1
BAB I PENDAHULUAN
1.1. Latar Belakang
Saat ini teknologi informasi telah menjadi bagian yang memegang peranan penting dalam berbagai kegiatan industri (Ariani, 2006). Banyak kemudahan yang diberikan oleh teknologi informasi pada aspek kegiatan bisnis (McLeod, 1997). Teknologi informasi sendiri dapat dipahami sebagai teknologi untuk melakukan pengelolaan informasi yang dititikberatkan pada penggunaan sarana berupa komputer. Dengan adanya teknologi informasi yang mendukung suatu industri, maka kebutuhan informasi akan dapat dipenuhi dengan cepat, tepat waktu, relevan, dan akurat (Wilkinson dan Cerullo, 1997).
Selain industri secara umum, sektor publik atau pemerintahan pun saat ini turut mengimplementasikan teknologi informasi pada kegiatan-kegiatan dalam pelayanan kepada masyarakat. Khusus di Indonesia, hal ini ditandai dengan adanya Instruksi Presiden Nomor 3 Tahun 2003 tentang Kebijakan dan strategi Nasional Pengembangan e- Government. Instruksi yang ditujukan kepada seluruh pemimpin instansi pemerintahan ini secara umum memerintahkan untuk mengambil langkah dalam melaksanakan pengembangan e-Government. Hal ini dilakukan dengan pertimbangan adanya pemanfaatan teknologi informasi dalam proses pemerintahan akan meningkatkan efisiensi, efektifitas, transparansi, dan akuntabilitas instansi-instansi tersebut.
E-Government dapat dipahami sebagai suatu sistem informasi terkomputerisasi (elektronik) khusus yang fokus pada kegiatan pemerintahan. Kembali merujuk pada hakikat sistem informasi sendiri yaitu, suatu kombinasi teratur dari orang-orang, hardware, software, jaringan komunikasi dan sumberdaya data yang mengumpulkan, mengubah dan menyebarkan informasi dalam sebuah organisasi (O‟Brien, 2002).
Sedangkan yang dimaksud dengan terkomputerisasi adalah kegiatan-kegiatan
transformasi data menjadi informasi maupun penyebarannya dilakukan dengan adanya
bantuan komputer atau teknologi informasi.
2
Informasi sebagai obyek yang dikelola dalam sistem informasi atau teknologi informasi diklasifikasikan sebagai salah satu aset inti dalam bisnis (COBIT 4.1, ISACA 2007). Hal ini menyangkut kritikalitas sebuah informasi sendiri yang dapat memberikan banyak manfaat baik dalam kegiatan operasional maupun pengambilan keputusan. Maka dari itu informasi sebaiknya selalu dijaga dengan kriteria yang dapat ditinjau dari tiga aspek yaitu kerahasiaan, ketersediaan, dan integritas (James Michael Stewart, et al, 2008).
Sistem informasi secara umum maupun pada pemerintahan khususnya sangat rentan terhadap berbagai ancaman yang dapat berakibat pada kegagalan sistem. Yang berimplikasi pada terhambatnya kegiatan pengelolaan dan distribusi informasi. Hal ini tentu akan berimbas pada proses bisnis dapat tidak berjalan dengan sebagaimana mestinya. Secara periodik, sistem informasi harus diberi perlindungan agar resiko fungsional tidak terjadi. Dalam implementasinya, selain resiko semua kegiatan penerapan kontrol keamanan harus disesuaikan dengan berbagai kebijakan terkait teknologi informasi/sistem informasi maupun keamanan informasi, serta rencana strategis (Harris, 2007).
Dengan adanya perlindungan terhadap resiko, memberikan urgensi untuk perlu dilakukannya pemeriksaan terhadap implementasi perlindungan secara periodik sebagai proses identifikasi ada atau tidaknya ketidaksesuaian dari operasional dengan kebijakan yang berlaku. Hasil dari pemeriksaan ini juga dapat dipergunakan untuk memberikan saran perbaikan pada standar implementasi perlindungan di masa mendatang. Penerapan keamanan sistem informasi sering tidak diperhatikan karena beberapa hal berikut; (1) Permasalahan biaya, (2) Pengurangan kenyamanan pada sisi user, (3) Penambahan tanggung jawab untuk administrator sistem (4) Dianggap hanya merupakan kebutuhan dari perusahaan besar (Ariani, 2006).
Kementerian Pertanian RI merupakan salah satu kementerian yang telah menerapkan dukungan teknologi informasi untuk membantu proses pemerintahannya.
Kementerian ini telah mengimplementasikan berbagai sistem informasi sejak turunnya
instruksi presiden seperti implementasi web portal Kementerian pertanian, sistem
monitoring pupuk dan benih, serta kerja sama dengan vendor telekomunikasi dan aplikasi
dalam mengembangkan aplikasi informasi pertanian. Sejak tahun 2005 Kementerian
3
Pertanian RI selalu masuk sebagai tiga besar departemen atau lembaga pemerintah yang telah menerapkan e-government/teknologi informasi sebagai alat untuk berhubungan dengan masyarakat dan pengguna jasa pada Warta Ekonomi e-Government Award.
Bahkan untuk tahun 2008 hingga 2010, kementerian keluar sebagai juara pertama ajang penghargaan ini untuk kategori yang sama. Bagian yang memiliki tanggung jawab dalam pengelolaan atas sistem informasi yang ada adalah Pusat Data dan Sistem Informasi Pertanian (Pusdatin) yang bernaung di bawah Sekretariat Jenderal Kementerian.
Dukungan TI ini tentu memberikan tantangan baru bagi Kementerian Pertanian dalam hal keamanan sistem informasi. Keamanan sistem informasi yang perlu diperhatikan Kementerian Pertanian RI adalah (1) Adanya proses yang bergantung pada teknologi informasi, (2) Adanya data atau informasi kritis yang didistribusikan dalam sistem (data serangan hama, data distribusi benih dan pupuk, afiliasi, dan lain sebagainya), (3) Teknologi informasi yang berkembang menjadi semakin kompleks, (4) Sistem informasi yang menjadi lebih terbuka dengan adanya internet, dan (5) Sentralisasi basis data.
Berdasarkan wawancara awal, didapatkan beberapa kejadian keamanan yang
pernah terjadi pada Pusdatin, yaitu (1) terjadinya kegagalan pada suatu kegiatan demo
aplikasi yang berakibat pada disalahkannya Pusdatin atas insiden tersebut, padahal yang
terjadi sebenarnya adalah kegagalan koneksi internet dari hotel tempat demo tersebut
berlangsung; (2) Pada pertengahan tahun 2011 terdapat praktek spoofing yang berhasil
melakukan flooding jaringan intranet kantor pusat Deptan hingga terjadi berhentinya
layanan. Selain isu keamanan, adanya instruksi menteri pertanian mengenai reformasi
birokrasi, juga menuntut Pusdatin agar berbenah diri. Reformasi birokrasi yang dimaksud
adalah peningkatan kinerja layanan serta transparansi birokrasi pemerintahan. Untuk
mencapai hal tersebut, Pusdatin bertekad untuk mendapatkan akreditasi ISO 9001 terkait
penjaminan mutu. Menurut BSI Management System, organisasi yang memberikan
layanan TIK dapat menggunakan cara alternatif untuk terakreditasi ISO 9001, yaitu
dengan pendekatan bottom-up pemenuhan dua aspek teknis TIK, keamanan menggunakan
ISO 27001 dan pelayanan menggunakan ISO 20000. Dari kedua isu tadi, diketahui bahwa
diperlukan adanya pemeriksaan sebagai tindak lanjut atas hasil observasi awal. Maka dari
itu, pada penelitian ini akan dilakukan audit untuk memeriksa sejauh apa penerapan
4
kontrol keamanan untuk memenuhi ISO 9001 menggunakan standar ISO 27001. ISO 27001 merupakan pengembangan dari ISO 17799 yang merupakan standar terkait ISMS (Information Securirty Management System).
Gambar I.1. ISO 20000 dan ISO 27001 untuk Memenuhi ISO 9001
Selain itu pada gambar I.2, sebuah penelitian lain yang dilakukan oleh Global
Status Report on the Governance of Enterprise IT (GEIT) tahun 2011 juga menunjukkan
bagaimana ISO 27000 merupakan standar yang diakui dan banyak digunakan. Ini
ditunjukkan dari presentase penggunaan ISO 27000 sebanyak 21% dan berada pada posisi
ke-2 ketika dibandingkan dengan standar-standar dan framework-framework IT lainnya
.5
Gambar I.3. Posisi ISO 27000 sebagai TOP 5 IT Governance Framework
ISO 27000 merupakan pengembangan dari standar sebelumnya yaitu ISO 17799 yang merupakan framework berisi code of practice untuk implementasi ISMS. Selain framework ini, terdapat berbagai framework keamanan informasi lain yang umum digunakan seperti SAS70 (Statement on Auditing Standards No. 70) dan PCI DSS (PCI Data Security Standards). Dari suatu komparasi yang dilakukan terhadap framework- framework tersebut diketahui bahwa ISO 27000/17799 memiliki area pembahasan terkait keamanan informasi yang lebih lengkap (lihat gambar I.2). Area yang dimaksud adalah aspek-aspek keamanan informasi pada organisasi seperti kontrol akses, pengembangan aplikasi, manajemen aset, operasional, komunikasi, kepatuhan, tata kelola, kastemer, manajemen insiden, operasional TI, outsourcing, fisik dan lingkungan, prosedur dan kebijakan, privasi dan sekuriti.
Tabel I.1. Data komparasi dari beberapa Framework keamanan (http://www.itservicestrategy.com)
Pada audit ini dilakukan penentuan tingkat kematangan proses keamanan
informasi yang ada. Pengukuran yang digunakan akan merujuk kepada Information
Security Management Maturity Model (ISM3). Penerapan metode ini dilakukan karenaISO 27001 merupakan standar kebutuhan kontrol keamanan informasi yang tidak
6
menjelaskan bagaimana proses tersebut dievaluasi. Maka menurut Sarno dan Iffano (2009) ISM3 yang paling memiliki kompetensi untuk disandingkan dengan ISO/IEC 27001 sebagai penilaian. Nilai lebih dari metode, menurut ini juga karena pengukuran yang dimiliki dapat menentukan sejauh mana organisasi sesuai dengan standar ISO 9001 dan ISO 27001.
Teknis pelaksanaan dari audit keamanan sistem informasi ini akan menggunakan rencana strategis Kementerian Pertanian RI dan kebijakan terkait sebagai referensi untuk sisi tata kelola (governance). Serta pengumpulan data pendukung dalam bentuk observasi langsung dan wawancara untuk kegiatan operasional. Hasil dari audit yang dilakukan ini berupa rekomendasi perbaikan yang nantinya diharapkan akan dapat dijadikan acuan dalam pengembanganan sistem manajemen keamanan informasi pada Pusdatin. Sehingga akan meningkatkan performansi pelayanan Kementerian Pertanian RI kepada masyarakat dilihat dari sisi keamanan sistem informasi.
1.2. Perumusan Masalah
Penelitian berupa audit keamanan informasi ini diharapkan akan menjawab permasalahan-permasalahan berikut ini:
1. Bagaimana mengukur tingkat kemampuan kontrol keamanan informasi sesuai ISM3 dari hasil audit berbasis ISO 27001 yang dilakukan?
2. Bagaimana menentukan tingkat kematangan penerapan keamanan informasi sesuai ISM3 dari hasil pengukuran tingkat kemampuan yang dilakukan?
3. Bagaimana menentukan rekomendasi yang tepat untuk mengurangi gap kematangan kondisi keamanan informasi Pusdatin saat ini dengan yang diharapkan?
1.3. Tujuan
Penelitian berupa audit keamanan informasi ini memiliki tujuan-tujuan yang harus dicapai sebagai berikut:
1. Mengukur tingkat kemampuan kontrol keamanan informasi sesuai ISM3 dari hasil
audit berbasis ISO 27001 yang dilakukan.
7
2. Menentukan tingkat kematangan penerapan keamanan informasi sesuai ISM3 dari hasil pengukuran tingkat kemampuan yang dilakukan.
3. Menentukan rekomendasi yang tepat untuk mengurangi gap kematangan kondisi keamanan informasi Pusdatin saat ini dengan yang diharapkan
1.4. Manfaat
Penelitian berupa audit keamanan informasi ini akan menghasilkan manfaat- manfaat sebagai berikut:
1. Memberikan informasi mengenai kondisi keamanan informasi pada Kementerian Pertanian RI
2. Memberikan informasi sebagai landasan pembuatan kebijakan keamanan informasi pada Kementerian Pertanian RI
3. Menjaga kinerja pelayanan kepada masyarakat dengan terjaganya performansi sistem informasi ditinjau dari sisi keamanan
4. Membantu Pusdatin dalam menerapkan ISO 27000 dan ISO 9001
1.5. Batasan Penelitian
