SNI ISO/IEC 38500:2013 Tata Kelola Teknologi Informasi pada Sosialaisasi Standardisasi Teknologi Informasi "Penerapan SNI ISO/IEC Teknologi Informasi untuk menghadapi era globalisasi" Hotel Menara Peninsula, Jakarta 9 September 2014

1. Sosialisasi
SNI ISO/IEC 38500:2013
Tata Kelola Teknologi Informasi
Sarwono Sutikno, Dr.Eng.,CISA,CISSP,CISM
Ketua WG Tata Kelola dan Layanan TI
PT35-01 Teknologi Informasi
Jakarta 9 September 2014
1
Tambahan:
SNI ISO/IEC 27014:2013 Tata Kelola Keamanan Informasi

2. Sarwono Sutikno, Dr.Eng.,CISA,CISSP,CISM
Current:
• Cybersecurity Nexus (CSX) Liaison, ISACA Indonesia Chapter
• ISACA Academic Advocate at ITB
• Subject Matter Expert for Information Security Standard for ISO at ISACA HQ
• Associate Professor at School of Electrical Engineering and Informatics, Institut Teknologi Bandung
• Ketua WG Layanan dan Tata Kelola TI, anggota WG Keamanan Informasi serta Anggota Panitia Teknis 35-01 Program
Nasional Penetapan Standar bidang Teknologi Informasi, BSN – Kominfo.
Past:
• Director of Certification – CRISC & CGEIT, ISACA Indonesia Chapter (2012-2014)
• Ketua Kelompok Kerja Evaluasi TIK Nasional, Dewan TIK Nasional (2007-2008)
• Plt Direktur Operasi Sistem PPATK (Indonesia Financial Transaction Reports and Analysis Center, INTRAC), April 2009 –
May 2011
Professional Certification:
• Professional Engineering (PE), the Principles and Practice of Electrical Engineering, College of Engineering, the University
of Texas at Austin. 2000
• IRCA Information Security Management System Lead Auditor Course, 2004
• ISACA Certified Information System Auditor (CISA). CISA Number: 0540859, 2005
• Brainbench Computer Forensic, 2006
• (ISC)2 Certified Information Systems Security Professional (CISSP), No: 118113, 2007
• ISACA Certified Information Security Manager (CISM). CISM Number: 0707414, 2007
Award:
• (ISC)2 Asia Pacific Information Security Leadership Achievements (ISLA) 2011 award in category Senior Information
Security Professional. http://isc2.org/ISLA

3. Bloom’s Taxonomy of Educational Objectives
Apply
Comprehend
Remember
list, recite
explain, paraphrase
calculate, solve,
determine, apply
Analyze
compare, contrast, classify,
categorize, derive, model
Synthesize
create, construct, design,
improve, produce, propose
Evaluate
judge, critique, justify,
verify, assess, recommend
3

4. Kategori Kontrol berbasis Risiko
Source: Transforming Cybersecurity: Using COBIT 5, ISACA, 2013
4

5. Kerangka dan Standar – tinjauan
COSO
PP60/
SNI ISO
2008 38500
COBIT 5
ITIL v2
ITIL v3
SNI ISO
20000
SNI
ISO
2700x
SNI
ISO
900x
Common
Criteria
SNI ISO
15408
technical management board level
SNI ISO
27014
5 dari x 5

6. Principles of IT Governance
o Principle 1: Establish clearly understood responsibilities for IT
o Principle 2: Plan IT to best support the organization
o Principle 3: Acquire IT validly
o Principle 4: Ensure that IT performs well, whenever required
o Principle 5: Ensure IT conforms with formal rules
o Principle 6: Ensure IT use respects human factors
Source:
P.Weill & J.Ross, IT Governance, Harvard Business Press, 2004
6

7. Model lain: Pemisahan Governance dan Management
7

8. SNI ISO/IEC 38500:2013 Tata Kelola Teknologi Informasi
Source: SNI ISO/IEC 38500:2013, ISO/IEC 38500:2008, AS8015 Corporate Governance of
8 dari x 8
ICT: January 2005

9. SNI ISO/IEC 38500:2013 Tata Kelola Teknologi Informasi
Pimpinan mengevaluasi
pemanfaatan TI saat ini dan
masa depan
Source: SNI ISO/IEC 38500:2013, ISO/IEC 38500:2008, AS8015 Corporate Governance of
9 dari x 9
ICT: January 2005

10. SNI ISO/IEC 38500:2013 Tata Kelola Teknologi Informasi
Pimpinan mengarahkan penyusunan dan pelaksanaan dari rencana
dan kebijakan untuk memastikan bahwa pemanfaatan TI memenuhi
tujuan bisnis.
Source: SNI ISO/IEC 38500:2013, ISO/IEC 38500:2008, AS8015 Corporate Governance of
10 dari x 10
ICT: January 2005

11. SNI ISO/IEC 38500:2013 Tata Kelola Teknologi Informasi
Pimpinan memantau kesesuaian terhadap kebijakan, dan
memantau pelaksanaan dibandingkan dengan rencana
Source: SNI ISO/IEC 38500:2013, ISO/IEC 38500:2008, AS8015 Corporate Governance of
11 dari x 11
ICT: January 2005

12. SNI ISO/IEC 38500:2013
Enam Prinsip
Prinsip 1: Tanggung jawab
Prinsip 2: Strategi
Prinsip 3: Akuisisi
Prinsip 4: Kinerja
Prinsip 5: Kesesuaian
Prinsip 6: Perilaku Manusia
12 dari x 12

13. SNI ISO/IEC 38500:2013
Enam Prinsip
Prinsip 1: Tanggung jawab
Individu dan kelompok dalam suatu organisasi memahami dan menerima
tanggung jawab mereka dalam hal penyediaan dan permintaan atas TI.
Mereka yang bertanggung jawab untuk melakukan berbagai tindakan juga
memiliki kewenangan untuk melakukan berbagai tindakan tersebut.
Prinsip 1: Tanggung jawab
Prinsip 2: Strategi
Prinsip 3: Akuisisi
Prinsip 4: Kinerja
Prinsip 5: Kesesuaian
Prinsip 6: Perilaku Manusia
13 dari x 13

14. SNI ISO/IEC 38500:2013
Enam Prinsip
Prinsip 2: Strategi
Strategi bisnis suatu organisasi memperhitungkan kemampuan TI saat ini dan
di masa depan; rencana strategis TI memenuhi kebutuhan saat ini dan
berkelanjutan dari strategi bisnis organisasi.
Prinsip 1: Tanggung jawab
Prinsip 2: Strategi
Prinsip 3: Akuisisi
Prinsip 4: Kinerja
Prinsip 5: Kesesuaian
Prinsip 6: Perilaku Manusia
14 dari x 14

15. SNI ISO/IEC 38500:2013
Enam Prinsip
Prinsip 3: Akuisisi
Akuisisi TI dibuat untuk alasan yang valid, atas dasar analisis yang tepat dan
berkelanjutan, dengan pengambilan keputusan yang jelas dan transparan.
Terdapat Prinsip keseimbangan 1: Tanggung antara jawab
manfaat, peluang, biaya, dan risiko, baik
dalam jangka pendek maupun jangka panjang.
Prinsip 2: Strategi
Prinsip 3: Akuisisi
Prinsip 4: Kinerja
Prinsip 5: Kesesuaian
Prinsip 6: Perilaku Manusia
15 dari x 15

16. SNI ISO/IEC 38500:2013
Enam Prinsip
Prinsip 4: Kinerja
Prinsip 1: Tanggung jawab TI sesuai dengan tujuan untuk mendukung organisasi, untuk menyediakan
layanan, dengan Prinsip tingkat 2: Strategi
layanan dan kualitas layanan yang diperlukan untuk
memenuhi persyaratan bisnis saat ini dan masa yang akan datang.
Prinsip 3: Akuisisi
Prinsip 4: Kinerja
Prinsip 5: Kesesuaian
Prinsip 6: Perilaku Manusia
16 dari x 16

17. SNI ISO/IEC 38500:2013
Enam Prinsip
Prinsip 1: Tanggung jawab
Prinsip 2: Strategi
Prinsip 5: Kesesuaian
TI mematuhi Prinsip semua 3: Akuisisi
perundangan dan peraturan yang wajib. Kebijakan dan
praktik dengan jelas didefinisikan, dilaksanakan, dan ditegakkan.
Prinsip 4: Kinerja
Prinsip 5: Kesesuaian
Prinsip 6: Perilaku Manusia
17 dari x 17

18. SNI ISO/IEC 38500:2013
Enam Prinsip
Prinsip 1: Tanggung jawab
Prinsip 2: Strategi
Prinsip 3: Akuisisi
Prinsip 6: Perilaku Manusia
Kebijakan, praktik, dan keputusan TI menunjukkan penghargaan terhadap
Prinsip 4: Kinerja
Perilaku Manusia, termasuk kebutuhan saat ini dan perkembangannya dari
semua 'orang Prinsip dalam 5: Kesesuaian
proses'.
Prinsip 6: Perilaku Manusia
18 dari x 18

19. Perbaikan konsep Tata Kelola di Keamanan Informasi
19
Source:
P.Weill & J.Ross, IT Governance, Harvard Business Press, 2004
SNI ISO/IEC 38500:2013, ISO/IEC 38500:2008,
AS8015 Corporate Governance of ICT: January 2005
SNI ISO/IEC 27014:2013 Tata Kelola Keamanan Informasi,
ISO/IEC 27013:2013

20. Perbaikan konsep Tata Kelola di Keamanan Informasi
Establish organisation-wide infosec
20
Prinsip 1: Tanggung jawab
Prinsip 2: Strategi
Prinsip 3: Akuisisi
Prinsip 4: Kinerja
Prinsip 5: Kesesuaian
Prinsip 6: Perilaku Manusia
Adopt a risk-based approach
Set direction of investment decisions
Ensure conformance with int & ext req
Foster a security-positive environment
Review performance in relation to
business outcomes

21. Diskusi
27