BAGAIMANA MENGELOLA RISIKO KEAMANAN DAN PRIVASI

Terkait dengan bagaimana mengelola risiko keamanan dan privasi didalam Paper dalam bab ini
menjelaskan konsep dasar yang terkait dengan pengelolaan system informasi terkait keamanan dan
risiko privasi dalam organisasi. Konsep-konsep ini termasuk langkah-langkah RMF dan struktur tugas;
keamanan informasi dan program privasi di RMF; informasi sistem, elemen sistem, dan bagaimana
batasan otorisasi ditetapkan; keamanan dan postur privasi; dan praktik manajemen risiko keamanan dan
privasi yang terkait dengan pasokan rantai.

MANAJEMEN RISIKO SELURUH ORGANISASI

Mengelola risiko keamanan dan privasi terkait sistem informasi adalah tugas kompleks yang
membutuhkan keterlibatan seluruh organisasi—dari pemimpin senior yang menyediakan strategi visi
dan tujuan serta sasaran tingkat atas untuk organisasi, hingga pemimpin tingkat menengah yang
merencanakan, melaksanakan, dan mengelola proyek, hingga individu yang mengembangkan,
mengimplementasikan, mengoperasikan, dan memelihara sistem yang mendukung misi organisasi dan
fungsi bisnis. Mempertaruhkan manajemen adalah aktivitas holistik yang mempengaruhi setiap aspek
organisasi termasuk misi dan kegiatan perencanaan bisnis, arsitektur perusahaan, proses SDLC, dan
aktivitas rekayasa sistem yang merupakan bagian integral dari proses siklus hidup sistem tersebut.

LANGKAH DAN STRUKTUR KERANGKA MANAJEMEN RISIKO

Ada tujuh langkah dalam RMF langkah persiapan untuk memastikan bahwa organisasi siap
untuk menjalankan proses dan enam langkah utama. Semua tujuh langkah sangat penting untuk
keberhasilan eksekusi dari RMF. Langkah-langkahnya adalah:
• Bersiaplah untuk melaksanakan RMF dari perspektif tingkat organisasi dan sistem dengan
menetapkan konteks dan prioritas untuk mengelola risiko keamanan dan privasi.
• Mengkategorikan sistem dan informasi yang diproses, disimpan, dan dikirim oleh sistem
berdasarkan analisis dampak kerugian.
• Pilih satu set kontrol awal untuk sistem dan sesuaikan kontrol sesuai kebutuhan untuk
mengurangi risiko ke tingkat yang dapat diterima berdasarkan penilaian risiko.
• Menerapkan kontrol dan menjelaskan bagaimana kontrol digunakan dalam sistem dan
lingkungan operasinya.
• Menilai kontrol untuk menentukan apakah kontrol diterapkan dengan benar, beroperasi sebagai
dimaksudkan, dan menghasilkan hasil yang diinginkan sehubungan dengan pemenuhan
keamanan dan persyaratan privasi.
• Otorisasi sistem atau kontrol umum berdasarkan penentuan bahwa risiko untuk operasi
organisasi dan aset, individu, organisasi lain, dan Bangsa adalah dapat diterima.
• Memantau sistem dan kontrol terkait secara berkelanjutan untuk memasukkan penilaian
efektivitas pengendalian, mendokumentasikan perubahan pada sistem dan lingkungan operasi,
melakukan penilaian risiko dan analisis dampak, dan melaporkan keamanan dan privasi postur
sistem.