Framework Mana yang Cocok untuk Audit IT Perbankan? COBIT vs ISO vs NIST

Tidak ada satu framework yang paling unggul untuk semua kebutuhan. COBIT paling cocok sebagai kerangka utama tata kelola dan audit TI. ISO/IEC 27001 dapat digunakan untuk mengukur dan mengaudit keamanan informasi. Sedangkan NIST Cybersecurity Framework (CSF) sebagai panduan pengelolaan dan penguatan risiko keamanan siber.

Dalam praktiknya, bank dapat mengkombinasikan ketiganya: COBIT untuk governance dan kontrol TI, ISO 27001 untuk sistem manajemen keamanan informasi, dan NIST untuk cybersecurity risk management. Pemilihan framework sebaiknya disesuaikan dengan tujuan audit, regulasi perbankan, tingkat risiko, serta kebutuhan organisasi.

Mengenal COBIT: Framework Tata Kelola IT

COBIT (Control Objectives for Information and Related Technologies) adalah framework yang digunakan untuk membantu organisasi mengatur, mengelola, dan mengevaluasi tata kelola serta manajemen teknologi informasi. Framework ini membantu memastikan bahwa penggunaan IT selaras dengan tujuan dan kebutuhan bisnis.

COBIT berfokus pada tata kelola dan manajemen IT enterprise, termasuk pengelolaan risiko, kontrol, kepatuhan, kinerja, serta optimalisasi sumber daya IT. Karena itu, COBIT banyak digunakan sebagai acuan dalam audit IT, terutama untuk menilai apakah proses dan kontrol IT telah berjalan secara efektif dan mendukung tujuan organisasi.

COBIT dikembangkan dan diterbitkan oleh ISACA (Information Systems Audit and Control Association) dan dirancang agar dapat digunakan bersama berbagai standar dan framework lain, termasuk ISO dan NIST.

Baca juga : Framework IT VS ISO/IEC 27001

Mengenal ISO/IEC 27001: Standar Keamanan Informasi

ISO/IEC 27001 adalah standar internasional yang menetapkan persyaratan untuk membangun, menerapkan, memelihara, dan meningkatkan Information Security Management System (ISMS). Standar ini membantu organisasi mengelola risiko keamanan informasi secara sistematis.

Fokus utama ISO/IEC 27001 adalah perlindungan kerahasiaan, integritas, dan ketersediaan informasi melalui penerapan proses manajemen risiko dan kontrol keamanan yang sesuai. Berbeda dengan COBIT yang lebih luas dalam tata kelola dan manajemen IT, ISO/IEC 27001 secara khusus berfokus pada keamanan informasi.

ISO/IEC 27001 juga relevan untuk audit kepatuhan dan penilaian pihak ketiga karena organisasi dapat menjalani proses sertifikasi melalui lembaga sertifikasi independen. Bagi perbankan, sertifikasi ini dapat membantu menunjukkan kepada regulator, nasabah, maupun mitra bisnis bahwa pengelolaan keamanan informasi telah dilakukan berdasarkan standar yang diakui secara internasional.

Mengenal NIST Cybersecurity Framework

NIST Cybersecurity Framework (NIST CSF) adalah kerangka kerja yang membantu organisasi mengidentifikasi, menilai, mengelola, dan mengurangi risiko keamanan siber. Framework ini dikembangkan oleh National Institute of Standards and Technology (NIST) di Amerika Serikat.

NIST CSF menggunakan pendekatan yang fleksibel sehingga dapat disesuaikan dengan kebutuhan, ukuran, dan tingkat risiko masing-masing organisasi. Framework ini berfokus pada lima fungsi utama, yaitu identify, protect, detect, respond, dan recover, yang mencakup proses mulai dari mengidentifikasi risiko hingga memulihkan sistem setelah terjadi insiden keamanan siber.

Meskipun berasal dari Amerika Serikat, NIST CSF banyak digunakan sebagai referensi teknis keamanan siber secara global, termasuk untuk membantu organisasi memperkuat pengelolaan risiko, kontrol keamanan, dan kesiapan menghadapi insiden siber.

Tabel perbandingan COBIT vs ISO 27001 vs NIST CSF

Bagaimana ketiganya berkaitan dengan regulasi OJK?

POJK Manajemen Risiko dalam Penggunaan Teknologi Informasi

Melalui Peraturan No. 38 /POJK.03/2016, OJK mewajibkan bank menerapkan manajemen risiko secara efektif dalam penggunaan TI, yang setidaknya mencakup pengawasan aktif Direksi dan Dewan Komisaris, kecukupan kebijakan dan prosedur, proses identifikasi hingga pengendalian risiko TI, serta sistem pengendalian internal.

Untuk kebutuhan audit, COBIT dapat digunakan sebagai acuan utama dalam mengevaluasi tata kelola, proses, kontrol, dan alignment TI dengan tujuan bisnis. ISO/IEC 27001 dan NIST CSF dapat melengkapi area keamanan informasi dan risiko siber.

POJK Ketahanan dan Keamanan Siber bagi Bank Umum

Untuk aspek keamanan siber, ketentuan OJK dituangkan lebih lanjut dalam SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum. Aturan ini mengatur antara lain penilaian risiko inheren terkait keamanan siber serta penerapan manajemen risiko keamanan siber.

Dalam konteks ini, NIST CSF dapat menjadi referensi untuk membangun dan mengevaluasi proses keamanan siber. Sedangkan ISO/IEC 27001 dapat mendukung penerapan sistem manajemen keamanan informasi secara terstruktur.

Bagaimana Bank Mengkombinasikan Lebih dari Satu Framework? 

Bank tidak harus memilih satu framework secara eksklusif. Ketiga framework dapat digunakan secara komplementer sesuai kebutuhan dan ruang lingkup audit. Contohnya:

• COBIT → Governance & IT Audit: menilai tata kelola, proses, kontrol, risiko, dan keselarasan TI dengan strategi bisnis.
• ISO/IEC 27001 → Information Security: membangun dan mengaudit ISMS serta membantu menyediakan bukti kepatuhan melalui sertifikasi.
• NIST CSF → Cybersecurity: memperkuat identifikasi risiko, perlindungan, deteksi, respons, dan pemulihan dari insiden siber.

Baca juga: Sertifikasi ISO sebagai Kepatuhan Wajib terhadap Regulasi OJK dan BI

Framework mana yang cocok untuk Anda?

Pemilihan framework audit IT sebaiknya disesuaikan dengan tujuan dan kebutuhan organisasi. COBIT, ISO/IEC 27001, dan NIST CSF memiliki fokus yang berbeda, sehingga penggunaannya dapat berdiri sendiri maupun dikombinasikan.

• Jika fokus pada tata kelola IT dan audit secara menyeluruh, COBIT merupakan pilihan yang tepat karena berfokus pada tata kelola, manajemen, risiko, kontrol, dan keselarasan IT dengan tujuan bisnis.
• Jika fokus pada sertifikasi keamanan informasi dan kepercayaan pihak ketiga, ISO/IEC 27001 lebih sesuai karena menyediakan standar ISMS yang dapat digunakan sebagai dasar sertifikasi resmi.
• Jika fokus pada manajemen risiko siber dan fleksibilitas implementasi, NIST CSF dapat menjadi pilihan karena menyediakan pendekatan berbasis risiko yang fleksibel untuk mengelola dan meningkatkan keamanan siber.
• Jika membutuhkan kepatuhan dan pengelolaan IT yang lebih komprehensif, organisasi dapat mengkombinasikan beberapa framework, misalnya menggunakan COBIT untuk tata kelola dan audit IT, ISO/IEC 27001 untuk keamanan informasi dan sertifikasi, serta NIST CSF untuk pengelolaan risiko dan ketahanan siber.

Apakah Bank bisa menggunakan lebih dari satu framework?

Ya, bank dapat menggunakan beberapa framework sekaligus melalui pendekatan hybrid. Setiap framework digunakan sesuai fungsinya agar cakupan audit dan pengelolaan risiko lebih lengkap.

Contohnya:

• COBIT untuk tata kelola dan audit IT.
• ISO/IEC 27001 untuk keamanan informasi dan sertifikasi.
• NIST CSF untuk manajemen risiko dan ketahanan siber.

Pendekatan ini membantu bank memenuhi kebutuhan tata kelola, keamanan, manajemen risiko, dan kepatuhan secara lebih komprehensif.

Tahapan Evaluasi & Implementasi Framework Audit IT

Penerapan framework audit IT sebaiknya dilakukan secara bertahap agar sesuai dengan kondisi, risiko, dan kebutuhan regulasi organisasi.

1. Assessment Kondisi Saat Ini
   Mengevaluasi kondisi tata kelola, kontrol, keamanan, dan proses IT yang sudah berjalan.
2. Pemetaan Gap terhadap Regulasi
   Mengidentifikasi kesenjangan antara kondisi saat ini dengan persyaratan regulasi dan standar yang berlaku.
3. Pemilihan Framework
   Menentukan framework yang paling sesuai berdasarkan tujuan audit, kebutuhan bisnis, risiko, dan hasil assessment.
4. Implementasi Bertahap
   Menerapkan kontrol, kebijakan, dan proses berdasarkan prioritas risiko dan kebutuhan organisasi.
5. Audit Internal
   Melakukan evaluasi internal untuk memastikan framework dan kontrol telah diterapkan secara efektif.
6. Audit Eksternal/Sertifikasi
   Melakukan audit oleh pihak eksternal untuk memastikan kepatuhan atau memperoleh sertifikasi, jika diperlukan.

Layanan Konsultasi SMI Konsultan 

SMI Konsultan membantu perusahaan melakukan gap analysis dan menentukan framework audit IT yang sesuai dengan kebutuhan bisnis, risiko, serta persyaratan regulasi. Dengan assessment yang tepat, perusahaan dapat mengetahui kesenjangan kondisi IT saat ini dan menentukan langkah perbaikan yang lebih terarah.

Butuh bantuan menentukan framework audit IT yang tepat? Konsultasikan kebutuhan gap analysis dan implementasi framework audit IT bersama SMI Konsultan.