BAB 10

KEAMANAN SISTEM

Keamanan sistem mengacu pada perlidungan terhadap semua sumber daya informasi perusahaan dari
ancaman oleh pihak pihak yang tidak berwenang. Perusahaan menerapkan suatu program keamanan
sistem yang efektif dengan pertama-tama mengindentifikasi berbagai kelemahan dan kemudian
menerapkan perlawanan dan perlindungan yang diperlukan.

Tujuan keamanan
• Kerahasiaan.
Perusahaan berusaha untuk melindungi data dan informasi dari orang yang tidak berhak.
• Ketersediaan.
Tersedianya data dan informasi bagi mereka yang berwenang untuk menggunakannya
• Integritas
Semua subsistem harus menyediakan gambaran akurat dari sistem fisik yang diwakilinya

Kejahatan Komputer
Pada awalnya istilah kejahatan maya (cyber crime) = kejahatan komputer (computer crime). Kejahatan
Komputer dirumuskan sebagai perbuatan melawan hukum yang dilakukan dengan memakai komputer
sebagai sarana/alat atau komputer sebagai objek, baik untuk memperoleh keuntungan ataupun tidak,
dengan merugikan pihak lain.

Beberapa Kejahatan Komputer :

a. Unauthorized Access to Computer Sistem and Service
Kejahatan yang dilakukan dengan memasuki/menyusup ke dalam suatu sistem jaringan komputer
secara tidak sah, tanpa izin/tanpa sepengetahuan dari pemilik sistem jaringan komputer yang
dimasukinya.
b. Illegal Contents
Merupakan kejahatan dengan memasukkan data atau informasi ke internet tentang sesuatu hal yang
tidak benar, tidak etis, dan dapat dianggap melanggar hukum atau mengganggu ketertiban umum.
c. Data Forgery
Merupakan kejahatan dengan memalsukan data pada dokumen-dokumen penting yang tersimpan
sebagai scriptless document melalui internet.
d. Cyber Espionage
Merupakan kejahatan yang memanfaatkan jaringan internet untuk melakukan kegiatan mata-mata
terhadap pihak lain, dengan memasuki sistem jaringan komputer (computer network sistem) pihak
sasaran.
e. Cyber Sabotage and Extortion
Kejahatan ini dilakukan dengan membuat gangguan, perusakan atau penghancuran terhadap suatu
data, program komputer atau sistem jaringan komputer yang terhubung dengan internet.
f. Offense Against Intellectual Property
Kejahatan ini ditujukan terhadap hak atas kekayaan intelektual yang dimiliki pihak lain di internet.
Sebagai contoh adalah peniruan tampilan pada web page suatu situs milik orang lain secara ilegal,
penyiaran suatu informasi di internet yang ternyata merupakan rahasia dagang orang lain dsbnya.
g. Infringements of Privacy
Kejahatan ini ditujukan terhadap informasi seseorang yang merupakan hal yang sangat pribadi dan
rahasia. Kejahatan ini biasanya ditujukan terhadap keterangan seseorang pada formulir data pribadi
yang tersimpan secara computerized, yang apabila diketahui oleh orang lain akan dapat merugikan
korban secara materil maupun immateril, seperti nomor kartu kredit, nomor PIN ATM, cacat atau
penyakit tersembunyi dan sebagainya.

Sistem Informasi Manajemen Hal.1

Klasifikasi Keamanan Sistem Informasi
Menurut David Icove :
• Keamanan yang bersifat fisik (physical security);
• Keamanan yang berhubungan dengan orang (personel security);
• Keamanan dari data dan media serta teknik komunikasi;
• Keamanan dalam operasi.

Berdasarkan Fungsinya :
a. Network security; Fokus pada saluran pembawa informasi;
b. Application security; Fokus pada aplikasinya sendiri;
c. Computer security; Fokus kepada keamanan dari komputer (end sistem)

Pengendalian Akses
Pengendalian Akses dicapai melalui suatu proses tiga langkah yang mencakup identifikasi pemakai,
pembuktian keaslian pemakai, dan otorisasi pemakai.
1. Identifikasi pemakai ( user identification )
2. Pembuktian keaslian pemakai ( user authentification )
3. Otorisasi Pemakai ( user authorization )

Pelayanan dari Keamanan Sistem

a. Privacy / confidentiality;
Proteksi data [pribadi] yang senstif:
Nama, ttl, agama, hobby, penyakit yang pernah diderita, status perkawinan.
Data pelanggan;
Sangat sensitif dalam e-commerce, dan healthcare.
Serangan : sniffer.
b. Integrity;
Informasi tidak berubah tanpa izin (tampered, altered, modified)
Serangan : spoof, virus, trojan horse.
c. Authentication;
Menyakinkan keaslian data, sumber data, orang yang mengakses data, server yang digunakan.
Dfasilitasi dengan penggunaan digital signature, biometrics;
Serangan : password palsu.
d. Availability;
Informasi harus dapat tersedia ketika dibutuhkan.
Serangan : Denial of service (DoS) attack, dalam bentuk antara lain Server dibuat hang, down,
atau crash.
e. Non-repudiation;
Tidak dapat menyangkal (telah melakukan transaksi) :
- Menggunakan digital signature
- Perlu pengaturan masalaha hukum
f. Access control.
Mekanisme untuk mengatur siapa boleh melakukan apa :
- Biasanya menggunakan password
- Adanya kelas / klasifikasi

Dasar-dasar Keamanan Sistem Informasi

Kriptografi (cryptography) merupakan ilmu dan seni untuk menjaga pesan agar aman. Crypto
berarti secret (rahasia) dan graphy berarti tulisan (writing). Sebuah algoritma kriptografik disebut
cipher, merupakan persamaan matematik yang digunakan untuk proses enkripti dan dekripsi.

Sistem Informasi Manajemen Hal.2

 Enkripsi (encryption) adalah : Proses untuk mengamankan sebuah pesan (plaintext) menjadi
pesan yang tersembunyi (chipertext); disebut pula enchiper. Proses untuk mengubah chipertext menjadi
plaintext disebut Dekripsi (decryption) atau dechiper. Cryptanalysist adalah seni dan ilmu untuk
memecahkan ciphertext tanpa bantuan kunci. Cryptology : gabungan dari chryptography dan
cryptanalysis

Penguji Keamanan Sistem

Administrator dari sistem informasi membutuhkan automated tools yang membantu menguji atau
mengevaluasi keamanan sistemnya.
Misalkan :
a. Crack,
Untuk menduga atau memecahkan password dengan menggunakan sebuah/beberapa kamus secara
brute force cracking (mengenkripsi sebuah kata dari kamus, bandingkan hasil enkripsi dengan
password yang ingin dipecahkan, terus menerus sampai terpecahkan). Juga memiliki program
heuristic.
b. Land & latierra,
Program yang dapat membuat sistem windows 95/NT menjadi macet (hang, lock up), dengan
mengirimkan sebuah paket yang sudah di-spoofed sehingga seolah-olah berasal dari mesin yang
sama.
c. Ping-o-death
Sebuah program (ping) yang dapat meng-crash-kan windows 95/NT dan beberapa versi UNIX
d. Winuke,
Program untuk memacetkan sistem berbasis windows

Sistem Pemantau Jaringan

Network monitoring digunakan untuk mengetahui adanya lubang keamanan, antara lain : mampu
mendeteksi orang yang tidak berhak mengakses server dalam sistem internal, dan lokasi akses dari
tempat lain serta usaha-usaha untuk melumpuhkan sistem dengan mengirimkan paket yang jumlahnya
berlebihan (denial of service attack - DoS). NM biasanya menggunakan protokol SNMP (simple
network monitoring protocol).

Contoh program NM antara lain :

• Etherboy (windows), Etherman (unix)
• HP Openview (windows)
• Packetboy (windows), Packetman (unix)
• SNMP Collector (windows)
• Webboy (windows)
• Iptraf
• Netwatch
• Ntop (memantau proses di sistem unix)
• Trafshow (menunjukkan traffic antar host dalam bentuk text-mode.

Properti Sistem Informasi Yang Memberikan Keamanan Isi Data Dan Informasi
1. Integritas Fungsional Kemampuan, untuk melanjutkan operasi jika salah satu/lebih komponen
tidak berfungsi
2. Audibilitas (Kemampuan Dapat Terdengar), mudah untuk diperiksa, diverifikasi atau
didemonstrasikan penampilannya berarti harus lulus dalam pengujian Accountability & Visibility
3. Daya kontrol Penghambatan, pengaruh terhadap sistem yaitu dengan membagi sistem menjadi
subsistem yang menangani transaksi secara terpisah

Sistem Informasi Manajemen Hal.3

TUGAS KONTROL CBIS
Mencakup semua fase siklus hidup, selama siklus hidup dibagi menjadi kontrol-kontrol yang
berhubungan dengan pengembangan sistem, desain dan operasi
Metode Untuk Mendapatkan dan Memelihara Kontrol CBIS:
1. Manajemen dapat melakukan kontrol langsung
2. Manajemen mengontrol CBIS secara tidak langsung dengan terus menerus melalui CIO.
3. Manajemen mengontrol CBIS secara tidak langsung berkenaan dengan proyeknya melalui pihak
ketiga

Kontrol Proses Pengembangan

Untuk memastikan bahwa CBIS yg diimplementasikan dpt memenuhi kebutuhan pemakai atau berjalan
sesuai rencana
1. Fase Perencanaan; Mendefinisikan tujuan dan kendala
2. Fase Analisis & Disain; Mengidentifikasi kebutuhan informasi, Menentukan kriteria penampilan,
Menyusun disain dan standar operasi CBIS
3. Fase Implementasi; Mendefinisikan program pengujian yang dapat diterima, Memastikan apakah
memenuhi criteria penampilan, Menetapkan prosedur utk memelihara CBIS
4. Fase Operasi & Kontrol; Mengontrol CBIS selagi berevolusi selama fase SLC, Memastikan bahwa
CBIS yang diimplementasikan dapat memenuhi kebutuhan

Kontrol Disain Sistem

Tujuan untuk memastikan bahwa disainnya bisa meminimalkan kesalahan, mendeteksi kesalahan dan
mengoreksinya. Kontrol tidak boleh diterapkan jika biayanya lebih besar dari manfaatnya.
Nilai atau manfaat adalah tingkat pengurangan resiko.
I. Permulaan Transaksi (Transaction Origination)
Perekaman satu elemen data/lebih pada dokumen sumber
1. Permulaan Dokumentasi Sumber Perancangan dokumentasi Pemerolehan dokumentasi
Kepastian keamanan dokumen
2. Kewenangan Bagaimana entry data akan dibuat menjadi dokumen dan oleh siapa
3. Pembuatan Input Komputer Mengidentifikasi record input yang salah dan memastikan
semua data input diproses
4. Penanganan Kesalahan Mengoreksi kesalahan yang telah dideteksi dan menggabungkan
record yg telah dikoreksi ke record entry
5. Penyimpanan Dokumen Sumber Menentukan bagaimana dokumen akan disimpan dan
dalam kondisi bagaimana dapat dikeluarkan
II. Entri Transaksi Entri
Transaksi mengubah data dokumen sumber menjadi bentuk yang dapat dibaca oleh komputer.
1. Entri Data.
- Kontrol dalam bentuk prosedur tertulis dan dalam bentuk peralatan inputnya sendiri.
- Dapat dilakukan dengan proses offline/online
2. Verifikasi Data
a. Key Verification (Verifikasi Pemasukan) Data dimasukkan ke sistem sebanyak 2 kali
b. Sight Verification (Verifikasi Penglihatan) Melihat pada layar sebelum memasukkan data
ke sistem
3. Penanganan Kesalahan. Merotasi record yang telah dideteksi ke permulaan transaksi untuk
pengoreksian
4. Penyeimbangan Batch. Mengakumulasikan total setiap batch untuk dibandingkan dengan
total yang sama yang dibuat selama permulaan transaksi
III. Komunikasi Data
a. Tanggungjawab manajer jaringan dengan menggabungkan ukuran keamanan ke dalam
sistem dan memonitor penampilan untuk memastikan keamanan telah dilakukan dengan baik
b. Kontrol Pengiriman Data
Sistem Informasi Manajemen Hal.4
 c. Kontrol Channel Komunikasi
d. Kontrol Penerimaan Pesan
e. Rencana Pengamanan Datacom Secara Keseluruhan
IV. Pemrosesan Komputer
Dikaitkan dengan input data ke komputer dan dibangun dalam program dan database
a. Penanganan Data
b. Penanganan Kesalahan
c. Database dan Perpustakaan Software
V. Output Komputer
Komponen subsistem ini bertanggung jawab untuk mengirimkan produk jadi kepada pemakai
a. Distribusi Kontrol, pada distribusi laporan berusaha untuk memastikan ketepatan orang yang
menerima output.
b. Penyeimbangan Departemen Pemakai. Bila departemen pemakai menerima output dari
komputer, maka keseluruhan kontrol dari output dibandingkan dengan total yang sama yang
telah ditetapkan pada waktu pertama kali data input dibuat.
c. Penanganan Kesalahan. Kelompok kontrol tertentu dapat ditetapkan didalam area pemakai
dengan menjalankan prosedur formal untuk mengoreksi kesalahan.
d. Penyimpangan Record. Tujuan komponen kontrol yang terakhir ini adalah untuk memelihara
keamanan yang tepat terhadap output komputer dan untuk mengontrol penyelesaian yang sia-
sia.
e. Penyeimbangan Operasi Komputer. Kontrol ini memungkinkan pelayanan informasi untuk
memverifikasi bahwa semua batch dan transaksi yang diterima dari departemen pemakai
telah diproses.

Kontrol Terhadap Pengoperasian Sistem

Kontrol pengoperasian sistem dimaksudkan untuk mencapai efisiensi dan keamanan.
Kontrol yang memberikan kontribusi terhadap tujuan ini dapat diklasifikasikan menjadi 5 area :
1. Struktur organisasional Staf pelayanan informasi diorganisir menurut bidang spesialisasi. Analisis,
Programmer, dan Personel operasi biasanya dipisahkan dan hanya mengembangkan ketrampilan
yang diperlukan untuk area pekerjaannya sendiri.
2. Kontrol perpustakaan Perpustakaan komputer adalah sama dengan perpustakaan buku, dimana
didalamnya ada pustakawan, pengumpulan media, area tempat penyimpanan media dan prosedur
untuk menggunakan media tersebut. Yang boleh mengakses perpustakaan media hanyalah
pustakawannya.
3. Pemeliharaan Peralatan Orang yang tugasnya memperbaiki computer yang disebut Customer
Engineer (CE) / Field Engineer (FE) / Teknisi Lapangan menjalankan pemeliharaan yang terjadwal
/ yang tak terjadwal.
4. Kontrol lingkungan dan keamanan fasilitas Untuk menjaga investasi dibutuhkan kondisi
lingkungan yang khusus seperti ruang computer harus bersih keamanan fasilitas yang harus
dilakukan dengan penguncian ruang peralatan dan komputer.
5. Perencanaan disaster
a. Rencana Keadaan Darurat. Prioritas utamanya adalah keselamatan tenaga kerja perusahaan
b. Rencana Backup. Menjelaskan bagaimana perusahaan dapat melanjutkan operasinya dari ketika
terjadi bencana sampai ia kembali beroperasi secara normal.
c. Rencana Record Penting. Rencana ini mengidentifikasi file data penting & menentukan tempat
penyimpanan kopi duplikat.
d. Rencana Recovery. Rencana ini mengidentifikasi sumber-sumber peralatan pengganti, fasilitas
komunikasi da pasokan-pasokan.

Sistem Informasi Manajemen Hal.5

KEAMANAN SISTEM
Tujuan Keamanan Sistem (System Security)
1. Kerahasiaan Perusahaan berusaha melindungi data dan informasi dari pengungkapan kepada
orang-orang yang tidak berhak
2. Ketersediaan Tujuan CBIS adalah menyediakan data dan informasi bagi mereka yg berwenang
untuk menggunakannya terutama bagi subsistem CBIS yang berorientasi informasi SIM, DSS dan
SP
3. Integritas Semua subsistem CBIS harus menyediakan gambaran akurat dari sistem fisik yang
diwakilinya

ANCAMAN KEAMANAN
1. Pengungkapan tidak sah dan pencurian. Jika database dan software tersedia bagi orang-orang yang
tidak berwenang untuk mendapatkan aksesnya, hasilnya dapat berupa kehilangan informasi
2. Penggunaan tidak sah. Orang-orang yang biasanya tidak berhak menggunakan sumber daya
perusahaan
3. Penghancuran tidak sah dan penolakan jasa. Orang dapat merusak / menghancurkan hardware dan
software menyebabkan terhentinya operasi komputer perusahaan
4. Modifikasi tidak sah
5. Jenis modifikasi yang sangat mencemaskan disebabkan oleh sotware yang merusak yang terdiri
dari program lengkap/segmen kode yg melaksanakan fungsi yang tidak dikehendaki pemilik sistem

Dasar untuk keamanan terhadap ancaman oleh oangorang yang tidak berwenang adalah pengendalian
akses karena jika orang tidak berwenang ditolak aksesnya ke sumber daya informasi, perusakan tidak
dapat dilakukan

PENGENDALIAN AKSES
1. Identifikasi pemakai (User Identification). Pemakai mula-mula mengidentifikasi diri sendiri
dengan menyediakan sesuatu yang diketahuinya seperti kata sandi
2. Pembuktian keaslian pemakai (User Authentication). Pemakai membuktikan haknya atas akses
dengan menyediakan sesuatu yang menunjukkan bahwa dialah orangnya, seperti tanda tangan
3. Otorisasi pemakai (User Authorization). User Identification dan User Authentication menggunakan
profil pemakai / penjelasan mengenai pemakai yang berwenang User Authorization menggunakan
file pengendalian akses yang menentukan tingkat-tingkat akses yang tersedia untuk tiap pemakai.
Suatu AUDIT LOG disimpan untuk semua kegiatan pengendalian akses seperti tanggal, jam serta
identifikasi terminal. LOG digunakan untuk menyiapkan laporan keamanan

Sistem Informasi Manajemen Hal.6