Perbandingan Framework Manajemen Sistem Informasi SWOT, ISO/IEC 27040:2015 dan ISO/IEC TR 13335

1. SWOT

Analisis SWOT

Analisis SWOT adalah metode perencanaan strategis yang digunakan untuk mengevaluasi kekuatan (Strengths), kelemahan (Weaknesses), Peluang (Opportunities), dan ancaman (Threats) dalam suatu spekulasi bisnis.  Proses ini melibatkan penentuan tujuan yang spesifik dari spekulasi bisnis atau proyek dan mengidentifikasi faktor internal dan eksternal yang mendukung dan yang tidak dalam mencapai tujuan tersebut.

Analisis SWOT diterapkan dengan cara menganalisis dan memilah berbagai hal yang mempengaruhi keempat faktor nya, kemudian menerapkan nya dalam gambar matrik SWOT, dimana aplikasinya adalah bagaimana kekuatan mampu mengambil keuntungan dari peluang yang ada, bagaimana cara mengatasi kelemahan yang mencegah keuntungan dari peluang yang ada, bagaimana kekuatan mampu menghadapi ancaman yang ada dan bagaimana cara mengatasi kelemahan yang mampu membuat ancaman menjadi nyata atau menciptakan sebuah ancaman baru.

Analisis SWOT berguna sebagai teknik untuk memahami kekuatan (Strengths) dan Kelemahan (Weaknesses), dan untuk mengidentifikasi keduanya dari kesempatan yang terbuka  dan menghadapi sebuah ancaman.

Kekuatan (Strengths)

·         Keuntungan apa saja yang organisasi dapatkan?

·         Apa yang dilakukan lebih  baik daripada orang lain?

·         Apa sumber daya yang unik atau yang mempunyai biaya rendah dari sumber daya tersebut yang dapat anda manfaatkan yang orang lain tidak bisa?

·         Apa yang orang lain lihat di pasar sebagai kekuatan mu?

·         Faktor apa yang berarti dalam “Mendapatkan Penjualan”?

·         Apa proposisi penjualan unik yang dilakukan organisasi?

Mempertimbangkan kekuatan (Strengths) yang dimiliki oleh organisasi dari Internal Perspektif, dan dari sudut pandang customer dan orang yang berada di “pasar”.

Kelemahan (Weaknesses)

·         Apa yang dapat diperbaiki/ditingkatkan?

·         Apa yang seharusnya dihindari?

·         Apa yang orang lihat di “pasar” anda cenderung melihat sebagai kelemahan?

·         Apa faktor yang membuat kehilangan penjualan?

Mempertimbangkan hal ini dari internal dan eksternal perspektif, lakukan yang dilakukan orang lain untuk melihat kelemahan yang kamu tidak lihat atau tidak disadari, apakah kompetitor melakukan hal ini lebih baik daripada kamu?.

Peluang (Opportunities)

·         Peluang apa yang dapat kamu temukan?

·         Trend Menarik apa yang kamu sadari?

Ancaman (Threats)

·         Rintangan apa yang Kamu Hadapi?

·         Apa yang dilakukan oleh kompetitor mu?

·         Apakah kualitas standar atau spesifikasi dari pekerjaan mu, produk atau servis berubah?

·         Apakah perubahan teknologi dapat mengancam posisi mu?

·         Apakah kamu mempunyai masalah arus kas atau hutang?

·         Apakah kelemahan mu dapat mengancam bisnis mu?

Contoh SWOT

Sebuah Start up yang baru merintis melakukan konsultasi dan menyusun analisis SWOT :

Kekuatan (Strengths)

·         Start up ini dapat merespon dengan sangat cepat, karena tidak membutuhkan persetujuan manajemen yang lebih tinggi

·         Start up ini dapat memberikan hubungan yang baik dengan customer, karena jumlah pekerjaan yang sedikit berarti memiliki banyak waktu yang dikhususkan untuk customer.

·         Pemimpin konsultan pada Start up ini memiliki reputasi yang kuat/bagus di “pasar”.

·         Start up ini dapat mengganti tujuan dengan cepat jika Start up ini bisa mengetahui bahwa pemasaran yang dilakukan sekarang ini sudah tidak bekerja lagi.

·         Start up ini memiliki overhead yang rendah, sehingga Start up ini dapat menawarkan nilai yang baik kepada pelanggan.

Kelemahan(Weaknesses)

·         Perusahaan kami memiliki reputasi di pasar yang cukup rendah/kecil.

·         Kami memiliki pekerja yang sedikit, dengan keahlian yang biasa saja di banyak bidang.

·         Perusahaan kami rentan terhadap pekerja penting yang sakit atau pergi meninggalkan perusahaan ini.

·         Arus kas Perusahaan kami akan menjadi tidak dapat diandalkan di awal mulai.

Peluang(Opportunities)

·         Sektor bisnis Start up ini terus bertambah, dengan peluang masa depan untuk sukses.

·         Pemerintah lokal ingin bekerja sama dengan bisnis lokal.

·         Kompetitor Start up ini mungkin lambat untuk mengadopsi teknologi baru.

Ancaman(Threats)

·         Pengembangan di dalam teknologi mungkin merubah pasar diluar kemampuan yang dimiliki start up ini untuk beradaptasi.

·         Perubahan kecil yang berfokus dari Kompetitor yang sudah expert mungkin dapat memusnahkan posisi di pasar apapun yang perusahaan ini raih.

Sebagai hasil dari analisis mereka, konsultasi mungkin memutuskan untuk menspesialisasikan terhadap respon yang cepat, nilai yang baik untuk servis bisnis lokal dan pemerintah lokal.

2. ISO/IEC 27040:2015

Analisis ISO/IEC 27040:2015

       ISO / IEC 27040: 2015 memberikan panduan teknis terperinci tentang bagaimana organisasi dapat menentukan tingkat mitigasi risiko yang tepat dengan menggunakan pendekatan yang teruji dan konsisten terhadap perencanaan, desain, dokumentasi, dan implementasi keamanan penyimpanan data. Ini mendukung konsep umum yang ditentukan dalam ISO / IEC 27001.

     Standar Internasional ini relevan bagi para manajer dan staf yang berkepentingan dengan manajemen risiko keamanan informasi dalam suatu organisasi dan, jika diperlukan, pihak eksternal yang mendukung kegiatan tersebut. Tujuan untuk Standar Internasional ini adalah untuk:

    ·         mempublikasikan risiko,

    ·         membantu organisasi dalam mengamankan data mereka dengan lebih baik,

    ·         memberikan dasar untuk merancang dan mengaudit kontrol keamanan penyimpanan.

      ISO / IEC 27040 memberikan panduan pelaksanaan spesifik dan terperinci yang relevan dengan keamanan penyimpanan untuk kontrol keamanan umum yang dijelaskan dalam ISO / IEC 27002. Standar Internasional ini bukan referensi atau dokumen normatif untuk persyaratan keamanan peraturan dan legislatif karena bervariasi di setiap negara.

Struktur standar

27040: 2015 memiliki tujuh klausa pendek dan tiga lampiran, yang mencakup:

      1.      Ruang lingkup standar

      2.      Daftar standar lain yang sangat diperlukan untuk memahami dan menggunakan ISO / IEC 27040

      3.      Terminologi yang diimpor dari standar lain atau didefinisikan dalam standar ini

      4.      Daftar singkatan dan akronim yang digunakan dalam standar

   5.  Gambaran umum tentang konsep penyimpanan dan penyimpanan penyimpanan kunci serta informasi tentang risiko terkait

  6. Menjelaskan kontrol yang mendukung arsitektur teknis keamanan penyimpanan, termasuk Penyimpanan Langsung Terpasang (DAS), jaringan penyimpanan, manajemen penyimpanan, penyimpanan berbasis blok, penyimpanan berbasis file, penyimpanan berbasis objek, dan layanan keamanan.

   7.  Memberikan panduan untuk desain dan penerapan keamanan penyimpanan (misalnya, prinsip desain; keandalan data, ketersediaan, dan ketahanan; retensi data; kerahasiaan data dan integritas; visualisasi; dan pertimbangan desain dan implementasi)

    · Lampiran A. Panduan spesifik media untuk sanitasi, termasuk penghapusan kriptografi (paralel NIST SP 800-88r1)

    · Lampiran B. Tabel untuk memilih kontrol keamanan yang sesuai berdasarkan sensitivitas data atau prioritas keamanan (kerahasiaan, integritas, atau ketersediaan)

     ·  Lampiran C. Deskripsi tentang konsep keamanan dan penyimpanan yang penting (mini-tutorial)

·         Bibliografi. Daftar standar dan spesifikasi yang memiliki pengaruh pada bahan dalam ISO / IEC 27040. Perlu dicatat bahwa bibliografi adalah salah satu daftar referensi yang lebih komprehensif tentang keamanan penyimpanan.

Mendukung kontrol untuk keamanan penyimpanan

Unsur utama dari ISO / IEC 27040 standar difokuskan pada identifikasi kontrol keamanan untuk berbagai jenis sistem penyimpanan dan arsitektur, termasuk yang berikut:

·         Rekomendasi untuk membantu mengamankan Penyimpanan Terlampir Langsung (DAS)

·         Cakupan luas keamanan untuk teknologi jaringan penyimpanan dan topologi dengan penekanan pada Storage Area Network atau SAN (mis., Fibre Channel, iSCSI, FCoE, dll.) Dan Network Attached Storage atau NAS (mis., NFS dan SMB / CIFS)

·         Mengidentifikasi masalah keamanan penting dan panduan untuk manajemen penyimpanan

·         Keamanan untuk sistem penyimpanan berbasis blok dengan Fibre Channel dan antarmuka IP (di atas dan di luar materi jaringan penyimpanan)

·         Keamanan untuk sistem penyimpanan berbasis file dengan antarmuka NFS, SMB / CIFS, dan pNFS (di atas dan di luar materi jaringan penyimpanan)

·         Keamanan untuk penyimpanan cloud, penyimpanan berbasis objek (OSD) dan Content Addressable Storage (CAS)

·         Rekomendasi untuk layanan keamanan penyimpanan (sanitasi, kerahasiaan data, dan pengurangan data)

Panduan desain dan implementasi untuk keamanan penyimpanan

               Meskipun peningkatan kekuatan komputer pribadi dan workstation departemen, masih ada ketergantungan pada pusat data terpusat karena kebutuhan untuk integrasi data, konsistensi data, dan kualitas data. Dengan pertumbuhan volume data penting yang luar biasa, banyak organisasi yang mengadopsi arsitektur penyimpanan-sentris untuk infrastruktur TIK mereka. Akibatnya, keamanan penyimpanan memainkan peran penting dalam mengamankan data ini, dan dalam banyak contoh, keamanan berfungsi sebagai garis pertahanan terakhir dari kedua musuh internal dan eksternal.

Desain solusi keamanan penyimpanan dipandu oleh prinsip-prinsip keamanan inti sambil mempertimbangkan sensitivitas data, kekritisan dan nilai. Bagian 6 dari standar (Kontrol Pendukung) memberikan panduan tentang penerapan kontrol yang relevan dengan penyimpanan dalam mengimplementasikan solusi yang dirancang. Bahan-bahan di bagian ini dibagi lagi menjadi:

·         Prinsip desain keamanan penyimpanan (Pertahanan secara mendalam, domain Keamanan, Ketahanan desain, dan Inisialisasi Aman)

         Keandalan, ketersediaan, dan ketahanan data (termasuk Cadangan dan replikasi serta Pemulihan Bencana dan Kesinambungan Bisnis)

·         Retensi data (Retensi jangka panjang dan Pendek hingga menengah)

·         Kerahasiaan data dan integritas

·         Virtualisasi (Penyimpanan virtualisasi dan Penyimpanan untuk sistem virtual)

·         Pertimbangan desain dan implementasi (Enkripsi dan isu-isu manajemen kunci, penyimpanan dan kebijakan Menyelaraskan, Kepatuhan, Aman multi-sewa, Aman gerakan data otonom)

Media sanitasi

"Sanitasi" adalah istilah teknis untuk memastikan bahwa data yang tersisa pada penyimpanan pada akhir masa pakainya tidak dapat diakses untuk tingkat upaya tertentu. Atau dengan kata lain, sanitasi adalah proses yang menjamin suatu organisasi tidak melakukan pelanggaran data dengan melakukan repurpos, penjualan, atau membuang perangkat penyimpanan.

Sanitasi dapat mengambil banyak bentuk tergantung pada kepekaan informasi dan tingkat upaya yang kemungkinan besar akan diinvestasikan dalam usaha untuk memulihkan informasi. Metode yang digunakan dalam sanitasi berkisar dari sederhana menimpa penghancuran kunci kriptografi untuk data terenkripsi (teknik ini dikenal sebagai penghapusan kriptografi) untuk penghancuran fisik media penyimpanan. Standar ini memberikan panduan untuk membantu organisasi memilih metode sanitasi yang tepat untuk datanya.

Rincian spesifik tentang sanitasi disediakan dalam serangkaian tabel di Lampiran A, yang didasarkan pada Publikasi Khusus NIST 800-88 Revisi 1. Tabel dirancang agar vendor dapat membuat referensi khusus untuk mereka, berdasarkan pada jenis media, daripada menggunakan sumber usang seperti DoD 5220.22-M (dari 1995).

Memilih kontrol keamanan penyimpanan yang tepat

Pengembang ISO / IEC 27040 tidak bermaksud bahwa semua panduan harus dilaksanakan (yaitu, semua atau tidak sama sekali). Akibatnya, Lampiran B dibuat untuk membantu organisasi memilih kontrol yang tepat berdasarkan pada sensitivitas data ( tinggi atau rendah) atau prioritas keamanan, berdasarkan kerahasiaan, integritas, dan ketersediaan. Untuk mendukung pemilihan ini, semua kontrol keamanan penyimpanan dalam ISO / IEC 27040 tercantum dalam 13 tabel yang berbeda bersama dengan informasi yang menunjukkan bagaimana setiap kontrol relevan dari kedua sensitivitas data dan perspektif keamanan prioritas.

Perlu dicatat bahwa meskipun Lampiran B bersifat informatif, sangat mungkin bahwa auditor akan menggunakannya sebagai dasar untuk daftar periksa ketika meninjau keamanan sistem penyimpanan dan ekosistem.

Konsep keamanan penting

Salah satu tantangan dalam mengembangkan ISO / IEC 27040 adalah bahwa ada dua audiens target yang berbeda:

1.      profesional penyimpanan dan

2.      profesional keamanan.

Untuk membantu kedua komunitas, Lampiran C dihuni dengan informasi tutorial yang berguna Untuk yang berikut:

·         Otentikasi

·         Otorisasi dan kontrol akses

·         Hard disk yang mengenkripsi sendiri (SED)

·         Sanitasi

·         Logging

·         N_Port ID Virtualization (NPIV)

·         Keamanan Channel Fiber

·         Protokol Interoperabilitas Manajemen Kunci OASIS (KMIP)

3. ISO/IEC TR 13335

Analisis ISO/IEC TR 13335

ISO (the International Organization for Standardization) dan IEC (the International Electrotechnical Commission) membentuk sistem khusus untuk standardisasi di seluruh dunia. Badan-badan nasional yang menjadi anggota ISO atau IEC berpartisipasi dalam pengembangan Standar Internasional melalui komite teknis yang dibentuk oleh organisasi masing-masing untuk menangani bidang-bidang tertentu dari aktivitas teknis. Komite teknis ISO dan IEC berkolaborasi dalam bidang kepentingan bersama. Organisasi internasional lainnya, pemerintah dan non-pemerintah, dalam hubungannya dengan ISO dan IEC, juga mengambil bagian dalam pekerjaan. Standar Internasional disusun sesuai dengan aturan yang diberikan dalam Arahan ISO / IEC, Bagian 3.

Di bidang teknologi informasi, ISO dan IEC telah membentuk komite teknis gabungan, ISO / IEC JTC 1. Konsep Standar Internasional yang diadopsi oleh komite teknis gabungan diedarkan ke badan nasional untuk pemungutan suara. Publikasi sebagai Standar Internasional membutuhkan persetujuan oleh setidaknya 75% dari badan nasional yang memberikan suara.

Dalam keadaan luar biasa, ketika komite teknis telah mengumpulkan data dari jenis yang berbeda dari yang biasanya diterbitkan sebagai Standar Internasional ("State of the Art", misalnya), ia dapat memutuskan dengan suara mayoritas sederhana dari anggota yang berpartisipasi untuk mempublikasikan Laporan Teknis. Laporan Teknis sepenuhnya bersifat informatif dan tidak harus ditinjau sampai data yang diberikannya dianggap tidak lagi valid atau berguna.

Perhatian tertarik pada kemungkinan bahwa beberapa elemen dari bagian ISO / IEC TR 13335 ini mungkin merupakan subjek hak paten. ISO dan IEC tidak bertanggung jawab untuk mengidentifikasi salah satu atau semua hak paten tersebut.

ISO / IEC TR 13335-4 disiapkan oleh Panitia Teknis Bersama ISO / IEC JTC 1, Teknologi informasi, Subkomite SC 27, teknik Keamanan TI.

ISO / IEC TR 13335 terdiri dari bagian-bagian berikut, di bawah ini adalah judul umum Teknologi informasi - Panduan untuk pengelolaan Keamanan TI:

- Bagian 1: Konsep dan model untuk Keamanan TI

- Bagian 2: Mengelola dan merencanakan Keamanan TI

- Bagian 3: Teknik untuk manajemen Keamanan TI

- Bagian 4: Pemilihan safeguards

- Bagian 5: Safeguards untuk koneksi eksternal

Tujuan

Tujuan dari Laporan Teknis ini (ISO / IEC TR 13335) adalah untuk memberikan panduan, bukan solusi, pada aspek manajemen keamanan TI. Orang-orang di dalam organisasi yang bertanggung jawab atas keamanan TI harus dapat menyesuaikan materi dalam laporan ini untuk memenuhi kebutuhan khusus mereka.

Tujuan utama dari Laporan Teknis ini adalah:

• untuk mendefinisikan dan menjelaskan konsep yang terkait dengan manajemen keamanan TI,

• untuk mengidentifikasi hubungan antara manajemen keamanan TI dan manajemen TI secara umum,

• untuk menyajikan beberapa model yang dapat digunakan untuk menjelaskan keamanan TI, dan

• untuk memberikan panduan umum tentang manajemen keamanan TI.

Bagian ISO/IEC TR 13335

ISO / IEC TR 13335 diatur menjadi lima bagian :

Bagian 1 memberikan gambaran umum tentang konsep dasar dan model yang digunakan untuk menggambarkan manajemen keamanan TI. Bahan ini cocok untuk manajer yang bertanggung jawab atas keamanan TI dan bagi mereka yang bertanggung jawab untuk keseluruhan program keamanan organisasi.

Bagian 2 menjelaskan aspek manajemen dan perencanaan. Ini relevan untuk manajer dengan tanggung jawab yang berkaitan dengan sistem TI organisasi, yaitu :

• Manajer TI yang bertanggung jawab untuk mengawasi desain, implementasi, pengujian, pengadaan, atau pengoperasian sistem TI, atau

• manajer yang bertanggung jawab atas kegiatan yang memanfaatkan sistem TI secara substansial.

Bagian 3 menjelaskan teknik keamanan yang relevan dengan mereka yang terlibat dengan kegiatan manajemen selama siklus hidup proyek, seperti perencanaan, perancangan, implementasi, pengujian, akuisisi, atau operasi.

Bagian 4 dan 5 memberikan panduan untuk pemilihan safeguards, dan bagaimana ini dapat didukung oleh penggunaan model dan kontrol baseline. Ini juga menjelaskan bagaimana ini melengkapi teknik keamanan yang dijelaskan pada bagian 3, dan bagaimana metode penilaian tambahan dapat digunakan untuk pemilihan pengamanan.

Contoh Kasus :

Klausa 6 memberikan pengantar untuk mengamankan seleksi dan konsep keamanan garis dasar. Klausul 7 hingga 10 berurusan dengan pembentukan keamanan dasar untuk sistem TI. Untuk memilih perlindungan yang tepat, perlu untuk membuat beberapa penilaian dasar, tidak peduli apakah analisis risiko yang lebih rinci akan mengikuti nanti. Penilaian ini dijelaskan dalam klausul 7 yang mencakup pertimbangan:

• jenis sistem TI apa yang terlibat (misalnya, PC yang berdiri sendiri, atau terhubung ke jaringan),

• apakah lokasi sistem TI itu dan kondisi lingkungan sekitarnya

• safeguards apa yang sudah ada atau direncanakan, dan

• apakah penilaian yang dilakukan memberikan cukup informasi untuk memilih perlindungan garis dasar untuk sistem TI?

Klausul 8 memberikan gambaran umum tentang perlindungan yang akan dipilih, dibagi ke dalam perlindungan organisasi dan fisik (yang dipilih sesuai dengan kebutuhan, kekhawatiran dan kendala keamanan relevan) dan perlindungan khusus sistem TI, keduanya dikelompokkan ke dalam kategori upaya perlindungan. Untuk setiap kategori upaya perlindungan, tipe pengamanan yang paling umum dijelaskan, termasuk penjelasan singkat tentang perlindungan yang ditujukan untuk mereka berikan. Pengaman khusus dalam kategori ini, dan uraian terperinci mereka, dapat ditemukan dalam dokumen keamanan awal yang direferensikan dalam lampiran A sampai H dokumen ini. Untuk memfasilitasi penggunaan dokumen-dokumen ini, referensi silang antara kategori perlindungan dokumen ini dan bab-bab dari berbagai dokumen dalam lampiran disediakan dalam tabel untuk setiap kategori upaya perlindungan.

Jika diputuskan bahwa jenis penilaian yang dijelaskan dalam ayat 7 cukup rinci untuk pemilihan pengamanan, klausul 9 memberikan daftar pengamanan yang berlaku untuk masing-masing sistem TI yang dijelaskan dalam 7.1. Jika kerangka pengaman dipilih berdasarkan jenis sistem TI, baseline terpisah mungkin diperlukan untuk workstation yang berdiri sendiri, workstation jaringan atau server. Untuk mencapai tingkat keamanan yang diperlukan, semua yang diperlukan untuk memilih perlindungan yang berlaku di bawah keadaan tertentu, adalah untuk membandingkannya dengan kerangka pengaman yang sudah ada (atau direncanakan), dan untuk menerapkan yang belum dilaksanakan.

Jika diputuskan bahwa penilaian yang lebih mendalam diperlukan untuk pemilihan pengamanan yang efektif dan sesuai, klausa 10 memberikan dukungan untuk pemilihan tersebut dengan mempertimbangkan pandangan tingkat tinggi masalah keamanan (sesuai dengan pentingnya informasi) dan kemungkinan ancaman. Oleh karena itu, di bagian ini, kerangka pengaman disarankan sesuai dengan masalah keamanan yang diidentifikasi, dengan mempertimbangkan ancaman yang relevan, dan akhirnya jenis sistem TI dipertimbangkan. Gambar 1 memberikan gambaran tentang cara-cara untuk memilih kerangka pengaman yang dijelaskan dalam klausul 7, 9, dan 10.

Klausul 9 dan 10 keduanya menjelaskan cara untuk memilih perlindungan dari dokumen perlindungan keamanan awal, yang dapat diterapkan baik untuk sistem TI, atau untuk membentuk satu set pengamanan yang berlaku untuk berbagai sistem TI dalam keadaan yang ditentukan. Dengan berfokus pada jenis sistem TI yang dipertimbangkan, pendekatan yang diusulkan dalam pasal 9 menghasilkan kemungkinan bahwa beberapa risiko tidak dikelola secara memadai, dan bahwa beberapa upaya perlindungan dipilih yang tidak diperlukan atau tidak sesuai. Pendekatan yang disarankan dalam klausul 10 untuk fokus pada masalah keamanan dan ancaman terkait kemungkinan akan menghasilkan seperangkat pengamanan yang lebih optimal. Pasal 9 dan 10 dapat digunakan untuk mendukung pemilihan upaya perlindungan tanpa penilaian yang lebih rinci dalam semua kasus yang termasuk dalam cakupan perlindungan garis dasar. Namun, jika penilaian yang lebih rinci, yaitu analisis risiko rinci, digunakan, klausul 9 dan 10 masih dapat mendukung pemilihan upaya perlindungan.

Klausul 11 membahas situasi di mana diputuskan bahwa analisis risiko rinci diperlukan karena kekhawatiran dan kebutuhan keamanan yang tinggi. Panduan analisis risiko disediakan dalam ISO / IEC TR 13335-3. Klausul 11 menjelaskan hubungan antara bagian 3 dan 4 ISO / IEC TR 13335 dan bagaimana hasilnya.

Referensi :

· "ISO / IEC 27040". Katalog Standar ISO. ISO. Diperoleh 2014-06-15.

·  Eric A. Hibbard; Richard Austin (2007). "SNIA Storage Security Best Current Practices (BCPs)". Asosiasi Industri Penyimpanan Jaringan.

·  Eric A. Hibbard (2012). "Tutorial Keamanan SNIA: Keamanan Penyimpanan - ISO / IEC Standard" (PDF). Asosiasi Industri Penyimpanan Jaringan.

· "Publikasi Khusus 800-88r1" (PDF). Institut Nasional Standar dan Teknologi (NIST).

· https://www.iso.org/standard/44404.html

· https://infostore.saiglobal.com/store/PreviewDoc.aspx?saleItemID=558253

· http://sharingmahasiswa.blogspot.com/2014/04/macam-maca-audit-sistem-informasi.html

· https://www.mindtools.com/pages/article/newTMC_05.htm

COBIT DAN CONTOH KASUSNYA

MAKALAH

PENGENDALIAN INTERNAL

Disusun oleh :

Andru Tri Setyo (10115751)

Resa Agustina (15115766)

Jerry Yosepta (13115555)

Kelompok 2

Kelas : 4KA31

Mata Kuliah : Audit Teknologi Sistem Informasi

Dosen : Qomariyah

FAKULTAS ILMU KOMPUTER & TEKNOLOGI INFORMASI

JURUSAN SISTEM INFORMASI

UNIVERSITAS GUNADARMA

PENDAHULUAN

      A.    Latar Belakang

COBIT (Control Objectives for Information and Related Technology) adalah kerangka kerja tata kelola IT (IT Governance Framework) dan kumpulan perangkat yang mendukung dan memungkinkan para manager untuk menjembatani jarak (gap) yang ada antara kebutuhan yang dikendalikan (control requirement), masalah teknis (technical issue) dan resiko bisnis (business risk).

COBIT mempermudah perkembangan peraturan yang jelas (clear policy development) dan praktik baik (good practice) untuk mengendalikan IT dalam organisasi. COBIT menekankan keputusan terhadap peraturan, membantu organisasi untuk meningkatkan nilai yang ingin dicapai dengan penggunaan IT. Memungkinkan untuk menyelaraskan dan menyederhanakan penerapan dari kerangka COBIT.

Dalam pembahasan ini, ada beberapa hal mengenai sistem manajemen data yang dibahas. Hal-hal yang dibahas scara umum ada dua, yaitu: 1) definisi COBIT, 2) sejarah COBIT, 3) manfaat COBIT, 4) kriteria informasi berdasarkan COBIT, dan 5) domain COBIT.

      B.     Rumusan Masalah

Berdasarkan latar belakang di atas, maka masalah pokok pada pembahasan ini adalah :

a.       Apakah yang dimaksud COBIT ?

b.      Bagaimana sejarah COBIT

c.       Apa saja manfaat dan kriteria informasi berdasarkan COBIT

d.      Domain COBIT

     C.  Tujuan

          Tujuan dari pembahasan tersebut adalah :

a  .    Menjelaskan tentang COBIT

b  .    Menjelaskan sejarah COBIT

c  .    Menyebutkan dan menjelaskan manfaat dan kriteria informasi berdasarkan COBIT

d  .    Menjelaskan Domain COBIT

PEMBAHASAN

1. Pengertian Cobit

COBIT (Control Objectives for Information and Related Technology) merupakan audit sistem informasi dan dasar pengendalian yang dibuat oleh Information Systems Audit and Control Association (ISACA) dan IT Governance Institute (ITGI) pada tahun 1992.

COBIT Framework adalah standar kontrol yang umum terhadap teknologi informasi, dengan memberikan kerangka kerja dan kontrol terhadap teknologi informasi yang dapat diterima dan diterapkan secara internasional.

COBIT bermanfaat bagi manajemen untuk membantu menyeimbangkan antara resiko dan investasi pengendalian dalam sebuah lingkungan IT yang sering tidak dapat diprediksi. Bagi user, ini menjadi sangat berguna untuk memperoleh keyakinan atas layanan keamanan dan pengendalian IT yang disediakan oleh pihak internal atau pihak ketiga. Sedangkan bagi Auditor untuk mendukung atau memperkuat opini yang dihasilkan dan memberikan saran kepada manajemen atas pengendalian internal yang ada.

2. Sejarah COBIT

COBIT pertama kali diterbitkan pada tahun 1996, kemudian edisi kedua dari COBIT diterbitkan pada tahun 1998. Pada tahun 2000 dirilis COBIT 3.0 dan COBIT 4.0 pada tahun 2005. Kemudian COBIT 4.1 dirilis pada tahun 2007 dan saat ini COBIT yang terakhir dirilis adalah COBIT 5.0 yang dirilis pada tahun 2012.

COBIT merupakan kombinasi dari prinsip-prinsip yang telah ditanamkan yang dilengkapi dengan balance scorecard dan dapat digunakan sebagai acuan model (seperti COSO) dan disejajarkan dengan standar industri, seperti ITIL, CMM, BS779, ISO 9000.

3. Kriteria Informasi berdasarkan COBIT

Untuk memenuhi tujuan bisnis, informasi perlu memenuhi kriteria tertentu, adapun 7 kriteria informasi yang menjadi perhatian COBIT, yaitu sebagai berikut:

   ·   Effectiveness (Efektivitas). Informasi yang diperoleh harus relevan dan berkaitan dengan proses bisnis, konsisten dapat dipercaya, dan tepat waktu.

   ·   Effeciency (Efisiensi). Penyediaan informasi melalui penggunaan sumber daya (yang paling produktif dan ekonomis) yang optimal. 

   ·   Confidentially (Kerahasiaan).Berkaitan dengan proteksi pada informasi penting dari pihak-pihak yang tidak memiliki hak otorisasi/tidak berwenang.

   ·   Intergrity (Integritas). Berkaitan dengan keakuratan dan kelengkapan data/informasi dan tingkat validitas yang sesuai dengan ekspetasi dan nilai bisnis.

   ·   Availability (Ketersediaan). Fokus terhadap ketersediaan data/informasi ketika diperlukan dalam proses bisnis, baik sekarang maupun dimasa yang akan datang. Ini juga terkait dengan pengamanan atas sumber daya yang diperlukan dan terkait.

   ·   Compliance (Kepatuhan). Pemenuhan data/informasi yang sesuai dengan ketentuan hukum, peraturan, dan rencana perjanjian/kontrak untuk proses bisnis.

   ·   Reliability (Handal). Fokus pada pemberian informasi yang tepat bagi manajemen untuk mengoperasikan perusahaan dan pemenuhan kewajiban mereka untuk membuat laporan keuangan.

4. Manfaat dan Pengguna COBIT

Secara manajerial target pengguna COBIT dan manfaatnya adalah :

      ·       Direktur dan Eksekutif

Untuk memastikan manajemen mengikuti dan mengimplementasikan strategi searah dan sejalan dengan TI.

      ·         Manajemen

-  Untuk mengambil keputusan investasi TI.

-  Untuk keseimbangan resiko dan kontrol investasi.

-  Untuk benchmark lingkungan TI sekarang dan masa depan.

      ·         Pengguna

Untuk memperoleh jaminan keamanan dan control produk dan jasa yang dibutuhkan secara internal maupun eksternal.

      ·         Auditors

-  Untuk memperkuat opini untuk manajemen dalam control internal.

-  Untuk memberikan saran pada control minimum yang diperlukan.

5. Domain COBIT

Kerangka kerja COBIT terdiri dari pengendalian tingkat tinggi pada sasaran hasil keseluruhan struktur klasifikasinya. Dasar teori untuk klasifikasi adalah 3 tingkatan usaha pengaturan TI yang menyangkut manajemen sumber daya TI. Mulai dari dasar adalah aktivitas dan tugas yang diperluaskan untuk mencapai hasil yang terukur. 

Kemudian proses adalah menggambarkan 1 lapisan atas serangkaian tugas atau aktivitas yang dihubungkan dengan perubahan (pengendalian). Ditingkatan yang paling tinggi, proses secara alami dikelompokkan bersama-sama ke dalam domain. Pengelompokkan ini sering ditetapkan sebagai tanggung jawab dalam struktur organisasi dan sejalan dengan siklus manajemen atau siklus hidup yang digunakan pada proses TI.

Agar informasi yang tersedia memenuhi tujuan dari organisasi, sumber daya TI memerlukan pengaturan untuk proses TI menjadi beberapa group proses. Masing-masing group proses diberi nama Domain. Setiap domain terdiri dari beberapa proses. Secara garis besar, COBIT framework terdiri atas 4 domain utama.

Kerangka COBIT

COBIT mengelompokkan semua aktivitas bisnis yang terjadi dalam organisasi menjadi 34 proses yang terbagi ke dalam 4 buah domain proses, meliputi :

Domain 1 : Planning and Organisation

Domain ini mencakup strategi dan taktik yang menyangkut identifikasi tentang bagaimana TI dapat memberikan kontribusi terbaik dalam pencapaian tujuan bisnis organisasi sehingga terbentuk sebuah organisasi yang baik dengan infrastruktur teknologi yang baik pula.

Domain ini meliputi :

PO1	Tentukan rencana teknologi informasi strategis
PO2	Tentukan arsitektur informasi
PO3	Tentukan arah teknologi
PO4	Tentukan organisasi TI dan hubungan
PO5	Mengelola investasi di bidang teknologi informasi
PO6	Berkomunikasi tujuan manajemen dan arah
PO7	Mengelola sumber daya manusia
PO8	Memastikan kepatuhan dengan persyaratan eksternal
PO9	Menilai risiko
PO10	Mengelola proyek
PO11	Mengelola kualitas

Domain 2 : Acquisition and Implementation

Untuk mewujudkan strategi TI, solusi TI perlu diidentifikasi, dibangun atau diperoleh dan kemudian diimplementasikan dan diintegrasikan dalam proses bisnis. Domain ini meliputi :

AI1	Mengidentifikasi solusi otomatis
AI2	Memperoleh dan memelihara perangkat lunak aplikasi
AI3	Memperoleh dan memelihara infrastruktur teknologi
AI4	Mengembangkan dan memelihara prosedur IT
AI5	Memenuhi Sumber Data TI
AI6	Mengelola perubahan
AI7	Instalasi dan mengakreditasi sistem beserta perubahannya

Domain 3 : Delivery and Support

Domain ini berhubungan dengan penyampaian layanan yang diinginkan, yang terdiri dari operasi pada security dan aspek kesinambungan bisnis sampai dengan pengadaan training.

Domain ini meliputi :

DS1	mendefinisikan dan mengelola tingkat layanan
DS2	Mengelola layanan pihak ketiga
DS3	Mengelola kinerja dan kapasitas
DS4	Memastikan layanan yang berkelanjutan
DS5	Pastikan sistem keamanan
DS6	Mengidentifikasi dan mengalokasikan biaya
DS7	Mendidik dan melatih pengguna
DS8	Mengelola service dan insiden
DS9	Mengelola konfigurasi
DS10	Mengelola permasalahan
DS11	Mengelola Data
DS12	Mengelola Fasilitas
DS13	Mengelola operasi

Domain 4 : Monitoring and Evaluation

Semua proses TI perlu dinilai secara teratur dan berkala bagaimana kualitas dan kesesuaiannya dengan kebutuhan kontrol. Domain ini meliputi :

M1	Mengawasi dan mengevaluasi kinerja TI
M2	Mengawasi dan mengevaluasi control internal
M3	Memastikan pemenuhan terhadap kebutuhan eksternal
M4	Menyediakan tata kelola TI

6. Contoh kasus & Analisannya

Contoh Kasus

Domain : Deliver and Support

Kasus : SIM – BL di Unit CDC PT. Telkom Pusat. Tbk

Deliver, Service and Support (DSS)

Deliver, Service, and Support yang biasa dikenal dengan singkatan DSS merupakan salah satu domain di framework COBIT 5. Domain ini merupakan perluasan dari domain Deliver and Support (DS) pada versi COBIT sebelumnya, yakni COBIT 4.1. Domain DSS menitikberatkan pada proses pelayanan TI dan dukungan teknisnya yang meliputi hal keamanan sistem, kesinambungan layanan, pelatihan, dan pengelolaan data yang sedang berjalan.

Sementara fokus domain DSS pada COBIT 5 yakni pada aspek pengiriman teknologi informasi, proses, dan dukungan yang memungkinkan untuk pelaksanaan sistem TI yang efektif dan efisien. Domain DSS terdiri dari 6 control objective, yakni sebagai berikut :

1)        DSS01 – Mengelola Operasi

2)        DSS02 – Mengelola Permintaan Layanan dan Insiden

3)        DSS03 – Mengelola Masalah

4)        DSS04 – Mengelola Keberlanjutan

5)        DSS05 – Mengelola Keamanan Layanan

6)        DSS06 – Mengelola Kontrol Proses Bisnis

Analisis Audit Sistem Informasi Berbasis COBIT 5 Pada Domain Deliver, Service and Support (DSS)

(Studi Kasus : SIM – BL di Unit CDC PT. Telkom Pusat. Tbk)

Teknologi informasi (TI) telah menjadi unsur penting dalam suatu organisasi dan merupakan investasi yang menjadi salah satu pembuat nilai tambah dan keuntungan kompetitif. TI perlu diatur agar dapat dimanfaatkan dengan baik. Tindakan untuk mengatur TI disebut dengan tata kelola TI. Tata kelola TI yang dijalankan dengan baik dapat membantu organisasi dalam upaya mencapai tujuannya. Unit Community Development Centre (CDC) PT Telkom merupakan salah satu organisasi yang mengimplementasikan tata kelola TI yaitu dengan Sistem Informasi Manajemen Bina Lingkungan (SIM-BL) untuk membantu merealisasikan sasaran dan mencapai tujuan mengenai pengelolaan dan penyaluran dana bantuan sosial perusahaan kepada masyarakat melalui pemanfaatan TI. Tata kelola TI dalam aplikasi SIM-BL memerlukan audit untuk mengevaluasi, menilai kapabilitas, dan menyusun rekomendasi terhadap tata kelola TI-nya karena unit aplikasi SIM-BL pada Unit CDC PT Telkom belum pernah melakukan evaluasi terhadap tata kelola TI tersebut yang telah diterapkan dari sisi kemajuan mencapai tujuan serta nilai tata kelola dan manajemen teknologi informasi. Sehingga sampai saat ini unit CDC PT Telkom belum dapat mengetahui sejauh mana manfaat dan dampak yang diperoleh dari penerapan TI tersebut terhadap progresivitas pencapaian tujuan dikaitkan dengan pengelolaan sistem informasi, apa yang menjadi kekurangan, serta apa tawaran solusinya. Standar audit yang digunakan adalah Control Objectives for Information and Related Technology (COBIT) 5. COBIT 5 merupakan framework yang komprehensif dan bersifat holistik sehingga sesuai dengan SIM-BL yang berskalaenterprise dan menjalankan tata kelola TI yang sudah berjalan. Domain COBIT 5 yang dipilih adalah domain Deliver, Service, dan Support (DSS) yang fokus pada penilaian pengiriman dan layanan teknologi informasi serta dukungannya terhadap proses bisnis yang berlangsung termasuk pengelolaan masalah agar keberlanjutan proses bisnis tetap terjaga serta bagaimana mengontrol proses bisnis, mengevaluasi, dan merencanakan secara jangka panjang proses bisnis kedepan. Hasilnya adalah Capability Level yang didapat secara keseluhan pada SIM-BL Unit CDC PT Telkom adalah Level 4, yaitu Predictable Process, dan Level target yang ingin dicapai adalah 5 yaitu Optimizing process, sehingga berdasarkan analisis gap secara garis besar perlu adanya peningkatan Capability Level dari kondisi existing dari sisi peningkatan aktivitas dengan rekomendasinya yaitu memaksimalkan yang sudah berjalan baik dan melakukan inovasi dalam aktivitas untuk mempercepat tercapainya tujuan.

A.  Metodologi Penelitian

Dilakukan wawancara untuk mengetahui sasaran strategis perusahaan yang selanjutnya dilakukan pemetaan enterprise, lalu pemetaan IT Related Goals terhadap Enterprise, lalu pemetaan RACI. Selanjutnya meneliti kondisi existing dengan wawaancara dan kuesioner. Berfikutnya dilakukan analisis capability level,

lalu diketahui gap level, dan dilakukan analisis gap, yang selanjutnya akan dihasilkan rekomendasi.

B.  Implementasi dan Analisis Hasil

1.    DSS01 – Mengelola Operasi

Berdasarkan analisis Gap yang di dapat dengan Level target yang ingin dicapai pada DSS01, maka berikut adalah beberapa rekomendasi yang dapat berikan untuk meningkatkan kualitas Bagian Bina Lingkungan Unit CDC PT Telkom :

1)   Pembangunan kesadaran dan pemahaman untuk menjaga perangkat dan infrastruktur IT kepada staff melalui:

·   Training / pelatihan

·   Imbauan melalui gambar dan tulisan di sudut-sudut ruangan dan ketika log-in computer. Meskipun terdapat kontrak maintenance namun kerusakan membuat hambatan bagi jalannya operasional (minimal hambatannya adalah terdapatnya space waktu produktif yang terbuang).

2)   Diperlukan adanya pengawasan monitoring ruangan secara 24 jam dengan menggunakan kamera CCTV, karena didalam ruangan belum menggunakan monitoring yang memiliki fungsional melihat sudut-sudut ruangan.

3)   Perlu adanya sistem pengawasan piket atau yang bertugas dengan cara memastikan di waktu awal mulai piket, waktu pertengahan piket, serta waktu akhir piket.

4)   Perlu diadakannya rapat evaluasi mingguan untuk membuat evaluasi dan proyeksi mengenai jalannya operation (performansi) yang berikutnya dapat dihasilkan list point evaluasi mingguan dan list point proyeksi seminggu kedepan dalam menjalankan operation IT (seperti : evaluasi pembagian tugas, evaluasi pemrosesan data, dsb).

2.    DSS02 – Mengelola Permintaan Layanan dan Insiden

Berdasarkan analisis Gap yang di dapat dan dengan Level target yang ingin dicapai pada DSS02, maka berikut adalah beberapa rekomendasi yang dapat penulis berikat untuk meningkatkan kualitas Bagian Bina Lingkungan Unit CDC PT Telkom:

1)   Perlu dibuat fungsi Helpdesk dari user (Bina Lingkungan) kepada Manager Sistem Informasi Perencanaan dan Pengendalian (PRANDAL) untuk mengefisiensikan waktu dalam pelaporan insiden

2)   Setiap perubahan terhadap aplikasi didokumentasikan dalam Log Book yang merecord aktivitas sebagai berikut :

-       Change request oleh user

-       Manager pengelolaan sistem informasi CDC melakukan review change request kemudian diteruskan ke ITSS

-       Manager pengelolaan sistem informasi CDC melakukan transport ke production Logbook tersebut digunakan untuk memitigasi resiko perubahan yang tidak terotorisasi, akses yang tidak terotorisasi dan ketidaktersediaan data finansial.

3)   Membuat skema klasifikasi dan prioritas dari permintaan layanan yang diperoleh dari user (Bina Lingkungan) sebelum diteruskan kepada ITSS agar proses perbaikan dan pembaharuan dilakukan berdasarkan urutan prioritas.

4)   Menentukan Level-Level insiden terutama untuk insiden besar dan insiden tentang keamanan yang terjadi dari pelaporan user agar dapat dibuat mitigasi pola pencegahan terhadap potensi insiden yang akan terjadi.

3.    DSS03 – Mengelola Masalah

Berdasarkan analisis Gap yang di dapat dan dengan Level target yang ingin dicapai pada DSS03, maka berikut adalah beberapa rekomendasi yang dapat penulis berikat untuk meningkatkan kualitas Bagian Bina Lingkungan Unit CDC PT Telkom:

1)   Membuat fungsi troubleshooter untuk dapat mengetahui problem yang terjadi secara cepat dan tepat sasaran.

2)   Menentukan permanent fix terhadap akar permasalahan yang telah dianalisis

4.    DSS04 – Mengelola Keberlanjutan

Berdasarkan analisis Gap yang di dapat dan dengan Level target yang ingin dicapai pada DSS04, maka berikut adalah beberapa rekomendasi yang dapat penulis berikat untuk meningkatkan kualitas Bagian Bina Lingkungan Unit CDC PT Telkom:

1)  Bagian Perencanaan dan Pengendalian CDC PT Telkom melakukan monitoring dan memastikan proses backup/restore  yang dilakukanoleh ITSS reliability dan availibility data terpenuhi.

2) Dilakukannya tindak lanjut dari proses monitoring backup/restore tersebut untuk memitigasi resiko data aplikasi keuangan yang hilang karena ketidaklengkapan atau ketidak cukupan backup dan restore.

3)  Rapat budget commitee per 3 bulan dalam mengontrol, mengevaluasi, dan membuat proyeksi kedepan perlu dilaksanakan secara konsisten, agar pelaksanaan dapat selalu dilakukan perbaikan demi target blue print 5 tahun dapat tercapai.

4)   Untuk verifikasi data penerima bantuan yang tidak dalam jumlah besar (missal : dibawah Rp 10.000.000,00) cukup menggunakan Voice Processing Recording (VPR) sehingga langsung terekam data yang dibutuhkan melalui wawancara dan tidak perlu dilakukan survey ke tempat lokasi.

5)   Perlu membuat tim khusus untuk survey lokasi bantuan, khususnya objek penerima bantuan yang jarak lokasinya jauh, agar proporsional dalam pembagian tugas karyawan sehingga tidak ada pekerjaan yang tertunda.

6)   Perlu diadakannya pelatihan mengenai proses bisnis Bina Lingkungan bagi karyawan, diadakan rutin 1 tahun 1 kali, untuk membekali atau meng-upgrade pengetahuan mengenai persoalan sosial dan bina lingkungan, juga menambah kepekaan rasa peduli sosial bagi setiap karyawan.

7)   Perlu menggunakan lembar internal control secara otomatis dari SIM, tidak perlu menggunakan Microsoft Word untuk membuat lembarinternal control, sudah langsung otomatiasi dengan SIM.

5.    DSS05 – Mengelola Keamanan Layanan

Berdasarkan analisis Gap yang di dapat dan dengan Level target yang ingin dicapai pada DSS05, maka berikut adalah beberapa rekomendasi yang dapat penulis berikat untuk meningkatkan kualitas Bagian Bina Lingkungan Unit CDC PT Telkom:

1) Melakukan penetration test secara periodik, yaitu 3 bulan 1 kali

2)  Menentukan otorisasi terhadap devices yang boleh mengakses informasi institusi dan jaringan insitusi, artinya screening

   terhadap kodedevice (pencatatan kodefikasi dan pembuatan

   sistem screening).

3) Menerapkan enkripsi informasi saat pengiriman berdasarkan klasifikasinya agar informasi tersebut aman.

6. DSS06 – Mengelola Kontrol Proses Bisnis

Berdasarkan analisis Gap yang di dapat dan dengan Level target yang ingin dicapai pada DSS06, maka berikut adalah beberapa rekomendasi yang dapat penulis berikat untuk meningkatkan kualitas Bagian Bina Lingkungan Unit CDC PT Telkom:

1)   Melakukan inovasi proses bisnis dalam bantuan sosial setiap 2 tahun 1 kali merujuk kepada evaluasi blueprint 1 tahun 1 kali.

2)   Memantau dan mengevaluasi prosedur keamanan untuk melindungi aset informasi.

3)   Membuat kebijakan dalam penentuan peran yang berwenang untuk mengakses aktivitas atau data yang bersifat sensitif, dijelaskan secara rinci dan didokumentasikan.

4)   Membuat kebijakan terhadap pemberian hukuman kepada pegawai yang melakukan pelanggaran – pelanggaran dalam pemantauan kegiatan proses bisnis.

5)   Menyimpan dengan baik atau mengarsipkan data seperti sumber informasi, rekaman transaksi untuk dijadikan bukti dalam pengukuran penilaian keberlangsungan proses bisnis dan dapat sebagai rekomendasi.

6)   Mengidentifikasi jenis – jenis data yang bersifat rahasia, membuat prosedur penyimpanan dan penghapusan yang tepat.

Kesimpulan

Berdasarkan audit yang dilakukan pada Bina Lngkungan SGM CDC PT Telkom dalam studi kasuss. COBIT 5 Domain DSS (Deliver, Service and Support) maka kesimpulan dari tugas akhir ini adalah:

1)  Pada tahap pra audit teah diperoleh proses domain DSS COBIT 5 yang dimana merupakan keseluruhan proses dari domain DSS yang sesuai dengan kondisi tata kelola Bina Lingkungan SGM CDC PT Telkom dan digunakan sebagai ruang lingkup dan digunakan sebagai ruang lingkup dan standar audit yaitu DSS01, DSS02, DSS03, DSS04, DSS05, DSS06.

2) Dari hasil audit, diketahui ada 1 proses yang mempunyai Level kapabilitas 3 yaitu DSS04, ada 5 proses yang mempunyai Level kapabilitas 4 yaitu DSS01, DSS02, DSS03, DSS05 dan DSS06.

3) Menurut Level kapabilitas masing-masing proses, ditentukan Level target masing-masing proses yaitu berupa 1 Level di atas Levelkapabilitas, yang ditentukan berdasar analisis dan juga persetujuan dengan stakeholder, sehingga didapat Level target untuk DSS01, DSS02, DSS03, DSS05 dan DSS06 adalah Level 5, untuk DSS04 adalah Level.

4)   Level capability keseluruhan yang diperoleh berdasarkan keseluruhan rata-rata adalah 4, yang berarti sebagian besar aktifitas pada domain DSS untuk Bina Lngkungan SGM CDC PT Telkom telah dilakukan, ada standar penerapan dalam melakukan proses tersebut, telah termonitor, terukur, dan telah dilakukan perencanaan prediksi kedepan sudah berjalan dengan baik.

5)   Level target yang ingin dicapai adalah 5 Optimizing process, sehingga rekomendasi yang disusun adalah sebagai berikut :

a. Memperketat kontrol terhadap proses yang berlangsung untuk mempertahankan proses yang sudah berjalan cukup baik.

b. Membuat inovasi-inovasi terhadap proses bisnis agar berjalan variatif kea rah yang lebih baik.

6) Berdasarkan prioritas, maka Domain yang masih tertinggal adalah DSS04 yaitu manage continuity, maka perlu dilaksanakan terlebih dahulu rekomendasinya untuk meningkatkan performansi dalam berlangsungnya bisnis proses.

7) Meningkatkan dan konsisten dalam mengontrol dan mengevaluasi pencapaian terhadap blue print 5  tahunan, khususnya kontrol dan evaluasi per 3 bulan dan per tahun.

Daftar Pustaka :

https://www.kajianpustaka.com/2014/02/pengertian-sejarah-dan-komponen-cobit.html

https://pendidikanmu.com/2015/05/apa-yang-anda-ketahui-tentang-cobit.html

https://haendra.wordpress.com/2012/06/08/pengertian-cobit/

https://openlibrary.telkomuniversity.ac.id/pustaka/files/101873/bab1/analisis-audit-sistem-informasi-berbasis-cobit-5-pada-domain-deliver-service-and-support-dss-studi-kasus-sim-bl-di-unit-cdc-pt-telkom-pusat-tbk-.pdf