EVALUASI MANAJEMEN KEAMANAN INFORMASI MENGGUNAKAN INDEKS KEAMANAN INFORMASI (KAMI) PADA KANTOR WILAYAH DITJEN PERBENDAHARAAN NEGARA JAWA TIMUR

Transkripsi

1 EVALUASI MANAJEMEN KEAMANAN INFORMASI MENGGUNAKAN INDEKS KEAMANAN INFORMASI (KAMI) PADA KANTOR WILAYAH DITJEN PERBENDAHARAAN NEGARA JAWA TIMUR

2 EVALUASI MANAJEMEN KEAMANAN INFORMASI MENGGUNAKAN INDEKS KEAMANAN INFORMASI (KAMI) PADA KANTOR WILAYAH DITJEN PERBENDAHARAAN NEGARA JAWA TIMUR Outline Latar Belakang Perumusan masalah Batasan masalah Tujuan Metodologi Analisis data hasil dan pembahasan Latar Belakang Keputusan Menteri Keuangan Nomor 479/KMK.01/2010 tentang Kebijakan dan Standar Sistem Manajemen Keamanan Informasi di Lingkungan Kementerian Keuangan. Masalah yang paling penting di dalam pelaksanaan Sistem Manajemen Keamanan Informasi (SMKI) adalah melakukan evaluasi terhadap pelaksanaan SMKI yang diistilahkan monitor and review. Evaluasi pengelolaan keamanan informasi berdasarkan Panduan Penerapan Tata Kelola Keamanan Informasi bagi Penyelenggara Pelayanan Publik yang menjadi dasar penggunaan indeks KAMI mengharuskan adanya pelaksanaan Gap Analysis. Evaluasi pengelolaan keamanan informasi juga bisa menggunakan form CPAR (Corrective, Preventive, Action and Report) dengan mengacu kepada Kaidah PLOR (Problem, Location, Objective and Reference). Rumusan masalah Berapa nilai evaluasi dalam pengelolaan keamanan serta tingkat kematangan keamanan Teknologi Informasi pada Kanwil DJPBN Jawa Timur? Bagaimana rekomendasi atas hasil analisis faktor penyebab dan faktor pendukung penerapan pengelolaan keamanan informasi pada Kanwil DJPBN Jawa Timur berdasarkan hasil evaluasi Indeks KAMI? Batasan masalah Evaluasi yang dilakukan menggunakan penilaian Indeks Keamanan Informasi (KAMI) Kementerian Kominfo Lingkup evaluasi pengelolaan keamanan informasi meliputi pula tingkat kematangan dalam penerapan pengelolaan keamanan informasi Evaluasi faktor penyebab dan faktor pendukung penerapan keamanan informasi dilakukan berdasarkan kaidah PLOR (problem, location, objective dan reference) terkait dengan status penerapan beberapa aspek pada indeks KAMI Lingkup penilaian hanya pada pengelolaan keamanan informasi yang ditangani oleh Kanwil DJPBN Jawa Timur saja. Tugas akhir tidak mengevaluasi pengelolaan keamanan secara teknis namun hanya dari sisi pengelolaan atau manajemen berdasarkan tata kelola, kerangka kerja, pengelolaan aset, dan teknologi apa yang tercakup dalam pengendalian keamanan pada Kanwil DJPBN Jawa Timur Tujuan Mendapatkan hasil penilaian mengenai pengelolaan keamanan TI pada Kanwil DJPBN Jawa Timur. Mengetahui tingkat kematangan pengelolaan keamanan teknologi informasi pada Kanwil DJPBN Jawa Timur. Mendapatkan rekomendasi atas hasil analisis faktor penyebab dan faktor pendukung dalam pengelolaan keamanan informasi Memberikan masukan dalam rangka peningkatan kualitas pengelolaan keamanan informasi pada Kanwil DJPBN Jawa Timur. Tinjauan pustaka

3 Indeks KAMI Indeks KAMI adalah alat evaluasi untuk menganalisis tingkat kesiapan pengamanan informasi di instansi pemerintah. Alat evaluasi ini tidak ditujukan untuk menganalisis kelayakan atau efektivitas bentuk pengamanan yang ada, melainkan sebagai perangkat untuk memberikan gambaran kondisi kesiapan (kelengkapan dan kematangan) kerangka kerja keamanan informasi kepada pimpinan Instansi Masukan Proses Bisnis Infrastruktur IT Dokumen Pengelolaan Keamanan IT Proses (Subbab 3.1) Pemahaman kondisi eksisting pengelolaan keamanan informasi Masukan Proses (Subbab 3.2 & 3.3) Data Informasi Dokumen pendukung pelaksanaan Indeks KAMI Masukan Indeks Keamanan Informasi (KAMI) Kominfo Masukan Skor Nilai Kesiapan Pengamanan Informasi Masukan Nilai Pengamanan Informasi sesuai kondisi eksisting Masukan Hasil Pembahasan Pengelolaan Keamanan Informasi Keluaran Data Informasi Dokumen pendukung pelaksanaan Indeks KAMI Keluaran Studi Literatur Studi Lapangan Relevansi Data, Informasi dan Dokumen Proses (Subbab 3.4) Keluaran Uji Kesiapan Menggunakan Indeks KAMI Skor Nilai Kesiapan Pengamanan Informasi Proses (Subbab 3.5)

4 Keluaran Penilaian Aspek Kepatuhan Nilai Pengamanan Informasi sesuai kondisi eksisting Proses (Subbab 3.6) Keluaran Analisis dan Pembahasan Pemahaman Kondisi Kematangan Pengelolaan Keamanan Informasi Proses (Subbab 3.7) Keluaran Dokumentasi semua proses dalam Buku Tugas Akhir Buku Tugas Akhir metodologi Analisis data Seluruh pertanyaan yang ada dalam setiap area dikelompokkan menjadi 3 (tiga) kategori pengamanan, sesuai dengan tahapan dalam penerapan standar ISO/IEC Pertanyaan yang terkait dengan kerangka kerja dasar keamanan informasi masuk dalam kategori 1 " Pertanyaan terkait efektivitas dan konsistensi penerapan didefinisikan sebagai kategori 2. Pertanyaan yang merujuk pada kemampuan untuk selalu meningkatkan kinerja keamanan informasi adalah kategori 3 ". Analisis data Pada ketiga kategori pertanyaan tersebut, responden kemudian diminta untuk menjawab setiap pertanyaan dengan pilihan status penerapan : a. Tidak dilakukan b. Dalam Perencanaan; c. Dalam penerapan atau diterapkan sebagian; d. Diterapkan secara menyeluruh Analisis data Kategori Pengamanan Analisis data Tingkat Kematangan Tingkat I : Kondisi Dasar (Reaktif) Tingkat II : Penerapan Kerangka Dasar (Aktif) Tingkat III : Terdefinisi dan Konsisten (Proaktif). Tingkat IV : Terkelola dan Terstruktur (Terkendali). Tingkat V : Optimal (Optimal). Total pertanyaan Dan Skor maksimum

5 Analisis data Indikator dalam aspek penilaian Analisis data Penilaian Aspek Kepatuhan Pembandingan skor indeks KAMI Kanwil DJPBN Jawa Timur dengan semua bukti nyata berdasarkan kondisi keamanan informasi yang ditangani Kanwil DJPBN Jawa Timur saat ini Data pendukung aspek kepatuhan yang dilakukan pada tugas akhir ini antara lain : Hasil observasi langsung Dokumentasi Daftar perundang-undangan dan dokumen tertulis lainnya terkait pengelolaan keamanan informasi Analisis data Penilaian Aspek Kepatuhan Area Self Assestment Peran TIK Nilai 5 Area Perhitungan Nilai Self Assestment % = 72% 588 Objective Assestment Objective Assestment % =57.31% 588 Analisis data Penilaian Aspek Kepatuhan Hasil skor peran tik Hasil Skor : 36 Dari hasil di atas menunjukkan bahwa tingkat ketergantungan Kanwil DJPBN Jawa Timur akan kebutuhan TIK bernilai tinggi Hal ini menunjukkan bahwa tingkat kebutuhan TIK sebagai layanan Penganggaran dan Perbendaharaan sangat diperhitungkan Hasil SKOR peran tik Kanwil djpbn jawa timur Status Ketergantungan Terendah Tertinggi Klasifikasi 0 12 Rendah 13

6 24 Sedang Tinggi Kritis Hasil skor tata kelola Kategori Kontrol (Tahap) Total Pertanyaan Tata Kelola Keamanan Nilai Pertanyaan Tata Kelola Kategori Tingkat Kematangan II III IV Total Pertanyaan Nilai Tingkat validitas kematangan Y N N Hasil skor tata kelola Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 28 Untuk memperoleh tingkat valid kematangan >II, jumlah skor pertanyaan Kategori Kematangan II harus mencapai 80% (33,6) Pengamanan sudah diterapkan walaupun belum adanya keterkaitan langkah pengamanan untuk mendapatkan strategi yang efektif

7 Hasil skor pengelolaan risiko Pengelolaan Risiko Nilai Kategori Kontrol (Tahap) Total Pertanyaan Pengelolaan Risiko Kategori Tingkat Kematangan II III IV V Total Pertanyaan Nilai Tingkat validitas kematangan Y N N N Hasil skor pengelolaan risiko Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 18 Untuk memperoleh tingkat valid kematangan >II, jumlah skor pertanyaan Kategori Kematangan II harus mencapai 80% (21,6) Bentuk pelaksanaan secara keseluruhan belum dinilai efektifitasnya Hasil skor kerangka kerja Kategori Kontrol (Tahap) Total Pertanyaan

8 Pengelolaan Kerangka Kerja Nilai Pengelolaan Kerangka Kerja Kategori Tingkat Kematangan II III IV V Total Pertanyaan Nilai Tingkat validitas kematangan Y N N N Hasil skor kerangka kerja Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 24 Untuk memperoleh tingkat valid kematangan >II, jumlah skor pertanyaan Kategori Kematangan II harus mencapai 80% (28,8) Langkah pengamanan operasional yang diterapkan bergantung kepada pengetahuan dan motivasi individu pelaksana Hasil skor pengelolaan aset Kategori Kontrol (Tahap) Total Pertanyaan Pengelolaan Aset Nilai Pengelolaan Aset

9 Nilai Kategori Tingkat Kematangan II III Total Pertanyaan Tingkat validitas kematangan Y N Hasil skor pengelolaan aset Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 72 Untuk memperoleh tingkat valid kematangan >II, jumlah skor pertanyaan Kategori Kematangan II harus mencapai 80% (74,4) Kelemahan dalam manajemen pengamanan masih banyak ditemukan dan tidak dapat diselesaikan dengan tuntas oleh pelaksana maupun pimpinan Hasil skor keamanan teknologi Pengelolaan Teknologi Kategori Kontrol (Tahap) Total Pertanyaan Nilai Pengelolaan Teknologi Kategori Tingkat Kematangan II III IV Total Pertanyaan Nilai Tingkat validitas kematangan Y N N Hasil skor keamanan teknologi Pada Tingkat Kematangan II, status sudah menunjukkan valid karena sudah melebihi tingkat pencapaian yaitu dengan skor 28 Untuk memperoleh tingkat valid kematangan >II, jumlah skor

10 pertanyaan Kategori Kematangan II harus mencapai 80% (31,2) Bentuk pengamanan secara belum dinilai efektifitasnya keseluruhan Hasil skor 5 area Validitas Validitas Status Tata Kelola Yes I Pengelolaan Risiko Kerangka Kerja Tingkat Kematangan I Yes Yes I I Pengelolaan Aset Teknologi Yes I Yes I Ye II Yes II No II Tingkat Kematangan II Validitas Status Yes II Yes II Yes II Tingkat Kematangan III Validitas Status

11 Tingkat Kematangan IV Validitas Status Status Akhir II II II II II Hasil skor 5 area Hasil skor 5 area Untuk menuju ke tingkat kematangan yang lebih tinggi, maka 3 aspek yang peningkatan yang dibutuhkan : Kerangka kerja dasar, contoh : SFO, kebijakan, prosedur, juklak dan juknis mengenai keamanan informasi Konsistensi penerapan, contoh : formulir, checklist monitoring, laporan, dll Upaya peningkatan kinerja keamanan, contoh : sosialisasi, tes online, evaluasi untuk efektivitas pelaksanaan pengamanan Form cpar KEMENTERIAN KEUANGAN REPUBLIK INDONESIA DIREKTORAT JENDERAL PERBENDAHARAAN KANTOR WILAYAH PROVINSI JAWA TIMUR GKN Surabaya I Jl. Indrapura No.5 Surabaya Telp. (031) Fax. (031) Section 1 : Obyek Pimpinan Instansi anda secara prinsip dan resmi bertanggungjawab terhadap pelaksanaan program keamanan informasi (misal yang tercantum dalam ITSP), termasuk penetapan kebijakan terkait Diajukan oleh : Disetujui oleh : Tanggal : Nama & TTD (Mustaqim Siga) Kepala Bagian Umum Section 2 : Penyebab / Pendukung Pimpinan intansi dalam hal ini Kepala Kanwil dan Kepala Bagian Umum serta Kepala Bidang secara resmi bertanggung jawab terhadap pelaksanaan pengamanan informasi, namun untuk lebih spesifik pada kebijakan keamanan secara teknis belum dirinci. Diajukan oleh : Disetujui oleh : Tanggal : Nama & TTD (Mustaqim Siga) Kepala Bagian Umum Section 3 : Usulan tindakan perbaikan Sebagai pengimplementasian KMK 479/KMK.01/2010 maka diharapkan dibentuk fungsi dan kewenangan tertulis untuk Chief Information Security Officer Eselon II, Information Security Manager Eselon II dan Tim Keamanan Informasi secara formal pada Kanwil DJPBN yang bertanggungjawab kepada Kepala Kanwil DJPBN Jawa Timur. Dibentuk suatu Dokumen Kebijakan Keamanan Informasi sebagai penjabaran atas Kebijakan Keamanan Informasi sebagaimana tertuang dalam KMK.479/KMK.01/2010, dipublikasikan dan dikomunikasikan kepada seluruh pegawai dan pihak-pihak lain yang

12 kesimpulan Dari aspek penilaian peran TIK khususnya peran teknologi informasi bagi Kanwil DJPBN, menunjukkan bahwa kebutuhan TIK bagi institusi ini relatif tinggi yang menandakan peran vital TIK bagi pelaksanaan perbendaharaan (skor 36 dari 48). Status kesiapan pengelolaan keamanan informasi yang meliputi kelengkapan perangkat keamanan pada 5 area yakni Tata Kelola, Pengelolaan Risiko, Kerangka Kerja, Pengelolaan Aset, dan Teknologi dinilai masih perlu adanya perbaikan (skor 337 dari nilai maksimal 588). Berdasarkan status kesiapan yang terlihat dari skor akhir pengelolaan keamanan informasi, maka pengelolaan keamanan informasi dinyatakan masih perlu adanya perbaikan dalam memenuhi standarisasi ISO/IEC 27001:2005 terlebih pada efektifitas pelaksanaan kerangka kerja keamanan informasi. Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Tata Kelola Memperbaiki beberapa kelemahan dalam sistem manajemen tata kelola sehingga dapat menghasilkan dampak signifikan terhadap pengelolaan keamanan informasi Efektivitas pengamanan dievaluasi berkala melalui proses yang terstruktur Meningkatkan poin-poin tata kelola keamanan yang sudah mematuhi ambang batas minimum pada area tata kelola Meningkatkan kesadaran semua pihak baik pimpinan, pelaksana dan pihak ketiga untuk menyadari tanggungjawab pengelolaan keamanan Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Risiko Merencanakan dan menerapkan seluruh pengelolaan risiko menjadi bagian dari kriteria penilaian efektifitas pengamanan terhadap semua layanan perbendaharaan Kanwil DJPBN Merencanakan dan mengevaluasi secara menyeluruh terhadap program pengelolaan risiko keamanan yang akan dilaksanakan Melaksanakan dokumentasi peningkatan langkah mitigasi yang diterapkan untuk mengetahui kondisi perkembangan penanganan dan pengendalian risiko Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Kerangka Kerja Merencanakan dan menerapkan kebijakan dan prosedur keamanan informasi terhadap semua aktifitas teknologi informasi Merencanakan dan menerapkan proses pengembangan rencana pemulihan bencana terhadap layanan TIK (teknologi informasi komunikasi) yang sudah didefinisikan komposisi, peran, wewenang dan tanggungjawabnya Melaksanakan dokumentasi dan pelaporan terhadap penerapan kerangka kerja pengelolaan keamanan informasi secara berkala Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Aset Merencanakan dan melaksanakan secara menyeluruh tata tertib pengamanan komputer, , intranet dan internet serta pertukaran data dan informasi Merencanakan dan menerapkan secara menyeluruh proses penerapan definisi tingkatan akses dan matrix yang merekam alokasi akses Melaksanakan pengendalian dan evaluasi secara menyeluruh terhadap aset informasi dan dokumentasi terhadap semua aktifitas pengelolaan keamanan aset informasi Rekomendasi perbaikan 5 area Rekomendasi Perbaikan Area Teknologi Merencanakan penerapan secara menyeluruh pada proses konfigurasi standar untuk keamanan sistem bagi keseluruhan asset informasi dan perangkat jaringan yang dimutakhirkan Merencanakan dan menerapkan secara menyeluruh proses pengamanan untuk mendeteksi dan mencegah akses jaringan yang tidak resmi

13 Melaksanakan secara menyeluruh dokumentasi dan pelaporan terhadap segala aktifitas pengelolaan TIK (teknologi informasi komunikasi) Terima Kasih

14