BAB

Kontrol untuk Informasi

8 Keamanan

TUJUAN PEMBELAJARAN

Setelah mempelajari bab ini, Anda diharapkan mampu:

1. Jelaskan bagaimana keamanan dan empat prinsip lainnya dalam Bingkai Layanan
Kepercayaan memengaruhi keandalan sistem.
2. Jelaskan dua konsep dasar: mengapa keamanan informasi merupakan masalah
manajemen, dan model keamanan informasi berbasis waktu.
3. Diskusikan langkah-langkah yang diikuti penjahat untuk melakukan serangan terarah
terhadap sistem informasi organisasi.
4. Jelaskan pengendalian pencegahan, detektif, dan korektif yang dapat
digunakan untuk melindungi informasi organisasi.
5. Jelaskan kontrol yang dapat digunakan untuk mendeteksi secara tepat waktu
bahwa sistem informasi organisasi sedang diserang.
6. Diskusikan bagaimana organisasi dapat secara tepat waktu menanggapi serangan
terhadap sistem informasi mereka.
7. Jelaskan bagaimana virtualisasi, komputasi awan, dan Internet of Things memengaruhi
keamanan informasi.

KASUS INTEGRATIF Industri Barat Laut

Tugas Jason Scott berikutnya adalah meninjau kontrol internal atas sistem informasi Northwest Indus- try. Jason mendapatkan
salinan Control Objectives for Information and Related Technology 5 (COBIT 5) dan terkesan dengan ketelitiannya. Namun, dia
memberi tahu temannya bahwa dia merasa kewalahan mencoba menggunakan COBIT 5 untuk merencanakan auditnya di Northwest
Industries. Temannya menyarankan agar dia memeriksa Kerangka Layanan Kepercayaan yang dikembangkan bersama oleh
American Institute of Certified Public Accountants (AICPA) dan Canadian Institute of Chartered Accountants (CICA) untuk
memandu auditor dalam menilai keandalan sistem informasi organisasi. Setelah meninjau kerangka kerja, Jason menyimpulkan
bahwa dia dapat menggunakannya untuk memandu upaya auditnya. Dia memutuskan
bahwa ia akan mulai dengan berfokus pada kontrol yang dirancang untuk
memberikan jaminan yang wajar

236
tentang keamanan informasi. Dia menuliskan pertanyaan-pertanyaan berikut yang akan
memandu penyelidikannya:

1. Kontrol apa yang digunakan Northwest Industries untuk mencegah akses tidak sah
ke sistem akuntingnya?
2. Bagaimana upaya yang berhasil dan tidak berhasil untuk mengkompromikan sistem akuntansi
perusahaan dapat dideteksi secara tepat waktu?
3. Prosedur apa yang diterapkan untuk menanggapi insiden keamanan?

pengantar
Saat ini, setiap organisasi mengandalkan teknologi informasi (TI). Banyak organisasi juga memindahkan setidaknya
sebagian dari sistem informasi mereka ke cloud. Manajemen menginginkan kepastian bahwa informasi yang
dihasilkan oleh sistem akuntansi organisasi itu sendiri dapat diandalkan dan juga tentang keandalan penyedia layanan
cloud yang dikontraknya. Selain itu, manajemen juga menginginkan jaminan bahwa organisasi mematuhi serangkaian
persyaratan peraturan dan industri yang terus meningkat termasuk Sarbanes-Oxley (SOX), Health Insurance
Portability and Accountability Act (HIPAA), dan Standar Keamanan Data Industri Kartu Pembayaran. (PCI-DSS).
Seperti disebutkan di Bab 7, COBIT 5 adalah kerangka kerja komprehensif praktik terbaik
yang berkaitan dengan semua aspek tata kelola dan manajemen TI. Namun, dalam buku ini
kami fokus hanya pada bagian COBIT 5 yang paling langsung berkaitan dengan keandalan
sistem informasi dan kepatuhan dengan standar peraturan. Karenanya, kami mengatur bab ini
dan dua bab berikutnya seputar prinsip-prinsip dalam Kerangka Layanan Kepercayaan, yang
dikembangkan bersama oleh AICPA dan CICA untuk memberikan panduan dalam menilai
keandalan sistem informasi. Namun demikian, karena COBIT 5 adalah kerangka kerja yang
diakui secara internasional yang digunakan oleh banyak organisasi, auditor dan akuntan harus
memahaminya. Karena itu,
Kerangka Layanan Kepercayaan mengatur kontrol terkait TI menjadi lima prinsip
yang secara bersama-sama berkontribusi pada keandalan sistem:
1. Keamanan-akses (baik fisik dan logis) ke sistem dan datanya dikendalikan dan
dibatasi untuk pengguna yang sah.
2. Kerahasiaaninformasi organisasi yang sensitif (misalnya, rencana pemasaran,
rahasia perdagangan) dilindungi dari pengungkapan yang tidak sah.

237
23 BAGIAN II PENGENDALIAN DAN AUDIT SISTEM
BAB
INFORMASI
8 KONTROL
AKUNTANSI
KEAMANAN INFORMASI 238
8
GAMBAR 8-1
Hubungan Diantara
Lima Prinsip Layanan Keandalan Sistem
Kepercayaan untuk
Keandalan Sistem

Integritas pemrosesan
Kerahasiaan

Ketersediaan
Pribadi
Fokus dari Fokus
Bab 9 dari
Bab 1O

Fokus Keamanan
Bab 8

3. Privasi-informasi pribadi tentang pelanggan, karyawan, pemasok, atau mitra bisnis

dikumpulkan, digunakan, diungkapkan, dan disimpan hanya sesuai dengan
kebijakan internal dan persyaratan peraturan eksternal dan dilindungi dari
pengungkapan yang tidak sah.
4. Integritas Pemrosesan-data diproses secara akurat, lengkap, tepat waktu, dan
hanya dengan otorisasi yang tepat.
5. Ketersediaan-sistem dan informasinya tersedia untuk memenuhi
kewajiban operasional dan kontraktual.
Seperti yang ditunjukkan Gambar 8-1, keamanan informasi adalah fondasi keandalan
sistem dan diperlukan untuk mencapai masing-masing dari empat prinsip lainnya. Prosedur
keamanan informasi membatasi akses sistem hanya untuk pengguna yang berwenang,
dengan demikian melindungi kerahasiaan data organisasi yang sensitif dan privasi informasi
pribadi yang dikumpulkan dari pelanggan. Prosedur keamanan informasi melindungi
integritas informasi dengan mencegah pengiriman transaksi yang tidak sah atau fiktif dan
mencegah perubahan yang tidak sah pada data atau program yang disimpan. Terakhir,
prosedur keamanan informasi memberikan perlindungan terhadap berbagai serangan,
termasuk virus dan worm, sehingga memastikan bahwa sistem tersedia saat diperlukan.
Akibatnya, bab ini berfokus pada keamanan informasi. Bab 9 membahas kontrol TI yang
relevan untuk melindungi kerahasiaan kekayaan intelektual organisasi dan privasi informasi
yang dikumpulkannya tentang pelanggan dan mitra bisnisnya. Bab 10 kemudian mencakup
kontrol TI yang dirancang untuk memastikan integritas dan ketersediaan informasi yang
dihasilkan oleh sistem akuntansi organisasi.

Dua Konsep Keamanan Informasi Fundamental

1. KEAMANAN ADALAH MASALAH MANAJEMEN, BUKAN
HANYA MASALAH TEKNOLOGI
Meskipun keamanan informasi yang efektif memerlukan penerapan alat teknologi seperti
firewall, antivirus, dan enkripsi, keterlibatan dan dukungan manajemen senior di seluruh fase
siklus hidup keamanan (lihat Gambar 8-2) sangatlah penting untuk keberhasilan. Langkah
pertama dalam siklus hidup keamanan adalah menilai ancaman terkait keamanan informasi
yang dihadapi organisasi dan memilih respons yang sesuai. Profesional keamanan informasi
memiliki keahlian untuk mengidentifikasi potensi ancaman dan memperkirakan kemungkinan
serta dampaknya. Namun, manajemen senior harus memilih mana dari empat respons risiko
yang dijelaskan dalam Bab 7 (kurangi, terima, bagikan, atau hindari) yang sesuai untuk
diadopsi sehingga sumber daya yang diinvestasikan dalam keamanan informasi mencerminkan
selera risiko organisasi.
23 BAGIAN II PENGENDALIAN DAN AUDIT SISTEM
BAB
INFORMASI
8 KONTROL
AKUNTANSI
KEAMANAN INFORMASI 239
9 Langkah 2 melibatkan pengembangan kebijakan keamanan informasi dan
mengkomunikasikannya kepada semua karyawan. Manajemen senior harus berpartisipasi
dalam mengembangkan kebijakan karena mereka harus
 1. Menilai ancaman
GAMBAR 8-2
& pilih Siklus Hidup Keamanan
respons
risiko

2.
4. Pantau
Mengembangka
kinerja
n dan
mengkomunikas
ikan kebijakan

3. Dapatkan
& terapkan
solusi

putuskan sanksi yang bersedia mereka berikan untuk ketidakpatuhan. Selain itu, dukungan
aktif dan keterlibatan manajemen puncak diperlukan untuk memastikan bahwa pelatihan dan
komunikasi keamanan informasi dilakukan dengan serius. Agar efektif, komunikasi ini harus
melibatkan lebih dari sekadar menyerahkan dokumen tertulis kepada orang-orang atau
mengirim pesan email kepada mereka dan meminta mereka untuk menandatangani
pengakuan bahwa mereka telah menerima dan membaca pemberitahuan tersebut.
Sebaliknya, karyawan harus menerima pengingat berkala dan berkala tentang kebijakan
keamanan dan pelatihan tentang cara mematuhinya.
Langkah 3 dari siklus hidup keamanan melibatkan perolehan atau pembangunan alat
teknologi tertentu. Manajemen senior harus mengizinkan investasi sumber daya yang
diperlukan untuk mengurangi ancaman yang teridentifikasi dan mencapai tingkat keamanan
yang diinginkan. Terakhir, langkah 4 dalam siklus hidup keamanan memerlukan pemantauan
kinerja secara teratur untuk mengevaluasi efektivitas program keamanan informasi organisasi.
Kemajuan dalam TI menciptakan ancaman baru dan mengubah risiko yang terkait dengan
ancaman lama. Oleh karena itu, manajemen harus secara berkala menilai kembali respons risiko
organisasi dan, jika perlu, membuat perubahan pada kebijakan keamanan informasi dan
berinvestasi dalam solusi baru untuk memastikan bahwa upaya keamanan informasi organisasi
mendukung strategi bisnisnya dengan cara yang konsisten dengan selera risiko manajemen. .
2. MODEL KEAMANAN INFORMASI BERBASIS meskipun tidak ada
WAKTU kontrol yang dapat 100%
efektif, penggunaan
Tujuan dari model keamanan informasi berbasis waktu adalah untuk menggunakan kombinasi kontrol yang tumpang
pengendalian preventif, detektif, dan korektif untuk melindungi aset informasi cukup lama tindih, saling melengkapi,
bagi organisasi untuk mendeteksi bahwa serangan sedang terjadi dan untuk mengambil dan berlebihan
langkah tepat waktu untuk menggagalkan serangan sebelumnya. informasi apa pun hilang meningkatkan efektivitas
atau dikompromikan. Model keamanan informasi berbasis waktu dapat dinyatakan dalam keseluruhan karena jika
rumus berikut: satu kontrol gagal atau
P. > D + R, dielakkan, yang lain
dimana mungkin berhasil.
Model keamanan
P. = waktu yang dibutuhkan penyerang untuk menerobos berbasis waktu
berbagai kontrol yang melindungi aset informasi organisasi menyediakan sarana
D = waktu yang dibutuhkan organisasi untuk mendeteksi bagi manajemen untuk
bahwa serangan sedang berlangsung
mengidentifikasi
R = waktu yang dibutuhkan untuk merespon dan
pendekatan yang paling
menghentikan serangan
hemat biaya untuk
Jika persamaannya terpenuhi (yaitu, jika P> D + R benar), maka prosedur keamanan informasi meningkatkan keamanan
organisasi menjadi efektif. Jika tidak, keamanan tidak efektif. dengan membandingkan
Organisasi berusaha untuk memenuhi tujuan dari model keamanan berbasis waktu dengan efek tambahan
menerapkan strategi pertahanan secara mendalam, yang memerlukan penggunaan beberapa
lapis kontrol untuk menghindari satu titik kegagalan. Defense-in-depth mengakui bahwa
model keamanan berbasis waktu - Menerapkan kombinasi
pengendalian preventif, detektif, dan korektif yang melindungi aset informasi cukup lama untuk memungkinkan organisasi mengenali
bahwa serangan sedang terjadi dan mengambil langkah untuk menggagalkannya sebelum informasi apa pun hilang atau dikompromikan.

pertahanan mendalam - Menerapkan beberapa lapisan kontrol untuk menghindari satu titik kegagalan.
 investasi dalam pengendalian pencegahan, detektif, atau korektif. Misalnya, manajemen
mungkin mempertimbangkan investasi tambahan $ 100.000 untuk meningkatkan keamanan.
Salah satu opsinya mungkin membeli firewall baru yang akan meningkatkan nilai P
sebanyak 10 menit. Pilihan kedua mungkin untuk meningkatkan sistem deteksi intrusi
organisasi dengan cara yang akan menurunkan nilai D selama 12 menit. Pilihan ketiga
mungkin berinvestasi dalam metode baru untuk menanggapi insiden keamanan informasi
sehingga dapat menurunkan nilai R selama 30 menit. Dalam contoh ini, pilihan yang paling
hemat biaya adalah berinvestasi dalam kontrol korektif tambahan yang memungkinkan
organisasi merespons serangan lebih cepat.
Meskipun model keamanan berbasis waktu memberikan dasar teoritis yang kuat untuk
mengevaluasi dan mengelola praktik keamanan informasi organisasi, itu tidak boleh dilihat
sebagai rumus matematika yang tepat. Satu masalah adalah sulit, jika bukan tidak mungkin,
untuk mendapatkan pengukuran parameter P, D, dan R. yang akurat dan andal. Selain itu,
bahkan ketika nilai parameter tersebut dapat dihitung dengan andal, pengembangan TI baru
dapat dengan cepat. mengurangi validitasnya. Misalnya, penemuan kerentanan baru yang besar
dapat secara efektif mengurangi nilai P menjadi nol. Akibatnya, model keamanan berbasis
waktu paling baik digunakan sebagai kerangka kerja tingkat tinggi untuk analisis strategis,
untuk secara jelas mengilustrasikan prinsip pertahanan mendalam dan kebutuhan untuk
menggunakan berbagai pengendalian preventif, detektif, dan korektif.

Memahami Serangan Bertarget

Meskipun banyak ancaman keamanan informasi, seperti virus, worm, bencana alam, kegagalan
perangkat keras, dan kesalahan manusia sering terjadi secara acak (tidak ditargetkan),
organisasi juga sering menjadi sasaran serangan yang disengaja. Sebelum kita membahas
pengendalian preventif, detektif, dan korektif yang dapat digunakan untuk mengurangi risiko
intrusi sistem, ada baiknya untuk memahami langkah-langkah dasar yang digunakan penjahat
untuk menyerang sistem informasi organisasi:
1. Lakukan pengintaian. Perampok bank biasanya tidak hanya pergi ke bank dan mencoba
untuk merampoknya. Sebaliknya, mereka pertama-tama mempelajari tata letak fisik
target mereka untuk mempelajari tentang kontrol yang ada di tempatnya (alarm, jumlah
penjaga, penempatan kamera, dll.). Demikian pula, penyerang komputer mulai dengan
mengumpulkan informasi tentang target mereka. Membaca dengan teliti laporan
keuangan organisasi, pengajuan Securities and Exchange Commission (SEC), situs web,
dan siaran pers dapat menghasilkan banyak informasi yang berharga. Tujuan dari
pengintaian awal ini adalah untuk mempelajari sebanyak mungkin tentang target dan
untuk mengidentifikasi potensi kerentanan.
2. Mencoba rekayasa sosial. Mengapa harus bersusah payah mencoba masuk ke sistem jika
Anda dapat meminta seseorang untuk mengizinkan Anda masuk? Penyerang akan sering
rekayasa sosial - Menggunakan tipu mencoba menggunakan informasi yang diperoleh selama pengintaian awal mereka untuk
daya untuk mendapatkan akses tidak "mengelabui" karyawan yang tidak menaruh curiga agar memberi mereka akses.
sah ke sumber daya informasi.
Penggunaan penipuan untuk mendapatkan akses tidak sah ke sumber daya informasi
disebut sebagai manipulasi psikologis. Rekayasa sosial dapat terjadi dalam banyak cara,
hanya dibatasi oleh kreativitas dan imajinasi penyerang. Serangan rekayasa sosial sering
terjadi melalui telepon. Salah satu teknik umum adalah penyerang menyamar sebagai
eksekutif yang tidak dapat memperoleh akses jarak jauh ke file penting. Penyerang
memanggil asisten administrasi yang baru dipekerjakan dan meminta orang tersebut untuk
membantu mendapatkan file penting. Tipu muslihat umum lainnya adalah penyerang
berpura-pura sebagai pekerja sementara yang tidak mengerti yang tidak dapat masuk ke
sistem dan menghubungi meja bantuan untuk mendapatkan bantuan. Serangan manipulasi
psikologis juga dapat terjadi melalui email. Serangan yang sangat efektif yang dikenal
sebagai spear phishing melibatkan pengiriman email yang konon berasal dari seseorang
yang dikenal korban. Email spear phishing meminta korban untuk mengklik tautan yang
disematkan atau membuka lampiran. Jika penerima melakukannya, program kuda Troya
dijalankan yang memungkinkan penyerang mendapatkan akses ke sistem. Taktik rekayasa
sosial lainnya adalah menyebarkan drive USB di tempat parkir organisasi yang ditargetkan.
Karyawan yang tidak curiga atau ingin tahu yang mengambil drive dan memasangnya ke
 komputer mereka
akan memuat
program kuda Troya
yang memungkinkan
penyerang
mendapatkan akses
ke sistem.
3. Pindai dan petakan
target. Jika
penyerang tidak
berhasil menembus
sistem target melalui
rekayasa sosial,
langkah selanjutnya
adalah melakukan
pengintaian yang
lebih detail untuk
mengidentifikasi
 titik potensial untuk masuk jarak jauh. Penyerang menggunakan berbagai alat otomatis
untuk mengidentifikasi komputer yang dapat diakses dari jarak jauh dan jenis perangkat
lunak yang mereka jalankan.
4. Penelitian. Setelah penyerang mengidentifikasi target tertentu dan mengetahui versi
perangkat lunak apa yang berjalan padanya, langkah selanjutnya adalah melakukan
penelitian untuk menemukan kerentanan yang diketahui untuk program tersebut dan
mempelajari cara memanfaatkan kerentanan tersebut.
5. Jalankan serangan itu. Penjahat memanfaatkan kerentanan untuk mendapatkan akses
tidak sah ke sistem informasi target.
6. Lagu penutup. Setelah menembus sistem informasi korban, sebagian besar penyerang
mencoba untuk menutupi jejak mereka dan membuat "pintu belakang" yang dapat mereka
gunakan untuk mendapatkan akses jika serangan awal mereka ditemukan dan kontrol
diterapkan untuk memblokir metode masuk tersebut.
Sekarang setelah kita memiliki pemahaman dasar tentang bagaimana penjahat menyerang
sistem informasi organisasi, kita dapat melanjutkan untuk membahas metode untuk mengurangi
risiko bahwa serangan tersebut, serta ancaman acak seperti virus dan worm, akan berhasil.
Bagian berikut membahas jenis utama pengendalian pencegahan, detektif, dan korektif yang
tercantum dalam Tabel 8-1 yang digunakan organisasi untuk menyediakan keamanan informasi
melalui pertahanan mendalam.

Melindungi Sumber Daya

Informasi
Bagian ini membahas pengendalian preventif, detektif, dan korektif yang tercantum dalam
Tabel 8-1 yang biasanya digunakan organisasi untuk melindungi sumber informasi. Seperti
yang ditunjukkan Gambar 8-3, berbagai kontrol pencegahan ini cocok bersama seperti
potongan-potongan dalam teka-teki untuk secara kolektif memberikan pertahanan yang
mendalam. Meskipun semua bagian itu perlu, kami membahas komponen "orang" terlebih
dahulu karena itu yang paling penting. Manajemen harus menciptakan budaya "sadar
keamanan" dan karyawan harus dilatih untuk mengikuti kebijakan keamanan dan
mempraktikkan perilaku komputasi yang aman.

TABEL 8-1 Kontrol Pencegahan, Detektif, dan Korektif Digunakan untuk Memenuhi
Model Keamanan Berbasis Waktu

BERDASARKAN WAKTU
CONTOH KOMPONEN MODEL

Perlindungan • Orang-orang
Penciptaan budaya "sadar keamanan"
Latihan
• Proses: Kontrol akses pengguna (otentikasi dan otorisasi)
• Proses: Pengujian Penetrasi
• Proses: Ubah kontrol dan manajemen perubahan
• Solusi IT
Anti-malware
Kontrol akses jaringan (firewall, sistem pencegahan intrusi, dll.)
Penguatan perangkat dan perangkat lunak (kontrol
konfigurasi) Enkripsi
• Keamanan fisik: kontrol akses (kunci, penjaga, dll.)
Deteksi • Analisis log
• Sistem deteksi intrusi
 • Pemantauan terus menerus
Tanggapan • Tim respons insiden komputer (CIRT)
• Kepala petugas keamanan informasi (CISO)
GAMBAR 8-3
Berbagai Kontrol
Pencegahan: Potongan
Puzzle Keamanan
Proses
solusi IT

Perubahan
Pengelolaan
Fisik
Keamanan

ORANG: PENCIPTAAN BUDAYA "SADAR KEAMANAN"

Diskusi tentang kerangka kerja COSO dan COSO-ERM (Manajemen Risiko Perusahaan) di
Bab 7 menekankan bagaimana sikap dan perilaku risiko manajemen puncak menciptakan
lingkungan internal yang mendukung dan memperkuat pengendalian internal yang baik atau
lingkungan yang secara efektif meniadakan kebijakan pengendalian tertulis. Prinsip yang sama
berlaku tentang keamanan informasi. Memang, CO-BIT 5 secara khusus mengidentifikasi
budaya dan etika organisasi sebagai salah satu pendorong penting untuk keamanan informasi
yang efektif. Untuk menciptakan budaya sadar keamanan di mana karyawan mematuhi
kebijakan organisasi, manajemen puncak tidak hanya harus mengkomunikasikan kebijakan
keamanan organisasi, tetapi juga harus memimpin dengan memberi contoh. Karyawan lebih
cenderung mematuhi kebijakan keamanan informasi ketika mereka melihat manajer mereka
melakukannya. Sebaliknya,

ORANG:
PELATIHAN
COBIT 5 mengidentifikasi keterampilan dan kompetensi karyawan sebagai pendorong penting
lainnya untuk keamanan informasi yang efektif. Karyawan harus memahami bagaimana
mengikuti kebijakan keamanan organisasi. Dengan demikian, pelatihan merupakan
pengendalian preventif yang kritis. Memang, pentingnya hal ini tercermin dalam fakta bahwa
pelatihan kesadaran keamanan dibahas sebagai praktik utama untuk mendukung beberapa dari
32 proses manajemen COBIT 5.
Semua karyawan harus diajari mengapa langkah-langkah keamanan penting untuk
kelangsungan hidup organisasi dalam jangka panjang. Mereka juga perlu dilatih untuk
mengikuti praktik komputasi yang aman, seperti tidak pernah membuka lampiran email yang
tidak diminta, hanya menggunakan perangkat lunak yang disetujui, tidak membagikan kata
sandi, dan mengambil langkah untuk melindungi laptop secara fisik. Pelatihan sangat
diperlukan untuk mendidik karyawan tentang serangan manipulasi psikologis. Misalnya,
karyawan harus diajari untuk tidak membocorkan kata sandi atau informasi lain tentang akun
mereka atau konfigurasi workstation mereka kepada siapa pun yang menghubungi mereka
melalui telepon, email, atau pesan instan dan mengklaim sebagai bagian dari fungsi keamanan
sistem informasi organisasi. . Karyawan juga perlu dilatih untuk tidak mengizinkan orang lain
mengikuti mereka melalui pintu masuk akses terbatas. Serangan rekayasa sosial ini, yang
disebut piggybacking, dapat terjadi tidak hanya di pintu masuk utama gedung tetapi juga di
setiap pintu internal yang terkunci, terutama di ruangan yang berisi peralatan komputer.
Piggybacking dapat dilakukan tidak hanya oleh pihak luar tetapi juga oleh karyawan lain yang
tidak diizinkan untuk memasuki area tertentu. Piggybacking sering berhasil karena banyak
orang merasa tidak sopan untuk tidak membiarkan orang lain masuk bersama mereka atau
karena mereka ingin menghindari konfrontasi. Latihan bermain peran sangat efektif untuk
meningkatkan kepekaan dan keterampilan untuk menangani serangan manipulasi psikologis.
Piggybacking dapat dilakukan tidak hanya oleh pihak luar tetapi juga oleh karyawan lain yang
tidak diizinkan untuk memasuki area tertentu. Piggybacking sering berhasil karena banyak
orang merasa tidak sopan untuk tidak membiarkan orang lain datang bersama mereka atau
karena mereka ingin menghindari konfrontasi. Latihan bermain peran sangat efektif untuk
meningkatkan kepekaan dan keterampilan untuk menangani serangan manipulasi psikologis.
Piggybacking dapat dilakukan tidak hanya oleh pihak luar tetapi juga oleh karyawan lain yang
tidak diizinkan untuk memasuki area tertentu. Piggybacking sering berhasil karena banyak
orang merasa tidak sopan untuk tidak membiarkan orang lain masuk bersama mereka atau
karena mereka ingin menghindari konfrontasi. Latihan bermain peran sangat efektif untuk
meningkatkan kepekaan dan keterampilan untuk menangani serangan manipulasi psikologis.
Pelatihan kesadaran keamanan juga penting bagi manajemen senior, karena dalam
beberapa tahun terakhir banyak serangan manipulasi psikologis, seperti spear phishing, telah
ditargetkan pada mereka.
Pelatihan profesional keamanan informasi juga penting. Perkembangan baru dalam teknologi terus
menerus menciptakan ancaman keamanan baru dan membuat solusi lama menjadi usang. Oleh karena
itu, penting bagi organisasi untuk mendukung pendidikan profesional berkelanjutan bagi spesialis
keamanan mereka.
Namun, investasi organisasi dalam pelatihan keamanan akan efektif hanya jika
manajemen secara jelas menunjukkan bahwa ia mendukung karyawan yang mengikuti
kebijakan keamanan yang ditentukan. Hal ini sangat penting untuk memerangi serangan
manipulasi psikologis, karena tindakan pencegahan terkadang dapat menciptakan konfrontasi
yang memalukan dengan karyawan lain. Misalnya, salah satu penulis mendengar anekdot
tentang seorang profesional sistem di bank besar yang menolak untuk mengizinkan seseorang
yang tidak termasuk dalam daftar karyawan yang berwenang untuk memasuki ruangan yang
menampung server yang berisi informasi keuangan utama bank. Orang yang dinyatakan masuk
kebetulan adalah seorang eksekutif baru yang baru saja dipekerjakan. Alih-alih menegur
karyawan, eksekutif menunjukkan bank ' Komitmen dan dukungan untuk keamanan yang kuat
dengan menulis surat pujian resmi atas kinerja yang berjasa untuk dimasukkan ke dalam arsip
kinerja karyawan. Jenis dukungan manajemen puncak yang terlihat untuk keamanan inilah
yang meningkatkan efektivitas semua kebijakan keamanan. Manajemen puncak juga perlu
mendukung penegakan sanksi, hingga dan termasuk pemecatan, terhadap karyawan yang
dengan sengaja melanggar kebijakan keamanan. Melakukannya tidak hanya mengirimkan
pesan yang kuat kepada karyawan lain tetapi juga terkadang dapat mengurangi konsekuensi
bagi organisasi jika seorang karyawan terlibat dalam perilaku ilegal. Manajemen puncak juga
perlu mendukung penegakan sanksi, hingga dan termasuk pemecatan, terhadap karyawan yang
dengan sengaja melanggar kebijakan keamanan. Melakukannya tidak hanya mengirimkan
pesan yang kuat kepada karyawan lain tetapi juga terkadang dapat mengurangi konsekuensi
bagi organisasi jika seorang karyawan terlibat dalam perilaku ilegal. Manajemen puncak juga
perlu mendukung penegakan sanksi, hingga dan termasuk pemecatan, terhadap karyawan yang
dengan sengaja melanggar kebijakan keamanan. Melakukannya tidak hanya mengirimkan
pesan yang kuat kepada karyawan lain tetapi juga terkadang dapat mengurangi konsekuensi
bagi organisasi jika seorang karyawan terlibat dalam perilaku ilegal.

PROSES: KONTROL AKSES

PENGGUNA
Penting untuk dipahami bahwa "orang luar" bukan satu-satunya sumber ancaman. Seorang
karyawan mungkin menjadi tidak puas karena sejumlah alasan (misalnya, dilewatkan untuk
promosi) dan membalas dendam, atau mungkin rentan dirusak karena kesulitan keuangan, atau
mungkin diperas untuk memberikan informasi sensitif. Oleh karena itu, organisasi perlu
menerapkan serangkaian kontrol yang dirancang untuk melindungi aset informasi mereka dari
penggunaan dan akses yang tidak sah oleh karyawan. Untuk mencapai tujuan itu, praktik
manajemen COBIT 5 DSS05.04 menekankan perlunya kontrol untuk mengelola identitas
pengguna dan akses logis sehingga memungkinkan untuk mengidentifikasi secara unik setiap
orang yang mengakses sistem informasi organisasi dan melacak tindakan yang mereka lakukan.
Menerapkan DSS05. 04 melibatkan penggunaan dua jenis kontrol akses pengguna yang terkait
tetapi berbeda: kontrol otentikasi dan kontrol otorisasi. Kontrol otorisasi membatasi siapa yang
dapat mengakses sistem informasi organisasi. Kontrol otorisasi membatasi apa yang dapat
dilakukan individu tersebut setelah mereka diberi akses.
KONTROL OTENTIKASI Autentikasi adalah proses memverifikasi identitas orang atau perangkat yang berkelanjutan di
yang mencoba mengakses sistem. Tujuannya adalah untuk memastikan bahwa hanya pengguna masa mendatang. Teknik
yang sah yang dapat mengakses sistem. identifikasi fisik (kartu,
Tiga jenis kredensial dapat digunakan untuk memverifikasi identitas seseorang: lencana, perangkat USB,
dll.) Dapat hilang, dicuri,
1. Sesuatu yang diketahui orang tersebut, seperti sandi atau nomor identifikasi pribadi
atau digandakan. Bahkan
(PIN)
teknik biometrik tidak
2. Sesuatu yang dimiliki orang tersebut, seperti kartu pintar atau lencana ID
100% akurat, terkadang
3. Beberapa karakteristik fisik atau perilaku (disebut sebagai pengenal biometrik) orang
menolak pengguna yang
tersebut, seperti sidik jari atau pola pengetikan.
sah (misalnya, sistem
Secara individual, setiap metode otentikasi memiliki batasannya sendiri. Kata sandi bisa pengenalan suara
ditebak, hilang, ditulis, atau diberikan. Fokus 8-1 membahas beberapa persyaratan untuk mungkin tidak mengenali
membuat kata sandi yang kuat serta perdebatan yang sedang berlangsung tentang penggunaan karyawan yang
kedinginan) dan terkadang mengizinkan akses ke orang yang tidak berwenang. Selain itu, autentikasi - Memverifikasi
beberapa teknik biometrik, seperti sidik jari, mengandung konotasi negatif yang dapat identitas orang atau perangkat
yang mencoba mengakses sistem.
menghalangi penerimaannya. Ada juga masalah keamanan tentang penyimpanan informasi
biometrik itu sendiri. Template biometrik, seperti representasi digital dari sidik jari atau suara
seseorang, harus disimpan di suatu tempat. Mengompromikan template tersebut akan
menciptakan masalah serius dan seumur hidup bagi file

pengenal biometrik -
Karakteristik fisik atau perilaku
yang digunakan sebagai kredensial
otentikasi.
 FOKUS 8-1 Efektivitas Kata Sandi sebagai Kredensial Otentikasi
Efektivitas penggunaan kata sandi sebagai kredensial
otentikasi bergantung pada banyak faktor:
• Panjangnya. Kekuatan kata sandi berhubungan
langsung dengan panjangnya. Semakin lama
semakin baik.
• Berbagai tipe karakter. Menggunakan
campuran karakter huruf besar dan kecil,
angka, dan khusus meningkatkan kekuatan
kata sandi.
• Keacakan. Kata sandi seharusnya tidak mudah
ditebak. Oleh karena itu, kata-kata itu tidak boleh
ditemukan dalam kamus. Juga tidak boleh berupa
kata-kata dengan karakter numerik sebelum atau
sesudah (seperti 3Dimond atau Diamond3). Mereka
juga tidak boleh terkait dengan minat atau hobi
pribadi karyawan; kamus peretas sandi untuk tujuan
khusus yang berisi sandi paling umum yang terkait
dengan berbagai topik tersedia di Internet. Misalnya,
kata sandi Ncc1701 muncul, pada pandangan
pertama, agar sesuai dengan persyaratan kata sandi
yang kuat karena berisi campuran karakter huruf
besar dan kecil serta angka. Tapi penggemar Star
Trek akan langsung mengenalinya sebagai sebutan
Enterprise kapal luar angkasa. Akibatnya, Ncc1701
dan banyak variasi di atasnya (mengubah huruf mana
yang dikapitalisasi, menggantikan angka 1 dengan
! simbol, dll.) termasuk dalam kebanyakan kamus peretas kata sandi
dan, oleh karena itu, dengan cepat disusupi.
• Sering berubah. Kata sandi harus diubah secara
berkala. Sebagian besar pengguna harus mengubah
sandi mereka setidaknya setiap 90 hari; pengguna
dengan akses ke informasi sensitif sebaiknya
mengubah sandi mereka lebih sering, mungkin setiap
30 hari.
• Simpan rahasia. Yang terpenting, kata sandi
harus dirahasiakan agar efektif. Namun,
masalah dengan sandi yang kuat, seperti dX%
m8K # 2, adalah sandi tersebut tidak mudah
diingat. Akibatnya, saat mengikuti persyaratan
untuk membuat kata sandi yang kuat, orang-
orang
cenderung menuliskan kata sandi tersebut. Ini
melemahkan nilai kata sandi dengan mengubahnya
dari sesuatu yang mereka ketahui menjadi sesuatu
yang mereka miliki - yang kemudian dapat dicuri
dan digunakan oleh siapa saja.
Berbagai faktor yang dapat menentukan keefektifan kata
sandi telah menyebabkan beberapa ahli keamanan informasi
menyimpulkan bahwa upaya untuk memaksakan
penggunaan kata sandi yang kuat adalah kontraproduktif.
Mereka mencatat bahwa komponen utama dari biaya help
desk dikaitkan dengan pengaturan ulang kata sandi yang
dilupakan pengguna. Akibatnya, mereka berdebat untuk
mengabaikan pencarian untuk mengembangkan dan
menggunakan kata sandi yang kuat dan mengandalkan
penggunaan metode otentikasi faktor ganda, seperti
kombinasi kartu pintar dan PIN sederhana, sebagai
gantinya.
Pakar keamanan informasi lainnya tidak setuju. Mereka
mencatat bahwa sistem operasi sekarang dapat
mengakomodasi kata sandi yang lebih dari 15 karakter. Ini
berarti bahwa pengguna dapat membuat kata sandi yang
kuat, namun mudah diingat, seperti
Ilove2gosnorkelinginHawaiidoU? Frasa sandi yang begitu
panjang secara dramatis meningkatkan upaya yang
diperlukan untuk memecahkannya dengan menebak secara
kasar setiap kombinasi. Misalnya, sandi delapan karakter
yang hanya terdiri dari huruf kecil dan besar serta angka
memiliki 628 kemungkinan kombinasi, tetapi frasa sandi
20 karakter memiliki
6220 kemungkinan kombinasi. Ini berarti kata sandi tidak perlu
diganti sesering kata sandi. Oleh karena itu, beberapa pakar
keamanan informasi berpendapat bahwa kemampuan untuk
menggunakan frasa sandi yang sama untuk jangka waktu yang
lama, ditambah dengan fakta bahwa lebih mudah mengingat
frasa sandi yang panjang daripada kata sandi yang kuat,
seharusnya secara dramatis mengurangi biaya help desk
sekaligus meningkatkan keamanan. . Namun, masih harus dilihat
apakah pengguna akan menolak untuk memasukkan kata sandi
yang panjang, terutama jika mereka perlu melakukannya
sesering mungkin karena mereka diharuskan menggunakan
screen saver yang dilindungi frase sandi.

otentikasi multifaktor -
Penggunaan dua atau lebih jenis
kredensial otentikasi bersama untuk
mencapai tingkat keamanan yang
lebih tinggi.
otentikasi multimodal -
Penggunaan beberapa kredensial
otentikasi dari jenis yang sama
untuk mencapai tingkat
keamanan yang lebih
tinggi.
donor karena karakteristik biometrik, tidak seperti sandi atau token fisik, tidak dapat diganti
atau diubah.
Meskipun tidak satu pun dari tiga kredensial otentikasi dasar, dengan sendirinya, sangat
mudah, penggunaan dua atau ketiga jenis dalam hubungannya, proses yang disebut otentikasi
multifaktor, cukup efektif. Misalnya, mengharuskan pengguna untuk memasukkan kartu pintar
ke dalam pembaca kartu dan memasukkan kata sandi memberikan otentikasi yang jauh lebih
kuat daripada menggunakan salah satu metode saja. Dalam beberapa situasi, menggunakan
beberapa kredensial dengan jenis yang sama, proses yang disebut sebagai otentikasi multi-
modal, juga dapat meningkatkan keamanan. Misalnya, banyak situs perbankan online
menggunakan beberapa hal yang diketahui seseorang (kata sandi, ID pengguna, dan pengenalan
gambar grafik) untuk otentikasi. Begitu pula karena kebanyakan laptop sekarang dilengkapi
dengan kamera dan telepon mikro, plus pembaca sidik jari,
 Baik otentikasi
multifaktor dan
otentikasi multimodal
adalah contoh penerapan
prinsip pertahanan
mendalam. Namun,
otentikasi multifaktor
lebih baik daripada
multimodal karena kredensial tidak bergantung satu sama lain. Oleh karena itu,
mengkompromikan satu kredensial tidak mempengaruhi kemungkinan berhasilnya kompromi
yang lain. Misalnya, membobol kata sandi seseorang tidak memengaruhi kemungkinan
mencuri kartu pintar mereka. Sebaliknya, membobol kata sandi seseorang dapat
mempermudah mendapatkan jawaban atas pertanyaan keamanan apa pun karena orang
tersebut mungkin telah menggunakan kata sandi yang sama untuk akun media sosialnya.
Hal ini penting untuk mengotentikasi tidak hanya orang tetapi juga setiap perangkat yang
mencoba untuk terhubung ke jaringan. Setiap stasiun kerja, printer, atau perangkat komputasi
lainnya memerlukan kartu antarmuka jaringan (NIC) untuk terhubung ke jaringan internal
organisasi. Setiap NIC memiliki pengenal unik, yang disebut sebagai alamat kontrol akses
media (MAC) miliknya. Oleh karena itu, organisasi dapat membatasi akses jaringan hanya
untuk perangkat milik perusahaan dengan membandingkan MAC perangkat dengan daftar
alamat MAC yang dikenali. Namun, terdapat perangkat lunak yang dapat digunakan untuk
mengubah alamat MAC perangkat, sehingga memungkinkan pengguna jahat untuk
"memalsukan" identitas perangkat mereka. Oleh karena itu, cara yang lebih kuat untuk
mengotentikasi perangkat melibatkan penggunaan sertifikat digital yang menggunakan teknik
enkripsi untuk menetapkan pengenal unik ke setiap perangkat.
KONTROL OTORISASI Otorisasi adalah proses membatasi akses pengguna yang diotorisasi ke otorisasi - Proses membatasi akses
bagian tertentu dari sistem dan membatasi tindakan apa yang diizinkan untuk mereka lakukan. pengguna yang diotorisasi ke bagian
tertentu dari sistem dan membatasi
Seperti yang dijelaskan oleh praktik manajemen COBIT 5 DSS06.03, tujuannya adalah untuk tindakan apa yang diizinkan untuk
menyusun hak dan hak istimewa individu karyawan dengan cara yang menetapkan dan mereka lakukan.
mempertahankan pemisahan tugas yang memadai. Misalnya, perwakilan layanan pelanggan
tidak boleh diberi wewenang untuk mengakses sistem penggajian. Selain itu, perwakilan
layanan pelanggan harus diizinkan hanya untuk membaca, tetapi tidak mengubah, harga item matriks kontrol akses - Tabel
inventaris. yang digunakan untuk
Kontrol otorisasi sering diimplementasikan dengan membuat matriks kontrol akses mengimplementasikan kontrol
otorisasi (lihat Gambar 8-4).
(Gambar 8-4). Ketika seorang karyawan terotentikasi mencoba untuk mengakses sumber
daya sistem informasi tertentu, sistem melakukan uji kompatibilitas yang cocok dengan uji kompatibilitas -
kredensial otentikasi pengguna terhadap matriks kontrol akses untuk menentukan apakah Mencocokkan kredensial otentikasi
pengguna dengan matriks kontrol
karyawan itu harus diizinkan untuk mengakses sumber daya itu dan melakukan tindakan akses untuk menentukan apakah
yang diminta. Penting untuk secara teratur memperbarui matriks kontrol akses untuk karyawan tersebut harus diizinkan
mencerminkan perubahan tugas pekerjaan karena promosi atau transfer. Jika tidak, seiring untuk mengakses sumber daya
tersebut dan melakukan tindakan
waktu seorang karyawan dapat mengumpulkan serangkaian hak dan hak istimewa yang yang diminta.
tidak sesuai dengan pemisahan tugas yang tepat.
Gambar 8-5 menunjukkan bagaimana informasi yang terkandung dalam matriks kontrol
akses digunakan untuk mengimplementasikan kontrol otorisasi dalam sistem ERP. Bagian
atas tangkapan layar menunjukkan bahwa untuk setiap peran karyawan, sistem menyediakan
sejumlah kombinasi izin yang telah ditentukan untuk memberlakukan pembatasan akses
umum. Misalnya, entri pertama (Pembatasan Karyawan) membuka kotak dialog yang
menanyakan apakah karyawan dalam peran ini dapat melihat rekaman untuk karyawan lain
(sesuai untuk manajer) atau hanya milik mereka sendiri. Bagian bawah tangkapan layar
menunjukkan bahwa kontrol dapat dirancang untuk setiap aktivitas spesifik yang dilakukan
oleh peran karyawan ini. Mengeklik kata "Edit" di sebelah kanan aktivitas tertentu
menampilkan layar lain di mana izin khusus (baca, edit, buat,
GAMBAR 8-4
Contoh Access
Peng File Program Matriks Kontrol
guna
identitas SE B ( 1 2 3 4
B
pengguna U 0 1 0 0 0 0
A
NHale 2 0 0 0 0 1
H
JPJones 1 0 1 1 0 0
Kode 0 File:
untuk Akses Kode untuk Akses Program:
0 = Tidak ada .... .... 0 = .... ....
Tidak ada akses .... ....
BArnol 0
akses 1 = Jalankan
1 = Baca
d / hanya tampilan
2 = Baca / tampilkan dan
perbarui
3 = Baca / tampilkan, perbarui, buat, dan hapus
GAMBAR 8-5
Menerapkan Kontrol
Otorisasi dalam
Sistem ERP

Sumber: 2010 © NetSuite Inc.

tes penetrasi - Upaya resmi untuk
masuk ke sistem informasi
organisasi.
Hal ini dimungkinkan untuk mencapai kontrol dan pemisahan tugas yang lebih besar
dengan menggunakan sistem manajemen proses bisnis untuk menanamkan otorisasi ke
dalam proses bisnis otomatis, daripada mengandalkan matriks kontrol akses statis.
Misalnya, otorisasi hanya dapat diberikan untuk melakukan tugas tertentu untuk transaksi
tertentu. Dengan demikian, karyawan tertentu mungkin diizinkan untuk mengakses
informasi kredit tentang pelanggan yang saat ini meminta layanan, tetapi secara bersamaan
dicegah untuk "menjelajahi" seluruh file pelanggan lainnya. Selain itu, sistem manajemen
proses bisnis memberlakukan pemisahan tugas karena karyawan hanya dapat melakukan
tugas tertentu yang telah ditetapkan sistem kepada mereka. Karyawan tidak dapat
menghapus tugas dari daftar tugas yang ditetapkan, dan sistem mengirimkan pesan
pengingat hingga tugas selesai - dua tindakan lagi yang selanjutnya meningkatkan kontrol.
Perangkat lunak manajemen proses bisnis juga dapat langsung merutekan transaksi yang
memerlukan otorisasi khusus (seperti penjualan kredit di atas jumlah tertentu) secara
elektronik ke manajer untuk mendapatkan persetujuan. Transaksi tidak dapat dilanjutkan
sampai otorisasi diberikan, tetapi karena kebutuhan untuk persetujuan tersebut
diindikasikan dan diberikan atau ditolak secara elektronik, kontrol penting ini dilaksanakan
tanpa mengorbankan efisiensi.
Seperti kontrol otentikasi, kontrol otorisasi dapat dan harus diterapkan tidak hanya untuk
orang tetapi juga untuk perangkat. Misalnya, memasukkan alamat MAC atau sertifikat digital
dalam matriks kontrol akses memungkinkan untuk membatasi akses ke sistem penggajian dan
file master penggajian hanya untuk karyawan departemen penggajian dan hanya ketika
mereka masuk dari komputer meja atau laptop yang ditugaskan. Lagi pula, mengapa petugas
penggajian perlu masuk dari stasiun kerja yang terletak di gudang atau mencoba membuat
akses dial-in dari negara lain? Menerapkan kontrol otentikasi dan otorisasi untuk manusia dan
perangkat adalah cara lain di mana pertahanan yang mendalam meningkatkan keamanan.
PROSES: PENGUJIAN PENETRASI
Proses pengendalian COBIT 5 MEAOl dan MEAO2 menyatakan kebutuhan untuk menguji
efektivitas proses bisnis dan pengendalian internal secara berkala (termasuk prosedur
keamanan). Pengujian penetrasi menyediakan cara yang tepat untuk menguji keefektifan
keamanan informasi organisasi. Uji penetrasi adalah upaya resmi oleh tim audit internal atau
firma konsultan keamanan eksternal untuk masuk ke sistem informasi organisasi. Tim-tim ini
mencoba segala kemungkinan untuk membahayakan sistem perusahaan. Karena ada banyak
vektor serangan potensial, uji penetrasi hampir selalu berhasil. Dengan demikian, nilainya
tidak begitu banyak dalam menunjukkan bahwa suatu sistem dapat dibobol, tetapi dalam
mengidentifikasi di mana perlindungan tambahan paling dibutuhkan untuk meningkatkan
waktu dan upaya yang diperlukan untuk mengkompromikan sistem.
PROSES: PERUBAHAN KONTROL DAN MANAJEMEN Sebagian besar organisasi
PERUBAHAN memberi karyawan,
pelanggan, dan pemasok
Organisasi terus-menerus memodifikasi sistem informasi mereka untuk mencerminkan praktik akses jarak jauh ke sistem
bisnis baru dan memanfaatkan kemajuan TI. Kontrol perubahan dan manajemen perubahan informasi mereka.
mengacu pada proses formal yang digunakan untuk memastikan bahwa modifikasi pada Biasanya akses ini terjadi
perangkat keras, perangkat lunak, atau proses tidak mengurangi keandalan sistem. Kontrol melalui Internet, tetapi
perubahan yang baik sering kali menghasilkan kinerja operasi yang lebih baik karena lebih beberapa organisasi
sedikit masalah yang harus diperbaiki. Perusahaan dengan manajemen perubahan yang baik masih mempertahankan
dan proses kontrol perubahan juga mengalami biaya yang lebih rendah ketika insiden jaringan milik mereka
keamanan benar-benar terjadi. Memang, kemampuan untuk dengan cepat mengidentifikasi sendiri atau menyediakan
perubahan yang tidak sah dan memberikan sanksi kepada mereka yang bertanggung jawab akses dial-up langsung
untuk secara sengaja menghindari kontrol perubahan dan proses manajemen perubahan adalah melalui modem. Banyak
salah satu karakteristik terpenting yang membedakan organisasi dengan kinerja terbaik dari organisasi juga
semua organisasi lainnya. Karena itu, tidak mengherankan bahwa dua dari proses utama menyediakan akses
COBIT 5 berkaitan dengan pengelolaan perubahan (BAI06) dan prosedur untuk pengujian dan nirkabel ke sistem
transisi ke solusi baru (BAI07). Karakteristik kontrol perubahan yang dirancang dengan baik mereka. Kami sekarang
dan proses manajemen perubahan meliputi: membahas berbagai
• Dokumentasi semua permintaan perubahan, mengidentifikasi sifat perubahan, alasannya, metode yang dapat
tanggal permintaan, dan hasil permintaan. digunakan untuk
• Persetujuan terdokumentasi atas semua permintaan perubahan oleh tingkat manajemen memenuhi praktik
yang sesuai. Sangat penting bagi manajemen senior untuk meninjau dan menyetujui manajemen COBIT 5
perubahan besar pada proses dan sistem untuk memastikan bahwa perubahan yang DSS05.02, yang
diusulkan konsisten dengan rencana strategis jangka panjang organisasi. membahas keamanan
• Menguji semua perubahan dalam sistem terpisah, bukan yang digunakan untuk proses bisnis sehari-hari. jaringan organisasi dan
Ini mengurangi risiko "bug" dalam modifikasi mengganggu bisnis normal. semua cara untuk
• Kontrol konversi untuk memastikan bahwa data ditransfer secara akurat dan lengkap dari menghubungkannya.
sistem lama ke sistem baru. Auditor internal harus meninjau proses konversi.
• Memperbarui semua dokumentasi (instruksi program, deskripsi sistem, manual
prosedur, dll.) Untuk mencerminkan perubahan yang baru diimplementasikan.
• Proses khusus untuk tinjauan tepat waktu, persetujuan, dan dokumentasi dari
"perubahan darurat" secepat mungkin setelah krisis. Semua perubahan darurat perlu
dicatat untuk memberikan jejak audit. Sejumlah besar atau peningkatan yang ditandai
dalam jumlah perubahan darurat adalah a
tanda bahaya potensial dari masalah lain (prosedur manajemen konfigurasi yang buruk,
kurangnya pemeliharaan preventif, atau "permainan-permainan" politik untuk menghindari
proses kontrol perubahan normal).
• Pengembangan dan dokumentasi rencana "backout" untuk memfasilitasi pengembalian
ke konfigurasi sebelumnya jika perubahan baru menimbulkan masalah yang tidak
terduga.
• Pemantauan dan peninjauan yang cermat terhadap hak dan hak pengguna selama proses
perubahan untuk memastikan bahwa pemisahan tugas yang tepat dipertahankan.

SOLUSI IT: KONTROL PERANGKAT

LUNAK ANTIMAL
Malware (mis., Virus, worm, perangkat lunak pencatatan keystroke, dll.) Adalah ancaman
utama. Malware dapat merusak atau menghancurkan informasi atau menyediakan sarana
untuk akses yang tidak sah. Oleh karena itu, COBIT 5 bagian DSS05.01 mencantumkan
perlindungan malware sebagai salah satu kunci keamanan yang efektif, secara khusus
merekomendasikan hal berikut:
1. Pendidikan kesadaran perangkat lunak berbahaya
2. Pemasangan alat perlindungan antimalware di semua perangkat
3. Manajemen terpusat dari tambalan dan pembaruan untuk perangkat lunak antimalware
4. Tinjauan rutin terhadap ancaman malware baru
5. Memfilter lalu lintas masuk untuk memblokir potensi sumber malware
6. Melatih karyawan untuk tidak memasang perangkat lunak bersama atau tidak disetujui

SOLUSI IT: KONTROL AKSES JARINGAN

Ubah kendali dan manajemen perubahan - Proses formal yang digunakan untuk memastikan bahwa modifikasi pada perangkat
keras, perangkat lunak, atau proses tidak mengurangi keandalan sistem.
GAMBAR 8-6
Contoh Organisasi Internet
Arsitektur jaringan

Router Perbatasan

Zona Demiliterisasi (DMZ)

DMZ

Firewall
Utama

Ni Ser Se Ser
rk ver rv ver
Perusahaan Internal ab
Jaringan Router Internal W er Aks
el eb E es
Jalur ma Jara
k
Jau
h

Departemen Penggajian Departemen Penjualan LAN Departemen Keuangan LAN

Departemen Departemen Departemen

Server Server Server

PERTAHANAN PERIMETER: ROUTER, FIREWALLS, DAN SISTEM PENCEGAHAN INTRUSI

router perbatasan - Perangkat
yang menghubungkan sistem
informasi organisasi ke Internet.
firewall - Perangkat keras atau
perangkat lunak tujuan khusus yang
menjalankan komputer tujuan umum
yang mengontrol komunikasi masuk
dan keluar antara sistem di belakang
firewall dan jaringan lain.
zona demiliterisasi (DMZ) -
Jaringan terpisah yang terletak di luar
sistem informasi internal organisasi
yang memungkinkan akses terkontrol
dari Internet.
Gambar 8-6 menunjukkan hubungan antara sistem informasi organisasi dan Internet.
Perangkat yang disebut router perbatasan menghubungkan sistem informasi organisasi ke
Internet. Di belakang router perbatasan adalah firewall utama, yang dapat berupa perangkat
keras tujuan khusus atau perangkat lunak yang dijalankan pada komputer tujuan umum, yang
mengontrol komunikasi masuk dan keluar antara sistem di belakang firewall dan jaringan
lain. Zona demiliterisasi (DMZ) adalah jaringan terpisah yang terletak di luar sistem
informasi internal organisasi yang memungkinkan akses terkontrol dari Internet ke sumber
daya yang dipilih, seperti server web e-niaga organisasi. Bersama-sama, router perbatasan dan
firewall bertindak sebagai filter untuk mengontrol informasi mana yang diizinkan untuk
masuk dan keluar dari organisasi ' sistem informasi. Untuk memahami bagaimana fungsinya,
pertama-tama perlu dibahas secara singkat bagaimana informasi dikirimkan di Internet.
Gambar 8-7 menunjukkan bahwa ketika Anda mengirim file (dokumen, spreadsheet,
database, dll.) Ke orang lain atau ke printer, seluruh file jarang dikirim secara utuh. Dalam
banyak kasus, memang demikian
 Mengirim Perangkat
Header Ethernet: Alamat MAC
Perangkat
Penerima
GAMBAR 8-7
Sumber & Tujuan, dll.
Bagaimana File Dipecah
Header IP: Sumber & Tujuan
Menjadi Paket untuk
Alamat IP, dll.
Dikirim Melalui Jaringan
TCP Header: Nomor urutan, nomor dan Kemudian Dirakit
port, dll.
Kembali oleh Perangkat
Porsi file asli
Penerima

Header Ethernet: Alamat MAC

Sumber & Tujuan, dll.
Header IP: Sumber & Tujuan
Asli Alamat IP, dll. Asli
Mengajukan Men
gaju
TCP Header: Nomor urutan, nomor kan
port, dll.

Porsi file asli

Header Ethernet: Alamat MAC

Sumber & Tujuan, dll.

Header IP: Sumber & Tujuan

Alamat IP, dll.

TCP Header: Nomor urutan, nomor

port, dll.

Porsi file asli

dipecah menjadi serangkaian potongan-potongan kecil yang dikirim dan dipasang kembali perbatasan memeriksa
secara individual setelah pengiriman. Alasan hal ini terjadi adalah karena hampir setiap jaringan bidang alamat sumber di
area lokal menggunakan protokol Ethernet, yang dirancang untuk mengirimkan informasi dalam header paket IP untuk
paket dengan ukuran maksimum sekitar 1.440 byte (1.4 kB). Banyak file, bagaimanapun, lebih memblokir paket dari
besar dari 1 MB; dengan demikian, file sebesar itu dibagi menjadi ribuan paket. Setiap paket sumber tertentu yang
harus diberi label dengan benar sehingga seluruh file dapat dipasang kembali dengan benar di tidak diinginkan
tujuan. Informasi yang harus diselesaikan terdapat dalam header Transmission Control Protocol (misalnya, situs perjudian
(TCP), Internet Protocol (IP), dan Ethernet. Header TCP berisi kolom yang menentukan posisi atau porno yang
urutan paket tersebut dalam kaitannya dengan seluruh file dan nomor port (alamat) pada diketahui). Semua paket
perangkat pengirim dan penerima dari mana file tersebut berasal dan di mana ia akan dipasang lain dengan organisasi '
kembali. Header IP berisi kolom yang menentukan alamat jaringan (alamat IP) dari perangkat Alamat IP di bidang
pengirim dan penerima. Router adalah perangkat tujuan khusus yang dirancang untuk membaca tujuan diteruskan ke
bidang alamat sumber dan tujuan di header paket IP untuk memutuskan ke mana akan mengirim firewall utama untuk
(rute) paket berikutnya. Header Ethernet berisi alamat MAC dari perangkat pengirim dan penyaringan lebih lanjut.
penerima, yang digunakan untuk mengontrol aliran lalu lintas di jaringan area lokal (LAN). Aturan di ACL dinding
Router adalah perangkat tujuan khusus yang dirancang untuk membaca bidang alamat sumber api utama organisasi
dan tujuan di header paket IP untuk memutuskan ke mana akan mengirim (rute) paket melihat bidang lain di
berikutnya. Header Ethernet berisi alamat MAC dari perangkat pengirim dan penerima, yang header paket IP dan TCP
digunakan untuk mengontrol aliran lalu lintas di jaringan area lokal (LAN). Router adalah untuk menentukan apakah
perangkat tujuan khusus yang dirancang untuk membaca bidang alamat sumber dan tujuan di akan
header paket IP untuk memutuskan ke mana akan mengirim (rute) paket berikutnya. Header
Ethernet berisi alamat MAC dari perangkat pengirim dan penerima, yang digunakan untuk
mengontrol aliran lalu lintas di jaringan area lokal (LAN).

Mengontrol Akses dengan Menyaring Paket. Router dan firewall mengontrol akses dengan
memfilter paket individu. Organisasi memiliki satu atau lebih router perbatasan yang
menghubungkan jaringan internal mereka ke Penyedia Layanan Internet. Router perbatasan
tersebut dan firewall utama organisasi menggunakan sekumpulan aturan IF-THEN, yang
disebut Access Control List (ACL), untuk menentukan apa yang harus dilakukan dengan paket
yang datang. Router perbatasan harus memeriksa bidang alamat IP tujuan di header paket IP
untuk menentukan apakah paket tersebut ditujukan untuk organisasi atau harus diteruskan
kembali ke Internet. Jika alamat IP tujuan paket adalah organisasi, aturan di ACL router
router - Perangkat tujuan khusus yang dirancang untuk membaca bidang alamat sumber dan tujuan di header paket IP untuk
memutuskan ke mana akan mengirim (rute) paket berikutnya.

daftar kontrol akses (ACL) - Seperangkat aturan IF-THEN yang digunakan untuk menentukan apa yang harus dilakukan dengan
paket yang datang.

penyaringan paket - Proses yang
menggunakan berbagai bidang di
header IP dan TCP paket untuk
memutuskan apa yang harus
dilakukan dengan paket tersebut.
inspeksi paket yang dalam -
Proses yang memeriksa data dalam
tubuh paket TCP untuk mengontrol
lalu lintas, daripada hanya melihat
informasi di header IP dan TCP.
sistem pencegahan intrusi
(IPS) - Perangkat lunak atau
perangkat keras yang memantau
pola di file
arus lalu lintas untuk
mengidentifikasi dan secara
otomatis memblokir serangan.
memblokir paket masuk atau mengizinkannya masuk. Namun, perhatikan bahwa firewall
tidak memblokir semua lalu lintas, tetapi hanya memfilternya. Itulah mengapa semua
firewall pada Gambar 8-6 memiliki lubang di dalamnya-untuk menunjukkan bahwa jenis
lalu lintas tertentu dapat melewatinya.
Proses yang dijelaskan dalam paragraf sebelumnya tentang pemeriksaan berbagai bidang di
header IP dan TCP paket untuk memutuskan apa yang harus dilakukan dengan paket tersebut
disebut sebagai pemfilteran paket. Pemfilteran paket cepat dan dapat menangkap lalu lintas
yang jelas tidak diinginkan, tetapi efektivitasnya terbatas. Lalu lintas yang tidak diinginkan
dapat masuk jika alamat IP sumber tidak ada dalam daftar sumber yang tidak dapat diterima
atau jika pengirim dengan sengaja menyamarkan alamat sumber yang sebenarnya. Jadi, seperti
halnya penyensoran surat fisik lebih efektif jika setiap amplop atau paket dibuka dan diperiksa,
kontrol atas lalu lintas jaringan lebih efektif jika firewall memeriksa data aktual (yaitu, bagian
dari file yang terdapat dalam paket TCP), a proses yang disebut inspeksi paket dalam. Sebagai
contoh, firewall aplikasi web menggunakan inspeksi paket dalam untuk lebih melindungi server
web e-niaga organisasi dengan memeriksa konten paket masuk untuk mengizinkan permintaan
data menggunakan perintah "get" HTML, tetapi memblokir upaya untuk menggunakan perintah
"put" HTML yang dapat digunakan untuk merusak situs web. Kontrol tambahan yang
disediakan oleh inspeksi paket mendalam, bagaimanapun, datang dengan mengorbankan
kecepatan: Diperlukan lebih banyak waktu untuk memeriksa hingga 1,4 kB data dalam sebuah
paket daripada hanya 40 atau lebih byte dalam header IP dan TCP. Oleh karena itu, hanya
dinding api yang melakukan inspeksi paket dalam; router tidak. perintah yang dapat digunakan
untuk merusak situs web. Kontrol tambahan yang disediakan oleh inspeksi paket mendalam,
bagaimanapun, datang dengan mengorbankan kecepatan: Diperlukan lebih banyak waktu untuk
memeriksa hingga 1,4 kB data dalam sebuah paket daripada hanya 40 atau lebih byte dalam
header IP dan TCP. Oleh karena itu, hanya dinding api yang melakukan inspeksi paket dalam;
router tidak. perintah yang dapat digunakan untuk merusak situs web. Kontrol tambahan yang
disediakan oleh inspeksi paket mendalam, bagaimanapun, datang dengan mengorbankan
kecepatan: Diperlukan lebih banyak waktu untuk memeriksa hingga 1,4 kB data dalam sebuah
paket daripada hanya 40 atau lebih byte dalam header IP dan TCP. Oleh karena itu, hanya
dinding api yang melakukan inspeksi paket dalam; router tidak.
Sementara router dan firewall memeriksa paket individu, sistem pencegahan intrusi
jaringan (IPS) memantau pola arus lalu lintas untuk mengidentifikasi dan memblokir serangan
secara otomatis. Ini penting karena memeriksa pola lalu lintas seringkali merupakan satu-
satunya cara untuk mengidentifikasi aktivitas yang tidak diinginkan. Misalnya, firewall aplikasi
web yang melakukan inspeksi paket mendalam akan mengizinkan paket masuk yang berisi
perintah HTML yang diizinkan untuk menyambung ke TCP port 80 dan 443 di server web e-
niaga organisasi, tetapi akan memblokir semua paket masuk ke port TCP lain di web. server.
Tindakan firewall terbatas untuk melindungi server web. Sebaliknya, IPS jaringan dapat
mengidentifikasi bahwa urutan paket yang mencoba untuk terhubung ke berbagai port TCP
pada server web e-commerce merupakan indikator dari upaya untuk memindai dan memetakan
server web (langkah 3 dalam proses serangan yang ditargetkan seperti yang dibahas di awal bab
ini). IPS tidak hanya memblokir paket yang mengganggu, tetapi juga akan memblokir semua
lalu lintas berikutnya yang datang dari sumber itu dan memberi tahu administrator keamanan
bahwa percobaan pemindaian sedang berlangsung. Dengan demikian, IPS memberikan
kesempatan untuk merespon serangan secara real-time.
IPS jaringan terdiri dari sekumpulan sensor dan unit monitor pusat yang menganalisis data
yang dikumpulkan. Sensor harus dipasang di setiap segmen jaringan di mana pemantauan waktu
nyata diinginkan. Sebagai contoh, dengan arsitektur jaringan yang digambarkan pada Gambar
8-6, organisasi mungkin menempatkan sensor IPS pada DMZ, di belakang firewall utama, dan
di belakang setiap firewall yang digunakan untuk menyegmentasikan bagian dari jaringan
internal.
IPS menggunakan dua teknik utama untuk mengidentifikasi pola lalu lintas yang tidak
diinginkan. Pendekatan paling sederhana adalah membandingkan pola lalu lintas ke database
tanda tangan serangan yang diketahui. Pendekatan yang lebih rumit melibatkan pengembangan
profil lalu lintas "normal" dan menggunakan analisis statistik untuk mengidentifikasi paket yang
tidak sesuai dengan profil itu. Keindahan dari pendekatan ini adalah bahwa ia memblokir tidak
hanya serangan yang diketahui, yang tanda tangannya sudah ada, tetapi juga setiap serangan
baru yang melanggar standar.
Menggunakan Defense- tetapi juga memperkuat pengendalian internal dengan menyediakan sarana untuk menegakkan
in-Depth untuk pemisahan tugas.
Membatasi Akses
Jaringan. Penggunaan
perangkat pemfilteran
beberapa perimeter lebih
efisien dan efektif
daripada hanya
mengandalkan satu
perangkat. Jadi,
kebanyakan organisasi
menggunakan router
perbatasan untuk dengan
cepat menyaring paket
yang jelas buruk dan
meneruskan sisanya ke
firewall utama. Firewall
utama melakukan
pemeriksaan yang lebih
mendetail, dan kemudian
firewall lain melakukan
pemeriksaan paket
mendalam untuk lebih
melindungi perangkat
tertentu seperti server
web dan server email
organisasi. Selain itu, IPS
memantau lalu lintas yang
melewati firewall untuk
mengidentifikasi dan
memblokir pola lalu lintas
jaringan yang
mencurigakan yang
mungkin menunjukkan
bahwa serangan sedang
berlangsung.
Gambar 8-6
mengilustrasikan satu
dimensi lain dari konsep
pertahanan mendalam:
penggunaan beberapa
firewall internal untuk
menyegmentasikan
departemen yang berbeda
dalam organisasi.
Ingatlah bahwa banyak
insiden keamanan
melibatkan karyawan,
bukan orang luar.
Firewall internal
membantu membatasi
data dan bagian apa dari
sistem informasi
organisasi yang dapat
diakses oleh karyawan
tertentu. Ini tidak hanya
meningkatkan keamanan
MENGAMANKAN AKSES NIRKABEL Banyak organisasi juga menyediakan akses nirkabel ke
sistem informasi mereka. Akses nirkabel nyaman dan mudah, tetapi juga menyediakan tempat
lain untuk menyerang dan memperluas batas yang harus dilindungi. Misalnya, sejumlah
perusahaan telah mengalami insiden keamanan di mana penyusup memperoleh akses nirkabel
yang tidak sah ke jaringan perusahaan organisasi dari laptop sambil duduk di dalam mobil
yang diparkir di luar gedung.
Tidaklah cukup hanya memantau tempat parkir, karena sinyal nirkabel sering kali dapat
diambil dari jarak bermil-mil jauhnya. Gambar 8-6 menunjukkan bahwa bagian penting dari
mengamankan akses nirkabel adalah menempatkan semua titik akses nirkabel (perangkat yang
menerima komunikasi nirkabel yang masuk dan mengizinkan perangkat pengirim untuk
terhubung ke jaringan organisasi) di DMZ. Ini memperlakukan semua akses nirkabel seolah-olah
itu datang dari Internet dan memaksa semua lalu lintas nirkabel melalui firewall utama dan
semua IPS yang digunakan untuk melindungi perimeter jaringan internal. Selain itu, prosedur
berikut perlu diikuti untuk mengamankan akses nirkabel secara memadai:
• Aktifkan fitur keamanan yang tersedia. Sebagian besar peralatan nirkabel dijual dan dipasang dengan
fitur-fitur ini dinonaktifkan. Misalnya, konfigurasi penginstalan default untuk sebagian besar router
nirkabel tidak mengaktifkan enkripsi.
• Otentikasi semua perangkat yang mencoba membuat akses nirkabel ke jaringan sebelum
menetapkan alamat IP mereka. Ini dapat dilakukan dengan memperlakukan koneksi
nirkabel yang masuk sebagai upaya untuk mengakses jaringan dari Internet dan
merutekannya terlebih dahulu melalui server akses jarak jauh atau perangkat otentikasi
lainnya.
• Konfigurasikan semua perangkat nirkabel resmi untuk beroperasi hanya dalam mode
infrastruktur, yang memaksa perangkat untuk hanya terhubung ke titik akses nirkabel.
(Perangkat nirkabel juga bisa
diatur untuk beroperasi dalam mode ad hoc, yang memungkinkan mereka untuk
berkomunikasi secara langsung dengan perangkat nirkabel lainnya. Ini adalah ancaman
keamanan karena menciptakan jaringan peer-to-peer dengan sedikit atau tanpa kontrol
otentikasi.) Selain itu, tentukan dulu daftar alamat MAC resmi, dan konfigurasikan titik
akses nirkabel untuk menerima koneksi hanya jika alamat MAC perangkat ada di daftar
resmi.
• Gunakan nama noninformatif untuk alamat titik akses, yang disebut service set identifier
(SSID). SSID seperti "payroll", "finance", atau "R&D" adalah sasaran yang lebih jelas
untuk diserang daripada perangkat dengan SSID generik seperti "Al" atau "X2".
• Kurangi kekuatan siaran titik akses nirkabel, temukan lokasinya di bagian dalam gedung,
dan gunakan antena pengarah untuk mempersulit penerimaan yang tidak sah di luar lokasi.
Cat khusus dan kaca film juga dapat digunakan untuk menampung sinyal nirkabel di dalam
gedung.
• Enkripsi semua lalu lintas nirkabel. Ini sangat penting untuk melindungi kerahasiaan dan
privasi komunikasi nirkabel karena mereka dikirim "melalui udara" dan, oleh karena itu,
secara inheren rentan terhadap intersepsi yang tidak sah.
Terakhir, mudah dan murah bagi karyawan untuk memasang titik akses nirkabel tidak
resmi di kantor mereka. Oleh karena itu, staf keamanan informasi atau audit internal harus
secara berkala menguji keberadaan titik akses nakal tersebut, menonaktifkan apa pun yang
ditemukan, dan secara tepat mendisiplinkan karyawan yang bertanggung jawab untuk
memasangnya.

SOLUSI TI: KONTROL PENGERAS PERANGKAT DAN

PERANGKAT LUNAK KONFIGURASI
ENDPOINT Endpoint
Firewall dan IPS dirancang untuk melindungi perimeter jaringan. Namun, seperti banyak dapat dibuat lebih aman
rumah dan bisnis yang melengkapi kunci pintu eksterior dan sistem alarm dengan lemari dengan memodifikasi
terkunci dan brankas untuk menyimpan barang berharga, organisasi dapat meningkatkan konfigurasinya.
keamanan sistem informasi dengan melengkapi kontrol pencegahan pada perimeter jaringan Konfigurasi default pada
dengan kontrol pencegahan tambahan pada workstation, server. , printer, dan perangkat lain kebanyakan perangkat
(secara kolektif disebut sebagai titik akhir) yang membentuk jaringan organisasi. Praktik biasanya mengaktifkan
manajemen COBIT 5 DSS05.03 menjelaskan aktivitas yang terlibat dalam mengelola sejumlah besar
keamanan titik akhir. Tiga area yang perlu mendapat perhatian khusus: (l) konfigurasi titik
akhir, (2) manajemen akun pengguna, dan (3) desain perangkat lunak.
pengaturan opsional yang jarang, jika pernah, digunakan. Begitu pula dengan instalasi
bawaan banyak operasi

titik akhir - Istilah kolektif untuk

workstation, server, printer, dan
perangkat lain yang termasuk dalam
jaringan organisasi.

kerentanan - Cacat dalam program
yang dapat dieksploitasi untuk
merusak sistem atau mengambil
alihnya.
pemindai kerentanan - Alat
terautomasi yang dirancang untuk
mengidentifikasi apakah sistem
tertentu memiliki program yang
tidak digunakan dan tidak
diperlukan yang mewakili potensi
ancaman keamanan.
mengeksploitasi - Program yang
dirancang untuk memanfaatkan
kerentanan yang diketahui.
tambalan - Kode yang
dikeluarkan oleh pengembang
perangkat lunak yang memperbaiki
kerentanan tertentu.
manajemen patch - Proses
penerapan tambalan dan
pembaruan perangkat lunak
secara teratur.
pengerasan - Proses
memodifikasi konfigurasi default
titik akhir untuk menghilangkan
pengaturan dan layanan yang tidak
perlu.
sistem mengaktifkan banyak program tujuan khusus, yang disebut layanan, yang tidak penting.
Mengaktifkan fitur yang tidak perlu dan layanan tambahan membuat penginstalan lebih
mungkin berhasil tanpa memerlukan dukungan pelanggan. Kenyamanan ini, bagaimanapun,
datang dengan mengorbankan menciptakan kelemahan keamanan. Setiap program yang sedang
berjalan mewakili titik serangan yang potensial karena program tersebut mungkin berisi
kekurangan, yang disebut kerentanan, yang dapat dieksploitasi untuk merusak sistem atau
mengendalikannya. Oleh karena itu, program dan fitur opsional yang tidak digunakan harus
dinonaktifkan. Alat yang disebut pemindai kerentanan dapat digunakan untuk mengidentifikasi
program yang tidak digunakan dan, oleh karena itu, program yang tidak perlu yang mewakili
potensi ancaman keamanan.
Ukuran dan kompleksitas program perangkat lunak yang terus meningkat hampir menjamin
bahwa program tersebut mengandung banyak kerentanan. Untuk memahami alasannya,
pertimbangkan bahwa banyak program berisi jutaan baris kode. Bahkan jika kode itu 99,99%
bebas dari "bug", itu berarti bahwa untuk setiap juta baris kode kemungkinan ada 100 masalah
yang mungkin terjadi yang dapat menunjukkan kerentanan. Itulah mengapa penyerang dan
firma konsultan keamanan terus-menerus menguji kerentanan dalam perangkat lunak yang
banyak digunakan. Setelah kerentanan teridentifikasi, penting untuk mengambil langkah tepat
waktu untuk memulihkannya karena tidak akan lama sebelum eksploitasi, yang merupakan
program yang dirancang untuk memanfaatkan kerentanan yang diketahui, dibuat. Meskipun
dibutuhkan keterampilan yang cukup untuk membuat eksploitasi,
Ketersediaan luas banyak eksploitasi dan kemudahan penggunaannya membuat
organisasi perlu mengambil langkah-langkah untuk segera memperbaiki kerentanan yang
diketahui dalam perangkat lunak yang mereka gunakan. Tambalan adalah kode yang
dikeluarkan oleh pengembang perangkat lunak yang memperbaiki kerentanan tertentu.
Manajemen patch adalah proses untuk menerapkan patch dan update secara teratur ke
semua perangkat lunak yang digunakan oleh organisasi. Ini tidak sesederhana
kedengarannya. Tambalan mewakili modifikasi pada perangkat lunak yang sudah
kompleks. Akibatnya, tambalan terkadang menimbulkan masalah baru karena efek samping
yang tidak terduga. Oleh karena itu, organisasi perlu secara hati-hati menguji pengaruh
patch sebelum menerapkannya; jika tidak, mereka berisiko merusak aplikasi penting.
Masalah rumit lainnya adalah kenyataan bahwa kemungkinan ada beberapa patch yang
dirilis setiap tahun untuk setiap program perangkat lunak yang digunakan oleh sebuah
organisasi. Dengan demikian, organisasi mungkin menghadapi tugas untuk menerapkan
ratusan tambalan ke ribuan mesin setiap tahun. Ini adalah salah satu bidang di mana IPS
sangat menjanjikan. Jika IPS dapat dengan cepat diperbarui dengan informasi yang
diperlukan untuk menanggapi kerentanan baru dan memblokir eksploitasi baru, organisasi
dapat menggunakan IPS untuk membeli waktu yang diperlukan untuk menguji patch secara
menyeluruh sebelum menerapkannya.
Proses memodifikasi konfigurasi default titik akhir untuk menghilangkan pengaturan dan
layanan yang tidak perlu ini disebut pengerasan. Selain pengerasan, setiap titik akhir harus
menjalankan perangkat lunak antivirus dan firewall yang diperbarui secara berkala. Mungkin
juga diinginkan untuk menginstal perangkat lunak pencegahan intrusi secara langsung di titik
akhir untuk mencegah upaya yang tidak sah untuk mengubah konfigurasi perangkat yang
diperkuat.
Tren mengizinkan karyawan untuk menggunakan perangkat pribadi mereka sendiri
(smartphone, tablet, dll.) Di tempat kerja, disebut sebagai Bring Your Own Device (BYOD),
membuat konfigurasi titik akhir jauh lebih kompleks untuk dikelola secara efektif. Fokus 8-2
membahas masalah konfigurasi perangkat seluler dengan benar.
MANAJEMEN AKUN PENGGUNA Praktik manajemen COBIT 5 DSS05.04 menekankan perlunya
mengelola semua akun pengguna dengan hati-hati, terutama akun yang memiliki hak tidak
terbatas (administratif) di komputer tersebut. Hak administratif diperlukan untuk menginstal
perangkat lunak dan mengubah sebagian besar pengaturan konfigurasi. Kemampuan kuat ini
membuat akun dengan hak administratif menjadi sasaran utama bagi penyerang. Oleh karena
itu, karyawan yang membutuhkan kekuatan administratif pada komputer tertentu harus
diberikan dua akun: satu dengan hak administratif dan satu lagi yang hanya memiliki hak
istimewa terbatas. Para karyawan ini harus dilatih untuk masuk dengan akun terbatas mereka
untuk melakukan tugas rutin sehari-hari dan masuk ke akun administratif mereka hanya ketika
mereka perlu melakukan beberapa tindakan, seperti menginstal perangkat lunak baru, yang
memerlukan hak administratif. Sangat penting bagi karyawan untuk menggunakan akun
pengguna biasa yang istimewa sebelum dapat diselesaikan. Sebaliknya, jika karyawan tersebut menggunakan akun
terbatas saat menjelajahi dengan hak administratif, malware akan benar-benar membahayakan perangkat sebelum ada
web atau membaca email.
Dengan cara ini, jika
karyawan mengunjungi
situs webnya yang
disusupi atau membuka
email yang terinfeksi,
penyerang hanya akan
memperoleh hak terbatas
atas mesin tersebut.
Meskipun penyerang
dapat menggunakan alat
lain untuk mendapatkan
hak administratif pada
mesin tersebut, kontrol
keamanan lain mungkin
mendeteksi dan
menggagalkan upaya
untuk meningkatkan hak
istimewa sebelum dapat
diselesaikan. Sebaliknya,
jika karyawan tersebut
menggunakan akun
dengan hak administratif,
malware akan benar-
benar membahayakan
perangkat sebelum ada
penyerang hanya akan
mendapatkan hak terbatas
atas mesin tersebut.
Meskipun penyerang
dapat menggunakan alat
lain untuk mendapatkan
hak administratif pada
mesin tersebut, kontrol
keamanan lain mungkin
mendeteksi dan
menggagalkan upaya
untuk meningkatkan hak
istimewa sebelum dapat
diselesaikan. Sebaliknya,
jika karyawan tersebut
menggunakan akun
dengan hak administratif,
malware akan benar-
benar membahayakan
perangkat sebelum ada
penyerang hanya akan
mendapatkan hak terbatas
atas mesin tersebut.
Meskipun penyerang
dapat menggunakan alat
lain untuk mendapatkan
hak administratif pada
mesin tersebut, kontrol
keamanan lain mungkin
mendeteksi dan
menggagalkan upaya
untuk meningkatkan hak
 FOKUS 8-2 Konfigurasi Aman Perangkat Seluler
Sebagian besar konsumen tidak mengonfigurasi perangkat 3. Perangkat Lunak Perusak. Ancaman: infeksi, yang dapat
seluler mereka dengan aman. Hal ini tidak hanya menyebar ke jaringan perusahaan. Solusi: Sediakan
menimbulkan risiko pribadi, seperti pencurian identitas, perangkat lunak keamanan karyawan (antivirus dan firewall)
tetapi juga meningkatkan risiko bagi pemberi kerja yang dan minta mereka untuk menginstalnya di perangkat seluler
mengizinkan karyawan menggunakan perangkat seluler apa pun yang akan digunakan untuk mengakses jaringan
pribadinya untuk mengakses jaringan perusahaan. Masalah perusahaan. Latih juga karyawan untuk memperbarui
utama dan solusinya adalah sebagai berikut: perangkat lunak keamanan dan sistem operasi perangkat
mereka secara rutin.
1. Otentikasi lemah atau tidak ada. Ancaman: akses tidak sah ke
4. Kehilangan atau pencurian. Ancaman: akses tidak sah ke data
jaringan perusahaan. Solusi: minta karyawan untuk
sensitif di perangkat. Solusi: Aktifkan enkripsi data yang
mengkonfigurasi perangkat seluler pribadi yang ingin
disimpan. Juga konfigurasikan perangkat agar dinonaktifkan
mereka gunakan untuk terhubung ke jaringan perusahaan
dari jarak jauh jika hilang atau dicuri.
untuk menggunakan kata sandi yang memenuhi kebijakan
5. Penggunaan tidak aman. Ancaman: peningkatan risiko
kata sandi perusahaan untuk otentikasi. Konfigurasikan juga
insiden keamanan. Solusi: Kembangkan kebijakan
perangkat untuk menutupi bidang kata sandi dan untuk
komprehensif untuk penggunaan perangkat seluler yang
mengaktifkan kunci layar setelah tidak ada aktivitas dalam
aman. Latih karyawan tentang kebijakan tersebut. Pantau
waktu lama.
kepatuhan dan terapkan sanksi yang sesuai (misalnya, hapus
2. Kegagalan untuk mengenkripsi transmisi sensitif. Ancaman:
hak istimewa menggunakan perangkat pribadi) untuk
menguping. Solusi: Wajibkan karyawan untuk mengaktifkan
pelanggaran kebijakan.
enkripsi setiap kali menggunakan perangkat seluler mereka
untuk mengirimkan informasi perusahaan yang sensitif, dan
memberikan pelatihan tentang cara melakukannya.

kontrol lain dapat mendeteksi bahwa ada masalah. Terakhir, penting untuk mengubah sandi
yang salah pada semua akun administratif yang dibuat selama penginstalan awal perangkat
lunak atau perangkat keras apa pun karena nama akun dan sandi defaultnya tersedia untuk
umum di Internet dan dengan demikian memberikan cara mudah bagi penyerang untuk
kompromi sistem.

DESAIN PERANGKAT LUNAK Karena organisasi telah meningkatkan efektivitas kontrol

keamanan perimeter mereka, penyerang semakin menargetkan kerentanan dalam program
aplikasi. Buffer overflows, SQL injection, dan cross-site scripting adalah contoh umum
serangan terhadap perangkat lunak yang berjalan di situs web. Semua serangan ini
mengeksploitasi perangkat lunak yang ditulis dengan buruk yang tidak memeriksa input yang
diberikan pengguna secara menyeluruh sebelum diproses lebih lanjut. Pertimbangkan tugas
umum untuk meminta masukan pengguna seperti nama dan alamat. Kebanyakan program
menyisihkan sejumlah memori tetap, disebut sebagai buffer, untuk menampung input
pengguna. Namun, jika program tidak dengan hati-hati memeriksa ukuran data yang
dimasukkan, penyerang dapat memasukkan berkali-kali jumlah data yang diantisipasi dan
meluap buffer. Data berlebih dapat ditulis ke area memori yang biasanya digunakan untuk
menyimpan dan menjalankan perintah. Dalam kasus seperti itu, penyerang mungkin dapat
mengambil kendali mesin dengan mengirimkan perintah yang dibuat dengan hati-hati dalam
data berlebih. Demikian pula, serangan injeksi SQL terjadi setiap kali perangkat lunak aplikasi
web yang berinteraksi dengan server basis data tidak memfilter masukan pengguna, sehingga
memungkinkan penyerang untuk menyematkan perintah SQL dalam permintaan entri data dan
menjalankan perintah tersebut pada server basis data. Serangan skrip lintas situs terjadi saat
perangkat lunak aplikasi web tidak secara hati-hati memfilter masukan pengguna sebelum
mengembalikan data apa pun ke browser, dalam hal ini browser korban akan menjalankan
skrip berbahaya yang disematkan. penyerang mungkin dapat mengambil kendali mesin dengan
mengirimkan perintah yang dibuat dengan hati-hati dalam data berlebih. Demikian pula,
serangan injeksi SQL terjadi setiap kali perangkat lunak aplikasi web yang berinteraksi dengan
server basis data tidak memfilter masukan pengguna, sehingga memungkinkan penyerang
untuk menyematkan perintah SQL dalam permintaan entri data dan menjalankan perintah
tersebut pada server basis data. Serangan skrip lintas situs terjadi saat perangkat lunak aplikasi
web tidak secara hati-hati memfilter masukan pengguna sebelum mengembalikan data apa pun
ke browser, dalam hal ini browser korban akan menjalankan skrip berbahaya yang disematkan.
penyerang mungkin dapat mengambil kendali mesin dengan mengirimkan perintah yang dibuat
dengan hati-hati dalam data berlebih. Demikian pula, serangan injeksi SQL terjadi setiap kali
perangkat lunak aplikasi web yang berinteraksi dengan server basis data tidak memfilter
masukan pengguna, sehingga memungkinkan penyerang untuk menyematkan perintah SQL
dalam permintaan entri data dan menjalankan perintah tersebut pada server basis data.
Serangan skrip lintas situs terjadi saat perangkat lunak aplikasi web tidak secara hati-hati
memfilter masukan pengguna sebelum mengembalikan data apa pun ke browser, dalam hal ini
browser korban akan menjalankan skrip berbahaya yang disematkan. dengan demikian
memungkinkan penyerang untuk menanamkan perintah SQL dalam permintaan entri data dan
menjalankan perintah tersebut di server database. Serangan skrip lintas situs terjadi saat
perangkat lunak aplikasi web tidak secara hati-hati memfilter masukan pengguna sebelum
mengembalikan data apa pun ke browser, dalam hal ini browser korban akan menjalankan
skrip berbahaya yang disematkan. dengan demikian memungkinkan penyerang untuk
menanamkan perintah SQL dalam permintaan entri data dan menjalankan perintah tersebut di
server database. Serangan skrip lintas situs terjadi saat perangkat lunak aplikasi web tidak
secara hati-hati memfilter masukan pengguna sebelum mengembalikan data apa pun ke
browser, dalam hal ini browser korban akan menjalankan skrip berbahaya yang disematkan.
Tema umum dalam semua serangan ini adalah kegagalan untuk "menghapus" masukan
pengguna untuk menghapus kode yang berpotensi berbahaya. Oleh karena itu, programmer
harus dilatih untuk memperlakukan semua masukan dari pengguna eksternal sebagai tidak
dapat dipercaya dan untuk memeriksanya dengan cermat sebelum melakukan tindakan lebih
lanjut. Teknik pemrograman yang buruk tidak hanya memengaruhi kode yang dibuat secara
internal tetapi juga perangkat lunak yang dibeli dari pihak ketiga. Akibatnya, bagian BAI03
dari kerangka kerja COBIT 5 menetapkan kebutuhan untuk merancang keamanan secara hati-
hati ke dalam semua aplikasi baru dan bagian APO10 menetapkan praktik terbaik untuk
mengelola risiko yang terkait dengan pembelian perangkat lunak.
 SOLUSI IT: ENKRIPSI
Enkripsi menyediakan lapisan pertahanan terakhir untuk mencegah akses tidak sah ke
informasi sensitif. Kami membahas enkripsi secara lebih rinci di Bab 9 karena pentingnya
mencapai prinsip keamanan dalam melindungi kerahasiaan informasi organisasi dan privasi
informasi pribadi yang dikumpulkan dari pelanggan, karyawan, dan mitra bisnis.

KEAMANAN FISIK: KONTROL AKSES

Sangatlah penting untuk mengontrol akses fisik ke sumber daya informasi. Penyerang yang
terampil hanya memerlukan beberapa menit akses fisik langsung tanpa pengawasan untuk
melewati kendali keamanan informasi yang ada. Misalnya, penyerang dengan akses fisik
langsung tanpa pengawasan dapat menginstal perangkat pencatatan keystroke yang menangkap
kredensial otentikasi pengguna, sehingga memungkinkan penyerang untuk kemudian
mendapatkan akses tidak sah ke sistem dengan menyamar sebagai pengguna yang sah.
Seseorang dengan akses fisik yang tidak diawasi juga dapat memasukkan disk "boot" khusus
yang menyediakan akses langsung ke setiap file di komputer dan kemudian menyalin file
sensitif ke perangkat portabel seperti drive USB atau iPod. Kalau tidak, penyerang dengan akses
fisik yang tidak dilindungi dapat dengan mudah melepas hard drive atau bahkan mencuri
seluruh komputer. Kami sekarang menjelaskan beberapa kontrol akses fisik terpenting yang
dibahas dalam praktik manajemen COBIT 5 DSS05.05.
Kontrol akses fisik dimulai dengan titik masuk ke gedung itu sendiri. Idealnya, hanya ada
satu titik masuk biasa yang tetap tidak terkunci selama jam kerja normal. Kode kebakaran
biasanya memerlukan pintu keluar darurat tambahan, tetapi ini seharusnya tidak mengizinkan
masuk dari luar dan harus dihubungkan ke sistem alarm yang secara otomatis dipicu setiap kali
pintu keluar kebakaran dibuka. Selain itu, resepsionis atau penjaga keamanan harus ditempatkan
di pintu masuk utama untuk memverifikasi identitas karyawan. Pengunjung harus diminta untuk
masuk dan dikawal oleh seorang karyawan ke mana pun mereka pergi di dalam gedung.
Begitu berada di dalam gedung, akses fisik ke ruangan yang menampung peralatan
komputer juga harus dibatasi. Kamar-kamar ini harus dikunci dengan aman dan semua pintu
masuk / keluar dipantau oleh sistem televisi sirkuit tertutup. Beberapa upaya akses yang
gagal akan memicu alarm. Kamar yang menampung server yang berisi data sensitif khusus
harus melengkapi kunci biasa dengan pembaca kartu teknologi yang lebih kuat, keypad
numerik, atau berbagai perangkat biometrik, seperti pemindai iris atau retina, pembaca sidik
jari, atau pengenalan suara. Fokus 8-3 menjelaskan satu set kontrol akses fisik yang sangat
rumit yang disebut sebagai man-trap.
Akses ke kabel yang digunakan di LAN organisasi juga perlu dibatasi untuk mencegah
penyadapan. Itu berarti bahwa kabel dan perkabelan tidak boleh diekspos di area yang dapat
diakses oleh pengunjung biasa. Lemari kabel yang berisi peralatan telekomunikasi perlu

FOKUS 8-3 Mengontrol Akses Fisik dengan Man-Traps

Lembaga keuangan, kontraktor pertahanan, dan berbagai
badan intelijen menyimpan data yang sangat berharga.
Oleh karena itu, mereka sering kali perlu menggunakan
langkah-langkah kontrol akses fisik yang lebih jelas ke
pusat data mereka daripada yang digunakan oleh
kebanyakan organisasi lain. Salah satu teknik tersebut
melibatkan penggunaan ruangan yang dirancang khusus
yang disebut man-traps. Ruangan ini biasanya memiliki
dua pintu, yang masing-masing menggunakan beberapa
metode otentikasi untuk mengontrol akses. Misalnya,
masuk ke pintu pertama mungkin mengharuskan orang
tersebut memasukkan kartu ID atau kartu pintar ke
pembaca dan memasukkan kode identifikasi ke keypad.
Otentikasi yang berhasil membuka yang pertama
pintu dan menyediakan akses ke ruang masuk. Begitu berada di
dalam ruangan, pintu pertama secara otomatis menutup di
belakang orang tersebut, terkunci, dan tidak dapat dibuka dari
dalam ruangan. Pintu lainnya, yang membuka ke pusat data,
juga terkunci. Jadi, orang tersebut sekarang terperangkap di
ruangan kecil ini (oleh karena itu dinamakan man-trap). Satu-
satunya jalan keluar adalah dengan berhasil melewati rangkaian
kontrol otentikasi kedua yang membatasi akses melalui pintu
menuju pusat data. Biasanya, ini melibatkan otentikasi
multifaktor yang menyertakan kredensial biometrik. Kegagalan
untuk melewati rangkaian tes kedua ini membuat orang tersebut
berada di dalam ruangan sampai anggota staf keamanan tiba.
dikunci dengan aman. Jika lemari kabel digunakan bersama dengan penyewa lain di gedung
kantor, organisasi harus menempatkan peralatan telekomunikasi di dalam sangkar baja yang
terkunci untuk mencegah akses fisik yang tidak sah oleh orang lain yang memiliki akses ke
lemari kabel tersebut. Soket dinding yang tidak digunakan saat ini harus diputuskan secara
fisik dari jaringan untuk mencegah seseorang mencolokkan laptopnya dan mencoba
mengakses jaringan.
Laptop, ponsel, dan tablet memerlukan perhatian khusus pada keamanan fisiknya karena
sering menyimpan informasi sensitif dan mudah hilang atau dicuri. Biaya utama bukanlah
harga penggantian perangkat, melainkan hilangnya informasi rahasia yang dikandungnya dan
biaya untuk memberi tahu mereka yang terkena dampak. Seringkali, perusahaan juga harus
membayar layanan pemantauan kredit untuk pelanggan yang informasi pribadinya hilang atau
dicuri. Bahkan mungkin ada tuntutan hukum class action dan denda oleh badan pengatur.
Idealnya, karyawan tidak boleh menyimpan informasi sensitif apa pun di laptop atau
perangkat pribadi lainnya. Jika informasi organisasi yang sensitif harus disimpan di laptop atau
perangkat portabel lainnya, itu harus dienkripsi sehingga jika perangkat hilang atau dicuri,
informasi tersebut tidak dapat diakses. Untuk menghadapi ancaman pencurian laptop, karyawan
harus dilatih untuk selalu mengunci laptopnya pada benda tak bergerak. Hal ini diperlukan
bahkan saat berada di kantor, karena ada kasus di mana pencuri yang menyamar sebagai
petugas kebersihan mencuri laptop dan peralatan lain selama jam kerja. Beberapa organisasi
juga memasang perangkat lunak khusus pada laptop dan perangkat seluler lainnya yang
mengirimkan pesan ke server keamanan setiap kali perangkat terhubung ke Internet. Kemudian,
jika perangkat hilang atau dicuri, lokasinya dapat diidentifikasi saat tersambung ke Internet.
Server keamanan juga dapat mengirim pesan balasan yang secara permanen menghapus semua
informasi yang disimpan di perangkat.
Praktik manajemen COBIT 5 DSS05.06 menekankan pentingnya juga membatasi
akses fisik ke printer jaringan, karena mereka sering menyimpan gambar dokumen pada
hard drive mereka. Ada kasus di mana penyusup telah mencuri hard drive di printer
tersebut, sehingga mendapatkan akses ke informasi sensitif.
Akhirnya, cara yang sangat menjanjikan untuk mencapai pertahanan mendalam adalah
dengan mengintegrasikan sistem kendali akses fisik dan jarak jauh. Misalnya, jika organisasi
menggunakan keypad, pembaca kartu atau lencana, atau pengenal biometrik untuk
mengontrol dan mencatat akses fisik ke kantor, data tersebut harus digunakan saat
menerapkan kontrol akses jarak jauh. Ini akan mengidentifikasi situasi yang mungkin
mewakili pelanggaran keamanan, seperti ketika seorang karyawan yang seharusnya berada
di dalam kantor secara bersamaan mencoba masuk ke sistem dari jarak jauh dari lokasi lain
yang secara geografis jauh.

Mendeteksi
Serangan
Seperti disebutkan sebelumnya, kontrol pencegahan tidak pernah 100% efektif dalam
memblokir semua serangan. Oleh karena itu, praktik manajemen COBIT 5 DSS05.07
menjelaskan aktivitas yang juga diperlukan organisasi untuk memungkinkan deteksi intrusi
dan masalah secara tepat waktu. Bagian ini membahas tiga jenis kontrol detektif yang
tercantum dalam Tabel 8-1: analisis log, sistem deteksi intrusi, dan pemantauan berkelanjutan.
ANALISIS LOG untuk menentukan alasan
usaha log-on yang gagal
Sebagian besar sistem hadir dengan kemampuan ekstensif untuk mencatat siapa yang
ini. Satu penjelasan yang
mengakses sistem dan tindakan spesifik apa yang dilakukan setiap pengguna. Log ini
mungkin adalah bahwa
membentuk jejak audit akses sistem. Seperti jejak audit lainnya, log hanya bernilai jika
rjones adalah pengguna
diperiksa secara rutin. Analisis log adalah proses memeriksa log untuk mengidentifikasi bukti
sah yang lupa kata
kemungkinan serangan.
sandinya. Kemungkinan
Sangat penting untuk menganalisis log dari upaya yang gagal untuk masuk ke sistem
lain adalah bahwa rjones
dan upaya yang gagal untuk mendapatkan akses ke sumber informasi tertentu. Sebagai
adalah pengguna yang
contoh, Gambar 8-8 menyajikan bagian log keamanan dari komputer yang menjalankan
sah tetapi tidak diizinkan
sistem operasi Windows yang menunjukkan bahwa pengguna bernama "rjones" gagal
untuk mengakses server
mencoba masuk ke komputer bernama "server penggajian." Tujuan dari analisis log adalah
penggajian. Namun
kemungkinan lain adalah bahwa ini mungkin merupakan upaya serangan oleh pengguna
yang tidak sah.
GAMBAR 8-8
Contoh Sistem
Catatan
sistem deteksi intrusi (IDS) -
Sistem yang membuat log dari
semua lalu lintas jaringan yang
diizinkan melewati dinding api dan
kemudian menganalisis log tersebut
untuk mencari tanda-tanda upaya
atau upaya penyusupan yang
berhasil.
analisis log - Proses pemeriksaan
log untuk mengidentifikasi bukti
kemungkinan serangan.
Penting juga untuk menganalisis perubahan pada log itu sendiri (yaitu, "untuk
mengaudit jejak audit"). Catatan log dibuat secara rutin setiap kali peristiwa yang sesuai
terjadi. Namun, catatan log biasanya tidak dihapus atau diperbarui. Oleh karena itu,
menemukan perubahan seperti itu pada file log menunjukkan bahwa sistem kemungkinan
besar telah disusupi.
Log perlu dianalisis secara teratur untuk mendeteksi masalah secara tepat waktu. Ini
tidak mudah, karena ukuran kayu gelondongan dapat bertambah dengan cepat. Masalah
lainnya adalah banyak perangkat menghasilkan log dengan format berpemilik, sehingga sulit
untuk menghubungkan dan meringkas log dari perangkat yang berbeda. Alat perangkat
lunak seperti sistem manajemen log dan sistem manajemen informasi keamanan berusaha
untuk mengatasi masalah ini dengan mengubah format log khusus vendor menjadi
representasi umum dan menghasilkan laporan yang menghubungkan dan meringkas
informasi dari berbagai sumber. Namun demikian, analisis log pada akhirnya membutuhkan
penilaian manusia untuk menafsirkan laporan dan mengidentifikasi situasi yang tidak
"normal".
SISTEM DETEKSI INTRUSI
Sistem deteksi intrusi jaringan (IDS) terdiri dari sekumpulan sensor dan unit pemantauan pusat
yang membuat log lalu lintas jaringan yang diizinkan untuk melewati firewall dan kemudian
menganalisis log tersebut untuk mencari tanda-tanda upaya atau upaya intrusi yang berhasil.
Seperti IPS jaringan, IDS jaringan berfungsi dengan membandingkan lalu lintas yang diamati
dengan basis aturannya. Selain itu, IDS dapat diinstal pada perangkat tertentu untuk memantau
upaya tidak sah untuk mengubah konfigurasi perangkat itu. Perbedaan utama antara IDS dan
IPS adalah bahwa IDS hanya menghasilkan peringatan jika mendeteksi pola lalu lintas
jaringan yang mencurigakan; Terserah manusia yang bertanggung jawab untuk memantau IDS
untuk memutuskan tindakan apa yang harus diambil. Sebaliknya, IPS tidak hanya
mengeluarkan peringatan tetapi juga secara otomatis mengambil langkah untuk menghentikan
serangan yang dicurigai.
P manajemen merancang laporan efektif yang menyoroti bidang yang paling membutuhkan
E perhatian.
M
A
N
T
A
U
A
N

T
E
R
U
S

M
E
N
E
R
U
S
Praktik manajemen
COBIT 5 APOOl.O8
menekankan pentingnya
terus memantau
kepatuhan karyawan
terhadap kebijakan
keamanan informasi
organisasi dan kinerja
keseluruhan proses
bisnis. Pemantauan
semacam itu adalah
kontrol detektif penting
yang dapat
mengidentifikasi potensi
masalah secara tepat
waktu dan
mengidentifikasi peluang
untuk meningkatkan
kontrol yang ada.
Mengukur kepatuhan
terhadap kebijakan
sangatlah mudah, tetapi
memantau kinerja secara
efektif membutuhkan
pertimbangan dan
keterampilan. Akuntan
dapat memberikan nilai
dengan memanfaatkan
diskusi COBIT 5 tentang
kemungkinan metrik
untuk mengevaluasi
keamanan informasi
guna membantu
Menanggapi Serangan
Deteksi masalah tepat waktu, meskipun penting, tidaklah cukup. Seperti yang dijelaskan oleh praktik
manajemen COBIT 5 MEA01.05, organisasi juga memerlukan prosedur untuk melakukan tindakan
korektif tepat waktu. Banyak kontrol korektif, bagaimanapun, bergantung pada penilaian manusia.
Akibatnya, keefektifannya sangat bergantung pada perencanaan dan persiapan yang tepat. Itulah
sebabnya CO-BIT 5 mencurahkan dua bagian untuk keseluruhan proses untuk mengelola dan
menanggapi insiden (DSS02) dan masalah (DSS03). Kami sekarang membahas dua kontrol yang
sangat penting yang tercantum dalam Tabel 8-1: (1) pembentukan tim respons insiden komputer
(CIRT), dan (2) penunjukan individu tertentu, biasanya disebut sebagai Chief Information Security
Officer (CISO) , dengan tanggung jawab seluruh organisasi untuk keamanan informasi.
TIM PENANGGULANGAN INSIDEN KOMPUTER jawab atas keamanan
(CIRT) informasi kepada
seseorang pada tingkat
Komponen kunci untuk dapat menanggapi insiden keamanan dengan cepat dan efektif adalah manajemen senior yang
pembentukan tim tanggapan insiden komputer (CIRT). CIRT harus mencakup tidak hanya sesuai karena organisasi
spesialis teknis tetapi juga manajemen operasi senior, karena beberapa potensi tanggapan itu
terhadap insiden keamanan memiliki konsekuensi ekonomi yang signifikan. Misalnya, mungkin
perlu mematikan sementara server e-niaga. Keputusan untuk melakukannya terlalu penting
untuk diserahkan pada kebijaksanaan staf keamanan TI; hanya manajemen operasi yang
memiliki pengetahuan yang luas untuk mengevaluasi dengan tepat biaya dan manfaat dari
tindakan tersebut, dan hanya manajemen operasi yang memiliki kewenangan untuk membuat
keputusan tersebut.
CIRT harus memimpin proses respons insiden organisasi melalui empat langkah berikut:
1. Pengakuan bahwa ada masalah. Biasanya, ini terjadi ketika IPS atau IDS memberi sinyal
peringatan, tetapi juga bisa menjadi hasil analisis log oleh administrator sistem.
2. Penahanan dari masalah tersebut. Setelah gangguan terdeteksi, tindakan cepat diperlukan
untuk menghentikannya dan menahan kerusakan.
3. Pemulihan. Kerusakan akibat serangan itu harus diperbaiki. Ini mungkin melibatkan
penghapusan malware apa pun dan memulihkan data dari cadangan dan menginstal ulang
program yang rusak. Kami akan membahas prosedur backup dan pemulihan bencana secara
lebih rinci di Bab 10.
4. Mengikuti. Setelah pemulihan dalam proses, CIRT harus memimpin analisis tentang
bagaimana insiden itu terjadi. Langkah-langkah mungkin perlu diambil untuk mengubah
kebijakan dan prosedur keamanan yang ada untuk meminimalkan kemungkinan insiden
serupa terjadi di masa depan. Keputusan penting yang perlu diambil adalah apakah akan
mencoba menangkap dan menghukum pelaku. Jika organisasi memutuskan ingin mengadili
penyerang, organisasi perlu segera melibatkan ahli forensik untuk memastikan bahwa
semua bukti yang mungkin dikumpulkan dan dipelihara sedemikian rupa sehingga dapat
digunakan di pengadilan.
Komunikasi sangat penting di seluruh empat langkah dalam proses respons insiden. Oleh
karena itu, diperlukan beberapa metode untuk memberi tahu anggota CIRT. Misalnya, IPS dan
IDS mungkin dikonfigurasi untuk mengirim peringatan email. Namun, jika sistem mati atau
terganggu, peringatan email mungkin tidak berfungsi. Telepon tradisional dan telepon seluler
menyediakan saluran alternatif yang baik untuk mengirimkan peringatan awal dan komunikasi
berikutnya.
Penting juga untuk mempraktikkan rencana respons insiden, termasuk proses siaga. Jauh
lebih baik menemukan celah dalam rencana selama latihan daripada ketika insiden nyata terjadi.
Praktik rutin membantu mengidentifikasi kebutuhan akan perubahan sebagai respons terhadap
perubahan teknologi. Misalnya, banyak organisasi beralih dari sistem telepon tradisional ke
sistem yang berbasiskan voice-over IP (VoIP). Ini dapat menghemat banyak uang, tetapi itu
juga berarti bahwa jika jaringan komputer turun, demikian pula sistem telepon. Efek samping
ini mungkin tidak terlihat sampai rencana respons insiden dipraktikkan.

CHIEF INFORMATION SECURITY OFFICER (CISO)

COBIT 5 mengidentifikasi struktur organisasi sebagai pendorong penting untuk mencapai
kontrol dan keamanan yang efektif. Sangat penting bahwa organisasi memberikan tanggung
tim respons insiden komputer (CIRT) - Sebuah tim yang bertanggung jawab untuk menangani insiden keamanan besar.

virtualisasi - Menjalankan banyak
sistem secara bersamaan di satu
komputer fisik.
komputasi awan -
Menggunakan browser untuk
mengakses perangkat lunak,
penyimpanan data, perangkat
keras, dan aplikasi dari jarak
jauh.
melakukannya lebih cenderung memiliki tim respons insiden yang terlatih dengan baik daripada
organisasi yang tidak meminta seseorang bertanggung jawab atas keamanan informasi. Salah
satu cara untuk memenuhi tujuan ini adalah dengan menciptakan posisi CISO, yang harus
independen dari fungsi sistem informasi lain dan harus melapor ke chief operating officer
(COO) atau chief executive officer (CEO). CISO harus memahami lingkungan teknologi
perusahaan dan bekerja dengan chief information officer (CIO) untuk merancang, menerapkan,
dan mempromosikan kebijakan dan prosedur keamanan yang baik. CISO juga harus menjadi
penilai dan pengevaluasi lingkungan TI yang tidak memihak. Oleh karena itu, CISO harus
memiliki tanggung jawab untuk memastikan bahwa penilaian kerentanan dan risiko dilakukan
secara teratur dan bahwa audit keamanan dilakukan secara berkala.
Implikasi Keamanan Virtualisasi, Cloud
Komputasi, dan Internet of Things
Baru-baru ini, banyak organisasi telah menggunakan virtualisasi dan komputasi awan untuk
meningkatkan efisiensi dan efektivitas. Virtualisasi memanfaatkan kekuatan dan kecepatan
komputer modern untuk menjalankan beberapa sistem secara bersamaan di satu komputer
fisik. Ini memotong biaya perangkat keras, karena lebih sedikit server yang perlu dibeli. Mesin
yang lebih sedikit berarti biaya perawatan yang lebih rendah. Biaya pusat data juga turun
karena lebih sedikit ruang yang perlu disewa, yang juga mengurangi biaya utilitas.
Komputasi awan memanfaatkan bandwidth tinggi dari jaringan telekomunikasi global
modern untuk memungkinkan karyawan menggunakan browser untuk mengakses perangkat
lunak dari jarak jauh (perangkat lunak sebagai layanan), perangkat penyimpanan data
(penyimpanan sebagai layanan), perangkat keras (infrastruktur sebagai layanan) ), dan seluruh
lingkungan aplikasi (platform sebagai layanan). Pengaturan ini disebut sebagai cloud "pribadi",
"publik", atau "hybrid" bergantung pada apakah sumber daya yang diakses dari jarak jauh
dimiliki sepenuhnya oleh organisasi, pihak ketiga, atau campuran keduanya. Komputasi awan
berpotensi menghasilkan penghematan biaya yang signifikan. Misalnya, alih-alih membeli,
menginstal, dan memelihara salinan perangkat lunak terpisah untuk setiap pengguna akhir,
organisasi dapat membeli satu salinan, menginstalnya di server pusat, dan membayar hak
sejumlah karyawan tertentu untuk secara bersamaan menggunakan browser untuk mengakses
dan menggunakan perangkat lunak itu dari jarak jauh. Awan publik benar-benar menghilangkan
kebutuhan untuk melakukan investasi modal besar di bidang TI, dengan organisasi yang
membeli (dan mengeluarkan) penggunaan sumber daya komputasi mereka atas dasar
pembayaran untuk digunakan atau berlangganan. Selain mengurangi biaya, sentralisasi sumber
daya komputer dengan komputasi awan (baik publik, swasta, atau hibrida) mempermudah untuk
mengubah perangkat lunak dan perangkat keras, sehingga meningkatkan fleksibilitas.
Virtualisasi dan komputasi awan mengubah risiko beberapa ancaman keamanan informasi. Misalnya,
akses fisik tanpa pengawasan dalam lingkungan virtualisasi tidak hanya menghadapkan satu perangkat tetapi
juga seluruh jaringan virtual terhadap risiko pencurian atau perusakan dan gangguan. Demikian pula,
membahayakan sistem penyedia cloud dapat memberikan akses tidak sah ke beberapa sistem. Selain itu,
karena cloud publik, menurut definisi, dapat diakses melalui Internet, proses otentikasi adalah cara utama
untuk melindungi data Anda yang disimpan di cloud dari akses yang tidak sah. Awan publik juga
meningkatkan kekhawatiran tentang aspek lain dari keandalan sistem (kerahasiaan, privasi, integritas
pemrosesan, dan ketersediaan) karena organisasi mengalihkan kontrol data dan sumber daya komputasi ke
pihak ketiga. Manajemen dapat memperoleh informasi tentang keamanan layanan yang dialihkan ke
penyedia awan pihak ketiga dengan mendapatkan salinan laporan Kontrol Organisasi Layanan (SOC) 2 Tipe
2 penyedia awan. Laporan SOC 2 Tipe 2 menjelaskan kontrol yang digunakan oleh penyedia layanan
(misalnya, penyedia cloud, layanan penggajian, dll.) Dan opini CPA tentang efektivitas pengoperasian
kontrol tersebut.
Meskipun virtualisasi dan komputasi awan dapat meningkatkan risiko beberapa ancaman,
kedua perkembangan tersebut juga menawarkan peluang untuk meningkatkan keamanan
secara keseluruhan secara signifikan. Misalnya, menerapkan kontrol akses yang kuat di cloud
atau melalui server yang menjadi host jaringan virtual
memberikan keamanan yang baik atas semua sistem yang ada di dalamnya. Poin pentingnya
adalah bahwa semua kontrol yang dibahas sebelumnya dalam bab ini tetap relevan dalam
konteks virtualisasi dan komputasi awan. Kontrol akses pengguna yang kuat, idealnya
melibatkan penggunaan otentikasi multifaktor, dan kontrol akses fisik sangat penting. Firewall
virtual, IPS, dan IDS perlu diterapkan baik oleh penyedia cloud untuk mengisolasi mesin
virtual dan pelanggan cloud dari satu sama lain, dan oleh organisasi untuk membatasi akses
karyawan dengan tepat hanya ke bagian-bagian dari sistem yang diperlukan untuk melakukan
pekerjaan yang ditugaskan kepada mereka. Kebutuhan untuk mendeteksi masalah secara tepat
waktu terus ada, seperti juga kebutuhan untuk pengendalian korektif seperti manajemen patch.
Jadi,
Istilah Internet of Things (IoT) mengacu pada penyematan sensor di banyak perangkat
(lampu, pemanas dan AC, peralatan, dll.) Sehingga perangkat tersebut sekarang dapat
terhubung ke Internet. IoT memiliki implikasi signifikan terhadap keamanan informasi. Di satu
sisi, hal itu membuat desain sekumpulan kontrol yang efektif jauh lebih kompleks. Secara
tradisional, keamanan informasi difokuskan pada pengendalian akses ke sejumlah titik akhir
yang terbatas: laptop, komputer desktop, server, printer, dan perangkat seluler. Perpindahan ke
IoT berarti bahwa banyak perangkat lain yang ditemukan dalam pengaturan kerja sekarang
menyediakan sarana potensial untuk mengakses jaringan perusahaan dan, oleh karena itu,
harus diamankan. Di sisi lain, IoT memberikan kesempatan untuk meningkatkan kontrol akses
fisik. Misalnya, berjuta sensor kecil dapat digunakan di seluruh kantor, gudang, dan area
produksi untuk memberikan informasi real-time tentang pergerakan masuk dan keluar dari area
tersebut. Selain itu, organisasi dapat menggunakan sensor di perangkat yang dapat dikenakan
untuk melacak lokasi karyawan dan pengunjung. Dengan demikian, efek bersih IoT pada
kemampuan organisasi untuk memenuhi model keamanan berbasis waktu bergantung pada
seberapa baik ia menangani dan menggunakan perkembangan baru ini.

Ringkasan dan Kesimpulan

Kasus
Jason Scott menyelesaikan peninjauannya terhadap prosedur keamanan sistem informasi
Northwest Industries dan menyiapkan laporan sementara untuk supervisornya. Laporan
tersebut dimulai dengan menjelaskan bahwa keamanan adalah salah satu dari lima prinsip
keandalan sistem. Karena keamanan absolut tidak praktis, laporan tersebut mencatat bahwa
tujuan Northwest Industries harus mengadopsi model keamanan berbasis waktu dan
menggunakan kombinasi kontrol detektif dan korektif yang akan memungkinkan perusahaan
untuk mendeteksi dan menanggapi serangan dalam waktu yang lebih singkat daripada itu
akan membutuhkan penyusup untuk menerobos kontrol pencegahannya dan berhasil
menyerang sistem. Selain itu, laporan tersebut menunjukkan nilai penerapan kontrol yang
berlebihan dan tumpang tindih untuk menyediakan lapisan pertahanan yang mendalam.
Laporan Jason kemudian menjelaskan dan mengevaluasi berbagai prosedur keamanan
yang diterapkan di Northwest Industries. Akses fisik ke kantor perusahaan terbatas pada satu
pintu masuk utama, yang setiap saat dikelola oleh satpam. Semua pengunjung harus masuk
di meja keamanan dan dikawal setiap saat oleh seorang karyawan. Akses ke kamar dengan
peralatan komputasi memerlukan penyisipan lencana karyawan di pembaca kartu ditambah
entri PIN di kunci tombol di pintu. Kontrol akses jarak jauh mencakup firewall utama yang
melakukan pemfilteran paket dan firewall aplikasi web yang menggunakan inspeksi paket
dalam untuk menyaring semua lalu lintas yang menuju ke server web. Ada firewall internal
tambahan yang memisahkan fungsi bisnis yang berbeda satu sama lain. Staf keamanan
informasi secara teratur memindai semua peralatan untuk mencari kerentanan dan
memastikan bahwa setiap stasiun kerja karyawan menjalankan versi terbaru dari perangkat
lunak antivirus perusahaan serta firewall. Untuk meningkatkan kesadaran keamanan, semua
karyawan menghadiri lokakarya bulanan selama satu jam yang membahas masalah
keamanan saat ini yang berbeda setiap bulan. Perusahaan menggunakan sistem deteksi
intrusi, dan manajemen puncak menerima laporan bulanan tentang efektivitas keamanan
sistem. Pengendalian korektif termasuk tim respon insiden komputer dan praktek triwulanan
dari rencana respon insiden. Jason menyimpulkan bahwa karena manajemen senior
Northwest Industries menganggap keamanan informasi sebagai bagian integral dari proses
organisasi, serupa dengan kualitas,
 Namun, Jason mengidentifikasi dua kelemahan terkait kontrol perubahan. Satu hal yang
menjadi perhatian adalah bahwa beberapa "perubahan darurat" yang dibuat selama setahun
terakhir tidak didokumentasikan. Masalah kedua adalah bahwa untuk menghemat uang,
Northwest Industries tidak memiliki lingkungan pengujian yang terpisah, tetapi memberikan
akses langsung kepada pemrogramnya ke sistem pemrosesan transaksi untuk membuat
perubahan. Untuk memperbaiki masalah pertama, Jason merekomendasikan agar CIO
menugaskan seseorang untuk bertanggung jawab memastikan bahwa semua perubahan
didokumentasikan dengan benar. Untuk mengatasi masalah kedua, Jason merekomendasikan
agar Northwest Industries berinvestasi dalam teknologi virtualisasi untuk menciptakan
lingkungan pengujian dan pengembangan yang terpisah dan menghapus akses pemrogram ke
sistem pemrosesan transaksi.
Supervisor Jason senang dengan laporan interimnya. Dia meminta Jason untuk
melanjutkan tinjauannya terhadap sistem informasi Industri Northwest dengan memeriksa dua
dari prinsip lain dari keandalan sistem dalam Kerangka Layanan Kepercayaan AICPA:
kerahasiaan dan privasi.

K U N T ERMS
CI
model keamanan berbasis waktu kontrol perubahan dan kerentanan 252
239 manajemen perubahan 247 pemindai kerentanan
pertahanan mendalam 239 router perbatasan 252
rekayasa sosial 240 248 firewall 248 mengeksploi
otentikasi 243 pengenal zona demiliterisasi (DMZ) tasi 252
biometrik 243 otentikasi 248 router tambalan
multifaktor 249 252
244 daftar kontrol akses (ACL) analisis
manajemenlog 255
patch 252
otentikasi multimodal 249 sistem pendeteksi intrusi
244 otorisasi penyaringan paket 250 (IDS) 256
245 inspeksi paket dalam 250 tim tanggap insiden
matriks kontrol akses 245 sistem pencegahan intrusi komputer (CIRT) 257
uji kompatibilitas 245 uji (IPS) 250 virtualisasi 258
penetrasi 246 titik akhir 251 komputasi awan 258

AIS beraksi
C HAPTER QU IZ

1. Manakah dari pernyataan berikut yang benar?

Sebuah. Konsep pertahanan secara mendalam mencerminkan fakta bahwa keamanan
melibatkan penggunaan beberapa kendali teknis yang canggih.
b. Keamanan informasi diperlukan untuk melindungi kerahasiaan, privasi, integritas pemrosesan,
dan ketersediaan sumber informasi.
c. Model keamanan berbasis waktu dapat dinyatakan dalam rumus berikut:
P. <D + R
d. Keamanan informasi pada dasarnya adalah masalah TI, bukan masalah manajerial.
2. Manakah dari berikut ini yang merupakan pengendalian pencegahan?
Sebuah. latihan c. CIRT
b. analisis log d. virtualisasi