Upload
syaqiraqueensha
View
3.405
Download
3
Embed Size (px)
Citation preview
NAMA KELOMPOK 4 : KELAS III-B
Yuliani (021109067)Zeldy Diwanto (021109045)Firman Supriyat (0211090)
Asep Septriyanto Ribowo (021109055)
TUJUAN BELAJAR Memahami kebutuhan organisasi akan
keamanan dan pengendalian Memahami bahwa keamanan informasi
berkaitan dengan keamanan semua sumber daya informasi, bukan hanya peranti keras dan
data. Memahami 3 tujuan utama keamanan informasi
Memahami bahwa menejemen keamanan informasi terdiri atas 2 area: manajemen
keamanan informasi (ISM) dan manajemen keberlangsungan bisnis (BCM)
Melihat hubungan yang logis antara ancaman, risiko, dan pengendalian.
Memahami apa saja ancaman keamanan yang utama
Memahami apa saja risiko keamanan yang utama
Mengenali berbagai kekhawatiran keamanan e-commer dan bagaimana perudahaan-
perusahaan kartu kredit mengatasinya Mengenali cara formal melakukan manajemen
risiko
Mengetahui proses implementasi kebijakan keamanan informasi
Mengenali cara-cara pengendalian keamanan yan populer
Mengetahui tindakan-tindakan pemerintah dan kalangan industri yang memengaruhi keamanan
informasi Mengetahui cara mendapatkan sertifikasi profesional
dalam keamanan dan pengendalian Mengetahui jenis-jenis rencana yang termasuk dalam
perencanann kontinjensi
Keamanan Informasi
• Kemanan Informasi Di gunakan untuk mendeskripsikan perlindungan baik peralatan komputer maupun non komputer, fasilitas, data, dan informasi dari penyalahgunaan pihak-lpihak yang tidak berwenang.
• Tujuan keamanan informasi - Kerahasiaan
perusahaan berusaha untuk melindungi data dan informasinya dari pengungkapan kepada orang-orang yang tidak berwenang
contohnya: piutang dagang, pembeian, dan utang dagang.
- Ketersediaan adalah menyediakan data dan informasi
sedia bagi pihak-pihak yang memiliki wewenang untuk menggunakannya contohnya: sistem informasi sumber daya manusia dan sistem informasi eksekutif
- Integritas semua sistem informasi harus memberikan
representasi akurat atas sistem fisik yang di representasikannya.
• keamanan informasiAktifitas untuk menjaga agar sumber daya informasi tetap aman. sedangkan, aktifitas untuk menjaga agar perusahaan dan sumber daya inflormasinya tetap berfungsi setelah adanya bencana di sebut manajemen keberlangsungan bisnis.
Manajemen Keamanan Informasi • Manajemen Informasi terdiri dari 4 tahap :
1. Mengidentifikasi ancaman yang dapat menyerang sumber daya informasi perusahaan 2. Mendefinisikan resiko yang dapat di sebabkan oleh ancaman-ancaman tersebut. 3. Menentukan kebijakan keamanan dan informasi. 4. Mengimplementasikan pengendalian untuk mengatasi resiko-resiko tersebut.
• Manajemen Risiko (risk manajemen) di buat untuk menggambarkan pendekatan ini dimana tingkat keamanan sumber daya informasi perusahaan di bandingkan dengan risiko yang di hadapinya.
• Tolok ukur keamanan informasi adalah tingkat keamanan yang disarankan yang dalam keadaan normal harus menawarkan perlindungan yang cukup terhadap gangguan yang tidak terotorisasi.
A Manajemen Risiko
B kepatuhan terhadap tolok ukur
Tolok Ukur
Menentukan kebijakan Keamanan informasi
Mengimplementasikan Pengendalian
Ancaman (information security threat)
• Ancaman keamanan informasi Adalah orang, organisasi, mekanisme, atau peristiwa yang memiliki potensi untuk membahayakan sumberdaya informasi perusahaan.
• Ancaman Internal dan Eksternal Ancaman internal mencakup bukan hanya karyawan perusahaan, tetapi juga pekerja temporer, konsultan, kontraktor, dan bahkan mitra bisnis perusahaan tersebut.
sedangkan, Ancaman eksternal adalah ancaman yang di luar perusahaan yang tidak ada hubungannya dengan internal seperti perusahaan lain yang sama produk dengan perusahaan kita atau bisa juga disebut pesaing dalam usaha.
Jenis Ancaman Virus
Virus hanyalah salah satu contoh jenis peranti lunak yang menyandanng nama peranti lunak yang berbahaya (malicios software). Malicios dan malware, terdiri atas program-program lengkap atau segmen-segmen kode yang dapat menyerang suatu sistem dan melakukan fungsi-fungsi yang tidak di harapkan oleh pemilik sistem. Fungsi-fungsi tersebut dapat menghapus file atau menyebabkan sistem tersebut berhenti. Beberapa jenis peranti lunak uang berbahaya selain virus: worm, trojan horse, adware, dan spyware .
Risiko • Risiko keamanan informasi
di definisikan sebagai potensi output yang tidak di harapkan dari pelanggaran keamanan informasi oleh ancaman keamanan informasi. Risiko-risiko seperti ini di bagi menjadi 4 jenis, yaitu : 1. pengungkapan informasi yang tidak terotoritas dan pencurian. 2. penggunaan yang tidak terotorisasi
3. penghancuran yang tidak terotorisasi dan penolakan pelayanan
4. modifikasi yang tidak terotorisasi.
Persoalan E-commerce
E-commerce (perdagangan elektronik) telahMemperkenalkan keamanan baru. Masalah ini bukanlah perlindungan data, informasi,dan peranti lunak, tapi perlindungan dari pemalsuan kartu kredit.Menurut sebuah survei yang di lakukan oleh
gartner group, pemalsuan kartu kredit 12 kali lebih sering terjadi untuk para peritel
e-commerce di bandingkan dengan para pedagang yang berurusan dengan pelanggan mereka secara langsung. Untuk mengatasi masalah ini, perusahaan-perusahaan kartu kredit yang utama telah mengimplementasikan program yang di tujukan secara khusus untuk keamanan kartu kredit e-commerce.
Kartu kredit “sekali pakai”
Pada september 2000, American Express mengumumkan sebuah kartu kredit “sekali pakai”.
Kartu ini bekerja dengan cara : saat pemegang kartu ingin membeli sesuatu secara online, ia akan memperoleh angka yang acak dari situs web perusahaan kartu kredit tersebut. Angka inilah, dan bukannya nomor kartu kredit pelanggan tersebut, yang di berikan
kepada pedagang e-commerce, yang kemudian melaporkannya ke perusahaan kartu kredit untuk pembayaran.
Manajemen Risiko
• Manajemen risiko di identifikasi sebagai satu dari dua strategi untuk mencapai keamanan informasi.
• Pendefinisian risiko terdiri atas empat langkah, yaitu: 1. identifikasi aset-aset bisnis yang harus di lindungi dari risiko. 2. menyadari risikonya.
3. menentukan tingkatan dampak pada perusahaan jika risiko benar-benar terjadi.
4. menganalisis kelemahan perusahaan tersebut.
Tingkat dampak dan kelemahan menentukan pengendalian
Dampak Dampak parah parah
Dampak Dampak signifikan signifikan
Dampak Dampak minor minor
Kelemahan Kelemahan tingkat tinggi tingkat tinggi
Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Harus Harus meningkatkan meningkatkan pengendalian pengendalian
Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Harus Harus meningkatkan meningkatkan pengendalian. pengendalian.
Analisis Analisis kelemahan kelemahan tidak di tidak di butuhkna butuhkna
Kelemahan Kelemahan tingkat tingkat menengah menengah
Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Sebaiknya Sebaiknya meningkat kan meningkat kan pengendslian pengendslian
Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Sebaiknya Sebaiknya meningkat kan meningkat kan pengendalian pengendalian
Analisis Analisis kelemahan kelemahan tidak di tidak di butuhkan butuhkan
Kelemahan Kelemahan tingkat rendah tingkat rendah
Melaksnakan Melaksnakan analisis analisis kelemahan. kelemahan. Menjaga Menjaga pengendalian pengendalian tetap ketat. tetap ketat.
Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Menjaga Menjaga pengendalian pengendalian tetap ketat tetap ketat
Analisis Analisis kelemahan kelemahan tidak di tidak di bbutuhkan bbutuhkan
• Kebijakan keamanan informasi suatu kebijakan keamanan harus di terapkan untuk mengarahkan keseluruhan program. Disini perusahaan menerapkan kebijakan keamanan dengan mengikuti pendekatan lima fase implementasi kebijakan keamanan, yaitu:
1.Fase -1 inisiasi proyek 2.Fase -2 penyusunan kebijakan 3.Fase -3 konsultasi dan persetujuan 4.Fase -4 kesadaran dan edukasi 5.Fase -5 penyebarluasan kebijakan
Kebijakan terpisah dikembangkan untuk 1.Keamanan sistem informasi 2.Pengendalian akses sistem 3.Keamanan personel 4.Keamanan lingkungan dan fisik 5.Keamanan komunikasi data 6.Klasifikasi informasi 7.Perencanaan kelangsungan usaha 8.Akuntabilitas manajemen
Pengendalian • Pengendalian (control)
adalah mekanisme yang di terapkan baik untuk melindungi perusahaan dari risiko atau untuk meminimalkan dampak risiko tersebut pada perusahaan jika risiko tersebut terjadi.
pengendalian di bagi menjadi tiga (3) kategori, yaitu : 1. teknis 2. formal 3. informal
• PENGENDALIAN TEKNIS (technical control)adalah pengendalian yang menjadi satu di dalam sistem dan di buat oleh para penyusun sistem selama masa siklus penyusunan sistem. Biasanya pengendalian keamanan di buat berdasarkan teknologi peranti keras dan lunak. Yang paling populer akan di jelakan sbb:
1. Pengendalian aksesdasar untuk keamanan melawan ancaman yang di lakukan oleh orang-orang yang tidak diotorisasi. pengendalian akses di lakukan melalui proses tiga tahap yang mencakup : 1. Identifikasi pengguna
para pengguna pertama-tama mengidentifikasi diri mereka dengan cara memberikan sesuatu yang mereka ketahui, misalnya kata sandi.
2. Otentikasi pengguna setelah identifikasi awal di lakukan, para
pengguna memverifikasi akses dengan cara memberikan sesuatu yang mereka miliki, seperti smart card atau tanda tertentu atau chip identifikasi. 3. Otorisasi pengguna
setelah pemeriksaan identifikasi dan otentikasi di lalui, seseorang kemudian dapat mendapatkan otorisasi untuk memasuki tingkat atau derajat penggunaan tertentu.
2. Sistem deteksi gangguan mengenali upaya pelanggaran keamanan
sebelum memiliki kesempatan untuk melakukan perusakan. Contohnya : peranti lunak proteksi virus yang terbukti efektif melawan virus yang terkirim melalui e-mail.
3. Firewall pendekatan membangun dinding
pelindung. Yang berfungsi sebagai penyaring dan penghalang yang membatasi aliran data ke dan dari perusahaan tersebut dan internet.
4. Pengendalian kriptografis data dan informasi yang tersimpan dan di
transmisikan dapat di lindungi dari pengungkapan yang tidak terotorisasi dengan kriptografi, yaitu penggunaan kode yang menggunakan proses-proses matemetika.
5. Pengendalian fisik peringatan pertama yang tidak terotorisasi
adalah mengunci pintu ruangan komputer. 6. Meletakkan pengendalian teknis pada
tempatnya
• PENGENDALIAN FORMAL pengendalian formal mencakup
penetuan cara berperilaku, dokumentasi prosedur dan praktik yang di harapkan, dan pengawasan serta pencegahan perilaku yang berbeda dari panduan yang berlaku.
• PENGENDALIAN INFORMAL pengendalian informal mencakup
program-program pelatihan dan edukasi serta pembangunan manajemen.
• Dukungan pemerintah dan Indutri beberapa organisasi pemerintah dan
international telah menentukan standar-standar yang di tujukan untuk menjadi panduan bagi organisasi yang ingin mendapatkan keamanan informasi. Beberapa standar ini membentuk tolok ukur, yang telah di identifikasi sebelumnya sebagai penyedia strategi alternatif untuk manajemen risiko.
• Berikut ini adalah beberapa contohnya : 1. BS7799 milik Inggris
2. BSI IT baseline protection manual3. COBIT4. GASSP (Generally Accepted System Security Principles) 5. ISF Standard of good practice
Standar Indutri
• The centre for internet security (CIS) adalah organisasi nirlaba yang di dedikasikan untuk membantu para pengguna komputer guna membuat sistem mereka lebih aman.
Sertifikasi profesional • Mulai tahun 1960-an, profesi TI mulai
menawarkan program sertifikasi. 3 contoh mengilustrasikan cakupan dari program ini: 1. Asosiasi Audit Sistem dan pengendalian 2. konsorsium sertifikasi keamanan sistem informasi internasional3. Institut SANS
Meletakkan manajemen keamanan informasi pada tempatnya
• Perusahaan harus merencanakan kebijakan manajemen keamanan informasi sebelum menempatkan pengendalian
Manajemen keberlangsungan bisnis • Aktifitas yang di tujukan untuk menentukan
operasional setelah terjadi gangguan sistem informasi.
Recana darurat • Rencana darurat (emergency plan) menyebutkan
cara-cara yang akan menjaga keamanan karyawan jika bencana terjadi. Cara-cara ini mencakup sistem alarm, prosedur evakuasi, dan sistem pemadaman api.
Rencana cadangan • Perusahaan harus mmengatur agar fasilitas
komputer cadangan tersedia seandainya fasilitas yang biasa hnacur dan rusak sehingga tidak dapat di gunakan. Cadangan dapat di peroleh melalui kombinasi rekundasi, keberagaman, & mobilitas.
Rencana catatan penting
• Catatan penting (vital record) perusahaan adalah dokumen kertas, mikroform, dan media penyimpanan optis dan magnetis yang penting untuk meneruskan bisnis perusahaan tersebut. Dan menentukan cara bagaimana catatan penting tersebut harus di lindungi.
Kesimpulan
• Dimasa sekarang banyak perusahaan mencari keamanan sistem informasi yang tidak menghambat ketersediaan informasi bagi pihak-pihak yang mmemiliki otorisasi untuk mendapatkannya. Ppemerintah mencari keamanan sistem yang tidak melanggar hak pribadi perorangan. Hal-hal ini adalah keseimbangan yang sulit untuk di dapat.
Terima Kasih Atas Perhatiannya