Final Year Review FY16 (PMDP) Ernst&Young (EY)

Sudah hampir setahun tidak menulis blog. Sejak terakhir saya menulis ini memang project yang berdatangan cukup padat, baik project penetration testing maupun non-pentest. Project non-pentest ini ada beberapa, di antaranya adalah:

• Pembuatan pedoman dan petunjuk teknis audit keamanan informasi di salah satu kementerian
• Security Program Management (SPM) assessment. Sekarang namanya Cyber Program Management (CPM)
• Third Party Security Assessment (TPSA)
• ISO 2700X Maturity Assessment
• Compliance Review - Peraturan Bank Indonesia

Bulan ini adalah bulan dimana EY Indonesia melakukan aktivitas rutin yang menentukan karir dari para konsultannya, yaitu Performance Management Development Program (PMDP). Tahun lalu saya juga sudah menulis PMDP pada posting ini. Tahun ini yang jelas cukup berbeda dengan FY15 kemarin. Jika FY15 saya lebih banyak terlibat project pentest, FY16 ini nampaknya saya lebih banyak terlibat project non-pentest. Bisnis tim Cybersecurity EY Indonesia berkembang cukup pesat jadi project makin banyak. Positifnya adalah saya jadi bisa mendapatkan banyak pengalaman dalam waktu yang singkat. Ada sisi positif lainnya sih, tapi biarlah jadi rahasia :)

Security Audit
Nama projectnya memang security audit, simple. Tapi yang dikerjakan ada 3 bagian, yaitu penetration testing, Security Program Management (SPM), dan User Access Review.  Untuk pentest mungkin pembaca sudah familiar jika pembaca awam membaca postingan saya sebelum-sebelumnya. Untuk SPM akan saya jelaskan sedikit di bagian yang lain. User access review merupakan aktivitas melakukan pengujian terhadap akses user di sistem. Misalnya kita cek apakah akses user terhadap menu di aplikasi sudah sesuai dengan rolenya (atau sudah sesuai dengan user access matrix tidak). Kita juga cek mana saja user yang aksesnya berlebih atau overlap. Assessment ini kami lakukan di salah satu perusahaan BUMN yang terbesar di industrinya.
Untuk pentestnya sendiri juga cukup banyak aplikasi yang harus dites, baik aplikasi berbasis web maupun desktop (native). Selain itu kami juga lakukan pentest dan configuration review terhadap perangkat jaringan dan server. Project ini berlangsung sekitar 3 bulan. Cukup lama karena memang yang dicek banyak. Alhamdulillah project telah selesai dengan hasil yang memuaskan.

Security Program Management (SPM)
SPM adalah salah satu layanan yang diberikan EY di bidang information security. Saat ini namanya ganti jadi Cyber Program Management (CPM). SPM ini adalah framework dari EY yang digunakan untuk melihat maturity perusahaan terkait keamanan informasi ini sekarang seperti apa. Jika pembaca pernah baca tentang CMMI, kurang lebihnya seperti itu. Selain melihat kondisi sekarang maturitynya seperti apa, framework ini juga digunakan untuk menyusun rencanan masa depan berupa inisiatif-inisiatif kemanan informasi dan roadmap implementasinya.

Gambar di atas merupakan framework SPM (bisa dilihat di link ini juga. Jika kita lihat, domainnya cukup banyak dan komprehensif. Semua aspek keamanan informasi tercakup di framework tersebut. Perlu saya tekankan bahwa keamanan informasi tidak hanya bicara masalah teknis, misalnya red team(pentest) dan blue team(mainan firewall, siem, IDS/IPS,dll). Di sini kita berbicara enterprise information security dimana aspek-aspek yang masih berhubungan dengan kemanan informasi juga dinilai. Sebagai contoh disitu kita berbicara masalah strategy (planning), kebijakan dan prosedur, awareness, operations, architecture, security services, data infrastructure, metrics, reporting, dan lain-lain. Cukup detil dan banyak sekali pertanyaan yang bakal diberikan ke client. Kurang lebih ada sekitar 300an pertanyaan yang mencakup semua domain tersebut.

Saya melakukan assessment ini terhadap bank yang... yang bank besar pokoknya. Ada dua bank besar yang waktu itu menggunakan service ini. Ada lagi satu perusahaan terbesar di industri selain perbankan. Silakan PM saya kalau perusahaan anda ingin tahu sejauh apa implementasi kemanan informasinya. Atau ingin membuat strategi penerapan keamanan informasi. SPM ini sudah banyak digunakan di berbagai negara. Jadi ada banyak expert yang bisa bantu service ini. *loh promosi*.

Security Audit Guidelines
Sesuai judulnya, pada project ini saya dan tim membuat panduan audit dan pedoman teknis untuk melakukan audit keamanan informasi di lingungan sebuah kementerian yang menurut saya kritikal bidangnya. Kami membuat panduan umum dan teknis audit mengacu pada ISO 27K, NIST, CIS, dan best practices atau framework lain yang relevan. Melalui project ini, saya mendapatkan sebuah hikmah yaitu sebagai orang Indonesia kita harus cakap dalam menggunakan bahasa Indonesia yang baik dan benar. QA pada project ini cukup ketat karena penggunaan bahasa Indonesia yang tepat dan jelas sangat ditekankan. Alhasil, panduan umum dan teknis selesai dengan halaman yang sangat tebal karena memang kami membuatnya cukup detil.

Third Party Security Asssessment (TPSA)
Ini project pertama saya yang membuat saya bisa terhubungan dengan EY Global (negara lain). Pada project ini saya berkoordinasi dengan EY Singapore dan India. Klien dari project ini adalah sebuah bank yang sangat besar yang pusatnya di UK. Intinya, project ini adalah untuk menilai sejauh mana vendor / third party / pihak ketiga dari bank tersebut dalam menerapkan keamanan informasi di perusahaannya. Sebagai assessor, kami dituntut untuk bisa menemukan dan menganilisis risiko-risiko yang ditemukan pada vendor tersebut. Ada beberapa vendor yang kami tangani yaitu vendor di bidang ATM switching, call center, security service, record management, dan lain-lain. Hikmah dari project ini adalah saya jadi bisa belajar banyak proses bisnis vendor-vendor yang tentunya bidang bisnisnya beda. Hikmah lainnya adalah saya jadi harus komunikasi baik lewat email maupun telpon dengan bahasa Inggris. Lumayan latihan conversation gratisan. 

ISO2700X Maturity Assessment
Ini adalah project kedua saya yang membuat saya bisa terhubung dengan EY Global lain yang berbeda dari project TPSA. Saya berkoordinasi dengan EY China dan Prancis. Kliennya adalah perusahaan asuransi yang sangat besar yang pusatnya di Eropa. FYI, tipikal project seperti TPSA dan ISO 27K ini adalah project Global, jadi dilakukan juga di negara-negara lain yang memang disitu ada cabangnya. Sesuai dengan namanya, saya melakukan penilaian terhadap maturity keamanan informasi berdasarkan ISO2700X. Untuk pembaca yang belum tahu, ISO 2700X adalah standar ISO untuk kemanan informasi. Saya tulis "X" karena angka di belakangnya ada banyak. Detilnya ada di sini. Dalam project ini saya menggunakan ISO27001 dan ISO27002. Dalam project ini saya menilai sejauh mana penerapan kemanan informasi dan memberikan rekomendasi untuk bisa naik ke level yang disepakati.

Compliance Review - Peraturan Bank Indonesia
Berhubung judulnya ada Bank Indonesia, jadi project ini hanya melibatkan EY Indonesia. Pada project ini kami melakukan kajian kepatuhan (compliance review) atas produk baru dari bank dan payment gateway yang akan launch untuk publik agar sesuai dengan Peraturan Bank Indonesia No. 9/15/PBI/2007 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank. Selain itu untuk produk yang berkaitan dengan transaksi keuangan, kami juga mengacu ke Surat Edaran BI No. 11-10-2009 / PBI No. 11/11/PBI/2009 tentang Alat Pembayaran Menggunakan Kartu (APMK). Sebagai catatan bahwa PBI terkait APMK diganti ke PBI No 14/2/PBI/2012. Beberapa jenis produk yang kami cek adalah terkait debit card, payment gateway, digital banking. Dalam project ini tetap kami lakukan DC/DRC review. Lumayan lah sambil jalan-jalan ke DC/DRC :)

Jadi seperti itulah gambaran umum project yang saya kerjakan FY16 ini. Sebenarnya saya masih mengerjakan juga beberapa project pentest yang kliennya bank. Saat ini tim sedang mengerjakan pentest di perusahaan non bank juga. Project semakin banyak, baik yang teknikal dan non-teknikal. Hikmahnya adalah kami jadi cepat belajar dan menambah banyak pengalaman dalam waktu yang singkat karena beberapa project sebenarnya paralel. Selain menjalankan rutinitas dalam mengerjakan project yang silih berganti datangnya, saya bersama tim juga sedang mengembangkan working paper agar lebih baik lagi. Diharapkan dengan adanya project-project yang telah saya kerjakan, bisa membantu saya dan tim dalam mengembangkan bisnis baru dan menciptakan peluang-peluang yang masih relevan dengan keamanan informasi.

Proses round table pada PMDP telah selesai, tinggal menunggu hasil apakah tahun ini saya promote ke senior atau tidak.  Semoga tahun ini naik biar bisa cepet... ehhh cepet apa ya haha.

Semoga bermanfaat :)

Eryk Budi Pratama, S.Kom, CEH, CHt.
IT Advisory Consultant - Cyber Security - Ernst&Young (EY)

Pengalaman Security Assessment (Penetration Testing) di Ernst&Young (EY)

Sudah hampir setahun saya meniti karier di salah satu perusahaan jasa professional di bdiang audit and consulting ini. Dalam perjalanan yang tentunya tidak mudah ini cukup banyak ilmu dan pengalaman yang saya dapatkan dari Ernst&Young Indonesia (EYI). Bisa dibilang layanan Information Security di EY termasuk yang muda diantara layanan-layanan EY yang lain khususnya di Advisory. Masih berkaitan dengan dua tulisan saya sebelumnya tentang profil EY dan persiapan final review, hampir setahun ini saya sudah banyak belajar tentang layanan-layanan EY yang terkait dengan IT, mulai dari yang jadi pekerjaan rutin saya di bidang Information Security, sampai dengan bidang-bidang konsultansi IT lainnya seperti IT Risk Management, IT Audit, IT Governance & Strategy, Business Continuity/Disaster Recovery, IT effectiveness, IT Process Improvement and Maturity, Enterprise Architecture, dan beberapa hal lainnya.

Pada tulisan kali ini saya coba menceritakan sedikit pengalaman saya di bidang Information Security. Pada sebagian besar project, saya terlibat untuk mengerjakan pengujian keamanaan (security assessment) khususnya penetration testing (pentest). Bagi rekan-rekan yang awam, pentest itu semacam aktivitas untuk melakukan eksploitasi terhadap sistem berdasarkan hasil dari vulnerability assessment  (VA). Kalau VA sendiri ibaratnya pengujian keamanan juga tapi sampai tahap mengidentifikasi kerentanan-kerentanan yang ditemukan pada sistem. Nah, pentest itu tahap setelah VA, yaitu mengeksploitasi  kelemahan-kelemahan yang ditemukan saat VA tadi. Dalam hampir setahun ini, sudah banyak project pentest yang saya kerjakan dan ke depan bakal ngantri project untuk pentestnya :D

Sebelum mengerjakan project pentest saya yang pertama, saya belajar melakukan IT General Control (ITGC). ITGC adalah bagian dari IT audit untuk melakukan pengecekan terhadap kontrol-kontrol pada sebuah sistem. ITGC sendiri terdiri dari tiga bagian. Tapi dalam pentest saya hanya menggunakan bagian logical access (LA) yang secara umum dikenal sebagai configuraion check untuk melengkapi hasil pentest amaupun VA. Beberapa platform OS dan dabatase yang pernah saya uji adalah:

• Operating System (OS400/IBM i, AIX, Red Hat Enterprise Linux, Fedora Core, CentOS, Windows Server 2008&2012)
• Database (SQL Server 2008, Oracle 10g &11g, PostgreSQL)

Untuk pentest, project banyak datang dari bank. Ada juga dari salah satu perusahaan penyedia DC dan aplikasi core banking. Industri perbankan dan keuangan memang lahan yang bagus untuk para praktisi di bidang IT security. Project pertama saya adalah melakukan pentest terhadap salah satu aplikasi yang menjadi core business application di sebuah bank besar di Indonesia. Karena waktu itu saya masih pemanasan, jadi tidak banyak finding yang bisa saya temukan. Berikutnya saya mendapatkan project untuk pentest di platform mobile enterprise. Platform ini nantinya akan digunakan sebagai pusat bagi project-project mobile services berikutnya bagi bank tersebut.

Selanjutnya saya mendapatkan project yang bisa dibilang sangat besar, yaitu Bank Wide. Jadi saya dan tim melakukan pentest terhadap seluruh aset yang dimiliki oleh bank. Kebayang kan berapa banyak server yang harus di-pentest karena bank ini termasuk kategori bank besar yang hampir setara dengan 4 besar bank BUMN yang mungkin pembaca sudah tahu.

Sambil jalan project Bank Wide, saya mendapatkan project terkait Delivery Channel (E-banking) audit. Saya hanya fokus di pentest karena sudah ada tim lain yang menangani bagian compliance. Untuk project yang ini juga lumayan besar karena scopenya tidak hanya server dan aplikasi Internet Banking, tapi juga ATM system dan mobile banking application. Pada project inilah saya pemanasan untuk pentest ATM. Saya sangat bersyukur karena project ini menambah portfolio pentest saya sehingga saya sudah melakukan pentest untuk beberapa jenis platform. Sebenernya ada satu yang saya masih penasaran yaitu pentest SCADA system. EY di negara lain pernah melakukannya. Untuk di Indonesia sendiri sepertinya belum ada. Semoga suatu saat ada dan saya bisa dapet project tersebut.

Berikutnya saya melakukan pentest terhadap ATM system di salah satu bank terbesar di dunia. Project ini cukup unik karena hampir semua sistem entah itu core banking maupun ATM didevelop secara in-house alias bikin sendiri. Setahu saya ini satu-satunya bank yang berani develop hampir seluruh sistemnya secara in-house. Berbekal pengalaman pentest ATM di bank sebelumnya, saya melakukan beberapa penambahan pengujian pada sistem ATM ini karena memang fokus dari project ini ada di sistem ATMnya. Pengujian yang saya lakukan sampai ke tahap reverse engineering baik menggunakan static maupun dynamic analysis. Sistem di dalam mesin ATM itu sendiri cukup kompleks. Lumayan lah susahnya hehehe. Selain dari mesin ATM, saya juga melakukan pengujian terhadap ATM switching dan beberapa server terkait baik itu dari sisi server-server itu sendiri maupun transmisi/transaksi data. Seru deh pokoknya. Selain itu saya juga melakukan PBI compliance untuk Data Center.

Setelah project ATM, datang silih berganti project-project untuk pentest web application dan mobile application. Seperti biasa, selain dari sisi mobile application, pengujian juga dilakukan terhadap sisi infrastructure (server) dan aplikasi (web-based application).  Saya juga masih melakukan PBI compliance terhadap data center di salah satu perusahaan penyedia DC. Pada salah satu project, ada pengalaman yang unik ketika saya dan tim melakukan pentest di ruang server dan di dalam data center. Iya, DI DALAM DATA CENTER. Kebayang kan betapa dingin dan bisingnya di dalam DC. Selain melawan sistem yang ingin di-pentest, saya harus melawan dingin dan kepala yang makin lama terasa beku. Bayangkan berada di dalam data center selama berjam-jam. Beruntung saat keluar dari DC tidak jadi es batu haha.

Saya masih mengerjakan juga project Bank Wide untuk bank lain. Bedanya kali ini saya melakukan pentest juga terhadap core banking system karena masuk dalam scope. Masih ada beberapa project lain yang mungkin tidak saya tulis di sini. Menjelang lebaran pun masih ada project pentest. Setelah lebaran juga. Berdasarkan informasi juga dalam setahun ke depan masih banyak project pentest yang dikerjakan. Kebayang kan serunya bisa banyak melakukan pentest. Ibaratnya tentara, latihan perang selama masih di akademi tidak sia-sia karena sering dipakai dan skill semakin terasah.

Mungkin ini yang bisa saya share untuk para pembaca. Jika saya tulis detil mungkin bisa jadi sangat panjang tulisan ini hehe. Inti dari tulisan saya adalah bahwa saya ingin menunjukkan kalau bidang information security ini "kue"nya juga banyak. Selama ini mahasiswa IT yang paling banyak pasti ke bidang software development/programming, infrasturcture, dan network. Jika dibandingkan denga  bidang IT yang lain, mungkin jumlah praktisi di bidang information security ini jauh lebih sedikit.

Semoga tulisan saya ini bermanfaat. Semangat !! :)



Eryk Budi Pratama, S.Kom, CEH
IT Advisory Consultant, Ernst & Young Indonesia (EY)

Persiapan Final-Year Review Ernst&Young (EY)

Sebenernya bingung kasi judul jadi kali ini saya ingin bercerita sedikit tentang pengalaman yang sudah saya dapatkan kurang lebihnya hampir satu tahun bekerja di EY Indonesia. Berhubung minggu depan sudah dimulai proses PMDP Final-Year Review, mungkin saya akan sedikit sharing tentang proses performance appraisal ala EY yang sejauh ini saya tahu.

Sedikit menyambung tulisan saya sebelumnya tentang EY, dimana pada awal-awal masuk saya telah mendapatkan banyak wawasan karena memang knowledge management di EY sangat baik. Sampai sejauh ini sudah banyak pengalaman dan pengetahuan yang saya dapatkan mulai dari hal yang sederhana, yaitu menggunakan wording untuk proposal maupun report dengan baik dan benar, sampai dengan pengalaman dalam mengerjakan beberapa project security assessment / vulnerability assessment dan penetration testing yang memang merupakan kompetensi utama dari tim Information Security saya. Buat rekan-rekan yang ingin masuk EY, jangan meremehan pelajaran Bahasa Indonesia ya karena sangat bermanfaat nanti. EY selalu menekankan high-performance team dengan hasil pekerjaan yang berkualitas tinggi, sehingga kesalahan-kesalahan kecil saja harus diperhatikan. 

Karena saya tidak bisa memberikan informasi detil tentang project-project yang sudah dan sedang saya kerjakan, maka saya akan bercerita tentan gambaran umumnya saja. Saya mengawali engagement pertama dengan mengerjakan IT General Control (ITGC) review untuk salah satu project di salah satu bank swasta yang besar di Indonesia. ITGC adalah salah satu bagian dari IT Audit yang lebih ditekankan di pengecekan terhadap konfigurasi sistem. Menurut saya untuk belajar menjadi IT auditor, bisa dimulai dari sini. Bisa dibilang sebagai pemanasan biar jadi orang yang teliti hehehe. Pada tiap engagement untuk security assessment and penetration testing saya selalu melakukan ITGC juga karena hal ini menjadi salah satu area yang harus dicek ketika melakukan security assessment. Sampai saat ini saya sudah pernah melakukan ITGC terhadap beberapa platform OS dan Dabatase, yaitu:

• Operating System (AIX, Red Hat Enterprise Linux, Fedora Core, CentOS, Windows Server 2008&2012)
• Database (SQL Server 2008, Oracle 10g &11g, PostgreSQL)

Selanjutnya saya pernah sedikit bantu-bantu di project salah satu perusahaam BUMN besar yang cukup terkenal di bidang transportasi untuk SAP audit. Waktu itu saya kebagian ITGC dan audit untuk SAP Basis. Karena saat kuliah pernah belajar SAP, jadi saya tidak kesulitan ketika melakukan review SAP. Saya tinggal menyesuaikan proses audit sesuai standar EY. Sebelum project SAP ini dimulai, saya sempat mempelajari modul-modul training SAP yang rutin diadakan di EY. Jadi ketika project sudah jalan, saya sudah tahu seperti apa tugas saya. 

Saya sempat juga diassign untuk software asset management audit. Jobdesc utamanya melakukan pengecekan terhadap license Microsoft pada sebuah perusahaan di bidang jasa transportasi udara. Waktu itu saya harus melakukan pengecekan terhadap ratusan komputer dan server. Tim yang melaksanakan hanya dua orang, yaitu saya dan satu senior saya. Kebayang kan capeknya mondar-mandir tiap meja dan ruangan hehehe.

Untuk engangement pada kompentesi utama tim saya, yaitu Information Security assessment and penetration testing, cukup banyak yang sudah saya kerjakan. Secara umum saya bersama tim infosec EY sudah pernah melakukan security assessment dan penetration testing untuk Web Application, IT Infrastructure, Mobile Application, dan ATM system. Berhubungan kebanyakan klien dari bank, maka terdapat engagement untuk melakukan kajian terhadap E-Banking system dan delivery channel baik dari sisi teknikal (VA dan pentest) maupun PBI (Peraturan Bank Indonesia) Compliance. Terdapat juga engagement untuk melakukan kajian terhadap aplikasi yang merupakan salah satu bagian dari brachless banking. Pada klien yang sama, sempat diassign juga untuk melakukan pentest terhadap aplikasi salesforce dan financial supply chain management (FSCM). Ketika diassign pada ATM system review, selain melakukan pentest saya juga melakukan PBI compliance khususnya untuk Data Center review. Untuk Data Center review sendiri saya juga melakukannya pada engagement lainnya. Karena sudah eranya BYOD, saya pernah melakukan pengujian terhadap SAP Mobile Enterprise Applciation Platform dan salah satu platform MDM (mobile device management) pada sebuah engagement.

Karena credentialnya rahasia, jadi saya tidak bisa menyebutkan informasi secara detil. Kurang lebihnya sejauh ini pengalaman dan pengetahuan yang saya dapatkan tergambarkan pada paragraf-paragraf sebelumnya. Kebayang kan enaknya masuk di EY. Sudah pasti banyak project dan dalam waktu yang singkat dapat meningkatkan kemampuan dan menambah banyak pengalaman.

Nah, sekarang saya ingin sedikit berbagi tentang proses performance review EY yang tentunya cukup ketat dan menurut saya yang terbaik sejauh saya mengetahui proses performance review di beberapa perusahaan lainnya. Karena saya belum pernah merasakan final-year performance review, jadi tidak banyak yang bisa saya ceritakan. 

EY punya portal internal yang digunakan sebagai sentral untuk pengembangan diri. Kurang lebih kontennya terkait goal plan, development process, mid-year review, dan final-year review. Pada awal fiscal year, para counselee harus membuat goal plan yang nantinya akan didiskusikan dan direview oleh counselor. Jadi di EY ada semacam counseling gitu. Biasanya yang menjadi counselor adalah para manajer. Untuk pembagiannya saya tidak tahu karena itu dari HRD yang menentukan. Yang menjadi pembeda EY dari perusahaan lain adalah adanya review pada pertengahan tahun dan akhir tahun. Pada mid-year review, saya harus mengisi self-assessment selama setengah tahun menjalankan engagement di EY. Selain itu saya harus mengumpulkan beberapa feedback dari beberapa sumber yaitu rekan-rekan kerja yang masih satu engagement maupun dari level manajer ke atas. Ada jumlah feedback minimal yang harus dipenuhi. Pada mid-year review ini biasanya counselor akan membahas performance kita selama setengah tahun di EY dan pengembangan diri untuk ke depan. 

Pada final-year review, prosesnya sama dengan mid-year review namun dengan adanya tambahan proses evaluasi tentunya. Ketika saya sudah menyelesaikan self-assessment terhadap pencapaian selama satu tahun, nantinya manajer saya akan menghadapi round table dimana pada saat itu manajer berusaha mempertahankan kita di hadapan review committee. Saya sendiri tidak tahu komite review berasal dari mana saja. Asumsi saya sih mungkin level senior manajer dan partner :D Inti dari round table ini adalah menetukan berapa rating performace kita (1-5) dan menentukan apakah kita layak untuk dipromote naik satu rank (misalnya dari senior 1 ke senior 2). Untuk mendapatkan promote, minimal rating kita harus 3. Jika rating kita 5 tidak menutup kemungkinan mendapatkan double promote alias naik dua tingkat (misalnya dari senor 1 langsung ke senior 3).

Jadi kurang lebihnya seperti itu gambaran bagaimana bekerja di EY. Selain dituntut professional di bidang keahlian masing-masing, ktia juga harus memperhatikan hal-hal lain yang cukup penting juga terutama untuk pengembangan karier dan kemampuan kita. Sekian sedikit cerita yang bisa saya share. Jika pembaca adalah orang yang suka tantangan dan ingin merasakan iklim bekerja di perusahaan multinasional dengan standar kualitas pekerjaan yang tinggi, yuk join EY *loh malah promosi*.

Semoga bermanfaat :)

Eryk Budi Pratama, S.Kom, CEH, CHt.

IT Advisory Consultant - Risk Information Security - Ernst&Young (EY)

Tentang Ernst & Young - the "Big 4"

Secara khusus, sebenarnya tulisan ini ditujukan untuk mahasiswa prodi IT/SI dan Akuntansi. Loh kok khusus prodi IT/SI dan Akuntansi doank? Jadi ceritanya ada beberapa pertanyaan dari teman yang berasal dari prodi IT/SI dan Akuntansi. Kurang lebih seperti ini:

Loh kok anak IT bisa masuk EY? Kerjaannya ngapain tuh kan EY perusahaan KAP (Kantor Akuntan Publik)

Di atas adalah pertanyaan dari teman Akuntansi. Nah yang di bawah ini pertanyaan dari teman IT/SI:

EY itu apa ya kak? Kerjaanya ngapain aja?

Itulah 2 pertanyaan yang sering ditanyakan, hehe. Nah pada artikel ini, akan saya coba jawab dan jelaskan.

Sebelumnya, coba pembaca lihat profil EY di wikipedia. Secara umum, EY memiliki empat divisi: Assurance, Tax, Advisory, Transactions. Itu saya urutkan berdasarkan besarnya persentase revenue. Selama ini yang banyak diketahui teman-teman Akuntansi adalah divisi Assurance. Assurance ini memang yang revenuenya paling besar karena memang jumlah projectnya paling banyak dan pasti banyak. Jika pembaca pernah membaca Annual Report perusahaan, nah itu auditornya ya KAP/Accounting Firm khususnya divisi Assurance ini.

Awalnya memang KAP bisnis utamanya di Assurance. Nge-audit keuangan perusahaan lah pokoknya :D Cuma seiring berjalannya waktu dan makin banyak peluang, maka divisinya pun bertambah. Salah satunya adalah divisi Advisory dimana ini adalah service line tempat saya berada. Karena saya lulusan IT, gak mungkin donk masuk ke Assurance. Advisory sendiri terdiri dari dua sub-service line, yaitu Performance Improvement dan Risk. Nah saya berada di sub-service line Risk. Sebelumnya, namanya adalah IT Risk and Assurance. Saat saya masuk sepertinya sudah diubah. Tapi ke depan saya masih pake nama yang sebelumnya aja biar gak bingung, haha.

IT Risk and Assurance terdiri dari beberapa management team. Ada Information Security, IT General Control, Application Control, dan lain-lain. Saya berada di tim Information Security. Jadi secara struktural, saya berada di Advisory-IT Risk and Assurance-Information Security. Spesialisasi utama tim saya adalah di Information Security. Jadi apapun bentuk project terkait IT security, seperti Security Assessment, Vulnerability Assessment, Penetration Testing, IT Security Architecture, Security Operation Center Design, dan beberapa bentuk project yang terkait sudah pasti tim saya yang akan handle.

Kalau lagi gak ada project ngapain aja?

Tenang. Gak ada kata gabut kok, haha. Ada saja yang bisa dikerjakan. Karena setiap konsultan memiliki target jam dalam setahun untuk memenuhi KPI, maka saya harus minta jatah hours ngerjain project lain. Di IT Risk & Assurance, tentunya yang paling banyak projectnya adalah Channel 1. Channel 1 di EY adalah yang mengurusi masalah IT Audit, entah itu aplikasi maupun infrastruktur. Saya sendiri di Channel 2. Karena project-project IT audit ini banyak, jadi saya bisa bantu-bantu channel 1 untuk mengerjakan IT General Control. Selain untuk menambah hours saya, juga membantu pekerjaan channel 1 yang tentunya segudang.

Nah Information Security ini ada di Channel 2. Selain Information Security, yang ada di channel 2 diantaranya adalah project-project yang terkait dengan Business Continuity Planing/Disaster Recovery(BCP/DRP), IT Risk Management, IT Strategy/Masterplan, IT Governance, IT Service Management, dan beberapa yang pokokya non-audit. Saya bersyukur berada di Channel 2 karena bisa belajar macem2 dan tidak monoton. Jadi kalau sedang tidak ada project, selain bantu-bantu channel 1, saya juga membuat proposal-proposal untuk tender terhadap jenis-jenis project yang ada di Channel 2. Lumayan lah walaupun belum lama di EY, saya jadi bisa banyak belajar metode-metode untuk beberapa jenis project.

Selain bantu-bantu ITGC channel 1, bikin proposal, juga mengerjakan hal-hal lain yang mensupport pekerjaan. Seperti misalnya saya pernah diberi tugas membuat kuesioner untuk Security Maturity Domain yang didesain khusus client EY. Kadang saya juga diberi tugas untuk membuat metode-metode yang disesuaikan dengan clientnya. Menarik lah pokoknya. Bener-bener kerasa banget hawa konsultan, haha. Selain mengerjakan hal-hal di atas, saya dan tim rutin mengadakan kegiatan sharing session atau knowledge update setiap sekali seminggu. Jadi masing-masing dari kami membuat materi dan dipresentasikan ke semua anggota tim. Seimbang lah antara kerja dan berbagi pengetahuan :D

Karena banyak informasi yang tidak bisa saya share, maka kurang lebih dari penjelasan singkat di atas semoga pembaca memahami bahwa orang IT bisa masuk ke EY dan perusahaan KAP yang lainnya. Klo di EY namanya IT Risk and Assurance, kalau KAP yang lain saya kurang tahu.

Jenjang Karier
Inilah enaknya kerja di KAP, yaitu jenjang karier jelas. Kalau di EY sendiri setiap tahunnya sudah pasti ada kenaikan/promosi jabatan TAPI tentunya melalui proses performance appraisal yang cukup ketat. Cukup banyak komponen penilaiannya. Karena EY adalah perusahaan besar, maka standarnya pun sangat tinggi. Standar yang tinggi membuat pekerjaan dan hasil pekerjaan para konsultan dan auditornya pun juga berstandar tinggi. Jadi untuk naik tingkat tidak semudah yang dibayangkan. Berikut adalah jenjang karier di EY. Kurang lebihnya seperti ini berdasarkan yang saya tahu. Jika ada perubahan akan saya update.

• Assistant 1
• Assistant 2
• Senior 1
• Senior 2
• Senior 3
• Senior 4 (Asisten Manajer)
• Manager 1
• Manager 2
• Manager 3
• Senior Manager
• Associate Director
• Partner

Saat ini posisi saya ada di Assistant 1. Insya Allah jika memang performance saya tiap tahunnya bagus, kurang lebih 6-7 tahun lagi saya mencapai level Manajer. Target saya adalah maksimal umur 30 untuk menjadi Manajer. Kalau di perusahaan non auditor, tingkatan posisinya tidak sebanyak itu. Tidak menutup kemungkinan jika memang saya betah jadi konsultan, sebelum umur 40 saya bisa mencapai level Partner. Kalau sudah level Partner, sudah saatnya saya merintis perusahaan IT Consultant sendiri :D

So.. buat temen-temen khususnya prodi IT/SI dan Akuntansi, sudah paham kan kalau EY dan KAP yang lainnya tidak hanya nge-audit duit perusahaan? Masing-masing punya divisinya sendiri. Buat temen-temen IT/SI, khususnya IT/SI di kampus saya, ayo banyak latihan ya biar skill dan pengalaman bertambah. Saya tunggu kehadiran konsultan-konsultan IT muda lulusan Universitas Bakrie untuk join di EY saat lulus nanti. Di sini banyak yang lulusan kampus favorit dan luar negri. Jadi buat yang suka tantangan, suka pekerjaan dengan kualitas tinggi, dan suka hal-hal yang nggreget, Let's join EY.

Semoga bermanfaat :)


Salam,

Eryk Budi Pratama, S.Kom, CEH, CHt.

IT Advisory Consultant - Risk Information Security, Ernst&Young Indonesia

Minggu Pertama di Ernst&Young Indonesia (EYI)

Alhamdulillah.. Segala puji dan rasa syukur saya ucapkan kepada Allah SWT atas segala hal yang telah diberikan kepada saya, salah satunya adalah dengan memberikan kesempatan kepada saya untuk menjadi keluarga besar Ernst&Young Indonesia (EY Indonesia) dimana ini adalah starting point yang baik untuk meniti karier saya sebagai konsultan IT, sesuai yang saya rencanakan ketika pertama kali masuk kuliah jurusan IT. Terima kasih pula kepada kedua orang tua yang membesarkan saya hingga bias sejauh ini. Semoga dengan berkarier di EY saya bisa membanggakan kedua orang tua dan calon istri saya nanti :D

Sebagian besar orang khususnya yang bidangnya di akuntansi tentu tidak asing dengan istilah "Big 4". Big 4 sendiri mengacu kepada empat perusahaan akuntan publik terbesar, EY adalah salah satunya. Walaupun EY adalah awalnya adalah accounting firm, namun service line yang diberikan tidak hanya masalah audit keuangan. Promosi dikit ya :p EY sendiri punya beberapa service line yaitu Assurance (nah audit keuangan ada di sini), Advisory, Tax, TAS. Untuk detilnya bisa dilihat di sini ya :p

Oke cukup promosinya, haha. Saya sendiri ditempatkan di service line Advisory. Saya berada di dalam grup IT Risk and Assurance (ITRA) dengan spesialisasi utama di tim Information Security. Kebayang kan kerjaan utamanya ngapain? :p Di ITRA sendiri ada banyak layanan yang bisa diberikan kepada client, termasuk salah satunya Information Security. Jadi nanti saya tidak seterusnya hanya mengerjakan proyek information security. Bisa saja nanti saya dikasi proyek bidang lain yang masih dalam satu channel. Detilnya tidak bisa saya berikan ya karena baru seminggu di sini jadi belum tahu banyak jenis proyeknya apa saja :D

Selama seminggu ini saya sudah diikutkan dalam proyek di salah satu bank. Jadi dalam minggu pertama ini sudah langsung merasakan ngelembur ampe malam. Beruntung ada rekan yang bawa mobil sehingga bisa nebeng walaupun sampai kokas doank. Karena saya masuk saat proyek udah jalan, jadi saya kebagian jatah ikut penetration testing sama yang lebih senior. Penetration testing (pentest) secara singkat adalah aktivitas untuk menembus keamanan komputer yang telah diketahui kelemahannya. Lumayan deg-degan sih soalnya baru pertama kali ini nge-pentest server production dimana di situ tentunya ada database server, middleware, dan aplikasi core banking. Karena urusannya ama duit nasabah, jadi gak bisa sembarangan nge-pentest sistemnya :D biasanya nge-pentest server mainan, sekarang bakal nge-pentest server production yang tentunya kritikal :)

So far tidak ada masalah. Kegiatan utama selain ikut proyek pentest, saya juga membantu senior membuat security domain maturity. Jadi EY punya standar maturity (tingkat kematangan) untuk information security. Nah tugas saya sama senior saya adalah membuat proses assessment security domain maturity ini menjadi lebih mudah karena ke depan security domain maturity ini akan digunakan untuk mengukur tingkat kematangan client terhadap information security sehingga jika telah diketahui tingkat kematangannya akan lebih mudah untuk mengidentifikasi gap dan memberikan future action plan agar keamanan informasi client menjadi lebih baik, cost-efficient, dan align dengan bisnisnya :)

Oia... ada hal menarik di tim information security ini. Setiap Jumat pagi kami melakukan sharing session. Jadi setiap anggota tim diberi waktu 10-15 menit untuk presentasi tentang apapun yang ingin dishare, terutama yang masih berhubungan dengan kerjaan. Kegiatan ini tentunya bermanfaat untuk proses knowledge transfer. Lumayan lah hari ini saya dapat wawasan baru terkait cyber security improvement, penggunaan SQLMap, scripting scan nmap, dan IT-IL. Saya sendiri sharing tentang BGP Hijacking.

Kembali ke awal masuk. Jadi hari pertama tentunya ada perkenalan dari HR. Banyak lah mulai dari tentang perusahaan, karyawan, pekerjaan, jejang karier, dll. Setelah pejelasan dari HR, saya langsung ambil laptop dan foto. Setelah udah dapet laptop, langsung ngerjain online training. Lumayan banyak online trainingnya, hehe. Untungnya yang mandatory hanya beberapa. Setelah mengerjakan beberapa online training, saya diantar ke manajer. Oleh manajer dibantu dengan mas Erick, saya diperkenalkan ke beberapa karyawan di ITRA. Nah loh ada yang namanya sama seperti saya, satu tim di information security pula :v :v  Setelah itu besoknya langsung deh mulai persiapan pentest. Bikin attack plan dan sebagainya.

Alhamdulillah minggu pertama kerja sangat berkesan. Rekan-rekan kantor juga asik dan cepat akrab. Semoga saya betah dan bisa bertahan lama di EY :)


Salam,
Eryk Budi Pratama, S.Kom, CEH, CHt.
Advisory Services (Assistant) - IT Risk and Assurance, Ernst&Young Indonesia

Kuliah: Ilmu dan Pengalaman

Sebenarnya saya bingung dengan judul tulisan ini. No problem lah yang penting esensi dari tulisan saya ini tidak jauh dari judulnya. Karena saya tidak pandai berteori, maka yang saya tulis sesuai dengan apa yang saya alami dan yang menjadi prinsip saya dalam menentukan masa depan.

-Intro-

Masih ingat saat SMA dulu, saya bukanlah siswa yang terbaik. Kalau dilihat dari nilai rapot sih saya tidak masuk 10 besar, haha. Oia sekedar info, saya dulu sekolah di SMAN 5 Surabaya, salah satu SMA terbaik di Indonesia. Saya masuk kelas RSBI (yang katanya kelas Internasional karena pelajarannya sebagian besar disampaikan dengan bahasa Inggris). Siswa di kelas RSBI memang siswa pilihan karena untuk masuk kelas RSBI ini harus mengikuti beberapa tes lagi. Saya tak berharap banyak, eh ternyata siswa yang nilainya biasa-biasa saja saat SMP dulu bisa masuk ke kelas yang bergengsi ini.

Saat menginjak kelas 3 SMA, sudah tentu saya akan menjalani satu tahun yang cukup berat karena harus persiapan untuk UNAS dan masuk kuliah. Jika ditanya tentang jurusan dan kampus yang ingin dituju, dengan konsisten saya akan jawab, "Saya ingin masuk jurusan Teknik Informatika ITS". Pertimbangannya adalah karena saya suka dunia IT, maka saya pilih jurusan Teknik Informatika. Saya pilih ITS karena ITS adalah salah satu kampus teknik terbaik dan lokasinya yang masih satu kota dengan tempat tinggal saya.

-PMDK PENS ITS-

Saya lupa tepatnya bulan apa, saat itu saya dapat informasi dari guru BK bahwa PENS ITS sedang membuka jalur PMDK. Melihat nilai rapot yang pas-pasan, rasanya sulit untuk bisa masuk sana. Tapi karena sebelumnya saya pernah dapet peringkat 2 saat try out di PENS ITS, jadi saya yakinkan diri untuk terus maju. Berkas-berkas mulai saya lengkapi dan saya kirim ke kantor administrasi PENS ITS. Saya daftar D4 untuk Teknik Informatika. Setelah beberapa minggu, saya dapat kabar bahwa saya lulus peringkat 2 untuk PMDK di PENS ITS untuk jurusan Teknik Informatika. Weleh kok sama kayak peringkat pas try out ya haha. Alhamdulillah... saat itu saya benar-benar tidak menyangka.

-Ujian Saringan Masuk Universitas Bakrie-

Setelah pegumuman pmdk PENS ITS, saya mengikuti USM Univ. Bakrie gelombang pertama yang diselenggarakan di beberapa kota besar, salah satunya Surabaya. Saat itu saya memilih jurusan Manajemen. Lah kok gak nyambung sama tujuan utama?Entahlah haha. Setelah beberapa minggu pengumuman, ternyata saya hanya dapat beasiswa parsial. Karena biaya kuliah yang buat saya termasuk kategori mahal, akhirnya saya lepas. Tapi saya masih penasaran :D Akhirnya saya ikut gelombang ketiga yang diadakan di Jakarta. Kali ini saya kembali ke jalan yang benar, yaitu pilih jurusan Teknik Informatika. Alhamdulillah saya lulus beasiswa penuh yang ternyata perusahaa pemberi beasiswa saya adalah PT Energi Mega Persada Tbk.

-Kegalauan, PENS ITS vs Univ. Bakrie-

Karena saya sudah memutuskan tidak ikut SNMPTN, maka saya tinggal memutuskan mau ambil pmdk PENS ITS atau beasiswa penuh di Univ. Bakrie. Setelah berdiskusi dengan orang tua, akhirnya saya jatuhkan pilihan ke Univ. Bakrie. Sebuah keputusan yang menurut beberapa teman saya saat itu merupakan keputusan bodoh dan unik. Tapi entah kenapa saya tetap yakin dengan pilihan saya. 

Ada beberapa teman yang tanya, kok lebih milih Univ. Bakrie ketimbang PENS ITS. Oke mungkin biar lebih enak dibaca, saya tuliskan kompilasi transkripnya.

Kamu gak salah milih ryk? Udah enak-enak dapet PMDK PENS, malah pilih universitas swasta yang gak terkenal.

Sejujurnya saya tidak tahu loh, haha. Panggilan hati saja. Tapi setelah saya lihat-lihat sih Univ. Bakrie kan lokasinya di Jakarta, letaknya strategis di Kuningan. Nah kebetulan sudah lama saya ngidam pingin ke Jakarta lihat monas karena saya kan numpang lahir di Jakarta. Yang bikin aku bisa ke Jakarta pas aku udah gede ini kan waktu ikut USM Univ. Bakrie gelombang ketiga. Lagian masak dari bayi sampai gede nanti aku di Surabaya terus. Cowok kan harus merantau, haha. Lagian pekerjaan bidang IT banyak di Jakarta. Memang aku bakal jadi angkatan pertama di jurusan Teknik Informatika Univ. Bakrie dimana belum ada akreditasi. Tapi buat aku gak masalah sih, toh yang menentukan sukses bukan kampus tempat kita kuliah, tapi dari kita sendiri.

Motivasinya apa kok pingin masuk Univ. Bakrie?

Pertama karena beasiswa. Suatu kebanggaan tersendiri bisa dapet beasiswa. 

Kedua, aku suka tantangan. Mainstream lah anak-anak smala (sebutan untuk siswa siswi SMAN 5 Surabaya) masuk ITS, UNAIR, UI, ITB, UGM, atau kampus-kampus negri yang punya nama. Aku pingin sesuatu yang beda biar greget. Aku suka tantangan. Kalau di calon kampusku nanti tidak ada tantangan, aku yang akan buat tantangan itu sendiri. Kalau aku bisa jadi orang hebat dari kampus yang memang inputnya orang-orang hebat, ya biasa-biasa aja karena sudah sewajarnya seperti itu. Beda kalau aku bisa jadi hebat dari kampus yang biasa-biasa aja.

Ketiga, lokasinya strategis. Kuningan-Sudirman-Thamrin itu lokasi paling strategisnya Jakarta. Jadi klo mau cari-cari tempat magang atau kerja lebih gampang lah tinggal jalan dikit, haha.

Keempat, banyak event IT gratis. Ini kesempatan buatku untuk menjalin relasi khususnya dengan para profesional IT yang memang pada ngumpul di Jakarta. Selain itu, siapa tahu bisa ngincipin makanan enak gratis pas seminar, haha.

Kalau uda lulus nanti harus kerja di perusahaan grup Bakrie ya?

Gak harus sih. Lagian gak ada ikatan dinas. Beasiswa yang diberikan benar-benar tanpa pamrih, dikasi cuma-cuma. Tapi ada syaratnya, yaitu IPK harus di atas 3,00. Menurutku buat dapet IPK di atas 3,00 itu gampang kok jadi aku yakin pasti IPKku di atas 3,00.

Pak Bakrie mau bangkrut loh gara-gara kasus lumpur Lapindo. Gak takut beasiswanya putus di tengah jalan?

Nah ini yang sesungguhnya perlu penjelasan secara komprehensif. (tidak saya jelaskan di sini ya karena panjang). Tapi intinya, jangan pernah sangkut pautkan politik dengan dunia akademik. Aku kuliah ini tujuannya cari ilmu dan pengalaman. Aku gak peduli politik di grup konglomerasi yang ngasi aku beasiswa ini mau kayak gimana, yang penting aku harus mempertanggungjawabkan beasiswa dengan mempertahankan IPK. Pak Ical sendiri kan tidak ikut mengurusi perihal beasiswa karena beliau fokus ke politik saja. Bahkan pernah melakukan kunjungan ke kampus pun beliau tidak pernah berorasi politik, walaupun kampus aku ini dibangun dengan duit dari perusahaan-perusahaan keluarga beliau. 

saya yang nomer dua dari kiri :D

-Tentang Kampus-

Berikut adalah beberapa kenyataan yang saya dapatkan setelah saya masuk di Universitas Bakrie.

1. OSPEK

Menurut saya ospek di Universitas Bakrie ini ospek yang paling menyenangkan di Indonesia. Tidak ada plonco-ploncoan yang menurut saya gak berguna. Di sini kami benar-benar merasakan kebersamaan tanpa harus mempermalukan diri sendiri dengan memakai atribut-atribut yang gak jelas. Lokasi dan fasilitas selama ospek juga menyenangkan. Penanaman nilai-nilai juga terplot dengan baik. Pokoknya enak deh haha. Makanannya juga enak. Aaakkk kangen ospek lagi :D

2. Fasilitas

Gak perlu diragukan, fasilitas di sini top, sesuai dengan biaya kuliahnya yang juga top. Pernah saya ajak keluarga dan teman masuk ke dalam. Mereka pun bertanya, "Ini kampus apa kantor ya?", haha.. Kampusnya emang kecil, tapi dalemnya membuat nyaman saya sebagai mahasiswa yang memang butuh ketenangan dan kenyamanan untuk belajar.

3. Dosen

Sesuai dengan ekspektasi saya, dosen-dosen di sini banyak yang lulusan luar negri. Selain itu, khususya jurusan saya, sebagian besar dosennya praktisi. Karena dosen-dosennya juga praktisi, ilmu yang diajarkan tidak cuma teori. Sejujurnya saya bosan terlalu banyak berteori. Dengan adanya dosen-dosen yang berpengalaman di dunia praktisi, maka saya bisa menambah relasi dan update pengetahuan serta berbagi pengalaman dengan dosen-dosen. Toh saya ingin berkecimpung di dunia profesional IT, jadi saya lebih butuh dosen yang punya pengalaman di lapangan.

4. Lingkungan

Lingkungan yang strategis membuat saya tidak perlu bingung untuk mencari apa saja yang saya butuhkan. Kampus saya ada di Rasuna Epicentrum, salah satu kawasan terintegrasi. Di sekitar sini juga banyak mal sehingga klo pingin jadi anak gaul mall tinggal nyebrang aja dari satu mall ke mall yang lain, haha.

Jika diceritakan secara gamblang, banyak sekali yang bisa saya ceritakan. Tapi karena saya tidak berniat promosi, jadi cukup sekian profil dari kampus saya :D

-Pembuktian-

Sampai saat tulisan ini dibuat, Alhamdulillah saya bisa mempertahankan IPK di atas 3,50. Saya juga mengikuti kegiatan kampus walaupun tidak banyak aktif karena saya lebih aktif ikut kegiatan di luar. Saya sering ikut seminar-seminar dan workshop IT. Alhamdulillah dari situ saya dapat banyak kenalan khususnya orang-orang IT dari beberapa perusahaan dan kampus di Jakarta. Saya juga banyak mengenal orang-orang hebat di bidang IT. Banyak sih manfaat yang saya dapatkan di Jakarta ini, yang belum tentu bisa saya dapatkan jika saya memilih untuk tetap stay di Surabaya. Berikut beberapa foto yang mungkin tidak saya dapatkan dengan mudah untuk menuju kesana (foto yang IBM) :) Foto-foto dengan perusahaan dan komunitas lain tidak saya share karena banyak. Saya share yang menurut saya paling berkesan :)

Melalui beberapa komunitas IT, saya mendapatkan beberapa kesempatan mulai dari berdiskusi dengan para pakar, mengisi seminar dan workshop, serta mendapatkan award dari komunitas. Apa yang saya dapatkan ini tentunya melalui proses yang tidak mudah. Setiap event, pasti pada tanya Universitas Bakrie itu dimana, haha. Ya nasib kampus yang masih baru. Tapi saya bangga, karena alumni-alumni kampus saya bekerja di banyak perusahaan besar, multinasional, dan ada yang di kementrian juga. Jadi jangan remehkan lulusan Universitas Bakrie :)

Di Jakarta ini pula saya mendapatkan kesempatan untuk magang di dua perusahaan besar di industri yang berbeda. Kesempatan pertama saya dapatkan di Unilever, salah satu perusahaan FMCG terbesar di dunia. Kesempatan kedua saya dapatkan di Chevron, salah satu perusahaan Oil&Gas terbesar di dunia. Alhamdulillah.. awalnya saya tidak menyangka bisa magang di dua perusahaan ini karena memang bukan di sini tujuan utama saya. Tapi melalui dua perusahaan ini, saya jadi memiliki kesempatan untuk merasakan atmosfir bekerja di perusahaan multinasional :)

-Penutup-

Alhamdulillah begitu banyak rizki dan nikmat yang diberikan oleh Allah SWT kepada saya sehingga saya melalui proses yang cukup berat dalam membentuk pribadi yang lebih baik selama kuliah ini. Alhamdulillah juga saat tulisan ini dibuat, saya sudah berhasil menyelesaikan sidang skripsi. Saat ini saya tinggal mengurus yudisium dan wisuda. Alhamdulillah juga saat selesai mengurus yudisium nanti saya langsung bekerja di salah satu Big 4 Accounting Firm yaitu Ernst&Young (EY). Saya mendapatkan posisi di Advisory Services, IT Risk and Assurance dengan fokus utama di Information Security. Walaupun tugas utama saya di Information Security, namun tidak menutup kemungkinan saya akan mengerjakan proyek-proyek non Information Security. Sebagai pelengkap kelulusan sarjana, saya juga mendapatkan sertifikasi internasional, yaitu Certified Ethical Hacker (CEH) yang memang masih nyambung dengan bidang pekerjaan saya. Selain itu pada bulan September nanti saya memulai perkuliahan S2 Master of Management (MM) di Universitas Bakrie. Alhamdulillah banyak kado spesial dari Allah SWT yang diberikan kepada saya menjelang lebaran ini. Semoga saya bisa mencapai kesuksesan sesuai dengan yang saya targetkan, dan semoga ilmu dan pengalaman saya ini bermanfaat.  Semoga saya juga bisa menempuh pendidikan hingga S3, sehingga tambahan kata "Prof" di depan nama blog, fb, twitter, dan segala media yang saya buat ini tidak sia-sia :)

 

 

 

 

 -Kesimpulan-

Jadi buat temen-temen yang akan kuliah, maupun yang sudah kuliah di universitas swasta, jangan merasa rendah diri. Bukan kampus yang menetukan kesuksesan, tapi diri sendiri. Manfaatkan segala potensi yang ada dalam diri dan sekitar. Percaya diri. Allah SWT itu Maha Adil. Selama kita mau berusaha dan berdoa, insya Allah kita akan diberikan yang terbaik. Jangan lupa banyak bersyukur ya karena Allah akan menambah nikmat dan rizki hamba-hambaNya yang bersyukur. 

Semangat :D

Salam,
Eryk Budi Pratama, S.Kom, CEH, CHt.
Advisory Services (Assistant), IT Risk and Assurance, Ernst&Young Indonesia
EC-Council Certified Ethical Hacker (CEH)
IBH Certified Hypnotist & Hypnotherapist (CH, CHt)