PERANCANGAN INSTRUMENT PENGUKURAN RISK ASSESSMENT SEBAGAI REKOMENDASI STRATEGI MITIGASI RESIKO DI SBUPE BANDUNG TESIS

Transkripsi

1 PERANCANGAN INSTRUMENT PENGUKURAN RISK ASSESSMENT SEBAGAI REKOMENDASI STRATEGI MITIGASI RESIKO DI SBUPE BANDUNG TESIS Karya tulis sebagai salah satu syarat untuk memperoleh gelar Magister dari Institut Teknologi Bandung Oleh YUDI PRIYADI NIM: Program Studi Teknik Elektro INSTITUT TEKNOLOGI BANDUNG

2 PERANCANGAN INSTRUMENT PENGUKURAN RISK ASSESSMENT SEBAGAI REKOMENDASI STRATEGI MITIGASI RESIKO DI SBUPE BANDUNG Oleh YUDI PRIYADI NIM: Program Studi Teknik Elektro Institut Teknologi Bandung Menyetujui, Tanggal 6 Maret 2008 Pembimbing, ( Dr. Ing. Ir. Suhardi ) 2

3 ABSTRAK PERANCANGAN INSTRUMENT PENGUKURAN RISK ASSESSMENT SEBAGAI REKOMENDASI STRATEGI MITIGASI RESIKO DI SBUPE BANDUNG Oleh YUDI PRIYADI NIM: Manajemen resiko merupakan proses yang dilakukan oleh para manajer IT untuk menyeimbangkan kegiatan operasional dan pengeluaran biaya keuangan, dalam mencapai keuntungan dengan melindungi sistem IT dan data yang mendukung misi organisasinya. Kegiatan ini meliputi tiga proses, yaitu risk assessment, risk mitigation, dan Evaluation and Assessment. Terdapat dua jenis metode dasar analisis resiko dalam melakukan pertimbangannya yaitu: analisis resiko kuantitatif dan analisis resiko kualitatif. Analisis resiko kuantitatif, mencoba untuk memberikan nilai moneter secara obyektif pada suatu komponen, dari penaksiran resiko itu, dan untuk penilaian atas kerugian yang potensial. Sebaliknya, suatu analisis resiko yang kualitatif adalah analisis berbasis suatu skenario. Di dalam pembuatan rancangan instrument ini, dilakukan pengelompokkan asset yang terkait secara langsung dengan operasional Track and Trace system, yang menghasilkan beberapa tabel dari asset. Untuk pengelompokkan asset ini, datanya berasal dari studi lapangan dan dokumentasi peraturan organisasi, mengenai akuntansi yang sudah dijadikan tangible asset pada dokumentasi tersebut. Kemudian, dilakukan analisis resiko secara kualitatif dan kuantitatif yang merupakan bagian aktifitas penilaian resiko. Hasil dari rancangan ini berupa template isian yang dapat dijadikan rekomendasi pendukung strategi manajemen resiko. Sedangkan untuk pengujian rancangan, laporan ini menyajikan saran berupa langkah-langkahnya, yaitu dengan mengadopsi metodologi audit dari COBIT (Control Objectives for Information and related Technology) yang terdapat pada CISA Review Manual. Kata Kunci: Manajemen Resiko, Risk Assesment, Risk Mitigation, Evaluation and Assesment, analisis resiko, kualitatif kuantitatif, asset. i

4 ABSTRACT DESIGN OF INSTRUMENTAL MEASUREMENT RISK ASSESSMENT AS RECOMMENDATION OF STRATEGY RISK MITIGATION IN SBUPE BANDUNG By YUDI PRIYADI NIM: Risk management represents process which is conducted by managers of IT to balance the operational activity and expenditure of financial expense, in order to reach the advantage by protecting system of IT and data that support its organizational mission. This activity consists of three processes, they are assessment risk, mitigation risk, and Evaluation and Assessment. There are two types of method of risk analysis in conducting its consideration, they are quantitative and qualitative risk analysis. In analyzing quantitative risk, managers try to assign value of monetary objectively at one particular component and to assess the potential of loss. On the contrary, the qualitative risk analysis is an analysis which is based on a scenario. In making of design of this instrument, it has been conducted the grouping of assets which is directly related to operational of Track and Trace system, which produce several tables from the assets. For grouping these assets, the data were taken from field study and documentation of organizational regulation. Concerning about documentation, the data has been the tangible asset which were taken from accounting department. Then, the risk analysis is conducted qualitatively and quantitatively which is part of activity of risk assessment. The result of this design is in the form of stuffing template which is able to be made as supporting recommendation of risk management strategy. Meanwhile, to examine the design, this report will present suggestion in the form of the steps to conduct the examination, that is by adopting audit methodology from COBIT (Control Objectives Information Technology related and for) that can be found on CISA Review Manual. Keywords: Risk Management, Risk Assessment, Risk Mitigation, Evaluation And Assessment, risk analysis, quantitative qualitative, asset. ii

5 PEDOMAN PENGGUNAAN TESIS Tesis S2 yang tidak dipublikasikan terdaftar dan tersedia di Perpustakaan Institut Teknologi Bandung, dan terbuka untuk umum dengan ketentuan bahwa hak cipta ada pada pengarang dengan mengikuti aturan HaKI yang berlaku di Institut Teknologi Bandung. Referensi kepustakaan diperkenankan dicatat, tetapi pengutipan atau peringkasan hanya dapat dilakukan seizin pengarang dan harus disertai dengan kebiasaan ilmiah untuk menyebutkan sumbernya. Memperbanyak atau menerbitkan sebagian atau seluruh tesis haruslah seizin Direktur Program Pascasarjana, Institut Teknologi Bandung. iii

6 PERSEMBAHAN Walhamdulillahirabbil aalamin.. Dipersembahkan untuk Pramoedya agar menjadi lebih baik dari bapaknya ketika mencari ilmu untuk kehidupan dunia & akhirat kelak... iv

7 KATA PENGANTAR Puji syukur penulis panjatkan kehadirat Allah S.W.T, karena atas rahmat dan hidayah- Nya maka laporan ini dapat diselesaikan. Tulisan yang berjudul Perancangan Instrument Pengukuran Risk Assessment Sebagai Rekomendasi Strategi Mitigasi Resiko Di SBUPE Bandung, merupakan salah satu syarat untuk mendapatkan gelar magister di Institut Teknologi Bandung. Penulis mengucapkan terima kasih atas bantuan yang diberikan, sehingga dapat terselesaikanya laporan ini, kepada: 1. Bapak Dr. Ing. Ir. Suhardi sebagai pembimbing tesis, banyak wawasan baru yang penulis dapatkan dari topik ini. Terima kasih, 2. Bapak Ir. Albarda, M.T. sebagai dosen wali akademik, 3. Bapak Ir. Yudi Satria Gondokaryono M.Sc, Ph.D, Bapak Ir. Tunggal Mardiono M.Sc., Bapak Ir. Budiman Dabarsyah MSEE, sebagai penguji dalam sidang tesis. Terima kasih, 4. Dosen-dosen Teknologi Informasi yang telah melakukan transfer ilmu, bimbingan dan wawasan selama perkuliahan. Terima kasih, 5. Sahabat-sahabat Teknologi Informasi 2005 untuk kebersamaan yang sangat manis & hangat selama perkuliahan. Terima kasih, 6. Staf dan karyawan LSS atas pelayanan administrasi yang sangat ramah dan bersahabat, 7. Ibuku Tien Martinah yang selalu berdoa untuk kebahagiaanku, 8. Pramoedya anakku dan Eli istriku yang menjadi inspirasi perbaikan hidup. Setelah masa perkuliahan ini selesai, semoga masa depan kita menjadi lebih baik. Amin... Penulis menyadari bahwa laporan tesis ini masih banyak kekurangannya, oleh karena itu penulis sangat mengharapkan saran, kritik atau caci maki agar pada laporan karya tulis selanjutnya dapat menjadi baik. Walhamdulillahirabbil aalamin. Bandung, Maret 2008 Sang Penulis v

8 DAFTAR ISI Halaman ABSTRAK... i ABSTRACT... ii PEDOMAN PENGGUNAAN TESIS... iii PERSEMBAHAN... iv KATA PENGANTAR... v DAFTAR ISI... vi DAFTAR GAMBAR... ix DAFTAR TABEL... x DAFTAR LAMPIRAN... xii BAB I PENDAHULUAN... 1 I.1 Latar Belakang...1 I.2 Perumusan Masalah...3 I.3 Tujuan...4 I.4 Batasan Masalah...4 I.5 Metodologi Penelitian...5 I.6 Sistematika Penulisan...7 BAB II TINJAUAN PUSTAKA... 9 II.1 Manajemen Resiko Teknologi Informasi...9 II.1.1. Risk Assessment... 9 II System Characterization II Threat Identification II Vulnerability Identification II Control Analysis II Likelihood Determination II Impact Analysis II Risk Determination II Control Recommendations vi

9 II Results Documentation II.1.2. Risk Mitigation II Risk Mitigation Options II Approach For Control Implementation II.1.3. Evaluation and Assessment II.2 Metode Analisis Resiko...32 II.2.1 Analisis Resiko Kualitatif Dan Perhitungannya II Identifikasi dan Valuasi Asset II Identifikasi dan Valuasi Vulnerability II Threat Assesment II Estimasi Potential Impact II Likelihood of Threat Occurrence II Exposure Rating II Pengukuran Resiko II Safeguard II Residual Risk II.2.2 Analisis Resiko Kuantitatif Dan Perhitungannya II Prosedur Analisis Resiko II Perhitungan Analisis Resiko II Pemberian Nilai Untuk Tangible Dan Intangible Asset II Cara Lain Memperkirakan Threat Dan Risk Untuk ALE II Data Referensi Analisis Resiko BAB III ANALISIS STUDI KASUS SBUPE III.1 Profile SBUPE...46 III.2 Proses Bisnis...47 III.2.1. Proses Pencatatan III.2.2. Bukti Transaksi dan Pembuatan Dokumen III.2.3. Laporan III.2.4. Pengkodean III.3 Aturan Bisnis...55 III.3.1. Keamanan Data vii

10 III.3.2. Validasi Data III.4 Identifikasi Asset...56 BAB IV ANALISIS MANAJEMEN RESIKO TEKNOLOGI INFORMASI IV.1 Penerapan Alur Metode Analisis Resiko...61 IV.1.1 Penerapan Metode Kualitatif di SBUPE IV.1.2 Penerapan Metode Kuantitatif di SBUPE IV.2 Pengelompokkan Asset...63 IV.3 Analisis Resiko Secara Kualitatif...64 IV.3.1 Identifikasi dan Valuasi Asset IV.3.2 Threat Pada Track and Trace System IV.3.3 Vulnerability Pada Track & Trace System IV.3.4 Resiko Pada Track & Trace System IV.3.5 Pengukuran Resiko IV.4 Analisis Resiko Secara Kuantitatif...77 IV.4.1 Identifikasi dan Valuasi Asset IV.4.2 Threat dan Vulnerability Assessment IV.4.3 Analisis Cost dan benefit BAB V STRATEGI MITIGASI RESIKO V.1 Risk Mitigation SBUPE...90 V.2 Alur Perancangan Instrument...91 V.3 Strategi Mitigasi Resiko di SBUPE...92 V.5 Saran Pengujian Rancangan...93 BAB VI KESIMPULAN VI.1 KESIMPULAN...95 VI.2 SARAN PENGEMBANGAN...96 DAFTAR PUSTAKA LAMPIRAN 1 Panduan Kuesioner LAMPIRAN 2 Panduan Wawancara viii

11 DAFTAR GAMBAR Halaman Gambar I.1 Kerangka Berpikir... 7 Gambar II.1 Proses Risk Assessment [2] Gambar II.2 Proses Risk Mitigation [2] Gambar II.3 CIA Triad [19] Gambar II.4 Konversi Tingkat Resiko [1] Gambar III.1 Struktur Organisasi SBUPE Bandung. [20] Gambar III.2 CD Proses Bisnis SBUPE Gambar III.3 DFD Level 1 Proses Bisnis SBUPE Gambar IV.1 Alur Penerapan Metode Kualitatif Gambar IV.2 Alur Penerapan Metode Kuantitatif Gambar V.1 Alur Proses Perancangan ix

12 DAFTAR TABEL Halaman Tabel II.1 Human threats [2] Tabel II.2 Vulnerability/Threats Pairs [2] Tabel II.3 Security Criteria [2] Tabel II.4 Likelihood Definitions [2] [8] Tabel II.5 Magnitude of Impact Definitions. [2] [8] Tabel II.6 Perbedaan kualitatif dan kuantitatif [8] Tabel II.7 Risk-Level Matrix [2] Tabel II.8 Pengembangan Risk-Level Matrix [8] Tabel II.9 Risk Scale and Necessary Actions [2] [8] Tabel II.10 Exposure Rating [8] Tabel II.11 Estimasi Nilai EF Tabel II.12 Data Utama [1] Tabel II.13 Hasil Survey Pendapat [1] Tabel III.1 Dokumen Transaksi [20] Tabel III.2 Jenis-jenis laporan [20] Tabel III.3 Pengkodean [20] Tabel III.4 Validasi data Tabel III.5 Posisi pekerjaan dan banyaknya karyawan [20] Tabel IV.1 Pengelompokkan Asset SBUPE Tabel IV.2 Identifikasi Asset dan Valuasi Tabel IV.3 Threat Assesment Tabel IV.4 Daftar Vulnerability pada Asset Organisasi Tabel IV.5 Daftar Resiko di SBUPE Tabel IV.6 Pengukuran Resiko Tabel IV.7 Identifikasi dan Valuasi Aset Tabel IV.8 Kemungkinan terjadi threat berdasarkan ARO Tabel IV.9 Exposure Rating x

13 Tabel IV.10 Single Loss Expectancy Tabel IV.11. Annualized Loss Expectancy Tabel IV.12 safeguard effectiveness Tabel IV.13 SLE dari implementasi Tabel IV.14 ALE dari implementasi Tabel IV.15 Cost/benefit analysis Tabel V.1 Strategi Mitigasi Resiko Tabel V.2 Pengujian Rancangan Strategi Majamen Resiko SBUPE xi

14 DAFTAR LAMPIRAN Halaman LAMPIRAN 1 Panduan Kuesioner LAMPIRAN 2 Panduan Wawancara xii