p-ISSN : 2460-3562 / e-ISSN : 2620-8989

## Analisis Manajemen Risiko Keamanan Sistem Informasi Rocketic.id menggunakan Metode OCTAVE dan FMEA
Muhammad Surya Adhi Setiawan 1 , Eristya Maya Safitri 2 , Muhammad Asyam Thoriq Taufiqurahman 3 , Muhammad Aldi Pratama 4
# Program Studi Sistem Informasi, Fakultas Ilmu Komputer, Universitas Pembangunan Nasional “Veteran” Jawa Timur
Jl. Rungkut Madya No.1, Gn. Anyar, Kec. Gn. Anyar, Surabaya, Jawa Timur 60294
1 surya.adhi.dede@gmail.com
2 maya.si@upnjatim.ac.id
3 asyamthoriq211@gmail.com
4 pratamaaldi2735@gmail.com

## Abstrak
Penelitian ini bertujuan untuk mengukur risiko keamanan informasi yang mungkin terjadi pada sistem informasi Rocketic.id,  sebuah  startup  pendidikan  di  Indonesia.  Keamanan  sistem  informasi  menjadi  krusial  dalam  era sekarang karena berkaitan dengan keberhasilan proses bisnis dan keamanan data pengguna. Metode manajemen risiko yang digunakan dalam penelitian ini adalah OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) dan FMEA (Failure Mode and Effects Analysis). Metode OCTAVE digunakan untuk mengidentifikasi ancaman, aset yang berharga, dan kerentanan dalam sistem informasi perusahaan, sementara FMEA digunakan untuk  mengidentifikasi  dan  menganalisis  potensi  kegagalan  serta  dampaknya  terhadap  sistem.  Penelitian  ini menggunakan metode pengumpulan data kualitatif melalui wawancara langsung dengan pihak Rocketic.id.
Studi sebelumnya telah menunjukkan bahwa OCTAVE dan FMEA efektif dalam mengidentifikasi dan mengurangi risiko  keamanan  informasi.  Namun,  penggunaan  kedua  metode  tersebut  dapat  rumit  dan  memakan  waktu. Penelitian  ini  akan  mengisi  kesenjangan  literatur  dengan  memberikan  analisis  komprehensif  mengenai penggunaan OCTAVE dan FMEA dalam manajemen risiko keamanan informasi di lingkungan startup. Penelitian ini juga akan mengidentifikasi tantangan yang dihadapi dalam menggunakan metode ini di lingkungan startup dan merekomendasikan strategi untuk mengatasinya.
Hasil  penelitian  ini  akan  memberikan  manfaat  bagi  Rocketic.id  dengan  memberikan  analisis  komprehensif terhadap  risiko  keamanan  informasi.  Risiko-risiko  kritis  terhadap  sistem  informasi  perusahaan  akan diidentifikasi, dan rekomendasi strategi mitigasi akan diberikan untuk mengurangi risiko-risiko tersebut. Hal ini akan  membantu  Rocketic.id  dalam  melindungi  data  sensitif  dan  mengoperasikan  sistem  informasinya  dengan lebih aman.
Kata kunci: Start-up pendidikan, Sistem Informasi, OCTAVE, FMEA, Mitigasi Resiko

## Analysis of Information Security Risk Management in Rocketic.id using OCTAVE and FMEA Method

## Abstract
This study aims to measure information security risks that may occur in the information system Rocketic.id, an educational startup in Indonesia. Information system security is crucial in today's era because it is related to the success of business processes and the security of user data. The risk management method used in this research is OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) and FMEA (Failure Mode and Effects Analysis).  The  OCTAVE  method  is  used  to  identify  threats,  valuable  assets,  and  vulnerabilities  in  corporate information systems, while FMEA is used to identify and analyze potential failures and their impact on the system. This study used a qualitative data collection method through direct interviews with Rocketic.id.
Previous  studies  have  shown  that  OCTAVE  and  FMEA  are  effective  in  identifying  and  mitigating  information security risks. However, using both methods can be complicated and time consuming. This research will fill the literature gap by providing a comprehensive analysis of the use of OCTAVE and FMEA in information security risk management in startup environments. This research will also identify the challenges faced in using this method in the startup environment and recommend strategies to overcome them.
The results of this research will benefit Rocketic.id by providing a comprehensive analysis of information security risks.  Critical  risks  to  enterprise  information  systems  will  be  identified,  and  recommendations  for  mitigation strategies will be provided to reduce these risks. This will help Rocketic.id protect sensitive data and operate its information system more securely.
Keywords: Educational start-ups, Information Systems, OCTAVE, FMEA, Risk Mitigation

## I. P ENDAHULUAN
Rocketic.id  adalah  sebuah  startup  yang  bergerak  di bidang pendidikan dengan menyediakan platform persiapan  perguruan  tinggi  dan  karier  untuk  siswa  di Indonesia.  Sistem  informasi  (SI)  perusahaan  ini  sangat penting  untuk  operasionalnya,  karena  menyimpan  dan memproses  data  sensitif  seperti  catatan  siswa,  informasi keuangan,  dan  kekayaan  intelektual.  Oleh  karena  itu, penting  bagi  Rocketic.id  untuk  secara  efektif  mengelola risiko keamanan informasi.
Dalam  konteks  ini,  penelitian  ini  bertujuan  untuk mengukur  resiko-resiko  yang  mungkin  terjadi  pada keamanan  sistem  informasi  Rocketic.  Pada  era  sekarang, keamanan  sistem  informasi  adalah  salah  satu  hal  yang krusial  karena  mencakup  keberhasilan  proses  bisnis  dan keamanan data pengguna secara berkesinambungan. Oleh karena  itu,  diperlukan  penggunaan  framework  khusus untuk mengukur keamanan sistem informasi yang ada pada website Rocketic. framework yang akan digunakan adalah (Operationally  Critical  Threat,  Asset,  and  Vulnerability Evaluation)  dan  FMEA  (Failure  Mode  and  Effects Analysis).  Penggunaan  framework  ini  didasarkan  atas metode  pengumpulan  data  yang  akan  menggunakan metode  kualitatif  melalui  wawancara  langsung  kepada pihak Rocketic
Salah  satu  cara  untuk  mengelola  risiko  keamanan informasi adalah dengan menggunakan metode manajemen risiko  seperti  OCTAVE  (Operationally  Critical  Threat, Asset,  and  Vulnerability  Evaluation)  dan  FMEA  (Failure Mode and Effects Analysis). Metode OCTAVE digunakan untuk  mengidentifikasi  dan  menganalisis  ancaman,  aset yang  berharga,  serta  kerentanan  yang  ada  dalam  sistem informasi  perusahaan.  Sementara  itu,  metode  FMEA digunakan  untuk  mengidentifikasi  dan  menganalisis potensi  kegagalan  serta  dampaknya  terhadap  sistem. Tujuan  dari  penggunaan  metode  FMEA  adalah  untuk meminimalisir  dan  menghindari  terjadinya  kesalahan maupun  dari  sebuah  sistem,  desain,  proses  atau  servis untuk  dibuat  langkah  penanganannya[1],  [2].  Sehingga metode  ini memungkinkan organisasi  untuk  menganalisis serta  memberi  nilai  rating  bagi  kegagalan  yang  sering terjadi.
Metode OCTAVE dan FMEA adalah dua metode yang paling banyak digunakan untuk manajemen risiko  sistem informasi.  OCTAVE  adalah  top-down  risk  assessment method  yang  dimulai  dengan  tujuan  strategis  sebuah
organisasi,  lalu  mengidentifikasi  risiko  yang  dapat menghalangi  organisasi  mencapai  tujuan-tujuan  tersebut. FMEA  adalah  bottom-up  risk  assessment  method  yang dimulai  dengan  komponen-komponen  suatu  sistem,  lalu mengidentifikasi  potensi  kegagalan  dari  komponen tersebut dan dampak dari kegagalan tersebut.
Sejumlah  studi  telah  dilakukan  mengenai  penggunaan OCTAVE dan FMEA dalam manajemen risiko keamanan informasi.  Studi-studi  ini  menemukan  bahwa  OCTAVE dan FMEA adalah metode yang efektif untuk mengidentifikasi  dan  mengurangi  risiko  keamanan informasi.  Namun,  studi-studi  tersebut  juga  menemukan bahwa  OCTAVE  dan  FMEA  dapat  rumit  dan  memakan waktu dalam penggunaannya. Penelitian ini akan mengisi kesenjangan dalam  literatur dengan  menyediakan  analisis komprehensif  tentang  penggunaan  OCTAVE  dan  FMEA untuk  manajemen  risiko  keamanan  informasi  dalam lingkungan startup. Penelitian ini juga akan mengidentifikasi  tantangan  penggunaan  OCTAVE  dan FMEA dalam lingkungan startup, serta merekomendasikan strategi untuk mengatasi tantangan tersebut.
Penelitian  ini  akan  memberikan  manfaat  bagi Rocketic.id  dengan  menyediakan  analisis  komprehensif terhadap risiko keamanan informasinya. Penelitian ini akan mengidentifikasi risiko-risiko paling kritis terhadap Sistem Informasi (SI) perusahaan, serta memberikan rekomendasi strategi  mitigasi  untuk  mengurangi  risiko-risiko  tersebut. Hal ini akan membantu Rocketic.id untuk melindungi data sensitifnya  dan  mengoperasikan  Sistem  Informasinya dengan lebih aman.

## II. M ETODOLOGI

## A. Studi Literatur dan Observasi
Pada  tahap  studi  literatur,  tujuannya  adalah  untuk memperkuat  pemilihan  metode  penelitian  dan  melakukan pembandingan  terhadap  penelitian  sebelumnya.  Studi literatur  merupakan  upaya  untuk  mempelajari  laporan penelitian yang telah dipublikasikan, dengan maksud untuk memberikan  dukungan  dan  memperkuat  argumen  dalam penelitian yang sedang dilakukan atau sedang berlanjut.

## B. Identifikasi Masalah
Risiko  merupakan  faktor  yang  inheren  dalam  setiap kegiatan  dan  memiliki  potensi  untuk  menyebabkan kerugian dan dampak negatif yang signifikan. Oleh karena itu,  mitigasi  risiko  menjadi  sangat  penting  untuk mengidentifikasi,  mengevaluasi,  dan  mengelola  risiko-
risiko  yang  mungkin  muncul.  Risiko  adalah  akibat  yang kurang  menyenangkan  (merugikan,  membahayakan)  dari suatu  perbuatan  atau  tindakan  [3].  Dalam  konteks organisasi dan perusahaan, terdapat berbagai bentuk risiko yang dapat  dihadapi.  Beberapa  bentuk  risiko  yang umum terjadi dalam konteks ini antara lain:
1) Risiko Finansial: Risiko finansial meliputi risiko kebangkrutan, fluktuasi mata uang, perubahan suku bunga, atau risiko investasi yang merugikan.
2) Risiko  Operasional: Merupakan  risiko  yang terkait  dengan  kelancaran  operasional  perusahaan,  seperti risiko kesalahan manusia, kegagalan sistem, atau bencana alam yang mengganggu proses produksi.
3) Risiko  Hukum  dan  Regulasi: Terkait  dengan risiko  pelanggaran  hukum  atau  peraturan  yang  berlaku, seperti  risiko  litigasi,  sanksi  hukum,  atau  perubahan peraturan yang dapat mempengaruhi operasional perusahaan.
Menurut  ISO  31000,  manajemen  risiko  merupakan kegiatan  yang  terkoordinasi  untuk  mengarahkan  dan mengendalikan  suatu  organisasi  dalam  hal  risiko  [4]. Beberapa contoh framework manajemen risiko yang umum digunakan adalah ISO 31000, COSO ERM, dan PMBOK. ISO  31000  merupakan  framework  mengenai  prinsip- prinsip  dan  pedoman  manajemen  risiko  [4].  ERM  COSO merupakan  suatu  kerangka  kerja  yang  dirancang  untuk mengidentifikasi  komponen-komponen  utama  dalam manajemen risiko perusahaan. Kerangka kerja ini bertujuan untuk  memberikan  arahan  dan  pedoman  yang  jelas  bagi perusahaan dalam mengelola risiko mereka dengan efektif [5].  PMBOK  (Project  Management  Body  of  Knowledge) adalah kerangka kerja manajemen proyek yang mencakup manajemen
risiko[6].
Manajemen  risiko  Teknologi  Informasi  (TI)  merupakan kemampuan  suatu  organisasi  dalam  mengurangi  risiko- risiko  yang  terkait  dengan  pemanfaatan  Teknologi Informasi  yang  dapat  menghambat  pencapaian  tujuan organisasi.  Untuk  mendapatkan  manfaat  dari  penerapan manajemen  risiko,  organisasi  harus  mematuhi  11  prinsip yang tercantum di dalam ISO 31000:2018[4].

## C. Instrumen Penelitian
Instrumen penelitian ini mengandung sejumlah pertanyaan  yang  diperuntukkan  kepada  narasumber  guna menghimpun  data  mengenai  sistem  informasi  yang dipergunakan, aset terkait, serta risiko dan kerentanan yang terdapat. Di bawah ini terdapat rangkaian pertanyaan yang tercakup dalam instrumen penelitian ini:
TABEL I P ERTANYAAN F ASE 1 O CTAVE
Critical Assets
Pertanyaan 6 Bagaimana rocketic menilai tingkat kepentingan (criticality) dari aset-aset dalam sistem informasi?
Security Requirements for Critical Assets
Pertanyaan 1 Apa faktor-faktor yang membuat pihak
rocketic memiliki concern atas pentingnya keamanan dalam sistem informasi?
Threats to Critical

## Assets
Pertanyaan 4 Bagaimana rocketic menentukan tingkat keparahan ancaman yang ada? Current Security
Practices
Pertanyaan 5 Bagaimana rocketic menganalisis potensi dampak dari kegagalan keamanan sistem informasi? Pertanyaan 7 Bagaimana rocketic memprioritaskan tindakan perbaikan berdasarkan risiko dan dampaknya pada sistem informasi?

## Current Organizational Vulnerabilities
Pertanyaan 13 Apa kelemahan-kelemahan organisasional
saat ini yang dapat mempengaruhi keamanan sistem informasi di Rocketic?
TABEL II P ERTANYAAN F ASE 2 O CTAVE

## Key Components
Pertanyaan 14 Apa saja komponen kunci yang membentuk infrastruktur sistem informasi di Rocketic?

## Current Technology Vulnerabilities
Pertanyaan 2 Apa metode yang digunakan oleh pihak rocketic untuk mengidentifikasi ancaman yang mungkin terjadi pada sistem informasi? Pertanyaan 8 Apa langkah-langkah yang diambil oleh pihak rocketic untuk mengurangi risiko kegagalan keamanan sistem informasi? Pertanyaan 11 Bagaimana rocketic melibatkan tim atau pemangku kepentingan lain dalam proses evaluasi keamanan sistem informasi? Pertanyaan 12 Bagaimana rocketic melakukan
peningkatan berkelanjutan dalam keamanan sistem informasi?
TABEL III P ERTANYAAN F ASE 3 O CTAVE

## Risks to Critical Assets
Pertanyaan 3 Bagaimana pihak rocketic mengevaluasi tingkat kerentanan dalam sistem informasi? Risk Measures
Pertanyaan 15 Bagaimana Rocketic mengidentifikasi potensi kerugian atau konsekuensi yang mungkin terjadi akibat kegagalan keamanan sistem informasi? Protection Strategy Pertanyaan 9 Bagaimana rocketic memastikan bahwa tindakan perbaikan yang diimplementasikan efektif dalam meningkatkan keamanan sistem informasi? Risk Mitigation Plans Pertanyaan 10 Apa strategi yang digunakan oleh rocketic untuk memantau dan mendeteksi potensi ancaman keamanan sistem informasi secara proaktif?

## D. Framework OCTAVE (The Operationally Critical Threat, Asset, and Vulnerability Evaluation)
OCTAVE  merupakan  metode  penilaian  strategis berbasis risiko dan teknik perencanaan keamanan. Metode ini memberikan kesempatan bagi anggota organisasi untuk secara  mandiri  menentukan  strategi  keamanan.  Dalam OCTAVE,  pengetahuan  individu-individu  yang  terlibat dalam organisasi digunakan untuk menggambarkan kondisi keamanan saat ini. Risiko terhadap aset yang paling krusial digunakan  untuk  mengidentifikasi  area  perbaikan  yang perlu  diprioritaskan  dan  untuk  merancang  strategi keamanan bagi organisasi [7].
Gambar 1. OCTAVE Phases Fase 1 :
Organizational View, meliputi informasi aset, ancaman, praktek keamanan, organizational vulnerabilities/kerentanan Fase 2 : Technological View, meliputi informasi
komponen utama dan technical vulnerabilities/kerentanan
Fase 3  : Strategy and Plan Development, meliputi informasi resiko, analisis resiko, dan penanganan resiko.
Metode  OCTAVE  melibatkan  tiga  tahap  kritis  dalam pelaksanaannya.  Tahap  pertama  adalah  Building  Asset- Based Threat Profiles, di mana organisasi mengidentifikasi
dan  memahami  aset-aset  krusial  serta  menganalisis  risiko yang terkait. Tahap kedua adalah Identifying Infrastructure Vulnerabilities, untuk mengidentifikasi potensi kerentanan yang  bisa  dieksploitasi  oleh  pihak  jahat.  Tahap  terakhir adalah Developing Security Strategy and Plans. Tahap ini melibatkan pengembangan strategi dan rencana keamanan untuk  melindungi  aset-aset  tersebut  dengan  langkah- langkah  yang  tepat.  Metode  OCTAVE  memberikan kerangka  kerja  komprehensif  untuk  mengidentifikasi ancaman,  mengelola  kerentanan,  dan  merancang  strategi keamanan yang efektif untuk organisasi.
Gambar 2. OCTAVE dan Risk Management Activities

## E. Framework FMEA (Failure Mode Effect Analysis)
FMEA (Failure Mode and Effect Analysis) adalah suatu metode sistematis yang digunakan untuk mengidentifikasi dan  menganalisis  kemungkinan  kegagalan  dalam  suatu sistem, produk, atau proses, serta efek yang ditimbulkannya.
Metode ini bertujuan untuk mengidentifikasi potensi kegagalan, mengevaluasi tingkat risiko  yang  terkait,  dan  mengembangkan  tindakan pencegahan atau perbaikan yang sesuai.
Metode  FMEA  biasanya  melibatkan  langkah-langkah berikut ini:
Identifikasi  elemen  sistem:  Mengidentifikasi  semua komponen,  sub-sistem,  dan  proses  yang  terlibat  dalam sistem yang akan dianalisis.
Identifikasi  mode  kegagalan:  Mengidentifikasi  dan mendeskripsikan secara rinci kemungkinan mode kegagalan yang dapat terjadi pada setiap elemen sistem.
Evaluasi  dampak  kegagalan:  Menentukan  konsekuensi atau  dampak  yang  mungkin  terjadi  jika  mode  kegagalan terjadi,  baik  dari  segi  keamanan,  kualitas,  kinerja,  atau biaya.
Penentuan tingkat risiko: Mengkombinasikan penilaian probabilitas terjadinya mode kegagalan dengan dampaknya untuk mengevaluasi tingkat risiko.
Pengembangan  tindakan  pencegahan  atau  perbaikan: Merancang  dan  merekomendasikan  tindakan  yang  dapat mengurangi atau menghilangkan risiko kegagalan, seperti
perubahan  desain,  penggunaan  teknologi  baru,  atau perbaikan proses.
FMEA  dapat  dilakukan  di  berbagai  bidang,  seperti manufaktur,  industri  otomotif,  industri  penerbangan, layanan  kesehatan,  dan  lain-lain.  Metode  ini  membantu organisasi untuk mengidentifikasi potensi risiko, meningkatkan  kualitas,  mengurangi  biaya  perbaikan,  dan meningkatkan  keamanan  dalam  sistem  atau  proses  yang sedang  dianalisis.  Metode  penghitungan  FMEA  dapat menggunakan rumus berikut: RPN = Sev x Occur x Detec TABEL IV P ERHITUNGAN RPN(R ISK P RIORITY N UMBER )
RPN Calculation Level 0- 20 Very Low 20-80 Low 80-120 Medium 120-200 High > 200 Very High
Dalam  implementasi  FMEA,  langkah-langkah  yang diambil  adalah  mengevaluasi  kemungkinan  terjadinya kesalahan atau kegagalan melalui tiga elemen yang terdiri dari:

## 1) Severity
Pada  tahap  ini,  dilakukan  penilaian  terhadap  seberapa serius  dampak  dari  kesalahan  atau  kegagalan  yang  dapat terjadi. Hal ini melibatkan penilaian terhadap konsekuensi yang  mungkin  terjadi,  baik  dalam  hal  keselamatan, kualitas,  reputasi,  atau  biaya.  Tujuan  dari  penilaian  ini adalah untuk mengidentifikasi dan memprioritaskan risiko yang memiliki dampak paling serius.
TABEL V K RITERIA P ERINGKAT S EVERITY
Dampak Kriteria Peringkat Sangat Rendah Tidak ada kerugian finansial atau dampak pada operasional 1 Rendah Dampak kecil, kerugian finansial atau operasional yang dapat ditangani dengan mudah 2 Sedang Dampak sedang, kerugian finansial atau operasional yang membutuhkan beberapa usaha untuk pulih 3 Tinggi Dampak signifikan, kerugian finansial atau operasional yang membutuhkan upaya besar untuk pulih 4 Sangat Tinggi Dampak sangat besar, kerugian finansial atau operasional yang berdampak jangka panjang 5
Parah Dampak ekstrim, kerugian finansial atau operasional yang sulit atau tidak mungkin pulih 6 Ekstrim Dampak kritis, kerugian finansial atau operasional yang mengancam kelangsungan bisnis 7 Kritis Dampak parah, kerugian finansial atau operasional yang dapat menyebabkan kerugian permanen 8 Kehancuran Dampak hancur, kerugian finansial atau operasional yang dapat menghancurkan bisnis 9 Bencana Dampak bencana, kerugian finansial atau operasional yang mengancam kelangsungan hidup 10

## 2) Occurence
Elemen  ini  melibatkan  penilaian  terhadap  seberapa sering  kesalahan  atau  kegagalan  dapat  terjadi.  Evaluasi dilakukan  berdasarkan  pengalaman  masa  lalu,  data statistik,  atau  informasi  dari  pemasok  atau  ahli  terkait. Tujuannya adalah untuk mengidentifikasi dan mengurangi risiko yang paling mungkin terjadi.
TABEL VI P ERIODE W AKTU P ERINGKAT O CCURENCE Dampak Periode Waktu Peringkat Sangat Rendah Satu kali dalam 6-100 tahun 1 Rendah Satu kali dalam 3-6 tahun 2 Sedang Satu kali dalam 1-3 tahun 3 Tinggi Satu kali dalam setahun 4 Sangat Tinggi Satu kali setiap 6 bulan 5 Parah Satu kali setiap 3 bulan 6 Ekstrim Satu kali dalam sebulan 7 Kritis Satu kali dalam seminggu 8 Kehancuran Lebih dari satu kali dalam seminggu 9 Bencana Lebih dari satu kali tiap harinya 10

## 3) Detection
Pada  tahap  ini,  dilakukan  penilaian  terhadap kemampuan  sistem  yang  ada  dalam  mendeteksi  atau mengidentifikasi  kesalahan  atau  kegagalan  sebelum mencapai  konsumen  atau  pengguna  akhir.  Evaluasi dilakukan  untuk  menilai  efektivitas  kontrol  yang  ada, sistem  pemeriksaan,  atau  metode  tes  yang  digunakan.
Tujuan dari penilaian ini adalah untuk mengidentifikasi dan memperbaiki kelemahan dalam sistem deteksi yang ada.
TABEL VII K RITERIA P ERINGKAT D ETECTION Deteksi Kriteria Peringkat Sangat Efektif Dapat mendeteksi kegagalan dengan akurasi tinggi 1 Efektif Dapat mendeteksi kegagalan dengan tingkat keberhasilan yang baik 2 Cukup Efektif Dapat mendeteksi kegagalan dengan tingkat keberhasilan yang cukup 3 Sedang Dapat mendeteksi kegagalan secara sebagian dengan tingkat keberhasilan sedang 4 Tidak Efektif Tidak dapat mendeteksi kegagalan dengan tingkat keberhasilan yang memadai 5 Kurang Efektif Tidak dapat mendeteksi kegagalan dengan tingkat keberhasilan yang baik 6 Tidak Cukup Efektif Tidak dapat mendeteksi kegagalan dengan tingkat keberhasilan yang cukup 7 Sangat Tidak Efektif Tidak dapat mendeteksi kegagalan dengan tingkat keberhasilan yang baik 8 Hampir Tidak Terdeteksi Hampir tidak dapat mendeteksi kegagalan 9 Tidak Terdeteksi
Tidak dapat mendeteksi kegagalan sama sekali
10
III. H ASIL DAN P EMBAHASAN

## A. Fase Organizational View
1) Aset

## Kritis
Pengembangan  website  Rocketic.id  didukung  oleh beberapa  aset  kritis.  Aset  kritis  yang  digunakan  berguna untuk menjalan proses bisnis website. berikut adalah aset kritis yang mendukung pengembangan website Rocketic di antara lain:
TABEL VIII A SET K RITIS No Jenis Aset Kritis 1 Hardware Server dan infrastruktur jaringan Komputer 2 Software Website user Website manajemen Website admin 3 Data Data user Data konten Data keuangan People Tim Pengembang
4 Tim Pendidik 5 Network Jaringan Komputer Sistem Keamanan Jaringan

## 2) Kebutuhan Keamanan dan Upaya Perlindungan
Website Rocketic merupakan sistem informasi penunjang utama  keberlangsungan  startup  Rocketic  yang  membantu dalam menyediakan kebutuhan mahasiswa untuk menjadi lebih  berprestasi  dalam  akademik,  kompetisi,  beasiswa, hingga  karir.  Data  yang  terdapat  di  sistem  informasi berguna  untuk  menyediakan  informasi  mengenai  website Rocketic  dan  cara  pemesanannya.  Sehingga  data  yang tersimpan  dibutuhkan  sebuah  proteksi  keamanan.  berikut kebutuhan keamanan dan upaya perlindungan dari masing- masing kategori aset:
TABEL IX K EBUTUHAN DAN P RAKTIK K EAMANAN No Jenis Aset Kritis Kebutuhan Keamanan Praktik Keamanan 1 Hardware Server dan infrastruktur jaringan Keamanan fisik untuk mencegah akses tidak sah Tempatkan server dan infrastruktur jaringan di ruangan yang terkunci dengan pengawasan terbatas
Komputer Enkripsi data yang sensitif di dalam komputer Gunakan teknologi enkripsi untuk melindungi data sensitif pada komputer 2 Software Website user Perlindungan terhadap serangan siber seperti DDoS Implementasikan solusi anti-DDoS untuk melindungi website dari serangan DDoS Website manajemen Pengaturan hak akses yang tepat untuk penggunaan internal
Terapkan sistem autentikasi yang kuat dengan pengaturan hak akses yang sesuai untuk mengendalikan akses ke bagian sensitif dari website manajemen Website admin Proteksi terhadap upaya peretasan dan pencurian data Terapkan tindakan keamanan seperti autentikasi ganda (two-factor authentication) untuk login admin 3 Data Data user Pengamanan data pribadi sesuai dengan regulasi
Terapkan kebijakan privasi yang sesuai dan perlindungan data seperti enkripsi untuk melindungi informasi pribadi pengguna Data konten Backup data secara teratur dan pemulihan bencana Lakukan backup data secara rutin dan simpan di lokasi yang aman, serta sediakan mekanisme pemulihan bencana untuk mengatasi kehilangan data yang tidak terduga Data keuangan Keamanan transaksi keuangan dan perlindungan
identitas
Gunakan protokol keamanan seperti HTTPS untuk melindungi transaksi keuangan dan terapkan kebijakan keamanan yang ketat untuk melindungi informasi keuangan dan identitas pelanggan 4
People Tim Pengembang Pelatihan keamanan untuk mencegah kesalahan manusia Lakukan pelatihan keamanan secara teratur kepada tim pengembang, termasuk kesadaran akan praktik keamanan, pengujian keamanan kode, dan tindakan pencegahan

## JUSTIN (Jurnal Sistem dan Teknologi Informasi)  Vol. 11 , No. 3, Juli 2023
terhadap serangan siber Tim Pendidik Pemahaman tentang kebijakan privasi dan keamanan Berikan pemahaman yang jelas kepada tim pendidik tentang kebijakan privasi dan keamanan yang berlaku, serta praktik terbaik dalam melindungi data dan
mengamankan informasi pelanggan 5 Network Jaringan Komputer Firewall dan deteksi intrusi Terapkan firewall yang dapat mengatur lalu lintas jaringan dan deteksi intrusi untuk mendeteksi dan mencegah serangan siber
Sistem Keamanan Jaringan Monitoring dan pemantauan keamanan jaringan
Gunakan sistem pemantauan dan pemantauan keamanan jaringan untuk mendeteksi aktivitas mencurigakan, menganalisis lalu lintas jaringan, dan mengambil tindakan yang sesuai jika terjadi ancaman keamanan

## 3) Ancaman Sistem Informasi
Terdapat ancaman terkait aset kritis yang membuat website Rocketic tidak dapat berjalan dengan lancar. Berikut adalah ancaman yang dapat terjadi sesuai dengan aset kritis:
TABEL X A NCAMAN A SET K RITIS No Jenis Aset Kritis Penyebab Ancaman 1 Hardware Server dan infrastruktur jaringan Kegagalan perangkat keras seperti server atau switch Downtime sistem yang signifikan Komputer Serangan fisik terhadap komputer
Kerusakan atau pencurian perangkat keras
2 Software Website user Kerentanan keamanan pada aplikasi web Pencurian informasi pengguna, penyalahgunaan akun, serangan injeksi, atau defacing Website
manajemen
Kekurangan sistem keamanan yang memadai Pengambilalihan akses admin, pencurian data, perusakan atau modifikasi tidak sah pada sistem Website admin
Serangan brute force atau phising terhadap kredensial admin Pengambilalihan
akses admin, pencurian data,
manipulasi sistem 3 Data Data user Pelanggaran keamanan pada sistem yang menyimpan data pengguna Pencurian informasi
pribadi, penyalahgunaan data, identitas palsu atau penipuan Data konten
Kehilangan data akibat kerusakan perangkat keras atau kesalahan manusia Kehilangan informasi penting, gangguan
layanan, kerugian reputasi Data keuangan
Serangan siber seperti skimming data, malware, atau serangan phishing terhadap transaksi keuangan Pencurian data keuangan, penipuan,
kerugian finansial
4 People Tim Pengembang
Kesalahan manusia dalam pengembangan atau konfigurasi sistem Kehilangan data,
kerentanan keamanan, kerugian reputasi Tim Pendidik Kekurangan kesadaran tentang praktik keamanan atau pelanggaran kebijakan privasi Pengungkapan
informasi sensitif, pelanggaran privasi, kerugian reputasi
5 Network Jaringan
Komputer
Konfigurasi jaringan yang lemah atau ketidakmampuan sistem keamanan Akses tidak sah ke jaringan, serangan DDoS, serangan malware, pengungkapan data
dalam mendeteksi serangan Sistem Keamanan Jaringan
Kegagalan sistem deteksi intrusi atau kekurangan konfigurasi yang memadai Serangan siber tidak terdeteksi, pengambilalihan jaringan, pengungkapan data

## B.  Fase Technological View

## 1) Komponen Kunci
Komponen kunci yang dimiliki oleh pihak Rocketic pada dasarnya sama dengan penjabaran aset kritis yang terbagi menjadi  12  aset  kritis.  12  komponen  kunci  yang  juga merupakan  diklasifikasikan  ke  dalam  5  jenis.  5  jenis tersebut yaitu adalah hardware, software, data, people, dan network.

## 2) Identifikasi Kelemahan Teknologi
Website Rocketic memiliki kelemahan teknologi yang perlu  diperhatikan  untuk  mencegah  masalah  yang  tidak diinginkan. Analisis terhadap kelemahan teknologi tersebut perlu dilakukan.
TABEL XI
I DENTIFIKASI K ELEMAHAN
No Jenis Aset Kritis Kelemahan 1 Hardware Server dan infrastruktur jaringan Ketergantungan pada satu server dan infrastruktur jaringan yang rentan terhadap kegagalan perangkat keras. Komputer Rentan terhadap serangan fisik yang dapat menyebabkan kerusakan atau pencurian perangkat keras. 2 Software Website user Rentan terhadap kerentanan keamanan pada aplikasi web yang dapat dimanfaatkan untuk pencurian informasi pengguna atau penyalahgunaan akun. Website manajemen Kurangnya sistem keamanan yang memadai untuk melindungi akses dan data penting pada tingkat manajemen website. Website admin Rentan terhadap serangan brute force atau phishing yang dapat mengakibatkan pengambilalihan akses admin dan
penyalahgunaan sistem. 3 Data Data user Rentan terhadap pelanggaran keamanan pada sistem yang menyimpan data pengguna, yang dapat mengakibatkan pencurian informasi pribadi dan penyalahgunaan data.

## JUSTIN (Jurnal Sistem dan Teknologi Informasi)  Vol. 11 , No. 3, Juli 2023
Data konten
Rentan terhadap kehilangan data akibat kerusakan perangkat keras atau kesalahan manusia, yang dapat menyebabkan
kehilangan informasi penting dan gangguan layanan. Data keuangan Rentan terhadap serangan siber seperti skimming data, malware, atau serangan phishing terhadap transaksi keuangan, yang dapat mengakibatkan pencurian data keuangan dan penipuan keuangan. 4 People Tim Pengembang Kemungkinan terjadinya kesalahan manusia dalam pengembangan atau konfigurasi sistem yang dapat menyebabkan
kerentanan keamanan dan kehilangan data. Tim Pendidik Kurangnya kesadaran tentang praktik keamanan atau pelanggaran kebijakan privasi yang dapat mengakibatkan
pelanggaran privasi dan pengungkapan informasi sensitif. 5 Network Jaringan Komputer Konfigurasi jaringan yang lemah atau ketidakmampuan sistem keamanan dalam mendeteksi serangan yang dapat menyebabkan akses tidak sah ke jaringan dan serangan malware. Sistem Keamanan Jaringan Kegagalan sistem deteksi intrusi atau kekurangan konfigurasi yang memadai yang dapat mengakibatkan serangan siber tidak
terdeteksi dan pengambilalihan jaringan.

## C. Fase Strategic and Plan Development

## 1) Identifikasi Risiko
Identifikasi risiko melibatkan pengidentifikasian potensi ancaman  atau  kejadian  yang  dapat  mempengaruhi  tujuan dan  hasil  yang  diinginkan.  Sebelum  memasuki  tahapan penilaian  risiko,  risiko  yang  dapat  mengancam  aset informasi  Rocketic  harus  diidentifikasi.  Risiko-risiko  ini dapat berupa peristiwa yang memiliki kemungkinan besar terjadi  atau  bahkan  sering  terjadi  yang  berasal  dari lingkungan  eksternal  dan  internal  perusahaan,  seperti bencana  alam,  gangguan  sosial,  operasi,  dan  fasilitas umum.
TABEL XII
I DENTIFIKASI R ISIKO
No Jenis Aset Kritis Penyebab Resiko Dampak 1 Hardware Server dan infrastruktur jaringan Kegagalan perangkat keras seperti server atau switch
Downtime sistem yang signifikan dapat menggangg u akses dan layanan bagi pengguna, menyebabk an kerugian keuangan, dan merusak reputasi perusahaan Gangguan layanan, kerugian finansial, kerugian reputasi Komputer
Serangan fisik terhadap komputer Kerusakan atau pencurian perangkat keras dapat mengakibat kan hilangnya data sensitif, kebocoran informasi pengguna, atau ketidakterse diaan sistem Kehilangan data, kebocoran informasi, ketidaktersedi aan sistem 2 Software Website user Kerentanan keamanan pada aplikasi web Pencurian informasi pengguna, penyalahgu naan akun, penyebaran malware, atau peretasan website dapat mengakibat kan pelanggaran privasi, kerugian finansial, kerugian reputasi, dan kehilangan kepercayaa n pelanggan terhadap platform Rocketic.id Pelanggaran privasi, kerugian finansial, kerugian reputasi, kehilangan kepercayaan Website manajemen Kekurangan sistem keamanan yang memadai Pengambila lihan akses admin, perubahan atau penghapusa n tidak sah pada data penting, atau peretasan sistem dapat mengakibat kan kebocoran data, gangguan operasional, kerugian finansial, dan kerugian reputasi Kebocoran data, gangguan operasional, kerugian finansial, kerugian reputasi Website admin Serangan brute force atau phishing
terhadap
Pengambila lihan akses admin, pencurian Kehilangan data, kerugian finansial, kerugian
kredensial admin informasi sensitif, penyebaran malware, atau manipulasi sistem dapat mengakibat kan kerugian finansial, kerugian reputasi, dan penghancur an atau kebocoran data yang signifikan reputasi, penghancuran atau kebocoran data yang signifikan 3 Data Data user Pelanggaran keamanan pada sistem yang menyimpan data pengguna Pencurian informasi pribadi, penyalahgu naan data, identitas palsu, atau penyebaran data pengguna dapat mengakibat kan kerugian finansial, pelanggaran privasi, gangguan bagi pengguna, atau tuntutan hukum terhadap Rocketic.id Pelanggaran privasi, kerugian finansial, gangguan bagi pengguna, tuntutan hukum Data konten Kerusakan perangkat keras, kesalahan manusia, atau serangan siber Kehilangan atau kerusakan data konten dapat mengakibat kan gangguan operasional, kehilangan informasi penting, penurunan kualitas layanan, dan kerugian reputasi Gangguan operasional, kehilangan informasi, penurunan kualitas layanan, kerugian reputasi Data keuangan Skimming data, malware, serangan phishing, atau kebocoran data Pencurian data keuangan, penipuan keuangan, kerugian finansial bagi pengguna atau Rocketic.id, pelanggaran privasi, dan tuntutan hukum terhadap Rocketic.id Pencurian data keuangan, penipuan keuangan, kerugian finansial, pelanggaran privasi, tuntutan hukum 4 People Tim Pengembang
Kesalahan manusia dalam pengembang an atau konfigurasi sistem Kerentanan keamanan, kesalahan sistem, atau kebocoran data akibat kesalahan manusia dapat mengakibat kan kerugian finansial, Kerugian finansial, kerugian reputasi, ketidaktersedi aan layanan
kerugian reputasi, atau ketidakterse diaan layanan bagi pengguna Rocketic.id
Tim Pendidik Kurangnya kesadaran tentang praktik keamanan atau pelanggaran kebijakan privasi Pelanggaran privasi, pengungkap an informasi sensitif, atau kehilangan kepercayaa n pengguna akibat kurangnya kesadaran atau pelanggaran kebijakan privasi oleh tim pendidik Rocketic.id Pelanggaran privasi, kehilangan kepercayaan
5 Network Jaringan Komputer
Konfigurasi jaringan yang lemah, ketidakmamp uan sistem keamanan dalam mendeteksi serangan Akses tidak sah ke jaringan, serangan DDoS, serangan malware, pencurian data, atau penyebaran malware dapat terjadi jika keamanan jaringan tidak memadai atau sistem keamanan tidak mampu mendeteksi serangan dengan efektif Akses tidak sah, gangguan layanan, pencurian data, penyebaran malware Sistem Keamanan Jaringan Kegagalan sistem deteksi intrusi atau konfigurasi yang tidak memadai Serangan siber tidak terdeteksi, pengambilal ihan jaringan, pencurian data, penyebaran malware, atau kebocoran informasi dapat terjadi jika sistem keamanan jaringan tidak berfungsi dengan baik atau tidak dikonfigura si dengan benar Serangan siber tidak terdeteksi, pengambilalih an jaringan, pencurian data, penyebaran malware, kebocoran informasi

## 2) Analisis Risiko
Setelah  dilakukan  identifikasi  resiko,  maka  hal  yang dilakukan  selanjutnya  adalah  menganalisis  resiko.  Dalam menganalisis resiko, diperlukan adanya penghitungan RPN (Risk  Priority  Number).  level  RPN  nantinya  didapatkan dari  hasil  perkalian  Severity(S),  Occurence(O),  Detection (O).
TABEL XIII A NALISIS R ISIKO No Kategori risiko  Identifikasi Resiko SEV OCC DET RPN Level
RPN 1 Hardware Server dan infrastruktur jaringan 8 6 1 48 Very Low Komputer 3 4 8 96 Low 2 Software Website user 7 5 7 245 Very High Website manajemen 2 3 5 30 Very Low Website admin 3 4 4 48 Very Low 3 Data Data user 8 3 6 144 Mediu m Data konten 9 3 8 216 Very High Data keuangan 7 4 6 168 High 4 People Tim Pengembang 6 5 4 120 Mediu m Tim Pendidik 8 5 7 280 Very High 5 Network Jaringan Komputer 8 4 2 64 Low Sistem
Keamanan Jaringan 7 4 3 84
Low

## 3) Mitigasi Resiko
Setelah  melakukan  identifikasi  aset  penting,  selanjutnya adalah identifikasi risiko dan penilaian risiko menggunakan  standar  ISO  27001.  Standar  ini  diterbitkan pada  tahun  2013  dan  merupakan  revisi  dari  ISO 27001:2009. Tindakan mitigasi resiko mengambil sampel dari  tiga  resiko  yang  memiliki  angka  RPN  tertinggi. sehingga pihak Rocketic dapat mengambil tindakan segera dan  memberikan  prioritas  tinggi  kepada  resiko-resiko berikut:
TABEL XIV
M ITIGASI R ISIKO
Aset Resiko Level Tindakan Mitigasi Resiko Tim Pendidik 280 Very High Melakukan cadangan dan replikasi data pendidik Menerapkan kebijakan dan prosedur pengamanan data
Meningkatkan keamanan fisik dan akses ke area pendidik
Menyediakan pelatihan keamanan untuk tim pendidik Melakukan verifikasi latar belakang pada tim pendidik Website user 245 Very High Menerapkan kebijakan password yang kuat dan penggantian secara berkala Menerapkan mekanisme otentikasi dua faktor Mengenkripsi data pengguna dalam penyimpanan Melakukan pengujian penetrasi secara berkala Memantau aktivitas pengguna yang mencurigakan Data konten 216 Very High Mengenkripsi data konten saat berpindah atau disimpan Memperkuat mekanisme otentikasi dan otorisasi akses Melakukan cadangan dan pemulihan data secara teratur Menerapkan kebijakan privasi yang ketat untuk data konten Melakukan audit keamanan secara berkala

## IV. K ESIMPULAN
Berdasarkan  studi  yang  telah  dilakukan,  dapat disimpulkan bahwa terdapat 6 risiko dan 12 kejadian risiko yang  memiliki  tingkat  RPN  medium  ke  atas.  Beberapa risiko  memiliki  lebih dari  satu  kejadian risiko  karena  ada perbedaan  dalam  penyebabnya.  Evaluasi  risiko  ini menghasilkan  lima  tingkat  kategorisasi,  yaitu  very  high, high,  medium,  low,  dan  very  low.  pada  level  very  high memiliki  3  risiko  dengan  nilai  RPN  lebih  dari  200.  Pada Level high memiliki 1 risiko dengan nilai RPN antara 120- 200.  Pada  Level  medium  memiliki  2  risiko  dengan  nilai RPN  antara  80-120.  Pada  Level  low  memiliki  3  risiko dengan  nilai  RPN  antara  20-80.  Pada  Level  very  low memiliki 3 risiko dengan nilai RPN antara 0-80.
Dari  penelitian  ini,  disarankan  agar  penelitian selanjutnya  memperluas  lingkup  risiko  yang  dievaluasi. Dengan  melibatkan  lebih  banyak  risiko  yang  mungkin terjadi dalam konteks organisasi, dapat diperoleh gambaran yang  lebih  komprehensif  tentang  tingkat  risiko  dan kejadian yang perlu diperhatikan.
D AFTAR P USTAKA
[1] I.  Jevon  and  J.  Rahardjo,  “Penerapan  Manajemen  Risiko menggunakan Metode FMEA pada Proyek Penggalian Sumur Bor oleh CV. Tirto Kencana,” Jurnal Titra, vol. 9, no. 2, pp. 471–478,
Jul. 2021.
[2] Surya  Andiyanto,  Agung  Sutrisno,  and  Charles  Punuhsingon, “PENERAPAN  METODE  FMEA  (FAILURE  MODE  AND EFFECT ANALYSIS) UNTUK KUANTIFIKASI DAN
PENCEGAHAN  RESIKO  AKIBAT  TERJADINYA  LEAN WASTE,” Jurnal Online Poros Teknik Mesin, vol. 6, no. 1, pp. 45– 57, Jan. 2017.
[3] Kamus  Besar  Bahasa  Indonesia.  (n.d.).  Arti  kata  risiko.  KBBI. Retrieved June 1, 2023, from https://kbbi.web.id/risiko [4] International
Organization for Standardization, "ISO 31000:2018(en), Risk management — Principles and guidelines," ISO, 2018. [Online]. Available:
https://www.iso.org/obp/ui/#iso:std:iso:31000:ed-2:v1:en.
[Accessed: Jun. 1, 2023].
[5] Committee  of  Sponsoring  Organizations  of  the  Treadway Commission [COSO], "Enterprise Risk Management—Integrating with  Strategy  and  Performance,"  COSO,  Jan.  5,  2023.  [Online]. Available: https://www.coso.org/SitePages/Enterprise-Risk- Management-Integrating-with-Strategy-and-Performance- 2017.aspx?web=1. [Accessed: Jun. 1, 2023].
[6] Project  Management  Institute.  (2017).  A  Guide  to  the  Project Management  Body  of  Knowledge  (PMBOK  Guide)  (6th  ed.). Project Management Institute.
[7] C.  J.  Alberts dan  A.  J.  Dorofee,  "Managing  Information  Security Risks: The OCTAVE Approach," Addison-Wesley, 2003.
[8] Mazareanu,  V.  P.  (2011).  Risk  Management  and  Analysis:  Risk Assessment  (Qualitative  and  Quantitative).  SSRN  Electronic Journal. https://doi.org/10.2139/ssrn.1549186
[9] Sardjono,  W., & Cholik, M.  I.  (2018).  Information  Systems Risk Analysis Using Octave Allegro Method Based at Deutsche Bank. Proceedings  of  2018  International  Conference  on  Information Management  and  Technology,  ICIMTech  2018,  38–42. https://doi.org/10.1109/ICIMTech.201 8.8528108
[10] Suroso, J. S., & Fakhrozi, M. A. (2018). Assessment of Information System  Risk  Management  with  Octave  Allegro  at  Education Institution. Procedia ComputerScience,135,202– 213. https://doi.org/10.1016/j.procs.2018.08.167
[11] E.  D.  Purnamasari,  R.  N.  Martasasmita,  dan  D.  H.  Alfan, "Penerapan  Manajemen  Risiko  pada  Proyek  Konstruksi  Gedung X," Jurnal Rekayasa Sipil dan Desain, vol. 6, no. 1, hal. 63-71, Mei 2018.
[12] F.  Indrawati  dan  R.  Rosmawati,  "Penerapan  Metode  Bow  Tie Analysis  dalam  Mitigasi  Risiko  Bencana  Kebakaran  di  Area Terbuka," Jurnal Teknologi Informasi dan Ilmu Komputer, vol. 7, no. 1, hal. 31-38, Januari 2020.
[13] A. H. Susanto, A. S. Wibowo, dan M. N. Firdaus, "Analisis Risiko dan Mitigasi Risiko pada Proyek Pembangunan Infrastruktur Jalan Raya," Jurnal Teknik Sipil dan Lingkungan, vol. 5, no. 2, hal. 135- 142, November 2018.
[14] Laudon,  K.  C.,  &  Laudon,  J.  (2021).  Management  Information Systems: Managing the Digital Firm, Global Edition. Pearson.
[15] A.  Sutrisno,  "Analisis  Risiko  dan  Mitigasi  Risiko  pada  Proyek Konstruksi," Jurnal Teknik Sipil dan Lingkungan, vol. 5, no. 2, pp. 1-8, 2019. doi: 10.25105/jtsl.v5i2.5091
[16] A.  Hidayat,  "Analisis  Risiko  dan  Mitigasi  Risiko  pada  Proyek Konstruksi Jalan Tol," Jurnal Teknik Sipil dan Lingkungan, vol. 4, no. 1, pp. 1-9, 2018. doi: 10.25105/jtsl.v4i1.4135