Kode Form SPPTI-SEC-FORM-001

Versi 1.1
Hal. 1 dari 6
SECURITY SELF-ASSESSMENT SIM FASKES Label Rahasia

PIC Security Assessment Sepsa Tri Ananda

Nama SIM Faskes
Versi
Platform
Tanggal Pengujian
Distribusi Dokumen
TMC Soft Media ( Technoindo Media Cemerlang) www.tmcsoft.co.id
5.0
Visual Basic 6.0 dan database Firebird
30/08/2021
RS Hawari Essa
BPJS Kesehatan KC Tegal
BPJS Kesehatan Kepwil Jawa Tengah dan DIY
Kedeputian Bidang SPPTI BPJS Kesehatan
Kedeputian Bidang OTI BPJS Kesehatan

TUJUAN
Security Self-Assesment ini dilakukan dalam rangka implementasi integrasi sistem (Bridging) antar SIM
Faskes dengan Web Service milik BPJS Kesehatan.

RUANG LINGKUP DAN METODE PENGUJIAN

Ruang lingkup diisi dengan antara lain:
- Dilakukan pengujian pada Aplikasi client dan Server
- Memastikan infrastruktur sudah memenuhi standart
- Pengujian Fungsi module Aplilasi dan hak akses user

TOOLS YANG DIGUNAKAN

Tool Pemanfaatan
SonarQube 8.5 Digunakan untuk melakukan scanning vulnerability terhadap
aplikasi, mengetahui ketahanan atau celah keamanan dari sql
injection dan XSS..

HASIL PENGUJIAN
Checklist
(diisioleh PIC
AspekPengujian Eviden
BPJS
Kesehatan)
1. Berikut adalah aspek-aspek pengujian minimal yang harus dipenuhi oleh SIM Faskes (Frontend)
1.1. MemastikanTidak Ada Celah XSS (cross Telah negikuti tahap tahap pengukian pada ☐PASS
site scripting)padasetiap form inputan. aplikasi sesuai dengan panduan yang ada pada ☐NOT PASS
http://www.id.w3ki.com/security_testing/testi
ng_cross_site_scripting.html
 Kode Form SPPTI-SEC-FORM-001
Versi 1.1
Hal. 2 dari 6
SECURITY SELF-ASSESSMENT SIM FASKES Label Rahasia

1.2. Memastikan Tidak Ada Celah SQL ☐ PASS

Injection pada setiap form inputan. ☐ NOT PASS

Pengujian SQL Injection dilakukan pada form

login dengan meng-entry salah satu user
kemudian di parameter sandi di isi syntax SQL
“’OR 1=1;##” bertujian untuk melewati
verifikasi password

Hasil yang di dapat tetap tidak bisa login.

1.3. Terdapat mekanisme untuk ☐ PASS
membatasi upaya login berkali-kali, ☐ NOT PASS
missal menggunakan: CAPCTHA, delay
time, dll dan berfungsi dengan baik
(tidak dapat di-bypas, dibaca oleh OCR,
dan di-reuse).

1.4. Lock Out Login temporer setelah 3 kali ☐ PASS

salah percobaan login. ☐ NOT PASS
 Kode Form SPPTI-SEC-FORM-001
Versi 1.1
Hal. 3 dari 6
SECURITY SELF-ASSESSMENT SIM FASKES Label Rahasia

1.5. Memunculkan pesan warning “Gagal ☐ PASS

Login”. ☐NOT PASS

1.6. Pesan Warning “Gagal Login” tidak ☐ PASS

boleh membedakan username salah ☐NOT PASS
atau password salah.

1.7. Kompleksitas Password minimal yaitu: Contoh daftar id user yang menggunakan ☐ PASS
panjang karakter minimal 8, serta kombinasi sandi ☐ NOT PASS
memuat kombinasi huruf besar, huruf
kecil, angka, dan karakter khusus
seperti *,#,$,!,& dan sebagainya.

1.8. Menu-menu pada SIM Faskes hanya 1. Menu User Ruang Operasi ☐ PASS
bisa diakses sesuai peruntukan. ☐ NOT PASS
misalnya menu admin tidak bisa
diakses petugas walaupun url menu
admin dimasukkan.

2. Menu User Rawat Inap

3. Menu User Admin

a. Memastikan tidak ada celah Sebagai salah satu contoh user hanya di ☐ PASS
 Kode Form SPPTI-SEC-FORM-001
Versi 1.1
Hal. 4 dari 6
SECURITY SELF-ASSESSMENT SIM FASKES Label Rahasia

broken access control seperti berikan akses tawat inap & tidak adanya fitur ☐ NOT PASS
non user yang dapat atau celah broken access control
mengakses data yang -hak akses
seharusnya hanya bisa diakses
oleh user, atau user A yang
dapat mengakses data B yang
seharusnya hanya bisa diakses
oleh user B.

-fitur user

b. Tidak menggunakan library ☐ PASS

yang vulnerable , misalnya ☐ NOT PASS
bootstrap, jQuery, dan
sebagainya.

4. Berikut adalaha spek-aspek pengujian minimal yang harus dipenuhi oleh server SIM Faskes
(backend)
a. Server terinstall ☐ PASS
antivirus ☐ NOT PASS

b. Firewall diaktifkan dan ☐ PASS

hanya menerima port ☐ NOT PASS
https untuk inbound
 Kode Form SPPTI-SEC-FORM-001
Versi 1.1
Hal. 5 dari 6
SECURITY SELF-ASSESSMENT SIM FASKES Label Rahasia

c. Versi TLS minimal ☐ PASS

adalah 1.2 ☐ NOT PASS

d. Memastikan versi ☐ PASS

webserver yang ☐ NOT PASS
digunakan (apache,
nginx, IIS) tidak
Menggunakan program sql firebird versi 2.5
memiliki celah
dengan tidak menggunakan user default untuk
keamanan
mengurangi kerentanan pada keamanan
database
e. Memastikan versi ☐ PASS
frame work / bahasa ☐ NOT PASS
pemrograman yang
digunakan tidak
memiliki celah
keamanan

KESIMPULAN
Pada bagian ini dapat diisi dengan kesimpulan yang memuat informasi Layak / Tidak layak untuk melakukan
Integrasi Sistem. (diisioleh PIC BPJS Kesehatan)

Disusun oleh:
No. Nama Jabatan Tanda Tangan Tanggal
PIC Integrasi Sistem Faskes
(RS/FKTP)

Diperiksa oleh:
No. Nama Jabatan Tanda Tangan Tanggal

1
 Kode Form SPPTI-SEC-FORM-001
Versi 1.1
Hal. 6 dari 6
SECURITY SELF-ASSESSMENT SIM FASKES Label Rahasia

Disetujui oleh:
No. Nama Jabatan Tanda Tangan Tanggal