14

PROPOSAL PENELITIAN

AUDIT INFORMATION SYSTEM SECURITY MENGGUNAKAN COBIT 5 PADA NATIONAL TRAFIC MANAGEMENT CENTER POLRESTA PALEMBANG

I. PENDAHULUAN1.1 Latar BelakangPenerapan tata kelola Teknologi Informasi (TI) saat ini sudah menjadi kebutuhan dan tuntutan disetiap organisasi. Pentingnya sebuah informasi yang cepat, tepat, dan akurat bagi setiap orang merupakan salah satu faktor diterapkannya sebuah sistem informasi yang mendukung kinerja setiap organisasi. Dalam penyelenggaraan Tata Kelola TI, faktor keamanan informasi merupakan aspek yang sangat penting diperhatikan mengingat kinerja tata kelola TI akan terganggu jika informasi sebagai salah satu objek utama mengalami permasalahan mengenai keamanan informasi yang menyangkut kerahasiaan (confidentiality), keutuhan (integrity), dan ketersediaan (aviability).Kebutuhan untuk memelihara integritas dari informasi dan untuk melindungiaset teknologi informasi membutuhkan proses manajemen keamanan. Manajemen keamananinformasi meliputi penyelenggaraan pengawasan keamanan (securitymonitoring), pengujian periodik (periodic testing) dan pengimplementasiantindakan koreksi untuk mengidentifikasikan kelemahan keamanan sebuah sistem informasi.Audit adalah kegiatan mengumpulkan dan mengevaluasi dari bukti-bukti mengenai informasi untuk menentukan dan melaporkan tingkat kesesuaian antara informasi dengan kriteria yang telah ditetapkan.Proses audit dalam setiap organisasi bertujuan untuk mengetahui sejauh mana rule ataupun tujuan yang telah ditetapkan, kemudian untuk mengetahui masalah yang dihadapi dalam proses pencapaian tujuan, dan mengevaluasi sistem yang ada apakah sudah sesuai dengan tujuan yang diharapkan oleh para stakeholder sebuah organisasi. Cobit5 (Control Objectives for Information and Related Technology) adalah sebuah framework yang berfungsi dalam membantu organisasi dan manajemen IT dalam sebuah perusahaan untuk mencapai tujuan yang diharapkan, yang diterbitkan oleh ISACA (Information Systems Audit and Control Association), dan Information Technology Governance Institute (ITGI), yang merupakan standar untuk tata kelola (IT Governance), kontrol, dan jaminan Teknologi Informasi (Parabi, 2014).Pusat Pengendali Lalu Lintas Nasional Kepolisian Republik Indonesia atau lebih dikenal dengan istilah NTMC (National Traffic Management Center) Polri adalah pusat kendali informasi dan komunikasi yang mengatur lalu lintas di Indonesia.Dikota Palembang sendiri, NTMC POLRESTA Palembang yang mempunyai tugas pelayanan penegakan hukum, pusat informasi bagi polri dan komunikasi, pengendaliaan lalu lintas, analisa dan evaluasi bidang lalu lintas, dan membantu meningkatkan kualitas keselamatan dan keamanan berkendara. Dalam melakukan tugasnya, NTMC Polresta Palembang memiliki sebuah sistem informasi untuk menunjang proses kerja NTMC,agar informasi yang ada pada NTMC dapat dimanfaatkan dengan efisien, tepat waktu, dan memang benar-benar digunakan oleh orang-orang yang memiliki hak atas informasi tersebut ataupun orang yang memiliki izin menggunakan informasi tersebut maka diperlukan adanya sebuah audit Information System Security, yang bertujuan untuk mengetahui prosedur-prosedur yang dilakukan dalam penerapan keamanan sistem informasi dan dapat dijadikan sebagai tolak ukur kualitas sistem pengamanan informasi yang ada pada NTMC Polresta Palembang. Hal inilah yang melandasi penulis untuk memilih judul AUDIT INFORMATION SYSTEM SECURITY MENGGUNAKAN COBIT 5 PADA NATIONAL TRAFIC MANAGEMENT CENTER POLRESTA PALEMBANG.

1.2 Rumusan MasalahPerumusan masalah yang akandibahas dalam penelitian ini adalah Melakukan audit sistem keamanan informasi untuk mengetahui bagaimanakah tingkat kematangan keamanan sistem informasi pada NTMC Polresta Palembang.

1.3 Batasan MasalahAgar tidak menyimpang dari permasalahan yang dibahas maka Proses audit hanya di fokuskan pada COBIT 5 for InformationSecurity yang menyangkut pada domain, APO13 (Manage Security),DSS05 (Manage Security Services), dan MEA01 (Monitor, Evaluateand Assess Performance and Conformance) dilihat dari kerangkakerja Cobit 5 sesuai dengan yang dibutuhkan.

1.4 Tujuan dan Manfaat Penelitian1.4.1 Tujuan Penelitian1. Untuk mengamati perkembangan tata kelola TI dalam mengelola dan memastikan sistem keamanan informasi pada NTMC Polresta Palembang berjalan dengan baik.2. Mengetahui faktor faktor yang mempengaruhi sistem keamanan informasi pada NTMC Polresta Palembang.

1.4.2 Manfaat Penelitian1. Merekomendasikan perbaikan atas kelemahan-kelemahan yang ditemui, terkait keamanan sistem informasi dengan menggunakan standar pemeriksaan TI berbasis COBIT (Control Objectives for Information and Related Technology).2. Meningkatkan dan memperluas keterampilan mahasiswa sebagai bekal memasuki dunia kerja.

II. TINJAUAN PUSTAKA2.1 Tinjauan Umum

2.2 Landasan Teori2.2.1 InformasiInformasi adalah data yang diolah menjadi bentuk yang lebih berguna dan lebih berarti bagi yang menerimannya. Sumber dari informasi adalah data, yang merupakan kenyataan yang menggambarkan kejadian dan kesatuan nyata. Data merupakan bentuk yang masih mentah, dimana data yang masih mentah tersebut harus terlebih dahulu diolah menjadi informasi yang lebih berguna (Syaroh, 2011).

2.2.2 Sistem InformasiSistem informasi adalah suatu sistem di dalam suatu organisasi yang mempertemukan kebutuhan pengolahan transaksi harian, mendukung operasi, bersifat manajerial dan kegiatan strategis dari suatu organisasi dan menyediakan pihak luar tertentu dengan laporan-laporan yang dibutuhkan (Syaroh dkk, 2011).

2.2.3 Keamanan Sistem InformasiAset informasi: hardware, software, sistem, informasi dan manusia, merupakan asset penting bagi suatu organisasi yang perlu dilindungi dari risiko keamanannya baik dari pihak luar dan dalam organisasi. Keamanan informasi tidak bisa hanya disandarkan pada alat / toolsatau teknologi keamanan informasi, melainkan perlu adanya pemahaman dari organisasi tentang apa yang harus dilindungi dan menentukan secara tepat solusi yang dapat menangani permasalahan kebutuhan keamanan informasi. Untuk itu butuh pengelolaan keamanan informasi yang sistematik dan komprehensif. Aspek kebutuhan keamanan informasi harus memuat tiga unsur penting yakni: 1. Kerahasiaan (Confidentiality), merupakan aspek yang menjamin kerahasiaan data atau informasi. Memastikan bahwa informasi hanya dapat diakses oleh orang yang berwenang dan menjamin data yang dikirim, diterima, dan disimpan.2. Integritas (Integrity), merupakan aspek yang menjamin bahwa data tidak dirubah tanpa ada izin pihak yang berwenang / authorized. Keakuratan dan keutuhan informasi harus terjaga.3. Ketersediaan (Availability), merupakan aspek yang menjamin bahwa data akan tersedia saat dibutuhkan. Memastikan user yang berhak dapat menggunakan informasi dan perangkat terkait bila mana diperlukan.Tiga aspek keamanan informasi tersebut rawan terhadap ancaman serangan-serangan yang mengancam keberadaannya baik terhadap sumber-sumber informasi yaitu, melalui secara fisik ataupun melalui akses ke jaringan secara langsung. Untuk mengatasi risiko keamanan butuh kemampuan dalam pengelolaan atau manajeman keamanan sistem informasi (Lestari, 2015;13).

2.2.4 Audit Sistem InformasiAudit adalah proses pengumpulan dan evaluasi bukti-bukti untuk menentukan apakah sistem informasidapat melindungi asset, teknologi yang ada telah memelihara integritas data sehingga keduanya dapat diarahkan kepada pencapaian tujuan suatu organisasi secara efektif dengan menggunakan sumber daya secara efisien (Syaroh, 2011).

2.2.5 Tujuan Audit Sistem InformasiTujuan audit sistem informasi adalah untuk meninjau dan memberikan umpan balik, menjamin dan melakukan rekomendasi mengenai 3 hal, yaitu ketersedian (Availability), kerahasiaan (Confidentiality), dan Integritas (Integrity) (Syaroh, 2011).Detail tentang tujuan audit sistem informasi dijelaskan sebagai berikut:1. Untuk mengidentifikasi sistem yang ada, baik yang ada pada tiap divisi / unit / departemen maupun yang digunakan menyeluruh.2. Untuk dapat memahami seberapa besar sistem informasi mendukung kebutuhan strategis organisi, operasi organisasi, mendukung kegiatan operasional departemen / unit / devisi, kelompok kerja maupun para petugas dalam melaksanakan kegiatannya.3. Untuk mengetahui pada bidang atau area mana, fungsi, kegiatan atau bisnis proses yang didukung dengan sistem serta teknologi informasi yang ada.4. Untuk menganasilis tingkat pentingnya data / informasi yang dihasilkan oleh sistem dalam rangka mendukung kebutuhan para pemakainya.5. Untuk mengetahui keterkaitan antara sistem pengolahan dan transfer informasi.6. Untuk mengidentifikasi apakah ada kesenjangan antara sistem dan kebutuhan.7. Untuk membuat peta dari alur informasi yang ada.

2.2.6 Tahapan AuditTahapan audit terdiri dari perencanaan audit, pengujian, pengendalian, pengujian substantive, dan penyelesaian audit. Berikut langkah-langkah dalam pelaksanaan audit.1. Memahami misi organisasi, sasaran, tujuan, dan proses-proses, termasuk informasi dan kebutuhan pengolahan, seperti ketersedian, integritas, keamanan teknologi bisnis, serta kerahasiaan informasi.2. Mengidentifikasi konten organisasi, seperti kebijakan, standar, panduan, prosedur, dan struktur organisasi.3. Meninjau kontrol internal berkaitan dengan teknologi informasi.4. Melakukan wawancara ke narasumber utama untuk memahami misi organisasi.5. Mengidentifikasi fungsi TI yang berkaitan dengan misi organisasi.

2.2.7 COBIT5COBIT5 sebelumnya dikenal sebagaicontrol objectiveInformasi danTeknologiyang terkait(COBIT); sekarang digunakanhanyasebagaiakronim dalamiterasikelima. COBIT5merupakan sebuahkerangka kerja yang lengkap, yang diterima secara internasional kerangka kerja untuk mengaturdan mengelola informasi perusahaan dan teknologi(IT) yang mendukung eksekutif perusahaan dan manajemen dalam definisi dan pencapaian tujuan bisnis dan tujuan TI terkait. COBIT menjelaskan lima prinsip dan tujuh enabler yang mendukung perusahaan dalam pengembangan, implementasi, dan perbaikan terus-menerus dan pemantauan tata kelola dan manajemen praktek yang berhubungan dengan IT yang baik (ISACA, 2012).COBIT yaitu Control Objectives for Information and Related Technology yang merupakan audit sistem informasi dan dasar pengendalian yang dibuat oleh Information Systems Audit and Control Association (ISACA), dan Information Technology Governance Institute (ITGI) pada tahun 1992, untuk memberikan informasi yang diperlukan perusahaan dalam mencapai tujuannya (Sembiring, 2013:23).

2.2.7.1 Domain COBIT 5Berdasarkan jurnal ISACA 2012, model referensi proses dalam COBIT 5 membagi proses tata kelola dan manajemen TI perusahaan menjadi 2 domain proses utaman yaitu:1. Tata Kelola, memuat 5 proses tata kelola, dimana akan ditentukan praktik-praktik dalam setiap proses Evaluate, Direct, dan Monitor(EDM).2. Manajemen memuat 4 domain, sejajar dengan area tanggungjawab dari Plan, Built, Run, And Monitor (PBRM). Dan menyediakan ruang lingkup TI yang menyeluruh dari ujung ke ujung. Domain ini merupakan evolusi dari domain dan struktur proses dalam COBIT 4.1, yaitu:a. Align, Plan and Organize (APO) -penyelarasan, perencanaan, dan pengaturan.APO mencangkup masalah mengidentifikasi cara terbaik TI untuk memberikan kontribusi yang maksimal tershadap pencapaian tujuan bisnis organisasi. Domain ini menitik beratkan pada proses perencanaan dan penyelarasan strategi IT dengan strategi organisasi. b. Built, Acquire, and Implement(BAI)- membangun, memperoleh, dan mengimplementasi.Domain ini menitikberatkan kepada proses pemilihan teknologi yang akan digunakan dan proses penerapannya. Untuk merealisasikan strategi TI yang telah ditetapkan harus disertai solusi-solusi yang sesuai, solusi TI kemudian diadakan dan diimplementasikan dan diintegrasikan ke dalam proses bisnis perusahaan.c. Deliver, Service, and Support (DSS)- mengirimkan, layanan, dan dukungan.Domain ini menyangkut permasalahan pemenuhan layanan TI, keamanan sistem, kesinambungan layanan, pelatihan dan pendidikan untuk pengguna, dan pengelolaan data yang sedang berjalan.d. Monitor, Evaluate, and Assess (MEA)- pengawasan, evaluasi, dan penilaian.Seluruh kendali-kendali yang diterapkan pada setiap proses TI harus diawasi dan dinilai kelayakannya secara berkala. Domain ini berfokus pada masalah kendali-kendali yang diterapkan dalam perusahaan, pemeriksaaan internal dan eksternal.

2.2.7.2 Kapabilitas Proses pada COBIT5Tingkat kapabilitas merupakan pengukuran kemampuan sebuah proses dalam meraih tingkat ability yang ditentukan oleh atribut proses yang merupakan standar mengenai Software Engineering dan Process Assessment. Model ini mengukur performansi tiap-tiap proses tata kelola (EDM-based) atau proses manajemen (PBRM based), dan dapat mengidentifikasi area-area yang perlu untuk ditingkatkan performansinya.Ada enam tingkatan kapabilitas yang dapat dicapai oleh masing-masingproses, yaitu :1. Incomplete Process - Proses tidak lengkap; Proses tidak diimplementasikan atau gagal mencapai tujuannya. Pada tingkatan ini, hanya ada sedikit bukti atau bahkan tidak ada bukti adanya pencapaian sistematik dari tujuan proses tersebut.2. Performed Process - Proses dijalankan (satu atribut); Proses yangdiimplementasikan berhasil mencapai tujuannya.3. Managed Process - Proses teratur (dua atribut); Proses yang telah dijalankan seperti diatas telah diimplementasikan dalam cara yang lebih teratur (direncanakan, dipantau, dan disesuaikan), dan produk yang dihasilkan telah ditetapkan, dikendalikan, dan dijaga dengan baik.4. Established Process - Proses tetap (dua atribut); Proses di atas telah diimplementasikan menggunakan proses tertentu yang telah ditetapkan, yang mampu mencapai outcome yang diharapkan.5. Predictable Process - Proses yang dapat diprediksi (dua atribut); Proses diatas telah dijalankan dalam batasan yang ditentukan untuk mencapai outcome proses yang diharapkan.6. Optimising Process - Proses Optimasi (dua atribut); Proses diatas terus ditingkatkan secara berkelanjutan untuk memenuhi tujuan bisnis saat ini dan masa depan.

2.3 Penelitian Sebelumnya2.3.1 Audit Keamanan Sistem Informasi Berdasarkan Standar ISO 27001 pada PT. BPR JATIMAudit keamanan sistem informasi pada PT. BPR JATIM menghasilkan identifikasi ruang lingkup pada pedoman Bank Indonesia dalam menerapkan manajemen resiko pada TI. Pengumpulan data dilakukan dengan wawancara untuk menentukan dokumen-dokumen yang diperlukan. Langkah pelaksanaan audit keamanan sistem informasi dilakukan dengan pembuatan pernyataan, penentuan nilai bobot, pembuatan pertanyaan dan penentuan nilai kematangan. Pelaksanaan audit keamanan sistem informasi dengan pengumpulan data memperoleh dokumen hasil wawancara. 3. Hasil maturity level didapat dari seluruh kontrol keamanan mendapatkan nilai sebesar 2,90 yang berarti bahwa kontrol keamanan masih berada pada level 2 planned andtracked (direncanakan dan dilacak) namun telah mendekati level 3 well defined (didefinisikan dengan baik) yang merupakan level yang diharapkanoleh perusahaan.

2.3.2 Analisis Sistem Keamanan Jaringan Komputer pada PT Malindo Feedmill Tbk Menggunakan Framework COBIT 4.1 pada Domain DS5 (Ensure System Sequrity)Tingkat kematangan (maturity level) memastikan keamanan sistem teknologi informasi (DS5) PT.Malinndo Feedmill Tbk untuk kondisi saat ini (As Is) berada pada level 2 (Berulang tapi Intuitif). Kondisi ini menunjukan bahwa pihak manajemen sudah memiliki kesadaran dan kepedulian akan pentingnya menjaga keamanan sistem jaringan komputer, belum mendokumentasikan standar prosedur yang digunakan dalam memastikan keamanan sistem. Dan juga belum dilakukannya pelatihan secara formal kepada para staff perusahaan tentang pentingnya menjaga keamanan sistem serta dukungan dan pertanggungjawaban masih bersifat individual. Alat bantu yang digunakan pada sistem masih sangat umum dan belum terstandar menurut standar keamanan TI. Belum adanya pengukuran kinerja secara rutin oleh pihak manajemen. Sedangkan kondisi yang diharapkan (To Be) pada keamanan sistem PT.Malindo Feedmill Tbk yaitu pada level 3.

2.4 Kerangka PikirKerangka pikir adalah uraian atau pernyataan tentang kerangka dari konsep pemecahan masalah yang telah diidentifikasi atau dirumuskan.

Gambar 2.1 Kerangka Pikir

III. METODOLOGI PENELITIAN3.1 Waktu dan Tempat PenelitianWaktu penelitian terhitung mulai bulan Juni 2015 sampai dengan Agustus 2015 yang dilaksanakan pada NTMC POLRESTA Palembang, Jalan Gubernur H. Bastari No.1 Jakabaring Palembang Fax : 0711-513334.

3.2 Data PenelitianJenis data yang digunakan dalam penelitian ini adalah data kuantitatif berupa data primer. Data primer dalam penelitian ini menggunakan objek yaitu pihak yang terkait dalam bagian TI di NTMC Polresta Palembang. Data primer adalah data yang diperoleh atau dikumpulkan oleh peneliti secara langsung dari sumber datanya. Data primer disebut juga sebagai data asli atau data baru yang memiliki sifat up to date. Untuk mendapatkan data primer, peneliti harus mengumpulkannya secara langsung (Suryana, 2010).

3.3 Metode PenelitianDalam pelaksanaan penelitiandi NTMC Polresta Palembang, dilakukan tahap penelitian dengan Metode Deskriptif Kuantitatif, karena metode ini bertujuan untuk menggambarkan dan mengungkapkan suatu masalah, keadaan, dan peristiwa sebagaimana adanya untuk mensgungkapkan fakta secara lebih mendalam.

3.4 Metode Pengumpulan DataTahapan Metode Pengumpulan Data yang penulis terapkan dalam penulisan laporan ini adalah sebagai berikut:1. Pengumpulan Data Skunder dengan menggunakan metode literatur atau dokumentasi, yaitu dengan mengumpulkan, mengidentifikasi serta mengolah data tertulis berbentuk buku buku yang relevan, peraturan peraturan, laporan kegiatan, serta data data yang relevan bagi peneliti. 2. Pengumpulan Data Primera. Studi kepustakaan (Literature), Data yang diperoleh melalui studi kepustakaan yaitu dengan mencari jurnal, bahan-bahan yang diperlukan peneliti melalui internet, buku-buku yang sesuai objek penelitaian ataupun data yang didapatkan dari referensi penelitian-penelitian terdahulu yang sejenis.b. Metode Observasi atau Pengamatan yaitu teknik pengumpulan data yang dilakukan dengan cara mengamati dan mencatat hal-hal yang bersangkutan dari permasalahan yang akan dibahas oleh peneliti.

3.5 Metode Audit Sistem Keamanan Informasi1. KuisionerKuisioner merupakan teknik pengumpulan data yang ditujukan kepada karyawan sebuah organisasi guna memperoleh target pencapaian dan penilaian terhadap sistem yang sedang berjalan.2. COBIT FrameworkFramework merupakan alat yang digunakan sebagai alat yang komprehensif untuk menciptakan dan mengefektifkan implementasi IT Governance pada suatu perusahaan (ITGI 2007).

1