ISO 31000 & OCTAVE-S

FRAMEWORK IT RISK MANAGEMENT

ISO 31000
 merupakan sebuah standar international yang
disusun dengan tujuan memberikan prinsip dan
panduan generic untuk penerapan manajeman
resiko. Standar international yang diterbitkan pada
13 november 2009 ini dapat digunakan oleh
segala jenis organisasi dalam menghadapi
berbagai resiko yang melekat pada aktivitas
organisasi tersebut. Namun standar ini tidak
ditujukan untuk menyeragamkan manajemen resiko
lintas organisasi.
Proses pada ISO 31000
 1. Menciptakan rencana dan aktivitas
 2. Mengimplementasikan rencana tersebut
 3. Mengawasi dan mengevaluasi
11 prinsip dasar ISO 31000
 Manajemen risiko menciptakan nilai tambah (creates value)
 Manajemen risiko adalah bagian integral proses dalam
organisasi (an integral part of organizational processes)
 Manajemen risiko adalah bagian dari pengambilan keputusan
(part of decision making)
 Manajemen risiko secara eksplisit menangani ketidakpastian
(explicitly addresses uncertainty)
 Manajemen risiko bersifat sistematis, terstruktur, dan tepat
waktu (systematic, structured and timely)
 Manajemen risiko berdasarkan informasi terbaik yang
tersedia (based on the best available information)
Lanjutan

 Manajemen risiko dibuat sesuai kebutuhan (tailored)

 Manajemen risiko memperhitungkan faktor manusia dan
budaya (takes human and cultural factors into account)
 Manajemen risiko bersifat transparan dan inklusif (transparent
and inclusive)
 Manajemen risiko bersifat dinamis, iteratif, dan responsif
terhadap perubahan (dynamic, iterative and responsive to
change)
 Manajemen risiko memfasilitasi perbaikan dan pengembangan
berkelanjutan organisasi (facilitates continual improvement and
enhancement of the organization)
OCTAVE-S
 adalah sebuah variasi dari pendekatan OCTAVE
yang dikembangkan untuk melakukan penilaian
resiko terhadap organisasi skala kecil yang bersifat
komprehensif,sistematis, kontekstual, dan dapat
diarahkan sendiri.
Tahapan-tahapan OCTAVE-S yang
berbasis pada framework OCTAVE
 Membangun Aset Berbasis Profil Ancaman
 Mengidentifikasi kerentanan infrastruktur
 Mengembangkan Strategi Keamanan dan
Perencanaan
Hasil utama dari OCTAVE-S
 Strategi perlindungan organisasi yang luas:
Perlindungan strategi menguraikan secara singkat
arah organisasi dengan mematuhi praktek
keamanan informasi.
 Rencana mitigasi risiko: rencana ini dimaksudkan
untuk mengurangi risiko aset kritis untuk
meningkatkan praktek keamanan yang di pilih.
 Daftar tindakan: Termasuk tindakan jangka pendek
yang dibutuhkan untuk menunjukkan kelemahan
yang spesifik
Hasil OCTAVE-S yang berguna
 Daftar informasi penting terkait dengan aset yang
mendukung tujuan bisnis dan sasaran organisasi.
 Hasil survei menunjukkan sejauh mana organisasi
mengikuti praktek keamanan yang baik.
 Profil risiko untuk setiap aset kritis menggambarkan
jarak antara risiko terhadap aset. Jadi, setiap
tahap OCTAVE-S memproduksi hasil yang
bermanfaat sehingga sebagian evaluasi akan
menghasilkan informasi yang berguna untuk
meningkatkan sikap keamanan organisasi.
Perbedaan ISO 31000 Dengan OCTAVE

 Sumber daya manusia

 Alat Perangkat Lunak / Software Tools
 Dokumentasi
Keuntungan ISO 31000

 Secara proaktif meningkatkan efisiensi operasional

dan tata kelola
 Bangun kepercayaan stakeholder terhadap
penggunaan teknik risiko Anda
 Terapkan kontrol sistem manajemen terhadap
analisis risiko untuk meminimalkan kerugian
 Meningkatkan kinerja dan ketahanan sistem
manajemen
 Menanggapi perubahan secara efektif dan
melindungi bisnis Anda saat Anda tumbuh
Keuntungan OCTAVE

 Self-directed yaitu Sekolompok anggota organisasi

dalam unit-unit bisnis yang bekerja bersama
dengan divisi IT untuk mengidentifikasi kebutuhan
keamanan dari organisasi.
 Flexible yaitu setiap metode dapat diterapkan
pada sasaran, keamanan dan lingkungan risiko
perusahaan di berbagai level.
 Evolved yaitu OCTAVE menjalankan operasi
berbasis risiko perusahaan pada sisi keamanan dan
menempatkan teknolgi di bidang bisnis
Kesimpulan dari jurnal
Dengan judul
Analisis resiko teknologi informasi menggunakan ISO 31000
( studi kasus : sistem penjualan PT. Matahari department store
cabang malang town square )
1. Untuk manajement resiko menggunakan framework
ISO31000 membutuhkan framework yang lebih teknis seperti
NIST800-30.
2. Dengan menggunakan ISO31000 terlihat nilai resiko dengan
3 tingaktan
3. Rekomendasi pengendalian yang tepat seperti risk reduction
untuk resiko human error
TERIMA KASIH


FRAMEWORK IT RISK MANAGEMENT