Kerjasama TI dan Bisnis untuk Minimalkan Risiko

dok. Symantec Darric Hor, Country Director for Indonesia, Symantec

Penulis: Darric Hor*
 
Perusahaan-perusahaan di seluruh dunia sedang menelaah rencana manajemen risiko TI mereka. Dahulu, audit jadi alasan perusahaan untuk memeriksa faktor risiko TI mereka untuk menjamin kesesuaian dengan mandat industri. Tapi kini, kita bisa melihat adanya pergeseran dari pemikiran semacam ini.

Manajemen risiko tidak lagi diserahkan pada TI saja. Manajemen risiko TI telah mencapai ruang rapat para petinggi. Eksekutif puncak (C-level) kini memantau bagaimana risiko TI bisa memengaruhi organisasi mereka dari sisi bisnis.

Seperti yang sudah diketahui para Chief Security Information Officer (CISO) dan departemen TI sejak dulu, teknologi saja tak akan menjaga organisasi aman dan terlindungi.   

Agar bisa mengelola risiko secara baik, perusahaan harus memahami hubungan antara setiap sistem bisnis yang ada. Sebuah sistem bisnis hakikatnya adalah lebih dari sekadar teknologi; ia merupakan gabungan dari manusia, proses dan teknologi yang mencapai fungsi bisnis tertentu. Ini kenapa, TI dan bisnis harus bekerjasama: TI harus tahu sistem dan proses yang penting bagi bisnis, sedangkan bisnis harus memahami risiko dari sudut pandang TI.   

Mari kita lihat, sebagai contoh, sistem account payable (AP). AP adalah bagian dari sistem pelaporan keuangan; yakni kumpulan aset yang semuanya mengarah ke tujuan bisnis: menyediakan laporan keuangan.

Saat Anda memeriksa sistem AP, tentunya ada sisi bisnis dan sisi TI-nya. Di sisi bisnis, sudut pandangnya adalah proses persetujuan (approval). Pengguna menyalakan komputernya, mendapatkan form, memproses form itu ke sebuah laporan untuk mendapatkan persetujuan, lalu sebuah cek secara 'ajaib' dibuat. Sedangkan dari sisi TI, yang terlihat adalah aplikasi pada sebuah database di suatu server di data center.    

Namun apapun sudut pandang Anda, baik bisnis maupun TI, sistem AP memiliki risiko. Saat orang TI berbicara dengan orang bisnis, percakapan itu tidak bisa dimulai dengan "server yang ini berisiko". Sebaiknya, percakapan dilakukan dengan perspektif berbasis-proses yang biasa bagi orang bisnis.

Tanyakan apa risiko bisnis yang muncul dari proses itu dan apakah mereka memahami cara untuk mengendalikan risiko tersebut, Anda bisa menyusun daftar risiko dan memetakan cara-cara pengendaliannya. TI bisa menerjemahkan risiko itu ke kendali teknis untuk membantu mitigasi risiko.  

Contoh ini menunjukkan bagaimana orang, proses dan teknologi bisa secara efektif bekerjasama untuk manajemen risiko. Laporan bisa disusun dan cek bisa dibuat karena sistem bisnis berjalan lancar. Hal paling penting bagi kedua pihak adalah memahami risikonya dan mengkomunikasikan hal itu dengan istilah yang bisa dimengerti semua orang.  

Saya sering ditanya, "Mulainya dari mana?" Tempat terbaik untuk memulai menyusun model risiko adalah mendefinisikan fungsi bisnis dan memahami apa risikonya bagi fungsi bisnis tersebut. Mulai dengan apa yang membuat sebuah bisnis berjalan dan apa yang terjadi jika hal itu terganggu.

Pertama, lihat dulu rencana keberlanjutan bisnis Anda dan daftar pemulihan 24 jam pasca-bencana -- hal-hal itulah yang berpotensi menghentikan bisnis Anda.  

Lalu, bagaimana menerapkan perubahan ini bisa membantu perusahaan? Dengan melibatkan orang-orang bisnis di proses pengambilan keputusan risiko TI, kebijakan, prosedur dan kendali teknis yang dihasilkan akan mengurangi risiko dan memperbaiki efisiensi.

Lebih dari itu, kami menemukan bahwa saat pimpinan bisnis dan eksekutif memahami risiko, dan tahu apa yang bisa mereka lakukan untuk menguranginya, para CISO menemukan banyak hal positif mulai terjadi, dan anggaran untuk manajemen risiko serta keamanan mulai naik.

Semua orang punya peranan, dan hal itu dimulai dengan mendukung CISO dan tim TI dari tingkat organik. Anda tidak bisa melindungi sesuatu yang Anda tidak ketahui, jadi komunikasi pada semua tingkat adalah kunci sukses menjalin hubungan antar sistem bisnis.

*Darric Hor adalah Country Director for Indonesia, Symantec