1
FACILITATED RISK ANALYSIS
PROCESS (FRAP) (Terjemahan By: Ahmad UC, 2017)
Thomas R. Peltier
DALAM
Facilitated Risk Analysis Process (FRAP)
Ikhtisar; Mengapa Dibutuhkan FRAP; Memperkenalkan FRAP Enterprise Anda; Pre-FRAP
Meeting; The FRAP Tim; The FRAP Fasilitator; The FRAP Sesi; Pertemuan pasca-FRAP
PENGANTAR
Sebagian besar perusahaan sedang berusaha untuk mengelola jenis yang sama dari risiko
yang dihadapi setiap organisasi lainnya. Dengan budaya bisnis yang berubah, tim keamanan yang
sukses harus memodifikasi proses menanggapi risiko baru berprofil tinggi, lingkungan E-bisnis.
Bahkan dengan perubahan fokus, organisasi saat ini masih harus melindungi integritas,
kerahasiaan, dan ketersediaan sumber daya informasi mereka andalkan. Meskipun ada peningkatan
minat dalam keamanan dengan manajemen tingkat atas, faktanya menunjukan bahwa bisnis dari
perusahaan adalah bisnis. Program keamanan harus membantu unit bisnis dengan menyediakan
layanan handal berkualitas tinggi dalam membantu mereka melindungi aset perusahaan.
GAMBARAN ANALISIS PROSES RISIKO FASILITAS (FRAP)
Facilitated Risk Analysis Process (FRAP) dikembangkan sebagai proses yang efisien
dan disiplin untuk memastikan bahwa risiko keamanan informasi terkait dengan operasi bisnis akan
selalu dipertimbangkan dan didokumentasikan. Prosesnya terdiri dari menganalisis sebuah sistem,
aplikasi atau segmen operasi bisnis pada satu waktu dan membentuk sebuah tim individu yang
mencakup manajer bisnis yang akrab dengan kebutuhan informasi bisnis dan Staf teknis yang
memiliki pemahaman yang rinci tentang potensi kerentanan (vulnerabilities) sistem dan kontrol
terkait. Pada sesi ini, mengikuti suatu agenda standar, yang difasilitasi oleh anggota dari kantor
proyek atau staf perlindungan informasi dan bertanggung jawab untuk memastikan bahwa anggota
tim dapat berkomunikasi secara efektif dan mematuhi agenda.
Selama sesi ini, tim brainstorm/mengeluarkan pendapat (adalah teknik kreativitas
yang mengupayakan pencarian penyelesaian dari suatu masalah tertentu dengan
mengumpulkan gagasan/ide & kreativitas secara spontan dari anggota kelompok.)
mengidentifikasi potensi ancaman (threats), kerentanan (vulnerabilities), dan dampak negatif yang
dihasilkan pada integritas data, kerahasiaan (confidentiality), dan ketersediaan (availability).
Kemudian tim ini akan menganalisis efek dari dampak tersebut pada operasi bisnis dan secara luas
mengkategorikan risiko sesuai dengan tingkat prioritas mereka. Tim biasanya tidak berusaha untuk
2
mendapatkan atau mengembangkan nomor khusus kemungkinan terjadinya ancaman atau
perkiraan kerugian tahunan kecuali data untuk menentukan beberapa faktor seperti sudah tersedia.
Sebagai gantinya, tim akan mengandalkan pengetahuan umum mereka terhadap ancaman dan
kerentanan yang diperoleh dari pusat penanganan insiden nasional, asosiasi profesional dan sastra,
dan pengalaman mereka sendiri.
Ketika pembentukan tim, ini merupakan pengalaman yang memungkinkan mereka untuk
percaya bahwa upaya tambahan untuk mengembangkan risiko justru diukur dari biaya yang tidak
efektif karena:
Perkiraan tersebut mengambil banyak waktu dan usaha untuk mengidentifikasi dan
memverifikasi atau mengembangkan
Dokumentasi risiko menjadi terlalu besar sekali untuk digunakan secara praktis
Perkiraan kerugian tertentu umumnya tidak diperlukan untuk mengetahui apakah kontrol
diperlukan.
Setelah mengidentifikasi dan mengkategorikan risiko, tim ini akan mengidentifikasi kontrol
yang dapat diterapkan untuk mengurangi risiko, dengan fokus pada pengendalian biaya yang paling
efektif. Tim akan menggunakan titik awal dari 26 kontrol umum yang dirancang untuk mengatasi
berbagai jenis risiko. Pada akhirnya, keputusan untuk apa kontrol yang dibutuhkan terletak pada
manajer bisnis, yang memperhitungkan point utama yaitu aset informasi dan kepentingan mereka
untuk operasi bisnis dan kontrol biaya.
Kesimpulan dari tim yaitu mengenai risiko apa yang ditemukan, apa prioritas mereka, dan
kontrol apa yang diperlukan untuk didokumentasikan dan dikirimkan bersama untuk pimpinan
proyek dan manajer bisnis untuk penyelesaian rencana kegiatan. Seorang profesional keamanan
disini dapat membantu manajer unit bisnis dalam menentukan kontrol yang efektif dan memenuhi
kebutuhan bisnis mereka. Setelah setiap risiko telah ditetapkan ukuran kontrol atau telah disetujui
sebagai risiko berbisnis, maka manajer bisnis senior dan ahli teknis yang berpartisipasi
menandatangani dokumen yang telah lengkap. Dokumen dan semua surat-surat terkait dimiliki
oleh unit bisnis sponsor dan dipertahankan untuk periode yang akan ditentukan oleh prosedur
manajemen pencatatan (biasanya tujuh tahun).
Setiap proses analisis risiko dibagi menjadi empat sesi yang berbeda:
1. Pertemuan pre-FRAP (persiapan) berlangsung sekitar satu jam dan dihadiri manajer bisnis,
pimpinan proyek, dan fasilitator.
2. Sesi FRAP memakan waktu sekitar empat jam dan mencakup 7 sampai 15 orang, melalui
sesi sebanyak 50 dan sedikitnya empat orang.
3. Analisis FRAP dan laporan generasi biasanya memakan waktu 4 sampai 6 hari dan diisi
oleh fasilitator dan juru tulis.
4. Sesi Pasca FRAP memakan waktu sekitar satu jam dan memiliki peserta yang sama seperti
pertemuan pra-FRAP.
Sisa dari artikel ini akan meneliti mengapa FRAP dikembangkan, apa yang masing-masing
dari empat fase perlukan, dan apa yang masing-masing dapatkan dari setiap fase.
3
KEBUTUHAN TERHADAP FRAP
Sebelumnya adanya pengembangan FRAP, analisis risiko sering dianggap sebagai tugas
utama yang diperlukan perusahaan untuk membayar konsultan luar dan bisa memakan waktu yang
panjang. Seringkali proses analisis risiko memakan waktu berminggu-minggu untuk menyelesaikan
analisis dan memakan anggaran yang besar. Dengan mempekerjakan konsultan luar, keahlian staf
di dalam perusahaan sering diabaikan, dan hasil yang dihasilkan tidak dapat diterima oleh manajer
unit bisnis.
Hasil dari proses analisis dengan metode lama, yaitu manajer bisnis yang tidak mengerti
kontrol yang direkomendasikan, tidak menginginkan kontrol yang direkomendasikan dan sering
merusak proses implementasi.
Hal yang diperlukan adalah proses analisis risiko yang didorong oleh manajer bisnis,
memakan waktu dalam hitungan hari, bukan minggu atau bulan, biaya yang efektif, dan
menggunakan para ahli di perusahaan sendiri. FRAP memenuhi semua persyaratan ini dan
tambahan lain yang bisa dilakukan oleh seseorang dengan pengetahuan yang terbatas dari sistem
tertentu atau proses bisnis, tetapi dengan kemampuan fasilitasi yang baik.
FRAP adalah metodologi formal yang dikembangkan melalui pemahaman proses analisis
risiko kualitatif yang telah dikembangkan sebelumnya dan memodifikasinya untuk memenuhi
persyaratan saat ini. Hal ini didorong oleh sisi bisnis perusahaan dan memastikan bahwa kontrol
memungkinkan proses bisnis untuk memenuhi tujuan-tujuannya. Sebelumnya tidak pernah ada
diskusi tentang kontrol sebagai persyaratan keamanan atau audit. FRAP berfokus pada kebutuhan
bisnis dan keterbatasan waktu yang dapat dihabiskan untuk tugas-tugas tersebut.
Dengan melibatkan unit bisnis, FRAP menggunakannya untuk mengidentifikasi risiko dan
ancaman. Setelah pemilik sumber daya yang terlibat dalam mengidentifikasi ancaman, maka mereka
umumnya mengatur dan mencari bantuan dalam menerapkan biaya kontrol yang efektif untuk
membantu membatasi eksposur (objek yang rentan terhadap resiko). FRAP memungkinkan unit
bisnis untuk mengendalikan sumber daya mereka. Hal ini memungkinkan mereka untuk
menentukan perlindungan apa yang diperlukan dan siapa yang akan bertanggung jawab untuk
mengimplementasikan perlindungan.
Hasil dari FRAP adalah sebuah dokumen komprehensif yang mengidentifikasi
ancaman, memberikan prioritas kepada mereka mengenai ancaman dan mengidentifikasi
kontrol yang akan membantu mengurangi ancaman tersebut. Ini memberikan perusahaan dengan
action plan yang hemat biaya, memenuhi kebutuhan bisnis untuk melindungi sumber daya
perusahaan ketika melakukan bisnis. Yang paling penting, dengan keterlibatan manajer bisnis,
FRAP memberikan dukungan kepada klien atau pemilik yang percaya pada action plan.
Memperkenalkan FRAP untuk Perusahaan Anda
Ketika memulai FRAP, maka akan diperlukan untuk menjelaskan apa itu FRAP dan
bagaimana kerjanya. Ini akan diperlukan untuk beberapa bulan pertama pengenalan proses untuk
perusahaan Anda. Anda mungkin ingin melakukan sesi penggambaran FRAP untuk membantu
Anda dalam proses ini. Ini akan sangat bermanfaat untuk melakukan sesi awal dengan aplikasi dan
sistem pengembangan kelompok. Pada akhirnya, unit bisnis harus diperkenalkan ke proses.
4
Ini akan diperlukan bagi anda untuk menjual layanan ini didalam dunia usaha anda.
Menggunakan beberapa argumen yang dibahas di atas, tapi biarkan mereka tahu sendiri bahwa
proses hemat biaya ini akan memungkinkan unit bisnis untuk mengendalikan nasib mereka sendiri.
FRAP yang telah dilaksanakan untuk membantu perusahaan dalam memenuhi tujuan bisnis dan
melengkapi proses analisis risiko adalah biaya melakukan bisnis dalam lingkungan yang berjalan
sekarang.
Kunci dari proses ini akan membantu mengidentifikasi risiko bisnis. Risiko akan
diklasifikasikan sebagai kejadian yang tidak diinginkan atau tanpa izin tidak dalam hal efeknya pada
persyaratan keamanan atau audit, tetapi dalam hal efeknya pada menyelesaikan tujuan atau misi
dari bisnis perusahaan.
Ini akan diperlukan untuk memastikan bahwa semua karyawan memahami beberapa
definisi dasar dalam FRAP. Akan ada lebih banyak definisi nantinya, tapi untuk saat ini, akan
diperlukan untuk memastikan bahwa karyawan memahami lima definisi kunci:
1. Risiko - adalah peristiwa potensial yang akan berdampak negatif pada tujuan atau misi dari
perusahaan bisnis.
2. Control - adalah ukuran yang diambil untuk menghindari, mendeteksi, mengurangi atau
pemulihan dari risiko untuk melindungi proses bisnis atau misi perusahaan.
3. Integritas - informasi sebagaimana dimaksud, tanpa modifikasi yang tidak sah atau tidak
diinginkan atau korupsi.
4. Kerahasiaan - informasi tidak mengalami pengungkapan yang tidak sah atau tidak
diinginkan.
5. Ketersediaan - aplikasi, sistem, atau sumber daya informasi dapat diakses bila diperlukan.
Tujuan FRAP adalah untuk mengidentifikasi potensi kejadian yang tidak diinginkan atau
tanpa izin risiko yang bisa berdampak negatif terhadap tujuan atau misi dari bisnis perusahaan.
Setelah risiko ini diidentifikasi dan diprioritaskan, maka pengendalian yang tepat akan diidentifikasi
untuk membantu mengurangi tingkat risiko. Tim akan memeriksa semua jenis risiko, apakah
disengaja atau tidak disengaja. Fasilitator akan membantu tim meskipun proses brainstorming
dengan mengajukan pertanyaan terkemuka. Cobalah agar tim untuk dapat meneliti
program/masalah lain dari risiko. "Apa yang Anda pikirkan tentang hal ini?" atau "Apa yang akan
terjadi jika hal ini terjadi?”.
Pra-FRAP Meeting
Pertemuan pra-FRAP adalah kunci untuk keberhasilan proyek. Pertemuan biasanya
berlangsung sekitar satu jam dan biasanya dilakukan di kantor klien. Pertemuan harus
memiliki/dihadiri manajer bisnis (perwakilan/representative), pimpinan pengembangan proyek,
dan fasilitator. Akan ada lima komponen utama yang keluar dari sesi satu jam ini.
1. Scope statement (Pernyataan Cakupan) - Pemimpin proyek dan manajer bisnis harus
membuat pernyataan kesempatan untuk hal yang di bahas. Mereka mengembangkan/
membangun kata apa sebenarnya yang akan ditinjau. Pernyataan ruang lingkup dibahas
dalam chapter 2 dan harus ditinjau kembali untuk konten.
5
2. Visual Model - perlu adanya model visual. Ini adalah satu halaman atau foil diagram yang
menggambarkan proses yang akan ditinjau. Model visual yang akan digunakan selama sesi
FRAP untuk memperkenalkan kepada tim mengenai dimana proses akan dimulai dan
berakhir.
3. Establish the FRAP team (Membangun tim FRAP) – Sebuah tim FRAP biasanya
memiliki antara 7 sampai 15 anggota dan memiliki perwakilan dari sejumlah bisnis serta
dukungan Area. Susunan tim FRAP akan dibahas kemudian dalam bab ini.
4. Meeting mechanics. (Pertemuan Mekanik). Ini adalah pertemuan bisnis Unit manajer
dan individu bertanggung jawab untuk mendapatkan ruangan, pengaturan jadwal,
mendapatkan bahan yang dibutuhkan (biaya overhead, flip chart, kopi, donat, dan camilan).
5. Agreement on definitions (Persetujuan tentang definisi). Sesi pre-FRAP adalah di
mana kesepakatan tentang definisi FRAP secara lengkap. Perlu ada kesepakatan tentang
definisi dari elemen ulasan (integrity (integritas), confidentiality (kerahasiaan), ketersediaan
(availability)).
Selain review elemen, maka akan diperlukan untuk menyepakati:
a. Risk (risiko)
b. Control (kontrol)
c. Impact (dampak)
d. Vulnerability (kerentanan/kelemahan)
Selama sesi pra-FRAP, sesi ini akan menjadi penting untuk berdiskusi mengenai proses
untuk memprioritaskan ancaman. Ada dua kelompok pemikiran untuk menjelaskan bagaimana
tentang proses ini berjalan. Yang pertama adalah untuk memiliki review tim FRAP tentang semua
ancaman yang diidentifikasi itu dimisalkan jika tidak ada kontrol di tempat. Maka, ini akan
membentuk set kontrol logis yang “ideal". Hal ini akan memungkinkan FRAP yang akan digunakan
analisis mengenai kesenjangan/gap antara "sebagai-adalah" (as-is) dan "untuk - akan"/menjadi (to-
be) yang menunjukkan kesenjangan dan kerentanannya.
Metode kedua adalah untuk menilai ancaman dengan kontrol yang ada di tempat. Ungkapan kunci
di sini adalah untuk "menilai" / “mengukur”. Ada tiga fase dalam proses perlindungan informasi:
1. Analisis risiko: untuk meninjau lingkungan yang ada, mengidentifikasi ancaman,
memprioritaskan ancaman, dan merekomendasikan perlindungan.
2. Pelaksanaan Safeguard: menentukan dan melaksanakan usaha-usaha perlindungan yang
masuk akal bisnis yang sehat.
3. Penilaian Keamanan: meninjau pengamanan (kontrol) dan menentukan efektivitas mereka.
TIM FRAP
Selama pertemuan pre-FRAP, manajer bisnis dan Pimpinan proyek perlu mengidentifikasi siapa
yang harus menjadi bagian tim dari sesi FRAP. Jumlah ideal peserta antara 7 dan 15. Disarankan
bahwa perwakilan dari bidang-bidang berikut disertakan dalam proses FRAP:
Pemilik fungsional
Pengguna sistem
6
Administrator sistem
Analisis sistem
Pemrograman sistem
Pemrograman aplikasi
Administrasi database
Informasi keamanan
Keamanan fisik
Telekomunikasi
Administrasi jaringan (network administration)
Penyedia layanan (Service Provider)
Audit (jika sesuai)
Hukum (jika sesuai)
Sumber daya manusia (jika sesuai)
Hubungan kerja (jika sesuai)
Tidak ada aturan keras dan cepat siapa yang harus hadir; tapi untuk menjadi sukses, pemilik bisnis
(functional business owner) dan pengguna sistem fungsional (system users) harus menjadi bagian dari
FRAP tersebut. Ini merupakan proses bisnis mereka yang akan dikaji dan itu akan menjadi hal
penting bahwa mereka akan menjadi bagian dari proses.
Kelompok “Sistem (s)" ini juga merupakan bagian penting dari tim FRAP. Administrator
sistem (system administrator) biasanya ditemukan di departemen pengguna dan telah memiliki
beberapa pelatihan dalam aplikasi baru atau sistem, dan merupakan titik awal
kontak/komunikasi untuk pengguna ketika mereka memiliki masalah.
Kelompok analisis sistem (systems analysis) terdiri dari orang-orang bilingual yang berbicara
fasih bisnis dan informasi sistem. Yang dapat menjadi vital adalah dalam memastikan
bahwa apa yang diucapkan pada pertemuan FRAP dipahami oleh semua pihak.
Kelompok pemrograman sistem (systems programming) terdiri dari orang-orang yang
mendukung platform dan memastikan bahwa lingkungan operasi saat bekerja dan sudah
dikonfigurasi dengan benar.
Aplikasi pemrograman (Applications programming ) adalah individu lain yang akan
menciptakan aplikasi baru atau menyesuaikan aplikasi atau perangkat lunak pihak ketiga
yang ada untuk memenuhi kebutuhan fungsional pemilik.
Administrator database (database administrators ) adalah individu teknis yang memahami
bagaimana mekanisme kinerja database dan sering bertanggung jawab untuk memastikan
bahwa mekanisme keamanan database bekerja dengan benar.
7
Keamanan informasi (Information security ) harus memiliki perwakilan sebagai bagian dari
tim FRAP. Banyak FRAPS difasilitasi oleh seseorang dari keamanan informasi, tapi ini
sering timbuk konflik kepentingan. Fasilitator harus memiliki aura/kemampuan netralitas
tentang mereka.
keamanan fisik (Physical security) (atau seseorang dari fasilitas teknis/insinyur) harus menjadi
bagian dari tim. Ini akan membawa perspektif keprihatinan melihat dari operasi lingkungan
fisik.
Jika sumber daya dikaji akan mengakses jaringan, atau perangkat telekomunikasi lainnya,
maka wakil-wakil dari daerah-daerah harus bagian dari proses.
Jika sumber daya dikaji untuk mengakses jaringan, atau perangkat telekomunikasi lainnya,
maka wakil-wakil dari bidangnya harus menjadi bagian dari proses.
Setiap aplikasi berbasis web akan membutuhkan perwakilan untuk membentuk organisasi
dukungan Internet, termasuk Web master dan administrator firewall.
Empat kelompok berikutnya diklasifikasikan sebagai opsi "jika sesuai/disesuaikan". Staf
Audit (audit staff) adalah kelompok yang dapat menawarkan beberapa ide yang baik, tetapi mereka
sering mempengaruhi arus informasi yang bebas. Kecuali terdapat hubungan kerja yang sangat baik
dengan staf audit, dianjurkan bahwa mereka tidak mengambil bagian dalam sesi FRAP. Tim audit
akan melihat hasil FRAP nanti dan mungkin akan menggunakan output ketika mereka melakukan
audit sumber daya.
Staf hukum (legal staff) biasanya terlalu sibuk untuk setiap FRAP. Namun, jika ada sumber
daya di bawah review yang memiliki dampak besar pada perusahaan, itu mungkin akan sesuai untuk
memperpanjang undangan ke departemen hukum. Penulis merekomendasikan untuk bertemu
dengan staf hukum agar mendiskusikan apa itu FRAP dan untuk menetapkan pedoman kapan
mereka perlu menjadi bagian dari proses atau untuk melihat kekhawatiran risiko tertentu.
Setiap kali sumber daya dikaji akan berdampak pada karyawan, maka Sumber Daya
Manusia dan, bagi karyawan yang diwakili, Hubungan Tenaga Kerja perlu dilibatkan dalam FRAP.
Daftar ini tidak termasuk semua, juga tidak mewakili campuran yang benar dari pemain jika FRAP
bergerak menjauh dari analisis informasi risiko keamanan tradisional. Kuncinya di sini adalah untuk
memahami bahwa FRAP akan menjadi sukses, maka harus ada perwakilan dari spectrum (cakupan)
yang luas dari kelompok karyawan.
The FRAP Fasilitator
Untuk memfasilitasi FRAP sebagai fasilitator, membutuhkan penggunaan sejumlah
keterampilan khusus. Keterampilan ini dapat ditingkatkan dengan menghadiri pelatihan khusus
dan ikut dalam memfasilitasi. Keterampilan yang dibutuhkan mencakup kemampuan untuk:
8
Dengarkan (Listen): memiliki kemampuan untuk responsif terhadap perilaku verbal dan
non-verbal dari peserta. Mampu mengutip tanggapan untuk topik kajian dan dapat
memperjelas tanggapan.
Memimpin (lead): Menyiapkan sesi FRAP dimulai dan mendorong diskusi dengan menjaga
tim terfokus pada topik yang sedang dibahas.
Mencerminkan (Reflect): mengulangi ide-ide dalam kata-kata segar atau untuk penekanan.
Meringkas (Summarize): mampu menarik tema dan ide-ide bersama-sama.
Berhadapan (Confront): mampu memberi feedback pendapat, bereaksi jujur untuk masukan
dari tim dan mampu mengambil komentar tajam/kasar dan mengubahnya menjadi
pernyataan positif.
Dukungan (Support): menciptakan iklim/suasana kepercayaan dan penerimaan.
intervensi krisis (Crisis intervention): membantu untuk memperluas visi seseorang dari pilihan
atau alternatif dan untuk memperkuat poin tindakan yang dapat membantu menyelesaikan
konflik atau krisis.
Pusat (Center): membantu tim untuk menerima pandangan lain dan membangun
kepercayaan diri untuk semua agar merespon dan berpartisipasi.
Memecahkan masalah (Solve Problems): mengumpulkan informasi yang relevan tentang
masalah yang dihadapi dan membantu tim membangun tujuan pengendalian yang efektif.
Mengubah perilaku (Change Behavior): mencari orang-orang yang tampaknya tidak menjadi
bagian dari proses dan membawa mereka ke dalam partisipasi aktif.
Aturan dasar untuk memfasilitasi proses harus diperhatikan oleh semua fasilitator jika
FRAP ingin menjadi sukses. Pemimpin FRAP harus:
1. Perhatikan dengan seksama dan mendengarkan semua yang tim katakan dan lakukan.
2. Kenali (Recognize) semua masukan dan mendorong partisipasi.
3. Jadilah jeli (observant) menanggapi tanggapan nonverbal.
4. Jangan pernah memberi ceramah/mengajari (never lecture); mendengarkan dan mendapatkan
tim yang terlibat.
5. Jangan pernah melupakan tujuan.
6. Tetap netral (atau selalu muncul untuk tetap netral).
7. Belajar untuk mengharapkan permusuhan, tetapi tidak pernah menjadi bermusuhan.
8. Hindari menjadi "otoritas ahli." Peran fasilitator adalah untuk mendengarkan, pertanyaan,
menegakkan proses, dan menawarkan alternatif.
9
9. Patuhi frame waktu dan tepat waktu.
10. Gunakan istirahat untuk membebaskan diskusi.
11. Jadilah pelayan/penyedia untuk melayani tim FRAP.
12. Hentikan FRAP jika grup tersebut lamban dan sulit dikendalikan.
Sebagai fasilitator FRAP, maka akan diperlukan menyiapkan toolkit FRAP sendiri. toolkit
ini harus mencakup:
flipchart
selotip dan mendorong pin
pena warna / spidol
kartu tenda
sesi perjanjian
Sesi perjanjian dikembangkan beberapa tahun yang lalu, dan beberapa anggota tim. Penulis
telah dilaminasi mereka dan posting mereka di ruang sesi FRAP (lihat Exhibit 5.1). Perjanjian
mengharuskan:
Semua orang berpartisipasi (Everyone participates): Seseorang akan melihat bagaimana hal
ini terjadi dalam proses sesi FRAP.
Semua orang tetap dengan peran/rule yang telah diidentifikasi: fasilitator akan
memfasilitasi dan juru tulis akan menulis, semua orang akan berpartisipasi.
Semua orang menempel pada agenda / focus sekarang (Everyone sticks to the
agenda/current focus): Ruang lingkup pernyataan dan visual yang akan diposting atau
diberikan kepada semua peserta.
Semua ide memiliki nilai yang sama (All ideas have equal value): dimana George Orwell
mengatakan bahwa "semua hewan adalah sama, tetapi beberapa lebih sama dari yang
lain," kesetaraan ditekankan di sini.
Semua orang mendengarkan sudut pandang lain (Everyone listen to other points of view):
berusaha mendapatkan tim untuk benar-benar mendengarkan pembicara dan bukan
hanya menunggu giliran mereka dengan token.
Tidak ada "menjatuhkan" ... semua masalah dicatat: Jack Durner dari Grup Mendon
memberi kami istilah ini; tidak ada "menjatuhkan" ke lantai.
Penangguhan (Defered) masalah akan disimpan: apakah item berada di luar lingkup apa
yang sedang dikaji, maka dicatat pada daftar masalah tangguhan dan akan memiliki
seseorang yang ditugaskan untuk melihat ke dalam masalah ini.
Memposting ide sebelum membahas ide itu: dapatkan di flipchart pertama.
Membantu juru tulis untuk memastikan bahwa semua masalah dicatat: membawa
seorang juru tulis bersama untuk merekam apa yang diposting pada flipchart.
Satu percakapan pada suatu waktu: di sini adalah di mana keterampilan fasilitasi
seseorang akan diuji.
Satu orang marah pada satu waktu: penulis biasanya menjadi relawan untuk pekerjaan
itu.
Terapkan 3 sampai 5 menit aturan: semua diskusi harus disimpulkan dalam menyetujui
kerangka waktu. Dan jadilah:
10
- cepat
- adil
- bagus
- kreatif
Selamat bersenang-senang.
The FRAP Sesi
Sesi FRAP umumnya dijadwalkan selama empat jam. Beberapa organisasi telah
memperluas proses untuk bertahan selama tiga hari, tetapi biasanya, batas empat jam didasarkan
pada jadwal sibuk dan fleksibilitas dari FRAP. Sesi FRAP dapat dibagi menjadi tiga bagian yang
berbeda, dengan sembilan elemen membawa tiga penyampaian.
Tahap 1: Logistik - selama fase ini, tim FRAP akan memperkenalkan diri, memberikan nama,
judul, departemen, dan nomor telepon (semua ini akan disimpan oleh juru tulis). Peran tim FRAP
akan diidentifikasi dan dibahas.
Biasanya terdapat lima peran:
1. Pemilik
2. Leader Proyek
3. Fasilitator
4. juru tulis
5. beberapa anggota tim
Selama fase awal ini, tim FRAP akan diberikan gambaran tentang proses yang mereka akan
ambil bagian didalamnya. Mereka juga akan terkena pernyataan tentang ruang lingkup, dan
kemudian seseorang dari tim teknis akan memberikan gambaran lima menit proses yang dikaji
(model visual). Akhirnya, definisi akan ditinjau dan masing-masing anggota harus diberikan salinan
definisi.
11
Tahap 2 : Setelah pendahuluan yang lengkap, tim FRAP akan memulai proses brainstorming
(teknik kreativitas yang mengupayakan pencarian penyelesaian dari suatu masalah tertentu dengan
mengumpulkan gagasan/ide & kreativitas secara spontan dari anggota kelompok) (lihat Exhibit 5.2). Ini
adalah Tahap 2, yang mengambil setiap elemen Ulasan (integritas, kerahasiaan, dan ketersediaan)
dan mengidentifikasi risiko, ancaman, kekhawatiran, dan masalah untuk setiap elemen.
Proses brainstorming menjelaskan bahwa fasilitator akan menampilkan definisi dan
beberapa contoh kerja dari risiko. Tim ini kemudian diberi waktu tiga menit untuk menuliskan
risiko yang menjadi perhatian mereka. Fasilitator kemudian akan berjalan disekitar ruang untuk
mendapatkan satu risiko dari masing-masing anggota tim. Akan banyak memiliki lebih dari satu
risiko, namun pada proses ini untuk mendapatkan satu risiko dan kemudian pindah ke orang
berikutnya. Dengan cara ini, semua orang mendapat giliran untuk berpartisipasi. Proses berlanjut
sampai semua orang lewat (yaitu, tidak ada lagi risiko yang tim bisa fikirkan).
Contoh Risiko (Bukan daftar lengkap)
Ancaman terhadap Kerahasiaan
• akses tanpa otorisasi
• mengungkapkan tanpa otorisasi
• mengamati atau memonitor transaksi
• copy tanpa otorisasi
• packet sniffing pada jaringan
• kontraktor mengakses informasi rahasia
Definisi:
Kerahasiaan: Informasi tidak mengalami pengungkapan yang tidak sah atau tidak
diinginkan.
Proses brainstorming akan terus berjalan secara kontinyu sampai setiap dari tinjauan
unsur telah selesai. Setelah proses ini selesai, dianjurkan bahwa tim akan diberikan coffee break.
Ketika anggota tim kembali ke ruang konferensi, mereka telah meninjau risiko yang diposting di
sekitar ruangan dan kemudian mengambil beberapa menit untuk membersihkan duplikat risiko
dan lakukan pengeditan di mana yang dianggap tepat.
12
Setelah pembersihan selesai (hanya memungkinkan sekitar 10 sampai 15 menit untuk
proses ini), tim sekarang akan berkonsentrasi pada memprioritaskan risiko. Hal ini dilakukan
dengan menentukan kerentanan perusahaan terhadap risiko dan dampak bisnis jika risiko yang
terjadi. Definisi ini disepakati pada pertemuan pra-FRAP dan disajikan untuk tim selama
pendahuluan.
Satu set dasar definisi yang mungkin:
Kerentanan tinggi (High Vulnerability): kelemahan yang sangat besar berada di sistem
atau rutin operasional; dan potensi dari dampak bisnis berakibat parah atau signifikan,
kontrol harus ditingkatkan.
Kerentanan sedang (Medium Vulnerability) : terdapat beberapa kelemahan; dan di mana
potensi dampak bisnis parah atau signifikan, kontrol dapat dan harus ditingkatkan.
Kerentanan Rendah (Low Vulnerability): sistem sudah dibangun dengan baik dan
dioperasikan dengan benar. Namun tidak ada kontrol tambahan yang diperlukan untuk
mengurangi kerentanan.
Dampak parah (Severe Impact (High)): cenderung menempatkan perusahaan keluar dari
bisnis atau sangat merusak prospek bisnis dan pengembangan.
Dampak signifikan (Significant Impact (Medium)): akan menyebabkan kerusakan yang
signifikan dan biaya, tetapi perusahaan akan tetap bertahan.
Dampak Minor (Minor Impact (Low)): jenis dampak operasional satu mengharapkan
untuk harus mengelola sebagai bagian dari kehidupan bisnis biasa.
Tim akan dibantu dengan menggunakan prioritas model yang ditampilkan di Exhibit 5.3.
Kotak yang dipilih akan sesuai dengan penilaian huruf yang ditetapkan/ditentukan untuk risiko
sebagai prioritas.
Tanggapan dari tim FRAP adalah sebagai berikut:
A - tindakan korektif harus dilaksanakan
B - tindakan korektif disarankan untuk dilaksanakan
C - memerlukan pemantauan
D - tidak ada tindakan yang diperlukan
Ada sejumlah cara yang berbeda di mana tim dapat menetapkan prioritas untuk setiap
risiko. Tiga cara yang paling populer adalah:
1. Fasilitator berjalan di atas masing-masing risiko satu per satu dan tim membahas setiap
risiko hingga mencapai konsensus/kesepakatan.
2. Fasilitator meninjau tiga atau empat risiko untuk memastikan bahwa tim memiliki ide yang
tepat tentang bagaimana proses bekerja, dan kemudian masing-masing anggota tim diberi
penanda berwarna dan diminta untuk menetapkan prioritas. Jika mereka tidak memiliki
pendapat, maka mereka meninggalkan satu kosong dan beralih ke risiko berikutnya. Ketika
tim selesai, fasilitator akan meninjau pekerjaan dan di mana tampaknya ada konflik,
fasilitator akan membuka proses diskusi. Sebagai contoh, di mana ada 15 anggota tim
FRAP, dan sepuluh menetapkan nilai "C" untuk risiko dan lima menetapkan baik sebagai
13
"A" atau "B", maka fasilitator akan membahas masalah untuk memastikan bahwa "C"
adalah jawaban yang paling benar.
3. Metode ketiga yang dapat digunakan adalah bahwa fasilitator memberikan setiap anggota
tim sepuluh titik (jenis yang dapat dibeli di toko kantor dan menancapkan). Setiap anggota
tim diperbolehkan untuk memilih sepuluh risiko "besar". Mereka dengan titik-titik akan
membutuhkan kontrol; mereka yang tidak dianggap maka termasuk risiko kecil.
Sesi FRAP akan menghasilkan tiga penyampaian:
identifikasi risiko (identification of risks)
prioritas risiko (prioritization of risks)
kontrol disarankan untuk risiko utama atau prioritas tinggi (prioritization of risks)
Didalam Exhibit 5.4, di double-outlined area (Blok) menunjukkan 120 risiko yang
diidentifikasi dalam proses FRAP ini.
Kunci untuk Exhibit 5.4 adalah:
Risiko = risiko yang sebenarnya disuarakan oleh anggota tim FRAP (double-garis)
Type = integritas, kerahasiaan, atau risiko ketersediaan
Prioritas = tingkat prioritas A, B, C, atau D (tebal garis)
Kontrol = kontrol diidentifikasi untuk membantu mengurangi risiko
14
Proses terakhir dalam sesi FRAP adalah mengidentifikasi kontrol untuk risiko-risiko yang
telah diidentifikasi sebagai kebutuhannya. Ketika undangan untuk sesi FRAP dikirim keluar,
manajer bisnis termasuk juga daftar 26 kontrol, seperti yang ditunjukkan dalam Exhibit 5.5, yang
akan digunakan selama fase sesi FRAP ini.
Daftar kontrol yang terkandung dalam dokumentasi untuk FRAP dan saat ini merupakan
bagian dari spreadsheet Excel. 26 kontrol yang merupakan penggabungan dari kontrol yang
dikembangkan oleh berbagai fasilitator FRAP selama beberapa tahun terakhir. Daftar
Kontrol digunakan sebagai titik awal untuk tim FRAP dan dapat diubah atau ditambahkan
sesuai yang diperlukan oleh tim. Jika terdapat perubahan yang dibuat selama sesi, maka
perubahan tersebut harus dilakukan di Excel Tab berjudul "Kontrol."
Exhibit 5.5 FRAP Control List
Nomor
Kontrol Deskriptor Deskripsi Kontrol
1 Backup
Persyaratan backup akan ditentukan dan dikomunikasikan ke
operasional, termasuk request electronic notification bahwa backup
siap dikirim ke application system administrator. Operasional akan
diminta untuk menguji prosedur backup. Backup diperusahaan
dilakukan setiap hari.
15
2 Recovery Plan
Mengembangkan, mendokumentasikan, dan menguji prosedur
pemulihan yang dirancang untuk memastikan bahwa aplikasi dan
informasi dapat diperoleh kembali, dengan menggunakan backup
yang telah dibuat, jika terjadinya kemungkinan kehilangan data.
3 Access Control
Menerapkan mekanisme kontrol akses untuk mencegah akses tidak
sah ke informasi. Mekanisme ini akan mencakup kemampuan untuk
mendeteksi, login, dan pelaporan upaya untuk pelanggaran keamanan
informasi ini.
4 Access Control Akses bersumber: Melaksanakan mekanisme untuk membatasi akses
ke informasi rahasia ke jalur jaringan tertentu atau lokasi fisik.
5 Access Control
Menerapkan mekanisme otentikasi pengguna (seperti firewall, kontrol
dial-in, ID yang aman) untuk membatasi akses ke petugas yang
berwenang.
6 Access Control
Menerapkan mekanisme enkripsi (data, end-to end) untuk mencegah
akses yang tidak sah untuk melindungi integritas dan kerahasiaan
informasi.
7 Application
Control
Merancang dan menerapkan pengendalian aplikasi (pengecekan
pemasukan data lapangan yang memerlukan validasi, indikator alam,
kemampuan kadaluarsa sandi, checksums) untuk menjamin integritas,
kerahasiaan, dan ketersediaan informasi aplikasi.
8 Acceptance
Testing
Membuat testing procsedur untuk diikuti selama pengembangan
aplikasi dan modifikasi bagi aplikasi yang sedang berjalan yang
meliputi partisipasi dan penerimaan user.
9 Change
Management
Mematuhi proses perubahan manajemen yang dirancang untuk
memfasilitasi pendekatan terstruktur untuk modifikasi dari aplikasi,
untuk memastikan langkah-langkah dan tindakan pencegahan yang
tepat diikuti. "Darurat" modifikasi harus disertakan dalam proses ini,
10 Anti-Virus
Memastikan administrator LAN menginstal anti-virus perangkat lunak
perusahaan di semua komputer. Serta adanya pelatihan dan kesadaran
teknik pencegahan virus yang digabungkan dalam program
organisasi.
11 Policy Membuat kebijakan dan prosedur untukmembatasi akses dan hak
operasi bagi pihak-pihak yang memiliki keperluan bisnis.
12 Training
Pengguna pelatihan akan mencakup instruksi dan dokumentasi
tentang penggunaan aplikasi secara benar. Pentingnya menjaga
kerahasiaan dari account pengguna atau rekening pemakai, sandi, sifat
rahasia dan kompetitif informasi akan ditekankan.
13 Review
Menerapkan mekanisme untuk memantau, melaporkan, dan
mengaudit aktivitas yang teridentifikasi sebagai aktivitas yang
membutuhkan review yang independen, termasuk periodik reviews
untuk user ID untuk memastikan dan memverifikasi kebutuhan bisnis.
16
14 Backup
Operasi kontrol: Pelatihan untuk cadangan untuk sistem administrator
akan diberikan dan tugas digilir di antara mereka untuk memastikan
kecukupan program pelatihan.
15 Training
Operasi kontrol: Pengembang aplikasi akan menyediakan
dokumentasi, bimbingan, dan dukungan kepada staf operasi (PSOU)
dalam melaksanakan mekanisme untuk memastikan bahwa transfer
informasi antara aplikasi ini aman.
16 Access Control
Kontrol Keamanan : Mekanisme untuk melindungi database dari
akses yang tidak terotorisasi dan modifikasi yang dibuat dari luara
plikasi,akan ditentukandan diimplementasikan.
17 Interface
Dependencies
Operasi kontrol: Sistem yang memberikan informasi akan
diidentifikasi dan dikomunikasikan kepada PSOU menekankan
dampak untuk fungsi jika aplikasi pengumpan ini tidak tersedia.
18 Maintenance
Operasi kontrol: Persyaratan Waktu untuk pemeliharaan teknis akan
dilacak dan permintaan untuk penyesuaian akan dikomunikasikan
kepada manajemen jika pengalaman menjamin.
19 Training
Pengguna kontrol: Melaksanakan program pengguna (evaluasi kinerja
pengguna) yang dirancang untuk mendorong kepatuhan terhadap
kebijakan dan prosedur untuk memastikan pemanfaatan yang tepat
dari aplikasi.
20 Service Level
Agreement
Memperoleh perjanjian tingkat layanan untuk membangun tingkat
harapan pelanggan dan jaminan dari operasi yang mendukung.
21 Maintenance Memperoleh perjanjian pemeliharaan atau pemasok untuk
memfasilitasi status operasional lanjutan dari aplikasi.
22 Physical
Security
Melakukan analisis risiko untuk menentukan tingkat pengungkapan
bagi ancaman yang teridentifikasi dan mengidentifikasi keamanan atau
kontrol yang memungkinkan.
23 Management
Support
Meminta dukungan dari pihak manajemen untuk memastikan kerja
sama dan koordinasi dari unit-unit bisnis yang berbeda-beda.
24 Proprietary Kontrol kepemilikan
25 Corrective
Strategies
Tim pengembangan akan mengembangkan strategi perbaikan seperti
proses ulang, direvisi logika aplikasi, dll
26 Change
Management
kontrol migrasi produksi seperti proses pencarian dan menghapus
untuk memastikan menyimpan data bersih.
Kontrol dapat diidentifikasi secara umum dalam dua cara:
Fasilitator dapat mengarahkan ke setiap risiko prioritas yang tinggi dan memiliki tim yang
meninjau kembali jumlah risiko yang menurut mereka merasa akan membantu
meringankan risiko itu.
17
Fasilitator dapat bekerja antara tiga atau empat risiko dari prioritas pertama dan kemudian
memungkinkan tim untuk kembali dan menuliskan pilihan mereka. Jika pilihan risiko
mereka telah dipilih, maka tidak perlu untuk memasangnya di sana lagi.
Tim perlu memahami bahwa apa yang telah semua mereka pilih bukan merupakan apa
yang akan dilaksanakan. Misalnya, di Row 7 dari Exhibit 5.4, tim memilih sembilan kontrol yang
mungkin. Manajer bisnis, Pemimpin proyek, dan fasilitator akan bekerja sama dalam pertemuan
pasca-FRAP untuk menentukan satu atau dua kontrol yang akan bekerja terbaik.
Tim FRAP harus memahami bahwa pertukaran harus dibuat antara tujuan bisnis dan
risiko. Setiap kontrol atau safeguard akan berdampak pada proses bisnis dalam beberapa cara
sebagai sumber daya yang dikeluarkan untuk menerapkan kontrol. Kecelakaan, kesalahan, dan
kelalaian umumnya memperhitungkan kerugian lebih dari tindakan yang disengaja. Tidak ada
kontrol dapat atau bekerja 100 persen efektif.
Tujuan utamanya adalah untuk mencapai tingkat yang dapat diterima dari tingkat
keamanannya. FRAP tidak akan menghilangkan setiap risiko. Manajemen memiliki tugas untuk
menentukan risiko berikut dengan menerapkan kontrol dan kontrol mana yang diterima. Tim
FRAP dibentuk untuk membantu manajemen dalam membuat keputusan informasi bisnis.
Sesi FRAP selesai ketika tiga penyampaian selesai.
Ketiga langkah tersebut adalah:
1. risiko yang teridentifikasi
2. risiko diprioritaskan
3. kontrol diidentifikasi
Pertemuan pasca-FRAP (Post-FRAP)
Sebagaimana proses analisis risiko selama 30 menit adalah keliru, sehingga konsep FRAP
dapat diselesaikan dalam empat jam. Seperti yang telah diamati, pertemuan pra-FRAP
membutuhkan waktu satu jam dan sesi FRAP akan memakan waktu sekitar empat jam. keduanya
bersama-sama hanya bagian dari pengumpulan informasi dan dari proses analisis risiko. Untuk
mendapatkan laporan lengkap, manajer bisnis, pimpinan proyek, dan fasilitator harus
menyelesaikan rencana aksi (Action Plan).
Proses pasca-FRAP memiliki lima penyampaian:
1. Cross-referensi sheet
2. Identifikasi kontrol yang ada
3. Konsultasi dengan pemilik pada risiko yang terbuka
4. Identifikasi kontrol untuk risiko yang terbuka
5. Laporan Akhir
Pada tingkat saat kemajuan teknis ini, Lembar Cross-referensi adalah proses yang paling
memakan waktu untuk fasilitator dan juru tulis. Dokumen ini akan mengambil setiap kontrol dan
mengidentifikasi semua risiko yang akan terkena dampak dengan kendali/kontrol tunggal.
18
Misalnya, di Row 2 di Exhibit 5.4, tim FRAP telah mengidentifikasi tiga kontrol (9, 13, 26)
yang akan membantu mengendalikan risiko ini. Lembar referensi silang untuk Control Number 9
akan terlihat seperti tabel di Exhibit 5.6.
Dalam contoh ini, Kontrol 9 akan membantu mengurangi 11 risiko yang berbeda. Lembar
Cross reference akan membantu manajer bisnis untuk menentukan di mana sumber daya yang
kurang dapat digunakan dengan baik.Setelah Lembar Cross-referensi selesai (dua hari kerja harus
cukup), Rencana Aksi dan Lembar Cross-referensi dikirim ke manajer bisnis.
Seperti halnya di atas, sesi FRAP akan menghasilkan laporan seperti yang ditunjukkan di
Exhibit 5.7. Dengan Rencana Aksi dan Lembar Cross-referensi, fasilitator dan pimpinan proyek
biasanya duduk bersama untuk menentukan kontrol yang sudah siap. Setelah ini selesai, mereka
kemudian bertemu dengan manajer bisnis untuk meninjau dokumen dan merekomendasikan
kontrol yang dapat membantu mereka terhadap risiko yang masih terbuka.
Item yang ada pada Frame dalam Exhibit 5.7 sudah ditutup; yaitu, kontrol yang sudah di
tempatkan. Dalam kebanyakan proses analisis risiko, ketika tim akan turun ke tingkat ini, mereka
menemukan bahwa hampir 80 persen dari risiko yang sudah memiliki beberapa kontrol di
perusahaan client.
19
Untuk risiko terbuka, fasilitator, pemimpin proyek, dan manajer bisnis akan menentukan
kontrol mana yang dapat mengontrol biaya yang paling efektif dan kemudian menentukan siapa
yang akan melaksanakannya, dan dengan tanggal berapa. Ingat, jika pihak ketiga akan diminta untuk
menerapkan kontrol, kemudian beberapa diskusi dengan mereka harus berlangsung untuk
menentukan tanggal penyelesaian.
Setelah semua risiko yang terbuka memiliki kontrol yang telah ditetapkan atau bahwa
pemilik telah ditunjukkan di bagian komentar bahwa mereka menerima risiko, Laporan Akhir,
seperti yang ditunjukkan pada Exhibit 5.8, maka siap untuk diinisiasi.
20
Kesimpulan FRAP
Proses yang difasilitasi Analisis Risiko (FRAP) saat ini merupakan bentuk yang paling
banyak digunakan untuk analisis risiko kualitatif saat ini.
FRAP terdiri dari tiga bagian utama, yaitu:
1. pre-FRAP Meeting yang berlangsung sekitar 1 jam dan memiliki lima kiriman:
a. pernyataan lingkup
b. Visual diagram
c. Anggota tim
d. Mekanika pertemuan
e. Definisi :
1. risiko
2. kontrol
3. Ulasan elemen (integritas, kerahasiaan, ketersediaan)
4. dampak kerentanan
2. Sesi FRAP, yang biasanya berlangsung sekitar empat jam dan memiliki tiga penyampaian:
a. risiko yang teridentifikasi
b. risiko diprioritaskan
c. kontrol yang disarankan
3. Proses pasca-FRAP, yang dapat memakan waktu hingga sepuluh hari dan memiliki tiga
unsur:
a. penciptaan pada Lembar Cross-referensi
b. identifikasi kontrol yang ada
c. pemilihan kontrol untuk risiko atau penerimaan risiko terbuka
Sebagian besar organisasi setuju bahwa pertimbangan risiko dan terkait manfaat biaya
timbal balik adalah fokus utama dari program keamanan yang efektif. Keamanan tidak dapat dilihat
sebagai tujuan itu sendiri, tetapi sebagai satu set kebijakan dan proses yang dirancang untuk
mendukung operasi bisnis. Melaksanakan proses analisis risiko yang digunakan dan diarahkan
untuk mendukung proses bisnis akan membuat penerimaan kontrol yang lebih mudah.
Informasi dan sistem yang memproses sumber daya tersebut merupakan aset penting
untuk mendukung bisnis atau misi perusahaan apapun dan harus dilindungi. Proses analisis risiko
yang efektif memastikan bahwa kebutuhan bisnis ini terpenuhi.
Sumber : Ebook [Thomas_R._Peltier]_Information_Security_Risk_Anal (BookFi)
Link :
http://dl.lux.bookfi.net/genesis/534000/8ccbd850bc7bfb6300a916314f2e1ed3/_as/%5BThom
as_R._Peltier%5D_Information_Security_Risk_Anal(BookFi).pdf
Top Related