SiPKoKI ISO 27001: Sistem Pemilihan Kontrol Keamanan Informasi Berbasis ISO 27001

Seminar Nasional Pascasarjana XI – ITS, Surabaya 27 Juli 2011 ISBN No. 9-545-0270-1

SiPKoKI ISO 27001: Sistem Pemilihan Kontrol Keamanan Informasi Berbasis ISO 27001

Indri Sudanawati Rozas1*, Riyanarto Sarrno2 Jurusan Teknik Informatika, Institut Teknologi Sepuluh Nopember Surabaya, Surabaya, Indonesia [email protected]*

Abstrak Keamanan informasi merupakan suatu tanggungjawab yang tidak dapat dianggap mudah. Selain banyak hal yang harus dilakukan untuk menjamin keamanan informasi, selalu berkembangnya jenis ancaman keamanan informasi yang menyerang juga memiliki tantangan tersendiri. ISO 27001 atau lengkapnya ISO 27001:2005 adalah sebuah dokumen standar Sistem Manajemen Keamanan Informasi (SMKI) atau Information Security Managemen System (ISMS) yang memberikan gambaran secara umum mengenai apa yang harus dilakukan oleh perusahaan dalam usaha rangka mengimplementasikan konsep-konsep keamanan informasi. Ada 133 kontrol keamanan informasi untuk menjaga aset perusahaan, namun tidak semua kontrol tersebut wajib dilaksanakan. Perusahaan dapat memilih kontrol mana yang dianggap cocok dengan kondisi yang terjadi. Namun pemilihan ini bukan pekerjaan yang mudah, karena banyak parameter yang harus dijadikan pertimbangan. Untuk itu penelitian ini membangun sebuah sistem pemilihan kontrol keamanan informasi yang sesuai dengan data ancaman informasi yang terjadi dalam suatu perusahaan dengan nama SiPKoKI. Data ancaman keamanan informasi yang terjadi kemudian direpresentasikan ke dalam struktur bayesian network. Dari struktur bayesian network tersebut kemudian SiPKoKI menghitung besarnya resiko ancaman keamanan informasi (risk assessment) terhadap masing-masing aset. Setelah didapatkan nilai resiko, kemudian dilanjutkan dengan memilih kontrol keamanan informasi pada ISO 27001 yang paling sesuai dengan ancaman yang terjadi. Proses pemilihan kontrol yang sesuai menggunakan metode cosine similarity. Mekanisme cosine similarity yang dilakukan SiPKoKI adalah dengan menggunakan term pada data gangguan keamanan informasi dan term-term yang terdapat pada dokumen ISO 27001 sehingga diperoleh nilai kesamaan (similarity). Rekomendasi kontrol keamanan pada ISO 27001 akan diberikan sesuai dengan kontrol yang memiliki nilai similarity yang paling tinggi. Kata kunci: keamanan informasi, ISO 27001, bayesian network, cosine similarity, SiPKoKI, kontrol internal.

ini bukan pekerjaan yang mudah, karena banyak parameter yang harus dijadikan pertimbangan. Untuk itu proses pemilihan kontrol keamanan informasi berbasis ISO 27001 biasanya mengandalkan jasa konsultan keamanan informasi. Dan tentunya penggunaan jasa tersebut akan menambah biaya tersendiri. Penelitian ini bertujuan membangun sebuah sistem pemilihan kontrol keamanan informasi yang sesuai dengan data ancaman informasi yang terjadi dalam suatu perusahaan dengan nama SiPKoKI. Data ancaman keamanan informasi yang terjadi kemudian direpresentasikan ke dalam struktur bayesian network. Dari struktur bayesian network tersebut kemudian SiPKoKI menghitung besarnya resiko ancaman keamanan informasi (risk assessment) terhadap masingmasing aset. Setelah didapatkan nilai resiko, kemudian dilanjutkan dengan memilih kontrol keamanan informasi pada ISO 27001 yang paling sesuai dengan ancaman yang terjadi. Proses pemilihan kontrol yang sesuai menggunakan metode cosine similarity. Mekanisme cosine similarity yang dilakukan SiPKoKI adalah dengan menggunakan term pada

1. Pendahuluan Informasi merupakan salah satu aset perusahaan yang sangat penting. Dengan perkembangan teknologi informasi yang sangat pesat, kemungkinan terjadinya gangguan keamanan informasi semakin meningkat. Untuk itu perusahaan harus menerapkan kebijakan yang tepat untuk melindungi aset informasi yang dimiliki. Salah satu kebijakan yang dapat diambil oleh perusahaan untuk mengatasi gangguan keamanan informasi adalah dengan menerapkan manajemen keamanan informasi. ISO 27001:2005 merupakan icon sertifikasi seri ISO 27000. ISO 27001:2005 adalah sebuah dokumen standar Sistem Manajemen Keamanan Informasi (SMKI) atau Information Security Managemen System (ISMS) yang memberikan gambaran secara umum mengenai apa saja yang harus dilakukan oleh sebuah perusahaan dalam usaha rangka mengimplementasikan konsepkonsep keamanan informasi. ISO 27001:2005 memiliki 133 kontrol keamanan informasi, dan pada pelaksanaannya perusahaan dapat memilih kontrol mana yang paling relevan dengan kondisi di lapangan. Namun pemilihan

107

Seminar Nasional Pascasarjana XI – ITS, Surabaya 27 Juli 2011 ISBN No. 9-545-0270-1

data gangguan keamanan informasi dan termterm yang terdapat pada dokumen ISO 27001 sehingga diperoleh nilai kesamaan (similarity). Rekomendasi kontrol keamanan pada ISO 27001 akan diberikan sesuai dengan kontrol yang memiliki nilai similarity yang paling tinggi. SiPKoKI diharapkan dapat membantu perusahaan melakukan perhitungan resiko secara mandiri. Sehingga untuk melakukan kontrol internal terhadap keamanan informasi perusahaan tidak harus menggunakan jasa konsultan dari pihak eksternal.

antara variabel-variabel dari domain persoalan yang dimodelkan. BN terdiri dari dua bagian utama, yaitu bagian struktur graf dan himpunan parameter. Kedua bagian BN tersebut dijelaskan sebagai berikut: 1. Struktur graf Struktur graf BN disebut dengan directed acyclic graph (DAG) yaitu graf berarah tanpa siklus. DAG terdiri dari simpul dan busur. Simpul merepresentasikan variabel acak, dan busur merepresentasikan adanya hubungan kebergantungan langsung (dapat pula diinterpretasikan sebagai pengaruh (sebab akibat) langsung, di antara variabel yang dihubungkannya. Tidak adanya busur menandakan adanya kebebasan kondisional di antara variabel. Struktur BN disebut juga sebagai representasi kualitatif yang menyatakan keterhubungan di antara variabel-variabel yang dimodelkan. 2. Himpunan parameter Himpunan parameter mendefinisikan distribusi probabilitas kondisional untuk setiap variabel. Setiap variabel acak direpresentasikan oleh sebuah simpul. Pada setiap simpul terdapat tabel yang berisikan distribusi probabilitas kondisional yang disebut dengan conditional probability table (CPT). Pada setiap sel dari tabel tersebut berisikan probabilitas kondisional dari nilai-nilai simpul yang diwakilinya jika diketahui setiap kombinasi nilai semua simpul parent kecuali pada akar (root). Himpunan parameter disebut juga sebagai representasi kuantitatif yang menyatakan nilai probabilistik pada variabel-variabel yang dimodelkan.

2. Kajian Pustaka 2.1 ISO 27001 ISO/IEC 27001 adalah standar SMKI yang diterbitkan pada Oktober 2005 oleh International Organization for Standarization dan International Electrotechnical Commission. Standar ini menggantikan BS-77992:2002. ISO/IEC 27001: 2005 mencakup semua jenis organisasi (seperti perusahaan swasta, lembaga pemerintahan, dan juga lembaga nirlaba). ISO/IEC 27001: 2005 berisi penjelasan tentang syarat-syarat untuk membuat, menerapkan, melaksanakan, memonitor, menganalisa dan memelihara serta mendokumentasikan SMKI dalam konteks resiko bisnis organisasi. SMKI yang baik akan membantu memberikan perlindungan terhadap gangguan pada aktivitasaktivitas bisnis dan melindungi proses bisnis yang penting agar terhindar dari resiko kerugian/bencana dan kegagalan serius pada pengamanan sistem informasi (Syafrizal, 2009). Implementasi SMKI juga akan memberikan jaminan pemulihan operasi bisnis akibat kerugian yang ditimbulkan dalam masa waktu yang tidak lama. Dalam ISO 27001 ada 11 aspek atau yang biasa disebut sebagai clauses, dimana di dalamnya terbagi lagi menjadi 133 kontrol yang harus ada dalam setiap perusahaan dalam usahanya mengimplementasikan konsep keamanan informasi. Kontrol dalam hal ini adalah hal-hal berupa proses, prosedur, kebijakan maupun tool yang digunakan sebagai alat pencegahan terjadinya sesuatu yang tidak dikehendaki oleh adanya konsep keamanan informasi.

2.3 Cosine similarity Cosine similarity adalah salah satu metode perhitungan similarity yang paling populer untuk diterapkan pada dokumen teks. Kelebihan utama dari metode cosine similarity adalah tidak terpengaruh pada panjang pendeknya suatu dokumen. Karena yang diperhitungkan hanya nilai term dari masing-masing dokumen. Karakteristik tersebut sangat sesuai dengan penelitian ini, dimana daftar threat merupakan dokumen yang sangat pendek namun terdiri dari term-term yang utama sedangkan dokumen ISO/IEC 27001 terdiri dari kalimat-kalimat yang panjang. Persamaan dari cosine similarity adalah:

2.2 Bayesian network Bayesian network atau bayesian belief network dikenal juga dengan sebutan belief networks, causal probabilistic networks, causal nets, graphical probability networks, dan probabilistic infuence diagrams (Olmus, 2004). Bayesian network (BN) adalah sebuah probabilistic graphical model (PGM) dengan busur berarah yang digunakan untuk merepresentasikan pengetahuan tentang hubungan kebergantungan (dependency) atau kebebasan (independency) di

k

å wqk * wdk cos inesimilar ity (Q, D) =

(1)

i =1 k

k

å wqk * å wdk 2

i =1

2

i =1

dimana: wqk = bobot TF-IDF dari query wdk = bobot TF-IDF dari dokumen ∑wqk = penjumlahan TF-IDF dari query

108

Seminar Nasional Pascasarjana XI – ITS, Surabaya 27 Juli 2011 ISBN No. 9-545-0270-1

∑wdk

= penjumlahan TF-IDF dari dokumen.

3. SiPKoKI SiPKoKI (Sistem Pemilihan Kontrol Keamanan Informasi) adalah sebuah sistem yang akan memberikan rekomendasi kepada user apabila data-data gangguan keamanan dimasukkan. SiPKoKI mempunyai mekanisme yang digambarkan dengan skema sebagaimana pada Gambar 1.

3.

SiPKoKI user 1

6

menghitung nilai resiko

3

menghitung nilai cosine

4

rekomendasi

Dokumen ISO 27001

2

4.

Database threat

5

5.

133 kontrol ISO 27001

Gambar 1. Blok skema SiPKoKI

Pembahasan blok skema SiPKoKI akan dimulai sesuai dengan nomor yang tertera pada Gambar 1. 1. User input Untuk mendapatkan rekomendasi yang sesuai dengan kondisi di lapangan, user terlebih dahulu harus memasukkan beberapa parameter yang diperlukan oleh SiPKoKI. Diantaranya adalah: - daftar threat yang pernah terjadi di perusahaan, - nilai conditional probability table dari masing-masing threat ke dalam struktur bayesian network SipKoKI, - term yang dianggap mewakili kata-kata pada nama threat pada poin pertama. SiPKoKI mengijinkan user untuk memasukkan term lebih dari satu guna memberikan gambaran yang lebih jelas mengenai threat yang terjadi. Setelah ketiga data tersebut dimasukkan oleh user maka SiPKoKI akan menyimpannya ke dalam database untuk kemudian dijadikan dasar perhitungan dan rekomendasi yang tepat berdasarkan dokumen ISO 27001. 2. Preprocessing dokumen ISO 27001 Dokumen ISO 27001 harus dipecah menjadi 133 dokumen berformat .txt terlebih dahulu sebelum diproses oleh SiPKoKI. Hal ini karena SiPkoKI akan melakukan perhitungan kesesuaian data

6.

term semua threat yang dimasukkan oleh yser dengan masing-masing kontrol ISO pada tiap dokumen. Nilai cosine similarity yang paling besar antara dokumen dengan threat kemudian akan dijadikan kontrol rekomendasi. Bayesian network inference Perhitungan resiko (risk assesement) pada SiPKoKI dilakukan dengan mekanisme bayesian network inference, dimana masing-masing threat dengan nilai prior dan conditional probability-nya akan memberikan kontribusi terhadap hasil akhir perhitungan resiko gangguan keamanan. Melakukan pencarian term dan bobot TF Pada langkah satu telah disebutkan bahwa user memasukkan term yang dianggap mewakili masing-masing threat. Dengan menggunakan term yang dimasukkan user tersebut maka SiPKoKI melakukan pencarian bobot term frequency (TF) pada masing-masing dokumen kontrol ISO 27001. Perhitungan cosine similarity Dengan menggunakan term dan TF yang diperoleh pada langkah empat, maka nilai cosine similarity dapat dihitung. Perhitungan dilakukan dengan menggunakan persamaan (1). Hasil perhitungan cosine similarity akan memiliki nilai dengan rentang 0 sampai dengan 1. Memberikan rekomendasi Berdasarkan nilai cosine similarity yang terbesar dari langkah ke lima, maka SiPKoKI akan menampilkan nama kontrol ISO 27001 yang paling sesuai dengan data yang dimasukkan oleh user.

4. Pembentukan Struktur Bayesian network Sebelum SiPKoKI menjadi sebuah sistem yang siap digunakan, ada satu hal mendasar yang menjadi titik fokus penelitian ini, yaotu pembentukan master struktur bayesian network (MSBN). Hal ini penting un tuk dilakukan karena MSBN inilah yang akan menjadi dasar bagi user memasukkan input data threat ke dalam SiPkoKI. Menurut (Chain, 2001) ada 12 (dua belas) langkah yang diperlukan untuk membentuk sebuah sistem pendukung pengambilan keputusan menggunakan struktur bayesian network yang valid. Langkah-langkah tersebut adalah: 1. Memastikan tujuan dan relevansi dipilihnya bayesian network. 2. Memastikan siapa stakeholder yang berkepentingan. 3. Memulai konsultasi dengan stakeholder. 4. Membangun desain awal bayesian network

109

Seminar Nasional Pascasarjana XI – ITS, Surabaya 27 Juli 2011 ISBN No. 9-545-0270-1

5.

Melakukan diskusi lebih lanjut dengan stakeholder berdasar desain bayesian network. 6. Memastikan solusi dari diskusi pada langkah 5. 7. Melakukan workshop dengan stakeholder mengenai sudut pandang bayesian network yang dibentuk. 8. Melengkapi struktur bayesian network berdasarkan langkah 7. 9. Membentuk Master Struktur Bayesian Network (MSBN) 10. Mengumpulkan nilai CPT. 11. Membuat sistem berdasarkan MSBN 12. Meminta pendapat stakeholder mengenai sistem yang telah dibangun. Berdasarkan ke dua belas langkah tersebut penelitian ini melakukan 5 (lima) langkah untuk mendapatkan master Struktur Bayesian Network (MSBN). Lima langkah tersebut dijabarkan sebagai berikut: 1. Menentukan daftar threat Dalam penelitian ini daftar threat yang digunakan sebagai dasar adalah katalog Magerit dan ISO/IEC 27005 (Rahmad, 2010). Dalam katalog threat yang disusun oleh Rahmad, terdapat 73 buah threat sebagaimana terdapat pada Tabel 1. Tabel 1. Katalog threat berdasarkan Magerit dan ISO 27005 (Rahmad, 2010) No Kode Nama Threat

24

HA6

25

HA7

[Re]-routing error Sequence error

26

HA8

Information leaks

27

HA9

Information modification

28

HA10

Incorrect information entry

29

HA11

Information degradation

30

HA12

Destruction of information

31

HA13

Disclosure of information

32

HA14

Bug on software

33

HA15

Defects in software maintenance or updating

34

HA16

Defects in hardware maintenance

35

HA17

36

HA18

37

HA19

Defects in network maintenance System failure due to exhaustion of resources Staff shortage

38

HD1

Spying by a foreign state or a mafia (using important resources)

39

HD2

Vandalism from outside: bullets or objects thrown from the street, etc.

40

HD3

Vandalism from inside: by people authorized within the premises (personnel, sub-contractor, etc.).

41

HD4

Terrorism: sabotage, explosives left close to sensitive premises

42

HD5

Hardware theft

43

HD6

44

HD7

45

HD8

46

HD9

47

HD10

48

HD11

49

HD12

Network equipment theft Malicious erasure of networking configurations Malicious erasure of hardware configurations Saturation of the network caused by a worm Malicious and repeated saturation of IT resources by a group of users Distorted data entry or fiddling of data HD12 Intentional erasure (direct or indirect), theft or destruction of program or data containers Intended access to data or information and disclosure of information

50

HD13

51

HD14

52

HD15

53

HD16

54

HD17

55

HD18

56

HD19

1

N1

Fire

2

N2

Flood

3

N3

Lightning

4

N4

Seismic phenomena

5

N5

Volcanic phenomena

6

N6

Storm/hurricane

7

ET1

8

ET2

9

ET3

Water damage Electromagnetic interference from device Industrial electromagnetic explosion

10

ET4

Short Circuit

11

ET5

Power failure

12

ET6

Pollution

13

ET7

Hardware failure

14

ET8

Network failure

15

ET9

Software failure

16

ET10

Unsuitable temperature or/and humidity conditions

17

ET11

Media degradation

18

ET12

HVAC failure

57

HD20

Masquerading of user identity

User’s error

58

HD21

Abuse of access privileges

HD22

Software misuse

19

HA1

Document or media theft Malicious erasure (directly or indirectly) of software on its storage Malicious modification (direct or indirect) of the functionalities of a program or of the operation of an office program (Excel, Access, etc) Illegal usage of software Intrusion to system by third party whose contract with organization Malicious erasure of software configurations Absence or strike of IT operational personnel

20

HA2

Administrator’s error

59

21

HA3

Configuration Error

60

HD23

Hardware misuse

Organizational deficiencies

61

HD24

Network misuse

Malware diffusion

62

HD25

Document misuse

22 23

HA4 HA5

110

Seminar Nasional Pascasarjana XI – ITS, Surabaya 27 Juli 2011 ISBN No. 9-545-0270-1

63

HD26

Malware diffusion

64

HD27

[Re]-routing message

65

HD28

Sequence alteration

66

HD29

Unauthorized access

67

HD30

Traffic analysis

68

HD31

Eavesdropping

69

HD32

Software manipulation

70

HD33

Denial of service

71

HD34

Extortion

72

HD35

73

HD36

Social engineering Spying by a foreign state or a mafia (using important resources)

2.

3.

4.

5.

Gambar 2. Tampilan menu inference pada SiPKoKI

Pada Gambar 2 terlihat bahwa secara umum tampilan program terbagi menjadi dua bagian, yaitu bayesian network di sebelah kiri, dan kontrol keamanan informasi berbasis ISO 27001 di sebelah kanan. Struktur bayesian network di sebelah kiri adalah visualisasi grafis dari seluruh ancaman keamanan informasi yang terjadi di sebuah perusahaan. Dengan data-data yang dimasukkan, maka SIPKoKI akan melakukan perhitungan cosine similarity sehingga menampilkan nama kontrol keamanan informasi di sebelah kanan.

Membentuk MSBN Setelah memiliki daftar threat sebagaimana Tabel 1 maka langkah selanjutnya adalah membentuk notasi grafis untuk network bayesian yang mewakili kondisi di lapangan. Tidak semua threat pada Tabel 1 akan muncul pada notasi grafs MSBN yang terbentuk. Hal ini karena setiap perusahaan memiliki daftar threat sendiri yang unik. Pengumpulan data prior Setelah diperoleh MSBN yang akan digunakan dalam proses inferfensi, maka langkah selanjutnya adalah mengumpulkan data prior dari masing-masing threat yang digunakan. Menentukan nilai CPT Conditional probability table (CPT) adalah tabel probabilitas untuk masing-masing node. Nilai tersebut diperlukan untuk melakukan perhitungan akhir nilai probabilitas suatu kejadian yang terekam dalam bentuk bayesian network. Validasi struktur bayesian network Setelah seluruh tahapan tersebut dilakukan langkah selanjutnya adalah melakukan validasi. Validasi dilakukan dengan mempresentasikan MSBN pada SiPKoKI kepada stakeholder yang memasukkan nilai prior dan CPT. Dengan seluruh nilai prior dan CPT yang telah dimasukkan, SiPKoKI akan menghasilkan nilai resiko. Nilai resiko ini yang akan divalidasi oleh stakeholder. Jika ada yang dianggap masih kurang sesuai, maka akan dilakukan revisi terhadap nilai prior dan CPT.

6. Hasil dan Pembahasan Untuk melihat sejauh mana keberhasilan sistem yang dibuat, maka dilakukan serangkaian ujicoba terhadap hasil rekomendasi SiPKoKI. Berdasarkan data yang dimiliki oleh Puskom ITS terdapat 8 (delapan) jenis asset yang perlu dilakukan perhitungan resiko dan juga dicari rekomendasinya. Untuk itu ujicoba dan pembahasan dibagi berdasarkan masing-masing asset, dimana pada masing-masing asset akan membahas mengenai tiga hal yaitu hasil perhitungan resiko, hasil rekomendasi SiPKoKI dengan term standar, dan terakhir hasil rekomendasi SiPKoKI dengan term yang diperbaiki (extended term). 1. Relevansi Hasil Perhitungan Resiko Relevansi hasil perhitungan resiko untuk kasus Puskom ITS disajikan pada Tabel 2. Dengan menggunakan data threat dan CPT yang diberikan oleh pakar Puskom ITS SiPKoKI melakukan perhitungan probability resiko terhadap masing-masing aset. Setelah didapatkan nilai probability kemudian dilanjutkan dengan memetakiannya ke dalam matriks resiko sehingga didapatkan estimasi resiko. Hasil relevansi antara estimasi resiko dan resiko yang dihitung oleh SiPKoKI didapatkan dari pakar. Jika menurut pakar estimasi yang diberikan sesuai maka akan dikategorikan ke dalam kategori ‘relevan’.

5. Program SiPKoKI Terdapat enam menu dalam SiPKoKI yaitu network, threats, attack types, assets, links dan inference. Lima menu pertama merupakan menu dimana user harus memasukkan data sesusia yang terjadi di lapangan. Sedangkan menu SIPKoKI yang menghasilkan rekomendasi terdapat pada menu inference sebagaimana terdapat pada Gambar 2.

111

Seminar Nasional Pascasarjana XI – ITS, Surabaya 27 Juli 2011 ISBN No. 9-545-0270-1

Tabel 2. Relevansi Estimasi Resiko SiPKoKI pada 8 asset No Nama Asset Relevansi 1

Software asset

Ya

2

Database and fileserver asset

Ya

3

Mediastore asset

Ya

4

Server and workstation asset

Ya

5

Network hardware asset

Ya

6

Communication network asset

Ya

7

Auxiliary equipment asset

Ya

8

Personnel asset

Ya

Gambar 4. Nilai Cosine similarity yang dihasilkan SiPKoKI

7. Kesimpulan Dari hasil penelitian ini dapat disimpulkan bahwa: SiPKoKI dapat membantu melakukan perhitungan probability resiko dari data yang dimasukkan. SiPKoKI dapat membantu pihak internal perusahaan memilih kontrol keamanan informasi berbasis ISO 27001 yang sesuai dengan kejadian di lapangan.

Dari Tabel 2 terlihat bahwa untuk semua jenis asset yang ada, SiPKoKI dapat menghasilkan perhitungan resiko yang relevan. 2. Relevansi Rekomendasi Kontrol ISO 27001 SiPKoKI menghasilkan dua jenis rekomendasi kontrol keamanan informasi berbasis ISO 27001. Rekomendasi yang pertama adalah yang dihasilkan oleh term standar sedangkan yang kedua adalah extended term yang dimasukkan ke dalam sistem. Berdasarkan kedua jenis term tersebut, untuk masing-masing asset diperoleh nilai relevansi yang berbeda. Penentuan klasifikasi relevansi didasarkan pada hasil penelitian (Brewer, 2010). Penelitian (Brewer, 2010) menghasilkan analisis terhadap kegunaan masing-masing kontrol ISO 27001 dengan kejadian di lapangan. Dari uji relevansi terhadap penelitian (Brewer, 2010). Sebaran nilai relevansi dari 8 buah asset yang dimiliki dapat dilihat pada Gambar 3 berikut.

8. Pustaka Brewer, D., (2010). Insight into the ISO/IEC 27001 Annex A. Report. Gamma Secure System Limited. Chain, J., (2001). Planning improvements in natural resources management. Published by the Centre for Ecology & Hydrology Crowmarsh Gifford, Wallingford, Oxon, OX10 8BB, UK. August 2001. ISBN 0903741009. Rahmad B., dkk., (2010). Threat Scenario Dependency-Based Model of Information Security Risk Analysis, International Journal of Computer Science and Network Security, IJCSNS vol.10 No.8, August 2010. Syafrizal, M., (2009). Information Security Management System (ISMS) Menggunakan Standar ISO/IEC 27001:2005. Jurnal DASI Vol. 10 No.1 Maret 2009. Olmus, H. dan Erbas, SO., Determining The Conditional Probabilities In Bayesian networks, Hacettepe Journal of Mathematics and Statistics Volume 33 (2004), halaman 69 – 76.

Gambar 3. Relevansi Kontrol Rekomendasi SiPKoKI

2. Nilai Cosine similarity SiPKoKI Untuk menghasilkan kontrol rekomendasi, SiPKoKI menggunakan nilai cosine similarity sebagai dasar pertimbangan. Nilai cosine similarity tertinggi antara term pada threat dan term dokumen ISO 27001 akan menjadi prioritas pertama rekomendasi. Dari nilai cosine yang dihasilkan, didapatkan perbedaan yang cukup signifikan apabila term yang digunakan adalah term standar dan extended term. Hasil cosine similarity tersebut direpresentasikan pada Gambar 4.

112