Sosialisasi sni iso iec 38500-2015 rev2 - 15 des2015

Sosialisasi RSNI ISO/IEC 38500:201xTeknologi informasi - Tata kelola TI untuk organisasi(ISO/IEC 38500:2015, IDT)

Sarwono Sutikno, Dr.Eng.,CISA,CISSP,CISMKetua WG Tata Kelola dan Layanan TI PT35-01 Teknologi Informasi

Jakarta 15 Desember 20151

Tambahan:SNI ISO/IEC 27014:2013 Tata Kelola Keamanan Informasi

Current:• Cybersecurity Nexus (CSX) Liaison, ISACA Indonesia Chapter• ISACA Academic Advocate at ITB• Subject Matter Expert for Information Security Standard for ISO at ISACA HQ• Associate Professor at School of Electrical Engineering and Informatics, Institut Teknologi Bandung• Ketua WG Layanan dan Tata Kelola TI, anggota WG Keamanan Informasi serta Anggota Panitia Teknis 35-01 Program

Nasional Penetapan Standar bidang Teknologi Informasi, BSN – Kominfo. • Asesor Kepala LSSMKI SNI ISO/IEC 27001 KANPast:• Director of Certification – CRISC & CGEIT, ISACA Indonesia Chapter (2012-2014)• Ketua Kelompok Kerja Evaluasi TIK Nasional, Dewan TIK Nasional (2007-2008)• Plt Direktur Operasi Sistem PPATK (Indonesia Financial Transaction Reports and Analysis Center, INTRAC), April 2009 – May

2011

Professional Certification:• Professional Engineering (PE), the Principles and Practice of Electrical Engineering, College of Engineering, the

University of Texas at Austin. 2000• IRCA Information Security Management System Lead Auditor Course, 2004• ISACA Certified Information System Auditor (CISA). CISA Number: 0540859, 2005• Brainbench Computer Forensic, 2006• (ISC)2 Certified Information Systems Security Professional (CISSP), No: 118113, 2007• ISACA Certified Information Security Manager (CISM). CISM Number: 0707414, 2007

Award:• (ISC)2 Asia Pacific Information Security Leadership Achievements (ISLA) 2011 award in category Senior Information

Security Professional. http://isc2.org/ISLA

Sarwono Sutikno, Dr.Eng.,CISA,CISSP,CISM

3

Bloom’s Taxonomy of Educational Objectives

Apply

ComprehendRemember

list, reciteexplain, paraphrase

calculate, solve,determine, apply

Analyzecompare, contrast, classify,

categorize, derive, model

Synthesizecreate, construct, design, improve, produce, propose

Evaluatejudge, critique, justify,

verify, assess, recommend

Kategori Kontrol berbasis Risiko

Source: Transforming Cybersecurity: Using COBIT 5, ISACA, 2013 4

Kerangka dan Standar – tinjauan

SNI ISO 38500

COSOPP60/2008 COBIT 5

ITIL v2

ITIL v3SNI ISO 20000

SNI ISO 2700x

SNI ISO 900x

Common CriteriaSNI ISO15408

boar

d le

vel

man

agem

ent

tech

nica

l

SNI ISO 27014

5 dari x 5

o Principle 1: Establish clearly understood responsibilities for ITo Principle 2: Plan IT to best support the organizationo Principle 3: Acquire IT validlyo Principle 4: Ensure that IT performs well, whenever requiredo Principle 5: Ensure IT conforms with formal ruleso Principle 6: Ensure IT use respects human factors

Principles of IT Governance

Source: P.Weill & J.Ross, IT Governance, Harvard Business Press, 2004

6

Model lain: Pemisahan Governance dan Management

7

SNI ISO/IEC 38500:2013 Tata Kelola Teknologi Informasi

Source: SNI ISO/IEC 38500:2013, ISO/IEC 38500:2008, AS8015 Corporate Governance of ICT: January 2005

8 dari x 8

RSNI ISO/IEC 38500:2015 Tata Kelola Teknologi Informasi

Source: Figure 1 Model for Governance of IT, SNI ISO/IEC 38500:20159 dari x 9

Evaluasi

Arahkan Pantau

Sumber otoritas

Harapan pemangku kepentingan

Kebutuhan bisnis

Kewajiban peraturan perundangan

Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer

Sistem Manajemen untuk Pemanfaatan TI



Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Para penanggung jawab tata kelola sebaiknya memeriksa dan membuat

penilaian tentang pemanfaatan TI saat ini dan masa depan, termasuk perencanaan, proposal dan pengaturan pasokan (baik

internal, eksternal, atau keduanya).



Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Para penanggung jawab tata kelola sebaiknya menetapkan tanggung jawab serta memberikan arahan atas penyusunan dan implementasi dari strategi dan kebijakan. Strategi sebaiknya menetapkan arah investasi TI dan apa yang harus dicapai TI. Kebijakan sebaiknya membentuk perilaku yang baik dalam pemanfaatan TI.



Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Para penanggung jawab tata kelola sebaiknya memantau kinerja TI melalui sistem pengukuran yang tepat. Mereka sebaiknya meyakinkan diri mereka sendiri bahwa kinerja tersebut telah sesuai dengan strategi, terutama yang berkaitan dengan tujuan bisnis.

Enam Prinsip RSNI ISO/IEC 38500:2015 Tata Kelola Teknologi Informasi


Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Prinsip 2: Strategi

Prinsip 3: Akuisisi

Prinsip 4: Kinerja

Prinsip 5: Kesesuaian

Prinsip 6: Perilaku Manusia

Prinsip 1: Tanggung jawab


Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Prinsip 2: Strategi

Prinsip 3: Akuisisi

Prinsip 4: Kinerja




Prinsip 1: Tanggung jawabPara individu dan berbagai kelompok dalam suatu organisasi memahami dan menerima tanggung jawab mereka dalam hal penyediaan dan permintaan atas TI. Mereka yang bertanggung jawab untuk melakukan berbagai tindakan juga memiliki otoritas untuk melakukan berbagai tindakan tersebut.



Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Prinsip 2: Strategi

Prinsip 3: Akuisisi

Prinsip 4: Kinerja




Prinsip 2: StrategiStrategi bisnis organisasi memperhitungkan kemampuan TI saat ini dan di masa depan; rencana pemanfaatan TI memenuhi kebutuhan saat ini dan secara berkelanjutan dari strategi bisnis organisasi.



Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Prinsip 2: Strategi

Prinsip 3: Akuisisi

Prinsip 4: Kinerja




Prinsip 3: AkuisisiAkuisisi TI dibuat berdasarkan alasan yang valid, melalui analisis yang tepat dan secara berkelanjutan, dengan pengambilan keputusan yang jelas dan transparan. Terdapat keseimbangan antara manfaat, peluang, biaya, dan risiko, baik dalam jangka pendek maupun jangka panjang.



Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Prinsip 2: Strategi

Prinsip 3: Akuisisi

Prinsip 4: Kinerja



Prinsip 1: Tanggung jawabPrinsip 4: KinerjaTI digunakan untuk mendukung organisasi, menyediakan layanan, dengan tingkat layanan dan kualitas layanan yang diperlukan untuk memenuhi persyaratan bisnis saat ini dan di masa depan.



Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Prinsip 2: Strategi

Prinsip 3: Akuisisi

Prinsip 4: Kinerja




Prinsip 5: KesesuaianPemanfaatan TI mematuhi semua peraturan perundangan yang wajib. Kebijakan dan praktik dengan jelas didefinisikan, dilaksanakan, dan ditegakkan.



Evaluasi

Arahkan Pantau

Sumber otoritas


Kebutuhan bisnis


Tekanan bisnis

Stra

tegi

dan

K

ebija

kan

Pro

posa

l dan

renc

ana

Kin

erja

dan

ke

sesu

aian

Penanggung Jawab

Tata Kelola

Para Manajer


Prinsip 2: Strategi

Prinsip 3: Akuisisi

Prinsip 4: Kinerja




Prinsip 6: Perilaku ManusiaKebijakan, praktik, dan keputusan TI menjunjung tinggi Perilaku Manusia, termasuk kebutuhan saat ini dan perkembangannya dari semua orang yang terkait dalam proses.


Perbaikan konsep Tata Kelola di Keamanan Informasi

20

Source: P.Weill & J.Ross, IT Governance, Harvard Business Press, 2004

SNI ISO/IEC 38500:2013, ISO/IEC 38500:2008, AS8015 Corporate Governance of ICT: January 2005

SNI ISO/IEC 27014:2013 Tata Kelola Keamanan Informasi, ISO/IEC 27013:2013

Perbaikan konsep Tata Kelola di Keamanan Informasi

21

Prinsip 2: Strategi

Prinsip 3: Akuisisi

Prinsip 4: Kinerja




Adopt a risk-based approach

Set direction of investment decisions

Ensure conformance with int & ext req

Foster a security-positive environment

Review performance in relation to business outcomes

Establish organisation-wide infosec

Diskusi

28