Model Penilaian Proses

5.3 Model Penilaian Proses

Model penilaian proses merupakan suatu model yang digunakan untuk menilai kemampuan proses tata kelola berdasarkan suatu model referensi proses. Model penilaian proses menggunakan sumber data berikut:

1. model referensi proses yang dijadikan sebagai dasar penilaian kemampuan dimensi proses pada level 1 (base practices dan work products),

2. ISO/IEC 15504 series yang dijadikan dasar penentuan level atau dimensi kemampuan proses, khususnya untuk level 2 sampai dengan 5 (generic practices, generic work products dan generic resource),

3. COBIT 5 for Information Security yang digunakan untuk mendefinisikan aktivitas dari setiap base practices,

4. COBIT 5 Process Assessment Model yang digunakan untuk mendefinisikan generic practices dan generic work products.

Model penilaian proses tata kelola keamanan informasi terdiri atas dua bagian yaitu komponen rekapitulasi yang ditunjukkan oleh Tabel V.11 dan komponen rincian proses yang ditunjukkan Tabel V.12. Model penilaian proses secara lengkap dijelaskan pada Error! Reference source not found..

Tabel V.11 Contoh rekapitulasi model penilaian proses EDM05.

Summary

Level 0 Level 1

Level 2

Level 3

Level 4 Level 5

PA 1.1

PA

PA

PA

PA

PA

PA PA PA

Summary

Level 0 Level 1

Level 2

Level 3

Level 4 Level 5

PA 1.1

PA

PA

PA

PA

PA

PA PA PA

2.1 2.2 3.1 3.2 4.1 4.2 5.1 5.2

Capability Level

Achieved

Komponen Tabel V.11 dapat diuraikan melalui penjelasan sebagai berikut:

1. target, merupakan target pencapaian level kemampuan untuk masing-masing PA yang dikehendaki oleh pihak organisasi (nilainya berupa: fully, largely, partially atau not achieved),

2. rating, merupakan hasil pencapaian kemampuan proses yang aktual (nilainya berupa: fully, largely, partially atau not achieved),

3. rating by criteria, merupakan nilai persentase pencapaian kemampuan proses yang diukur berdasarkan kriteria komponen proses (meliputi: aktivitas, keluaran, generic practices, generic work products dan generic resources),

4. capability level achieved, merupakan level pencapaian kemampuan proses (nilainya: [1 ... 5]) untuk masing-masing PA.

PA diukur sesuai dengan target tingkat pencapaian yang diharapkan. Tabel V.12 menjelaskan salah satu contoh rincian model penilaian pada proses EDM05.

Tabel V.12 Contoh model penilaian proses EDM05.

Process ID EDM05 Process Name

Ensure Stakeholder Transparency Process

Ensure that enterprise IT performance and conformance measurement and reporting are transparent, with stakeholders approving the goals

Description

and metrics and the necessary remedial actions.

Process

Make sure that the communication to stakeholders is effective and timely and the basis for reporting is established to increase performance,

Purpose

identify areas for improvement, and confirm that IT-

related objectives and strategies are in line with the enterprise’s strategy.

Statement

Level PA

Outcome

Achv.

Component Achv.

Number

Consideration

Activities Achv.

0 - Incomplete

not achieved

1 - Performed PA 1.1

1. Determine the audience, including internal and external individuals or groups,

not achieved for communication and

reporting.

Outside COBIT

2. Identify requirements

5 for IS:

for reporting on

Evaluation of

information security to

EDM05-BP1

enterprise

stakeholders (e.g., what not achieved

EDM05-O1

BP

reporting

information is required,

requirements

when it is required, how it is presented).

3. Identify the means and channels to communicate

not achieved information security issues.

1. Prioritise reporting

EDM05-BP2

on information security not achieved issues to stakeholders.

Process ID EDM05

2. Perform internal and external audits to assess the effectiveness

not achieved of the information

security governance programme.

3. Produce for stakeholders regular information security status reports that include information security activities, performance, achievements, risk

not achieved profile, business benefits, ‘hot topics’ (e.g., cloud, consumer products), outstanding risk (including compliance and audit) and capability gaps.

WP

EDM05-WP1

not achieved

(Output)

EDM05-WP2

not achieved

1. Determine the audience, including internal and external

Outside COBIT

not achieved individuals or groups,

5 for IS:

for communication and

EDM05-O2

BP

EDM05-BP1

Evaluation of

reporting.

enterprise

2. Identify requirements

reporting requirements

for reporting on information security to

not achieved stakeholders (e.g., what information is required,

Process ID EDM05

when it is required, how it is presented).

3. Identify the means and channels to communicate

not achieved information security issues.

1. Prioritise reporting on information security

not achieved issues to stakeholders.

2. Perform internal and external audits to assess the effectiveness

not achieved of the information

security governance programme.

3. Produce for stakeholders regular

EDM05-BP2

information security status reports that

include information security activities, performance, achievements, risk

not achieved profile, business benefits, ‘hot topics’ (e.g., cloud, consumer products), outstanding risk (including compliance and audit) and capability gaps.

Process ID EDM05

1. Establish information security monitoring and reporting (e.g., using key performance indicators [KPIs] for

EDM05-BP3

information security not achieved and information risk management that are based on metrics and measurements in the MEA domain).

EDM05-WP1

not achieved

WP

EDM05-WP2

not achieved

(Output)

EDM05-WP3

not achieved

Total Achv.

2 - Managed PA 2.1

GP

GP 2.1.n

not achieved

[outcomes]

GWP

GWP n

not achieved

not achieved PA 2.2

GR

GR 2.1.n

GP

GP 2.2.n

not achieved

[outcomes]

GWP

GWP n

not achieved

GR

GR 2.2.n

not achieved

Total Achv.

3 – Established PA 3.1

GP

GP 3.1.n

not achieved

[outcomes]

GWP

GWP n

not achieved

not achieved PA 3.2

GR

GR 3.1.n

GP

GP 3.2.n

not achieved

[outcomes]

GWP

GWP n

not achieved

GR

GR 3.2.n

not achieved

Total Achv.

Process ID EDM05

4 – Predictable PA 4.1

GP

GP 4.1.n

not achieved

[outcomes]

GWP

GWP n

not achieved

not achieved PA 4.2

GR

GR 4.1.n

GP

GP 4.2.n

not achieved

[outcomes]

GWP

GWP n

not achieved

GR

GR 4.2.n

not achieved

Total Achv.

5 – Optimizing PA 5.1

GP

GP 5.1.n

not achieved

[outcomes]

GWP

GWP n

not achieved

not achieved PA 5.2

GR

GR 5.1.n

GP

GP 5.2.n

not achieved

[outcomes]

GWP

GWP n

not achieved

GR

GR 5.2.n

not achieved

Total Achv.

5.3.1 Hasil Penilaian Proses

Hasil analisis kesenjangan terhadap proses TKKI berperan sebagai masukan dalam menentukan lingkup rancangan atau rekomendasi yang dapat diberikan sesuai dengan target yang diharapkan.

5.3.2 Analisis Kesenjangan

Analisis kesenjangan dilakukan dengan cara membandingkan setiap pasangan nilai pencapaian dan harapan pada proses TKKI. Perbandingan tersebut menghasilkan sejumlah perbedaan dalam bentuk selisih. Conoth selisih yang terdapat pada masing-masing proses dijelaskan oleh Tabel V.13.

Tabel V.13 Contoh analisis kesenjangan.

L.1

ID Capaian

L.0

Analisis

PA 1.1

Governance EDM – Evaluate, Direct and Monitor

Saat ini

Hasil ini mengandung arti semua base practices

01 belum dilaksanakan dan work products belum ada Target

F F pada proses EDM01.

Saat ini

Hasil ini mengandung arti sebagian besar base

05 practices belum dilaksanakan dan work products Target

F F belum ada pada proses EDM05.

Management APO – Align, Plan and Organise

Saat ini

Hasil ini mengandung arti hanya sebagian kecil

01 base practices yang belum dilaksanakan dan work Target

F F products belum ada pada proses EDM05.

Tabel V.13 menjelaskan bahwa terdapat tiga jenis analisis kesenjangan yang dapat diberikan yaitu:

1. semua BP belum dilaksanakan dan WP belum ada: analisis ini menginformasikan bahwa belum ada bukti dilaksanakannya semua aktivitas dan adanya keluaran terkait dari proses yang menjadi obyek penilaian,

2. sebagian besar BP belum dilaksanakan dan WP belum ada: analisis ini

3. hanya sebagian kecil BP yang belum dilaksanakan dan WP belum ada: analisis ini menginformasikan bahwa sudah banyak bukti dilaksanakannya sejumlah aktivitas dan adanya keluaran terkait dari proses yang menjadi obyek penilaian.

Analisis kesenjangan yang dihasilkan tersebut di atas dapat dijadikan dasar pemberian rekomendasi atau rancangan terhadap proses TKKI yang cocok dan sesuai dengan kebutuhan organisasi. Rekomendasi atau rancangan yang dibuat tersebut memberikan daftar hanya aktivitas yang belum dilaksanakan dan keluaran yang belum ada saja.