Tugas Penulisan Softskill

TUGAS SOFTSKILL 4

AUDIT TEKNOLOGI SISTEM INFORMASI
TUGAS PENULISAN

NAMA                        :  ANDRU TRI SETYO

NPM                           : 10115751

KELAS                       : 4KA31

DOSEN                      : QOMARIYAH

MATA KULIAH          : AUDIT TEKNOLOGI SISTEM INFORMASI

FAKULTAS ILMU KOMPUTER & TEKNOLOGI INFORMASI

JURUSAN SISTEM INFORMASI

UNIVERSITAS GUNADARMA

Framework Audit SI ( COBIT )

Audit Sistem Informasi Berbasis Framework COBIT

 

Jika suatu saat nanti saya menjadi seorang Auditor IT, maka saya akan memilih untuk menggunakan Framework COBIT. Pertanyaannya, mengapa saya memilih COBIT untuk melakukan Audit SI ?

Sebelumnya kita perlu tahu terlebih dahulu pengertian dari COBIT yang saya ambil dari sumber di Google.

Control Objective for Information and related Technology, disingkat COBIT, adalah suatu panduan standar praktik manajemen teknologi informasi. Cobit dirancang sebagai alat penguasaan IT yang membantu dalam pemahaman dan memanage resiko, manfaat serta evaluasi yang berhubungan dengan IT. Standar COBIT dikeluarkan oleh IT Governance Institute yang merupakan bagian dari ISACA. COBIT 4.0 merupakan versi terbaru.

Disusun oleh Information Systems Audit and Control Foundation (ISACF®) pada tahun 1996. Edisi kedua dari COBIT diterbitkan pada tahun 1998. Pada tahun 2000 dirilis COBIT 3.0 oleh ITGI (Information Technology Governance Institute) dan COBIT 4.0 pada tahun 2005. Rilis terakhir COBIT 4.1 dirilis pada tahun 2007.

Jadi, Mengapa saya memilih COBIT ?

Karena COBIT merupakan standar yang dinilai paling lengkap dan menyeluruh sebagai framework IT audit karena dikembangkan secara berkelanjutan oleh lembaga swadaya profesional auditor yang tersebar di hampir seluruh negara.

Target pengguna dari framework COBIT adalah organisasi/perusahaan dari berbagai latar belakang dan para profesional external assurance.

Secara manajerial target pengguna COBIT adalah manajer, pengguna dan profesional TI serta pengawas/pengendali profesional.

Cobit juga memiliki beberapa Lingkup Kriteria Sistem Informasi, yaitu :

o   Effectiveness

Menitikberatkan pada sejauh mana efektifitas informasi dikelola dari data-data yang diproses oleh sistem informasi yang dibangun.

o   Efficiency

Menitikberatkan pada sejauh mana efisiensi investasi terhadap informasi yang diproses oleh sistem.

o   Confidentiality

Menitikberatkan pada pengelolaan kerahasiaan informasi secara hierarkis.

o   Integrity

Menitikberatkan pada integritas data/informasi dalam sistem.

o   Availability

Menitikberatkan pada ketersediaan data/informasi dalam sistem informasi.

o   Compliance

Menitikberatkan pada kesesuaian data/informasi dalam sistem informasi.

o   Reliability

Menitikberatkan pada kemampuan/ketangguhan sistem informasi dalam pengelolaan data/informasi.

COBIT memiliki 34 high level control objective, dimana tiap tiap IT proses dikelompokan dalam empat domain utama yaitu :

1.  Planning and Organization

Mencakup strategi dan taktik yang menyangkut identifikasi tentang bagaimana TI dapat memberikan kontribusi terbaik dalam pencapaian tujuan bisnis organisasi sehingga terbentuk sebuah organisasi yang baik dengan infrastruktur teknologi yang baik pula.

PO1    Define a strategic information technology plan

PO2    Define the information architecture

PO3    Determine the technological direction

PO4    Define the IT organisation and relationships

PO5    Manage the investment in information technology

PO6    Communicate management aims and direction

PO7    Manage human resources

PO8    Ensure compliance with external requirements

PO9    Assess risks

PO10  Manage projects

PO11  Manage quality

2. Acquisition and Implementation

Identifikasi solusi TI dan kemudian diimplementasikan dan diintegrasikan dalam proses bisnis untuk mewujudkan strategi TI.

AI1  Identify automated solutions

AI2  Acquire and maintain application software

AI3  Acquire and maintain technology infrastructure

AI4  Develop and maintain IT procedures

AI5  Install and accredit systems

AI6  Manage changes

3. Delivery and Support

Domain yang berhubungan dengan penyampaian layanan yang diinginkan, yang terdiri dari operasi pada sistem keamanan dan aspek kesinambungan bisnis sampai dengan pengadaan training.

DS1     Define and manage service levels

DS2     Manage third-party services

DS3     Manage performance and capacity

DS4     Ensure continuous service

DS5     Ensure systems security

DS6     Identify and allocate costs

DS7     Educate and train users

DS8     Assist and advise customers

DS9     Manage the configuration

DS10   Manage problems and incidents

DS11   Manage data

DS12   Manage facilities

DS13   Manage operations

4. Monitoring

Semua proses TI perlu dinilai secara teratur dan berkala bagaimana kualitas dan kesesuaiannya dengan kebutuhan kontrol

M1 Monitor the process

M2 Assess internal control adequacy

M3 Obtain independent assurance

M4 Provide for independent audit

Jadi, kesimpulannya adalah ?

Sebuah perusahaan besar akan sangat bagus jika dalam pengendalian internal TI-nya menggunakan COBIT. Karena COBIT mempunyai kelengkapan dalam berbagai aspek untuk merancang, menjalankan dan memantau seluruh aktivitas-aktivitas bisnis yang berkaitan dengan TI.

Jadi semakin besar perusahaan maka akan semakin besar pula kemajuan TI-nya, dan semakin besar TI-nya maka perusahaan harus benar-benar tepat dalam menggunakan pengendalian TI-nya. Disini peran COBIT akan benar-benar efektif dan efisien.

SUMBER REFERENSI :

https://dhienzzworld.wordpress.com/2013/04/11/audit-sistem-informasi-berbasis-framework-cobit/

Sertifikasi IT (CISSP)

TUGAS SOFTSKILL 4

AUDIT TEKNOLOGI SISTEM INFORMASI
SERTIFIKASI IT

Disusun oleh :

Andru Tri Setyo (10115751)

Resa Agustina (15115766)

Jerry Yosepta (13115555)

Kelompok 2

Kelas : 4KA31

Mata Kuliah : Audit Teknologi Sistem Informasi

Dosen : Qomariyah

FAKULTAS ILMU KOMPUTER & TEKNOLOGI INFORMASI

JURUSAN SISTEM INFORMASI

UNIVERSITAS GUNADARMA

1.     SEJARAH CISSP

CISSP (Certified Information Systems Security Professional)

merupakan sertifikasi di bidang keamanan sistem informasi yang secara independen dikeluarkan oleh (ISC)² alias International Information Systems Security Certification Consortium. Maksud dari independen disini adalah sertifikasi tidak tergantung pada vendor tertentu seperti misalnya Microsoft, Cisco, Oracle, dan sebagainya.

CISSP Merupakan satu-satunya sertifikasi profesional dibidang keamanan sistem informasi yang tidak mengacu kepada produk tertentu (vendor neutral) dan mencakup seluruh aspek keamanan mulai dari manajemen keamanan informasi, keamanan fisik hingga yang sangat teknis seperti cara kerja protokol jaringan dan algoritma enkripsi asynchronous.

Pengetahuan yang luas dan mendalam diberbagai bidang (domain) keamanan informasi amat dibutuhkan karena CISSP diperuntukan berada diposisi middle management yang mengharuskannya bisa bekerjasama dengan Top Managament, Pengguna, hingga IT Engineer yang masing-masing memiliki sudut pandang, pendekatan dan “bahasa” yang berbeda.

2.     TEORI CISSP

a.       Apa itu CISSP

CISSP adalah sertifikasi yang diakui secara global di bidang IT Security dengan persyaratan yang ketat termasuk 75% Rasio pertanyaan yang benar. Dengan adopsi resmi oleh A.S. Departemen Pertahanan di Dodd mereka 8570 sertifikasi dan akreditasi ANSI ISO / IEC, penunjukan CISSP merupakan sertifikasi berharga yang dapat membantu Anda untuk mendapatkan atau mempertahankan pekerjaan di IT atau IS. Dengan lebih 93,000 orang bersertifikat di 149 negara, CISSP adalah standar global dan kadang-kadang diperlukan untuk posisi pekerjaan.

b.      Persyaratan CISSP

Persyaratan CISSP termasuk lima tahun pengalaman kerja atau empat tahun pengalaman kerja dan empat tahun atau gelar yang lebih tinggi dalam bidang terkait. Anda juga harus mencetak 700 atau lebih tinggi dengan maksimum 1000 skor. Dengan 250 pertanyaan termasuk 20 pertanyaan statistik non-skor, rata-rata untuk kebutuhan sekitar 75% jawaban yang benar. Setelah Anda lulus tes, Anda memiliki sembilan bulan untuk menyelesaikan sisa aplikasi, yang mencakup mendapatkan dukungan dari (ISC)Anggota ², mengisi formulir Pengesahan Aplikasi dan berlangganan kode etik. Anda juga harus memperbarui CISSP Anda setiap tiga tahun dengan 40 Kredit CPE melanjutkan pendidikan per tahun atau total 120 dalam tiga tahun. Syarat-syarat  CISSP:

·         Lulus ujian CISSP

·         Memiliki pengalaman kerja secara langsung selama 5 tahun di dua CBK domain yang berbeda.

·         Setuju untuk mengikuti Kode Etik CISSP

·         Mendapat rekomendasi dari seorang CISSP lainnya yang bertujuan untuk memastikan CV dan kelakuan baik calon CISSP.

Saat ini terdapat lebih dari 60.000 CISSP di seluruh dunia. Orang Indonesia yang menjadi CISSP +/- 40 orang yang beberapa diantaranya tinggal diluar negri. Di Singapura terdapat hanya belasan CISSP. Bandingkan dengan pertumbuhan CISSP di Singapura yang saat ini memiliki lebih dari 400 CISSP.

c.       Biaya cissp

Biaya CISSP $549 jika Anda mendaftar terlebih dahulu untuk penuh ujian enam jam. Biaya penjadwalan ulang $50 dan membatalkan biaya $100. Anda juga dapat memilih untuk mengajukan permohonan hibah CITREP untuk mendapatkan bantuan dengan dana. Tergantung di mana Anda mengambil tes Anda, Anda mungkin harus membayar tambahan $50 Biaya pengolahan ketika mengirimkan aplikasi Anda. Anda juga harus membayar tahunan $85 Biaya pemeliharaan CISSP. Biaya ini tidak termasuk biaya belajar atau buku CISSP, yang tidak datang dengan ujian.

d.      Belajar untuk ujian CISSP

Hal ini penting untuk belajar untuk ujian CISSP, bahkan jika Anda sudah berpengalaman di bidang Anda. Itu (ISC)² menawarkan beberapa materi pelatihan serampangan, namun sebagian besar pilihan yang tidak gratis. Pilihan pelatihan CISSP termasuk persembahan dari (ISC)² serta instruktur pihak ketiga yang terakreditasi dan program persiapan. Buku CISSP tersedia dengan soal-soal latihan, ujian praktek dan jawaban rincian. Resmi (ISC)² Panduan untuk CISSP tersedia dalam hardcover dan sebagai e-book untuk memudahkan akses belajar-. Anda juga dapat men-download aplikasi tes praktek, yang biaya untuk setiap tes praktek singkat 25 pertanyaan. Jika Anda tidak baik dengan belajar sendiri, kemudian kursus persiapan pihak ketiga CISSP adalah pilihan lain. Ini biasanya termasuk buku CISSP, ujian praktek, bank kuis, dan kadang-kadang instruktur atau guru bantuan. Itu (ISC)² menawarkan beberapa peluang e-learning juga, termasuk 'Seluruh E-Learning Course’ untuk $599 atau modul kursus individu untuk $99 masing-masing, yang Anda dapat memilih berdasarkan pada apakah Anda harus memoles satu domain atau semua dari mereka. Ada 17 penyedia pelatihan CISSP resmi di luar AS. serta beberapa penyedia pihak ketiga dengan lebih mendalam e-learning dan guru kursus.

e.       Ujian CISSP

Untuk mendapatkan CISSP harus menguasai 10 domain keamanan yang dikenal dengan Common Body of Knowledge (CBK) , yang terdiri dari:

·         Access Control

·         Application Security

·         Business Continuity and Disaster Recovery Planning

·         Cryptography

·         Information Security and Risk Management

·         Legal, Regulations, Compliance and Investigations

·         Operations Security

·         Physical (Environmental) Security

·         Security Architecture and Design

·         elecommunications and Network Security

Setiap domain dibagi menjadi beberapa modul dengan fokus tertentu, memungkinkan Anda untuk menjawab segala sesuatu pada area spesifik sekaligus. Sebagian besar pertanyaan yang pilihan ganda, tetapi Anda mungkin juga diminta untuk menjawab pertanyaan tertulis tergantung di mana Anda memilih untuk mengambil ujian. Sementara ada 250 pertanyaan, hanya 230 dari mereka yang dinilai, dan sisanya 20 adalah statistik, tetapi Anda harus mendapatkan semua dari mereka yang benar untuk mencapai sempurna 1000 skor. Umumnya, hasil tes Anda diberikan selama proses checkout, segera setelah Anda selesai ujian. Namun, jika hasil instan tidak tersedia, maka Anda akan menerima mereka melalui surat dalam waktu maksimum delapan minggu. Setelah Anda menerima hasil tes Anda, Anda dapat mengisi Pengesahan CISSP Aplikasi dengan bukti kerja dan pendidikan, nilai tes Anda, dan dukungan dari (ISC)Anggota ². Jika Anda gagal ujian, Anda dapat membayar untuk merebut kembali lagi dalam waktu 30 hari-hari, untuk maksimal tiga tes dalam jangka waktu satu tahun.

f.       Tujuan program training CISSP

Tujuan dari program training ini adalah untuk:

·         Peserta akan mendapatkan pengetahuan dan wawasan tentang pengelolaan keamanan sistem informasi sesuai dengan best practices yang berlaku sekaligus sarana persiapan bagi yang berminat mengambil ujian CISSP.

·         Meningkatkan peran keamanan IT dalam meningkatkan kerahasiaan, integritas dan ketersedian informasi bagi perusahaan.

·         Training ini mempersiapkan peserta untuk dapat lulus dalam ujian CISSP.

g.      Manfaat program training CISSP

Manfaat yang didapat oleh peserta program ini adalah sebagai berikut:

·         Membantu persiapan untuk mengikuti ujian dan memperbesar peluang lulus tes ujian CISSP.

·         Menambah pengetahuan dan ketrampilan keamanan sistem informasi.

·         Memahami common body of knowledge (cbok) audit sistem informasi

·         Mengenali situasi ujian dan karakteristik soal serta memahami bagaimana cara menjawab soal multiple choice

·         Mempersiapkan diri secara optimal dalam mengikuti ujian CISSP Syllabus

h.      Peserta ujian CISSP

o   Security Consultant

o   Security Manager

o   IT Direction/ Manager

o   Security Auditor

o   Security Architect

o   Security Analyst

o   Security Systems Engineer

o   Chief Information Security Officer

o   Director of Security

o   Network Architect

3.     STUDI KASUS

(ISC)²® Case Study: Securing the Right Information Security Team

How UBS Investment Bank in Switzerland Creates Joint  Responsibility between HR and Line Management in Security  Professional Placement

Bagaimana UBS Investment Bank di Swiss membentuk tanggung jawab bersama antara HR dan Manajemen Lini dalam Penempatan Keamanan Profesional

Seorang professional HR memiliki peran yang penting dalam menjaga aktivitas keamanan informasi milik perusahaan tersebut, karena menurut Alan Ryan, direktur Security Practice pada Security Consultancy MTI, seorang HR dapat membuat suatu perbedaan menggunakan cara sederhana dengan ”membuka saluran komunikasi dua arah” dengan IT untuk membantu identifikasi dan manajemen risiko. Kunci dari risiko tersebut berhubungan dengan proses dan prosedur yang melibatkan kapan karyawan bergabuung atau meninggalkan perusahaan. Sangat dianjurkan untuk suatu perusahaan memiliki prosedur bagi yang ingin keluar segingga IT aan segera tahu kapan seseorang itu telah pergi dan dapat dihapus dari system access privilages, karena jika orang tersebut telah meninggalkan perusahaan namun masih dapat mengakses system perusahaan maka akan menimbulkan resiko keamanan yang sangat tinggi.

Jika ancaman internal dan eksternal tidak dimitigasi dan pelanggaran terjadi, mereka dapat merusak reputasi perusahaan, melanggar privasi konsumen, mengakibatkan pencurian atau perusakan kekayaan intelektual, mengakibatkan tuntutan hukum dan, dalam beberapa kasus, membahayakan jiwa.

Security professional yang terlatih dapat membantu meminimalisasi risiko bisnis dan memaksimalkan pengembalian dalam investasi dan peluang bisnis.karena dengan meningkatnya korvegensi fisik dan keamanan informasi, dan hal-hal seperti identitas dan kontrol akses yang biasanya menjadi bagian dalam jaringan sistem, akan menjadi sangat susah untuk memperkerjakan profesial yang memiliki pengetahuan mengenai tidak hanya sistem keamanan informasi, namun juga isu-isu seperti kontinuitas bisnis planning dan pemulihan bencara.

Alessandro Moretti, Profesional Keamanan Sistem Informasi Bersertifikat (CISSP), menjabat sebagai direktur eksekutif untuk Manajemen Risiko Keamanan TI di UBS Investment Bank di Swiss, di mana ia memimpin analisis risiko global, manajemen risiko, dan tim forensik TI yang terdiri dari 25 orang yang bekerja dari beberapa internasional Kantor UBS. Moretti ditugaskan untuk mengawasi individu-individu yang dipercayakan melindungi aset informasi UBS Investment Bank, salah satu lembaga keuangan terbesar dan paling dihormati di dunia.

Moretti membutuhkan professional yang beretika dan paling berkualitas untuk menjaga infrastruktur UBS yang sangan kritis dan informasi milik ccustomer. Untuk mencari professional tersebut, Moretti berkerja sama dengan HRD untuk mendapatkan kombinasi skill dan personality untuk menjabat posisi tersebut

Pada kantor UBS di Swiss, manajer lini keamanan dan seluruh yang berkepentingan termasuk perwakilan HR, bisnis dan teknis untuk mengadakan sesi pertemuan informasi untuk menjelaskan isu kemanan yang sedang dihadapi. Ben Harrison, manajer rekruitman dari HRD pada UBS menjelaskan bahwa sesi tersebut dapat memungkinkan mereka untuk menentukan target pasar dan membicarakannya ke recruitment agensi sehingga dapat memahami apa yang sedang dibutuhkan untuk perusahaan.

Karena kebutuhan untuk keamanan informasi semakin meluas, maka sama dengan tanggung jawab dan jabatan yang dibebankan pada professional keamanan. Bagi Moretti, ragam peran yang ada dalam department seperti developer, administrator, analis risiko, arsitek dan manajer team. Setiap peran memerlikan skill dan kualitas yang berbeda, hal ini diharap juga dapat membantu HR untuk tidak hanya mengembangkan kemampuan dan kualitas dasar yang dibutuhkan namun juga dapat memberikan apresiasi dan beragam peluar yag ditawarkan oleh departemen.

Kualifikasi tertentu yang sangat bermanfaat bagi industry adalah seperti sertifikasi (ISC)²’s CISSP yang disertifikasi berdasarkan standar seperti Standar ISO / IEC / ANSI 17024 telah menjadi standard global.

Daftar Pustaka

https://crushtheinfosecexams.com/cissp-certification/ diakses pada tgl 15-01-19 jam 15.27

http://brainmatics.com/certified-information-systems-security-professional-exam-preparation/ diakses pada tgl 15-01-19 jam 14.30

https://www.scribd.com/document/41258992/HR-ISC-2-Case-Study-Securing-the-Right-Information-Security-Team (diakses 14 Januari 2019)

Perbandingan Framework Manajemen Sistem Informasi SWOT, ISO/IEC 27040:2015 dan ISO/IEC TR 13335

1. SWOT

Analisis SWOT

Analisis SWOT adalah metode perencanaan strategis yang digunakan untuk mengevaluasi kekuatan (Strengths), kelemahan (Weaknesses), Peluang (Opportunities), dan ancaman (Threats) dalam suatu spekulasi bisnis.  Proses ini melibatkan penentuan tujuan yang spesifik dari spekulasi bisnis atau proyek dan mengidentifikasi faktor internal dan eksternal yang mendukung dan yang tidak dalam mencapai tujuan tersebut.

Analisis SWOT diterapkan dengan cara menganalisis dan memilah berbagai hal yang mempengaruhi keempat faktor nya, kemudian menerapkan nya dalam gambar matrik SWOT, dimana aplikasinya adalah bagaimana kekuatan mampu mengambil keuntungan dari peluang yang ada, bagaimana cara mengatasi kelemahan yang mencegah keuntungan dari peluang yang ada, bagaimana kekuatan mampu menghadapi ancaman yang ada dan bagaimana cara mengatasi kelemahan yang mampu membuat ancaman menjadi nyata atau menciptakan sebuah ancaman baru.

Analisis SWOT berguna sebagai teknik untuk memahami kekuatan (Strengths) dan Kelemahan (Weaknesses), dan untuk mengidentifikasi keduanya dari kesempatan yang terbuka  dan menghadapi sebuah ancaman.

Kekuatan (Strengths)

·         Keuntungan apa saja yang organisasi dapatkan?

·         Apa yang dilakukan lebih  baik daripada orang lain?

·         Apa sumber daya yang unik atau yang mempunyai biaya rendah dari sumber daya tersebut yang dapat anda manfaatkan yang orang lain tidak bisa?

·         Apa yang orang lain lihat di pasar sebagai kekuatan mu?

·         Faktor apa yang berarti dalam “Mendapatkan Penjualan”?

·         Apa proposisi penjualan unik yang dilakukan organisasi?

Mempertimbangkan kekuatan (Strengths) yang dimiliki oleh organisasi dari Internal Perspektif, dan dari sudut pandang customer dan orang yang berada di “pasar”.

Kelemahan (Weaknesses)

·         Apa yang dapat diperbaiki/ditingkatkan?

·         Apa yang seharusnya dihindari?

·         Apa yang orang lihat di “pasar” anda cenderung melihat sebagai kelemahan?

·         Apa faktor yang membuat kehilangan penjualan?

Mempertimbangkan hal ini dari internal dan eksternal perspektif, lakukan yang dilakukan orang lain untuk melihat kelemahan yang kamu tidak lihat atau tidak disadari, apakah kompetitor melakukan hal ini lebih baik daripada kamu?.

Peluang (Opportunities)

·         Peluang apa yang dapat kamu temukan?

·         Trend Menarik apa yang kamu sadari?

Ancaman (Threats)

·         Rintangan apa yang Kamu Hadapi?

·         Apa yang dilakukan oleh kompetitor mu?

·         Apakah kualitas standar atau spesifikasi dari pekerjaan mu, produk atau servis berubah?

·         Apakah perubahan teknologi dapat mengancam posisi mu?

·         Apakah kamu mempunyai masalah arus kas atau hutang?

·         Apakah kelemahan mu dapat mengancam bisnis mu?

Contoh SWOT

Sebuah Start up yang baru merintis melakukan konsultasi dan menyusun analisis SWOT :

Kekuatan (Strengths)

·         Start up ini dapat merespon dengan sangat cepat, karena tidak membutuhkan persetujuan manajemen yang lebih tinggi

·         Start up ini dapat memberikan hubungan yang baik dengan customer, karena jumlah pekerjaan yang sedikit berarti memiliki banyak waktu yang dikhususkan untuk customer.

·         Pemimpin konsultan pada Start up ini memiliki reputasi yang kuat/bagus di “pasar”.

·         Start up ini dapat mengganti tujuan dengan cepat jika Start up ini bisa mengetahui bahwa pemasaran yang dilakukan sekarang ini sudah tidak bekerja lagi.

·         Start up ini memiliki overhead yang rendah, sehingga Start up ini dapat menawarkan nilai yang baik kepada pelanggan.

Kelemahan(Weaknesses)

·         Perusahaan kami memiliki reputasi di pasar yang cukup rendah/kecil.

·         Kami memiliki pekerja yang sedikit, dengan keahlian yang biasa saja di banyak bidang.

·         Perusahaan kami rentan terhadap pekerja penting yang sakit atau pergi meninggalkan perusahaan ini.

·         Arus kas Perusahaan kami akan menjadi tidak dapat diandalkan di awal mulai.

Peluang(Opportunities)

·         Sektor bisnis Start up ini terus bertambah, dengan peluang masa depan untuk sukses.

·         Pemerintah lokal ingin bekerja sama dengan bisnis lokal.

·         Kompetitor Start up ini mungkin lambat untuk mengadopsi teknologi baru.

Ancaman(Threats)

·         Pengembangan di dalam teknologi mungkin merubah pasar diluar kemampuan yang dimiliki start up ini untuk beradaptasi.

·         Perubahan kecil yang berfokus dari Kompetitor yang sudah expert mungkin dapat memusnahkan posisi di pasar apapun yang perusahaan ini raih.

Sebagai hasil dari analisis mereka, konsultasi mungkin memutuskan untuk menspesialisasikan terhadap respon yang cepat, nilai yang baik untuk servis bisnis lokal dan pemerintah lokal.

2. ISO/IEC 27040:2015

Analisis ISO/IEC 27040:2015

       ISO / IEC 27040: 2015 memberikan panduan teknis terperinci tentang bagaimana organisasi dapat menentukan tingkat mitigasi risiko yang tepat dengan menggunakan pendekatan yang teruji dan konsisten terhadap perencanaan, desain, dokumentasi, dan implementasi keamanan penyimpanan data. Ini mendukung konsep umum yang ditentukan dalam ISO / IEC 27001.

     Standar Internasional ini relevan bagi para manajer dan staf yang berkepentingan dengan manajemen risiko keamanan informasi dalam suatu organisasi dan, jika diperlukan, pihak eksternal yang mendukung kegiatan tersebut. Tujuan untuk Standar Internasional ini adalah untuk:

    ·         mempublikasikan risiko,

    ·         membantu organisasi dalam mengamankan data mereka dengan lebih baik,

    ·         memberikan dasar untuk merancang dan mengaudit kontrol keamanan penyimpanan.

      ISO / IEC 27040 memberikan panduan pelaksanaan spesifik dan terperinci yang relevan dengan keamanan penyimpanan untuk kontrol keamanan umum yang dijelaskan dalam ISO / IEC 27002. Standar Internasional ini bukan referensi atau dokumen normatif untuk persyaratan keamanan peraturan dan legislatif karena bervariasi di setiap negara.

Struktur standar

27040: 2015 memiliki tujuh klausa pendek dan tiga lampiran, yang mencakup:

      1.      Ruang lingkup standar

      2.      Daftar standar lain yang sangat diperlukan untuk memahami dan menggunakan ISO / IEC 27040

      3.      Terminologi yang diimpor dari standar lain atau didefinisikan dalam standar ini

      4.      Daftar singkatan dan akronim yang digunakan dalam standar

   5.  Gambaran umum tentang konsep penyimpanan dan penyimpanan penyimpanan kunci serta informasi tentang risiko terkait

  6. Menjelaskan kontrol yang mendukung arsitektur teknis keamanan penyimpanan, termasuk Penyimpanan Langsung Terpasang (DAS), jaringan penyimpanan, manajemen penyimpanan, penyimpanan berbasis blok, penyimpanan berbasis file, penyimpanan berbasis objek, dan layanan keamanan.

   7.  Memberikan panduan untuk desain dan penerapan keamanan penyimpanan (misalnya, prinsip desain; keandalan data, ketersediaan, dan ketahanan; retensi data; kerahasiaan data dan integritas; visualisasi; dan pertimbangan desain dan implementasi)

    · Lampiran A. Panduan spesifik media untuk sanitasi, termasuk penghapusan kriptografi (paralel NIST SP 800-88r1)

    · Lampiran B. Tabel untuk memilih kontrol keamanan yang sesuai berdasarkan sensitivitas data atau prioritas keamanan (kerahasiaan, integritas, atau ketersediaan)

     ·  Lampiran C. Deskripsi tentang konsep keamanan dan penyimpanan yang penting (mini-tutorial)

·         Bibliografi. Daftar standar dan spesifikasi yang memiliki pengaruh pada bahan dalam ISO / IEC 27040. Perlu dicatat bahwa bibliografi adalah salah satu daftar referensi yang lebih komprehensif tentang keamanan penyimpanan.

Mendukung kontrol untuk keamanan penyimpanan

Unsur utama dari ISO / IEC 27040 standar difokuskan pada identifikasi kontrol keamanan untuk berbagai jenis sistem penyimpanan dan arsitektur, termasuk yang berikut:

·         Rekomendasi untuk membantu mengamankan Penyimpanan Terlampir Langsung (DAS)

·         Cakupan luas keamanan untuk teknologi jaringan penyimpanan dan topologi dengan penekanan pada Storage Area Network atau SAN (mis., Fibre Channel, iSCSI, FCoE, dll.) Dan Network Attached Storage atau NAS (mis., NFS dan SMB / CIFS)

·         Mengidentifikasi masalah keamanan penting dan panduan untuk manajemen penyimpanan

·         Keamanan untuk sistem penyimpanan berbasis blok dengan Fibre Channel dan antarmuka IP (di atas dan di luar materi jaringan penyimpanan)

·         Keamanan untuk sistem penyimpanan berbasis file dengan antarmuka NFS, SMB / CIFS, dan pNFS (di atas dan di luar materi jaringan penyimpanan)

·         Keamanan untuk penyimpanan cloud, penyimpanan berbasis objek (OSD) dan Content Addressable Storage (CAS)

·         Rekomendasi untuk layanan keamanan penyimpanan (sanitasi, kerahasiaan data, dan pengurangan data)

Panduan desain dan implementasi untuk keamanan penyimpanan

               Meskipun peningkatan kekuatan komputer pribadi dan workstation departemen, masih ada ketergantungan pada pusat data terpusat karena kebutuhan untuk integrasi data, konsistensi data, dan kualitas data. Dengan pertumbuhan volume data penting yang luar biasa, banyak organisasi yang mengadopsi arsitektur penyimpanan-sentris untuk infrastruktur TIK mereka. Akibatnya, keamanan penyimpanan memainkan peran penting dalam mengamankan data ini, dan dalam banyak contoh, keamanan berfungsi sebagai garis pertahanan terakhir dari kedua musuh internal dan eksternal.

Desain solusi keamanan penyimpanan dipandu oleh prinsip-prinsip keamanan inti sambil mempertimbangkan sensitivitas data, kekritisan dan nilai. Bagian 6 dari standar (Kontrol Pendukung) memberikan panduan tentang penerapan kontrol yang relevan dengan penyimpanan dalam mengimplementasikan solusi yang dirancang. Bahan-bahan di bagian ini dibagi lagi menjadi:

·         Prinsip desain keamanan penyimpanan (Pertahanan secara mendalam, domain Keamanan, Ketahanan desain, dan Inisialisasi Aman)

         Keandalan, ketersediaan, dan ketahanan data (termasuk Cadangan dan replikasi serta Pemulihan Bencana dan Kesinambungan Bisnis)

·         Retensi data (Retensi jangka panjang dan Pendek hingga menengah)

·         Kerahasiaan data dan integritas

·         Virtualisasi (Penyimpanan virtualisasi dan Penyimpanan untuk sistem virtual)

·         Pertimbangan desain dan implementasi (Enkripsi dan isu-isu manajemen kunci, penyimpanan dan kebijakan Menyelaraskan, Kepatuhan, Aman multi-sewa, Aman gerakan data otonom)

Media sanitasi

"Sanitasi" adalah istilah teknis untuk memastikan bahwa data yang tersisa pada penyimpanan pada akhir masa pakainya tidak dapat diakses untuk tingkat upaya tertentu. Atau dengan kata lain, sanitasi adalah proses yang menjamin suatu organisasi tidak melakukan pelanggaran data dengan melakukan repurpos, penjualan, atau membuang perangkat penyimpanan.

Sanitasi dapat mengambil banyak bentuk tergantung pada kepekaan informasi dan tingkat upaya yang kemungkinan besar akan diinvestasikan dalam usaha untuk memulihkan informasi. Metode yang digunakan dalam sanitasi berkisar dari sederhana menimpa penghancuran kunci kriptografi untuk data terenkripsi (teknik ini dikenal sebagai penghapusan kriptografi) untuk penghancuran fisik media penyimpanan. Standar ini memberikan panduan untuk membantu organisasi memilih metode sanitasi yang tepat untuk datanya.

Rincian spesifik tentang sanitasi disediakan dalam serangkaian tabel di Lampiran A, yang didasarkan pada Publikasi Khusus NIST 800-88 Revisi 1. Tabel dirancang agar vendor dapat membuat referensi khusus untuk mereka, berdasarkan pada jenis media, daripada menggunakan sumber usang seperti DoD 5220.22-M (dari 1995).

Memilih kontrol keamanan penyimpanan yang tepat

Pengembang ISO / IEC 27040 tidak bermaksud bahwa semua panduan harus dilaksanakan (yaitu, semua atau tidak sama sekali). Akibatnya, Lampiran B dibuat untuk membantu organisasi memilih kontrol yang tepat berdasarkan pada sensitivitas data ( tinggi atau rendah) atau prioritas keamanan, berdasarkan kerahasiaan, integritas, dan ketersediaan. Untuk mendukung pemilihan ini, semua kontrol keamanan penyimpanan dalam ISO / IEC 27040 tercantum dalam 13 tabel yang berbeda bersama dengan informasi yang menunjukkan bagaimana setiap kontrol relevan dari kedua sensitivitas data dan perspektif keamanan prioritas.

Perlu dicatat bahwa meskipun Lampiran B bersifat informatif, sangat mungkin bahwa auditor akan menggunakannya sebagai dasar untuk daftar periksa ketika meninjau keamanan sistem penyimpanan dan ekosistem.

Konsep keamanan penting

Salah satu tantangan dalam mengembangkan ISO / IEC 27040 adalah bahwa ada dua audiens target yang berbeda:

1.      profesional penyimpanan dan

2.      profesional keamanan.

Untuk membantu kedua komunitas, Lampiran C dihuni dengan informasi tutorial yang berguna Untuk yang berikut:

·         Otentikasi

·         Otorisasi dan kontrol akses

·         Hard disk yang mengenkripsi sendiri (SED)

·         Sanitasi

·         Logging

·         N_Port ID Virtualization (NPIV)

·         Keamanan Channel Fiber

·         Protokol Interoperabilitas Manajemen Kunci OASIS (KMIP)

3. ISO/IEC TR 13335

Analisis ISO/IEC TR 13335

ISO (the International Organization for Standardization) dan IEC (the International Electrotechnical Commission) membentuk sistem khusus untuk standardisasi di seluruh dunia. Badan-badan nasional yang menjadi anggota ISO atau IEC berpartisipasi dalam pengembangan Standar Internasional melalui komite teknis yang dibentuk oleh organisasi masing-masing untuk menangani bidang-bidang tertentu dari aktivitas teknis. Komite teknis ISO dan IEC berkolaborasi dalam bidang kepentingan bersama. Organisasi internasional lainnya, pemerintah dan non-pemerintah, dalam hubungannya dengan ISO dan IEC, juga mengambil bagian dalam pekerjaan. Standar Internasional disusun sesuai dengan aturan yang diberikan dalam Arahan ISO / IEC, Bagian 3.

Di bidang teknologi informasi, ISO dan IEC telah membentuk komite teknis gabungan, ISO / IEC JTC 1. Konsep Standar Internasional yang diadopsi oleh komite teknis gabungan diedarkan ke badan nasional untuk pemungutan suara. Publikasi sebagai Standar Internasional membutuhkan persetujuan oleh setidaknya 75% dari badan nasional yang memberikan suara.

Dalam keadaan luar biasa, ketika komite teknis telah mengumpulkan data dari jenis yang berbeda dari yang biasanya diterbitkan sebagai Standar Internasional ("State of the Art", misalnya), ia dapat memutuskan dengan suara mayoritas sederhana dari anggota yang berpartisipasi untuk mempublikasikan Laporan Teknis. Laporan Teknis sepenuhnya bersifat informatif dan tidak harus ditinjau sampai data yang diberikannya dianggap tidak lagi valid atau berguna.

Perhatian tertarik pada kemungkinan bahwa beberapa elemen dari bagian ISO / IEC TR 13335 ini mungkin merupakan subjek hak paten. ISO dan IEC tidak bertanggung jawab untuk mengidentifikasi salah satu atau semua hak paten tersebut.

ISO / IEC TR 13335-4 disiapkan oleh Panitia Teknis Bersama ISO / IEC JTC 1, Teknologi informasi, Subkomite SC 27, teknik Keamanan TI.

ISO / IEC TR 13335 terdiri dari bagian-bagian berikut, di bawah ini adalah judul umum Teknologi informasi - Panduan untuk pengelolaan Keamanan TI:

- Bagian 1: Konsep dan model untuk Keamanan TI

- Bagian 2: Mengelola dan merencanakan Keamanan TI

- Bagian 3: Teknik untuk manajemen Keamanan TI

- Bagian 4: Pemilihan safeguards

- Bagian 5: Safeguards untuk koneksi eksternal

Tujuan

Tujuan dari Laporan Teknis ini (ISO / IEC TR 13335) adalah untuk memberikan panduan, bukan solusi, pada aspek manajemen keamanan TI. Orang-orang di dalam organisasi yang bertanggung jawab atas keamanan TI harus dapat menyesuaikan materi dalam laporan ini untuk memenuhi kebutuhan khusus mereka.

Tujuan utama dari Laporan Teknis ini adalah:

• untuk mendefinisikan dan menjelaskan konsep yang terkait dengan manajemen keamanan TI,

• untuk mengidentifikasi hubungan antara manajemen keamanan TI dan manajemen TI secara umum,

• untuk menyajikan beberapa model yang dapat digunakan untuk menjelaskan keamanan TI, dan

• untuk memberikan panduan umum tentang manajemen keamanan TI.

Bagian ISO/IEC TR 13335

ISO / IEC TR 13335 diatur menjadi lima bagian :

Bagian 1 memberikan gambaran umum tentang konsep dasar dan model yang digunakan untuk menggambarkan manajemen keamanan TI. Bahan ini cocok untuk manajer yang bertanggung jawab atas keamanan TI dan bagi mereka yang bertanggung jawab untuk keseluruhan program keamanan organisasi.

Bagian 2 menjelaskan aspek manajemen dan perencanaan. Ini relevan untuk manajer dengan tanggung jawab yang berkaitan dengan sistem TI organisasi, yaitu :

• Manajer TI yang bertanggung jawab untuk mengawasi desain, implementasi, pengujian, pengadaan, atau pengoperasian sistem TI, atau

• manajer yang bertanggung jawab atas kegiatan yang memanfaatkan sistem TI secara substansial.

Bagian 3 menjelaskan teknik keamanan yang relevan dengan mereka yang terlibat dengan kegiatan manajemen selama siklus hidup proyek, seperti perencanaan, perancangan, implementasi, pengujian, akuisisi, atau operasi.

Bagian 4 dan 5 memberikan panduan untuk pemilihan safeguards, dan bagaimana ini dapat didukung oleh penggunaan model dan kontrol baseline. Ini juga menjelaskan bagaimana ini melengkapi teknik keamanan yang dijelaskan pada bagian 3, dan bagaimana metode penilaian tambahan dapat digunakan untuk pemilihan pengamanan.

Contoh Kasus :

Klausa 6 memberikan pengantar untuk mengamankan seleksi dan konsep keamanan garis dasar. Klausul 7 hingga 10 berurusan dengan pembentukan keamanan dasar untuk sistem TI. Untuk memilih perlindungan yang tepat, perlu untuk membuat beberapa penilaian dasar, tidak peduli apakah analisis risiko yang lebih rinci akan mengikuti nanti. Penilaian ini dijelaskan dalam klausul 7 yang mencakup pertimbangan:

• jenis sistem TI apa yang terlibat (misalnya, PC yang berdiri sendiri, atau terhubung ke jaringan),

• apakah lokasi sistem TI itu dan kondisi lingkungan sekitarnya

• safeguards apa yang sudah ada atau direncanakan, dan

• apakah penilaian yang dilakukan memberikan cukup informasi untuk memilih perlindungan garis dasar untuk sistem TI?

Klausul 8 memberikan gambaran umum tentang perlindungan yang akan dipilih, dibagi ke dalam perlindungan organisasi dan fisik (yang dipilih sesuai dengan kebutuhan, kekhawatiran dan kendala keamanan relevan) dan perlindungan khusus sistem TI, keduanya dikelompokkan ke dalam kategori upaya perlindungan. Untuk setiap kategori upaya perlindungan, tipe pengamanan yang paling umum dijelaskan, termasuk penjelasan singkat tentang perlindungan yang ditujukan untuk mereka berikan. Pengaman khusus dalam kategori ini, dan uraian terperinci mereka, dapat ditemukan dalam dokumen keamanan awal yang direferensikan dalam lampiran A sampai H dokumen ini. Untuk memfasilitasi penggunaan dokumen-dokumen ini, referensi silang antara kategori perlindungan dokumen ini dan bab-bab dari berbagai dokumen dalam lampiran disediakan dalam tabel untuk setiap kategori upaya perlindungan.

Jika diputuskan bahwa jenis penilaian yang dijelaskan dalam ayat 7 cukup rinci untuk pemilihan pengamanan, klausul 9 memberikan daftar pengamanan yang berlaku untuk masing-masing sistem TI yang dijelaskan dalam 7.1. Jika kerangka pengaman dipilih berdasarkan jenis sistem TI, baseline terpisah mungkin diperlukan untuk workstation yang berdiri sendiri, workstation jaringan atau server. Untuk mencapai tingkat keamanan yang diperlukan, semua yang diperlukan untuk memilih perlindungan yang berlaku di bawah keadaan tertentu, adalah untuk membandingkannya dengan kerangka pengaman yang sudah ada (atau direncanakan), dan untuk menerapkan yang belum dilaksanakan.

Jika diputuskan bahwa penilaian yang lebih mendalam diperlukan untuk pemilihan pengamanan yang efektif dan sesuai, klausa 10 memberikan dukungan untuk pemilihan tersebut dengan mempertimbangkan pandangan tingkat tinggi masalah keamanan (sesuai dengan pentingnya informasi) dan kemungkinan ancaman. Oleh karena itu, di bagian ini, kerangka pengaman disarankan sesuai dengan masalah keamanan yang diidentifikasi, dengan mempertimbangkan ancaman yang relevan, dan akhirnya jenis sistem TI dipertimbangkan. Gambar 1 memberikan gambaran tentang cara-cara untuk memilih kerangka pengaman yang dijelaskan dalam klausul 7, 9, dan 10.

Klausul 9 dan 10 keduanya menjelaskan cara untuk memilih perlindungan dari dokumen perlindungan keamanan awal, yang dapat diterapkan baik untuk sistem TI, atau untuk membentuk satu set pengamanan yang berlaku untuk berbagai sistem TI dalam keadaan yang ditentukan. Dengan berfokus pada jenis sistem TI yang dipertimbangkan, pendekatan yang diusulkan dalam pasal 9 menghasilkan kemungkinan bahwa beberapa risiko tidak dikelola secara memadai, dan bahwa beberapa upaya perlindungan dipilih yang tidak diperlukan atau tidak sesuai. Pendekatan yang disarankan dalam klausul 10 untuk fokus pada masalah keamanan dan ancaman terkait kemungkinan akan menghasilkan seperangkat pengamanan yang lebih optimal. Pasal 9 dan 10 dapat digunakan untuk mendukung pemilihan upaya perlindungan tanpa penilaian yang lebih rinci dalam semua kasus yang termasuk dalam cakupan perlindungan garis dasar. Namun, jika penilaian yang lebih rinci, yaitu analisis risiko rinci, digunakan, klausul 9 dan 10 masih dapat mendukung pemilihan upaya perlindungan.

Klausul 11 membahas situasi di mana diputuskan bahwa analisis risiko rinci diperlukan karena kekhawatiran dan kebutuhan keamanan yang tinggi. Panduan analisis risiko disediakan dalam ISO / IEC TR 13335-3. Klausul 11 menjelaskan hubungan antara bagian 3 dan 4 ISO / IEC TR 13335 dan bagaimana hasilnya.

Referensi :

· "ISO / IEC 27040". Katalog Standar ISO. ISO. Diperoleh 2014-06-15.

·  Eric A. Hibbard; Richard Austin (2007). "SNIA Storage Security Best Current Practices (BCPs)". Asosiasi Industri Penyimpanan Jaringan.

·  Eric A. Hibbard (2012). "Tutorial Keamanan SNIA: Keamanan Penyimpanan - ISO / IEC Standard" (PDF). Asosiasi Industri Penyimpanan Jaringan.

· "Publikasi Khusus 800-88r1" (PDF). Institut Nasional Standar dan Teknologi (NIST).

· https://www.iso.org/standard/44404.html

· https://infostore.saiglobal.com/store/PreviewDoc.aspx?saleItemID=558253

· http://sharingmahasiswa.blogspot.com/2014/04/macam-maca-audit-sistem-informasi.html

· https://www.mindtools.com/pages/article/newTMC_05.htm