Manajemen Risiko & Risk
Register
Keamanan Siber
Puspanda Hatta
Tujuan Pembelajaran
• Mahasiswa memahami konsep risiko TI dan siklus
manajemen risiko.
• Mahasiswa mampu membuat Risk Register
sederhana untuk sistem pendidikan.
• Mahasiswa terbiasa menggunakan case method
untuk menganalisis insiden.
Pengantar Risiko IT
• Definisi Risiko TI: kemungkinan terjadinya insiden keamanan atau kegagalan
sistem yang berdampak pada aset informasi.
• Rumus sederhana:
• Risiko = Ancaman × Kerentanan × Dampak
• Contoh sederhana:
• Ancaman: hujan deras.
• Kerentanan: atap kelas bocor.
• Dampak: komputer lab basah & rusak.
• Perbedaan Risiko TI vs Risiko Bisnis:
• Risiko TI → terkait sistem, data, infrastruktur.
• Risiko Bisnis → terkait reputasi, keuangan, kelangsungan organisasi.
• Contoh Risiko TI di pendidikan:
• Data siswa dicuri akibat phishing.
• Server e-learning down saat ujian online.
• Laptop guru hilang berisi data nilai.
• Jaringan internet sekolah down akibat malware.
Siklus Manajemen Risiko
• Manajemen risiko TI adalah proses berulang.
• Penting melibatkan stakeholder non-teknis (kepala sekolah, bagian tata usaha,
dosen) → karena risiko bukan hanya teknis tapi juga operasional & reputasi.
• Siklus:
• Identifikasi Risiko → menemukan aset, ancaman, kerentanan.
• Analisis Risiko → menilai probabilitas & dampak.
• Evaluasi Risiko → menentukan level risiko (rendah, sedang, tinggi).
• Mitigasi/Treatment → memilih strategi: hindari, kurangi, transfer, atau terima
risiko.
• Monitoring & Review → memantau efektivitas kontrol, memperbarui risiko.
• Contoh di sekolah/universitas
• Identifikasi → Data siswa di SIAKAD.
• Analisis → Ancaman pencurian data via phishing.
• Evaluasi → Likelihood tinggi, impact tinggi = risiko besar.
• Mitigasi → MFA (multi-factor authentication), awareness training.
• Monitoring → Cek login anomali secara rutin.
Matriks Risiko
• Tujuan matriks: membantu manajemen memutuskan risiko mana yang harus diatasi lebih dulu.
• Tidak semua risiko bisa dihilangkan → penting memilih prioritas.
• Risiko dinilai dengan menggabungkan:
• Likelihood (Probabilitas) → seberapa besar kemungkinan terjadi.
• Impact (Dampak) → seberapa besar kerusakan/kerugian bila terjadi.
• Matriks digunakan untuk memetakan risiko ke dalam kategori:
• Rendah (Hijau) → risiko bisa diterima.
• Sedang (Kuning) → butuh kontrol tambahan.
• Tinggi (Merah) → harus jadi prioritas mitigasi.
• Contoh Penilaian Risiko di Sekolah/Universitas:
• Phishing massal → Likelihood tinggi, Impact sedang → Risiko Tinggi.
• Laptop guru hilang → Likelihood sedang, Impact sedang → Risiko Sedang.
• Server e-learning down saat ujian → Likelihood rendah, Impact tinggi → Risiko Tinggi.
Risk Register
• Risk Register adalah alat manajemen utama dalam mengelola risiko TI.
• Isinya bukan hanya daftar ancaman, tapi juga siapa bertanggung jawab.
• ID Risiko → nomor urut untuk memudahkan identifikasi.
• Deskripsi Risiko → ringkasan singkat ancaman/kejadian.
• Aset Terdampak → sistem/data/infrastruktur yang terkena.
• Likelihood (Probabilitas) → rendah, sedang, tinggi (1–3).
• Impact (Dampak) → rendah, sedang, tinggi (1–3).
• Level Risiko → hasil kombinasi likelihood × impact (Rendah/Sedang/Tinggi).
• Mitigasi/Respon → langkah pengendalian atau strategi (hindari, kurangi, transfer,
terima).
• Penanggung Jawab → unit/individu yang bertugas mengelola risiko.
ID Deskripsi Risiko Aset Terdampak Likelihood Impact Level Risiko Mitigasi Penanggung Jawab
R1 Phishing email ke staf TU Data siswa Tinggi Tinggi Tinggi Awareness training, MFA Kaprog TIK
R2 Laptop guru hilang Data nilai Sedang Sedang Sedang Enkripsi data, backup rutin Guru IT
R3 Server e-learning down saat ujian Server LMS Rendah Tinggi Tinggi Backup server, load balancing Admin server
Contoh Risiko yang Umum Terjadi
•Phishing Email ke Guru/Staf
•Akibat: kredensial dicuri, data siswa terekspos.
•Server E-Learning Down saat Ujian Online
•Akibat: ujian gagal, reputasi sekolah/universitas menurun.
•Laptop Guru Hilang / Dicuri
•Akibat: data nilai & dokumen pribadi bocor.
•Komputer Lab Terinfeksi Malware
•Akibat: file siswa rusak, gangguan proses belajar.
•Penggunaan Password Lemah oleh Siswa/Guru
•Akibat: akun dibajak, penyalahgunaan akses.
•Data Akademik Tidak Dibackup
•Akibat: kehilangan permanen jika server rusak/kena ransomware.
Diskusi Studi Kasus:
Ransomware di Server E-Learning
• Skenario Kasus:
• Pada hari H Ujian Akhir Semester, server e-learning SMK/universitas diserang ransomware.
• Semua data soal & jawaban terenkripsi.
• Guru dan siswa tidak bisa mengakses sistem.
• Serangan terjadi karena server tidak diperbarui patch keamanan, dan tidak ada backup terbaru.
ID Deskripsi Risiko Aset Terdampak Likelihood Impact Level Risiko Mitigasi Penanggung Jawab
R1 Ransomware menyerang server LMS Server e-learning Tinggi Tinggi Tinggi Update patch rutin, pasang anti-ransomware Admin server
R2 Data soal & jawaban terenkripsi Data akademik Sedang Tinggi Tinggi Backup harian ke cloud/drive eksternal Kaprog TIK
R3 Aktivitas ujian lumpuh total Proses pembelajaran Sedang Tinggi Tinggi Disaster recovery plan, jalur ujian alternatif (offline) Wakasek Kurikulum
Rangkuman
• Risiko TI = Ancaman × Kerentanan × Dampak.
• Siklus Manajemen Risiko → Identifikasi → Analisis → Evaluasi → Mitigasi →
Monitoring.
• Matriks Risiko membantu menentukan prioritas berdasarkan Likelihood &
Impact.
• Risk Register adalah alat utama mencatat risiko → deskripsi, aset terdampak,
likelihood, impact, mitigasi, penanggung jawab.