paper title for asian waterqual 2003 - MMT – ITS

Prosiding Seminar Nasional Manajemen Teknologi XV
Program Studi MMT-ITS, Surabaya 4 Pebruari 2012
RANCANGAN TATA KELOLA KETERSEDIAAN LAYANAN TI
BERDASAR PADA FRAMEWORK ISO/IEC 20000:2005, ISO/IEC
27001:2005 DAN COBIT PADA PT BGR LOGISTICS
DESIGN OF THE IT SERVICE AVAILAILITY GOVERNANCE
FRAMEWORK BASED ON ISO/IEC 20000:2005, ISO/IEC 27001:2005
AND COBIT IN PT. BGS LOGOSTICS
Agoes Nur Budiman1, *), Joko Lianto Buliali2)
Program Studi Magister Manajemen Teknologi
Bidang Keahlian Manajemen Teknologi Informasi
Institut Teknologi Sepuluh Nopember
Jl.Cokroaminoto 12 A, Surabaya, Indonesia
1
Email : [email protected], 2Email: [email protected]
ABSTRAK
Saat ini peranan TI dalam suatu organisasi sudah mencapai pada tingkatan frontoffice, Sedangkan dari fungsinya TI yang dulunya hanya berperan sebagai End Data
Processing, sekarang sudah menjadi kekuatan utama yang mendukung kelangsungan bisnis
dan tidak menuntut kemungkinan menjadi faktor utama tumbuhnya peluang bisnis baru.
Secara fakta tingkat ketergantungan bisnis organisasi terhadap kemajuan TI menjadikan
kekhawatiran tersendiri bagi organisasi, karena permasalahan yang terjadi dalam proses kerja
TI akan menjadikan permasalahan pula pada bisnis organisasi. Penelitian ini membahas
mengenai tata kelola terhadap layanan TI di PT BGR Logistics sebagai upaya pengendalian
internal untuk memastikan bahwa tingkatan layanan TI yang diberikan telah memenuhi
standar.
Didalam penelitian ini permasalahan ketersediaan layanan TI akan dinilai
menggunakan 3 (tiga) Framework diantaranya ISO/IEC 20000 untuk mendukung dan
menyajikan layanan yang teratur dalam memenuhi kebutuhan persyaratan bisnis, sedangkan
Framework lain yang digunakan yaitu ISO/IEC 27001 dan CobiT yang selanjutnya akan
dipetakan satu sama lain.
Hasil dari penelitian ini akan dihasilkan dokumentasi tata kelola berupa daftar
kebijakan dan standard terkait ketersediaan layanan TI PT BGR Logistics yang dapat menjadi
acuan untuk operasional layanan divisi TI dan mendukung IT Master Plan PT BGR yang
sudah ada.
Kata kunci: Ketersediaan layanan TI, framework, ISO/IEC 20000, CoBit, ISO/IEC 27001, IT
Master Plan
ABSTRACT
Currently the role of IT in an organization has reached the level of front-office, while
the IT functions that were once only act as End Data Processing, has now become a major
force that supports business continuity and does not demand likely to be a major factor in new
business growth. In fact the level of business dependence on the progress of the IT
organization makes its own concern for the organization, because the problems occurred in
the process of IT work will make the problems well in business organizations. This study
ISBN : 978-602-97491-4-4
C-46-1
Prosiding Seminar Nasional Manajemen Teknologi XV
Program Studi MMT-ITS, Surabaya 4 Pebruari 2012
discusses the governance of IT services to PT BGR Logistics as an internal control efforts to
ensure that the level of IT services provided meets the standards.
In this study problems of availability of IT services will be assessed using the 3
Framework including ISO / IEC 20000 to support and provide regular services to meet the
needs of business requirements, while others are used ie Framework ISO / IEC 27001 and
COBIT which would then be mapped one other.
The results of this study will produce a list of documentation governance policies and
standards related to the availability of IT services PT BGR Logistics can be a reference to the
operational services division of IT and IT Master Plan of PT BGR.
Keywords: Availability of IT Services, framework, ISO/IEC 20000, COBIT, ISO/IEC 27001,
IT Master Plan
PENDAHULUAN
Teknologi Informasi (TI) mengalami perkembangan yang sangat signifikan pada masa
ini sehingga perannya terasa di berbagai bidang, baik di sektor bisnis, pendidikan,
pemerintahan, kesehatan maupun sekedar untuk kepentingan pribadi.Terlebih di sektor bisnis,
dalam hal area kerja, TI yang dulunya hanya bermain di back-office sekarang sudah
merambah ke front-office suatu organisasi. Sedangkan dari segi fungsi, TI dulunya hanya
berperan sebagai End Data Processing, dan saat ini TI menjadi pilar utama yang mendukung
keberlangsungan bisnis, bahkan menjadi faktor pemungkin terciptanya peluang bisnis baru.
Tidak mudah saat ini menemukan organisasi yang menjalankan bisnisnya tanpa melibatkan
dukungan TI.
Pada faktanya TI tidak hanya memiliki sisi terang tetapi juga dibarengi dengan sisi
gelap yang datang mengiringi kehadirannya. Tingkat ketergantungan bisnis organisasi yang
tinggi terhadap TI menimbulkan kerawanan tersendiri karena TI bisa mengalami berbagai
permasalahan dalam proses kerjanya, baik itu kerusakan pada hardware, kesalahan pada
software atau aplikasi, kekurangan kapasitas pada storage, terputusnya jaringan komputer,
hingga celah keamanan yang terdapat pada berbagai perangkat TI. Permasalahan ini bisa
timbul karena faktor teknis maupun non-teknis, serta dapat terjadi setiap waktu meskipun
berbagai rencana antisipasi sudah dirangkai sedemikian rupa di tahap perencanaan. Kondisi
demikian akan berdampak pada kegagalan TI untuk memberikan dukungan yang disyaratkan
oleh bisnis yang berujung pada terganggunya bisnis itu sendiri.
PT BGR Logistics merupakan salah satu dari 114 BUMN yang memiliki bisnis utama
dalam jasa pergudangan seperti stock management dan Collateral Management. Untuk
menunjang bisnis utamanya PT BGR Logistics juga menyelenggarakan jasa pengurusan
transoprtasi baik darat , laut maupun udara. Adapun salah satu visi dan misi PT BGR logistics
yang berkaitan dengan ketersediaan layanan berbasis TI yaitu “Menyelenggarakan jasa
logistik dan pergudangan yang cepat, aman, kompetitif didukung dengan teknologi informasi
yang komprehensif dan handal”
Investasi dalam hal ketersediaan layanan TI oleh PT. BGR Logistics dalam jumlah Rp
3,5 milyar dari total Rp 7,5 milyar anggaran tentunya diharapkan akan memberikan
keunggulan kompetitif bukan justru sebaliknya. Layanan TI dituntut tampil prima ketika
mendukung proses bisnis dengan menjangkau keseluruhan organisasi.Dalam penerapannya
dibutuhkan berbagai kebijakan, standar, dan prosedur terkait layanan sehingga pemanfaatan
TI dapat dilakukan secara maksimal dan risiko yang mengiringi TI dapat ditekan seminimal
mungkin. Hal tersebut berujung pada adanya kepastian bahwa TI benar-benar memberikan
pelayanan yang baik dan mendukung bisnis organisasi.
ISBN : 978-602-97491-4-4
C-46-2
Prosiding Seminar Nasional Manajemen Teknologi XV
Program Studi MMT-ITS, Surabaya 4 Pebruari 2012
Dengan latar belakang yang telah disampaikan, merupakan hal yang penting untuk
melakukan penelitian mengenai perancangan ketersediaan layanan TI yang merupakan bagian
dari tata kelola TI untuk PT. BGR Logistics.
METODE
Dalam penelitian untuk membuat Rancangan Tata Kelola Ketersediaan Layanan TI ini,
penyusun menggunakan tahapan-tahapan sebagai berikut :
Mulai
Studi Literatur dan Kajian
Pustaka
Identifikasi
Layanan TI
Pengumpulan data
melalui wawancara dan
dokumen terkait
layanan TI
Identifikasi Layayan TI ke
framework ISO 20000, ISO
27001 dan Cobit
Pengelompokan Layanan
TI PT BGR Logistics
Pemetaan ISO 20000 ke
Cobit dan ISO 27001 ke
CoBit
Penilaian resiko pada masing
masing layanan TI
Dampak
=D
Kemungkinan = M
Resiko
=R (R=D*M)
Perancangan Tata Kelola
ketersediaan Layanan TI
Selesai
ISBN : 978-602-97491-4-4
C-46-3
Check list berdasar pada 3
framework ISO 20000, ISO
27001 dan Cobit pada tiap
tiap layanan
Prosiding Seminar Nasional Manajemen Teknologi XV
Program Studi MMT-ITS, Surabaya 4 Pebruari 2012
-
Studi Literatur dan kajian pustaka :
Penelitian diawali dengan pengumpulan dokumen organisasi yang nantinya akan
menghasilkan beberapa dokumen terkait penelitian seperti : IT Master Plan 2010 2014 , Laporan Tahunan 2011, RJPP( Rencana jangka panjang perusahaan ) 20102014, Tugas, fungsi dan tanggung jawab divisi TI, Strategi Map 2011. Selain
dilakukan kajian pustaka dalam melakukan pemahaman mengenai 3 framework
yang digunakan yaitu ISO 20000, ISO 27001 dan CoBit.
-
Identifikasi layanan TI saat ini yang mendukung proses bisnis :
Dari dokumen terkait identifikasi layanan TI yang berjalan saat ini yang
mendukung proses bisnis organisasi. Tahap ini dikombinasikan dengan wawancara
pada pihak terkait untuk meyakinkan keakuratan informasi.
-
Identifikasi permasalahan pada layanan TI dengan pedoman dokumen ISO 20000,
ISO 27001 dan CoBit.
Setelah daftar layanan TI berhasil diidentifikasi ,
dilanjutkan dengan
mengidentifikasi permasalahan yang terkait dengan layanan tersebut. Digunakan
metode wawancara yang kemudian dilanjutkan menggunakan pendekatan checklist
dengan berdasarkan pada ISO 20000, ISO 27001 ,Cobit yang dilakukan satu
persatu pada tiap layanan, sehingga diperoleh rincian permasalahan yang terjadi
pada setiap layanan TI saat ini. Pendekatan ini menghasilkan 3 (tiga) kemungkinan
jawaban pada setiap hal yang diisyaratkan yaitu :
a. Ya, berarti hal yang disyaratkan sudah dipenuhi oleh layanan yang bersangkutan.
b. Tidak, berarti hal yang disyaratkan belum dipenuhi oleh layanan yang
bersangkutan. Hal ini yang kemudian dikategorikan sebagai permasalahan layanan
TI.
c. Tidak, karena Not Applicable (N/A), berarti hal yang disyaratkan tidak dapat
diterapkan pada layanan bersangkutan karena tidak terkait dengan proses bisnis
organisasi.
-
Pengelompokkan layanan TI berdasarkan karakteristiknya.
Setelah permasalahan diidentifikasi , dilakukan pengelompokkan layanan TI
berdasarkan karakteristiknya menjadi beberapa kelompok.
-
Pemetaan permasalahan layanan TI ke dalam CoBit
Selanjutnya pada setiap kelompok layanan TI dilakukan 2 (dua) pemetaan yaitu
pemetaan permasalahan pada ISO/IEC 20000 ke permasalahan pada CobiT dan
pemetaan permasalahan pada ISO/IEC 27001 ke permasalahan pada CobiT.
Permasalahan pada ISO/IEC 20000 dan ISO/IEC 27001 yang tidak memiliki
padanan terhadap permasalahan pada CobiT kemudian diabaikan sehingga hanya
permasalahan yang memiliki keterkaitan di antara tiga framework yang menjadi
obyek penelitian pada langkah selanjutnya.
- Penilaian risiko dari permasalahan pada masing-masing kelompok layanan TI
Permasalahan yang diperoleh kemudian dinilai risikonya terhadap bisnis dengan
berdasar pada dampak dan Kecenderungannya. Permasalahan dengan nilai risiko
tertinggi kemudian menjadi prioritas dalam perancangan tata kelola layanan TI.
Penilaian ini dilakukan pada tiap kelompok layanan TI. Pada PT. BGR, risiko
dominan dari permasalahan layanan TI adalah kehilangan peluang (opportunity
loss) yang nilainya belum ada hitungan nominal yang jelas. Sehingga risiko yang
ISBN : 978-602-97491-4-4
C-46-4
Prosiding Seminar Nasional Manajemen Teknologi XV
Program Studi MMT-ITS, Surabaya 4 Pebruari 2012
dinyatakan di sini merupakan risiko operasional. Risiko yang didapatkan
merupakan hasil perkalian antara dampak dan kemungkinan tersebut.
HASIL DAN PEMBAHASAN
Dari total 33 (tiga puluh tiga) layanan yang diidentifikasi pada penelitan ini dapat
dikelompokkan menjadi 7 (tujuh) kelompok untuk dilakukan pemetaan ke ISO 20000, ISO
27001 dan CoBit :
Tabel 1. Pemetaan ke ISO 20000, ISO 27001 dan CoBit
No
1
Kategori
Layanan
Aplikasi
Nama Layanan
General Ledger (GL)
Account Receiveable (AR)
Audit
Inventarisasi Aset
Human Capital Management
System (HCMS)
Scorecard System / Strategic
Plan Information System
(SPIS)
WMS Symphony
WMS Pupuk
WMS Collateral
Management System
WMS Manufaktur
Human Capital Management
System (HCMS)
Portal BGR
Tracking System
Freight Management System
(FMS)
Data Warehouse SDM
Data Warehouse Pelanggan
Kelompok
Layanan
Karakteristik
A
Layanan yang operasionalnya hanya melibatkan
internal PT. BGR. Terdapat hubungan dengan
pihak luar (pemasok atau pelanggan) namun
terjadi secara tidak langsung. Layanan pada
kelompok ini tidak terlibat langsung pada proses
transaksi, namun mengolah data hasil dari
transaksi yang berlangsung.
B
Layanan sistem pengelolaan untuk jasa
pergudangan yang ditawarkan PT. BGR kepada
pelanggan. Layanan ini berlangsung pada tingkat
transaksional, sehingga berinteraksi langsung
dengan pelanggan.
C
Layanan yang operasionalnya hanya melibatkan
pihak internal PT. BGR. Hasil keluaran dari
layanan ini digunakan untuk kepentingan
pengambilan keputusan untuk strategi bisnis pada
masa depan.
D
Layanan yang mendukung berbagai operasional
aplikasi yang terkait dengan proses bisnis PT.
BGR. Layanan ini dikelola sendiri oleh divisi TI
PT. BGR.
Data Warehouse Gudang
2
Infrastru
ktur
Database Server 1(WindowsSQL Server)
Database Server 2 (LinuxOracle)
Mail Server
Web & Application Server
Backup Server
Primary Domain Control
(PDC) Server
Proxy Server
Switch
Wireless Access Point
Printer
Router Internet
Firewall
Router VPN
Voip Gateway
Koneksi VPN
E
F
G
Koneksi Internet
ISBN : 978-602-97491-4-4
C-46-5
Layanan yang berperan pada konektivitas
perangkat TI yang ada (server, worskstation pc,
router, firewall) dan mendukung operasional bisnis
sebagai alat keluaran hasil olahan data.
Layanan yang operasionalnya melibatkan pihak
ketiga (penyuplai) berupa perangkat kendali
keamanan jaringan komputer.
Layanan yang operasionalnya melibatkan pihak
ketiga (penyuplai) berupa jalur komunikasi data
antar kantor PT. BGR.
Prosiding Seminar Nasional Manajemen Teknologi XV
Program Studi MMT-ITS, Surabaya 4 Pebruari 2012
Permasalahan layanan TI kelompok A dan penyederhanaanya :
Mendefinisikan daftar layanan
Melaporkan pencapaian tingkat layanan
Memastikan bahwa laporan disesuaikan dengan
pihak penerima laporan
Menjalankan lingkungan TI sejalan dengan
tingkat layanan yang disepakati, dengan
instruksi yang jelas dan pengawasan yang dekat.
CoBit
Pengelolaan Kesepakatan
Tingkat Layanan (SLA)
ISO/IEC 20000
Memberikan masukan ke perencanaan strategis
mengenai kebutuhan akan layanan baru dan
layanan yang perlu diperbarui.
Gambar 1. Permasalahan layanan TI kelompok A dan penyederhanaanya
Dari hasil penilaian risiko yang dilakukan tidak diperoleh permasalahan dengan nilai
risiko maksimal yaitu 9 (sembilan). Hal ini menunjukkan bahwa permasalahan yang
diidentifikasi pada tiap kelompok layanan TI belum ada yang tergolong pada kategori kritis
yaitu memiliki dampak tinggi dengan kemungkinan terjadinya tinggi. Namun tetap diperoleh
permasalahan dengan tingkat risiko tinggi yaitu permasalahan mengenai “Pengelolaan
Keamanan Sistem” yang memiliki nilai risiko 6 (enam) pada mayoritas kelompok layanan TI
kecuali pada layanan TI kelompok C yang memiliki nilai risiko 2 (dua). Pada tingkat risiko
sedang ditempati oleh permasalahan mengenai “Pengelolaan Keberlanjutan Layanan TI” yang
memiliki nilai risiko 4 (empat) pada layanan TI kelompok B, D, E, F, dan G. Sedangkan
untuk tingkat risiko rendah yang ditempati oleh permasalahan “Pengelolaan Kinerja dan
Kapasitas” yang memperoleh nilai risiko 2 (dua) pada layanan TI kelompok B dan C. Selain
itu permasalahan “Pengelolaan Pelatihan Pengguna” juga menempati tingkat risiko rendah
yang memperoleh nilai risiko 2 (dua) pada layanan TI kelompok A. Empat permasalahan yang
disebutkan di atas menjadi prioritas dalam perancangan tata kelola ketersediaan layanan TI
PT. BGR Logistics.
Pengelolaan keamanan sistem :
1. Pihak manajemen yang memiliki otorisasi mengkomunikasikan kebijakan keamanan
informasi yang telah ditetapkan ke seluruh anggota organisasi dan pelanggan.
2. Pengendalian keamanan digunakan untuk penerapan kebijakan keamanan informasi
dan pengelolaan risiko yang terkait dengan akses ke layanan.
3. Pegendalian keamanan didokumentasikan. Pada dokumentasi tersebut terdapat
penjelasan mengenai risiko, bentuk operasional, dan pemeliharaan terkait
pengendalian tersebut.
4. Dampak dari perubahan pengendalian harus dinilai terlebih dahulu sebelum perubahan
tersebut diterapkan.
5. Segala pengaturan pada layanan yang melibatkan organisasi eksternal yang memiliki
akses terhadap layanan tersebut didasarkan pada kesepakatan resmi yang menetapkan
seluruh kebutuhan keamanan.
6. Seluruh insiden keamanan harus dilaporkan segera dan tercatat sesuai dengan prosedur
pengelolaan insiden.
ISBN : 978-602-97491-4-4
C-46-6
Prosiding Seminar Nasional Manajemen Teknologi XV
Program Studi MMT-ITS, Surabaya 4 Pebruari 2012
7. Harus terdapat mekanisme untuk mengukur dan memantau tipe, volume, dampak, dan
kerusakan akibat insiden keamanan.
8. Melakukan penilaian ancaman melalui identifikasi pada insiden dan entitas yang dapat
menyebabkan terhentinya proses bisnis.
9. Menggunakan hasil dari penilaian ancaman untuk melakukan penilaian risiko.
10. Meninjau ulang dan mengesahkan alat kendali keamanan yang digunakan untuk
memastikan kesesuaiannya dengan standar industri keamanan, misalnya ISO 27001.
KESIMPULAN DAN SARAN
Dari penelitian yang sudah dilakukan dapat disimpulkan beberapa hal sebagai berikut:
1. Antara ISO/IEC 20000, ISO/IEC 27001, dan CobiT memiliki keterkaitan satu sama lain
dalam pengidentifikasian permasalahan layanan TI PT. BGR. CobiT menjadi penghubung
antara ketiga framework tersebut saat dilakukan pemetaan permasalahan layanan TI yang
sudah diidentifikasi. CobiT sebagai best practices dalam Tata Kelola Teknologi Informasi
menjadi panduan utama dalam identifikasi permasalahan layanan TI yang kemudian
dilengkapi oleh dua standar lainnya sebagai petunjuk teknis pelaksanaan solusi.
2. Pada layanan TI pada PT. BGR teridentifikasi 11 (sebelas) permasalahan yang terkait hal
berikut:
a. pengelolaan kesepakatan tingkat layanan (SLA),
b. pengelolaan keberlanjutan layanan TI,
c. pengelolaan keamanan sistem,
d. pengelolaan pelatihan pengguna,
e. pengelolaan konfigurasi,
f. pengelolaan kinerja dan kapasitas,
g. pengelolaan service desk dan insiden,
h. pengelolaan permasalahan,
i. pengelolaan data,
j. pengelolaan operasional,
k. pengelolaan layanan pihak ketiga.
3. Terdapat 4 (empat) permasalahan dengan nilai prioritas tertinggi yaitu: pengelolaan
keamanan sistem, pengelolaan keberlanjutan layanan TI, pengelolaan kinerja dan
kapasitas, serta pengelolaan pelatihan pengguna.
Dari penelitian yang sudah dilakukan Penulis mengemukakan saran-saran sebagai berikut:
1. PT. BGR mendefinisikan organisasi TI yang menyeluruh demi terciptanya manajemen
layanan TI yang diharapkan.
2. PT. BGR menambah jumlah staf TI dan memberikan pelatihan yang memadai agar
layanan TI dapat menunjukkan kinerja yang sesuai dengan tingkat harapan bisnis
organisasi.
3. PT. BGR melakukan tinjauan ulang terhadap IT Master Plan yang dimiliki saat ini, dan
melakukan pembaruan sesuai dengan perubahan-perubahan yang terjadi setelah adanya IT
Master Plan.
ISBN : 978-602-97491-4-4
C-46-7
Prosiding Seminar Nasional Manajemen Teknologi XV
Program Studi MMT-ITS, Surabaya 4 Pebruari 2012
DAFTAR PUSTAKA
Purnomo, Lukman H.D (2010), “Perancangan Model Tata Kelola Ketersediaan Layanan TI
Menggunakan Framework COBIT pada BPK-RI”, Tesis, Magister Manajemen Teknologi,
Institut Teknologi Sepuluh Nopember, Surabaya.
Leopoldi, Rick.2004. IT Service Management - Policy Based IT Service Management White
Paper. RL Consulting.
Brand, Koen & Boonen, Harry (2007),IT Governance Implementation Based on COBIT 4.1, A
Management Guide, Van Haren Publishing, Amersfoort, Netherlands.
ISO/IEC.2005.International Standard ISO/IEC 20000-1 – Information Technology Service
Management.ISO, Switzerland.
Surendro, Kridanto, (2009), Implementasi Tata Kelola Teknologi Informasi, Informatikan
Bandung, Bandung, Indonesia.
Schiesser, Rich (2010), IT Systems Management 2nd edition, Pearson Education, Inc.,
Massachusetts, USA.
Arnason, Sigurjon Thor and Willet, Keith D. 2008.How to Achieve 27001 Certification: An
Example of Applied Complience Management. Aurbach Publications, New York, USA.
ISBN : 978-602-97491-4-4
C-46-8