## KAJIAN  ATAS TATAKELOLA  TEKNOLOGI INFORMASI: PENGERTIAN, PANDUAN.PANDUAN, SERTA CONTOH  PENERAPAN
Michael lskandar Fakultas Ekonomi  Universitas  Katolik  parahyangan

## Abstract
Governance of the firm's information technology (tr Governance) has become  more and more important  to the succesiiut  management of corporations around the world. To hchieve tr Governaice, each corporation  may de.velo.p its own unique  approach, or otherwise it may utilize a number of guidelines that have been developed, such as the s.arbanes-oxley Act (sox), committee of sponsoring organizations of the Treadway  commission Framework (coso), and-con{rol  objectives for lnformation Technology (coBtr). This paper dr.scusies tr Governance as a concept, explains  some of the guidelines  mentioned above that can be used  to achieve it, attempts a categorization of those guidelines, and ends with an example. tn this example the framework used is coBlr and the lr governance  aspect  evaluated is the business continuity  plan.
Keywords: lr governance, lr governance  guidetines, coBlr, business continuity plan

## 1. Pendahuluan
Tatakelola  teknologi  informasi (lr Governancel  merupakan hal yang semakin  banyak diusahakan oleh perusahaan-perusahaan, terutama perusahaan yang sudah berskala  besar,  atau  telah melakukan lpo (initiat public offering) sehingga telah menjadi perusahaan go public, atau perusahaan  lain-lain yang  telah menganggap bahwa teknologi informasi merupakan hal yang sangat penting bagi kelangsungan hidup perusahaan mereka. Makalah ini membahas  tatakelola teknologi informasi mulai dari pengertian dasarnya,  kemudian dibahas pura sejumfah panduan-panduan (guidelines)  yang  telah  banyak  dipergunakan oleh perusahaan-perusahaan.  Akhirnya juga diusahakan sebuah studi kasus menggunakan  business continuity plan dari Massachusetts Institute  of Technology (MlT)  yang  dibandingkan  dengan  COBIT.
3l
Bina  Ekonomi  Majalah  llmiah  Fakultas  Ekonomi  Unpar
2. Pengertian  Dasar Tatakelola Teknologi Informasi Untuk memahami apa yang dimaksud dengan "tatakelola teknologi  informasi", maka perlu dibahas  terlebih  dahulu  tentang apa yang dimaksud  dengan istilah "tatakelola" itu sendiri. Merupakan terjemahan  dari istilah  Bahasa  Inggris, governance,  kata ini memiliki arti "pemerintahan"  (government, rule) dan "pengendalian" (controt). [Barnhart,  1989:921]. Jadi istilah "tatakelola" memiliki makna "pengaturan" dan "pengendalian" atas sesuatu hal. Secara tersirat di dalam istilah lT Governance  iuga adalah  makna dari good governance, yaitu bentuk governance yang benar, baik, dan bertanggung jawab. Yang dimaksud  dengan  "benar, baik, dan bertanggung  jawab" adalah bahwa hal ini harus  dilihat  secara  internal  (dari  kacamata  perusahaan) maupun eksternal (dari kaca mata pihak luar perusahaan). Akhirnya dapat disimpulkan bahwa lT Governance adalah pengaturan dan pengendalian yang dilakukan dalam usaha terlaksananya  praktek-praktek  yang  benar dan bertanggung jawab, yaitu yang akan menguntungkan atau setidak-tidaknya tidak merugikan perusahaan  dan  para stakeholder,  atas teknologi  informasi yang dimiliki suatu  perusahaan.

## 3. Bentuk-bentuk  Tatakelola Teknologi Informasi
Berangkat dari pengertian di atas, maka dapat disimpulkan bahwa hal utama yang harus diadakan jika perusahaan hendak memiliki tatakelola  teknologi informasi adalah membuat  peraturan dan menyiapkan  pengendalian atas  teknologi  informasi yang dimilikinya. Bagaimana  cara pengadaan /f governance  tersebut,  sebenarnya  dapat dikembangkan oleh masing-masing perusahaan,  disesuaikan dengan kondisi perusahaan itu sendiri  maupun  kondisi lingkungannya.
Pengecualian dari kebebasan  pengembangan  metode  lT governance ilu hanyalah jika perusahaan memang terikat secara  hukum untuk melaksanakan lT governance  dengan  metode tertentu,  misalnya karena merupakan peraturan  pemerintah, atau karena  tercantum dalam akte pendirian  perusahaan atau merupakan hasil rapat  umum pemegang sahamnya.
Meskipun  demikian, telah  pula tersedia sejumlah standard, kerangka kerja, ataupun kumpulan best practices yang sering dipergunakan oleh perusahaan-perusahaan yang hendak mengusahakan lT governance. Panduan-panduan  itu adalah misalnya: [Wikipedia, 2006] 1. Sarbanes-Oxley Act (SOX)
2. Committee of Sponsoring Organizations Commission (COSO) Framework 3. Control Objectives for Information and (coBlT).
of the Treadway
Related Technology
32 Volume 12, Nomor 1, Januari  2008
4. Information Technology lnfrastructure Library (lTlL,1 5. tso 27001 6. Information security Management  Maturity  Moder  (rsM3) 7. Australian  standard  for corporate Governance of Information  and Communication Technology (AS8O1  5) 8. Capability  Maturity  Modet (CMM)
9. Balanced Scorecard (BSC) 10. Six Sigma Berbagai pllduan rr governance itu tidakrah dapat dianggap setara.  Misalnya, soX adalah sebuah hukum (law) yang disusun-Jan diberlakukan di Amerika serikat untuk menanggutangi terjadinya penipuan-penipuan akuntansi  setelah terungkapnii skindal'Enron, Arthur  Andersen, dan worldcoM. lsi dari s6x';uga tidak seluruhnya berkait dengan lr governance, meskipun  ada  bebera-pa bagian,  terutama section 404 yang  sangat  berpengaruh terhadap  keharusan pengelolaan lr secara baik dan benar.  Justru satu hal utama dari soX'senlnarnya tidak memiliki kaita.n langsung dengan lr governance, yailu  dibentuknya sebuah  lembaga dengan nama  pubtic  company  Accounting  oversignt Board (PcAoB) untuk memantau  pelaporan perusahaan-perusahJan yang telah go public.
PCAOB justru merekomendasikan  kerangka  kerja coso untuk meyakinkan lr governanceyang baik. Kerangka ierja ini ditujukan untuk internal controldan memiliki  lima buah  komponen  yaitu:
1. Control environment (integritas, kode etik, gaya manajemen,  dan  lain-lain)
2. Fisk  assessment 3. Control  activities  (termasuk  segregation of duties)
4. Information and Communication 5. Monitoring Di lain pihak coBlr menunjukkan  berbagai  tujuan yang harus dicapai dalam rangka good lr governance. Berbeda dengan cosb yang menunjukkan lima jenis komponen, maka coBlr mendefinisikan g4 higi- level objectives, yang kemudian dapat dirinci menjadi 21s coitrol objectives. Tujuan-tujuan ini dikategorikan ke dalam empat  domain  yaitu:
Plan and Organize (PO),  Acquire and Implement (Al\, Delivei and Support  (DS), dan Monitor and Evaluate  (ME). Jika SOX  adalah perangkat hukum, COSO menyediakan kerangka  kerja dan coBlr menekankan teknik-teknik pencapaian  tujuan IT governance, maka lrll merupakan  kumpulan tulisan-tulisan yang berisi sejumlah  besf practices  di bidang pengendarian lr. Tulisantulisan itu dibagi menjadi dua kelompok besar yaitu turisan tentang seruice support  dan tentang service delivery.
Bina  Ekonomi  Majalah llmiah Fakultas  Ekonomi  Unpar
33
ISO 27001 juga merupakan  kumpulan  besf  practices, lSM3 dan CMM  merupakan maturity  models, ASM8015 merupakan  seperangkat standard, dan BSC serta  Sjx Sigma, sebenarnya  merupakan perkakas generik yang  dipergunakan  untuk  melakukan  manajemen perusahaan, namun dapat dipergunakan pula untuk mengusahakan tatakelola  lT yang baik.
4. Diagram Metode-metode Tatakelola Teknologi Informasi
Berdasarkan  pembahasan dalam  sub-bab 3 di atas,  maka dapat disimpulkan bahwa panduan-panduan lT governance dapat diklasifikasikan sebagai berikut:
1. Hukum / peraturan resmi (SOX)
2. Kerangka kerja (COSO,  COBIT)
3. Best practices (lTlL, ISO 27001)
4. Maturity  models  (CMM,  lSM3) 5. Standard (ASM8015) 6. Model  manajemen generik (BSC,  Six Sigma) Klasifikasi di atas tidaklah bersifat  mutually exclusive sepenuhnya, misalnya saja COBIT juga memiliki maturity model (yang dibuat berdasarkan  Computer  Maturity Modelatau CMM), dan lTlL pun dapat dikategorikan sebagai kerangka kerja. Klasifikasi di atas lebih menekankan kepada gambaran umum  yang diperoleh dari masing- masing panduan, dan bukan dari karakteristik detail panduan-panduan itu.
Metode atau panduan  mana yang sebaiknya  dipakai oleh perusahaan yang hendak melakukan good lT governance? Hal  ini sangat tergantung dari karakteristik  organisasi baik secara  internal maupun secara eksternal  (lingkungan  organisasi). Misalkan saja, sebuah perusahaan yang telah melaksanakan Six Sigma di berbagai fungsi perusahaan itu, kemungkinan akan berhasil jika kemudian mencanangkan  pencapaian good lT governance juga dengan menggunakan  Six Sigma. Hal ini dikarenakan  dua hal: (1) manajemen perusahaan ini telah menunjukkan  komitmennya  terhadap Six Sigma, dan (2) para pelaksana di perusahaan ini telah berpengalaman menggunakan Six Sigma. Justru jika perusahaan ini tiba-tiba membedakan metode untuk pencapaian lT governance dan memaksakan metode lain, misalnya COBIT, maka kemungkinan gagalnya usaha inijustru lebih tinggi.
Bagi  perusahaan  yang masih asing  dengan  semua  metode atau panduan di atas, dapat mengevaluasi sejauh mana staf perusahaan lebih mampu dan lebih baik jika mengandalkan  kreativitas dan pemecahan masalah sendiri, atau tidak. Bagi staf yang dapat diandalkan kemahirannya untuk mencapai good lT governance dengan caranya
)+ Volume 12, Nomor 1, Januari2008
sendiri, maka petunjuk-petunjuk umum  adalah  lebih. baik, seperti misalnya SOX. Sebaliknya, jika staf kurang berpengalaman dalam hal /f governance, maka dapat menggunakan  perkakas yang  lebih spesifik seperti misalnya lTlL, BSC, atau  COBIT. Oleh karena itu, anjuran  penggunaan  metode, perkakas, atau panduan lT governance dapat dibandingkan dengan kemampuan manajemen  dan staf perusahaan  sebagai  berikut:
Untuk  staf berpengalaman Untuk  staf belum  berpenqalaman Panduan  semakin  spesifik
Gambar 1. Klasifikasi Metode / Panduan lT Governance
Gambar di atas menunjukkan  kesesuaian penggunaan panduan tertentu dengan tingkat kemahiran dan pengalaman staf yang harus menggunakannya. Asumsi pada gambar ini adalah  bahwa (1) perusahaan  tidak  terikat  oleh peraturan tertentu yang  mewajibkan suatu bentuk panduan lT governance, dan (2) staf di perusahaan tersebut belum berpengalaman dengan panduan  mana pun.
Alternatif  lain dari  penggunaan berbagai panduan  lT governance yang disebutkan di atas adalah untuk mengkombinasikan antara beberapa  pendekatan. Misalnya saja, untuk perencanaan strategik dipergunakan SOX, untuk  perencanaan  taktikal  dipergunakan COBIT, dan untuk perencanaan operasional dipergunakan Six Sigma. Tentu harus  diperhatikan agar memilih  panduan-panduan yang  saling mengisi dan tidak kontradiktif .

## Panduan  semakin  umum
. Peraturan /Hukum /
Panduan  umum  (SOX)
Maturity  Models (cMM)
Kerangka  kerja (coso, coBrr)
Best  Practices (rrL)
Perkakas  Generik
(BSC, Six Sigma)
Bina EkonomiMajalah  llmiah Fakultas  Ekonomi  Unpar
Sebuah  contoh yanq  dapat disebutkan dari lembaga yang mengusahakan good tT goveinancelanpa  perlu menggunakan panduan- panduan di atas adalah organisasi-organisasi di King county,
Washington, Amerika  Serikat.  Khusus untuk lT business  continuity planning, telah disusun sebuah dokumen  Guidelines for lmplementing an 'lnformition Technotogy Business  Continuity Program for King County
Organizations. Dokumen ini berisi panduan membuat rencana  kontinuitas bisnis  khusus bagian teknologi informasinya, dan sama sekali tidak menyinggung berbagai metode yang telah disebutkan di atas [King County Business Continuity Program, 2OO4)'
5. Contoh  Penerapan  Tatakelola Teknologi Informasi di MIT
Dalam sub-bab ini dilakukan  evaluasi  kesesuaian Business Continuity Plan (BCP) yang diterapkan di Massachusetts Institute of Technology  (MlT) pada tahun 1995, dengan COBIT 4.A high-level control objective  DS4, yaitu ensure  continuous  seruice.  Perbandingan  ini menarik dilakukan  karena BCP  yang disusun  oleh MIT ini tidak  mungkin  dibuat berdasarkan  COBIT, sebab COBIT  1.0 pun baru selesai disusun pada tahun 1996 [Wikipedia, 2006]. Sedangkan COBIT 4.0,  sebagai versi yang paling mutakhir, baru dapat diperoleh pada tahun 2005  [The lT Governance Institute, 20051. 5.1. Penjelasan Singkat  Business Continuity Plan MIT
Business Continuity Plan dari MIT dapat diperoleh dari situs web- nya, yang URLnya dapat  dilihat di bagian Daftar Pustaka. Business Continuity P/an itu terdiri dari empat bagian yaitu: lntroduction,  Design of the Plan, Team Descriptions, dan Recovery Procedures.  Secara garis besar, masing-masing bagian mengandung hal-hal sebagai berikut: 1. lntroduction a. Memberikan  penjelasan singkat dari keseluruhan dokumen ini. 2. Design of the Plan a. Menyebutkan  pentingnya lT bagi kelangsungan operasional MIT.
b. Menjelaskan  hasil dari analisa risiko  yang pernah dilakukan, serta rencana pelaksanaan risk assessmehf secara berkala.
c. Tujuan BCP adalah menurunkan tingkat risiko. d. Rencana ini mengidentifikasi fungsi kritis dan memberikan panduan untuk mengantisipasi terjadinya bencana.
e. BCP mendefinisikan tanggung jawab  dari Business Continuity Management Team.
f . Menyebutkan  asumsi-asumsi yang dipergunakan dalam penyusunan BCP g. Pengembangan  BCP, pengadaan  training, serta pelaksanaan
review atas BCP secara  berkala.
36 Volume 12, Nomor 1, Januari  2008
h. i. Pengujian BCP, secara  parsial  maupun  menyeluruh. Deskripsi dari organisasi  penanggulangan  bencana, terdiri dari:
Administrative Computing  Steering  Committee Business  Continuity Management Team lnstitute  Support Team Functional Area Recovery  Management  (FARM) Juga dijelaskan pejabat-pejabat yang menjadi anggota masing-masing  komite/team serta tanggung jawab / peran mereka.
Langkah-langkah yang  harus ditempuh jika terjadi bencana, mulai dari emergency  p/an untuk menyelamatkan karyawan, hingga tase backup dan fase recovery.  Juga menjelaskan secara cukup detail prosedur dan persyaratan yang harus dipenuhi untuk mengaktifkan hot slfe maupun shell site.
Menyebutkan  empat kategori  sistem  yang dimiliki  MlT, yaitu: category | (criticaf), category ll (essentiat), category lll (necessary), dan category lV (desirable). i ii. ilt. iv. k.

## 3.
Team Descriptions
a. Menjelaskan  secara lebih detail peran,  tanggung  jawab, dan job description dari masing-masing pejabat yang telah disebut dalam point  2.i di atas. 4. Recovery Procedures
a. Menyebutkan nama dan nomor telepon dari semua pihak yang harus  diberitahu jika terjadi bencana. b. Menyebutkan  prosedur-prosedur  secara  rinci apa yang harus dilakukan setiap  anggota  team dalam menangani  bencana. Selain  keempat  bagian tersebut, juga disediakan beberapa appendix yang antara lain menyebutkan lokasi dari emergency operations center, hot site, serta shel/ site; jadwal  hadir dari anggota Business continuity  Management Team,  karena selalu  harus Lda anggota yang siap di lokasi untuk berjaga-jaga  seandainya terjadi emergency  situation; serta  sebuah Plan Distribution Matrix yang mirip dengan RACI Chart.

## 5.2. Maturity  Leveldari BCP  MIT
COBIT menerapkan model  maturity  sebagai berikut: non-existent, initial, repeatable,  defined,  managed,  dan optimized. Dalam sub-bab ini BcP Mlr dievaluasi untuk  menemukan  maturity level-nya. pada tabel berikut ini dijelaskan  pengertian  masing-masing  level tersebut menurut COBIT 4.0 untuk DS4.
Bina Ekonomi Majalah llmiah Fakultas  Ekonomi  Unpar
37
TABEI:1

## COBIT MATURIW  LEVEL  UNTUK DS4
0 Non-existent  (tidak ada)jika
Tidak ada pemahaman akan  risiko, kelemahan-kelemahan dan ancaman terhadap  operasi lT ataupun  pengaruh dari hilangnya pelayanan lT atas bisnis. Kontinuitas pelayanan lT tidak dianggap cukup penting untuk meniadi perhatian manaiemen. 1 Initial / Ad Hoc (awal / ad hoc) jika
Tanggung jawab untuk mengadakan  pelayanan lT secara  kontinu ditetapkan secara  informal  dan otoritas  untuk melaksanakan  tanggung  iawab itu terbatas. Manajemen mulai  menyadari  risiko-risiko  yang terkait dengan, dan kebutuhan akan pelayanan lT secara  kontinu. Fokus dari perhatian  manajemen atas pelayanan lT secara  kontinu adalah  pada sumber daya infrastruktur, dan bukan pada jasa pelayanan lT. Pengguna berusaha mengatasi sendiri jika ada gangguan dalam pelayanan lT. Tanggapan dari bagian lT atas gangguan- gangguan besar bersifat reaktil dan  tanpa persiapan. Penonaktifan layanan qudah dijadwalkan sesuai dengan kebutuhan bagian lT, namun tidak memoerhatikan kebutuhan  bisnis. 2 Repeatable but lntuitive (Dapat  diulang tetapi secara intuitif)jika Sudah ada keputusan  resmi tentang  tanggung  jawab untuk meyakinkan pelayanan lT secara kontinu.  Pendekatan-pendekatan untuk meyakinkan pelayanan lT secara  kontinu  masih terfragmentasi. Pelaporan  tentang ketersediaan sistem bersifat  sporadis,  mungkin  saja tidak  lengkap, dan tidak memperhatikan  pengaruh terhadap bisnis.  Tidak ada rencana kontinuitas lT yang terdokumentasi,  meskipun ada komitmen untuk menyediakan pelayanan secara kontinu dan prinsip-prinsip utamanya telah diketahui. Telah dibuat daftar sistem-sistem dan komponen- komponen penting, tetapi daftar itu mungkin  kurang  dapat dipercaya. Praktek pelayanan lT secara kontinu telah muncul tetapi keberhasilannya lebih berqantunq pada individu. 3 Defined Process  (Proses  Terdefinisi) jika Tidak ada ketidakjelasan bahwa manajemen memiliki ketanggunggugatan  (accountability) atas pelayanan lT secara kontinu. Tanggung  jawab untuk perencanaan jasa pelayanan lT secara kontinu terdefinisikan dan teralokasikan dengan jelas. Rencana kontinuitas  lT sudah  didokumentasi  dan berdasarkan  pada pentingnya sistem maupun pengaruh  bisnis.  Sudah ada  pelaporan  berkala tentang pengujian atas kontinuitas pelayanan. Individu memiliki inisiatif untuk mengikuti standard dan untuk memperoleh  pelatihan dalam  kaitan  dengan penanganan insiden besar atau bencana. Manajemen memberikan komunikasi secara konsisten tentang kebutuhan akan perencanaan pelayanan lT secara kontinu. Komponen-komponen yang mudah diperoleh dan system redundancy telah diadakan. Daftar sistem-sistem dan komponen- komponen pentinq  telah  ada  dan  selalu  diperbaharui.
38 Volume 12, Nomor 1, Januari  2008
4 Managed and Measurable  (Dikelola dan Dapat Diukur)jika Tanggung  jawab dan standard  untuk  pelayanan lT secara  kontinu telah diadakan dan diwajibkan.  Tanggung jawab untuk merawat rencana pelayanan lr secara kontinu telah ditetapkan. Aktivitas-aktivitas perawatan didasarkan pada hasil  pengujian  pelayanan lr secara kontinu, praktek-praktek internal yang baik, dan perubahan  lingkungan lT dan bisnis. Data terstruktur tentang pelayanan lT secara kontinu dikumpulkan,  dianalisa,  dilaporkan, dan menimbulkan reaksi. Pelatihan tentang proses-proses pelayanan lr secara  kontinu  diadakan secara formal dan bersifat wajib. Praktek-praktek yang  baik untuk mengadakan ketersediaan sistem dilaksanakan secara konsisten, Praktek-praktek mengenai ketersediaan  sistem dan perencanaan  pelayanan lT secara kontinu saling mempengaruhi. Jika terjadi  insiden yang menyebabkan terputusnya  pelayanan lr akan  diklasifikasikan  dan kecenderungan dari masing-masing  insiden  telah diketahui  oleh semua pihak yang terlibat. KGI dan  KPI untuk pelayanan lr secara kontinu telah dikembangkan dan disetujui namun mungkin  belum  terukur secara konsisten.
5 Optimised (Teroptimasi)  jika Proses-proses pelayanan lT secara kontinu  yang terintegrasi telah mempertimbangkan  benchmarking dan praktek-praktek terbaik dari luar. Rencana  kontinuitas lT telah terintegrasi  dengan  rencana kontinuitas bisnis dan dirawat secara rutin. Kebutuhan-kebutuhan akan pelayanan lr secara  kontinu telah terpenuhi melalui vendor dan pemasok besar. Pengujian  global telah  dilakukan atas rencana  kontinuitas lr dan hasil pengujian dipakai sebagai masukan untuk mengupdate rencana itu. Pengumpulan dan  analisis  atas  data dipergunakan untuk terus menerus memperbaiki proses, Praktek-praktek mengenai  ketersediaan  sistem  dan perencanaan pelayanan lT secara kontinu sepenuhnya selaras. Manajemen  meyakinkan  bahwa tidak akan  teijadi  bencana atau insiden besar akibat satu titik kegagalan saja. Praktek-praktek  eskalasi telah diketahui dan sepenuhnya  diterapkan.  KGI dan KPI atas keberhasilan pengadaan pelayanan lT secara kontinu  diukur secara sistematis. Manajemen  menyesuaikan  perencanaan atas pelayanan lT secara l<ontinu KGI dan KPl,
Apabila  deskripsi BCP MIT dibandingkan dengan karakteristik- karakteristik  masing-masing  level of maturity, maka dapat kita simpulkan bahwa BCP  MIT telah mencapai  level 4, yakni managed  and measurable. Hal ini terbukti  antara  lain dengan adanya  tanggung  jawab yang jelas (seluruh Bagian 3, Team  Descriptions  menjelaskan tentang hal ini),  serta adanya perawatan  (maintenance) secara berkala  (seperti yang disebutkan di 2.9,).
5.3. Aturan  Tatakelola  BCP MIT Menurut  COBIT 4'0 DS4
Da|amcoBlT4.0DS4,yakniensurecontinuousseruice, disebutkan bahwa  terdapat sepuluh hal yang  harus  diatur, sebagai berikut: 1. Kerangka kerja kontinuitas lT 2. Rencana kontinuitas lT 3. Sumber daya lT yang bersifat penting (criticat) - 4. Perawatan (maiitenAnce) rencana kontinuitas lT
5. Pengujian atas rencana kontinuitas lT 6. Pelatihan  rencana kontinuitas lT 7. Penyebarluasan  rencana kontinuitas lT
8. Rencana kegiatan-kegiatan untuk recovery dan pengaktifan
kembali laYanan lT 9. Penyimpanan  backup tidak pada lokasi (off site)
10. Reiiew  setelah pengaktifan kembali
Ternyata, J"ii [".ipuluh hal yang  harus  diatur.menurut COBIT
4.0 untuk  DS4: ensu re coniinuous service, yang  belum tercantum dalam eip dari MIT  adalah yang ke-9 dan ke-10. Jadi, berikut ini adalah contoh kebijakan (aturan) vang a-apat dikembangkan oleh MlT.untuk melengkapi aCi-ny". Formai dari-kebijakan ini mengikuti template^ kebijakan yang telah disusun oteh lembaga SANS [The SANS Institute, 2OO7]'
TABEL 2. coNToH KEBIJAKAN tTSECUR|TY( l

## Kebijakan  BackuP  Data
1.0.  Tujuan feniia[an ini dibuat  dengan tujuan .agar keamanan  data yang dimiliki insiiiusl terjamin keselam-atannya baik-dari  bencana  yang berupa  force majeure  maupun  Yang tidak'
2.0. Ruang LingkuP Data yan! diiraksud di sini adalah semua data berkenaan dengan
X.gLti. aiademik mahasiswa,  data-data  keuangan  lembaga,  data-data raprg"*"ian baik data dosen,  staf administrasi,  serta non-administrasi,
daia-data inventaris,  dan data-data alumni'
3.0. Kebijakan
3.1. Frekuensi BackuP
seluruh data yang disebut dalam  point 2.0 harus di-backup  secara
Uerlafa yaitu  sebuian  sekali  untuk data-data  keuangan lembaga, serta satu kuartal sekali untuk  data-data yang lain'
40
Volume 12, Nomor 1, Januari  2008

## 3.2. Lokasi Backup
Seluruh backup data yang  disebut dalam point 3.1. harus disimpan di lokasi yang berjarak sekurang-kurangnya 1s kilometer dari lokasi penyimpanan data utamanya.
4.0. Hukuman Setiap  karyawan yang bertanggung jawab melakukan backup dan diketahui telah melanggar kebijakan ini dapat  dikenakan hukuman, di mana hukuman  yang terberat adalah  pemutusan  hubungan  kerja  (pHK).
5.0.  Definisi lstilah Definisi Data Setiap item berupa teks, angka,
gambar, suara,  atau video, yang tersimpan  dalam  database. Backup  data Data cadangan yang merupakan
hasil copv  dari data utama  (asli).

## 6.0. Sejarah revisi
TABEL 3. coNToH KEB|JAKAN TT SECURITY (Bl

## Kebijakan  Post-resumption  Review
1.0. Tujuan
Setiap insiden yang menyebabkan kegagalan sistem-sistem yang termasuk  kategori critical function, essential function, dan/atau necessary function akan menimbulkan  respons sesuai  dengan  Business Continuity Plan (BCP) yang  telah disusun.  Kebijakan ini dibuat dengan tujuan agar BCP serta penerapannya mengalami  evaluasi dan perbaikan secara kontinu.
2.0.  Ruang  Lingkup Post-resumption review ini mencakup seluruh prosedur-prosedur yang dilaksanakan dalam usaha mengatasi  insiden  yang telah dialami, serta semua hal yang terkait dengan prosedur-prosedur  tadi.
3.0. Kebijakan Selambat-lambatnya 3 (tiga)  bulan setelah insiden  tersebut terjadi, sudah harus  selesai dilaksanakan sebuah review atas efektivitas prosedur- prosedur yang telah dilaksanakan dalam menanggulangi insiden tersebut.
Bina  Ekonomi  Majalah llmiah Fakultas  Ekonomi  Unpar
4l

## 4.0. Pelaksana
Team  yang melakukan review adalah FARM team di mana insiden tersebut terjadi, dipimpin oleh FARM Team Coordinator  terkait.
5.0. Pelaporan Hasil dari review  ini harus dilaporkan kepada Information  Security  Officer. Jika Information  Security Officer menganggap perlu, maka ia dapat meneruskan laporan ini kepada ketua Administrative Computing Steering Committee
6.0. Hukuman Setiap karyawan yang bertanggung jawab melakukan post-resumption review dan diketahui telah melanggar  kebijakan ini dapat dikenakan hukuman, di mana  hukuman yang terberat adalah pemutusan hubungan kerja  (PHK).
7.0. Definisi lstilah Def inisi Post-resumption review Sebuah  review yang dilakukan setelah pelaksanaan prosedur-
prosedur dalam BCP dikarenakan terjadinya  insiden yang mengganggu kontinuitas layanan
lT.
8.0. Sejarah revisi

## 5.4. Ukuran-ukuran  Penilaian
COBIT juga mensyaratkan  adanya  ukuran (metrics)  yang dapat dipergunakan untuk melakukan penilaian. Dalam BCP dari MIT ini, semua metrics adalah  berupa  satuan waktu. Sebagai contoh, di awal bagian Design of the P/an, disebutkan bahwa:
"The lnstitute's Business Continuity  Plan is designed to reduce the risk to an acceptable level by ensuring the restoration of Criticat processing within - hours, and all essential production (Category ll processing) within week(s) of the outage."
Meskipun  dalam  dokumen yang boleh  dibaca oleh khalayak ramai ini jumlah jam ataupun pekan  yang merupakan batas recovery itu dirahasiakan oleh MlT, namun pada prinsipnya dapat dilihat bahwa untuk penilaian  dari efektivitas BCP itu akan mengambil ukuran  waktu.
Aa Volume 12, Nomor 1, Januari  2008

## 6. Kesimpulan
Dari pembahasan ini dapat disimpulkan  bahwa tatakelola teknologi  informasi adalah merupakan hal yang tidak mudah dilaksanakan,  dikarenakan banyaknya  aspek yang harus diperhatikan. Manajemen  perusahaan dapat memutuskan untuk mengembangkan pendekatannya  sendiri  untuk  mencapai good lT governance, atau dapat pula menggunakan  sejumlah panduan yang telah dikembangkan oleh berbagai lembaga yang memiliki  perhatian tentang hal ini.

## Daftar Pustaka
Barnhart, C.L., and Barnhart, R.K. (ed.),  (1989) The World Book Dictionary,  Volume  One  A-K, World Book lnc., Chicago.
Wikipedia (2006), Information Technology Governance, http://en.wikipedia.org/wiki/lT-governance, diakses tanggal 13 Oktober 2006 pukul  5:20.
King County  Business  Continuity  Program (2004),  Guidelines for lmplementing an lnformation  Technology  Business Continuity Program  for King County
Organizations,
http://www. m etrokc. gov/oi  rm/se rvices/standards/BC-G uideli nes.  pdf # search=7o22i nf  o rmation%20tech nolo  gy%2Oconti n uity%2 Oplano/o22,
diakses tanggal 11 Oktober 2006  pukul  4:21.
The fT Governance Institute (2005), COBIT  4.0, USA.
Massachusetts  Institute of Technology  (1995), MIT Business Continuity P I an, http://web. m it. edu/secu  rity/wwMpubplan. htm, diakses tan g gal 1 1 Oktober 2006 Pukul  4:13.
The SANS Institute (2007), The SANS Security Policy Proiect, http://www.sans.org, diakses tanggal 4 Februari  2007 pukul 1 1:10.
Bina  Ekonomi  Majalah llmiah Fakultas  Ekonomi  Unpar