Dalam hal kewajiban pelaksanaan audit keamanan informasi di industri perbankan yang dipersyaratkan oleh Bank Indonesia (BI) kepada institusi perbankan atau perusahaan financial technology (fintech) di Indonesia, tak ada ketentuan khusus atau keharusan untuk menggunakan standarisasi atau framework keamanan informasi tertentu. Sepanjang ruang lingkup yang diperyaratkan oleh BI dalam Peraturan Bank Indonesia tsb dapat tercakupi.

Informasi lebih lanjut mengenai layanan PT. NetSolution, bisa mengontak Tim Sales kami melalui formulir isian di LINK INI. Mohon maaf, kami hanya menindaklanjuti permintaan presentasi, meeting, penawaran dan proposal setelah menerima form yang telah diisi dengan lengkap.

Keamanan dan Kehandalan Sistem

Oleh karena itu, framewok sistem manajemen keamanan informasi dapat digunakan sebagai perangkat untuk melakukan audit sistem manajemen keamanan informasi di industri perbankan dengan melakukan penyesuaian ruang lingkup sesuai syarat BI terkait keamanan dan kehandalan sistem seperti yang tercantum pada Peraturan Bank Indonesia No.20/6/PBI/2018 tentang Uang Elektronik. Dimana dalam peraturan tersebut keamanan dan kehandalan sistem meliputi:

• Keamanan operasional
• Keamanan jaringan, aplikasi, dan sistem
• Keamanan dan integritas data atau informasi
• Keamanan fisik dan lingkungan, termasuk kontrol terhadap akses sistem dan data
• Manajemen perubahan sistem
• Manajemen implementasi sistem
• Prosedur tertulis terkait keamanan teknologi

Kesemua persyaratan tersebut dapat difasilitasi dengan menggunakan framework keamanan informasi seperti: ISO27001, NIST Cybersecurity,dsb. Framework tsb selain menjadi standarisasi dalam penerapan sistem manajemen keamanan informasi dapat pula digunakan sebagai pedoman audit keamanan informasi.

Cakupan Audit Keamanan Informasi di Industri Keuangan

Bagi perusahaan perbankan atau financial technology, ruang lingkup audit keamanan informasi menurut Bank Indonesia paling kurang meliputi pemenuhan aspek keamanan dan keandalan sistem dan/atau jaringan sebagaimana berikut di bawah ini:

1. Adanya sistem keamanan teknologi yang dilakukan secara efektif dan efisien dengan memperhatikan kepatuhan terhadap ketentuan yang berlaku, yang paling kurang memenuhi prinsip-prinsip:
   • Kerahasiaan data
   • Integritas sistem dan data
   • Dua faktor otentifikasi sistem dan data.
   • Pencegahan terjadinya penyangkalan transaksi yang telah dilakukan
   • Ketersediaan sistem.
2. Cakupan security audit paling kurang meliputi aspek teknologi informasi dan aspek bisnis;
3. Adanya sistem dan prosedur untuk melakukan audit trail;
4. Adanya kebijakan dan prosedur internal untuk sistem dan Sumber Daya Manusia (SDM);
5. Adanya business continuity plan (BCP) yang dapat menjamin kelangsungan penyelenggaraan Uang Elektronik. BCP tersebut meliputi tindakan preventif maupun contingency plan (termasuk penyediaan sarana back-up) jika terjadi kondisi darurat atau gangguan yang mengakibatkan sistem utama penyelenggaraan Uang Elektronik tidak dapat digunakan.
6. Audit teknologi informasi tersebut meliputi pula pemenuhan aspek keamanan dan keandalan sistem dan/atau jaringan terhadap keamanan dan keandalan sistem atau jaringan pemohon yang digunakan oleh pihak lain.

Cakupan audit tsb dapat tercover dengan baik oleh ISO27001:2013, NIST Cybersecurity Framework, maupun COBIT 5 for Information Security. Jadi kita bisa menggunakan kerangka atau standarisasi tersebut karenanya kesemuanya bisa digunakan dengan memilih ruang lingkup yang disyaratkan oleh PBI.

Kontak Kami 

PT. NetSolution telah memiliki pengalaman dalam melaksanakan audit keamanan dan kehandalan sistem untuk perusahaan fintech yang mengajukan perizinan ke Bank Indonesia. Informasi lebih lanjut mengenai produk dan layanan kami, silahkan menghubungi kami dengan mengklik  dan mengisi form kontak kami ini. Kami akan segera menindaklanjuti permintaan Anda sesuai jam operasional kantor.***

Link terkait:

• Portofolio Jasa Konsultasi dan Audit Teknologi Informasi
• Jasa Konsultan Enterprise Architecture
• Jasa Konsultan Tata Kelola TI
• Jasa Konsultan Tata Kelola Data
• Jasa Konsultan IT Governance
• Jasa Konsultan Sistem Manajemen Keamanan Informasi
• Jasa Konsultan Sistem Manajemen Layanan TI
• Jasa Konsultan IT Service Management
• Jasa Konsultan Transformasi Digital
• Jasa Konsultan RSTI
• Jasa Konsultasi IT Master Plan
• Jasa Asesmen IT Maturity Level
• Jasa Konsultan Solusi ERP
• Jasa Konsultan Integrated Management System
• Jasa Konsultan Pelindungan Data Pribadi

Sistem Manajemen Keamanan Informasi (SMKI) adalah pendekatan sistematis dalam mengelola informasi perusahaan agar tetap aman dan terlindungi dari berbagai ancaman, baik dari dalam maupun luar organisasi. SMKI bertujuan untuk menjaga kerahasiaan, integritas, dan ketersediaan informasi melalui serangkaian kebijakan, prosedur, dan kontrol teknis. Dengan menerapkan SMKI secara efektif, organisasi dapat memastikan bahwa informasi penting terlindungi dari akses yang tidak sah, manipulasi, maupun kehilangan data, sekaligus mematuhi regulasi yang berlaku.

Mengapa Organisasi Perlu Menerapkan SMKI

Dalam dunia bisnis modern yang sangat bergantung pada data, menerapkan SMKI bukan lagi pilihan, melainkan kebutuhan strategis. Keamanan informasi yang buruk dapat menyebabkan kerugian finansial, kerusakan reputasi, serta konsekuensi hukum yang serius. Dengan membangun dan menerapkan SMKI, organisasi menunjukkan komitmen mereka dalam melindungi data pelanggan, mitra bisnis, dan aset internal. Bermitra dengan Konsultan SMKI yang berpengalaman memungkinkan perusahaan untuk membangun sistem keamanan yang kuat, relevan, dan disesuaikan dengan risiko yang dihadapi.

Relevansi SMKI di Era Revolusi Industri 4.0

Era Revolusi Industri 4.0 ditandai dengan integrasi dunia fisik dan digital melalui teknologi seperti Internet of Things (IoT), big data, cloud computing, dan artificial intelligence. Dalam ekosistem bisnis yang saling terhubung ini, ancaman terhadap keamanan informasi menjadi semakin kompleks dan beragam. SMKI menjadi solusi vital untuk mengelola risiko keamanan digital secara proaktif. Organisasi yang mampu menerapkan SMKI dengan baik akan lebih siap menghadapi tantangan di era ini, serta lebih percaya diri dalam mengembangkan inovasi teknologi yang mendukung pertumbuhan bisnis.

Standar dan Framework untuk Membangun SMKI

Dalam membangun SMKI yang efektif, berbagai standar dan framework dapat digunakan sebagai panduan. ISO/IEC 27001 adalah standar internasional utama yang mengatur persyaratan sistem manajemen keamanan informasi. Selain itu, organisasi juga dapat mengadopsi kerangka kerja seperti NIST Cybersecurity Framework, COBIT, dan CIS Controls untuk memperkuat pendekatan keamanan mereka. Setiap standar ini memberikan metodologi yang terstruktur dalam mengidentifikasi risiko, menetapkan kontrol keamanan, dan memastikan keberlanjutan perlindungan informasi. Dengan bimbingan Konsultan SMKI yang profesional, organisasi dapat memilih dan mengintegrasikan framework yang paling sesuai dengan kebutuhan dan karakteristik bisnis mereka.

Mitra Konsultan SMKI yang Andal

NetSolution hadir sebagai Konsultan SMKI terpercaya yang memahami kebutuhan spesifik organisasi dalam mengelola keamanan informasi. Dengan pengalaman bertahun-tahun di berbagai industri, NetSolution menawarkan layanan konsultasi yang mencakup perencanaan, implementasi, hingga pendampingan audit sertifikasi SMKI. Kami membantu organisasi membangun sistem keamanan yang tidak hanya memenuhi standar internasional, tetapi juga adaptif terhadap perkembangan teknologi dan kebutuhan bisnis. Pendekatan kami berbasis risiko dan best practices, memastikan bahwa solusi yang diberikan efektif, efisien, dan berkelanjutan.

Layanan Konsultan SMKI dari NetSolution

Sebagai Konsultan SMKI profesional, NetSolution menawarkan layanan lengkap mulai dari assessment awal, pengembangan kebijakan dan prosedur keamanan, penyusunan risk treatment plan, pelatihan internal, hingga pendampingan audit eksternal. Kami juga menyediakan layanan integrasi teknologi keamanan informasi seperti SIEM, DLP, dan IAM untuk mendukung implementasi SMKI yang komprehensif. Dengan layanan kami, organisasi dapat memastikan bahwa penerapan SMKI berjalan efektif, memenuhi regulasi, dan siap untuk memperoleh sertifikasi seperti ISO/IEC 27001.

Keunggulan Bermitra dengan NetSolution

Bermitra dengan NetSolution berarti memilih partner yang berkomitmen penuh terhadap keberhasilan proyek Transformasi Keamanan Informasi Anda. Kami mengutamakan pendekatan konsultatif dan kolaboratif dalam setiap tahapan proyek. Setiap solusi yang kami tawarkan disesuaikan dengan kebutuhan spesifik klien, bukan pendekatan satu untuk semua. Dengan tim konsultan berpengalaman, metodologi teruji, serta komitmen terhadap hasil, NetSolution menjadi pilihan tepat bagi organisasi yang ingin mengimplementasikan SMKI secara efektif dan berkelanjutan.

Kontak Kami

 Jangan tunda lagi investasi Anda dalam penerapan SMKI — segera hubungi NetSolution untuk konsultasi lebih lanjut dan jadikan kami mitra strategis dalam membangun masa depan bisnis yang aman dan terpercaya. Untuk mendapatkan konsultasi awal secara gratis dan tanpa komitmen,  silahkan kontak Tim Sales PT. NetSolution melalui FORM ISIAN ini atau Whatsapp Kami.***

Link terkait:

• Portofolio Jasa Konsultasi dan Audit Teknologi Informasi
• Jasa Konsultan Enterprise Architecture
• Jasa Konsultan Tata Kelola TI
• Jasa Konsultan Tata Kelola Data
• Jasa Konsultan IT Governance
• Jasa Konsultan Sistem Manajemen Keamanan Informasi
• Jasa Konsultan Sistem Manajemen Layanan TI
• Jasa Konsultan IT Service Management
• Jasa Konsultan Transformasi Digital
• Jasa Konsultan RSTI
• Jasa Konsultasi IT Master Plan
• Jasa Asesmen IT Maturity Level
• Jasa Konsultan Solusi ERP
• Jasa Konsultan Integrated Management System
• Jasa Konsultan Pelindungan Data Pribadi

Separuh dari responden juga mengakui bahwa di perusahaannya tidak ada yang namanya Information Security Steering Committee yang secara khusus membicarakan dan mendiskusikan persoalan keamanan informasi dan risiko bisnisnya.

Steering Committee & Budaya Keamanan

Persoalan besar dalam menerapkan keamanan informasi perusahaan adalah budaya. Walaupun kita telah menyusun dan menerapkan serangkaian kontrol keamanan informasi namun semuanya itu sulit ditegakkan bila persoalan budaya berorientasi keamanan belum terwujud. Beda halnya kalau budaya keamanan sudah mendarah daging dalam suatu organisasi maka mewujudkannya keamanan informasi perusahaan akan menjadi lebih gampang.

Adanya budaya keamanan akan memudahkan organisasi dalam mewujudkan keamanan informasi dibanding membangun seperangkat aturan yang rinci dan kompleks namun membuat birokrasi bertambah ruwet. Dipihak lain aturan yang demikian berpotensi memperlambat respon perusahaan dalam menghadapi insiden keamanan.

Steering committee ini menjadi jalan mewujudkan budaya keamanan perusahaan karena ini adalah suatu bentuk forum lintas departemen dan lintas hirarki jabatan di mana semua perwakilan dari elemen perusahaan ada di dalamnya. Ada perwakilan dari eksekutif, perwakilan dari Departemen IT, perwakilan dari Departemen Finance, dan sebagainya.

Steering Committee sebagai Forum Diskusi

Seluruh elemen SDM yang terlibat dalam keamanan informasi memiliki suara dalam forum ini. Melalui steering committee ini didiskusikan secara terbuka bagaimana mewujudkan budaya keamanan sekaligus menjadi kendaraan untuk  sosialisasi dan komunikasi budaya keamanan bagi seluruh staff dan karyawan. Tentu akan lebih efektif lagi bila anggota steering committee adalah individu yang memiliki pengaruh kunci di setiap level struktur organisasi.

Selain itu dalam forum steering committe ini anggotanya juga membahas mengenai penyusunan kebijakan keamanan baru, merevisi kebijakan keamanan eksisting, membuat serangkaian prinsip terkait keamanan, membicarakan program-program keamanan, mendiskusi prioritas proyek keamanan berikut dengan alokasi budgetnya, mengawasi progres pelaksanaan proyek, dan sebagainya. Karena steering committee ini fokus pada aspek keamanan informasi maka disebut sebagai Information Security Steering Committee.

Tugas dan Tanggungjawab Komite

• Menyusun target pencapaian dari program keamanan informasi.
• Koordinasi pengembangan dan peninjauan seluruh aspek manajemen keamanan informasi meliputi kebijakan, prosedur, dan guidelines.
• Merekomendasikan, meninjau, dan memprioritaskan proyek keamanan informasi.
• Mengkomunikasikan dan mensosialisasikan seluruh informasi terkait dengan keamanan. Termasuk kebutuhannya ke seluruh departemen dan unit kerja terkait.
• Memfasilitas program awareness dan melakukan kerjasama antara program keamanan dengan unit bisnis.
• Meninjau kinerja dan efektivitas program keamanan informasi berdasarkan pengukuran terhadap risiko.

Critical Insight

• Perlu dipisahkan antara Information Security Steering Committee (ISSC) dari IT Steering Committe (ISTSC). Karena keamanan bukan semata-mata domain IT saja tapi lebih luas lagi termasuk aspek keamanan di luar cakupan teknologi informasi.
• Komunikasikan permasalahan keamanan dalam konteks dan terminologi bisnis untuk memfasilitasi solusi keamanan yang masuk akal bagi seluruh organisasi. Jangan terjebak jargon teknis keamanan informasi yang tak dapat dipahami oleh anggota yang lain.
• Menyusun agenda keamanan dan stick pada agenda tsb. Saat terjadi pertemuan anggota komite pastikan agenda yang fokus sesuai tujuan keamanan. Jangan menambahkan dengan tujuan-tujuan lain yang mengaburkan tujuan keamanan yang ingin dicapai.

** Link Disarankan : sistem manajemen keamanan informasi, penerapan cybersecurity framework, konsultan dan auditor tata kelola TI, konsultan dan auditor sistem manajemen keamanan informasi, konsultan IT Master Plan, Sistem integrator, solusi data center, managed it service, rental IT, sistem manajemen keamanan informasi ISO27001, sistem manajemen keamanan informasi cybersecurity framework, training dan sertifikasi IT, dsb.

****

ISO27001 adalah standar informasi security yang memuat prinsip-prinsip dasar Information Security Management System atau biasa di Indonesia disebut sebagai Sistem Manajemen Keamanan Informasi (SMKI). ISO27001 merupakan standar sistem manajemen yang dikeluarkan oleh suatu lembaga yang bernama International Organization for Standardization (ISO) bekerjasama dengan IEC (International Electrotechnical Commision) dengan fokus pada sistem keamanan informasi. Hingga sampai saat ini ISO27001 adalah standar atau framework keamanan informasi yang paling banyak digunakan di seluruh dunia.

Kebutuhan Penerapan SMKI

Kebutuhan penerapan Sistem Manajemen Keamanan Informasi dengan ISO27001 di Indonesia sudah mulai banyak dirasakan oleh lembaga atau perusahaan yang banyak menerapkan proses bisnisnya dengan dukungan teknologi informasi. Bahkan di beberapa industri tertentu kewajiban penerapan SMKI menjadi syarat mutlak mereka bisa beroperasi di Indonesia, contohnya: kewajiban pelaku kegiatan transaksi online perbankan untuk memiliki SMKI yang sudah diaudit oleh pihak terkait. Secara umum dunia perbankan diwajibkan menerapkan SMKI sebagai komitmen mereka kepada stakeholder bahwa transaksi digital mereka aman.

Penerapan SMKI dengan ISO27001

ISO / IEC 27001 tidak mengharuskan suatu kontrol keamanan informasi secara spesifik, karena kontrol keamanan yang dibutuhkan bisa bervariasi sesuai dengan kebutuhan organisasi yang akan mengadopsinya. Organisasi dibebaskan untuk mengadopsi ISO / IEC 27001 dengan memilih kontrol keamanan informasi tertentu untuk penerapan SMKI. Pada dasarnya penerapan Sistem Managemen Keamanan Informasi berbasis ISO27001 adalah mengacu pada konsep manajemen PLAN – DO – CHECK – ACTION.

Perencanaan (PLAN)

Tahapan ini merupakan kegiatan perencanaan dan perancangan SMKI. Tataran implementasinya adalah pembangunan komitmen, kebijakan, kontrol, prosedur, instruksi kerja, dan lainnya agar tercipta SMKI sesuai dengan kebutuhan organisasi. Pada tahapan perencanaan adalah membuat beberapa document information yang dibutuhkan sebagai dasar untuk penerapan SMKI. Di bawah ini adalah tahapan dalam perencanaan untuk pengembangan SMKI :

1. Menyusun dokumen terkait ruang lingkup SMKI atau biasa disebut sebagai SCOPE.
2. Menyusun dokumen kebijakan atau policy keamanan SMKI.
3. Membuat dokumen penilaian risiko keamanan informasi atau information security risk assessment.
4. Menyusun dokumen prosedur pengendalian risiko keamanan informasi atau information security risk treatment.
5. Menyusun dokumen objektif keamanan informasi atau information security objectives.
6. Membuat dokumen statement of applicability.

Pelaksanaan (DO)

Kegiatan dalam tahapan ini adalah implementasi dan operasi dari kebijakan, kontrol, proses, dan prosedur SMKI yang telah direncanakan pada tahapan PLAN. Dalam tahapan yang dilaksanakan adalah sebagai berikut :

1. Memberikan training kepada Tim Implementasi SMKI yang terdiri dari Management Representative dan Information Security Officer / Staff.
2. Memberikan training kepada tim internal auditor ISO27001:2013
3. Memberikan training awareness ISO27001:2013 kepada para karyawan terkait.
4. Menyimpan sertifikasi training sebagai evidence of competence.
5. Melaksanakan information security risk assessment sebagaimana prosedur yang telah dibuat dalam tahapan PLAN. Outputnya disimpan sebagai risk register.
6. Melaksanakan information security risk treatment sebagaimanan prosedur yang telah dibuat dalam tahapan perencanaan. Outputnya disimpan sebagai risk treatment plan.

Pengecekan (CHECK)

Tahapan ini adalah kegiatan yang berkaitan dengan pelaksanaan evaluasi dan audit terhadap SMKI. Apa saja yang dilakukan dalam pengecekan?

1. Melakukan monitoring dan pengukuran terhadap information security objectives. Hasil dari monitoring dan pengukuran ini harus disimpan sebagai bukti evidence.
2. Melakukan internal audit. Hasil dari internal audit harus disimpan sebagai evidence.
3. Melakukan Management Review. Outputnya kemudian disimpan seebagai evidence.

Ketiga kegiatan tsb harus dilakukan secara berkala minimal satu kali dalam setahun.

Tindakan (ACT)

Tahapan ini adalah tahpan yang sifatnya adalah kegiatan improvement yaitu kegiatan perbaikan terus-menerus terhadap implementasi SMKI. Pada tahapan ini yang dilaksanakan adalah menindaklanjuti hasil temuan internal audit dan hasil tindak lanjut ini harus didokumentasikan sebagai evidence.

Struktur Standar ISO27001

ISO / IEC 27001 memiliki struktur standar sebagaimana berikut di bawah ini :

1. Pendahuluan – standar menggunakan pendekatan proses.
2. Ruang lingkup – menetapkan persyaratan ISMS secara umum disesuaikan dengan jenis organisasi.
3. Acuan normatif – hanya ISO / IEC 27000 yang dianggap sangat penting untuk pengguna ‘27001
4. Terms and Definitions – memberikan laporan singkat, keterangan, segera digantikan oleh ISO / IEC 27000.
5. Konteks organisasi – memahami konteks organisasi, kebutuhan dan harapan dari ‘pihak yang berkepentingan’, dan mendefinisikan lingkup ISMS. Bagian 4.4 sudah dinyatakan dengan jelas bahwa “Organisasi harus menetapkan, menerapkan, memelihara dan terus meningkatkan” ISMS.
6. Kepemimpinan – top manajemen harus menunjukkan kepemimpinan dan komitmen terhadap ISMS, kebijakan, dan menetapkan tanggung jawab, peran, dan wewenang keamanan informasi.
7. Perencanaan – menguraikan proses untuk mengidentifikasi, menganalisis dan merencanakan untuk memperjelas tujuan keamanan informasi.
8. Support – menetapkan sumber daya yang memadai dan kompeten serta menyiapkan dan mengendalikan dokumentasi.
9. Operasi – sedikit lebih detail tentang menilai risiko informasi, mengelola perubahan, dan mendokumentasikan hal-hal (sehingga mereka dapat diaudit oleh auditor sertifikasi).
10. Evaluasi kinerja – memantau, mengukur, menganalisis dan mengevaluasi / Audit / meninjau kontrol keamanan informasi, proses dan sistem manajemen untuk melakukan perbaikan sistematis yang sesuai.
11. Improvement – mengatasi temuan audit dan meninjau (ketidaksesuaian dan tindakan korektif), membuat perbaikan terus-menerus untuk ISMS.

Keuntungan Menggunakan ISO27001

Berikut ini adalah keuntungan yang didapat oleh perusahaan atau organisasi yang menerapkan Sistem Manajemen Keamanan Informasi berbasis ISO27001, sebagai berikut :

1. Membantu organisasi yang bersangkutan dalam upayanya menyesuaikan standar keamanan informasi dengan sesuatu yang sudah teruji dan menjadi good practice dalam keamanan teknologi informasi.
2. Memberikan citra yang positif terhadap perusahaan khususnya dari sisi nilai dan persepsi oleh pihak lain.
3. Memastikan bahwa organisasi memiliki kontrol keamanan informasi terhadap lingkungan proses bisnisnya yang berpotensi menimbulkan risiko atau gangguan keamanan.
4. Meningkatkan kepercayaan customer, supplier, dan stakeholder secara keseluruhan terhadap pelayanan yang diberikan oleh organisasi.
5. Membantu organisasi dalam menjalankan kebijakan perbaikan terus-menerus dalam pengelolaan keamanan informasi.
6. Membuat proses pelaksanaan keamanan informasi menjadi lebih sistematis dan merubah budaya kerja organisasi.
7. Minimalisasi risiko melalui proses risk assessment yang profesional, terstandar, dan komprehensif dalam kerangka manajemen risiko.
8. Meningkatkan efektivitas dan kehandalan dalam pengamanan informasi.
9. Menerapkan standar keamanan informasi yang diakui di seluruh dunia.
10. Kemungkinan rendahnya premi yang mesti dibayarkan kepada pihak asuransi karena standar yang teruji.
11. Kepatuhan terhadap external regulation khususnya dalam keamanan informasi.
12. Peningkatan profit yang signifikan karena transaksi yang aman.
13. Dapat di integrasikan dengan sistem manajemen teknologi informasi lain seperti : ISO9001, ISO14000, ISO20000, ITIL, COBIT, dsb.

Kewajiban Penerapan ISO27001

Pemerintah mengeluarkan peraturan Permen Kominfo No.4 Tahun 2016 Tentang Sistem Manajemen Pengamanan Informasi. Peraturan tsb berisi kewajiban penerapan ISO27001 bagi Badan Usaha Miliki Negera, Badan Usaha Milik Daerah, Lembaga Negara yang dibentuk oleh UU atau Instituri Penyelenggara Negara yang terdiri dari Lembaga Negara atau Lembaga Pemerintahan. Oleh karena itu, penerapan standar sistem keamanan informasi menjadi wajib dilaksanakan oleh lembaga-lembaga yang tercantum dalam peraturan tsb.

Kontak Kami

Jangan tunda lagi investasi Anda dalam penerapan SMKI berbasis ISO 27001 — segera hubungi NetSolution untuk konsultasi lebih lanjut dan jadikan kami mitra strategis dalam membangun masa depan bisnis yang aman dan terpercaya. Untuk mendapatkan konsultasi awal secara gratis dan tanpa komitmen,  silahkan kontak Tim Sales PT. NetSolution melalui FORM ISIAN ini atau Whatsapp Kami.***

Link terkait:

• Portofolio Jasa Konsultasi dan Audit Teknologi Informasi
• Jasa Konsultan Enterprise Architecture
• Jasa Konsultan Tata Kelola TI
• Jasa Konsultan Tata Kelola Data
• Jasa Konsultan IT Governance
• Jasa Konsultan ISO 27001:2022
• Jasa Konsultan Sistem Manajemen Layanan TI
• Jasa Konsultan IT Service Management
• Jasa Konsultan Transformasi Digital
• Jasa Konsultan RSTI
• Jasa Konsultasi IT Master Plan
• Jasa Asesmen IT Maturity Level
• Jasa Konsultan Solusi ERP
• Jasa Konsultan Integrated Management System
• Jasa Konsultan Pelindungan Data Pribadi

Permasalahan framework security dalam sistem manajemen keamanan informasi pada umumnya adalah informasinya yang dikemas dalam bentuk dokumen PDF yang panjang dan membosankan. Seringkali malah menyebabkan kebingungan. Oleh karena itu, untuk membuat kerangka kerja keamanan siber lebih mudah dipahami, kita pisahkan menjadi tiga kategori: control framework (kerangka kerja kendali), program framework (kerangka kerja program), dan risk framework (kerangka kerja risiko).

Kita analogikan ketiganya dalam konteks membuat makanan. Sebelum seorang koki mulai memasak, mereka harus membuat daftar bahan untuk makanan mereka — control framework (kerangka kerja kontrol). Kemudian, mereka perlu menentukan resep untuk mengumpulkan bahan-bahan itu menjadi makanan — program framework (kerangka kerja program). Akhirnya, mereka perlu mencari tahu di mana mereka akan menyajikan makanan itu, dalam hal pengalaman apa yang diinginkan pelanggan saat di memakannya di restoran — risk framework (kerangka kerja risiko).

Kategori Framework Sistem Manajemen Keamanan Informasi

Berikut ini adalah 3 kategori framework cybersecurity yang dapat digunakan sebagai acuan dalam menyusun sistem manajemen keamanan informasi di organisasi Anda :

A. Control Framework Sistem Manajemen Keamanan Informasi

Framework dalam kategori ini contohnya adalah NIST 800-53 dan CIS Control (CSC). Saat seorang profesional cybersecurity memasuki lingkungan baru dimana ia bertugas membangun dan mengelola Tim IT Security, mereka berhadapan dengan kondisi organisasi yang biasanya relatif belum matang dari perspektif TI dan keamanan TI. Umumnya langkah pertama yang diambil adalah melakukan penentuan basic set of controls untuk di implementasikan. Profesional cybersecurity menggunakan control framework untuk melakukan hal-hal sebagai berikut :

• Identifikasi kumpulan kontrol yang menjadi baseline.
• Asessmen kondisi yang terkait dengan kapabilitas teknis.
• Prioritasi implementasi dari kontrol.
• Mengembangkan roadmap awal untuk Tim Keamanan TI.

NIST SP 800-53 adalah katalog kontrol yang komprehensif yang terkait dengan kontrol keamanan dan privasi, dimana kontrol dapat dimplementasikan berdasarkan prioritas atau kontrol keamanan baseline (low impact, moderate impact, atau high impact). Sedangkan CIS Control telah menerbitkan 20 kontrol keamanan yang paling banyak digunakan, dimana kontrol tsb diterapkan di banyak instansi pemerintahan di Amerika Serikat.

B. Program Framework Sistem Manajemen Keamanan Informasi

Framework dalam kategori ini misalnya adalah ISO 27001 dan NIST Cybersecurity Framework. Profesional cybersecurity menggunakan program framework untuk melakukan hal-hal sebagai berikut :

• Asessmen kondisi keseluruhan program keamanan
• Membangun program keamanan yang komprehensif
• Mengukur maturitas (level kematangan) dan memperbandingkannya dengan standar industri sejenis
• Menyederhanakan komunikasi dengan para pemimpin bisnis

Seri standarisasi ISO27001 adalah seri ISO untuk standar Sistem Manajemen Keamanan Informasi yang fokus pada pembangunan program keamanan, termasuk di dalamnya konteks organisasi, kepemimpinan, perencanana, support, dokumentasi, operasi, penilaian kinerja, dan peningkatan berkelanjutan. Sedangkan NIST Cybersecurity Framework membantuk dalam identifikasi, perlindungan, deteksi, respon, dan pemulihan. Terdiri dari 3 bagian, yaitu : core, implementation tiers, dan profil  — dan mendefinisikan bahasa yang sama dalam menangani risiko. Ini membantu organisasi menjawab pertanyaan : apa yang kita lakukan sekarang? mau kemana? bagaimana caranya? dan kapan?, kira-kira demikian.

C. Risk Framework

Contoh framework ini adalah NIST 800-39, 800-37, 800-30, ISO 27005, dan FAIR. Risk framework memungkinkan profesional cybersecurity untuk memastikan bahwa mereka telah mengelola program keamanan dengan cara yang bermanfaat bagi stakeholder organisasi dan membantu menentukan bagaimana cara memprioritaskan aktivitas keamanan. Profesional cybersecurity menggunakan risk framework untuk melakukan hal-hal sebagai berikut :

• Menentukan langkah proses kunci untuk melakukan asessmen dan mengelola risiko
• Strukturisasi program manajemen risiko
• Identifikasi, pengukuran, dan kuantifikasi risiko
• Prioritasi aktivitas keamanan

NIST Security memiliki risk framework yang cukup dikenal yaitu : NIST SP 800-39 (defines the overall risk management process), NIST SP 800-37 (the risk management framework for federal information systems), and NIST SP 800-30 (risk assessment progress). Kemudian ISO 27005 mendefinisikan pendekatan sistematis untuk mengelola risiko untuk organisasi, sementara FAIR adalah standar internasional yang disupport oleh dua organisasi.

Memulai Sistem Manajemen Keamanan Informasi

Bisnis dapat mengambil langkah-langkah berikut untuk mulai mencari tahu kerangka kerja keamanan yang tepat untuk sistem manajemen keamanan informasinya, antara lain dengan cara sebagai berikut:

• Segera: Identifikasi framework cybersecurity yang cocok untuk digunakan di organisasi.
• Dalam tiga bulan: Implementasikan ISMS dan evaluasi dalam tiga bulan bagaimana kerangka kerja itu dapat memberikan kekuatan dari sisi pengamanan dan kinerja TI  kemudian petakan satu sama lain untuk memenuhi tujuan kepatuhan dan regulasi.
• Dalam enam bulan: Perbarui rencana program keamanan Anda untuk memanfaatkan masing-masing dari tiga kategori framework tsb, dan sosialisasikan rencana tersebut dengan para pemimpin teknis, operasional, dan eksekutif.

Kita dapat mematangkan program keamanan TI dengan memilih satu atau lebih kerangka kerja dari setiap kategori untuk bekerja sama untuk meningkatkan keadaan keseluruhan aktivitas keamanan TI dalam organisasi.

Kontak Kami

Informasi lebih lanjut mengenai produk dan layanan kami, silahkan menghubungi kami dengan mengklik  dan mengisi form kontak kami ini. Kami akan segera menindaklanjuti permintaan Anda sesuai jam operasional kantor.***

****