View
18
Download
3
Category
Preview:
Citation preview
BAB I
PENDAHULUAN
A. Latar Belakang
Semua organisasi memiliki kebutuhan untuk menjaga agar sumber daya informasi
mereka aman. Kalangan industri telah lama menyadari kebutuhan untuk menjaga keamanan dari
pada criminal computer, dan sekarang pemerintah telah mempertinggi tingkat keamanan sebagai
salah satu cara untuk memerangi terorisme. Ketika organisasi – organisasi ini
mengimplementasikan pengendalian keamanan, isu – isu utama mengenai keamanan versus
ketersediaan secara keamanan versus hak pribadi harus dibatasi.
Keamana informasi ditujukan untuk mendapatkan kerahasiaan, ketersediaan, serta
integritas pada semua sumber daya informasi perusahaan bukan hanya peranti keras dan daya.
Manajemen keamanan informasi terdiri atas perlindungan harian, yang disebut manajemen
keamanan informasi dan persiapan – persiapan operasional setelah suatu bencana, yang disebut
dengan manajemen keberlangsungan bisnis (business continuity management – BCM).
Dua pendekatan dapat dilakukan untuk menyusun strategi – strategi ISM : manajemen
resiko dan kepatuhan tolak ukur. Perhatian akan ancaman dan resiko berhubungan dengan
pendekatan managemen risiko. Ancaman dapat bersifat internal atau eksternal, tidak disengaja
atau disengaja. Risiko dapat mencakup insiden pengungkapan, penggunaan dan modifikasi yang
tidak diotorisasi serta pencurian, penghancuran dan penolakan layanan. Ancaman yang paling
ditakuti adalah virus computer. E – commerce telah menghasilkan risiko tertentu, namun
beberapa respons khusus telah dilakukan oleh organisasi seperti American Epress dan Visa.
Ada tiga jenis pengendalian yang tersedia. Pengendalian teknis terdiri atas pembatasan
akses, firewall, kriptografi, dan pengendalian fisik. Pengendalian formal bersifat tertulis dan
memiliki harapan hidup jangka panjang. Pengendalian informal ditujukan untuk menjaga agar
para karyawan perusahaan memahami dan mendukung kebijakan – kebijakan keamanan.
1
Banyak cara untuk mengamankan informasi tersebut, yang paling konyol adalah
komputer tesebut dikunci dalam sebuah ruangan dan tidak dihubungkan kemana-mana. Ini sama
saja dengan memenjarakan informasi tersebut, tidak dapat dipertukarkan dan tidak menjadi
pintar untuk mengikuti perkembangan yang ada.
Sistem keamanan informasi dibuat aman sedemikian rupa, tetapi tidak menutup
kemungkinan keamanan sistem tersebut dijebol oleh para penyusup, karena mahal dan
pentingnya informasi tersebut bagi perusahaan yang memilikinya, semakin bernilai sebuah
informasi maka akan semakin diburulah informasi tersebut oleh para pedagang informasi di
dunia underground.
B. Rumusan Masalah
Ada beberapa rumusan masalah yang terdapat dalam materi ini yaitu :
- Bagaimana cara memahami kebutuhan organisasi akan keamanan dan
pengendalian.
- Apakah keamanan informasi berkaitan dengan keamanan semua sumber daya
informasi, bukan hanya peranti keras dan daya.
- Bagaimana mengetahui tiga tujuan utama keamanan informasi
- Untuk memahami apa saja risiko keamanan yang utama
- Untuk mengetahui apa saja ancaman keamanan yang utama
- Untuk mengetahui cara formal untuk melakukan manajemen risiko.
C. Tujuan
- Memahami kebutuhan organisasi akan keamanan dan pengendalian.
- Memahami bahwa keamanan informasi berkaitan dengan keamanan semua
sumber daya informasi, bukan hanya peranti keras dan daya.
- Mengetahui tiga tujuan utama keamanan informasi
- Memahami apa saja risiko keamanan yang utama
- Mengetahui apa saja ancaman keamanan yang utama
- Mengetahui cara formal untuk melakukan manajemen risiko
2
BAB II
KEAMANAN INFORMASI
a. Keamanan Informasi
Saat pemerintah dan kalangan industry mulai menyadari kebutuhan untuk keamanan
sumber daya informasi mereka, perhatian nyaris terfokus secara eksklusif pada perlindungan
peranti keras dan daya, maka istilah keamanan informasi (Sistem security) pun digunakan.
Istilah keamanan informasi (information security) digunakan untuk mendeskripsikan
perlindungan baik peralatan computer dan non – computer, fasilitas, data, dan informasi dari
penyalahgunaan pihak – pihak yang tidak berwenang.
b. Tujuan keamanan informasi
Keamanan informasi ditujukan untuk mencapai tiga tujuan utama, yaitu :
- Kerahasiaan: melindungi data dan informasi perusahaan dari penyingkapan
orang –orang yang tidak berhak
- Ketersediaan: meyakinkan bahwa data dan informasi perusahaan hanya dapat
digunakan oleh orang yang berhak menggunakannya.
- Integritas: sistem informasi perlu menyediakan representasi yang akurat dari
sistem fisik yang direpresentasikan
c. Manajemen keamanan informasi
• Istilah corporate information systems security officer (CISSO) telah digunakan untuk
orang yang berada di organisasi yang bertanggung jawab pada sistem keamanan
informasi perusahaan.
• Saat ini ada istilah baru yaitu corporate information assurance officer (CIAO) yang
melaporkan kepada CEO dan mengatur suatu unit jaminan informasi
3
Manajemen keamanan informasi adalah sub bagian dari manajemen keamanan dengan
fokus utama adalah pengamanan informasi. Sedangkan manajemen keamanan komputer dan
keamanan TI lebih menitik-beratkan pada sarana dan prasarana yang digunakan untuk
pengamanan informasi. Walaupun begitu setiap sub bagian manejemen keamanan ini saling
mempengaruhi. Tugas manajemen keamanan informasi adalah merencanakan keamanan
informasi, mengaplikasikannya, memonitor dan melakukan evaluasi.
Pengamanan informasi adalah melindungi informasi dari segala kemungkinan ancaman
terhadap informasi yang akan berpengaruh terhadap kinerja dan prestasi organisasi dengan cara
meminimalisir kerugian yang dapat ditimbulkan serta memaksimalkan keuntungan dari investasi
dan peluang organisasi tersebut.
Dengan menerapkan keamanan informasi, sebuah organisasi dapat menjaga kerahasiaan,
integritas dan ketersediaan informasi secara kontinyu. Integritas informasi disini bermakna
bahwa informasi tersebut tetap utuh dan tidak mengalami perubahan oleh pihak lain yang tidak
berwenang.
Suatu organisasi/instansi perlu mengklasifikasikan informasi yang dihasilkan dan/atau
yang diperoleh untuk mendapatkan perlindungan yang sesuai. Klasifikasi informasi ini
ditentukan sendiri oleh organisasi tersebut dengan memperhatikan resiko dan keuntungan yang
ditimbulkan dari pengolahan informasi tersebut. Umumnya klasifikasi informasi adalah : umum
(bebas), terbatas (dinas) dan rahasia (pribadi).
Ada 3 tehnik melindungi informasi yaitu :
Secara fisik misalnya menyimpan dalam suatu ruangan khusus yang dikunci, dalam
lemari besi dll;
Secara organisasi misalnya menunjuk personil khusus dengan regulasi yang jelas,
melakukan pendidikan dan pelatihan masalah keamanan informasi untuk meningkatkan
kesadaran karyawan tentang pentingnya pengamanan informasi yang baik, dll; dan
Secara logik misalnya dengan menerapkan kriptografi, memasang antivirus dll.
Keamanan informasi sudah seharusnya menjadi perhatian jajaran eksekutif dalam
organisasi. Sebab pengguna utama informasi berklasifikasi terbatas dan rahasia adalah para
4
eksekutif tersebut, yang mana keputusan-keputusan strategis organisasi tergantung dari informasi
yang berada padanya.
Manajemen keamanan informasi (ISM) terdiri dari empat langkah yaitu :
1. Identifikasi threats (ancaman) yang dapat menyerang sumber daya informasi
perusahaan
2. Mendefinisikan resiko dari ancaman yang dapat memaksakan
3. Penetapan kebijakan keamanan informasi
4. Menerapkan controls yang tertuju pada resiko
Gambar 9.1 mengilustrasikan pendekatan manajemen resiko
5
d. Ancaman
Pada dasarnya ancaman datang dari seorang yang mempunyai keinginan memperoleh
akses ilegal ke dalam suatu jaringan komputer. Oleh karena itu harus ditentukan siapa saja yang
diperbolehkan mempunyai akses legal ke dalam sistem dan ancaman-ancaman yang dapat
mereka timbulkan.
Ada beberapa tujuan yang ingin dicapai oleh penyusup dan akan sangat berguna bila
dapat membedakan mereka pada saat merencanakan sistem keamanan jaringan komputer.
Beberapa tujuan para penyusup antara lain:
Pada dasarnya hanya ingin tahu sistem dan data yang ada pada suatu jaringan komputer
yang dijadikan sasaran. Penyusup yang bertujuan seperti ini sering disebut The Curious.
6
Membuat sistem jaringan komputer menjadi down, atau mengubah tampilan situs web
atau hanya ingin membuat organisasi pemilik jaringan komputer sasaran harus
mengeluarkan uang dan waktu untuk memulihkan jaringan komputernya. Penyusup yang
mempunyai tujuan seperti ini sering disebut dengan The Malicious.
Berusaha untuk menggunakan sumber daya di dalam sistem jaringan komputer untuk
memperoleh popularitas. Penyusup jenis ini sering disebut dengan The High-Profile
Intruder.
Ingin tahu data apa yang ada di dalam jaringan komputer sasaran untuk selanjutnya
dimanfaatkan untuk mendapatkan uang. Penyusup jenis ini sering disebut dengan The
Competition.
Ancaman keamanan informasi adalah seseorang, organisasi, mekanisme, atau peristiwa
yang dapat berpotensi menimbulkan kejahatan pada sumber daya informasi perusahaan.
Ancaman dapat berupa internal atau external, disengaja atau tidak disengaja.
Gambar 9.2 memperlihatkan tujuan keamanan informasi dan bagaimana keamanan
informasi diberlakukan terhadap empat jenis resiko:
• Ancaman Internal dan External
• Disengaja dan tidak disengaja
7
Ancaman Yang Paling Terkenal – “VIRUS”
• Sebuah virus adalah sebuah program komputer yang dapat mereplikasi dirinya sendiri
tanpa pengetahuan pengguna.
• Sebuah worm tidak dapat mereplikasi dirinya sendiri tanpa sebuah sistem tapi dapat
memancarkan salinan dengan sendirinya oleh e-mail.
• Sebuah Trojan horse tidak dapat mereplikasi maupun mendstribusikan dirinya sendiri.
Distribusi terpenuhi oleh para pemakai yang mendistribusikannya sebagai utilitas, maka
ketika digunakan menghasilkan sesuatu perubahan yang tidak dikehendaki dalam
kemampuan sistem.
e. Resiko
Resiko adalah suatu kemungkinan di mana penyusup berhasil mengakses komputer di
dalam jaringan yang dilindungi. Apakah penyusup dapat membaca, menulis atau mengeksekusi
8
suatu file yang dapat mengakibatkan kerugian terhadap organisasi pemilik jaringan komputer
tersebut? Apakah penyusup dapat merusak data yang penting? Seberapa besar hal-hal tersebut
dapat mengakibatkan kerugian terhadap pemilik jaringan komputer?
Harus diingat pula bahwa siapa saja yang dapat memperoleh hak akses terhadap suatu
account, maka dia dapat dengan menyamar sebagai pemilik account. Dengan kata lain, dengan
adanya satu account yang tidak aman di dalam suatu jaringan komputer dapat berakibat seluruh
jaringan komputer menjadi tidak aman.
Tindakan tidak sah yang menyebabkan resiko dapat digolongkan ke dalam empat jenis :
1. Pencurian dan Penyingkapan tidak sah
2. Penggunaan Tidak Sah
3. Pembinasaan dan Pengingkaran Layanan yang tidak sah
4. Modifikasi yang tidak sah
f. Pertimbangan E-COMMERCE
E-commerce telah memperkenalkan sebuah keamanan resiko yang baru: penipuan kartu
kredit. Keduanya American Express dan Visa telah mengimplementasikan program yang
mengarahkan secara rinci pada e-commerce.
American Express mengumumkan “penyediaan" angka-angka kartu kredit. Angka ini,
dibandingkan dengan angka kartu kredit pelanggannya, yang ditujukan pada perdagangan eceran
menggunakan e-commerce, yang memilih American Express untuk pembayarannya. Visa telah
mengumumkan sepuluh praktek terkait dengan keamanan yang mereka harap pengecernya untuk
mengikuti lebih dari tiga langkah praktek yang umum dilakukan
9
BAB III
KESIMPULAN
Saat pemerintah dan kalangan industry mulai menyadari kebutuhan untuk keamanan
sumber daya informasi mereka, perhatian nyaris terfokus secara eksklusif pada perlindungan
peranti keras dan daya, maka istilah keamanan informasi (Sistem security) pun digunakan.
Istilah keamanan informasi (information security) digunakan untuk mendeskripsikan
perlindungan baik peralatan computer dan non – computer, fasilitas, data, dan informasi dari
penyalahgunaan pihak – pihak yang tidak berwenang.
Keamanan informasi ditujukan untuk mencapai tiga tujuan utama, yaitu :
- Kerahasiaan: melindungi data dan informasi perusahaan dari penyingkapan
orang –orang yang tidak berhak
- Ketersediaan: meyakinkan bahwa data dan informasi perusahaan hanya dapat
digunakan oleh orang yang berhak menggunakannya.
- Integritas: sistem informasi perlu menyediakan representasi yang akurat dari
sistem fisik yang direpresentasikan
Manajemen keamanan informasi adalah sub bagian dari manajemen keamanan dengan
fokus utama adalah pengamanan informasi. Sedangkan manajemen keamanan komputer dan
keamanan TI lebih menitik-beratkan pada sarana dan prasarana yang digunakan untuk
pengamanan informasi. Walaupun begitu setiap sub bagian manejemen keamanan ini saling
mempengaruhi. Tugas manajemen keamanan informasi adalah merencanakan keamanan
informasi, mengaplikasikannya, memonitor dan melakukan evaluasi.
Pengamanan informasi adalah melindungi informasi dari segala kemungkinan ancaman
terhadap informasi yang akan berpengaruh terhadap kinerja dan prestasi organisasi dengan cara
meminimalisir kerugian yang dapat ditimbulkan serta memaksimalkan keuntungan dari investasi
dan peluang organisasi tersebut.
10
Ada 3 tehnik melindungi informasi yaitu :
Secara fisik misalnya menyimpan dalam suatu ruangan khusus yang dikunci, dalam
lemari besi dll;
Secara organisasi misalnya menunjuk personil khusus dengan regulasi yang jelas,
melakukan pendidikan dan pelatihan masalah keamanan informasi untuk meningkatkan
kesadaran karyawan tentang pentingnya pengamanan informasi yang baik, dll; dan
Secara logik misalnya dengan menerapkan kriptografi, memasang antivirus dll.
Ada beberapa tujuan yang ingin dicapai oleh penyusup dan akan sangat berguna bila
dapat membedakan mereka pada saat merencanakan sistem keamanan jaringan komputer.
Beberapa tujuan para penyusup antara lain:
Pada dasarnya hanya ingin tahu sistem dan data yang ada pada suatu jaringan komputer
yang dijadikan sasaran. Penyusup yang bertujuan seperti ini sering disebut The Curious.
Membuat sistem jaringan komputer menjadi down, atau mengubah tampilan situs web
atau hanya ingin membuat organisasi pemilik jaringan komputer sasaran harus
mengeluarkan uang dan waktu untuk memulihkan jaringan komputernya. Penyusup yang
mempunyai tujuan seperti ini sering disebut dengan The Malicious.
Berusaha untuk menggunakan sumber daya di dalam sistem jaringan komputer untuk
memperoleh popularitas. Penyusup jenis ini sering disebut dengan The High-Profile
Intruder.
Ingin tahu data apa yang ada di dalam jaringan komputer sasaran untuk selanjutnya
dimanfaatkan untuk mendapatkan uang. Penyusup jenis ini sering disebut dengan The
Competition.
Sebuah virus adalah sebuah program komputer yang dapat mereplikasi dirinya sendiri
tanpa pengetahuan pengguna.
Sebuah worm tidak dapat mereplikasi dirinya sendiri tanpa sebuah sistem tapi dapat
memancarkan salinan dengan sendirinya oleh e-mail.
Sebuah Trojan horse tidak dapat mereplikasi maupun mendstribusikan dirinya sendiri.
Distribusi terpenuhi oleh para pemakai yang mendistribusikannya sebagai utilitas, maka
11
ketika digunakan menghasilkan sesuatu perubahan yang tidak dikehendaki dalam
kemampuan sistem.
DAFTAR PUSTAKA
- http://hadiwibowo.wordpress.com/2006/10/03/menejemen-keamanan-informasi/
- http://www.google.co.id/url?
sa=t&source=web&cd=14&ved=0CC8QFjADOAo&url=http%3A%2F
%2Fdharmayanti.staff.gunadarma.ac.id%2FDownloads%2Ffiles
%2F14060%2FKeamanan%2BInformasi.ppt&rct=j&q=keamanan
%20informasi&ei=W8HqTaEyi7iwA8WcyOEN&usg=AFQjCNFC_sv-
8dw1ESlb1k9DwzY9PkcwRA&cad=rja
- http://www.sysneta.com/manajemen-keamanan-informasi
- www.google.co.id
12
Recommended