Keamanan Informasi

Kemanan Informasi Di gunakan untuk mendeskripsikan perlindungan baik peralatan komputer maupun non komputer, fasilitas, data, dan informasi dari penyalahgunaan pihak-lpihak yang tidak berwenang.

Tujuan keamanan informasi - Kerahasiaan perusahaan berusaha untuk melindungi data dan informasinya dari pengungkapan kepada orang-orang yang tidak berwenang contohnya: piutang dagang, pembeian, dan utang dagang.

Ketersediaan adalah menyediakan data dan informasi sedia bagi pihak-pihak yang memiliki wewenang untuk menggunakannya contohnya: sistem informasi sumber daya manusia dan sistem informasi eksekutif - Integritas semua sistem informasi harus memberikan representasi akurat atas sistem fisik yang di representasikannya.
-

keamanan informasi Aktifitas untuk menjaga agar sumber daya informasi tetap aman. sedangkan, aktifitas untuk menjaga agar perusahaan dan sumber daya inflormasinya tetap berfungsi setelah adanya bencana di sebut manajemen keberlangsungan bisnis.

Manajemen Keamanan Informasi

Manajemen Informasi terdiri dari 4 tahap : 1. Mengidentifikasi ancaman yang dapat menyerang sumber daya informasi perusahaan 2. Mendefinisikan resiko yang dapat di sebabkan oleh ancaman-ancaman tersebut. 3. Menentukan kebijakan keamanan dan informasi. 4. Mengimplementasikan pengendalian untuk mengatasi resiko-resiko tersebut.

Manajemen Risiko (risk manajemen) di buat untuk menggambarkan pendekatan ini dimana tingkat keamanan sumber daya informasi perusahaan di bandingkan dengan risiko yang di hadapinya. Tolok ukur keamanan informasi adalah tingkat keamanan yang disarankan yang dalam keadaan normal harus menawarkan perlindungan yang cukup terhadap gangguan yang tidak terotorisasi.

A Manajemen Risiko
1. Mengidentifikasi

ancaman

2. Mendefinisikan risiko 3. Menentukan kebijakan keamanan informasi 4. Mengimplementasikan pengendalian

B kepatuhan terhadap tolok ukur

Tolok Ukur

Menentukan kebijakan Keamanan informasi Mengimplementasikan Pengendalian

Ancaman
(information security threat)

Ancaman keamanan informasi Adalah orang, organisasi, mekanisme, atau peristiwa yang memiliki potensi untuk membahayakan sumberdaya informasi perusahaan. Ancaman Internal dan Eksternal Ancaman internal mencakup bukan hanya karyawan perusahaan, tetapi juga pekerja temporer, konsultan, kontraktor, dan bahkan mitra bisnis perusahaan tersebut.

sedangkan, Ancaman eksternal adalah ancaman yang di luar perusahaan yang tidak ada hubungannya dengan internal seperti perusahaan lain yang sama produk dengan perusahaan kita atau bisa juga disebut pesaing dalam usaha.

Jenis Ancaman
Virus Virus hanyalah salah satu contoh jenis peranti lunak yang menyandanng nama peranti lunak yang berbahaya (malicios software). Malicios dan malware, terdiri atas program-program lengkap atau segmen-segmen kode yang dapat menyerang suatu sistem dan melakukan fungsifungsi yang tidak di harapkan oleh pemilik sistem. Fungsi-fungsi tersebut dapat menghapus file atau menyebabkan sistem tersebut berhenti. Beberapa jenis peranti lunak uang berbahaya selain virus: worm, trojan horse, adware, dan spyware .

Risiko

Risiko keamanan informasi di definisikan sebagai potensi output yang tidak di harapkan dari pelanggaran keamanan informasi oleh ancaman keamanan informasi. Risiko-risiko seperti ini di bagi menjadi 4 jenis, yaitu : 1. pengungkapan informasi yang tidak terotoritas dan pencurian. 2. penggunaan yang tidak terotorisasi

3. penghancuran yang tidak terotorisasi dan penolakan pelayanan 4. modifikasi yang tidak terotorisasi.

Persoalan E-commerce
E-commerce (perdagangan elektronik) telah Memperkenalkan keamanan baru. Masalah ini bukanlah perlindungan data, informasi, dan peranti lunak, tapi perlindungan dari pemalsuan kartu kredit. Menurut sebuah survei yang di lakukan oleh gartner group, pemalsuan kartu kredit 12 kali lebih sering terjadi untuk para peritel

e-commerce di bandingkan dengan para pedagang yang berurusan dengan pelanggan mereka secara langsung. Untuk mengatasi masalah ini, perusahaan-perusahaan kartu kredit yang utama telah mengimplementasikan program yang di tujukan secara khusus untuk keamanan kartu kredit e-commerce.

Kartu kredit sekali pakai

Pada september 2000, American Express mengumumkan sebuah kartu kredit sekali pakai. Kartu ini bekerja dengan cara : saat pemegang kartu ingin membeli sesuatu secara online, ia akan memperoleh angka yang acak dari situs web perusahaan kartu kredit tersebut. Angka inilah, dan bukannya nomor kartu kredit pelanggan tersebut, yang di berikan

kepada pedagang e-commerce, yang kemudian melaporkannya ke perusahaan kartu kredit untuk pembayaran.

Manajemen Risiko

Manajemen risiko di identifikasi sebagai satu dari dua strategi untuk mencapai keamanan informasi. Pendefinisian risiko terdiri atas empat langkah, yaitu: 1. identifikasi aset-aset bisnis yang harus di lindungi dari risiko. 2. menyadari risikonya.

3. menentukan tingkatan dampak pada perusahaan jika risiko benar-benar terjadi. 4. menganalisis kelemahan perusahaan tersebut.

Tingkat dampak dan kelemahan menentukan pengendalian

Dampak parah
Kelemahan tingkat tinggi Melaksanakan analisis kelemahan. Harus meningkatkan pengendalian Melaksanakan analisis kelemahan. Sebaiknya meningkat kan pengendslian

Dampak signifikan Dampak minor

Melaksanakan Analisis kelemahan analisis kelemahan. tidak di butuhkna Harus meningkatkan pengendalian. Melaksanakan Analisis kelemahan analisis kelemahan. tidak di butuhkan Sebaiknya meningkat kan pengendalian

Kelemahan tingkat menengah

Kelemahan tingkat rendah

Melaksnakan analisis kelemahan. Menjaga pengendalian tetap ketat.

Melaksanakan analisis kelemahan. Menjaga pengendalian tetap ketat

Analisis kelemahan tidak di bbutuhkan

 Kebijakan

keamanan informasi

1. 2.

3.
4. 5.

suatu kebijakan keamanan harus di terapkan untuk mengarahkan keseluruhan program. Disini perusahaan menerapkan kebijakan keamanan dengan mengikuti pendekatan lima fase implementasi kebijakan keamanan, yaitu: Fase -1 inisiasi proyek Fase -2 penyusunan kebijakan Fase -3 konsultasi dan persetujuan Fase -4 kesadaran dan edukasi Fase -5 penyebarluasan kebijakan

Kebijakan terpisah dikembangkan untuk

1.
2. 3. 4. 5.

6.
7. 8.

Keamanan sistem informasi Pengendalian akses sistem Keamanan personel Keamanan lingkungan dan fisik Keamanan komunikasi data Klasifikasi informasi Perencanaan kelangsungan usaha Akuntabilitas manajemen

Pengendalian
Pengendalian (control) adalah mekanisme yang di terapkan baik untuk melindungi perusahaan dari risiko atau untuk meminimalkan dampak risiko tersebut pada perusahaan jika risiko tersebut terjadi. pengendalian di bagi menjadi tiga (3) kategori, yaitu : 1. teknis 2. formal 3. informal

PENGENDALIAN TEKNIS (technical control)

adalah pengendalian yang menjadi satu di dalam sistem dan di buat oleh para penyusun sistem selama masa siklus penyusunan sistem. Biasanya pengendalian keamanan di buat berdasarkan teknologi peranti keras dan lunak. Yang paling populer akan di jelakan sbb:

1. Pengendalian akses dasar untuk keamanan melawan ancaman yang di lakukan oleh orang-orang yang tidak diotorisasi. pengendalian akses di lakukan melalui proses tiga tahap yang mencakup : 1. Identifikasi pengguna para pengguna pertama-tama mengidentifikasi diri mereka dengan cara memberikan sesuatu yang mereka ketahui, misalnya kata sandi.

2. Otentikasi pengguna setelah identifikasi awal di lakukan, para pengguna memverifikasi akses dengan cara memberikan sesuatu yang mereka miliki, seperti smart card atau tanda tertentu atau chip identifikasi. 3. Otorisasi pengguna setelah pemeriksaan identifikasi dan otentikasi di lalui, seseorang kemudian dapat mendapatkan otorisasi untuk memasuki tingkat atau derajat penggunaan tertentu.

2. Sistem deteksi gangguan mengenali upaya pelanggaran keamanan sebelum memiliki kesempatan untuk melakukan perusakan. Contohnya : peranti lunak proteksi virus yang terbukti efektif melawan virus yang terkirim melalui e-mail. 3. Firewall pendekatan membangun dinding pelindung. Yang berfungsi sebagai penyaring dan penghalang yang membatasi aliran data ke dan dari perusahaan tersebut dan internet.

4. Pengendalian kriptografis data dan informasi yang tersimpan dan di transmisikan dapat di lindungi dari pengungkapan yang tidak terotorisasi dengan kriptografi, yaitu penggunaan kode yang menggunakan proses-proses matemetika. 5. Pengendalian fisik peringatan pertama yang tidak terotorisasi adalah mengunci pintu ruangan komputer. 6. Meletakkan pengendalian teknis pada tempatnya

PENGENDALIAN FORMAL pengendalian formal mencakup penetuan cara berperilaku, dokumentasi prosedur dan praktik yang di harapkan, dan pengawasan serta pencegahan perilaku yang berbeda dari panduan yang berlaku. PENGENDALIAN INFORMAL pengendalian informal mencakup programprogram pelatihan dan edukasi serta pembangunan manajemen.

Dukungan pemerintah dan Indutri beberapa organisasi pemerintah dan international telah menentukan standar-standar yang di tujukan untuk menjadi panduan bagi organisasi yang ingin mendapatkan keamanan informasi. Beberapa standar ini membentuk tolok ukur, yang telah di identifikasi sebelumnya sebagai penyedia strategi alternatif untuk manajemen risiko.

Berikut ini adalah beberapa contohnya : 1. BS7799 milik Inggris 2. BSI IT baseline protection manual 3. COBIT 4. GASSP (Generally Accepted System Security Principles) 5. ISF Standard of good practice

Standar Indutri

The centre for internet security (CIS) adalah organisasi nirlaba yang di dedikasikan untuk membantu para pengguna komputer guna membuat sistem mereka lebih aman.

Sertifikasi profesional

Mulai tahun 1960-an, profesi TI mulai menawarkan program sertifikasi. 3 contoh mengilustrasikan cakupan dari program ini: 1. Asosiasi Audit Sistem dan pengendalian 2. konsorsium sertifikasi keamanan sistem informasi internasional 3. Institut SANS

Meletakkan manajemen keamanan informasi pada tempatnya

Perusahaan harus merencanakan kebijakan manajemen keamanan informasi sebelum menempatkan pengendalian

Manajemen keberlangsungan bisnis

Aktifitas yang di tujukan untuk menentukan operasional setelah terjadi gangguan sistem informasi.

Recana darurat Rencana darurat (emergency plan) menyebutkan cara-cara yang akan menjaga keamanan karyawan jika bencana terjadi. Cara-cara ini mencakup sistem alarm, prosedur evakuasi, dan sistem pemadaman api. Rencana cadangan Perusahaan harus mmengatur agar fasilitas komputer cadangan tersedia seandainya fasilitas yang biasa hnacur dan rusak sehingga tidak dapat di gunakan. Cadangan dapat di peroleh melalui kombinasi rekundasi, keberagaman, & mobilitas.

Rencana catatan penting

Catatan penting (vital record) perusahaan adalah dokumen kertas, mikroform, dan media penyimpanan optis dan magnetis yang penting untuk meneruskan bisnis perusahaan tersebut. Dan menentukan cara bagaimana catatan penting tersebut harus di lindungi.

Kesimpulan

Dimasa sekarang banyak perusahaan mencari keamanan sistem informasi yang tidak menghambat ketersediaan informasi bagi pihakpihak yang mmemiliki otorisasi untuk mendapatkannya. Ppemerintah mencari keamanan sistem yang tidak melanggar hak pribadi perorangan. Hal-hal ini adalah keseimbangan yang sulit untuk di dapat.