RPS minggu 6 · 2x50 menit

Risiko Teknologi Informasi & Siber

Manajemen Risiko Operasional — Magister Manajemen FEB UNDIP

Peta Pertemuan Hari Ini

Jam ke-1 (50 menit)

Lanskap Ancaman Siber — kerangka konseptual & taksonomi
HDN-1: HDN-1
Mini-kasus Indonesia sebagai lensa keputusan

Jam ke-2 (50 menit)

Kerangka NIST CSF & ISO 27001 — penerapan & mitigasi prioritas
HDN-2: HDN-2
Sintesis ke keputusan manajerial & risk appetite

Posisi dalam alur 14 pertemuan: pertemuan 6 dari 14 — fondasi konseptual sebelum integrasi studi kasus terakhir.

Mengapa Ini Keputusan Manajerial, Bukan Sekadar Teori?

Kasus pemantik: Ransomware Lockbit 3.0 pada BFI Finance (Juni 2024, ilustratif berdasarkan laporan publik): eksfiltrasi data nasabah, downtime operasi multi-minggu — contoh op-risk siber modern di Indonesia.

Implikasi Langsung

Kerugian finansial material & potensi denda regulator
Erosi reputasi & kepercayaan nasabah/pasar
Tekanan ke modal & kecukupan KPM bank

Pertanyaan Direksi

Bagaimana mencegah kejadian serupa di bank kita?
Berapa investasi mitigasi yang layak (cost vs benefit)?
Siapa pemilik risiko (risk owner) di struktur kita?

Bagian 1

Lanskap Ancaman Siber

Diskusi kelas: di organisasi tempat Anda bekerja, sejauh mana lanskap ancaman siber sudah dikelola secara sistematis versus ad hoc?

Konsep Inti: Risiko Teknologi Informasi & Siber

Acuan teori: NIST Cybersecurity Framework 2.0 (2024): Govern-Identify-Protect-Detect-Respond-Recover; ISO 27001:2022 controls; cyber resilience vs cybersecurity.

Definisi inti yang harus Anda kuasai sebagai manajer risiko: Menganalisis risiko teknologi informasi dan siber sebagai risiko operasional modern.

Apa yang Termasuk

Menjelaskan vektor ancaman siber utama (ransomware, phishing, DDoS, insider) dari perspekt
Memetakan kerangka keamanan informasi ISO 27001 & NIST CSF ke elemen op-risk.

Apa yang TIDAK Termasuk

“Cyber = IT problem”
Konsep di luar cakupan op-risk per definisi Basel

Tiga Komponen Inti Kerangka

Komponen 1

Menjelaskan vektor ancaman siber utama (ransomware, phishing, DDoS, insider
Fondasi konseptual

Komponen 2

Memetakan kerangka keamanan informasi ISO 27001 & NIST CSF ke elemen op-risk.
Penerapan operasional

Komponen 3

Menganalisis kasus ransomware BFI Finance 2024 (ilustratif) sebagai studi op-ris
Integrasi keputusan

Kerangka ini bukan checklist — tiga komponen saling memperkuat; hilangkan satu, sistem menjadi rapuh.

Diagram: Anatomi Sistem

Hubungan kausal antar komponen — visualkan sebagai sistem, bukan daftar.

Sistem efektif menutup siklus umpan balik — kegagalan op-risk paling sering terjadi di garis putus-putus.

HDN-1 — Memetakan Kasus Ransomware BFI (ilustratif) ke Kerangka NIST

Tahap serangan ransomware Lockbit 3.0 pada BFI (ilustratif): klasifikasi setiap tahap ke fungsi NIST CSF 2.0 (Govern/Identify/Protect/Detect/Respond/Recover).

Langkah	Perhitungan	Nilai
1. Phishing email ke staf accounting	Ancaman masuk via kredensial sah	Identify (gap)
2. Eskalasi privilege lateral movement	Tidak ada segmentasi jaringan memadai	Protect (fail)
3. Eksfiltrasi 1,5 TB data 8 hari tak terdeteksi	SIEM tidak menyala anomali	Detect (fail)
4. Enkripsi sistem core leasing	Tidak ada backup offline terkini	Recover (lambat)

Hasil Akhir

Empat dari enam fungsi NIST gagal: Identify (gap phishing), Protect (segmentasi lemah), Detect (SIEM buta), Recover (backup tipis). Cyber resilience menuntut keenam fungsi terkoordinasi — bukan hanya Protect.

Bagian 2

Kerangka NIST CSF & ISO 27001

Diskusi kelas: bagaimana teori blok ini diterjemahkan menjadi SOP konkret yang bisa diaudit regulator?

Akar Akademik: Teori & Penulis

NIST Cybersecurity Framework 2.0 (2024): Govern-Identify-Protect-Detect-Respond-Recover; ISO 27001:2022 controls; cyber resilience vs cybersecurity.

Aliran Utama

Kerangka normatif internasional (Basel/ISO/COSO)
Basis regulasi permodalan global

Kritik & Pengembangan

Pandangan behavioural & budaya (post-2008)
Integrasi strategi-risiko (COSO ERM 2017)

Sebagai mahasiswa S2, kuasai akar teori — bukan untuk hafal, tetapi untuk kredibilitas rekomendasi manajerial & riset Anda.

Mini-Kasus Indonesia: Risiko Teknologi Informasi & Siber

Konteks (ilustratif berdasarkan laporan publik): Ransomware Lockbit 3.0 pada BFI Finance (Juni 2024, ilustratif berdasarkan laporan publik): eksfiltrasi data nasabah, downtime operasi multi-minggu — contoh op-risk siber modern di Indonesia.

Langkah Analisis Kasus	Pertanyaan Manajerial	Implikasi Mitigasi
1. Diagnosis konteks	Faktor risiko spesifik apa yang aktif?	Petakan eksposur ke taksonomi Basel
2. Identifikasi kontrol	Kontrol formal & non-formal apa yang ada?	Evaluasi efektivitas vs inherent
3. Analisis root cause	Mengapa kontrol gagal atau absen?	5-Why / Swiss Cheese analysis
4. Rekomendasi mitigasi	Investasi mana yang prioritas?	Cost-benefit paket 3-lapis
5. Pemantauan KRI	Indikator dini apa yang dipasang?	Threshold RAG + lead time

Kesimpulan Kasus

Lima langkah analisis ini menjadi template untuk tugas akhir dan keputusan risiko di organisasi Anda sendiri.

Penerapan Managerial: Dari Teori ke Keputusan

Insight Utama

Teori tak ada gunanya tanpa keputusan operasional yang berubah
Risk owner jelas per risiko = prasyarat akuntabilitas
Incentive alignment: bonus harus risk-adjusted

Implikasi Operasional

Anggaran mitigasi: alokasi berbasis skor residual
SDM: training + succession planning kunci
Proses: SOP + SoD + audit periodik

Jembatan teori-praktik: satu keputusan konkret di organisasi Anda harus berubah setelah pertemuan ini — sebutkan saat diskusi.

HDN-2 — Estimasi Kerugian Op-Risk Kasus Siber (Komponen)

Kerugian agregat kasus ransomware (ilustratif BFI): komponen kerugian op-risk.

Langkah	Perhitungan	Nilai
1. Biaya pemulihan TI & forensic	Konsultan + SDM recovery 6 minggu	≈ Rp 18 M
2. Denda & sanksi regulator	OJK POJK kepatuhan siber	≈ Rp 5 M
3. Ganti rugi & notifikasi nasabah	Call center + credit monitoring 1 thn	≈ Rp 12 M
4. Pendapatan hilang (downtime)	6 minggu operasi leasing terhenti	≈ Rp 25 M
5. Total estimasi	18+5+12+25	≈ Rp 60 M

Hasil Akhir

Kerugian op-risk siber ≠ hanya biaya IT (Rp 18 M); 70% kerugian adalah konsekuensi bisnis (regulator, nasabah, pendapatan). Ini alasan cyber = risiko bisnis, bukan risiko IT.

Bagian 3

Kasus Ransomware BFI (ilustratif)

Diskusi kelas: bagaimana topik hari ini memengaruhi keputusan alokasi modal & strategi tahun depan di bank Anda?

Eksplorasi Interaktif: Risiko Teknologi Informasi & Siber

Geser parameter di bawah untuk merasakan sensitivitas keputusan risiko — alat bantu yang sama bisa Anda pakai untuk analisis organisasi sendiri.

Hubungan dengan Alur 14 Pertemuan

Pertemuan Sebelumnya

P1–P5: fondasi konseptual op-risk (definisi, taksonomi, RCSA)
Hari ini P6: Risiko Teknologi Informasi & Siber

Sambungan Berikutnya

P7: 7
P14: studi kasus integratif end-to-end

Mata kuliah ini satu proses koheren — setiap pertemuan mengisi satu kotak kerangka manajemen risiko operasional end-to-end.

Bagian 4

KRI & Resilience Siber

Diskusi kelas: satu insight paling penting yang akan Anda bawa pulang dari pertemuan hari ini?

Latihan & Persiapan Pertemuan Berikutnya

Latihan individu (dikumpulkan sebelum P7): Pilih satu organisasi tempat Anda bekerja. Terapkan satu kerangka inti pertemuan hari ini (mis. RCSA / KRI / BIA / analisis root cause 5-Why) pada konteks organisasi tersebut, maksimal 1 halaman: (1) data & asumsi konkret, (2) langkah perhitungan/analisis, (3) satu rekomendasi keputusan manajerial.

Persiapan Pertemuan 7

Baca ringkas topik pertemuan berikutnya dari Chapelle (2020) bab terkait
Bawa satu keputusan risiko konkret dari pengalaman kerja untuk diskusi
Siapkan pertanyaan tentang penerapan kerangka di bank tempat Anda bekerja

Sintesis Studi Kasus Pertemuan 6

Langkah Sintesis	Pertanyaan Integratif	Output Keputusan
1. Kaitkan ke taksonomi Basel	Kategori event type mana yang dominan?	Kategori untuk loss database
2. Skor inherent vs residual	Seberapa efektif kontrol kita?	Gap mitigasi prioritas
3. Identifikasi KRI pemantauan	Indikator dini apa yang akan menyala sebelum kejadian?	Dashboard KRI + threshold RAG
4. Estimasi kebutuhan modal	Berapa buffer KPM yang layak?	Komponen BIA/SMA
5. Rekomendasi keputusan	Investasi mitigasi mana yang prioritas?	Paket cost-benefit 3-lapis

Kesimpulan Sintesis

Lima langkah ini mengintegrasikan seluruh komponen kuliah — gunakan sebagai template tugas akhir & keputusan risiko organisasi Anda.

Ringkasan Kunci Pertemuan 6

Konsep Inti

Menganalisis risiko teknologi informasi dan siber sebagai risiko operasional modern

Miskonsepsi Dibongkar

“Cyber = IT problem” → keliru; cyber adalah risiko bisnis (reputasi, operasi, kepat

Keputusan Manajerial

keliru; 80%+ pelanggaran melibatkan kredensial sah (insider/phishing) yang lolos firewall.

Bawa kerangka & template perhitungan hari ini sebagai lensa untuk analisis organisasi Anda sepanjang semester.