A. Gambaran Umum
Risiko keamanan TIK berkaitan dengan integritas data dan akses ke komputer. Integritas data adalah keandalan dan konsistensi data di dalam sistem manajemen data organisasi. Akses ke komputer atau data oleh pihak yang tidak berwenang perlu ditanggulangi, karena terkait dengan integritas data, kerahasiaan, dan seluruh keamanan sistem.
Risiko menjadi semakin terbuka dan peluang ancamannya makin tinggi bila sistem informasinya menggunakan jaringan. Potensi ancaman hacker/cracker makin terbuka bila organisasi memakai jaringan publik.
1.
2.
3.
Penilaian Risiko (Risk Assessment);
Mengurangi Risiko (Risk Mitigation); dan Evaluasi Penilaian Risiko.
B. Batasan Pelaksanaan
Manajemen Risiko dapat dibagi kedalam 3 (tiga) proses utama, yaitu:
C. Referensi
National Institute Security Technology (NIST) Special Publication 800-30:
Risk Management Guide for Information Technology Systems.
D. Pihak yang Terkait 1.
2.
3.
Penanggungjawab TIK Kementerian Pekerjaan Umum dan Perumahan Rakyat;
Pimpinan Unit kerja eselon II di lingkungan Direktorat Jenderal Cipta Karya; dan
Penanggungjawab TIK Unit kerja eselon III dan Satker lingkungan Direktorat Jenderal Cipta Karya.
1. Penilaian Risiko (Risk Assessment)
Berikut ini adalah tahapan dalam mengurangi risiko : E. Tahapan Manajemen Risiko
a. Karakterisasi sistem mendefinisikan batasan pembahasan sistem TIK yang dibagi menjadi 2 (dua) bagian:
a)
Jaringan internal dan eksternal;
Data dan informasi;
Personil yang mendukung & menggunakan sistem TIK;
Sistem dan data yang bersifat kritis dan sensitif.
1) Lingkungan proses sistem informasi, yang terdiri dari:
a)
Kebutuhan fungsional dari sistem teknologi informasi;
Pengguna sistem;
Kebijakan keamanan sistem teknologi informasi;
Arsitektur keamanan sistem;
Topologi jaringan;
Perlindungan penyimpanan informasi;
Aliran informasi;
Pengendalian teknis (enkripsi);
Pengendalian manajemen (Aturan Perilaku);
Pengendalian operasional (back-up, lokasi cadangan);
Keamanan lingkungan (kelembaban, temperatur);
Lingkungan Keamanan Fisik.
2) Informasi lain yang masih berkaitan dengan lingkungan operasional dari sistem TIK, meliputi:
b. Identifikasi Ancaman
Merupakan kejadian yang memiliki potensi membahayakan sistem TIK. Sumber ancaman terbagi menjadi 3 (tiga) bagian:
1)
2)
Ancaman dari alam diantaranya: Banjir, Gempa Bumi, Badai, Tanah longsor;
Ancaman dari manusia diantaranya: Penyerangan terha-dap jaringan (hacker), akses dari orang yang tidak diotori-sasi terhadap informasi rahasia (industrial espionage);
e. Penentuan Kemungkinan (Likelihood): penentuan rating kemungkinan yang mengindikasikan probabilitas bahwa kelemahan sistem dapat ditembus, harus mempertimbangkan faktor motivasi sumber ancaman, kerentanan, dan keefektifan pengendalian yang ada. Ada 3 (tiga) tingkatan, yaitu:
1)
2)
3)
Tinggi: Sumber ancaman memiliki motivasi yang tinggi dan memiliki kemampuan yang cukup, pengendalian untuk mengatasi kelemahan dirasa kurang efektif;
Sedang: Sumber ancaman memiliki motivasi dan memiliki kemampuan yang cukup, pengendalian untuk mengatasi kelemahan dirasa cukup efektif; dan
Rendah: Sumber ancaman tidak memiliki motivasi dan 3) Ancaman dari lingkungan diantaranya: Aliran listrik yang
padam dalam jangka waktu yang lama, polusi, kebocoran cairan berbahaya.
d. Analisis Pengendalian
Menganalisa pengendalian yang telah diterapkan atau diren-canakan oleh organisasi untuk meminimalisir kemungkinan mun-culnya ancaman terhadap kelemahan sistem.
Metode Pengendalian terbagi menjadi 2 (dua) bagian:
Kategori Pengendalian terbagi menjadi 2 (dua) sub kategori:
1)
2)
Pengendalian Teknis: Mekanisme pengendalian hak akses, mekanisme dan identifikasi otentifikasi, metode enkripsi, software yang dapat mendeteksi penyusup;
Pengendalian Non-Teknis: Pengendalian operasional dan manajemen seperti kebijakan keamanan, prosedur opera-sional, dan keamanan lingkungan, dan fisik.
c. Identifikasi Ancaman
Kelemahan yang ada pada prosedur, perancangan, implementasi atau pengendalian internal.
1)
2)
Pengendalian Pencegahan: Pengendalian akses, enkripsi dan otentifikasi; dan
Pengendalian Detektif: Audit trails, metode deteksi penyusup dan checksums.
g. Penentuan Risiko
Penentuan risiko terhadap ancaman dan kelemahan dapat dinyatakan sebagai fungsi dari:
f. Analisis Dampak (Business Impact Analysis)
Dampak yang muncul dapat terbagi menjadi 3 (tiga) bagian:
Besarnya dampak dapat terbagi menjadi 3 (tiga) bagian:
Faktor-faktor lain yang perlu dipertimbangkan untuk besarnya dampak: frekuensi sumber ancaman, perkiraan biaya perbaikan, dan faktor pembobotan yang didasarkan pada analisis subjektif.
1)
2)
3)
Kehilangan Integritas: Integritas data dan sistem sangat berkaitan dengan perlindungan informasi dari perubahan yang salah. Kesalahan ini jika tidak diperbaiki akan berlanjut dan mencemari data lainnya sehingga meng-hasilkan ketidakakuratan data;
Kehilangan Ketersediaan: Sistem yang tidak berfungsi dapat menurunkan kinerja pengguna dan menghilangkan waktu yang produktif; dan
Kehilangan Kerahasiaan: Rahasia yang terbongkar dapat menghilangkan kepercayaan publik.
1)
2)
3)
Tinggi: Munculnya kelemahan dapat memberikan biaya kehilangan yang besar, dan sangat membahayakan terha-dap misi, kepentingan dan reputasi organisasi, terha-dapat pula mengakibatkan kematian dan kecelakaan yang parah pada manusia;
Sedang: Munculnya kelemahan dapat memberikan biaya kehilangan yang cukup, dan dapat membahayakan terha-dap misi, kepentingan dan reputasi organisasi, terha-dapat pula mengakibatkan kecelakaan pada manusia;
Rendah: Munculnya kelemahan dapat memberikan biaya kehilangan, dan dapat berpengaruh terhadap misi, kepentingan dan reputasi organisasi.
tidak memiliki kemampuan yang cukup, pengendalian untuk mengatasi kelemahan dirasa cukup efektif.
h.
i.
Rekomendasi Pengendalian untuk mengurangi tingkat risiko TIK dan data sampai ke tingkat yang dapat diterima. Beberapa faktor yang perlu dipertimbangkan dalam rekomendasi pengendalian adalah:
Dokumentasikan: Laporan hasil penilaian risiko agar dapat melibatkan pihak unit kerja eselon II, untuk memutuskan dalam kebijakan, prosedur, anggaran, dan perubahan manajemen dan operasional sistem.
1) 2 ) 3) 4) 5)
Keefektifan dari pilihan rekomendasi;
Peraturan Perundangan;
Kebijakan Organisasi;
Dampak Operasional; dan Keselamatan dan keandalan.
1)
2)
3)
Kemungkinan dari sumber ancaman yang menyerang terhadap kelemahan;
Besarnya dampak dari sumber ancaman yang berhasil menyerang terhadap kelemahan; dan
Kecukupan perencanaan atau pengendalian keamanan untuk mengurangi risiko.
Tingkat Risiko dan tindakan yang diperlukan dapat dibagi menjadi 3 (tiga) bagian:
1)
2)
3)
Tinggi: maka perlu dilakukan tindakan perbaikan dengan segera agar sistem yang ada dapat kembali beroperasi;
Sedang: maka perlu dilakukan tindakan perbaikan dan perencanan harus dibuat sehubungan dengan tindakan ini dengan jangka waktu yang memungkinkan; dan
Rendah: maka harus ditentukan tindakan perbaikan yang diperlukan atau memutuskan untuk menerima risikonya.
2. Mengurangi Risiko (Risk Mitigation)
Mengurangi Risiko adalah metodologi sistematis yang digunakan oleh pihak pimpinan manajemen untuk mengurangi risiko. Mengurangi Risiko dapat dicapai melalui beberapa pilihan pengurangan risiko sebagai berikut:
-Mengasumsikan Risiko. Menerima risiko yang ada dan melanjut-kan operasi sistem TIK atau menerapmelanjut-kan pengendalian untuk mengurangi risiko pada tingkat yang masih dapat diterima;
Menghindari Risiko. Menghindari risiko dengan menghilangkan penyebab risiko dan konsekuensinya;
Membatasi Risiko. Membatasi risiko dengan menerapkan pengendalian yang dapat meminimalkan dampak dari ancaman;
Merencanakan Risiko. Mengelola risiko dengan mengembangkan rencana pengurangan risiko yang memprioritaskan, menerapkan, dan memelihara pengendalian;
Meneliti Risiko. Memperkecil risiko kehilangan dengan melakukan penelitian pengendalian untuk memperbaiki kelemahan; dan
Memindahkan Risiko. Memindahkan risiko dengan menggunakan pilihan untuk mengganti kehilangan seperti membeli asuransi.
Berikut ini adalah tahapan dalam mengurangi risiko :
Melakukan prioritas tindakan: Berdasarkan tingkat risiko yang dihasilkan pada laporan penilaian risiko, tindakan penerapan perlu diutamakan. Kelemahan yang masih ada perlu diperbaiki untuk melindungi terhadap pencapaian misi organisasi;
Mengevaluasi pilihan pengendalian yang direkomendasikan:
Pengendalian yang direkomendasikan pada proses penilaian risiko mungkin tidak yang paling cocok dengan organisasi dan sistem TIK. Pada tahap ini, kelayakan dan keefektifan dari pilihan pengendalian yang direkomendasikan akan dianalisa.
Tujuannya untuk memilih pengendalian yang paling cocok dalam meminimalkan risiko;
Melakukan analisa keuntungan–biaya: Mengarahkan pihak manajemen dalam membuat keputusan dan mengidentifikasi pengendalian biaya yang efektif;
Memilih pengendalian: Pengendalian yang dipilih harus meng-gabungkan dari sisi manajemen, operasional dan teknikal untuk menjamin keamanan yang cukup bagi sistem TIK dan organisasi;
a.
b.
c.
d.
e.
f.
g.
Menunjuk Penanggungjawab: Penunjukkan personil yang cocok dan memiliki keahlian untuk menerapkan pengendalian yang telah dipilih;
Mengembangkan rencana penerapan perlindungan: yang memuat informasi tentang risiko, pengendalian yang direko-mendasikan, prioritas tindakan, rencana pengendalian yang dipilih, sumber daya yang diperlukan untuk penerapan pengendalian, daftar personil yang bertanggungjawab, waktu mulai penerapan, target waktu penyelesaian, dan kebutuhan pemeliharaan; dan
Menerapkan Pengendalian yang telah dipilih dan direkomendasi-kan pada langkah d. dan f.
3. Evaluasi Penilaian Risiko
Proses manajemen risiko harus terintegrasi dengan pengembangan sistem informasi untuk mendukung misi dan tujuan bisnis organisasi.
Proses evaluasi penilaian risiko diulang setiap 2 (dua) tahun.