## ENTERPRISE RISK MANAGEMENT PADA CLOUD COMPUTING
Samudera Dipa Legawa 1
Universitas Muhammadiyah Tangerang / Fakultas Teknik, Program Studi Informatika
Jl. Perintis Kemerdekaan 1/33 Cikokol Kota Tangerang TLP. 55793251, 55772949, 55793802, 55736926 e-mail: dipa@raharja.info

## ABSTRAK
Kemajuan  teknologi  informasi  telah  mengubah  cara  pengolahan  informasi  yang  tadinya berupa  mainframe  ke  komputer  pribadi  hingga  ke  komputasi  berbasis  web.Saat  ini,  banyak organisasi  serius  mempertimbangkan  untuk  mengadopsi  teknologi  cloud  computing,  Cloud computing  (komputasi  awan)  merupakan  gabungan  pemanfaatan  teknologi  komputer  (komputasi) dalam  suatu  jaringan  dengan  pengembangan  berbasis  internet  (awan)  yang  mempunyai  fungsi untuk menjalankan program atau aplikasi melalui komputer – komputer yang terkoneksi pada waktu yang  sama.  Akan  tetapi  penerapan  cloud  computing  itu  sendiri  memunculkan  beragam  resiko, apalagi  layanan  cloud  computing  menggunakan  pihak  ketiga  atau  outsourcing.  Oleh  karena  itu perlu  ada  manajemen  resiko  yang  tepat  dalam  mengidentifikasi,  menilai,  dan  memitigasi  resiko terkait  penerapan  cloud  computing.  Pada  makalah  ini,  telah  berhasil  dirancang  sebuah  model manajemen  resiko  pada  penerapan  cloud  computing  berdasarkan  framework  COSO  Enterprise Risk Management (ERM).
Kata kunci: Teknologi Informasi, Cloud Computing, Manajemen Resiko

## ABSTRACT
Advances in information technology have changed the way of processing information who used  to  be  a  mainframe  to  personal  computers  to  the  web-based  computing. Today,  many organizations  are  seriously  considering  adopting  cloud  computing  technology, Cloud  computing  is the  combined  use  of  computer  technology  in  a  network  with  the  development  of  Internet-based (cloud)  which  has  the  function  to  run  a  program  or  application  via  a  computer  -  a  computer connected at the same time. However, the application of cloud computing itself led to various risks.
Keywords : Information Technology, Cloud Computing, Risk Management

## 1.  Pendahuluan
Pada  musim  gugur  2010,  seorang  eksekutif Google  bersaksi  di  depan  sub  komite Kongres  AS  bahwa  lebih  dari  tiga  juta  bisnis di  seluruh  dunia  adalah  pelanggan  dari penawaran  layanan  awan.  Gartner  Inc memprediksi  bahwa  komputasi  awan  akan menjadi  industri  $  140.000.000.000  pada tahun  2014.  Kemajuan  teknologi  dalam virtualisasi  sistem,  manajemen  sumber  daya sistem,  dan  Internet  telah  menyebabkan munculnya komputasi awan sebagai alternatif untuk  memenuhi  kebutuhan  teknologi  dari
berbagai  jenis  perusahaan,  dengan  manfaat sebagai  berikut  beresonansi  dengan  para eksekutif:
1.  Pemenuhan  sumber  daya  komputasi Seketika
2.  Nilai yang lebih besar dari pengeluaran  teknologi  dengan  biaya rendah
3.  Platform  teknologi  umum  yang  dapat memfasilitasi standardisasi, dan

## 4.  Berkurangnya  kebutuhan  personil
dukungan teknologi dalam negeri.
Seperti halnya peluang baru, komputasi awan membawa resiko yang sepadan. Ini membawa  kepada  organisasi  dimensi  yang berbeda dari kolaborasi dan interaksi manusia,  ketergantungan  organisasi  baru, pemenuhan  sumber  daya  lebih  cepat,  dan model  bisnis  baru.  Komite  Sponsoring Organizations  of  (COSO)  Enterprise  Risk Management  Komisi  Treadway  -  Kerangka Terpadu  menetapkan  bahasa  yang  umum dan  pondasi  bagi  organisasi  untuk  menilai dan mengawasi resiko dari perspektif holistik. Mengutip  pernyataan  abadi  dibuat  dalam publication bahwa: "Manajemen resiko perusahaan memungkinkan manajemen untuk secara efektif menangani ketidakpastian  dan  resiko  yang  terkait  dan kesempatan,  meningkatkan  kapasitas  untuk membangun  nilai." Cloud  computing bisa menghadirkan  perubahan  yang  signifikan terhadap  lingkungan  operasi,  penggunaan Enterprise  COSO  Manajemen  Resiko  - Kerangka Terpadu akan memfasilitasi identifikasi  resiko  dan  strategi  mitigasi dengan paradigma komputasi awan berkembang  yang  menyajikan  peluang  yang signifikan  serta  ketidakpastian.  Tujuan  dari publikasi  ini  adalah  untuk  memanfaatkan prinsip-prinsip  Enterprise  Risk  Management COSO  -  Kerangka  Terpadu  dalam  rangka memberikan pedoman yang akan mengidentifikasi  singkat  resiko  dan  dampak komputasi  awan  akan  memiliki  pada  suatu organisasi.  Para  eksekutif  lebih  menjadi mengerti  tentang  resiko  dan  manfaat  dari komputasi  awan,  semakin  efektif  mereka akan dapat mempersiapkan organisasi mereka  untuk  masa  depan.  Pedoman  yang disajikan  di  sini  akan  memungkinkan  para eksekutif  untuk  mengidentifikasi,  memantau, dan  mengurangi  atau  menerima  resiko  yang datang  dengan  menggunakan  komputasi awan.
2.  Pembahasan

## 2.1 Pengertian Cloud Computing
Untuk  dapat  memahami  tentang  cloud computing dimulai dengan memahami pengertian  cloud  computing.  Ada  banyak
definisi yang tersedia tentang cloud computing  yang  diberikan  para  ahli  dan organisasi.  Namun  sebagian  besar  merujuk pada  definisi  yang  dikemukakan  oleh  NIST. NIST ( National Institute of Standards Technology )  memberikan  definisi  tentang cloud  computing  sebagai  sebuah  model untuk memungkinkan ketersebaran, kenyamanan dan akses jaringan berdasarkan permintaan  pada  sebuah  sumber  daya komputasi  yang  telah  dikonfigurasi  bersama (misalnya,  jaringan  server,  penyimpanan, aplikasi  dan  layanan)  yang  dapat  dengan cepat  dirilis  dengan  upaya  manajeman  yang minimal  atau  interaksi  dengan  penyedia layanan. Sedangkan Kantor Komisaris Privasi Canada ( The Office of Privacy Commissioner of  Canada )  menjelaskan  Cloud  computing adalah penyediaan layanan komputasi melalui Internet. Layanan Cloud
memungkinkan  individu  dan  bisnis  untuk menggunakan perangkat lunak dan perangkat  keras  yang  dikelola  oleh  pihak ketiga  secara  remote  (jarak  jauh).  Contoh layanan  awan  meliputi  penyimpanan  online berkas,  situs  jejaring  sosial,  webmail,  dan aplikasi bisnis online.
Sementara itu Garry Conway (2011) menjelaskan  bahwa  komputasi  awan, secara umum,  adalah  sesuatu  yang  memberikan layanan  host  TI  melalui  Internet,  dan memungkinkan  konsumen  untuk  mengakses layanan  dan  data  melalui  perangkat  dengan Akses  Internet.  Apa  yang  membedakan komputasi  awan  dari  komputasi  tradisional adalah  bahwa:  layanan  cloud  dijual  atas permintaan; fleksibel (pengguna dapat mengkonsumsi sebanyak atau sesedikit yang mereka butuhkan); dan Layanan dikelola oleh provider  [8].  Istilah  ini  berasal  dari  metafora untuk  internet  yang  secara  mendasar  adalah jaringan  dari  jaringan  yang  memberikan akses  secara  jarak  jauh  (remote)  ke sekumpulan  (set)  sumber  daya  IT  yang terdesentralisasi.
Dengan  demikian  dapatlah  dipahami  bahwa cloud  computing adalah  sebuah  model jaringan computer(computer network), tersebar  di  mana-mana,  yang  dapat  diakses melalui  internet  dan  akses  berdasarkan permintaan (fleksibel/elastis), memiliki sumber daya komputasi dan telah dikonfigurasi untuk penggunaan secara
bersama-sama  (shared)  baik  untuk  jaringan server,  penyimpanan  data  atau  layanan aplikasi, yang dapat disediakan dengan cepat atau  melalui  interaksi  dengan  penyedia layanan.

## 2.2 Karakteristik Cloud Computing
Karakteristik  adalah  segala  sesuatu  yang menjadi ciri khas, dalam hal cloud computing yang  menjadi  karakteristiknya  sebagaimana di  ungkapkan  oleh  NIST.  berikut  ini  adalah karakeristik  dasar cloud  computing merujuk pada  penjelasan  NIST  dan  kemudian  diikuti oleh penjelasan para ahli lainnya:
A. On demand Self Service :
Pengguna dapat secara sepihak menentukan kapabilitas  komputasi,  seperti  menentukan waktu  server,  jaringan  penyimpanan  sesuai yang  diperlukan  secara  otomatis  tanpa berinteraksi  dengan  manusia  pada  setiap penyedia  jasa  layanan,  yaitu,  konsumen dapat dilayani secara otomatis dapat meminta  layanan  berdasarkan  kebutuhan mereka,  tanpa  interaksi  manusia  dengan penyedia  layanan.  Atau  dengan  kata  lain pengguna  dapat  berlangganan  hanya  yang dia  butuhkan  saja,  dan  membayar  hanya untuk  yang  mereka  gunakan  saja.  Misalkan sebuah  sebuah  internet  service  provider menyediakan  5  macam  pilihan  atau  paket- paket  internet  dan  user  hanya  mengambil  1 paket  internet  maka  user  hanya  membayar paket yang diambil saja.

## B. Broad network access
NIST  menjelaskan  karakteristik  ini  sebagai kemampuannya menyediakan akses jaringan melalui mekanisme-mekanisme standar yang memajukan  penggunaan  berbagai  platform baik thin  client maupun thick  client (misalnya ponsel,  tablet,  laptop  dan  workstation). Sedangkan  Komunitas Cloud  Computing Indonesia  menjelaskan  sebagai  kapabilitas layanan  dari  cloud  provider  tersedia  lewat jaringan dan bisa diakses oleh berbagai jenis perangkat, seperti smartphone, tablet, laptop, workstation,  dsb.  Secara  ringkas  dapat dikatakan  kemampuan  Cloud  ( Hardware dan software )  yang  tersedia  melalui  jaringan  dan diakses melalui berbagai platform.
C. Resource Pooling .
Sumber daya pelayanan di kumpulkan dalam satu  tempat  untuk  melayanai  berbagai pelanggan dengan menggunakan model multi layanan,  dengan  fisik  dan  sumber  daya virtual yang berbeda secara dinamis ditugaskan  dan  ditugaskan  kembali  sesuai permintaan  pelanggan.  Ada  sebuah  rasa independensi  lokasi  yang  secara  umum pelanggan tidak memiliki kontrol atau pengetahuan melalui  lokasi  yang senyatanya dari  sumberdaya  provider,  tetapi  mungkin sanggup  menentukan  lokasi  pada  level abstraksi  yang  lebih  tinggi  (misalnya  negara, provinsi  atau  pusat  data).  Sebagai  contoh sumber  daya  termasuk  storage  (media penyimpanan), pemroses, memory dan bandwith. M.Hamdaqa dan L.Tahvildari (2012)  menyebut  karakeristik  ini  sebagai Resource  Pooling  and  Multi  Tenancy,  yaitu sumber  daya  cloud  seperti  storage, memory, bandwitdh  dan  virtual  machine,  dipakai bersama oleh multi pelanggang dan ditugaskan secara eksklusif untuk sementara waktu  berjalan  pada  satu  pengguna  dalam satu waktu (bersamaan). Penugasan sumberdaya dilakukan secara dinamis berdasarkan pada kebutuhan pelanggan.
D. Rapid Elasticity
Kapabilitas  dapat  secara  lentur  (elastis) ditetapkan  dan  di  rilis,  pada  beberapa  kasus dapat  secara  otomatis,  untuk  skala  keluar masuk  secara  cepat  sepadan  dengan permintaan.  Untuk  pelanggan  ketersediaan kapabilitas  untuk  menyediakan  yang  sering muncul  menjadi  tidak  terbatas  dan  dalam setiap  kuantitas  dapat  disesuaikan  setiap waktu.
E. Measured Service
Sistem  cloud  secara  otomatis  mengkontrol dan  mengoptimalkan  penggunaan  sumber daya  dengan  memanfaatkan  kemampuan pengukuran pada beberapa tingkat penyesuaian  secara  abstrak  pada  macam- macam layanan
(seperti
storage,pemrosesan,  bandwidth  dan  akun pengguna  aktif).  Pemakaian  sumber  daya dapat  dipantau,  dikendalikan  dan  dilaporkan secara  transparan  untuk  kedua  penyedia layanan  dan  pelanggan  atas  penggunaan layanan.
Karakteristik  di  atas  berdasarkan  pada kondisi  yang  tersedia  saat  ini,  dan  masih sangat  mungkin  untuk  berkembang  pada masa yang akan datang.

## 2.3 Resiko dan Manajemen Resiko
Resiko  memiliki  arti  yang  bermacam-macam sesuai  konteks  yang  dirujuk  atau  sudut pandang  yang  digunakan.  HM  Treasury mendefinisikan resiko sebagai ketidakpastian dari  suatu  hasil,  apakah  peluang  positif  atau ancaman  ( threat )  negatif  dari  aksi  maupun kejadian. Resiko harus dapat dinilai mematuhi kombinasi dari
semua kemungkinan  dari  hal  yang  akan  terjadi  dan dampak yang
akan  muncul  bila  hal  tersebut  terjadi. Stoneburner dkk (2002) menyebutkan bahwa resiko adalah dampak negatif yang diakibatkan dengan adanya kerentanan ( vulnerability ), berdasarkan pertimbangan dari  probabilitas  maupun  dampak  kejadian. Dari beberapa pengertian yang telah disebutkan,  resiko  dapat  diartikan  sebagai dampak  negatif  dari  suatu  ancaman  yang mengeksploitasi  kerentanan  yang  apabila terjadi,  akan  merugikan.  Resiko  terkait  TI merupakan adalah suatu pengukuran kuantitatif dari kerugian atau kerusakan  yang disebabkan oleh ancaman ( threat ), vulnerability, atau oleh suatu kejadian (event: malicious atau non malicious) yang berpengaruh  pada  kumpulan  aset  TI  yang dimiliki oleh organisasi.
2.4 COSO ERM
COSO mendefinisikan Enterprise Risk Management  (ERM)  sebagai  proses  yang dipengaruhi  oleh  entitas  dewan  direksi, manajemen  dan  personil  lainnya,  diterapkan pada  pengaturan  strategi  dan  di  seluruh perusahaan yang dirancang untuk mengidentifikasi  peristiwa  potensial  yang dapat  mempengaruhi  entitas,  dan  mengelola resiko untuk tetap berada  pada risk appetite- nya,  untuk  memberikan  keyakinan  yang memadai mengenai pencapaian tujuan entitas.  Framework  COSO  ERM  merupakan kubus  3-dimensi,  selain  sisi  depan  yang terdiri  dari  8  komponen,  sisi  atas  merupakan
objektif  manajemen  resiko  dan  sisi  samping kubus  merupakan  komponen  entitas.  ERM versi  COSO  terdiri  dari  8  komponen  yang saling  terkait,  yaitu:  Lingkungan  Internal ( Internal  Environment ),  Penetapan  Tujuan ( Objective  Setting ),  Identifikasi  Kejadian ( Event  Identification ),  Penilaian  Resiko  ( Risk Assessment ), Respon Resiko ( Risk Response ),  Aktivitas  Pengendalian  ( Control Activities ), Informasi dan komunikasi ( Information and Communication ),
Pemantauan ( Monitoring ).

## 2.5 ERM Pada Cloud Computing
Munculnya komputasi
awan harus dipertimbangkan  sebuah  acara  di  lingkungan operasi program ERM organisasi.
Seperti  usaha  apapun,  menentukan  tujuan dan program tindakan di muka meningkatkan peluang  keberhasilan  .  Akibatnya,  rencana berkembang dengan baik yang jelas mendefinisikan tujuan organisasi dan spesifik peran  cloud  computing  akan  memungkinkan manajemen  untuk  membuat  keputusan  yang tepat.  Beberapa  prasyarat  ERM  yang  harus menjadi faktor dalam rencana mutu komputasi  awan,  dan  akhirnya  solusi  cloud adalah  model  yang  kuat  pemerintahan, struktur  pelaporan  suara,  pemahaman  yang akurat  tentang  kemampuan  IT  internal  dan kemampuan, dan risk appetite yang ditetapkan .
Beberapa  tim  manajemen  melihat  penilaian resiko  dan  program  pemerintahan  sebagai opsional.  Hal  ini  tidak  biasa  bagi  organisasi untuk  mengadopsi  solusi  komputasi  awan tanpa  menerapkan  evaluasi  resiko  formal maupun  pengeluaran  setiap  usaha  untuk menyesuaikan  ERM  nya  atau  program pemerintahan.  Ini  adalah  praktek  terbaik untuk
menggabungkan tata awan pada tahap awal ( ketika  strategi  komputasi  awan  sedang didefinisikan ) sebelum solusi cloud diadopsi . Untuk  organisasi  yang  sudah  mengadopsi komputasi awan tanpa mengikuti praktik ERM terbaik  ,  masih  bijaksana  untuk  melakukan penilaian  resiko  dan  membangun  tata  kelola awan .
Tangerang,  Oktober 2017
Dalam  kasus  dimana  solusi cloud telah dilaksanakan,  kerangka  ERM  COSO  dapat digunakan  untuk  membangun,  memperbaiki, atau melakukan pemeriksaan jaminan kualitas  dari  program  tata  kelola  awan dengan  memastikan  bahwa  semua  aspek utama  dari  program  (  misalnya  ,  tujuan, penilaian  resiko,  dan  respon  resiko  )  telah ditangani  sehubungan  dengan  persyaratan manajemen  .  Sebuah  program  tata  kelola awan  yang  efektif  masih  dapat  dicapai dengan  menerapkan  kerangka  ERM  COSO setelah pelaksanaan solusi cloud.
Situasi praktek terbaik adalah ketika manajemen  menggunakan  kerangka  ERM COSO  untuk  mengidentifikasi  konfigurasi yang  ideal  pilihan  solusi cloud (yaitu,  proses bisnis, model penyebaran, dan  model pengiriman  layanan  )  yang  sesuai  dengan risk appetite manajemen . Dengan mengevaluasi  kandidat  solusi  cloud  dalam konteks masing-masing komponen dari kerangka  ERM  COSO,  manajemen  singkat dapat mengidentifikasi resiko yang terkait dan strategi penerimaan resiko atau mitigasi yang diinginkan  dengan  setiap  skenario  solusi cloud (sebagai resiko akan bervariasi dengan masing-masing  kombinasi  pilihan).  Evaluasi ini  akan  memungkinkan  manajemen  untuk melakukan manajemen resiko dan tata kelola keputusan  yang bijaksana dalam memilih set yang ideal pilihan solusi cloud dan menciptakan  program  pemerintahan  awan
dipikirkan  dengan  baik  -  out-  sebelum  solusi cloud  diimplementasikan  .Bahan  sisa  bagian ini  menguraikan  beberapa  konsep  kunci sehubungan  dengan  mengevaluasi  kandidat solusi cloud melalui masing-masing komponen  dari  kerangka  COSO  ERM  : Lingkungan  internal  -  Komponen  lingkungan internal  berfungsi  sebagai  dasar  untuk mendefinisikan  dan  risk  appetite  organisasi dalam hal bagaimana resiko dan kontrol yang dilihat.  Misalnya,  jika  manajemen  memiliki kebijakan  Tidak  Outsourcing  salah  satu operasi  (yaitu  ada  budaya  penghindaran resiko), kebijakan  ini  akan  membatasi  pilihan yang  layak  untuk  penyebaran  awan  dan layanan  model  pengiriman  sehingga  solusi awan swasta mungkin satu-satunya alternatif yang dapat diterima.

## 3. Kesimpulan
Manajemen  perlu  mengevaluasi  bagaimana komputasi  awan  sejalan  dengan  tujuan organisasi. Tergantung pada keadaan, komputasi awan mungkin memberikan kesempatan bagi
organisasi untuk meningkatkan kemampuannya untuk
mencapai  tujuan  yang  ada,  atau  mungkin memberikan kesempatan untuk mendapatkan keuntungan kompetitif , yang akan membutuhkan tujuan baru yang akan ditetapkan.

## 4. REFERENSI
[1] Ahmed Mohamed Gamaleldin “An Introduction to Cloud Computing Concepts” Software Engineering Competence Center 2013 [2] Alex  Budiyanto  Komunitas  “Pengantar Cloud Computing”Cloud Computing
Indonesia 2012
[3]   Alexa Huth  and  James  Cebula  “The Basics  of  Cloud  Computing”  Carnegie Mellon University 2011
[4] Berkah  I.  Santoso,”  Cloud  Computing dan Strategi TI Modern” Komunitas Cloud Computing Indonesia, 2012
[5] Cisco  “Cisco  Cloud  Computing  -Data Center Strategy, Architecture, and Solutions Point of View White Paper
[6] Cloud  U  “Understanding  the  Cloud Computing  Stack:  PaaS,  SaaS,  IaaS” Diversity Limited, 2011 [7] Crowe Horwath, “Enterprise Risk
Management  for  Cloud  Computing” COSO Juni 2012
[8] David Chappell “A short Introduction  into Cloud  Platform,  an  Enterprise  Oriented View”,  David  Chappell  and  Asosiated 2008