Hasil Pencarian  ::  Simpan CSV :: Kembali

"In this era of digital age where considerable business activities are powered by digital and telecommunication technologies, deriving customer loyalty and satisfaction through delivering high quality services, driven by complex and sophisticated Information Technology (IT) systems, is one of the main services objectives of the Bank towards its customers. From customer services perspective, "availability" is a degree of how closed the Bank is to its customers so that they can "consume" the Bank"s services easily and in preference to its competitors. "Reliability" is the degree of how adequate and responsive the Bank is in meeting its customers" needs. "Confidentiality" is the trust the customers have in the Bank in that their confidential information will not fall into the wrong hands.Information Technology is one of the means that Bank uses to achieve quality service objectives. Reliance on IT requires an understanding of the importance of IT Security within the IT environments. As business advantages are derived from the use of IT to deliver quality services, critical IT security issues related to the use of IT should be understood and addressed. Safeguarding and protecting security Information systems and assets are prominent issues that all responsible IT users must address. Information is the most valuable assets of the Bank. Adequate resources must be allocated to carry out the safeguarding of Bank"s information assets through enforcing a defined IT Security Policies, Standards and Procedures.Compliance with international and national standards designed to facilitate the Interchange of data between Banks should be considered by the Bank"s management as part of the strategy for IT Security which helps to enforce and strengthen IT security within an organization."

"Peningkatan ketergantungan organisasi pada sistem informasi sejalan dengan resiko yang mungkin timbul. Informasi menjadi suatu yang penting yang harus tetap tersedia dan dapat digunakan serta terjaga keberadaannya dari pihak yang tidak berwenang yang akan menggunakannya untuk kepentingan tertentu atau akan merusak informasi tersebut. Sebagai bagian yang menangani informasi yang bersifat strategis, Pusat Komunikasi Departemen Luar Negeri dituntut untuk dapat menjamin keamanan aset yang terkait dengan informasi agar visi dan misi serta sasaran Deplu dapat tercapai.Untuk mewujudkannya Puskom Deplu harus memiliki tata kelola keamanan informasi yang baik. Tata kelola keamanan informasi dapat disusun berdasarkan standar sistem manajemen keamanan informasi ISO 27001. Sistem manajemen keamanan informasi menyediakan pendekatan yang sistemik untuk mengelola informasi yang sensitif dalam kaitannya untuk mengamankan informasi tersebut. Manajemen resiko dilakukan untuk menilai sejauh mana dampak yang mungkin terjadi dapat ditangani dengan menerapkan kontrol berdasarkan ISO 27001.

---

The growing dependence of most organisations on their information systems, coupled with the risks that might be come up. Information has become an important thing that has to be available and usable when required, and is protected against unauthorized who will use it for certain purpose that will spoil the information. Communication centre of department of foreign affair as a division which manage the critical information is expected to guarantee the assets security related to information, so that the objective of Department of Foreign Affair can be achieved.To accomplish its responsibility, communication centre of department of foreign affair has to have excellent information security governance. Information security governance can be organized based on information security management system standard ISO 27001. Information security management system provides systematic approach to manage sensitive information in order to secure the information. Risks management performed to assess how far possible risks can be handled by control implementation based on ISO 27001."

"Sistem Penyelenggaraan Berbasis Elektronik (SPBE) adalah bagian penting dari transformasi digital di instansi pemerintahan, salah satunya adalah Instansi XYZ. Meskipun era digital menawarkan banyak keuntungan akan tetapi tidak lepas dari risiko, seperti ancaman siber yang mengancam keamanan nasional. Fokus penelitian ini adalah Pusat Data dan Informasi,  sebagai satuan kerja pelaksana teknologi informasi dalam upaya meningkatkan keamanan siber di Instansi XYZ. Indeks KAMI adalah salah satu alat yang dapat digunakan untuk mengukur seberapa siap dan lengkap keamanan informasi. Ini memastikan bahwa proses peningkatan kualitas keamanan informasi dapat dilakukan dengan cepat dan efisien. Indeks KAMI v 4.2 digunakan untuk mengukur tingkat kematangan keamanan informasi, selain itu digunakan untuk mengevaluasi dan memberikan rekomendasi keamanan informasi sesuai dengan kerangka kerja SNI ISO 27001:2013 untuk Instansi XYZ. Berdasarkan data tahun 2022, hasil penilaian dari sistem elektronik Instansi XYZ masuk dalam kategori “Tinggi”. Sedangkan hasil evaluasi akhirnya mendapatkan nilai total 213 dari total 645 untuk kesiapan dan kelengkapan keamanan informasi. Nilai-nilai tersebut diperoleh dari bagian Tata Kelola 35 poin, Pengelolaan Risiko 18 poin, Kerangka Kerja Keamanan Informasi 40 poin, Pengelolaan Aset 59 poin, dan Teknologi dan Keamanan Informasi 61 poin. Dengan kata lain, Instansi XYZ masih memiliki tingkat kematangan keamanan informasi pada level I hingga I+ dengan status kesiapan "Tidak Layak". Menurut Peraturan BSSN Nomor 8 Tahun 2020 tentang Sistem Pengamanan dalam Penyelenggaraan Sistem Elektronik, Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik diwajibkan untuk menerapkan SNI ISO 27001:2013  dan atau standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh BSSN dan standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh Kementerian atau Lembaga, yang penerapannya tergantung pada tingkat kategori Sistem Elektroniknya. Hasil analisis Instansi XYZ belum memiliki kebijakan sistem manajemen keamanan informasi yang ditetapkan, walau sudah menerapkan aspek teknis dibeberapa kategori. Hasil penelitian ini merekomendasikan penerapan kontrol keamanan serta penyusunan kebijakan sistem manajemen keamanan informasi dengan menggunakan kerangka kerja SNI ISO 27001:2013.  Rekomendasi ini diharapkan dapat diimplementasikan pada Instansi XYZ guna menjamin implementasi keamanan informasinya.

---

The System of Electronic-Based Organization (SPBE) is an important part of digital transformation in government agencies, one of which is XYZ Agency. Although the digital era offers many advantages, it is not free from risks, such as cyber threats that threaten national security. The focus of this research is the Data and Information Center, as the implementing work unit for information technology in an effort to improve cybersecurity at XYZ Agency. KAMI Index is one of the tools that can be used to measure how ready and complete information security is. This ensures that the process of improving the quality of information security can be done quickly and efficiently. KAMI Index v 4.2 is used to measure the maturity level of information security, besides that it is used to evaluate and provide information security recommendations in accordance with the SNI ISO 27001: 2013 framework for XYZ Agencies. Based on 2022 data, the assessment results of the XYZ Agency's electronic system fall into the "High" category. While the final evaluation results get a total score of 213 out of a total of 645 for information security readiness and completeness. These values are obtained from the Governance section 35 points, Risk Management 18 points, Information Security Framework 40 points, Asset Management 59 points, and Technology and Information Security 61 points. In other words, XYZ Institution still has an information security maturity level at level I to I+ with a readiness status of "Not Feasible". According to BSSN Regulation Number 8 of 2020 concerning Security Systems in the Implementation of Electronic Systems, Electronic System Providers that operate Electronic Systems are required to implement SNI ISO 27001: 2013 and or other security standards related to cybersecurity set by BSSN and other security standards related to cybersecurity set by Ministries or Institutions, whose application depends on the level of the Electronic System category. The results of the analysis of XYZ Institution do not yet have a defined information security management system policy, even though they have implemented technical aspects in several categories. The results of this study recommend the implementation of security controls and the preparation of an information security management system policy using the SNI ISO 27001: 2013 framework.  This recommendation is expected to be implemented at XYZ Agency to ensure the implementation of information security."

"[Minyak dan gas bumi (migas) merupakan sumber daya alam yang sangat strategis bagi Indonesia. Karena hingga saat ini sektor migas masih menjadi salah satu tulang punggung perekonomian nasional, sumber penerimaan dan devisa negara, bahan bakar bagi industri, mendorong investasi, penyerapan tenaga kerja, pemenuhan energi domestik dan peningkatan kemampuan sumber daya manusia serta sumber pengembangan ekonomi daerah. Oleh karena itu, pengelolaan data migas yang baik, akurat, lengkap dan aman akan membantu pemerintah dalam pengambilan keputusan dan kebijakan bidang migas. Karena keterbatasan sumber daya manusia, sarana, dan prasarana, hingga saat ini Pusdatin ESDM bekerja sama dengan pihak ketiga dalam pengelolaan data migas. Namun dalam menjalin kerja sama tersebut, Pusdatin ESDM belum memiliki tata kelola keamanan infomasi yang dibutuhkan untuk mendukung keamanan data dan informasi migas.Berdasarkan hal tersebut, jelas bahwa permasalahan di Pusdatin ESDM terkait keamanan informasi pada pengelolaan data migas adalah aspek kerahasiaan, integritas, dan ketersediaan informasi dan data migas belum didukung secara optimal. Sehingga perlu dikembangkan tata kelola keamanan informasi yang sesuai bagi Pusdatin ESDM untuk pengelolaan data migas yang dikelola pihak ketiga.Penelitian ini membahas perancangan tata kelola keamanan informasi untuk pengelolaan data migas yang dikelola oleh pihak ketiga, dengan menggunakan standar keamanan informasi ISO/IEC 27001:2005. Melalui pendekatan penilaian risiko, dipilih sasaran pengendalian dan pengendalian ISO/IEC 27001:2005 yang sesuai untuk pengelolaan data migas. Berdasarkan sasaran pengendalian dan pengendalian terpilih, dikembangkan tata kelola keamanan informasi untuk pengelolaan data migas yang dikelola oleh pihak ketiga. Dalam hal pemetaan peran dan tanggung jawab keamanan informasi, digunakan konsep RACI pada kerangka kerja OMBOK (Outsourcing Management Body of Knowledge).Hasil penelitian ini didapat rancangan tata kelola keamanan informasi yang sesuai bagi Pusdatin ESDM dalam melaksanakan pengelolaan data migas yang hingga saat ini bekerja sama dengan pihak ketiga.;Oil and gas is a natural resource that is very strategic for Indonesia. Nowadays, oil and gas sector remains one of the backbone of the national economy, source of revenue and foreign exchange, fuel for industry, encourage investment, employment, fulfillment of domestic energy and upgrading of human resources, as well as a source of regional economic development. Therefore, good, accurate, complete and safe data management will assist the government in making decisions and policies of oil and gas fields. Due to limited human resources, facilities, and infrastructure, Pusdatin ESDM (Data and Information Technology Center for Energy and Mineral Resource) cooperate with third parties in oil and gas data management. However, Pusdatin ESDM do not have any governance to make sure the security of oil and gas information.It is clear that the information security problem in Pusdatin ESDM for oil and gas data management is the low concern of data confidentiality, integrity, and availability. So it is necessary to develop information security governance suitable for Pusdatin ESDM for oil and gas data management which are managed by third parties.This study discusses the design of information security governance for oil and gas data management, managed by a third party, by using information security standards ISO/IEC 27001:2005. Through a risk assessment approach, control objectives and control of ISO/IEC 27001:2005 which related to the data management of oil and gas are selected. Based on control objectives and control selected, the information security governance for oil and gas data management that are managed by a third party, are developed and created. In the case of mapping the roles and responsibilities of information security, RACI concept of OMBOK (Outsourcing Management Body of Knowledge) framework is used.The results of this study is an information security governance design suitable for Pusdatin ESDM in implementing oil and gas data management managed by third parties., Oil and gas is a natural resource that is very strategic for Indonesia. Nowadays, oil and gas sector remains one of the backbone of the national economy, source of revenue and foreign exchange, fuel for industry, encourage investment, employment, fulfillment of domestic energy and upgrading of human resources, as well as a source of regional economic development. Therefore, good, accurate, complete and safe data management will assist the government in making decisions and policies of oil and gas fields. Due to limited human resources, facilities, and infrastructure, Pusdatin ESDM (Data and Information Technology Center for Energy and Mineral Resource) cooperate with third parties in oil and gas data management. However, Pusdatin ESDM do not have any governance to make sure the security of oil and gas information.It is clear that the information security problem in Pusdatin ESDM for oil and gas data management is the low concern of data confidentiality, integrity, and availability. So it is necessary to develop information security governance suitable for Pusdatin ESDM for oil and gas data management which are managed by third parties.This study discusses the design of information security governance for oil and gas data management, managed by a third party, by using information security standards ISO/IEC 27001:2005. Through a risk assessment approach, control objectives and control of ISO/IEC 27001:2005 which related to the data management of oil and gas are selected. Based on control objectives and control selected, the information security governance for oil and gas data management that are managed by a third party, are developed and created. In the case of mapping the roles and responsibilities of information security, RACI concept of OMBOK (Outsourcing Management Body of Knowledge) framework is used.The results of this study is an information security governance design suitable for Pusdatin ESDM in implementing oil and gas data management managed by third parties.]"

"ABSTRAKInformasi merupakan aset vital bagi suatu organisasi, oleh karena itu maka diperlukan suatu mekanisme yang terstruktur untuk melindungi informasi yang dimiliki suatu organisasi. Perguruan tinggi merupakan salah satu sektor yang berisiko sangat tinggi terhadap keamanan informasinya. Perguruan tinggi dihadapkan pada tantangan menyeimbangkan antara kultur keterbukaan informasi dengan penjaminan perlindungan aset informasinya. Universitas XYZ merupakan salah satu perguruan tinggi yang memiliki aset informasi yang perlu dilindungi. Berdasarkan hasil wawancara dapat diketahui bahwa telah terjadi beberapa masalah yang menyangkut insiden keamanan informasi yang menimbulkan kerugian berupa kerugian finansial, kerugian operasional dan kerugian reputasi atau citra Universitas XYZ.Penelitian ini bertujuan untuk mengidentifikasi aset, risiko dan memberikan kontrol keamanan informasi yang sesuai dengan keadaan di Direktorat Akademik Universitas XYZ. Kontrol keamanan informasi yang digunakan berbasis ISO 27001:2013. Penelitian ini merupakan penelitian studi kasus dengan metode penelitian semi kuantitatif. Penelitian ini membahas mengenai serangkaian kegiatan manajemen risiko dan menerapkan kontrol keamanan informasi yang tepat yang terdapat pada ISO 27001:2013.Hasil penelitian ini adalah rancangan kebijakan keamanaan informasi bagi Direktorat Akademik Universitas XYZ. Rancangan kebijakan keamanan informasi digunakan sebagai acuan dalam meminimalisir risiko keamanan informasi.

---

ABSTRACT

Information is a vital assets for organization, therefor a structured mechanism is needed to protect organization information assets. Higher education is one of the highest sector that have high risk in their information security area. Higher education are faced with the challenge of balancing between the culture of information opennes and protection of information assets. XYZ University also have information assets that needs to be protected. Based on interview, there are several information security incidents causing financial, reputation and operational loss for XYZ University.

This research aims to identify assets, risk, and appropriate information security control suitable for XYZ University Academic Directorate. Information security control based on ISO 27001:2013. This is a case study research with a semi quantitative method. This research discuss about a set of risk management activity and implement appropriate information security control based on ISO 27001:2013.

Result of this research is an information security policy design suitable for Academic Directorate University of XYZ. Information security policy is used as a reference to minimize the risk of information security."

"PT XYZ merupakan salah satu Badan Usaha Milik Pemerintah (BUMN) Republik Indonesia yang bergerak pada bidang agribisnis. PT XYZ sudah memiliki sistem manajemen keamanan informasi (SMKI), namun masih ditemukan beberapa kendala seperti atensi personil terhadap keamanan informasi yang rendah, kebutuhan untuk tetap patuh dengan peraturan pemerintah, hingga kendala teknis yang muncul, sehingga PT XYZ ingin meningkatkan kapabilitas terkait keamanan informasi yang mereka miliki. Penelitian ini bertujuan untuk mengetahui kondisi terkini dari SMKI yang ada pada PT XYZ dan memberikan rekomendasi peningkatan SMKI. Penelitian ini menggunakan kontrol keamanan informasi berdasarkan standar ISO/IEC 27001:2022 untuk mendapatkan gap kondisi keamanan informasi, dan kemudian melakukan penilaian risiko yang memakai data hasil gap yaitu kontrol keamanan informasi yang terpilih. Setelah itu dilakukan rekomendasi yang disusun berdasarkan standar ISO/IEC 27002:2022. Temuan dari penelitian ini adalah ditemukannya 22 aktivitas kontrol ISO/IEC 27001:2022 yang hasil nilainya belum maksimal. 22 kontrol ini kemudian dibagi menjadi 3 kategori rekomendasi berdasarkan urgensi peningkatan yang sesuai dari hasil penilaian risiko.

---

PT XYZ is one of the government-owned enterprises of the Republic of Indonesia that engaged in agribusiness. PT XYZ already has an information security management system (ISMS), but there are still several obstacles that are found, such as low personnel attention to information security, the need to remain compliant with government regulations, to technical constraints that arise, so PT XYZ wants to improve its information security-related capabilities. This study aims to determine the current condition of the existing ISMS at PT XYZ and provide recommendations for improving the ISMS. This research uses information security controls based on the ISO/IEC 27001: 2022 standard to get the information security condition gap, and then conduct a risk assessment using the gap result data, namely the selected information security controls. After that, recommendations were made based on the ISO / IEC 27002: 2022 standard. The findings of this study were the discovery of 22 ISO/IEC 27001:2022 control activities whose value results were not maximised. These 22 controls are then divided into 3 categories of recommendations based on the urgency, from the results of the risk assessment."

"Pengelolaan informasi yang baik dapat menjaga keberlanjutan bisnis perusahaan, memanfaatkan peluang bisnis, dan memaksimalkan nilai return dari investasi. Pengelolaan keamanan informasi dilakukan perusahaan dengan membuat Sistem Manajemen Keamanan Informasi (SMKI) untuk mengantisipasi setiap ancaman terhadap aset informasi. Standar SMKI yang banyak diadopsi adalah ISO/IEC 27001:2005. Standar versi 2005 ini mengalami revisi pada tahun 2013. Dengan adanya revisi tersebut, maka perusahaan yang telah memiliki sertifikasi ISO/IEC 27001 harus melakukan penyesuaian SMKI agar tetap selaras dengan versi 2013. PT. XYZ sebagai operator selular dengan jumlah pelanggan terbanyak di Indonesia mengelola aset informasinya dengan menerapkan SMKI berbasis ISO/IEC 27001:2005. PT. XYZ harus menyesuaikan SMKI dengan versi 2013 agar pengelolaan keamanan informasi yang dilakukan tetap sesuai dengan best practices terbaru dalam mengatasi risiko informasi terkini. Penyesuaian ini juga menunjukkan komitmen PT. XYZ dalam melindungi data pelanggan, meningkatkan kredibilitas dalam pasar yang kompetitif, dan mempertahankan sertifikasi ISO/IEC 27001 yang pernah diraihnya. Untuk itu perlu dilakukan audit kepatuhan keamanan informasi yang berlaku di PT. XYZ terhadap ISO/IEC 27001:2013. Penelitian menunjukkan sejauh mana SMKI PT. XYZ patuh terhadap ISO/IEC 27001:2013. Untuk meningkatkan kepatuhan direkomendasikan beberapa kebijakan dan prosedur yang perlu ditambahkan, yaitu terkait komunikasi SMKI kepada pihak terkait, kontrol terhadap supply chain, dan kontrol redundan.

---

Information management will maintain the sustainability of the company's business, take advantage of business opportunities, and maximize the return value of the investment. Information Security Management System (ISMS) done by enterprise to anticipate any threats to information assets. Widely adopted ISMS standard is ISO / IEC 27001: 2005. This version of the standard was revised in 2013. With this revision, the company with ISO / IEC 27001 Certification should make adjustments to comply with new standard.

PT. XYZ as a service provider with the highest number of subscribers in Indonesia manage their information assets by implementing ISMS based on ISO / IEC 27001:2005. PT. XYZ must adjust the ISMS in order to stay aligned with the latest best practices and newest information risk. This adjustment also shows the commitment of PT. XYZ in protecting customer data, improving credibility in a competitive market, and maintain ISO / IEC 27001 Certification. Therefore, compliance audit of information security in PT. XYZ need to be done. Audit shows the extent of the ISMS adherence to ISO / IEC 27001:2013. To improve compliance, we recommend several policies and procedures that need to be added: communications to related parties, control of the supply chain, and control of redundancy."

"Ancaman terhadap keamanan informasi menjadi hal yang sering dijumpai saat ini baik di lingkup individu maupun organisasi. Beberapa jenis ancaman tersebut berasal dari serangan virus, malware, web defacement dan phising. Untuk mengantisipasi dan merespon serangan tersebut, lembaga XYZ membentuk tim insiden respon atau yang dikenal sebagai CSIRT ( Computer and Security Incident Response Team). Penanganan insiden keamanan informasi merupakan aspek kritis dalam memastikan integritas dan kelangsungan operasional suatu organisasi. Berdasarkan catatan, insiden keamanan informasi masih sering terjadi hingga saat ini di lingkungan organisasi.Penelitian ini bertujuan untuk melakukan analisis terhadap pendekatan yang diambil oleh organisasi dalam menangani insiden keamanan informasi dengan area fokus pada efektivitas langkah-langkah yang dilakukan. Kerangka kerja yang digunakan adalah ISO/IEC 27035:2016, terdapat 69 klausul dilakukan untuk mengevaluasi penanganan insiden dan 62 klausul untuk diterapkan untuk perencanaan kebijakan penanganan insiden. Hasil asesmen pada lembaga XYZ menggunakan ISO/IEC 27035 mengenai manajemen insiden keamanan informasi didapatkan bahwa organisasi telah menerapkan sejumlah 53% dari 69 klausul yang diterapkan.

---

Threats to information security are something that is often encountered today, both in individuals and organizations. Several types of threats come from virus attacks, malware, web defacement and phishing. To anticipate and respond to these attacks, XYZ Institution formed an incident response team or known as CSIRT (Computer and Security Incident Response Team). Handling information security incidents is a critical aspect to ensuring the integrity and operational continuity of an organization. Based on records, information security incidents still frequently occur today in organizational environments.

This research aims to conduct an analysis of the approaches taken by organizations in handling information security incidents with a focus area on the effectiveness of the steps taken. The framework used is ISO/IEC 27035:2016, there are 69 clauses to evaluate incident handling and 62 clauses to be applied for planning incident handling policies. The results of an assessment at XYZ institution using ISO/IEC 27035 regarding information security incident management found that the organization had implemented 53% of the 69 clauses implemented."

"Pada bulan September 2021, dilaporkan adanya dugaan pembobolan dan penyusupan hacker kedalam 10 Kementerian, Lembaga dan Instansi Pemerintah. Instansi XYZ adalah salah satunya. Instansi XYZ merupakan badan pengawas pemerintah yang belum menerapkan dan merancang kebijakan keamanan informasi dengan baik. Adanya peraturan dari Kementerian Kominfo dan BSSN terkait dengan keamanan informasi, membuat Instansi XYZ berinisiatif untuk memperbaiki kebijakan keamanan informasi sesuai dengan standar yang ditentukan oleh Kementerian Kominfo dan BSSN, yakni dengan menggunakan standar SNI ISO/IEC 27001:2013 Kebijakan keamanan informasi di Instansi XYZ dirancang sebagai acuan dalam mengidentifikasi dan memahami penilaian aset, ancaman, kerentanan, kemungkinan terjadinya gangguan, dan dampak yang didapatkan terhadap keamanan informasi. Penelitian ini dibuat dengan tujuan untuk merancang kebijakan keamanan informasi di Instansi XYZ menggunakan standar SNI ISO/IEC 27001:2013. Pengumpulan data dan uji validasi rancangan kebijakan keamanan informasi dilakukan dengan menggunakan metode wawancara dengan pihak terkait, antara lain: Kepala TI, sub koordinator keamanan informasi TI sub koordinator informasi, sub koordinator tata kelola TI dan manajemen risiko TI, dan sub koordinator infrastruktur. Selain itu, pengumpulan data juga dilakukan dengan melakukan analisis dokumen internal organisasi, studi literatur, dan mengkaji penelitian-penelitian yang dilakukan sebelumnya. Adapun penelitian ini dilakukan dengan beberapa tahapan, yaitu identifikasi aset, ancaman dan kerentanan; identifikasi risiko; penilaian risiko; penentuan kontrol risiko. Hasil penelitian ini memberikan rancangan kebijakan keamanan informasi yang sesuai dengan Instansi XYZ.

---

In September 2021, it was reported that there were allegations of hacking and cyber-attack on 10 ministries, institutions, and government in Indonesia. XYZ Institute is one of them. XYZ Institute is a government supervisory that has not implemented and designed information security policies properly. Following regulations from the Ministry of Communications and Informatics and BSSN related to information security, made XYZ Institute take the initiative to improve information security policies in accordance with the standards set by the Ministry of Communications and Informatics and BSSN using SNI ISO/IEC 27001:2013 The information security policy at XYZ Institute is designed as a reference in identifying and understanding the assessment of assets, threats, vulnerabilities, the possibility of interference, and the impact on information security. This study aims to design an information security policy at XYZ Institute, using the SNI ISO/IEC 27001:2013 as the standard. The data collection and validation test of the information security policy design was created by interviewing related parties, including head of IT, IT information security sub-coordinator, information sub-coordinator, IT governance and IT risk management sub-coordinator, and infrastructure sub-coordinator. In addition, data collection was performed by analyzing the organization's internal documents, literature studies and reviewing previous studies. The stages carried out in this research are the identification of assets, threats, and vulnerabilities; risk identification; risk assessment; risk control determination. The results of this study provide an information security policy design that is in accordance with XYZ Institute."

"PT. XYZ bergerak di bidang percetakan billing statement, bekerjasama dengan beberapa bank lokal dan bank asing, sehingga keamanan informasi harus diatur seketat mungkin karena berkaitan dengan informasi pelanggan bank, oleh karena itu PT. XYZ sering diaudit oleh pelanggan. Keamanan informasi sangat lemah ditambah kurangnya monitoring dan evaluasi dari pihak yang berwewenang menjadi temuan hasil audit dari beberapa bank, hasil audit ini berlawanan dengan ekspektasi perusahaan yang yakin akan ketatnya keamanan informasi yang sudah didukung oleh kebijakan dan prosedur. Ditinjau dari hasil audit beberapa bank, perusahaan memutuskan melakukan audit kepatuhan, audit kepatuhan ini digunakan untuk menguji apakah tingkat kepatuhan terhadap visi dan misi perusahaan mempunyai pengaruh terhadap keamanan informasi perusahaan dan pelanggan. Maka dari itu penelitian ini berfokus pada audit kepatuhan keamanan informasi terhadap visi dan misi perusahaan sebagai best services terhadap pelanggan dalam hal keamanan informasi untuk memastikan bahwa kebijakan dan prosedur yang sudah ada berjalan dengan baik. Jika dalam proses penelitian didapatkan kebijakan dan prosedur yang lemah, maka akan diberikan rekomendasi kebijakan dan prosedur baru guna meningkatkan keamanan informasi. Metodologi yang digunakan adalah framework ISO 27001/ISMS. Dalam penelitian ini peneliti mengharapkan sinkronisasi antara kepatuhan dengan visi dan misi perusahaan serta adanya perbaikan kebijakan dan prosedur yang lemah guna meningkatkan keamanan informasi.

---

PT. XYZ is engagedin the field of billing statements printing, in collaration with several local and foreign banks, so the information security should be regulated as tightly as possible as it relates to the banks customer information. Therefore, PT. XYZ is often audited by its customers, the weakness in information security and the lack of monitoring and evaluation from the authorities have become the audit findings from several banks. This results is in contrast to the expectations of the companies which are confident in the tightness of information security, that has been supported by policies and procedures. Judging from the results of the audit in several banks, the company decided to conduct compliance audits, which are to the test whether the level of compliance to the vision and mission of the company have any impacts on the company's and the customer's information security.

Therefore this study focuses on the audit of compliance information security towards the company's vision and mission as a best services to the customers in terms of information security, to ensure that existing policies and procedures are going well. If in the process of this study weak policies and procedures are discovered, new recommendations will be given to improve information security. The methodology used is ISO 27001/ISMS framework. In this study, the researcher expects the synchronization between compliance and the company's the vision and mission, as well as improvement of weak policies and procedures to improve information security."