Bab 9 (22 slide)

NAMA KELOMPOK 4 : KELAS III-B

Yuliani (021109067)Zeldy Diwanto (021109045)Firman Supriyat (0211090)

Asep Septriyanto Ribowo (021109055)

TUJUAN BELAJAR Memahami kebutuhan organisasi akan

keamanan dan pengendalian Memahami bahwa keamanan informasi

berkaitan dengan keamanan semua sumber daya informasi, bukan hanya peranti keras dan

data. Memahami 3 tujuan utama keamanan informasi

Memahami bahwa menejemen keamanan informasi terdiri atas 2 area: manajemen

keamanan informasi (ISM) dan manajemen keberlangsungan bisnis (BCM)

Melihat hubungan yang logis antara ancaman, risiko, dan pengendalian.

Memahami apa saja ancaman keamanan yang utama

Memahami apa saja risiko keamanan yang utama

Mengenali berbagai kekhawatiran keamanan e-commer dan bagaimana perudahaan-

perusahaan kartu kredit mengatasinya Mengenali cara formal melakukan manajemen

risiko

Mengetahui proses implementasi kebijakan keamanan informasi

Mengenali cara-cara pengendalian keamanan yan populer

Mengetahui tindakan-tindakan pemerintah dan kalangan industri yang memengaruhi keamanan

informasi Mengetahui cara mendapatkan sertifikasi profesional

dalam keamanan dan pengendalian Mengetahui jenis-jenis rencana yang termasuk dalam

perencanann kontinjensi

Keamanan Informasi

• Kemanan Informasi Di gunakan untuk mendeskripsikan perlindungan baik peralatan komputer maupun non komputer, fasilitas, data, dan informasi dari penyalahgunaan pihak-lpihak yang tidak berwenang.

• Tujuan keamanan informasi - Kerahasiaan

perusahaan berusaha untuk melindungi data dan informasinya dari pengungkapan kepada orang-orang yang tidak berwenang

contohnya: piutang dagang, pembeian, dan utang dagang.

- Ketersediaan adalah menyediakan data dan informasi

sedia bagi pihak-pihak yang memiliki wewenang untuk menggunakannya contohnya: sistem informasi sumber daya manusia dan sistem informasi eksekutif

- Integritas semua sistem informasi harus memberikan

representasi akurat atas sistem fisik yang di representasikannya.

• keamanan informasiAktifitas untuk menjaga agar sumber daya informasi tetap aman. sedangkan, aktifitas untuk menjaga agar perusahaan dan sumber daya inflormasinya tetap berfungsi setelah adanya bencana di sebut manajemen keberlangsungan bisnis.

Manajemen Keamanan Informasi • Manajemen Informasi terdiri dari 4 tahap :

1. Mengidentifikasi ancaman yang dapat menyerang sumber daya informasi perusahaan 2. Mendefinisikan resiko yang dapat di sebabkan oleh ancaman-ancaman tersebut. 3. Menentukan kebijakan keamanan dan informasi. 4. Mengimplementasikan pengendalian untuk mengatasi resiko-resiko tersebut.

• Manajemen Risiko (risk manajemen) di buat untuk menggambarkan pendekatan ini dimana tingkat keamanan sumber daya informasi perusahaan di bandingkan dengan risiko yang di hadapinya.

• Tolok ukur keamanan informasi adalah tingkat keamanan yang disarankan yang dalam keadaan normal harus menawarkan perlindungan yang cukup terhadap gangguan yang tidak terotorisasi.

A Manajemen Risiko

B kepatuhan terhadap tolok ukur

Tolok Ukur

Menentukan kebijakan Keamanan informasi

Mengimplementasikan Pengendalian

Ancaman (information security threat)

• Ancaman keamanan informasi Adalah orang, organisasi, mekanisme, atau peristiwa yang memiliki potensi untuk membahayakan sumberdaya informasi perusahaan.

• Ancaman Internal dan Eksternal Ancaman internal mencakup bukan hanya karyawan perusahaan, tetapi juga pekerja temporer, konsultan, kontraktor, dan bahkan mitra bisnis perusahaan tersebut.

sedangkan, Ancaman eksternal adalah ancaman yang di luar perusahaan yang tidak ada hubungannya dengan internal seperti perusahaan lain yang sama produk dengan perusahaan kita atau bisa juga disebut pesaing dalam usaha.

Jenis Ancaman Virus

Virus hanyalah salah satu contoh jenis peranti lunak yang menyandanng nama peranti lunak yang berbahaya (malicios software). Malicios dan malware, terdiri atas program-program lengkap atau segmen-segmen kode yang dapat menyerang suatu sistem dan melakukan fungsi-fungsi yang tidak di harapkan oleh pemilik sistem. Fungsi-fungsi tersebut dapat menghapus file atau menyebabkan sistem tersebut berhenti. Beberapa jenis peranti lunak uang berbahaya selain virus: worm, trojan horse, adware, dan spyware .

Risiko • Risiko keamanan informasi

di definisikan sebagai potensi output yang tidak di harapkan dari pelanggaran keamanan informasi oleh ancaman keamanan informasi. Risiko-risiko seperti ini di bagi menjadi 4 jenis, yaitu : 1. pengungkapan informasi yang tidak terotoritas dan pencurian. 2. penggunaan yang tidak terotorisasi

3. penghancuran yang tidak terotorisasi dan penolakan pelayanan

4. modifikasi yang tidak terotorisasi.

Persoalan E-commerce

E-commerce (perdagangan elektronik) telahMemperkenalkan keamanan baru. Masalah ini bukanlah perlindungan data, informasi,dan peranti lunak, tapi perlindungan dari pemalsuan kartu kredit.Menurut sebuah survei yang di lakukan oleh

gartner group, pemalsuan kartu kredit 12 kali lebih sering terjadi untuk para peritel

e-commerce di bandingkan dengan para pedagang yang berurusan dengan pelanggan mereka secara langsung. Untuk mengatasi masalah ini, perusahaan-perusahaan kartu kredit yang utama telah mengimplementasikan program yang di tujukan secara khusus untuk keamanan kartu kredit e-commerce.

Kartu kredit “sekali pakai”

Pada september 2000, American Express mengumumkan sebuah kartu kredit “sekali pakai”.

Kartu ini bekerja dengan cara : saat pemegang kartu ingin membeli sesuatu secara online, ia akan memperoleh angka yang acak dari situs web perusahaan kartu kredit tersebut. Angka inilah, dan bukannya nomor kartu kredit pelanggan tersebut, yang di berikan

kepada pedagang e-commerce, yang kemudian melaporkannya ke perusahaan kartu kredit untuk pembayaran.

Manajemen Risiko

• Manajemen risiko di identifikasi sebagai satu dari dua strategi untuk mencapai keamanan informasi.

• Pendefinisian risiko terdiri atas empat langkah, yaitu: 1. identifikasi aset-aset bisnis yang harus di lindungi dari risiko. 2. menyadari risikonya.

3. menentukan tingkatan dampak pada perusahaan jika risiko benar-benar terjadi.

4. menganalisis kelemahan perusahaan tersebut.

Tingkat dampak dan kelemahan menentukan pengendalian

Dampak Dampak parah parah

Dampak Dampak signifikan signifikan

Dampak Dampak minor minor

Kelemahan Kelemahan tingkat tinggi tingkat tinggi

Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Harus Harus meningkatkan meningkatkan pengendalian pengendalian

Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Harus Harus meningkatkan meningkatkan pengendalian. pengendalian.

Analisis Analisis kelemahan kelemahan tidak di tidak di butuhkna butuhkna

Kelemahan Kelemahan tingkat tingkat menengah menengah

Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Sebaiknya Sebaiknya meningkat kan meningkat kan pengendslian pengendslian

Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Sebaiknya Sebaiknya meningkat kan meningkat kan pengendalian pengendalian

Analisis Analisis kelemahan kelemahan tidak di tidak di butuhkan butuhkan

Kelemahan Kelemahan tingkat rendah tingkat rendah

Melaksnakan Melaksnakan analisis analisis kelemahan. kelemahan. Menjaga Menjaga pengendalian pengendalian tetap ketat. tetap ketat.

Melaksanakan Melaksanakan analisis analisis kelemahan. kelemahan. Menjaga Menjaga pengendalian pengendalian tetap ketat tetap ketat

Analisis Analisis kelemahan kelemahan tidak di tidak di bbutuhkan bbutuhkan

• Kebijakan keamanan informasi suatu kebijakan keamanan harus di terapkan untuk mengarahkan keseluruhan program. Disini perusahaan menerapkan kebijakan keamanan dengan mengikuti pendekatan lima fase implementasi kebijakan keamanan, yaitu:

1.Fase -1 inisiasi proyek 2.Fase -2 penyusunan kebijakan 3.Fase -3 konsultasi dan persetujuan 4.Fase -4 kesadaran dan edukasi 5.Fase -5 penyebarluasan kebijakan

Kebijakan terpisah dikembangkan untuk 1.Keamanan sistem informasi 2.Pengendalian akses sistem 3.Keamanan personel 4.Keamanan lingkungan dan fisik 5.Keamanan komunikasi data 6.Klasifikasi informasi 7.Perencanaan kelangsungan usaha 8.Akuntabilitas manajemen

Pengendalian • Pengendalian (control)

adalah mekanisme yang di terapkan baik untuk melindungi perusahaan dari risiko atau untuk meminimalkan dampak risiko tersebut pada perusahaan jika risiko tersebut terjadi.

pengendalian di bagi menjadi tiga (3) kategori, yaitu : 1. teknis 2. formal 3. informal

• PENGENDALIAN TEKNIS (technical control)adalah pengendalian yang menjadi satu di dalam sistem dan di buat oleh para penyusun sistem selama masa siklus penyusunan sistem. Biasanya pengendalian keamanan di buat berdasarkan teknologi peranti keras dan lunak. Yang paling populer akan di jelakan sbb:

1. Pengendalian aksesdasar untuk keamanan melawan ancaman yang di lakukan oleh orang-orang yang tidak diotorisasi. pengendalian akses di lakukan melalui proses tiga tahap yang mencakup : 1. Identifikasi pengguna

para pengguna pertama-tama mengidentifikasi diri mereka dengan cara memberikan sesuatu yang mereka ketahui, misalnya kata sandi.

2. Otentikasi pengguna setelah identifikasi awal di lakukan, para

pengguna memverifikasi akses dengan cara memberikan sesuatu yang mereka miliki, seperti smart card atau tanda tertentu atau chip identifikasi. 3. Otorisasi pengguna

setelah pemeriksaan identifikasi dan otentikasi di lalui, seseorang kemudian dapat mendapatkan otorisasi untuk memasuki tingkat atau derajat penggunaan tertentu.

2. Sistem deteksi gangguan mengenali upaya pelanggaran keamanan

sebelum memiliki kesempatan untuk melakukan perusakan. Contohnya : peranti lunak proteksi virus yang terbukti efektif melawan virus yang terkirim melalui e-mail.

3. Firewall pendekatan membangun dinding

pelindung. Yang berfungsi sebagai penyaring dan penghalang yang membatasi aliran data ke dan dari perusahaan tersebut dan internet.

4. Pengendalian kriptografis data dan informasi yang tersimpan dan di

transmisikan dapat di lindungi dari pengungkapan yang tidak terotorisasi dengan kriptografi, yaitu penggunaan kode yang menggunakan proses-proses matemetika.

5. Pengendalian fisik peringatan pertama yang tidak terotorisasi

adalah mengunci pintu ruangan komputer. 6. Meletakkan pengendalian teknis pada

tempatnya

• PENGENDALIAN FORMAL pengendalian formal mencakup

penetuan cara berperilaku, dokumentasi prosedur dan praktik yang di harapkan, dan pengawasan serta pencegahan perilaku yang berbeda dari panduan yang berlaku.

• PENGENDALIAN INFORMAL pengendalian informal mencakup

program-program pelatihan dan edukasi serta pembangunan manajemen.

• Dukungan pemerintah dan Indutri beberapa organisasi pemerintah dan

international telah menentukan standar-standar yang di tujukan untuk menjadi panduan bagi organisasi yang ingin mendapatkan keamanan informasi. Beberapa standar ini membentuk tolok ukur, yang telah di identifikasi sebelumnya sebagai penyedia strategi alternatif untuk manajemen risiko.

• Berikut ini adalah beberapa contohnya : 1. BS7799 milik Inggris

2. BSI IT baseline protection manual3. COBIT4. GASSP (Generally Accepted System Security Principles) 5. ISF Standard of good practice

Standar Indutri

• The centre for internet security (CIS) adalah organisasi nirlaba yang di dedikasikan untuk membantu para pengguna komputer guna membuat sistem mereka lebih aman.

Sertifikasi profesional • Mulai tahun 1960-an, profesi TI mulai

menawarkan program sertifikasi. 3 contoh mengilustrasikan cakupan dari program ini: 1. Asosiasi Audit Sistem dan pengendalian 2. konsorsium sertifikasi keamanan sistem informasi internasional3. Institut SANS

Meletakkan manajemen keamanan informasi pada tempatnya

• Perusahaan harus merencanakan kebijakan manajemen keamanan informasi sebelum menempatkan pengendalian

Manajemen keberlangsungan bisnis • Aktifitas yang di tujukan untuk menentukan

operasional setelah terjadi gangguan sistem informasi.

Recana darurat • Rencana darurat (emergency plan) menyebutkan

cara-cara yang akan menjaga keamanan karyawan jika bencana terjadi. Cara-cara ini mencakup sistem alarm, prosedur evakuasi, dan sistem pemadaman api.

Rencana cadangan • Perusahaan harus mmengatur agar fasilitas

komputer cadangan tersedia seandainya fasilitas yang biasa hnacur dan rusak sehingga tidak dapat di gunakan. Cadangan dapat di peroleh melalui kombinasi rekundasi, keberagaman, & mobilitas.

Rencana catatan penting

• Catatan penting (vital record) perusahaan adalah dokumen kertas, mikroform, dan media penyimpanan optis dan magnetis yang penting untuk meneruskan bisnis perusahaan tersebut. Dan menentukan cara bagaimana catatan penting tersebut harus di lindungi.

Kesimpulan

• Dimasa sekarang banyak perusahaan mencari keamanan sistem informasi yang tidak menghambat ketersediaan informasi bagi pihak-pihak yang mmemiliki otorisasi untuk mendapatkannya. Ppemerintah mencari keamanan sistem yang tidak melanggar hak pribadi perorangan. Hal-hal ini adalah keseimbangan yang sulit untuk di dapat.

Terima Kasih Atas Perhatiannya