Dalam hal kewajiban pelaksanaan audit keamanan informasi di industri perbankan yang dipersyaratkan oleh Bank Indonesia (BI) kepada institusi perbankan atau perusahaan financial technology (fintech) di Indonesia, tak ada ketentuan khusus atau keharusan untuk menggunakan standarisasi atau framework keamanan informasi tertentu. Sepanjang ruang lingkup yang diperyaratkan oleh BI dalam Peraturan Bank Indonesia tsb dapat tercakupi.

Informasi lebih lanjut mengenai layanan PT. NetSolution, bisa mengontak Tim Sales kami melalui formulir isian di LINK INI. Mohon maaf, kami hanya menindaklanjuti permintaan presentasi, meeting, penawaran dan proposal setelah menerima form yang telah diisi dengan lengkap.

Keamanan dan Kehandalan Sistem

Oleh karena itu, framewok sistem manajemen keamanan informasi dapat digunakan sebagai perangkat untuk melakukan audit sistem manajemen keamanan informasi di industri perbankan dengan melakukan penyesuaian ruang lingkup sesuai syarat BI terkait keamanan dan kehandalan sistem seperti yang tercantum pada Peraturan Bank Indonesia No.20/6/PBI/2018 tentang Uang Elektronik. Dimana dalam peraturan tersebut keamanan dan kehandalan sistem meliputi:

• Keamanan operasional
• Keamanan jaringan, aplikasi, dan sistem
• Keamanan dan integritas data atau informasi
• Keamanan fisik dan lingkungan, termasuk kontrol terhadap akses sistem dan data
• Manajemen perubahan sistem
• Manajemen implementasi sistem
• Prosedur tertulis terkait keamanan teknologi

Kesemua persyaratan tersebut dapat difasilitasi dengan menggunakan framework keamanan informasi seperti: ISO27001, NIST Cybersecurity,dsb. Framework tsb selain menjadi standarisasi dalam penerapan sistem manajemen keamanan informasi dapat pula digunakan sebagai pedoman audit keamanan informasi.

Cakupan Audit Keamanan Informasi di Industri Keuangan

Bagi perusahaan perbankan atau financial technology, ruang lingkup audit keamanan informasi menurut Bank Indonesia paling kurang meliputi pemenuhan aspek keamanan dan keandalan sistem dan/atau jaringan sebagaimana berikut di bawah ini:

1. Adanya sistem keamanan teknologi yang dilakukan secara efektif dan efisien dengan memperhatikan kepatuhan terhadap ketentuan yang berlaku, yang paling kurang memenuhi prinsip-prinsip:
   • Kerahasiaan data
   • Integritas sistem dan data
   • Dua faktor otentifikasi sistem dan data.
   • Pencegahan terjadinya penyangkalan transaksi yang telah dilakukan
   • Ketersediaan sistem.
2. Cakupan security audit paling kurang meliputi aspek teknologi informasi dan aspek bisnis;
3. Adanya sistem dan prosedur untuk melakukan audit trail;
4. Adanya kebijakan dan prosedur internal untuk sistem dan Sumber Daya Manusia (SDM);
5. Adanya business continuity plan (BCP) yang dapat menjamin kelangsungan penyelenggaraan Uang Elektronik. BCP tersebut meliputi tindakan preventif maupun contingency plan (termasuk penyediaan sarana back-up) jika terjadi kondisi darurat atau gangguan yang mengakibatkan sistem utama penyelenggaraan Uang Elektronik tidak dapat digunakan.
6. Audit teknologi informasi tersebut meliputi pula pemenuhan aspek keamanan dan keandalan sistem dan/atau jaringan terhadap keamanan dan keandalan sistem atau jaringan pemohon yang digunakan oleh pihak lain.

Cakupan audit tsb dapat tercover dengan baik oleh ISO27001:2013, NIST Cybersecurity Framework, maupun COBIT 5 for Information Security. Jadi kita bisa menggunakan kerangka atau standarisasi tersebut karenanya kesemuanya bisa digunakan dengan memilih ruang lingkup yang disyaratkan oleh PBI.

Kontak Kami 

PT. NetSolution telah memiliki pengalaman dalam melaksanakan audit keamanan dan kehandalan sistem untuk perusahaan fintech yang mengajukan perizinan ke Bank Indonesia. Informasi lebih lanjut mengenai produk dan layanan kami, silahkan menghubungi kami dengan mengklik  dan mengisi form kontak kami ini. Kami akan segera menindaklanjuti permintaan Anda sesuai jam operasional kantor.***

Link terkait:

• Portofolio Jasa Konsultasi dan Audit Teknologi Informasi
• Jasa Konsultan Enterprise Architecture
• Jasa Konsultan Tata Kelola TI
• Jasa Konsultan Tata Kelola Data
• Jasa Konsultan IT Governance
• Jasa Konsultan Sistem Manajemen Keamanan Informasi
• Jasa Konsultan Sistem Manajemen Layanan TI
• Jasa Konsultan IT Service Management
• Jasa Konsultan Transformasi Digital
• Jasa Konsultan RSTI
• Jasa Konsultasi IT Master Plan
• Jasa Asesmen IT Maturity Level
• Jasa Konsultan Solusi ERP
• Jasa Konsultan Integrated Management System
• Jasa Konsultan Pelindungan Data Pribadi

Sistem Manajemen Keamanan Informasi (SMKI) adalah pendekatan sistematis dalam mengelola informasi perusahaan agar tetap aman dan terlindungi dari berbagai ancaman, baik dari dalam maupun luar organisasi. SMKI bertujuan untuk menjaga kerahasiaan, integritas, dan ketersediaan informasi melalui serangkaian kebijakan, prosedur, dan kontrol teknis. Dengan menerapkan SMKI secara efektif, organisasi dapat memastikan bahwa informasi penting terlindungi dari akses yang tidak sah, manipulasi, maupun kehilangan data, sekaligus mematuhi regulasi yang berlaku.

Mengapa Organisasi Perlu Menerapkan SMKI

Dalam dunia bisnis modern yang sangat bergantung pada data, menerapkan SMKI bukan lagi pilihan, melainkan kebutuhan strategis. Keamanan informasi yang buruk dapat menyebabkan kerugian finansial, kerusakan reputasi, serta konsekuensi hukum yang serius. Dengan membangun dan menerapkan SMKI, organisasi menunjukkan komitmen mereka dalam melindungi data pelanggan, mitra bisnis, dan aset internal. Bermitra dengan Konsultan SMKI yang berpengalaman memungkinkan perusahaan untuk membangun sistem keamanan yang kuat, relevan, dan disesuaikan dengan risiko yang dihadapi.

Relevansi SMKI di Era Revolusi Industri 4.0

Era Revolusi Industri 4.0 ditandai dengan integrasi dunia fisik dan digital melalui teknologi seperti Internet of Things (IoT), big data, cloud computing, dan artificial intelligence. Dalam ekosistem bisnis yang saling terhubung ini, ancaman terhadap keamanan informasi menjadi semakin kompleks dan beragam. SMKI menjadi solusi vital untuk mengelola risiko keamanan digital secara proaktif. Organisasi yang mampu menerapkan SMKI dengan baik akan lebih siap menghadapi tantangan di era ini, serta lebih percaya diri dalam mengembangkan inovasi teknologi yang mendukung pertumbuhan bisnis.

Standar dan Framework untuk Membangun SMKI

Dalam membangun SMKI yang efektif, berbagai standar dan framework dapat digunakan sebagai panduan. ISO/IEC 27001 adalah standar internasional utama yang mengatur persyaratan sistem manajemen keamanan informasi. Selain itu, organisasi juga dapat mengadopsi kerangka kerja seperti NIST Cybersecurity Framework, COBIT, dan CIS Controls untuk memperkuat pendekatan keamanan mereka. Setiap standar ini memberikan metodologi yang terstruktur dalam mengidentifikasi risiko, menetapkan kontrol keamanan, dan memastikan keberlanjutan perlindungan informasi. Dengan bimbingan Konsultan SMKI yang profesional, organisasi dapat memilih dan mengintegrasikan framework yang paling sesuai dengan kebutuhan dan karakteristik bisnis mereka.

Mitra Konsultan SMKI yang Andal

NetSolution hadir sebagai Konsultan SMKI terpercaya yang memahami kebutuhan spesifik organisasi dalam mengelola keamanan informasi. Dengan pengalaman bertahun-tahun di berbagai industri, NetSolution menawarkan layanan konsultasi yang mencakup perencanaan, implementasi, hingga pendampingan audit sertifikasi SMKI. Kami membantu organisasi membangun sistem keamanan yang tidak hanya memenuhi standar internasional, tetapi juga adaptif terhadap perkembangan teknologi dan kebutuhan bisnis. Pendekatan kami berbasis risiko dan best practices, memastikan bahwa solusi yang diberikan efektif, efisien, dan berkelanjutan.

Layanan Konsultan SMKI dari NetSolution

Sebagai Konsultan SMKI profesional, NetSolution menawarkan layanan lengkap mulai dari assessment awal, pengembangan kebijakan dan prosedur keamanan, penyusunan risk treatment plan, pelatihan internal, hingga pendampingan audit eksternal. Kami juga menyediakan layanan integrasi teknologi keamanan informasi seperti SIEM, DLP, dan IAM untuk mendukung implementasi SMKI yang komprehensif. Dengan layanan kami, organisasi dapat memastikan bahwa penerapan SMKI berjalan efektif, memenuhi regulasi, dan siap untuk memperoleh sertifikasi seperti ISO/IEC 27001.

Keunggulan Bermitra dengan NetSolution

Bermitra dengan NetSolution berarti memilih partner yang berkomitmen penuh terhadap keberhasilan proyek Transformasi Keamanan Informasi Anda. Kami mengutamakan pendekatan konsultatif dan kolaboratif dalam setiap tahapan proyek. Setiap solusi yang kami tawarkan disesuaikan dengan kebutuhan spesifik klien, bukan pendekatan satu untuk semua. Dengan tim konsultan berpengalaman, metodologi teruji, serta komitmen terhadap hasil, NetSolution menjadi pilihan tepat bagi organisasi yang ingin mengimplementasikan SMKI secara efektif dan berkelanjutan.

Kontak Kami

 Jangan tunda lagi investasi Anda dalam penerapan SMKI — segera hubungi NetSolution untuk konsultasi lebih lanjut dan jadikan kami mitra strategis dalam membangun masa depan bisnis yang aman dan terpercaya. Untuk mendapatkan konsultasi awal secara gratis dan tanpa komitmen,  silahkan kontak Tim Sales PT. NetSolution melalui FORM ISIAN ini atau Whatsapp Kami.***

Link terkait:

• Portofolio Jasa Konsultasi dan Audit Teknologi Informasi
• Jasa Konsultan Enterprise Architecture
• Jasa Konsultan Tata Kelola TI
• Jasa Konsultan Tata Kelola Data
• Jasa Konsultan IT Governance
• Jasa Konsultan Sistem Manajemen Keamanan Informasi
• Jasa Konsultan Sistem Manajemen Layanan TI
• Jasa Konsultan IT Service Management
• Jasa Konsultan Transformasi Digital
• Jasa Konsultan RSTI
• Jasa Konsultasi IT Master Plan
• Jasa Asesmen IT Maturity Level
• Jasa Konsultan Solusi ERP
• Jasa Konsultan Integrated Management System
• Jasa Konsultan Pelindungan Data Pribadi

Standar dan Framework TI

Standar dan framework TI ini menjadi sangat penting untuk memastikan bahwa layanan TI bekerja sebagaimana mestinya sesuai dengan tujuan dan strategis bisnis, memiliki kualitas pelayanan yang efisien dan efektif, mengoptimalisasikan kualitas dan kuantitas layanan, memastikan bahwa budget yan di keluarkan efektif, menjamin tingkat keamanan yang dapat dipertanggungjawabkan, dsb. Secara umum standart dan framework digunakan untuk memastikan bahwa sumberdaya TI (termasuk SDM-nya) dikelola untuk memberikan pelayanan yang optimal, efisien, efektif, dan aman. Berikut ini adalah standar atau framework yang paling banyak digunakan dalam pengembangan Manajemen Teknik Informasi :

Framework TI: COBIT

COBIT yang merupakan singkatan dari Control Objectives for Information and Related Technology, dimiliki dan didukung oleh ISACA. Pertamakali di luncurkan pada tahun 1996 sebagai COBIT. Versi yang terbaru saat ini adalah COBIT 2019 dan digunakan secara luas sebagai framework TI untuk  Tata Kelola TI. Di mana COBIT 2019  merupakan pengembangan dari framework COBIT 5.

COBIT merupakan framework TI yang digunakan untuk membantu kita dalam mengoptimalisasikan value atau nilai suatu organisasi enterprise melalui TI dengan cara menjaga keseimbangan antara realisasi keuntungan, optimalisasi risiko, dan pemanfaatan sumberdaya. Kerangka kerja TI ini mengcover baik bisnis maupun unit TI dalam keseluruhan organisasi. Memberikan model maturity atau model kematangan proses dan metriknya untuk mengukur apakah organisasi TI telah mencapai tujuannya. Sebagai tambahan, COBIT juga menjaga keseimbangan antara kebutuhan stakeholder baik internal maupun eksternal.

Framework ITIL

ITIL, singkatan dari Information Technology Infrastructure Library, merupakan seperangkat guideline (petunjuk) dan best practices untuk kebutuhan IT Service Management (ITSM) atau Manajemen Layanan Teknologi Informasi (MLTI). Merupakan framework TI yang dikeluarkan oleh AXELOS Limited. ITIL fokus pada penyelarasan IT services atau layanan TI sesuai kebutuhan bisnis dan mendukung proses inti. Terdiri dari lima volume : Service Strategy, Service Design, Service Transition, Service Operation and Continual Service Improvement.

Kerangka kerja TI seperti ITIL ini dapat di adaptasi dan diaplikasikan kepada seluruh jenis bisnis dan lingkungan organisasi. Meliputi pentunjuk untuk identifikasi, perencanaan, delivering, dan supporting layanan TI. Jika sukses di adopsi makan ITIL dapat meningkatkan kualitas layanan, dan pada gilirannya dapat menjadi alat mitigasi bagi risiko bisnis dan disrupsi layanan, meningkatkan hubungan dengan pelanggan, dan membuat suatu sistem yang efektif secara biaya bagi pengelolaan kebutuhan terhadap layanan.

Framework CMMI

Framework CMMI merupakan singkatan dari Capability Maturity Model Integration, merupakan model yang sudah terkenal secara global sebagai model referensi yang dikembangkan melalui best practices yang memberikan petunjuk untuk meningkatkan proses yang dapat memenuhi target bisnis dari suatu organisasi. Model ini dikembangkan oleh pakar di industri, pemerintahan, dan Software Engineering Institute (SEI).

CMMI meningkatkan proses suatu organisiasi dengan menunjukkan keuntungan terukur dari tujuan bisnis dan visinya. Suatu organisasi dapat mengorganisasikan dan memprioritaskan metodologi, SDM, dan aktivitas bisnisnya melalui kerangka kerja yang diberikan oleh CMMI. Kerangka kerja ini mendukung koordinasi antar aktivitas yang multidisiplin dan pemikiran yang sistematis.

Framework PMBOK

Kepanjangan dari PMBOK adalah Guide to the Project Management Body of Knowledge, adalah suatu guideline yang secara internasioal diakui untuk digunakan sebagai metode manajemen proyek dan merupakan produk dari PMI (Project Management Institute), PMBOK adalah standar yang secara luas diterima dan diakui sebagai basis untuk keseluruhan metode manajemen proyek.

PMBOK memberikan deskripsi yang mendalam mengenai isi dan pokok-pokok yang secara fundamental membahas mengenai manajemen proyek, namun fokusnya tidak pada soalan mengenai saran implementasi teknis. Berkaitan dengan petunjuk praktis justru diberikan oleh kerangka yang lain seperti PRINCE2. Pada intinya PMBOK terdiri dari 5 proses dasar : Initiating, Planning, Executing, Controlling and Monitoring, and Closing.

Framework PRINCE2

PRINCE2 merupakan singkatan dari Projects IN a Controlled Environment, merupakan standar de facto untuk metode manajemen proyekyang dimiliki oleh UK Cabinet Office. PRINCE2 merupakan komplemen dari model PMBOK dengan menyediakan petunjuk yang sifat berbasis proses dan praktis berikut dengan template yang siap digunakan oleh Manajer Proyek dan Group Project Steering untuk setiap fase yang berbeda dari proyek. PRINCE2 memastikan kontrol yang lebih besar terhadap sumberdaya serta manajemen yang efektif terhadap risiko bisnis dan proyek.

Sebagai contoh, tujuh prinsip dari PRINCE2 menyatakan bahwa proyek harus dijalankan melalui suatu proses siklus berikut : proyek harus memiliki justifikasi bisnis, definisi yang jelas untuk setiap peran dan tanggungjawab pada setiap fase dan proses, dikelola dalam bentuk tahapan yang detil dan terjadwal, definisi toleransi untuk setiap pengecualian dalam menajemen proyek, fokus pada menghasilkan produk sesuai dengan kebutuhan proyek, dan belajar dari pengalaman untuk peningkatan kualitas organisasi dalam mengelola proyek berikutnya.

Standarisasi ISO/IEC 20000

ISO/IEC 20000 adalah Service Management System (SMS) atau sistem manajemen layanan merupakan standarisasi internasional untuk manajemen layanan TI. Dimiliki oleh International Organization for Standardization (ISO) dan  the International Electrotechnical Commission (IEC) dan secara umum selaras dengan ITIL.

ISO/IEC 20000 memiliki dua bagian. Bagian pertama mendefinisikan kebutuhan formal dari produksi berkualitas tinggi terhadap layanan kepada bisnis. TI yang meliputi kriteria perencanaan, manajemen layanan, dan produksi layanan dan juga manajemen pelanggan. Bagian kedua menjelaskan proses dari produksi layanan yang secara umum sama dengan proses ITIL yang secara umum memfokuskan pada proses manajemen pelanggan.

Standarisasi ISO 21500

ISO 21500 adalah standar yang secara generik merupakan petunjuk mengenai konsep dan proyek dari manajemen proyek yang merupakan bagian terpenting dalam realisasi proyek yang sukses. Dapat digunakan untuk seluruh jenis organisasi dan dapat diterapkan apda setiap jenis proyek, tanpa terkendala ukuran, kompleksitas, dan durasi.

ISO 21500 adalah standar informal secara umum lebih merupakan guideline ketimbang metodologi yang bersertifikasi. Menyediakan deskripsi high level terhadap konsep dan proses yang selama ini diangap sebagai good practices dalam manajemen proyek dan menempatkna proyek dalam konteks program dan portofolio proyek. PMBOK secara umum memiliki kesesuaian dengan ISO 21500 begitu juga sebaliknya.

Standar dan Framework TI:  ISO/IEC 38500

ISO/IEC 38500 merupakan standar yang memberikan prinsip umum mengenai peran dan manejemen IT governance dengan tanggungjawab bisnis (contoh : BoD dan tim manajemen). Dapat digunakan secara luas untuk semua jenis dan ukuran organisasi baik perusahaan privat maupun publik termasuk organisasi non profit.

Standar ini mendukung manajemen bisnis dalam melaksanakan supervisi terhadap organisasi TI dan membantunya memastikan bahwa TI memberikan dampak positif terhadap kinerja perusahaan. Di mana standart terdiri dari 6 prinsip, sebagai berikut :

1. Responsibility
2. Strategy
3. Acquisition
4. Performance
5. Conformance
6. Human behaviour

Selain itu ISO/IEC 38500 juga menjamin bahwa manajemen telah melaksanakan konformitas dengan implementasi tata kelola organisasi yang baik (good overnance).

Framework TOGAF

TOGAF adalah kerangka kerja enterprise architecture dari Open Group Standard yang memungkinkan setiap organisasi memiliki pendekatan terstruktur untuk pengelolaan implementasi teknologi, secara khusus dalam desain teknologi perangkat lunak, pengembangannya, dan peratawatan. Dipublikasikan tahun 1995 berdasarkan US Department of Defence Technical Architecture Framework for Information Management (TAFIM). Kemudian dikembangkan oleh The Open Group Architecture Forum dan kemudian secara reguler dirilis di website Open Group.

TOGAF meningkatkan efisiensi bisnis dengan cara memastikannya melalui metode yang konsisten, komunikasi, pemanfaatan sumberdaya yang efisien. Meningkatkan kredibiltias industri dengan bahasa yang umum di kalangan profesional enterprise architecture.

Standarisasi ISO/IEC 27001

ISO/IEC 27001 merupakan standarisasi untuk ISMS (Information Security Management System) yang isinya merupakan pedoman pentunjuk dan prosedur praktis pengelolaan Sistem Manajemen Keamanan Informasi. ISO27001 lebih memfokuskan diri pada aspek manajemen pelaksanaan. Dimana output dokumennya merinci hingga detil aktivitas keamanan yang mesti dilakukan. Namun demikian proses implementasi maupun aktivitas audit keamanan sistem informasi sebenarnya bersifat fleksibel tergantung pada tipe dan kebutuhan organisasi serta fokus dan concern mereka pada proses bisnis dan proses TI-nya seturut dengan tujuan dan strategis perusahaan.

Selain ISO/IEC 27001 maka COBIT juga bisa digunakan untuk membangun Sistem Manajemen Keamanan Informasi khususnya bila kita menggunakan pedoman profesional COBIT khusus untuk keamanan yaitu : COBIT 5 for Information Risk. Bila kita ingin membangun Tata Kelola Keamanan Informasi yang meliputi Governance dan Management sekaligus maka COBIT adalah pilihan yang terbaik.

Kontak Kami

Masa depan bisnis akan sangat ditentukan oleh bagaimana organisasi mengelola teknologi informasinya saat ini. Dengan bermitra bersama Netsolution sebagai Konsultan Tata Kelola dan Manajemen TI, organisasi Anda tidak hanya akan mendapatkan struktur pengelolaan teknologi informasi yang baik, tetapi juga fondasi yang kokoh untuk menghadapi perubahan teknologi di masa depan. Untuk mendapatkan konsultasi awal secara gratis dan tanpa komitmen,  silahkan kontak Tim Sales PT. NetSolution melalui FORM ISIAN ini atau Whatsapp Kami.***

==

Link terkait:

• Portofolio Jasa Konsultasi dan Audit Teknologi Informasi
• Jasa Konsultan Enterprise Architecture
• Jasa Konsultan Tata Kelola TI
• Jasa Konsultan Tata Kelola Data
• Jasa Konsultan IT Governance
• Jasa Konsultan ISO 27001:2022
• Jasa Konsultan Sistem Manajemen Layanan TI
• Jasa Konsultan IT Service Management
• Jasa Konsultan Transformasi Digital
• Jasa Konsultan RSTI
• Jasa Konsultasi IT Master Plan
• Jasa Asesmen IT Maturity Level
• Jasa Konsultan Solusi ERP
• Jasa Konsultan Integrated Management System
• Jasa Konsultan Pelindungan Data Pribadi

ISO27001 adalah standar informasi security yang memuat prinsip-prinsip dasar Information Security Management System atau biasa di Indonesia disebut sebagai Sistem Manajemen Keamanan Informasi (SMKI). ISO27001 merupakan standar sistem manajemen yang dikeluarkan oleh suatu lembaga yang bernama International Organization for Standardization (ISO) bekerjasama dengan IEC (International Electrotechnical Commision) dengan fokus pada sistem keamanan informasi. Hingga sampai saat ini ISO27001 adalah standar atau framework keamanan informasi yang paling banyak digunakan di seluruh dunia.

Kebutuhan Penerapan SMKI

Kebutuhan penerapan Sistem Manajemen Keamanan Informasi dengan ISO27001 di Indonesia sudah mulai banyak dirasakan oleh lembaga atau perusahaan yang banyak menerapkan proses bisnisnya dengan dukungan teknologi informasi. Bahkan di beberapa industri tertentu kewajiban penerapan SMKI menjadi syarat mutlak mereka bisa beroperasi di Indonesia, contohnya: kewajiban pelaku kegiatan transaksi online perbankan untuk memiliki SMKI yang sudah diaudit oleh pihak terkait. Secara umum dunia perbankan diwajibkan menerapkan SMKI sebagai komitmen mereka kepada stakeholder bahwa transaksi digital mereka aman.

Penerapan SMKI dengan ISO27001

ISO / IEC 27001 tidak mengharuskan suatu kontrol keamanan informasi secara spesifik, karena kontrol keamanan yang dibutuhkan bisa bervariasi sesuai dengan kebutuhan organisasi yang akan mengadopsinya. Organisasi dibebaskan untuk mengadopsi ISO / IEC 27001 dengan memilih kontrol keamanan informasi tertentu untuk penerapan SMKI. Pada dasarnya penerapan Sistem Managemen Keamanan Informasi berbasis ISO27001 adalah mengacu pada konsep manajemen PLAN – DO – CHECK – ACTION.

Perencanaan (PLAN)

Tahapan ini merupakan kegiatan perencanaan dan perancangan SMKI. Tataran implementasinya adalah pembangunan komitmen, kebijakan, kontrol, prosedur, instruksi kerja, dan lainnya agar tercipta SMKI sesuai dengan kebutuhan organisasi. Pada tahapan perencanaan adalah membuat beberapa document information yang dibutuhkan sebagai dasar untuk penerapan SMKI. Di bawah ini adalah tahapan dalam perencanaan untuk pengembangan SMKI :

1. Menyusun dokumen terkait ruang lingkup SMKI atau biasa disebut sebagai SCOPE.
2. Menyusun dokumen kebijakan atau policy keamanan SMKI.
3. Membuat dokumen penilaian risiko keamanan informasi atau information security risk assessment.
4. Menyusun dokumen prosedur pengendalian risiko keamanan informasi atau information security risk treatment.
5. Menyusun dokumen objektif keamanan informasi atau information security objectives.
6. Membuat dokumen statement of applicability.

Pelaksanaan (DO)

Kegiatan dalam tahapan ini adalah implementasi dan operasi dari kebijakan, kontrol, proses, dan prosedur SMKI yang telah direncanakan pada tahapan PLAN. Dalam tahapan yang dilaksanakan adalah sebagai berikut :

1. Memberikan training kepada Tim Implementasi SMKI yang terdiri dari Management Representative dan Information Security Officer / Staff.
2. Memberikan training kepada tim internal auditor ISO27001:2013
3. Memberikan training awareness ISO27001:2013 kepada para karyawan terkait.
4. Menyimpan sertifikasi training sebagai evidence of competence.
5. Melaksanakan information security risk assessment sebagaimana prosedur yang telah dibuat dalam tahapan PLAN. Outputnya disimpan sebagai risk register.
6. Melaksanakan information security risk treatment sebagaimanan prosedur yang telah dibuat dalam tahapan perencanaan. Outputnya disimpan sebagai risk treatment plan.

Pengecekan (CHECK)

Tahapan ini adalah kegiatan yang berkaitan dengan pelaksanaan evaluasi dan audit terhadap SMKI. Apa saja yang dilakukan dalam pengecekan?

1. Melakukan monitoring dan pengukuran terhadap information security objectives. Hasil dari monitoring dan pengukuran ini harus disimpan sebagai bukti evidence.
2. Melakukan internal audit. Hasil dari internal audit harus disimpan sebagai evidence.
3. Melakukan Management Review. Outputnya kemudian disimpan seebagai evidence.

Ketiga kegiatan tsb harus dilakukan secara berkala minimal satu kali dalam setahun.

Tindakan (ACT)

Tahapan ini adalah tahpan yang sifatnya adalah kegiatan improvement yaitu kegiatan perbaikan terus-menerus terhadap implementasi SMKI. Pada tahapan ini yang dilaksanakan adalah menindaklanjuti hasil temuan internal audit dan hasil tindak lanjut ini harus didokumentasikan sebagai evidence.

Struktur Standar ISO27001

ISO / IEC 27001 memiliki struktur standar sebagaimana berikut di bawah ini :

1. Pendahuluan – standar menggunakan pendekatan proses.
2. Ruang lingkup – menetapkan persyaratan ISMS secara umum disesuaikan dengan jenis organisasi.
3. Acuan normatif – hanya ISO / IEC 27000 yang dianggap sangat penting untuk pengguna ‘27001
4. Terms and Definitions – memberikan laporan singkat, keterangan, segera digantikan oleh ISO / IEC 27000.
5. Konteks organisasi – memahami konteks organisasi, kebutuhan dan harapan dari ‘pihak yang berkepentingan’, dan mendefinisikan lingkup ISMS. Bagian 4.4 sudah dinyatakan dengan jelas bahwa “Organisasi harus menetapkan, menerapkan, memelihara dan terus meningkatkan” ISMS.
6. Kepemimpinan – top manajemen harus menunjukkan kepemimpinan dan komitmen terhadap ISMS, kebijakan, dan menetapkan tanggung jawab, peran, dan wewenang keamanan informasi.
7. Perencanaan – menguraikan proses untuk mengidentifikasi, menganalisis dan merencanakan untuk memperjelas tujuan keamanan informasi.
8. Support – menetapkan sumber daya yang memadai dan kompeten serta menyiapkan dan mengendalikan dokumentasi.
9. Operasi – sedikit lebih detail tentang menilai risiko informasi, mengelola perubahan, dan mendokumentasikan hal-hal (sehingga mereka dapat diaudit oleh auditor sertifikasi).
10. Evaluasi kinerja – memantau, mengukur, menganalisis dan mengevaluasi / Audit / meninjau kontrol keamanan informasi, proses dan sistem manajemen untuk melakukan perbaikan sistematis yang sesuai.
11. Improvement – mengatasi temuan audit dan meninjau (ketidaksesuaian dan tindakan korektif), membuat perbaikan terus-menerus untuk ISMS.

Keuntungan Menggunakan ISO27001

Berikut ini adalah keuntungan yang didapat oleh perusahaan atau organisasi yang menerapkan Sistem Manajemen Keamanan Informasi berbasis ISO27001, sebagai berikut :

1. Membantu organisasi yang bersangkutan dalam upayanya menyesuaikan standar keamanan informasi dengan sesuatu yang sudah teruji dan menjadi good practice dalam keamanan teknologi informasi.
2. Memberikan citra yang positif terhadap perusahaan khususnya dari sisi nilai dan persepsi oleh pihak lain.
3. Memastikan bahwa organisasi memiliki kontrol keamanan informasi terhadap lingkungan proses bisnisnya yang berpotensi menimbulkan risiko atau gangguan keamanan.
4. Meningkatkan kepercayaan customer, supplier, dan stakeholder secara keseluruhan terhadap pelayanan yang diberikan oleh organisasi.
5. Membantu organisasi dalam menjalankan kebijakan perbaikan terus-menerus dalam pengelolaan keamanan informasi.
6. Membuat proses pelaksanaan keamanan informasi menjadi lebih sistematis dan merubah budaya kerja organisasi.
7. Minimalisasi risiko melalui proses risk assessment yang profesional, terstandar, dan komprehensif dalam kerangka manajemen risiko.
8. Meningkatkan efektivitas dan kehandalan dalam pengamanan informasi.
9. Menerapkan standar keamanan informasi yang diakui di seluruh dunia.
10. Kemungkinan rendahnya premi yang mesti dibayarkan kepada pihak asuransi karena standar yang teruji.
11. Kepatuhan terhadap external regulation khususnya dalam keamanan informasi.
12. Peningkatan profit yang signifikan karena transaksi yang aman.
13. Dapat di integrasikan dengan sistem manajemen teknologi informasi lain seperti : ISO9001, ISO14000, ISO20000, ITIL, COBIT, dsb.

Kewajiban Penerapan ISO27001

Pemerintah mengeluarkan peraturan Permen Kominfo No.4 Tahun 2016 Tentang Sistem Manajemen Pengamanan Informasi. Peraturan tsb berisi kewajiban penerapan ISO27001 bagi Badan Usaha Miliki Negera, Badan Usaha Milik Daerah, Lembaga Negara yang dibentuk oleh UU atau Instituri Penyelenggara Negara yang terdiri dari Lembaga Negara atau Lembaga Pemerintahan. Oleh karena itu, penerapan standar sistem keamanan informasi menjadi wajib dilaksanakan oleh lembaga-lembaga yang tercantum dalam peraturan tsb.

Kontak Kami

Jangan tunda lagi investasi Anda dalam penerapan SMKI berbasis ISO 27001 — segera hubungi NetSolution untuk konsultasi lebih lanjut dan jadikan kami mitra strategis dalam membangun masa depan bisnis yang aman dan terpercaya. Untuk mendapatkan konsultasi awal secara gratis dan tanpa komitmen,  silahkan kontak Tim Sales PT. NetSolution melalui FORM ISIAN ini atau Whatsapp Kami.***

Link terkait:

• Portofolio Jasa Konsultasi dan Audit Teknologi Informasi
• Jasa Konsultan Enterprise Architecture
• Jasa Konsultan Tata Kelola TI
• Jasa Konsultan Tata Kelola Data
• Jasa Konsultan IT Governance
• Jasa Konsultan ISO 27001:2022
• Jasa Konsultan Sistem Manajemen Layanan TI
• Jasa Konsultan IT Service Management
• Jasa Konsultan Transformasi Digital
• Jasa Konsultan RSTI
• Jasa Konsultasi IT Master Plan
• Jasa Asesmen IT Maturity Level
• Jasa Konsultan Solusi ERP
• Jasa Konsultan Integrated Management System
• Jasa Konsultan Pelindungan Data Pribadi

Permasalahan framework security dalam sistem manajemen keamanan informasi pada umumnya adalah informasinya yang dikemas dalam bentuk dokumen PDF yang panjang dan membosankan. Seringkali malah menyebabkan kebingungan. Oleh karena itu, untuk membuat kerangka kerja keamanan siber lebih mudah dipahami, kita pisahkan menjadi tiga kategori: control framework (kerangka kerja kendali), program framework (kerangka kerja program), dan risk framework (kerangka kerja risiko).

Kita analogikan ketiganya dalam konteks membuat makanan. Sebelum seorang koki mulai memasak, mereka harus membuat daftar bahan untuk makanan mereka — control framework (kerangka kerja kontrol). Kemudian, mereka perlu menentukan resep untuk mengumpulkan bahan-bahan itu menjadi makanan — program framework (kerangka kerja program). Akhirnya, mereka perlu mencari tahu di mana mereka akan menyajikan makanan itu, dalam hal pengalaman apa yang diinginkan pelanggan saat di memakannya di restoran — risk framework (kerangka kerja risiko).

Kategori Framework Sistem Manajemen Keamanan Informasi

Berikut ini adalah 3 kategori framework cybersecurity yang dapat digunakan sebagai acuan dalam menyusun sistem manajemen keamanan informasi di organisasi Anda :

A. Control Framework Sistem Manajemen Keamanan Informasi

Framework dalam kategori ini contohnya adalah NIST 800-53 dan CIS Control (CSC). Saat seorang profesional cybersecurity memasuki lingkungan baru dimana ia bertugas membangun dan mengelola Tim IT Security, mereka berhadapan dengan kondisi organisasi yang biasanya relatif belum matang dari perspektif TI dan keamanan TI. Umumnya langkah pertama yang diambil adalah melakukan penentuan basic set of controls untuk di implementasikan. Profesional cybersecurity menggunakan control framework untuk melakukan hal-hal sebagai berikut :

• Identifikasi kumpulan kontrol yang menjadi baseline.
• Asessmen kondisi yang terkait dengan kapabilitas teknis.
• Prioritasi implementasi dari kontrol.
• Mengembangkan roadmap awal untuk Tim Keamanan TI.

NIST SP 800-53 adalah katalog kontrol yang komprehensif yang terkait dengan kontrol keamanan dan privasi, dimana kontrol dapat dimplementasikan berdasarkan prioritas atau kontrol keamanan baseline (low impact, moderate impact, atau high impact). Sedangkan CIS Control telah menerbitkan 20 kontrol keamanan yang paling banyak digunakan, dimana kontrol tsb diterapkan di banyak instansi pemerintahan di Amerika Serikat.

B. Program Framework Sistem Manajemen Keamanan Informasi

Framework dalam kategori ini misalnya adalah ISO 27001 dan NIST Cybersecurity Framework. Profesional cybersecurity menggunakan program framework untuk melakukan hal-hal sebagai berikut :

• Asessmen kondisi keseluruhan program keamanan
• Membangun program keamanan yang komprehensif
• Mengukur maturitas (level kematangan) dan memperbandingkannya dengan standar industri sejenis
• Menyederhanakan komunikasi dengan para pemimpin bisnis

Seri standarisasi ISO27001 adalah seri ISO untuk standar Sistem Manajemen Keamanan Informasi yang fokus pada pembangunan program keamanan, termasuk di dalamnya konteks organisasi, kepemimpinan, perencanana, support, dokumentasi, operasi, penilaian kinerja, dan peningkatan berkelanjutan. Sedangkan NIST Cybersecurity Framework membantuk dalam identifikasi, perlindungan, deteksi, respon, dan pemulihan. Terdiri dari 3 bagian, yaitu : core, implementation tiers, dan profil  — dan mendefinisikan bahasa yang sama dalam menangani risiko. Ini membantu organisasi menjawab pertanyaan : apa yang kita lakukan sekarang? mau kemana? bagaimana caranya? dan kapan?, kira-kira demikian.

C. Risk Framework

Contoh framework ini adalah NIST 800-39, 800-37, 800-30, ISO 27005, dan FAIR. Risk framework memungkinkan profesional cybersecurity untuk memastikan bahwa mereka telah mengelola program keamanan dengan cara yang bermanfaat bagi stakeholder organisasi dan membantu menentukan bagaimana cara memprioritaskan aktivitas keamanan. Profesional cybersecurity menggunakan risk framework untuk melakukan hal-hal sebagai berikut :

• Menentukan langkah proses kunci untuk melakukan asessmen dan mengelola risiko
• Strukturisasi program manajemen risiko
• Identifikasi, pengukuran, dan kuantifikasi risiko
• Prioritasi aktivitas keamanan

NIST Security memiliki risk framework yang cukup dikenal yaitu : NIST SP 800-39 (defines the overall risk management process), NIST SP 800-37 (the risk management framework for federal information systems), and NIST SP 800-30 (risk assessment progress). Kemudian ISO 27005 mendefinisikan pendekatan sistematis untuk mengelola risiko untuk organisasi, sementara FAIR adalah standar internasional yang disupport oleh dua organisasi.

Memulai Sistem Manajemen Keamanan Informasi

Bisnis dapat mengambil langkah-langkah berikut untuk mulai mencari tahu kerangka kerja keamanan yang tepat untuk sistem manajemen keamanan informasinya, antara lain dengan cara sebagai berikut:

• Segera: Identifikasi framework cybersecurity yang cocok untuk digunakan di organisasi.
• Dalam tiga bulan: Implementasikan ISMS dan evaluasi dalam tiga bulan bagaimana kerangka kerja itu dapat memberikan kekuatan dari sisi pengamanan dan kinerja TI  kemudian petakan satu sama lain untuk memenuhi tujuan kepatuhan dan regulasi.
• Dalam enam bulan: Perbarui rencana program keamanan Anda untuk memanfaatkan masing-masing dari tiga kategori framework tsb, dan sosialisasikan rencana tersebut dengan para pemimpin teknis, operasional, dan eksekutif.

Kita dapat mematangkan program keamanan TI dengan memilih satu atau lebih kerangka kerja dari setiap kategori untuk bekerja sama untuk meningkatkan keadaan keseluruhan aktivitas keamanan TI dalam organisasi.

Kontak Kami

Informasi lebih lanjut mengenai produk dan layanan kami, silahkan menghubungi kami dengan mengklik  dan mengisi form kontak kami ini. Kami akan segera menindaklanjuti permintaan Anda sesuai jam operasional kantor.***

****