ANALISIS KEAMANAN JARINGAN ANGKASA PURA AIRPORTS YOGYAKARTA BERBASIS MIKROTIK BERDASARKAN ISO/IEC 27001:2013
NASKAH PUBLIKASI
diajukan oleh Samsul Utama 11.11.4927
kepada SEKOLAH TINGGI MANAJEMEN INFORMATIKA DAN KOMPUTER AMIKOM YOGYAKARTA YOGYAKARTA 2015
ANALISIS KEAMANAN JARINGAN ANGKASA PURA AIRPORTS YOGYAKARTA BERBASIS MIKROTIK BERDASARKAN ISO/IEC 27001:2013 Samsul Utama1), Sudarmawan2), 1,2)
Teknik Informatika STMIK AMIKOM Yogyakarta Jl Ringroad Utara, Condongcatur, Depok, Sleman, Yogyakarta Indonesia 55283
Email :
[email protected]),
[email protected])
diabaikan akan menyebabkan masalah besar dikemudian hari dan membuat pelayanan perusahaan terganggu.
Abstract - Angkasa Pura Airports Yogyakarta is a company engaged in the management of airports in Indonesia. The amount of resources that are connected to the office network requires Angkasa Pura remain always optimal, and this affects the risk of information security in the network that need to be implemented information security audit on the router being used. And will be known to the state of information security at Angkasa Pura Airports. This study is done based on the international standard ISO/IEC 27001: 2013. That where there are 14 domains in the ISO/IEC 27001:2013. This study will use the seven domains of which will be discussed, namely the router policy, the administrator authentication, the access router management, configuration management, business continuity, log management and incident handling. Before the study was conducted, the result of information security on the router Angkasa Pura Airports before audited only meet eight checklist which means high risk, after the audit level of information security on the router Angkasa Pura Airports meet twenty five checklist that there are thirty checklist standar ISO/IEC 27001:2013 which means safe.
ISO/IEC 27001:2013 merupakan suatu standar yang menyediakan metodologi untuk mengimplementasi sistem manajemen keamanan informasi dalam organisasi atau perusahaan yang diterbitkan oleh ISO dan IEC. Dari 114 control terdapat 6 kategori berisikan pertanyaan yang memuat 29 control membahas keamanan pada router diantaranya, yaitu router policy, administrator authentication, router access management, configuration management, business continuity, log management and incident handling. Dari 6 kategori tersebut jaringan Angkasa Pura Airports Yogyakarta akan dianalisis dengan tujuan untuk melakukan verifikasi bahwa subjek berjalan sesuai dengan standar keamanan. Berdasarkan latar belakang masalah yang telah disampaikan, maka permasalahan yang dapat dirumuskan yaitu Bagaimana tingkat keamanan informasi router mikrotik berdasarkan ISO/IEC 27001:2013 pada Angkasa Pura Airports Yogyakarta. Penetilian ini bertujuan untuk menerapkan manajemen keamanan jaringan router Angkasa Pura Airports Yogyakarta berbasis Mikrotik yang sesuai dengan ISO/IEC 27001:2013. Serta memperoleh manfaat untuk menyiapkan keamanan jaringan pada perusahaan untuk siap menangani sebuah insiden, membuat suatu control akses pada router, menyiapkan bagaimana cara manage konfigurasi router dan memastikan jika ada gangguan, dapat recovery dari gangguan tersebut.
Keywords - ISO/IEC 27001:2013, Mikrotik, Security, Standards, Information. 1. Pendahuluan Keamanan informasi menjadi hal yang sangat berharga dipelbagai organisasi dan perusahaan yang menggunakan fasilitas tekonologi informasi (TI) dalam menunjang kualitas pelayanan perusahaan yang diberikan. Pentingnya nilai sebuah informasi membuatnya hanya dapat diakses oleh orang-orang tertentu saja, karena apabila jatuh ke tangan yang salah maka dapat menimbulkan kerugian bagi organisasi pemilik informasi tersebut.[1]
Beberapa audit keamanan jaringan yang berhubungan dengan berdasarkan ISO/IEC 27001:2013 yang pernah dibuat adalah: Riawan Arbi Kusuma (2014), melakukan audit keamanan sistem informasi berdasarkan ISO 27001. Audit yang dilakukan dengan standar ISO 27001 mendapatkan penyimpulan proses pengamanan informasi pada sistem informasi akademik baru sebatas mengikuti pola teratur tetapi tidak ada pelatihan formal sebelumnya dan tidak ada standar prosedur yang digunakan sebagai acuan.[2]
Mengingat pentingnya sebuah informasi, sebagai salah satu perusahaan yang bergerak dalam bidang pengelolaan bandar udara di Indonesia, Angkasa Pura Airports Yogyakarta menggunakan TI sebagai pendukung proses bisnisnya. Perusahaan ini memiliki sistem informasi kantor yang menghubungkan setiap komputer dengan server yang terdapat dilingkungan kantor dan saling terhubung setiap departemen. Hal ini tentu saja membutuhkan sebuah standar manajemen keamanan informasi yang optimal karena bila
Nur Hariawan Bulu (2013), melakukan analisis keamanan jaringan pada STMIK Amikom Yogyakarta berdasarkan ISO/IEC 27001:2005 dengan standar A.11.4.4 membahas
1
keamanan pengendalian akses port diagnostik dan konfigurasi. Penelitian ini menggunakan sebuah perangkat Cisco yang menyimpulkan dengan menggunakan standar A.11.4.4 dapat mencegah penyerangan ataupun orang yang tidak berwenang tidak dapat mengakses perangkat-perangkat jaringan.[3]
Tujuan dari audit adalah untuk memberikan gambaran kondisi tertentu yang berlangsung di perusahaan dan pelaporan mengenai pemenuhan terhadap sekumpulan standar yang terdefinisi.[7] 2.3.1 Tahapan Audit Dikutip ISO 27001 Security, Tahapan-tahapan audit dapat dilihat pada gambar berikut:
Perbedaan penelitian ini dengan yang sudah ada dengan penelitian sebelumnya yaitu, masih menggunakan ISO/IEC 2005 dan pada penelitian ini menggunakan ISO/IEC 2013 karena terdapat perbedaan yang sangat besar pada versi yang terbaru. Selain itu penelitian sebelumnya hanya melakukan sebuah audit pada keamanan informasi belum melakukan analisis dan konfigurasi pada permasalahan keamanan. Penelitian pada kali ini juga yang digunakan adalah perangkat
Gambar 1. Tahapan Audit 2.4 ISO International Organization of Standardization atau biasa dikenal dengan ISO adalah badan penetap standar internasional yang terdiri dari wakil-wakil dari badan standardidasi nasional setiap negara. ISO juga merupakan standar internasional dalam sebuah sistem manajemen untuk pengukuran mutu organisasi. Mereka memegang peranan penting dalam mengukur bagaimana kredibilitas perusahaan yang ingin bersaing secara global dan juga adalah salah satu cara untuk meningkatkan sistem manajemen mutunya.
mikrotik yang sedianya sudah dikenal luas oleh masyarakat Indonesia. 2. Landasan Teori 2.1 Keamanan Informasi Informasi adalah kumpulan data yang diolah menjadi bentuk yang lebih berguna dan lebih berarti bagi yang menerima.[4] Kamat,M., (2012) mengatakan bahwa Keamanan informasi adalah bagaimana melestarikan menjaga sebuah informasi yang berharga tersebut terhindar dari bahaya. Hal ini dapat dicapai dengan menggunakan langkah-langah sebagai berikut: 1. Menentukan ancaman-ancaman yang dapat terjadi terhadap informasi. 2. Melindungi Confidentially, Integrity, dan Availibity (CIA). 3. Menghindari, mencegah, mendeteksi dan mengembalikan keadaan dari sebuah insiden. 4. Mengamankan orang, proses dan teknologi, bukan hanya pada TI saja. Ada tiga hal yang perlu diperhatikan dalam keamanan informasi yaitu: 1. Confidentially (rahasia). Sebuah data atau informasi yang dapat diakses hanya untuk orang yang berwenang saja. 2. Integrity (integritas). Menjaga akurasi dan kelengkapan informasi secara lengkap, tanpa ada perubahan apapun. 3. Availability (ketersediaan). Memastikan sebuah data atau informasi tersedia saat diperlukan.[5]
2.5 ISO/IEC 27001:2013 ISO 27001:2013 adalah keamanan informasi standar yang diterbitkan pada 25 September 2013. Ini adalah spesifikasi untuk sebuah ISMS. ISMS adalah pendekatan sistematis untuk mengelola perusahaan yang sensitif informasi sehingga tetap aman. Ini mencakup orang, proses dan sistem TI dengan menerapkan risiko proses manajemen. Berikut 114 kontrol keamanan yang terbagi dalam 14 kelompok: 1. A.5: Information security policies (2 controls) 2. A.6: Organization of information security (7 controls) 3. A.7: Human resource security (6 controls) 4. A.8: Asset management (10 controls) 5. A.9: Access control (14 controls) 6. A.10: Crytography (2 controls) 7. A.11: Physical and environmental security (15 controls) 8. A.12: Operations security (14 controls) 9. A.13: Communications security (7 controls) 10. A.14: System acquistion, development and maintenance (13 controls) 11. A.15: Supplier relationships (5 controls) 12. A.16: Information security incident management (7 controls) 13. A.17: Information security aspects of bussiness continuity management (4 controls) 14. A.18: Compliance (8 controls).
2.2 Mengapa diperlukan Keamanan Informasi Keamanan informasi memproteksi informasi dari ancaman yang luas untuk memastikan kelanjutan usaha, memperkecil rugi perusahaan dan memaksimalkan laba atas investasi dan kesempatan usaha. Manajemen sistem informasi memungkinkan data untuk terdistribusi secara elektronis, sehingga diperlukan sistem untuk memastikan data telah terkirim dan diterima oleh user yang benar. [6]
2.6 Kontrol Keamanan Router Terdapat 6 kategori yang akan membahas keamanan pada router, dari keenam kategori tersebut seperti router policy, administrator authentication, router access management, configuration management, business continuity, log management and incident handling. Dalam 6 kategori
2.3 Audit
2
tersebut telah mengandung setidaknya 29 kontrol keamanan router yang berdasarkan ISO/IEC 27001:2013.
Pada topologi diatas yang akan dianalisis dalam penelitian ini adalah router bagian kantor pusat, dimana router ini terhubung kesemua jaringan serta bagian terminal. Sehingga sangat riskan apabila router terjadi gangguan sehingga diperlukan sebuah audit untuk menyimpulkan apakah router tersebut sudah sesuai standar manajemen keamanan jaringan. Dalam mengumpulkan data-data yang diperlukan, peneliti memeriksa perangkat jaringan yang digunakan yaitu router dengan menggunakan contoh tabel checklist sebagai berikut:
2.7 Mikrotik Mikrotik adalah sebuah merek dari sebuah perangkat jaringan, pada awalnya Mikrotik hanyalah sebuah perangkat lunak atau software yang dipasang dalam komputer yang digunakan untuk mengontrol jaringan, tetapi dalam perkembangannya saat ini menjadi sebuah device atau perangkat jaringan dengan harga terjangkau, serta banyak digunakan pada level perusahaan jasa internet.[8] 3. Analisis dan Perancangan
Pertanyaan
3.1 Tahapan Audit 3.1.1 Scoping and Pre-audit Survey
Router Policy
Tabel 1. Contoh Checklist Menemukan Control Ya Tidak ISO 27001
Apakah ada router dilokasi?
Ruang lingkup yang digunakan dalam penelitian adalah Angkasa Pura Airports yang merupakan perusahaan yang bergerak dalam bidang pengelolaan bandar udara di Indonesia. Sistem hanya berfokus pada pelayanan kebutuhan karyawan dan fokus dari sisi keamanan jaringan terlupakan, sehingga ini dapat menjadi celah keamanan bagi seseorang untuk melakukan gangguan jaringan.
Kebijakan keamanan router akan
A.5.1.1 A.9.1.2
3.3.1 Fieldwork Langkah ini merupakan pembuktian audit.
akumulasi
Standard/ Best Pratice
dari
audit
dan
3.3.1.1 Router Policy Dengan melihat checklist perangkat jaringan pada lampiran , router terdapat dilokasi tapi belum terdapat sebuah peraturan yang membahas kebijakan seperti kontrol akses, backup dan lain-lain. Seharusnya sebuah kebijakan bukan hanya sekedar diingat, sebaiknya ada peraturan yang tertulis dalam membahas kebijakan.
Pada penelitian kali ini, peneliti mengamankan keamanan informasi yang mencakup router policy, administrator authentication, router access management, configuration management, business continuity, log management and incident handling. Keenam kategori tersebut berdasakan ISO/IEC 27001:2013 memberikan panduan mengamankan informasi pada router.
3.3.1.2 Administrator Authentication 1. Prosedur Membuat User Dalam membuat user sebaiknya ada prosedur yang terdokumentasi yang membuat persetujuan dari kepala departemen dan mencatat level otorisasi yang diberikan kepada administrator. Sehingga integritas keamanan tetap terjaga karena prosedur telah terdokumentasi. 2. Akun Unik Setiap administrator router harus memiliki sebuah akun unik. Salah satu cara untuk memeriksanya adalah dengan menggunakan perintah user> print. Untuk lebih jelasnya, dapat diperhatikan pada gambar berikut ini.
3.2.1 Planning and Preparation Tahapan ini menghasilkan checklist audit dan rencana audit yang telah disepakati dengan manajemen. Setelah melakukan penelitian terhadap kondisi jaringan dan topologi jaringan yang digunakan oleh Angkasa Pura Airports, didapatkan bahwa terdapat tiga router dan delapan switch yang digunakan. Terbagi menjadi dua bagian, kantor pusat Angkasa Pura Airports dan Terminal. Router merupakan perangkat jaringan mikrotik. Berikut gambaran jelas topologi sebagai berikut:
Gambar 3. User Print Kolom name pada gambar diatas menunjukkan sebuah nama akun untuk melakukan login sebuah router. Dilihat dari nama akun yang sudah ada, username diatas belum memenuhi syarat untuk menjaga akuntabilitas. 3. Kebijakan Password Password administrator perlu diubah secara berkala, menurut standar perubahan password diubah dalam jangka setiap 4 hingga 6 bulan. Angkasa Pura Airports melakukan
Gambar 2. Topologi Jaringan Angkasa Pura Airports
3
perubahan kebijakan password dalam 6 bulan sekali, perubahan dilakukan walaupun dijangka maksimal. Hal ini dapat dibuktikan dengan melihat log tapi sistem log pada perusahaan belum mencapai jangka 6 bulan, peneliti belum menemukan cara untuk membuktikannya.
3.3.1.5 Bussiness Contuinuity 1. Redundansi Perusahaan terkadang memerlukan redudansi, saat router mengalami kritis. Pihak Angkasa Pura saat ini belum menerapkan redundansi, dilihat dari tempat penelitian. Peneliti belum menemukan redundansi pada router mikrotik. 2. Pemulihan Insiden Prosedur pemulihan insiden perlu didokumentasikan dengan baik dan diuji secara berkala, agar kejadian insiden tidak akan terulang kembali. Salinan konfigurasi router perlu disimpan pada keadaan offline, perintah ini dapat dilakukan dengan masuk ke /files (tarik file backup untuk menyimpannya pada offline).
3.3.1.3 Router Access Management 1. Service Router Layanan yang tidak digunakan seharusnya dinonaktifkan untuk mencegah akses yang tidak sah dan mungkin eksploitasi. Untuk melihat layanan yang dipakai dapat mengetik perintah [admin@mikrotik] ip service. 2. Mikrotik Discovery Protocol Mikrotik Network Discovery Protocol sebaiknya dinonaktifkan jika tidak digunakan pada interface jaringan eksternal. Untuk melihat dapat mengetik perintah [admin@mikrotik] ip neighbor discovery. 3. SNMP SNMP dapat digunakan untuk berbagai data grafik monitoring dan manajemen jaringan. Contoh penggunaannya pada The Dude dan aplikasi sejenisnya. Untuk menggunakan layanan ini dapat mengetik perintah [admin@mikrotik] snmp set enable=yes. 3.3.1.4 Configuration Management 1. Backup Konfigurasi router harus di backup secara berkala tergantung pada kepentingan dan frekuensi perubahan yang dibuat pada konfigurasi. Untuk melakukan backup dapat menggunakan perintah [admin@mikrotik] system backup> save name=(namafile). Saat ini tidak sering dilakukan backup apabila saat melakukan perubahan konfigurasi router, padahal ini sangat riskan apabila terjadi kesalahan konfigurasi yang mengakibatkan password gangguan. Menyimpan file backup tentu harus dibatasi oleh petugas yang berwenang saja, file backup dapat diberi dengan cara [admin@mikrotik] system backup> save name= password= . Semua hal yang mengandung prosedur backup seperti tempat penyimpanan dan periode seharusnya didokumentasikan, Saat ini pihak Angkasa Pura Airports sudah melakukan hal ini. 2. Reset Configuration Sebuah prosedur yang mengatur sistem reset atau pemulihan dari backup perlu didokumentasikan untuk menghindari downtime yang tidak perlu. Untuk perintah pemulihan backup dapat mengetik [admin@mikrotik] system backup load name=. Sedangkan untuk reset dengan perintah [admin@mikrotik] system reset-configuration. Untuk saat ini pihak kantor Sudah ada sebuah prosedur yang mengatur hal tersebut. 3. Update Network engineer harus melakukan update RouterOS secara berkala berguna untuk menyadari kerentanan yang terbaru dan dapat mempengaruhi kinerja router, untuk update dapat menggunakan perintah [admin@mikrotik] system packages atau melakukan secara offline dengan mengunduh file dari situs resmi mikrotik. Untuk saat ini pihak kantor belum melakukan hal tersebut.
3.3.1.6 Log Management and Incident Handling 1. Log Detail log setiap perintah yang diketik pada router saat ketika administrator login atau logout, dapat direkam untuk tujuan diaudit. 2. NTP Untuk memeriksa apakah NTP telah diaktifkan atau tidak dapat memasukkan perintah [admin@mikrotik] system> sntp client enable. Fungsi layanan NTP untuk membantu menyinkronkan jam pada perangkat jaringan sehingga menjaga waktu agar tetap konsisten. 3.4.1 Hasil Audit Sebelum Penerapan Dengan berdasarkan pada ISO/IEC 27001:2013 standar A.5.1.1, A.6.1.4, A.8.2.1, A.9.1.2 , A.9.2.1, A.9.2.2, A.9.2.3, A.9.2.4, A.9.3.1, A.9.4.2, A.9.4.3, A.9.4.4, A.12.1.1, A.12.1.2, A.12.1.3, A.12.3.1, A.12.4.1, A.12.4.2, A.12.4.3, A.12.4.4 , A.12.6.1 , A.13.1.1, A.13.1.3 , A.16.1.1, A.16.1.2, A.16.1.6 , A.17.1.1, A.17.1.2, A.17.1.3, yang akan membahas manajemen keamanan jaringan pada sebuah perangkat jaringan router, baik yang fisik maupun logikal. Maka dilakukan audit pada tanggal 18 Maret 2015. Sehingga, didapatkan hasil akumulasi audit yang dilakukan sebagai berikut yang terlampir pada lembar lampiran. Lembar audit checklist tersebut telah diisi oleh pihak perusahaan Angkasa Pura Airports oleh Fauzan Dwi Anandhaluthfi selaku kepala staff IT. Dari tiga puluh checklist yang ada, pihak perusahaan telah memenuhi delapan checklist yang ada, sehingga didapatkan persentasenya yaitu (8/30) x 100 = 27% . Dengan berdasarkan pada tabel dibawah ini, maka kriteria tingkat keamanan informasi Angkasa Pura Airports berdasarkan standar ISO/IEC 27001:2013 adalah beresiko tinggi. Tabel 2. Tingkat Keamanan Informasi Persentase Kriteria >73% 64-73% 53-63% 43-52% <42%
4
Aman Cukup aman Kurang aman Tidak aman Beresiko tinggi
1. Router Policy Dengan melihat tabel hasil audit pada lembaran lampiran, router terdapat dilokasi tapi belum terdapat sebuah peraturan yang membahas kebijakan seperti kontrol akses, backup dan lain-lain. Seharusnya sebuah kebijakan bukan hanya sekedar diingat, sebaiknya ada peraturan yang tertulis dalam membahas kebijakan. 2. Administrator Authentication Dalam membuat user pada sebuah router, harus ada prosedur yang terdokumentasi. Untuk yang satu ini, bila tidak adanya prosedur tersebut dapat terjadi pembuatan user yang tidak perlu sehingga dapat saja terjadi penyusupan melalui user tersebut. Administrator router harus memiliki akun unik untuk dirinya sendiri, pihak perusahaan belum menerapkan hal ini terlihat dari nama akun administrator yang digunakan masih menggunakan nama default akun yaitu root dan admin. Oleh karena itu, perlunya pergantian nama akun untuk menjaga akun tersebut dari penyerangan, dikarenakan mudahnya nama akun tersebut ditebak. Pertama masuk kedalam winbox, pilih system lalu pilih users. Setelah itu pilih tab groups. Apabila memilih hanya read maka akses dibatasi dengan tidak dapat merubah isi setting didalam router. Level akses ini berguna bagi administrator yang hanya ingin mengawasi router tanpa harus mengeksekusi perintah. 3. Router Access Management Layanan seperti webfig, SSH, telnet, dan lain-lain yang tidak digunakan sebaiknya dinonaktifkan, untuk mencegah akses yang tidak sah dan kemungkinan eksploitasi. Dilihat dari kebutuhan perusahaan, hanya telnet dan winbox yang digunakan. Telnet pun jarang digunakan, sebaiknya setelah digunakan dinonaktifkan, sedangkan service yang tidak digunakan dinonaktifkan saja.
3.5.1 Laporan Rekomendasi Setelah mengumpulkan data-data yang diperlukan dan pembuktian audit serta rekomendasi yang disarankan, maka selanjutnya adalah pembuatan laporan. Laporan audit ini yang berdasarkan pada ISO/IEC 27001:2013 yang membahas keamanan pada router yang akan diberikan kepada orang tertinggi dalam perusahaan, kemudian pihak perusahaan akan menentukan apakah ingin mengimplementasikan apa yang telah ditemukan dan disarankan oleh pihak auditor. Laporan rekomendasi disertakan pada lembaran lampiran, diaudit oleh Samsul Utama selaku peneliti dan diverifikasi oleh Fauzan Dwi Anandhaluthfi selaku kepala staff IT. 3.6.1 Analisa Data dan Penerapan ISO/IEC 27001:2013 Setelah semua perangkat jaringan diperiksa satu per satu, maka peraturan dan konfigurasi tersebut diperiksa lagi, apakah layanan tersebut digunakan atau tidak, apakah perlu dimatikan atau tidak, disesuaikan dengan tujuan organisasi. Setelah itu pemeriksaan konfigurasi pada perangkat jaringan yang digunakan, dan memperbaiki konfigurasi yang salah, berikutnya adalah pembuatan laporan audit setelah diterapkan ISO/IEC 27001:2013. 4. Impelementasi dan Pembahasan 4.1 Hasil Penelitian Saat ini Angkasa Pura Airports belum memiliki dokumen untuk mengelola manajemen sistem keamanan jaringan yang melindungi integritas sebuah router yang meliputi aspek router policy, administrator authentication, router access management, configuration management, business continuity, log management and incident handling. Semua aturan yang dibuat tidak dituliskan, hanya sebatas dipikirkan sementara, sehingga tidak adanya aturan yang pasti ketika ingin meningkatkan sistem manajemen keamanan jaringan. Dengan berdasarkan laporan rekomendasi pada lembar lampiran, telah disetujui oleh pihak Angkasa Pura Airports untuk melakukan rekomendasi perbaikan konfigurasi yang saat ini kriteria tingkat keamanan informasinya beresiko tinggi. Maka dilakukan perbaikan konfigurasi pada tanggal 20 Maret 2015 hingga 20 April 2015. Sehingga, didapatkan hasil pada pembahasan sebagai berikut. 4.2 Pembahasan Data atau checklist yang telah dilakukan sebelumnya, digunakan untuk menentukan apakah Angkasa Pura Airports Yogyakarta telah memenuhi sebagian atau seluruhnya dalam implementasi ISO/IEC 27001:2013 yang membahas keamanan pada router, yaitu router policy, administrator authentication, router access management, configuration management, business continuity, log management and incident handling. Setelah laporan rekomendasi disetujui pihak perusahaan maka peneliti melakukan konfigurasi ulang yang salah atau melakukan konfigurasi yang telah direkomendasikan berdasarkan ISO/IEC 27001:2013. Dengan berdasarkan ISO/IEC 27001:2013, didapatkan bahwa:
Gambar 3. Services Mikrotik Network Discovery Protocol sebaiknya dinonaktifkan pada interface khususnya pada jaringan eksternal. Karena berakibat penyerangan dari pihak luar. SNMP digunakan untuk data grafik monitoring dan manajemen jaringan, contohnya The Dude. Pertama masuk kedalam winbox lalu pilih IP dan pilih SNMP. Centang enable dan pilih trap version 3 sehingga tidak mengkonfigurasi ACL, lalu pilih communities untuk mengubah default community strings agar tidak bisa diakses keseluruh jaringan. Tapi peneliti tidak akan membahas lebih
5
jauh the dude, sehingga tidak akan mengaktifkan layanan SNMP, karena belum terlalu memerlukan pencegahan. 4. Configuration Management Konfigurasi router harus di backup secara berkala, hal ini untuk menghindari kejadian terjadi masalah pada router langsung bisa diatasi. Saat ini perusahaan sudah melakukan backup namun tidak dilakukan secara berkala sesuai frekuensi perubahan konfigurasi, jadi harus dilakukan backup setiap ada perubahan. Adapun perintah yang digunakan adalah [admin@mikrotik] system backup> save name= .
5. Kesimpulan Berdasarkan hasil dari analisis keamanan jaringan Angkasa Pura Airports berbasis mikrotik berdasarkan ISO/IEC 27001:2013, maka yang diperoleh dari penelitian ini yakni: 1. Kriteria perusahaan pada tingkat keamanan informari pada router sebelum diaudit baru memenuhi delapan checklist yang ada dari tiga puluh checklist standar ISO/IEC 27001:2013. 2. Setelah dilakukan audit dan pencegahan yang disarankan tingkat keamanan informasi pada router memenuhi dua puluh lima checklist yang ada dari tiga puluh checklist standar ISO/IEC 27001:2013. 3. Perangkat mikrotik dapat menerapkan standar ISO/IEC 27001:2013.
5. Bussiness Contuinuity Dalam keadaan kritis router terkadang memerlukan redudansi, Saat ini perusahaan belum menerapkan redundansi namun perusahaan telah menerapkan router cadangan untuk menghadapi hal kritis tersebut. Perusahaan pun sudah mempunyai prosedur dokumentasi untuk melakukan pemulihan insiden jaringan atau router. Selain backup konfigurasi disimpan didalam router, backup juga perlu disimpan di offline untuk menghindari data terhapus didalam router sehingga mempunyai cadangan backup di offline. Saat ini perusahaan sudah menerapkan hal ini.
Daftar Pustaka [1] Sarno, R., & Iffano, I. 2009. Sistem Manajemen Keamanan Informasi. Surabaya, Indonesia: ITS Press. [2] Riawan A.K. 2014. Audit Keaman Sistem Informasi Berdasarkan Standar SNI-ISO 27001 Pada Sistem Informasi Akademik Universitas Islam Negeri Sunan Kalijaga Yogyakarta. Skripsi. Yogyakarta: Fakultas Sains dan Teknologi, Universitas Islam Negeri Sunan Kalijaga. [3] Nur H.B. 2013. Analisis Keamanan Jaringan STMIK Amikom Yogyakarta Berdasarkan ISO/IEC 27001:2005 Standar A.11.4.4. Skripsi. Yogyakarya: Teknik Informatika, STMIK Amikom. [4] Kristanto A., 2008. Perancangan Sistem Informasi dan Aplikasinya, Yogyakarta :Gava Media. [5] Kamat, M. , 2012. Dari ISO 27001 Security: http://www.ISO27001security.com. Diakses 24 Februari 2015. [6] Syafrizal, M., 2007. ISO 17799: Standar Sistem Manajemen Keamanan Informasi. Seminar Nasional Teknologi 2007, STMIK AMIKOM. Yogyakarta. [7] Sarno, R,. 2009. Audit Sistem & Teknologi Informasi. Surabaya:ITS Press. [8] Athailah. 2013, Mikrotik Untuk Pemula. Jakarta:Mediakita.
6. Log Management and Incident Handling Peristiwa login dan logout harus tercatat didalam logging karena ini dapat berfungsi sebagai audit apabila terjadi gangguan, karena administrator sudah mengetahui siapa saja yang melakukan login dan logout. Perusahaan saat ini sudah mengaktifkan fungsi logging tersebut. Layanan NTP dapat membantu menyinkronkan jam. Adapun perintah untuk mengaktifkan layanan NTP adalah sebagai berikut. Setelah masuk winbox pilih system lalu pilih SNTP Client dan centang menjadi enable. Semua upaya login port, protocol atau service masih terbuka. Untuk service perusahaan masih belum disable yang tidak diperlukan dan untuk port sendiri masih keadaan default. Perusahaan belum melakukan pelarangan dalam login, Adapun perintahnya seperti gambar 3 dan disitu terdapat port yang bisa diganti sesuai administrator inginkan, sehingga hanya administrator yang dapat melakukan login. Port login winbox telah diganti yang semula 8291 dirubah menjadi 6690, sehingga administrator yang bersangkutan yang dapat masuk kedalam winbox tersebut atau yang mengetahui 6690.
Biodata Penulis Samsul Utama, memperoleh gelar Sarjana Komputer (S.Kom), Jurusan Teknik Informatika STMIK AMIKOM Yogyakarta, lulus tahun 2015.
2.3 Laporan Setelah dilakukan laporan audit dan melakukan rekomendasi yang disarankan, maka didapatkan hasil dari tiga puluh checklist yang ada, pihak perusahaan telah memenuhi dua puluh tiga checklist yang ada, sehingga didapatkan persentasenya yaitu (23/30) x 100 = 77% . Dengan berdasarkan tabel 2, maka kriteria tingkat keamanan informasi Angkasa Pura Airports setelah dilakukan rekomendasi audit dari laporan audit yang berdasarkan standar ISO/IEC 27001:2013 adalah aman.
Sudarmawan, memperoleh gelar Sarjana Elektro (ST), Program Studi Teknik Elektro Universitas Gajah Mada, lulus tahun 1998. Tahun 2006 memperoleh gelar Magister elektro (MT) Program Studi Teknik Elektro Universitas Gajah Mada. Saat ini menjadi Dosen dan ketua jurusan Teknik Informatika di STMIK AMIKOM Yogyakarta.
6
