KEAMANAN DAN PENJAMIN INFORMASI PERTEMUAN 1

 Pengantar Keamanan dan

Penjaminan Informasi

Pengenalan Keamanan

Key Terms:

• Asset, Sumber daya organisasi yang dilindungi. Aset dapat bersifat logis,seperti situs Web, informasi perangkat lunak, atau data; atau aset dapat berupa fisik, seperti seseorang, sistem komputer, perangkat keras, atau objek berwujud lainnya. Aset, khususnya aset informasi, adalah fokus dari upaya keamanan apa yang berusaha dilindungi.

• Aset informasi, Fokus keamanan informasi; informasi yang memiliki nilai bagi organisasi, dan sistem yang menyimpan, memproses, dan mengirimkan informasi.

• Keamanan informasi (lnfoSec), Perlindungan kerahasiaan, integritas, dan ketersediaan aset informasi, baik dalam penyimpanan, pemrosesan, atau transmisi, melalui penerapan kebijakan, pendidikan, pelatihan dan penyadaran, dan teknologi.

• Keamanan, Suatu keadaan aman dan bebas dari bahaya atau bahaya. Selain itu, tindakan yang dilakukan untuk membuat seseorang atau sesuatu menjadi aman.

• Keamanan fisik - Perlindungan barang fisik, benda, atau area dari akses yang tidak sah dan penyalahgunaan.

• Keamanan operasi - Perlindungan detail operasi dan aktivitas organisasi.

• Keamanan komunikasi - Perlindungan semua media komunikasi, teknologi, dan konten.

• Keamanan Cyber (atau komputer) - Perlindungan sistem pemrosesan informasi yang terkomputerisasi dan data yang dikandungnya dan diproses.

• Keamanan jaringan - Sekumpulan keamanan komunikasi dan keamanan cyber; perlindungan komponen, koneksi, dan konten jaringan suara dan data.

• berfokus pada perlindungan informasi dan
karakteristik yang memberikan nilai, seperti
confidentiality, integrity, dan availability, dan mencakup teknologi yang menampung dan mentransfer informasi tersebut melalui berbagai mekanisme perlindungan seperti kebijakan,pelatihan dan awareness programs, dan teknologi.

Komponen keamanan informasi

Keamanan dan Manajemen Resiko

Pengelolaan terhadap keamanan dapat dilihat dari sisi pengelolaan resiko (risk management). Lawrie Brown dalam “Lecture Notes for Use with Cryptography and Network Security by William Stallings” menyarankan menggunakan “Risk Management Model” untuk menghadapi ancaman (managing threats).
Tiga komponen yang memberikan kontribusi kepada Risk Management, yaitu Asset, Vulnerabilities, dan Threats.

Key Concepts: Confidentiality

• Confidentiality

hanya mereka yang memiliki hak istimewa yang memadai yang dapat mengakses informasi tertentu.

• Confidentiality model

– Bell-LaPadula

• No write down & No read up

– TCSEC/TNI (Orange, Red Book)

• Beberapa ancaman

– Hackers

– Masquerades

– Pengguna tidak resmi

– Pengunduhan file yang tidak dilindungi

– LANS

– Trojan horses

Key Concepts: Integrity

• Integrity

Integritas adalah kualitas atau keadaan menjadi utuh, lengkap, dan tidak rusak

• Integrity model

– Biba/low water mark

• No write up & No read down

– Clark-Wilson

•  Separation of duty

– Lipner

• Masalah lain

– Origin integrity

– Data integrity

Key Concepts: Availability

• Ketersediaan informasi berarti bahwa pengguna,baik orang atau sistem lain, memiliki akses kesana dalam format yang dapat digunakan.

• Ketersediaan tidak menyiratkan bahwa informasi tersebut dapat diakses oleh pengguna mana pun;

alih-alih, itu berarti dapat diakses saat 

dibutuhkan oleh pengguna yang berwenang.

Prinsip Manajemen Keamanan Informasi

1. InfoSec Planning

Ada beberapa jenis rencana InfoSec:

• Incident response
• Business continuity
• Disaster recovery
• Policy
• Personnel
• Technology rollout
• Risk management and
• Program keamanan termasuk pendidikan, pelatihan, dan awareness

2. Policy

• Kebijakan seperangkat pedoman organisasi yang menentukan perilaku tertentu dalam organisasi perilaku tertentu dalam organisasi

• Tiga kategori umum kebijakan:

– Kebijakan umum (Kebijakan Keamanan Perusahaan)

– Kebijakan keamanan khusus masalah (issue-specific security policy (ISSP))

• E.g., email, penggunaan Internet

– Kebijakan khusus sistem (System-specific policies

(SSSP))

• E.g., Daftar kontrol akses (ACL) untuk perangkat

3. Programs

• Program adalah operasi yang dikelola sebagai entitas tertentu dalam domain keamanan informasi

– Contoh:

• Program pelatihan dan kesadaran pendidikan keamanan (security education training and awareness (SETA)) adalah salah satu entitas tersebut

– Program lain yang mungkin muncul termasuk

• program keamanan fisik, lengkap dengan api, akses fisik, gerbang, penjaga, dan sebagainya.

4. Protection

• Kegiatan manajemen risiko, termasuk

– penilaian dan pengendalian risiko

• Mekanisme, teknologi & alat perlindungan

– Masing-masing mekanisme ini mewakili beberapa aspek dari manajemen kontrol spesifik dalam keseluruhan rencana keamanan.

5. People

• Orang-orang adalah tautan paling penting dalam program keamanan informasi

– Human Firewall

• Sangat penting bahwa manajer terus-menerus mengakui peran penting yang dimainkan orang; mengenali peran penting yang dimainkan orang; termasuk

– personel keamanan informasi dan keamanan personel, serta aspek-aspek program SETA.

6. Project Management

• Manajemen proyek

– harus hadir di seluruh elemen program keamanan informasi

– Involves (Libatkan)

• Mengidentifikasi dan mengendalikan sumber daya yang diterapkan pada proyek

• Mengukur kemajuan dan menyesuaikannya sesuai kebutuhan menuju pencapaian tujuan.

Aspekdarikeamanan Jaringan

• Garfinkel dalam “Practical UNIX & Internet Security”

mengemukakan bahwa keamanan komputer (computer

security) melingkupi empat aspek, yaitu privacy, integrity, authentication, dan availability. Selain hal di atas, ada dua aspek yang ada kaitannya dengan electronic commerce, yaitu access control dan non-repudiation.

Key Concepts

1. Privacy / Confidentiality

adalah usaha untuk menjaga informasi dari orang yang tidak berhak mengakses. Privacy lebih kearah data-data yang sifatnya privat sedangkan confidentiality berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu.

2. Integrity

Aspek ini menekankan Informasi tidak boleh diubah tanpa seijin pemilik informasi.

Serangan : virus, trojan horse, atau pemakai lain yang mengubah informasi tanpa ijin merupakan contoh masalah yang harus dihadapi.

Sebuah e-mail dapat saja “ditangkap” (intercept) di tengah jalan, diubah isinya (altered, tampered, modified), kemudian diteruskan ke alamat yang dituju.

Penanggulangan : Penggunaan enkripsi dan digital signature.

3. Authentication

Aspek ini berhubungan dengan metoda untuk menyatakan bahwa informasi betul-betul asli, orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud, atau server yang kita hubungi adalah betul-betul server yang asli.

Penanggulangan :

1. membuktikan keaslian dokumen dengan teknologi watermarking dan digital signature. Watermarking dapat digunakan untuk menjaga “intelectual property”, yaitu dengan menandai dokumen atau hasil karya dengan “tanda tangan” pembuat.

2. access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses informasi.

4. Availability

Aspek availability atau ketersediaan berhubungan dengan ketersediaan informasi ketika dibutuhkan.

Sistem informasi yang diserang atau dijebol dapat menghambat atau meniadakan akses ke informasi.

Serangan :

1. “denial of service attack” (DoS attack)

2. mailbomb

5. Access Control

Aspek ini berhubungan dengan cara pengaturan akses kepada informasi. Hal ini biasanya berhubungan dengan klasifikasi data (public, private, confidential, top secret) & user (guest, admin, top manager, dsb.),

6. Non-repudiation

Aspek ini menjaga agar seseorang tidak dapat menyangkal telah melakukan sebuah transaksi.

Sebagai contoh, seseorang yang mengirimkan email untuk memesan barang tidak dapat menyangkal bahwa dia telah mengirimkan email tersebut.

Penggunaan digital signature, certifiates, dan teknologi kriptografi secara umum dapat menjaga aspek ini. Akan tetapi hal ini masih harus didukung oleh hukum sehingga status dari digital signature itu jelas legal.

Serangan Terhadap Keamanan Sistem Informasi

Menurut W. Stallings ada beberapa kemungkinan serangan

(attack):

1. Interruption: Perangkat sistem menjadi rusak atau tidak tersedia.

2. Interception: Pihak yang tidak berwenang berhasil mengakses aset atau informasi.

3. Modification: Pihak yang tidak berwenang tidak saja berhasil

mengakses, akan tetapi dapat juga mengubah (tamper) aset.

4. Fabrication: Pihak yang tidak berwenang menyisipkan objek palsu ke dalam sistem.

Istilah-istilah keamanan Informasi

• Hacking adalah setiap usaha atau kegiatan di luar izin atau sepengetahuan pemilik jaringan untuk memasuki sebuah jaringan serta mencoba mencuri file seperti file password dan sebagainya.

• Pelakunya disebut hacker yang terdiri dari seorang atau sekumpulan orang yang secara berkelanjutan berusaha untuk menembus sistem pengaman kerja dari operating system suatu komputer.

• Cracker adalah Seorang atau sekumpulan orang yang memang secara sengaja berniat untuk merusak dan menghancurkan integritas di seluruh jaringan sistem komputer dan tindakannya dinamakan cracking.

•Denial of service: Membanjiri suatu IP address dengan data sehingga menyebabkan crash atau kehilangan koneksinya ke internet.

•Distributed Denial of Service: Memakai banyak komputer untuk meluncurkan serangan DoS. Seorang hacker “menculik” beberapa komputer dan memakainya sebagai platform untuk menjalankan serangan, memperbesar intensitasnya dan menyembunyikan identitas si hacker.

 • Theft of Information: Penyerang akan mencuri informasi rahasia dari suatu perusahaan. Hal ini dapat dilakukan dengan menggunakan program pembobol password, dan lain-lain.

 • Corruption of Data: Penyerang akan merusak data yang selama ini disimpan dalam harddisk suatu host.

 •  Spoofing, yaitu sebuah bentuk kegiatan pemalsuan di mana seorang hacker memalsukan (to masquerade) identitas seorang user hingga dia berhasil secara ilegal logon atau login ke dalam satu jaringan komputer seolah-olah seperti user yang asli.

 •   Sniffer adalah kata lain dari "network analyser" yang berfungsi sebagai alat untuk memonitor jaringan komputer. Alat ini dapat dioperasikan hampir pada seluruh tipe protokol seperti Ethernet, TCP/IP, IPX, dan lainnya.

  •   Password Cracker adalah sebuah program yang dapat membuka enkripsi sebuah password atau sebaliknya malah untuk mematikan sistem pengamanan password.

• Destructive Devices adalah sekumpulan program virus yang dibuat khusus untuk melakukan

penghancuran data-data, di antaranya Trojan Horse, Worms, Email Bombs, dan Nukes.

• Scanner adalah sebuah program yang secara otomatis akan mendeteksi kelemahan (security weaknesses) sebuah komputer di jaringan lokal (local host) ataupun komputer di jaringan dengan lokasi lain (remote host). Oleh karena itu, dengan menggunakan program ini, seorang hacker yang secara fisik berada di Inggris dapat dengan mudah menemukan security weaknesses pada sebuah server di Amerika ataupun di belahan dunia lainnya, termasuk di

Indonesia, tanpa harus meninggalkan ruangannya!