function [DE], which means the process is more or less achieving its objectives through the implementation of a series of incomplete activities which can be categorized as initial or intuitive-not very organized. The measurement results are known that there are 42 subcategories that have gaps, 51 Subprocesses Cobit 2019 as a recommendation to management so that they can be fulfilled in operational practices Directorate ABC or as many as 20 Governance & Management Objectives 2019 Cobit that must be corrected. By implementing the NIST Information Security Framework Version 1.1. integrated with the Cobit-based Information Technology Governance 2019 is expected to improve communication about I&T priorities, help maximize I&T for competitive advantage and bring transparency to the definition and risk management of I&T."

"Sektor kesehatan merupakan salah satu sektor yang menjadi target utama serangan siber. Penggunaan teknologi informasi pada sektor kesehatan menyebabkan munculnya berbagai kerentanan dalam sektor kesehatan. Pengelolaan risiko keamanan informasi merupakan salah satu hal yang harus dilakukan oleh organisasi sektor kesehatan. Penelitian ini bertujuan untuk menghasilkan kerangka kerja manajemen risiko keamanan informasi pada sektor kesehatan berdasarkan kajian terhadap profil risiko yang ada pada sektor kesehatan. Penelitian dilakukan dengan metode kualitatif. Berdasarkan hasil risk profiling, sektor kesehatan mempunyai enam aset kritikal yang akan berdampak signifikan bila dieksploitasi. Untuk mengatasi hal tersebut, diajukan kerangka kerja manajemen risiko keamanan informasi yang terdiri atas empat tahap, yaitu Risk Profiling, Pengukuran Level Risiko, Perlakuan Risiko, dan Pemantauan. Risk Profiling merupakan tahap yang penting dalam proses manajemen risiko untuk menghasilkan gambaran profil risiko keamanan informasi berdasarkan aset kritikal yang dimiliki instansi dan kondisi ruang siber dalam konteks keamanan informasi di sektor kesehatan. Desain kerangka kerja diuji coba pada Klinik Utama XYZ yang merupakan salah satu instansi fasilitas pelayanan kesehatan. Pada hasil uji coba tersebut, terdapat 20 aset dengan 24 risiko yang terdiri atas 1 risiko level Sangat Tinggi, 5 risiko level Tinggi, 8 risiko level Sedang, dan 10 risiko level Rendah. Perlakuan terhadap seluruh risiko tersebut adalah dikurangi dengan penerapan kontrol dan disalurkan. Hasil evaluasi terhadap usulan kerangka kerja menyatakan bahwa desain kerangka kerja sudah menggambarkan urutan kegiatan, mencakup seluruh aktivitas yang diperlukan, dapat diaplikasikan pada instansi fasilitas pelayanan kesehatan, ideal untuk menyelenggarakan manajemen risiko keamanan informasi, serta memudahkan instansi fasilitas pelayanan kesehatan untuk melakukan self-assessment dan melakukan tindak lanjut terkait hasil kegiatan.

---

The healthcare sector is currently becoming one of the paramount targets for cyberattacks. The utilization of information technology in the healthcare sector triggers the emergence of its varied vulnerabilities. Information security risk management is considered one of obligatory jobs for healthcare sector organizations. This study aims at constructing an information security risk management framework in the healthcare sector based on a study of its risk profile. This research employed qualitative method. Based on risk profiling results, the healthcare sector had six critical assets that will caused significant impact if exploited. To overcome this, an information security risk management framework consisting of four stages is proposed, namely Risk Profiling, Risk Level Assessment, Risk Treatment, and Monitoring. Risk Profiling is a vital stage in the risk management process to produce an overview of the information security risk profile resulted from critical assets owned by the organization and the condition of cyberspace in the information security in the healthcare sector. The proposed framework design was tested in Klinik Utama XYZ which is kind of health care facility agencies. The result of the test is there are 20 assets with 24 risks consist of a very high risk, 5 high risks, 8 medium risks, and 10 low risks. All the risks are reduced by applying some controls. Trea are two risks that will be transferred. The result of the evaluation of proposed framework state that it has described the sequence of security risk management stage, all required activities in information security risk management are includes, can be applied into the healthcare facilities institution, it is the ideal framework to conduct risk management in the healthcare sector, and it is easy to be applied in the health care facility institution to conduct a sel-assessment as well as to follow up related activity results"

"PT XYZ merupakan salah satu Badan Usaha Milik Pemerintah (BUMN) Republik Indonesia yang bergerak pada bidang agribisnis. PT XYZ sudah memiliki sistem manajemen keamanan informasi (SMKI), namun masih ditemukan beberapa kendala seperti atensi personil terhadap keamanan informasi yang rendah, kebutuhan untuk tetap patuh dengan peraturan pemerintah, hingga kendala teknis yang muncul, sehingga PT XYZ ingin meningkatkan kapabilitas terkait keamanan informasi yang mereka miliki. Penelitian ini bertujuan untuk mengetahui kondisi terkini dari SMKI yang ada pada PT XYZ dan memberikan rekomendasi peningkatan SMKI. Penelitian ini menggunakan kontrol keamanan informasi berdasarkan standar ISO/IEC 27001:2022 untuk mendapatkan gap kondisi keamanan informasi, dan kemudian melakukan penilaian risiko yang memakai data hasil gap yaitu kontrol keamanan informasi yang terpilih. Setelah itu dilakukan rekomendasi yang disusun berdasarkan standar ISO/IEC 27002:2022. Temuan dari penelitian ini adalah ditemukannya 22 aktivitas kontrol ISO/IEC 27001:2022 yang hasil nilainya belum maksimal. 22 kontrol ini kemudian dibagi menjadi 3 kategori rekomendasi berdasarkan urgensi peningkatan yang sesuai dari hasil penilaian risiko.

---

PT XYZ is one of the government-owned enterprises of the Republic of Indonesia that engaged in agribusiness. PT XYZ already has an information security management system (ISMS), but there are still several obstacles that are found, such as low personnel attention to information security, the need to remain compliant with government regulations, to technical constraints that arise, so PT XYZ wants to improve its information security-related capabilities. This study aims to determine the current condition of the existing ISMS at PT XYZ and provide recommendations for improving the ISMS. This research uses information security controls based on the ISO/IEC 27001: 2022 standard to get the information security condition gap, and then conduct a risk assessment using the gap result data, namely the selected information security controls. After that, recommendations were made based on the ISO / IEC 27002: 2022 standard. The findings of this study were the discovery of 22 ISO/IEC 27001:2022 control activities whose value results were not maximised. These 22 controls are then divided into 3 categories of recommendations based on the urgency, from the results of the risk assessment."