Manajemen Risiko Keamanan Informasi Menggunakan Framework NIST SP 800-30 Revisi 1 (Studi Kasus: STMIK Sumedang)

Abstract

STMIK Sumedang merupakan institusi yang sudah terbiasa menggunakan perangkat teknologi, dimana pengawasannya dilakukan oleh suatu divisi tersendiri yaitu bagian UPT LPSI. Namun terdapat permasalahan dalam penggunaan TI yang ada saat ini antara lain : (1) Masih sering terjadinya insiden keamanan informasi yang menyebabkan terganggunya proses bisnis perusahaan, (2) Belum adanya pengawasan dan perencanaan yang tepat dalam pengelolaan keamanan informasi di STMIK Sumedang.Manajemen resiko adalah metode untuk penilaian dan mitigasi resiko terhadap aspek kebutuhan keamanan informasi yang memuat 3 unsur penting yaitu : Confidentiality (kerahasiaan), Integrity (integritas), dan Availability (ketersediaan). Manajemen resiko keamanan informasi yang digunakan mengacu pada NIST SP 800-30 Revisi 1. Standar ini digunakan sebagai acuan dalam melakukan manajemen resiko keamanan informasi, untuk mengantisipasi risiko agar kerugian tidak terjadi terhadap organisasi. Sehingga resiko dapat dikelola ke level yang dapat diterima organisasi. Diharapkan akan mengurangi dampak insiden sistem dan teknologi informasi di institusi perguruan tinggi, melindungi proses bisnis organisasi yang penting dari ancaman keamanan, meminimalisir risiko kerugian serta menghindari kegagalan serius terhadap informasi yang ada di STMIK Sumedang. Setelah dilakukan manajemen risiko maka diperlukan control keamanan sebagai dasar acuan bahwa risiko dilakukan mitigasi, diterima/ditransfer oleh pihak manajemen. Kontrol keamanan dikembangkan dari ISO 27002. Untuk mengetahui sejauh mana keamanan informasi organisasi maka dilakukan maturity keamanan informasi organisasi menggunakan control yang dikembangkan dari ISO 27002. Dari hasil maturity ini menjadi dasar dibuatnya rekomendasi standar kebijakan keamanan informasi di STMIK Sumedang.