Final Year Review FY16 (PMDP) Ernst&Young (EY)

Sudah hampir setahun tidak menulis blog. Sejak terakhir saya menulis ini memang project yang berdatangan cukup padat, baik project penetration testing maupun non-pentest. Project non-pentest ini ada beberapa, di antaranya adalah:

• Pembuatan pedoman dan petunjuk teknis audit keamanan informasi di salah satu kementerian
• Security Program Management (SPM) assessment. Sekarang namanya Cyber Program Management (CPM)
• Third Party Security Assessment (TPSA)
• ISO 2700X Maturity Assessment
• Compliance Review - Peraturan Bank Indonesia

Bulan ini adalah bulan dimana EY Indonesia melakukan aktivitas rutin yang menentukan karir dari para konsultannya, yaitu Performance Management Development Program (PMDP). Tahun lalu saya juga sudah menulis PMDP pada posting ini. Tahun ini yang jelas cukup berbeda dengan FY15 kemarin. Jika FY15 saya lebih banyak terlibat project pentest, FY16 ini nampaknya saya lebih banyak terlibat project non-pentest. Bisnis tim Cybersecurity EY Indonesia berkembang cukup pesat jadi project makin banyak. Positifnya adalah saya jadi bisa mendapatkan banyak pengalaman dalam waktu yang singkat. Ada sisi positif lainnya sih, tapi biarlah jadi rahasia :)

Security Audit
Nama projectnya memang security audit, simple. Tapi yang dikerjakan ada 3 bagian, yaitu penetration testing, Security Program Management (SPM), dan User Access Review.  Untuk pentest mungkin pembaca sudah familiar jika pembaca awam membaca postingan saya sebelum-sebelumnya. Untuk SPM akan saya jelaskan sedikit di bagian yang lain. User access review merupakan aktivitas melakukan pengujian terhadap akses user di sistem. Misalnya kita cek apakah akses user terhadap menu di aplikasi sudah sesuai dengan rolenya (atau sudah sesuai dengan user access matrix tidak). Kita juga cek mana saja user yang aksesnya berlebih atau overlap. Assessment ini kami lakukan di salah satu perusahaan BUMN yang terbesar di industrinya.
Untuk pentestnya sendiri juga cukup banyak aplikasi yang harus dites, baik aplikasi berbasis web maupun desktop (native). Selain itu kami juga lakukan pentest dan configuration review terhadap perangkat jaringan dan server. Project ini berlangsung sekitar 3 bulan. Cukup lama karena memang yang dicek banyak. Alhamdulillah project telah selesai dengan hasil yang memuaskan.

Security Program Management (SPM)
SPM adalah salah satu layanan yang diberikan EY di bidang information security. Saat ini namanya ganti jadi Cyber Program Management (CPM). SPM ini adalah framework dari EY yang digunakan untuk melihat maturity perusahaan terkait keamanan informasi ini sekarang seperti apa. Jika pembaca pernah baca tentang CMMI, kurang lebihnya seperti itu. Selain melihat kondisi sekarang maturitynya seperti apa, framework ini juga digunakan untuk menyusun rencanan masa depan berupa inisiatif-inisiatif kemanan informasi dan roadmap implementasinya.

Gambar di atas merupakan framework SPM (bisa dilihat di link ini juga. Jika kita lihat, domainnya cukup banyak dan komprehensif. Semua aspek keamanan informasi tercakup di framework tersebut. Perlu saya tekankan bahwa keamanan informasi tidak hanya bicara masalah teknis, misalnya red team(pentest) dan blue team(mainan firewall, siem, IDS/IPS,dll). Di sini kita berbicara enterprise information security dimana aspek-aspek yang masih berhubungan dengan kemanan informasi juga dinilai. Sebagai contoh disitu kita berbicara masalah strategy (planning), kebijakan dan prosedur, awareness, operations, architecture, security services, data infrastructure, metrics, reporting, dan lain-lain. Cukup detil dan banyak sekali pertanyaan yang bakal diberikan ke client. Kurang lebih ada sekitar 300an pertanyaan yang mencakup semua domain tersebut.

Saya melakukan assessment ini terhadap bank yang... yang bank besar pokoknya. Ada dua bank besar yang waktu itu menggunakan service ini. Ada lagi satu perusahaan terbesar di industri selain perbankan. Silakan PM saya kalau perusahaan anda ingin tahu sejauh apa implementasi kemanan informasinya. Atau ingin membuat strategi penerapan keamanan informasi. SPM ini sudah banyak digunakan di berbagai negara. Jadi ada banyak expert yang bisa bantu service ini. *loh promosi*.

Security Audit Guidelines
Sesuai judulnya, pada project ini saya dan tim membuat panduan audit dan pedoman teknis untuk melakukan audit keamanan informasi di lingungan sebuah kementerian yang menurut saya kritikal bidangnya. Kami membuat panduan umum dan teknis audit mengacu pada ISO 27K, NIST, CIS, dan best practices atau framework lain yang relevan. Melalui project ini, saya mendapatkan sebuah hikmah yaitu sebagai orang Indonesia kita harus cakap dalam menggunakan bahasa Indonesia yang baik dan benar. QA pada project ini cukup ketat karena penggunaan bahasa Indonesia yang tepat dan jelas sangat ditekankan. Alhasil, panduan umum dan teknis selesai dengan halaman yang sangat tebal karena memang kami membuatnya cukup detil.

Third Party Security Asssessment (TPSA)
Ini project pertama saya yang membuat saya bisa terhubungan dengan EY Global (negara lain). Pada project ini saya berkoordinasi dengan EY Singapore dan India. Klien dari project ini adalah sebuah bank yang sangat besar yang pusatnya di UK. Intinya, project ini adalah untuk menilai sejauh mana vendor / third party / pihak ketiga dari bank tersebut dalam menerapkan keamanan informasi di perusahaannya. Sebagai assessor, kami dituntut untuk bisa menemukan dan menganilisis risiko-risiko yang ditemukan pada vendor tersebut. Ada beberapa vendor yang kami tangani yaitu vendor di bidang ATM switching, call center, security service, record management, dan lain-lain. Hikmah dari project ini adalah saya jadi bisa belajar banyak proses bisnis vendor-vendor yang tentunya bidang bisnisnya beda. Hikmah lainnya adalah saya jadi harus komunikasi baik lewat email maupun telpon dengan bahasa Inggris. Lumayan latihan conversation gratisan. 

ISO2700X Maturity Assessment
Ini adalah project kedua saya yang membuat saya bisa terhubung dengan EY Global lain yang berbeda dari project TPSA. Saya berkoordinasi dengan EY China dan Prancis. Kliennya adalah perusahaan asuransi yang sangat besar yang pusatnya di Eropa. FYI, tipikal project seperti TPSA dan ISO 27K ini adalah project Global, jadi dilakukan juga di negara-negara lain yang memang disitu ada cabangnya. Sesuai dengan namanya, saya melakukan penilaian terhadap maturity keamanan informasi berdasarkan ISO2700X. Untuk pembaca yang belum tahu, ISO 2700X adalah standar ISO untuk kemanan informasi. Saya tulis "X" karena angka di belakangnya ada banyak. Detilnya ada di sini. Dalam project ini saya menggunakan ISO27001 dan ISO27002. Dalam project ini saya menilai sejauh mana penerapan kemanan informasi dan memberikan rekomendasi untuk bisa naik ke level yang disepakati.

Compliance Review - Peraturan Bank Indonesia
Berhubung judulnya ada Bank Indonesia, jadi project ini hanya melibatkan EY Indonesia. Pada project ini kami melakukan kajian kepatuhan (compliance review) atas produk baru dari bank dan payment gateway yang akan launch untuk publik agar sesuai dengan Peraturan Bank Indonesia No. 9/15/PBI/2007 tentang Penerapan Manajemen Risiko dalam Penggunaan Teknologi Informasi oleh Bank. Selain itu untuk produk yang berkaitan dengan transaksi keuangan, kami juga mengacu ke Surat Edaran BI No. 11-10-2009 / PBI No. 11/11/PBI/2009 tentang Alat Pembayaran Menggunakan Kartu (APMK). Sebagai catatan bahwa PBI terkait APMK diganti ke PBI No 14/2/PBI/2012. Beberapa jenis produk yang kami cek adalah terkait debit card, payment gateway, digital banking. Dalam project ini tetap kami lakukan DC/DRC review. Lumayan lah sambil jalan-jalan ke DC/DRC :)

Jadi seperti itulah gambaran umum project yang saya kerjakan FY16 ini. Sebenarnya saya masih mengerjakan juga beberapa project pentest yang kliennya bank. Saat ini tim sedang mengerjakan pentest di perusahaan non bank juga. Project semakin banyak, baik yang teknikal dan non-teknikal. Hikmahnya adalah kami jadi cepat belajar dan menambah banyak pengalaman dalam waktu yang singkat karena beberapa project sebenarnya paralel. Selain menjalankan rutinitas dalam mengerjakan project yang silih berganti datangnya, saya bersama tim juga sedang mengembangkan working paper agar lebih baik lagi. Diharapkan dengan adanya project-project yang telah saya kerjakan, bisa membantu saya dan tim dalam mengembangkan bisnis baru dan menciptakan peluang-peluang yang masih relevan dengan keamanan informasi.

Proses round table pada PMDP telah selesai, tinggal menunggu hasil apakah tahun ini saya promote ke senior atau tidak.  Semoga tahun ini naik biar bisa cepet... ehhh cepet apa ya haha.

Semoga bermanfaat :)

Eryk Budi Pratama, S.Kom, CEH, CHt.
IT Advisory Consultant - Cyber Security - Ernst&Young (EY)

Pengalaman Security Assessment (Penetration Testing) di Ernst&Young (EY)

Sudah hampir setahun saya meniti karier di salah satu perusahaan jasa professional di bdiang audit and consulting ini. Dalam perjalanan yang tentunya tidak mudah ini cukup banyak ilmu dan pengalaman yang saya dapatkan dari Ernst&Young Indonesia (EYI). Bisa dibilang layanan Information Security di EY termasuk yang muda diantara layanan-layanan EY yang lain khususnya di Advisory. Masih berkaitan dengan dua tulisan saya sebelumnya tentang profil EY dan persiapan final review, hampir setahun ini saya sudah banyak belajar tentang layanan-layanan EY yang terkait dengan IT, mulai dari yang jadi pekerjaan rutin saya di bidang Information Security, sampai dengan bidang-bidang konsultansi IT lainnya seperti IT Risk Management, IT Audit, IT Governance & Strategy, Business Continuity/Disaster Recovery, IT effectiveness, IT Process Improvement and Maturity, Enterprise Architecture, dan beberapa hal lainnya.

Pada tulisan kali ini saya coba menceritakan sedikit pengalaman saya di bidang Information Security. Pada sebagian besar project, saya terlibat untuk mengerjakan pengujian keamanaan (security assessment) khususnya penetration testing (pentest). Bagi rekan-rekan yang awam, pentest itu semacam aktivitas untuk melakukan eksploitasi terhadap sistem berdasarkan hasil dari vulnerability assessment  (VA). Kalau VA sendiri ibaratnya pengujian keamanan juga tapi sampai tahap mengidentifikasi kerentanan-kerentanan yang ditemukan pada sistem. Nah, pentest itu tahap setelah VA, yaitu mengeksploitasi  kelemahan-kelemahan yang ditemukan saat VA tadi. Dalam hampir setahun ini, sudah banyak project pentest yang saya kerjakan dan ke depan bakal ngantri project untuk pentestnya :D

Sebelum mengerjakan project pentest saya yang pertama, saya belajar melakukan IT General Control (ITGC). ITGC adalah bagian dari IT audit untuk melakukan pengecekan terhadap kontrol-kontrol pada sebuah sistem. ITGC sendiri terdiri dari tiga bagian. Tapi dalam pentest saya hanya menggunakan bagian logical access (LA) yang secara umum dikenal sebagai configuraion check untuk melengkapi hasil pentest amaupun VA. Beberapa platform OS dan dabatase yang pernah saya uji adalah:

• Operating System (OS400/IBM i, AIX, Red Hat Enterprise Linux, Fedora Core, CentOS, Windows Server 2008&2012)
• Database (SQL Server 2008, Oracle 10g &11g, PostgreSQL)

Untuk pentest, project banyak datang dari bank. Ada juga dari salah satu perusahaan penyedia DC dan aplikasi core banking. Industri perbankan dan keuangan memang lahan yang bagus untuk para praktisi di bidang IT security. Project pertama saya adalah melakukan pentest terhadap salah satu aplikasi yang menjadi core business application di sebuah bank besar di Indonesia. Karena waktu itu saya masih pemanasan, jadi tidak banyak finding yang bisa saya temukan. Berikutnya saya mendapatkan project untuk pentest di platform mobile enterprise. Platform ini nantinya akan digunakan sebagai pusat bagi project-project mobile services berikutnya bagi bank tersebut.

Selanjutnya saya mendapatkan project yang bisa dibilang sangat besar, yaitu Bank Wide. Jadi saya dan tim melakukan pentest terhadap seluruh aset yang dimiliki oleh bank. Kebayang kan berapa banyak server yang harus di-pentest karena bank ini termasuk kategori bank besar yang hampir setara dengan 4 besar bank BUMN yang mungkin pembaca sudah tahu.

Sambil jalan project Bank Wide, saya mendapatkan project terkait Delivery Channel (E-banking) audit. Saya hanya fokus di pentest karena sudah ada tim lain yang menangani bagian compliance. Untuk project yang ini juga lumayan besar karena scopenya tidak hanya server dan aplikasi Internet Banking, tapi juga ATM system dan mobile banking application. Pada project inilah saya pemanasan untuk pentest ATM. Saya sangat bersyukur karena project ini menambah portfolio pentest saya sehingga saya sudah melakukan pentest untuk beberapa jenis platform. Sebenernya ada satu yang saya masih penasaran yaitu pentest SCADA system. EY di negara lain pernah melakukannya. Untuk di Indonesia sendiri sepertinya belum ada. Semoga suatu saat ada dan saya bisa dapet project tersebut.

Berikutnya saya melakukan pentest terhadap ATM system di salah satu bank terbesar di dunia. Project ini cukup unik karena hampir semua sistem entah itu core banking maupun ATM didevelop secara in-house alias bikin sendiri. Setahu saya ini satu-satunya bank yang berani develop hampir seluruh sistemnya secara in-house. Berbekal pengalaman pentest ATM di bank sebelumnya, saya melakukan beberapa penambahan pengujian pada sistem ATM ini karena memang fokus dari project ini ada di sistem ATMnya. Pengujian yang saya lakukan sampai ke tahap reverse engineering baik menggunakan static maupun dynamic analysis. Sistem di dalam mesin ATM itu sendiri cukup kompleks. Lumayan lah susahnya hehehe. Selain dari mesin ATM, saya juga melakukan pengujian terhadap ATM switching dan beberapa server terkait baik itu dari sisi server-server itu sendiri maupun transmisi/transaksi data. Seru deh pokoknya. Selain itu saya juga melakukan PBI compliance untuk Data Center.

Setelah project ATM, datang silih berganti project-project untuk pentest web application dan mobile application. Seperti biasa, selain dari sisi mobile application, pengujian juga dilakukan terhadap sisi infrastructure (server) dan aplikasi (web-based application).  Saya juga masih melakukan PBI compliance terhadap data center di salah satu perusahaan penyedia DC. Pada salah satu project, ada pengalaman yang unik ketika saya dan tim melakukan pentest di ruang server dan di dalam data center. Iya, DI DALAM DATA CENTER. Kebayang kan betapa dingin dan bisingnya di dalam DC. Selain melawan sistem yang ingin di-pentest, saya harus melawan dingin dan kepala yang makin lama terasa beku. Bayangkan berada di dalam data center selama berjam-jam. Beruntung saat keluar dari DC tidak jadi es batu haha.

Saya masih mengerjakan juga project Bank Wide untuk bank lain. Bedanya kali ini saya melakukan pentest juga terhadap core banking system karena masuk dalam scope. Masih ada beberapa project lain yang mungkin tidak saya tulis di sini. Menjelang lebaran pun masih ada project pentest. Setelah lebaran juga. Berdasarkan informasi juga dalam setahun ke depan masih banyak project pentest yang dikerjakan. Kebayang kan serunya bisa banyak melakukan pentest. Ibaratnya tentara, latihan perang selama masih di akademi tidak sia-sia karena sering dipakai dan skill semakin terasah.

Mungkin ini yang bisa saya share untuk para pembaca. Jika saya tulis detil mungkin bisa jadi sangat panjang tulisan ini hehe. Inti dari tulisan saya adalah bahwa saya ingin menunjukkan kalau bidang information security ini "kue"nya juga banyak. Selama ini mahasiswa IT yang paling banyak pasti ke bidang software development/programming, infrasturcture, dan network. Jika dibandingkan denga  bidang IT yang lain, mungkin jumlah praktisi di bidang information security ini jauh lebih sedikit.

Semoga tulisan saya ini bermanfaat. Semangat !! :)



Eryk Budi Pratama, S.Kom, CEH
IT Advisory Consultant, Ernst & Young Indonesia (EY)

Persiapan Final-Year Review Ernst&Young (EY)

Sebenernya bingung kasi judul jadi kali ini saya ingin bercerita sedikit tentang pengalaman yang sudah saya dapatkan kurang lebihnya hampir satu tahun bekerja di EY Indonesia. Berhubung minggu depan sudah dimulai proses PMDP Final-Year Review, mungkin saya akan sedikit sharing tentang proses performance appraisal ala EY yang sejauh ini saya tahu.

Sedikit menyambung tulisan saya sebelumnya tentang EY, dimana pada awal-awal masuk saya telah mendapatkan banyak wawasan karena memang knowledge management di EY sangat baik. Sampai sejauh ini sudah banyak pengalaman dan pengetahuan yang saya dapatkan mulai dari hal yang sederhana, yaitu menggunakan wording untuk proposal maupun report dengan baik dan benar, sampai dengan pengalaman dalam mengerjakan beberapa project security assessment / vulnerability assessment dan penetration testing yang memang merupakan kompetensi utama dari tim Information Security saya. Buat rekan-rekan yang ingin masuk EY, jangan meremehan pelajaran Bahasa Indonesia ya karena sangat bermanfaat nanti. EY selalu menekankan high-performance team dengan hasil pekerjaan yang berkualitas tinggi, sehingga kesalahan-kesalahan kecil saja harus diperhatikan. 

Karena saya tidak bisa memberikan informasi detil tentang project-project yang sudah dan sedang saya kerjakan, maka saya akan bercerita tentan gambaran umumnya saja. Saya mengawali engagement pertama dengan mengerjakan IT General Control (ITGC) review untuk salah satu project di salah satu bank swasta yang besar di Indonesia. ITGC adalah salah satu bagian dari IT Audit yang lebih ditekankan di pengecekan terhadap konfigurasi sistem. Menurut saya untuk belajar menjadi IT auditor, bisa dimulai dari sini. Bisa dibilang sebagai pemanasan biar jadi orang yang teliti hehehe. Pada tiap engagement untuk security assessment and penetration testing saya selalu melakukan ITGC juga karena hal ini menjadi salah satu area yang harus dicek ketika melakukan security assessment. Sampai saat ini saya sudah pernah melakukan ITGC terhadap beberapa platform OS dan Dabatase, yaitu:

• Operating System (AIX, Red Hat Enterprise Linux, Fedora Core, CentOS, Windows Server 2008&2012)
• Database (SQL Server 2008, Oracle 10g &11g, PostgreSQL)

Selanjutnya saya pernah sedikit bantu-bantu di project salah satu perusahaam BUMN besar yang cukup terkenal di bidang transportasi untuk SAP audit. Waktu itu saya kebagian ITGC dan audit untuk SAP Basis. Karena saat kuliah pernah belajar SAP, jadi saya tidak kesulitan ketika melakukan review SAP. Saya tinggal menyesuaikan proses audit sesuai standar EY. Sebelum project SAP ini dimulai, saya sempat mempelajari modul-modul training SAP yang rutin diadakan di EY. Jadi ketika project sudah jalan, saya sudah tahu seperti apa tugas saya. 

Saya sempat juga diassign untuk software asset management audit. Jobdesc utamanya melakukan pengecekan terhadap license Microsoft pada sebuah perusahaan di bidang jasa transportasi udara. Waktu itu saya harus melakukan pengecekan terhadap ratusan komputer dan server. Tim yang melaksanakan hanya dua orang, yaitu saya dan satu senior saya. Kebayang kan capeknya mondar-mandir tiap meja dan ruangan hehehe.

Untuk engangement pada kompentesi utama tim saya, yaitu Information Security assessment and penetration testing, cukup banyak yang sudah saya kerjakan. Secara umum saya bersama tim infosec EY sudah pernah melakukan security assessment dan penetration testing untuk Web Application, IT Infrastructure, Mobile Application, dan ATM system. Berhubungan kebanyakan klien dari bank, maka terdapat engagement untuk melakukan kajian terhadap E-Banking system dan delivery channel baik dari sisi teknikal (VA dan pentest) maupun PBI (Peraturan Bank Indonesia) Compliance. Terdapat juga engagement untuk melakukan kajian terhadap aplikasi yang merupakan salah satu bagian dari brachless banking. Pada klien yang sama, sempat diassign juga untuk melakukan pentest terhadap aplikasi salesforce dan financial supply chain management (FSCM). Ketika diassign pada ATM system review, selain melakukan pentest saya juga melakukan PBI compliance khususnya untuk Data Center review. Untuk Data Center review sendiri saya juga melakukannya pada engagement lainnya. Karena sudah eranya BYOD, saya pernah melakukan pengujian terhadap SAP Mobile Enterprise Applciation Platform dan salah satu platform MDM (mobile device management) pada sebuah engagement.

Karena credentialnya rahasia, jadi saya tidak bisa menyebutkan informasi secara detil. Kurang lebihnya sejauh ini pengalaman dan pengetahuan yang saya dapatkan tergambarkan pada paragraf-paragraf sebelumnya. Kebayang kan enaknya masuk di EY. Sudah pasti banyak project dan dalam waktu yang singkat dapat meningkatkan kemampuan dan menambah banyak pengalaman.

Nah, sekarang saya ingin sedikit berbagi tentang proses performance review EY yang tentunya cukup ketat dan menurut saya yang terbaik sejauh saya mengetahui proses performance review di beberapa perusahaan lainnya. Karena saya belum pernah merasakan final-year performance review, jadi tidak banyak yang bisa saya ceritakan. 

EY punya portal internal yang digunakan sebagai sentral untuk pengembangan diri. Kurang lebih kontennya terkait goal plan, development process, mid-year review, dan final-year review. Pada awal fiscal year, para counselee harus membuat goal plan yang nantinya akan didiskusikan dan direview oleh counselor. Jadi di EY ada semacam counseling gitu. Biasanya yang menjadi counselor adalah para manajer. Untuk pembagiannya saya tidak tahu karena itu dari HRD yang menentukan. Yang menjadi pembeda EY dari perusahaan lain adalah adanya review pada pertengahan tahun dan akhir tahun. Pada mid-year review, saya harus mengisi self-assessment selama setengah tahun menjalankan engagement di EY. Selain itu saya harus mengumpulkan beberapa feedback dari beberapa sumber yaitu rekan-rekan kerja yang masih satu engagement maupun dari level manajer ke atas. Ada jumlah feedback minimal yang harus dipenuhi. Pada mid-year review ini biasanya counselor akan membahas performance kita selama setengah tahun di EY dan pengembangan diri untuk ke depan. 

Pada final-year review, prosesnya sama dengan mid-year review namun dengan adanya tambahan proses evaluasi tentunya. Ketika saya sudah menyelesaikan self-assessment terhadap pencapaian selama satu tahun, nantinya manajer saya akan menghadapi round table dimana pada saat itu manajer berusaha mempertahankan kita di hadapan review committee. Saya sendiri tidak tahu komite review berasal dari mana saja. Asumsi saya sih mungkin level senior manajer dan partner :D Inti dari round table ini adalah menetukan berapa rating performace kita (1-5) dan menentukan apakah kita layak untuk dipromote naik satu rank (misalnya dari senior 1 ke senior 2). Untuk mendapatkan promote, minimal rating kita harus 3. Jika rating kita 5 tidak menutup kemungkinan mendapatkan double promote alias naik dua tingkat (misalnya dari senor 1 langsung ke senior 3).

Jadi kurang lebihnya seperti itu gambaran bagaimana bekerja di EY. Selain dituntut professional di bidang keahlian masing-masing, ktia juga harus memperhatikan hal-hal lain yang cukup penting juga terutama untuk pengembangan karier dan kemampuan kita. Sekian sedikit cerita yang bisa saya share. Jika pembaca adalah orang yang suka tantangan dan ingin merasakan iklim bekerja di perusahaan multinasional dengan standar kualitas pekerjaan yang tinggi, yuk join EY *loh malah promosi*.

Semoga bermanfaat :)

Eryk Budi Pratama, S.Kom, CEH, CHt.

IT Advisory Consultant - Risk Information Security - Ernst&Young (EY)

Tentang Ernst & Young - the "Big 4"

Secara khusus, sebenarnya tulisan ini ditujukan untuk mahasiswa prodi IT/SI dan Akuntansi. Loh kok khusus prodi IT/SI dan Akuntansi doank? Jadi ceritanya ada beberapa pertanyaan dari teman yang berasal dari prodi IT/SI dan Akuntansi. Kurang lebih seperti ini:

Loh kok anak IT bisa masuk EY? Kerjaannya ngapain tuh kan EY perusahaan KAP (Kantor Akuntan Publik)

Di atas adalah pertanyaan dari teman Akuntansi. Nah yang di bawah ini pertanyaan dari teman IT/SI:

EY itu apa ya kak? Kerjaanya ngapain aja?

Itulah 2 pertanyaan yang sering ditanyakan, hehe. Nah pada artikel ini, akan saya coba jawab dan jelaskan.

Sebelumnya, coba pembaca lihat profil EY di wikipedia. Secara umum, EY memiliki empat divisi: Assurance, Tax, Advisory, Transactions. Itu saya urutkan berdasarkan besarnya persentase revenue. Selama ini yang banyak diketahui teman-teman Akuntansi adalah divisi Assurance. Assurance ini memang yang revenuenya paling besar karena memang jumlah projectnya paling banyak dan pasti banyak. Jika pembaca pernah membaca Annual Report perusahaan, nah itu auditornya ya KAP/Accounting Firm khususnya divisi Assurance ini.

Awalnya memang KAP bisnis utamanya di Assurance. Nge-audit keuangan perusahaan lah pokoknya :D Cuma seiring berjalannya waktu dan makin banyak peluang, maka divisinya pun bertambah. Salah satunya adalah divisi Advisory dimana ini adalah service line tempat saya berada. Karena saya lulusan IT, gak mungkin donk masuk ke Assurance. Advisory sendiri terdiri dari dua sub-service line, yaitu Performance Improvement dan Risk. Nah saya berada di sub-service line Risk. Sebelumnya, namanya adalah IT Risk and Assurance. Saat saya masuk sepertinya sudah diubah. Tapi ke depan saya masih pake nama yang sebelumnya aja biar gak bingung, haha.

IT Risk and Assurance terdiri dari beberapa management team. Ada Information Security, IT General Control, Application Control, dan lain-lain. Saya berada di tim Information Security. Jadi secara struktural, saya berada di Advisory-IT Risk and Assurance-Information Security. Spesialisasi utama tim saya adalah di Information Security. Jadi apapun bentuk project terkait IT security, seperti Security Assessment, Vulnerability Assessment, Penetration Testing, IT Security Architecture, Security Operation Center Design, dan beberapa bentuk project yang terkait sudah pasti tim saya yang akan handle.

Kalau lagi gak ada project ngapain aja?

Tenang. Gak ada kata gabut kok, haha. Ada saja yang bisa dikerjakan. Karena setiap konsultan memiliki target jam dalam setahun untuk memenuhi KPI, maka saya harus minta jatah hours ngerjain project lain. Di IT Risk & Assurance, tentunya yang paling banyak projectnya adalah Channel 1. Channel 1 di EY adalah yang mengurusi masalah IT Audit, entah itu aplikasi maupun infrastruktur. Saya sendiri di Channel 2. Karena project-project IT audit ini banyak, jadi saya bisa bantu-bantu channel 1 untuk mengerjakan IT General Control. Selain untuk menambah hours saya, juga membantu pekerjaan channel 1 yang tentunya segudang.

Nah Information Security ini ada di Channel 2. Selain Information Security, yang ada di channel 2 diantaranya adalah project-project yang terkait dengan Business Continuity Planing/Disaster Recovery(BCP/DRP), IT Risk Management, IT Strategy/Masterplan, IT Governance, IT Service Management, dan beberapa yang pokokya non-audit. Saya bersyukur berada di Channel 2 karena bisa belajar macem2 dan tidak monoton. Jadi kalau sedang tidak ada project, selain bantu-bantu channel 1, saya juga membuat proposal-proposal untuk tender terhadap jenis-jenis project yang ada di Channel 2. Lumayan lah walaupun belum lama di EY, saya jadi bisa banyak belajar metode-metode untuk beberapa jenis project.

Selain bantu-bantu ITGC channel 1, bikin proposal, juga mengerjakan hal-hal lain yang mensupport pekerjaan. Seperti misalnya saya pernah diberi tugas membuat kuesioner untuk Security Maturity Domain yang didesain khusus client EY. Kadang saya juga diberi tugas untuk membuat metode-metode yang disesuaikan dengan clientnya. Menarik lah pokoknya. Bener-bener kerasa banget hawa konsultan, haha. Selain mengerjakan hal-hal di atas, saya dan tim rutin mengadakan kegiatan sharing session atau knowledge update setiap sekali seminggu. Jadi masing-masing dari kami membuat materi dan dipresentasikan ke semua anggota tim. Seimbang lah antara kerja dan berbagi pengetahuan :D

Karena banyak informasi yang tidak bisa saya share, maka kurang lebih dari penjelasan singkat di atas semoga pembaca memahami bahwa orang IT bisa masuk ke EY dan perusahaan KAP yang lainnya. Klo di EY namanya IT Risk and Assurance, kalau KAP yang lain saya kurang tahu.

Jenjang Karier
Inilah enaknya kerja di KAP, yaitu jenjang karier jelas. Kalau di EY sendiri setiap tahunnya sudah pasti ada kenaikan/promosi jabatan TAPI tentunya melalui proses performance appraisal yang cukup ketat. Cukup banyak komponen penilaiannya. Karena EY adalah perusahaan besar, maka standarnya pun sangat tinggi. Standar yang tinggi membuat pekerjaan dan hasil pekerjaan para konsultan dan auditornya pun juga berstandar tinggi. Jadi untuk naik tingkat tidak semudah yang dibayangkan. Berikut adalah jenjang karier di EY. Kurang lebihnya seperti ini berdasarkan yang saya tahu. Jika ada perubahan akan saya update.

• Assistant 1
• Assistant 2
• Senior 1
• Senior 2
• Senior 3
• Senior 4 (Asisten Manajer)
• Manager 1
• Manager 2
• Manager 3
• Senior Manager
• Associate Director
• Partner

Saat ini posisi saya ada di Assistant 1. Insya Allah jika memang performance saya tiap tahunnya bagus, kurang lebih 6-7 tahun lagi saya mencapai level Manajer. Target saya adalah maksimal umur 30 untuk menjadi Manajer. Kalau di perusahaan non auditor, tingkatan posisinya tidak sebanyak itu. Tidak menutup kemungkinan jika memang saya betah jadi konsultan, sebelum umur 40 saya bisa mencapai level Partner. Kalau sudah level Partner, sudah saatnya saya merintis perusahaan IT Consultant sendiri :D

So.. buat temen-temen khususnya prodi IT/SI dan Akuntansi, sudah paham kan kalau EY dan KAP yang lainnya tidak hanya nge-audit duit perusahaan? Masing-masing punya divisinya sendiri. Buat temen-temen IT/SI, khususnya IT/SI di kampus saya, ayo banyak latihan ya biar skill dan pengalaman bertambah. Saya tunggu kehadiran konsultan-konsultan IT muda lulusan Universitas Bakrie untuk join di EY saat lulus nanti. Di sini banyak yang lulusan kampus favorit dan luar negri. Jadi buat yang suka tantangan, suka pekerjaan dengan kualitas tinggi, dan suka hal-hal yang nggreget, Let's join EY.

Semoga bermanfaat :)


Salam,

Eryk Budi Pratama, S.Kom, CEH, CHt.

IT Advisory Consultant - Risk Information Security, Ernst&Young Indonesia

Minggu Pertama di Ernst&Young Indonesia (EYI)

Alhamdulillah.. Segala puji dan rasa syukur saya ucapkan kepada Allah SWT atas segala hal yang telah diberikan kepada saya, salah satunya adalah dengan memberikan kesempatan kepada saya untuk menjadi keluarga besar Ernst&Young Indonesia (EY Indonesia) dimana ini adalah starting point yang baik untuk meniti karier saya sebagai konsultan IT, sesuai yang saya rencanakan ketika pertama kali masuk kuliah jurusan IT. Terima kasih pula kepada kedua orang tua yang membesarkan saya hingga bias sejauh ini. Semoga dengan berkarier di EY saya bisa membanggakan kedua orang tua dan calon istri saya nanti :D

Sebagian besar orang khususnya yang bidangnya di akuntansi tentu tidak asing dengan istilah "Big 4". Big 4 sendiri mengacu kepada empat perusahaan akuntan publik terbesar, EY adalah salah satunya. Walaupun EY adalah awalnya adalah accounting firm, namun service line yang diberikan tidak hanya masalah audit keuangan. Promosi dikit ya :p EY sendiri punya beberapa service line yaitu Assurance (nah audit keuangan ada di sini), Advisory, Tax, TAS. Untuk detilnya bisa dilihat di sini ya :p

Oke cukup promosinya, haha. Saya sendiri ditempatkan di service line Advisory. Saya berada di dalam grup IT Risk and Assurance (ITRA) dengan spesialisasi utama di tim Information Security. Kebayang kan kerjaan utamanya ngapain? :p Di ITRA sendiri ada banyak layanan yang bisa diberikan kepada client, termasuk salah satunya Information Security. Jadi nanti saya tidak seterusnya hanya mengerjakan proyek information security. Bisa saja nanti saya dikasi proyek bidang lain yang masih dalam satu channel. Detilnya tidak bisa saya berikan ya karena baru seminggu di sini jadi belum tahu banyak jenis proyeknya apa saja :D

Selama seminggu ini saya sudah diikutkan dalam proyek di salah satu bank. Jadi dalam minggu pertama ini sudah langsung merasakan ngelembur ampe malam. Beruntung ada rekan yang bawa mobil sehingga bisa nebeng walaupun sampai kokas doank. Karena saya masuk saat proyek udah jalan, jadi saya kebagian jatah ikut penetration testing sama yang lebih senior. Penetration testing (pentest) secara singkat adalah aktivitas untuk menembus keamanan komputer yang telah diketahui kelemahannya. Lumayan deg-degan sih soalnya baru pertama kali ini nge-pentest server production dimana di situ tentunya ada database server, middleware, dan aplikasi core banking. Karena urusannya ama duit nasabah, jadi gak bisa sembarangan nge-pentest sistemnya :D biasanya nge-pentest server mainan, sekarang bakal nge-pentest server production yang tentunya kritikal :)

So far tidak ada masalah. Kegiatan utama selain ikut proyek pentest, saya juga membantu senior membuat security domain maturity. Jadi EY punya standar maturity (tingkat kematangan) untuk information security. Nah tugas saya sama senior saya adalah membuat proses assessment security domain maturity ini menjadi lebih mudah karena ke depan security domain maturity ini akan digunakan untuk mengukur tingkat kematangan client terhadap information security sehingga jika telah diketahui tingkat kematangannya akan lebih mudah untuk mengidentifikasi gap dan memberikan future action plan agar keamanan informasi client menjadi lebih baik, cost-efficient, dan align dengan bisnisnya :)

Oia... ada hal menarik di tim information security ini. Setiap Jumat pagi kami melakukan sharing session. Jadi setiap anggota tim diberi waktu 10-15 menit untuk presentasi tentang apapun yang ingin dishare, terutama yang masih berhubungan dengan kerjaan. Kegiatan ini tentunya bermanfaat untuk proses knowledge transfer. Lumayan lah hari ini saya dapat wawasan baru terkait cyber security improvement, penggunaan SQLMap, scripting scan nmap, dan IT-IL. Saya sendiri sharing tentang BGP Hijacking.

Kembali ke awal masuk. Jadi hari pertama tentunya ada perkenalan dari HR. Banyak lah mulai dari tentang perusahaan, karyawan, pekerjaan, jejang karier, dll. Setelah pejelasan dari HR, saya langsung ambil laptop dan foto. Setelah udah dapet laptop, langsung ngerjain online training. Lumayan banyak online trainingnya, hehe. Untungnya yang mandatory hanya beberapa. Setelah mengerjakan beberapa online training, saya diantar ke manajer. Oleh manajer dibantu dengan mas Erick, saya diperkenalkan ke beberapa karyawan di ITRA. Nah loh ada yang namanya sama seperti saya, satu tim di information security pula :v :v  Setelah itu besoknya langsung deh mulai persiapan pentest. Bikin attack plan dan sebagainya.

Alhamdulillah minggu pertama kerja sangat berkesan. Rekan-rekan kantor juga asik dan cepat akrab. Semoga saya betah dan bisa bertahan lama di EY :)


Salam,
Eryk Budi Pratama, S.Kom, CEH, CHt.
Advisory Services (Assistant) - IT Risk and Assurance, Ernst&Young Indonesia