EVALUASI MANAJEMEN KEAMANAN INFORMASI
MENGGUNAKAN INDEKS KEAMANAN INFORMASI (KAMI)
PADA KANTOR WILAYAH DITJEN PERBENDAHARAAN
EVALUASI MANAJEMEN KEAMANAN INFORMASI MENGGUNAKAN INDEKS KEAMANAN
INFORMASI (KAMI) PADA KANTOR WILAYAH DITJEN PERBENDAHARAAN NEGARA JAWA TIMUR
Outline Latar Belakang Perumusan masalah Batasan masalah Tujuan Metodologi Analisis data hasil dan pembahasan
Latar Belakang Keputusan Menteri Keuangan Nomor 479/KMK.01/2010 tentang Kebijakan dan Standar Sistem Manajemen Keamanan Informasi di Lingkungan Kementerian Keuangan. Masalah yang paling penting di dalam pelaksanaan Sistem Manajemen Keamanan Informasi (SMKI) adalah melakukan evaluasi terhadap pelaksanaan SMKI yang diistilahkan monitor and review. Evaluasi pengelolaan keamanan informasi berdasarkan Panduan Penerapan Tata Kelola Keamanan Informasi bagi Penyelenggara Pelayanan Publik yang menjadi dasar penggunaan indeks KAMI mengharuskan adanya pelaksanaan Gap Analysis. Evaluasi pengelolaan keamanan informasi juga bisa
menggunakan form CPAR (Corrective, Preventive, Action and Report) dengan mengacu kepada Kaidah PLOR (Problem, Location, Objective and Reference).
Rumusan masalah
Berapa nilai evaluasi dalam pengelolaan keamanan serta tingkat kematangan keamanan Teknologi Informasi pada Kanwil DJPBN Jawa Timur?
Bagaimana rekomendasi atas hasil analisis faktor penyebab dan faktor pendukung penerapan pengelolaan keamanan informasi pada Kanwil DJPBN Jawa Timur berdasarkan hasil evaluasi Indeks KAMI?
Batasan masalah Evaluasi yang dilakukan menggunakan penilaian Indeks Keamanan Informasi (KAMI) Kementerian Kominfo Lingkup evaluasi pengelolaan keamanan informasi meliputi pula tingkat kematangan dalam penerapan pengelolaan keamanan informasi Evaluasi faktor penyebab dan faktor pendukung penerapan keamanan informasi dilakukan berdasarkan kaidah PLOR
(problem, location, objective dan reference) terkait dengan status penerapan beberapa aspek pada indeks KAMI
Lingkup penilaian hanya pada pengelolaan keamanan informasi yang ditangani oleh Kanwil DJPBN Jawa Timur saja. Tugas akhir tidak mengevaluasi pengelolaan keamanan secara teknis namun hanya dari sisi pengelolaan atau manajemen berdasarkan tata kelola, kerangka kerja, pengelolaan aset, dan teknologi apa yang tercakup dalam pengendalian keamanan pada Kanwil DJPBN Jawa Timur
Tujuan Mendapatkan hasil penilaian mengenai pengelolaan keamanan TI pada Kanwil DJPBN Jawa Timur.
Mengetahui tingkat kematangan pengelolaan keamanan teknologi informasi pada Kanwil DJPBN Jawa Timur.
Mendapatkan rekomendasi atas hasil analisis faktor penyebab dan faktor pendukung dalam pengelolaan keamanan informasi
Memberikan masukan dalam rangka peningkatan kualitas pengelolaan keamanan informasi pada Kanwil DJPBN Jawa Timur.
Indeks KAMI Indeks KAMI adalah alat evaluasi untuk menganalisis tingkat kesiapan pengamanan informasi di instansi pemerintah. Alat evaluasi ini tidak ditujukan untuk menganalisis kelayakan atau efektivitas bentuk pengamanan yang ada, melainkan sebagai perangkat untuk memberikan
gambaran kondisi kesiapan (kelengkapan dan kematangan) kerangka kerja keamanan informasi kepada pimpinan Instansi
Masukan · · ·
Proses Bisnis Infrastruktur IT Dokumen Pengelolaan Keamanan IT
Proses (Subbab 3.1) Pemahaman kondisi eksisting pengelolaan keamanan informasi
Masukan · · ·
Proses (Subbab 3.2 & 3.3)
Data Informasi Dokumen pendukung pelaksanaan Indeks KAMI
Masukan Indeks Keamanan Informasi (KAMI) Kominfo
Masukan
Skor Nilai Kesiapan Pengamanan Informasi
Masukan
Nilai Pengamanan Informasi sesuai kondisi eksisting
Masukan Hasil Pembahasan Pengelolaan Keamanan Informasi
·
Keluaran · · ·
Data Informasi Dokumen pendukung pelaksanaan Indeks KAMI
Keluaran
Studi Literatur Studi Lapangan
Relevansi Data, Informasi dan Dokumen
Proses (Subbab 3.4)
Keluaran
Uji Kesiapan Menggunakan Indeks KAMI
Skor Nilai Kesiapan Pengamanan Informasi
Keluaran
Penilaian Aspek Kepatuhan
Nilai Pengamanan Informasi sesuai kondisi eksisting
Proses (Subbab 3.6)
Keluaran
Analisis dan Pembahasan
Pemahaman Kondisi Kematangan Pengelolaan Keamanan Informasi
Proses (Subbab 3.7)
Keluaran
Dokumentasi semua proses dalam Buku Tugas Akhir
Buku Tugas Akhir
·
metodologi
Analisis data Seluruh pertanyaan yang ada dalam setiap area dikelompokkan menjadi 3 (tiga) kategori pengamanan, sesuai dengan tahapan dalam penerapan standar ISO/IEC 27001 Pertanyaan yang terkait dengan kerangka kerja dasar keamanan informasi masuk dalam kategori “ 1 "
Pertanyaan terkait efektivitas dan konsistensi penerapan didefinisikan sebagai kategori “ 2 “.
Pertanyaan yang merujuk pada kemampuan untuk selalu meningkatkan kinerja keamanan informasi adalah kategori “ 3 ".
Analisis data
Pada ketiga kategori pertanyaan tersebut, responden kemudian diminta untuk menjawab setiap pertanyaan dengan pilihan status penerapan : a. Tidak dilakukan b. Dalam Perencanaan; c. Dalam penerapan atau diterapkan sebagian; d. Diterapkan secara menyeluruh
Analisis data
Kategori Pengamanan
Analisis data Tingkat Kematangan Tingkat I : Kondisi Dasar (Reaktif) Tingkat II : Penerapan
Kerangka Dasar (Aktif) Tingkat III : Terdefinisi dan Konsisten (Proaktif). Tingkat IV : Terkelola dan Terstruktur (Terkendali).
Tingkat V : Optimal (Optimal).
Analisis data
Indikator dalam aspek penilaian
Analisis data Penilaian Aspek Kepatuhan Pembandingan skor indeks KAMI Kanwil DJPBN Jawa Timur dengan semua bukti nyata berdasarkan kondisi keamanan informasi yang ditangani Kanwil DJPBN Jawa Timur saat ini Data pendukung aspek kepatuhan yang dilakukan pada tugas akhir ini antara lain : • Hasil observasi langsung • Dokumentasi • Daftar perundang-undangan dan dokumen tertulis lainnya terkait pengelolaan keamanan informasi
Analisis data
Penilaian Aspek Kepatuhan
Area
Self Assestment 40 423
Peran TIK Nilai 5 Area
Perhitungan Nilai
Self Assestment 423 100% = 72% 588
Objective Assestment 36 337
Objective Assestment 337 100% =57.31% 588
Analisis data
Penilaian Aspek Kepatuhan
Hasil skor peran tik
Hasil Skor : 36 Dari hasil di atas menunjukkan bahwa tingkat ketergantungan Kanwil DJPBN Jawa Timur akan kebutuhan TIK bernilai tinggi Hal ini menunjukkan bahwa tingkat kebutuhan TIK sebagai layanan Penganggaran dan Perbendaharaan sangat diperhitungkan
Hasil SKOR peran tik Kanwil djpbn jawa timur Status Ketergantungan Terendah
Tertinggi Klasifikasi 0 12 Rendah 13
24 Sedang 25 36 Tinggi 37 48 Kritis
Hasil skor tata kelola
Kategori Kontrol (Tahap) 1 2 3 Total Pertanyaan
Tata Kelola Keamanan
Nilai
8 6 6
16 24 21
20
61
Pertanyaan Tata Kelola Kategori Tingkat Kematangan II III IV Total Pertanyaan
Nilai Tingkat validitas kematangan
11 3 6
28 12 21
20
61
Y N N
Hasil skor tata kelola Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 28 Untuk memperoleh tingkat valid kematangan >II, jumlah skor pertanyaan Kategori Kematangan II harus mencapai 80% (33,6) Pengamanan sudah diterapkan walaupun belum adanya keterkaitan langkah pengamanan untuk mendapatkan strategi yang efektif
Hasil skor pengelolaan risiko Pengelolaan Risiko
Nilai
Kategori Kontrol (Tahap) 18
1 9 2 4 3 Total Pertanyaan 2 12 15 46 16
Pengelolaan Risiko Kategori Tingkat Kematangan II III IV V Total Pertanyaan
Nilai Tingkat validitas kematangan
9 2 2 2
18 8 8 12
15
46
Y N N N
Hasil skor pengelolaan risiko
Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 18 Untuk memperoleh tingkat valid kematangan >II, jumlah skor pertanyaan Kategori Kematangan II harus mencapai 80% (21,6) Bentuk pelaksanaan secara keseluruhan belum dinilai efektifitasnya
Hasil skor kerangka kerja
Pengelolaan Kerangka Kerja Nilai 11 8 7 21 22 0 26 43
Pengelolaan Kerangka Kerja Kategori Tingkat Kematangan II III IV V Total Pertanyaan
Nilai Tingkat validitas kematangan
10 11 3 2
24 19 0 0
26
43
Y N N N
Hasil skor kerangka kerja
Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 24 Untuk memperoleh tingkat valid kematangan >II, jumlah skor pertanyaan Kategori Kematangan II harus mencapai 80% (28,8) Langkah pengamanan operasional yang diterapkan bergantung kepada pengetahuan dan motivasi individu pelaksana
Hasil skor pengelolaan aset
Kategori Kontrol (Tahap) 1 2 3 Total Pertanyaan
Pengelolaan Aset Nilai 21 9 4 46 42 21 34 109 Pengelolaan Aset
Nilai
Kategori Tingkat Kematangan II III Total Pertanyaan
Tingkat validitas kematangan 26 8
72 37
34
109
Y N
Hasil skor pengelolaan aset Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 72 Untuk memperoleh tingkat valid
kematangan >II, jumlah skor pertanyaan Kategori Kematangan II harus mencapai 80% (74,4) Kelemahan dalam manajemen pengamanan masih banyak ditemukan dan tidak dapat diselesaikan dengan tuntas oleh pelaksana maupun pimpinan
Hasil skor keamanan teknologi Pengelolaan Teknologi Kategori Kontrol (Tahap) 1 2 3 Total Pertanyaan Nilai 13 10 1 28 44 6 24 78
Pengelolaan Teknologi Kategori Tingkat Kematangan II III IV Total Pertanyaan
Nilai Tingkat validitas kematangan
13 10 1
28 44 6
24
78
Y N N
Hasil skor keamanan teknologi
Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 28 Untuk memperoleh tingkat valid kematangan >II, jumlah skor
pertanyaan Kategori Kematangan II harus mencapai 80% (31,2) Bentuk pengamanan secara belum dinilai efektifitasnya
keseluruhan
Hasil skor 5 area Validitas
Validitas Status
Tata Kelola
Yes I
Pengelolaan Risiko
Kerangka Kerja
Tingkat Kematangan I Yes Yes I I
Pengelolaan Aset Teknologi Yes I Yes I Ye II Yes II No No No II
Tingkat Kematangan II Validitas Status
Yes II
Yes II
Yes II
Tingkat Kematangan III Validitas Status
No No
No No
Tingkat Kematangan IV Validitas Status Status Akhir No No No No No No No No No No II II II II II
Hasil skor 5 area
Hasil skor 5 area Untuk menuju ke tingkat kematangan yang lebih tinggi, maka 3 aspek yang peningkatan yang dibutuhkan :
Kerangka kerja dasar, contoh : SFO, kebijakan, prosedur, juklak dan juknis mengenai keamanan informasi Konsistensi penerapan, contoh : formulir, checklist monitoring, laporan, dll Upaya peningkatan kinerja keamanan, contoh : sosialisasi, tes online, evaluasi untuk efektivitas pelaksanaan pengamanan
Form cpar KEMENTERIAN KEUANGAN REPUBLIK INDONESIA
DIREKTORAT JENDERAL PERBENDAHARAAN KANTOR WILAYAH PROVINSI JAWA TIMUR GKN Surabaya I Jl. Indrapura No.5 Surabaya 60175 Telp. (031) 3523093 Fax. (031) 3558640
Section 1 : Obyek Pimpinan Instansi anda secara prinsip dan resmi bertanggungjawab terhadap pelaksanaan program keamanan informasi (misal yang tercantum dalam ITSP), termasuk penetapan kebijakan terkait Diajukan oleh : Disetujui oleh : Tanggal : Nama & TTD (Mustaqim Siga) Kepala Bagian Umum Section 2 : Penyebab / Pendukung Pimpinan intansi dalam hal ini Kepala Kanwil dan Kepala Bagian Umum serta Kepala Bidang secara resmi bertanggung jawab terhadap pelaksanaan pengamanan informasi, namun untuk lebih spesifik pada kebijakan keamanan secara teknis belum dirinci. Diajukan oleh : Disetujui oleh : Tanggal : Nama & TTD (Mustaqim Siga) Kepala Bagian Umum Section 3 : Usulan tindakan perbaikan Sebagai pengimplementasian KMK 479/KMK.01/2010 maka diharapkan dibentuk fungsi dan kewenangan tertulis untuk Chief Information Security Officer Eselon II, Information Security Manager Eselon II dan Tim Keamanan Informasi secara formal pada Kanwil DJPBN yang bertanggungjawab kepada Kepala Kanwil DJPBN Jawa Timur. Dibentuk suatu Dokumen Kebijakan Keamanan Informasi sebagai penjabaran atas Kebijakan Keamanan Informasi sebagaimana tertuang dalam KMK.479/KMK.01/2010, dipublikasikan dan dikomunikasikan kepada seluruh pegawai dan pihak-pihak lain yang
kesimpulan Dari aspek penilaian peran TIK khususnya peran teknologi informasi bagi Kanwil DJPBN, menunjukkan bahwa kebutuhan TIK bagi institusi ini relatif tinggi yang menandakan peran vital TIK bagi pelaksanaan perbendaharaan (skor 36 dari 48). Status kesiapan pengelolaan keamanan
informasi yang meliputi kelengkapan perangkat keamanan pada 5 area yakni Tata Kelola,
Pengelolaan Risiko, Kerangka Kerja, Pengelolaan Aset, dan Teknologi dinilai masih perlu adanya perbaikan (skor 337 dari nilai maksimal 588).
Berdasarkan status kesiapan yang terlihat dari skor akhir pengelolaan keamanan informasi, maka pengelolaan keamanan informasi dinyatakan masih perlu adanya perbaikan dalam memenuhi standarisasi ISO/IEC 27001:2005 terlebih pada efektifitas pelaksanaan kerangka kerja keamanan informasi.
Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Tata Kelola Memperbaiki beberapa kelemahan dalam sistem manajemen tata kelola sehingga dapat menghasilkan dampak signifikan terhadap pengelolaan keamanan informasi
Efektivitas pengamanan dievaluasi berkala melalui proses yang terstruktur Meningkatkan poin-poin tata kelola keamanan yang sudah mematuhi ambang batas minimum pada area tata kelola
Meningkatkan kesadaran semua pihak baik pimpinan, pelaksana dan pihak ketiga untuk menyadari tanggungjawab pengelolaan keamanan
Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Risiko Merencanakan dan menerapkan seluruh pengelolaan risiko menjadi bagian dari kriteria penilaian efektifitas pengamanan terhadap semua layanan perbendaharaan Kanwil DJPBN Merencanakan dan mengevaluasi secara menyeluruh terhadap program pengelolaan risiko keamanan yang akan dilaksanakan
Melaksanakan dokumentasi peningkatan langkah mitigasi yang diterapkan untuk mengetahui kondisi perkembangan penanganan dan pengendalian risiko
Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Kerangka Kerja
Merencanakan dan menerapkan kebijakan dan prosedur keamanan informasi terhadap semua aktifitas teknologi informasi Merencanakan dan menerapkan proses pengembangan rencana
pemulihan bencana terhadap layanan TIK (teknologi informasi komunikasi) yang sudah didefinisikan komposisi, peran, wewenang dan tanggungjawabnya Melaksanakan dokumentasi dan pelaporan terhadap penerapan kerangka kerja pengelolaan keamanan informasi secara berkala
Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Aset
Merencanakan dan melaksanakan secara menyeluruh tata tertib pengamanan komputer, email, intranet dan internet serta pertukaran data dan informasi
Merencanakan dan menerapkan secara menyeluruh proses penerapan definisi tingkatan akses dan matrix yang merekam alokasi akses Melaksanakan pengendalian dan evaluasi secara menyeluruh terhadap aset informasi dan dokumentasi terhadap semua aktifitas pengelolaan keamanan aset informasi
Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Teknologi Merencanakan penerapan secara menyeluruh pada proses konfigurasi standar untuk keamanan sistem bagi keseluruhan asset informasi dan perangkat jaringan yang dimutakhirkan Merencanakan dan menerapkan secara menyeluruh proses pengamanan untuk mendeteksi dan mencegah akses jaringan yang tidak resmi
Melaksanakan secara menyeluruh dokumentasi dan pelaporan terhadap segala aktifitas pengelolaan TIK (teknologi informasi komunikasi)
