Hasil Pencarian  ::  Simpan CSV :: Kembali

"Keamanan organisasi tidak hanya terletak pada bangunan fisik, tetapi juga pada aset informasinya. Melindungi aset informasi memerlukan studi lebih lanjut untuk menetapkan langkah-­langkah mitigasi keamanan yang optimal. Dalam menentukan mitigasi aset informasi yang tepat, diperlukan penilaian risiko keamanan informasi dan peringkat yang jelas dan terukur. Sebagian besar metode manajemen risiko tidak memberikan fokus yang tepat pada peringkat aset informasi kritis suatu organisasi. Penelitian ini menganalisis pendekatan kerangka kerja untuk peringkat aset informasi kritis. Pendekatan kerangka tersebut menggunakan metode OCTAVE Allegro, yang berfokus pada profil aset informasi dengan menggabungkan pengukuran peringkat prioritas menggunakan metode Sistem Pendukung Keputusan (SPK), seperti Simple Additive Weighting (SAW) dan Analytic Hierarchy Process (AHP). Metode OCTAVE Allegro 􀂱 SAW dan OCTAVE Allegro 􀂱 AHP yang dikombinasikan diharapkan dapat mengatasi prioritas risiko dengan lebih baik sebagai input untuk membuat keputusan mitigasi untuk aset informasi penting. Kombinasi ini akan membantu manajemen untuk menghindari kesalahan langkah dalam menyesuaikan penanganan resiko aset informasi kritikal dalam memilih mitigasi menggunakan hasil pemeringkatan beberapa metode. Pengerjaan analisis ini dilaksanakan di salah satu instansi pemerintah di Indonesia. Kinerja perhitungan menggunakan metode kombinasi SPK lebih memiliki tingkat granularitas yang tinggi dalam membedakan urutan prioritas dibandingkan perhitungan menggunakan metode OCTAVE Allegro saja, sehingga prioritas suatu aset informasi kritikal satu dengan yang lain dapat dibedakan posisi pendekatan mitigasi resiko secara lebih jelas. Hasil kinerja pada metode OCTAVE Allegro, aset informasi kritikal pendekatan mitigasi cenderung lebih banyak di-­accept dengan jumlah 10 aset, dibanding hasil dari metode kombinasi OCTAVE Allegro -­ SAW / AHP yang pendekatan mitigasi aset informasi kritikal cenderung lebih banyak di-­defer dengan jumlah 13 atau 10. Hal ini menunjukan granularitas hasil dengan penggabungan metode SPK lebih condong untuk mempertimbangkan kembali aset dalam penanganan mitgasinya apakah akan mitigate atau accept. Hasil rekomendasi penggabungan ketiga metode OCTAVE Allegro, OCTAVE Allegro -­ SAW, dengan OCTAVE Allegro -­ AHP berdasar unit kerja pendekatan mitigate ada 5 aset, defer ada 8 aset, dan accept ada 10 aset.

---

Organizational security is not only in physical buildings, but also in information assets. Protecting information assets requires further study to establish optimal security mitigation measures. In determining appropriate information asset mitigation, information security risk assessment and clear and measurable ratings are needed. Most risk management methods do not provide the right focus on ranking critical information assets of an organization. This study analyzes the framework approach to ranking critical information assets. The framework approach uses the OCTAVE Allegro method, which focuses on the profile of information assets by combining priority ranking measurements using Decision Support System (DSS) methods, such as Simple Additive Weighting (SAW) and Analytic Hierarchy Process (AHP). The OCTAVE Allegro-­SAW method and the OCTAVE Allegro-­AHP combined are expected to better deal with risk priorities as input for making mitigation decisions for important information assets. This combination will help management to avoid missteps in adjusting the risk handling of critical information assets in choosing mitigation using the results of ranking several methods. The work of this analysis was carried out in one of the government agencies in Indonesia. The performance of calculations using the DSS combination method has a higher level of granularity in differentiating priority sequences compared to calculations using the OCTAVE Allegro method only, so that the priority of a critical information asset with one another can be distinguished from a position of risk mitigation approach more clearly. The results of performance in the OCTAVE Allegro method, the critical information assets of the mitigation approach tend to be more accepted with 10 assets, compared to the results of the OCTAVE Allegro-­SAW/AHP combination method where critical information asset mitigation approaches tend to be deferred by 13 or 10. This shows that the granularity of the results by combining the DSS method is more likely to reconsider the assets in handling the calculation whether to mitigate or accept. The results of the recommendations incorporate the three OCTAVE Allegro methods, OCTAVE Allegro-SAW, with OCTAVE Allegro-­AHP based on work units namely the mitigate approach with 5 assets, defer approach there are 8 assets, and accept approach there are 10 assets."

"Terdapat beberapa jenis pendekatan manajemen risiko keamanan informasi sebagai panduan dalam menerapkan program risiko keamanan. Setiap pendekatan mempunyai tujuan dan metodologi yang berbeda tergantung pada kebutuhan dan selera organisasi yang melakukannya. Jika suatu organisasi memiliki personel yang kompeten untuk mengimplementasikan manajemen risiko keamanan informasi, maka akan mudah untuk melakukannya. Namun, itu akan menjadi tantangan bagi organisasi yang tidak memiliki personil yang kompeten. Tujuan dari penelitian ini adalah untuk merancang kerangka kerja manajemen risiko keamanan informasi yang sederhana namun memenuhi prinsip-prinsip manajemen risiko keamanan informasi. Desain didasarkan pada integrasi empat pendekatan manajemen risiko keamanan informasi yang berbeda. ISO 27005 mewakili standar, Risk Management Framework (RMF) oleh NIST mewakili pedoman, OCTAVE Allegro mewakili metodologi, dan COBIT mewakili kerangka kerja. Integrasi tersebut dipenuhi dengan melakukan analisis komparatif dengan menyortir dan menggabungkan berdasarkan proses aktivitas manajemen risiko keamanan informasi. Penyortiran diterapkan untuk mendapatkan desain model sederhana, dan penggabungan digunakan untuk mendapatkan desain model lengkap. Desain model sederhana terdiri dari proses identifikasi, pengukuran, administrasi dan pemantauan. Proses identifikasi terdiri dari identifikasi konteks dan komponen risiko. Proses pengukuran meliputi pengukuran faktor risiko dan risiko. Proses administrasi menghasilkan rencana penanganan risiko dan pengambilan keputusan. Proses pemantauan dengan objek perubahan dan pertukaran informasi. Untuk memvalidasi hasil perancangan desain model sederhana, dilakukan studi penerapan awal dalam bentuk simulasi penerapan di Pusdiklat Badan XYZ. Hasil studi penerapan awal ini adalah mayoritas responden baik online maupun offline menyatakan bahwa desain sederhana namun memenuhi prinsip manajemen risiko keamanan informasi dibuktikan dengan seluruh indikator evaluasi penerapan desain bernilai di atas passing grade 50%.

---

There are several types of information security risk management (ISRM) methods as guidance in implementing a security risk program. Each method carried different goals and methodologies depending on the needs and tastes of the organization that carried it out. If an organization has personnel who are competent to implement ISRM, it will be easy to do so. However, it will be challenging for an organization that lacks skilled personnel. The purpose of this study is to design a framework for ISRM that is simple but meets the principles of ISRM. The design is based on the integration of four different ISRM methods. ISO 27005 represents the standard, RMF by NIST represents guidelines, OCTAVE represents methodology, and COBIT represents framework. The integration is fulfilled by conducting a comparative analysis by sorting and merging based on the activity processes of ISRM. The result of this study is two designs of ISRM, namely full design and simple design. Sorting is applied to get a simple design, and merging is used to get a full design. The simple model design consists of the process of identification, measurement, administration and monitoring. The identification process consists of identifying the context and components of risk. The measurement process includes the measurement of risk and risk factors. The administrative process produces a plan for risk management and decision making. The process of monitoring with objects of change and information exchange. To validate the results of the design of a simple model, a preliminary implementation study was carried out in the form of a simulation application at the XYZ Agency Training Center. The results of this preliminary implementation study are that the majority of respondents both online and offline stated that the design was simple but met the principles of information security risk management, evidenced by all the indicators of the evaluation values above 50% passing grade."

"Call center perbankan merupakan salah satu bagian dari organisasi dalam perbankan yang memberikan pelayanan virtual kepada nasabah melalui media akses telepon.Call center memiliki peranan yang jauh lebih penting dari yang dibayangkan oleh sebagian besar orang di perusahaan. Divisi inilah yang menjadi representatif perusahaan yang bersentuhan langsung dengan pelanggan. Sehingga dapat dikatakan sebagai pusatnya data-data penting para nasabah dan reputasi perusahaan sangat dipengaruhi oleh call center.Berada di level 10 besar perusahaan perbankan di indonesia, menjadikan PT.XYZ meninjau ulang manajemen di lingkungan internalnya. Terfokus pada divisi call center, PT.XYZ menginginkan untuk membuat suatu kebijakan baru terkait dengan manajemen risiko keamanan informasi. Karena keamanan informasi sangat diperlukan untuk menjaga agar data-data nasabah tidak bocor ke pesaing bisnisnya. Selain itu juga untuk meningkatkan tingkat kepercayaan nasabah terhadap PT.XYZ. Penelitian ini dilakukan untuk melakukan evaluasi terhadap tingkat keamanan risiko sekaligus membuat suatu kebijakan baru terkait dengan manajemen risiko keamanan informasi di divisi call center yang mengacu kepada ISO 27001:2013, sehingga segala kegiatan yang berkaitan dengan call center dapat lebih terkontrol dan meminimalisir kemungkinan risiko yang dapat merugikan PT.XYZ baik secara finansial maupun fungsional.

---

Call center PT.XYZ is a part of the bank organization that provides virtual services to customersby phone call. Call center has much more important functions than imagined by the mostly people.This division became direct representative of the company that contact with customers, so it can be said as the center of important data from the customers and the companys reputation is strongly influenced by the call center.PT.XYZ is one of the top 10 largest banking companies in Indonesia, making PT.XYZ reviewing its internal environmental management.Focused on call center division, PT.XYZ wants to create a new policy related to information security risk management.Because information security is highly important to keep the customers data not leaked to a competitor business. In addition, to increase the level of customer trust and confidence of the PT.XYZ.This study was conducted to evaluate the safety level of risk at the same time create a new policy related to information security risk management in the division call center which refers to the ISO 27001: 2013,so that all activities related to call center can be better controlled and minimize the possible risks that can harm PT.XYZ both financially and functionally."

"PT XYZ adalah perusahaan milik swasta yang bergerak di bidang online travel agent (OTA). PT XYZ menggunakan aplikasi OTA berupa web dan mobile apps untuk menjalankan bisnis utamanya menjual produk untuk kebutuhan travelling dan tourism baik penjualan tiket transportasi, akomodasi dan event. Aplikasi OTA sebagai aset penting dari PT XYZ harus dilindungi dari segala ancaman yang dapat mengganggu proses bisnis dan memberikan kerugian bagi perusahaan. Adanya berbagai ancaman dan kerentanan terhadap aplikasi OTA membutuhkan adanya hasil penilaian risiko yang mampu mendeteksi risiko-risiko beserta dampaknya bagi perusahaan dan seperti apa penanganan terhadap risiko-risiko tersebut. Penelitian ini menggunakan metode kualitatif dengan mengumpulkan data melalui wawancara, focus group discussion (FGD), observasi, dan studi dokumen. Penentuan metode Penilaian Risiko Keamanan Informasi (PRKI) pada penelitian ini menggunakan Core Unified Risk Framework (CURF) untuk melakukan evaluasi terhadap sembilan metode PRKI yang dipilih berdasarkan kriteria pemilihan metode PRKI dan dengan melakukan studi literatur terhadap metode PRKI dengan skor tertinggi berdasarkan hasil evaluasi menggunakan CURF. Berdasarkan hasil evaluasi metode ISO 27005 dipilih untuk menjalankan PRKI aplikasi OTA PT XYZ. Proses PRKI berdasarkan ISO 27005 melalui empat tahap yaitu, penentuan konteks, identifikasi risiko, estimasi risiko, dan evaluasi risiko untuk menghasilkan rekomendasi penanganan risiko hasil dari estimasi dan evaluasi risiko.

---

PT XYZ is a private company engaged in online travel agent (OTA) business. XYZ provide OTA application in the form of web dan mobile application to run its main business selling travelling and tourism need such as transportation ticket, accommodation ticket and events ticket. As a crucial asset for PT XYZ OTA Application must be protected from all risks that can disrupt business processes and cause losses for the company. The existence of various threats and vulnerabilities to OTA applications requires a risk assessment result that is able to detect the risks and their impact on the company and how to handle these risks. This study uses a qualitative method by collecting data through interviews, focus group discussions (FGD), observation, and document studies. To select the Information Security Risk Assessment (ISRA) method that will be used to assess risk in this study is done by using the Core Unified Risk Framework (CURF) to evaluate the nine PRKI methods selected based on the criteria for selecting the ISRA methods and by conducting relevant literature study on the ISRA method with the highest score based on the evaluation results using CURF. Based on the evaluation results, the ISO 27005 method was chosen to run ISRA process for the PT XYZ OTA application. The PRKI process based on ISO 27005 goes through four stages, namely, context determination, risk identification, risk estimation, and risk evaluation to produce risk management recommendations as a result of risk estimation and evaluation."

"Hingga tahun 2022, bauran energi listrik terbarukan seperti geothermal hanya mencapai 2280 MW dari target pemerintah Indonesia 7200 MW, sebagaimana tercantum pada Rencana Umum Energi Nasional (RUEN). Hasil kajian World Bank menyatakan bahwa implementasi teknologi informasi dan komunikasi sangat diperlukan dalam mempercepat eksplorasi energi ini. Selain itu, kondisi pandemi COVID-19 juga mendesak perusahaan eksplorasi geothermal seperti PT XYZ untuk mempercepat proses transformasi digital untuk meningkatkan kualitas koordinasi,  pengambilan, integrasi, dan pengelolaan data di lapangan. Akan tetapi, penggunaan dan penyimpanan data digital yang sangat dinamis memunculkan masalah kerentanan terhadap data. Sehingga hal tersebut menjadi pendorong untuk dilakukannya penilaian risiko keamanan informasi di perusahaan ini. Penilaian risiko keamanan informasi juga merupakan langkah awal dalam penyusunan sistem manajemen keamanan informasi. Penilaian risiko keamanan informasi dilakukan dengan menggunakan kerangka kerja ISO/IEC 27005 dengan menggunakan domain dan objektif yang terdapat pada ISO/IEC 27001. Hasil penelitian ini menunjukkan adanya 26 risiko kemanan inforasi pada sistem informasi kepegawaian PT XYZ. 16 risiko tinggi dan sedang direkomendasikan untuk dimitigasi dengan menerapkan kontrol yang diharapkan dapat mengurangi dampak dan kemungkinan dari risiko tersebut. Sepuluh risiko rendah diterima dengan tetap menerapkan kontrol yang sesuai dengan ISO 27002.

---

Until 2022, geothermal energy only reaches total capacity 2280 MW behind the target of national total renewable energy mix 7200 MW that stated in the General National Energy Plan. Recent study from World Bank stated that implementation of information and communication technology is crucial in accelerating geothermal energy exploration. In addition, the COVID-19 pandemic also has drived many geothermal exploration companies such as PT XYZ to accelerate their digital transformation to improve coordination, data acquisition, data integration, and data management at the exploration site. However, the rapid flow of digital data raises several issues related to information security. This study aims to establish information securiy risk assessment as the first step in developing information security management system. This assessment is prepared using ISO/IEC 27005 framework with domains and objectives from ISO/IEC 27001. The results show that there are 26 information security risks in the PT XYZ human resource information system. 16 high and moderate unacceptable risks are recommended to be mitigated by implementing controls to reduce the impact and likelihood of these risks. Ten low risks are accepted while maintaining controls according to ISO 27002."

"This study aims to conduct risk assessment on information vulnerabilities, to get the level of information vulnerabilities, and to generate strategic recommendations to overcome information vulnerabilities in the X Library using OCTAVE Allegro as a method. The result showed that from 4 categories, information vulnerabilities at X Library is at category 3 or vulnerable enough with 22 areas of concern or equal to 42.31%. The risk assessment carried out in X Library turns the result that there are 10 assets information held by the Head of Central Library, Adminisration Services Unit, Cataloging and Classifying Unit, Circulation Services Unit, Reference Services Unit. The second result is contained threats to information assets by 52 areas of concern that conducted by internal X Library are 14 actors, by internal X are 13 actors, and by external are 2 actors. The third result is there are 62 consequences of 52 information assets with at the most consequences found in electronic document collections X-ana which from 6 areas of concern produce 10 consequences. The strategic recommendations to overcome the information vulnerabilities in X Library is adjusted according to the risk mitigation that carried out in each area of concern which is called the control or risk control. From the results of this risk assessment that can be done is to reduce or eliminate risk (mitigate) as many as 21 areas of concern, to transfer or mitigate risk as many as 16 areas of concern, to defer the risk a total of 12 areas of concern, and to receive risk (accept) or defer as much as 3 areas of concern."

"Integrated Collection System (ICS) merupakan sebuah sistem pengumpulan data kegiatan survei atau sensus yang dikelola oleh Badan XYZ. Melalui ICS, Badan XYZ dapat mempercepat proses kegiatan statistik tanpa mengurangi kualitas data yang dihasilkan. Akan tetapi, ICS juga mempunyai isu dalam hal keamanan informasi yaitu terdapat celah-celah kerentanan yang dapat dieksploitasi oleh suatu serangan siber. Untuk menangani permasalahan tersebut, penelitian ini bertujuan untuk mengusulkan pengembangan metode penilaian risiko keamanan informasi dengan menggunakan model Bayesian Attack Graphs (BAG). Penilaian risiko dengan menggunakan model BAG dinilai cocok untuk menilai paparan risiko pada serangan siber yang menargetkan celah kerentanan. Sebagai kontribusi keilmuan, penelitian ini mengusulkan formulasi penilaian risiko menggunakan dua faktor risiko, faktor likelihood dan faktor impact. Metrik likelihood memakai EPSS, sedangkan metrik impact memakai sub skor impact CVSS. Melalui pengembangan metode penilaian yang diusulkan, diperoleh nilai rata-rata nilai paparan risiko pada infrastruktur ICS sebesar 0.365. Dengan demikian, paparan risiko pada infrastruktur ICS berkategori Low, sehingga paparan risiko serangan berantai melalui celah-celah kerentanan pada infrastruktur ICS dapat dikatakan rendah. Dengan adanya output dari penelitian ini, model penilaian risiko melalui pengembangan model BAG dapat menilai lebih akurat suatu paparan risiko serangan siber melalui celah-celah kerentanan di suatu sistem.

---

The Integrated Collection System (ICS) is a statistics data collection system managed by XYZ Agency. Through ICS, the organization can speed up the process of statistical activities without reducing the quality of the data it produces. However, ICS also has issues in terms of information security, namely that there are vulnerabilities that can be exploited by cyberattacks. To address these problems, this study aims to propose the development of an information security risk assessment method using the Bayesian Attack Graphs (BAG) model. Risk assessment using the BAG model is considered suitable for assessing risk exposure to cyberattacks that target device vulnerabilities. As a contribution, this research proposes the formulation of a risk assessment using two risk factors, the likelihood factor and the impact factor. The likelihood metric uses EPSS, while the impact metric uses the CVSS impact sub-score. Through the development of the proposed valuation method, the average risk exposure value for the ICS infrastructure is 0.365. Thus, the risk exposure to the ICS infrastructure is in the Low category, so that the risk exposure to chain attacks through vulnerabilities in the ICS infrastructure can be said to be low. With the output of this study, the risk assessment model through the development of the BAG model can more accurately assess an exposure to the risk of cyberattacks through vulnerabilities in a system."

"Keberadaan teknologi informasi telah memberikan berbagai kemudahan dan peluang melakukan bisnis secara online, salah satunya adalah industri Software as a Service (SaaS). PT Mitra Cerdas Nusantara (MCN) merupakan salah satu startup yang berfokus pada bisnis SaaS sebagai penyedia solusi integrated school management system bernama Ziad Smart. IT memiliki peran yang vital pada kegiatan operasional Ziad Smart. PT MCN sadar akan hal tersebut dan menerapkan zero security incident pada Ziad Smart. Namun pada kenyataannya, Ziad Smart masih mengalami insiden keamanan karena terdapat celah pada sistem yang mengakibatkan kerugian bagi PT MCN. Hal tersebut menandakan perlunya manajemen risiko keamanan informasi bagi aplikasi Ziad Smart. Tujuan dari penelitian ini adalah untuk memperoleh rancangan manajemen risiko keamanan informasi aplikasi Ziad Smart. Penelitian ini menggunakan metode kualitatif dimana pengumpulan data dilakukan melalui wawancara, observasi, dan tinjauan pustaka. SNI ISO/IEC 27005:2022 digunakan sebagai kerangka dasar perancangan manajemen risiko keamanan informasi, sementara rekomendasi perlakuan risiko menggunakan SNI ISO/IEC 27002:2022. Hasil dari penelitian ini adalah rancangan manajemen risiko keamanan informasi aplikasi Ziad Smart milik PT MCN. Penelitian ini menghasilkan 43 skenario risiko, yaitu: 10 risiko Tinggi, 21 risiko Sedang, dan 12 risiko Rendah. Penelitian ini mengusulkan 13 rekomendasi perlakuan untuk meningkatkan keamanan informasi dari aplikasi Ziad Smart.

---

Information technology presence has created several advantages and opportunities for conducting business online, one of which is the Software as a Service (SaaS) market. PT Mitra Cerdas Nusantara (MCN) is a SaaS-focused startup that provides integrated school management system solution namely Ziad Smart. Ziad Smart relies heavily on information technology for its operations. PT MCN is aware of this and has implemented a zero-security incident policy at Ziad Smart. However, Ziad Smart still experiencing security incidents because of a system flaw that causes loss for PT MCN. This highlights the necessity for information security risk management in the Ziad Smart application. The goal of this research is to provide a design for managing information security risks for the Ziad Smart application. This research employs qualitative approaches, with data collected through interviews, observations, and literature reviews. SNI ISO/IEC 27005:2022 serves as the foundation for establishing information security risk management, while risk treatment guidelines are based on SNI ISO/IEC 27002:2022. This investigation resulted in the formulation of an information security risk management strategy for PT MCN's Ziad Smart application. This study revealed 43 risk scenarios, including 10 high risks, 21 medium risks, and 12 low risks. This research presents 13 control measures to improve the information security of the Ziad Smart application."

"Data dan informasi merupakan aset yang harus dilindungi dikarenakan aset berhubungan dengan kelangsungan bisnis perusahaan. Adanya pertumbuhan berbagai penipuan, virus, dan hackers dapat mengancam informasi bisnis manajemen dikarenakan adanya keterbukaan informasi melalui teknologi informasi modern. Dibutuhkan manajemen keamanan informasi yang dapat melindungi kerahasiaan, integritas, dan ketersediaan informasi. PT. XYZ sebagai perusahaan yang bergerak di bidang mobile solution tidak terlepas dari penggunaan teknologi informasi dalam penyimpanan, pengolahan data dan informasi milik perusahaan. Perusahaan diharuskan untuk dapat memberikan kemampuan mengakses dan menyediakan informasi secara cepat dan akurat. Oleh karena itu, perusahaan membutuhkan pengetahuan tentang keadaan keamanan informasi yang dimiliki saat ini, sehingga perusahaan dapat meminimalisir risiko yang akan terjadi. Tujuan penelitian ini memberikan usulan perbaikan manajemen risiko keamanan informasi dengan menggunakan standar ISO/IEC 27001:2005. Dengan menggunakan standar ISO/IEC 27001:2005, didapat kesenjangan keamanan informasi yang dimiliki oleh perusahaan. Selanjutnya, dipilih kontrol objektif yang sesuai dengan kebutuhan aset kritikal yang dimiliki oleh perusahaan. Dari kontrol objektif yang telah dipilih, selanjutnya diberikan usulan perbaikan agar perusahaan dapat menutupi kesenjangan keamanan informasi yang dimiliki. Hasil penelitian ini didapat kontrol-kontrol pengamanan informasi yang akan diimplementasikan di perusahaan dalam bentuk dokumen statemen of applicabality(SOA).

---

Data and Information are valuable assets that need to be protected for company's businesses. Rapid growth in fraud cases, virus, hackers could threat management business information by exposing them which is caused by modern information technology. Hence, it is required to have information security management which protects confidentiality, integrity, and availability of information. As a company who runs in mobile solution, PT. XYZ uses information technology in company's information and data storage and processing. In order to minimize the risk, current information security needs to be visible by the company.

This research is conducted to provide potential suggestions on risk management improvement of information security using standard ISO/IEC 270001:2005 standard. By using ISO/IEC 270001:2005 standard, this research is able to assess and obtain gap analysis checklist of company's information security. According to company asset needs, objective controls will be selected. Results of this study obtained information security controls to be implemented in the company in the form of statements of applicabality documents (SOA)."