PENGAMANAN SISTEM PERTEMUAN - 6

Strategi Keamanan

Strategi Keamanan Sistem Informasi Elemen Kunci Kebijakan Keamanan EC-Council melihat ada 7 (tujuh) elemen kunci yang harus diperhatikan dalam menyusun kebijakan keamanan, masing-masing adalah: Komunikasi yang jelas mengenai arti dan pentingnya sebuah kebijakan keamanan untuk disusun dan ditaati oleh seluruh pemangku kepentingan perusahaan; Definisi yang jelas dan ringkas mengenai aset informasi apa saja yang harus diprioritaskan untuk dilindungi dan dikelola dengan sebaik-baiknya; Penentuan ruang lingkup pemberlakukan kebijakan yang dimaksud dalam teritori kewenangan yang ada;

Jaminan adanya sanksi, perlindungan, dan penegakan hukum terhadap para pelaku yang terkait dengan manajemen informasi sesuai dengan peraturan dan undang-undang yang berlaku; Adanya pembagian tugas dan tanggung jawab yang jelas terhadap personel atau SDM yang diberikan tugas untuk melakukan kegiatan pengamanan informasi; Penyusunan dokumen atau referensi panduan bagi seluruh pemangku kepentingan dan pelaku manajemen keamanan informasi untuk menjamin penerapan yang efektif;

Partisipasi aktif dan intensif dari manajemen atau pimpinan puncak organisasi untuk mensosialisasikan dan mengawasi implementasi kebijakan dimaksud. Peranan dan Tujuan Keberadaan Kebijakan Keamanan Secara prinsip paling tidak ada 2 (dua) peranan penting dari sebuah dokumen kebijakan keamanan, yaitu: Untuk mendefinisikan dan memetakan secara detail aset-aset informasi apa saja yang harus dilindungi dan dikelola dengan baik keamanannya; Untuk mereduksi atau mengurangi resiko yang dapat ditimbulkan karena: Adanya penyalahgunaan sumber daya atau fasilitas perusahaan yang terkait dengan manajemen pengelolaan data dan informasi;

Adanya insiden yang menyebabkan hilangnya data penting, tersebarnya informasi rahasia, dan pelanggaran terhadap hak cipta (HAKI); Adanya pelanggaran terhadap hak akses pengguna informasi tertentu sesuai dengan hak dan wewenangnya.

Klasifikasi Jenis Kebijakan Keamanan Dilihat dari segi peruntukkan dan kontennya, dokumen kebijakan keamanan dapat dikategorisasikan menjadi beberapa jenis, yaitu: User Policy Berisi berbagai kebijakan yang harus dipatuhi oleh seluruh pengguna komputer dan sistem informasi organisasi, terutama menyangkut masalah hak akses, proteksi keamanan, tanggung jawab pengelolaan aset teknologi, dan lain sebagainya;

IT Policy Diperuntukkan secara khusus bagi mereka yang bekerja di departemen atau divisi teknologi informasi untuk memastikan adanya dukungan penuh terhadap pelaksanaan tata kelola keamanan informasi, seperti: mekanisme back-up, tata cara konfigurasi teknologi, dukungan terhadap pengguna, manajemen help desk, penanganan insiden, dan lain sebagainya;

General Policy membahas masalah-masalah umum yang menjadi tanggung jawab bersama seluruh pemangku kepentingan organisasi, misalnya dalam hal mengelola keamanan informasi pada saat terjadi: manajemen krisis, serangan penjahat cyber, bencana alam, kerusakan sistem, dan lain sebagainya;

Contoh Model Kebijakan Keamanan Dipandang dari segi prinsip, paradigma, dan pendekatan dalam menyusun strategi keamanan, dokumen kebijakan yang disusun dapat dikategorikan menjadi sejumlah model, antara lain: Primiscuous Policy Merupakan kebijakan untuk tidak memberikan restriksi apa pun kepada para pengguna dalam memanfaatkan internet atau sistem informasi yang ada. Kebebasan yang mutlak ini biasanya sering diterapkan oleh organisasi semacam media atau pers, konsultan, firma hukum, dan lain sebagainya – yang menerapkan prinsip-prinsip kebebasan dalam berkarya dan berinovasi.

Permissive Policy Pada intinya kebijakan ini juga memberikan keleluasaan kepada pengguna untuk memanfaatkan sistem informasi sebebas-bebasnya tanpa kendali, namun setelah dilakukan sejumlah aktivitas kontrol, seperti: (i) menutup lubang-lubang kerawanan dalam sistem dimaksud; (ii) menonaktifkan port atau antar muka input-output yang tidak dipergunakan; (iii) mengkonfigurasian server dan firewalls sedemikian rupa sehingga tidak dimungkinkan adanya akses dari eksternal organisasi ke dalam; dan lain sebagainya.

Prudent Policy Kebalikan dengan dua model kebijakan sebelumnya, jenis ini organisasi benar-benar menggunakan prinsip kehati-haian dalam mengelola keamanan informasinya. Dalam lingkungan ini, hampir seluruh sumber daya informasi “dikunci” dan “diamankan”. Untuk menggunakannya, setiap user harus melalui sejumlah aktivitas pengamanan terlebih dahulu. Prinsip ekstra hati-hati ini biasanya cocok untuk diterapkan pada organisasi semacam instalasi militer, bursa efek, perusahaan antariksa, dan lain sebagainya.

Isu Kerahasiaan Data Ada beberapa isu-isu yang terkait dengan keamanan dan kerahasiaan sistem komputer, jaringan komputer dan internet menurut International Telecomunication Uion-Telecomunication Standarization Sector (ITU-T) yang merekomendasikan X.800, yaitu sebuah arsitektur keamanan OSI yang dituangkan secara jelas pada RFC 2828. Adapun kategori-kategori yang diatur dalam layanan keamanan X.800 adalah : authentication, Access Control Data Confidentiality, Data Integrity, Nonrepudiation dan Avaiability Services

Privacy Ketika sebuah pesan atau informasi dirasa sensitif atau nilai informasi itu tinggi, informasi tersebut sifatnya rahasia dan perlu mendapatkan perlindungan. Sejak internet berkembang secara pesat, lalul intas pengiriman data dan informasi yang melewatinya sangat tinggi. Data-data yang kita kirim seperti data pribadi di alamat-alamat website tertentu dapat disalah gunakan oleh user yang tidak bertanggung jawab. Informasi tersebut dapat saja disalahgunakan untuk penawaran produk tertentu, belum lagi serbuan software spyware yang biasanya terdapat pada software gratisan.

Spyware akan memata-matai semua kegiatan kita di internet dan mencatat semua data pribadi kita. Dengan kondisi itu, pelanggaran privasi atas data pribadi sangat mudah terjadi, terutama diluar pengetahuan dan persetujuan objek data.

Integrity Integritas data diperlukan untuk menjamin bahwa data yang dikirim harus benar-benar data asli yang dikirim oleh orang atau user yang benar-benar mengirimkannya. Selain itu integritas harus bisa memberikan jaminan untuk tiap bagian bahwa pesan tidak akan mengalami perubahan dari saat dibuat sampai saat dibuka. Untuk keperluan menjaga agar data yang dikirimkan utuh dan asli seperti apa adanya, banyak yang menggunakan model enkripsi

Authenticity Isu utama dalam keamanan adalah kasalian, pembuktian pesan, file, dokumen atau kumpulan data lainnya yang dikatakan autentik dan berasal dari sumber yang terpercaya atau resmi. Non-Repudiation Hal ini berkaitan dengan penyangkalan apa yang telah dilakukan oleh seseorang yang telah melakukan sesuatu namun tidak dapat dibuktikan atau menyangkal telah melakukan transaksi.

Model Enkripsi Sejarah Singkat Enkripsi Jaman dahulu orang Yunani menggunakan tool yang disebut Scytale untuk membantu mengenkripsi pesan yang akan mereka kirimkan. Metode ini lebih cepat dibandingkan dengan menggunakan. Mereka akan membungkus silinder dengan kertas, menulis pesan dan mengirimkannya. Metode enkripsi ini sangat mudah dipecahkan, tidak mengherankan karena ini adalah enkripsi pertama di dunia yang digunakan di dunia nyata.

Julius Caesar menggunakan metode yang agak mirip dengan ini, menggeser setiap huruf alfabet ke kanan atau ke kiri berdasarkan angka dan posisi. Tekni enkripsi ini disebut juga Caesar cipher. Sebagai contoh kamu bisa melihat cipher di bawah ini, ketika ingin menuliskan UNSURYA maka dituliskan XQVXUBD. Plain: A B C D E F G H I J K L M N O P Q R S T U V W X Y Z Cipher: D E F G H I J K L M N O P Q R S T U V W X Y Z A B C

Hanya para penerima pesan memiliki cipher akan tahu maksut pesan tersebut, akan sulit orang berikutnya untuk memecahkan kode pesan. Contoh cipher enkripsi sederhana lainnya adalah Polybius square menggunakan cipher polyalphabetic yang alfabetnya tertulis di setiap sisi angka. Dengan menggunakan metode engkripsi di atas, kalau kamu ingin menuliskan UNSURYA, berarti enrkipsinya adalah 35 52 44 35 14 55 11.

Sejarah Enkripsi di Era Modern Hari ini orang orang tidak memiliki metode enkripsi yang baik untuk mengamankan komunikasi di dunia elektronik. Lucifer adalah nama yang diberikan beberapa orang block cipher saat awal-awal, dikembangkan oleh Horst Feistel bersama teman-temannya di IBM. Data Encryption Standard (DES) adalah sebuah block cipher (bentuk dari enkripsi rahasia yang dibagikan) dipilih oleh National Bureau of Standards sebagai Federal Information Processing Standard (FIPS) di Amerika pada tahun 1976 yang kemudian digunakan secara luas dan mendunia.

Algoritma enkripsi Rijndael digunakan oleh pemerintahan Amerika sebagai standar enkripsi sysmmetric-key, atau Advanced Encryption Standard (AES). AES diumumkan secara resmi oleh National Institute of Standards and Technology (NIST) sebagai U.S. FIPS PUB 197 (FIPS 197) pada 26 November 2001, setelah 5 tahun proses standarisasi dimana ada 15 desain block cipher bersaing untuk terpilih menjadi algoritma enkripsi yang cocok.

Jenis-Jenis Enkripsi di Era Modern Semua algoritma enkripsi yang sudah kita bahas tadi sebagian besar menggunakan dua jenis enkripsi, yaitu: Algoritma Symmetric key menggunakan kunci enkripsi yang terkait atau identik untuk enkripsi dan dekripsi. Algoritma Asymmetric key menggunakan kunci berbeda untuk enkripsi dan dekripsi. Biasanya ini disebut sebagai Public-key Cryptography.

Algoritma Symmetric key

Algoritma Asymmetric key

Aplikasi Protokol Cryptografi Pengertian Protokol Cryptografi kriptografi atau dalam bahasa Inggris "Cryptography“ adalah ilmu dan seni (art and science) yang dapat menyembunyikan tulisan terang (plaintext) menjadi tulisan sandi (ciphertext) dengan formula atau algoritma tertentu dan biasanya menggunakan kunci. Biasanya kriptografi menyediakan service CIA (confidensial, Integrity, Authentication). Dengan kata lain, Kriptografi adalah : suatu protokol yang didalamnya ada unsur kriptografi, menggunakan beberapa algoritma kriptografi dan untuk memenuhi CIA.

Macam-Macam Kriptografi DATA ENCYPTION STANDART Data Encryption Standard (DES) adalah sebelumnya dominan algoritma untuk enkripsi data elektronik. Ini sangat berpengaruh dalam kemajuan modern kriptografi di dunia akademis. Dikembangkan pada awal tahun 1970 di IBM dan didasarkan pada desain sebelumnya oleh Horst Feistel, algoritma telah disampaikan kepada National Bureau Standard (NBS) mengikuti undangan badan untuk mengusulkan calon untuk perlindungan sensitif, unclassified data pemerintah elektronik.

ADVANCE ENCRYPTION STANDART Advance Encryption Standard (AES) merupakan pengganti dari DES setelah DES ditarik sebagai standar oleh Institut Nasional Standar dan Teknologi. AES adalah sebuah spesifikasi untuk enkripsi data elektronik yang ditetapkan oleh US National Institute of Standard an Technology (NIST) pada tahun 2001. AES termasuk dalam standar ISO / IEC 18033-3. AES tersedia dalam berbagai paket enkripsi yang berbeda, dan merupakan yang pertama diakses publik dan terbuka cippher disetujui oleh National Security Agency (NSA) untuk rahasia informasi bila digunakan dalam NSA disetujui modul kriptografi.

DIGITAL SERTIFICATE SERVER Digital Certificate Server adalah file yang terproteksi password yang berisi berbagai macam info berita: nama dan alamat email pemegang sertifikat, kunci enkripsi yang dapat digunakan untuk memverifikasi tanda tangan digital pemegang, nama perusahaan yang mengeluarkan sertifikat, dan periode validitas sertifikat. Digital Certificate Server melakukan verifikasi untuk digital signature, autentikasi user, menggunakan public dan private key, contoh : Netscape Certificate Server.

Sekian Terima Kasih