## Manajemen Risiko Default Pada Pengguna Kartu Kredit Menggunakan Framework NIST 800-30
Agus Eko Musantono*, Atina Khoiron Nisa**, Ashlih Qurota A’Yuni***, Haniful Umam**** Akademi Komunitas Darussalam Blokagung *anton@akd.ac.id, **atinaniesa@akd.ac.id, ***ashlihlana@akd.ac.id, ****hanifumam@akd.ac.id

## ABSTRACT
The emergence of credit cards as one of the earliest fintech technologies capable of providing benefits to customers or users, the maturity of the system in its application is very important because it is related to user data. Several problems arise including carding crimes or problems from the users themselves. This study aims to determine demographic factors with the effect of using credit cards. Demographic factors (gender, age, marital status and academic) are related to usage activities as well as in paying off credit card bills. Quantitative research is carried out using available datasets. from the dataset will be processed and the required part will be taken. By using the NIST 800-30 framework, it is hoped that it can assist in risk management and assessment, then it will lead to risk tendencies in using credit cards. The final result of the study show that demographic factors including age, academic and marital status able to show the affect activities in paying credit card bills and the reliability of the credit card issuer's system can reduce the impact of default on credit card users.
Keyword: Risk Management, NIST 800-30, Credit Card, Financial Technology

## 1. Pendahuluan
Fintech menjadi  terobosan  baru  penggabungan  antara  teknologi  informasi  dan  jasa  keuangan, fintech memberikan kemudahan bagi penggunanya dalam bertransaksi tanpa harus membawa uang tunai. Fintech di Indonesia  terdapat  berbagai  macam  diantaranya  adalah  perencanaan  keuangan  ( personal  finance ), startup pembayaran, riset keuangan, investasi retail, pembiayaan ( lending & crowdfunding ), dan remitansi [1]. Awal fintech ditandai dengan kemunculan kartu kredit yang dikeluarkan oleh pihak bank yang digunakan untuk alat pembayaran.  Penerbit  kartu  kredit  dapat  meminjamkan  uang  kepada  konsumen  atau  nasabah  agar  nasabah dapat melakukan transaksi tanpa membawa uang tunai, tagihan akan dibebankan kepada nasabah tiap bulannya [2].
Kartu kredit mulai pertama kali dikenalkan di Indonesia pada 1980 an oleh salah satu bank swasta di Indonesia dengan menjalin kerjasama dengan VISA dan Mastercard International . Awal kemunculan kartu kredit ditujukan bukan untuk kalangan umum namun untuk kalangan pejabat, pengusaha dan orang-orang yang berpenghasilan tinggi. Jumlah kartu kredit yang tersebar di Indonesia mengalami peningkatan dari tahun 2010 adalah 13.574.673 dan sampai April tahun 2017 kartu kredit yang tersebar sejumlah 17.661.935 unit. Faktor ini terjadi karena o pihak bank menerbitkan berbagai jenis kartu kredit seiring dengan meningkatnya jumlah nasabah [3].
Kartu kredit yang diimbangi dengan sistem yang matang diharapkan mampu menopang proses bisnis, namun dilapangan muncul masalah yang awalnya tidak diprediksikan muncul, dari masalah sistem munculnya kejaharan carding maupun  masalah  dari  nasabah  itu  sendiri,  pada  penelitian  ini  akan  membahas  tentang masalah  demografi  berpengaruh  dalam  aktifitas  penggunaan  kartu  kredit  dalam  hal  pembayaran  tagihan menggunakan Framework NIST  800-30.  Variabel  demografi  seperti  umur  pengguna,  status  perkawinan pengguna, dan pendidikan terakhir pengguna mempunyai pengaruh signifikan dalam aktifitas pemaiakan kartu kredit, hal ini dibuktikan dengan hasil analisis Uji Reliabilitas yang menunjukkan bahwa semakin muda usia nasabah maka semakin produktif orang tersebut, responden terbanyak diusia 23-30 tahun dan cenderung belum menikah  dan  akan  menggunakan  kartu  kredit  dengan  bijak  [4].  Persamaan  dengan  penelitian  yang  akan dilakukan  adalah  temanya,  sama-sama  meneliti  dampak  demografi  dari  penggunaan  kartu  kredit  yang membedakan pada analisis dan metode yang dipakai.
Mitigasi  resiko  diperlukan  dengan  tujuan  pengelolaan  resiko  secara  baik  dan  benar  agar  tidak berdampak pada kelangsungan bisnis utama pada suatu instansi atau organisasi. Sistem informasi akademik pada  Universitas  Dian  Nuswantoro  pada  saat  KRS  sering  mengalami  down  karena  mahasiswa  mengakses dalam waktu bersamaan  maka dari itu diperlukan pengelolaan aset TI dengan menggunakan metode OCTAVE sebagai pengolah hasil informasi, data didapatkan dari hasil wawancara dan FMEA dipakai untuk menghitung tingkat  dampak  yang  ditimbulkan  serta  membuat  perangkingan  untuk  prioritas  pada  masing-masing  resiko. Hasil  akhir  dari  penelitian  ini  ditemukan  resiko  dengan  tingkat  masing-masing  ( Very  High,  High,  Medium,
Low, Very Low ) dengan total 50 resiko. Persamaan dengan penelitian yang akan dilakukan adalah pada proses analisis  yaitu  menggunakan  mitigasi  resiko  untuk  memaparkan  resiko  yang  akan  muncul  yang  mempunyai dampak serius terhadap sistem informasi akademik [5].
Kerangka  kerja  NIST  800-30  pada  perguruan  tinggi  bermanfaat  untuk  menghindari  ancaman  yang berdampak  negatif  terhadap sistem  informasi  maka  diperlukan  suatu  dokumentasi  mengenai  hasil  penilaian risiko, peringanan risiko, dan evaluasi risiko [6]. Perbandingan metode analisis risiko Mehari, Magerit, NIST 800-30  dan Microsoft's  Security  Management  Guide membutikan  bahwa  NIST  800-30  yang  mencakup rekomendasi  kontrol  dalam  langkah  analisis  risiko.  Mehari,  Magerit  dan  Microsoft’s  Security  Management Guide tidak mencakup rekomendasi kontrol. Kontrol rekomendasi dalam ketiga metode ini termasuk dalam langkah berikutnya manajemen keamanan setelah analisis risiko. NIST 800-30 hanya terdiri dari satu dokumen namun dokumen ini memberikan panduan terperinci untuk penilaian risiko meskipun tanpa dokumen tambahan untuk membantu aktivitas penilaian risiko dengan menggunakan metode ini [7].
National  Institute  of  Standards  and  Technology (NIST)  merupakan  organisasi  pemerintahan  di Amerika  Serikat  yang  menyusun  panduan  pada  bidang  Teknologi  Informasi.  NIST  telah  mempublikasikan NIST Special  Publication 800-30  yang  berjudul  “ Risk  Management  Guide  for  Information  Technology Systems ” manajemen risiko merupakan proses yang memungkinan pemimpin organisasi dapat mengelola risiko bisnis untuk mencapai keuntungan dengan melindungi aset informasi organisasi, sistem teknologi informasi dan data maupun informasi yang mendukung misi atau tujuan bisnis organisasi [8]. Proses manajemen risiko yang efektif merupakan komponen penting dari program keamanan teknologi informasi yang sukses. Tujuan utama dari proses manajemen risiko organisasi tidak hanya tentang melindungi aset teknologi informasi saja namun mampu untuk melindungi organisasi dan mampu untuk melaksanakan misi organisasi sehingga peran dari  pihak  manajemen  sangat  diperlukan  untuk  mendukung  kegiatan  manajemen  risiko.  NIST  800-30 merupakan  salah  satu  framework  yang  digunakan  untuk  manajemen  risiko  sistem  informasi,  dalam  proses manajemen risiko NIST memberikan 3 tahapan yaitu penilaian risiko, peringanan risiko, dan evaluasi risiko [9].
NIST  800-30  dapat  mendeskripsikan  profil  risiko  yang  dapat  mengancam  keberlangsungan sistem informasi dan diperlukan evaluasi kegiatan manajemen risiko sistem informasi untuk menghindari ancaman yang dapat menimbulkan risiko terhadap sistem informasi. NIST 800-30 juga dapat diimplementasikan untuk menghindari ancaman yang berdampak negatif terhadap sistem informasi maka diperlukan suatu dokumentasi mengenai hasil penilaian risiko, peringanan risiko, dan evaluasi risiko. Proses penilaian risiko NIST 800-30 terhadap sistem informasi dapat diketahui dari ancaman akan melakukan eksploitasi kecenderungan sehingga dapat  menyebabkan  dampak  terhadap  sistem,  sehingga  menjadikan  hal  tersebut  sebagai  risiko  terhadap organisasi.  Oleh  karena  itu  jika  tidak  ditemukan  ancaman,  kecenderungan  dan  dampak  maka  tidak  terdapat risiko.
Framework NIST  800-30  dipublikasikan  oleh National  Institute  of  Standard  and  Technology pada tahun 2002 tentang Risk Management Guide For Information Technology System terdapat 2 tahap utama yaitu Penilaian  Resiko  dan  Mitigasi  Resiko.  Masalah  yang  muncul  pada  nasabah  pengguna  kartu  kredit  akan dianalisa dengan menggunakan Framework NIST 800-30, hasil akhir dari peneilitan ini adalah penilaian resiko dan memitigasi tentang resiko dari kartu kredit.

## 2. Metode Penelitian
Metode  penelitian  yang  digunakan  yaitu  metode  kualitatif  dengan  pendekatan  studi  kasus  pada dataset. Dataset yang digunakan untuk penelitian adalah data pengguna kartu kredit pada salah satu bank di Taiwan  selanjutnya  data  dikelompokkan  sesuai  kebutuhan  penelitian  yaitu  manajemen  risiko.    Usaha peningkatan  pangsa  pasar,  bank  Taiwan  mengeluarkan  uang  tunai  dan  kartu  kredit  ke  pelamar  yang  tidak memenuhi syarat. Pada saat yang sama sebagian besar pemegang kartu terlepas dari menstabilitas pembayaran. Lebih dari itu, kartu kredit yang digunakan untuk konsumsi dan akumulasi kredit besar dan uang tunai hutang kartu  kredit.  Krisis  tersebut  menyebabkan  pukulan  bagi  keyakinan  pembiayaan  konsumen  dan  hal  tersebut merupakan tantangan besar bagi keduanya yaitu bank dan pemegang kartu kredit [10].  Data yang digunakan adalah data default kartu kredit serta data demografi pengguna kartu kredit, kemudian dilakukan manajemen risiko pada data temuan dengan acuan framework NIST 800-30. Dalam tahap manajemen risiko terdapat proses penilaian risiko yang memiliki sembilan tahapan yaitu karakteristik sistem, identifikasi ancaman, identifikasi kerentanan,  analisa  kontrol,  kemungkinan  yang  menentukan,  analisa  dampak,  risiko  yang  menentukan, rekomendasi kontrol, dokumentasi hasil. Selanjutnya adalah tahap mitigasi risiko dan evaluasi risiko.
Metode pengumpulan data pada penelitian ini adalah dengan melakukan proses klasifikasi pada faktor demografi  umur,  status  perkawinan  dan  tingkat  pendidikan  pengguna  gagal  bayar  yang  terbanyak  terhadap dataset  dari  salah  satu  bank  di  Taiwan,  dari  dataset  yang  dibutuhkan  hanya  bagian  demografi  yaitu  usia, pendidikan  terakhir,  dan  status  perkawinan,  dari  hasil  data  mining  dataset  akan  tersaring  data  yang  akan dibutuhkan sebagai acuan pada penelitian ini. Setelah semua data terkumpul dengan lengkap, selanjutnya data diolah dan dianalisis secara kualitatif dengan memperhatikan fakta-fakta yang terjadi dilapangan berdasarkan
variabel yang sudah ditentukan kemudian dimasukkan kedalam tahapan analisis. Proses kerangka kerja NIST 800-30 terdapat beberapa kriteria, yang dijelaskan pada beberapa tabel di bawah. Tabel 1 merupakan kriteria penentuan tingkat kemungkinan yang terhadap kelemahan sistem yang mungkin terjadi. Tabel 2 merupakan kriteria dari analisa dampak yang mungkin dapat mengeksploitasi kelemahan sistem informasi.
Tabel 1. Kriteria Kemungkinan Yang Menentukan
Tingkat Risiko Tingkat Kemungkinan Tinggi Tingkat ancaman sangat tinggi  yang dapat merugikan organisasi namun pengendalian terhadap kemungkinan kelemahan sistem tidak dapat diatasi atau tidak efektif. Sedang Tingkat ancaman cukup tinggi yang dapat merugikan organisasi namun pengendalian terhadap beberapa kelemahan sistem belum dapat diatasi atau belum diterapkan. Rendah Tingkat ancaman sangat rendah terhadap kerugian organisasi dan pengendalian terhadap beberapa kelemahan sistem secara umum dapat diatasi atau sudah diterapkan dengan efektif. Tabel 2. Kriteria Analisa Dampak Tingkat Dampak Definisi Dampak Tinggi Dapat mengakibatkan kerugian yang sangat mahal dari banyak aset berwujud dan dapat mengganggu misi dan reputasi organisasi Sedang Dapat mengakibatkan kerugian dari banyak aset berwujud dan dapat mengganggu misi dan reputasi organisasi Rendah Dapat mengakibatkan kerugian dari beberapa aset berwujud Tabel 3. Kriteria Tingkat Risiko Tingkat Risiko Definisi Risiko Tinggi Tindakan perbaikan sistem informasi harus segera dilakukan. Sedang Tindakan perbaikan sudah dilakukan sesuai periode waktu yang direncanakan. Rendah Tindakan perbaikan perlu dilakukan namun risiko tersebut masih bisa diterima atau ditoleransi.
Tabel 4. Matriks tingkat risiko Kemungkinan Ancaman Dampak Rendah Sedang Tinggi Tinggi Rendah Sedang Tinggi Sedang Rendah Sedang Sedang Rendah Rendah Rendah Rendah
Tabel 3 menjelaskan kriteria dari analisa penilaian tingkat risiko yang mengancam keberlangsungan sistem informasi. Matriks tingkat risiko dapat dilihat pada tabel 4.Setelah penentuan tingkat risiko didapatkan hasilnya selanjutnya dilakukan proses pemberian rekomendasi. Proses rekomendasi diprioritaskan pada tingkat risiko dari yang bernilai tinggi, sedang hingga ke tingkat rendah. Setelah pemberian rekomendasi kemudian dilakukan mitigasi risiko, evaluasi risiko dan kesimpulan akhir.

## 3. Analisis dan Hasil
Manajemen risiko pada penelitian ini terdiri dari tahapan penilaian risiko, mitigasi risiko dan evaluasi risiko.

## 3.1.  Risk Assessment
Proses penilaian risiko ( risk assesment ) dilakukan dengan beberapa tahapan sesuai dengan kerangka kerja NIST SP 800-30 dengan dataset yang diperoleh merupakan data dari bank di Taiwan. Tahapan tahapan tersebut sebagai berikut:
1. System Characterization
Karakteristik  sistem  yang  digunakan  pada  kartu  kredit  meliputi  kartu  fisik  dari  kartu kredit  yang  dikeluarkan  oleh  pihak  penerbit,  data  dan  informasi  dari  pengguna  kartu kredit. Penggunaan kartu kredit dalam proses transaksinya melibatkan pengguna kartu kredit,  toko  yang  mendukung  kartu  kredit,  bank  yang  digunakan  toko,  perusahaan penerbit kartu kredit, bank yang digunakan oleh pemilik kartu (kredit).
2. Threat Identification
Identifikasi  ancaman  terhadap  kartu  kredit  dapat  berupa ancaman  dari  sistem  maupun dari  pengguna  sehingga  menyebabkan default atau  tunggakan  pembayaran  dalam  6 bulan. Adapun identifikasi ancaman dapat dilihat pada Tabel 5.
Tabel 5. Identifikasi ancaman default kartu kredit No Sumber Ancaman Jenis Ancaman 1 Pengguna kartu kredit Penggunaan yang melebihi batas tagihan yang dapat dilakukan dalam bertransaksi. Faktor demografi pengguna berdasar dari umur, pendidikan, dan status pernikahan. 2 Sistem dari kartu kredit Jumlah batas transaksi pengguna yang disetujui sistem yang telah melebihi limit balance pengguna.

## 3. Vulnerability Identification
Kerentanan yang telah teridentifikasi diantaranya yaitu:
a. Kerentanan  faktor  demografi  pengguna  dengan  umur  21  hingga  35  tahun  yang  berstatus single , dan umur diatas 35 tahun yang berstatus menikah memiliki tingkat kerentanan yang tinggi terjadinya default pada kartu kredit.
b. Kerentanan sistem didapati tidak adanya penolakan dari sistem saat transaksi melebihi batas saldo  sehingga  menjadikan  tingkat  kerawanan  yang  tinggi  untuk  terjadinya default kartu kredit.
4. Control Analysis
Analisa kontrol dalam penilaian risiko kartu kredit dilakukan dengan memberikan batas saldo atau limit balance yang telah ditetapkan masing-masing nasabah sesuai penilaian dari bank.
5. Likelihood Determination
Pada tahap ini penentuan tingkat kemungkinan yang terjadi dikategorikan pada tabel 6.
Tabel 6. Penentuan kemungkinan Tingkat Kemungkinan Pengguna kartu kredit Tinggi Sistem dari kartu kredit Sedang 6. Impact Analysis Penentuan dampak pada pada penelitian ini dapat dilihat pada tabel 7. Tabel 7. Tingkat dampak Tingkat Dampak Pengguna kartu kredit Tinggi Sistem dari kartu kredit Tinggi 7. Risk Determination
Penentuan risiko pada data temuan akan dianalisis sesuai  dengan tahapan analisis pada tabel 4 untuk  didapatkan  tingkat  risiko  sesuai  dengan  data  temuan.  Tingkat  risiko  pada  penelitian  ini terdapat pada tabel 8.
Tabel 8. Tingkat risiko Jenis Risiko Kemungkina n Dampak Tingkat Risiko Pengguna kartu kredit Tinggi Tinggi Tinggi Sistem kartu kredit Sedang Tinggi Tinggi 8. Control Recommendations
Rekomendasi kontrol pada penelitian ini adalah sebagai berikut:
a. Nasabah  sebaiknya  sebijak  mungkin  dalam    menggunakan  kartu  kredit  dengan memperhatikan batas saldo  yang dimiliki terutama untuk nasabah dengan umur 21 hingga 35  tahun  yang  belum  menikah  dan  nasabah  dengan  umur  lebih  dari  35  tahun  yang  sudah menikah.
b. Untuk  sistem  kartu  kredit  yang  diterbitkan  oleh  pihak  penerbit  atau  bank  sebaiknya melakukan penolakan transaksi yang dilakukan nasabah jika transaksi melebihi batas saldo.

## 9. Results Documentation
Hasil  dari  penilaian  risiko  didokumentasikan  berupa  profil  risiko  yang  dapat  mengancam keberlangsungan organisasi dan nasabah yang terkait default kartu kredit. Hasil dari rekomendasi kontrol dapat dijadikan solusi dan mitigasi risiko dapat dijadikan tindak lanjut proses berikutnya.
Tabel 9. Dokumentasi Hasil Jenis Risiko Kemungkinan Dampak Tingkat Risiko Pengendalian Pengguna kartu kredit Tinggi Tinggi Tinggi Nasabah  sebaiknya  sebijak  mungkin  dalam menggunakan kartu kredit dengan memperhatikan  batas  saldo  yang  dimiliki terutama untuk nasabah dengan umur 21 hingga 35  tahun  yang  belum  menikah  dan  nasabah dengan umur diats 35 tahun yang sudah menikah Sistem kartu kredit Sedang Tinggi Tinggi Untuk sistem kartu kredit yang diterbitkan oleh pihak  penerbit  atau  bank  sebaiknya  melakukan penolakan transaksi yang dilakukan nasabah jika transaksi melebihi batas saldo

## 3.2.  Risk Mitigation
Proses mitigasi resiko dari penelitian ini sebagai berikut:
a. Perlunya sistem monitoring untuk nasabah dengan faktor demografi sebagai acuan.
b. Penolakan transaksi saat transaksi mencapai jumlah limit balance .
c. Sistem peringatan dan pemberitahuan kepada nasabah yang melakukan tunggakan dalam waktu 1 hingga 2 bulan atau sebelum 6 bulan.
d. Adanya sistem pengurangan limit balance jika didapati nasabah yang melakukan penunggakan dalam 2 bulan atau 3 bulan.
e. Perlu monitoring khusus atau sistem monitoring untuk mengawasi default sebelum default kartu kredit terjadi agar terhindar dari hal yang dapat merugikan organisasi dan nasabah.

## 3.2.  Risk Evaluation
Pihak terkait kartu kredit perlu melaksanakan evaluasi risiko yang dapat berpotensi pada default kartu kredit agar dapat mengurangi risiko dari default kartu kredit. Evaluasi dapat dilakukan setiap bulan terhadap akun nasabah yang mengalami tunggakan pembayaran dan mengevaluasi sistem peringatan terhadap nasabah telat bayar agar sistem bisa lebih handal dan tidak menjadi faktor penyebab kerugian organisasi.

## 4. Kesimpulan
Hasil manajemen risiko terhadap default kartu kredit yang dapat merugikan pihak penerbit kartu kredit atau  organisasi  diantaranya:  Pengguna  kartu  kredit  yang  berusia  21-35  tahun  dengan  status  belum  menikah dengan  riwayat  pendidikan  S1  dan  sudah  bekerja  dan  pengguna  kartu  kredit  yang  berusia  diatas  35  tahun berstatus sudah menikah, Pendidikan terakhir S1 dan bekerja memiliki tingkat risiko tinggi. Sistem kartu kredit yang diterbitkan memiliki tingkat risiko tinggi untuk default karena meloloskan transaksi yang melebihi limit balance.

## Referensi
[1] Purnomo A. Mengenal Fintech sebagai Inovasi Bisnis Keuangan. 2019;
[2] Rimenda T, Listiawati R. Pengaruh Diskon dan Penggunaan Kartu Kredit Terhadap “Compulsive Buying.” Jurnal Akuntansi, Keuangan dan Perbankan. 2013;1(1):56–60.
[3] Salsabila SS. Eksistensi Kartu Kredit Dengan Adanya Electronic Money (E-Money) Sebagai Alat Pembayaran Yang Sah. Jurnal Privat Law. 2018;6(1):24–33.
[4] Malelak MI, Memarisa G, Anastasia N. Pengaruh Faktor Demografi Terhadap Perilaku Penggunaan Kartu Kredit. Inovbiz: Jurnal Inovasi Bisnis. 2016;4(2).
[5] Gunawan  S,  Yupie  K.  Mitigasi  risiko  aset  dan  komponen  teknologi  informasi  berdasarkan  kerangka  kerja OCTAVE dan FMEA pada Universitas Dian Nuswantoro. Journal of Information System. 2017;9(2).
[6] Nugraha U. Manajemen Risiko Sistem Informasi Pada Perguruan Tinggi Menggunakan Kerangka Kerja Nist Sp 800-300. Seminar Nasional Telekomunikasi dan Informatika (SELISIK 2016). 2016;ISSN : 250(Selisik).
[7] Syalim  A,  Hori  Y,  Sakurai  K.  Comparison  of  risk  analysis  methods:  Mehari,  magerit,  NIST800-30  and microsoft’s security management guide. In: Proceedings - International Conference on Availability, Reliability and Security, ARES 2009. 2009.
[8] Stonebumer  G,  Goguen  A,  Feringa  A.  NIST  Special  Publication  800-30  -  Risk  Management  Guide  for Information Technology Systems. NIST Special Publication 800-30. 2002;(July).
[9] Nurochman  A.  Manajemen  Risiko  Sistem  Informasi  Perpustakaan  (Studi  Kasus  di  Perpustakaan  Universitas Gadjah Mada). Berkala Ilmu Perpustakaan dan Informasi. 2016;10(2).
[10] I. C. Yeh & C. Hui Lien. The comparison of data mining technique  for predictive accuracy of probability of default of credit card client. Expert Syst. Appl., 2009;36 (2).