COBIT untuk memastikan keamanan sistem informasi dengan DS5

Untuk memastikan keamanan system dapat dilakukan Auidt system dengan menggunakan COBIT 5. Indikator yang dapat menentukan tingkat keamanan system yang digunakan oeh sebuah perusahaan dapat dilihat dari bobot nilai yang ada pada maturity level hasil perhitungan yang dilakukan pada saat audit.

Ekspektasi  bobot yang diharapakan ditentukan terlebih dahulu oleh pimpinan yang bertanggung jawab pada keamanan system informasi. Setelah itu dilakukan pelaksanaan audit dengan menggunakan checklist yang sudah ditetapkan. Audit dilakukan dengan melakukan wawancara kepada karyawan perusahaan yang terlibat dalam keamanan system. Urutan setiap pertanyaan mengikuti  daftar pertanyaan yang sudah ada pada checklist.

Pengelompokkan kapabilitas perusahaan dalam pengelolaan proses TI dari level nol (non-existent (belum tersedia) hingga level lima atau optimized (teroptimasi). Hal yang perlu diperhatikan adalah level tersebut bukan dimaksudkan sebagai kenaikan sekuensial yang harus dipenuhi mulai dari tingkatan terendah sampai tertinggi.

Berikut adalah contoh pelaksanaan audit pada proses TI DS5 “memastikan keamanan system”

Keterangan :

Keterangan Isian :

STS         = Sangat Tidak Sepakat

SS           = Sepakat Sedikit

SST         = Sepakat sebagian besar

S              = Sepakat

DS5 – Menjamin keamanan system

Yang perlu diingat :

  1. Setiap proses pada tingkat kedewasaan, harus dihitung tingkat kepatutannya
  2. Menghitung tingkat kepatutan adalah jumlah bobot dari setiap soal pada leve proses dibagi jumlah soal pada kriteria untuk setiap level proses
  3. Sealnjutnya model pelaporan ikuti seperti contoh yang dilampirkan untuk audit pada ds5

 

    Apakah sepakat ?
0 Pertanyaan STS SS SST S NILAI
Level Kriteria 0 0.33 0.66 1  
0

Non Existent
  1. Organisasi tidak mengenali kebutuhan keamanan TI.
  2. Akuntabilitas dan tanggungjawab untuk menjamin keamanan belum dibagi-bagi.
  3. Pengukuran dukungan pengelolaan keamanan TI tidak diimplementasikan.
  4. Tidak ada laporan keamanan TI dan tidak ada proses untuk merespon keamanan TI.
  5. Ada kekurangan dalam mengenali proses administrasi keamanan sistem.
   X

 

 

 

X

 

x

  

 

X

 

 

 

 

 

x

 

   0.33

 

0.66

 

0.33

 

0.33

 

0.66
    Tingkat Kepatutan 0,46
   

 

    
    Apakah sepakat ?
1 Pertanyaan TSS ST DTT S NILAI
Level Kriteria 0 0.33 0.66 1  
1

Initial/Ad-hoc
  1. Organisasi mengenali kebutuhan untuk keamanan TI.
  2. Kesadaran mengenai kebutuhan keamanan TI bersifat individual.
  3. Keamanan sistem dilakukan secara reaktif.
  4. Keamanan sistem tidak diukur.
  5. Apabila ada pelanggaran keamanan TI akan terjadi saling tunjuk, karena tanggungjawabnya yang tidak jelas.
  6. Respon pada keamanan dan pelanggaran TI tidak dapat diprediksi.
          
    Tingkat Kepatutan 0.20
             
    Apakah sepakat ?
2 Pertanyaan TSS ST DTT S NILAI
Level Kriteria 0 0.33 0.66 1  
             
2

Repeatable but intuitive
  1. Tanggungjawab dan akuntabilitas untuk keamanan TI diberikan pada koordinator keamanan TI, walaupun hak dan wewenang dari manajemen koordinator terbatas.
  2. Kesadaran akan kebutuhan keamanan dibagi-bagi dan terbatas.
  3. Walaupun informasi yang relevan mengenai keamanan dihasilkan oleh sistem, tetapi tidak dianalisa.
  4. Layanan dari pihak ketiga tidak mengatur keamanan spesifik yang diperlukan organisasi.
  5. Kebijakan keamanan telah dilakukan, tetapi kemampuan dan peralatan masih terbatas.
  6. Laporan keamanan TI tidak lengkap.
  7. Disediakan pelatihan mengenai keamanan tetapi inisiatifnya berasal dari individu.
  8. Keamanan TI dilihat sebagai tanggungjawab dari domain TI dan bisnis dan tidak melihatnya sebagai hal yang dominan.
          
    Tingkat Kepatutan 0.40

 

 

    Apakah sepakat ?
3 Pertanyaan TSS ST DTT S NILAI
Level Kriteria 0 0.33 0.66 1  
3

Define process
  1. Ada kesadaran keamanan yang dilakukan oleh manajemen.
  2. Prosedur keamanan TI didefinisikan dan disesuaikan dengan kebijakan keamanan TI.
  3. Tanggungjawab untuk keamanan TI dilakukan dan dipahami, tetapi belum ditegakkan secara konsisten.
  4. Ada perencanaan keamanan TI dan solusinya dianalisa dengan faktor resiko.
  5. Laporan keamanan tidak berisi fokus bisnis yang jelas.
  6. Testing keamanan dilakukan secara ad hoc (untuk tujuan tertentu) misal pengujian gangguan/intrusion.
  7. Pelatihan keamanan disediakan untuk TI dan bisnis tetapi belum diatur dan dijadwalkan secara formal.

 

          
    Tingkat Kepatutan 0.3
             
    Apakah sepakat ?
4 Pertanyaan TSS ST DTT S NILAI
Level Kriteria 0 0.33 0.66 1  
4

Manage and measureable
  1. Tanggungjawab untuk keamanan TI telah diatur, dilakukan, dan ditegakkan.
  2. Resiko keamanan TI dan pengaruhnya telah dianalisa dan dilakukan secara konsisten.
  3. Kebijakan keamanan dan pelatihan dilengkapi dengan dasar keamanan yang spesifik.
  4. Metode yang digunakan dalam memperkenalkan kesadaran keamanan bersifat perintah.
  5. Identifikasi user, bukti otentik, dan otorisasi telah distandarisasi.
  6. Sertifikasi keamanan telah diberikan pada staff yang bertanggungjawab untuk mengaudit dan mengatur keamanan.
  7. Testing keamanan dilakukan sesuai standar dan proses formal untuk meningkatkan tingkat keamanan.
  8. Proses keamanan TI dikoordinasikan dengan seluruh fungsi keamanan organisasi.
  9. Laporan keamanan TI disesuaikan dengan sasaran bisnis.
  10. Pelatihan keamanan TI dilakukan untuk bisnis dan TI.
  11. Pelatihan keamanan TI direncanakan dan diatur untuk merespons kebutuhan bisnis dan menjelaskan resiko keamanan.
  12. KGI dan KPI untuk pengaturan keamanan telah didefinisikan tetapi belum diukur.
          
    Tingkat Kepatutan 0.5

 

 

    Apakah sepakat ?
5 Pertanyaan TSS ST DTT S NILAI
Level Kriteria 0 0.33 0.66 1  
5

Optimised
  1. Keamanan TI merupakan gabungan tanggungjawab bisnis dan manajemen TI diintegrasikan dengan sasaran bisnis.
  2. Kebutuhan keamanan TI telah didefinisikan, dan disertakan dalam perencanaan keamanan yang telah disetujui.
  3. User dan customer ditingkatkan akuntabilitasnya dalam mendefinisikan kebutuhan keamanan, dan fungsi keamanan diintegrasikan dengan aplikasi pada tahap desain.
  4. Insiden keamanan disesuaikan dengan prosedur formal yang didukung oleh tools otomatis.
  5. Penugasan keamanan secara periodik telah dilakukan untuk mengevaluasi efektifitas implementasi perencanaan keamanan.
  6. Informasi mengenai ancaman dan gangguan dikumpulkan dan dianalisa secara sistematis.
  7. Kontrol yang memadai untuk mengurangi resiko dikomunikasikan dan dilakukan.
  8. Testing keamanan, akar penyebab permasalahan dianalisa dan diidentifikasi yang digunakan untuk peningkatan proses keamanan.
  9. Proses keamanan dan teknologi disesuaikan dengan perluasan organisasi.
  10. KGI dan KPI untuk pengaturan keamanan dikumpulkan dan dikomunikasikan.
  11. Manajemen menggunakan KGI dan KPI untuk menyesuaikan perencanaan keamanan dalam proses peningkatan yang berkelanjutan.
          
    Tingkat Kepatutan 0.3

 

Menghitung tingkat kedewasaan adalah :

Merupakan hasil bagi antara total nilai kriteria dibagi dengan  jumlah petanyaan

DS5
LEVEL KEDEWASAAN TINGKAT KEPATUTAN KONTRIBUSI TIAP LEVEL NILAI
0 0.3 0 0
1 0.2 0.3 0.06
2 0.4 0.7 0.28
3 0.3 1.0 0.3
4 0.5 1.3 0.65
5 0.3 1.7 0.51
Tingkat kedewasaan Proses TI = 1.8

 

 

Penjelasan penulisan berikutnya adalah membuat laporan hasil audit

FORMAT DALAM PEMBUATAN LAPORAN

  1. Latar belakang pelaksanaan audit
  2. Tim Auditor
  3. Temuan –temuan

 

No Fakta/Temuan Potensial Resiko Rekomendasi
       
       
       

 

  1. Penjelasan temuan-temuan
  2. Pelaksanaan audit dengan menggunakan check list
  3. Grafik Radar
  4. Kesimpulan