Manajemen menginginkan jaminan bahwa informasi yang dihasilkan oleh sistem

akuntansi organisasi dapat diandalkan. Manajemen juga menginginkan jaminan

mengenai keandalan penyedia layanan cloud yang dikontraknya. Terakhir,
manajemen menginginkan jaminan bahwa organisasinya mematuhi serangkaian
persyaratan peraturan dan industri yang terus meningkat, termasuk Sarbanes–Oxley
(SOX), Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA)
dan pembaruannya dalam Teknologi Informasi Kesehatan untuk Undang-Undang
Kesehatan Ekonomi dan Klinis (HITECH), Peraturan Privasi Data Umum (GDPR)
Uni Eropa, dan Standar Keamanan Data Industri Kartu Pembayaran (PCI-DSS).
Sebagaimana disebutkan dalam Bab 10, COBIT 2019 adalah kerangka komprehensif
praktik terbaik yang berkaitan dengan semua aspek tata kelola dan manajemen TI.
Namun, dalam buku ini kami hanya fokus pada bagian-bagian COBIT 2019 yang
paling berkaitan langsung dengan keandalan sistem informasi dan kepatuhan terhadap
standar peraturan. Oleh karena itu, kami menyusun bab ini dan dua bab berikutnya
seputar prinsip-prinsip dalam Trust Services Framework, yang dikembangkan
bersama oleh AICPA dan CICA untuk memberikan panduan dalam menilai keandalan
sistem informasi. Namun demikian, karena COBIT 2019 adalah kerangka kerja yang
diakui secara internasional dan digunakan oleh banyak organisasi, auditor dan
akuntan harus memahaminya. Oleh karena itu, sepanjang diskusi kami, kami merujuk
pada bagian COBIT 2019 yang relevan dan berkaitan dengan setiap topik sehingga
Anda dapat memahami bagaimana prinsip-prinsip yang berkontribusi terhadap
keandalan sistem juga penting untuk mengelola investasi organisasi di bidang TI
secara efektif. Trust Services Framework mengatur pengendalian terkait TI menjadi
lima prinsip yaitu:
bersama-sama berkontribusi terhadap keandalan sistem:
1. Keamanan —akses (baik fisik maupun logis) ke sistem dan datanya dikendalikan
dan
terbatas pada pengguna yang sah.
2. Kerahasiaan —informasi organisasi yang sensitif (misalnya, rencana pemasaran,
perdagangan
rahasia) dilindungi dari pengungkapan yang tidak sah.
3. Privasi —informasi pribadi tentang pelanggan, karyawan, pemasok, atau mitra
bisnis dikumpulkan, digunakan, diungkapkan, dan dipelihara hanya sesuai dengan
kebijakan internal dan persyaratan peraturan eksternal dan dilindungi dari
pengungkapan yang tidak sah.
4. Integritas Pemrosesan —data diproses secara akurat, lengkap, tepat waktu, dan
hanya dengan otorisasi yang tepat.
5. Ketersediaan —sistem dan informasinya tersedia untuk memenuhi kewajiban
operasional dan kontrak.
Seperti yang ditunjukkan Gambar 11-1, keamanan informasi adalah fondasi keandalan
sistem dan diperlukan untuk mencapai empat prinsip lainnya. Prosedur keamanan
informasi membatasi akses sistem hanya kepada pengguna yang berwenang, sehingga
melindungi kerahasiaan data sensitif organisasi dan privasi informasi pribadi yang
dikumpulkan dari pelanggan. Prosedur keamanan informasi melindungi integritas
informasi dengan mencegah penyerahan transaksi yang tidak sah atau fiktif dan
mencegah perubahan tidak sah pada data yang disimpan atau
program. Terakhir, prosedur keamanan informasi memberikan perlindungan terhadap
berbagai serangan, termasuk virus dan worm, sehingga memastikan bahwa sistem
tersedia saat dibutuhkan. Bab ini berfokus pada keamanan informasi. Bab 12
membahas pengendalian TI yang relevan untuk melindungi kerahasiaan kekayaan
intelektual organisasi dan privasi informasi yang dikumpulkan tentang pelanggan dan
mitra bisnisnya. Bab 13 kemudian mencakup pengendalian TI yang dirancang untuk
memastikan integritas dan ketersediaan informasi yang dihasilkan oleh sistem
akuntansi organisasi.

1. KEAMANAN ADALAH MASALAH MANAJEMEN, BUKAN HANYA

MASALAH TEKNOLOGI
Meskipun keamanan informasi yang efektif memerlukan penerapan alat teknologi
seperti firewall, antivirus, dan enkripsi, keterlibatan dan dukungan manajemen senior
di seluruh fase siklus hidup keamanan (lihat Gambar 11-2) sangatlah penting untuk
keberhasilan. Langkah pertama dalam siklus hidup keamanan adalah menilai ancaman
terkait keamanan informasi yang dihadapi organisasi dan memilih respons yang tepat.
Profesional keamanan informasi memiliki keahlian untuk mengidentifikasi potensi
ancaman dan memperkirakan kemungkinan serta dampaknya. Namun, manajemen
senior harus memilih yang mana dari empat respons risiko yang dijelaskan dalam Bab
10 (mengurangi, menerima, membagi, atau menghindari) yang sesuai untuk
diterapkan sehingga sumber daya yang diinvestasikan dalam keamanan informasi
mencerminkan selera risiko organisasi.
Langkah 2 melibatkan pengembangan kebijakan keamanan informasi dan
mengkomunikasikannya kepada seluruh karyawan. Manajemen senior harus
berpartisipasi dalam mengembangkan kebijakan karena mereka harus memutuskan
sanksi yang akan mereka berikan atas ketidakpatuhan. Selain itu, dukungan aktif dan
keterlibatan manajemen puncak diperlukan untuk memastikan bahwa pelatihan dan
komunikasi keamanan informasi dilakukan dengan serius. Agar efektif, komunikasi
ini harus masuk
melibatkan lebih dari sekedar memberikan dokumen tertulis kepada orang-orang atau
mengirimi mereka email dan meminta mereka menandatangani pernyataan bahwa
mereka telah menerima dan membaca pemberitahuan tersebut. Sebaliknya, karyawan
harus menerima pengingat secara rutin dan berkala tentang kebijakan keamanan dan
pelatihan tentang cara mematuhinya.
Langkah 3 dari siklus hidup keamanan melibatkan akuisisi atau pembangunan alat
teknologi tertentu. Manajemen senior harus mengizinkan investasi sumber daya yang
diperlukan untuk memitigasi ancaman yang teridentifikasi dan mencapai tingkat
keamanan yang diinginkan. Terakhir, langkah 4 dalam siklus hidup keamanan
memerlukan pemantauan kinerja secara berkala untuk mengevaluasi efektivitas
program keamanan informasi organisasi. Kemajuan TI menciptakan ancaman baru
dan mengubah risiko yang terkait dengan ancaman lama. Oleh karena itu, manajemen
harus melakukan resusitasi secara berkala
menilai respons risiko organisasi dan, bila diperlukan, membuat perubahan terhadap
kebijakan keamanan informasi dan berinvestasi dalam solusi baru untuk memastikan
bahwa upaya keamanan informasi organisasi mendukung strategi bisnisnya dengan
cara yang konsisten dengan selera risiko manajemen. Banyak fungsi yang berperan
dalam penerapan program keamanan informasi suatu organisasi. Fungsi teknologi
informasi bertanggung jawab untuk menginstal dan memelihara
berbagai solusi teknologi. Kelompok risiko dan kepatuhan harus bekerja sama dengan
manajemen untuk merancang kebijakan guna memastikan kepatuhan terhadap
berbagai peraturan tentang keamanan dan privasi. Semua karyawan yang memiliki
akses ke sistem harus memahami dan mematuhi kebijakan keamanan. Profesional
keamanan informasi mempunyai keahlian di bidang keamanan informasi dan secara
teratur memantau solusi tersebut untuk memastikan solusi tersebut berfungsi secara
efektif serta memantau kepatuhan terhadap kebijakan. Fungsi audit internal secara
berkala dijalankan secara independen
tinjauan buruk terhadap efisiensi dan efektivitas program keamanan informasi
organisasi. Fakta bahwa banyak fungsi terlibat dalam keamanan informasi adalah
alasan lain mengapa keamanan merupakan isu penting bagi manajemen senior.
Pertama, ketika beberapa fungsi organisasi atau kelompok menangani suatu
permasalahan yang sama, ada kemungkinan bahwa kurangnya komunikasi yang
efektif akan mengakibatkan “silo” yang terpisah sehingga masing-masing fungsi
menjalankan tugasnya tanpa berkoordinasi dengan pekerjaan kelompok lainnya.
Masalah potensial kedua dan bahkan lebih disfungsional ketika berbagai fungsi
organisasi berbagi tanggung jawab atas suatu tugas adalah kurangnya kerja sama dan
pertarungan “wilayah”. Hanya keterlibatan manajemen senior yang dapat mengatasi
dua potensi permasalahan tersebut. Fokus 11-1 merangkum penelitian terbaru yang
menemukan bahwa keterlibatan manajemen senior dan dukungan terhadap keamanan
informasi tidak hanya memitigasi potensi masalah tersebut, namun juga meningkatkan
efektivitas program keamanan informasi organisasi secara keseluruhan.

2. ORANG: FAKTOR KRITIS

Manusia dapat menjadi “mata rantai terlemah” dalam keamanan atau merupakan aset
penting. Untuk menjadikan karyawan sebagai bagian positif dari upaya keamanan
organisasi, manajemen harus menciptakan budaya “sadar keamanan” dan memberikan
pelatihan kesadaran keamanan berkelanjutan. Pembahasan kerangka COSO pada Bab
10 menekankan bagaimana sikap dan perilaku risiko manajemen puncak menciptakan
lingkungan internal yang mendukung dan memperkuat pengendalian internal yang
baik atau
salah satu yang secara efektif meniadakan kebijakan pengendalian tertulis. Prinsip
yang sama berlaku mengenai keamanan informasi. Memang benar, COBIT 2019 dan
Trust Services Framework secara khusus mengidentifikasi budaya dan etika
organisasi sebagai salah satu faktor penting yang memungkinkan keamanan informasi
yang efektif. Untuk menciptakan budaya sadar keamanan di mana karyawan
mematuhi kebijakan organisasi, manajemen puncak tidak hanya harus
mengomunikasikan keamanan organisasi
kebijakan, namun juga harus memimpin dengan memberi contoh. Karyawan lebih
cenderung mematuhi kebijakan keamanan informasi ketika mereka melihat manajer
mereka melakukannya. Sebaliknya, jika karyawan melihat manajer melanggar
kebijakan keamanan informasi, misalnya dengan menuliskan kata sandi dan
menempelkannya di monitor, mereka cenderung meniru perilaku tersebut.
Keterampilan dan kompetensi karyawan merupakan faktor penting lainnya untuk
keamanan informasi yang efektif. Karyawan harus memahami cara mengikuti
kebijakan keamanan organisasi. Pentingnya pelatihan tercermin dalam kenyataan
bahwa pelatihan kesadaran keamanan dibahas sebagai
praktik utama untuk mendukung beberapa dari 35 proses manajemen COBIT 2019.
Pelatihan karyawan baru sangatlah penting karena penjahat sering kali menargetkan
karyawan baru dengan email phishing yang canggih.
Semua karyawan harus diajari mengapa langkah-langkah keamanan penting bagi
kelangsungan hidup organisasi dalam jangka panjang. Mereka juga perlu dilatih untuk
mengikuti praktik komputasi yang aman, seperti tidak pernah membuka lampiran
email yang tidak diminta, hanya menggunakan perangkat lunak yang disetujui, tidak
membagikan kata sandi, dan mengambil langkah-langkah untuk melindungi laptop
secara fisik. Pelatihan sangat diperlukan untuk mendidik karyawan tentang serangan
rekayasa sosial. Misalnya, karyawan harus diajari untuk tidak pernah membocorkan
kata sandi atau informasi lain tentang akun atau konfigurasi stasiun kerja mereka
kepada siapa pun yang menghubungi mereka melalui telepon, email, atau pesan instan
dan mengaku sebagai bagian dari fungsi keamanan sistem informasi organisasi.
Karyawan juga perlu dilatih untuk tidak mengizinkan orang lain mengikuti mereka
melalui pintu masuk dengan akses terbatas. Serangan rekayasa sosial ini, yang disebut
piggybacking , dapat terjadi tidak hanya di pintu masuk utama gedung tetapi juga di
pintu internal mana pun yang terkunci, terutama di ruangan yang berisi komputer.
peralatan. Membonceng tidak hanya dapat dilakukan oleh pihak luar, namun juga
dapat dilakukan oleh pegawai lain yang tidak mempunyai kewenangan memasuki
suatu kawasan. Membonceng sering kali berhasil karena banyak orang merasa tidak
sopan jika tidak membiarkan orang lain datang bersama mereka atau karena mereka
ingin menghindari konfrontasi. Latihan bermain peran sangat efektif untuk
meningkatkan kepekaan dan keterampilan dalam menghadapi serangan rekayasa
sosial. Pelatihan kesadaran keamanan juga penting bagi manajemen senior karena
dalam beberapa tahun terakhir banyak serangan rekayasa sosial, seperti spear
phishing, yang ditargetkan pada mereka. Sejauh ini, pembahasan pelatihan terfokus
pada komponen perlindungan model keamanan berbasis waktu dengan mengajarkan
karyawan dan manajer bagaimana mencegah masalah. Namun pelatihan juga dapat
meningkatkan deteksi dan respons yang tepat waktu jika karyawan dan manajer
dilatih tidak hanya untuk menghindari perilaku tertentu, namun juga untuk segera
memberi tahu keamanan informasi setiap kali mereka menerima email yang
mencurigakan atau bentuk rekayasa sosial lainnya. Namun, investasi organisasi dalam
pelatihan keamanan hanya akan efektif jika ada manajemen
jelas menunjukkan bahwa mereka mendukung karyawan yang mengikuti kebijakan
keamanan yang ditentukan. Hal ini sangat penting untuk memerangi serangan
rekayasa sosial karena tindakan penanggulangan terkadang dapat menimbulkan
konfrontasi yang memalukan dengan karyawan lain. Misalnya, salah satu penulis
mendengar anekdot tentang seorang profesional sistem di sebuah bank besar yang
menolak mengizinkan seseorang yang
tidak ada dalam daftar pegawai yang berwenang untuk memasuki ruangan yang
menampung server yang berisi informasi keuangan penting bank. Orang yang ditolak
masuk kebetulan adalah seorang eksekutif baru yang baru saja dipekerjakan. Alih-alih
menegur karyawannya, eksekutif tersebut menunjukkan komitmen bank
perhatian dan dukungan terhadap keamanan yang kuat dengan menulis surat resmi
pujian atas kinerja yang baik untuk ditempatkan dalam arsip kinerja karyawan.
Dukungan nyata manajemen puncak terhadap keamanan inilah yang meningkatkan
efektivitas semua kebijakan keamanan. Manajemen puncak
juga perlu mendukung penegakan hukuman, hingga dan termasuk pemecatan,
terhadap karyawan yang dengan sengaja melanggar kebijakan keamanan. Melakukan
hal ini tidak hanya memberikan pesan yang kuat kepada karyawan lain namun juga
terkadang mengurangi konsekuensi bagi organisasi jika seorang karyawan terlibat
dalam perilaku ilegal. Pelatihan profesional keamanan informasi juga penting.
Perkembangan baru
Kemajuan teknologi terus menciptakan ancaman keamanan baru dan membuat solusi
lama menjadi ketinggalan jaman. Oleh karena itu, penting bagi organisasi untuk
mendukung pendidikan profesional berkelanjutan bagi spesialis keamanan mereka.

MODEL KEAMANAN INFORMASI BERBASIS WAKTU

Tujuan dari model keamanan informasi berbasis waktu adalah untuk menerapkan
kombinasi pengendalian preventif, detektif, dan korektif untuk melindungi aset
informasi dalam jangka waktu yang cukup lama sehingga organisasi dapat mendeteksi
bahwa serangan sedang terjadi dan mengambil langkah tepat waktu untuk
menggagalkan serangan tersebut. informasi apa pun hilang atau dikompromikan.
Model keamanan informasi berbasis waktu dapat dinyatakan dalam rumus berikut:
P> D+ R , dimana
P 5 waktu yang dibutuhkan penyerang untuk menerobos berbagai kontrol yang
melindungi
aset informasi organisasi.
D 5 waktu yang diperlukan organisasi untuk mendeteksi bahwa serangan sedang
berlangsung.
R 5 waktu yang diperlukan untuk merespons dan menghentikan serangan.
tersebut terpenuhi (yaitu, jika P .D 1 R benar), maka prosedur keamanan informasi
organisasi tersebut efektif. Jika tidak, keamanan tidak akan efektif.

Organisasi berusaha untuk memenuhi tujuan model keamanan berbasis waktu dengan
menggunakan strategi pertahanan mendalam , yang memerlukan penggunaan
beberapa lapisan kontrol untuk menghindari satu titik kegagalan. Pertahanan
mendalam mengakui bahwa meskipun tidak ada pengendalian yang 100% efektif,
penggunaan pengendalian yang tumpang tindih, saling melengkapi, dan berlebihan
akan meningkatkan efektivitas keseluruhan karena jika satu pengendalian gagal atau
diabaikan, pengendalian lainnya mungkin gagal atau diabaikan.
berhasil. Model keamanan berbasis waktu menyediakan sarana bagi manajemen untuk
mengidentifikasi pendekatan yang paling hemat biaya untuk meningkatkan keamanan
dengan membandingkan dampak investasi tambahan dalam pengendalian preventif,
detektif, atau korektif. Misalnya, manajemen mungkin mempertimbangkan investasi
tambahan sebesar $100.000 untuk meningkatkan keamanan. Salah satu pilihannya
adalah pembelian firewall baru yang akan meningkatkan nilai P sebesar 10 menit.
Pilihan kedua mungkin adalah meningkatkan sistem deteksi intrusi organisasi
sedemikian rupa sehingga akan menurunkan nilai D sebanyak 12 menit. Pilihan ketiga
mungkin adalah berinvestasi pada metode baru untuk merespons insiden keamanan
informasi sehingga dapat menurunkan nilai R sebanyak 30 menit. Dalam contoh ini,
pilihan yang paling hemat biaya adalah berinvestasi pada pengendalian korektif
tambahan yang memungkinkan organisasi merespons serangan dengan lebih cepat.
Meskipun model keamanan berbasis waktu memberikan dasar teoritis yang kuat
mengevaluasi dan mengelola praktik keamanan informasi suatu organisasi, hal ini
tidak boleh dipandang sebagai rumus matematika yang tepat. Salah satu masalahnya
adalah sulit, bahkan tidak mungkin, mendapatkan pengukuran parameter P , D , dan R
yang akurat dan dapat diandalkan . Selain itu, meskipun nilai parameter tersebut
dapat dihitung dengan andal, perkembangan TI baru dapat dengan cepat mengurangi
validitasnya. Misalnya, penemuan kerentanan baru yang besar dapat secara efektif
mengurangi nilai P menjadi nol. Oleh karena itu, model keamanan berbasis waktu
paling baik digunakan sebagai kerangka kerja tingkat tinggi untuk analisis strategis,
untuk menggambarkan dengan jelas prinsip pertahanan mendalam dan perlunya
menerapkan berbagai upaya preventif, detektif, dan koruptif.
kontrol rektif. Tabel 11-1 mencantumkan berbagai pengendalian preventif, detektif,
dan korektif yang dapat digunakan organisasi untuk memenuhi model keamanan
berbasis waktu. Seperti yang ditunjukkan Gambar 11-3, berbagai kontrol menyatu
seperti potongan puzzle untuk secara kolektif memberikan pertahanan mendalam.
Perhatikan bahwa setiap potongan teka-teki dipegang oleh seseorang, yang
mencerminkan fakta bahwa efektivitas program keamanan organisasi secara
keseluruhan bergantung pada karyawan dan manajemennya.

Melindungi Sumber Daya Informasi

KEAMANAN FISIK: KONTROL AKSES
Sangatlah penting untuk mengontrol akses fisik terhadap sumber informasi.
Penyerang yang terampil hanya memerlukan beberapa menit akses fisik langsung
tanpa pengawasan untuk melewati kontrol keamanan informasi yang ada. Misalnya,
penyerang dengan akses fisik langsung tanpa pengawasan dapat menginstal perangkat
pencatatan keystroke yang menangkap kredensial autentikasi pengguna, sehingga
memungkinkan penyerang selanjutnya mendapatkan akses tidak sah ke sistem dengan
menyamar.
memakan pengguna yang sah. Seseorang dengan akses fisik tanpa pengawasan juga
dapat memasukkan disk “boot” khusus yang menyediakan akses langsung ke setiap
file di komputer dan kemudian menyalin file sensitif ke perangkat portabel seperti
drive USB atau iPod. Alternatifnya, penyerang dengan akses fisik tanpa pengawasan
dapat dengan mudah menghapus hard drive atau bahkan mencuri seluruh komputer.
Kami sekarang menjelaskan beberapa kontrol akses fisik terpenting yang dibahas
dalam praktik manajemen COBIT 2019 DSS05.05.
Kontrol akses fisik dimulai dari titik masuk ke gedung itu sendiri. Idealnya, hanya ada
satu titik masuk reguler yang tetap tidak terkunci selama jam kantor normal. Kode
kebakaran biasanya memerlukan pintu keluar darurat tambahan, namun ini tidak
boleh mengizinkan masuknya orang luar dan harus dihubungkan ke sistem alarm yang
secara otomatis terpicu setiap kali pintu keluar kebakaran dibuka. Selain itu,
resepsionis atau satpam harus ditempatkan di pintu masuk utama untuk memverifikasi
identitas karyawan. Pengunjung harus diminta untuk masuk dan diantar oleh
karyawan kemanapun mereka pergi di dalam gedung.
Begitu berada di dalam gedung, akses fisik ke ruangan yang menampung peralatan
komputer juga harus dibatasi. Kamar-kamar ini harus dikunci dengan aman dan
semua pintu masuk/keluar dipantau oleh sistem televisi sirkuit tertutup. Beberapa
upaya akses yang gagal akan memicu alarm. Ruangan yang menampung server yang
berisi data sensitif harus melengkapi kunci biasa dengan teknologi yang lebih kuat—
pembaca kartu, papan tombol numerik, atau berbagai perangkat biometrik, seperti
pemindai iris atau retina, pembaca sidik jari, atau pengenalan suara. Fokus 11-2
menjelaskan serangkaian kontrol akses fisik yang sangat rumit yang disebut sebagai
man-trap . Akses ke kabel yang digunakan dalam LAN organisasi juga perlu dibatasi
untuk mencegah penyadapan. Artinya, kabel dan kabel tidak boleh dipasang di area
yang dapat diakses oleh pengunjung biasa. Lemari kabel yang berisi peralatan
telekomunikasi harus dikunci dengan aman. Jika lemari kabel digunakan bersama
dengan penghuni gedung perkantoran lainnya, organisasi harus menempatkan
peralatan telekomunikasinya di dalam sangkar baja yang terkunci untuk mencegah
akses fisik tanpa izin oleh orang lain yang memiliki akses ke lemari kabel tersebut.
Jack dinding
tidak digunakan saat ini harus diputuskan secara fisik dari jaringan untuk mencegah
seseorang mencolokkan laptopnya dan mencoba mengakses jaringan.
Laptop, ponsel, dan tablet memerlukan perhatian khusus terhadap keamanan fisiknya
karena sering kali menyimpan informasi sensitif dan mudah hilang atau dicuri. Biaya
terbesarnya bukanlah harga penggantian perangkat tersebut, melainkan hilangnya
informasi rahasia yang terkandung di dalamnya dan biaya untuk memberi tahu
mereka yang terkena dampak. Seringkali, perusahaan juga harus membayar layanan
pemantauan kredit bagi pelanggan yang informasi pribadinya hilang atau dicuri.
Bahkan mungkin ada tuntutan hukum class action dan denda oleh badan pengatur.
Idealnya, karyawan tidak boleh menyimpan informasi sensitif apa pun di laptop atau
perangkat pribadi lainnya. Jika informasi organisasi yang sensitif harus disimpan di
laptop atau perangkat portabel lainnya
perangkat, perangkat tersebut harus dienkripsi sehingga jika perangkat hilang atau
dicuri, informasinya tidak dapat diakses. Untuk menghadapi ancaman pencurian
laptop, sebaiknya karyawan dilatih untuk selalu mengunci laptopnya pada benda tidak
bergerak. Hal ini diperlukan bahkan saat berada di kantor, karena ada kasus dimana
pencuri yang menyamar sebagai petugas kebersihan mencuri laptop dan peralatan
lainnya selama jam kerja. Beberapa organisasi juga menginstal perangkat lunak
khusus pada laptop dan perangkat seluler lainnya yang mengirimkan pesan ke server
keamanan setiap kali perangkat terhubung ke Internet. Kemudian, jika perangkat
hilang atau dicuri, lokasinya dapat diidentifikasi saat perangkat tersambung ke
Internet lagi. Server keamanan juga dapat mengirimkan pesan balasan yang
menghapus secara permanen semua informasi yang tersimpan di perangkat. Penting
juga untuk membatasi akses fisik ke printer jaringan karena printer tersebut sering
menyimpan gambar dokumen di hard drive mereka. Ada beberapa kasus di mana
penyusup mencuri hard drive di printer tersebut, sehingga mendapatkan akses ke
informasi sensitif. Terakhir, cara yang sangat menjanjikan untuk mencapai pertahanan
mendalam adalah dengan mengintegrasikan sistem kontrol akses fisik dan jarak jauh.
Misalnya, jika organisasi menggunakan keypad, pembaca kartu atau lencana, atau
pengidentifikasi biometrik untuk mengontrol dan mencatat akses fisik ke kantor, data
tersebut harus digunakan saat menerapkan kontrol akses jarak jauh. Hal ini akan
mengidentifikasi situasi yang mungkin mewakili pelanggaran keamanan, seperti
ketika seorang karyawan yang seharusnya berada di dalam kantor secara bersamaan
mencoba masuk ke sistem dari jarak jauh dari lokasi lain yang secara geografis jauh.
PROSES: KONTROL AKSES PENGGUNA
Penting untuk dipahami bahwa “orang luar” bukanlah satu-satunya sumber ancaman.
Seorang karyawan mungkin menjadi tidak puas karena sejumlah alasan (misalnya,
tidak mendapat promosi) dan ingin membalas dendam, atau mungkin rentan dikorupsi
karena kesulitan keuangan, atau mungkin diperas untuk memberikan informasi
sensitif. Oleh karena itu, organisasi perlu menerapkan serangkaian kontrol yang
dirancang untuk melindungi aset informasi mereka dari penggunaan dan akses tidak
sah oleh karyawan. Untuk mencapai tujuan tersebut, praktik manajemen COBIT 2019
DSS05.04 menekankan perlunya kontrol untuk mengelola identitas pengguna dan
akses logis sehingga memungkinkan untuk mengidentifikasi secara unik setiap orang
yang mengakses sistem informasi organisasi dan melacak tindakan yang mereka
lakukan. Penerapan DSS05.04 melibatkan penggunaan dua jenis kontrol akses
pengguna yang terkait namun berbeda: kontrol otentikasi dan kontrol otorisasi.
KONTROL AUTHENTIKASI Otentikasi adalah proses verifikasi identitas orang
atau perangkat yang mencoba mengakses sistem. Tujuannya adalah untuk memastikan
bahwa hanya pengguna yang sah yang dapat mengakses sistem. Tiga jenis kredensial
dapat digunakan untuk memverifikasi identitas seseorang:
1. Sesuatu yang diketahui orang tersebut, seperti kata sandi atau nomor identifikasi
pribadi (PIN).
2. Sesuatu yang dimiliki orang tersebut, seperti kartu pintar atau lencana identitas.
3. Beberapa karakteristik fisik atau perilaku (disebut sebagai pengidentifikasi
biometrik ) seseorang, seperti sidik jari atau pola pengetikan.
Secara individual, setiap metode otentikasi memiliki keterbatasannya. Kata sandi
dapat ditebak, hilang, ditulis, atau diberikan. Teknik identifikasi fisik (kartu, lencana,
perangkat USB, dll.) dapat hilang, dicuri, atau diduplikasi. Teknik biometrik tidak
100% akurat, terkadang menolak pengguna yang sah (disebut tingkat penolakan
palsu) dan terkadang mengizinkan akses kepada orang yang tidak berwenang (disebut
tingkat penerimaan palsu). Masalah ini terjadi karena sistem otentikasi biometrik
hanya menggunakan sampel titik data dari karakter
teristik. Misalnya, alih-alih menyimpan sidik jari lengkap, sistem hanya mencatat ada
atau tidaknya suatu fitur di sejumlah titik data, menghasilkan serangkaian digit biner
dengan angka 1 menunjukkan bahwa suatu fitur ada dan angka 0 menunjukkan bahwa
fitur tersebut ada. bukan. Kemudian membandingkan rangkaian digit biner tersebut
dengan sampel yang disimpan saat orang tersebut mendaftar ke sistem dan membuat
kredensial biometriknya. Karena sistem menggunakan sampel, penerimaan atau
penolakan didasarkan pada apakah data biometrik yang dikumpulkan saat mencoba
login melebihi
persentase kecocokan ambang batas yang ditetapkan oleh organisasi. Akibatnya, jika
orang tersebut tidak menggunakan tekanan yang sama ketika mencoba menggunakan
pemindai sidik jari untuk login atau mengubah gaya rambutnya atau sedang pilek,
sampel biometrik yang dihasilkan mungkin tidak cukup cocok dengan yang disimpan
dan orang tersebut akan salah. ditolak. Itulah sebabnya banyak perangkat
menggunakan PIN sebagai cara alternatif untuk mengautentikasi jika biometrik gagal.
Sebaliknya, seseorang
dengan karakteristik yang cukup mirip (misalnya kembar identik) mungkin “menipu”
sistem dan diberikan akses secara tidak semestinya (penerimaan yang salah).
Ada juga kekhawatiran keamanan mengenai penyimpanan informasi biometrik itu
sendiri. Templat biometrik, seperti representasi digital dari sidik jari atau suara
seseorang, harus disimpan di suatu tempat. Kompromi terhadap templat-templat itu
akan menciptakan kehidupan yang serius
masalah panjang bagi donor karena karakteristik biometrik, tidak seperti kata sandi
atau token fisik, tidak dapat diganti atau diubah. Selain itu, banyak kredensial
biometrik yang tidak dapat digunakan oleh semua orang. Misalnya, penderita Cerebral
Palsy atau Multiple Sclerosis tidak dapat menggunakan pemindai sidik jari, dan
beberapa agama mungkin tidak menyetujui penggunaan sistem identifikasi wajah.
Akibatnya, untuk menghindari potensi masalah hukum yang timbul dari diskriminasi
terhadap kelompok tertentu, organisasi yang ingin menggunakan biometrik harus
menggunakan beberapa biometrik alternatif, yang menambah biaya dan kompleksitas
yang terkait dengan pengintegrasian dan pengelolaan berbagai biometrik.
sistem. Meskipun tidak satu pun dari tiga kredensial autentikasi dasar yang dapat
digunakan dengan mudah, penggunaan dua atau ketiga jenis tersebut secara
bersamaan, sebuah proses yang disebut autentikasi multifaktor , cukup efektif.
Misalnya, mengharuskan pengguna untuk memasukkan kartu pintar ke pembaca kartu
dan memasukkan kata sandi akan memberikan autentikasi yang jauh lebih kuat
dibandingkan hanya menggunakan salah satu metode saja. Dalam beberapa situasi,
menggunakan beberapa kredensial dengan tipe yang sama, suatu proses disebut multi
otentikasi modal , juga dapat meningkatkan keamanan. Misalnya, banyak situs
perbankan online menggunakan beberapa hal yang diketahui seseorang (kata sandi,
ID pengguna, dan pengenalan gambar grafik) untuk otentikasi. Demikian pula, karena
sebagian besar laptop kini dilengkapi dengan kamera dan mikrofon, ditambah
pembaca sidik jari, otentikasi biometrik multimodal yang melibatkan kombinasi
pengenalan wajah, suara, dan sidik jari dapat digunakan untuk memverifikasi
identitas. Otentikasi multifaktor dan otentikasi multimodal adalah contoh penerapan
prinsip pertahanan mendalam. Namun, otentikasi multifaktor lebih baik daripada
multimodal tidak mempengaruhi kemungkinan berhasilnya kompromi yang lain.
Misalnya, membobol kata sandi seseorang tidak mempengaruhi kemungkinan
pencurian kartu pintarnya. Sebaliknya, membobol kata sandi seseorang dapat
mempermudah memperoleh jawaban atas keamanan apa pun.
pertanyaan karena orang tersebut mungkin menggunakan kata sandi yang sama untuk
akun media sosialnya. Kata sandi kemungkinan besar akan terus digunakan sebagai
bagian dari proses autentikasi karena dapat dimasukkan di perangkat jenis apa pun.
Memang benar, dalam beberapa situasi, misalnya di kios umum, ini mungkin satu-
satunya jenis kredensial yang dapat digunakan dengan mudah. Oleh karena itu, Fokus
11-3 membahas prinsip-prinsip yang menentukan kekuatan kata sandi sebagai
kredensial autentikasi.

Penting untuk mengautentikasi tidak hanya orang tetapi juga setiap perangkat yang
mencoba terhubung ke jaringan. Setiap stasiun kerja, printer, atau perangkat
komputasi lainnya memerlukan kartu antarmuka jaringan (NIC) untuk terhubung ke
jaringan internal organisasi. Setiap NIC memiliki pengidentifikasi unik, yang disebut
sebagai alamat kontrol akses media (MAC). Oleh karena itu, organisasi dapat
membatasi akses jaringan hanya pada perangkat milik perusahaan dengan
membandingkan MAC perangkat tersebut dengan daftar alamat MAC yang dikenali.
Namun, perangkat lunak dapat digunakan untuk mengubah perangkat
alamat MAC, sehingga memungkinkan pengguna jahat untuk “memalsukan” identitas
perangkat mereka. Cara yang lebih kuat untuk mengautentikasi perangkat melibatkan
penggunaan sertifikat digital yang menggunakan teknik enkripsi untuk menetapkan
pengidentifikasi unik ke setiap perangkat. Sertifikat digital dan enkripsi dibahas di
Bab 12.
KONTROL OTORISASI Otorisasi adalah proses membatasi akses pengguna yang
diautentikasi ke bagian tertentu dari sistem dan membatasi tindakan apa yang boleh
mereka lakukan. Seperti yang dijelaskan oleh praktik manajemen COBIT 2019
DSS06.03, tujuannya adalah untuk menyusun hak dan hak istimewa setiap karyawan
dengan cara yang menetapkan dan mempertahankan pemisahan tugas yang memadai.
Misalnya, perwakilan layanan pelanggan tidak boleh demikian
berwenang untuk mengakses sistem penggajian. Selain itu, perwakilan layanan
pelanggan harus diizinkan hanya untuk membaca, namun tidak mengubah, harga
barang inventaris. Kontrol otorisasi sering kali diterapkan dengan membuat matriks
kontrol akses (Gambar 11-4). Ketika karyawan yang diautentikasi mencoba
mengakses sumber daya sistem informasi tertentu, sistem melakukan uji
kompatibilitas yang mencocokkan kredensial otentikasi pengguna dengan matriks
kontrol akses untuk menentukan apakah karyawan tersebut harus diizinkan
mengakses sumber daya tersebut dan melakukan tindakan yang diminta. Penting
untuk memperbarui matriks kontrol akses secara berkala untuk mencerminkan
perubahan dalam tugas pekerjaan karena promosi atau mutasi. Jika tidak, seiring
berjalannya waktu, seorang karyawan dapat memperoleh serangkaian hak dan
keistimewaan yang tidak sesuai dengan pemisahan tugas yang tepat.
Gambar 11-5 menunjukkan bagaimana informasi yang terdapat dalam matriks kontrol
akses digunakan untuk mengimplementasikan kontrol otorisasi dalam sistem ERP.
Bagian atas tangkapan layar menunjukkan bahwa untuk setiap peran karyawan, sistem
menyediakan sejumlah kombinasi izin yang telah ditentukan sebelumnya untuk
menerapkan pembatasan akses umum. Misalnya, entri pertama (Pembatasan
Karyawan) membuka kotak dialog yang menanyakan apakah karyawan dalam peran
ini dapat melihat catatan untuk karyawan lain (sesuai untuk manajer) atau hanya milik
mereka sendiri. Bagian bawah dari
tangkapan layar menunjukkan bahwa kontrol dapat dirancang untuk setiap aktivitas
spesifik yang dilakukan oleh peran karyawan ini. Mengklik kata “Edit” di sebelah
kanan aktivitas tertentu akan menampilkan layar lain di mana izin khusus (baca, edit,
buat, hapus) dapat ditetapkan ke subkumpulan rekaman tertentu dan bahkan ke bidang
dalam rekaman tersebut. Kontrol dan pemisahan tugas yang lebih besar dapat dicapai
dengan menggunakan sistem manajemen proses bisnis untuk menanamkan otorisasi
ke dalam proses bisnis otomatis, daripada mengandalkan matriks kontrol akses statis.
Misalnya, otorisasi hanya dapat diberikan untuk melakukan tugas tertentu untuk
transaksi tertentu. Jadi, karyawan tertentu
mungkin diizinkan untuk mengakses informasi kredit tentang pelanggan yang saat ini
meminta layanan, namun secara bersamaan dicegah untuk “menelusuri” seluruh file
pelanggan. Selain itu, sistem manajemen proses bisnis menerapkan pemisahan tugas
karena karyawan hanya dapat melakukan tugas spesifik yang telah ditetapkan oleh
sistem. Karyawan tidak dapat menghapus tugas dari daftar tugas yang diberikan
kepada mereka, dan sistem mengirimkan pesan pengingat hingga tugas tersebut
selesai—dua langkah lagi yang semakin meningkatkan kontrol. Perangkat lunak
manajemen proses bisnis juga dapat secara instan merutekan transaksi yang
memerlukan otorisasi khusus
(seperti penjualan kredit di atas jumlah tertentu) secara elektronik kepada manajer
untuk mendapatkan persetujuan. Transaksi tidak dapat dilanjutkan sampai otorisasi
diberikan, namun karena kebutuhan akan persetujuan tersebut ditunjukkan dan
diberikan atau ditolak secara elektronik, pengendalian penting ini diterapkan tanpa
mengorbankan efisiensi.
Seperti kontrol autentikasi, kontrol otorisasi dapat dan harus diterapkan tidak hanya
pada orang tetapi juga pada perangkat. Misalnya, memasukkan alamat MAC atau
sertifikat digital dalam matriks kontrol akses memungkinkan untuk membatasi akses
ke sistem penggajian dan file induk penggajian hanya untuk karyawan departemen
penggajian dan hanya ketika mereka masuk dari desktop atau komputer laptop yang
ditugaskan. Lagi pula, mengapa petugas penggajian harus login dari stasiun kerja
yang berlokasi di gudang atau mencoba membuat akses dial-in dari negara lain?
Menerapkan kontrol autentikasi dan otorisasi pada manusia dan perangkat adalah cara
lain untuk meningkatkan keamanan secara mendalam.
SOLUSI IT: KONTROL ANTIMALWARE
Malware (misalnya virus, worm, perangkat lunak pencatat keystroke, dll.) merupakan
ancaman besar. Malware dapat merusak atau menghancurkan informasi atau
menyediakan sarana untuk akses tidak sah. Oleh karena itu, COBIT 2019 bagian
DSS05.01 mencantumkan perlindungan malware sebagai salah satu kunci keamanan
yang efektif, secara khusus merekomendasikan hal berikut:
1. Pendidikan kesadaran perangkat lunak berbahaya.
2. Pemasangan alat perlindungan antimalware di semua perangkat.
3. Manajemen patch dan pembaruan perangkat lunak antimalware yang terpusat.
4. Tinjauan rutin terhadap ancaman malware baru.
5. Memfilter lalu lintas masuk untuk memblokir sumber malware potensial.
6. Melatih karyawan untuk tidak menginstal perangkat lunak yang tidak disetujui.
SOLUSI IT: KONTROL AKSES JARINGAN
Sebagian besar organisasi memberi karyawan, pelanggan, dan pemasok akses jarak
jauh ke sistem informasi mereka. Biasanya akses ini terjadi melalui Internet, namun
beberapa organisasi masih mempertahankan jaringan milik mereka sendiri atau
menyediakan akses dial-up langsung melalui modem. Banyak organisasi juga
menyediakan akses nirkabel ke sistem mereka. Sekarang kita membahas berbagai
metode yang dapat digunakan untuk memenuhi praktik manajemen COBIT 2019
DSS05.02, yang membahas
keamanan jaringan organisasi dan segala cara untuk menghubungkannya.
PERTAHANAN PERIMETER: ROUTER, FIREWALL, DAN SISTEM
PENCEGAHAN INTRUSI
Gambar 11-6 menunjukkan hubungan antara sistem informasi organisasi dan Internet.
Perangkat yang disebut router perbatasan menghubungkan sistem informasi
organisasi ke Internet. Di belakang router perbatasan terdapat firewall utama , yang
dapat berupa perangkat keras tujuan khusus atau perangkat lunak yang dijalankan
pada komputer tujuan umum, yang mengontrol komunikasi masuk dan keluar antara
sistem di belakang firewall dan sistem lainnya.
jaringan. Zona demiliterisasi (DMZ) adalah jaringan terpisah yang terletak di luar
sistem informasi internal organisasi yang memungkinkan akses terkontrol dari
Internet ke sumber daya tertentu, seperti server web e-commerce organisasi. Bersama-
sama, router perbatasan dan firewall bertindak sebagai filter untuk mengontrol
informasi mana yang diperbolehkan masuk dan keluar dari sistem informasi
organisasi. Untuk memahami cara kerjanya, pertama-tama perlu dibahas secara
singkat bagaimana informasi dikirimkan di Internet.
Gambar 11-7 menunjukkan bahwa ketika Anda mengirim file (dokumen, spreadsheet,
database, dll.) ke orang lain atau ke printer, seluruh file jarang dikirimkan secara utuh.
Dalam kebanyakan kasus, itu dipecah menjadi serangkaian potongan-potongan kecil
yang dikirim satu per satu dan dipasang kembali setelah pengiriman. Alasan
terjadinya hal ini adalah karena hampir setiap jaringan area lokal menggunakan
protokol Ethernet, yang dirancang untuk mengirimkan informasi dalam paket dengan
ukuran maksimum sekitar 1.440 byte (1,4 kB). Namun, sebagian besar file jauh lebih
besar dan karenanya dibagi menjadi ribuan paket. Setiap paket harus diberi label
dengan benar sehingga seluruh file dapat disusun kembali dengan benar di tujuan.
Informasi yang harus dicapai terdapat dalam header Protokol Kontrol Transmisi
(TCP), Protokol Internet (IP), dan Ethernet. Header TCP berisi bidang yang
menentukan posisi berurutan paket tersebut dalam kaitannya dengan keseluruhan file
dan nomor port (alamat) pada perangkat pengirim dan penerima dari mana file
tersebut berada.
berasal dan di mana ia akan dipasang kembali. Header IP berisi kolom yang
menentukan alamat jaringan (alamat IP) perangkat pengirim dan penerima. Router
adalah perangkat dengan tujuan khusus yang dirancang untuk membaca kolom alamat
sumber dan tujuan di header paket IP untuk memutuskan ke mana harus mengirim
(merutekan) paket berikutnya. Header Ethernet berisi alamat MAC perangkat
pengirim dan penerima, yang digunakan untuk mengontrol arus lalu lintas lokal
jaringan area (LAN).
Mengontrol Akses dengan Memfilter Paket. Router dan firewall mengontrol akses
dengan memfilter paket individual. Organisasi memiliki satu atau lebih router
perbatasan yang menghubungkan jaringan internal mereka ke Penyedia Layanan
Internet. Router perbatasan dan firewall utama organisasi menggunakan seperangkat
aturan IF-THEN, yang disebut daftar kontrol akses (ACL) , untuk menentukan apa
yang harus dilakukan dengan paket yang datang.
Gambar 11-8 adalah tangkapan layar dari alat bernama Wireshark dan menunjukkan
tampilan paket. Aturan IF-THEN di ACL mengacu pada konten kolom tertentu di
header paket. Router perbatasan harus memeriksa bidang alamat IP tujuan di header
paket IP untuk menentukan apakah paket tersebut ditujukan untuk organisasi atau
harus diteruskan kembali ke Internet. Jika alamat IP tujuan paket adalah organisasi,
aturannya di
ACL router perbatasan memeriksa bidang alamat sumber di header paket IP untuk
memblokir paket dari sumber tertentu yang tidak diinginkan (misalnya, situs
perjudian atau situs porno yang diketahui). Semua paket lain dengan alamat IP
organisasi di bidang tujuan diteruskan ke firewall utama untuk penyaringan lebih
lanjut. Aturan di ACL firewall utama organisasi melihat bidang lain di header paket
IP dan TCP untuk menentukan apakah akan memblokir paket masuk atau
mengizinkannya untuk diblokir.
memasuki. Namun perlu diperhatikan bahwa firewall tidak memblokir semua lalu
lintas, namun hanya memfilternya. Itulah sebabnya semua firewall pada Gambar 11-6
mempunyai lubang di dalamnya—untuk menunjukkan bahwa jenis lalu lintas tertentu
dapat melewatinya. Proses yang dijelaskan dalam paragraf sebelumnya yaitu
memeriksa berbagai bidang dalam IP paket dan header TCP untuk memutuskan apa
yang harus dilakukan dengan paket tersebut disebut sebagai pemfilteran paket .
Pemfilteran paket cepat dan dapat menangkap lalu lintas yang tidak diinginkan,
namun efektivitasnya terbatas.
Lalu lintas yang tidak diinginkan dapat masuk jika alamat IP sumber tidak ada dalam
daftar sumber yang tidak dapat diterima atau jika pengirim dengan sengaja
menyamarkan alamat sumber sebenarnya. Jadi, sama seperti penyensoran surat fisik
akan lebih efektif jika setiap amplop atau paket dibuka dan diperiksa, kendali atas lalu
lintas jaringan akan lebih efektif jika firewall memeriksa data sebenarnya (yaitu,
bagian file yang terdapat dalam paket TCP), a proses yang disebut sebagai inspeksi
paket mendalam . Misalnya, firewall aplikasi web menggunakan inspeksi paket
mendalam untuk melindungi server web e-niaga organisasi dengan lebih baik dengan
memeriksa konten paket masuk untuk mengizinkan permintaan data menggunakan
perintah HTML “get”, namun memblokir upaya untuk menggunakan “put” HTML.
perintah yang dapat digunakan untuk merusak situs web. Namun, kontrol tambahan
yang diberikan oleh inspeksi paket mendalam harus mengorbankan kecepatan:
Dibutuhkan lebih banyak waktu untuk memeriksa hingga 1,4 kB data dalam sebuah
paket dibandingkan hanya 40 byte atau lebih di header IP dan TCP. Oleh karena itu,
hanya firewall yang melakukan pemeriksaan paket mendalam; router tidak. Jika
router dan firewall memeriksa paket individual, sistem pencegahan intrusi jaringan
(IPS) memantau pola arus lalu lintas untuk mengidentifikasi dan secara otomatis
memblokir serangan. Hal ini penting karena memeriksa pola lalu lintas seringkali
merupakan satu-satunya cara untuk mengidentifikasi aktivitas yang tidak diinginkan.
Misalnya, firewall aplikasi web yang melakukan inspeksi paket mendalam akan
mengizinkan paket masuk yang berisi perintah HTML yang diizinkan untuk
terhubung ke port TCP 80 dan 443 di server web e-commerce organisasi, namun akan
memblokir semua paket masuk.
paket ke port TCP lain di server web. Tindakan firewall terbatas pada melindungi
server web. Sebaliknya, jaringan IPS dapat mengidentifikasi bahwa rangkaian paket
yang mencoba terhubung ke berbagai port TCP di server web e-commerce merupakan
indikator upaya untuk memindai dan memetakan server web (langkah 3 dalam proses
target serangan seperti yang dibahas dalam Bab 6). IPS tidak hanya akan memblokir
paket yang melanggar, tetapi juga akan memblokir semua lalu lintas berikutnya yang
berasal dari sumber tersebut dan memberi tahu administrator keamanan bahwa upaya
pemindaian sedang berlangsung. Oleh karena itu, IPS memberikan peluang untuk
merespons serangan secara real-time. IPS jaringan terdiri dari sekumpulan sensor dan
unit monitor pusat yang menganalisis
data dikumpulkan. Sensor harus dipasang pada setiap segmen jaringan yang ingin
dipantau secara real-time. Misalnya, dengan arsitektur jaringan yang digambarkan
pada Gambar 11-6, organisasi mungkin menempatkan sensor IPS di DMZ, di
belakang firewall utama, dan di belakang masing-masing firewall yang digunakan
untuk mensegmentasi bagian-bagian jaringan internal. IPS menggunakan dua teknik
utama untuk mengidentifikasi pola lalu lintas yang tidak diinginkan. Pendekatan
paling sederhana adalah membandingkan pola lalu lintas dengan database tanda
tangan serangan yang diketahui. Pendekatan yang lebih canggih melibatkan
pengembangan profil lalu lintas “normal” dan menggunakan analisis statistik untuk
mengidentifikasi paket yang tidak sesuai dengan profil tersebut. Keunggulan
pendekatan ini adalah tidak hanya memblokir serangan yang diketahui, yang sudah
ada tanda tangannya, namun juga serangan baru.
Menggunakan Pertahanan Mendalam untuk Membatasi Akses Jaringan.
Penggunaan beberapa perangkat filter perimeter lebih efisien dan efektif
dibandingkan hanya mengandalkan satu perangkat. Oleh karena itu, sebagian besar
organisasi menggunakan router perbatasan untuk dengan cepat menyaring paket-paket
yang jelas-jelas buruk dan meneruskan sisanya ke firewall utama. Firewall utama
melakukan pemeriksaan lebih rinci, dan kemudian firewall lain melakukan
pemeriksaan paket mendalam untuk melindungi perangkat tertentu secara lebih
lengkap seperti server web organisasi dan server email. Selain itu, IPS memantau lalu
lintas yang dilewati oleh firewall untuk mengidentifikasi dan memblokir pola lalu
lintas jaringan mencurigakan yang mungkin mengindikasikan bahwa serangan sedang
berlangsung. Gambar 11-6 mengilustrasikan satu dimensi lain dari konsep pertahanan
mendalam: penggunaan beberapa firewall internal untuk mensegmentasi berbagai
departemen dalam organisasi. Ingatlah bahwa banyak insiden keamanan melibatkan
karyawan, bukan pihak luar. Firewall internal membantu membatasi data dan bagian
mana dari sistem informasi organisasi karyawan tertentu
dapat mengakses. Hal ini tidak hanya meningkatkan keamanan tetapi juga
memperkuat pengendalian internal dengan menyediakan sarana untuk menegakkan
pemisahan tugas.
MENGAMANKAN AKSES NIRKABEL Akses nirkabel nyaman dan mudah,
namun juga menyediakan tempat lain untuk menyerang dan memperluas batas yang
harus dilindungi. Misalnya, sejumlah perusahaan telah mengalami insiden keamanan
di mana penyusup memperoleh akses nirkabel tidak sah ke jaringan perusahaan
organisasi dari laptop sambil duduk di dalam mobil yang diparkir di luar gedung.
Memantau tempat parkir saja tidak cukup karena sinyal nirkabel sering kali dapat
ditangkap bermil-mil jauhnya. Gambar 11-6 menunjukkan bahwa bagian penting dari
pengamanan akses nirkabel adalah dengan menempatkan semua titik akses nirkabel
(perangkat yang menerima komunikasi nirkabel masuk dan mengizinkan perangkat
pengirim untuk terhubung ke jaringan organisasi) di DMZ. Ini memperlakukan semua
akses nirkabel seolah-olah datang dari Internet dan memaksa semua lalu lintas
nirkabel melewati firewall utama dan IPS apa pun yang digunakan untuk melindungi
perimeter jaringan internal. Selain itu, prosedur berikut perlu diikuti untuk
mengamankan akses nirkabel secara memadai:
● Aktifkan fitur keamanan yang tersedia. Sebagian besar peralatan nirkabel dijual dan
dipasang dengan fitur-fitur ini dinonaktifkan. Misalnya, konfigurasi instalasi default
untuk sebagian besar router nirkabel tidak mengaktifkan enkripsi. Otentikasi semua
perangkat yang mencoba membuat akses nirkabel ke jaringan sebelum memberinya
alamat IP. Hal ini dapat dilakukan dengan memperlakukan koneksi nirkabel yang
masuk sebagai upaya mengakses jaringan dari Internet dan merutekannya terlebih
dahulu melalui server akses jarak jauh atau perangkat otentikasi lainnya.
● Konfigurasikan semua perangkat nirkabel resmi untuk beroperasi hanya dalam
mode infrastruktur, yang memaksa perangkat untuk terhubung hanya ke titik akses
nirkabel. (Perangkat nirkabel juga dapat diatur untuk beroperasi dalam mode ad hoc,
yang memungkinkannya berkomunikasi langsung dengan perangkat nirkabel lainnya.
Ini merupakan ancaman keamanan karena menciptakan jaringan peer-to-peer dengan
sedikit atau tanpa kontrol otentikasi.) Selain itu , tentukan terlebih dahulu daftar
alamat MAC resmi, dan konfigurasikan titik akses nirkabel untuk menerima koneksi
hanya jika alamat MAC perangkat ada dalam daftar resmi.
● Gunakan nama yang tidak informatif untuk alamat titik akses, yang disebut service
set identifier (SSID). SSID seperti “payroll”, “finance”, atau “R&D” merupakan
target yang lebih jelas untuk diserang dibandingkan perangkat dengan SSID generik
seperti “A1” atau “X2.”
● Mengurangi kekuatan siaran titik akses nirkabel, menempatkannya di bagian dalam
gedung, dan menggunakan antena pengarah untuk mempersulit penerimaan tidak sah
di luar lokasi. Cat khusus dan kaca film juga dapat digunakan untuk menampung
sinyal nirkabel di dalam gedung.
● Enkripsi semua lalu lintas nirkabel. Hal ini sangat penting untuk melindungi
kerahasiaan dan privasi komunikasi nirkabel karena komunikasi nirkabel
ditransmisikan “melalui udara” dan oleh karena itu rentan terhadap intersepsi yang
tidak sah.
Terakhir, mudah dan murah bagi karyawan untuk memasang titik akses nirkabel tidak
sah di kantor mereka. Oleh karena itu, staf keamanan informasi atau audit internal
harus secara berkala menguji keberadaan titik akses jahat tersebut, menonaktifkan
semua titik akses yang ditemukan, dan mendisiplinkan karyawan yang bertanggung
jawab untuk memasangnya dengan tepat.
SOLUSI IT: KONTROL PENGERASAN PERANGKAT DAN PERANGKAT
LUNAK
Firewall dan IPS dirancang untuk melindungi perimeter jaringan. Namun, sama
seperti banyak rumah dan bisnis yang melengkapi kunci pintu eksterior dan sistem
alarm dengan lemari terkunci dan brankas untuk menyimpan barang-barang berharga,
sebuah organisasi harus meningkatkan keamanan sistem informasi dengan
melengkapi kontrol preventif pada perimeter jaringan dengan kontrol preventif
tambahan pada stasiun kerja, server, printer. , dan perangkat lain (secara kolektif
disebut sebagai titik akhir ) yang membentuk jaringan organisasi. Praktik manajemen
COBIT 2019 DSS05.03 menjelaskan aktivitas yang terlibat dalam pengelolaan
keamanan titik akhir. Tiga area yang perlu mendapat perhatian khusus: (1) konfigurasi
titik akhir, (2) manajemen akun pengguna, dan (3) perangkat lunak
desain.
KONFIGURASI TITIK AKHIR Titik akhir dapat dibuat lebih aman dengan
memodifikasi konfigurasinya. Konfigurasi default pada sebagian besar perangkat
biasanya mengaktifkan sejumlah besar pengaturan opsional yang jarang, jika pernah,
digunakan. Demikian pula, instalasi default pada banyak sistem operasi mengaktifkan
banyak program tujuan khusus, yang disebut layanan , yang tidak penting.
Mengaktifkan fitur yang tidak diperlukan dan layanan tambahan akan meningkatkan
kemungkinan keberhasilan instalasi tanpa memerlukan dukungan pelanggan. Namun
kemudahan ini harus mengorbankan kelemahan keamanan. Setiap program yang
berjalan mewakili titik serangan potensial karena program tersebut mungkin
mengandung kelemahan, yang disebut kerentanan, yang dapat dieksploitasi untuk
membuat sistem crash atau mengambil alih kendali. Oleh karena itu, program dan
fitur opsional apa pun tidak digunakan
harus dinonaktifkan. Alat yang disebut pemindai kerentanan dapat digunakan untuk
mengidentifikasi program yang tidak digunakan dan, oleh karena itu, tidak diperlukan
yang mewakili potensi ancaman keamanan.
Ukuran dan kompleksitas program perangkat lunak yang terus meningkat hampir
menjamin bahwa program tersebut mengandung banyak kerentanan. Untuk
memahami alasannya, pertimbangkan bahwa banyak program berisi jutaan baris kode.
Bahkan jika kode tersebut 99,99% bebas dari “bug”, itu berarti bahwa untuk setiap
juta baris kode kemungkinan besar terdapat 100 kemungkinan masalah yang dapat
menunjukkan kerentanan. Itulah sebabnya baik penyerang maupun perusahaan
konsultan keamanan terus-menerus menguji kerentanan perangkat lunak yang banyak
digunakan. Setelah kerentanan teridentifikasi, penting untuk mengambil langkah tepat
waktu untuk memperbaikinya karena tidak akan lama sebelum eksploitasi , yaitu
program yang dirancang untuk memanfaatkan kerentanan yang diketahui, akan
tercipta. Meskipun dibutuhkan keahlian yang tinggi untuk membuat sebuah
eksploitasi, setelah dipublikasikan di Internet, eksploitasi tersebut dapat dengan
mudah digunakan oleh siapa saja.
Ketersediaan banyak eksploitasi dan kemudahan penggunaannya menjadikannya
penting
agar organisasi dapat mengambil langkah-langkah untuk segera memperbaiki
kerentanan yang diketahui pada perangkat lunak yang mereka gunakan. Patch adalah
kode yang dirilis oleh pengembang perangkat lunak yang memperbaiki kerentanan
tertentu. Manajemen patch adalah proses penerapan patch dan pembaruan secara
berkala pada semua perangkat lunak yang digunakan oleh organisasi. Banyak insiden
keamanan terjadi karena organisasi gagal menginstal patch secara tepat waktu,
sehingga memungkinkan penjahat untuk mengeksploitasi kerentanan yang diketahui.
Namun, pengelolaan patch tidak semudah kedengarannya. Patch mewakili modifikasi
pada perangkat lunak yang sudah kompleks. Akibatnya, patch terkadang
menimbulkan masalah baru karena efek samping yang tidak terduga. Oleh karena itu,
organisasi perlu menguji secara hati-hati efek patch sebelum menerapkannya; jika
tidak, mereka berisiko membuat aplikasi penting mogok. Masalah yang lebih rumit
adalah kenyataan bahwa kemungkinan besar terdapat beberapa patch yang dirilis
setiap tahun untuk setiap program perangkat lunak yang digunakan oleh suatu
organisasi. Oleh karena itu, organisasi mungkin menghadapi tugas menerapkan
ratusan patch pada ribuan mesin setiap tahunnya. Ini adalah salah satu bidang di mana
IPS sangat menjanjikan. Jika IPS dapat dengan cepat diperbarui dengan informasi
yang diperlukan untuk merespons kerentanan baru dan memblokir eksploitasi baru,
organisasi dapat menggunakan IPS untuk mengulur waktu yang diperlukan untuk
menguji patch secara menyeluruh sebelum menerapkannya. Proses memodifikasi
konfigurasi default titik akhir untuk menghilangkan pengaturan dan layanan yang
tidak perlu disebut pengerasan . Selain pengerasan, setiap titik akhir harus
menjalankan perangkat lunak antivirus dan firewall yang diperbarui secara berkala.
Mungkin juga diinginkan untuk menginstal perangkat lunak pencegahan intrusi secara
langsung pada titik akhir untuk mencegah upaya yang tidak sah
untuk mengubah konfigurasi perangkat yang diperkeras.
MANAJEMEN AKUN PENGGUNA COBIT 2019 praktik manajemen DSS05.04
menekankan perlunya mengelola semua akun pengguna dengan hati-hati, terutama
akun yang memiliki hak (administratif) tidak terbatas di komputer tersebut. Hak
administratif diperlukan untuk menginstal perangkat lunak dan mengubah sebagian
besar pengaturan konfigurasi. Kemampuan hebat ini menjadikan akun dengan hak
administratif sebagai target utama penyerang. Oleh karena itu, karyawan yang
memerlukan kekuasaan administratif pada komputer tertentu harus diberikan dua
akun: satu dengan hak administratif dan satu lagi yang memiliki hak istimewa
terbatas. Karyawan ini harus dilatih untuk login
di bawah akun terbatas mereka untuk melakukan tugas rutin sehari-hari dan untuk
masuk ke akun administratif mereka hanya ketika mereka perlu melakukan beberapa
tindakan, seperti menginstal perangkat lunak baru, yang memerlukan hak
administratif. Sangat penting bagi karyawan untuk menggunakan akun pengguna
reguler terbatas saat menjelajahi web atau membaca email. Dengan cara ini, jika
karyawan mengunjungi situs web yang disusupi atau membuka email yang terinfeksi,
penyerang hanya akan memperoleh hak terbatas pada mesin tersebut. Meskipun
penyerang dapat menggunakan alat lain untuk mendapatkan hak administratif pada
mesin tersebut, kontrol keamanan lain mungkin mendeteksi dan menggagalkan upaya
untuk meningkatkan hak istimewa tersebut sebelum dapat diselesaikan. Sebaliknya,
jika karyawan tersebut menggunakan akun dengan hak administratif, malware akan
sepenuhnya menyusupi perangkat sebelum kontrol lain dapat mendeteksi adanya
masalah. Terakhir, penting untuk mengubah kata sandi default pada semua akun
administratif yang dibuat selama instalasi awal perangkat lunak atau perangkat keras
apa pun karena nama akun tersebut dan kata sandi defaultnya tersedia untuk umum di
Internet dan dengan demikian memberikan cara mudah bagi penyerang untuk
menyusupi sistem.
DESAIN PERANGKAT LUNAK Ketika organisasi meningkatkan efektivitas
kontrol keamanan perimeter mereka, penyerang semakin menargetkan kerentanan
dalam program aplikasi. Buffer overflow, injeksi SQL, dan skrip lintas situs adalah
contoh umum serangan terhadap perangkat lunak yang berjalan di situs web. Semua
serangan ini mengeksploitasi perangkat lunak yang ditulis dengan buruk sehingga
tidak memeriksa secara menyeluruh masukan yang diberikan pengguna sebelum
diproses lebih lanjut. Pertimbangkan tugas umum meminta masukan pengguna seperti
nama dan alamat. Sebagian besar program menyisihkan sejumlah memori tetap, yang
disebut sebagai buffer, untuk menampung input pengguna. Namun, jika program tidak
hati-hati memeriksa ukuran data yang dimasukkan, penyerang dapat memasukkan
jumlah data berkali-kali lipat dari yang diharapkan dan menyebabkan buffer meluap.
Kelebihan data dapat ditulis ke area memori yang biasanya digunakan untuk
menyimpan dan menjalankan perintah. Dalam kasus seperti itu, sebuah di
tacker mungkin dapat mengambil kendali mesin dengan mengirimkan perintah yang
dibuat dengan cermat dalam kelebihan data. Demikian pula, serangan injeksi SQL
terjadi setiap kali perangkat lunak aplikasi web yang berinteraksi dengan server
database tidak memfilter input pengguna, sehingga memungkinkan penyerang untuk
menanamkan perintah SQL dalam permintaan entri data dan menjalankan perintah
tersebut di server database. Serangan skrip lintas situs terjadi ketika perangkat lunak
aplikasi web tidak memfilter masukan pengguna dengan hati-hati sebelum
mengembalikan data apa pun ke browser, dalam hal ini browser korban akan
mengeksekusi skrip berbahaya apa pun yang tertanam. Tema umum dalam semua
serangan ini adalah kegagalan untuk “menggosok” masukan pengguna untuk
menghapus kode yang berpotensi berbahaya. Solusinya adalah dengan melatih
pemrogram untuk memperlakukan semua masukan dari pengguna eksternal sebagai
tidak dapat dipercaya dan memeriksanya dengan cermat sebelum melakukan tindakan
lebih lanjut. Untuk mencegah serangan skrip lintas situs, pemrogram juga perlu
memfilter semua keluaran yang dikembalikan ke browser untuk menghapus skrip
yang tertanam. Teknik pemrograman yang buruk tidak hanya berdampak pada
kode yang dibuat secara internal tetapi juga perangkat lunak yang dibeli dari pihak
ketiga. Oleh karena itu, bagian BAI03 dari kerangka COBIT 2019 menetapkan
perlunya merancang keamanan secara hati-hati ke dalam semua aplikasi baru dan
bagian APO10 menetapkan praktik terbaik untuk mengelola risiko yang terkait
dengan pembelian perangkat lunak.
SOLUSI IT: ENKRIPSI
Enkripsi memberikan lapisan pertahanan terakhir untuk mencegah akses tidak sah ke
informasi sensitif. Kami membahas enkripsi secara lebih rinci di Bab 12 karena
pentingnya mencapai prinsip keamanan dalam melindungi kerahasiaan informasi
organisasi dan privasi informasi pribadi yang dikumpulkan dari pelanggan, karyawan,
dan mitra bisnis.