Dalam Membuat Risk Management Plan ada beberapa metode dalam evaluasi resiko. Operationally Critical Threat, Asset, and Vulnerability Evaluation (OCTAVE) merupakan salah satu metode untuk mengevaluasi resiko keamanan sistem informasi. Metoda OCTAVE memiliki tiga varian yaitu OCTAVE, OCTAVE-S dan OCTAVE Allegro.
Apa itu Octave Allegro? Dan Apa saja tahapan di dalamnya?
OCTAVE (Operationally Critical Threat, Assets and Vulnerability Evaluation). OCTAVE dikembangkan oleh Software Engineering Institute (SEI) Universitas Carnegie Mellon. OCTAVE merupakan seperangkat peralatan, teknik dan metode untuk penilaian dan perencanaan keamananan sistem informasi berbasis risiko. OCTAVE memiliki tiga varian yaitu OCTAVE, OCTAVE-S dan OCTAVE Allegro.
OCTAVE Allegro merupakan metoda yang disederhanakan dengan fokus pada aset informasi, dapat dilakukan dengan metoda workshop-style dan kolaboratif. Octave Allegro sedikit berbeda dengan pendekatan Octave lainnya, karena framework ini fokus pada aset informasi yang dimiliki oleh organisasi atau perusahaan dalam konteks bagaimana aset tersebut digunakan, penyimpanannya, perpindahan, pemrosesan serta bagaimana (threats), kerentanan (vulberability) dan gangguan dapat terjadi pada aset tersebut.
OCTAVE Allegro terdiri dari delapan langkah :
1. Langkah 1 – Membangun Kriteria Pengukuran Risiko
Di dalam langkah ini terdapat dua aktivitas, diawali dengan membangun organizational drivers digunakan untuk mengevaluasi dampak risiko pada misi dan tujuan bisnis, serta mengenali impact area yang paling penting.
2. Langkah 2 – Mengembangkan Profil Aset Informasi
Terdiri dari delapan aktivitas, diawali dengan identifikasi aset informasi selanjutnya dilakukan penilaian risiko terstruktur pada aset yang kritis. Aktivitas tiga dan empat mengumpulkan
informasi mengenai information aset yang penting dilanjutkan dengan membuat dokumentasi alasan pemilihan aset informasi kritis. Aktivitas lima dan enam membuat deskripsi aset
informasi kritis kemudian mengidentifikasi kepemilikan dari aset informasi kritis tersebut. Aktivitas tujuh mengisi kebutuhan keamanan untuk confidentiality, integrity dan availaibility. Aktivitas delapan mengidentifikasi kebutuhan keamanan yang paling penting untuk aset informasi.
3. Langkah 3 – Mengidentifikasi Kontainer dari Aset Informasi
Hanya ada satu aktivitas pada langkah tiga, perhatikan tiga poin penting terkait dengan keamanan dan konsep dari kontainer aset informasi yaitu cara aset informasi dilindung, tingkat perlindungan atau pengaman aset informasi dan kerentanan serta ancaman terhadap kontainer dari aset
informasi.
4. Langkah 4 – Mengidentifikasi Area Masalah
Aktivitas pada langkah empat yaitu diawali dengan pengembangan profil risiko dari aset informasi dengan cara bertukar pikiran untuk mencari komponen ancaman dari situasi yang mungkin mengancam aset informasi.
5. Langkah 5 – Mengidentifikasi Skenario Ancaman
Aktivitas satu pada langkah lima yaitu melakukan identifikasi skenario ancaman tambahan pada aktivitas ini dapat menggunakan Appendix C – Threat Scenarios Questionnaries.
6. Langkah 6 – Mengidentifikasi Risiko
Aktivitas satu pada langkah 6 menentukan threat scenario yang telah didokumentasikan.
7. Langkah 7 – Menganalisis Risiko
Aktivitas satu dimulai dengan melakukan review risk measurement criteria dilanjutkan dengan aktivitas kedua menghitung nilai risiko relatif yang dapat digunakan untuk menganalisis risiko dan memutuskan strategi terbaik dalam menghadapi risiko.
8. Langkah 8 – Memilih Pendekatan Pengurangan
Aktivitas satu pada langkah delapan yaitu mengurutkan setiap risiko yang telah diidentifikasi berdasaarkan nilai risikonya. Hal ini dilakukan untuk membantu dalam pengambilan keputusan status mitigasi risiko tersebut. Aktivitas dua melakukan pendekatan mitigasi untuk setiap
risiko dengan berpedoman pada kondisi yang unik di organisasi tersebut.
Referensi :
http://lib.ui.ac.id/naskahringkas/2016-04/S-PDF-Anita%20Wulansari
OCTAVE AND OCTAVE ALLEGRO