REVIEW COBIT (CONTROL OBJECTIVES FOR INFORMATION TECHNOLOGY)

AUDIT TEKNOLOGI SISTEM INFORMASI

REVIEW COBIT (CONTROL OBJECTIVES FOR INFORMATION TECHNOLOGY)

2.5  Frame Work COBIT

COBIT dikeluarkan oleh IT Governance Institute (ITGI). COBIT digunakan untuk menjalankan penentuan atas IT dan meningkatkan pengontrolan IT. COBIT juga berisi tujuan pengendalian, petunjuk audit, kinerja dan hasil metrik, faktor kesuksesan dan maturity model. Lingkup kriteria informasi yang sering menjadi perhatian dalam COBIT adalah:

1.    Effectiveness

Menitikberatkan pada sejauh mana efektifitas informasi dikelola dari data-data yang diproses oleh sistem informasi yang dibangun.

2.    Efficiency

Menitikberatkan pada sejauh mana efisiensi investasi terhadap informasi yang diproses oleh sistem.

3.    Confidentiality

Menitikberatkan pada pengelolaan kerahasiaan informasi secara hierarkis.

4.    Integrity

Menitikberatkan pada integritas data/informasi dalam sistem.

5.    Availability

Menitikberatkan pada ketersediaan data/informasi dalam sistem informasi.

6.    Compliance

Menitikberatkan pada kesesuaian data/informasi dalam sistem informasi.

7.    Reliability

Menitikberatkan pada kemampuan/ketangguhan sistem informasi dalam pengelolaan data atau informasi.

Sedangkan fokus terhadap pengelolaan sumber daya teknologi informasi dalam COBIT adalah pada :

·       Applications merupakan  sekumpulan program  untuk mengolah  dan menampilkan data maupun informasi  yang dimiliki oleh organisasi.

·       Information merupakan hasil  pengolahan dari data yang merupakan  bahan  mentah dari setiap  informasi yang  dihasilkan, dimana di dalamnya terkandung  fakta  dari aktivitas  transaksi  dan  interaksi sehari­hari masing­masing  proses bisnis yang ada di organisasi.

·       Infrastructure terdiri dari  sejumlah perangkat keras, infrastruktur teknologi informasi sebagai teknologi  pendukung untuk menjalankan portfolio aplikasi yang ada. Selain itu  yang  termasuk dalam infrastruktur dapat berupa sarana fisik seperti ruangan dan gedung  dimana keseluruhan perangkat sistem dan teknologi informasi ditempatkan.

·       People merupakan pemakai dan  pengelola dari sistem informasi yang  dimiliki.

Dalam menyediakan informasi yang dibutuhkan perusahaan untuk mencapai tujuan organisasi, COBIT memiliki karakteristik :

·       Business-focused

·       Process-oriented

·       Controls-based

·       Measurement-driven

COBIT mengelompokkan semua aktivitas bisnis yang terjadi dalam organisasi menjadi 34 proses yang terbagi ke dalam 4 buah domain proses, meliputi :

1.    Planning & Organization merupakan domain yang menitikberatkan pada proses perencanaan dan penyelarasan strategi TI   dengan strategi perusahaan, mencakup masalah strategi, taktik dan identifikasi tentang bagaimana TI dapat memberikan kontribusi maksimal terhadap pencapaian tujuan bisnis organisasi sehingga terbentuk sebuah organisasi yang baik dengan infrastruktur teknologi yang baik pula.

Domain ini mencakup :

·           PO1 – Menentukan rencana strategis

·           PO2 – Menentukan arsitektur informasi

·           PO3 – Menentukan arah teknologi

·           PO4 – Menentukan proses TI, organisasi dan hubungannya

·           PO5 – Mengelola investasi TI

·           PO6 – Mengkomunikasikan tujuan dan arahan manajemen

·           PO7 – Mengelola sumber daya manusia

·           PO8 – Mengelola kualitas

·           PO9 – Menilai dan mengelola resiko TI

·           PO10 – Mengelola proyek

2.    Acquisition & Implementation merupakan domain yang berkaitan dengan implementasi solusi IT dan integrasinya dalam proses bisnis organisasi untuk mewujudkan strategi TI, juga meliputi perubahan dan maintenance yang dibutuhkan sistem yang sedang berjalan untuk memastikan daur hidup sistem tersebut tetap terjaga. Domain ini meliputi:

·           AI1 – Mengidentifikasi solusi yang dapat diotomatisasi.

·           AI2 – Mendapatkan dan maintenance software aplikasi.

·           AI3 – Mendapatkan dan maintenance infrastuktur teknologi

·           AI4 – Mengaktifkan operasi dan penggunaan

·           AI5 – Pengadaan sumber daya IT.

·           AI6 – Mengelola perubahan

·           AI7 – Instalasi dan akreditasi solusi dan perubahan.

3.    Delivery & Support, merupakan domain yang mencakup proses pemenuhan layanan IT, keamanan sistem, kontinyuitas layanan, pelatihan dan pendidikan untuk pengguna, dan pemenuhan proses data yang sedang berjalan. Domain ini meliputi :

·           DS1 – Menentukan dan mengelola tingkat layanan.

·           DS2 – Mengelola layanan dari pihak ketiga

·           DS3 – Mengelola performa dan kapasitas.

·           DS4 – Menjamin layanan yang berkelanjutan

·           DS5 – Menjamin keamanan sistem.

·           DS6 – Mengidentifikasi dan mengalokasikan dana.

·           DS7 – Mendidik dan melatih pengguna

·           DS8 – Mengelola service desk dan insiden.

·           DS9 – Mengelola konfigurasi.

·           DS10 – Mengelola permasalahan.

·           DS11 – Mengelola data

·           DS12 – Mengelola lingkungan fisik

·           DS13 – Mengelola operasi.

4.        Monitoring and Evaluation. Merupakan domain yang berfokus pada masalah kendali-kendali yang diterapkan dalam organisasi, pemeriksaan intern dan ekstern dan jaminan independent dari proses pemeriksaan yang dilakukan. Domain ini meliputi:

·      ME1 – Mengawasi dan mengevaluasi performansi TI.

·      ME2 – Mengevaluasi dan mengawasi kontrol internal

·      ME3 – Menjamin kesesuaian dengan kebutuhan eksternal.

·      ME4 – Menyediakan IT Governance.

Dalam COBIT Framework terdapat hal seperti sebagai berikut :

1.        Maturity Models

Digunakan untuk memetakan status maturity proses-proses teknologi informasi.

2.        Critical Success Factors

Merupakan arahan berupa implementasi bagi manajemen agar dapat melakukan kontrol atau proses teknologi informasi.

3.        Key Goal Indicators

Adalah kinerja dari proses teknologi informasi yang berhubungan dengan business requirements.

2.6      COBIT Maturity Model

COBIT melihat  bahwa menerapkan  mekanisme governance secara efektif tidaklah  mudah, namun harus melalui berbagai tahap maturity (kematangan) tertentu. Model maturity untuk mengontrol proses IT, sehingga manajemen dapat  mengetahui  dimana posisi  organisasi  sekarang, dan  diposisi  dimana organisasi  ingin berada. Paling tidak posisi maturity sebuah  organisasi terkait dengan  keberadaan dan  kinerja proses IT Governance dapat  dikategorikan menjadi enam tingkatan, yaitu;

1)   0 Non existent (tidak  ada), merupakan  posisi  kematangan  terendah, yang  merupakan  suatu kondisi dimana organisasi  merasa tidak  membutuhkan  adanya mekanisme proses IT Governance yang baku, sehingga tidak ada sama sekali pengawasan terhadap IT Governance yang dilakukan oleh organisasi.

2)   1 Initial (inisialisasi), sudah  ada beberapa inisiatif  mekanisme  perencanaan, tata kelola, dan pengawasan  sejumlah IT Governance yang dilakukan, namun sifatnya masih ad hoc, sporadis, tidak kosisten, belum formal, dan reaktif.

3)   2 Repeatable (dapat diulang), kondisi  dimana organisasi telah memiliki kebiasaan yang terpola untuk  merencanakan dan  mengelola IT Governance dan dilakukan secara berulang ulang secara reaktif, namun  belum melibatkan prosedur dan dokumen formal.

4)   3 Defined (ditetapkan), pada tahapan ini organisasi telah memiliki mekanisme dan  prosedur yang  jelas  mengenai  tata cara dan  manajemen IT Governance, dan telah terkomunikasikan dan tersosialisasikan dengan baik di seluruh jajaran manajemen.

5)   4 Managed (diatur), merupakan kondisi dimana manajemen organisasi telah  menerapkan sejumlah indikator pengukuran kinerja kuantitatif untuk memonitor efektivitas  pelaksanaan  manajemen IT Governance.

6)   5 Optimised (dioptimalisasi), level  tertinggi ini diberikan kepada organisasi yang telah berhasil menerapkan  prisip­  prinsip governance secara utuh dan  mengacu best practice, dimana secara utuh telah diterapkan prinsip-­prinsip governance, seperti transparency, accountability, responsibility, dan fairness.

Maturity model dapat digunakan untuk memetakan :

1)      Status pengelolaan TI perusahaan pada saat itu.

2)      Status standart industri dalam bidang TI saat ini (sebagai pembanding)

3)      Status standart internasional dalam bidang TI saat ini (sebagai pembanding)

4)      Strategi pengelolaan TI perusahaan (ekspetasi perusahaan terhadap posisi pengelolaan TI perusahaan)

Tingkat kemampuan pengelolaan TI pada skala maturity dibagi menjadi 6 level :

1.      Level 0 (Non-existent)

Perusahaan tidak mengetahui sama sekali proses teknologi informasi di perusahaannya.

2.      Level 1 (Initial Level)

Pada level ini, organisasi pada umumnya tidak menyediakan lingkungan yang stabil untuk mengembangkan suatu produk baru. Ketika suatu organisasi kelihatannya mengalami kekurangan pengalaman manajemen, keuntungan dari mengintegrasikan pengembangan produk tidak dapat ditentukan dengan perencanaan yang tidak efektif, respon sistem. Proses pengembangan tidak dapat diprediksi dan tidak stabil, karena proses secara teratur berubah atau dimodifikasi selama pengerjaan berjalan beberapa form dari satu proyek ke proyek lain. Kinerja tergantung pada kemampuan individual atau term dan variasi dengan keahlian yang dimilikinya. 

3.      Level 2 (Repeatable Level)

Pada level ini, kebijakan untuk mengatur pengembangan suatu proyek dan prosedur dalam mengimplementasikan kebijakan tersebut ditetapkan. Tingkat efektif suatu proses manajemen dalam mengembangankan proyek adalah institutionalized, dengan memungkinkan organisasi untuk mengulangi pengalaman yang berhasil dalam mengembangkan proyek sebelumnya, walaupun terdapat proses tertentu yang tidak sama. Tingkat efektif suatu proses mempunyai karakteristik seperti; practiced, dokumentasi, enforced, trained, measured, dan dapat ditingkatkan. Product requirement dan dokumentasi perancangan selalu dijaga agar dapat mencegah perubahan yang tidak diinginkan. 

4.      Level 3 (Defined Level)

Pada level ini, proses standar dalam pengembangan suatu produk baru didokumentasikan, proses ini didasari pada proses pengembangan produk yang telah diintegrasikan. Proses-proses ini digunakan untuk membantu manejer, ketua tim dan anggota tim pengembangan sehingga bekerja dengan lebih efektif. Suatu proses yang telah didefenisikan dengan baik mempunyai karakteristik; readiness criteria, inputs, standar dan prosedur dalam mengerjakan suatu proyek, mekanisme verifikasi, output dan kriteria selesainya suatu proyek. Aturan dan tanggung jawab yang didefinisikan jelas dan dimengerti. Karena proses perangkat lunak didefinisikan dengan jelas, maka manajemen mempunyai pengatahuan yang baik mengenai kemajuan proyek tersebut. Biaya, jadwal dan kebutuhan proyek dalam pengawasan dan kualitas produk yang diawasi. 

5.      Level 4 (Managed Level)

Pada level ini, organisasi membuat suatu matrik untuk suatu produk, proses dan pengukuran hasil. Proyek mempunyai kontrol terhadap produk dan proses untuk mengurangi variasi kinerja proses sehingga terdapat batasan yang dapat diterima. Resiko perpindahan teknologi produk, prores manufaktur, dan pasar harus diketahui dan diatur secara hati-hati. Proses pengembangan dapat ditentukan karena proses diukur dan dijalankan dengan limit yang dapat diukur.

6.      Level 5 (Optimized Level)

Pada level ini, seluruh organisasi difokuskan pada proses peningkatan secara terus-menerus. Teknologi informasi sudah digunakan terintegrasi untuk otomatisasi proses kerja dalam perusahaan, meningkatkan kualitas, efektifitas, serta kemampuan beradaptasi perusahaan. Tim pengembangan produk menganalisis kesalahan dan defects untuk menentukan penyebab kesalahannya. Proses pengembangan melakukan evaluasi untuk mencegah kesalahan yang telah diketahui dan defects agar tidak terjadi lagi.

2.7       Review COBIT

            Informasi merupakan sumber daya utama bagi enterprise. Teknologi memegang peranan penting yang dapat meningkatkan fungsi informasi pada enterprise, sosial, publik dan lingkungan bisnis. COBIT 5 memberikan layanan kerangka kerja secara komprehensif untuk membantu pemerintah dan manajemen IT dalam sebuah perusahaan mencapai tujuan yang diharapkan. COBIT 5 for Information Security yang digambarkan pada gambar 1 merupakan bagian dari COBIT 5 secara utuh, dimana fokus pada COBIT 5 for Information Security lebih ditekankan pada keamanan informasi dan memberikan gambaran secara detil dan praktikal tentang panduan bagi para profesional keamanan informasi dan orang-orang yang merupakan bagian dari enterprise yang memiliki ketertarikan di bidang keamanan informasi. Secara umum, saya dapat mengartikan bahwa COBIT adalah sebuah framework atau kerangka kerja yang memberikan layanan kepada enterprise, baik itu sebuah perusahaan, organisasi, maupun pemerintahan dalam mengelola dan memanajemen aset atau sumber daya IT untuk mencapai tujuan enterprise tersebut.

Tujuan utama pengembangan COBIT 5 for Information Security :

1.    Menggambarkan keamanan informasi pada enterprise termasuk :

·           Responsibilities terhadap fungsi IT pada keamanan informasi.

·           Aspek-aspek yang akan meningkatkan efektivitas kepemimpinan dan manajemen keamanan informasi seperti struktur organisasi, aturan-aturan dan kultur.

·           Hubungan dan jaringan keamanan informasi terhadap tujuan enterprise.

2.    Memenuhi kebutuhan enterprise untuk:

·           Menjaga risiko keamanan pada level yang berwenang dan melindungi informasi terhadap orang yang tidak berkepentingan atau tidak berwenang untuk melakukan modifikasi yang dapat mengakibatkan kekacauan.

·           Memastikan layanan dan sistem secara berkelanjutan dapat digunakan oleh internal dan eksternal stakeholders.

·           Mengikuti hukum dan peraturan yang relevan.

Sebagai tambahan, pengembangan COBIT 5 for Information Security untuk memberikan fakta bahwa keamanan informasi merupakan salah satu aspek penting dalam operasional sehari-hari pada enterprise.

Keunggulan

Menggunakan COBIT 5 for Information Secutiry memberikan sejumlah kemampuan yang berhubungan dengan keamanan informasi untuk perusahaan sehingga dapat menghasilkan manfaat perusahaan seperti :

·           Mengurangi kompleksitas dan meningkatkan efektivitas biaya karena integrasi yang lebih baik dan lebih mudah.

·           Meningkatkan kepuasan pengguna.

·           Meningkatkan integrasi keamanan informasi dalam perusahaan.

·           Menginformasikan risiko keputusan dan risk awareness.

·           Meningkatkan pencegahan, deteksi dan pemulihan.

·           Mengurangi insiden (dampak) keamanan informasi.

·           Meningkatkan dukungan untuk inovasi dan daya saing.

·           Meningkatkan pengelolaan biaya yang berhubungan dengan fungsi keamanan informasi.

·           Pemahaman yang lebih baik dari keamanan informasi.

ISACA mendefinisikan keamanan informasi sebagai :

“Ensures that within the enterprise, information is protected against disclosure to unauthorised users (confidentiality), improper modification (integrity) and non-access when required (availability).”

·           Confidentiality berarti menjaga hak akses dan penggunaan wewenang untuk melindungi privacy dan kepemilikan informasi.

·           Integrity berarti menjaga informasi dari modifikasi atau perusakan dan termasuk memastikan bahwa informasi yang ada merupakan informasi asli dan tidak ada penolakan (non-repudiation) jika akan dilakuan pembuktian terhadap sistem.

·           Availability berarti memastikan dalam hal waktu dan kehandalan dalam mengakses dan menggunakan informasi agar selalu tersedia.

Prinsip COBIT 5

Prinsip 1. Meeting Stakeholder Needs

Keberadaan sebuah perusahaan untuk menciptakan nilai kepada stakeholdernya – termasuk stakeholders untuk keamanan informasi – didasarkan pada pemeliharaan keseimbangan antara realisasi keuntungan dan optimalisasi risiko dan penggunaan sumber daya yang ada. Optimalisasi risiko dianggap paling relevan untuk keamanan informasi. Setiap perusahaan memiliki tujuan yang berbeda-beda sehingga perusahaan tersebut harus mampu menyesuaikan atau melakukan customize COBIT 5 ke konteks perusahaan yang dimiliki.

Prinsip 2. Covering the Enterprise End-to-End

COBIT 5 mengintegrasikan IT enterprise pada organisasi pemerintahan dengan cara:

·                Mengakomodasi seluruh fungsi dan proses yang terdapat pada enterprise. COBIT 5 tidak hanya fokus pada ‘fungsi IT’, namun termasuk pada pemeliharaan informasi dan teknologi terkait sebagai aset layaknya aset-aset yang terdapat pada enterprise.

·                Mengakomodasi seluruh stakeholders, fungsi dan proses yang relevan dengan keamanan informasi.

Prinsip 3. Applying a Single, Integrated Network

COBIT 5 dapat disesuaikan dengan standar dan framework lain, serta mengizinkan perusahaan untuk menggunakan standar dan framework lain sebagai lingkup manajemen kerangka kerja untuk IT enterprise. COBIT 5 for Information Security membawa pengetahuan dari versi ISACA sebelumnya seperti COBIT, BMIS, Risk IT, Val IT dengan panduan dari standar ISO/IEC 27000 yang merupakan standar ISF untuk keamanan informasi dan U.S. National Institute of Standars and Technology (NIST) SP800-53A.

Prinsip 4. Enabling a Holistic Approach

Pemerintahan dan manajemen perusahaan IT yang efektif dan efisien membutuhkan pendekatan secara holistik atau menyeluruh. COBIT 5 mendefinisikan kumpulan pemicu yang disebut enabler untuk mendukung implementasi pemerintahan yang komprehensif dan manajemen sistem perusahaan IT dan informasi. Enablers adalah faktor individual dan kolektif yang mempengaruhi sesuatu agar dapat berjalan atau bekerja. Kerangka kerja COBIT 5 mendefinisikan 7 kategori enablers yang dapat dilihat pada gambar 4 berikut.

7 enablers yang digunakan pada COBIT 5 meliputi:

1.    Principles, Policies and Frameworks

2.    Processes

3.    Organisational Strucutres

4.    Culture, Ethics and Behaviour

5.    Information

6.    Services, Infrastructure and Applications

7.    People, Skills and Competencies

Prinsip 5. Separating Governance from Management

COBIT 5 dengan tegas membedakan pemerintahan dan manajemen. Kedua disiplin ini memiliki tipe aktivitas yang berbeda, membutuhkan struktur organisasi yang berbeda dan memiliki tujuan yang berbeda. 

DAFTAR PUSTAKA

1. IT Governance Institute. 2007 . COBIT 4.1 Framework Control Objectives, Management Guidelines, Maturity Models. IT Governance Institute.
2. Widjaja Tunggal, Amin. 1996 . Struktur Pengendalian Intern. Jakarta : Rineka Cipta.
3. Laudon, Kenneth and Jane P. Laudon. 2012 . Management Information System, 10th ed. Amazon : Amazon Warehouse Deals.
4. Sanderson, Ian. "Tools for IT governance assurance: using recent updates of ISACA's Information Systems Audit and Assurance Standards alongside COBIT 5 can help auditors evaluate their organization's information systems governance." Internal Auditor 2013: 51+. Gale Economic Education Humanities Social-Science Arts 2. Web. 22 Dec. 2015.
5. Chan, Anthony S. Manager’s Guide to Compliance : Sarbanes-Oxley, COST, ERM, COBIT, IFRS, BASEL II, OMB’s A-123, ASX 10, OECD Principles, Turnbull Guidance, Best Practices, and Case Studies. The CPA Journal Oct. 2006 : 11 . Gale Economic Education Humanities Social-Science Arts 1. Web. 17 Dec. 2015.
6. Lemme, Steve. 2005 .Database Trends & Applications., Vol. 19 Issue 4, p6-6. 1/2p.
7. John Romney Paul and Marshall B. Steinbart. 2009 . Accounting Information Systems. Pearson : January 1, 2009.
8. Noverdi, Fajar. 2012 . Manfaat COBIT . Diambil dari : https://fajarnoverdi.blogspot.co.id/2012/03/manfaat-cobit.html.
9. https://haendra.wordpress.com/2012/06/08/pengertian-cobit/
10. https://www.kompasiana.com/dwisantoso_vcc/makalah-manfaat-penggunaan-cobit_567fe81390fdfd5d0956ffba
11. http://aheva17.blogspot.co.id/2010/07/cobit.html
12. 12.  http://www.kajianpustaka.com/2014/02/pengertian-sejarah-dan-komponen-cobit.html
13. 13.  https://dhienzzworld.wordpress.com/2013/04/11/audit-sistem-informasi-berbasis-framework-cobit/
14. 14.  https://empi378.wordpress.com/2013/01/21/cobit-control-ojective-for-information-and-related-technology/
15. 15.https://www.google.co.id/url?sa=t&rct=j&q=&esrc=s&source=web&cd=6&cad=rja&uact=8&ved=0ahUKEwi9hsDal6_YAhULpo8KHfroCK4QFghUMAU&url=http%3A%2F%2Fliapsa.staff.gunadarma.ac.id%2FDownloads%2Ffiles%2F33214%2FBab%2B8%2B-%2BCOBIT.docx&usg=AOvVaw3r-dc2YfXPuMIHTVDE2F5n
16.  http://jurnal.uii.ac.id/index.php/Snati/article/view/175/555
17.  http://www.unisbank.ac.id/ojs/index.php/fti1/article/view/361/238
18. https://www.proxsisgroup.com/articles/pengertian-dan-fungsi-cobit-5-information-security/