## Analisis Keamanan Website Menggunakan OWASP dan Control Objective For Information and Related Technology (COBIT 5)
Yunanri W * , Yuliadi, Muhammad Shafwan
Fakultas Rekayasa Sistem, Program Studi Informatika, Universitas Teknologi Sumbawa, Sumbawa, Indonesia Email: yunanri.w@uts.ac.id Email Penulis Korespondensi: yunanri.w@uts.ac.id Submitted 28-11-2022 ; Accepted 29-12-2022 ; Published 30-12-2022

## Abstrak
Website merupakan sekumpulan layanan informasi yang berfungsi sebagai sarana interaksi baik secara perorangan, kelompok maupun organisasi. Tolak ukur yang menjadikan website itu baik adalah website yang memiliki tingkat keamanan yang tinggi, sehingga mampu memberikan kenyamanan bagi penggunanya. Oleh karena itu semua instansi berusaha memberikan yang terbaik melalui website yang digunakan  sebagai  layanan  informasi,  salah  satunya  Perusahaan  Super  Indo.  Namun  dalam  proses  berjalannya,  didalam  website terdapat  gangguan  seperti  ditemukan  bug  dan  tidak  adanya  standar  keamanan  yang  diterapkan  pada  website  tersebut.  Tujuan  dari penelitian adalah menemukan alerts agar teridentifikasinya bug dengan menggunakan aplikasi OWASP ZAP dan untuk mengetahui tingkat keamanan yang diterapkan pada website menggunakan standar atau metode COBIT 5. Hasil yang didapat dari semua proses aktivitas mendapatkan nilai capability level 3,42 atau pada level Established process (sebuah proses manajemen). Perusahaan Super Indo sudah berada dilevel cukup baik dalam proses pengembangan website.
Kata Kunci: Analisis; Security; Website; OWASP; COBIT 5

## Abstract
The  website  is  a  collection  of  information  services  that  function  as  a  means  of  interaction  either  individually,  in  groups,  or  in organizations. The benchmark that makes a website good is a website that has a high level of security so that it can provide  comfort for its users. Therefore all agencies try to provide the best through websites that are used as information services, one of which is the Super Indo Company. However, in the running process, there are disturbances on the website, such as bugs found and the absence of security standards applied to the website. The purpose of this research is to find alerts so that bugs are identified using the OWASP ZAP application and to find out the level of security applied to websites using the COBIT 5 standard or method. The results obtained from all activity processes get a capability level value of 3.42 or at the Established process level (a management process). The Super Indo company is already at a fairly good level in the website development process.
Keywords : Analysis; Security; Website; OWASP; COBIT 5

## 1. PENDAHULUAN
Website merupakan salah satu layanan media informasi atau kumpulan halaman yang menampilkan informasi data teks , data  gambar  diam  atau  gerak,  data  animasi,  suara,  video  dan  atau  gabungan  dari  semuanya,  baik  yang  bersifat  statis maupun  dinamis  yang  membentuk  satu  rangkaian  bangunan  yang  saling  terkait,  dimana  masing-masing  dihubungkan dengan jaringan-jaringan halaman. Sistem keamanan informasi merupakan bagian terpenting dari sebuah instansi atau perusahaan[1][2][3].
Website tidak hanya dilihat dari sisi  desain yang menarik dan informasi yang disajikan didalamnya, tetapi juga harus  dipikirkan  tentang  aspek  keamanan  dari  sebuah website .  Kebutuhan  akan  keamanan  suatu website timbul  dari kebutuhan dalam perlindungan data. Adapun beberapa kasus yang telah terjadi, diantaranya kehilangan dan kerusakan data,  adanya  pihak  yang  tidak  bertanggung  jawab  yang  hendak  mengakses  dan  merubah  data.  Permasalahan  lainnya mencakup  perlindungan  data  dari delay yang  berlebih  pada  saat  mengakses  atau  menggunakan  data,  dan  mengatasi gangguan Denial  of  Service (DoS)[4][5][6].  Sistem  perusahaan  supermarket  khususnya  perusahaan start-up harus memiliki layanan berupa website , karena hal ini akan menarik minat masyarakat atau konsumen. Pada dasarnya konsumen lebih  memilih  mengakses website yang  telah  disediakan  jika  ingin  mencari  informasi  daripada  harus  mengkhususkan waktu datang ke supermarket untuk melakukan survey terkait stok produk dan berbagai macam promo menarik lainnya, bahkan ketika perusahaan mengadakan event- event besar dan informasi menarik lainnya masyarakat dapat memperoleh informasi yang up to date . Perusahaan Super Indo adalah salah satu perusahaan yang sudah memanfaatkan media yaitu website dalam  menyampaikan  informasi  kepada  masyarakat  atau  konsumen.  Jenis website yang  digunakan  oleh perusahaan adalah company profile versi 3.0 yang dimana proses kerja didalam website bersifat dinamis dimana konten didalamnya selalu diperbarui secara berkala. Disamping itu fokus dari website perusahaan Super Indo pada pengenalan produk atau jasanya bukan penjualan produk.
Penyediaan website resmi  merupakan  salah  satu  strategi  perusahaan  untuk  lebih  meyakinkan  konsumen  atau pelanggan. Oleh karena itu keamanan dan kualitas dari website perusahaan harus baik. Namun dalam proses berjalannya, website Super Indo memiliki kendala yaitu terdapat bug pada website . Website yang digunakan belum aman karena tidak mengikuti standart keamanan, Pada dasarnya seperti yang kita ketahui bahwa keamanan merupakan bagian terpenting dari sebuah website [7][8].
Oleh karena itu peneliti menarik garis besar bahwa menganalisis tingkat keamanan website merupakan tindakan yang cukup membawa pengaruh besar didalam menjaga kualitas dari website . Dalam hal menganalisis keamanan pada website perusahaan terkait dimana dilakukan pengecekan dan kontrol menggunakan OWASP dalam menemukan celah
atau kerentanan sedangkan metode COBIT 5 untuk mengetahui tingkat keamanan pada website . Disamping itu kerangka kerjayang digunakan dalam penelitian ini menggunakan kerangka kerja COBIT 5 , dengan domain Deliver, Service , and Support (DSS). COBIT 5 merupakan sebuah kerangka menyeluruh yang dapat membantu perusahaan dalam mencapai tujuannya.  Untuk  itu  peneliti  merasa  perlu  untuk  melakukan  penelitian  yang  berjudul  “Analisis  Keamanan Website Menggunakan OWASP dan Control Objective For Information And Related Technology (COBIT) 5 (Studi Kasus Website Super Indo)”[9][10].

## 2. METODOLOGI PENELITIAN

## Gambar 1. Alur Penelitian

## 2.1 level 0
Melakukan  penilaian  berdasarkan capability  level pada COBIT  5 ini  masing-masing  proses  harus  dianalisis  secara bertahap untuk mengetahui tingkat kelayakannya berdasarkan analisis sistem keamanan Capability Level memiliki 6 level untuk setiap proses inti di jelaskan sebagai berikut:
a. Level 0- Incomplete Process . Proses ini gagal atau tidak dilaksanakan dalam mencapai tujuan prosesnya. Pada tingkat ini ada sedikit bukti atau tidak ada sama sekali pada pencapaian proses.
b. Level 1- Performed Process Proses ini diterapkan untuk mencapai tujuan prosesnya. Terdapat satu atribut pada proses ini, yaitu process performance .
c. Level 2-Managed Process Proses yang diterapkan berhasil dilaksanakan (direncanakan, dimonitor,dan disesuaikan) dan produk yang tepat ditetapkan, dikontrol dan dipelihara. Terdapat dua atribut pada proses ini, yaitu performance management dan work product . d. Level 3- Established Process Pada proses yang sebelumnya dikelola dan diterapkan dengan mendefinisikan proses yang  mampu  mencapai  tujuan  proses.  Terdapat  dua  atribut  pada  proses  ini,  yaitu  process  definition  dan process deployment .
e. Level 4- Predictable Process . Proses dioperasikan dengan penetapan batasan untuk mencapai tujuan proses. Terdapat dua atribut pada proses ini, yaitu process management dan process control .
f. Level 5- Optimizing Process. Proses diprediksi dan terus ditingkatkan untuk memenuhi tujuan bisnis yang relevan. Terdapat dua atribut pada proses ini, yaitu process innovation dan process optimisation.

## 3. HASIL DAN PEMBAHASAN
Hasil  identifikasi  peringatan  pada website Super  Indo  ini  dilakukan  dengan  tujuan  mengidentifikasi  terlebih  dahulu apakah website terdapat gangguan atau tidak. Sebelum mengetahui capability level pada website perlu adanya pengujian terlebih dahulu untuk mengetahui celah atau kerentanan pada website .
Gambar 2. Tampilan Website superindo

## 3.1 Tahap Pengujian website superindo
Gambar 3 . Hasil pengujian
Setelah melewati proses sebelum pengujian kemudian, penulis mengetahui hasil dari pengujian terhadap website Super  Indo  dengan  domain www.Superindo.co.id sehingga  menghasilkan  peringatan  atau  alerts  diantaranya  : Content Security Policy (CSP) header  Not  Set, CSP:  X-Content-Security - Policy,  Cookie  Without  Samesite  Atribute, Cross- Domain JavaScript  Source  File  Inclusion,  Timestamp  Disclosure-Unix dan Information  Disclosure-Suspicision Comments [11][12].
Dari hasil penelitian yang telah dilakukan, penulis menggunakan metode kuesioner, dimana kuesioner disesuaikan dengan standar Framwork COBIT. Ukuran dalam model ini meliputi ukuran ordinal dan ukuran nominal. Ukuran ordinal adalah angka yang diberikan, angka tersebut mengandung arti tingkatan. Nominal angka 0 digunakan untuk mengurutkan objek dari tingkatan terendah sampai tertinggi[13][14].
Mengidentifikasi  hasil  dari  penelitian  pada  Perusahaan  Super  Indo  telah  memenuhi  standar  apabila  telah memenuhi kriteria Capability level . Adapun standar keamanan informasi di perlukan kriteria seperti pada Tabel 1 sebagai berikut :
Tabel 1. Capability level Kriteria Keterangan 0 – 0,50 Incomplete Process 0,50 – 1,50 Performed Process
1,51 – 2,50 Managed Process 2,51 – 3,50 Established Process 3,51 – 4,50 Predictable Process 4,51 – 5,00 Optimising Process
Uji validitas digunakan untuk memastikan apakah data yang telah didapatkan setelah penelitian merupakan data yang valid dari alat ukur yang digunakan (kuesioner). Kuesioner dapat dikatakan valid jika pertanyaan atau pernyataan pada  kuesioner  mampu  untuk  mengungkapkan  sesuatu  yang  diukur  oleh  kuesioner  tersebut.  Untukmengetahui  item pernyataan itu valid atau tidakdengan melihat nilai Corrected Item Total Corelation . Apabila item pernyataan mempunyai r hitung > daripada r tabel pada signifikansi 0,05 (5%) maka dapat dikatakan valid[15].
Pada penelitian ini terdapat jumlah sampel (n) = 32 responden dan besarnya df dapat dihitung 32 – 2 = 30 dengan df 30 dan alpha = 0,05 didapat r tabel = 0,349. Jadi, item pernyataan yang valid mempunyai r hitung lebih besar dari 0,349. Adapun hasil uji validitas data dalam penelitian ini dapatdilihat pada tabel 4.2 berikut: Nilai uji validitas dengan Corrected Item Total Corelation diperoleh dari hasil pengujian dengan bantuan SPSS.
Tabel 2. Hasil Pengujian menggunakan tool COBIT 5 agar mencapai Validitas Data Aspek No Item r tabel r hitung Keterangan DSS05.01 P1 0,349 0,776 Valid P2 0,349 0,666 Valid P3 0,349 0,779 Valid P4 0,349 0,416 Valid DSS05.02 P5 0,349 0,617 Valid P6 0,349 0,486 Valid P7 0,349 0,426 Valid DSS05.03 P8 0,349 0,449 Valid P9 0,349 0,708 Valid P10 0,349 0,391 Valid DSS05.04 P11 0,349 0,630 Valid P12 0,349 0,440 Valid P13 0,349 0,429 Valid DSS05.05 P14 0,349 0,486 Valid P15 0,349 0,675 Valid P16 0,349 0,765 Valid P17 0,349 0,559 Valid DSS05.06 P18 0,349 0,452 Valid P19 0,349 0,753 Valid P20 0,349 0,662 Valid P21 0,349 0,562 Valid DSS05.07 P22 0,349 0,568 Valid P23 0,349 0,396 Valid P24 0,349 0,688 Valid P25 0,349 0,733 Valid
Berdasarkan hasil pengujian menggunakan tool COBIT 5, didapatkan nilai validitas terdapat 25 item yang diuji coba, dari 25 item tersebut dinyatakan valid semua tanpa ada yang gugur. Sehingga secara keseluruhan 25 item tersebut yang digunakan sebagai alat ukur dalam pengujian statistik.
Uji reliabilitas digunakan untuk menguji sejauh mana konsistensi sebuah alat ukur untuk dapat digunakan kembali untuk penelitian  yang  sama.  Suatu  kuesioner  dikatakan reliable atau  konsisten  jika  jawaban  seseorang  terhadap  pernyataan adalah stabil dari waktu ke waktu. Uji reliabilitas data dilakukan dengan menggunakan metode alpha Cronbach yakni suatu statistic dikatakan reliable bila memiliki koefisien konsisten reliabilitas sebesar 0,70 atau lebih[16].
Tabel 3. Hasil Pengujian Reliabilitas
Reliability Statistics Cronbach's Alpha N of Items .917 48
Dari tabel 3 diatas dapat dilihat outputnya maka dapat dikatakan reliable karena Cronbach's Alpha sebesar 0,917 > 0,60.
Data indeks merupakan data untuk menemukan Capability Level yang akan digunakan untuk mendapatkan GAP. Dari perhitungan hasil indeks peneliti mengambil sample secara acak dari responden dengan rumus :
𝐼𝑛𝑑𝑒𝑘𝑠 = ∑ 𝐽𝑎𝑤𝑎𝑏𝑎𝑛 𝑃𝑒𝑟𝑡𝑎𝑛𝑦𝑎𝑎𝑛 𝑇𝑒𝑟𝑏𝑎𝑛𝑦𝑎𝑘 𝑃𝑒𝑟𝑡𝑎𝑦𝑎𝑎𝑛 𝐾𝑢𝑒𝑠𝑖𝑜𝑛𝑒𝑟
(1)
Tabel 4. Hasil pengujian COBIT 5 terhadap Indeks
DSS 05 Jumlah Jawaban Jumlah Pertanyaan Capability Level 1 15 4 3,7 2 11 3 3,6 3 10 3 3,3 4 9 3 3,0 5 14 4 3,5 6 15 4 3,7 7 13 4 3,2
Gerafik 1 . Hasil pengujian Established Process Indeks
Gambar GAP diatas menjelaskan bahwa target yang diharapkan adalah berada pada level 5 ( Optimising Process ), tetapi hasil output dari indeks hanya berada pada level 3 ( Established Process ). Berikut tabel terkait GAP analysis :
Tabel 5. GAP Analysis Domain As Is To Be DSS05.01 3,7 5 DSS05.02 3,6 5 DSS05.03 3,3 5 DSS05.04 3 5 DSS05.05 3,5 5 DSS05.06 3,7 5 DSS05.07 3,2 5
Capability level sub-domain DSS05 merupakan hasil akhir dari semua proses. Tingkat keamanan dapat ditetapkan dengan tingkatan capability level keseluruhan aktivitas yang telah dilakukan dalam DSS05.
Tabel 6 Hasil Capability level No Sub-domain DSS05 Capability Level 1. DSS05.1 Predictable Process 2. DSS05.2 Predictable Process 3. DSS05.3 Established Process 4. DSS05.4 Established Process 5. DSS05.5 Established Process 6. DSS05.6 Predictable Process 7. DSS05.7 Predictable Process
Untuk mengetahui hasil akhir capability level dengan sub-domain DSS05 maka harus dilakukan semua aktivitas melalui persamaan sebagai berikut :

## 𝐶𝑎𝑝𝑎𝑙𝑖𝑙𝑖𝑡𝑦 𝑙𝑒𝑣𝑒 𝐷𝑆𝑆05 = ∑ capability level
Banyak Proses
𝐶𝑎𝑝𝑎𝑙𝑖𝑙𝑖𝑡𝑦 𝑙𝑒𝑣𝑒 𝐷𝑆𝑆05 = 3,7 + 3,6 + 3,3 + 3,0 + 3,5  + 3,7 + 3,2
7
𝐶𝑎𝑝𝑎𝑙𝑖𝑙𝑖𝑡𝑦 𝑙𝑒𝑣𝑒 𝐷𝑆𝑆05 =  3,42
Jadi nilai pencapaian pada penelitian ini adalah 3,42 yang berarti terletak pada tingkat Established Process yang dimana pada level ini website dikelolah dan diterapkan dengan baik.

## 4. KESIMPULAN
Hasil yang didapat dari semua aktivitas COBIT 5 dimulai dari penyusunan kuesioner berdasarkan acuan COBIT 5 sampai dengan pengumpulan hasil kuesioner, kemudian melakukan scanning alerts yang didalamnya sudah memberikan tampilan kerusakan dan solusinya. Dari hasil COBIT 5 mendapatkan nilai capability level 3,42 atau pada level Established Process yang berarti berada pada level 3 atau berada dititik aman. Website Super indo sudah berada dilevel cukup baik  dalam proses  pengembangan  dan  hanya  perlu  pemantauan  secara  berkala.  Peran OWASP dalam  menemukan bug atau  celah mampu memberikan informasi yang actual dan COBIT 5 sudah mampu memberikan standar dalam penilaian keamanan sistem informasi yang baik, serta mampu memberikan solusi untuk melakukan perubahan.

## REFERENCES
[1] Ranitania, A., & Fahmi, A. Analisis Tata Kelola Proses Layanan Keamanan Kegiatan E-Procurement Pada Lpse Provinsi Jawa Tengah Berdasarkan Kerangka Kerja COBIT 5. 1–7. 2015.
[2] Pasha, D., Priandika, A. thyo, & Indonesian, Y. Analisis Tata Kelola It Dengan Domain Dss Pada Instansi Xyz Menggunakan Cobit 5. Jurnal Ilmiah Infrastruktur Teknologi Informasi, 1(1), 7–12. 20220.
[3] Riadi, I., & W, A. Y. Y. Analisis Keamanan Website Open Journal System Menggunakan Security Analysis Open Journal System Website Using. Jurnal Teknologi Informasi Dan Ilmu Komputer (JTIIK), 7(4), 853–860. 2020.
[4] Rahayu, T., Matondang, N., & Hananto, B. AUDIT SISTEM INFORMASI AKADEMIK. 2020.
[5] Yunanri.W,  Doddy  Teguh  Yuwono,  Rodianto,  Y.  Deteksi  Serangan  Vulnerability  Pada  Open  Jurnal  System  Menggunakan Metode Black-Box. Jire (Jurnal Informatika & Rekayasa Elektronika, 4(1), 68–77. 2021.
[6] Z. Yang, “A NEW METHOD FOR VULNERABILITY ANALYSIS AND APPLICATION IN RURAL DWELLINGS,” 2019 Symp. Piezoelectrcity,Acoustic Waves Device Appl., no. 1, pp. 1–4, 2019.
[7]   A. Mendoza and G. Gu, “Mobile Application Web API Reconnaissance : Web-to-Mobile Inconsistencies & Vulnerabilities,” 2018 IEEE Symp. Secur. Priv., pp. 756–769, 2018.
[8] J. Hu et al., “A Memory-Related Vulnerability Detection Approach Based on Vulnerability Features,” vol. 25, no. 5, pp. 604– 613, 2020.
[9]   A. Schr and N. Bettenburg, “Do Stack Traces Help Developers Fix Bugs?”. pp. 118–121,2010.
[10]   E.  Crifasi,  S.  Pike,  and  Z.  Stuedemann,“Cloud-Based  Source  Code  Security  andVulnerabilities  Analysis  Tool  for  C  /  C  ++ Software Systems,” 2018 IEEE Int. Conf. Electro/Information Technol., pp. 651–654, 2018.
[11]   M. Almousa, N. C. A, and T. State, “Predictive Analytics,” 2019 17th Int. Conf. Privacy,Secur. Trust, pp. 1–3, 2019.
[12]   A. Alzahrani, A. Alqazzaz, H. Fu, and N. Almashfi, “Web Application Security Tools Analysis,” 2017.
[13]   R.  A.  Khan,  “Evaluating  Performance  of  Web  Application  Security Through  a  Fuzzy  Based  Hybrid  Multi-Criteria  Decision- Making Approach: Design Tactics Perspective,” vol. 8, 2020.
[14]   S. Tyagi, “Evaluation of Static Web Vulnerability Analysis Tools,” 2018 Fifth Int. Conf. Parallel, Distrib. Grid Comput., pp. 1– 6, 2018.
[15]   A. Shukla, B. Katt, and L. O. Nweke, “Vulnerability Discovery Modelling With Vulnerability Severity,” 2019.
[16]  L. K. Shar, D. Bianculli, L. Briand, and J. Thom, “An Integrated Approach for Effective Injection Vulnerability Analysis of Web Applications through Security Slicing and Hybrid Constraint Solving,” vol. 5589, no. c, pp. 1–33, 2018.