Penerapan manajemen risiko pada keamanan informasi dan teknologi pada perusahaan fintech berdasarkan standard ISO/IEC 27001:2013 : studi kasus perusahaan Fintech X

Abstract

Tujuan utama dari penelitian ini ialah untuk menemukan sumber-sumber serangan cyber dan dampak yang ditimbulkannya pada perusahaan financial technology (fintech) X pada periode 2014-2019. Objek penelitian adalah perusahaan fintech X yang bergerak dibidang micro-payment gateway. Metodologi yang digunakan adalah metode fault tree analysis untuk menemukan sumber-sumber yang dapat memicu terjadinya serangan cyber. Sedangkan untuk estimasi kerugian finansial yang timbul akibat kejadian risiko dari sumber tersebut, digunakan metode single loss expectancy, dan untuk menemukan estimasi kerugian dalam kurun waktu tahunan digunakan metode annualized loss expectancy. Hasil riset mengungkapkan, bahwa sumber ketidaktahuan pengguna dan penggunaan identitas personel perusahaan sebagai pemicu terjadinya insiden penipuan, dimana modus penipuan termasuk pada jenis social engineering. Untuk insiden penyalahgunaan akun, terjadi akibat ketiadaan sistem yang dapat membaca perilaku para pengguna. Untuk estimasi kerugian finansial, ditemukan bahwa pada modus penipuan dengan jenis social engineering memiliki estimasi kerugian yang lebih besar untuk setiap insiden daripada rata-rata estimasi kerugian tahunan pada periode penelitian. Sedangkan untuk insiden penyalahgunaan akun, ditemukan bahwa estimasi kerugian finansial dalam kurun waktu tahunan lebih besar daripada estimasi kerugian untuk setiap insiden yang terjadi pada periode penelitian. Adapun untuk mitigasi serangan cyber jenis social engineering, diterapkan konsep customer due diligence, dan penerapan sistem big data digunakan untuk mendeteksi perilaku yang mencurigakan dari penggunaan aplikasi. Terkait temuan yang terdapat pada perusahaan fintech X, ditemukan bahwa perusahaan fintech X tidak memenuhi tujuan bagian 16.1 pada bagian annex A pada standard ISO/IEC 27001:2013 terkait pencatatan atau dokumentasi terhadap insiden yang berorientasi terhadap keamanan informasi dan teknologi.