BAB 9 KEAMANAN INFORMASI

Nama anggota ; IIE KURNIASIH (021110044) SITI NUR’ AINI(021110002) YULANDA(021110042)

Tujuan belajar setelah mempelajari bab ini diharapkan : 1 Tujuan belajar setelah mempelajari bab ini diharapkan : 1. memahami kebutuhan organisasi akan keamanan dan pengendalian 2. memahami bahwa keamanan informasi berkaitan dengan keamanan semua sumber daya informasi,bukan hanya peranti keras dan data 3. memahami tiga tujuan utama keamanan informasi

4. Memahami bahwa manajemen keamanan informasi terdiri dari 2 area : manajemen keamanan informasi dan manajemen keberlangsungan bisnis 5. melihat hubungan yang logis antara ancaman,risiko,dan pengendalian 6. memahami apa saja ancaman keamanan yang utama 7. memahami apa saja risiko keamanan yang utama 8. memahami berbagai kekhawatiran keamanan e-commerce dan bagaimana perusahaan-perusahaan kartu kredit mengatasinya

8. Mengenali cara formal melakukan manajemen risiko 9 8. Mengenali cara formal melakukan manajemen risiko 9. mengetahui proses implementasi kebijakan keamanan informasi 10. mengenali cara-cara pengendalian keamanan yang populer 11. mengetahui tindakan-tindakan pemerintah dan kalangan industri yang memengaruhi keamanan informasi 12. mengetahui cara mendapatkan sertifikasi profesional dalam keamanan dan pengendalian 13. mengetahui jenis-jenis rencana yang termasuk dalam perencanaan kontinjensi

PENDAHULUAN semua organisasi memiliki kebutuhan untuk menjaga agar sumber daya informasi mereka aman. Kalangan industri telah lama menyadari kebutuhan untuk menjaga kemananan dari para kriminal komputer, dan sekarang pemerintah telah mempertinggi tingkat keamanan sebagai salah satu cara untuk memerangi terorisme. Ketika organisasi-organisasi ini mengimplementasikan pengendalian keamanan versus ketersediaan serta keamanan versus hak pribadi harus diatasi.

KEBUTUHAN ORGANISASI AKAN KEBUTUHAN ORGANISASI AKAN KEAMANAN DAN PENGENDALIAN dalam dunia masa kini, banyak organisasi semakin sadar akan pentingnya menjaga seluruh sumber daya mereka,baik yang bersifat virtual maupun fisik, agar aman dari ancaman baik dalam maupun luar. Sistem komputer yang pertama hanya memiliki sedikit perlindungan keamanan, namun hal ini berubah saat perang vietnam ketika sejumlah instalasi komputer dirusak oleh para pemrotes

Pemerintah federal amerika serikat sekarang menerapkan pencegahan dan pengendalian yang serupa,melalui otoritas patriot act ( undang-undang patriot ) dan office of homeland security ( dinas keamanan dalam negeri ). Pendekatan-pendekatan yang dimulai oleh kalangan industri dicontoh dan diperluas. Ketika pencegahan federal ini diimplementasikan , dua isu penting harus diatasi. isu yang pertama adalah keamanan versus hak-hak individu. Tantangannya adalah bagaimana mengimplementasikan kemananan yang cukup serta alat-alat pengendalian yang tidak melanggar hak individu yang dijamin oleh konstitusi.

Isu yang kedua adalah keamanan versus ketersediaan Isu yang kedua adalah keamanan versus ketersediaan. Isu ini amat menonjol pada bidang pelayanan medis,di mana kekhawatiran akan privasi catatan medis individu menjadi pusat perhatian. Keamanan catatan medis saat ini sedang diperluas sehingga melibatkan mikrochip yang ditanamkan pada pasien,selain data medis yang disimpan di komputer.

KEAMANAN INFORMASI saat pemerintah dan kalangan industri mulai menyadari kebutuhan untuk mengamankan sumber daya informasi mereka,perhatian nyaris terfokus secara ekslusif pada perlindungan peranti keras dan data

Maka istilah keamanan sistem ( system security ) pun digunakan Maka istilah keamanan sistem ( system security ) pun digunakan. Istilah keamanan informasi ( information security ) digunakan untuk mendeskripsikan perlindungan baik peralatan komputer dan non komputer,fasilitas,data, dan informasi dari penyalahgunaan pihak-pihak yang tidak berwenang.

Tujuan keamanan informasi keamanan informasi ditujukan untuk mencapai tiga tujuan utama, yaitu : 1. kerahasiaan. Perusahaan berusaha melindungi data dan informasinya dari pengungkapan kepada orang-orang yang tidak berwenang 2. ketersediaan. Tujuan dari infrastruktur informasi perusahaan adalah menyediakan data dan informasi sedia bagi pihak-pihak yang memiliki wewenang untuk menggunakannya.

Manajemen keamanan informasi aktivitas untuk menjaga agar sumber daya informasi tetap aman disebut manajemen keamanan informasi. Sedangkan aktivitas untuk menjaga agar perusahaan dan sumber daya informasinya tetap berfungsi setelah adanya bencana disebut manajemen keberlangsungan bisnis.

CIO adalah orang yang untuk memikul tanggung jawab atas keamanan informasi,namun kebanyakan organisasi mulai menunjuk orang-orang tertentu yang dapat mencurahkan perhatian penuh terhadap aktivitas ini. Jabatan direktur keamanan sistem informasi perusahaan (corporate information system security officer-CISSO) digunakan untuk individu di dalam organisasi,biasanya anggota dari unit sistem informasi,yang bertanggung jawab atas keamanan informasi perusahaan tersebut.

MANAJEMEN KEAMANAN INFORMASI pada bentuknya yang paling dasar,manajemen keamanan informasi terdiri atas 4 tahap: mengidentifikasi ancaman yang dapat menyerang sumber daya informasi perusahaan;mendefinisikan risiko yang dapat disebabkan oleh ancaman-ancaman tersebut;menentukan kebijakan keamanan informasi; serta mengimplementasikan pengendalian untuk mengatasi risiko-risiko tersebut. Istilah manajemen risiko dibuat untuk menggambarkan pendekatan inidimana tingkat keamanan sumber daya informasi perusahaan

Figur 9.1 strategi keamanan informasi Mengidentifikasikan ancaman Mendefinisikan risiko Menentukan kebijakan keamanan informasi Mengimplementasikan pengendalian

ANCAMAN ancaman keamanan informasi adalah orang,organisasi,mekanisme,atau peristiwa yang memiliki potensi untuk membahayakan sumber daya informasi perusahaan. Ketika kita membayangkan ancaman keamanan informasi,adalah sesuatu yang alami jika kita membayangkan beberapa kelompok atau beberapa orang di luar perusahaan tersebut yang melakukan tindakan yang disengaja.

Ancaman internal dan eksternal ancaman internal mencakup bukan hanya karyawan perusahaan,tetapi juga pekerja temporer,konsultan,kontraktor,dan bahkan mitra bisnis perusahaan tersebut. Ancaman internal diperkirakan menghasilkan kerusakan yang secara potensi lebih serius jika dibandingkan dengan ancaman eksternal,dikarenakan pengetahuan ancaman internal yang lebih mendalam akan sistem tersebut.

Tindakan kecelakaan dan disengaja tidak semua ancaman merupakan tindakan disengaja yang dilakukan dengan tujuan mencelakai. Beberapa merupakn kecelakaan,yang disebabkan oleh orang-orang di dalam ataupun di luar perusahaan. Sama halnya di mana keamanan informasi harus ditujukan untuk mencegah ancaman yang disengaja,sistem keamanan juga harus mengeliminasi atau mengurangi kemungkinan terjadinya kerusakan yang disebabkan kecelakaan.

JENIS ANCAMAN semua orang pernah mendengar mengenai virus komputer JENIS ANCAMAN semua orang pernah mendengar mengenai virus komputer. Sebenarnya virus hanyalah salah satu contoh jenis peranti lunak yang menyandang nama peranti lunak berbahaya(malicious software). Malicious software, atau malware terdiri atas program-program lengkap atau segmen-segmen kode yang dapat menyerang suatu sistem dan melakukan fungsi-fungsi yang tidak diharapkan oleh pemilik sistem. Fungsi-fungsi tersebut dapat menghapus file atau menyebabkan sistem tersebut berhenti.

Terdapat beberapa jenis peranti lunak yang berbahayaselain virus,terdapat pula worm,trojan,adware, dan spyware.virus adalah program komputer yang dapat mereplikasi dirinya sendiri tanpa dapat diamati oleh si pengguna dan menempelkan salinan dirinya pada program-program dan boot sector lain. Tidak seperti virus , worm(cacing) tidak dapat mereplikasi dirinya sendiri di dalam sistem,tapi dapat menyebarkan salinannya melalui e-mail. Trojan horse ( kuda troya ) tidak dapat mereplikasi ataupun mendistribusikan dirinya sendiri si pengguna menyebarkannya sebagai suatu perangkat.

hardware memunculkan pesan-pesan iklan yang mengganggu,dan spyware mengumpulkan data dari mesin pengguna. Program anti spyware sering kali menyerang cookies,yaitu file teks kecil yang di letakkan perusahaan di hard drive pelanggan untuk mencatat minat belanja pelanggan mereka. Menghapus cookies menggunakan program anti spyware menciptakan

kekhawatiran di kalangan beberapa pemasar kekhawatiran di kalangan beberapa pemasar.solusi yang paling efektif yang memungkinkan adalah menghalangi antispyware untuk menghapus cookies pihak pertama yang di simpan perusahaan untuk pelanggannya,tapi hanya menghapus cookies pihak ketiga yang di letakkan oleh perusahaan lain.

RISIKO risiko keamanan informasi (information security risk ) didefinisikan sebagai potensi output yang tidak di harapkan dari pelanggaran keamanan informasi oleh ancaman keamanan informasi. Semua risiko mewakili tindakan yang terotorisasi. Risiko-risiko seperti ini dibagi menjadi 4 jenis;pengungkapan informasi yang tidak terotorisasi dan pencurian,penggunaan yang tidak terotorisasi,penghancuran yang tidak terotorisasi dan penolakan layanan,serta modifikasi yang tidak terotorisasi.

Pengungkapan Informasi Yang Tidak Terotorisasi dan Pencurian Suatu basis data dan perpustakaan peranti lunak tersedia bagi orang-orang yang seharusnya tidak berhak memiliki akses., hasilnya adalah hilangnya informasi atau uang. Contoh : mata-mata industri dapat memperoleh informasi mengenai kompetisi yang beharga, dan kriminal komputer dapat menyeludupkan dana perusahaan.

Penggunaan yang tidak terotorisasi Penggunaan ini terjadi ketika orang-orang yang biasanya tidak berhak menggunakan sumber daya perusahaan mampu melakukan hal tersebut. Contoh kejahatan komputer yang disebut “Hacker” yang memandang keamanan informasi sebagai suatu tantangan yang harus diatasi. Misalnya Hacker dapat memasuki jaringan komputer sebuah perusahaan, mendapat akses kedalam sistem telepon, dan melakukan sambungan telepon jarak jauh tanpa otorisasi.

Modifikasi yang tidak terotorisasi Perubahan dapat dilakukan pada data,informasi,dan peranti lunak perusahaan.beberapa perubahan dapat berlangsung tanpa disadari dan menyebabkan para pengguna output sistem tersebut mengambil keputusan salah, salah satunya adalah perubahan nilai pada catatan akademis seorang siswa.

PERSOALAN E-COMMERCE E-commerce: (perdagangan ektronik)memperkenalkan suatu permasalahan keamanan baru. Dan menurut sebuah survei yang dilakukan oleh Gartner Group, pemalsuan kartu kredit 12 kali lebih sering terjadi untuk para peritel e-commerce dibandingkan dengan para pedagang yang berurusan dengan pelanggan mereka secara langsung.

Praktik Keamanan yang Diwajibkan oleh Visa Visa mengumumkan 10 praktik terkait keamanan yang diharapkan perusahaan ini. Untuk diikuti oleh paritelnya. Diantaranya yaitu : a .memasang dan memelihara firewall b. memperbarui keamanan c. melakukan enkripsi pada data yang disimpan d. melakukan ekripsi pada data yang dikirimkan e. menggunakan dan memperbaiki peranti lunak antivirus F. membatasi akses data kepada orang-orang yang ingin tahu

g. memberikan ID unik kepada setiap orang yang memiliki kemudahan mengakses data h. memantau akses data dengan ID unik I. Tidak menggunakan kata sandi default yang disediakan oleh vendor

Manajemen Risiko Diidentifikasikan sebagai salah satu dari dua strategi untuk mencapai keamanan informasi. Risiko dapat dikelola dengan mengendalikan atau menghilangkan risiko atau mengurangi dampaknya. Terdiri atas 4 langkah. 1. identifikasi aset bisnis yang harus dilindungi dari risiko 2. menyadari risikonya 3. menentukan tingkatan dampak pada perusahaan jika risiko benar terjadi 4. menganalisis kelemahan perusahaan tersebut

Tingkat keparahan dari dampak parah ini diklasifikasikan untuk membuat perusahaan bankrut atau sangat membatasi kemampuan perusahaan tersebut. Dampak signifikan menyebabkan kerusakan dengan biaya yang signifikan tetapi perusahaan tersebut akan selamat. Dampak minor,kerusakan yang mirip dengan terjadi dalam operasional sehari-hari.

Tingkat Dampak dan Kelemahan Menentukan Pengendalian Dampak parah Dampak signifikan Dampak minor Kelemahan tingkat tinggi Melaksanakan analisis kelemahan.harus meningkatkan pengendalian Melaksanakan analisis kelemahan.harus meningkatkan pengendalian. Analisis kelemahan tidak dibutuhkan Kelemahan tingkat menegah Melaksanakan analisis kelemahan. Sebaiknya meningkatkan pengendalian Melaksananakan analisis kelemahan, sebaiknya meningkatkan pengendalian Kelemahan tingkat rendah Melaksanakan analisis kelemahan, menjaga pengendalian tetap ketat. Analisis kelemahan tidak dibutuhkan.

Kebijakan Keamanan Informasi Mengabaikan apakah perusahaan mengikuti strategi manajemen risiko kepatuhan tolak ukur maupun tidak. Suatu kebijakan yang menerapkan kebijakan keamanannya dengan pendekatan yang bertahap.figur 9.3 mengilustrasikan 5 fase implementasi kebijakan keamanan. Fase 1. inisiasi proyek : tim yang menyusun kebijakan keamanan yang din bentuk dan suatu komite akan mencangkup manajer dari wilayah dimana kebijakan akan diterapkan

Fase 2. penyusunan kebijakan: tim proyek berkonsultasi dengan semua pihak yang berminat & berpengaruh oleh proyek.

Fase 3. Konsultasi & persetujuan : berkonsultasi dengan manjemen untuk memberitaukan temuannya. Serta untuk mendapatkan pandangan mengenai persyaratan kebijakan Fase 4. kesadaran dan edukasi: program pelatihan kesadaran dan edukasi dilaksanakan dalam unit organisasi Fase 5. penyebarluasan kebijakan: disebarluaskan oleh seluruh unit organisasi dimana kebijakan dapat diterapkan.

Figur 9.3 {penyusunan kebijakan keamanan} Tim proyek Fase 1 Inislasi proyek Penetapan Komite pengawas proyek keamanan Fase 2 Penyusunan kebijakan Pihak yang berminat dan terpengaruh konsultasi Fase 3 konsultasi dan persetujuan manajemen konsultasi Pelatihan kesadaran & edukasi kebijakan Fase 4 Kesadaran dan pendidikan Unit organisasi Fase 5 Penyebarluasan kebijakan Kebijakan keamanan Unit organisasi

pengendalian Pengendalian(control) mekanisme yang diterapkan baik untuk melindungi perusahaan dari risiko atau meminimalkan dampak risiko pada perusahaan jika risiko tersebut terjadi.pengendalian dibagi menjadi tiga kategori yaitu : Teknis Formal Dan Informal

PENGENDALIAN TEKHNIS(tehnical control) pengendalian yang menjadi satu di dalam sistem dan dibuat oleh penyusun sistem selama masa siklus penyusunan sistem.

Sistem Deteksi Gangguan Logika dasar dari sistem deteksi gangguan adalah mengenali upaya pelanggaran keamanan sebelum memiliki kesempatan untuk melakukan perusakan. Salah satu contoh yang baik adalah “peranti lunak proteksi virus” yang terbukti efektif elewan virus yang terkirim melalui e-mail.

firewall Berfungsi sebagai penyaring dan penghalang yang membatasi aliran data ke perusahaan tersebut dan internet. Dibuatnya suatu pengaman terpisah untuk untuk masing-masing komputer. Tiga jenis firewall adalah penyaring paket, tingkat sirkuit, dan tingkat aplikasi.

Pengendalian Kriptografis Data dan informasi yang tersimpan dan ditranmisikan dapat dilindungi dari pengungkapan yang tidak terotorisasi dengan kriptografi yaitu penggunaan kode yang menggunakan proses matematika. Popularitas kriptografi semakin meningkat karena e-commerce dan produk ditunjukan untuk meningkatkan keamanan e-commerence

PENGENDALIAN FORMAL mencangkup penentuan cara berperilaku, dokumentasi prosedur, dan praktik yang diharapkan. Pengendalian ini bersifat formal, karena manjemen menghabiskan bayak waktu untuk menyusunnya, mendokumentasikan dalam bentuk tulisan dan diharapkan untuk berlaku dalam jangka panjang.

Pengendalian Informal Mencangkup program-program pelatihan dan edukasi serta program pembangunan manajemen. Pengendalian ini berkaitan untuk menjaga agar para karyawan perusahaan memahami serta mendukung program keamanan tersebut.

Meletakan manajemen keberlangsungan bisnis pada tempatnya manajemen keberlangsungan bisnis merupakan salah satu bidang penggunaan komputer dimana kita dapat melihat perkembangan besar. Tersedia pula rencana dalam paket sehingga perusahaan dapat mengadaptasi ke dalam kebutuhan khususnya. Sistem komputer TAMP memasarkan sistem pemulihan bencana yang mencangkup sistem manajemen basis data, intruksi, dan perangkat yang dapat digunakan untuk mempersiapkan rencana pemulihan.

Sekian Presentasi Bab 9 Terimakasih dan Wasalamualaikum.WR.WB