MELINDUNGI SISTEM INFORMASI

8.1. KERENTANAN DAN PENYALAHGUNAAN SISTEM

Dalam penggunaan internet untuk berbisnis kita harus memprioritaskan keamanan, dan melakukan pengendalian terhadap koneksi internet dan komputer yang kita gunakan.

Keamanan sendiri mengacu pada kebijakan, prosedur, dan tindakan teknis yang digunakan untuk mencegah akses tidak sah, perubahan, pencurian, atau kerusakan fisik pada sistem informasi (contoh dengan menggunakan anti virus dan firewall saat terhubung ke internet).

Selain keamanan diperlukan juga pengendalian yang merupakan metode, kebijakan, dan prosedur organisasi yang memastikan keamanan aset organisasi, akurasi dan keandalan catatannya, dan ketaatan operasional terhadap standar manajemen.

MENGAPA SISTEM SANGAT RENTAN?

 Data perusahaan yang disimpan dalam bentuk elektronik lebih rentan terhadap banyak jenis ancaman daripada disimpan secara manual, karena melalui jaringan komunikasi, sitem informasi saling berhubungan maka potensi akses, penyalahgunaan, atau kecurangan yang tidak sah tidak terbatas pada satu lokasi namun dapat terjadi pada jalur akses manapun di jaringan. Jaringan internet lebih rentan daripada jaringan internal karena mereka terbuka untuk siapa saja dan begitu besar, sehingga ketika pelanggaran terjadi mereka memiliki dampak yang sangat luas (contoh jaringan nikrabel dirumah rentan karena pita frekuensi radio mudah dipindai)

MALICIOUS SOFTWARE: VIRUSES, WORMS, TROJAN HORSES, AND SPYWARE

Program perangkat lunak  disebut sebagai perangkat lunak perusak (malware), dan mencakup berbagai ancaman (virus komputer, worm, dan trojan horse).

Virus komputer adalah program perangkat lunak nakal yang melekat pada program perangkat lunak lain atau file data agar dapat dijalankan, biasanya tanpa sepengetahuan atau izin pengguna. Virus komputer mengirimkan muatan “payload.” Muatannya mungkin relatif tidak berbahaya, seperti petunjuk untuk menampilkan pesan atau gambar, atau mungkin juga merusak program atau data yang merusak, menyumbat memori komputer, memformat ulang hard drive komputer, atau menyebabkan program berjalan tidak semestinya. Serangan terbaru berasal dari worm, yaitu program komputer independen yang menyalin dirinya dari satu komputer ke komputer lain melalui jaringan.

Trojan Horses adalah program perangkat lunak yang tampaknya tidak berbahaya namun kemudian melakukan sesuatu selain yang diharapkan(contoh Trojan Zeus yang dijelaskan dalam bab pembuka. Trojan Horses itu sendiri bukanlah virus karena tidak meniru, namun seringkali cara virus atau kode berbahaya lainnya diperkenalkan ke sistem komputer).

Saat ini, serangan injeksi SQL adalah ancaman malware terbesar. Serangan injeksi SQL memanfaatkan kelemahan dalam perangkat lunak aplikasi Web kode yang buruk untuk mengenalkan kode program jahat ke dalam sistem dan jaringan perusahaan. Banyak pengguna menemukan spyware semacam itu mengganggu dan beberapa kritikus mengkhawatirkan pelanggarannya terhadap privasi pengguna komputer. Beberapa bentuk spyware sangat jahat. Keylogger merekam setiap keystroke yang dibuat di komputer untuk mencuri nomor seri untuk perangkat lunak, untuk meluncurkan serangan Internet, untuk mendapatkan akses ke akun e-mail, untuk mendapatkan kata sandi pada sistem komputer yang dilindungi, atau untuk mengambil informasi pribadi seperti nomor kartu kredit.

HACKER DAN KEJAHATAN KOMPUTER

Hacker adalah individu yang berniat untuk mendapatkan akses tidak sah ke sistem komputer, istilah cracker biasanya digunakan untuk menunjukkan hacker dengan maksud kriminal, meski di media publik, istilah hacker dan cracker digunakan secara bergantian. Hacker dan Cracker mendapatkan akses yang tidak sah dengan menemukan kelemahan dalam perlindungan keamanan yang digunakan oleh situs Web dan sistem komputer, sering memanfaatkan berbagai fitur Internet yang menjadikannya sistem terbuka yang mudah digunakan. Aktivitas Hacker telah meluas melampaui gangguan sistem semata-mata termasuk pencurian barang dan informasi, serta kerusakan sistem dan cybervandalisme, gangguan, penghindaran, atau penghancuran situs Web atau sistem informasi perusahaan yang disengaja.

Hacker yang berusaha menyembunyikan identitas sebenarnya sering kali menipu, atau salah menggambarkan diri mereka sendiri dengan menggunakan alamat e-mail palsu atau menyamar sebagai orang lain.

Spoofing mungkin melibatkan pengalihan tautan Web ke alamat yang berbeda dari yang dimaksud, dengan situs menyamar sebagai tujuan yang dimaksudkan. 
Sniffer adalah jenis program penyadapan yang memonitor informasi yang dilakukan melalui jaringan.

Denial-of-service (DoS), hacker membanjiri server jaringan atau server Web dengan ribuan komunikasi palsu atau permintaan layanan untuk merusak jaringan. Jaringan menerima begitu banyak pertanyaan sehingga tidak dapat mengikuti mereka dan karenanya tidak tersedia untuk melayani permintaan yang sah. Serangan denial-of-service (DDoS) terdistribusi menggunakan banyak komputer untuk membanjiri dan menginfeksi jaringan dari berbagai titik peluncuran.

Sebagian besar aktivitas hacker adalah tindak pidana, dan kerentanan sistem yang baru saja kami jelaskan membuat mereka menjadi target jenis kejahatan komputer lainnya. Dengan pertumbuhan Internet dan perdagangan elektronik, pencurian identitas menjadi sangat meresahkan.

Pencurian identitas adalah kejahatan di mana penipu mendapatkan potongan informasi pribadi, seperti nomor identifikasi jaminan sosial, nomor lisensi pengemudi, atau nomor kartu kredit, untuk meniru identitas orang lain, yang digunakan untuk mendapatkan kredit, barang dagangan, atau layanan atas nama korban atau memberikan kredensial palsu kepada si pencuri.

Salah satu taktik yang semakin populer adalah bentuk spoofing yang disebut phishing. Phishing melibatkan penyiapan situs web palsu atau mengirim e-mail atau pesan teks yang terlihat seperti bisnis sah untuk meminta data pribadi rahasia dari pengguna. Teknik phishing baru yang disebut evil twins dan pharming lebih sulit dideteksi. Evil twins adalah jaringan nirkabel yang berpura-pura menawarkan koneksi Wi-Fi yang dapat dipercaya ke Internet, seperti di lounge bandara, hotel, atau kedai kopi. Pharming mengalihkan pengguna ke halaman Web palsu, bahkan ketika individu mengetik alamat halaman Web yang benar ke browsernya( contoh : misalkan web asli bank BCA www.klickbca.com dan dialihkan menjadi www.klikbca.com)

ANCAMAN INTERNAL : KARYAWAN

Kita cenderung berpikir ancaman keamanan terhadap bisnis berasal dari luar organisasi yang sebenarnya menimbulkan masalah keamanan yang serius adalah orang dalam perusahaan. Karyawan memiliki akses terhadap informasi istimewa, dan dengan adanya prosedur keamanan internal yang ceroboh, mereka sering dapat berkeliaran di seluruh sistem organisasi tanpa meninggalkan jejak. Penyerang berbahaya yang mencari akses sistem kadang-kadang mengelabui karyawan untuk mengungkapkan kata sandinya dengan berpura-pura menjadi anggota sah perusahaan yang membutuhkan informasi. Praktek ini disebut rekayasa sosial.

KERENTANAN SOFTWARE

Kesalahan perangkat lunak menimbulkan ancaman konstan terhadap sistem informasi, menyebabkan kerugian produktivitas yang tak terhitung. Masalah utama dengan perangkat lunak adalah adanya bug tersembunyi atau kode program yang cacat. Studi telah menunjukkan bahwa hampir tidak mungkin untuk menghilangkan semua bug dari program besar. Untuk memperbaiki kekurangan perangkat lunak begitu diidentifikasi, vendor perangkat lunak membuat perangkat lunak kecil yang disebut tambalan untuk memperbaiki kekurangan tanpa mengganggu pengoperasian perangkat lunak dengan benar.

8.2 NILAI BISNIS PADA KEAMANAN DAN KONTROL

PERSYARATAN HUKUM DAN REGULASI UNTUK PENGELOLAAN CATATAN ELEKTRONIK

Peraturan pemerintah A.S. baru-baru ini memaksa perusahaan untuk mengambil keamanan dan kontrol lebih serius dengan mengamanatkan perlindungan data dari penyalahgunaan, pemaparan, dan akses yang tidak sah. Perusahaan menghadapi kewajiban hukum baru untuk penyimpanan dan penyimpanan catatan elektronik serta untuk perlindungan privasi. Jika Anda bekerja di industri perawatan kesehatan, perusahaan Anda harus mematuhi Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) tahun 1996. Jika Anda bekerja di perusahaan yang menyediakan layanan keuangan, perusahaan Anda harus mematuhi Modernisasi Jasa Keuangan Act of 1999, lebih dikenal dengan Gramm-Leach-Bliley Act setelah sponsor kongresnya. Jika Anda bekerja di perusahaan publik, perusahaan Anda harus mematuhi Reformasi Akunting Perusahaan Publik dan Undang-Undang Perlindungan Investor tahun 2002, yang lebih dikenal dengan Sarbanes-Oxley Act setelah sponsornya Senator Paul Sarbanes dari Maryland dan Perwakilan Michael Oxley dari Ohio .

BUKTI ELEKTRONIK DAN FORENSIK KOMPUTER

Pengamanan, pengendalian, dan pengelolaan arsip elektronik menjadi penting untuk menanggapi tindakan hukum. Sebagian besar bukti saat ini untuk kecurangan kasus perdata dalam bentuk digital. Kebijakan penyimpanan dokumen elektronik yang efektif memastikan bahwa dokumen elektronik, e-mail, dan catatan lainnya terorganisir dengan baik, mudah diakses, dan tidak ditahan terlalu lama atau dibuang terlalu cepat. Ini juga mencerminkan kesadaran bagaimana melestarikan bukti potensial untuk forensik komputer. Forensik komputer adalah pengumpulan, pemeriksaan, otentikasi, pelestarian, dan analisis data yang tersimpan atau diambil dari media penyimpanan komputer sedemikian rupa sehingga informasi tersebut dapat digunakan sebagai bukti di pengadilan. Ini berkaitan dengan masalah berikut:

• Memulihkan data dari komputer sambil menjaga integritas evolusioner
• Penyimpanan dan penanganan data elektronik dengan aman
• Menemukan informasi penting dalam sejumlah besar data elektronik
• Menyajikan informasi ke pengadilan

8.3 MEMBANGUN KERANGKA KERJA UNTUK KEAMANAN DAN PENGENDALIAN

PENGENDALIAN SISTEM INFORMASI

Kontrol sistem informasi bersifat manual dan otomatis dan terdiri dari kontrol umum dan kontrol aplikasi. Kontrol umum mengatur perancangan, keamanan, dan penggunaan program komputer dan keamanan file data secara umum di seluruh infrastruktur teknologi informasi organisasi, yang mencakup kontrol perangkat lunak, kontrol perangkat keras fisik, kontrol operasi komputer, kontrol keamanan data, kontrol atas implementasi proses sistem, dan kontrol administratif. Kontrol aplikasi adalah kontrol khusus yang unik untuk setiap aplikasi terkomputerisasi, seperti pemrosesan gaji atau pemrosesan pesanan.

Kontrol aplikasi dapat diklasifikasikan sebagai

1.  Kontrol Input (memeriksa data untuk akurasi dan kelengkapan saat memasuki sistem)
2. Kontrol Pemrosesan (menentukan bahwa data sudah lengkap dan akurat selama pemutakhiran)

3.  Kontrol Output ( memastikan bahwa hasil pengolahan komputer akurat, lengkap, dan terdistribusi dengan baik)

TUGAS BERESIKO

Sebelum perusahaan Anda melakukan sumber daya untuk mengendalikan sistem keamanan dan informasi, perusahaan harus mengetahui aset mana yang memerlukan perlindungan dan sejauh mana aset tersebut rentan. Penilaian risiko membantu menjawab pertanyaan-pertanyaan ini dan menentukan sekumpulan kontrol yang paling efektif untuk melindungi aset. Penilaian risiko menentukan tingkat risiko perusahaan jika aktivitas atau proses tertentu tidak dikendalikan dengan benar.

KEBIJAKAN KEAMANAN

Setelah Anda mengidentifikasi risiko utama pada sistem Anda, perusahaan Anda perlu mengembangkan kebijakan keamanan untuk melindungi aset perusahaan. Kebijakan keamanan terdiri dari informasi risiko peringkat laporan, mengidentifikasi tujuan keamanan yang dapat diterima, dan mengidentifikasi mekanisme untuk mencapai tujuan ini. Kebijakan penggunaan yang dapat diterima (AUP) mendefinisikan penggunaan sumber informasi dan peralatan komputasi perusahaan yang dapat diterima, termasuk komputer desktop dan laptop, perangkat nirkabel, telepon, dan Internet. Kebijakan keamanan juga mencakup ketentuan pengelolaan identitas. Manajemen identitas terdiri dari proses bisnis dan perangkat lunak untuk mengidentifikasi pengguna sistem yang valid dan mengendalikan akses mereka terhadap sumber daya sistem.

PERENCANAAN PEMULIHAN BENCANA DAN PERENCANAAN LANJUTAN BISNIS

Jika Anda menjalankan bisnis, Anda perlu merencanakan acara, seperti pemadaman listrik, banjir, gempa bumi, atau serangan teroris yang akan mencegah sistem informasi dan bisnis Anda beroperasi. Perencanaan pemulihan bencana merencanakan rencana pemulihan layanan komputasi dan komunikasi setelah mereka terganggu. Perencanaan lanjutan bisnis memfokuskan pada bagaimana perusahaan dapat memulihkan operasi bisnis setelah terjadi bencana. Rencana kesinambungan bisnis mengidentifikasi proses bisnis yang penting dan menentukan rencana tindakan untuk menangani fungsi mission-critical jika sistem turun.

PERAN AUDITING

Audit MIS memeriksa lingkungan keamanan keseluruhan perusahaan serta kontrol yang mengatur sistem informasi perorangan. Auditor harus melacak arus contoh transaksi melalui sistem dan melakukan pengujian, dengan menggunakan, jika sesuai, perangkat lunak audit otomatis. Audit MIS juga dapat memeriksa kualitas data. Audit keamanan meninjau teknologi, prosedur, dokumentasi, pelatihan, dan personil. Audit menyeluruh bahkan akan mensimulasikan serangan atau bencana untuk menguji respons teknologi, staf sistem informasi, dan pelaku bisnis. Daftar audit dan memberi peringkat semua kelemahan kontrol dan memperkirakan probabilitas kemunculannya. Ini kemudian menilai dampak finansial dan organisasi dari setiap ancaman.

8.4 TEKNOLOGI DAN ALAT UNTUK MELINDUNGI SUMBER DAYA INFORMASI

MANAJEMEN IDENTITAS DAN OTENTIKASI

Perusahaan besar dan menengah memiliki infrastruktur TI yang kompleks dan banyak sistem yang berbeda, masing-masing memiliki pengguna sendiri. Perangkat lunak manajemen identitas mengotomatisasi proses melacak semua pengguna dan hak istimewa sistem mereka, memberikan setiap identitas digital unik bagi pengguna untuk mengakses setiap sistem. Untuk mendapatkan akses ke sistem, pengguna harus diberi otorisasi dan disahkan. Otentikasi mengacu pada kemampuan untuk mengetahui bahwa seseorang adalah siapa yang diklaimnya. Otentikasi sering dibuat dengan menggunakan kata kunci yang hanya diketahui oleh pengguna yang berwenang.

Teknologi otentikasi baru, seperti token, smart card, dan otentikasi biometrik, mengatasi beberapa masalah ini. Token adalah perangkat fisik, mirip dengan kartu identitas, yang dirancang untuk membuktikan identitas satu pengguna. Kartu cerdas adalah perangkat seukuran kartu kredit yang berisi chip yang diformat dengan izin akses dan data lainnya. Otentikasi biometrik menggunakan sistem yang membaca dan menafsirkan sifat manusia individual, seperti sidik jari, iris, dan suara, untuk memberi atau menolak akses.

FIREWALLS, SISTEM DETEKSI INTRUSI, DAN PERANGKAT LUNAK ANTIVIRUS

Firewall adalah kombinasi perangkat keras dan perangkat lunak yang mengendalikan arus lalu lintas jaringan masuk dan keluar. Selain firewall, vendor keamanan komersial sekarang menyediakan alat deteksi intrusi dan layanan untuk melindungi lalu lintas jaringan yang mencurigakan dan mencoba mengakses file dan database. Sistem deteksi intrusi menampilkan alat pemantauan penuh waktu yang ditempatkan pada titik paling rentan atau “titik panas” jaringan perusahaan untuk mendeteksi dan mencegah penyusup terus-menerus. Perangkat lunak antivirus ini dirancang untuk memeriksa sistem komputer dan drive untuk mengetahui adanya virus komputer. Vendor perangkat lunak antivirus terkemuka, seperti McAfee, Symantec, dan Trend Micro, telah meningkatkan produk mereka untuk menyertakan perlindungan terhadap spyware. Perangkat lunak antispyware seperti Ad-Aware, Spybot S & D, dan Spyware Doctor juga sangat membantu. Produk manajemen keamanan komprehensif ini disebut sistem manajemen ancaman terpadu (UTM).

JARINGAN WIRELESS SECURING

Terlepas dari kekurangannya, WEP memberikan sedikit margin keamanan jika pengguna Wi-Fi ingat untuk mengaktifkannya. Langkah awal yang sederhana untuk menggagalkan hacker adalah dengan menetapkan nama unik ke SSID jaringan Anda dan menginstruksikan router Anda untuk tidak menyiarkannya. Korporasi selanjutnya dapat meningkatkan keamanan Wi-Fi dengan menggunakannya bersamaan dengan teknologi virtual private network (VPN) saat mengakses data perusahaan internal.

ENKRIPSI DAN KUNCI INFRASTRUKTUR PUBLIK

Banyak bisnis menggunakan enkripsi untuk melindungi informasi digital yang mereka simpan, transfer fisik, atau kirim melalui Internet. Enkripsi adalah proses mengubah teks biasa atau data menjadi teks sandi yang tidak dapat dibaca oleh orang lain selain pengirim dan penerima yang dituju. Dua metode untuk mengenkripsi lalu lintas jaringan di Web adalah SSL dan S-HTTP. Secure Sockets Layer (SSL) dan penerus Transport Layer Security (TLS) memungkinkan komputer klien dan server untuk mengelola aktivitas enkripsi dan dekripsi saat mereka berkomunikasi satu sama lain selama sesi Web yang aman. Secure Hypertext Transfer Protocol (S-HTTP) adalah protokol lain yang digunakan untuk mengenkripsi data yang mengalir melalui Internet, namun terbatas pada pesan individual, sedangkan SSL dan TLS dirancang untuk membuat sambungan aman antara dua komputer. Bentuk enkripsi yang lebih aman yang disebut enkripsi kunci publik menggunakan dua kunci: satu shared (atau publik) dan satu benar-benar pribadi. Sertifikat digital adalah file data yang digunakan untuk menetapkan identitas pengguna dan aset elektronik untuk perlindungan transaksi online.

MEMASTIKAN KETERSEDIAAN SISTEM

Seiring perusahaan semakin mengandalkan jaringan digital untuk pendapatan dan operasi, mereka perlu melakukan langkah tambahan untuk memastikan bahwa sistem dan aplikasi mereka selalu tersedia. Dalam proses transaksi online, transaksi online yang dilakukan langsung diproses oleh komputer. Perubahan beraneka ragam pada database, pelaporan, dan permintaan informasi terjadi setiap saat. Sistem komputer yang toleran terhadap kesalahan mengandung komponen perangkat keras, perangkat lunak, dan power supply yang berlebihan yang menciptakan lingkungan yang menyediakan layanan tanpa gangguan terus-menerus.

Toleransi kesalahan harus dibedakan dari komputasi dengan ketersediaan tinggi. Toleransi kesalahan dan komputasi dengan ketersediaan tinggi mencoba meminimalkan downtime. Downtime mengacu pada periode waktu dimana sistem tidak beroperasi. Namun, komputasi dengan ketersediaan tinggi membantu perusahaan pulih dengan cepat dari sistem crash, sedangkan toleransi kesalahan menjanjikan ketersediaan berkelanjutan dan penghapusan waktu pemulihan sama sekali.

Sebuah teknologi yang disebut inspeksi paket dalam (DPI) membantu memecahkan masalah ini. DPI memeriksa file data dan memilah materi online dengan prioritas rendah sambil memberikan prioritas lebih tinggi pada file penting bisnis. Banyak perusahaan, terutama usaha kecil, kekurangan sumber daya atau keahlian untuk menyediakan lingkungan komputasi dengan ketersediaan tinggi yang terjamin dengan sendirinya. Mereka dapat mengalihkan banyak fungsi keamanan ke penyedia layanan keamanan yang dikelola (monitor MSSP) yang memantau aktivitas jaringan dan melakukan pengujian kerentanan dan deteksi intrusi.