Alat Bantu Penentuan Lingkup TKKI
3 Requirements
Keterangan: P: hubungan bersifat primary atau terkait langsung antara tujuan generik TI dan proses tata kelola.
S: hubungan bersifat secondary atau tidak terkait langsung antara tujuan generik TI dan proses tata kelola.
Y: (ya) proses terpilih, T: (tidak/bukan) proses terpilih.
5.1.3 Pemetaan Manajemen Layanan TI
Pemetaan terhadap manajemen layanan TI merupakan penentuan lingkup keamanan informasi yang diambil dari subbab 5.1 butir 1 khususnya pada kebutuhan bisnis organisasi. Kebutuhan bisnis organisasi yang dimaksud adalah kebutuhan tata kelola keamanan informasi pada sistem manajemen layanan ITIL v3. Hal yang dilakukan dalam pemetaan adalah membandingkan keterkaitan antara proses tata kelola dan proses sistem manajemen layanan. Tabel V.4 menunjukkan hasil pemetaan antara proses tata kelola dan manajemen layanan.
Sistem manajemen layanan hanya mencakup area management dari proses tata kelola yang ada di COBIT 5. Hal ini mengakibatkan proses yang ada di area governance (EDM01, EDM02, EDM03, EDM04 dan EDM05) tidak memiliki padanan atau kaitan proses. Perancangan tata kelola secara menyeluruh sangat membutuhkan area governance dan management. Oleh karena itu, proses EDM01,
Tabel V.4 Pemetaan proses COBIT 5 dan ITIL v3.
SS
CSI s
SD
ST
SO
ice
en
rv
t se
eme
em
g eme
eme
o rt
rI
a g eme
n a tio
eme
tn
a g a t a fo n
a ra u
n a eme
fi g t
esti
ip
t n n t a M eme g n eme t
ti o m
g n n eme o eme g me li
no
n sh
tio a e a n
g it u
n in t yme & n g n t
eme g eme
a a eme
rity
a eme
a g eme n re me era
eme
tio
g a ti
ec g g eme
Co
p lo
ti
a n a g me
g en
a su o
a rtin ve rtfo
in
n a lo
a rd & S n a t
ti
d a lu
eme g a
el
a Pl
a et
e a a u lf
il
ea ro y
ma
ta
Rela
ev
it
Co
d ma
tio
ss
De li
e M teg
Rep ice
o M n cia
n Co
Ca L
il
ice
Va Eva
ess ice ice p tra
ess
e eme
a ice
ice
a il cit a erv
b a er
rm
li p
siti
g g se
g n M ice a a ice n wled
en
est F
b lem
ti Imp
era S
erv n
ma
sin
sig
7 -ste EDM01
fo
a cid
S Fi
De Bu
De S erv
erv
Ava
Ca IT
In
T ra
Ch S erv M Rele
S erv
Ch Kn
Eve
In
Req
Pro
Acc Op S erv S erv
EDM02 EDM03 EDM04 EDM05 APO01 APO02 APO03 APO04 APO05 APO06 APO07 APO08 APO09
SS
CSI s
SD
ST
SO
ice
rv
en
n t T se
eme
rt
em
n a g a eme g p eme o
g eme
rI
tio
eme fo
tn
ra
g n g t & t fi
esti
nt n t o
n eme n t ti
ip
eme
a eme
sh
a g u it
g eme
m eme
gn
g a eme
g a tio
a eme
u rity
yme
g eme n a re me era
in
a ti o
g me
li
a tio
in
ti
g eme
g eme
Co
lo
a eme
eme
ti
ec a n a & p a a eme
a a a g me
a su rtin ve en
rd
lo
il
ea y
rtfo o l ma
ta
el
d lu
ev
it y
Co
n Pl
et
li
a n a o ro
g Rela
ss
De g e n
a a lf
M o ti M Rep n
ma
il
tio
Eva
ice ice p tra
Imp teg
cia
n d ess
n Co
Ca L
b ice
e a eme
Va e M
a cit
a ess era S
ice
a ice
ice
il
p a erv
rm
li
er
siti
g ice g a a se
ice
ma
sin
sig
o wled
en
est F
lem
Acc Op erv S erv S -ste 7 APO10
erv n
Fi
Bu
De S erv
De S erv
fo
cid
Ava
Ca IT
In
T ra
Ch erv S M Rele
erv S
Ch Kn
Eve
In
Req
Pro
APO11 APO12 APO13 BAI01 BAI02 BAI03 BAI04 BAI05 BAI06 BAI07 BAI08 BAI09 BAI10 DSS01 DSS02 DSS03
42
43
SS SD ST SO
Strategy generation Service portfolio management Financial management for IT services Demand management Business Relationship Management Design Coordination Service Catalogue Management Service Level Management Availability Management Capacity Management IT Service Continuity Management Information Security Management Supplier Management Transition Planning & Support Change Management Service asset & Configuration
Management Release & Deployment Management
Service Validation & Testing Change Evaluation Knowledge Management Event Management Incident Management Request Fulfilment Problem Management Access Management
DSS
DSS
DSS
EA
EA
EA
Pemetaan proses COBIT 5 dan ITIL v3 dapat dirangkum menjadi bentuk sederhana seperti yang diperlihatkan oleh Tabel V.5.
Tabel V.5 Rangkuman pemetaan proses COBIT 5 dan ITIL v3.
Proses Tata Proses Manajemen Layanan TI Kelola
(ITIL v3)
(COBIT 5) EDM01 EDM02
*) Dimasukkan ke dalam lingkup proses dengan pertimbangan tata kelola EDM03 menyeluruh EDM04
EDM05 APO01
[SD] Design Coordination [CSI] 7-step Improvement
APO02 [SS] Strategy generation APO05
[SS] Service Portfolio Management APO06
[SS] Financial management for IT services APO08
[SS] Demand management [SS] Business Relationship Management
APO09 [SS] Service Portfolio Management [SS] Demand management [SD] Service Catalogue Management [SD] Service Level Management [CSI] Service Reporting
APO10 [SD] Supplier Management APO12
[SD] Information Security Management APO13
[SD] Information Security Management BAI01
[SD] Design Coordination BAI04
[SD] Availability Management [SD] Capacity Management
BAI06 [ST] Change Management BAI07
[ST] Transition Planning & Support [ST] Release & Deployment Management [ST] Service Validation & Testing [ST] Change Evaluation
BAI08 [ST] Knowledge Management BAI09
[ST] Service asset & Configuration Management BAI10
[ST] Service asset & Configuration Management DSS01
[SO] Event Management [SO] Operation Management
DSS02 [SO] Incident Management [SO] Request Fulfilment
DSS03 [SO] Problem Management DSS04
[SD] IT Service Continuity Management MEA01
[CSI] Service Measurement [CSI] Service Reporting
5.1.4 Penilaian Prioritas Risiko
Penilaian prioritas risiko merupakan salah satu cara penentuan lingkup keamanan informasi yang diambil dari subbab 5.1 butir 2. COBIT 5 for Risk digunakan untuk mengidentifikasi daftar risiko yang ada di organisasi berdasarkan risiko generik pada suatu enterprise. ISO/IEC 31000:2009 digunakan untuk menentukan level dari risiko yang telah diidentifikasi oleh COBIT 5 for Risk. Hal selanjutnya yang dilakukan adalah menentukan benefit/cost ratio dari daftar risiko yang telah diidentifikasi. Perkalian antara level risiko dan benefit/cost ratio menghasilkan nilai prioritas risiko. Hasil prioritas risiko ini digunakan untuk memetakan prioritas proses tata kelola yang telah dipilih sebelumnya berdasarkan mitigasi risiko yang telah dipetakan oleh COBIT 5 for Risk. Tabel V.6 menunjukkan contoh hasil identifikasi daftar risiko yang terdapat di organisasi.
Tabel V.6 Penilaian prioritas risiko.
B/C Ratio Prioritas No.
Kemungkinan Dampak
Level
Kategori Risiko
[R,M,T]
[R,M,T] [R,M,T]
1 Penyusunan dan pemeliharaan portofolio
2 Manajemen siklus hidup program kerja atau proyek
3 Pembuatan keputusan
investasi TI
4 Keahlian dan keterampilan TI
5 Operasi yang dilakukan staf (human error dan niat jahat)
6 Kerusakan, kebocoran
dan akses informasi
7 Arsitektur
8 Infrastruktur
9 Perangkat lunak
10 Kepemilikan bisnis terhadap TI
11 Pemilihan/kinerja pemasok, kepatuhan terhadap kontrak, pemberhentian layanan
B/C Ratio Prioritas No.
Kemungkinan Dampak
Level
Kategori Risiko
[R,M,T]
[R,M,T] [R,M,T]
14 Pencurian atau
perusakan infrastruktur
15 Malware
16 Serangan
17 Aksi industri
18 Lingkungan
19 Bencana alam
20 Inovasi Keterangan:
T: nilai tinggi. M: nilai menengah. R: nilai rendah. B/C Ratio: nilai rasio benefit per cost.
B/C ratio merupakan rasio antara benefit dan cost yang didapat dari perhitungan nilai manfaat dibagi dengan biaya dari suatu risiko. Rumusan ini dapat diartikan bahwa nilai rasio berbanding lurus dengan manfaat yang dipengaruhi risiko dan berbanding terbalik dengan biaya yang dikeluarkan ketika terjadi risiko tersebut. Rumusan ini juga dapat diartikan bahwa semakin besar nilai manfaat dan semakin sedikit biaya yang dikeluarkan maka semakin besar nilai rasio serta berlaku sebaliknya.
Setelah didapatkan prioritas risiko, hal selanjutnya yang dilakukan adalah memetakan kategori risikonya dengan proses tata kelola agar diperoleh prioritas proses. Pemetaan yang dilakukan mengacu kepada mitigasi risiko untuk proses yang tercantum di dalam COBIT 5 for Risk. Contoh skema pemetaan tersebut ditunjukkan oleh Tabel V.7.
Tabel V.7 Contoh pemetaan kategori risiko dan proses terkait mitigasi risiko.
No. Kategori Risiko Proses Terkait Mitigasi Risiko
1 Penyusunan dan pemeliharaan
portofolio
2 Manajemen siklus hidup program kerja
atau proyek
3 Pembuatan keputusan investasi TI
4 Keahlian dan keterampilan TI
5 Operasi yang dilakukan staf (human
No. Kategori Risiko Proses Terkait Mitigasi Risiko
9 Perangkat lunak
10 Kepemilikan bisnis terhadap TI
11 Pemilihan/kinerja pemasok, kepatuhan terhadap kontrak, pemberhentian layanan dan pengalihan
12 Kepatuhan terhadap peraturan
13 Geopolitik
14 Pencurian atau perusakan infrastruktur
15 Malware
16 Serangan
17 Aksi industri
18 Lingkungan
19 Bencana alam
20 Inovasi
Berdasarkan analisis yang dilakukan terhadap Tabel V.6 dan Tabel V.7, maka dapat disusun urutan prioritas (R: rendah, M: menengah dan T: tinggi) proses tata kelola seperti contoh Tabel V.8.
Tabel V.8 Contoh prioritas proses tata kelola.
ID Nama Proses
Prioritas Proses [R,M,T]
EDM01 Ensure Governance Framework Setting and Maintenance EDM02
Ensure Benefits Delivery EDM03
Ensure Risk Optimisation EDM04
Ensure Resource Optimisation EDM05
Ensure Stakeholder Transparency APO01
Manage the IT Management Framework APO02
Manage Strategy APO03
Manage Enterprise Architecture APO04
Manage Innovation APO05
Manage Portfolio APO06
Manage Budget and Costs APO07
Manage Human Resources APO08
Manage Relationships APO09
Manage Service Agreements APO10
Manage Suppliers APO11
Manage Quality APO12
Manage Risk APO13
Manage Security
Prioritas Proses
ID Nama Proses
[R,M,T]
BAI04 Manage Availability and Capacity BAI05
Manage Organisational Change Enablement BAI06
Manage Changes BAI07
Manage Change Acceptance and Transitioning BAI08
Manage Knowledge BAI09
Manage Assets BAI10
Manage Configuration DSS01
Manage Operations DSS02
Manage Service Requests and Incidents DSS03
Manage Problems DSS04
Manage Continuity DSS05
Manage Security Services DSS06
Manage Business Process Controls MEA01
Monitor, Evaluate and Assess Performance and Conformance MEA02
Monitor, Evaluate and Assess the System of Internal Control MEA03
Monitor, Evaluate and Assess Compliance with External Requirements
5.1.5 Penetapan Lingkup Proses yang Dinilai
Berdasarkan semua langkah aktivitas yang dilakukan pada subbab 5.1.1, 5.1.2,
5.1.3 dan 5.1.4, lingkup proses tata kelola pada organisasi dapat ditunjukkan oleh contoh Tabel V.9.
Tabel V.9 Proses tata kelola organisasi terpilih berdasarkan prioritas.
Prioritas Proses yang Proses COBIT 5
EG ∩ ITRG
Proses ∩ ITIL Dinilai [R,M,T]
[R,M,T]
Ensure Governance Framework EDM01 Setting and Maintenance
EDM02 Ensure Benefits Delivery EDM03
Ensure Risk Optimisation EDM04
Ensure Resource Optimisation EDM05
Ensure Stakeholder Transparency Manage the IT Management
APO01 Framework
APO02 Manage Strategy APO03
Manage Enterprise Architecture APO04
Manage Innovation
Prioritas Proses yang Proses COBIT 5
EG ∩ ITRG
Proses ∩ ITIL Dinilai [R,M,T]
[R,M,T]
APO08 Manage Relationships APO09
Manage Service Agreements APO10
Manage Suppliers APO11
Manage Quality APO12
Manage Risk APO13
Manage Security BAI01
Manage Programmes and Projects BAI02
Manage Requirements Definition BAI03
Manage Solutions Identification and
Build
BAI04 Manage Availability and Capacity BAI05
Manage Organisational Change
Enablement
BAI06 Manage Changes BAI07
Manage Change Acceptance and
Transitioning
BAI08 Manage Knowledge BAI09
Manage Assets BAI10
Manage Configuration DSS01
Manage Operations Manage Service Requests and
DSS02 Incidents
DSS03 Manage Problems DSS04
Manage Continuity DSS05
Manage Security Services DSS06
Manage Business Process Controls MEA01
Monitor, Evaluate and Assess
Performance and Conformance
Monitor, Evaluate and Assess the MEA02 System of Internal Control
Monitor, Evaluate and Assess MEA03
Compliance with External Requirements
Jumlah Proses