analisis dan rekomendasi manajemen risiko

Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
ANALISIS DAN REKOMENDASI MANAJEMEN RISIKO
TEKNOLOGI INFORMASI PADA PEMERINTAH DAERAH
Risnandar
Balai Besar Pengembangan Teknologi Tepat Guna-LIPI
Politeknik Telkom Bandung
Email: [email protected]
ABSTRAK
Rencana Strategis Teknologi Informasi (Information Technology Strategic Plan)
merupakan dokumen yang menggambarkan visi dan misi pembangunan teknologi
informasi di suatu Pemerintah Daerah. Strategi yang mendukung visi dan misi tersebut
serta prinsip-prinsip utama yang menjadi acuan dalam penggunaan teknologi informasi
merupakan ssalah satu referensi kebijakan untuk memenuhi kebutuhan layanan kepada
masyarakat dan mendukung rencana strategis jangka panjang Pemerintah Daerah.
Sebelum menyusun Rencana Strategis Teknologi Informasi di Pemerintah
Daerah, hendaknya menganalisis dokumen Government Plan, standar dan regulasi
teknologi informasi yang masih berlaku, trend teknologi, dan hasil asesmen terhadap
current IT environment. Sebagian besar manajemen teknologi informasi yang ada di
Pemerintah daerah masih jarang yang mengimplementasikan manajemen risiko
teknologi informasi sebagai bagian yang cukup penting dalam mengurangi dampak
negatif dari threat and vulnerability (ancaman dan kelemahan), baik skala high (tinggi),
medium (menengah), maupun low (rendah) yang dapat menghambat proses bisnis
layanan teknologi informasi terhadap masyarakat yang ada di daerah. Padahal risiko
yang akan dialami bisa membahayakan data confidently (kerahasiaan), integrity
(integritas), availability (ketersediaan), dan autentification (otentifikasi) yang nilai
asetnya cukup besar. Oleh karena itu, dalam tulisan ini akan diusulkan rekomendasi
untuk melakukan asesmen terhadap manajemen risiko teknologi informasi di
Pemerintah Daerah.
Kata kunci: Rencana Strategis, Pemerintah Daerah, Manajemen Risiko, Rekomendasi
PENDAHULUAN
Setiap Pemerintah Daerah memiliki tujuan, dalam era digital ini otomasi sistem
informasi dan teknologi informasi digunakan sebagai dukungan untuk mencapai tujuan
tersebut. Manajemen risiko memegang peranan penting sebagai tindakan perlindungan
bagi aset informasi dan seluruh hal yang berkaitan dengan teknologi informasi [1].
Risiko merupakan dampak negatif yang diakibatkan oleh kelemahan (vulnerability) [2].
Sedangkan manajemen risiko merupakan proses identifikasi risiko, mengkaji risiko, dan
membuat tindakan untuk mengurangi risiko pada batasan yang dapat diterima [2]. Ada
pun manfaat dari manajemen risiko teknologi informasi ini berupa pengamanan yang
baik terhadap aset teknologi informasi yang berfungsi sebagai penyiman, pengolah, dan
penyebar informasi bagi Pemerintah Daerah. Pemerintah Daerah juga perlu memiliki
fungsi penerapan manajemen risiko penggunaan TI dalam organisasi Pemerintah
Daerah yang melibatkan pihak-pihak terkait risiko dan yang memantau risiko serta yang
melakukan testing dan verifikasi. Pemerintah Daerah perlu menerapkan kebijakan
bahwa identifikasi, pengukuran, dan pemantauan risiko setiap aktivitas secara periodik
Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
dilakukan oleh Satuan Kerja Manajemen Risiko yang bekerja sama dengan satuan kerja
penyelenggara TI dan satuan kerja pengguna TI [3]. Selain itu, untuk fungsi tertentu
seperti fungsi pengamanan informasi, pelaksanaan pengelolaan risiko tetap merupakan
tanggung jawab dari tim kerja atau petugas yang melaksanakan fungsi-fungsi tersebut.
Oleh karena itu, birokrasi yang ada di Pemerintah Daerah wajib memastikan
pemantauan yang memadai dan pelaporan mengenai aktivitas terkait TI dan risikonya.
Agar proses pemantauan dan pelaporan berfungsi optimal, maka audit internal maupun
eksternal harus dapat melaksanakan fungsi testing dan verifikasi dalam setiap
pemeriksaan TI [4]. Untuk dapat menerapkan manajemen risiko pengamanan informasi
secara optimal, Pemerintah Daerah juga perlu memiliki fungsi yang melaksanakan
prosedur pengamanan informasi sehari-hari bagi pengelola program pengamanan
informasi dan pemantauan pengamanan aset Pemerintah Daerah secara keseluruhan.
METODA
Metoda penelitian dalam tulisan ini menggunakan metoda kualitatif dan
kuantitatif. Metoda kualitatif digunakan untuk menyusun roadmap asesmen manajemen
risiko teknologi informasi [4]. Sedangkan metoda kuantitatif digunakan untuk
menentukan besarnya kerugian yang diakibatkan dari dampak risiko teknologi
informasi. Berikut ini kerangka penyusunan roadmap manajemen risiko teknologi
informasi.
Identifikasi Sistem Teknologi Informasi
Berikut salah satu tahapan untuk mengidentifikasi sistem teknologi infomasi
yang ada di Pemerintah Daerah.
Tabel 1 Identifikasi Sistem Teknologi Informasi
Definisi Sistem Teknologi Informasi Pemda XXX
I. Identifikasi Sistem Teknologi Informasi dan Stakeholder
Kode Sistem TI
Satuan Kerja
Alamat
Tugas Pokok dan
Fungsi
Pengelola Sistem TI
dan
No. Telp.
Pengelola Data
dan
No. Telp.
Informasi Lain
Kode-XXX
Nama Sistem Teknologi Informasi
XXX
Administrator
No. Telp.
Nama
Administrator
(No. Telp)
Pusat Data
No. Telp.
Satuan Kerja
Pusat Data
(No. Telp)
XXX
Jl. XXX
Tugas Pokok :
XXX
Fungsi :
XXX
Nama
Pengelola
(No. Telp)
Nama
Pengelola
Data
(No. Telp)
XXXXX
II. Ruang Lingkup dan Komponen Sistem Teknologi Informasi
Ruang Lingkup
XXXXX
Sistem TI
ISBN : 978-979-99735-9-7
C-17-2
Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
Identifikasi Risiko
Proses identifikasi dimulai dengan pemahaman yang komprehensif terhadap proses
operasional teknologi informasi di Pemerintah Daerah, demi mendukung tujuan
organisasi untuk mengidentifikasi risiko yang dihadapi.
Identifikasi Kelemahan (Vulnerabilities)
Kelemahan adalah kelemahan prosedur sistem keamanan, rancangan, implementasi,
atau pengendalian yang perlu diuji.
a. Letak kelemahan:
1) Konfigurasi Hardware– Servers, Workstations, Routers, Switches, Firewalls
2) Aplikasi Software – Bagaimana diinstal, dimana diinstal, hak akses yang
diberikan
3) Kebijakan dan prosedur TI – Seberapa lengkap, seberapa up-to-date, seberapa
diketahui
4) Manusia – Berapa banyak prosedur yang tidak diikuti, staf yang tidak dilatih
b. Solusi mengatasi kelemahan sistem:
1) Konfigurasi Hardware– Analisis risiko sistem secara lengkap untuk setiap
komponen dalam jaringan, dan membuat suatu uji penetrasi
2) Aplikasi Software– Analisis risiko yang menyeluruh terhadap hal-hal yang kritis
untuk setiap aplikasi
3) Kebijakan dan Prosedur TI– Melakukan analisis yang menyeluruh terhadap
kualitas kebijakan dan prosedur keamanan informasi setiap tahun
4) Manusia – Review log files, catatan pelatihan, dan laporan kejadian
Berikut contoh tahapan pada bagian identifikasi kelemahan sistem teknologi informasi.
Tabel 2 Identifikasi Kelemahan Sistem Teknologi Informasi
No. Risiko
1
2
Kelemahan (Vulnerability)
Konfigurasi Hardware
Kelemahan pada Servers :
1) Adanya kebocoran informasi dari header HTTP.
2) Adanya pengiriman informasi yang keliru ke browser.
3) Pembuatan script yang tidak tepat.
Kelemahan pada Workstations:
Tidak ada: Pembatasan hak akses, Identifikasi password, Pembatasan waktu pemakaian
sistem, Otomatik logout, Backup periodik, Sistem isyarat dini (early warning system),
Fasilitas pembatalan (cancel) dan penetralan (undo), Replikasi dan distribusi data,
Penyandian data (data encryption), Perbaikan dan pengecekan periodik, Resolusi
konflik, Penyamaran data (data aliases), Toleransi kesalahan (fault tolerant ), Pemulihan
data, Pemantauan aktivitas pengguna (user), Pengecekan kesalahan (error checking)
Kelemahan pada Routers dan Switches:
Salah setup pada konfigurasi Routers dan Switches
Kelemahan pada Firewalls:
Tidak menerapkan aturan-aturan firewall yang ketat
Software Aplikasi
Kelemahan pada Software Aplikasi:
Konflik antar software aplikasi
ISBN : 978-979-99735-9-7
C-17-3
Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
No. Risiko
3
4
Kelemahan (Vulnerability)
Kelemahan pada Kebijakan dan Prosedur IS
1) Tidak ada kebijakan-kebijakan mengenai aturan perizinan atau penolakan akses ke
suatu alamat pada mekanisme ini perlu didefinisikan dengan jelas.
2) Tidak ada kebijakan dengan mendefinisikan aliran trafik mana yang diizinkan,
ditolak, dan didrop paketnya.
3) Tidak menerapkan kebijakan dengan mengembangkan desain teknis yang
mendukung keamanan (baca: policy vs. design).
4) Tidak menerapkan sistem bonus dengan hukuman penalti (baca: reward vs.
punishment) terhadap seluruh staf dan karyawan yang berperan sebagai
pengguna sistem.
Kelemahan pada Manusia
1) Sifat dan karakteristik manusia sangat dipengaruhi oleh keadaan
lingkungan di sekitarnya.
2) Keterbatasan Sumberdaya Manusia (SDM) aparatur pemerintah dalam penguasaan
teknologi informasi dan komunikasi
Identifikasi Ancaman (Threats)
Ancaman (threat) adalah potensi dari sumber ancaman untuk melakukan serangkaian
pengujian terhadap kelemahan yang dimiliki baik sebagian atau seluruhnya. Sumber
ancaman (threat source) adalah suatu keadaan atau kejadian dengan potensi dapat
menyebabkan kegagalan atau kerusakan sistem IT.
a. Dua Jenis Sumber Ancaman:
1) Suatu rencana dan metoda yang menjadikan target kelemahan sistem untuk
dieksploitasi
2) Suatu situasi dan metoda yang mungkin secara tidak sengaja (accident) dapat
memicu eksploitasi kelemahan.
b. Jenis Sumber ancaman
1) Ancaman Kejadian Alam (Natural Threats) – Banjir, gempa bumi, angin
puting beliung, petir, longsor, dll.
2) Ancaman Manusia (Human Threats) – Suatu kejadian yang disebabkan oleh
perilaku manusia, meliputi input data yg tidak diperbolehkan (inadvertent data
entry) dan akses yang tidak berhak (unauthorized access)
3) Ancaman Lingkungan (Environmental Threats) – kegagalan aliran listrik
dalam jangka waktu lama, polusi, kimia, dan cairan berbahaya.
c. Identifikasi sumber ancaman
1) Manusia adalah sumber ancaman yang paling berbahaya
2) Untuk setiap sumber ancaman dari manusia, perkirakan motivasi, sumber daya
dan kemampuan yang mungkin dapat menyebabkan keberhasilan serangan.
Berikut contoh tahapan pada bagian identifikasi ancaman sistem teknologi informasi.
Tabel 3 Identifikasi Ancaman Sistem Teknologi Informasi
No. Risiko
Ancaman (Threat)
1
Integritas (Integrity) : Modifikasi data user, Browser Trojan horse, Modifikasi
melalui memori, Modifikasi trafik pesan dalam transit
Kerahasiaan (Confidentiality) : Pencurian info dari server, Pencurian data dari client,
Informasi konfigurasi jaringan, Info tentang klien yang mana yang koneksi dengan
server
2
ISBN : 978-979-99735-9-7
C-17-4
Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
Ancaman (Threat)
No. Risiko
3
4
Penolakan Layanan (Denial of Service) : Mematikan proses user, Memadati mesin
dengan berlimpah users’ requests, Memadati disk dan memori, Mengisolasi mesin
dengan serangan DNS
Otentifikasi (Authentication) : Peniruan user yang legal, Pemalsuan data
Identifikasi Risiko
Berikut contoh tahapan pada bagian identifikasi risiko teknologi informasi.
Tabel 4 Identifikasi Risiko Teknologi Informasi
No.
Risiko
1
2
No. Kelemahan
(Vulnerability)
1
2
No.
Ancaman
(Threat)
1
2
3
3
3
4
4
4
Risiko
Membahayakan
kerahasiaan
(Confidentiality)
& integritas data
Membahayakan
kerahasiaan
(Confidentiality)
& integritas data
Membahayakan
kerahasiaan
(Confidentiality)
& integritas data
Membahayakan
kerahasiaan
(Confidentiality)
& integritas data
Keterangan
 Kehilangan informasi
 Kompromi melalui mesin dan
memori
 Kerentanan terhadap ancaman lain
melalui trafik
 Kehilangan informasi
 Kehilangan privatisasi
 Mengganggu
 Meresahkan
 Menghambat user untuk
penyelesaian kerja
 Misrepresentasi dari user
 Memandang valid info yang salah
Analisis Pengendalian (Control Analysis)
Pada tahapan ini akan dijelaskan mengenai analisis pengendalian terhadap sistem
teknologi informasi yang sedang berjalan maupun yang sedang direncanakan. Berikut
tahapan pada bagian analisis pengendalian teknologi informasi.
1. Manajemen Risiko: Peran & Tanggung Jawab Keamanan TI, Analisa Dampak
Bisnis, Sistem TI & Klasifikasi Sensitivitas Data, Definisi dan Inventarisasi
Sistem TI, Risk Assessment, dan Audit Keamanan TI.
2. Perencanaan Ketidaktentuan TI: Kelanjutan Operasional & Perencanaan,
Perencanaan terhadap Pemulihan Bencana TI, dan Sistem TI & Data Backup &
Penyimpanan.
3. Keamanan Sistem TI: Pembekuan Sistem TI, Keamanan Interoperabilitas Sistem TI,
Proteksi terhadap Kode Kejahatan, dan Keamanan Daur Hidup Pengembangan
Sistem TI.
4. Pengendalian Akses: Manajemen User Account, Manajemen Password, dan Akses
Jarak Jauh.
5. Proteksi Data: Proteksi Media Penyimpanan Data dan Enkripsi
6. Keamanan Fasilitas: Keamanan Fasilitas
7. Keamanan Individu: Penentuan dan Pengendalian Akses, Kesadaran dan Pelatihan
Keamanan TI, dan Penggunaan yang Bisa Diterima.
ISBN : 978-979-99735-9-7
C-17-5
Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
8. Manajemen Ancaman: Deteksi Ancaman, Penanggulangan Insiden, dan Pelaporan
& Monitoring Keamanan TI
9. Manajemen Aset TI: Pengendalian Aset TI, Manajemen Lisensi Software, dan
Konfigurasi Manajemen dan Perubahan Pengendalian
Kemungkinan Risiko (Risk Likelihood)
Pada tahapan ini akan ditentukan skala kemungkinan risiko yang akan terjadi
berdasarkan hasil identifikasi terhadap ancaman dan sistem pengendali.
Tabel 5 Level Kemungkinan Risiko
Sistem Pengendali
Low
Ancaman (Threat)
Medium
High
Low
Medium
High
High
Medium
Low
Medium
High
High
Low
Low
Medium
Berikut contoh penentuan kemungkinan risiko pada sistem teknologi informasi.
Tabel 6 Kemungkinan Risiko
No. Risiko
1
2
3
Risiko
(R1) : Risiko yang mengganggu
Integritas bisa membahayakan
kerahasiaan (Confidentiality) &
integritas data sensitif . Dengan
modifikasi data user akan
mengakibatkan
kehilangan
informasi, kompromi dengan
mesin komputer dan memori
dapat berjalan, dan kerentanan
terhadap ancaman lain mealui
trafik
(R2) : Risiko yang mengganggu
kerahasiahan
bisa
membahayakan
kerahasiaan
(Confidentiality) & integritas
data sensitif . Dengan adanya
pencurian data dari client akan
memimbulkan
kehilangan
informasi
dan
kehilangan
privatisasi
(R3) : Risiko pada Penolakan
terhadap
Layanan
bisa
membahayakan
kerahasiaan
(Confidentiality) & integritas
data
sensitif
.
Dengan
mematikan proses user, maka
user akan tergganggu, resah,
dan
terhambat
untuk
penyelesaian kerja
Kemungkinan Risiko
(Risk Likelihood)
(K1) : Efektivitas pengendali
dinilai medium, sementara
sumber ancaman dinilai tinggi
(high), karena dengan adanya
modifikasi data user akan
kehilangan informasi yang
sangat penting.
(K2) : Efektivitas pengendali
dinilai
rendah
(low),
sementara sumber ancaman
dinilai tinggi (high), karena
dengan adanya modifikasi
data user akan kehilangan
informasi yang sangat penting
(K3) : Efektivitas pengendali
dinilai
rendah
(low),
sementara sumber ancaman
dinilai tinggi (high), karena
sumber ancaman sulit dicegah.
ISBN : 978-979-99735-9-7
C-17-6
Kemungkinan
Risiko
High
High
High
Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
No. Risiko
Risiko
4
(R4) : Risiko yang mengganggu
Otentifikasi
bisa
membahayakan
kerahasiaan
(Confidentiality) & integritas
data sensitif. Dengan peniruan
data user yang legal dan
pemalsuan data, maka akan
menimbulkan misrepresentasi
dari user dan memandang valid
info yang salah
Kemungkinan Risiko
(Risk Likelihood)
(K4) : Efektivitas pengendali
dinilai medium, sementara
sumber ancaman dinilai tinggi
(high), karena pemalsuan data
user
yang
legal
membahayakan bagi user
sendiri.
Kemungkinan
Risiko
High
Analisis Dampak
Pada tahapan ini akan ditentukan analisis dampak risiko yang akan terjadi berdasarkan
hasil analisis kemungkinan risiko.
Tabel 7 Level Dampak Risiko
Level
Dampak
Risiko
High
Medium
Low
Definisi Dampak
Dampak risiko: (1) dapat mengakibatkan kematian manusia atau luka-luka serius; (2)
dapat mengakibatkan tingkat kerugian harta utama yang berwujud, sumber atau data
sensitif; atau (3) dapat secara signifikan merugikan, atau menghalangi misi, reputasi atau
minat.
Dampak risiko: (1) dapat mengakibatkan luka-luka pada manusia; (2) dapat
mengakibatkan besarnya tingkat kerugian harta berwujud atau sumber daya; atau (3)
dapat mengganggu, merusak, atau menghalangi misi, reputasi atau minat.
Dampak risiko: (1) dapat mengakibatkan tingkat kerugian beberapa aset nyata (tangible)
atau sumber daya atau (2) dapat mempengaruhi misi, reputasi atau minat.
Berikut contoh penentuan kemungkinan risiko pada sistem teknologi informasi.
Tabel 8 Dampak Risiko
Penilaian Risiko
Pada tahapan ini akan ditentukan skala risiko yang akan terjadi pada sistem teknologi
informasi berdasarkan skala kemungkinan risiko.
ISBN : 978-979-99735-9-7
C-17-7
Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
Tabel 9 Level Dampak Risiko
Skala Risiko : Low (1 sampai 10); Medium (>10 dan < 50); High (>50 sampai 100)
Berikut contoh penentuan skala risiko pada sistem teknologi informasi.
Tabel 10 Penilaian Risiko
No. Risiko
Risiko
Kemungkinan Risiko
(Risk Likelihood)
Dampak Risiko
Nilai Risiko
1
(R1)
High
High
High
2
(R2)
High
High
High
3
(R3)
High
High
High
4
(R4)
High
High
High
HASIL DAN DISKUSI
Berdasarkan hasil analisa dan verifikasi, maka tahapan berikutnya adalah
rekomendasi yang berupa dokumentasi roadmap manajemen risiko teknologi informasi
yang sudah dijelaskan pada tahapan metoda. Sedangkan hasil yang akan dikeluarkan
berupa hasil dari analisis kuantitatif yang menyangkut besarnya perbandingan biaya
investasi, manfaat, dan dampak yang ditimbulkan dari risiko teknologi informasi.
Berikut perhitungan biaya investasi dan dampak yang ditimbulkan.
Single Lost Expextancy (SLE) :
SLE = AV x EF (Rp / Kejadian) …………………………………………………….. [1]
Annualize Lost Expectancy (ALE) :
ALE = SLE x ARO (Rp / Tahun) …………………………………………………… [2]
Keterangan:
Asset Value (AV) adalah besarnya biaya investasi terhadap aset (satuan Rupiah).
Exposure Factor (EF) adalah persentase kerugian setiap ada kejadian (%/kejadian)
Annualize Rate of Occurance (ARO) adalah persentase kerugian setiap tahun (%/Tahun)
KESIMPULAN
Berdasarkan hasil verifikasi dan validasi, maka penggunaan roadmap manajemen
risiko teknologi informasi pada Pemerintah Daerah memiliki peranan yang cukup
penting terhadap arah kebijakan pengembangan teknologi informasi untuk melayani
kebutuhan masyarakat yang ada di daerah, terutama untuk menuju Good Governance.
Manajemen risiko teknologi informasi juga berperan dalam menentukan besarnya biaya
investasi dan manfaat yang akan diterima oleh stakeholder yang ada di Pemerintah
Daerah. Selain itu, dapat menentukan Rencana Strategis Teknologi Informasi
Pemerintah Daerah setiap periode tertentu.
ISBN : 978-979-99735-9-7
C-17-8
Prosiding Seminar Nasional Manajemen Teknologi XI
Program Studi MMT-ITS, Surabaya 6 Pebruari 2010
DAFTAR PUSTAKA
Depkominfo, "Blue Print Sistem Aplikasi E-Government", Departemen Komunikasi
dan Informatika Republik Indonesia, Jakarta, 2004[3]
Pemerintah Kota Sukabumi, "Rencana Strategis Teknologi Informasi Pemda Kota
Sukabumi 2003-2008", Pemerintah Kota Sukabumi, 2008[1]
Rahardjo, Edhy, Dinesh Mirchandani, dan Kailash Joshi, "E-government functionality
and website features: A case study of Indonesia", Journal of Global Information
Technology Management Vol.10, no. 1, hal. 31-50, 2007[2]
Virginia Information Technologies Agency, "Information Technology Resource
Management: Information Technology Risk Management Guideline", University
of Virginia, 2006[4]
ISBN : 978-979-99735-9-7
C-17-9