BAB 6

Pengendalian untuk Keamanan Informasi

KASUS INTEGRATIF NORTHWEST INDUSTRIES

Penugasan Jason Scott selanjutnya adalah untuk meninjau pengendalian internal pada sistem
infermasi Northwest Industries Jasan mendapatkan sebuah salinan dari Control Objectiv for
Information and Related Technology 5 (COBIT 5) dan terkesan dengan ketelitiannya Meski demikian,
ia memberi tahu temannya bahwa ia merasa kewalahan untuk mencob menggunakan COBIT 5 dalam
merencanakan auditnya di Northwest Industries. Temanny menyarankan agar ia memeriksa Trust
Services Framework yang dikembangkan secar bersamaan eleh American Institute of Certified Public
Accountants (AICPA) dan Canadian Institute of Chartered Accountants (CICA) untuk memandu para
auditor dalam menilai keandalan sistem informasi sebuah perusahaan. Setelah meninjau kerangka
tersebut, Jasen menyimpulkan bahwa ia dapat menggunakannya sebagai panduan upaya auditnya.
la memutuskan bahwa la akan memulainya dengan berfokus pada pengendalian yang didesain untuk
memberikan jaminan memadai tentang keamanan informasi. Ia menuliskan pertanyaan- pertanyaan
berikut untuk akan memandu penyelidikannya:

1. Pengendalian apa yang Northwest Industries gunakan untuk mencegah akses tanpa izin ke
sistem akuntansinya?
2. Bagaimana keberhasilan dan kegagalan upaya perusakan sistem akuntansi perusahaan dapat
terdeteksi secara tepat waktu?
3. Prosedur apa saja yang dijalankan untuk merespons peristiwa-peristiwa tentang keamanan?

Pendahuluan

Saat ini, setiap organisasi bergantung pada teknologi informasi (TI-information technology).
Banyak juga organisasi yang setidaknya memindahkan sebagian dari sistem informasinya ke cloud.
Manajemen menginginkan jaminan bahwa informasi yang dihasilkan oleh sistem akuntansi milik
perusahaan adalah reliabel serta keandalan penyedia layanan cloud dengan rekan kontraknya. Selain
itu, manajemen juga menginginkan jaminan bahwa organisasi patuh terhadap susunan peraturan
dan ketentuan industri yang terus berkembang termasuk Phanes-Oxley (SOX), Health Insurance
Portability and Accountability Act (HIPAA), dan Pavment Card Industry Data Security Standards (PCI-
DSS).

Seperti yang telah dibahas pada Bab 7, COBIT 5 merupakan sebuah kerangka komprehensif
dari praktik-praktik terbaik terkait keseluruhan aspek dari tata kelola dan manajemen TI. Meski
demikian, pada bagian ini, kita hanya fokus pada bagian-bagian dari COBIT 5 yang terkait langsung
dengan keandalan sebuah sistem informasi dan kepatuhan terhadap standar peraturan. Oleh
karenanya, pada bab ini dan dua bab berikutnya akan membahas seputar prinsip-prinsip dari Trust
Services Framework yang dikembangkan Secara bersamaan oleh AICPA dan CICA untuk menyediakan
panduan penilaian keandalan sistem informasi. Meski demikian, karena COBIT 5 merupakan
kerangka yang diakui secara internasional dan digunakan oleh banyak organisasi, para auditor serta
akuntan harus terbiasa pula dengannya. Oleh karena itu, sepanjang pembahasan ini, akan
direferensikan bagian- bagian yang relevan dari COBIT 5 yang berkaitan dengan masing-masing
topik, sehingga Anda dapat memahami bagaimana prinsip-prinsip yang berkontribusi pada
keandalan sistem juga esensial untuk mengelola secara efektif investasi sebuah perusahaan dalam
TI.
Trust Services Framework mengatur pengendalian TI ke dalam lima prinsip yang berkontribusi secara
bersamaan terhadap keandalan sistem:

1) Keamanan (security)-akses (baik fisik maupun logis) terhadap sistem dan data di dalamnya
dikendalikan serta terbatas untuk pengguna yang sah.
2) Kerahasiaan (confidentiality)-informasi keorganisasian yang sensitif (seperti rencana
pemasaran, rahasia dagang) terlindungi dari pengungkapan yang tanpa izin.
3) Privasi (privacy)-informasi pribadi tentang pelanggan, pegawai, pemasok, atau rekan kerja
hanya dikumpulkan, digunakan, diungkapkan, dan dikelola sesuai dengan kepatuhan
terhadap kebijakan internal dan persyaratan peraturan eksternal serta terlindungi dari
pengungkapan yang tanpa izin.
4) Integritas Pemrosesan (processing integrity)-data diproses secara akurat, lengkap, tepat
waktu, dan hanya dengan otorisasi yang sesuai.
5) Ketersediaan (availability)–sistem dan informasinya tersedia untuk memenuhi kewajiban
operasional dan kontraktual.

Seperti yang ditunjukkan Figur 8-1, keamanan informasi merupakan landasan keandalan sistem dan
diperlukan untuk mencapai masing-masing dari empat prinsip lainnya. Prosedur-prosedur keamanan
informasi membatasi akses sistem hanya untuk pengguna yang terotorisasi saja, sehingga
melindungi kerahasiaan data keorganisasian yang sensitif dan privasi atas informasi pribadi yang
dikumpulkan dari pelanggan. Sejumlah prosedur keamanan informasi melindungi integritas
informasi dengan mencegah terjadinya transaksi tanpa izin atau fiktif serta mencegah perubahan
tanpa izin terhadap data atau program tersimpan. Terakhir, prosedur-prosedur keamanan informasi
memberikan perlindungan terhadap berbagai serangan, termasuk virus dan worm, sehingga
memastikan bahwa sistem tersedia ketika diperlukan. Oleh sebab itu, bab ini fokus pada keamanan
informasi. Bab 9 membahas pengendalian TI yang relevan untuk melindungi kerahasiaan kekayaan
intelektual perusahaan serta privasi atas informasi yang dikumpulkan tentang pelanggan dan rekan
bisnisnya. Bab 10 selanjutnya akan mencakup pengendalian TI yang didesain untuk memastikan
integritas dan ketersediaan informasi yang dihasilkan oleh sistem akuntansi perusahaan.

Dua Konsep Keamanan Informasi Fundamental

KEAMANAN MERUPAKAN MASALAH MANAJEMEN, BUKAN HANYA MASALAH TEKNOLOGI

Walaupun keamanan informasi yang efektif mensyaratkan penggunaan alat-alat berteknologi seperti
firewall, antivirus, dan enkripsi, keterlibatan serta dukungan manajemen senior juga jelas menjadi
dasar untuk keberhasilan. Para profesional keamanan informasi memiliki keahlian untuk
mengidentifikasi ancaman potensial dan mengestimasikan kemungkinan serta dampaknya. Meski
demikian, manajemen senior harus memilih mana dari empat respons risiko yang dijelaskan di Bab 7
(menurunkan, menerima, membagi, atau menghindari) yang sesuai untuk diadopsi sehingga sumber
daya yang diinvestasikan pada keamanan informasi menunjukkan kebutuhan risiko organisasi.

Manajemen senior harus berpartisipasi dalam pengembangan kebijakan karena mereka harus
mernutuskan sanksi yang akan diberikan terhadap tindakan ketidakpatuhan. Sebagai tambahan,
dukungan dan keterlibatan aktif dari manajemen puncak diperlukan untuk memastikan bahwa
pelatihan dan komunikasi keamanan informasi dilakukan dengan serius. Agar menjadi efektif,
komunikasi ini harus melibatkan lebih dari sekadar menyerahkan sebuah dokumen tertulis ke orang-
orang atau mengirimi mereka sebuah pesan email dan meminta mereka untuk menandatangani
sebuah surat tanda terima bahwa mereka menerima dan membaca pemberitahuan tersebut.
Sebaliknya, para pegawai harus menerima pemberitahuan yang teratur dan periodik terkait
kebijakan keamanan serta melatih bagaimana cara untuk mematuhinya.

Manajemen senior juga harus mengotorisasi investasi sumber daya yang diperlukan untuk
mengatasi ancaman yang teridentifikasi serta mencapai level keamanan yang dikehendaki.
Kemajuan dalam TI menciptakan ancaman baru dan mengubah risiko yang tercampur dengan
ancaman lama. Oleh karena itu, manajemen harus secara periodik menilai ulang respons risiko
organisasi dan, ketika diperlukan, membuat perubahan terhadap kebijakan keamanan informasi
serta berinvestasi pada solusi baru untuk memastikan bahwa upaya keamanan informasi organisasi
mendukung strategi bisnisnya secara konsisten dengan kebutuhan risiko manajemen.

DEFENSE-IN-DEPTH DAN MODEL KEAMANAN INFORMASI BERBASIS WAKTU

Gagasan dari defense-in-depth adalah penggunaan berbagai lapisan pengendalian untuk

menghindari satu poin kegagalan. Sebagai contoh, banyak organisasi yang tidak hanya menggunakan
firewall, tetapi juga berbagai metode autentikasi (kata sandi, token, dan biometrika) untuk
membatasi akses terhadap sistem informasi mereka. Penggunaan pengendalian yang tumpang
tindih, saling melengkapi, dan berulang dapat meningkatkan keseluruhan efektivitas karena jika satu
pengendalian gagal atau terlewat maka yang lainnya dapat berfungsi seperti yang direncanakan.

Defense-in-depth secara khusus melibatkan penggunaan sebuah kombinasi dari pengendalian

preventif, detektif, dan korektif. Peran pengendalian preventif adalah untuk membatasi tindakan
individu tertentu agar sesuai dengan kebijakan keamanan organisasi. Meski demikian, auditor telah
lama menyadari bahwa pengendalian preventif tidak pernah dapat meemberikan perlindungan
100%. Dengan waktu dan sumber daya yang cukup, segala pengendalian preventif dapat dielakkan.
Oleh karenanya, perlu untuk melengkapi pengendalian preventif dengan metode-metode untuk
mendeteksi insiden dan prosedur untuk melakukan tindakan perbaikan korektif.

Mendeteksi penerobosan keamanan dan penetapan tindakan perbaikan korektif harus tepat waktu
karena segera setelah pengendalian preventif diterobos, seorang penyusup dapat dengan cepat
menghancurkan, membahayakan, atau mencuri sumber daya ekonomi dan informasi organisasi.
Oleh karena itu, tujuan dari model keamanan berbasis waktu (time- based model of security) adalah
menggunakan kombinasi perlindungan preventif, detektif, korektif yang melindungi aset informasi
cukup lama agar memungkinkan organisasi untuk mengenali bahwa sebuah serangan tengah terjadi
dan mengambil langkah-langkah untuk menggagalkannya sebelum informasi hilang atau dirusak.
Tujuan ini dapat ditunjukkan dengan sebuah formula yang menggunakan tiga variabel berikut:

P= waktu yang diperlukan seorang penyerang untuk menerobos pengendalian preventif organisasi.
D= waktu yang diperlukan untuk mendeteksi bahwa sebuah serangan sedang dalam proses.

C= waktu yang diperlukan untuk merespons serangan dan mengambil tindakan korektif.

Ketiga variabel tersebut kemudian dievaluasi seperti berikut: Jika P> D+ C, maka prosedur keamanan
organisasi efektif. Jika kebalikannya, keamanan tidaklah efektif.

Model keamanan berbasis waktu memberikan sebuah sarana bagi manajemen untuk
mengidentifikasi pendekatan yang paling hemat biaya untuk meningkatkan keamanan dengan
membandingkan efek investasi tambahan dalam pengendalian preventif, detektif, dan korsre
Sebagai contoh, manajemen mungkin mempertimbangkan investasi dari $100.000 tambahan untuk
meningkatkan keamanan. Pilihan yang memungkinkan adalah pembelian sebuah firewall baru yang
akan meningkatkan nilai Pmenjadi 10 menit. Pilihan kedua yang mungkin adalah meningkatkan
intrusion detection system organisasi dengan sebuah cara yang akan menurunkan nilai D menjadi 12
menit. Pilihan ketiga yang mungkin adalah menggunakan metode baru untuk merespons insiden
keamanan informasi, sehingga menurunkan nilai C menjadi 30 menit. Pada contoh tersebut, pilihan
yang paling hemat biaya mungkin adalah menggunakan pengendalian korektif tambahan yang
memungkinkan organisasi merespons serangan dengan lebih cepat.

Meskipun model keamanan berbasis waktu memberikan dasar yang kedengarannya teoretis untuk
mengevaluasi dan mengelola praktik keamanan informasi organisasi, model ini tidak harus
dipandang sebagai formula matematis yang tepat. Masalahnya, jika bukan mastahil maka sulit untuk
mendapatkan ukuran-ukuran yang akurat dan terpercaya parameter P, D, dan C. Sebagai tambahan,
ketika nilai parameter tersebut dapat dihitung dengan tepat, pengembangan TI yang baru dapat
dengan cepat menurunkan validítasnya. Sebagai contoh, penemuan sebuah kerentanan utama baru
dapat mengurangi nilai P secara clektif menjadi nol. Oleh karenanya, model keamanan berbasis
waktu adalah yang paling baik untuk digunakan sebagai sebuah kerangka tingkat-atas untuk analisis
strategis, untuk mengilustrasikan secara jelas prinsip-prinsip defense-in-depth serta kebutuhan
untuk menggunakan berbagai pengendalian preventif, detektif, dan korektif.

Memahami Serangan yang Ditargetkan

Meskipun banyak ancaman keamanan informasi, seperti virus, worm, bencana alam, kegagalan
perangkat keras, dan kesalahan manusia yang seringnya merupakan kejadian acak (4 ditargetkan),
organisasi juga sering kali menjadi sasaran dari serangan yang disengaja. Sebelan ka mendakuskan
pengendalian preventif, detektif, dan korektif yang dapat digunakan untuk mengurangi nisiko
gangguan sistem, akan sangat beguna untuk memahami langkah-langkah dasar yang dilakukan para
penjahat untuk menyerang sistem informasi suatu perusahaan

1. Melakukan pengintaian (conduct reconnaissance). Para perampok bank biasanya tidak

sekadar bergerak ke bank dan berusaha merampoknya. Sebaliknya, mereka mempelajari
dulu tata ruang fisik target mereka untuk memahami pengendalian yang dimiliki oleh
temput tersebut (alarm, jumlah penjaga, penempatan kamera, dsb.). Demikian pula dengan
para penyerang komputer yang memulai aksinya dengan mengumpulkan informasi
mengenai target mereka. Meneliti laporan keuangan sebuah organisasi, pengajuan
Securities and Exchange Commission (SEC), situs, dan press release dapat menghasilkan
banyak informasi berharga. Tujuan pengintaian awal adalah untuk mempelajari sebanyak
mungkin tentang target serta mengidentifikasikan kerentanan potensial.
2. Mengupayakan rekayasa sosial (artemp social engineering). Mengapa harus menerjang
seluruh masalah untuk percobaan pembobolan sebuah sistem jika ada seseorang yang
membiarkan Anda masuk? Para penyerang sering kali mencoba menggunakan informasi
 yang didapatkan selama pengintalan awal untuk "mengelabui" seorang pegawai yang tidak
merasa curiga untuk memberi akses kepada mereka. Penggunaan tipuan semacam itu untuk
mendapatkan akses tanpa izin terhadap sumber daya informasi disebut dengan rekayasa
sosial (social engineering). Rekayasa sosial dapat terjadi melalui banyak cara, banya dibatasi
oleh kerativitas dan imajinasi penyerang. Serangan rekayasa sosial biasanya reka Menc
mend terha triadi melalui telepon. Salah satu teknik yang umum adalah penyerang
menyamar sebagai seorang eksekutif yang tidak dapat memperoleh akses jarak jauh
terhadap sejumlah file penting. Penyerang menghubungi seorang asisten administratif yang
baru saja dipekerjakan dan memintanya untuk membantu mendapatkan sejumlah file
penting. Tipuan umum lainnya, yaitu penyerang berpura-pura sebagai pegawai sementara
yang kebingungan dan tidak dapat masuk ke dalam sistem kemudian menghubungi bagian
helpdesk untuk meminta bantuan. Serangan rekayasa sosial juga dapat terjadi melalui e-
mail. Sebuah efektif tertentu yang diketahui sebagai spear phishing melibatkan pengiriman
e-mail yang menyatakan berasal dari seseorang yang dikenali korban. E-mail tipuan spear
phishing meminta korban untuk mengeklik pada sebuah link yang melekat atau membuka
sebuah lampiran. Jika penerima melakukannya, sebuah program Trojan horse serangan
dicksekusi yang memungkinkan penyerang untuk mendapatkan akses terhadap sistem.
Taktik perekayasaan sosial lain yang masih terjadi hingga saat ini adalah menyebarkan USB
drives di area parkir suatu organisasi yang menjadi target. Seorang pegawai yang udak
mencurigai atau penasaran apabila memungut dan menancapkannya ke komputer, akan
memuat sebuah program Trojan horse yang kemudian memungkinkan penyerang untuk
mendapatkan akses terhadap sistem.
3. Memindai dan memetakan target (scan and map the target). Jika seorang penyerang dak
berhasil memasuki sistem target melalui rekayasa sosial, langkah selanjutnya adalah
melakukan lebih banyak pengintaian terperinci untuk mengidentifikasi titik-titik potensial
entri jarak jauh. Penyerang menggunakan berbagai alat otomatis untuk mengidentifikasi
komputer yang dapat dikendalikan dari jarak jauh serta berbagai jenis perangkat lunak yang
mereka jalankan.
4. Penelitian (research). Segera setelah penyerang mengidentifikasi taget-target spesifik dan
mengetahui jenis versi perangkat lunak yang dijalankan, langkah selanjutnya adalah
melakukan penelitian untuk menemukan kerentanan yang terdeteksi pada program-
program tersebut serta mempelajari bagaimana memanfaatkan kerentanan tersebut.
5. Mengeksekusi serangan (execute the attack). Penyerang memanfaatkan kerentanan untuk
mendapatkan akses tanpa izin terhadap sistem informasi target.
6. Menutupi jejak (cover tracks). Setelah memasuki sistem informasi pengguna, sebagian besar
penyerang berupaya untuk menutupi jejak mereka dan menciptakan "pintu belakang" yang
dapat mereka gunakan untuk mendapatkan akses jika serangan awal mereka diketahui dan
pengendalian diimplementasikan untuk mengeblok metode entri tersebut.

Sekarang, setelah kita memiliki pemahaman dasar tentang bagaimana para penjahat menyerang
sistem informasi sebuah organisasi, untuk selanjutnya kita dapat membahas metode-metode untuk
mengurangi risiko serangan-serangan tersebut, begitu pula dengan keberhasilan akan ancaman acak
seperti virus dan worm. Bagian-bagian berikut mendiskusikan Jenis-jenis utama pengendalian
preventif, detektif, dan korektif yang digunakan organisasi untuk memberikan keamanan informasi
melalui defense-in-depth.

Pengendalian Preventif
Bagian ini membahas pengendalian preventif yang digunakan organisasi secara umum digunakan
untuk membatasi akses terhadap sumber daya informasi. Berbagai pengendalian preventif tersebut
selaras bersamaan seperti kepingan-kepingan puzzle yang menyediak defense-in-depth secara
kolektif. Meskipun seluruh kepingan penting, komponen "orang- orang" adalah yang paling penting.
Manajemen harus menciptakan sebuah budaya "sad keamanan" dan para pegawai harus dilatih
untuk mengikui kebijakan-kebijakan keamanan serta mempraktikkan perilaku komputasi yang aman.

ORANG-ORANG: PENCIPTAAN SEBUAH BUDAYA "SADAR-KEAMANAN"

Pembahasan kerangka COSO dan COSO-ERM (Enterprise Risk Management/Manajemen Risiko

Perusahaan) pada Bab 7 menekankan bagaimana sikap dan perilaku risiko manajemen puncak
menciptakan baik lingkungan internal yang mendukung maupun mendorong pengendalian internal
yang baik atau lingkungan yang meniadakan kebijakan pengendalian tertulis secara efektif. Prinsip
yang sama menjaga keamanan informasi terkait. Oleh karenanya, COBIT 5 secara spesifik
mengidentifikasi budaya dan etika organisasi sebagai salah satu dari fasilitator kritis untuk keamanan
informasi yang efektif. Untuk menciptakan sebuah budaya sadar keamanan agar para pegawai
mematuhi kebijakan keorganisasian, manajemen puncak tidak hanya harus mengomunikasikan
kebijakan keamanan organisasi, tetapi juga harus memandu dengan mencontohkannya. Para
pegawai cenderung patuh dengan kebijakan keamanan informasi ketika mereka melihat manajer
mereka juga melakukannya. Sebaliknyk. jika para pegawai mengamati manajernya melanggar
sebuah kebijakan keamanan informasi contohnya menuliskan kata sandi dan menempelkannya di
sebuah monitor, mereka cenderung meniru perilaku tersebut.

ORANG-ORANG: PELATIHAN

COBIT 5 mengidentifikasi kemampuan dan kompetensi pegawai sebagai sebuah fasilitater kritis
lainnya untuk kemananan informasi yang efektil Para pegawai harus memahamic untak mengikuti
kebijakan keamanan organisasi. Oleh karena itu, pelatihan adalah sebu pengendalian preventif yang
kritis Bahkan, pentingnya hal tersebut tercermin dalam fakta bahwa pelatihan kesadaran keamanan
dibahas sebagai sebuah praktik utama guna menduk beberapa dari 32 proses manajemen COBIT 5.

Seluruh pegawai harus diajarkan tentang pentingnya ukuran-ukuran keamana bagi kebertahanan
jangka-panjang organisasi. Mereka juga perlu dilatih untuk mengikuti praktik praktik komputasi yang
aman, seperti jangan membuka lampiran e-mail yang tidak diinginkan, hanya menggunakan
perangkat lunak yang disetujui, tidak membagikan kata sand, dan mengambil langkah untuk
melindungi laptop secara fisik. Pelatihan penting dilakukan untuk melatih para pegawai tentang
serangan rekayasa sosial. Sebagai contoh, para pegawai harus diajari untuk tidak mengungkapkan
kata sandi atau informasi lainnya terkait akun atau konfigurasi tempat kerja mereka kepada
siapapun yang menghubungi mereka melalui telepon. e-mal, atau inutant messaging serta orang
yang mengklaim sebagai bagian dari fungsi keamanan sistem informasi organisasi. Para pegawai juga
perlu dilatih untuk tidak mengizinkan orang Lain mengikuti mereka melalui pintu masuk akses
terbatas. Serangan rekayasa sosial ini, disebut pigobucking dapat terjadi tidak hanya pada puntu
masuk utama menuju bangunan, tetapi juga Dada pinru-pintu yang dikunci secara internal, terutama
menuju ruangan-ruangan yang terdapat perlengkapan komputernya. Pigpiacking mungkin tidak
hanya diupayakan olch orang luar Ietapi juga oleh pegawai lain yang tidak diizinkan unthuk
memasuki area tertentu. Piggybacking sering kali berhasil karena banyak orang merasa tidak sopan
apabila tidak memperbolehkan crang lain masuk melalai pintu beramanya atau karena mereka ingin
menghindari konfrontasi. Latihan-latihan bermain-peran akan efektif terutama untuk meningkatkan
sensitivitas dan kemampuan untuk berhadapan dengan serangan rekayasa sosial.
Pelatihan kesadaran keamanan penting pula bagi manajemen senior karena pada tahun akun
belakangan ini, banyak serangan rekayasa sosial, seperti spear phishing telah diarahkan krpada
mereka. Pelatihan profesional keamanan informasi juga penting Perkembangan teknolgi saat ini,
secara berkelanjutan menciptakan ancaman keamanan baru dan membuat solasi lama menjadi
usang. Dengan demikian, penting bagi organisasi untuk mendukung elanjutan edukasi profesional
untuk spesiaslis keamanan mereka.

Meski demikian, investasi sebuah organisasi dalam pelatihan keamanan akan menjadi el hanya jika
manajemen mendemontrasikan dengan jelas bahwa mereka mendukung pegawai yang mengikuti
kebijakan keamanan yang telah dinyatakan sebelummya. Hal in penting, terutama untuk melawan
serangan rekayasa sosial karena tindakan balas dendam terkadang menciptakan konfrontasi yang
memalukan dengan pegawai lain. Sebagai contoh, alah satu dari penulis mendengar sebuah cerita
lucu tentang profesional sistem di sebuah bank besar yang tidak mengizinkan seseorang yang tidak
tercantum dalam daftar pegawai ah untuk memasuki bagian server yang memuat informasi
keuangan penting atas bank tenebut. Orang yang entrinya ditolak tersebut ternyata adalah eksekutif
yang baru saja dipekerjakan. Bukannya memberhentikan si pegawai, ekstekutif tersebut malah
menunjukkan kemitmen dan dukungan bank terhadap keamanan yang kuat dengan menuliakan
sebuah urat rekomendasi resmi atas kinerja yang patut dihormati tersebut ke dalam file kinerja
Pogawal. Ini adalah jenis dukungan yang diperlihatkan manajemen puncak terhadap keamanan yang
meningkatkan efektivitas selurub kebijakan keamanan. Manajemen puncak juga perla mendukung
pelaksanaan sanksi hingga pemberhentian terhadap pegawai yang secara sengaja melanggar
kebijakan keamanan. Tindakan tersebut bukan hanya memberikan sebuah teguran epada pegawai
lain, tetapi juga dapat sesekali mengajarkan konsekuensi kepada organisasi apabula pegawai terlibat
dalam perilaku ilegal.

PROSES: PENGENDALIAN AKSES PENGGUNA

Penting untuk memahami bahwa "orang luar" bukan satu-satunya sumber ancaman. Seorang pegwai
mungkin menjadi tidak puas karena beberapa alasan (contohnya tidak dipromosikan) Aan mencoba
balas dendam, atau mungkin melakukan korupsi karena kesulitan keuangan, atau mungkin juga
memaksa untuk diberi informasi yang sensitif. Oleh karena itu, organisasi perlu menerapkan satu set
pengendalian yang dirancang untuk melindungi aset informasi mereka dari penggunaan dan akses
tanpa izin yang dilakukan oleh pegawai. Agar tujuan tersebut tercapai, praktik manajemen COBIT 5
DSS05.04 menekankan perlunya pengendalian untuk mengelola identitas pengguna dan akses logis,
sehingga memungkinkan identifikasi secara khusus siapa saja yang mengakses sistem informasi
organisasi serta melacak tindakan yang mereka lakukan. Penerapan praktik manajemen DSS05.04 ini
melibatkan penggunaan atas dua jenis pengendalian akses pengguna yang saling berhubungan,
tetapi berbeda: pengendalian autentikasi dan pengendalian otorisasi. Pengendalian autentikasi
membatasi siapa saja yang dapat mengakses sistem informasi milik organisasi, sedangkan
pengendalian otorisasai membatasi apa saja yang dapat dilakukan para individu ketika mereka
mendapatkan akses.

PENGENDALIAN AUTENTIKASI Autentikasi (authentication) adalah proses verifikasi identitas ikasi

escorang atau perangkat yang mencoba untuk mengakses sistem. Tujuannya untuk memastikan
bahwa hanya pengguna sah yang dapat mengakses sistem.

Tiga jenis tanda bukti yang dapat digunakan untuk memverifikasi identitas seseorang :

1. Sesuatu yang mereka ketahui, seperti kata sandi atau personal identification number (PIN
2. Sesuatu yang mereka miliki, seperti kartu pintar atau badge ID.
 3. Beberapa karakteristik fisik atau perilaku (disebut dengan pengidentifikasi biometri
biometric identifier), seperti sidik jari atau pola tulisan.

Kata sandi memungkinkan metode autentikasi yang paling umum digunakan, dan jura paling
kontroversial. Fokus 8-1 membahas beberapa persyaratan untuk menciptakan ka sandi yang kuat
sekaligus pembahasan berkelanjutan tentang penggunaannya secara terus- menerus di masa depan.

Secara individu, masing-masing metode autentikasi memiliki keterbatasan. Kata sand dapat ditebak,
hilang, disalin, atau dibagikan. Teknik-teknik identifikasi fisik (kartu, badge, USB device, dsb.) bisa
hilang, dicuri, atau digandakan. Bahkan, teknik-teknik biometri pun belum 100% akurat, terkadang
menolak pengguna yang sah (contohnya sistem pengenalun suara mungkin tidak mengenali seorang
pegawai yang sedang flu) dan terkadang mengizinkan akses untuk orang-orang yang tidak sah. Selain
itu, beberapa teknik biometri, seperti sidik jari membawa konotasi negatif yang mungkin
menghalangi penerimaannya. Ada juga perhatian keamanan terkait penyimpanan informasi biometri
itu sendiri. Beberapa template biometni seperti representasi digital sidik jari atau suara individu,
harus disimpan di suatu tempal.

Meskipun tidak satupun dari ketiga tanda bukti autentikasi, yang dengan sendirinya, sangat mudah
digunakan, penggunaan dua atau semua tiga jenis secara bersamaan disebut autentikasi multifaktor
(multifactor authentication), cukup efektif. Sebagai cont meminta seorang pengguna untuk
menyisipkan sebuah kartu pintar ke dalam pembaca kan (card reader) dan memasukkan sebuah kata
sandi merupakan autentikasi yang jauh lehik kuat dibandingkan menggunakan satu metode saja.
Dalam beberapa situasi, menggunakan berbagai tanda bukti dari jenis yang sama, sebuah proses
yang disebut dengan autentikasi multimodal (multimodal authentication) juga dapat meningkatkan
keamanan. Contohnya, banyak situs perbankan online menggunakan beberapa benda yang
diketahui seseorang (kata sandi, ID pengguna, dan pengenalan sebuah gambar grafik) sebagai
autentikasi. Sama halnya, karena sebagian besar laptop sekarang dilengkapi dengan kamera,
mikrofon, dan pembaca sidik jari, hal tersebut memungkinkan untuk menggunakan autentikasi
biometri multimodal yang melibatkan kombinasi dari pengenalan wajah, suara, serta sidik jari untuk
memverifikasi identitas. Autentikasi multifaktor dan autentikasi multimodal merupakan contoh
penerapan prinsip defence-in-depth.

Penting untuk membuktikan keabsahan tidak hanya orang, tetapi juga setiap perangk yang
diupayakan untuk terhubung dengan jaringan. Setiap stasiun kerja, printer, atau perangka komputasi
lainnya perlu sebuah network interface card (NIC) agar terhubung dengan jaringan internal
organisasi. Setiap NIC memiliki pengidentifikasi khusus yang disebut dengan alamat media access
control (MAC). Oleh karena itu, organisasi dapat membatasi akses jaringan hanya ke perangkat milik
perusahaan dengan mencocokkan perangkat MAC pada sebuah daftar alamat-alamat MAC yang
dikenali. Terdapat perangkat lunak yang dapat digunakan untuk mengubah alamat perangkat MAC,
sehingga memungkinkan pengguna berbahaya untuk "menipu" identitas perangkatnya. Namun,
sebuah cara yang lebih bagus untuk membuktikan keabsahan perangkat meliputi penggunaan
sertifikat digital yang menggunakan teknik-teknik enkripsi untuk menentukan pengidentifikasi
khusus terhadap setiap perangkat.
PENGENDALIAN OTORISASI

Otorisasi (authorization) adalah proses dari memperketat akses dari pengguna sah terhadap bagian
spesifik sistem dan membatasi tindakan-tindakan apa sia vang diperbolehkan untuk dilakukan.
Tujuannya adalah untuk menyusun hak serta keistimewaan setiap pegawai dengan cara menetapkan
dan mengelola pemisahan tugas yang tepat. Sebagai contoh, seorang wakil customer service
sebaiknya tidak diizinkan untuk mengakses sistem penggajian. Selain itu, ia hanya diperbolehkan
untuk membaca, bukan mengubah harga barang persediaan.
Pengendalian otorisasi biasanya diimplementasikan dengan menciptakan matril. pengendalian akses
(access control matrix) (Figur 8-2). Kemudian, ketika seorang pegawa berusaha mengakses sumber
daya sistem informasi tertentu, sistem akan melakukan sehush uji kompatibilitas (compatibility test)
yang mencocokkan tanda bukti autentikasi pengguna dengan matriks pengendalian akses untuk
menentukan sebaiknya pegawai diizinkan atay tidak untuk mengakses sumber daya dan melakukan
tindakan yang diminta. Penting untuk memperbarui secara teratur matriks pengendalian akses agar
merefleksikan perubahan pada tugas pekerjaan karena promosi atau pemindahan. Sebaliknya, dari
waktu ke waktu pegawai mungkin mengakumulasikan suatu penetapan hak dan keistimewaan yang
tidak cocok dengan pemisahan tugas yang semestinya.

Informasi yang terdapat di dalam sebuah matriks pengendalian akses digunakan untuk
mengimplementasikan pengendalian otorisasi pada sistem ERP. Dalam setiap peran pegawal, sistem
memberikan nomor kombinasi yang sudah ditentukan sebelumnya atas izin untuk melakukan
pembatasan akses umum.

Sangat mungkin untuk mencapai pengendalian dan pemisahan tugas yang lebih besaz dengan
menggunakan sistem manajemen proses bisnis guna melekatkan otorisasi ke dalam proses bisnis
yang otomatis daripada bergantung pada matriks pengendalian akses statis. Sebagai contoh,
otorisasi hanya dapat diperbolehkan untuk melakukan sebuah transaksi tertentu pula. Oleh karena
itu, seorang pegawai tertenta boleh jadi diizinkan untuk mengakses informasi kredit tentang
pelanggan yang saat ini sedang meminta layanan, tetapi secara bersamaan dilarang untuk
"browsing" sisa dari file pelanggan tersebut. Selain itu, sistem manajemen proses bisnis
melaksanakan pemisahan tugas karena pegawai hanya dapat melakukan tugas-tugas tertentu
dengan sistem yang telah ditentukannya. Para pegawai tidak dapat menghapus tugas dari daftar
tugas yang ditentukan dan sistem mengirimkan pesan pengingat sampai tugas diselesaikan-dua
ukuran lagi yang meningkatkan pengendalian lebih jauh. Perangkat lunak manajemen proses bisnis
juga secara instan dapat mengirimkan transaksi yang memerlukan otorisasi khusus (seperti
penjualan kredit di atas jumlah tertentu) secara elektronis kepada seorang manajer untuk
persetujuan. Transaksi tersebut tidak dapat berlanjut hingga otorisasi diperoleh, tetapi karena
keperluan persetujuan semacam itu diindikasikan dan diperoleh atau ditolak secara elektronis, maka
pengendalian penting ini dilaksanakan tanpa mengorbankan efisiensi.

Seperti halnya pengendalian autentikasi, pengendalian otorisasi juga dapat dan sebaiknya
diterapkan tidak hanya untuk orang, tetapi juga pada perangkat. Sebagai contoh, memasukkan
alamat MAC dan sertifikat digital dalam matriks pengendalian akses memungkinkannya untuk
mempersempit akses terhadap sistem penggajian dan file induk penggajian hanya untuk para
pegawai departemen penggajian dan hanya ketika mereka masuk dari desktop mereka atau
komputer laptop yang ditentukan. Kemudian, mengapa kasir penggajian perlu untuk masuk dari
stasiun kerja yang lokasinya di gudang atau berupaya untuk membuat akses dial-in dari negara lain?
Menerapkan pengendalian autentikasi dan otorisasi dapat mengendalikan manusia dan perangkat
yang merupakan cara lain ketika defense-in-depth meningkatkan keamanan.

SOLUSI TI: PENGENDALIAN ANTIMALWARE

Malware (seperti virus, worm, perangkat lunak keystroke logging, dsb.) adalah sebuah ancaman
besar. Malware dapat membahayakan atau menghancurkan informasi atau menghasilkan sebuah
cara untuk memperoleh akses tanpa izin. Oleh karena itu, salah satu dari bagian COBIT 5 DSS05.01
mendaftar perlindungan malware sebagai salah satu dari kunci keamanan yang efektif,
merekomendasikan secara spesifik:
 1. Edukasi kesadaran perangkat lunak jahat.
2. Pemasangan alat perlindungan anti-malware pada seluruh perangkat.
3. Manajemen terpusat atas sejumlah patch dan memberbarui perangkat lunak anti- malware.
4. Tinjauan teratur atas ancaman malware baru.
5. Menyaring lalu lintas masuk untuk mengeblok sumber malware potensial.
6. Melatih pegawai untuk tidak memasang perangkat lunak yang dibagikan atau tidak disetujui.

SOLUSI TI: PENGENDALIAN AKSES JARINGAN

Sebagian besar organisasi menyediakan para pegawai, pelanggan, dan pemasok dengan akses jarak
jauh terhadap sistem informasi mereka. Biasanya, akses ini dilakukan melalui Internet, tetapi
beberapa organisasi masih mengelola jaringan hak milik mereka sendiri atau menyediakan akses
dial-up langsung melalui modem. Banyak organisasi juga menyediakan akses nirkabel terhadap
sistem mereka. Kita sekarang mendiskusikan berbagai metode yang dapat digunakan untuk
memenuhi salah satu dari praktik manajemen COBIT 5 DSS05.02 yang menunjukkan keamanan
jaringan organisasi dan seluruh upaya untuk tersambung ke dalamnya.

PERTAHANAN PERIMETER: ROUTER, FIREWALL, DAN SISTEM PENCEGAHAN GANGGUAN

Sebuah perangkat yang disebut dengan border router menghubungkan sistem informasi sebuah
organisasi ke Internet. Di balik border router terdapat firewall utama, yang dapat menjadi perangkat
perangkat keras bertujuan khusus atau perangkat lunak yang bekerja pada sebuah komputer
bertujuan umum yang mengendalikan baik komunikasi masuk maupun keluar antara sistem di balik
firewall dan jaringan lainnya. Demilitarized zone (DMZ) adalah sebuah jaringan terpisah yang berada
di luar sistem informasi internal organisasi serta mengizinkan akses yang dikendalikan dari Internet
untuk memilih sumber daya, seperti server jejaring e-commerce organisasi. Secara bersamaan,
border router dan firewall bertindak sebagai penyaring untuk mengendalikan informasi apa yang
diizinkan untuk masuk dan keluar dari sistem informasi organisasi. Guna memahami fungsi dari
keduanya, hal pertama yang perlu dibahas secara singkat adalah bagaimana informasi
ditransmisikan ke Internet.

BAGAIMANA ARUS INFORMASI PADA JARINGAN: TINJAUAN MENYELURUH TCP/IP DAN ETHERNET

Figur 8-3 menunjukkan bahwa ketika Anda mengirimkan sebuah file (dokumen, spreadsheet,
database, dsb.) kepada orang lain atau ke sebuah printer, seluruh file jarang ditransmisikan secara
utuh. Pada kebanyakan kasus, file dipecah ke dalam seri-seri potongan kecil yang dikirim secara
individu dan disusun ulang selama pengiriman. Alasan ini terjadi pada hampir setiap jaringan area
lokal menggunakan protokol Ethernet yang didesain untuk mentransimisikan informasi dalam paket-
paket dengan ukuran maksimum sekitar 1.440 bit (1,4 kB). Meski demikian, kebanyakan file
berukuran lebih besar dari 1 MB, sehingga sejumlah file dengan ukuran sebesar itu dibagi ke dalam
ribuan paket. Masing-masing paket harus dilabeli dengan tepat agar seluruh file dapat disusun ulang
dengan benar sesuai tujuan. Informasi yang dikerjakan adalah informasi yang dimuat pada header
Transmission Control Protocol (TCP), Internet Protocol (IP), dan Ethernet. Header TCP berisi bidang-
bidang yang merinci posisi berurutan dari paket yang berkaitan dengan keseluruhan file dan port
number (alamat) pada perangkat-perangkat pengiriman dan penerimaan dari asal file hingga ke
mana digusun kembali. Header IP berisi bidang-bidang yang merinci alamat jaringan (alamat P) dari
perangkat pengiriman dan penerimaan. Router adalah perangkat bertujuan khusus ing didesain
untuk membaca bagian alamat sumber dan tujuan pada header paket IP untuk memutuskan ke
mana akan mengirim (rute) paket selanjutnya. Header Ethernet berisi alamat MẠC perangkat
pengiriman dan penerimaan yang digunakan untuk mengendalikan aliran lalu lintas pada local area
network (LAN).

Mengendalikan Akses dengan Paket Penyaringan. Organisasi memiliki satu border router atau lebih
yang menghubungkan jaringan internal mereka ke Penyedia Layanan Internet. Border router dan
firewall utama organisasi menggunakan seperangkat aturan IF-THEN, disebut access control list
(ACL) yang digunakan untuk menentukan tindakan yang dilakukan pada paket yang tiba. Border
router harus memeriksa bagian alamat IP tujuan pada header paket IP untuk menentukan apakah
paket diperuntukkan bagi organisasi ataukah harus diteruskan keluar kembali ke Internet. Jika
alamat IP tujuan paket adalah organisasi, aturan di dalam ACL border router memeriksa bagian
alamat sumber dari header paket IP untuk mengeblok paket dari sumber-sumber tertentu yang tidak
diinginkan (contohnya situs-situs perjudian atau porno terkenal). Keseluruhan paket lainnya dengan
alamat IP organisasi pada bagian alamat tujuan, diteruskan ke firewall utama untuk penyaringan
lebih jauh. Aturan-Aturan- ran pada ACL firewall utama organisasi terlihat di bagian lain pada header
paket IP dan TCP untuk menentukan apakah akan mengeblok paket yang datang atau
mengizinkannya untuk masuk. Namun, perlu dicatat bahwa firewall tidak mengeblok seluruh lalu
lintas, tetapi hanya menyaringnya. Itulah mengapa seluruh firewall memiliki celah-untuk
menunjukkan bahwa jenis-jenis lalu lintas tertentu dapat melewatinya.

Proses yang dijelaskan dalam paragraf sebelumnya mengenai pemeriksaan berbagai bagian di dalam
sebuah header IP dan TCP paket untuk memutuskan tindakan yang dilakukan pada paket disebut
dengan penyaringan paket (packet filtering). Penyaringan paket berlangsung cepat dan dapat
menangkap lalu lintas yang dikehendaki secara jelas, tetapi keefektifannya terbatas. Lalu lintas yang
tidak dikehendaki dapat melewati pemfilteran lersebut apabila alamat IP sumber tidak ada dalam
daftar sumber yang ditolak atau jika pengirim menyamarkan alamat sumber asli dengan sengaja.
Maka, seperti halnya sensor terhadap surat fisik, akan lebih efektif jika setiap amplop atau paket
dibuka dan diperiksa, pengendalian terhadap lalu lintas jaringan juga lebih efektif jika data aktual
(contohnya bagian file yang dimuat dalam paket TCP) diperiksa, proses tersebut dikenal sebagai
deep packet inspection. Sebagai contoh, firewall aplikasi situs menggunakan deep packet inspection
untuk secara lebih baik melindungi server web e-commerce sebuah organisasi dengan memeriksa isi
dari paket yang datang untuk mengizinkan permintaan untuk penggunaan perintah data HTML
"dapatkan", tetapi mengeblok upaya untuk menggunakan perintah HTML "letakkan" guna merusak
situs. Namun, pengendalian tambahan yang disediakan oleh deep packet inspection hadir dengan
kecepatan biasa: Diperlukan lebih banyak waktu untuk memeriksa data yang mencapai 1,4 kB pada
sebuah paket daripada untuk header IP dan TCP yang hanya mencapai 40 bit.

Pada saat router dan firewall memeriksa paket individu, sistem pencegah gangguan (intrusion
prevention system-IPS) jaringan mengawasi pola-pola pada arus lalu lintas untuk mengidentifikasi
dan mengeblok serangan secara otomatis. Hal ini penting karena memeriksa sebuah pola lalu lintas
biasanya hanya merupakan satu-satunya cara untuk mengidentifikasi aktivitas tidak diinginkan.
Sebagai contoh, sebuah firewall aplikasi situs menjalankan yang deep packet inspection yang akan
mengizinkan paket-paket yang datang serta paket yang menmuat perintah HTML yang diizinkan
untuk terhubung dengan port TCP 80 atau 443 pada e-commerce web server organisasi, tetapi akan
mengeblok seluruh paket yang datang ke port TCP lain pada web server. Tindakan firewall dibatasi
dengan perlindungan web server. Sebaliknya, sebuah IPS jaringan dapat mengidentifikasi bahwa
sebuah rangkaian paket yang berupaya untuk terhubung Ke e-commerce web server meruoakan
indikator sebuah upaya memindai dan memetakan web server (langkah ke 3 dalam proses serangan
yang ditargetkan seperti yang dibahas sebelumnya pada bab ini). Intrusion prevention system (IPS)
tidak han akan mengeblok paket yang menyerang, tetapi juga akan mengeblok seluruh lalu lintas
turun yang datang dari sumber tersebut dan memberitahu seorang administrator keamanan bahve
sebuah pemindaian terupayakan sedang dalam proses. Oleh karena itu, IPS menyediakan peluang
untuk respons real-time terhadap serangan.

Sebuah IPS jaringan terdiri atas seperangkat sensor dan sebuah unit monitor pusat untuk
menganalisis data yang terkumpul. Sensor harus dipasang pada tiap segmen jaringan melalui
pengawasan real-time yang dikehendaki. Sebagai contoh, dengan arsitektur jaringan, organisasi
mungkin menempatkan sensor-sensor IPS pada DMZ, di belakang firewall utama, dan di belakang
masing-masing firewall yang digunakan untuk memisahkan porsi-porsi dan jaringan internal

Intrusion prevention system (IPS) menggunakan dua teknik utama untuk mengidentifikas pola-pola
lalu lintas yang tidak diinginkan. Pendekatan yang paling sederhana adalat membandingkan pola lalu
lintas dengan sebuah database tanda tangan dari serangan vana diketahui. Sebuah pendekatan yang
lebih rumit melibatkan pengembangan sebuah profil lah lintas "normal" dan menggunakan analisis
statistis untuk mengidentifikasi paket-paket yang tidak sesuai dengan profil tersebut. Keunggulan
pendekatan ini, yaitu dengan tanda tangan yang telah dimiliki, ia mengeblok tidak hanya serangan
yang diketahui, tetapi juga segala serangan baru yang melanggar standar.

Meskipun IPS adalah tambahan yang menjanjikan untuk penyimpanan senjata dari produk
keamanan, IPS relatif baru dan, sehingga bukan tanpa masalah. Seperti yang disebutkan
sebelumnya, deep packet inspection memperlambat seluruh throughput. Terdapat pula bahaya
karena kesalahan alarm yang berujung pada pengeblokan lalu lintas Namun, sebagian besar
penelitian tengah dilakukan untuk meningkatkan inteligensi IPS agar IPS menjadi bagian penting dari
peralatan keamanan organisasi. Meski demikian, IPS tidaklah menggantikan kebutuhan akan firewall.
Sebaliknya, firewall adalah alat pelengkap dan memberikan lapisan lain atas perimeter pertahanan.

Menggunakan Defense-in-Depth untuk Membatasi Akses Jaringan.

Penggunaan berbas perangkat penyaringan perimeter lebih efisien dan efektif dibandingkan hanya
bergantung pada satu perangkat. Oleh karena itu, sebagian besar organisasi menggunakan border
router untuk menyaring dengan cepat paket yang jelas-jelas buruk dan melewatkan sisanya ke
firewall utama. Firewall utama melakukan pengecekan yang lebih mendetail, kemudian firewall lain
melakukan deep packet inspection untuk perangkat tertentu yang lebih terlindung seperti web
server organisasi dan e-mail server. Selain itu, sebuah IPS mengawasi lalu lintas yang dilewati oleh
firewall untuk mengidentifikasi dan mengeblok pola lalu lintas jaringan yang mencurigakan serta
mungkin mengindikasikan sebuah serangan yang sedang dalam proses. Salah satu dimensi lain dari
konsep defense-in-depth: penggunaan multi-firewall internal untuk membuat segmentasi
departemen berbeda di dalam organisasi. Ingat bahwa banyak insiden keamanan melibatkan
pegawai bukannya orang luar. Firewall internal membantu untuk mempersempit jenis data dan porsi
sistem informasi sebuah organisasi yang dapat diakses seorang pegawai tertentu. Hal ini tidak hanya
meningkatkan keamanan, tetapi juga memperkuat pengendalian internal dengan menyediakan
sebuah sarana untuk melaksanakan pemisahan tugas.

MENGAMANKAN KONEKSI DIAL-UP

anyak oganisasi yang masih mengizinkan para pegawainya ntuk mengakses jaringan organisasi dari
jarak jauh dengan menyambungkannya pada sebuah odem. Penting untuk memverifikasi identitas
pengguna yang berupaya untuk mendapatkan skses digl-in. Remote Authentication Dial-In User
Service (RADIUS) adalah sebuah metode standar untuk melakukannya. Para pengguna dial-in
terhubung ke sebuah server akses jarak iauh dan memasukkan tanda bukti log-in mereka. Server
akses jarak jauh meneruskan tanda bukti tersebut ke server RADIUS yang melakukan uji
kompatibilitas untuk mengesahkan identitas pengguna tersebut. Server akses jarak jauh diletakkan
dalam DMZ, sehingga, hanya setelah pengguna diizinkan, akses ke jaringan internal perusahaan
diperoleh. Hal ini ditujukan kepada para pengguna dial-in pada pengendalian sama yang diterapkan
pada lalu lintas yang datang dari Internet yang tidak dipercaya.

Oleh karena modem cukup murah dan mudah untuk dipasang, para pegawai menjadi sering tergoda
untuk memasangnya ke dalam stasiun kerja desktop mereka tanpa meminta irin atau memberitahu
orang lain bahwa mereka telah melakukannya. Tindakan tersebut menciptakan sebuah celah besar
pada keamanan perimeter karena hubungan yang masuk tidak disaring oleh firewall utama. Terlebih,
ketika pegawai memasukkan modem, mereka jarang mengatur pengendalian autentikasi yang kuat.
Akibatnya, sebuah modem yang tidak diotorisasi ("rogue") terhubung pada stasiun kerja desktop
seorang pegawai menciptakan sebuah "pintu belakang" yang sering kali dapat diserang karena
sebuah sistem yang tidak terlindungi dengan baik. Oleh karena itu, baik staf keamanan informasi
maupun audit internal harus secara periodik mengecek keberadaan modem rogue. Cara paling
efektif dan efisien untuk melakukannya adalah menggunakan perangkat lunak war dialing untuk
menghubungi setiap nomor telepon yang ditentukan oleh organisasi guna mengidentifikasi nomor
yang terhubung dengan modem. (Para hacker melakukan hal ini juga untuk mengidentifikasi target).
Setiap modem rogue yang ditemukan melalui war dialing harus diputus koneksinya dengan
memberlakukan sanksi kepada para pegawai yang bertanggung jawab karena memasangnya.

MENGAMANKAN AKSES NIRKABEL

Banyak organisasi juga menyediakan akses nirkabel pada tem informasinya. Akses nirkabel adalah
akses yang nyaman dan mudah, tetapi juga memberi area lain untuk serangan dan memperpanjang
perimeter yang harus dilindungi. Contohnya, sejumlah perusahaan telah mengalami insiden-insiden
keamanan di mana penyusup memperoleh akses nirkabel tanpa izin ke dalam jaringan perusahaan
milik suatu organisasi saat ia sedang duduk di dalam mobil yang terparkir di luar gedung.

Tidaklah cukup untuk mengawasi lapangan parkir karena sinyal nirkabel biasanya dapat ditangkap
hingga bermil-mil jauhnya. Oleh karenanya, bagian penting dari mengamankan akses nirkabel adalah
menempatkan seluruh titik akses nirkabel (perangkat yang menerima komunikasi nirkabel yang
datang dan mengizinkan perangkat pengiriman untuk terhubung dengan jaringan organisasi) dalam
DMZ. Tindakan ini memperlakukan seluruh akses nirkabel seolah ia datang dari Internet serta
memaksa seluruh lalu lintas nirkabel untuk melalui firewall utama dan segala IPS yang digunakan
untuk melindungi perimeter jaringan internal. Selain itu, prosedur-prosedur yang perlu diikuti untuk
mengamankan akses nirkabel secara memadai adalah sebagai berikut.

 Menyalakan fitur keamanan yang tersedia. Sebagian besar peralatan nirkabel dijual dan
dipasang dengan fitur-fitur yang dimatikan. Sebagai contoh, konfigurasi pemasangan dasar
untuk kebanyakan wireless router tidak menyalakan enkripsi.
 Membuktikan keabsahan seluruh perangkat yang digunakan untuk menetapkan akses
nirkabel ke jaringan sebelum menentukan sebuah alamat IP untuk mereka. Hal ini dapat
dilakukan dengan menjalankan koneksi nirkabel yang datang sebagai upaya unsa mengakses
jaringan dari Internet dan mengirimkannya terlebih dahulu melalui v server RADIUS atau
perangkat autentikasi lainnya. Mengatur seluruh perangkat nirkabel terotorisasi agar hanya
beroperasi pada modu infrastruktur yang memaksa perangkat untuk hanya terhubung ke
titik akses nirkah (Perangkat nirkabel juga dapat diatur untuk beroperasi pada modus ad hoc
yang memungkinkannya untuk berkomunikasi langsung dengan seluruh perangkat nirkabel
lainnya. Hal ini merupakan ancaman keamanan karena ia menciptakan jaringan peer-to-
peer dengan sedikit atau tidak adanya pengendalian autentikasi.) Selain itu, menentukan
lebih dulu sebuah daftar alamat MAC sah dan mengonfigurasi titik akses nirkabel untuk
menerima koneksi hanya jika alamat MAC perangkat ada dalam daftar yang diizinkan.
 Menggunakan nama yang noninformatif sebagai alamat titik akses yang disebut dengan
service set identifier (SSID). SSID seperti "penggajian", "keuangan", atau "P&P" merupakan
target yang lebih jelas untuk diserang dibandingkan perangkat dengan SSID seperti "Al" atau
"X2". Mengurangi kekuatan publikasi dari titik akses nirkabel, menempatkannya pada
interior gedung, dan menggunakan antena pengarahan untuk membuat penerimaan lokal
tanpa izin menjadi lebih sulit. Lukisan khusus dan film kaca juga dapat digunakan unts
menampung sinyal nirkabel di dalam sebuah gedung.
 Mengenkripsi seluruh lalu lintas nirkabel. Menjadi hal yang jelas mendasar untuk melindungi
kerahasiaan dan privasi komunikasi nirkabel karena mereka ditransmisikan "di udara,
sehingga secara inheren rentan terhadap pemotongan tanpa izin.

Terakhir, seperti halnya kasus modem, lebih mudah dan murah bagi para pegawai untuk
membangun titik akses nirkabel tanpa izin di kantor mereka. Oleh karena itu, staf keamanan
informasi atau audit internal secara periodik harus menguji keberadaan titik akses nirkabel rogue,
mematikan yang ditemukan, dan secara tepat mendisiplinkan para pegawai yang bertanggung jawab
atas pemasangannya.

SOLUSI TI: PENGENDALIAN PENGUKUHAN PERALATAN DAN PERANGKAT LUNAK

Firewall dan IPS didesain untuk melindungi perimeter jaringan. Meski demikian, seperti kebanyakan
rumah dan tempat bisnis yang menambahkan kunci pintu luar, sistem alarm, lemari terkunci, serta
brankas untuk menyimpan barang berharga, sebuah organisasi juga dapat meningkatkan keamanan
sistem informasinya dengan menambahkan pengendalian preventif pada perimeter jaringan serta
pengendalian preventif tambahan pada stasiun kerja, server, printer, dan perangkat lain (secara
kolektif disebut dengan endpoint) yang meliputi jaringan organisasi. Praktik manajemen pada COBIT
5 DSS05.03 menjelaskan aktivitas-aktivitas yang terlibat dalam mengelola keamanan endpoint. Tiga
area yang berhak mendapatkan perhatian lebih: (1) konfigurasi endpoint, (2) manajemen akun
pengguna, dan (3) desain perangkat lunak.

KONFIGURASI ENDPOINT

Endpoint dapat dibuat lebih aman dengan memodifikasi konfigurasinya. Konfigurasi dasar dari
kebanyakan perangkat biasanya menyalakan pengaturan opsional dalam jumlah besar, tetapi jarang,
jika pernah, digunakan. Demikian pula pemasangan dasar dari kebanyakan sistem operasi
menghidupkan banyak program bertujuan-khusus yang tidak mendasar dan disebut layanan.
Menyalakan fitur dan layanan ekstra yang tidak perlu akan membuat kemungkinan bahwa
pemasangan akan berhasil tanpa bantuan dukungan pelanggan. Namun, kenyamanan ini muncul
pada kerugian dari penciptaan kelemahan keamanan. Setiap program yang berjalan menunjukkan
sebuah titik serangan potensial karena ia kemungkinan memiliki kerusakan, disebut kerentanan
(vulnerabilities) ang dapat dimanfaatkan baik untuk merusak sistem maupun mengambil kendalinya.
Oleh karena itu, setiap program dan fitur opsional yang tidak digunakan seharusnya dimatikan. Alat-
alat yang disebut pemindai kerentanan (vulnerabilities scanners) dapat digunakan untuk
mengidentifikasi program yang tidak digunakan, sehingga tidak memerlukan program yang
menunjukkan ancaman keamanan potensial.

Proses memodifikasi konfigurasi dasar endpoint untuk mengeliminasi pengaturan dan layanan yang
tidak diperlukan disebut pengukuhan (hardening). Sebagai tambahan untuk pengukuhan, setiap
endpoint perlu menjalankan perangkat lunak antivirus dan firewall yang diperbarui secara teratur.
Pengukuhan tersebut mungkin juga diperlukan untuk memasang perangkat lunak pencegahan
gangguan langsung pada endpoint untuk mencegah upaya tanpa izin guna mengubah konfigurasi
pengukuhan perangkat.

Tren terhadap memberi izin para pegawai untuk menggunakan perangkat pribadi mereka
(smartphone, tablet, dsb.) di kantor membuat konfigurasi endpoint jauh lebih rumit untuk dikelola
secara efektif. Fokus 8-2 membahas isu tentang pengonfigurasian perangkat mobile secara tepat.

MANAJEMEN AKUN PENGGUNA

Praktik manajemen COBIT 5 DSS05.04 menekankan kebutuhan untuk secara hati-hati mengelola
seluruh akun pengguna, terutama akun-akun TIDE memiliki hak tak terbatas (administratif) pada
komputer. Hak administratif dibutuhkan untuk memasang perangkat lunak dan mengubah sebagian
besar pengaturan konfigurasi Kewenangan yang besar tersebut membuat akun dengan hak
administratif menjadi target utama bagi para penyerang. Selain itu, banyak kerentanan yang hanya
memengaruhi akun- akun dengan hak administratif. Oleh karena itu, para pegawai yang memerlukan
kewenangan administratif untuk sebuah komputer khusus harus diberikan dua akun: satu dengan
hak adminisitratif dan akun lainnya hanya memiliki keistimewaan terbatas. Para pegawai ini harus
diajarkan log in ke dalam akun terbatasnya untuk melakukan tugas harian rutin dan log in ke dalam
akun administratif mereka hanya ketika mereka perlu melakukan beberapa tindakan, seperti
memasang perangkat lunak baru yang memerlukan hak administratif. Hal ini sangat penting agar
pegawai menggunakan akun pengguna reguler terbatas ketika browsing situs atau membaca e-mail.
Oleh karenanya, jika pengguna mengunjungi sebuah situs yang berbahaya atau membuka sebuah e-
mail yang terinfeksi, penyerang hanya akan mendapatkan hak terbatas pada mesin. Meskipun
penyerang dapat menggunakan alat lain sehingga akhirnya mendapatkan hak administratif pada
mesin tersebut, pengendalian keamanan yang lainnya dapat mendeteksi dan menggagalkan upaya
tersebut untuk meningkatkan ketahanan sebelum mereka dapat menyelesaikan. Terakhir, penting
untuk mengubah kata sandi dasar pada semua akun administratif yang dibuat selama awal
pemasangan perangkat lunak atau perangkat keras karena nama-nama akun dan kata sandi
dasarnya secara umum tersedia di Internet, sehingga memberikan sebuah kemudahan bagi
penyerang untuk membahayakan sistem.

DESAIN PERANGKAT LUNAK Sebagaimana organisasi yang telah meningkatkan keefektifan

pengendalian keamanan perimeternya, para penyerang juga meningkatkan kerentanan yang
ditargetkan dalam program aplikasi. Limpahan buffer, injeksi SQL, dan cross-site scripting adalah
contoh umum dari serangan-serangan terhadap perangkat lunak yang dijalankan dalam situs.
Serangan-serangan ini memanfaatkan perangkat lunak yang dibuat dengan buruk serta tidak
mengecek secara keseluruhuan input persediaan-pengguna sebelum pemrosesan lebih lanjut.
Pertimbangkan tugas umum dari permintaan input pengguna seperti nama dan alamat. Sebagian
besar program menyimpan sejumlah memori pasti yang disebut dengan buffer untuk menyimpan
input pengguna. Meski demikian, jika program tidak secara cermat mengecek ukuran data yang
sedang dimasukkan, seorang penyerang mungkin memasukkan sejumlah data yang disiapkan
sebelumnya dan melimpahkan buffer. Kelebihan data d dibuat untuk sebuah area memori yang
normalnya digunakan untuk menyimpan da mengeksekusi perintah. Pada kasus tersebut, seorang
penyerang mungkin dapat mengambil kendali mesin dengan mengirimkan perintah yang disusun
dengan cermat dalam kelebihan data. Demikian pula serangan injeksi SQL terjadi kapanpun
perangkat lunak aplikasi situs yang berhadapan dengan sebuah database server tidak menyaring
input pengguna, sehingga mengizinkan seorang penyerang untuk melekatkan perintah SQL di dalam
sebuah permintaan entri data dan seluruh perintah tersebut dieksekusi pada database server.
Serangan cross-site scripting terjadi ketika perangkat lunak aplikasi situs tidak menyaring secara
cermat input pengguna sebelum mengembalikan segala data ke browser-dalam kasus ini adalah
browser korban akan mengeksekusi segala naskah berbahaya yang dilekatkan.

SOLUSI TI: ENKRIPSI

Enkripsi memberikan sebuah lapisan pertahanan terakhir untuk mencegah akses tanpa izin terhadap
informasi sensitif. Kita akan membahas enkripsi dengan lebih detail di Bab 9 karena pentingnya
enkripsi untuk mencapai prinsip-prinsip keamanan atas perlindungan kerahasiaan ermasi organisasi
serta privasi informasi pribadi yang dikumpulkan dari para pelanggan, pegawal, dan rekan bisnis.
KEAMANAN FISIK: PENGENDALIAN AKSES

Sudah menjadi hal yang mendasar untuk mengendalikan akses fisik terhadap sumber daya informasi.
Seorang penyerang yang ahli hanya membutuhkan beberapa menit untuk akses fisik langsung tanpa
pengawasan untuk menembus pengendalian keamanan informasi yang ada Contohnya, seorang
penyerang dengan akses fisik langsung yang tidak diawasi dapat memasang sebuah perangkat
keystroke logging yang menangkap tanda bukti autentikasi seorang pengguna yang memungkinkan
penyerang untuk selanjutnya mendapatkan akses tanpa izin terhadap sistem dengan menyamar
sebagai seorang pengguna yang sah. Seseorang dengan akses fisik yang tak terawasi juga dapat
menyusupkan disk "boot" khusus yang memberikan akses langsung terhadap setiap file di komputer
dan kemudian menyalin sejumlah file sensitif ke sebuah perangkat portabel seperti USB port atau
iPod. Cara lainnya, seorang penyerang dengan akses fisik tak terawasi dapat dengan mudah
memindahkan hard drive atau bahkan mencuri seluruh kamputer. Praktik manajemen COBIT 5
DSS05.05 menjelaskan praktik- praktik terbaik mengenai pengendalian akses fisik.

Akses terhadap wiring yang digunakan dalam LAN organisasi juga perlu dibatasi unhuk mencegah
wiretapping. Itu berarti bahwa pengabelan dan wiring seharusnya tidak dinasang di area yang dapat
diakses pengunjung biasa. Lemari wiring yang berisi perlengkapan telekomunikasi perlu dikunci
dengan aman. Jika lemari wiring digunakan bersama dengan Jain di dalam gedung kantor, organisasi
tersebut harus meletakkan perlengkapan penyewa telekomunikasinya di dalam kurungan besi
terkunci untuk mencegah akses fisik tanpa izin oleh siapa saja untuk akses ke dalam lemari wiring
tersebut. Stop kontak tembok yang sedang tidak digunakan harus diputus koneksinya secara fisik
dari jaringan, untuk mencegah seseorang menancapkannya ke laptop dan berupaya mengakses
jaringan.

Akses terhadap wiring yang digunakan dalam LAN organisasi juga perlu dibatasi unhuk mencegah
wiretapping. Itu berarti bahwa pengabelan dan wiring seharusnya tidak dinasang di area yang dapat
diakses pengunjung biasa. Lemari wiring yang berisi perlengkapan telekomunikasi perlu dikunci
dengan aman. Jika lemari wiring digunakan bersama dengan Jain di dalam gedung kantor, organisasi
tersebut harus meletakkan perlengkapan penyewa telekomunikasinya di dalam kurungan besi
terkunci untuk mencegah akses fisik tanpa izin oleh siapa saja untuk akses ke dalam lemari wiring
tersebut. Stop kontak tembok yang sedang tidak digunakan harus diputus koneksinya secara fisik
dari jaringan, untuk mencegah seseorang menancapkannya ke laptop dan berupaya mengakses
jaringan.

Laptop, telepon seluler, dan tablet memerlukan perhatian khusus atas keamanan fisik mereka
karena peralatan-peralatan tersebut biasanya menyimpan informasi sensitif dan sangat mudah
hilang atau dicuri. Kerugian utama bukanlah seberapa mahalnya perangkat yang hilang, tetapi lebih
karena kehilangan informasi rahasia yang dimuat di dalamnya sertu kerugian untuk memberitahu
mereka yang terpengaruh. Sering kali, perusahaan harus membayar layanan pengawasan-kredit bagi
nasabah yang informasi pribadinya hilang ataa dicuri. Bahkan, mungkin ada gugatan dan denda dari
badan-badan peraturan.

Idealnya, para pegawai sebaiknya tidak menyimpan segala informasi sensitif di dalam laptop atau
perangkat pribadi lainnya. Jika informasi keorganisasian sensitif harus disimpan di dalam laptop atau
perangkat portabel, informasi tersebut harus dienkripsi, sehingga jiki perangkat hilang atau dicuri
informasi tidak akan bisa diakses. Guna menghadapi ancaman pencurian laptop, para pegawai harus
dilatih untuk selalu mengunci laptop mereka ke sebuah benda yang tidak dapat dipindahkan. Hal ini
diperlukan bahkan ketika di kantor karena selalu ada kasus saat pencuri menyamar menjadi petugas
kebersihan kemudian mencuri laptop dan perlengkapan lainnya selama jam kerja. Beberapa
organisasi juga memasang perangkat lunak khusus pada laptop dan perangkat mobile lainnya yang
mengirimkan sebuah pesan sebuah server keamanan kapanpun perangkat terhubung dengan
Internet. Oleh karenanya. jika perangkat hilang atau dicuri, lokasinya dapat diidentifikasi setiap kali
ia terhubung dengan Internet. Server keamanan juga dapat mengirimkan pesan balasan yang
menghapuskan permanen seluruh informasi yang tersimpan dalam perangkat.

PENGENDALIAN PERUBAHAN DAN MANAJEMEN PERUBAHAN

Organisasi secara konstan memodifikasi sistem informasi mereka untuk menunjukkan araktik-praktik
bisnis baru dan mengambil manfaat atas penguasaan TI. Pengendalian nerubahan dan manajemen
perubahan (change control and change management) mengarah ada proses formal yang digunakan
untuk memastikan bahwa modifikasi pada perangkat keras, perangkat lunak, atau pada proses tidak
mengurangi keandalan sistem. Pengendalian perubahan yang baik sering kali menghasilkan kinerja
pengoperasian yang lebih baik karena hanya ada lebih sedikit masalah untuk diperbaiki. Perusahaan
dengan proses manajemen perubahan dan pengendalian perubahan yang baik juga mengalami
penurunan biaya ketika insiden keamanan terjadi. Tentu saja, kemampuan dalam mengidentifikasi
dengan cepat untuk perubahan yang tidak diotorisasi dan sanksi kepada mereka yang bertanggung
jawab karena mengabaikan proses pengendalian perubahan dan manajemen perubahan merupakan
salah satu dari karakteristik-karakteristik penting yang membedakan organisasi berkinerja-tinggi
dengan yang lainnya. Oleh karena itu, tidaklah mengejutkan bahwa dua dari proses COBIT 5
berurusan dengan pengelolaan perubahan (BA106) dan prosedur untuk pengujian serta peralihan ke
solusi-solusi baru (BAI07). Beberapa karakteristik proses pengendalian perubahan dan manajemen
perubahan yang didesain dengan baik melibatkan:

 Dokumentasi seluruh permintaan perubahan, pengidentifikasian sifat perubahan.

rasionalitasnya, tanggal permintaan, dan hasil permintaan.
 Persetujuan terdokumentasi atas seluruh permintaan perubahan dilakukan oleh tingkat
manajemen yang sesuai. Hal yang terutama penting, yaitu manajemen senior meninjau dan
menyetujui perubahan-perubahan utama pada proses dan sistem untuk memastikan bahwa
seluruh perubahan yang diajukan tersebut konsisten terhadap rencana strategis jangka
panjang organisasi.
 Pengujian seluruh perubahan menggunakan sebuah sistem yang terpisah, bukan hanya yang
digunakan untuk proses bisnis harian. Hal tersebut menurunkan risiko bahwa "kesalahan-
kesalahan" dalam modifikasi tidak mengganggu bisnis normal.
 Pengendalian konversi memastikan bahwa data ditransfer secara akurat dan lengkap dari
sistem lama ke sistem baru. Para auditor internal harus meninjau proses konversi.
 Pembaruan seluruh dokumentasi (instruksi program, deskripsi sistem, manual prosedur,
dab.) untuk menunjukkan implementasi perubahan terbaru. Sebuah proses khusus untuk
peninjauan, persetujuan, dan dokumentasi secara tepat waktu atas "perubahan darurat"
segera setelah krisis terjadi. Seluruh perubahan darurat perlu dicatat agar menyediakan
sebuah jejak audit. Sejumlah besar atau nilai peningkatan dalam jumlah perubahan darurat
merupakan sebuah tanda peringatan potensial terhadap masalah lain (prosedur manajemen
konfigurasi yang buruk, kurangnya pemeliharaan preventif, atau "permainan" politik untuk
menghindari proses pengendalian perubahan normal).
 Pengembangan dan dokumentasi rencana "mundur" untuk mempermudah pengembalian ke
konfigurasi sebelumnya jika perubahan baru menciptakan masalah yang tidak diharapkan.
 Pengawasan dan peninjauan dengan cermat atas hak dan keistimewaan pengguna selama
proses perubahan untuk memastikan bahwa pemisahan tugas yang sesuai telah ditetapkan.

Pengendalian Detektif

Seperti yang dibahas sebelumnya, pengendalian preventif tidak pernah 100% efektif dalam
mengeblok seluruh serangan. Oleh karena itu, salah satu praktik manajemes COBIT 5 DSS05.07
menjelaskan aktivitas-aktivitas yang juga dibutuhkan organisasi unt memungkinkan deteksi
gangguan dan masalah secara tepat waktu. Bagian ini mendiskusika empat jenis pengendalian
detektif: analisis log, sistem deteksi gangguan, pengujian penetrass dan pengawasan berkelanjutan.

ANALISIS LOG

Sebagian besar sistem muncul dengan kemampuan ekstensif untuk mencatat (logging) siapa yang
mengakses sistem dan tindakan-tindakan tertentu apa saja yang dilakukan setiap pengguna.
Sejumlah log yang dibuat menciptakan sebuah jejak audit pada akses sistem. Seperti jejak audit
lainnya, log-log hanya bernilai jika mereka diperiksa secara rutin. Analisis log (log analysis) adalah
proses pemeriksaan log untuk mengidentifikasi bukti kemungkinan serangan.
Hal ini penting, terutama untuk menganalisis log-log dari kegagalan pencobaan untuk masuk ke
dalam sebuah sistem dan upaya yang gagal untuk mendapatkan akses atas sumber daya informasi
tertentu. Sebagai contoh, sebuah bagian log keamanan sebuah komputer Vin menjalankan sistem
pengoperasian Windows menunjukkan seorang pengguna bernama "rjones" gagal mencoba masuk
ke dalam sebuah komputer dengan nama "server penggajian Tujuan dari analisis log adalah untuk
mengetahui alasan dari kegagalan untuk masuk tersebut. Sebuah penjelasan yang mungkin atas hal
tersebut yaitu rjones merupakan pengguna sah yang lupa kata sandinya. Kemungkinan yang lain
yaitu rjones merupakan pengguna sah, tetapi tidak diotorisasi untuk mengakses server penggajian.
Kemungkinan yang lain lagi yaitu mungkin kasus tersebut menunjukkan sebuah serangan yang
diupayakan oleh seorang pengguna tanpa izin. Selain itu, penting pula untuk menganalisis
perubahan-perubahan terhadap log itu sendiri (yaitu "mengaudit jejak audit"). Catatan log dibuat
secara rutin kapan saja sesuai terjadinya peristiwa. Meski demikian, catatan log normalnya tidak
dihapus atau diperbarui. Oleh karena itu, penemuan perubahan seperti itu dalam sebuah file log
mengindikasikan bahwa sistem kemungkinan telah dirusak.

Log-log tersebut perlu dianalisis secara teratur untuk mendeteksi masalah secara tepat waktu. Hal
ini tidak mudah karena ukuran log dapat bertambah dengan cepat. Masalah lain adalah banyak
perangkat menghasilkan log dengan format hak milik, yang menyulitkannya untuk mengorelasikan
dan merangkum log dari perangkat-perangkat yang berbeda. Tool perangkat lunak seperti sistem
manajemen log dan sistem manajemen informasi keamanan berupaya untuk menyampaikan
masalah-masalah ini dengan mengonversi format log vendor khusus ke dalam representasi umum
dan menghasilkan laporan yang mengorelasikan dan merangkum informasi dari berbagai sumber.
Meski demikian, analisis log tentunya memerlukan pertimbangan manusia untuk mengartikan
laporan dan mengidentifikasi situasi yang tidak "normal".

SISTEM DETEKSI GANGGUAN

Sistem deteksi gangguan (intrusion detection system–IDS) jaringan terdiri atas satu set sensor dan
unit pengawasan pusat (central monitoring unit) yang menghasilkan log dari seluruh lalu lintas
jaringan yang diizinkan untuk melewati firewall dan kemudian menganalisis log-log tersebut sebagai
tanda atas gangguan yang diupayakan atau yang berhasil dilakukan. Seperti halnya IPS jaringan, IDS
jaringan berfungsi dengan mencocokkan lalu lintas yang diamati dengan dasar aturannya. Selain itu,
IDS dapat dipasang pada sebuah perangkat tertentu untuk mengawasi upaya tanpa izin untuk
mengubah konfigurasi perangkat tersebut. Perbedaan utama antara IDS dan IPS, yaitu IDS hanya
menghasilkan sebuah tanda peringatan ketika ia mendeteksi sebuah pola mencurigakan pada lalu
lintas jaringan; kemudian terserah pada manusia yang bertanggung jawab untuk mengawasi IDS
untuk memutuskan jenis tindakan apa yang akan diambil. Kebalikannya, IPS tidak hanya
memunculkan sebuah tanda, tetapi juga mengambil langkah secara otomatis untuk menghentikan
sebuah serangan yang dicurigai.

PENGUJIAN PENETRASI

Dua dari bagian proses pengendalian COBIT 5 menyatakan kebutuhan untuk secara periodik menguji
efektivitas proses bisnis dan pengendalian internal (termasuk prosedur keamanan). Kita telah
membahas penggunaan pemindai kerentanan untuk mengidentifikasi kelemahan potensial dalam
konfigurasi sistem. Pengujian penetrasi memberikan sebuah cara yang lebih cermat untuk menguji
efektivitas keamanan informasi sebuah organisasi. Sebuah uji penetrasi (penetration test) adalah
sebuah upaya terotorisasi oleh baik tim audit internal maupun kantor konsultasi keamanan eksternal
untuk menerobos ke dalam sistem informasi organisasi. Tim- tim ini mencoba segala cara yang
mungkin untuk merusak sistem sebuah perusahaan. Oleh karena adanya berbagai vektor serangan
yang potensial, uji penetrasi hampir selalu berhasil. Meski demikian, nilai mereka tidaklah besar
dalam mendemonstrastikan bahwa sebuah sistem dapat dibobol, tetapi dalam mengidentifikasi
letak perlindungan tambahan paling diperlukan untuk meningkatkan waktu dan usaha yang
diperlukan dalam membahayakan sistem.

PENGAWASAN BERKELANJUTAN

Praktik manajemen COBIT 5 menekankan pentingnya pengawasan berkelanjutan dar kepatuhan

pegawai terhadap kebijakan keamanan informasi organisasi serta kinerja keseluruhan proses bisnis.
Pengawasan tersebut merupakan pengendalian detektif penting yang dapat mengidentifikasi
masalah potensial secara tepat waktu. Mengukur kepatuhan terhadap kebijakan adalah hal mudah,
tetapi kinerja pengawasan secara efektif memerlukan pertimbangan dan keahlian. Para akuntan
dapat memberikan nilai dengan penggambaran a pembahasan COBIT 5 mengenai metrik yang
memungkinkan untuk mengevaluasi keamanan informasi guna membantu manajemen mendesain
laporan efektif yang menekankan area yang paling memerlukan perhatian.

Pengendalian Korektif

Meski deteksi masalah dengan tepat waktu adalah penting, hal itu tidaklah cukup. Sebagaimana
praktik manajemen COBIT, organisasi juga memerlukan prosedur untuk melakukan tindakan korektif
secara tepat waktu. Meski demikian, banyak pengendalian korektif yang bergantung pada
pertimbangan manusia. Akibatnya, efektivitas mereka bergantung pada sebuah batasın luas pada
perencanaan dan persiapan yang sesuai. Itulah alasan COBIT 5 menyediakan dua bagian dari
keseluruhan proses untuk mengelola dan merespons insiden serta masalah. Sekarang, akan dibahas
tiga pengendalian korektif yang penting: (1) pembentukan sebuah tim perespons insiden komputer
(computer incident response team-CIRT), (2) pendesainan individu khusus, biasanya disebut dengan
Chief Information Security Officer (CISO) dengan tanggung jawab luas atas keamanan informasi, dan
(3) penetapan serta penerapan sistem manajemen path yang didesain dengan baik.

COMPUTER INCIDENT RESPONSE TEAM (CIRT)

Sebuah komponen utama agar mampu merespons insiden keamanan dengan tepat dan efektif
adalah penetapan sebuah tim perespons insiden komputer (computer incident response team-
ClIRT). Sebaiknya CIRT tidak hanya melibatkan spesialis teknis, tetapi juga manajemen operasi
senior, karena beberapa respons potensial insiden keamanan memiliki konsekuensi ekonomi yang
signifikan. Sebagai contoh, mungkin perlu untuk mematikan sebuah e-commerce server selama
beberapa waktu. Keputusan yang dilakukannya adalah penting untuk meninggalkan kebijakan staf TI;
hanya manajemen operasi yang memiliki pengetahuan luas untuk mengevaluasi biaya dan manfaat
dari tindakat tersebut dengan benar, serta hanya mereka yang memiliki otorisasi untuk membuat
keputusan tersebut.

Sebuah CIRT harus mengarahkan proses respons insiden organisasi melalui empat tahapan berikut

1. Pemberitahuan (recognition) adanya sebuah masalah. Biasanya, ini terjadi ketika sebuah IPS
dan IDS memberi sinyal, tetapi juga dapat berasal dari hasil analisis log yang dilakukan oleh
seorang administrator sistem.
2. Penahanan (containment) masalah. Segera setelah gangguan terdeteksi, tindakan van tepat
diperlukan untuk menghentikan gangguan dan menahan bahaya.
3. Pemulihan (recovery). Bahaya yang disebabkan oleh serangan harus diperbaiki. Hal ini
mungkin melibatkan penyimpanan ulang data dari backup serta pemasangan ulang
program-program yang rusak. Kita akan mendiskusikan backup dan prosedur pemulihan
bencana dengan lebih detail pada Bab 10.
4. Tindak lanjut (follow up). Segera setelah pemulihan diproses, CIRT harus memimpin analisis
bagaimana insiden terjadi. Beberapa tahapan mungkin perlu dilakukan untuk memodifikasi
kebijakan dan prosedur keamanan yang sudah ada agar meminimalkan kemungkinan
insiden serupa terjadi di masa depan. Keputusan penting yang perlu dibuat adalah apakah
akan mengupayakan untuk menangkap dan menghukum pelaku perusakan. Jika organisasi
memutuskan bahwa ia ingin menuntut pelaku, perusahaan perlu melibatkan pakar forensik
dengan segera untuk memastikan bahwa seluruh bukti yang vang memungkinkan
dikumpulkan dan dikelola dengan cara yang membuatnya dapat diterima secara
administratif di pengadilan.

Komunikasi sangat penting untuk keseluruhan dari empat langkah proses respons Insiden. Oleh
karena itu, berbagai metode pemberitahuan para anggota CIRT diperlukan. Sebagai contoh, IPS dan
IDS dapat dikonfigurasikan untuk mengirim peringatan e-mail. Meski demikian, jika sistem
mengalami penurunan atau sedang dirusak, peringatan e-mail mungkin tidak bekerja. Telepon
tradisional dan telepon seluler menyediakan saluran alternatif yang baik untuk mengirim peringatan
awal dan komunikasi lanjutan.

Penting pula untuk mempraktikkan rencana respons insiden, termasuk proses peringatan. Akan lebih
baik lagi jika dapat menemukan sebuah celah dalam perencanaan selama praktik berjalan dibanding
saat sebuah insiden nyata terjadi. Praktik yang teratur membantu pengidentifikasian kebutuhan
perubahan respons terhadap perubahan teknologi. Sebagai contoh, banyak organisasi berganti dari
sistem telepon tradisional ke sistem voice- over IP (VOIP). Tindakan tersebut dapat menghemat
dana, tetapi juga berarti bahwa jika jaringan komputer sedang turun, sistem telepon juga akan
turun. Dampak ini mungkin tidak diperhatikan hingga rencana respons insiden dijalankan.

CHIEF INFORMATION SECURITY OFFICER (CISO)

COBIT 5 mengidentifikasi struktur keorganisasian sebagai sebuah fasilitator kritis untuk mencapai
pengendalian dan keamanan yang efektif. Sangat penting agar organisasi menentukan
nertanggungjawaban atas keamanan informasi kepada seseorang di level manajemen senior vang
tepat. Satu cara untuk memenuhi sasaran ini adalah menciptakan posisi CISO, yang harus
independen dari fungsi-fungsi sistem informasi lainnya serta harus melapor baik ke chief operating
officer (COO) maupun chief executive officer (CEO). CISO harus memahami lingkungan teknologi
perusahaan dan bekerja dengan chief information officer (CIO) untuk mendesain,
mengimplementasi, serta membangun kebijakan dan prosedur keamanan yang baik. CISO juga harus
menjadi penilai dan pengevaluasi yang adil di lingkungan TI. Oleh karena itu, CISO harus memiliki
tanggung jawab untuk memastikan bahwa penilaian kerentanan dan risiko dilakukan secara teratur
serta audit keamanan dilakukan secara periodik. CISO juga perlu bekerja sama dengan pihak yang
berwenang atas keamanan fisik, karena akses fisik tanpa izin dapat memungkinkan penyusup untuk
menerobos pengendalian akses logis yang paling rumit.

MANAJEMEN PATCH

Peningkatan terus-menerus atas ukuruan dan kompleksitas program perangkat lunak hampir skan
bahwa mereka memuat sejumlah kerentanan. Untuk memahami mengapa demikian, erimbangkan
bahwa banyak program mengandung jutaan lini kode. Bahkan, jika kode rscbut 99% bebas dari
"kerusakan-kerusakan", itu berarti setiap juta lini kode terdapat sekitar 100 kemungkinan masalah
yang dapat menunjukan sebuah kerentanan. Itulah mengapa baik penyerang maupun kantor
konsultasi keamanan secara konstan menguji kerentanan pada perangkat lunak yang banyak
digunakan. Segera setelah sebuah kerentanan teridentifikasi, penting untuk mengambil langkah
secara tepat waktu untuk memperbaikinya karena hal tersebut tidak akan bertahan lama sebelum
sebuah exploit muncul, yaitu sebuah program yang didesain untuk memanfaatkan adanya
kerentanan yang terdeteksi. Meskipun memerlukan keahlian memadai untuk menciptakan sebuah
exploit, segera setelah ia dipublikasikan di Internet, ia dapat digunakan dengan mudah oleh
siapapun.

Tersedianya banyak exploit di pasaran serta penggunaannya yang mudah, menjadikan pentingnya
organisasi untuk mengambil langkah agar dengan cepat mengoreksi kerentanan yang terdeteksi di
dalam perangkat lunak yang mereka gunakan. Patch adalah kode yang dirilis oleh pengembang
perangkat lunak untuk memperbaiki kerentanan tertentu. Manajemen patch (patch management)
adalah proses untuk secara teratur menerapkan patch dan memperbarui sehuruh perangkat lunak
yang digunakan oleh organisasi. Hal tersebut tak semudah kedengarannya Sejumlah patch
merepresentasikan modifikasi perangkat lunak yang pural sungguh rumit. Akibatnya, patch
terkadang menciptakan masalah baru karena dampak la vang tidak diantisipasi Oleh karena itu,
organisasi perlu menguji dengan cermat efek dari patch at sebelum menyebarkannya; jika tidak,
organisasi akan mengalami risiko kerusakan aplikasi penting. Masalah yang jauh lebih rumit, yaitu
fakta bahwa kemungkinan adanya berbagai patch yang dirilis setiap tahun untuk setiap program
perangkat lunak yang digunakan organisasi. Akibatnya, organisasi mungkin mendapatkan tugas
menerapkan ratusan patch pada ribuan mesin setiap tahun. Ini adalah satu bidang di mana IPS
berperan besar. Jika sebuah IPS dapat dengan cepat diperbarui dengan informasi yang diperlukan
untuk merespons kerentanan baru dan mengeblok exploit baru, organisasi dapat menggunakan IPS
untuk memanfaatkan waktu yang diperlukan untuk menguji patch secara keseluruhan sebelum
menerapkannya.

Implikasi Keamanan Virtualisasi dan Cloud Akhir-akhir ini, banyak organisasi telah melibatkan
virtualisasi dan komputasi cloud untuk meningkatkan baik efisiensi maupun efektivitas. Virtualisasi
(virtualization) memanfaat kekuatan dan kecepatan komputer modern untuk menjalankan berbagai
sistem sec bersamaan pada satu komputer fisik. Hal ini memotong biaya perangkat keras karena
semakin sedikit server yang perlu dibeli. Mesin yang lebih sedikit berarti biaya pemeliharaan juga
lebh rendah. Biaya pusat data juga turun karena lebih sedikit ruang yang perlu disewa, yang juga
menurunkan biaya peralatan. Komputasi cloud (cloud computing) memanfaatkan high bandwidth
dari jaringan telekomunikasi global modern agar memungkinkan para pegawai menggunakan sebuah
browser untuk mengakses perangkat lunak dari jarak jauh (perangkat lunak sebagai sebuah layanan),
perangkat penyimpanan data (penyimpanan sebagai sebuah layanan), perangkat keras (infrastruktur
sebagai sebuah layanan), dan seluruh lingkungan aplikasi (platform sebagai sebuah layanan).
Pengaturannya ditujukan untuk cloud "privat", "publik", atau "hibrida yang bergantung pada apakah
sumber daya yang diakses dari jarak jauh seluruhnya dimiliki organisasi, pihak ketiga, alau gabungan
keduanya secara berturut-turut. Komputasi cloud secara potensial dapat menghasilkan
penghematan biaya yang signifikan. Sebagai contoh sebuah organisasi bukannya membeli,
memasang, dan memelihara salinan terpisah perangkat lunak untuk tiap pengguna akhir, tetapi
justru dapat membeli satu salinan memasangnya ke sebuah server pusat, dan membayar sejumlah
upah pegawai yang signifikan untuk menggunakan sebuah browser secara simultan guna mengakses
dan menggunakan perangkat lunak tersebut dari jarak jauh. Cloud publik sebenarnya dapat
mengeliminasi kebutuhan untuk pembuatan investasi kapital besar pada TI dengan organisasi
membeli (dan membiayakan) penggunaan mereka atas sumber daya komputasi berdasarkan bayar-
untuk- pakai atau berlangganan. Selain untuk penurunan biaya, sentralisasi sumber daya komputasi
dengan komputasi cloud (baik publik, pribadi, atau hibrida) memudahkan perubahan perangkat
lunak dan perangkat keras, sehingga meningkatkan fleksibilitas. Virtualisasi dan komputasi cloud
mengubah risiko beberapa ancaman keamanan informasi. Sebagai contoh, akses fisik yang tidak
diawasi di sebuah lingkungan virtualisasi membongkar tidak hanya satu perangkat, tetapi juga
seluruh jaringan virtual risiko pencurian atau penghancuran dan perusakan.