RINGKASAN MATERI KULIAH

(RMK) BAB 8
Melindungi Sistem Informasi

Dosen Pengampu :
Luqita Romansyah, SA, MA.

Oleh :
Kelompok 6 / Kelas C
1. Muhammad Farhan Arisky (19013010091)
2. Firly Adrian Pratama (19013010121)
3. Fernanda Bagas (19013010216)

PROGRAM STUDI AKUNTANSI

FAKULTAS EKONOMI DAN
BISNIS
UNIVERSITAS PEMBANGUNAN NASIONAL “VETERAN” JAWA
TIMUR TAHUN AJARAN 2020/2021
8.1 KERENTANAN DAN PENYALAHGUNAAN SISTEM
Dalam menjalankan bisnis diperlukan untuk menjadikan keamanan dan
pengendalian sebagai sebuah prioritas utama. Keamanan (security) merujuk pada
kebijakan, prosedur, dan pengukuran teknis yang digunakan untuk mencegah akses yang
tidak berwenang, alterasi, pencurian, atau kerusakan fisik pada sistem informasi.
Pengendalian (control) adalah metode, kebijakan, dan prosedur organisasi yang
memastikan keamanan aset organisasi, akurasi dan reabilitas pencatatan, serta kepatuhan
operasional pada standar manajemen.

MENGAPA SISTEM SANGAT RENTAN

Data dalam jumlah besar disimpan dalam bentuk elektronik, mereka lebih rentan
terhadap ancaman dibanding dalam bentuk manual. Melalui jaringan komunikasi, sistem
informasi di beberapa lokasi yang berbeda saling terhubung. Potensi dari akses yang tidak
berwenang, penyalahgunaan, atau penipuan tidak terbatas pada satu lokasi, dapat terjadi di
titik akses manapun dalam jaringan. Ancaman berasal dari faktor teknis, organisasi, dan
lingkungan yang digabungkan dengan keputusan manajemen yang buruk. Pengguna seperti
klien dapat menyebabkan kerugian dengan memasukan kesalahan (errors) atau mengakses
sistem tanpa izin. Penyusup dapat meluncurkan serangan penolakan layanan atau
perangkat lunak berbahaya untuk mengganggu operasional situs web. Siapa pun dapat
menembus sistem dapat menghancurkan atau mengacaukan data yang disimpan dalam
database atau pun file.
Kesalahan sistem terjadi saat perangkat keras komputer tidak bekerja secara efektif,
atau tidak terkonfigurasi secara benar, atau kerusakan yang disebabkan oleh penggunaan
yang tidak tepat atau tindakan kriminal. Kemitraan domestik dengan perusahaan lain
menambah kerentanan sistem jika informasi berharga diletakkan pada jaringan dan
komputer di luar kendali perusahaan. Tanpa perlindungan yang kokoh, data berharga dapat
hilang, hancur, atau jatuh ke tangan pihak yang tidak tepat yang mengungkap rahasia
dagang penting atau informasi yang merusak rahasia pribadi. Kepopuleran perangkat
genggam untuk komputasi bisnis menambah kerentanan tersebut. Kemudahan untuk
dibawa membuat mudah hilang atau dicuri. Smartphone mempunyai kelemahan keamanan
yang sama seperti perangkat lain, dan rentan terhadap perangkat lunak berbahaya dan
penetrasi dari pihak luar.

Kerentanan Internet
Internet begitu luas sehingga ketika terjadi penyalahgunaan, akan memberikan
dampak yang luas. Ketika internet menjadi bagian dari jaringan perusahaan, sistem
informasi organisasi akan semakin rentan terhadap pihak luar. Komputer yang selalu
terhubung dengan internet melalui kabel modem atau jalur DSL lebih terbuka terhadap
penetrasi oleh pihak luar dikarenakan mereka menggunakan alamat internet yang mudah
diidentifikasi dan menciptakan target tetap bagi peretas.
Layanan telepon berbasis teknologi internet lebih rentan dibanding switched voice
network jika tidak dalam jaringan privat yang terlindungi. Sebagian besar VoIP pada internet
public tidak terenkripsi sehingga yang dalam jaringan dapat mendengar percakapan.
Kerentanan juga meningkat melalui penggunaan surel secara luas, pesan instan, dan
program pembagi arsip peer-to-peer. Surel dapat berisi lampiran yang berfungsi sebagai
batu loncatan perangkat lunak berbahaya atau akses tidak dikenali oleh sistem internal
perusahaan.

Tantangan Keamanan Nirkabel

Baik Bluetooth atau Wi-Fi rawan untuk diretas, jaringan area local (LAN)
menggunakan standar 802.11 dapat dengan mudah dimasuki pihak luar. Peretas
menggunakan peralatan untuk mendeteksi jaringan yang tidak dilindungi, memantau lalu
lintas jaringan, dan memperoleh akses ke internet atau jaringan perusahaan. Teknologi
transmisi Wi-Fi dirancang memudahkan berbagai pemancar untuk menemukan dan
mendengar satu sama lain. Service set identifier (SSID) yang mengidentifikasi titik akses
dalam jaringan WI-Fi disiarkan berulang dan dapat diambil dengan cukup mudah melalui
program sniffer. Jaringan nirkabel di banyak lokasi tidak memiliki proteksi war driving, para
pencru danger berkendara dekat gedung atau memarkir di luar dan mencoba untuk
menahan lalu lintas nirkabel. Penyusup yang telah terhubung denga titik akses menggunaka
SSID yang benar, mampu mengakses berbagai sumber dalam jaringan. Penyusup juga
menggunakan informasi yang terkumpul untuk merancang titik akses yang buruk pada
saluran radio berbeda di lokasi fisik yang berdekatan dengan pengguna untuk memaksa
network interface control (NIC) dari radio pengguan agar terhubung dengan titik akses
tersebut. Setelah itu peretas menggunakan titik akses untuk mengambil nama dan kata
sandi dari pengguna tanpa menaruh curiga.

PERANGKAT LUNAK BERBAHAYA : VIRUS, WORMS, TROJAN HORSES, DAN

SPYWARE
Program perangkat lunak berbahaya (malicious software program) disebut sebagai
malware dan mencakup berbagai ancaman, seperti virus komputer, worms, dan Trojan
horses. Virus komputer adalah sebuah program perangkat lunak berbahaya yang mengikat
dirinya pada program perangkat lunak lain atau arsip data yang akan dijalankan, biasanya
tanpa sepengetahuan atau izin pengguna. Sebagian besar mengirim sebuah “muatan” yang
dapat jinak, seperti intruksi untuk mengambil pesan atau gambar, hingga sangat merusak,
menghancurkan program atau data, meyumbat memori komputer, melakukan format ulang
pada perangkat keras komputer, atau membuat program bekerja tidak semestinya.
Baru-baru ini serangan datang dari worm, program perangkat lunak independen
yang menggandakan dirinya sendiri dari satu komputer ke komputer lain melalui jaringan.
Worm dapat mengoperasikan dirinya tanpa harus mengikat pada arsip program komputer
dan tidak banyak bergantung pada perilaku manusia untuk menyebarkan dari satu komputer
ke komputer lain. Worm merusak dan mengacaukan data bahkan memberhentikan
operasional jaringan komputer.
Worm dan virus disebarluaskan melalui internet dari arsip perangkat lunak yang
diunduh, arsip yang terlampir dalam transmisi surel, atau melalui pesan surel yang diretas,
iklan online, atau pesan instan. Virus juga menyerang sistem informasi berbasis komputer
melalui cakram atau mesin yang “terinfeksi”.
Peretas dapat melakukan apa pun terhadap smartphone, meminta arsip
mencurigakan tanpa intervensi pengguna, menghapus arsip, mengirim arsip, meng-instal
program yang bekerja di belakang layar untuk memantau kegiatan penggunan, dan pesan
teks kepada siapa saja. Virus perangkat mobile menyimpan ancaman serius pada
komputasi perusahaan dikarenakan banyak perangkat nirkabel yang saat ini terhubung
dengan sistem informasi perusahaan.
Trojan horse adalah program perangkat lunak yang awal kemunculannya begitu jinak
kemudian berubah menjadi sesuatu yang tidak diharapkan. Trojan horse bukan virus karena
tidak mereplikasi, tetapi biasanya merupakan jalan bagi virus dan kode berbahaya lain untuk
masuk ke dalam sistem komputer.
SQL injection attacks telah menjadi ancaman malware yang paling besar. SQL
injection attacks mengambil keuntungan dari kerentanan aplikasi perangkat luna web
dengan sistem pengkodean yang lemah untuk memasukan kode program berbahaya ke
dalam sistem dan jaringan perusahaan. Kerentanan ini terjadi ketika aplikasi web gagal
untuk memvalidasi dengan baik atau menyaring data yang dimasukan pengguna pada
laman web, yang dapat terjadi saat melakukan pemesanan online.
Banyak pengguna menemukan spyware begitu mengganggu, dan beberapa kritikus
mengkhawatirkan adanya pelanggaran terhadap kerahasiaan komputer. Beberapa bentuk
spyware deprogram menjadi sangat jahat. Keyloggers mencatat setiap kombinasi tombol
yang dibuat pada komputer untuk mencuri serangkaian angka perangkat lunak, untuk
meluncurkan serangan internet, untuk memperoleh akses akun surel, untuk memperoleh
kata sandi dari sistem komputer yang terlindungi, atau mengambil informasi pribadi seperti
angka pada kartu kredit.
PERETAS DAN KEJAHATAN KOMPUTER
Seorang peretas adalah individu yang berkeinginan untuk memperoleh akses tanpa
izin dari sebuah sistem komputer. Hacker dan cracker memperoleh akses tanpa izin dengan
menemukan kelemahan dalam perlindungan keamanan yang digunakan pada situs web dan
sistem komputer, biasanya mengambil keuntungan dengan berbagai macam fitur yang
terdapat di internet yang membuatnya menjadi sistem terbuka dan mudah digunakan.
Kegiatan peretas telag meluas dari sekadar sistem penyusupan menjadi kegiatan pencurian
barang dan informasi, juga kerusakan sistem dan cybervandalism, gangguan yang
disengaja, perusakan, atau bahkan destruksi situs web dan sistem informasi perusahaan.

Spoofing dan Sniffing

Peretas mencoba menutupi identitas asli dengan membuat tipuan (spoofing) atau
menggambarkan dengan salah diri mereka sendiri dengan menggunakan alamat surel palsu
atau menyamar menjadi orang lain. Hal yang termasuk spoofing adalah mengarahkan
tautan web ke sebuah alamat berbeda dengan dituju, dengan adanya penyamaran situs dari
tujuan yang diinginkan. Sniffer adalah sebuah program penyada yang memantau informasi
melalui sebuah jaringan.

Serangan Denial-of-Service
Peretas membanjiri server jaringan dan server web dengan ribuan layanan
komunikasi atau permintaan palsu untuk mengacaukan jaringan. Distributed denial-of-
service (DDos) menyerang banyak penggunaan komputer untuk menenggelamkan dan
membuat jaringan terbebani melalui banyak titik peluncuran. DDos tidak menghancurkan
informasi atau mengakses area terlarang dari sistem informasi perusahaan, mereka
menyebabkan situs web ditutup, membuat para pengguna yang sah tidak dapat mengakses
situs tersebut.

Kejahatan Komputer
Sebagian besar peretas adalah tindakan pidana, dan kerentanan sistem yang telah
dideskripsi menjadi target dari bentuk kejahatan komputer (computer crime) lainnya. Tidak
ada yang tahu seberapa besar permasalahan kejahatan komputer. Banyak perusahaan
enggan untuk melaporkan kejahatah komputer karena kejahatan tersebut mungkin
melibatkan karyawan, atau perusahaan khawatir publisitas kerentanan sistemnya akan
merusak reputasi perusahaan. Kejahatan komputer yang memiliki daya rusak paling besar
dari sisi ekonomi adalah serangan DDoS, dengan memasukan virus, pencurian layanan,
dan gangguan sistem komputer.

Pencurian Identitas
Pencurian identitas (identity theft) adalah sebuah kejahatan di mana seorang penipu
memperoleh sejulah penting informasi personal, seperti nomor identifikasi jaminan sosial,
nomor SIM, atau nomor kartu kredit untuk menipu orang lain. Salah satu taktik yang terkenal
adalah bentuk dari spoofing yang bernama phishing. Phishing meliputi perancangan situs
web palsu atau mengirim pesan surel yang menyerupai bisnis yang sah untuk menanyakan
kepada pengguna data rahasia personal mereka. Pesan surel mengintruksikan penerima
untuk memperbarui atau mengonfirmasi dokumen dengan menyediakan nomor jaminan
sosial, informasi bank dan kartu kredit, dan data rahasia lain dengan merespon pesan surel,
dengan memasukan informasi pada situs web palsu atau dengan melakukan panggilan
pada nomor telepon. Teknik phishing yang dinamakan evil twin dan pharming lebih sulit
dideteksi. Evil twins adalah jaringan nirkabel yang berpura-pura menawarkan koneksi Wi-Fi
yang terpercaya untuk internet, seperti yang terdapat di ruang tunggu bandara, hotel, atau
pun kedai kopi. Pharming mengarahkan pengguna ke laman web palsu, walaupun
pengguna mengetikkan alamat laman situs dengan benar ke dalam browser-nya. Hal ini
memungkinkan penipu pharming memperoleh akses ke informasi alamat internet yang
disimpan di penyedia layanan internet untuk mempercepat jelajah intenet dan perusahaan
ISP memiliki perangkat lunak yang cacat pada server mereka yang memungkinkan para
penipu untuk membajak dan mengubah alamat tersebut.

Click Fraud
Click fraud terjadi ketika program individu atau perusahaan secara curang mengklik
iklan online dan tanpa adanya niatan untuk mempelajari lebih jauh iklan tersebut atau
melakukan pembelian. Click fraud telah menjadi permasalahan yang serius pada Google
dan situs web lainnya yang memiliki fitur pemasaran online berupa iklan pay per-click.

Ancaman Global: Cyberterrorism dan Cyberwarfare

Cryberwarfare adalah kegiatan yang disponsori negara yang dirancang untuk
melumpuhkan dan mengalahkan negara bagian atau negara lain dengan melakukan
penetrasi pada komputer atau jaringan yang bertujuan untuk menyebabkan kerusakan dan
gangguan.
Cyberwarfare memiliki ancaman serius terhadap infrastruktur masyarakat modern,
apalagi ketika sebagian besar kegiatan keuangan, kesehatan, pemerintahan, dan institusi
terkaitnindustri bergantung pada internet untuk operasional sehari-hari. Cyberwarfare juga
meliputi pertahanan terhadap berbagai macam serangan tersebut.

ANCAMAN INTERNAL: KARYAWAN

Karyawan memiliki akses terhadap informasi istimewa, dan dengan adanya prosedur
keamanan internal yang ceroboh, mereka sering dapat berkeliaran di seluruh sistem
organisasi tanpa meninggalkan jejak. Studi telah menemukan bahwa kurangnya
pengetahuan pengguna adalah penyebab terbesar tunggal dari pelanggaran keamanan
jaringan. Banyak karyawan lupa password mereka untuk mengakses sistem komputer atau
mengizinkan rekan kerja menggunakannya, yang membahayakan sistem. Penyerang
berbahaya yang mencari akses sistem kadang-kadang mengelabui karyawan untuk
mengungkapkan kata sandinya dengan berpura-pura menjadi anggota sah perusahaan
yang membutuhkan informasi. Praktek ini disebut rekayasa sosial. Baik pengguna akhir
maupun spesialis sistem informasi juga merupakan sumber kesalahan utama yang
diperkenalkan ke dalam sistem informasi.

KERENTANAN PERANGKAT LUNAK

Kesalahan perangkat lunak memiliki ancaman konstan pada sistem informasi
menyebabkan kerugian yang tak terhitung dalam sisi produktivitas. Permasalahan terbesar
dari perangkat lunak adalah keberadaan bugs yang tersembunyi atau kode program yang
cacat. Kecacatan pada perangkat lunak tidak hanya menghalangi kinerja, tetapi juga
menciptakan kerentanan kemanan yang membuka jaringan terhadap para penyusup.

8.2 NILAI USAHA KEAMANAN DAN PENGENDALIAN

Banyak perusahaan enggan membebani keamanan karena tidak terkait langsung
dengan pendapatan penjualan. Namun, melindungi sistem informasi sangat penting bagi
operasi bisnis yang layak mendapat tampilan kedua. Perusahaan memiliki aset informasi
yang sangat berharga untuk dilindungi. Sistem sering menyimpan informasi rahasia tentang
pajak individu, aset keuangan, catatan medis, dan ulasan kinerja pekerjaan. Aset informasi
ini memiliki nilai yang sangat besar, dan akibatnya bisa menghancurkan jika mereka hilang,
hancur, atau ditempatkan dalam posisi yang salah.

PERSYARATAN HUKUM DAN REGULASI UNTUK MANAJEMEN ARSIP ELEKTRONIK

Perusahaan menghadapi kewajiban hukum baru untuk penyimpanan dan
penyimpanan catatan elektronik serta untuk perlindungan privasi. Jika bekerja di industri
perawatan kesehatan, perusahaan harus mematuhi Undang-Undang Portabilitas dan
Akuntabilitas Asuransi Kesehatan (HIPAA) tahun 1996. HIPAA menerapkan peraturan dan
prosedur keamanan dan privasi medis untuk menyederhanakan administrasi penagihan
perawatan kesehatan dan mengotomatisasi transfer data perawatan kesehatan antara
penyedia layanan kesehatan, pembayar, dan rencana. Ini mengharuskan anggota industri
perawatan kesehatan untuk menyimpan informasi pasien selama enam tahun dan
memastikan kerahasiaan rekaman tersebut. Ini menentukan standar privasi, keamanan, dan
standar transaksi elektronik untuk penyedia layanan kesehatan yang menangani informasi
pasien, memberikan hukuman atas pelanggaran privasi medis, pengungkapan catatan
pasien melalui e-mail, atau akses jaringan yang tidak sah.
Jika bekerja di perusahaan yang menyediakan layanan keuangan, perusahaan harus
mematuhi Undang-Undang Modernisasi Jasa Keuangan tahun 1999, yang lebih dikenal
dengan Gramm-Leach-Bliley Act setelah sponsor kongresnya. Tindakan ini mewajibkan
lembaga keuangan untuk menjamin keamanan dan kerahasiaan data nasabah. Data harus
disimpan pada media yang aman, dan tindakan pengamanan khusus harus diterapkan untuk
melindungi data semacam itu pada media penyimpanan dan selama pengiriman. Jika
bekerja di perusahaan publik, perusahaan harus mematuhi Reformasi Akunting Perusahaan
Publik dan Undang-Undang Perlindungan Investor tahun 2002, yang lebih dikenal dengan
Sarbanes-Oxley Act setelah sponsornya Senator Paul Sarbanes dari Maryland dan
Perwakilan Michael Oxley dari Ohio.
Undang-undang ini dirancang untuk melindungi investor setelah skandal keuangan di
Enron, WorldCom, dan perusahaan publik lainnya. Ini memberlakukan tanggung jawab pada
perusahaan dan manajemen mereka untuk menjaga keakuratan dan integritas informasi
keuangan yang digunakan secara internal dan dikeluarkan secara eksternal. Salah satu
Trek Belajar untuk bab ini membahas Sarbanes-Oxley secara rinci. Sarbanes-Oxley pada
dasarnya adalah untuk memastikan bahwa pengendalian internal tersedia untuk mengatur
pembuatan dan dokumentasi informasi dalam laporan keuangan. Karena sistem informasi
digunakan untuk menghasilkan, menyimpan, dan mengangkut data tersebut, undang-
undang mengharuskan perusahaan mempertimbangkan keamanan sistem informasi dan
kontrol lainnya yang diperlukan untuk memastikan integritas, kerahasiaan, dan keakuratan
datanya. Setiap aplikasi sistem yang menangani data pelaporan keuangan penting
memerlukan kontrol untuk memastikan data akurat. Kontrol untuk mengamankan jaringan
perusahaan, mencegah akses tidak sah ke sistem dan data, dan memastikan integritas dan
ketersediaan data jika terjadi bencana atau gangguan layanan lainnya juga penting.
BARANG BUKTI ELEKTRONIK DAN FORENSIK KOMPUTER
Forensik komputer adalah pengumpulan, pemeriksaan, otentikasi, pelestarian, dan
analisis data yang tersimpan atau diambil dari media penyimpanan komputer sedemikian
rupa sehingga informasi tersebut dapat digunakan sebagai bukti di pengadilan. Ini berkaitan
dengan masalah berikut:
 Memulihkan data dari komputer sambil menjaga integritas evolusioner
 Penyimpanan dan penanganan data elektronik dengan aman
 Menemukan informasi penting dalam sejumlah besar data elektronik
 Menyajikan informasi ke pengadilan

Bukti elektronik mungkin ada pada media penyimpanan komputer dalam bentuk file
komputer dan data ambien, yang tidak terlihat oleh pengguna biasa. Contohnya mungkin file
yang telah dihapus pada hard drive PC. Data yang mungkin dihapus pengguna komputer
pada media penyimpanan komputer dapat dipulihkan melalui berbagai teknik. Ahli forensik
komputer mencoba memulihkan data tersembunyi tersebut untuk dijadikan bukti. Kesadaran
akan forensik komputer harus dimasukkan ke dalam proses perencanaan kontinjensi
perusahaan. CIO, spesialis keamanan, staf sistem informasi, dan penasihat hukum
perusahaan harus bekerja sama untuk memiliki rencana yang dapat dijalankan jika ada
kebutuhan hukum. Anda dapat mengetahui lebih lanjut tentang forensik komputer di Trek
Belajar untuk bab ini.

8.3 MEMBANGUN KERANGKA KERJA UNTUK KEAMANAN DAN PENGENDALIAN

PENGENDALIAN SISTEM INFORMASI
Pengendalian sistem informasi bersifat manual dan otomatis dan terdiri dari kontrol
umum dan aplikasi. Kontrol umum mengatur perancangan, keamanan, dan penggunaan
program komputer dan keamanan file data secara umum di seluruh infrastruktur teknologi
informasi organisasi. Secara keseluruhan, kontrol umum berlaku untuk semua aplikasi
terkomputerisasi dan terdiri dari kombinasi perangkat keras, perangkat lunak, dan prosedur
manual yang menciptakan lingkungan kontrol secara keseluruhan.
Kontrol aplikasi dapat diklasifikasikan sebagai (1) kontrol input, (2) kontrol
pemrosesan, dan (3) kontrol output. Kontrol input memeriksa data untuk akurasi dan
kelengkapan saat memasuki sistem. Ada kontrol masukan khusus untuk otorisasi masukan,
konversi data, pengeditan data, dan penanganan kesalahan. Kontrol pemrosesan
menentukan bahwa data sudah lengkap dan akurat selama pemutakhiran. Kontrol output
memastikan bahwa hasil pengolahan komputer akurat, lengkap, dan terdistribusi dengan
baik. Anda dapat menemukan lebih banyak detail tentang aplikasi dan kontrol umum di Trek
Belajar kami.

PENILAIAN RISIKO
Penilaian risiko membantu menjawab pertanyaan-pertanyaan ini dan menentukan
sekumpulan kontrol yang paling efektif untuk melindungi aset. Penilaian risiko menentukan
tingkat risiko perusahaan jika aktivitas atau proses tertentu tidak dikendalikan dengan benar.
Tidak semua risiko dapat diantisipasi dan diukur, namun kebanyakan bisnis akan dapat
memperoleh beberapa pemahaman tentang risiko yang mereka hadapi.

KEBIJAKAN KEAMANAN
Kebijakan keamanan terdiri dari informasi risiko peringkat laporan, mengidentifikasi
tujuan keamanan yang dapat diterima, dan mengidentifikasi mekanisme untuk mencapai
tujuan ini. Manajemen harus memperkirakan berapa biaya untuk mencapai tingkat risiko
yang dapat diterima ini. Kebijakan keamanan mendorong kebijakan lain yang menentukan
penggunaan sumber daya informasi perusahaan yang dapat diterima dan dimana anggota
perusahaan memiliki akses terhadap aset informasinya.

PERENCANAAN PEMULIHAN BENCANA DAN PERENCANAAN KESINAMBUNGAN

BISNIS
Rencana pemulihan bencana berfokus terutama pada masalah teknis yang terkait
dalam menjaga agar sistem tetap berjalan, seperti file yang akan dibuat cadangan dan
pemeliharaan sistem komputer cadangan atau layanan pemulihan bencana. Perencanaan
kesinambungan bisnis berfokus pada bagaimana perusahaan dapat memulihkan operasi
bisnis setelah terjadi bencana. Rencana kesinambungan bisnis mengidentifikasi proses
bisnis yang penting dan menentukan rencana tindakan untuk menangani fungsi mission-
critical jika sistem turun. Manajer bisnis dan spesialis teknologi informasi perlu bekerja sama
dalam kedua jenis rencana untuk menentukan sistem dan proses bisnis mana yang paling
penting bagi perusahaan. Mereka harus melakukan analisis dampak bisnis untuk
mengidentifikasi sistem perusahaan yang paling kritis dan dampak pemadaman sistem
terhadap bisnis. Manajemen harus menentukan jumlah maksimum waktu bisnis dapat
bertahan dengan sistemnya dan bagian mana dari bisnis yang harus dipulihkan terlebih
dahulu.

PERAN AUDITING
Audit SIM memeriksa lingkungan keamanan keseluruhan perusahaan serta kontrol
yang mengatur sistem informasi perorangan. Auditor harus melacak arus contoh transaksi
melalui sistem dan melakukan pengujian dengan menggunakan perangkat lunak audit
otomatis. Audit  juga dapat memeriksa kualitas data. Audit  keamanan meninjau teknologi,
prosedur, dokumentasi, pelatihan, dan personil. Audit menyeluruh bahkan akan
mensimulasikan serangan atau bencana untuk menguji respons teknologi, staf sistem
informasi, dan pelaku bisnis.
8.4 TEKNOLOGI DAN ALAT UNTUK MELINDUNGI SUMBER DAYA INFORMASI

Bisnis memiliki berbagai teknologi untuk melindungi sumber informasi mereka. Ini
termasuk alat untuk mengelola identitas pengguna, mencegah akses tidak sah ke sistem
dan data, memastikan ketersediaan sistem, dan memastikan kualitas perangkat lunak.

MANAJEMEN IDENTITAS DAN OTENTIKASI

Perusahaan besar dan menengah memiliki infrastruktur TI yang kompleks dan

banyak sistem yang berbeda, masing-masing memiliki pengguna sendiri. Perangkat lunak
manajemen identitas mengotomatisasi proses melacak semua pengguna dan hak istimewa
sistem mereka, memberikan setiap identitas digital unik bagi pengguna untuk mengakses
setiap sistem. Untuk mendapatkan akses ke sistem, pengguna harus diberi otorisasi dan
disahkan. Otentikasi mengacu pada kemampuan untuk mengetahui bahwa seseorang
adalah siapa yang diklaimnya. Otentikasi sering dibuat dengan menggunakan kata kunci
yang hanya diketahui oleh pengguna yang berwenang.

Teknologi otentikasi baru, seperti token, smart card, dan otentikasi biometrik,
mengatasi beberapa masalah ini. Token adalah perangkat fisik, mirip dengan kartu identitas,
yang dirancang untuk membuktikan identitas satu pengguna. Kartu cerdas adalah perangkat
seukuran kartu kredit yang berisi chip yang diformat dengan izin akses dan data lainnya.
Otentikasi biometrik menggunakan sistem yang membaca dan menafsirkan sifat manusia
individual, seperti sidik jari, iris, dan suara, untuk memberi atau menolak akses.

FIREWALLS, SISTEM DETEKSI INTRUSI, DAN PERANGKAT LUNAK ANTIVIRUS

Tanpa perlindungan terhadap malware dan penyusup, koneksi ke Internet akan

sangat berbahaya. Firewall, sistem deteksi intrusi, dan perangkat lunak antivirus telah
menjadi alat bisnis yang penting. Firewall mencegah pengguna yang tidak sah mengakses
jaringan pribadi. Firewall adalah kombinasi perangkat keras dan perangkat lunak yang
mengendalikan arus lalu lintas jaringan masuk dan keluar. Selain firewall, vendor keamanan
komersial sekarang menyediakan alat deteksi intrusi dan layanan untuk melindungi lalu
lintas jaringan yang mencurigakan dan mencoba mengakses file dan database. Sistem
deteksi intrusi menampilkan alat pemantauan penuh waktu yang ditempatkan pada titik
paling rentan atau “titik panas” jaringan perusahaan untuk mendeteksi dan mencegah
penyusup terus-menerus. Perangkat lunak antivirus ini dirancang untuk memeriksa sistem
komputer dan drive untuk mengetahui adanya virus komputer. Vendor perangkat lunak
antivirus terkemuka, seperti McAfee, Symantec, dan Trend Micro, telah meningkatkan
produk mereka untuk menyertakan perlindungan terhadap spyware. Perangkat lunak
antispyware seperti Ad-Aware, Spybot S & D, dan Spyware Doctor juga sangat membantu.
Produk manajemen keamanan komprehensif ini disebut sistem manajemen ancaman
terpadu (UTM).

JARINGAN WIRELESS SECURING

Terlepas dari kekurangannya, WEP memberikan sedikit margin keamanan jika

pengguna Wi-Fi ingat untuk mengaktifkannya. Langkah awal yang sederhana untuk
menggagalkan hacker adalah dengan menetapkan nama unik ke SSID jaringan Anda dan
menginstruksikan router Anda untuk tidak menyiarkannya. Korporasi selanjutnya dapat
meningkatkan keamanan Wi-Fi dengan menggunakannya bersamaan dengan teknologi
virtual private network (VPN) saat mengakses data perusahaan internal.
ENKRIPSI DAN KUNCI INFRASTRUKTUR PUBLIK

Banyak bisnis menggunakan enkripsi untuk melindungi informasi digital yang mereka
simpan, transfer fisik, atau kirim melalui Internet. Enkripsi adalah proses mengubah teks
biasa atau data menjadi teks sandi yang tidak dapat dibaca oleh orang lain selain pengirim
dan penerima yang dituju. Dua metode untuk mengenkripsi lalu lintas jaringan di Web
adalah SSL dan S-HTTP. Secure Sockets Layer (SSL) dan penerus Transport Layer
Security (TLS) memungkinkan komputer klien dan server untuk mengelola aktivitas enkripsi
dan dekripsi saat mereka berkomunikasi satu sama lain selama sesi Web yang aman.
Secure Hypertext Transfer Protocol (S-HTTP) adalah protokol lain yang digunakan untuk
mengenkripsi data yang mengalir melalui Internet, namun terbatas pada pesan individual,
sedangkan SSL dan TLS dirancang untuk membuat sambungan aman antara dua komputer.
Bentuk enkripsi yang lebih aman yang disebut enkripsi kunci publik menggunakan dua
kunci: satu shared (atau publik) dan satu benar-benar pribadi. Sertifikat digital adalah file
data yang digunakan untuk menetapkan identitas pengguna dan aset elektronik untuk
perlindungan transaksi online.

MEMASTIKAN KETERSEDIAAN SISTEM

Seiring perusahaan semakin mengandalkan jaringan digital untuk pendapatan dan

operasi, mereka perlu melakukan langkah tambahan untuk memastikan bahwa sistem dan
aplikasi mereka selalu tersedia. Dalam proses transaksi online, transaksi online yang
dilakukan langsung diproses oleh komputer. Perubahan beraneka ragam pada database,
pelaporan, dan permintaan informasi terjadi setiap saat. Sistem komputer yang toleran
terhadap kesalahan mengandung komponen perangkat keras, perangkat lunak, dan power
supply yang berlebihan yang menciptakan lingkungan yang menyediakan layanan tanpa
gangguan terus-menerus.

Toleransi kesalahan harus dibedakan dari komputasi dengan ketersediaan tinggi.

Toleransi kesalahan dan komputasi dengan ketersediaan tinggi mencoba meminimalkan
downtime. Downtime mengacu pada periode waktu dimana sistem tidak beroperasi. Namun,
komputasi dengan ketersediaan tinggi membantu perusahaan pulih dengan cepat dari
sistem crash, sedangkan toleransi kesalahan menjanjikan ketersediaan berkelanjutan dan
penghapusan waktu pemulihan sama sekali.

Sebuah teknologi yang disebut inspeksi paket dalam (DPI) membantu memecahkan
masalah ini. DPI memeriksa file data dan memilah materi online dengan prioritas rendah
sambil memberikan prioritas lebih tinggi pada file penting bisnis. Banyak perusahaan,
terutama usaha kecil, kekurangan sumber daya atau keahlian untuk menyediakan
lingkungan komputasi dengan ketersediaan tinggi yang terjamin dengan sendirinya. Mereka
dapat mengalihkan banyak fungsi keamanan ke penyedia layanan keamanan yang dikelola
(monitor MSSP) yang memantau aktivitas jaringan dan melakukan pengujian kerentanan
dan deteksi intrusi.