2010-2-00345-KA Bab 2 PDF
2010-2-00345-KA Bab 2 PDF
BAB 2
LANDASAN TEORI
management and other personnel, applied in strategy setting and across the
enterprise, designed to identify potential events that may affect the entity,
manage risk to be within its risk appetite, and provide reasonable assurance
Dari definisi risk management diatas dapat kita artikan menjadi beberapa
bagian yaitu :
a. On going process
b. Effected by people
yang bersangkutan.
14
secara optimal.
15
terdiri dari:
operasi perusahaan.
16
potensial yang dihadapi oleh perusahaan. Evaluasi dan penilaian ini akan
perusahaan.
Pada pokoknya ada empat cara yang dapat dipaki untuk menanggulangi
memilih satu cara yang paling tepat untuk menanggulangi suatu risiko atau
menanggulangi risiko.
17
2.1.2 Risiko
beberapa ahli, yaitu: (1) menurut Arthur Williams dan Richard, M.H, risiko
adalah suatu variasi dari hasil-hasil yang dapat terjadi selama periode tertentu-
yang mungkin melahirkan peristiwa kerugian (loss); (3) menurut Soekarto, risiko
diduga/tidak diinginkan.
a. Risiko yang tidak disengaja (risiko murni) adalah risiko yang apabila
18
dilimpahkan kepada seseorang dan yang menderita tidak hanya satu atau
beberapa orang saja, tetapi banyak orang, seperti banjir, angin topan, dan
sebagainya.
d. Risiko khusus adalah risiko yang bersumber pada peristiwa yang mandiri
Kebalikannya adalah risiko statis, contohnya seperti risiko hari tua dan
2. Dapat tidaknya risiko tersebut dialihkan kepada pihak lain, maka risiko
asuransi.
19
b. Risiko yang tidak dapat dialihkan kepada pihak lain (tidak dapat
a. Risiko intern yaitu risiko yang berasal dari dalam perusahaan itu
b. Risiko ekstern yaitu risiko yang berasal dari luar perusahaan, seperti
diminimumkan. Sesuai dengan sifat dan objek yang terkena risiko, ada beberapa
antara lain:
20
secara efektif dalam menghadapi uncertainty dengan risiko dan peluang yang
berikut:
21
panjang, dan merupakan implementasi dari visi dan misi instansi tersebut.
Sementara itu, activity objective dapat dipilah menjadi 3 kategori, yaitu (1)
objectives.
Sumber daya manusia (SDM) yang dimiliki organisasi yang ada pada
seluruh divisi dan bagian haruslah dilibatkan dan mengerti risiko yang
22
SMART , dan ditentukan risk appetite and risk tolerance (variasi dari
financial assets seperti kas dan simpanan di bank, physical assets seperti
23
Atas setiap sumber daya yang dimiliki organisasi dilakukan penilaian risiko
dapat diketahui dari inherent dan residual risk, dan dapat dianalisis dalam
24
risiko. Aktivitas yang paling kecil risikonya ada pada aktivitas a dan e, dan
aktivitas yang paling berisiko tinggi dengan kemungkinan terjadi tinggi ada
25
sebagian dari risiko dengan pihak lain; (4) acceptance, yaitu menerima
risiko yang terjadi (biasanya risiko yang kecil), dan tidak ada upaya khusus
yang dilakukan. Strategi dalam memilih risiko dijelaskan pada Gambar 2.3
26
pengendalian yang meliputi: (1) integritas dan nilai etika; (2) kompetensi;
(3) kebijakan dan praktik-praktik SDM; (4) budaya organisasi; (5) filosofi
27
komunikasi.
appropriate; (2) timely; (3) current; (4) accurate; dan (5) accessible. Arah
8. Monitoring
28
berlebihan (tidak relevan). Kendala ini timbul dari berbagai faktor seperti
Indrajit(2000,p6)
software, dan jaringan komunikasi yang mendukung aktifitas dari sebuah sistem
informasi
29
risiko terdiri dari beberapa tahap berikut, ditempatkan dengan cara yang berbeda
manajemen.
direnacakan itu dikerjakan dan mengerti perubahan yang ada pada tas
30
the potential loss of information and its recovery, or they concern the ongoing
usage of information. They fall into the following six major categories
1. Security.
2. Availability.
Risk that data is not accessible, such as after a system failure, due to
or other causes.
3. Recoverability.
4. Performance.
landscape.
31
5. Scalability.
6. Compliance.
1. Keamanan
terorisme cyber.
2. Ketersediaan
3. Daya Pulih
32
4. Performa
5. Daya Skala
6. Ketaatan
didefinisikan dalam 7 kelas, dimana pada setiap kasus, teknologi informasi dapat
33
yang ada telat/tidak pada waktunya, sumber daya dan biaya yang
dari proyek tidak sesuai dengan keinginan dari yang diharapkan user.
dan tidak dapat diandalkan sehingga menggangu proses bisnis yang sedang
user.
eksploitasi aset informasi yang ada dalam sistem. Dampaknya biar sangat
fatal bagi perusahaan, contohnya informasi yang penting bisa dicuri oleh
perusahaam kompetitor, detail dari kartu kredit dapat dilihat oleh pihak
34
vendor. Bila mereka gagal dalam meyediakan pelayanan yang baik bagi
database management.
sistem yang ada. Apabila terdapat sistem yang sudang tidak kompatibel
35
dengan model yang baru, mana sistem tersebut perlu diganti. Apabila risiko
ini dapat ditangani secara rutin, maka itu merupakan suatu perencanaan
terus bergerak maju kearah visi strategi. Untuk tetap kompetitif diperlukan
Menurut Jordan dan Silcock (2005, p7), ada tiga langkah kunci dalam
informasi teknologi.
36
1. Hardware (HW)
atau optikal.
a. Input device
informasi dan perintah yang terdiri dari keyboard, mouse, touch screen,
b. Output device
informasi yang terdiri dari printer, monitor, dan speaker. Storage divice
37
digunakan di lain waktu terdiri atas hard disk, flash memory card, dan
DVD.
c. CPU
keseluruhan hardware.
d. RAM
e. Telecommunications divice
mengirim dan menerima informasi dari orang atau komputer lain dalam
f. Connecting divice
38
2. Software (SW)
software.
benefits: it creates a scope for IT risk assessments; it allows for the assessment of
key risk indicators; it provides the basis for automation; and it creates the ability
to baseline risks.
39
the basis for executing a risk assessment - the list of IT objects to be assessed - is
the IT scope of the assessment without which risk cannot be assessed. The IT
scope needs to contain sufficient detail for assessing risk - usually an inventory
of applications, how they support the business, how they are related (what
But this is exactly the information that constitutes the current architecture
good enterprise architecture practice will have this available, up-to-date and
The first conclusion is that the IT scope for risk assessments may already
time and effort can be saved. Indeed, typically 15% of assessment costs may go
into initially documenting the IT scope. But if this vital architecture is not
available, establishing and maintaining it will give both IT planners and IT risk
the business is a logical and efficient thing to do, but may face challenges.
Cultural differences between IT planners and IT risk teams, along with different
40
this goal, but they are barriers that need to be overcome. The different parts of IT
information on the IT scope and processes in place to ensure its accuracy. They
also require a tool that can maintain it. Such tools offer important features such
as workflow support, quality monitors and wizards to ensure that the IT scope is
maintained and up to date. But they also offer other features that support the IT
Most notably they deliver the ability to assess key risk indicators for
the impacts of changes to the IT infrastructure on the risk posture of the business
- or to highlight the risks of leaving IT as it is. This type of tool support also
reduces risk management costs as abstracting key risk indicators to the business
scope from the enterprise architecture and IT planning teams is that it provides
the basis for automation. Business rule-based surveying capabilities provides the
IT risk management project with the ability to automatically send risk assessment
surveys as required to the right person (or group) for each and every facet of the
41
IT scope. Further benefits include the ability to assign deputies in absence of the
responsible person and to monitor the assessment escalating the issue when the
the manual effort involved. This leads not only to direct cost savings, but is also
more reliable than consolidating spreadsheets - by which errors are easily made.
auditors that the risk assessment has been done with the necessary due diligence,
The last benefit considered here is the ability to baseline risks. This is
assessments are generally done according to the audit cycle. This, however,
means that organizations are running risk assessments more often than
necessary. More importandy, this also means that in the gap between risk
42
daftar objek TI yang akan dinilai - adalah baik tidak tersedia atau tidak dapat
diandalkan karena sudah ketinggalan zaman atau tidak lengkap. Ruang lingkup
pengukuran TI tanpa risiko tidak dapat dinilai. Ruang lingkup TI harus berisi
Tapi inilah informasi yang merupakan gambaran arsitektur saat ini bahwa
perusahaan yang baik akan memiliki arsitektur ini tersedia, up-to-date dan
risiko mungkin sudah tersedia dan, dengan membuatnya tersedia dengan risiko
manajemen proyek, maka akan menghemat banyak waktu dan tenaga. Memang,
ruang lingkup IT. Tapi ini penting, kalau arsitektur tidak tersedia, membangun
bagaimana mendukung bisnis adalah hal yang logis dan efisien untuk dilakukan,
perbedaan antara perencana TI dan tim risiko TI, serta pengertian yang berbeda
43
mengenai apa yang diperlukan untuk membuat aplikasi, dapat menjadi hambatan
untuk mencapai tujuan ini, tetapi hal tersebut merupakan hambatan yang perlu
nemerlukan baik ruang lingkup TI dan proses yang tepat untuk memasikan
Beberapa alat – alat menawarkan fitur yang membantu alur kerja, monitor
dipertahankan dan up to date. Tapi alat – alat tersebut juga menawarkan fitur
ruang lingkup TI dari arsitektur enterprise dan tim perencanaan TI adalah untuk
kepada orang yang tepat (atau kelompok yang tepat) untuk setiap dan semuasegi
dari ruang lingkup TI. Manfaat yang lebih lanjut termasuk kemampuan untuk
menetapkan deputi saat tidak adanya orang yang bertanggung jawab dan
tepat
44
Konsolidasi dan evaluasi respon pada akar lebih lanjut mengurangi upaya
manual yang terlibat. Hal ini menyebabkan tidak hanya untuk penghematan biaya
kesalahan yang dapat dengan mudah dilakukan. Selain itu, juga didukung oleh
menggaris bawahi risiko. Hal ini biasanya merupakan sasaran dari disiplin
manajemen risiko TI dewasa ini. Saat ini, penilaian risiko pada umumnya
dilakukan sesuai dengan siklus audit. Namun, hal ini berarti bahwa organisasi
Yang lebih penting, ini juga berarti bahwa dalam jarak antara pengukuran risiko,
45
2.6.1.1 COBIT
diterima sebagai best practice untuk tata kelola (IT Governance), kontrol dan
proses PO9 dalam COBIT. Proses-proses yang lain juga menjelaskan tentang
46
1. Penetapan Objektif
a. Effectiveness
b. efficiency
c. confidentiality
d. integrity
e. availability
f. compliance
g. reliability.
47
2. Identifikasi Risiko
Perusahaan
(opportunity).
48
3. PenilaianRisiko
Proses untuk menilai seberapa sering risiko terjadi atau seberapa besar
aman, terhentinya operasi bisnis, kegagalan aset yang dapat dinilai (sistem
oleh sifat alami dari bisnis, struktur dan budaya organisasi, sifat alami dari
sistem (tertutup atau terbuka, teknologi baru dan lama), dan kendali-
kendali yang ada. Proses penilaian risiko bisa berupa risiko yang tidak
Tabel 2.3 Tingkatan besarnya dampak risiko dan frekuensi terjadinya resiko
49
4. Respon Risiko
kontrol objektif yang sesuai dalam melakukan manajemen risiko. Jika sisa
risiko masih melebihi risiko yang dapat diterima (acceptable risks), maka
a. PO1 (Define a Stretegic IT Plan) dan PO9 (Assess and Manage Risks)
5. Monitor Risiko
50
51
52
In assessing risks for an IT system, the first step is to define the scope of
the effort. In this step, the boundaries of the IT system are identified, along
with the resources and the information that constitute the system.
important that the domain of interest and all interfaces and dependencies be
System-Related Information
system’s processing environment. The person or persons who conduct the risk
a. Hardware
b. Software
53
f. System mission
n. Flow of Information
54
Threat-Source Identification
desert may no include “natural flood” because of the low likelihood of such
55
1. Natural Threats.
2. Human Threats
3. Evironmental Threats
Motivation and the resources for carrying out an attack make humans
methods or threat actions by which they might carry out an attack. This
reports; and interviews with the system administrators, help desk personnel,
and user community during information gathering will help identify human
threat-sources that have the potential to harm an IT system and its data and
56
•Unauthorizedsystem access
alteration • Spoofing
• System intrusion
• System penetration
• System tampering
57
foreign privacy
proprietary,
and/or technology-related
information)
data
• Interception
logic
• Sale of personal
58
information
• System bugs
• System intrusion
• System sabotage
pelanggaran keamanan.
- Vulnerability resource
- Vulnerability list
• Continuity of support
59
investigations
• Risk assessment
• Separation of duties
chemicals)
power supply
center, office)
• Humidity control
• Temperature control
computers
interconnection, routers)
• Cryptography
60
• Intrusion detection
• Object reuse
• System audit
The goal of this step is to analyze the controls that have been
or if there are effective security controls that can eliminate, or reduce the
Control Methods
61
Control Categories
authentication.
62
checklist’s validity.
Output from Step 4 : List of current or planned controls used for the IT system
63
ineffective.
as discussed in
64
organization)
description of each security goal and the consequence (or impact) of its
d. Loss of Integrity. System and data integrity refers to the requirement that
loss of productive time, thus impeding the end users’ performance of their
65
organization.
(1) may result in the highly costly loss of major tangible assets or
(100)
resources;
66
Likelihood (e.g., probability) and threat impact. Table 2.8 below shows
how the overall risk ratings might be determined based on inputs from the
matrix of threat likelihood (High, Medium, and Low) and threat impact (High,
Medium, and Low). Depending on the site’s requirements and the granularity
latter can include a Very Low /Very High threat likelihood and a Very
Low/Very High threat impact to generate a Very Low/Very High risk level. A
“Very High” risk level may require possible system shutdown or stopping of
The sample matrix in Table 2.8 shows how the overall risk levels of High,
Medium, and Low are derived. The determination of these risk levels or
ratings may be subjective. The rationale for this justification can be explained
in terms of the probability assigned for each threat likelihood level and a
value assigned for each impact level. For example use quantitative risk
assestmen:
The probability assigned for each threat likelihood level is 1.0 for High,
The value assigned for each impact level is 100 for High, 50 for Medium,
67
Impact
Threat
Likelihood Low Medium High
(10) (50) (100)
Risk Scale: High ( >50 to 100); Medium ( >10 to 50); Low (1 to 10)
as soon as possible.
68
During this step of the process, controls that could mitigate or eliminate
provided. The goal of the recommended controls is to reduce the level of risk
to the IT system and its data to an acceptable level. The following factors
c. Organizational policy
d. Operational impact
process and provide input to the risk mitigation process, during which the
69
controls can be justified by the reduction in the level of risk. In addition, the
to mitigate risk
understand the risks and allocate resources to reduce and correct potential
70
losses. For this reason, some people prefer to address the threat/vulnerability
Output from Step -9 : Risk assessment report that describes the threats and
implementation
and therefore risk, can be measured in terms of direct and indirect costs.
measure risk in information systems. Two of the reasons claimed for this
71
determine frequency. Thus, most of the risk assessment tools that are used
tables and
72
2.6.1.3 OCTAVE
1.Identifikasi
tentang seberapa baik asset organisasi dilindungi dari risiko. Tugas yang harus
dilakukan adalah identifikasi profil risiko (aset kritis, ancaman terhadap aset,
kebutuhan keamanan untuk aset kritis, deskripsi tentang dampak risiko pada
73
2.Analisa
evaluasi risiko (Nilai-nilai untuk mengukur risiko- dampak dan peluang) dan
mengurangi risiko)
3.Perencanaan
proteksi, rencana mitigasi risiko, rencana aksi, budget, jadwal, kriteria sukses,
4. Implementasi
74
5. Monitor
Proses ini memonitor jejak rencana aksi untuk menentukan status saat
ini dan meninjau ulang data organisasi sebagai tanda adanya risiko baru dan
perubahan risiko yang ada. Langkah dalam proses monitor adalah melakukan
eksekusi rencana aksi secara lengkap, mengambil data (data untuk melihat
jalur rencana aksi terkini, data tentang indikator risiko utama) dan laporan-
6. Kontrol
proses monitor risiko adalah analisa data (analisa laporan terkini dan analisa
75
kegiatan berbeda dari metode OCTAVE yang digunakan. Bagian ini memberikan
Tahap satu adalah sebuah evaluasi dari aspek organisasi. Selama dalam
tahap ini, tim analisis menggambarkan kriteria dampak evaluasi yang akan
asset-aset organisasi saat ini. Dimana pada tahap ini terdiri atas 2 proses, yaitu
enam aktivitas.
Tahap kedua yaitu tim analisis melakukan peninjuan ulang level tinggi
Selama tahap ketiga, tim analisis mengidentifikasi risiko dari asset kritis
organisai dan rencana mitigasi risiko yang ditujukan padaaset kritis. Tahap ini
terdiri atas 2 proses, yaitu identifiksai dan analisis risiko serta mengembangkan
strategi perlindungan dan rencana mitigasi, di mana proses ini memiliki delapan
aktivitas
76
Hasil OCTAVE-S
organisasi.
1. Daftar informasi penting terkait dengan asset yang mendukung tujuan bisnis
3. Profil risiko untuk setiap asset kritis menggambarkan jarak antara risiko
terhadap asset.