## Identifikasi Risiko pada Perpustakaan Daerah Gresik dengan NIST SP 800-30
Dini Idzni Izatri, Nofita Idaroka Rohmah, Renny Sari Dewi *
Fakultas Teknologi Informasi dan Kreatif, Sistem Informasi, Universitas Internasional Semen Indonesia, Gresik, Indonesia Email: 1 Dini.izatri16@student.uisi.ac.id, 2 Nofita.rohmah16@student.uisi.ac.id, 3,* renny.dewi@uisi.ac.id Email Penulis Korespondensi renny.dewi@uisi.ac.id
Submitted 20-12-2019; Accepted 10-01-2020; Published 15-02-2020

## Abstrak
Dengan semakin pesat nya perkembangan teknologi yang ada di Indonesia membuat beberapa perusahaan hingga lembaga pemerintah mulai menerapkan IT didalam sistem mereka, begitu pula dengan Perpustakaan Daerah Kabupaten Gresik. Teknologi Informasi adalah bidang pengelolaan teknologi dan mencakup berbagai bidang yang termasuk tetapi tidak terbatas pada hal-hal seperti proses, perangkat lunak komputer, sistem informasi, perangkat keras komputer, bahasa pemrograman, dan data konstruksi. Singkatnya, apa yang membuat data, informasi atau pengetahuan yang dirasakan dalam format visual apapun, melalui setiap mekanisme distribusi multimedia, d ianggap bagian  dari  Teknologi  Informasi.  Perpustakan  Daerah  Kabupaten  Gresik  adalah  salah  satu  lembaga  dari  pemerintah  yang  sudah menerapkan Teknologi Informasi pada sistem mereka. Perpustakaan daerah kabupaten gresik memiliki sekitar kurang lebih tiga puluh ribu  buku  yang  terdiri  dari  novel,  majalah,  buku  pelajaran  sekolah,  sastra,  dan  lain  lain.  Perpustakaan  Daerah  Kabupaten  Gresik  pun sekarang sudah menggunakan aplikasi INLIS LITE, aplikasi ini digunakan pihak perpustakaan mulai dari pendataan buku buku hingga melihat daftar anggota perpustakaan.
Kata Kunci: Perpustakaan Daerah, INLIS LITE, NIST SP 800-30

## Abstract
With the rapid development of technology in Indonesia, several companies and government institutions have begun to implement  IT in their systems, as well as the Gresik Regency Regional Library. Information Technology is a field of technology management and covers various  fields  including  but  not  limited  to  things  such  as  processes,  computer  software,  information  systems,  computer  hardwa re, programming languages, and data construction. In short, what makes data, information or knowledge felt in any visual format, through any mechanism of multimedia distribution, is considered part of Information Technology. Regional Library of Gresik Regency is one of the  institutions  from  the  government  that  has  implemented  Information  Technology  in  their  system.  Gresik  district  library  has  about thirty thousand books consisting of novels, magazines, school textbooks, literature, and others. The Regional Library of Gresik Regency is  now  using  the  INLIS  LITE  application,  this  application  is  used  by  the  library,  from  the  collection  of  books  to  the  list  of  library members.
Keywords : Regional Library, INLIS LITE, NIST SP 800-30

## 1. PENDAHULUAN
Pemenuhan  kebutuhan  informasi  yang  dapat  dilakukan  di  mana  dan  kapan  saja  menjadi  tolak  ukur  mengingat perkembangan  zaman  yang  disebut  'the  age  2  of  network  intelligence',  yang  di  backup  oleh  jaringan  informasi  modern sehingga segala urusan dapat dilaksanakan tanpa harus berada di tempat kegiatan dilaksanakan [1].
Pada zaman sekarang ini, teknologi telah digunakan hampir di seluruh bidang ,  termasuk dalam dunia pendidikan, pada zaman sekarang kebutuhan teknologi informasi dimanapun dan kapan saja menjadi tolak ukur bagi semua orang saat ini. Termasuk pada perpustakaan daerah kabupaten gresik, salah satu teknologi yang digunakan oleh perpustakaan daerah kabupaten gresik yaitu teknologi web.
Teknologi web memberikan kemudahan untuk mengakses informasi cepat dan murah yang disediakan oleh website maupun pustaka digital. Selain  manfaat  berupa kecepatan dan kemudahan akses, teknologi  web rentan terhadap sabotase serta tindak kejahatan [2].
Menurut ISO 27002, Keamanan informasi adalah melindungi informasi dari ancaman demi menjamin kelangsungan proses  bisnis  dan  memaksimalkan  laba  investasi  dan  peluang  bisnis.    keamanan  informasi  juga  didefinisikan  sebagai perlindungan informasi dan sistem informasi dari akses yang tidak sah, penggunaan, pengungkapan, gangguan, modifikasi atau pengrusakan [3].
Risiko  adalah  suatu  ketidakpastian  dimasa  yang  akan  datang  tentang  kerugian  yang  harus  dipikul  oleh  organisasi. Risiko mengandung tiga unsur pembentuk risiko (Nugraha, 2016), yaitu dampak atau konsekuensi (jika terjadi, risiko akan membawa  akibat  atau  konsekuensi),  dan  kemungkinan  kejadian  (risiko  masih  berupa  kemungkinan  atau  diukur  dalam bentuk probabilitas)[4].
Manajemen risiko  adalah suatu  pendekatan  terstruktur/metodologi  dalam mengelola ketidakpastian yang berkaitan dengan  ancaman,  manajemen  risiko  juga  merupakan  suatu  rangkaian  aktivitas  manusia  yang  meliputi  penilaian  risiko, pengembangan  strategi  untuk  mengelolanya  dan  mitigasi  risiko  dengan  menggunakan  pemberdayaan  atau  pengelolaan sumberdaya [5].
Manajemen  risiko  didefinisikan  sebagai  suatu  metode  logis  dan  sistematik  dalam  identifikasi,  kuantifikasi, menentukan  sikap,  menetapkan  solusi,  serta  melakukan  monitor  dan  pelaporan  risiko  yang  berlangsung  pada  setiap aktivitas  atau  proses.penerapan  manajemen  risiko  dalam  konteks  organisasi  adalah  bagaimana  suatu  organisasi  bisa mengelola risiko yang dihadapinya [6].
Menurut  Pinontoan,  risiko  adalah  akibat  negatif  dari  sebuah  kejadian  atau  suatu  keputusan  yang  diambil  dalam kehidupan  sehari  –  hari.  Darmawi,  mendefinisikan  risiko  sebagai  kemungkinan  akan  terjadinya  akibat  burukatau  akibat
merugikan,  seperti  kemungkinan  kehilangan,  cedera,  kebakaran,  dan  sebagainya.  Dalam  risiko,  tidak  ada  metode  yang menjamin seratus persen bahwa akibat buruk itu setiap saat  dapat  dihindarkan, kecuali kalau kegiatan yang mengandung unsur risiko tidak dilakukan [7].
Undang-Undang  Nomor  43  Tahun  2007  tentang  perpustakaan  menyebutkan  bahwa  perpustakaan  adalah  institusi pengelola  koleksi  karya  tulis,  karya  cetak,  dan/atau  karya  rekam  secara  profesional  dengan  sistem  yang  baku  guna memenuhi  kebutuhan  pendidikan,  penelitian,  pelestarian,  informasi,  dan  rekreasi  para  pemustaka. Pada  kondisi  sekarang pemustaka utamanya masyarakat terbiasa dengan nilai informasi yang dipengaruhi oleh sinergi antara perangkat teknologi informasi, teknologi web dan sumber-sumber informasi global yang tersedia di intenet [8].
Perpustakaan  daerah  &  arsip  Kabupaten  Gresik  mempunyai  sekitar  tiga  puluh  ribu  buku  yang  terdiri  dari  buku pelajaran  sekolah,  majalah,  novel,  sastra,  dan  lain  lain.  Buku  -  buku  di  Perpustakaan  daerh  &  arsip  Kabupaten  Gresik diperbaharui  sekitar tiga tahun sekali yang didanai  oleh pemerintah yang selanjutnya dikelola oleh pegawai  perpustakaan tersebut.
Pada  perpustakaan  daerah  kabupaten  gresik,  mereka  telah  menggunakan  IT  pada  sistem  automasi  pelayanan perpustakaan, aplikasi sistem yang mereka gunakan bernama INLIS lite v3 (Integrated Library System).

## 2. METODE PENELITIAN

## 2.1 Sistem Informasi
Sistem  informasi  adalah  suatu  sistem  didalam  suatu  organisasi  yang  mempertemukan  kebutuhan  pengelolaan  transaksi harian, mendukung operasi, yang bersifat manajerial, dan kegiatan strategi dari suatu organisasi dan meyediakan pihak luar tertentu dengan laporan-laporan yang dibutuhkan [9].
Sistem  informasi  menurut  Oetomo,  sebagai  kumpulan  elemen  yang  saling  berhubungan  satu  dengan  yang  lain membentuk  satu  kesatuan  untuk  mengintegrasikan  data,  proses  dan  menyimpan  serta  mendistribusikan  informasi. Sedangkan  menurut  Tantra,  menyebutkan  bahwa  sistem  informasi  merupakan  cara  yang  terorganisir,  untuk mengumpulkan,  memasukkan,  dan  memproses  data  dan  menyimpannya,  mengelola,  mengontrol  dan  melaporkannya sehingga dapat mendukung perusahaan atau organisasi untuk mencapai tujuan.

## 2.2 Penilaian Risiko
Menurut  (Maulana  dan  Supangkat,  2006)  penilaian  risiko  (risk  assessment)  merupakan  bagian  dari  manajemen  risiko, penilaian risiko adalah proses untuk menilai seberapa sering risiko terjadi atau seberapa besar dampak dari risiko. Tujuan utama melakukan analisis risiko adalah untuk mengukur dampak dari potensi ancaman, menentukan berapa besar kerugian yang diderita akibat hilangnya potensi bisnis. Hasil utama dari analisis risiko dua diantaranya adalah identifikasi risiko dan jumlah biaya berbanding manfaatnya untuk penanggulangan risiko kerusakan .
Sementara itu, risiko  yang bersumber dari pihak internal  diantaranya adanya keterbatasan dana operasional, sumber daya manusia yang tidak kompeten, peralatan yang tidak memadai, kebijakan prosedur yang tidak jelas, suasana kerja yang tidak kondusif, adanya unsur sabotase dari pegawai, dan sebagainya (Istiningrum, 2011)  [10].

## 2.3 Metode Pengumpulan data
Metode pengumpulan data dibagi menjadi 2 yaitu : 1. Data primer
Yaitu sumber data penelitian yang diperoleh secara langsung dari sumber aslinya yang berupa wawancara, jajak pendapat dari  individu  atau  kelompok  (orang)  maupun  hasil  observasi  dari  suatu  obyek,  kejadian  atau  hasil  pengujian  (benda). Adapun  data  primer  yang  didapat    pada  Perpustakaan  Daerah  Kabupaten  gresik  yaitu:  hasil  observasi  dan  wawancara mengenai risiko apa saja yang pernah terjadi pada perpustakaan daerah kabupaten gresik .
2. Data Sekunder yaitu sumber data penelitian yang diperoleh melalui media perantara atau secara tidak langsung yang berupa buku, catatan, bukti  yang  telah  ada,  atau  arsip  baik  yang  dipublikasikan  maupun  yang  tidak  dipublikasikan  secara  umum.  Adapun  data sekunder yang kami peroleh yaitu: data seperti buku, jurnal, dan informasi lainnya dari internet yamg menyangkut tentang profil perpustakaan daerah kabupaten gresik dan juga menyangukt tentang manajemen resiko.

## 2.4 Keamanan  Informasi
Menurut ISO 27002, Keamanan informasi adalah melindungi informasi dari ancaman demi menjamin kelangsungan proses bisnis dan memaksimalkan laba investasi dan peluang bisnis [11].
Menurut G. J. Simons, keamanan informasi adalah bagaimana kita dapat mencegah penipuan (cheating) atau, paling tidak, mendeteksi adanya penipuan di sebuah sistem yang berbasis informasi, dimana informasinya sendiri tidak memiliki arti fisik. Keamanan informasi adalah upaya untuk mengamankan aset informasi terhadap ancaman yang mungkin timbul. Secara  tidak  langsung  keamanan  informasi  menjamin  kontinuitas  bisnis,  mengurangi  risiko-risiko  yang  terjadi, mengoptimalkan pengembalian investasi [11].
Keamanan informasi juga didefinisikan sebagai perlindungan informasi dan sistem informasi dari akses yang tidak sah, penggunaan, pengungkapan, gangguan, modifikasi atau pengrusakan. Tujuan dari keamanan informasi, meliputi : 1. Menjaga  keamanan  sumber  –  sumber  informasi,  disebut  dengan  manajemen  pengamanan  informasi.  (Information Security Management)
2. Memelihara fungsi – fungsi perusahaan setelah terjadi bencana atau pelanggaran keamanan.

## 2.5 Tahap pengumpulan data
Pada  tahap  ini,  merupakan  tahap  pengumpulan  data  untuk  menghasilkan  data  sebagai  hipotesis  awal  dari  proses  analisis resiko yang akan dilakukan. Dalam melakukan pengumpulan data, ada beberapa teknik yang dilakukan, sebagai berikut : 1.  Observasi
Observasi dilakukan untuk mengetahui keadaan permasalahan sesuai dengan topik yang akan dibahas. Pada tahapan ini, dilakukan  survey  secara  langsung  ke  perpustakaan  daerah  kabupaten  gresik  untuk  mengamati  dan mengetahui  sistem informasi  yang  digunakan  oleh  perpustakaan  daerah  kabupaten  gresik,  apa  saja  resiko  yang  telah  dialami  dan bagaimana cara pihak perpustakaan mengatasi permasalahan tersebut.
2.  Wawancara
Tahapan wawancara dilakukan dengan staff IT perpustakaan daerah kabupaten gresik untuk mengetahui risiko apa saja yang terjadi di perpustakaan daerah kabupaten gresik.

## 2.6 Metode NIST SP 800-30
NIST  SP  800-300  merupakan  kerangka  kerja  yang  digunakan  dalam  manajemen  risiko  sistem  informasi,  dimana  dalam proses manajemen risiko NIST memberikan 3 tahapan yaitu penilaian risiko, peringanan  risiko, dan evaluasi risiko. Hasil akhir dari kegiatan ini berupa rekomendasi untuk mengurangi risiko yang akan terjadi pada sistem informasi[12].
NIST SP 800-30 adalah dokumen standar yang dikembangkan oleh National Institute of Standards and Technology Special  Publication  yang  mana  merupakan  kelanjutan  dari  tanggung  jawab  hukum  di  bawah  undang-undang  Computer Security  Act  tahun  1987  dan  The  Information  Technology  Management  Reform  Act  tahun  1996.  NIST  mengeluarkan rekomendasi  melalui  publikasi  khusus  800-30  tentang  Risk  Management  Guide  for  Information  Technology  System. Terdapat tiga proses dalam manajemen risiko yang dikeluarkan oleh NIST SP 800-30 yaitu penilaian risiko, mitigasi risiko dan evaluasi risiko[13].

## 1. Penilaian risiko
Menurut  Whitman dan Mattord (2006) dalam menggunakan sebuah framework manajemen risiko, ada beberapa hal yang harus diperhatikan:
a. Risiko dan dampak sebaiknya dipandang secara keseluruhan dari sudut pandang perspektif bisnis.
b. Risiko berpengaruh secara signifikan jika memiliki dampak terhadap bisnis.
c. Framework yang akan digunakan haruslah menyediakan bentuk dasar untuk melakukan evaluasi segala macam risiko, mulai dari insiden keamanan informasi yang besifat kecil hingga yang berpotensi bencana.
d. Risiko dan dampak sebaiknya dipandang secara keseluruhan dari sudut pandang perspektif bisnis.
e. Risiko berpengaruh secara signifikan jika memiliki dampak terhadap bisnis. Framework yang akan digunakan haruslah menyediakan bentuk dasar untuk melakukan evaluasi segala macam risiko, mulai dari insiden keamanan informasi yang besifat kecil hingga yang berpotensi bencana [14].
Tahapan penilaian risiko berdasarkan NIST 800-30 yaitu (Syalim, Hori, dan Sakurai, 2009):
a. System Characterization Pada tahapan ini, batas-batas dari sistem TI harus diidentifikasi, termasuk didalamnya sumber daya dan informasi.
b. Threat  Identification Pertimbangan  atas  kemungkinan  untuk  muncul  ancaman  seperti  sumber,  potensi  kerawanan  dan kontrol yang ada.
c. Vulnerability  Identification  Identifikasi  terhadap  kerawanan  digunakan  untuk  pengembangan  dari  daftar  kerawanan sistem yang dapat dimanfaatkan nantinya.
d. Control  Analysis  Analisis  terhadap  kontrol  yang  telah  dilaksanakan  atau  direncanakan  untuk  implementasi  oleh organisasi untuk minimalisir atau menghilangkan kemungkinankemungkinan pengembangan dari ancaman.
e. Likelihood Determination Proses rangking  terhadap potensi  dari  kerawanandapat  dilaksanakan dalam lingkungan dari kerawanan  tersebut.  Faktor    yang  menjadi  pertimbangan  adalah  ancaman  (sumber  dan  kemampuan),  sifat  dari kerawanan serta keberadaan dan efektifitas kontrol jika diterapkan.
f. Impact Analysis Tahapan ini digunakan untuk menentukan dampak negatif yang dihasilkan dari keberhasilan penerapan kerawanan.
g. Risk Determination Penilaian tingkat risiko pada sistem IT dilakukan pada langkah ini.
h. Control Recommendations Tahapan ini menilai kontrol yang mana dapat mengurangi atau menghilangkan risiko yang telah  teridentifikasi.  kontrol  yang  direkomendasikan  sebaiknya  harus  dapat  mengurangi  tingkat  risiko  pada  sistem  IT dan data, kepada tingkat risiko yang dapat diterima.
i. Results  Documentation  Pada  tahap  ini,  dilakukan  pengembangan  laporan  hasil  penilaian  risiko  (sumber  ancaman, kerawanan, risiko yang  dinilai dan kontrol yang direkomendasikan .
2. Mitigasi Risiko (Risk Mitigation)
Mitigasi  risiko  Merupakan tahap kedua  dari proses manajemen risiko  yang dikeluarkan NIST, mitigasi  atau pengurangan risiko  merupakan  metodologi  sistemik  yang  digunakan  manajemen  untuk  mengurangi  dampak  risiko.  Terdapat  tujuh langkah dalam tahap ini yaitu prioritas aksi, opsi evaluasi rekomendasi kontrol, aturan analisis akibat dan biaya, pemilihan kontrol, tugas dan tanggungjawab, pengembangan rencana perlindungan, dan implementasi kontrol. [10]

## 3. Evaluasi Risiko (Risk Evaluation)
Kegiatan  evaluasi  risiko  adalah  kegiatan  terhadap  keberlangsungan  proses  peringanan,  pada  umumnya  jaringan  yang diterapkan dalam organisasi akan mengalami perubahan atau pengembangan komponen hardware, pengembangan software dan aplikasi oleh versi yang lebih up to date dan lebih baru.

## 2.7 Sumber Ancaman
Dari  hasil observasi  dan wawancara yang dilakukan pada Perpustakaan Daerah Gresik  didapatkan sumber ancaman yang dapat mengakibatkan terganggunya proses bisnis yaitu berupa : a. Ancaman Alam
Ancaman alam atau bencana alam yang ditimbulkan seperti bencana banjir, gempa bumi, tsunami, tanah longsor, dll; b. Ancaman lingkungan
Ancaman  lingkungan  ini  dapat  berupa  gangguan  listrik  ,  putusnya  aliran  listrik,  kenaikan  tegangan  listrik,  dan gangguan pengerat (Tikus)
c. Ancaman Manusia Ancaman manusia dapat dari internal maupun eksternal organisasi.
Kerangka  konsep  penelitian  ini  sesuai  dengampendapat  Gibson  (2011)  bahwa  manajemenrisiko  sebagai  kegiatan praktis  tentang  identifikasi,penilaian,  pengontrolan,  peringanan  risiko.Gambaran  kegiatan  manajemen  risiko systeminformasi  tersebut,  kajian  penelitian  inimenggunakan  framework  NIST  Special  Publication800-30  sebagai metodologi terstruktur yangmemberikan gambarantahapan kegiatanmanajemen risiko  yang dimulai dari kegiatanpenilaian risiko, peringanan risiko dan evaluasipengontrolan risiko. [8]

## 3. ANALISA DAN PEMBAHASAN
Proses penilaian risiko  pada Perpustakaan Daerah Gresik  dengan menggunakan metode NIST SP 800  –  30 yaitu sebagai berikut :

## 3.1 Karakteristik Ancaman
Komponen  yang  digunakan  dalam  analisa  ini  meliputi  software  INLIS  Lite,  perangkat  keras,  operator  sistem,  jaringan. Data yang digunakan berupa data anggota perpustakaan, data peminjaman, dan data buku.

## 3.2 Identifikasi Ancaman
Berdasarkan wawancara dan observasi yang dilakukan pada Perpustakaan Daerah Gresik, didapatkan ancaman risiko yang dapat menghambat pelayanan pada Perpustakaan Daerah Gresik. Hasil identifikasi ancaman dapat dilihat pada Tabel 1.
Tabel 1. Identifikasi Ancaman
No Jenis Risiko
1 Listrik 2 Kesalahan Hak Akses 3 Server Down 4 Kesalahan Input Data 5 Banjir 6 Gempa Bumi 7 Kebakaran 8 Lupa Password 9 Kerusakan Hardware
10 Hilangnya Data penting

## 3.3 Analisa kerentanan
Pada proses ini hasil ancaman yang didapatkan kemudian diberikan penilaian kerentanan kejadian dalam 1 tahun.

## 3.4 Analisa Kontrol
Analisa  kontrol  secara  khusus  untuk  kegiatan  penilaian  risiko  belum  terdokumentasi,  tetapi  hanya  berdasarkan  pada pengetahuan  dan  kesadaran  dari  pihak  yang  bersangkutan  seperti  pustakawan  dalam  mengenali,  mendeteksi,  dan melakukan pencegahan terhadap ancaman risiko.

## 3.5 Pembahasan
Seperti yang sudah dijelaskan pada bab sebelumnya, bahwa analisa risiko ini berdasarkan dengan NIST SP 800-30. Dengan menggunakan  metode  tersebut  penilaian  risiko  mencakup  karakteristik  dari  setiap  risiko  dengan  hasil  akhir  adalah klasifikasi risiko dengan tingkat high (tinggi), medium (sedang, dan low (rendah).

## 3.5.1 Tahapan Awal
Dalam  penentuan  risiko  perlu  diadakannya  komunikasi  dan  konsultasi  terkait  dengan  risiko  yang  ada  pada  Perpustakaan Daerah Gresik. Komunikasi dan konsultasi ini bertujuan untuk menentukan risiko, penyebab, dan juga penyelesaian untuk menangani risiko yang terjadi.

## 3.5.2 Identifikasi Risiko
Identifikasi  risiko  merupakan  salah  satu  proses  dalam  menentukan  risiko  yang  mungkin  terjadi  dalam  suatu  aktifitas. Identifikasi risiko  ini merupakan tahapan awal  dalam menilai dan mengidentifikasi risiko yang akan terjadi. Dalam tahap ini merupakan proses yang berpengaruh dengan proses berikutnya.
Pada  tahap  identifikasi  risiko  ini  ditemukan  risiko  yang  kemungkinan  terjadi  pada  Perpustakaan  Daerah  Gresik. Pada  tahapan  ini  menggunakan  metode  interview.  Dari  interview  yang  dilakukan  didapatkan  kemungkinan  risiko  yang terjadi pada Perpustakaan Daerah Gresik. Hasil yang di dapatkan dapatkan dapat dilihat pada Tabel 2.

## Tabel 2
Identifikasi risiko JENIS RISIKO DAMPAK Pemadaman Listrik • Pemadaman Listrik yang mengakibatkan terhambatnya proses pendaftaran anggota • Terhentinya layanan informasi perpustakaan Kesalahan Hak Akses • Penyalahgunaan Hak Akses oleh pengguna Server Down • Loading sistem yang lama • Sistem tidak dapat dijalankan Kesalahan Input Data • Kelalaian petugas dalam penginputan data • Human Error Banjir • Terjadi kerusakan pada hardware yang terendam air Gempa Bumi • Terhentinya sistem operational • Terjadinya kerusakan pada hardware Kebakaran • Terhentinya sistem operational • Tehambatnya peginputan data Lupa Password • Kehilangan hak akses Kerusakan Hardware • Sistem tidak berjalan • Tidak bisa bekerja secara maksimal Hilangnya Data-data Penting • Terjdi ketidak cocokan data

## 3.6 Analisa Risiko
Setelah risiko didapatkan, proses selanjutnya yaitu memberikan nilai di setiap risiko. Dalam perhitungan risiko ini menggunakan rumus atau perhitungan seperti pada tabel 3.

## Tabel 3. Rumus Perhitungan
NILAI KEMUNGKINAN NILAI DAMPAK Low (10) Medium (50) High (100) High (1.0) Low (10*0.1=10) Medium (50*1.0=50) High (100*1.0=100) Medium (0.5) Low (10*0.5=5) Medium (50*0.5=25) Medium (100*0.5=50) Low (0.1) Low (10*0.1=1) Low (50*0.1=5) Low (100*0.1=10)
Setelah dilakukan perhitungan terhadap risiko yang sudah dikumpulkan sebelumnya. Maka didapatkan hasil nilai dampak yang  dihasilkan  oleh  risiko  yang  sudah  disebutkan  pada  Tabel  1.  Sehingga  didapatkan  nilai  dampak  setiap  risiko  nya seperti pada Tabel 4.
Tabel 4. Penilaian Risiko JENIS RISIKO SKOR KEMUNGKINAN  SKOR DAMPAK  SKOR RISIKO  RANK Listrik 1.0 High 100 High 100 High Kesalahan Hak Akses 0.5 Medium 50 Medium 25 Medium
Server Down 1.0 High 100 High 100 High Kesalahan Input Data 0.1 Low 10 Low 5 Low Banjir 0.5 Medium 50  Medium 25 Medium Gempa Bumi 1.0 High 100 High 100 High Kebakaran 0.5 Medium 50 Medium 25 Medium Lupa Password 0.1 Low 10 Low 5 Low Kerusakan Hardware 1.0 High 100 High 100 High Hilangnya Data-Data Penting  1.0 High 100 High 100 High

## 4.1 Penilaian Risiko
Proses rekomendasi risiko ini merupakan proses penentuan rekomendasi yang dapat diambil ketika risiko tersebut terjadi. Dengan  adanya  rekomendasi  risiko  ini  diharapkan  pihak  Perpustakaan  Daerah  Gresik  dapat  lebih  mempersiapkan  diri apabila kemungkinan risiko yang ada terjadi sewaktu – waktu. Rekomendasi yang ditawarkan dapat dilihat pada Tabel 5.
Tabel 5. Rekomendasi Risiko JENIS RISIKO LEVEL  REKOMENDASI Listrik High • Penambahan Genset Kesalahan Hak Akses Medium • Membuat kode unik dietiap daerah yang memiliki perpusda Server Down High • Menambahkan server cadangan ditempat lain. Kesalahan Input Data Low • Melakukan pelatihan rutin kepada para pegawai Banjir Medium • Menemptkan server data di tempat yang lebih tingggi Gempa Bumi High • Server dilindungi oleh alat/bangunan yang tahan gempa Kebakaran Medium • Memberikan alat pemadam kebakaran di setiap tempat Lupa Password Low • Dianjurkan menggunakan pasword yang mudah dihafal • Menulis pasword dibuku Kerusakan Hardware High • Melakukan mantanane minimal 3 bulan sekali Hilangnya Data-Data Penting  High •
Melakukan pembakup  secara berkala

## 4. KESIMPULAN
Pada  perpustakaan  daerah  kabupaten  gresik  ditemukan  beberapa  klasifikasi  risiko  diantaranya  bencana  alam,  SDM,  dan teknis.  Mitigasi  risiko  dari  penilaian  risiko  yang  paling  berat  yaitu  dengan  adanya  penambahan  genset  dan  juga penambahan  server.  Kerangka  kerja  NIST  800:30  memiliki  3  tahapan  yaitu  Analisa  risiko,  penentuan  risiko,  dan rekomendasi pencegahan risiko. Sebagai penanganan dari risiko yang ada.

## REFERENCES
[1] W. Rahayu, “Internet dan Sejarah Perkembangannnya,” Interconnect. Netw. . , 2011.
[2] A.  M.  Suduc, M.  Bizoi,  G.  Gorghiu,  and  L.  M.  Gorghiu,  “Web  conferencing:  A  tool  for  knowledge  transfer  between  universities  and  business organizations,” in INNOV 2010 - Proceedings of the Multi-Conference on Innovative Developments in ICT , 2010.
[3] M. Syafrizal, “ISO 17799 : Standar Sistem Manajemen Keamanan Informasi,” Semin. Nas. Teknol. 2007 (SNT 2007) , 2007.
[4] R. R. Putra, “ANALISIS MANAJEMEN RISIKO TI PADA KEAMANAN DATA E - LEARNING DAN ASET IT MENGGUNAKAN NIST SP 800 – 30 Revisi 1,” JATISI (Jurnal Tek. Inform. dan Sist. Informasi) , 2019.
[5] M. M. Hanafi, “Manajemen Risiko,” Manaj. Risiko , 2014.
[6] M. M.Hanafi, “Risiko, Proses Manajemen Risiko, dan Enterprise Risk Management,” Manag. Res. Rev. , 2014.
[7] B. R. Kani, R. J. M. Mandagi, J. P. Rantung, and G. Y. Malingkas, “Keselamatan Dan Kesehatan Kerja Pada Pelaksanaan Proyek Konstruksi (Studi Kasus: Proyek Pt. Trakindo Utama),” J. Sipil Statik , 2013.
[8] A. Nurochman, “Manajemen Risiko Sistem Informasi Perpustakaan (Studi Kasus di Perpustakaan Universitas Gadjah Mada),” Berk. Ilmu Perpust. dan Inf. , vol. 10, no. 2, p. 1, 2016.
[9] Y. Mulyati, “Konsep Sistem Informasi,” J. Adm. Pendidik. UPI , 2005.
[10]  A. Ramadhani, “KEAMANAN INFORMASI,” Nusant. - J. Inf. Libr. Stud. , 2018.
[11]  Paryati, “Keamanan Sistem Informasi,” Semin. Nas. Inform. 2008 (semnasIF 2008) UPN “Veteran” Yogyakarta, 24 Mei 2008 , 2008.
[12]  Ucu Nugraha, “Manajemen Risiko Sistem Informasi Pada Perguruan Perguruan Tinggi Menggunakan Kerangka Kerja NIST SP 800-300,” Semin. Nas. Telekomun. dan Inform. (SELISIK 2016) , 2016.
[13]  W.  Syafitri,  “Penilaian  Risiko  Keamanan  Informasi  Menggunakan  Metode  NIST  800-30  (Studi  Kasus:  Sistem  Informasi  Akademik  Universitas XYZ),” J. CoreIT J. Has. Penelit. Ilmu Komput. dan Teknol. Inf. , 2016.
[14]  “IDENTIFIKASI  BAHAYA  KECELAKAAN  UNIT  SPINNING  I  MENGGUNAKAN  METODE  HIRARC  DI  PT.  SINAR  PANTJA  DJAJA,” Unnes J. Public Heal. , 2014.
[15]  F. Mahardika, “Manajemen Risiko Keamanan Informasi Menggunakan Framework NIST SP 800-30 Revisi 1,” J. Inform. J. Pengemb. IT Poltek Tegal , vol. 02, no. 02, pp. 1–8, 2017.