## Matrik:  Jurnal Manajemen,  Teknik Informatika, dan Rekayasa Komputer
Vol.  20, No. 2, Mei 2021, pp. 389~396 ISSN: 2476-9843, a ccredited by Kemenristekdikti,  Decree No: 200/M/KPT/2020 DOI: 10.30812/matrik.v20i2.1093  389 .

## Manajemen Risiko Sistem Informasi Menggunakan ISO 31000 dan Standar Pengendalian ISO/EIC 27001 di Tripio Purwokerto

## Information System Risk Management Using ISO 31000 and ISO / EIC 27001 Control Standards in Tripio Purwokerto
Ito Setiawan, Aldistya Riesta Sekarini, Retno Waluyo, Fiby Nur Afiana
Universitas AMIKOM Purwokerto, Indonesia
Article Info

## ABSTRAK
Article history: Received,  3 Maret 2021 Revised, 20 April 2021 Accepted, 18 Mei 2021 Bertambahnya  ketergantungan  organisasi terhadap  penggunaan  sistem informasi  dalam  rutinan sejalan  dengan  ancaman  dan  risiko  yang  timbul  dari  penggunaan  sistem  informasi  tersebut. Permasalahan  penggunaan  sistem  informasi  juga  dialami  oleh  Tripio  Purwokerto.  Tripio merupakan  perusahaan  yang bergerak  di bidang teknologi  di  Purwokerto. Tripio  memiliki  dua sistem  informasi  untuk menunjang  proses bisnisnya yaitu  website dan Point of Sales (POS) systems .  Dalam  penggunaan  sistem  informasi  mengalami  permasalahan  seperti server mengalami error , jaringan  yang bermasalah,  data  yang rusak karena  terkena  virus dan human error. Tujuan  penelitian  adalah  mengetahui  risiko  dan  juga  dampak  dari  penggunaan  sistem informasi di Tripio Purwokerto. Metode yang digunakan  adalah International  Organization for Standardization ( ISO)  3100:2018  dan  standar  pengendalian  menggunakan International Organization for Standardization (ISO) 27001:2013. Dari hasil penelitian  yang telah dilakukan dapat ditarik kesimpulan bahwa terdapat 15 risiko yang terdiri dari  6 risiko dengan tingkat risiko high , 7 risiko dengan tingkat risiko medium , dan 2 risiko dengan tingkat risiko low . Rekomendasi kontrol yang digunakan mengacu pada ISO 27001:2013 bagian human recource security, access control,  physical  and  environmental  security,  operations  security,  protection  from  malware, communications security, system acquisition, development  and maintenance .
Kata Kunci:
Manajemen  Risiko
Sistem Informasi
ISO 31000:2018
ISO 27001:2013 Tripio Purwokerto

## ABSTRACT
Keywords:
Risk Management Information System ISO 31000:2018 ISO 27001:2013 Tripio Purwokerto The increasing dependence  of the  organization on the  use of information  systems in routine in line with the threats and risks arising from the use of the information system. Tripio Purwokerto also experienced  the problem of using the  information system. Tripio is a technology  company in Purwokerto. Tripio has two information systems to support its business processes, namely  a website and Point  of Sales (POS) systems. In the use of information systems there are problems such as servers experiencing  errors, problematic  networks,  damaged data due  to viruses  and human  errors. The  research  objective  was  to  determine  the  risks and  impacts  of  using  the information system in Tripio Purwokerto. The method used is the International Organization for Standardization (ISO) 3100: 2018 and the control standards use the International  Organization for Standardization  (ISO) 27001: 2013. From the results of the research that has been done, it can be concluded  that there are 15 risks consisting of 6 risks with a high risk level,  7 risks with a medium risk level,  and 2 risks with  a low risk level. The control recommendations used refer to ISO 27001: 2013, part of human resource security, access control, physical and environmental security,  operations  security,  protection  from  malware,  communications  security,  system acquisition, development  and maintenance.
This is an open access article  under the CC BY-SA license.
Penulis Korespondensi:
Ito Setiawan, Program Studi  Sistem Informasi, Universitas  AMIKOM Purwokerto, Email: itosetia wa n@amikompurwokerto.ac.id

## 1. PENDAHULUAN
Berta mba hnya keterga ntunga n orga nisa si terha da p  pengguna an sistem informa si da la m rutina n seja la n denga n a ncaman da n risiko  ya ng timbul  da ri  pengguna a n sistem  informa si  tersebut [1]. Risiko adalah suatu kondisi terjadinya keadaan dimana dampak yang ditimbulkan bisa merugikan bagi organisasi [2] [3]. Setia p kegia ta n ya ng terja di pa da  orga nisasi mempunyai da mpa k ma teria l  a ta u  konsekuensi  ya ng  signifika n  ba gi  orga nisa si  [4].  Sistem  informa si  memiliki  risiko  yang bera ga m seperti kega ga la n kelistrika n ka rena  fa ktor a la m , human error, kebocora n da ta ka rena hacker , kerusa ka n sistem a kibat terkena  virus, keba kara n dan la inya  [5] [6]. Aga r risiko bisa  berkura ng ma ka  dibutuhkan sebuah ta ta kelola  risiko ya ng ba ik dan bena r [7].  Kema mpuan untuk mengatasi risiko-risiko  ya ng tela h terja di, meminima lka n risiko ya ng mungkin a ka n terjadi dan menga tur ta ta  kelola  risiko denga n ba ik da pa t dila kukan denga n manajemen risiko  [8] [9].  Ma na jemen risiko merupa ka n sebuah proses ya ng dida la mnya terda pat kegia ta n seperti mengontrol risiko,  mengidentifika si risiko  da n mela kukan mitiga si risiko  [10]. Sela in  itu  ma na jemen risiko  ya ng ba ik  a ka n sa nga t berpenga ruh pa da   ma najemen kua lita s, ma na jemen la ya nan teknologi informa si da n ma na jemen proyek [11]. Perma sa la ha n penggunaan sistem informa si juga  dia la mi oleh Tripio  Purwokerto.
Tripio  merupa ka n perusa ha an ya ng bergera k di  bida ng teknologi  di  Purwokerto.  Tripio  memiliki  dua  sistem  informa si untuk menunja ng proses bisnisnya . Sistem informa si perta ma  berupa  website penjua la n. Sistem informa si kedua  ya itu Point of Sales (POS) systems. POS a da la h sua tu kegia ta n ya ng berorienta si pa da  penjualan untuk me mbantu dala m proses tra nsa ksi. POS terdiri  da ri software berupa Inventory  Management, Pela pora n, Purchasing,  Customer  Management, Sta nda r  Keamanan Tra nsa ksi , da n Return  Processing da n hardware berupa  termina l/PC, Receipt  Printer,  Cash Drawer, termina l  pemba yaran, Barcode  Scanner ya ng  sa ling  terintegra si.  Da la m  pengguna a n sistem  informa si  menga la mi  perma sa la han seperti  server menga la mi error . Apa bila server menga la mi ga nggua n ma ka berakibat sistem informa si tida k bisa  diguna ka n da n menga nggu pela ya nan terha dap pela ngga n. Perma sa la han la in seperti  ja ringa n ya ng berma sa la h, perma sala han ja ringa n sering  terja di yang menga kiba tkan ga nggua n sistem informa si sa a t diguna ka n. Da ta -data penjuala n hila ng da n bebera pa tida k bisa  dibuka  akibat terkena  virus . Perma sa la ha n-permasala han yang terja di perlu  dita nggula ngi.  Ca ra  mena nggula ngi risiko  sa la h sa tunya adalah mela kuka n penila ia n risiko seba ga i la ngka h a wa l da la m mela kukan manajemen risiko  [12]. Sela ma  ini Tripio Purwokerto belum perna h mela kuka n penila ia n risiko terha da p pengguna an sistem informa si. Sa la h sa tu metode untuk penila ia n risiko  a da la h ISO 31000 [13].
ISO 31000 merupa kan pa nduan penerapan risiko ya ng terdiri  a ta s tiga  elemen,  ya itu : kera ngka  kerja (framework) , prinsip (principle) da n proses (process) [14] .  ISO 31000 menyediakan kerangka kerja, prinsip dan proses manajemen risiko yang bisa digunakan sebagai arsitektur manajemen risiko dan menjamin penerapan manajemen risiko yang efektif dalam organisasi [15]. Kerangka kerja manajemen risiko tertanam secara keseluruhan kebijakan dan praktik strategis dan operasional organisasi [10]. Dalam proses pengendalian risiko da pa t menga cu mengguna kan ISO/IEC 27001 [16] [17].  ISO/EIC 27001 merupa ka n standar Interna siona l ya ng dipersia pka n untuk mengimplementasika n, membangun, memonitor, mengopera sikan serta  merawa t sistem ma na jemen kea manan informasi (SMKI)[17]  ISO/EIC 27001 menja di sta nda r ma najemen kea manan informasi oleh orga nisa si seca ra  lua s, menyedia kan pa nduan tertentu yang pa ling komprehensif untuk mena jemen kea manan informasi di orga nisa si [19]. Sta nda r ini tida k terga ntung pa da  produk IT, membutuhkan pengguna an pendekatan ma najemen berba sis risiko,  da n dira ncang untuk mema stika n bahwa kontrol kea manan ya ng dipilih ma mpu untuk melindungi a set informa si da ri berba ga i risiko   [3] [20].
Tujua n da ri penelitia n ini  a da la h m engetahui tingka t risiko  pengguna a n sistem informa si di Tripio  Purwokerto. Penelitia n serupa  juga  perna h dila kuka n mengguna kan metode ISO 31000:2018 pada bida ng pendidika n [21] da n juga  penelitia n dila kukan mengguna ka n metode ISO  31000:2009 pa da  perusa ha an teknologi  [1]  na mun rekomenda si tinda ka n belum  menga cu pada sta nda r khusus sehingga  ha l tersebut menga cu penelitia n ya ng a ka n dila kukan denga n memberikan r ekomendasi penanangan penga cu pa da  sta ndar ISO/EIC 27001.

## 2. METODE  PENELITIAN

## 2.1   Tahap Pengumpulan  Data
Pengumpula n da ta  dila kukan denga n bebera pa cara  a ga r memenuhi da ta yang dibutuhkan. ca ra  ya ng diguna ka n a dalah 1. Wa wa nca ra .
Wa wa nca ra  dila kuka n denga n ka rya wa n Tripio  Purwokerto  seba ga i  a dmin online,  denga n pimpina n  Tripio  Purwokerto seba ga i penga mbil kebija ka n da n juga  ba gia n IT seba ga i pengelola  sistem.
2. Observa si.
Pa da  ta hap ini, dila kuka n penga matan seca ra la ngsung denga n mengunjungi Tripio Purwokerto untuk meliha t risiko a pa  yang perna h terja di da n ba ga ima na proses bisnis ya ng berja la n.
3. Studi Pusta ka .
Studi  pusta ka dila kukan untuk mencari berba ga i sumber terka it denga n  tema  penelitia n ya itu ma na jemen risiko teknologi informa si a ga r da pat menjadi ba han referensi a ga r da pat memudahkan dala m proses penelitia n, referensi diperoleh da ri jurna l, prosiding,  buku da n sumber da ri internet.
4. Kuesioner.
Kuesioner  dila kuka n untuk mengeta hui tingka ta n risiko  ya ng a da  di  Tripio  Purwokerto,  kuesioner  ini  ditujuka n kepada pengguna  sistem, pembua t sistem da n penentu kebija kan.

## 5. Dokumenta si.
Dokumenta si berupa  foto pa da  sa a t wa wa nca ra , observa si,  da n  ha sil  kuesioner  ya ng  suda h  diisi  oleh  ka rya wa n Tripio Purwokerto.

## 2.2   Tahap indentifikasi masalah
Setela h  memperoleh  da ta   mela lui  proses  pengumpula n  da ta   sela njutnya   mela kuka n   identifika si  ma sa la h  dan mendeskripsika n ha l-ha l ya ng berka ita n denga n penera pan teknologi informa si di tempa t penelitia n.
2.3   Tahap Penerapan International Organization for Standardization ( ISO) 31000:2018
Ta ha p ini  merupa ka n ta hap ya ng dila kuka n untuk menga na lisis  proses  ma na jemen risiko  di  tempa t penelitia n.  Pada ta ha pannya [10].
1. Komunika si da n konsulta si
Pa da  ta ha p ini  komunika si da n konsulta si dila kuka n di  tempa t penelitia n, ka munikasi da n konsulta si dila kuka n terhadap pimpina n, pengguna  sIstem da n ba gia n IT. Pa da  ta hap ini dila kuka n observa si da n wa wa nca ra  untuk mengeta hui ba gaimana penera pa n manajemen risiko di Tripio  Purwokerto.
2. Meneta pkan konteks
1. Konteks Eksterna l
Konteks eksterna l pa da  tempat penelitia n a dala h lingkunga n lua r perusa haan aga r membantu mencapai tujuan perusahaan.
2. Konteks interna l
Konteks interna l pa da  tempat penelitia n a da la h lingkunga n da la m perusa ha an a gar memba ntu mencapai tujua n Konteks eksterna l perusa ha a n.
3. Penila ia n risiko
Ta ha p penila ia n risiko pa da  teknologi informa si di tempa t penelitia n terdiri da ri tiga  ta ha pan, ya itu identifika si risiko, a na lisis risiko,  da n eva lua si risiko.
1. Identifika si Risiko
Ta ha p identifika si risiko  dila kuka n denga n mengeta hui risiko a pa  sa ja yang bera da  pada tempat penelitia n .
2. Ana lisis  Risiko
Setela h mengeta hui risiko  ya ng a da , la ngka h berikutnya  ya itu mengidentifika si risiko tersebut sesua i denga n tingkatan da mpa k terhadap orga nisa si.
3. Eva lua si risiko
Pa da  ta hap ini memba ndingkan risiko-risiko  ya ng tela h dihitung berda sa rka n kriteria  risiko da n kriteria  da mpak.
4. Kontrol Risiko
Setela h  ta ha p eva lua si risiko  selesa i  dila kuka n, ta ha p sela njutnya a dala h perla kua n risiko  ya ng  menga cu pa da  standar ISO/EIC 27001:2013. Sta ndar ini memberika n kontra l-kontrol terha dap risiko ya ng a da  a ga r da pat mengura ngi terja dinya risiko.
5. Monitoring da n Review
Ta ha p  monitoring  da n review dila kua ka n seca ra   menyeluruh  da la m  orga nisa si  da n  dila kuka n  seca ra   berka la .  Ha sil pemba hasan da ri monitoring dia rsipka n a ga r da pa t menjadi dokumen bagi orga nisa si.

## 3. HASIL  DAN  ANALISIS
Tripio  Purwokerto  sela ma   ini  belum  menera pka n ma na jemen risiko  pengguna a n  teknologi  informa si  denga n  ba ik, pengguna a n teknologi informa si tida k didukung denga n sta nda r opera sional prosedur ya ng a da . Terja dinya risiko penggunaan teknologi informa si ma sih dita nga ni ta npa  prosedur ya ng jela s, ha nya  berdasarkan penga laman ta npa a danya panduan  tertentu da la m  pena nga nan  risiko,  oleh  seba b  itu  peneliti  ingin  meliha t  sa ja uh  ma na   pengelola a n  risiko  di  Tripio  Purwokerto mengguna ka n metode ISO 31000. Berikut ta ha pan dari ISO 31000:

## 3.1   Menetapkan  Konteks.
Konteks eksterna l ya ng mempenga ruhi pengelola a n risiko teknologi informa si ya itu:
1. Distributor.
Bekerja  sa ma  denga n bebera pa distributor untuk memenuhi kebutuhan produk penjualan.
2. Leasing
Bekerja  sa ma  denga n lea sing  seperti  BAF  (Bussa n Auto  Fina nce),  FIF (Federal  International Finance) , Adira   dan Kredit++.
3. Marketplace
Da la m memuda hkan da la m proses pema sa ran da n penjuala n mengguna kan marketplace seperti tokopedia , blibli.com, da n sipla h.
Konteks  interna l  a da la h lingkunga n  dima na  perusa ha an berusa ha  menca pai tujua n da ri  a pa  ya ng  ditera pka n. Konteks interna l berisi  tenta ng struktur orga nisa si da n sumber da ya  ma nusia

## 3.2   Penilaian Risiko
Pa da  ta ha p  penila ia n  risiko  di  Tripio  Purwokerto  t erdiri  da ri  tiga   ta ha pan, ya itu  identifika si  risiko,  a na lisis  risiko  dan eva lua si risiko.  Berikut penjela sa n da ri ta ha pan tersebut, Ta ha p ini dila kuka n untuk mengidentifika si risiko  ya ng a ka n terjadi pa da  a set-a set yang a da  Identifika si risiko pa da  ta bel 1.
Ta bel 1. Identifika si Risiko
Pa da  ta hap ini dila kuka n penila ia n terha dap risiko ya ng a da . Frekuensi penila ia n risiko diisi  denga n a ngka  1 sa mpai 5 sesuai denga n kondisi ya ng a da . Denga n ketera nga n nila i 1(Insignifica nt), 2(Minor),  3(Modera te), 4(Ma jor) da n 5(Ca ta strophic).Tabel a na lisis risiko   da pa t diliha t pa da  ta bel 2 berikut.
Ta bel 2. Ana lisis  Risiko
Setela h  ta ha p a na lisis  risiko  dila kuka n sela njutnya  a dala h ta hap eva lua si risiko.  Ta ha p ini  memba ndingka n  hasil  da ri a na lisis risiko  terha da p pa rameter risiko ya ng tela h diidentifika si.  Level risiko  ya ng tela h diidentifika si da pa t diliha t pa da  tabel di ba wa h ini:
Ta bel 3. Eva lua si Risiko
No Nama Risiko Analisis Risiko Tingkatan Risiko 13 Koneksi jaringan terputus tidak stabil. 5 High 2 Server down 5 High 3 Kerusakan pada hardware 5 High 8 Listrik padam. 5 High 14. Genset tidak berfungsi atau rusak. 4
High
15. Program crash . 5 High 9 Kebakaran 5 Medium 1 human error 3 Medium 6 Pencurian perangkat/data. 5 Medium 7 Kebocoran data informasi perusahaan. 5 Medium 4 Overheat 3 Medium 5 Overload 3 Medium 11 Penyalahgunaan hak akses 4 Medium 10 Petir 3 Low 12 Virus dan Sejenisnya 2 Low
No. Risiko Dampak 1 Human error Salah penginputan data 2 Server down. Menghambat kegiatan bisnis, Sistem yang sedang berjalan tidak sinkron antara sistem gudang dengan sistem POS. 3 Kerusakan pada hardware Mengurangi jumlah aset,  memperlambat proses bisnis. 4 Overheat Aplikasi yang digunakan mengalami gangguan. 5 Overload Kinerja server mengalami penurunan performa. 6
Pencurian perangkat/data.
Kehilangan data penting perusahaan. 7 Kebocoran data informasi perusahaan. Data penting yang dicuri. 8 Listrik padam. Mengganggu proses kerja, Performa server menurun. 9 Kebakaran Kerusakan sarana dan prasana 10 Petir Kerusakan sarana dan prasarana 11 Penyalahgunaan hak akses. Rentan terjadinya kebocoran data 12 Virus dan sejenisnya Data hilang, rusak dan bisa dicuri 13 Koneksi jaringan terputus tidak stabil. Kegiatan bisnis terhambat. 14 Genset tidak berfungsi
Menganggu proses bisnis perusahaan.
15 Program crash.
Data hilang dan rusak. No Risiko Analisis Risiko 1 human error 3 2 Server down. 5 3 Kerusakan pada hardware 5 4 Overheat 3 5 Overload 3 6 Pencurian perangkat/data. 5 7 Kebocoran data informasi perusahaan. 5 8 Listrik padam. 5 9 Kebakaran 5 10 Petir 3 11 Penyalahgunaan hak akses. 4 12 Virus dan sejenisnya 2 13 Koneksi jaringan terputus tidak stabil. 5 14 Genset tidak berfungsi 4 15 Program crash. 5

## 3.3   Kontrol Risiko
Pa da  ta ha p ini, risiko ya ng tela h diidentifika si da n dieva lua si a ka n diberi usula n -usula n da la m memperla kukan risiko a ga r semua  risiko da pa t dicega h ma upun dikura ngi sehingga  proses bisnis  da pa t berja lan seca ra maksimal. Usula n perla kua n risiko disusun berda sa rka n da ri tingka ta n risiko (level  of risk)  denga n tingka ta n pa ling tinggi  (high)  ke tingka ta n pa ling renda h (low). Perla kua n risiko menga cu pa da  sta ndar ISO/EIC 27001:2013, penjela san tersebu t da pat diliha t pa da  ta bel  4 berikut:
Ta bel 4. Eva lua si Risiko Risiko Kontrol Risiko (ISO/IEC 27001:2013) Koneksi jaringan terputus tidak stabil. Pekerjaan jaringan harus dikelola dan dikendalikan untuk melindungi informasi dalam sistem dan aplikasi. A.13.1.1 Mekanisme keamanan, tingkat layanan dan persyaratan manajemen dari semua layanan kerja jaringan harus diidentifikasi dan dimasukkan dalam perjanjian layanan jaringan, baik layanan ini disediakan di rumah atau di-outsourcing.A.13.1.2 Server down Prosedur  harus  diterapkan  untuk  mengontrol  instalasi  perangkat  lunak  pada  sistem operasional.A12.5.1 Peralatan harus dipelihara dengan benar untuk memastikan ketersediaan dan integritasnya yang berkelanjutan.A.11.2.4 Salinan cadangan informasi, perangkat lunak, dan citra sistem harus diambil dan diuji secara teratur sesuai dengan kebijakan cadangan yang disepakati. A.12.3.1. Kerusakan pada hardware Peralatan harus dipelihara dengan benar untuk memastikan ketersediaan dan integritasnya yang berkelanjutan.A.11.2.4 Listrik padam. Prinsip-prinsip  untuk  sistem  keamanan  teknik  harus  ditetapkan,  didokumentasikan, dipelihara dan diterapkan pada sistem informasi apapun upaya implementasi.A.14.2.5 Genset tidak berfungsi atau rusak. Peralatan harus dipelihara dengan benar untuk memastikan ketersediaan dan integritasnya yang berkelanjutan.A.11.2.4 Program crash . prosedur  harus  diterapkan  untuk  mengontrol  instalasi  perangkat  lunak  pada  sistem operasional.A.12.5.1.
Deteksi, pencegahan dan kontrol pemulihan untuk melindungi malware harus diterapkan, digabungkan dengan pengguna yang sesuaikesadaran. A.12.2.1
Salinan cadangan informasi, perangkat lunak, dan citra sistem harus diambil dan diuji secara teratur sesuai dengan kebijakan cadangan yang disepakati. A.12.3.1. prosedur  harus  diterapkan  untuk  mengontrol  instalasi  perangkat  lunak  pada  sistem operasional.A.12.5.1 Kebakaran Perlindungan fisik terhadap bencana alam, serangan jahat atau kecelakaan harus dirancang dan diterapkan. A.11.1.4 Salinan cadangan informasi, perangkat lunak, dan citra sistem harus diambil dan diuji secara teratur sesuai dengan kebijakan cadangan yang disepakati. A.12.3.1. Human error Semua karyawan organisasi dan, jika relevan, kontraktor harus menerima pendidikan dan pelatihan kesadaran yang sesuai dan pembaruan rutin dalam kebijakan dan prosedur organisasi, yang relevan dengan fungsi pekerjaan mereka.A.7.2.2 Harus ada proses disipliner formal dan yang dikomunikasikan untuk mengambil tindakan terhadap karyawan yang telah melakukan pelanggaran keamanan informasi. .A.7.2.3 Pencurian perangkat/data. Area aman harus dilindungi oleh kontrol masuk yang tepat untuk memastikan bahwa hanya personel yang berwenang yang diperbolehkan mengakses.A.11.1.2 Kebocoran data informasi perusahaan. Kebijakan  pengendalian  akses  harus  ditetapkan,  didokumentasikan  dan  ditinjau berdasarkan persyaratan keamanan bisnis dan informasi.A.9.1.1 Sistem manajemen kata sandi harus interaktif dan harus memastikan kata sandi yang Berkualitas. A.9.4.3. Overheat Keamanan  fisik  untuk  kantor,  ruangan  dan  fasilitas  harus  dirancang  dan diterapkan.A.11.1.3 Overload Log peristiwa yang merekam aktivitas pengguna, pengecualian, kesalahan, dan peristiwa keamanan informasi harus diproduksi, disimpan, dan ditinjau secara berkala.A.12.4.1 Penyalahgunaan hak akses. Kebijakan  pengendalian  akses  harus  ditetapkan,  didokumentasikan  dan  ditinjau berdasarkan persyaratan keamanan bisnis dan informasi.A.9.1.1 akses ke informasi dan fungsi sistem aplikasi harus dibatasi sesuai dengan kebijakan kontrol akses.A.9.4.1
Sistem manajemen kata sandi harus interaktif dan harus memastikan kata sandi yang
Berkualitas. A.9.4.3 Semua karyawan organisasi dan, jika relevan, kontraktor harus menerima pendidikan dan pelatihan kesadaran yang sesuai dan pembaruan rutin dalam kebijakan dan prosedur organisasi, yang relevan dengan fungsi pekerjaan mereka.A.7.2.2 Petir Perlindungan fisik terhadap bencana alam, serangan jahat atau kecelakaan harus dirancang dan diterapkan. A.11.1.4
Salinan cadangan informasi, perangkat lunak, dan citra sistem harus diambil dan diuji secara teratur sesuai dengan kebijakan cadangan yang disepakati. A.12.3.1.
Risiko Kontrol Risiko (ISO/IEC 27001:2013) Virus dan Sejenisnya Perubahan  organisasi,  proses  bisnis,  fasilitas  pemrosesan  informasi  dan  sistem  yang mempengaruhi informasi keamanan harus dikendalikan.A.12.1.2 Deteksi, pencegahan dan kontrol pemulihan untuk melindungi malware harus diterapkan, digabungkan dengan pengguna yang sesuaikesadaran. A.12.2.1
Salinan cadangan informasi, perangkat lunak, dan citra sistem harus diambil dan diuji secara teratur sesuai dengan kebijakan cadangan yang disepakati. A.12.3.1

## 3.4   Monitoring dan Review
Kegia ta n  monitoring  da n review dila kuka n  setela h  penila ia n  risiko  dila kuka n  da n  rekomenda si  kontrol  tela h diimplementa sika n di orga nisa si.  Berda sa rka n  monitoring ya ng dila kuka n seca ra  rutin terda pa t penurunan risiko da n dampak ya ng ditimbulka n. Kegia ta n monitoring da n review dila kuka n denga n menga da kan pertemuan denga n topik ba ha san penerapan teknologi informa si untuk membahas kendala -kendala  a tau kemungkina n risiko ya ng a ka n mengga nggu proses bisnis  orga nisa si da n memba has pencega han a ga r da pat meminima lisir risiko  ya ng a ka n terja di dikemudia n ha ri.

## 4. KESIMPULAN
Setela h dila kuka n penila ia n risiko  menga cu pa da  metode ISO  3100:2018 pa da  Tripio Purwokerto  da pa t dinila i  bahwa perusa ha an tersebut belum menera pkan ma najemen risiko denga n ba ik, ha l tersebut da pa t diliha t ba hwa  terda pat 15 risiko yang terdiri  da ri 6 risiko  denga n tingka t risiko high , 7 risiko  denga n tingka t risiko medium ,  da n 2 risiko  denga n tingka t risiko low . Da ri  kontrol risiko  ya ng a da  diha ra pkan piha k orga nisa si segera  mengimplementa sika n rekomendasi ya ng a da  sesua i den gan kondisi orga nisa si sehingga  bisa  mencega h ma upun mengura ngi risiko ya ng a ka n terja di dikemudia n ha ri. Rekomendasi kontrol ya ng diguna ka n menga cu pa da ISO 27001:2013 bagia n human recource security, access control, physical and environmental security,  operations  security,  protection  from  malware,  communications  security,  system  acquisition,  development  and maintenance. Rekomenda si kontrol tersebut ditua ngka n da la m bentuk sta ndar opera siona l prosedur da la m pena nganan risiko ya ng terja di di Tripio  Purwokerto.

## UCAPAN  TERIMA  KASIH
Penulis menguca pka n terima kasih kepa da Lembaga  Penelitia n Penga bdia n Ma syarakat Universita s AMIKOM Purwokerto da n Fa kulta s Ilmu Komputer Universita s AMIKOM  Purwokerto ya ng tela h mendukung penelitia n ini.

## REFERENSI
[1] A. Rahmawati  and A. F. Wijaya,  “Analisis  Risiko Teknologi  Informasi Menggunakan  ISO 31000 Pada  Aplikasi ITOP,” J. SITECH : Sistem Informasi dan Teknologi. , vol. 2, no. 1, pp. 13–20, 2019.
[2] E. G. Monica and P. Pangeran, “The Integration of Balanced Scorecard and ISO 31 . 000 Based Enterprise Risk Management Proces s to Mitigate  Supply  Chain  Risk :  Case  Study  at  PT  Anugerah  Bintang  Meditama,” International  Journal  of  Multicultural  and  and Multireligious  Understanding (IJMMU). , vol. 7, no. 10, pp. 616–628, 2020.
[3] I. Sulistyowati  and R. V. H. Ginardi,  “Information  Security  Risk Management  with  Octave Method  and ISO/EIC 27001: 2013 (Case Study: Airlangga University),” in IPTEK Journal of Proceedings Series , 2019, vol. 1, pp. 32–38.
[4] Z. Putra, S. Chan, and M. IHA, “Design of Risk Management  Based on ISO 31000 in PDAM Tirta Meulaboh,” J. AFEBI  Management and Business Review. ,  vol. 2, no. 1, p. 21, 2017.
[5] Y. E. Patabang,  S. Suprayitno, E. Sahiri, and I. M. J. A, “Operational  Risk Management  of Surabaya Main Naval  Base V Repair  and Maintenance  Facility  Based on ISO 31000 Framework,” International Journal of ASRO , vol. 10, no. 03, pp. 111–123, 2019.
[6] C. Kuntoro, “Implementasi  Manajemen Risiko Kebakaran  Berdasarkan (IS) ISO 31000 PT Apac Inti Corpora,” Higeia Journal of Public Health Research and Development  (HIGEIA). , vol. 1, no. 4, pp. 109–119, 2017.
[7] I. Setiawan, R. Waluyo, and W. A. Pambudi, “Perancangan  Business Continuity Plan dan Disaster Recovery Plan Teknologi dan Sis tem Informasi Menggunakan ISO 22301,” J. RESTI (Rekayasa Sistem. dan Teknologi. Informasi) , vol. 3, no. 2, pp. 148–155, 2019.
[8] J. S. Suroso and M. A. Fakhrozi, “Assessment of Information  System Risk Management with Octave Allegro at Education  Institutio n,” in 3rd International Conference  on Computer Science and Computational Intelligence  2018 , 2018, vol. 135, no. March, pp. 202–213.
[9] D. S. Valena, R. Prabowo,  anie rose Irawati, and A. Aristoteles, “Analisis Manajemen Risiko Sistem Informasi Perpustakaan Universitas Lampung Menggunakan Metode Nist Sp 800-30,” J. Komputasi , vol. 7, no. 1, 2019.
[10]  A. Syihabuddin, Y. Suryanto, and M. Salman, “Risk Management  in Data Centers Using ISO 31000 Case Study : XYZ Agency,” In The 1st STEEEM 2019 , 2019, vol. 1, no. 1, pp. 341–352.
[11]  W. S. Prabowo, . W., N. A Setiawan, M. H. Muslim, and Y. S. Utama, “Manajemen  Risiko Infrastruktur Cloud Pemerintah  Menggunakan Nist Framework Studi Kasus Lembaga Ilmu Pengetahuan Indonesia (LIPI),” J. Penelitian  Pos dan Informatika. , vol. 7, no. 1, p. 17, 2017.
[12]  F. I. S. Yudha and  R. E. Gunadhi, “Risk  Assessment Pada  Manajemen  Resiko  Keamanan  Informasi  Mengacu  Pada British  Standard ISO/IEC 27005 Risk Management,” J. Algoritma. , vol. 13, no. 1, pp. 1689–1699, 2016.
[13]  A. Y. Wicaksono,  “Applying  ISO:31000:2018  as Risk Management  Strategy  on Heavy  Machinery  Vehicle  Division,” International
Journal of Science, Engineering  and Information Technology. , vol. 4, no. 2, pp. 198–202, 2020.
[14]  K. B. Mahardika, A. F. Wijaya,  and A. D. Cahyono, “Manajemen  Risiko Teknologi  Informasi Menggunakan  ISO 31000 : 2018 (Studi Kasus: Cv. XY),” J. Sebatik , vol. 23, no. 1, pp. 277–284, 2019.
[15]  H. T. I. Driantami,  Suprapto, and A. R. Perdanakusuma, “Analisis Risiko Teknologi  Informasi Menggunakan ISO 31000 ( Studi kas us : Sistem  Penjualan  PT Matahari  Department  Store  Cabang  Malang  Town Square  ),” J.  Pengembangan  Teknologi  Informasi dan Ilmu Komputer. , vol. 2, no. 11, pp. 4991–4998, 2018.
[16]  I. Setiawan,  M. Sutopo, and A. Azis, “Manajamen  Risiko SIMRS Menggunakan Metode OCTAVE-S dan Standar Pengendalian  ISO / EIC 27001,” J. Teknik Informatika dan Sistem Informasi. , vol. 7, no. 3, pp. 1–8, 2020.
[17]  A. Fathurohman and R. W. Witjaksono,  “Analysis and Design of Information Security Management  System Based on ISO 27001: 2013 Using  ANNEX  Control  (Case  Study:  District  of  Government  of  Bandung  City),” Bulletin  of  Computer  Science  and  Electrical Engineering. , vol. 1, no. 1, pp. 1–11, 2020.
[18]  R.  R.  Wijayanti,  “Implementasi  Octave-S  dan  Standar  Pengendalian  ISO  27001:2013  Pada  Manajemen  Risiko  Sistem  Informasi Perguruan Tinggi,” J. Pengkajian  dan Penerapan Teknik Informatika (PETIR). , vol. 11, no. 2, pp. 221–233, 2018.
[19]  P. Februari and F. Fitria, “Audit Sistem Keamanan  Informasi Menggunakan ISO 27001 Pada SMKN 1 Pugung, Lampung,” POSITIF  J. POSITIF : Jurnal Sistem dan Teknologi Informasi. , vol. 5, no. 2, p. 97, 2019.
[20]  R.  Tatiara,  A. N.  Fajar,  B.  Siregar,  and  W.  Gunawan, “Analysis  of factors  that  inhibiting  implementation  of  Information  Security Management  System (ISMS) based on ISO 27001,” in Journal of Physics: Conference Series , 2018, vol. 978, no. 1, pp. 12–39.
[21]  D. L.  Ramadhan,  R. Febriansyah,  and R. S. Dewi, “Analisis  Manajemen  Risiko Menggunakan  ISO 31000 Pada Smart Canteen  SMA XYZ,” J. JURIKOM : Jurnal Riset Komputer , vol. 7, no. 1, p. 91, 2020.
Ma trik : Jurna l Ma na jemen, Teknik Informatika, da n Reka yasa Komputer, Vol.  20, No. 2, Mei 2021:  389~396