BAB 10 KEAMANAN SISTEM Keamanan sistem mengacu pada perlidungan terhadap semua sumber daya informasi perusahaan dari ancaman oleh pihak pihak yang tidak berwenang. Perusahaan menerapkan suatu program keamanan sistem yang efektif dengan pertama-tama mengindentifikasi berbagai kelemahan dan kemudian menerapkan perlawanan dan perlindungan yang diperlukan. Tujuan keamanan • Kerahasiaan. Perusahaan berusaha untuk melindungi data dan informasi dari orang yang tidak berhak. • Ketersediaan. Tersedianya data dan informasi bagi mereka yang berwenang untuk menggunakannya • Integritas Semua subsistem harus menyediakan gambaran akurat dari sistem fisik yang diwakilinya Kejahatan Komputer Pada awalnya istilah kejahatan maya (cyber crime) = kejahatan komputer (computer crime). Kejahatan Komputer dirumuskan sebagai perbuatan melawan hukum yang dilakukan dengan memakai komputer sebagai sarana/alat atau komputer sebagai objek, baik untuk memperoleh keuntungan ataupun tidak, dengan merugikan pihak lain. Beberapa Kejahatan Komputer : a. Unauthorized Access to Computer Sistem and Service Kejahatan yang dilakukan dengan memasuki/menyusup ke dalam suatu sistem jaringan komputer secara tidak sah, tanpa izin/tanpa sepengetahuan dari pemilik sistem jaringan komputer yang dimasukinya. b. Illegal Contents Merupakan kejahatan dengan memasukkan data atau informasi ke internet tentang sesuatu hal yang tidak benar, tidak etis, dan dapat dianggap melanggar hukum atau mengganggu ketertiban umum. c. Data Forgery Merupakan kejahatan dengan memalsukan data pada dokumen-dokumen penting yang tersimpan sebagai scriptless document melalui internet. d. Cyber Espionage Merupakan kejahatan yang memanfaatkan jaringan internet untuk melakukan kegiatan mata-mata terhadap pihak lain, dengan memasuki sistem jaringan komputer (computer network sistem) pihak sasaran. e. Cyber Sabotage and Extortion Kejahatan ini dilakukan dengan membuat gangguan, perusakan atau penghancuran terhadap suatu data, program komputer atau sistem jaringan komputer yang terhubung dengan internet. f. Offense Against Intellectual Property Kejahatan ini ditujukan terhadap hak atas kekayaan intelektual yang dimiliki pihak lain di internet. Sebagai contoh adalah peniruan tampilan pada web page suatu situs milik orang lain secara ilegal, penyiaran suatu informasi di internet yang ternyata merupakan rahasia dagang orang lain dsbnya. g. Infringements of Privacy Kejahatan ini ditujukan terhadap informasi seseorang yang merupakan hal yang sangat pribadi dan rahasia. Kejahatan ini biasanya ditujukan terhadap keterangan seseorang pada formulir data pribadi yang tersimpan secara computerized, yang apabila diketahui oleh orang lain akan dapat merugikan korban secara materil maupun immateril, seperti nomor kartu kredit, nomor PIN ATM, cacat atau penyakit tersembunyi dan sebagainya. Sistem Informasi Manajemen Hal.1
Klasifikasi Keamanan Sistem Informasi Menurut David Icove : • Keamanan yang bersifat fisik (physical security); • Keamanan yang berhubungan dengan orang (personel security); • Keamanan dari data dan media serta teknik komunikasi; • Keamanan dalam operasi. Berdasarkan Fungsinya : a. Network security; Fokus pada saluran pembawa informasi; b. Application security; Fokus pada aplikasinya sendiri; c. Computer security; Fokus kepada keamanan dari komputer (end sistem) Pengendalian Akses Pengendalian Akses dicapai melalui suatu proses tiga langkah yang mencakup identifikasi pemakai, pembuktian keaslian pemakai, dan otorisasi pemakai. 1. Identifikasi pemakai ( user identification ) 2. Pembuktian keaslian pemakai ( user authentification ) 3. Otorisasi Pemakai ( user authorization ) Pelayanan dari Keamanan Sistem a. Privacy / confidentiality; Proteksi data [pribadi] yang senstif: Nama, ttl, agama, hobby, penyakit yang pernah diderita, status perkawinan. Data pelanggan; Sangat sensitif dalam e-commerce, dan healthcare. Serangan : sniffer. b. Integrity; Informasi tidak berubah tanpa izin (tampered, altered, modified) Serangan : spoof, virus, trojan horse. c. Authentication; Menyakinkan keaslian data, sumber data, orang yang mengakses data, server yang digunakan. Dfasilitasi dengan penggunaan digital signature, biometrics; Serangan : password palsu. d. Availability; Informasi harus dapat tersedia ketika dibutuhkan. Serangan : Denial of service (DoS) attack, dalam bentuk antara lain Server dibuat hang, down, atau crash. e. Non-repudiation; Tidak dapat menyangkal (telah melakukan transaksi) : - Menggunakan digital signature - Perlu pengaturan masalaha hukum f. Access control. Mekanisme untuk mengatur siapa boleh melakukan apa : - Biasanya menggunakan password - Adanya kelas / klasifikasi Dasar-dasar Keamanan Sistem Informasi Kriptografi (cryptography) merupakan ilmu dan seni untuk menjaga pesan agar aman. Crypto berarti secret (rahasia) dan graphy berarti tulisan (writing). Sebuah algoritma kriptografik disebut cipher, merupakan persamaan matematik yang digunakan untuk proses enkripti dan dekripsi.
Sistem Informasi Manajemen Hal.2
Enkripsi (encryption) adalah : Proses untuk mengamankan sebuah pesan (plaintext) menjadi pesan yang tersembunyi (chipertext); disebut pula enchiper. Proses untuk mengubah chipertext menjadi plaintext disebut Dekripsi (decryption) atau dechiper. Cryptanalysist adalah seni dan ilmu untuk memecahkan ciphertext tanpa bantuan kunci. Cryptology : gabungan dari chryptography dan cryptanalysis Penguji Keamanan Sistem Administrator dari sistem informasi membutuhkan automated tools yang membantu menguji atau mengevaluasi keamanan sistemnya. Misalkan : a. Crack, Untuk menduga atau memecahkan password dengan menggunakan sebuah/beberapa kamus secara brute force cracking (mengenkripsi sebuah kata dari kamus, bandingkan hasil enkripsi dengan password yang ingin dipecahkan, terus menerus sampai terpecahkan). Juga memiliki program heuristic. b. Land & latierra, Program yang dapat membuat sistem windows 95/NT menjadi macet (hang, lock up), dengan mengirimkan sebuah paket yang sudah di-spoofed sehingga seolah-olah berasal dari mesin yang sama. c. Ping-o-death Sebuah program (ping) yang dapat meng-crash-kan windows 95/NT dan beberapa versi UNIX d. Winuke, Program untuk memacetkan sistem berbasis windows Sistem Pemantau Jaringan Network monitoring digunakan untuk mengetahui adanya lubang keamanan, antara lain : mampu mendeteksi orang yang tidak berhak mengakses server dalam sistem internal, dan lokasi akses dari tempat lain serta usaha-usaha untuk melumpuhkan sistem dengan mengirimkan paket yang jumlahnya berlebihan (denial of service attack - DoS). NM biasanya menggunakan protokol SNMP (simple network monitoring protocol). Contoh program NM antara lain : • Etherboy (windows), Etherman (unix) • HP Openview (windows) • Packetboy (windows), Packetman (unix) • SNMP Collector (windows) • Webboy (windows) • Iptraf • Netwatch • Ntop (memantau proses di sistem unix) • Trafshow (menunjukkan traffic antar host dalam bentuk text-mode. Properti Sistem Informasi Yang Memberikan Keamanan Isi Data Dan Informasi 1. Integritas Fungsional Kemampuan, untuk melanjutkan operasi jika salah satu/lebih komponen tidak berfungsi 2. Audibilitas (Kemampuan Dapat Terdengar), mudah untuk diperiksa, diverifikasi atau didemonstrasikan penampilannya berarti harus lulus dalam pengujian Accountability & Visibility 3. Daya kontrol Penghambatan, pengaruh terhadap sistem yaitu dengan membagi sistem menjadi subsistem yang menangani transaksi secara terpisah
Sistem Informasi Manajemen Hal.3
TUGAS KONTROL CBIS Mencakup semua fase siklus hidup, selama siklus hidup dibagi menjadi kontrol-kontrol yang berhubungan dengan pengembangan sistem, desain dan operasi Metode Untuk Mendapatkan dan Memelihara Kontrol CBIS: 1. Manajemen dapat melakukan kontrol langsung 2. Manajemen mengontrol CBIS secara tidak langsung dengan terus menerus melalui CIO. 3. Manajemen mengontrol CBIS secara tidak langsung berkenaan dengan proyeknya melalui pihak ketiga Kontrol Proses Pengembangan Untuk memastikan bahwa CBIS yg diimplementasikan dpt memenuhi kebutuhan pemakai atau berjalan sesuai rencana 1. Fase Perencanaan; Mendefinisikan tujuan dan kendala 2. Fase Analisis & Disain; Mengidentifikasi kebutuhan informasi, Menentukan kriteria penampilan, Menyusun disain dan standar operasi CBIS 3. Fase Implementasi; Mendefinisikan program pengujian yang dapat diterima, Memastikan apakah memenuhi criteria penampilan, Menetapkan prosedur utk memelihara CBIS 4. Fase Operasi & Kontrol; Mengontrol CBIS selagi berevolusi selama fase SLC, Memastikan bahwa CBIS yang diimplementasikan dapat memenuhi kebutuhan Kontrol Disain Sistem Tujuan untuk memastikan bahwa disainnya bisa meminimalkan kesalahan, mendeteksi kesalahan dan mengoreksinya. Kontrol tidak boleh diterapkan jika biayanya lebih besar dari manfaatnya. Nilai atau manfaat adalah tingkat pengurangan resiko. I. Permulaan Transaksi (Transaction Origination) Perekaman satu elemen data/lebih pada dokumen sumber 1. Permulaan Dokumentasi Sumber Perancangan dokumentasi Pemerolehan dokumentasi Kepastian keamanan dokumen 2. Kewenangan Bagaimana entry data akan dibuat menjadi dokumen dan oleh siapa 3. Pembuatan Input Komputer Mengidentifikasi record input yang salah dan memastikan semua data input diproses 4. Penanganan Kesalahan Mengoreksi kesalahan yang telah dideteksi dan menggabungkan record yg telah dikoreksi ke record entry 5. Penyimpanan Dokumen Sumber Menentukan bagaimana dokumen akan disimpan dan dalam kondisi bagaimana dapat dikeluarkan II. Entri Transaksi Entri Transaksi mengubah data dokumen sumber menjadi bentuk yang dapat dibaca oleh komputer. 1. Entri Data. - Kontrol dalam bentuk prosedur tertulis dan dalam bentuk peralatan inputnya sendiri. - Dapat dilakukan dengan proses offline/online 2. Verifikasi Data a. Key Verification (Verifikasi Pemasukan) Data dimasukkan ke sistem sebanyak 2 kali b. Sight Verification (Verifikasi Penglihatan) Melihat pada layar sebelum memasukkan data ke sistem 3. Penanganan Kesalahan. Merotasi record yang telah dideteksi ke permulaan transaksi untuk pengoreksian 4. Penyeimbangan Batch. Mengakumulasikan total setiap batch untuk dibandingkan dengan total yang sama yang dibuat selama permulaan transaksi III. Komunikasi Data a. Tanggungjawab manajer jaringan dengan menggabungkan ukuran keamanan ke dalam sistem dan memonitor penampilan untuk memastikan keamanan telah dilakukan dengan baik b. Kontrol Pengiriman Data Sistem Informasi Manajemen Hal.4
c. Kontrol Channel Komunikasi d. Kontrol Penerimaan Pesan e. Rencana Pengamanan Datacom Secara Keseluruhan IV. Pemrosesan Komputer Dikaitkan dengan input data ke komputer dan dibangun dalam program dan database a. Penanganan Data b. Penanganan Kesalahan c. Database dan Perpustakaan Software V. Output Komputer Komponen subsistem ini bertanggung jawab untuk mengirimkan produk jadi kepada pemakai a. Distribusi Kontrol, pada distribusi laporan berusaha untuk memastikan ketepatan orang yang menerima output. b. Penyeimbangan Departemen Pemakai. Bila departemen pemakai menerima output dari komputer, maka keseluruhan kontrol dari output dibandingkan dengan total yang sama yang telah ditetapkan pada waktu pertama kali data input dibuat. c. Penanganan Kesalahan. Kelompok kontrol tertentu dapat ditetapkan didalam area pemakai dengan menjalankan prosedur formal untuk mengoreksi kesalahan. d. Penyimpangan Record. Tujuan komponen kontrol yang terakhir ini adalah untuk memelihara keamanan yang tepat terhadap output komputer dan untuk mengontrol penyelesaian yang siasia. e. Penyeimbangan Operasi Komputer. Kontrol ini memungkinkan pelayanan informasi untuk memverifikasi bahwa semua batch dan transaksi yang diterima dari departemen pemakai telah diproses. Kontrol Terhadap Pengoperasian Sistem Kontrol pengoperasian sistem dimaksudkan untuk mencapai efisiensi dan keamanan. Kontrol yang memberikan kontribusi terhadap tujuan ini dapat diklasifikasikan menjadi 5 area : 1. Struktur organisasional Staf pelayanan informasi diorganisir menurut bidang spesialisasi. Analisis, Programmer, dan Personel operasi biasanya dipisahkan dan hanya mengembangkan ketrampilan yang diperlukan untuk area pekerjaannya sendiri. 2. Kontrol perpustakaan Perpustakaan komputer adalah sama dengan perpustakaan buku, dimana didalamnya ada pustakawan, pengumpulan media, area tempat penyimpanan media dan prosedur untuk menggunakan media tersebut. Yang boleh mengakses perpustakaan media hanyalah pustakawannya. 3. Pemeliharaan Peralatan Orang yang tugasnya memperbaiki computer yang disebut Customer Engineer (CE) / Field Engineer (FE) / Teknisi Lapangan menjalankan pemeliharaan yang terjadwal / yang tak terjadwal. 4. Kontrol lingkungan dan keamanan fasilitas Untuk menjaga investasi dibutuhkan kondisi lingkungan yang khusus seperti ruang computer harus bersih keamanan fasilitas yang harus dilakukan dengan penguncian ruang peralatan dan komputer. 5. Perencanaan disaster a. Rencana Keadaan Darurat. Prioritas utamanya adalah keselamatan tenaga kerja perusahaan b. Rencana Backup. Menjelaskan bagaimana perusahaan dapat melanjutkan operasinya dari ketika terjadi bencana sampai ia kembali beroperasi secara normal. c. Rencana Record Penting. Rencana ini mengidentifikasi file data penting & menentukan tempat penyimpanan kopi duplikat. d. Rencana Recovery. Rencana ini mengidentifikasi sumber-sumber peralatan pengganti, fasilitas komunikasi da pasokan-pasokan.
Sistem Informasi Manajemen Hal.5
KEAMANAN SISTEM Tujuan Keamanan Sistem (System Security) 1. Kerahasiaan Perusahaan berusaha melindungi data dan informasi dari pengungkapan kepada orang-orang yang tidak berhak 2. Ketersediaan Tujuan CBIS adalah menyediakan data dan informasi bagi mereka yg berwenang untuk menggunakannya terutama bagi subsistem CBIS yang berorientasi informasi SIM, DSS dan SP 3. Integritas Semua subsistem CBIS harus menyediakan gambaran akurat dari sistem fisik yang diwakilinya ANCAMAN KEAMANAN 1. Pengungkapan tidak sah dan pencurian. Jika database dan software tersedia bagi orang-orang yang tidak berwenang untuk mendapatkan aksesnya, hasilnya dapat berupa kehilangan informasi 2. Penggunaan tidak sah. Orang-orang yang biasanya tidak berhak menggunakan sumber daya perusahaan 3. Penghancuran tidak sah dan penolakan jasa. Orang dapat merusak / menghancurkan hardware dan software menyebabkan terhentinya operasi komputer perusahaan 4. Modifikasi tidak sah 5. Jenis modifikasi yang sangat mencemaskan disebabkan oleh sotware yang merusak yang terdiri dari program lengkap/segmen kode yg melaksanakan fungsi yang tidak dikehendaki pemilik sistem Dasar untuk keamanan terhadap ancaman oleh oangorang yang tidak berwenang adalah pengendalian akses karena jika orang tidak berwenang ditolak aksesnya ke sumber daya informasi, perusakan tidak dapat dilakukan PENGENDALIAN AKSES 1. Identifikasi pemakai (User Identification). Pemakai mula-mula mengidentifikasi diri sendiri dengan menyediakan sesuatu yang diketahuinya seperti kata sandi 2. Pembuktian keaslian pemakai (User Authentication). Pemakai membuktikan haknya atas akses dengan menyediakan sesuatu yang menunjukkan bahwa dialah orangnya, seperti tanda tangan 3. Otorisasi pemakai (User Authorization). User Identification dan User Authentication menggunakan profil pemakai / penjelasan mengenai pemakai yang berwenang User Authorization menggunakan file pengendalian akses yang menentukan tingkat-tingkat akses yang tersedia untuk tiap pemakai. Suatu AUDIT LOG disimpan untuk semua kegiatan pengendalian akses seperti tanggal, jam serta identifikasi terminal. LOG digunakan untuk menyiapkan laporan keamanan
Sistem Informasi Manajemen Hal.6
