My Daily Routine and My Experience

Marvelous City

November, 2018 my brother and I went to Malang for vacation. We’ve been there for 2 days. There are two kind of places we were going to nature and culinary in Malang. We were taking time at the evening from Jakarta and arrived in Malang at the morning. We was picked up by my brother’s friend who is a student in Malang and heading directly to the legend restaurant in Malang. The legend restaurant is bakso presiden. Location of bakso presiden makes it has been being well-known that its location nearby  the edge of the railroad tracks.

            After we already have eaten bakso presiden, we went to Alun-Alun Kota Malang for tasting ice which existed since colonial era where placed in Toko Oen. There are various flavor for that ice. Chocolate,strawberry and vanilla. The thing that makes Toko Oen being legendary is the flavor. We took a rest in Alun – Alun Kota Malang and Taman Hutan Kota also took some pictures for documention.  When the night came, we ate spicy claw that located in jalan Jakarta which is started open at 10.00 pm, but the queue too crowded. When I ate , the taste was very spicy and the menu are claw, wings and fried food that we called here gorengan.

            At the late night we prepared to see the sunrise in Bromo and climbed Bromo Mountain. At 00.00 am we went to Malang for heading to point of sun getting rise at the second place we climbed. The situation at the point place was so cold, and at 05.00 am we saw the sunrise above the beautiful cloud. After that, we went to padang savanna, pasir berbisik, the crater of Bromo and teletubbies hill.  At 01.00 pm, we were heading to Malang and preparing to go back to Jakarta at the evening.

Hello everyone

My name is Panji Setya Prawira, and I wanna tell you about my daily activities. Everyday, I wake up at 04.30 AM. when I still feel sleepy, I walk around my house. Also, I do some physical movements to stretch my body. after that I pray.  Then, I prepare to work. 06.00 AM  I wash my face, brush my teeth, then have a shower. Finally, I eat breakfast after wearing my work uniform. 07.00 AM at my office I must join the ceremony. Then 08.00 AM until 12.00 AM I do some activity at my office. Then 12.00 AM until 01.00 PM I pray, at take lunch. And after that I back to work again.

The office finishes at 14.00 PM. After that, I go to search another food around my office. Then I eat until 03.00 PM. Then I go home and I change my uniform then have movie time. I like scary movie like insidious, the conjunrng and anyelse. I usually help parents to clean my home. Then I go to collage at 05.00 pm and finishes at 07.00 pm then I go to coffee shop, meet my friend’s and take a chill time’s. At the end, I go to home at 09.00 PM. then I go pray and sleep at 10.00PM.

Tugas 1 Management Layanan Sistem Informasi

1.1 .Jelaskan tentang Pengertian management Layanan Sistem Informasi dan berikan Contoh nya !

ITSM (Information Technology Service Management, Manajemen Layanan Teknologi Informasi) adalah suatu metode pengelolaan sistem teknologi informasi (TI) yang secara filosofis terpusat pada perspektif konsumen layanan TI terhadap bisnis perusahaan. ITSM merupakan kebalikan dari pendekatan manajemen TI dan interaksi bisnis yang terpusat pada teknologi. Istilah ITSM tidak berasal dari suatu organisasi, pengarang, atau pemasok tertentu dan awal penggunaan frasa inipun tidak jelas kapan dimulainya.

ITSM berfokus pada proses dan karenanya terkait dan memiliki minat yang sama dengan kerangka kerja dan metodologi gerakan perbaikan proses (seperti TQM, Six Sigma, Business Process Management, dan CMMI). Disiplin ini tidak memedulikan detail penggunaan produk suatu pemasok tertentu atau detail teknis suatu sistem yang dikelola, melainkan berfokus pada upaya penyediaan kerangka kerja untuk menstrukturkan aktivitas yang terkait dengan TI dan interaksi antara personel teknis TI dengan pengguna teknologi informasi.

ITSM umumnya menangani masalah operasional manajemen teknologi informasi (kadang disebut operations architecture, arsitektur operasi) dan bukan pada pengembangan teknologinya sendiri. Contohnya, proses pembuatan perangkat lunak komputer untuk dijual bukanlah fokus dari disiplin ini, melainkan sistem komputer yang digunakan oleh bagian pemasaran dan pengembangan bisnis di perusahaan perangkat lunak-lah yang merupakan fokus perhatiannya. Banyak pula perusahaan non-teknologi, seperti pada industri keuangan, ritel, dan pariwisata, yang memiliki sistem TI yang berperan penting, walaupun tidak terpapar langsung kepada konsumennya.

Sesuai dengan fungsi ini, ITSM sering dianggap sebagai analogi disiplin ERP pada TI, walaupun sejarahnya yang berakar pada operasi TI dapat membatasi penerapannya pada aktivitas utama TI lainnya seperti manajemen portfolio TI dan rekayasa perangkat lunak.

Kerangka kerja (framework) yang dianggap dapat memberikan contoh penerapan ITSM di antaranya:

1. Information Technology Infrastructure Library (ITIL)
2. Control Objectives for Information and Related Technology (COBIT)
3. Software Maintenance Maturity Model
4. PRM-IT IBM’s Process Reference Model for IT
5. Application Services Library (ASL)
6. Business Information Services Library (BISL)
7. Microsoft Operations Framework (MOF)
8. eSourcing Capability Model for Service Providers (eSCM-SP) dan eSourcing Capability Model for Client Organizations (eSCM-CL) dari ITSqc for Sourcing Management.

1.2. sebutkan dan jelaskan metode yang digunakan dalam menggunakan Management Layanan Sistem Informasi dan berikan contohnya !

Metode yang digunakan Manajemen Layanan Sistem Informasi

1. Total Quality Management (TQM)

TQM adalah strategi manajemen yang ditunjukan untuk menanamkan kesadaran kualitas pada semua proses dalam organisasi.

2. Six Sigma

Six Sigma adalah suatu alat manajemen baru yang digunakan untuk mengganti Total Quality Management (TQM), sangat terfokus terhadap pengendalian kualitas dengan mendalami system produksi perusahaan secara keseluruhan. Memiliki tujuan untuk menghilangkan cacat produksi, memangkas waktu pembuatan produk, dan menghilangkan biaya.

3. Bisiness Process Management (BPM)

BPM adalah suatu metode penyelarasan secara efisien suatu organisasi dengan keinginan dan kebutuhan organisasi tersebut. BPM merupakan suatu pendekatan manajemen holistic untuk meningkatkan efektivitas dan efisiensi bisnis seiring upaya untuk mencapai inovasi, flesibilitas dan integrase dengan teknologi.

4. Capability Maturity Model Integration (CMMI)

CMMI adalah suatu pendekatan perbaikan proses yang memberikan unsur-unsur penting proses efektif bagi organisasi. Praktik-praktik terbaik CMMI dipublikasikan dalam dokumen-dokumen yang disebut model, yang masing-masing ditunjukan untuk berbagai bidang yang berbeda.

Contohnya :

Six Sigma merupakan sebuah metodologi terstruktur untuk memperbaiki proses yang difokuskan pada usaha mengurangi variasi proses (process variances) sekaligus mengurangi cacat (produk/jasa yang diluar spesifikasi) dengan menggunakan statistik dan problem solving tools secara intensif.

Secara harfiah, Six Sigma (6σ) adalah suatu besaran yang bisa kita terjemahkan secara gampang sebagai sebuah proses yang memiliki kemungkinan cacat (defects opportunity) sebanyak 3.4 buah dalam satu juta produk/jasa. Ada banyak kontroversi di sekitar penurunan angka Six Sigma menjadi 3.4 dpmo (defects per mil l ion opportunities). Six Sigma sebagai metrics merupakan sebuah referensi untuk mencapai suatu keadaan yang nyaris bebas cacat. Dalam perkembangannya, 6σ bukan hanya sebuah metrics, namun telah berkembang menjadi sebuah metodologi dan bahkan strategi bisnis.

Penyalahgunaan Kupon

Masalah:

Sebuah perusahaan ritel menemukan bahwa gross margin di salah satu departemennya lebih rendah dari yang diharapkan.

Analisa Six Sigma:

Penyalahgunaan kupon adalah sumber masalahnya. Ditemukan bahwa pelanggan dapat menggunakan sebanyak mungkin kupon yang mereka punya untuk pembelian satu barang dalam satu transaksi. Menanggapi ini, perusahaan menetapkan batasan penggunaan kupon dalam transaksi dan jumlah produk, yang menghasilkan penurunan penyalahgunaan kupon sebanyak 45%.

Total Keuntungan Pertahun: US$ 1,1 juta.

1.3. Sebutkan dan jelaskan kerangka kerja atau framework Management Layanan Sistem Informasi dan berikan contohnya!

Kerangka Kerja Manajemen Layanan Sistem Informasi

1. Information Technology Infrastructure Library (ITIL)
ITIL atau Information Technology Infrastructure Library adalah suatu rangkaian dengan konsep dan teknik pengelolaan infrastruktur, pengembangan, serta operasi teknologi informasi (TI). ITIL diterbitkan dalam suatu rangkaian buku yang masing-masing membahas suatu topik pengelolaan (TI). Nama ITIL dan IT Infrastructure Library merupakan merek dagang terdaftar dari Office of Government Commerce (OGC) Britania Raya.

2. Control Objectives for Information and Related Technology (COBIT)
COBIT (Control Objectives for Information and Related Technology) merupakan audit sistem informasi dan dasar pengendalian yang dibuat oleh Information Systems Audit and Control Association (ISACA) dan IT Governance Institute (ITGI) pada tahun 1992.

3. Software Maintenance Maturity Model

4. PRM-IT  IBM’s Process Reference Model for IT

5. Application Services Library (ASL)
Aplikasi Layanan Perpustakaan (ASL) adalah kerangka kerja domain publik dari praktik terbaik yang digunakan untuk standarisasi proses dalam Aplikasi Manajemen, disiplin memproduksi dan memelihara sistem informasi dan aplikasi. Istilah “perpustakaan” digunakan karena ASL disajikan sebagai satu set buku yang menggambarkan praktek-praktek terbaik dari industri TI. Hal ini dijelaskan dalam beberapa buku dan artikel (banyak dari mereka hanya tersedia dalam bahasa Belanda) dan di situs resmi ASL BiSL Foundation.

6. Business Information Services Library (BISL)
BiSL adalah standar domain publik sejak tahun 2005, diatur oleh Lembaga ASL BiSL (sebelumnya Lembaga ASL). Kerangka kerja ini menggambarkan standar untuk proses dalam manajemen informasi bisnis di strategi, manajemen dan operasi tingkat. [1] BiSL berkaitan erat dengan ITIL dan ASL kerangka, namun perbedaan utama antara kerangka kerja ini adalah bahwa ITIL dan ASL fokus pada pasokan sisi informasi (tujuan organisasi TI), sedangkan BiSL berfokus pada sisi permintaan (yang timbul dari organisasi pengguna akhir)

7. Microsoft Operations Framework (MOF)

Microsoft Operations Framework (MOF) 4.0 adalah serangkaian panduan yang bertujuan membantu teknologi informasi (TI) profesional menetapkan dan menerapkan layanan yang handal dan hemat biaya.

8. eSourcing Capability Model  for Service Providers (Escm-sp) dan eSourcing Capability Model for Client Organizations (eSCM-CL) dari ITSqc for Sourcing ManagementeSourcing Capability Model  for Service Providers (eSCM-SP) adalah suatu kerangka kerja yang dikembangkan oleh ITSqc di Carnegie Mellon University. eSCM-SP adalah “praktek terbaik” model kemampuan dengan tiga tujuan :

·   Untuk memberikan penyedia layanan bimbingan yang akan membantu mereka meningkatkan kemampuan mereka di seluruh sourcing siklus hidup

·    Untuk menyediakan klien dengan cara yang obyektif mengevaluasi kemampuan penyedia layanan

·    Untuk menawarkan penyedia layanan standar untuk digunakan saat membedakan diri dari pesaing.

Sumber :

http://articleren.blogspot.com/2018/05/12-sebutkan-dan-jelaskan-metode-yang.html

http://www.tersesyad.id/2017/04/manajemen-layanan-sistem-informasi.html

Tugas 1 Audit Teknologi Sistem Informasi

Nama : Panji Setya Prawira

Kelas : 5KA44

Npm : 1B118726

1.      Jelaskan jenis-jenis Audit ?

a.       Audit Internal adalah pegawai dari perusahaan yang diaudit, auditor ini melibatkan diri dalam suatu kegiatan penilaian independen dalam lingkungan perusahaan sebagai suatu bentuk jasa bagi perusahaaan. Fungsi dasar dari Internal Audit adalah suatu penilaian, yang dilakukan oleh pegawai perusahaan yang terlatih mengenai ketelitian, dapat dipercayainya, efisiensi, dan kegunaan catatan-catatan (akutansi) perusahaan, serta pengendalian intern yang terdapat dalam perusahaan. Tujuannya adalah untuk membantu pimpinan perusahaan (manajemen) dalam melaksanakan tanggungjawabnya dengan memberikan analisa, penilaian, saran, dan komentar mengenai kegiatan yang di audit. Untuk mencapai tujuan tersebut, internal auditor melakukan kegiatan–kegiatan berikut:

·         Menelaah dan menilai kebaikan, memadai tidaknya dan penerapan sistem pengendalian manajemen, struktur pengendalian intern, dan pengendalian operasional lainnya serta mengembangkan pengendalian yang efektif dengan biaya yang tidak terlalu mahal.

·         Memastikan ketaatan terhadap kebijakan, rencana dan prosedurprosedur yang telah ditetapkan oleh manajemen.

·         Memastikan seberapa jauh harta perusahaan dipertanggungjawabkan dan dilindungi dari kemungkinan terjadinya segala bentuk pencurian, kecurangan dan penyalahgunaan.

·         Memastikan bahwa pengelolaan data yang dikembangkan dalam organisasi dapat dipercaya.

·         Menilai mutu pekerjaan setiap bagian dalam melaksanakan tugas yang diberikan oleh manajemen.

·         Menyarankan perbaikan-perbaikan operasional dalam rangka meningkatkan efisensi dan efektifitas

b.      Audit Sistem Informasi adalah dapat dilakukan dengan berbagai macam tahap-tahap. Tahap-tahap audit terdiri dari 5 tahap sebagai berikut :

·         Tahap pemeriksaan pendahuluan.

Sebelum auditor menentukan sifat dan luas pengujian yang harus dilakukan, auditor harus memahami bisnis auditi (kebijakan, struktur organisasi, dan praktik yang dilakukan). Setelah itu, analisis risiko audit merupakan bagian yang sangat penting. Ini meliputi review atas pengendalian intern. Dalam tahap ini, auditor juga mengidentifikasi aplikasi yang penting dan berusaha untuk memahami pengendalian terhadap transaksi yang diproses oleh aplikasi tersebut. pada tahap ini pula auditor dapat memutuskan apakah audit dapat diteruskan atau mengundurkan diri dari penugasan audit.

·         Tahap pemeriksaan rinci.

Pada tahap ini auditnya berupaya mendapatkan informasi lebih mendalam untuk memahami pengendalian yang diterapkan dalam sistem komputer klien. Auditor harus dapat memperkirakan bahwa hasil audit pada akhirnya harus dapat dijadikan sebagai dasar untuk menilai apakah struktur pengendalian intern yang diterapkan dapat dipercaya atau tidak. Kuat atau tidaknya pengendalian tersebut akan menjadi dasar bagi auditor dalam menentukan langkah selanjutnya.

·         Tahap pengujian kesesuaian.

Dalam tahap ini, dilakukan pemeriksaan secara terinci saldo akun dan transaksi. Informasi yang digunakan berada dalam file data yang biasanya harus diambil menggunakan software CAATTs. Pendekatan basis data menggunakan CAATTs dan pengujian substantif untuk memeriksa integritas data. Dengan kata lain, CAATTs digunakan untuk mengambil data untuk mengetahui integritas dan keandalan data itu sendiri.

·         Tahap pengujian kebenaran bukti.

Tujuan pada tahap pengujian kebenaran bukti adalah untuk mendapatkan bukti yang cukup kompeten,. Pada tahap ini, pengujian yang dilakukan adalah (Davis at.all. 1981) :

Ø  Mengidentifikasi kesalahan dalam pemrosesan data

Ø  Menilai kualitas data

Ø  Mengidentifikasi ketidakkonsistenan data

Ø  Membandingkan data dengan perhitungan fisik

Ø  Konfirmasi data dengan sumber-sumber dari luar perusahaan.

·         Tahap penilaian secara umum atas hasil pengujian.

Pada tahap ini auditor diharapkan telah dapat memberikan penilaian apakah bukti yang diperoleh dapat atau tidak mendukung informasi yang diaudit. Hasil penilaian tersebut akan menjadi dasar bagi auditor untuk menyiapkan pendapatanya dalam laporan auditan. Auditor harus mengintegrasikan hasil proses dalam pendekatan audit yang diterapkan audit yang diterapkan. Audit meliputi struktur pengendalian intern yang diterapkan perusahaan, yang mencakup :

·         pengendalian umum

·         pengendalian aplikasi, yang terdiri dari :

Ø  pengendalian secara manual

Ø  pengendalian terhadap output sistem informasi, dan

Ø  pengendalian yang sudah diprogram.

c.       Audit Kecurangan adalah upaya untuk mendeteksi dan mencegah kecurangan dalam transaksi-transaksi komersial. Untuk dapat melakukan audit kecurangan terhadap pembukuan dan transaksi komersial memerlukan gabungan dua keterampilan, yaitu sebagai auditor yang terlatih dan kriminal investigator.

d.      Audit Eksternal adalah Auditor eksternal merupakan pihak luar yang bukan merupakan karyawan perusahaan, berkedudukan independen dan tidak memihak baik terhadap auditee (pengguna laporan) maupun terhadap pihak-pihak yang berkepentingan dengan auditee

e.       Audit Keuangan adalah Audit Laporan Keuangan (Financial Audit) Audit laporan keuangan bertujuan untuk menentukan apakah laporan   keuangan   secara   keseluruhan   telah   disajikan   sesuai dengan kriteria-kriteria tertentu yang ditetapkan. Kriteria tersebut adalah prinsip akuntansi yang berlaku umum.

Sumber :

https://dwianita96.wordpress.com/2017/10/13/lembaga-lembaga-audit-sistem-informasi-di-indonesia/

https://adiazep.wordpress.com/2017/10/06/standar-panduan-untuk-audit/

Tugas 3 (Audit Teknologi Sistem Informasi)

Penjelasan semua point-point dari control objectives and controls (Tabel A1), yang terdapat dalam ISMS ISO 27001 – 2005. Berikut merupakan point-point yang terkandung dari tabel A1 :

A.5 Security Policy

Pada bagian ini berfungsi untuk kebijakan keamanan informasi yang bertujuan untuk memberikan arahan manajemen dan dukungan untuk keamanan informasi sesuai dengan persyaratan bisnis dan hukum dan peraturan yang relevan. Kontrol Dokumen kebijakan keamanan informasi harus disetujui oleh manajemen, dan dipublikasikan serta dikomunikasikan kepada semua karyawan dan pihak eksternal terkait. Kontrol kebijakan keamanan informasi harus ditinjau pada interval yang direncanakan atau jika terjadi perubahan signifikan untuk memastikan kesesuaian, kecukupan, dan efektivitasnya. 
  
A.6 Organization of information security
6.1 Organisasi internal
Tujuan: Untuk mengelola keamanan informasi dalam organisasi terdiri dari 8 bagian, yaitu :
1.  Komitmen manajemen terhadap keamanan informasi

Manajemen harus secara aktif mendukung keamanan dalam organisasi melalui arahan yang jelas, komitmen yang ditunjukkan, penugasan eksplisit, dan pengakuan tanggung jawab keamanan informasi.

2. Koordinasi keamanan informasi

Kegiatan keamanan informasi harus dikoordinasikan oleh perwakilan dari berbagai bagian organisasi dengan peran dan fungsi pekerjaan yang relevan.

3.  Alokasi tanggung jawab keamanan informasi

Semua tanggung jawab keamanan informasi harus didefinisikan dengan jelas.

4.  Proses otorisasi untuk fasilitas pemrosesan informasi

Proses otorisasi manajemen untuk fasilitas pemrosesan informasi baru harus ditentukan dan diimplementasikan.

5.  Perjanjian kerahasiaan

Persyaratan untuk perjanjian kerahasiaan atau non-pengungkapan yang mencerminkan kebutuhan organisasi untuk perlindungan informasi harus diidentifikasi dan ditinjau secara berkala.

6.  Kontak dengan pihak berwenang

Kontak yang sesuai dengan otoritas terkait harus dijaga.

7.  Kontak dengan kelompok minat khusus

Kontak yang sesuai dengan kelompok minat khusus atau forum keamanan spesialis lainnya dan asosiasi profesional harus dijaga.

8.  Tinjauan independen keamanan informasi

Pendekatan organisasi untuk mengelola keamanan informasi dan implementasinya (mis. Mengontrol tujuan, kontrol, kebijakan, proses, dan prosedur untuk keamanan informasi) harus ditinjau secara independen pada interval yang direncanakan, atau ketika terjadi perubahan signifikan pada implementasi keamanan.

6.2 Pihak luar
Tujuan: Untuk menjaga keamanan informasi dan fasilitas pemrosesan informasi organisasi yang diakses, diproses, dikomunikasikan ke, atau dikelola oleh pihak eksternal. Ada 3 poin, yaitu :
1. Identifikasi risiko yang terkait dengan pihak eksternal

Risiko terhadap informasi dan fasilitas pemrosesan informasi organisasi dari proses bisnis yang melibatkan pihak eksternal harus diidentifikasi dan kontrol yang tepat dilaksanakan sebelum memberikan akses.

2. Menangani keamanan ketika berhadapan dengan pelanggan

Semua persyaratan keamanan yang diidentifikasi harus diatasi sebelum memberikan pelanggan akses ke informasi atau aset organisasi.

3. Menangani keamanan dalam perjanjian pihak ketiga

Perjanjian dengan pihak ketiga yang melibatkan pengaksesan, pemrosesan, komunikasi atau pengelolaan informasi atau fasilitas pemrosesan informasi organisasi, atau menambahkan produk atau layanan ke fasilitas pemrosesan informasi harus mencakup semua persyaratan keamanan yang relevan.

A.7 Asset Management

Untuk mencapai dan memelihara perlindungan yang sesuai terhadap aset organisasi. Semua aset harus diidentifikasi secara jelas dan inventaris semua aset penting dibuat dan dipelihara. Semua informasi dan aset yang terkait dengan fasilitas pemrosesan informasi harus 'dimiliki3' oleh bagian organisasi yang ditunjuk. Aturan untuk penggunaan informasi dan aset yang dapat diterima terkait dengan fasilitas pemrosesan informasi harus diidentifikasi, didokumentasikan, dan diimplementasikan. Informasi harus diklasifikasikan untuk memastikan bahwa informasi menerima tingkat perlindungan yang sesuai. Informasi harus diklasifikasikan berdasarkan nilainya, persyaratan hukum, sensitivitas, dan kekritisan organisasi.Informasi juga harus melewati serangkaian prosedur pelabelan dan penanganan informasi yang tepat harus dikembangkan dan diimplementasikan sesuai dengan skema klasifikasi yang diadopsi oleh organisasi.

A.8 Human resources security

Untuk memastikan bahwa karyawan, kontraktor, dan pengguna pihak ketiga memahami tanggung jawab merekaPeran dan tanggung jawab keamanan karyawan, kontraktor, dan pengguna pihak ketiga harus ditentukan dan didokumentasikan sesuai dengan kebijakan keamanan informasi organisasi. Pemeriksaan verifikasi latar belakang pada semua kandidat untuk pekerjaan, kontraktor, dan pengguna pihak ketiga harus dilakukan sesuai dengan hukum, peraturan dan etika yang relevan, dan sebanding dengan persyaratan bisnis, klasifikasi informasi yang akan diakses, dan risiko yang dirasakan. Sebagai bagian dari kewajiban kontrak mereka, karyawan, kontraktor dan pengguna pihak ketiga harus menyetujui dan menandatangani syarat dan ketentuan kontrak kerja mereka, yang akan menyatakan tanggung jawab mereka dan organisasi untuk keamanan informasi. Manajemen harus mewajibkan karyawan, kontraktor, dan pengguna pihak ketiga untuk menerapkan keamanan sesuai dengan kebijakan dan prosedur organisasi yang ditetapkan. Semua karyawan organisasi dan, jika relevan, kontraktor dan pengguna pihak ketiga harus menerima pelatihan kesadaran yang tepat dan pembaruan rutin dalam kebijakan dan prosedur organisasi, yang relevan untuk fungsi pekerjaan mereka.

A.9 Physical And Environmental Security

A.9.1 Secure areas

Untuk mencegah akses fisik yang tidak sah, kerusakan dan interferensi ke tempat organisasi dan informasi, sebagai berikut  :

- Perimeter keamanan fisik

- Kontrol entri fisik

- Mengamankan kantor, ruangan dan fasilitas

- Melindungi terhadap eksternal dan ancaman lingkungan

- Bekerja di area aman

- Akses publik, pengiriman dan memuat area

A.9.2 Equipment Security

Untuk mencegah kehilangan, kerusakan, pencurian atau kompromi aset dan gangguan terhadap kegiatan organisasi :

- Peralatan tapak dan perlindungan
- Mendukung utilitas

- Keamanan kabel

- Pemeliharaan peralatan

- Keamanan peralatan di luar lokasi

- Pembuangan atau penggunaan kembali peralatan secara aman

- Penghapusan property

A.10 Communications And Operations Management

A.10.1 Prosedur dan tanggung jawab operasional
Hal ini untuk memastikan operasi fasilitas pemrosesan informasi yang benar dan aman. Seperti di bawah ini :

1.Prosedur operasi yang terdokumentasi.
2.Perubahan manajemen

3.Pemisahan tugas
4.Pemisahan pengembangan, pengujian dan fasilitas operasional

A.10.2 Manajemen pengiriman layanan pihak ketiga

Hal ini untuk menerapkan dan memelihara tingkat keamanan informasi dan pemberian layanan yang sesuai dengan perjanjian pemberian layanan pihak ketiga.bPengiriman layanan harus dipastikan kontrol keamanannya. Pemantauan dan peninjauan layanan pihak ketiga
dengan layanan, laporan, dan catatan yang disediakan. Mengelola perubahan pada layanan pihak ketiga termasuk memelihara dan meningkatkan kebijakan, prosedur, dan kontrol keamanan.

A.10.3 Perencanaan dan penerimaan system

Hal ini untuk meminimalkan risiko kegagalan sistem. Penggunaan sumber daya harus dipantau, disetel, dan proyeksi dibuat dari persyaratan kapasitas di masa depan untuk memastikan kinerja sistem yang diperlukan. Penerimaan system untuk sistem informasi baru, peningkatan, dan versi baru harus ditetapkan dan pengujian sistem yang sesuai dilakukan selama pengembangan dan sebelum penerimaan.

A.10.4 Perlindungan terhadap kode berbahaya dan ponsel

Hal ini untuk melindungi integritas perangkat lunak dan informasi. Kontrol terhadap kode berbahaya untuk pencegahan, dan pemulihan untuk melindungi terhadap kode berbahaya dan prosedur kesadaran pengguna yang sesuai harus dilaksanakan. Kontrol terhadap kode seluler
Kontrol jika penggunaan kode ponsel diotorisasi, konfigurasi harus memastikan bahwa kode ponsel resmi beroperasi sesuai dengan kebijakan keamanan.

A.10.5 Pencadangan

Tujuannya untuk menjaga integritas dan ketersediaan informasi dan fasilitas pemrosesan informasi.

A.10.5.1 Informasi cadangan

Salinan cadangan informasi dan perangkat lunak harus diambil dan diuji secara teratur sesuai dengan kebijakan cadangan yang disepakati.

A.10.6 Manajemen keamanan jaringan 
Tujuannya untuk memastikan perlindungan informasi dalam jaringan dan perlindungan infrastruktur pendukung dan jaringan harus dikelola dan dikendalikan secara memadai, agar terlindung dari ancaman, dan untuk menjaga keamanan sistem dan aplikasi yang menggunakan jaringan, termasuk informasi dalam perjalanan, serta perlu fitur keamanan, tingkat layanan, dan persyaratan manajemen semua layanan jaringan.

A.10.7 Penanganan media

Hal ini Untuk mencegah pengungkapan yang tidak sah, modifikasi, penghapusan atau penghancuran aset, dan gangguan terhadap kegiatan bisnis. Manajemen media yang dapat dipindahkan harus ada prosedur untuk pengelolaan media yang dapat dipindahkan.
dan media harus dibuang dengan aman dan aman ketika tidak lagi diperlukan, menggunakan prosedur penanganan dan penyimpanan informasi harus ditetapkan untuk melindungi informasi ini dari pengungkapan yang tidak sah atau penyalahgunaan.

A.10.8 Pertukaran informasi 
Hal ini untuk menjaga keamanan informasi dan perangkat lunak yang dipertukarkan dalam suatu organisasi dan dengan entitas eksternal apa pun. Kebijakan, prosedur, dan kontrol pertukaran formal harus ada untuk melindungi pertukaran informasi melalui penggunaan semua jenis fasilitas komunikasi. Serta perjanjian harus dibuat untuk pertukaran informasi dan perangkat lunak antara organisasi dan pihak eksternal. Informasi yang terlibat dalam pengiriman pesan elektronik harus dilindungi dengan tepat dan kebijakan dan prosedur harus dikembangkan dan diterapkan untuk melindungi informasi yang terkait dengan interkoneksi sistem informasi bisnis.

A.10.9 Layanan perdagangan elektronik

Tujuannya untuk memastikan keamanan layanan perdagangan elektronik, dan penggunaannya yang aman. Informasi yang terlibat dalam perdagangan elektronik yang melewati jaringan publik harus dilindungi dari aktivitas penipuan, sengketa kontrak, dan pengungkapan dan modifikasi yang tidak sah.

A.10.10 Pemantauan

Tujuannya untuk mendeteksi kegiatan pemrosesan informasi yang tidak sah. Catatan audit yang mencatat aktivitas pengguna, pengecualian, dan peristiwa keamanan informasi harus diproduksi dan disimpan selama periode yang disepakati untuk membantu dalam penyelidikan di masa depan dan pemantauan kontrol akses. Perlindungan informasi log dengan fasilitas pembalakan dan informasi log harus dilindungi terhadap gangguan dan akses tidak sah.
Kesalahan tersebut harus dicatat, dianalisis, dan diambil tindakan yang sesuai.

A.11 Access control

Dalam kontrol akses dapat beberapa poin sebagai berikut :

A.11.1 Persyaratan bisnis untuk kontrol akses

Kebijakan kontrol akses Kontrol

A.11.2 Manajemen akses pengguna

1. Pendaftaran pengguna Kontrol

2. Manajemen hak istimewa Kontrol

3. Manajemen kata sandi pengguna

4. Tinjauan hak akses pengguna

A.11.3 Tanggung jawab pengguna

Tujuan: Untuk mencegah akses pengguna yang tidak sah, dan kompromi atau pencurian informasi dan fasilitas pemrosesan informasi.

1.      Penggunaan kata sandi

2.      Pengguna harus mengikuti praktik keamanan yang baik dalam pemilihan dan penggunaan kata sandi.

3.      Peralatan pengguna yang tidak diawasi

4.      Pengguna harus memastikan bahwa peralatan yang tidak dijaga memiliki perlindungan yang tepat.

5.      Meja yang jelas dan layar bersih kebijakan

6.      Kebijakan meja yang jelas untuk kertas dan media penyimpanan yang dapat dilepas dan kebijakan layar yang jelas untuk fasilitas pemrosesan informasi harus diadopsi.

A.12 Akuisisi, pengembangan, dan pemeliharaan sistem informasi

A.12.1. Persyaratan keamanan sistem informasi

Tujuannya untuk memastikan bahwa keamanan adalah bagian integral dari sistem informasi.

A.12.2. Pemrosesan yang benar dalam aplikasi

Tujuannya untuk mencegah kesalahan, kehilangan, modifikasi yang tidak sah, atau penyalahgunaan informasi dalam aplikasi. Input data ke aplikasi harus divalidasi untuk memastikan bahwa data ini benar dan sesuai. Output data dari suatu aplikasi harus divalidasi untuk memastikan bahwa pemrosesan informasi yang disimpan adalah benar dan sesuai dengan keadaan.

A.12.3. Kontrol kriptografi

Tujuannya untuk melindungi kerahasiaan, keaslian, atau integritas informasi dengan cara. Kebijakan tentang penggunaan kontrol kriptografi untuk perlindungan informasi harus dikembangkan dan diimplementasikan.

A.12.4 Keamanan file system

Tujuannya untuk memastikan keamanan file sistem. Kontrol perangkat lunak operasional
harus ada prosedur untuk mengontrol instalasi perangkat lunak pada sistem operasional. Perlindungan data uji system perlu dan data uji harus dipilih dengan hati-hati, dan dilindungi

A.12.5 Keamanan dalam proses pengembangan dan dukungan

Tujuannya untuk menjaga keamanan perangkat lunak dan informasi sistem aplikasi. Implementasi perubahan harus dikendalikan oleh penggunaan prosedur kontrol perubahan formal. Tinjauan teknis aplikasi setelah perubahan sistem operasi jadi ketika sistem operasi diubah, aplikasi penting bisnis harus ditinjau dan diuji untuk memastikan tidak ada dampak buruk pada operasi atau keamanan organisasi.

A.12.6 Manajemen Kerentanan Teknis

Tujuannya mengurangi risiko akibat eksploitasi kerentanan teknis yang dipublikasikan. Informasi tepat waktu tentang kerentanan teknis dari sistem informasi yang digunakan harus diperoleh, paparan organisasi terhadap kerentanan tersebut dievaluasi, dan langkah-langkah yang tepat diambil untuk mengatasi risiko yang terkait.

A.13 Manajemen insiden keamanan informasi

A.13.1 Melaporkan kejadian dan kelemahan keamanan informasi

Tujuannya untuk memastikan kejadian dan kelemahan keamanan informasi yang terkait dengan sistem informasi dikomunikasikan dengan cara yang memungkinkan tindakan korektif yang tepat waktu dapat diambil, serta melaporkan kejadian keamanan informasi harus dilaporkan melalui saluran manajemen yang tepat secepat mungkin. Semua karyawan, kontraktor, dan pengguna sistem dan layanan informasi pihak ketiga diharuskan untuk mencatat dan melaporkan segala kelemahan keamanan yang diamati atau dicurigai dalam sistem atau layanan.

A.13.2 Manajemen insiden dan peningkatan keamanan informasi

Hal ini untuk memastikan pendekatan yang konsisten dan efektif diterapkan pada manajemen insiden keamanan informasi. Tanggung jawab dan prosedur manajemen harus ditetapkan untuk memastikan respons yang cepat, efektif, dan teratur terhadap insiden keamanan informasi. Harus ada mekanisme untuk memungkinkan jenis, volume, dan biaya insiden keamanan informasi untuk dikuantifikasi dan dipantau.
 

A.14 Pengelolaan kontinuitas bisnis

A.14.1 Aspek keamanan informasi manajemen kontinuitas bisnis

- Proses yang dikelola harus dikembangkan dan dipelihara untuk kelangsungan bisnis di seluruh organisasi yang membahas persyaratan keamanan informasi yang diperlukan untuk kelangsungan bisnis organisasi

- Peristiwa yang dapat menyebabkan gangguan pada proses bisnis harus diidentifikasi, bersama dengan kemungkinan dan dampak dari gangguan tersebut dan konsekuensinya untuk keamanan informasi.

- Rencana harus dikembangkan dan diterapkan untuk mempertahankan atau memulihkan operasi dan memastikan ketersediaan informasi pada tingkat yang diperlukan dan dalam skala waktu yang diperlukan setelah gangguan terhadap, atau kegagalan, proses bisnis yang penting.

- Satu kerangka kerja rencana kesinambungan bisnis harus dipelihara untuk memastikan semua rencana konsisten, untuk secara konsisten menangani persyaratan keamanan informasi, dan untuk mengidentifikasi prioritas untuk pengujian dan pemeliharaan.

- Rencana kesinambungan bisnis harus diuji dan diperbarui secara berkala untuk memastikan bahwa mereka up to date dan efektif.

A.15 Kepatuhan
A.15.1 Kepatuhan dengan persyaratan hokum

Tujuannya untuk menghindari pelanggaran hukum, kewajiban hukum, peraturan atau kontrak, dan persyaratan keamanan apa pun.

- Semua persyaratan hukum, peraturan dan kontrak yang relevan dan pendekatan organisasi untuk memenuhi persyaratan ini harus secara eksplisit didefinisikan, didokumentasikan, dan terus diperbarui untuk setiap sistem informasi dan organisasi.

- Prosedur yang sesuai harus diterapkan untuk memastikan kepatuhan terhadap persyaratan legislatif, peraturan, dan kontrak tentang penggunaan materi yang mungkin ada hak kekayaan intelektual dan penggunaan produk perangkat lunak berpemilik.

- Catatan penting harus dilindungi dari kehilangan, kehancuran dan pemalsuan, sesuai dengan persyaratan hukum, peraturan, kontrak, dan bisnis.

- Perlindungan data dan privasi harus dipastikan sebagaimana dipersyaratkan dalam undang-undang yang relevan, peraturan, dan, jika berlaku, klausul kontrak.

- Pengguna harus dihalangi untuk menggunakan fasilitas pemrosesan informasi untuk tujuan yang tidak sah.

- Kontrol kriptografi harus digunakan sesuai dengan semua perjanjian, hukum, dan peraturan yang relevan.

 A.15.2 Kepatuhan terhadap kebijakan dan standar keamanan, dan kepatuhan teknis

Tujuannya untuk memastikan kepatuhan sistem dengan kebijakan dan standar keamanan organisasi.
- Manajer harus memastikan bahwa semua prosedur keamanan dalam wilayah tanggung jawabnya dilaksanakan dengan benar untuk mencapai kepatuhan terhadap kebijakan dan standar keamanan.

- Sistem informasi harus diperiksa secara berkala untuk kesesuaian dengan standar implementasi keamanan.

A.15.3 Pertimbangan audit sistem informasi

Tujuannya memaksimalkan keefektifan dan meminimalkan gangguan ke / dari proses audit sistem informasi.

- Persyaratan dan kegiatan audit yang melibatkan pemeriksaan sistem operasional harus direncanakan dan disepakati secara hati-hati untuk meminimalkan risiko gangguan terhadap proses bisnis.

- Akses ke alat audit sistem informasi harus dilindungi untuk mencegah kemungkinan penyalahgunaan atau kompromi.