## ASSESSMENT RISK TERHADAP PENGGUNAAN SISTEM INFORMASI AKADEMIK UNIVERSITAS EA MENGGUNAKAN METODE ISO 27001
Enggi Ardius 1 , Dedy Syamsuar 2 1,2 Universitas Bina Darma, Palembang e-mail: 1 enggi.ardius1@gmail.com, 2 dedy_syamsuar@binadarma.ac.id

## Abstrak
Universitas EA merupakan instansi swasta yang berkecimpung dalam dunia pendidikan yang  membutuhkan  peran  teknologi  informasi  (TI)  dalam  melaksanakan  proses  bisnisnya. Sistem yang digunakan oleh civitas akademika baik dosen, mahasiswa maupun pengelola yaitu Sistem  Informasi  Akademik  (SISFO).  Dalam  menggunakan  sistem  ini  tidak  terlepas  dari permasalahan  yag  terjadi  yang  dapat  menimbulkan  risiko  pada  aset  TI  (Data, software ,hardware ,  SDM  dan  sarana  pendukung)  seperti  adanya  kerusakan  pada  aset,  kesalahan  atau manipulasi  data  dan  layanan  yang  tidak  bisa  diakses.  Tujuan  dari  penelitian  ini  adalah melakukan penilaian risiko terhadap ancaman, kelemahan dan kerentanan yang menyerang aset TI  dengan  melakukan  evaluasi  dan  penanganan  risiko  serta  diperlukan  standar  untuk mengurangi dan meminimalisir  risiko. Standar  yang digunakan  adalah ISO/IEC 27001 sebagai kerangka  kerja  untuk  mengidentifikasi  ancaman,  kerentanan,  kemungkinan  terjadi (probabilitas), menentukan  dampak,  evaluasi  dan  penilaian  risiko  berdasarkan  hasil  dari observasi, wawancara dan dokumentasi . Hasil akhir dari penelitian ini terdapat aset yang harus dilindungi  yaitu  data  dengan  nilai  aset  11,  server  dan  sistem  informasi  akademik  dengan  nilai aset  12,  kemudian  mengevaluasi  level  risiko  bernilai  tinggi,    menentukan  penanganan  risiko berupa  dokumen  penilaian  beserta  penyusunan  kontrol  risiko  untuk  menjamin  keamanan  pada aset TI.
Kata Kunci : Sistem Informasi Akademik; Identifikasi Risiko; Penilaian Risiko; Penanganan Risiko; ISO 27001.

## Abstract
EA university is a private educational institution which requires the use of information technology  in  running  its  business.  The  sistem  used  by  the  academic  staff  and  students  is  " Academic  Information  System  "  (SISFO).  The  operation  of  the  system  may  generate  several problems leading to the risks of TI (Data, Software, Hardware, HRD, and supporting facilities) such as the damage of the asset, data manipulation, and unaccessible service. The objective of the research is assessing the risks towards the threats, the drawbacks and the vulnerability of TI assets  by  evaluating  and  handling  the  risks  through  the  use  of  standard  of  decreasing  and minimizing the risks. The  ISO/IEC 27001 is the standard used as the framework to identify the threats, vulnerability, probability, the effects, evaluation and risk assesment based on the result of observation, interview, and documentation. The results showed there were assets need to be protected such as data with asset value 11, server and academic information system with asset value 12. Then, evaluating the risk level which was considered high, determining how to handle the risks in the form of assessment evaluation document as well as arranging the control of the risks to quarantee the security of TI assets.
Keywords : Academic Information System, Risk Identification, Risk Assessment, Risk Management, ISO 27001.

## I. PENDAHULUAN
Dalam  era  global  saat  ini  penerapan Teknologi Informasi dan Komunikasi (TIK) sudah  menjadi  kebutuhan  dan  keharusan  di setiap  instansi  khususnya  pada  instansi pendidikan yaitu Universitas EA. Salah satu sistem  yang  terkoneksi  dengan  TIK  adalah Sistem  Informasi  Akademik  (SISFO)  maka proses bisnis akan menjadi lebih cepat, dan mudah  sehingga  semua  aktifitas  didalam Universitas PGRI Palembang  akan berjalan dengan  baik.  Aktivitas  yang  biasanya dilakukan melalui Sistem Informasi Akademik (SISFO) seperti kalender akademik, pembayaran, penjadwalan, pendaftaran  mahasiswa  baru,  master  data dosen,  mahasiswa,  biaya  kuliah,  dan  lain- lain.  Sistem  Informasi  Akademik  (SISFO) di  Universitas  EA  terdiri  dari  beberapa komponen  antara  lain  perangkat  keras, perangkat  lunak,  sumber  daya  manusia  dan sarana  pendukung.  Sampai  saat  ini  Divisi IT  belum  keseluruhan  melakukan  kontrol analisa  penyebab  terjadinya  permasalahan yang  muncul  pada  aset  TI  diantaranya server  sering  mengalami  down  mendadak disebabkan  oleh  listrik  mati  dan  ruangan panas, kurangnya kesadaran dalam melakukan  backup  data  baik  aplikasi maupun  database,  kurangnya  kesadaran operasional  pengguna  SISFO  yang  salah, kurangnya pengawasan dalam update sistem  aplikasi  dan  buka  tutup  port2  pada server, tidak adanya firewall (keamanan) di server,  kurangnya  pengawasan  penggunaan hak  akses  dan  memonitring  bugs  dan  error pada aplikasi secara berkala. Pada penelitian sebelumnya tentang permasalahan  yang  pernah  ada  di  SI Akademik Universitas XYZ seperti berkaitan dengan
celah kerawanan keamanan  informasi.  Jika  permasalahan  ini tidak dapat diperbaiki secara berkelanjutan, alhasil  akan  memberikan  dampak  ataupun risiko  kepada  keberlangsungan  sistem  ini [1].  Penelitian  sebelumnya  juga  penyebab
utamanya  adalah  kurangnya  kesadaran institusi  perguruan  tinggi  tentang  resiko yang akan muncul apabila tidak dilakukanya  penilaian  resiko.  Sebagai contoh resiko yang muncul adalah
kebocoran  data,  informasi,  dan  adanya gangguan teknis yang mempengaruhi
proses  bisnis  dalam  institusi  perguruan tinggi [2].
Untuk  mengatasi  hal  diatas  perlunya identifikasi ancaman, kerentanan, kemungkinan terjadi (probabilitas),
menentukan  dampak,  penilaian  risiko, pengendalian atau kontrol dan dokumentasi hasil  menggunakan  Standar  ISO  27001  ini sangat  fleksibel  karena  sangat  bergantung pada  kebutuhan  organisasi,  persyaratan keamanan,  proses  bisnis,  jumlah  pegawai, dan  struktur  organisasi.  Salah  satu  faktor pendukung dan pengendalian secara khusus yang  mengutamakan  faktor  keamanan informasi  saat  ini  adalah  ISO  (Intenational Organization  for  Standardization)  27001 [3].  Hasil  akhir  dari  tujuan  penelitian  ini terdapat  aset  yang  harus  dilindungi, kemudian mengevaluasi level risiko bernilai tinggi,    menentukan  penanganan  risiko berupa dokumen penilaian beserta penyusunan  kontrol  risiko  untuk  menjamin keamanan pada aset TI.

## II. TINJAUAN PUSTAKA

## 2.1 Sistem Informasi
Sistem  informasi  adalah  kumpulan dari elemen-elemen  atau Orang-orang yang berhubungan satu sama lain yang membentuk  satu  kesatuan  yang  saling terintegrasi,  pemrosesan,  Menyimpan  dan mendistribusikan  informasi  [4].  Sistem informasi merupakan kombinasi dari teknologi  informasi  &  kegiatan  orang  yg memakai  teknologi  itu  buat  mendukung operasi  dan  manajemen  [5].    Informasi sendiri  berarti  data  yang  telah  diolah menjadi  sesuatu  yang  memiliki  arti  dan berguna bagi yang menerimanya [6].

## 2.2 Keamanan Informasi
Keamanan  informasi  adalah  proses terjaganya  aspek  keamanan  informasi  yang meliputi  aspek  kerahasiaan,  keutuhan  dan ketersediaan  data  dan  informasi  [7]  . Menurut [8]  keamanan informasi mengacu pada proses dan metodologi yang dirancang dan dilaksanakan untuk melindungi informasi  elektronik  atau  bentuk  lainnya yang  bersifat  rahasia,  informasi  pribadi serta  data  yang  sensitif  dari  akses  yang tidak  sah,  penyalahgunaan,  pengungkapan, perusakan  dan  modifikasi  serta  gangguan. Keamanan  informasi  adalah    upaya  untuk melindungi  aset      Informasi  milik perusahaan dari ancaman dunia maya [9].

## 2.3 Karakteristik

## Keamanan

## Informasi
Keamanan informasi juga memiliki 3 karakteristik  penting  yang  disebut  dengan singkatan CIA yaitu :
1. Confidentiality /  kerahasiaan:  merupakan landasan  utama  dalam  setiap  kebijakan keamanan sistem informasi, yaitu seperangkat aturan yang diberikan, menentukan  apakah  suatu  subjek  tertentu dapat mendapatkan akses ke objek tertentu.
2. Integrity / kepercayaan: merupakan
kepercayaan  terhadap  sebuah  informasi yang ada. Keaslian informasi dapat terwujud  jika  informasi  belum  dirubah perubahan perubahan terjadi karena
kesalahan secara sengaja maupun tidak.
3. Availability /  ketersediaan:  merupakan ketersediaan sumber informasi ketika dibutuhkan. Ketersediaan
ini dapat terpengaruh oleh faktor teknis, faktor alam, dan faktor manusia.

## 2.4 Sistem Informasi Akademik
Sistem  Informasi  Akademik  adalah merupakan suatu sistem yang dirancang dan dibangun untuk keperluan akademik dengan menggunakan  teknologi  komputer  baik
hardware maupun software sehingga seluruh  proses  kegiatan  akademik  dapat berjalan dengan baik dan menjadi informasi yang bermanfaat dalam pengelolaan manajemen perguruan tinggi dan
pengambilan keputusan-keputusan bagi
pengambil  keputusan  atau  top  manajemen di lingkungan perguruan tinggi [10].

## 2.5 Standar ISO/IEC 27001
ISO  (International    Organization    for
Standarzitation)
adalah pengembang terbesar   di   dunia   standar   international secara    sukareIa.    Standar    international memberikan  keamanan      yang      lebih spesifik,   layanan   yang   baik, membantu industriIebih efisien dan efektif [11].

## 2.6 Risiko
Risiko  adalah  sebagai  kans  kerugian
(the chance of loss) , kemungkinan kerugian
(the  possibility  of  loss), ketidakpastian (uncertainty), penyimpangan kenyataan dari hasil  yang  diharapkan (the  dispersion  of actual  from  expected  result) ,  probabilitas bahwa  suatu  hasil  berbeda  dari  yang diharapkan (the  probability  of  any  outcome different from the expected) [12] .
Risiko  terdiri  atas  tiga  faktor,  antara  lain [13].
1. Aset (asset)
Aset  terbagi  atas  dua  jenis  yaitu tangible berupa  aset  berbentuk  yang  memiliki  nilai finansial  seperti  uang,  gedung, hardware , software ,  serta  pegawai.  Sedangkan  aset intangible dapat  berupa data ,  catatan,
dokumen yang berbentuk hardcopy ataupun softcopy
2. Ancaman ( Threat)
Ancaman merupakan keadaan dan  kejadian yang  memiliki  kemungkinan  atau  juga  bisa diartikan potensi hilang dan kerusakan pada aset.
3. Kerentanan( vulnerability)
Kerentanan  merupakan  kelemahan  dari sebuah  aset  atau  desain  infrastruktur, implementasi,  aktivitas  operasional  yang dapat  dimanfaatkan  oleh  pihak  yang  tidak bertanggung jawab.

## 2.7 Manajemen Risiko
Manajemen  risiko  adalah  proses mengidentifikasi,  menilai,  dan  melakukan tindakan  untuk  mengurangi  risiko  ke tingkat yang dapat diterima oleh organisasi. Manajemen risiko terdiri dari tiga
komponen [13].
1. Identifikasi risiko
Mendokumentasikan  risiko  untuk  aset informasi yang dimiliki oleh organisasi.
2. Penilaian Risiko
3.Tentukan  dampak  risiko  pada  aset informasi di organisasi Anda.
4. Risk Control (Pengendalian Risiko)
Menerapkan  manajemen  untuk  mengurangi risiko  aset  informasi  ke  tingkat  yang  dapat ditoleransi  oleh  organisasi.  Manajemen risiko  adalah  proses  organisasi    untuk meminimalkan  risiko  keamanan  informasi dan  bertujuan  untuk  mengurangi  potensi risiko dan dampak risiko.

## 2.8 Penilaian Risiko
Pada  tahap  ini  menentukan  tingkat ancaman paling tinggi, keseringan
ancaman, dan deteksi. Tahapan ini dilakukan dengan mendeskripsikan
informasi  secara  lebih  dalam  terhadap risiko  yang  telah  diidentifikasi  [14]. Penilaian  risiko  harus  dilakukan  secara sistematis,  iteratif,  dan  kolaboratif,  dengan memanfaatkan pengetahuan dan pandangan para  pemangku  kepentingan.  Penilaian risiko  secara  kualitatif  dilakukan  dengan mengukur atau menggambarkan  risiko dan
memungkinkan
manajer
untuk
memprioritaskan  risiko  berdasarkan  tingkat keparahan  yang  dirasakan  atau  kriteria tertentu lainnya [15].

## 2.9. Kriteria Penilaian
Kriteria  evaluasi  penilaian  igunakan untuk  mengidentifikasi  situasi/dampk  yang mempengaruhi  organisasi.  Kriteri  harus mencerminkan  nilai,  tujuan,  dansumber daya  organisasi.  penilaian  berdasaran  aset, probabilitas, dan dampak.

## 2.9.1. Nilai Aset CIA
Agar  aset  CIA  terjaga  kedepannya tentu  harus  dilakukan  perhitungan  nilai aset  dengan  3  aspek  komponen,  yaitu kerahasiaan  (confidentiality),  keutuhan (Integrity) dan ketersediaan (availiability).
Dibawah  ini  rumus  perhitungan nilai aset sebagi berikut.
NA = NC + NI + NV/3 NA : Nilai Aset NC : Nilai Convidentiality NI : Nilai Integrity NV : Nilai Avaliability

## 2.9.2.
Nilai Aset BIA Selanjutnya  merupakan  melakukan identifikasi ancaman & kelemahan
terhadap masing-masing aset, lalu memilih nilai rata-rata kerentanan/kecendrungan (probabilitas) kemunculan ancaman & kelemahan menggunakan  memakai  rentang  nilai menjadi berikut :
Tabel 1. Penilaian probabilitas
No Kriteria Probabilitas Bobot Nilai 1. Low 0,0 – 0,3 2. Medium 0,4 – 0.6 3. High 0,7 – 1,0 Selanjutnya menentukan analisa
dampak  bisnis  atau  yang  sering  disebut Business  Impact  Analysis  (BIA).  Kriteria penilaian  untuk  BIA  dapat  dilihat  pada tabel 2 dibawah ini :

## Tabel .2 Kategori Penilaian Dampak Risiko
Batas Toleransi Gangguan Keterangan Nilai < dari 1 Minggu Not very low 0-20 / 0 1hr s/d 2hr Low 21-40 / 1 < 1hari Medium 41-60 / 2
< 12 jam High 61-80 / 3 < 1 jam Very high 81>=100 /4 Untuk dapat mengetahui dan
menentukan  risiko  yang  diterima  maka perlu  dilakukan  perhitungan  dengan  rumus sebagai berikut Nilai Resiko = NA X BIA X NT
1. NA: Nilai Aset 2. BIA: analisis dampak bisnis
3. NT: Nilai ancaman

## 2.10. Evaluasi Risiko
Proses evaluasi risiko akan
menentukan risiko-risiko mana yang memerlukan  perlakuan  dan  bagaimana
prioritas perlakuan atas risiko-risiko tersebut  dengan  mengacu  pada  “kriteria risiko”. Dengan kata lain hasil dari evaluasi risiko  menunjukkan  peringkat  risiko  yang memerlukan  penanganan  (mitigasi)  lebih lanjut  dengan  mengacu  pada  tingkat  risiko yang dapat diterima [16].

## III. METODOLOGI PENELITIAN
Metodologi  yang  digunakan  adalah penelitian  kualitatif  dengan  pendekatan deskriptif. Pengumpulan data melalui observasi, wawancara dan studi pustaka.
Gambar 1. Flowchart penelitian
Pada  Gambar  1  diperlihatkan  tahapan  yang dilakukan  pada  penelitian  ini.  Penelitian dimulai dengan pengumpulan data kejadian/gangguan yang terjadi. Data diteliti berupa data aset, berikutnya tahapan asessment risk dengan menggunakan kerangka pikir ISO 27001. Framework ISO 27001 digunakan untuk melakukan identifikasi  risiko  yang  ada  pada  SISFO. Berikutnya  dilakukan  analisis  risiko  untuk melihat  ancaman-ancaman  yang  terjadi. Tahapan terakhir yaitu evaluasi risiko untuk melihat  besarnya  nilai  dan  level  risiko sehingga dibuat penanganan untuk mengatasi  risiko  terjadi  dan  membuat kebijakan kontrol keamanan untuk mencegah  dan  meminimalisir  risiko  terjadi dimasa depan.

## 3.1. Metode Pengumpulan Data
3.1.1. Observasi Metode observasi adalah
metode  mengamati  secara  langsung subjek  dan  mengumpulkan  data  pada objek yang akan diteliti  [17]. Metode observasi  dilakukan  dengan  cara mengamati  secara  langsung  dimana penelitian  dilakukan.  Dalam  hal  ini, penelitian  dilakukan  di  Universitas PGRI Palembang.

## 3.1.2. Wawancara
Wawancara  adalah  pertemuan dua  orang  yang  bertukar  informasi dan ide melalui tanya jawab sehingga mereka  dapat  membangun  topik tertentu  secara  bermakna,  dalam penelitian ini, peneliti akan wawancarai informan yang menggunakan video call dalam berkomunikasi (Binus 2014). Wawancara dilakukan oleh pewawancara (peneliti) dengan terwawancara (informasi utama) dalam hal ini adalah Kepala Divisi IT Infokom,  Kasubbag  Analisis  Data Infokom,  Pengembang  aplikasi  dan bebarapa  staf  teknisi  yang  terkait dengan aplikasi sisfo pada Universitas EA.

## 3.1.3. Studi Pustaka
Mengumpulkan  data  dengan melihat  langsung  ke  sumbernya dokumen  terkait.  Dengan  kata  lain, perolehan  data  melalui  dokumen tertulis  atau  elektronik  dan  catatan lain  yang  berkaitan  dengan  karya yang  dikaji  sehingga  data  tersebut dapat dipertanggungjawabkan.

## 3.2. Instrument Penelitian
Instrumen  penelitian  dapat  diartikan cara  peneliti  untuk  mengukur  fenomena alam  dan  sosial  yang  diamati.  Selain  itu mengemukakan bahwa Instrumen penelitian adalah  alat  pengukur  yang  merupakan faktor  penting  dalam  menghimpun  data yang diharapkan dalam suatu penelitian.

## 3.3. Teknik Analisis Data
Data  yang  berasal  dari  naskah, wawancara,  catatan  lapangan,  dokuman, dan  sumber  lainnya  kemudian  dijelaskan untuk  memberikan  kejelasan  atas  suatu pernyataan atau kenyataan.

## IV. HASIL DAN PEMBAHASAN

## 4.1. Hasil Identifikasi Aset
Identifikasi  kerentanan  aset  adalah identifikasi peluang peristiwa  atau  kejadian yang  dapat  menciptakan  ancaman  terhadap aset  yang  mengganggu  jalannya  sistem informasi.  Jenis  aset  dan  nilai      dari masing-masing      aset  yang  diperoleh  dari hasil  wawancara  dan  observasi,  disajikan pada tabel berikut.
Tabel 3. Daftar Aset Universitas EA
Kategori Aset TI Nama Aset TI Universitas PGRI Palembang Data Data Mata Kuliah Data Pembayaran Data Nilai Data Mahasiswa Data Dosen Data Pengelola Perangkat Lunak (Software) OS Windows 2010 SQL Server 2016 SSL Sistem Informasi Akademik Domain Perangkat Keras (Hardware) PC Monitor Server Mikrotik
Router Switch
Modem Akses Poin Jaringan Internet Sumber Daya Manusia (Brainware) Pengelola SISFO Pengguna SISFO Sarana Pendukung Genset UPS AC
4.2. Hasil Nilai Aset CIA Perhitungan hasil nilai aset didapatkan dari  tabel 1 dengan menghitung nilai Confidentiality, Integerity dan Avaibility,  dengan  menggunakan  rumus
NA=NC+NI+NV  dengan  hasil  sebagai berikut : Tabel 4. Nilai Aset CIA No Nama Aset Kriteria Nilai Aset C I A 1. Data (Mata Kuliah, Pembayaran, Nilai, Mahasiswa, Dosen, Pengelola) 4 4 3 11 2. OS Windows 2010 3 4 3 10 3. Sistem Informasi Akademik 4 4 4 12 4. SQL Server 2016 3 4 3 10 5. PC 2 3 4 9 6. Laptop 2 3 4 9 7. Server 4 4 4 12 8. Mikrotik 3 3 4 10 9. Router 3 3 4 10 10. Switch 3 2 4 9 11. Modem 2 2 4 8 12. Akses Point 2 2 4 8 13. Pengelola SISFO 4 3 3 10 14. Pengguna SISFO 4 3 3 10 15. Jaringan Internet 3 3 4 10 16. Genset 2 2 4 8 17. UPS 2 2 4 8 18. AC 2 2 4 8

## 4.3.  Hasil  Identifikasi  Ancaman  dan Kelemahan
Hasil  identifikasi  ancaman  yang mungkin terjadi dan membahayakan sistem
pada  Sistem  Informasi  Akademik  EA disajikan pada tabel 5 berikut.
Tabel. 5. Probabilitas dan Nilai Ancaman (NT) No Nama Aset Ancaman/ Kelemahan Probability Nilai Rata2 Probability Nilai Ancaman (NT) 1. Data Kelalaian menjaga username dan password/akses ilegal Medium 0,4 2,1/5=0,42 Kesalahan input Low 0,3 Data hilang/rusak Low 0,3 Manipulasi data Medium 0,4 Serangan virus High 0,7 2. OS Windows 2010 Kesalahan konfigurasi dan instalasi Medium 0,5 2/4=0,50 Serangan virus High 0,7 OS tidak diupdate Medium 0,4 Kelalaian menjaga username dan password/akses ilegal Medium 0,4 3. Sistem Informasi Akademik (Aplikasi) Bugs/Error aplikasi/database Low 0,3 2/5=0,40 Serangan virus High 0,7 Kelalaian menjaga username dan password/akses ilegal Medium 0,4 Kesalahan konfigurasi Aplikasi/database Low 0,3 Sistem tidak dapat diakses Low 0,3 4. SQL Server 2016 Serangan virus High
0,7
1,7/4=0,43
Kelalaian Kelalaian menjaga username dan password/akses ilegal Medium 0,4 Kesalahan konfigurasi dan database Low 0,3 Database tidak dapat diakses Low 0,3 5. PC
Pencurian PC Low
0,3
2,1/4=0,53
Kerusakan hardware/Software Medium 0,4 Serangan virus High 0,7 Kelalaian Kelalaian menjaga username dan password/akses ilegal High 0,7 6. Laptop
Pencurian PC Low
0,3 2,1/4=0,53 Kerusakan hardware/Software Medium 0,4 Serangan virus High 0,7 Kelalaian Kelalaian menjaga username dan password/akses ilegal High 0,7 7. Server Serangan virus High
0,7 2,4/6=0,40 Server down Low 0,3 Akses Ilegal Medium 0,4 Kerusakan server Low 0,3 Pencurian server Low 0,3 Kesalahan konfigurasi Server Medium 0,4 8. Mikrotik Akses Ilegal Low 0,3 2,4/6=0,40 Kesalahan konfigurasi Medium 0,4
mikrotik Serangan virus High 0,7 Kerusakan mikrotik Medium 0,4 Ddos Low 0,3 Pencurian mikrotik Low 0,3 9. Router Akses Ilegal Low 0,3 2,4/6=0,40 Kesalahan konfigurasi mikrotik Medium 0,4 Serangan virus High 0,7 Kerusakan mikrotik Medium 0,4 Ddos Low 0,3 Pencurian mikrotik Low 0,3 10. Switch Kesalahan konfigurasi mikrotik Medium 0,4 1,7/4=0,43 Pencurian mikrotik Low 0,3 Akses Ilegal Low 0,3 Serangan virus High 0,7 11. Modem Kesalahan konfigurasi modem Medium 0,4 1/3=0,33 Kerusakan modem Low 0,3 Pencurian modem Low 0,3 12. Akses Point Pencurian Akses Point Medium 0,4 1/3=0,33 Kesalahan konfigurasi modem Low 0,3 Kerusakan modem Akses Point Low 0,3 13. Pengelola SISFO Kelalaian Kelalaian menjaga  username  dan password/akses ilegal High 0,7 1,3/3=0,43 Manipulasi data Low 0,3 Kurangnya kontrol sistem Low 0,3 14. Pengguna SISFO Kelalaian Kelalaian menjaga  username  dan password/akses ilegal High 0,7 1/2=0,50 Manipulasi data Low 0,3 15. Jaringan Internet Akses Ilegal Low 0,3 1,3/4=0,33 Penggalian  pipa  bawah tanah Low 0,3 Ddos Low 0,3 Pembobolan jaringan Medium 0,4 16. Genset Kerusakan genset Low 0,3 0,9/3=0,30 Pencurian genset Low 0,3 Pengawasan kurang Low 0,3 17. UPS Kerusakan UPS Low 0,3 1,1/4=0,28 Pencurian UPS Low 0,1 Pengawasan kurang Low 0,3 Listrik tidak stabil Medium 0,4 18. AC Listrik tidak stabil Medium 0,4 1,1/3=0,37 Pengawasan kurang Low 0,3 Kerusakan AC Medium 0,4

## 4.4. Hasil  Identifikasi  Dampak  Nilai BIA
Langkah  selanjutnya  adalah  dengan menentukan  nilai  BIA  dari  masing-masing aset.  Dari  hasil  wawancara  dan  observasi didapatkan  nilai  BIA  seperti  terlihat  pada tabel 6 dibawah ini.

## Tabel. 6. Nilai BIA
No Nama Aset Dampak Nilai BIA Skala BIA 1. Data (Mata Kuliah, pembayaran, nilai, mahasiswa, dosen, pengelola) Perkuliahan terhambat karena data pembayaran, nilai, mahasiswa, dosen, pengelola hilang 4 Very High Critical 2. OS Windows 2010 Aplikasi tidak berfungsi dan error 3 High Critical 3. Sistem Informasi Akademik Menghambat proses belajar dan mengajar terganggu 4 Very High Critical 4. SQL Server 2016 Database tidak bisa diakses 3 High Critical 5. PC Tidak bisa monitoring sistem karena gangguan 2 Medium Critical 6. Laptop Tidak bisa monitoring sistem karena gangguan 2 Medium Critical 7. Server Sistem inforasi akademik tidak bisa diakses 4 Very High Critical 8. Mikrotik Jaringan tidak berfungsi dan terganggu mengakses aplikasi 3 High Critical 9. Router Jaringan tidak berfungsi dan terganggu mengakses aplikasi 3 High Critical 10. Switch Jaringan tidak berfungsi dan terganggu mengakses aplikasi 3 High Critical 11. Modem Jaringan mati 3 High Critical 12. Akses Point Jaringan tidak berfungsi dan terganggu mengakses aplikasi 2 Medium Critical 13. Pengelola SISFO Monitoring dan update aplikasi dan data terganggu 3 High Critical 14. Pengelola SISFO Tidak bisa mengakses sisfo 2 Medium Critical 15. Jaringan Jaringan tidak berfungsi dan terganggu mengakses aplikasi 3 High Critical 16. Genset Semua perangkat hardware dan software terhambat karena tidak ada suplai listrik 2 Medium Critical 17. UPS Semua perangkat hardware dan software mati mendadak dan bisa corrup karena tidak ada jeda waktu down otomatis 3 High Critical 18. AC Perangkat panas dan heng/error 3 High Critical 4.5. Hasil Identifikasi Kerentanan Risiko (Vulnerability) Hasil  identifikasi  kerentanan  yang
terjadi  pada  Sistem  Informasi  Akademik EA  yang  diperoleh  dari  hasil  wawancara disajikan pada tabel 7 berikut. Tabel. 7. Identifikasi Kerentanan No Jenis Risiko Kerentanan 1. Berasal Dalam Lingkungan - Kurangnya kesadaran dalam menjaga password/tidak keluar dalam aplikasi - Kurangnya pelatihan dalam mengoperasikan SISFO - Keterlambatan dalam update aplikasi, software dan antvirus - Kurangnya pengawasan dan keamanan dalam penyimpanan perangkat software dan hardware - Penempatan perangkat yang tidak aman/rawan bencana
- Tegangan listrik tidak stabli - Ruangan panas/AC mati - Kurangnya pengawasan sistem kemananan perangkat keras dan
pernagkat lunak secara berkala
- Kurangnya pemeriksaaan terhadap
data-data penting - Kurangnya pemahaman dan kesadaran terhadap data yang ada pada sisfo 2. Berasal dari luar - Scanning Tools,
lingkungan Phising 3. Bencana Alam - Gempa Bumi - Kebakaran 4.6. Hasil  Nilai  Risiko  dan  Level Risiko Selanjutnya menghitung Nilai Resiko dari NA, BIA dan NT serta mengelompokkan  berdasarkan  level  risiko terdapat pada tabel 8 berikut.
Tabel. 8. Nilai Risiko
No Nama Aset Nilai Aset Nilai BIA Nilai Ancaman Nilai Risiko Level Risiko 1. Data (Mata Kuliah, pembayaran, nilai, mahasiswa, dosen, pengelola) 11 4 0,42 18.48 High 2. OS Windows 2010 10 3 0,50 15 Medium 3. Sistem Informasi Akademik 12 4 0,40 19.2 High 4. SQL Server 2016 10 3 0,43 12.9 Medium 5. PC 9 2 0,53 9.54 Low 6. Laptop 9 2 0,53 9.54 Low 7. Server 12 4 0,40 19.2 High 8. Mikrotik 10 3 0,40 12 Medium 9. Router 10 3 0,40 12 Medium 10. Switch 9 3 0,43 11.61 Low 11. Modem 8 3 0,33 7.92 Low 12. Akses Point 8 2 0,33 5.28 Very Low 13. Pengelola SISFO 10 3 0,43 12.9 Medium 14. Pengguna SISFO 10 2 0,50 10 Low 15. Jaringan 10 3 0,33 9.9 Low 16. Genset 8 2 0,30 4.8 Very Low 17. UPS 8 3 0,28 6.72 Low 18. AC 8 3 0,37 8.88 Low

## 4.7. Hasil Evaluasi Risiko

## Tabel. 9. Level Risiko
No Nama Aset Level Risiko 1. Sistem Informasi Akademik High 2. Server High 3. Data High

## 4.8. Hasil Penanganan Risiko
Dari  hasil  evaluasi  risiko  maka  dapat dilakukan  penanganan  risiko  terhadap ancaman  dan  kelemahan  risiko  yang terdapat pada tabel 10 . Pilihan penanganan risiko  untuk  setiap  aset  menggunakan  risk retention  dan  risk  reduction  terihat  pada tabel sabagai berikut.
Tabel. 10. Penanganan Risiko
N o Nama Aset Penangana n Risiko Keterangan 1. Sistem Informas i Risk Reduction Upaya dilakukan adalah Akademi k pencegahan dan
mengurangi risiko terjadinya kerusakan pada aset dengan menentukan kontrol keamanan yang tepat (tabel.9)
2. Server
Risk Reduction 3. Data Risk Retention Upaya dilakukan adalah menerima
dan menanggung terjadinya risiko serta meminimalis ir kejadian
yang akan datang dengan menentukan kontrol keamanan yang tepat (tabel. 10)

## 4.9. Hasil Penentuan Kontrol Keamanan

## Tabel. 11. Penentuan Kontrol Keamanan
No Nama Aset Risiko yang terjadi Klausul Kontrol Keamanan 1. Data - Kelalaian menjaga username dan password/akses ilegal A.9. Kontrol akses A.9.1. Kebijakan pengendalian kontrol akses A.9.4. Pembatasan hak akses - Kehilangan data disebabkan oleh kurangnya kesadaran hak akses pengelola dan pengguna A.9. Kontrol akses A.9.1. Kebijakan pengendalian kontrol akses A.12. Keamanan Operasional A.12.1. Cek History/Log operasional - Kesalahan Input data A.12. Keamanan Operasional A.12.2. Lakukan Backup data -    Aplikasi dan database error A.14. Akuisisi, Pengembangan dan Pemeliharaan Sistem A.14.1. Pengecekan sistem (update berkala) - Rusaknya file penyimpanan data A.11. Keamanan Fisik dan Lingkungan A.11.2. Perlunya kontrol pemeliharaan peralatan A.12. Keamanan Operasional A.12.2. Lakukan Backup data - Manipulasi Data A.9. Kontrol akses A.9.1. Kebijakan pengendalian kontrol akses 2. Prangkat Lunak (Software) - Kelalaian menjaga username dan password/akses ilegal A.9. Kontrol akses A.9.1. Kebijakan pengendalian kontrol akses A.9.4.  Pembatasan hak akses -   Aplikasi dan database sering error A.14. Akuisisi, Pengembangan dan Pemeliharaan Sistem A.14.1. Pengecekan  sistem (update berkala) A.12. Keamanan Operasional A.12.2. Perlindungan log/history kejadian 3. Perangkat Keras (Hardware) - Kesalahan konfigurasi server A.12. Keamanan Operasional A.12.1. Cek History/Log operasional A.11. Keamanan Fisik dan Lingkungan A.11.2. Perlunya kontrol pemeliharaan peralatan - Pencurian Server,PC, laptop A.11.2. Perlunya kontrol
pemeliharaan peralatan - Kelalaian menjaga username dan password/akses ilegal A.9. Kontrol akses A.9.1. Kebijakan pengendalian kontrol akses A.9.4. Pembatasan hak akses 4. Sumber Daya Manusia (Brainware) - Kelalaian menjaga username dan password/akses ilegal A.9. Kontrol akses A.9.1. Kebijakan pengendalian kontrol akses A.12. Keamanan Operasional A.12.1. Cek History/Log operasional A.7. Keamanan SDM A.7.1. Peraturan bekerja A.14. Compliance (Kepatuhan) A.14.1. Sanki dan peraturan yang mengikat 5. Sarana Pendukung - Pencurian Peralatan A.11. Keamanan Fisik dan Lingkungan A.11.2. Perlunya kontrol pemeliharaan peralatan V. KESIMPULAN
Kesimpulannya adallah sebagai berikut: 1. Hasil  dari  penilaian  risiko  aset  yang bernilai  tinggi  terdapat  pada  sistem informasi  akademik,  data  dan  server
masih membutuhkan keamanan ekstra  untuk  melindungi  aset  atau informasi yang dimiliki. 2. Pada manajemen risiko telah menghasilkan  daftar  aset,  daftar ancaman,  daftar  kelemahan,  daftar kerentanan, nilai
kemungkinan
ancaman,  nilai  dampak  dan  nilai risiko serta level risiko.

## VI. SARAN
Saran  yang  dapat  diberikan  adalah sebagai berikut:
1. Dalam  penelitian  ini  hanya  berfokus pada  standar  keamanan  informasi ISO/IEC  27001.  Diharapkan  dalam penelitian  berikutnya  disertakan  juga perbandingan  manajemen  keamanan informasi  antara  ISO,  COBIT  dan standar  keamanan  informasi  yang lain agar hasil lebih optimal.
2. Usulan  manajemen  risiko  dapat diimplementasikan  dan  dilanjutkan
untuk  dibuat  pengendalian  sesuai dengan kebutuhan organisasi.

## VII. DAFTAR PUSTAKA
[1] W.  Syafitri,  “Penilaian  Risiko Keamanan  Informasi  Menggunakan Metode  NIST  800-30  (Studi  Kasus: Sistem Informasi Akademik Universitas  XYZ),” J.  CoreIT  J. Has.  Penelit.  Ilmu  Komput.  dan Teknol. Inf. , vol. 2, no. 2, p. 8, 2016,
doi: 10.24014/coreit.v2i2.2356. [2] D.  Y.  A.  Andini  and  C.  Anisa, “Analisis Penilaian Resiko Keamanan Sistem Informasi Akademik,” J.  Rekayasa  Perangkat … ,  vol.  1,  no.  1,  pp.  1–7,  2022, [Online]. Available: http://journal.aisyahuniversity.ac.id/i ndex.php/J- Rapa/article/view/manajemenriskya na [3] M. Bakri and N. Irmayana, “Analisis
Dan  Penerapan  Sistem  Manajemen Keamanan  Informasi  Simhp  Bpkp
Menggunakan  Standar  Iso  27001,”
J.  Tekno  Kompak ,  vol.  11,  no.  2,  p. 41, 2017, doi: 10.33365/jtk.v11i2.162. [4] H. T. SIHOTANG, “Sistem Informasi Pengagendaan Surat Berbasis  Web  Pada  Pengadilan Tinggi Medan,” vol. 3, no. 1, pp. 6– 9, 2019, doi: 10.31227/osf.io/bhj5q.
[5] S.  R.  C.  Nursari  and  Y.  Immanuel, “Perancangan  Sistem  Informasi Penjualan Online,” CCIT J. , vol. 11,
no.  1,  pp.  102–114,  2018,  doi: 10.33050/ccit.v11i1.563.
[6] I.  Afrianto,  T.  Suryana,  and  S. Sufa’atin, “Pengukuran dan Evaluasi Keamanan  Informasi  Menggunakan Indeks  KAMI  -  SNI  ISO/IEC 27001:2009,” J.  Ultim.  InfoSys ,  vol. 6,  no.  1,  pp.  43–49,  2015,  doi:
10.31937/si.v6i1.278.
[7] J. Andress,
The basics of information  security:  understanding the  fundamentals  of  InfoSec  in theory and practice . Syngress, 2014.
[8] N. Matondang,  I. N. Isnainiyah, and
A. Muliawatic, “Analisis Manajemen  Risiko  Keamanan  Data Sistem  Informasi    (Studi  Kasus:
RSUD  XYZ),” J.  RESTI  (Rekayasa Sist.  dan  Teknol.  Informasi) ,  vol.  2,
no.  1,  pp.  282–287,  2018,  doi: 10.29207/resti.v2i1.96. [9] A. Tiatama, “MANAJEMEN KEAMANAN INFORMASI MENGGUNAKAN INFORMATION  TECHNOLOGY INFRASTRUCTURE  LIBRARY  (
ITIL  )  v3  .  pada  D  ~  NET SURABAYA,” p. 35, 2016.
[10] A. Sevima, “Manfaat Sistem Informasi Akademik Bagi Perguruan
Tinggi  &  Mahasiswa,” sevima.com ,
2021.
[11] N. U. Handayani, M. A. Wibowo, D. P.  Sari,  Y.  Satria,  and  A.  R.  Gifari, “Penilaian  Risiko  Sistem  Informasi Fakultas Teknik Universitas Diponegoro  Menggunakan  Metode Failure  Mode  Effect  And  Analysis
Berbasis  Framework  ISO  27001,”
TEKNIK ,  vol.  39,  no.  2,  pp.  78–85, 2018.
[12] R.  Jonnius  Abdurrahman,  “(Studi
Kasus  Pada  Perusahaan  Odiva (rental VCD/DVD) Panam- Pekanbaru) Jonnius dan Rezi Abdurrahman Universitas Islam Negeri  Sultan  Syarif  Kasim  Riau,”
vol. 12, no. 2, 2013.
[13] A.  D.  L.  Sugianto,  F.  Samopa,  and H.  M.  Astuti,  “Penilaian  Dan Kontrol Risiko Terhadap Infrastruktur Dan Keamanan Informasi Berdasarkan Standar Iso/Iec  27001:2013  (Studi  Kasus: Institut Teknologi Sepuluh Nopember),” Sebatik , vol. 24, no. 1, pp. 96–101, 2020, doi: 10.46984/sebatik.v24i1.910. [14] B.  L.  Mahersmi,  M.  F.  Artowini, and  B.  C.  Hidayanto,  “Analisis Risiko  Keamanan  Informasi  dengan Menggunakan  Metode  OCTAVE dan Kontrol 27001 pada Dishubkominfo Kabupaten Tulungagung,” Semin. Nas. Sist. Inf. Indones. ,  no.  November,  pp.  181– 194, 2016.
[15] F.  Nasher,  “Perancangan  Sistem Manajemen  Keamanan  Informasi
Layanan  Pengadaan  Barang/Jasa Secara  Elektronik  (Lpse)  Di  Dinas Komunikasi Dan Informatika Kabupaten Cianjur Dengan Menggunakan Sni Iso/Iec 27001:2013,” Media J. Inform. , vol. 10,  no.  1,  pp.  1–16,  2020,  doi: 10.35194/mji.v10i1.465.
[16] Rachmania Dwi, “Penilaian Risiko – In General,” irmapa.org , 2021.
[17] P. Prasetya,  A.  F. Rochim, and  I. P. Windasari, “Desain dan Implementasi  Standar  Operasional Prosedur  (SOP)  Keamanan  Sistem Informasi Fakultas Teknik Universitas Diponegoro Menggunakan  Standar  ISO  27001,” J. Teknol. dan Sist. Komput. , vol. 3, no. 3, p. 387, 2015, doi: 10.14710/jtsiskom.3.3.2015.387- 392.