Nama : Steven
Wu
NPM :
48213647
Kelas : 3DA01
RANGKUMAN
BAB 9
Keamanan
Informasi
Saat pemerintah dan kalangan industri mulai
menyadari kebutuhan untuk mengamankan sumber daya informasi mereka,perhatian
nyaris terfokus secara eksklusif pada perlindungan peranti keras dan data, maka
istilah kemanan sistem (system security) pun digunakan.
Istilah keamanan informasi (information security)
digunakan untuk mendeskripsikan perlindungan baik peralatan komputer maupun non
komputer, fasilitas, data, dan informasi penyalahgunaan pihak-pihak yang tidak
berwenang.
Tujuan
Keamanan Informasi.
Kemananan informasi diajukan untuk mencapai tiga
tujuan utama :
-
Kerahasiaan
-
Ketersediaan
-
Integritas
Manajemen Keamanan Informasi.
Pada bentuknya yang paling dasar ,
manajemen keamanan informasi terdiri atas empat tahap yaitu mengidentifikasi
ancaman yang dapat menyerang sumber daya informasi perusahaan, mendefinisikan
risiko yang dapat disebabkan oleh ancaman-ancaman tersebut, menentukan
kebijakan keamanan informasi, serta mengimplementasikan pengendalian untuk
mengatasi risiko tersebut.
Istilah
manajemen risiko (risk management) dibuat untuk menggambarkan pendekatan ini
dimana tingkat keamanan sumber daya informasi perusahaan dibandingkan dengan
risiko yang dihadapinya.
Terdapat pilihan lain untuk
merumuskan kebijakan keamanan informasi suatu perusahaan. Pilihan ini telah
menjadi populer pada beberapa tahun belakangan ini dengan muncul standar atau
tolak ukur keamanan informasi. Tolak Ukur (benchmark) adalah tingkat kinerja yang
disarankan. Tolak Ukur Keamanan Informasi (information security benchmark)
adalah tingkat keamanan yang disarankan yang dalam keadaan normal harus
menawarkan perlindungan yang cukup terhadap gangguan yang tidak terotorisasi.
Ancaman
Keamanan Informasi (information security threat) adalah orang, organisasi,
mekanisme atau peristiwa yang memiliki potensi untuk membahayakan sumber daya
informasi perusahaan.
Pada
kenyataannya ancaman dapat bersifat internal serta eksternal dan dapat bersifat
tidak disengaja maupun disengaja.
Ancaman Internal dan Eksternal
Ancaman
internal mencakup bukan hanya karyawan perusahaan, tetapi juga pekerja
temporer, konsultan, kontraktor, dan bahkan mitra bisnis perusahaan tersebut.
Survei yang dilakukan oleh Computer Security Institute menemukan bahwa 49
persen responden menghadapi insiden keamanan yang disebabkan oleh tindakan para
pengguna sah, proporsi kejahatan komputer yang dilakukan oleh karyawan
diperkirakan mencapai 81 persen. Ancaman internal diperkirakan menghasilkan kerusakan
yang secara potensi lebih serius jika dibandingkan dengan ancaman eksternal,
dikarenakan pengetahuan ancaman internal yang lebih mendalam akan sistem
tersebut.
Jenis Ancaman
Semua
orang pernah mendengar mengenai virus komputer. Sebenarnya virus hanyalah salah
satu contoh jenis peranti lunak yang
menyandang nama peranti lunak yang berbahaya (malicious software). Malicious
software atau Malware terdiri atas program-program lengkap atau segmen-segmen
kode yang dapat menyerang suatu sistem dan melakukan fungsi-fungsi yang tidak
diharapkan oleh pemilik sistem. Fungsi tersebut dapat menghapus file atau
menyebabkan sistem tersebut berhenti. Terdapat beberapa jenis peranti lunak
yang berbahaya; selain virus, terdapat pula worm, Trojan horse, adware dan spyware.
Risiko
Risiko
keamanan informasi (infromation security risk) didefinisikan sebagai potensi
output yang tidak diharapkan dari pelanggaran keamanan informasi oleh
ancaman keamanan informasi.
Risiko-risiko seperti itu dibagi menjadi empat jenis; pengungkapan informasi
yang tidak terotoriasi dan pencurian, penggunaan yang tidak terotoriasi,
penghancuran yang tidak terotorisasi dan penolakan layanan, serta modifikasi
yang tidak terotorisasi.
Kebijakan Keamanan Informasi
Dengan
mengabaikan bahwa apakah perusahaan mengikuti strategi manajemen risiko atau
kepatuhan terhadap tolak ukur maupun tidak, suatu kebijakan keamanan harus
diterapkan untuk mengarahkan keseluruhan program. Perusahaan dapat menerapkan
kebijakan keamanannya dengan mengikuti pendekatan yang bertahap, terdapat lima
fase implementasi kebijakan keamanan.
Fase
1 - Inisiasi Proyek.
Fase
2 - Penyusunan Kebijakan.
Fase
3 - Konsultasi dan persetujuan.
Fase
4 - Kesadaran dan edukasi.
Fase
5 - Penyebarluasan kebijakan.
Pengendalian.
Pengendalian
(control) adalah mekanisme yang diterapkan baik untuk melindungi perusahaan
dari risiko atau untuk meminimalkan dampak risiko tersebut pada perusahaan,
jika risiko tersebut terjadi pengendalian dibagi menjadi tiga kategori :
teknis, formal, dan informal.
Pengendalian Teknis.
Pengendalian
teknis (technical control) adalah pengendalian yang menjadi satu didalam sistem
dan dibuat oleh penyusun sistem selama masa siklus penyusunan sistem.
Melibatkan
seorang auditor internal di dalam tim proyek merupakan satu cara yang amat baik
untuk menjaga agar pengendalian semacam ini menjadi bagian dari desain sistem.
Pengendalian Formal.
Pengendalian
Formal mencakup penentuan cara berperilaku, dokumentasi prosedur dan praktik
yang diharapkan, dan pengawasan serta pencegahan perilaku yang berbeda dari
panduan yang berlaku. Pengendalian ini bersifat formal karena manajemen
menghabiskan banyak waktu untuk menyusunnya, mendokumentasikannya dalam bentuk
tulisan, dan diharapkan untuk berlaku dalam jangka panjang.
Pengendalian Informal.
Pengendalian
informal mencakup program-program pelatihan dan edukasi serta program
pembangunan manajemen. Pengendalian ini ditunjukan untuk menjaga agar para
karyawan perusahaan memahami serta mendukung program keamanan tersebut.
Dukungan Pemerintah dan Industri.
Beberapa
organisasi pemerintah dan internasional telah menentukan standar-standar yang
ditujukan untuk menjadi panduan bagi organisasi yang ingin mendapatkan keamanan
informasi. Beberapa standar ini berbentuk tolak ukur, yang telah diidentifikasi
sebelumnya sebagai penyedia strategi alternatif untuk manajemen risiko.
Beberapa pihak penentu standar menggunakan instilah baseline (dasar) dan
bukannya benchmark (tolak ukur).
Organisasi
tidak diwajibkan mengikuti standar ini. Namun, standar ini ditujukan untuk
memberikan bantuan kepada perusahaan dalam menentukan tingkat target keamanan.
Berikut
ini adalah beberapa contohnya :
·
BS7799
milik Inggris
·
BSI
IT Baseline Protection Manual
·
COBIT
·
GASSP
·
ISF
Standard of Good Practice.
Komentar
Posting Komentar