Marshall B. Romney - Accounting Information Systems (2021, Pearson Education Limited) (1) - 361-394 (1) .En - Id

Diterjemahkan dari bahasa Inggris ke bahasa Indonesia - www.onlinedoctranslator.
com
BAB
11
Kontrol untuk Keamanan
Informasi
TUJUAN PEMBELAJARAN
Setelah mempelajari bab ini, Anda seharusnya mampu:
1.Jelaskan bagaimana keamanan dan empat prinsip lainnya dalam Trust Services Framework
mempengaruhi keandalan sistem.
2.Jelaskan tiga konsep dasar: mengapa keamanan informasi merupakan masalah

manajemen, bagaimana perilaku masyarakat berdampak pada keamanan, dan model
keamanan informasi berbasis waktu.
3.Jelaskan kontrol yang dapat digunakan untuk melindungi informasi

organisasi.
4.Jelaskan pengendalian yang dapat digunakan untuk mendeteksi secara tepat waktu bahwa sistem
informasi organisasi sedang diserang.
5.Diskusikan bagaimana organisasi dapat merespons serangan terhadap sistem informasi mereka
secara tepat waktu.
6.Jelaskan bagaimana virtualisasi, komputasi awan, dan Internet of Things mempengaruhi

keamanan informasi.
KASUS INTEGRASI IVE Industri Barat Laut
Tugas Jason Scott selanjutnya adalah meninjau pengendalian internal atas sistem informasi Northwest
Industries. Jason memperoleh salinan COBIT 2019 dan terkesan dengan ketelitiannya. Namun, dia
memberi tahu temannya bahwa dia merasa kewalahan saat mencoba menggunakan COBIT 2019
untuk merencanakan auditnya terhadap Northwest Industries. Temannya menyarankan agar dia
memeriksa Trust Services Framework yang dikembangkan bersama oleh American Institute of
Certified Public Accountants (AICPA) dan Canadian Institute of Chartered Accountants (CICA) untuk
memandu auditor dalam menilai keandalan sistem informasi organisasi dan untuk melakukan layanan
pengesahan. terkait dengan keamanan siber. Setelah meninjau kerangka tersebut, Jason
menyimpulkan bahwa dia dapat menggunakannya untuk memandu upaya auditnya. Dia memutuskan
bahwa dia akan mulai dengan berfokus pada kontrol yang dirancang untuk disediakan
360
FuzzBones/Shutterstock
jaminan yang masuk akal tentang keamanan informasi. Dia menuliskan pertanyaan-pertanyaan
berikut yang akan memandu penyelidikannya:
1.Kontrol apa yang diterapkan Northwest Industries untuk mencegah akses tidak sah ke sistem
akuntansinya?
2.Bagaimana upaya yang berhasil dan gagal untuk mengkompromikan sistem akuntansi
perusahaan dapat dideteksi secara tepat waktu?
3.Prosedur apa yang diterapkan untuk merespons insiden keamanan?
Perkenalan
Manajemen menginginkan jaminan bahwa informasi yang dihasilkan oleh sistem akuntansi organisasi
dapat diandalkan. Manajemen juga menginginkan jaminan mengenai keandalan penyedia layanan
cloud yang dikontraknya. Terakhir, manajemen menginginkan jaminan bahwa organisasinya
mematuhi serangkaian persyaratan peraturan dan industri yang terus meningkat, termasuk
Sarbanes–Oxley (SOX), Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) dan
pembaruannya dalam Teknologi Informasi Kesehatan untuk Undang-Undang Kesehatan Ekonomi dan
Klinis (HITECH), Peraturan Privasi Data Umum (GDPR) Uni Eropa, dan Standar Keamanan Data Industri
Kartu Pembayaran (PCI-DSS).
Sebagaimana disebutkan dalam Bab 10, COBIT 2019 adalah kerangka komprehensif praktik terbaik
yang berkaitan dengan semua aspek tata kelola dan manajemen TI. Namun, dalam buku ini kami hanya
fokus pada bagian-bagian COBIT 2019 yang paling berkaitan langsung dengan keandalan sistem informasi
dan kepatuhan terhadap standar peraturan. Oleh karena itu, kami menyusun bab ini dan dua bab berikutnya
seputar prinsip-prinsip dalam Trust Services Framework, yang dikembangkan bersama oleh AICPA dan CICA
untuk memberikan panduan dalam menilai keandalan sistem informasi. Namun demikian, karena COBIT
2019 adalah kerangka kerja yang diakui secara internasional dan digunakan oleh banyak organisasi, auditor
dan akuntan harus memahaminya. Oleh karena itu, sepanjang diskusi kami, kami merujuk pada bagian
COBIT 2019 yang relevan dan berkaitan dengan setiap topik sehingga Anda dapat memahami bagaimana
prinsip-prinsip yang berkontribusi terhadap keandalan sistem juga penting untuk mengelola investasi
organisasi di bidang TI secara efektif.
Trust Services Framework mengatur pengendalian terkait TI menjadi lima prinsip yang secara bersama-sama
berkontribusi terhadap keandalan sistem:
1.Keamanan—akses (baik fisik maupun logis) ke sistem dan datanya dikontrol dan dibatasi
untuk pengguna yang sah.
2.Kerahasiaan—informasi organisasi yang sensitif (misalnya, rencana pemasaran, rahasia dagang)
dilindungi dari pengungkapan yang tidak sah.
361
362 BAGIAN IIIPENGENDALIAN SISTEM INFORMASI AKUNTANSI
GAMBAR 11-1
Hubungan Antar
Lima Prinsip Layanan Keandalan Sistem
Kepercayaan untuk Sistem
Keandalan
Integritas pemrosesan
Kerahasiaan
Ketersediaan
Fokus dari Fokus dari
Pribadi
Bab 12 Bab 13
Fokus dari
Keamanan
Bab 11
3.Pribadi—informasi pribadi tentang pelanggan, karyawan, pemasok, atau mitra bisnis

dikumpulkan, digunakan, diungkapkan, dan dipelihara hanya sesuai dengan kebijakan internal
dan persyaratan peraturan eksternal dan dilindungi dari pengungkapan yang tidak sah.
4.Integritas Pemrosesan—data diproses secara akurat, lengkap, tepat waktu, dan hanya
dengan otorisasi yang sesuai.
5.Ketersediaan—sistem dan informasinya tersedia untuk memenuhi kewajiban
operasional dan kontrak.
Seperti yang ditunjukkan Gambar 11-1, keamanan informasi adalah fondasi keandalan sistem dan
diperlukan untuk mencapai empat prinsip lainnya. Prosedur keamanan informasi membatasi akses
sistem hanya kepada pengguna yang berwenang, sehingga melindungi kerahasiaan data sensitif
organisasi dan privasi informasi pribadi yang dikumpulkan dari pelanggan. Prosedur keamanan
informasi melindungi integritas informasi dengan mencegah penyerahan transaksi yang tidak sah
atau fiktif dan mencegah perubahan tidak sah pada data atau program yang disimpan. Terakhir,
prosedur keamanan informasi memberikan perlindungan terhadap berbagai serangan, termasuk
virus dan worm, sehingga memastikan bahwa sistem tersedia saat dibutuhkan. Bab ini berfokus pada
keamanan informasi. Bab 12 membahas pengendalian TI yang relevan untuk melindungi kerahasiaan
kekayaan intelektual organisasi dan privasi informasi yang dikumpulkan tentang pelanggan dan mitra
bisnisnya. Bab 13 kemudian mencakup pengendalian TI yang dirancang untuk memastikan integritas
dan ketersediaan informasi yang dihasilkan oleh sistem akuntansi organisasi.
Tiga Konsep Dasar Keamanan Informasi

1. KEAMANAN ADALAH MASALAH MANAJEMEN, BUKAN HANYA MASALAH TEKNOLOGI
Meskipun keamanan informasi yang efektif memerlukan penerapan alat teknologi seperti firewall,
antivirus, dan enkripsi, keterlibatan dan dukungan manajemen senior di seluruh fase siklus hidup
keamanan (lihat Gambar 11-2) sangatlah penting untuk keberhasilan. Langkah pertama dalam siklus
hidup keamanan adalah menilai ancaman terkait keamanan informasi yang dihadapi organisasi dan
memilih respons yang tepat. Profesional keamanan informasi memiliki keahlian untuk
mengidentifikasi potensi ancaman dan memperkirakan kemungkinan serta dampaknya. Namun,
manajemen senior harus memilih yang mana dari empat respons risiko yang dijelaskan dalam Bab 10
(mengurangi, menerima, membagi, atau menghindari) yang sesuai untuk diterapkan sehingga
sumber daya yang diinvestasikan dalam keamanan informasi mencerminkan selera risiko organisasi.
BAB 11KONTROL UNTUK KEAMANAN INFORMASI 363
GAMBAR 11-2
1. Menilai ancaman
& pilih risiko Siklus Hidup Keamanan
tanggapan
2. Mengembangkan dan
4. Memantau
menyampaikan
pertunjukan
kebijakan
3. Dapatkan &
melaksanakan
solusi
Langkah 2 melibatkan pengembangan kebijakan keamanan informasi dan mengkomunikasikannya kepada

seluruh karyawan. Manajemen senior harus berpartisipasi dalam mengembangkan kebijakan karena mereka harus
memutuskan sanksi yang akan mereka berikan atas ketidakpatuhan. Selain itu, dukungan aktif dan keterlibatan
manajemen puncak diperlukan untuk memastikan bahwa pelatihan dan komunikasi keamanan informasi dilakukan
dengan serius. Agar efektif, komunikasi ini harus melibatkan lebih dari sekedar menyerahkan dokumen tertulis
kepada orang-orang atau mengirimi mereka email dan meminta mereka menandatangani pernyataan bahwa
mereka telah menerima dan membaca pemberitahuan tersebut. Sebaliknya, karyawan harus menerima pengingat
secara rutin dan berkala tentang kebijakan keamanan dan pelatihan tentang cara mematuhinya.
Langkah 3 dari siklus hidup keamanan melibatkan akuisisi atau pembangunan alat teknologi tertentu.
Manajemen senior harus mengizinkan investasi sumber daya yang diperlukan untuk memitigasi ancaman
yang teridentifikasi dan mencapai tingkat keamanan yang diinginkan. Terakhir, langkah 4 dalam siklus hidup
keamanan memerlukan pemantauan kinerja secara berkala untuk mengevaluasi efektivitas program
keamanan informasi organisasi. Kemajuan TI menciptakan ancaman baru dan mengubah risiko yang terkait
dengan ancaman lama. Oleh karena itu, manajemen harus menilai kembali respons risiko organisasi secara
berkala dan, bila diperlukan, melakukan perubahan terhadap kebijakan keamanan informasi dan
berinvestasi pada solusi baru untuk memastikan bahwa upaya keamanan informasi organisasi mendukung
strategi bisnisnya dengan cara yang konsisten dengan selera risiko manajemen.
Banyak fungsi yang berperan dalam penerapan program keamanan informasi suatu organisasi.
Fungsi teknologi informasi bertanggung jawab untuk menginstal dan memelihara berbagai solusi
teknologi. Kelompok risiko dan kepatuhan harus bekerja sama dengan manajemen untuk merancang
kebijakan guna memastikan kepatuhan terhadap berbagai peraturan tentang keamanan dan privasi.
Semua karyawan yang memiliki akses ke sistem harus memahami dan mematuhi kebijakan
keamanan. Profesional keamanan informasi mempunyai keahlian di bidang keamanan informasi dan
secara teratur memantau solusi tersebut untuk memastikan solusi tersebut berfungsi secara efektif
serta memantau kepatuhan terhadap kebijakan. Fungsi audit internal secara berkala melakukan
tinjauan independen terhadap efisiensi dan efektivitas program keamanan informasi organisasi.
Fakta bahwa banyak fungsi terlibat dalam keamanan informasi adalah alasan lain mengapa keamanan
merupakan isu penting bagi manajemen senior. Pertama, ketika beberapa fungsi organisasi atau kelompok
menangani suatu permasalahan yang sama, ada kemungkinan bahwa kurangnya komunikasi yang efektif
akan mengakibatkan “silo” yang terpisah sehingga masing-masing fungsi menjalankan tugasnya tanpa
berkoordinasi dengan pekerjaan kelompok lainnya. Masalah potensial kedua dan yang lebih disfungsional
ketika berbagai fungsi organisasi berbagi tanggung jawab atas suatu tugas adalah kurangnya kerja sama
dan pertarungan “wilayah”. Hanya keterlibatan manajemen senior yang dapat mengatasi dua potensi
permasalahan tersebut. Fokus 11-1 merangkum penelitian terbaru yang menemukan bahwa keterlibatan
manajemen senior dan dukungan terhadap keamanan informasi tidak hanya memitigasi potensi masalah
tersebut, namun juga meningkatkan efektivitas program keamanan informasi organisasi secara keseluruhan.
364 BAGIAN III PENGENDALIAN SISTEM INFORMASI AKUNTANSI
FOKUS 11-1 Bagaimana Manajemen Senior Dapat Meningkatkan Keamanan Informasi Organisasi
Penelitian menunjukkan bahwa manajemen puncak perlu 1.Peningkatan deteksi serangansebelummereka menyebabkan
menunjukkan dukungan mereka terhadap keamanan informasi kerugian material bagi organisasi. Ini adalah tujuan akhir dari
dengan menunjukkan perilaku berikut: keamanan.
• Menyediakan sumber daya yang memadai untuk keamanan informasi. 2.Deteksi serangan yang lebih tepat waktu setelah serangan tersebut
• Komunikasikan secara teratur pentingnya keamanan menimbulkan kerugian. Hal ini penting karena Anda tidak dapat
informasi. “menghentikan pendarahan” sampai Anda mengetahui adanya luka.
• Menunjukkan, melalui tindakan mereka, bahwa mereka yakin Besarnya kerusakan yang disebabkan oleh banyak pelanggaran keamanan
keamanan informasi itu penting. besar dalam beberapa tahun terakhir ini sebagian disebabkan oleh
• Mengadopsi pendekatan proaktif terhadap potensi ancaman organisasi-organisasi yang terkena dampak bahkan tidak menyadari bahwa
keamanan, dibandingkan bereaksi terhadap masalah yang mereka telah diserang selama berbulan-bulan atau bahkan bertahun-tahun.
terjadi. 3.Peningkatan kemampuan untuk mendeteksi masalah serius yang melibatkan
• Menyertakan masalah keamanan informasi setiap kali ketidakpatuhan karyawan terhadap kebijakan keamanan. Kebijakan
menilai risiko inisiatif baru. keamanan dirancang untuk mengurangi risiko; sebaliknya, ketidakpatuhan
terhadap kebijakan tersebut meningkatkan risiko bahwa tindakan (atau
Hal ini akan menciptakan budaya organisasi yang “sadar akan
kelambanan) karyawan akan mengakibatkan insiden keamanan. Deteksi
keamanan” dimana semua karyawan percaya bahwa keamanan
ketidakpatuhan yang lebih tepat waktu memungkinkan manajer mengambil
informasi adalah hal yang penting. Hasilnya, kepatuhan karyawan
tindakan penanggulangan dan menegakkan kepatuhan terhadap kebijakan
terhadap kebijakan keamanan meningkat. Dukungan manajemen
dengan lebih baik.
puncak yang terlihat terhadap keamanan informasi juga
4.Peningkatan kemampuan untuk mendeteksi kelemahan pengendalian
meningkatkan desain pengendalian internal, mengurangi jumlah
internal material terkait keamanan. Kelemahan tersebut merupakan
kelemahan terkait keamanan.
kerentanan yang dapat dieksploitasi oleh penyerang. Deteksi yang
Namun mungkin hasil yang paling penting dari dukungan
lebih tepat waktu memungkinkan organisasi memperbaiki kerentanan
manajemen puncak terhadap keamanan informasi adalah
tersebut.
peningkatan hubungan antara fungsi keamanan informasi dan
audit internal, mengurangi pertikaian antar fungsi dan
meningkatkan pembagian informasi di antara fungsi-fungsi
Sumber:Steinbart, PJ, RL Raschke, G.Gal, & WN Dilla. 2018.
tersebut. Hal ini penting karena hubungan yang lebih baik antara
“Pengaruh Hubungan Baik Antara Fungsi Audit Internal dan
kedua fungsi tersebut akan meningkatkan keamanan dalam Keamanan Informasi Terhadap Hasil Keamanan Informasi,”
beberapa cara, termasuk: Akuntansi, Organisasi dan Masyarakat71: hlm.15–29.
2. ORANG: FAKTOR KRITIS

Manusia dapat menjadi “mata rantai terlemah” dalam keamanan atau merupakan aset penting. Untuk
menjadikan karyawan sebagai bagian positif dari upaya keamanan organisasi, manajemen harus
menciptakan budaya “sadar keamanan” dan memberikan pelatihan kesadaran keamanan berkelanjutan.
Pembahasan kerangka COSO pada Bab 10 menekankan bagaimana sikap dan perilaku risiko manajemen
puncak menciptakan lingkungan internal yang mendukung dan memperkuat pengendalian internal yang
baik atau lingkungan yang secara efektif meniadakan kebijakan pengendalian tertulis. Prinsip yang sama
berlaku mengenai keamanan informasi. Memang benar, COBIT 2019 dan Trust Services Framework secara
khusus mengidentifikasi budaya dan etika organisasi sebagai salah satu faktor penting yang memungkinkan
keamanan informasi yang efektif. Untuk menciptakan budaya sadar keamanan di mana karyawan mematuhi
kebijakan organisasi, manajemen puncak tidak hanya harus mengomunikasikan kebijakan keamanan
organisasi, namun juga harus memimpin dengan memberi contoh. Karyawan lebih cenderung mematuhi
kebijakan keamanan informasi ketika mereka melihat manajer mereka melakukannya. Sebaliknya, jika
karyawan melihat manajer melanggar kebijakan keamanan informasi, misalnya dengan menuliskan kata
sandi dan menempelkannya di monitor, mereka cenderung meniru perilaku tersebut.
Keterampilan dan kompetensi karyawan merupakan faktor penting lainnya untuk keamanan
informasi yang efektif. Karyawan harus memahami cara mengikuti kebijakan keamanan organisasi.
Pentingnya pelatihan tercermin dalam fakta bahwa pelatihan kesadaran keamanan dibahas sebagai
praktik utama untuk mendukung beberapa dari 35 proses manajemen COBIT 2019. Pelatihan
karyawan baru sangatlah penting karena penjahat sering kali menargetkan karyawan baru dengan
email phishing yang canggih.
Semua karyawan harus diajarMengapalangkah-langkah keamanan penting untuk kelangsungan hidup

organisasi dalam jangka panjang. Mereka juga perlu dilatih untuk mengikuti praktik komputasi yang aman,
seperti tidak pernah membuka lampiran email yang tidak diminta, hanya menggunakan perangkat lunak
yang disetujui, tidak membagikan kata sandi, dan mengambil langkah-langkah untuk melindungi laptop
secara fisik. Pelatihan sangat diperlukan untuk mendidik karyawan tentang serangan rekayasa sosial.
Misalnya, karyawan harus diajari untuk tidak pernah membocorkan kata sandi atau informasi lain tentang
akun atau konfigurasi stasiun kerja mereka kepada siapa pun yang menghubungi mereka melalui telepon,
email, atau pesan instan dan mengaku sebagai bagian dari fungsi keamanan sistem informasi organisasi.
Karyawan juga perlu dilatih untuk tidak mengizinkan orang lain mengikuti mereka melalui pintu masuk
dengan akses terbatas. Serangan rekayasa sosial ini disebutmembonceng, dapat terjadi tidak hanya di pintu
masuk utama gedung tetapi juga di setiap pintu internal yang terkunci, terutama di ruangan yang berisi
peralatan komputer. Membonceng tidak hanya dapat dilakukan oleh pihak luar, namun juga dapat dilakukan
oleh pegawai lain yang tidak mempunyai kewenangan memasuki suatu kawasan. Membonceng sering kali
berhasil karena banyak orang merasa tidak sopan jika tidak membiarkan orang lain datang bersama mereka
atau karena mereka ingin menghindari konfrontasi. Latihan bermain peran sangat efektif untuk
meningkatkan kepekaan dan keterampilan dalam menghadapi serangan rekayasa sosial.
Pelatihan kesadaran keamanan juga penting bagi manajemen senior karena dalam beberapa tahun
terakhir banyak serangan rekayasa sosial, seperti spear phishing, yang ditargetkan pada mereka. Sejauh ini,
pembahasan pelatihan terfokus pada komponen perlindungan model keamanan berbasis waktu dengan
mengajarkan karyawan dan manajer bagaimana mencegah masalah. Namun pelatihan juga dapat
meningkatkan deteksi dan respons yang tepat waktu jika karyawan dan manajer dilatih tidak hanya untuk
menghindari perilaku tertentu, namun juga untuk segera memberi tahu keamanan informasi setiap kali
mereka menerima email yang mencurigakan atau bentuk rekayasa sosial lainnya.
Namun, investasi organisasi dalam pelatihan keamanan hanya akan efektif jika manajemen secara jelas
menunjukkan bahwa mereka mendukung karyawan yang mengikuti kebijakan keamanan yang ditentukan. Hal ini
sangat penting untuk memerangi serangan rekayasa sosial karena tindakan penanggulangan terkadang dapat
menimbulkan konfrontasi yang memalukan dengan karyawan lain. Misalnya, salah satu penulis mendengar anekdot
tentang seorang profesional sistem di sebuah bank besar yang menolak mengizinkan seseorang yang tidak ada
dalam daftar karyawan yang berwenang untuk memasuki ruangan yang menampung server yang berisi informasi
keuangan penting bank tersebut. Orang yang ditolak masuk kebetulan adalah seorang eksekutif baru yang baru saja
dipekerjakan. Alih-alih menegur karyawan tersebut, eksekutif tersebut menunjukkan komitmen dan dukungan bank
terhadap keamanan yang kuat dengan menulis surat resmi pujian atas kinerja yang baik untuk ditempatkan dalam
arsip kinerja karyawan. Dukungan nyata manajemen puncak terhadap keamanan inilah yang meningkatkan
efektivitas semua kebijakan keamanan. Manajemen puncak juga perlu mendukung penegakan hukuman, hingga dan
termasuk pemecatan, terhadap karyawan yang dengan sengaja melanggar kebijakan keamanan. Melakukan hal ini
tidak hanya memberikan pesan yang kuat kepada karyawan lain namun juga terkadang mengurangi konsekuensi
bagi organisasi jika seorang karyawan terlibat dalam perilaku ilegal. Pelatihan profesional keamanan informasi juga
penting. Perkembangan baru dalam teknologi terus menciptakan ancaman keamanan baru dan membuat solusi
lama menjadi ketinggalan jaman. Oleh karena itu, penting bagi organisasi untuk mendukung pendidikan profesional
berkelanjutan bagi spesialis keamanan mereka.
3. MODEL KEAMANAN INFORMASI BERBASIS WAKTU

Tujuan darimodel keamanan informasi berbasis waktuadalah dengan menerapkan kombinasi model berbasis waktu
pengendalian preventif, detektif, dan korektif untuk melindungi aset informasi dalam jangka waktu yang informasi keamanan-
Menerapkan kombinasi pengendalian
cukup lama sehingga organisasi dapat mendeteksi adanya serangan dan mengambil langkah tepat waktu preventif, detektif, dan korektif yang
untuk menggagalkan serangan tersebut sebelum informasi hilang atau disusupi. Model keamanan informasi melindungi aset informasi dalam jangka
waktu yang cukup lama sehingga
berbasis waktu dapat dinyatakan dalam rumus berikut:
memungkinkan organisasi mengenali
P.D1R, Di mana bahwa serangan sedang terjadi dan

mengambil langkah untuk
P5waktu yang dibutuhkan penyerang untuk menerobos berbagai kontrol yang melindungi menggagalkannya sebelum informasi
hilang atau disusupi.
aset informasi organisasi.
D5waktu yang dibutuhkan organisasi untuk mendeteksi bahwa serangan sedang berlangsung. R5waktu
yang diperlukan untuk merespons dan menghentikan serangan.
Jika persamaan terpenuhi (yaitu, jikaP.D1Rbenar), maka prosedur keamanan informasi

organisasi tersebut efektif. Jika tidak, keamanan tidak akan efektif.
Organisasi berusaha untuk memenuhi tujuan model keamanan berbasis waktu dengan menggunakan strategi
pertahanan yang mendalam- pertahanan yang mendalam, yang memerlukan penggunaan beberapa lapisan kontrol untuk menghindari satu
Menggunakan beberapa lapisan kontrol
titik kegagalan. Pertahanan mendalam mengakui bahwa meskipun tidak ada pengendalian yang 100% efektif,
untuk menghindari satu titik kegagalan.
penggunaan pengendalian yang tumpang tindih, saling melengkapi, dan berlebihan akan meningkatkan efektivitas
keseluruhan karena jika satu pengendalian gagal atau dielakkan, pengendalian lainnya mungkin berhasil.
Model keamanan berbasis waktu menyediakan sarana bagi manajemen untuk mengidentifikasi
pendekatan yang paling hemat biaya untuk meningkatkan keamanan dengan membandingkan
dampak investasi tambahan dalam pengendalian preventif, detektif, atau korektif. Misalnya,
manajemen mungkin mempertimbangkan investasi tambahan sebesar $100.000 untuk meningkatkan
keamanan. Salah satu pilihannya mungkin adalah pembelian firewall baru yang akan meningkatkan
nilaiPdengan 10 menit. Pilihan kedua mungkin adalah meningkatkan sistem deteksi intrusi organisasi
dengan cara yang dapat menurunkan nilaiDdengan 12 menit. Pilihan ketiga adalah berinvestasi pada
metode baru untuk merespons insiden keamanan informasi sehingga dapat menurunkan nilaiR
dengan 30 menit. Dalam contoh ini, pilihan yang paling hemat biaya adalah berinvestasi pada
pengendalian korektif tambahan yang memungkinkan organisasi merespons serangan dengan lebih
cepat.
Meskipun model keamanan berbasis waktu memberikan landasan teoritis yang kuat untuk
mengevaluasi dan mengelola praktik keamanan informasi suatu organisasi, model ini tidak boleh dipandang
sebagai rumus matematika yang tepat. Salah satu permasalahannya adalah sulit, bahkan tidak mungkin,
untuk mendapatkan pengukuran parameter yang akurat dan dapat diandalkanP,D, DanR. Selain itu,
meskipun nilai parameter tersebut dapat dihitung dengan andal, perkembangan TI baru dapat dengan cepat
mengurangi validitasnya. Misalnya, penemuan kerentanan baru yang besar dapat secara efektif mengurangi
nilaiPke nol. Oleh karena itu, model keamanan berbasis waktu paling baik digunakan sebagai kerangka kerja
tingkat tinggi untuk analisis strategis, untuk menggambarkan secara jelas prinsip pertahanan mendalam dan
perlunya menerapkan berbagai pengendalian preventif, detektif, dan korektif.
Tabel 11-1 mencantumkan berbagai pengendalian preventif, detektif, dan korektif yang dapat digunakan
organisasi untuk memenuhi model keamanan berbasis waktu. Seperti yang ditunjukkan Gambar 11-3, berbagai
kontrol menyatu seperti potongan puzzle untuk secara kolektif memberikan pertahanan mendalam. Perhatikan
bahwa setiap bagian dari teka-teki dipegang oleh seseorang, yang mencerminkan fakta bahwa efektivitas program
keamanan organisasi secara keseluruhan bergantung pada karyawan dan manajemennya.
TABEL 11-1 Kontrol Pencegahan, Detektif, dan Korektif Digunakan untuk Memenuhi
Model Keamanan Berbasis Waktu
Berdasarkan waktu
Komponen Model Contoh

Perlindungan -- Keamanan fisik: kontrol akses (kunci, penjaga, dll.)
-- Proses: Kontrol akses pengguna (otentikasi dan otorisasi)
-- Solusi TI Anti-
malware
Kontrol akses jaringan (firewall, sistem pencegahan
intrusi, dll.)
Pengerasan perangkat dan perangkat lunak (kontrol
konfigurasi) Enkripsi
Deteksi -- Analisis log

-- Sistem deteksi intrusi
-- pot madu
- - Pemantauan berkelanjutan
Tanggapan -- Tim respons insiden komputer (CIRT)

- - Kepala petugas keamanan informasi (CISO)
GAMBAR 11-3
Potongan dari
Teka-teki Keamanan
Proses
solusi IT
Mengubah
Pengelolaan
Fisik
Keamanan
Melindungi Sumber Daya Informasi
KEAMANAN FISIK: KONTROL AKSES

Sangatlah penting untuk mengontrol akses fisik terhadap sumber informasi. Penyerang yang terampil hanya
memerlukan beberapa menit akses fisik langsung tanpa pengawasan untuk melewati kontrol keamanan
informasi yang ada. Misalnya, penyerang dengan akses fisik langsung tanpa pengawasan dapat memasang
perangkat pencatatan keystroke yang menangkap kredensial autentikasi pengguna, sehingga
memungkinkan penyerang selanjutnya mendapatkan akses tidak sah ke sistem dengan menyamar sebagai
pengguna yang sah. Seseorang dengan akses fisik tanpa pengawasan juga dapat memasukkan disk “boot”
khusus yang menyediakan akses langsung ke setiap file di komputer dan kemudian menyalin file sensitif ke
perangkat portabel seperti drive USB atau iPod. Alternatifnya, penyerang dengan akses fisik tanpa
pengawasan dapat dengan mudah menghapus hard drive atau bahkan mencuri seluruh komputer. Kami
sekarang menjelaskan beberapa kontrol akses fisik terpenting yang dibahas dalam praktik manajemen
COBIT 2019 DSS05.05.
Kontrol akses fisik dimulai dari titik masuk ke gedung itu sendiri. Idealnya, hanya ada satu titik
masuk reguler yang tetap tidak terkunci selama jam kantor normal. Kode kebakaran biasanya
memerlukan pintu keluar darurat tambahan, namun ini tidak boleh mengizinkan masuknya orang luar
dan harus dihubungkan ke sistem alarm yang secara otomatis terpicu setiap kali pintu keluar
kebakaran dibuka. Selain itu, resepsionis atau satpam harus ditempatkan di pintu masuk utama untuk
memverifikasi identitas karyawan. Pengunjung harus diminta untuk masuk dan diantar oleh karyawan
kemanapun mereka pergi di dalam gedung.
Begitu berada di dalam gedung, akses fisik ke ruangan yang menampung peralatan komputer
juga harus dibatasi. Kamar-kamar ini harus dikunci dengan aman dan semua pintu masuk/keluar
dipantau oleh sistem televisi sirkuit tertutup. Beberapa upaya akses yang gagal akan memicu alarm.
Ruangan yang menampung server yang berisi data sensitif harus melengkapi kunci biasa dengan
teknologi yang lebih kuat—pembaca kartu, papan tombol numerik, atau berbagai perangkat
biometrik, seperti pemindai iris atau retina, pembaca sidik jari, atau pengenalan suara. Fokus 11-2
menjelaskan serangkaian kontrol akses fisik yang sangat rumit yang disebut sebagai ajerat.
Akses ke kabel yang digunakan dalam LAN organisasi juga perlu dibatasi untuk mencegah
penyadapan. Artinya, kabel dan kabel tidak boleh dipasang di area yang dapat diakses oleh
pengunjung biasa. Lemari kabel yang berisi peralatan telekomunikasi harus dikunci dengan aman. Jika
lemari kabel digunakan bersama dengan penghuni gedung perkantoran lainnya, organisasi harus
menempatkan peralatan telekomunikasinya di dalam sangkar baja yang terkunci untuk mencegah
akses fisik tanpa izin oleh orang lain yang memiliki akses ke lemari kabel tersebut. Soket dinding yang
tidak digunakan saat ini harus diputuskan secara fisik dari jaringan untuk mencegah seseorang
mencolokkan laptopnya dan mencoba mengakses jaringan.
FOKUS 11-2 Mengontrol Akses Fisik dengan Man-Traps
Lembaga keuangan, kontraktor pertahanan, dan berbagai badan intelijen pintu dan menyediakan akses ke ruang masuk. Begitu berada di
menyimpan data yang sangat berharga. Oleh karena itu, mereka sering kali dalam ruangan, pintu pertama otomatis menutup di belakang
perlu menerapkan langkah-langkah kontrol akses fisik yang lebih rumit ke orang tersebut, terkunci, dan tidak dapat dibuka dari dalam
pusat data mereka dibandingkan yang digunakan oleh sebagian besar ruangan. Pintu lainnya, yang membuka ke pusat data, juga
organisasi lain. Salah satu teknik tersebut melibatkan penggunaan ruangan terkunci. Dengan demikian, orang tersebut sekarang terjebak di
yang dirancang khusus yang disebut perangkap manusia. Ruangan ini ruangan kecil ini (sesuai dengan namanyajerat). Satu-satunya
biasanya memiliki dua pintu, yang masing-masing menggunakan beberapa jalan keluar adalah dengan berhasil melewati rangkaian kontrol
metode autentikasi untuk mengontrol akses. Misalnya, untuk masuk ke otentikasi kedua yang membatasi akses melalui pintu menuju
pintu pertama mungkin mengharuskan orang tersebut memasukkan kartu pusat data. Biasanya, ini melibatkan autentikasi multifaktor yang
identitas atau kartu pintar ke dalam pembaca dan memasukkan kode mencakup kredensial biometrik. Kegagalan untuk lulus rangkaian
identifikasi ke dalam papan tombol. Otentikasi yang berhasil akan tes kedua ini akan membuat orang tersebut berada di dalam
membuka yang pertama ruangan sampai anggota staf keamanan tiba.
Laptop, ponsel, dan tablet memerlukan perhatian khusus terhadap keamanan fisiknya karena sering
kali menyimpan informasi sensitif dan mudah hilang atau dicuri. Biaya terbesarnya bukanlah harga
penggantian perangkat tersebut, melainkan hilangnya informasi rahasia yang terkandung di dalamnya dan
biaya untuk memberi tahu mereka yang terkena dampak. Seringkali, perusahaan juga harus membayar
layanan pemantauan kredit bagi pelanggan yang informasi pribadinya hilang atau dicuri. Bahkan mungkin
ada tuntutan hukum class action dan denda oleh badan pengatur.
Idealnya, karyawan tidak boleh menyimpan informasi sensitif apa pun di laptop atau perangkat pribadi
lainnya. Jika informasi sensitif organisasi harus disimpan di laptop atau perangkat portabel lainnya, informasi
tersebut harus dienkripsi sehingga jika perangkat tersebut hilang atau dicuri, informasi tersebut tidak dapat
diakses. Untuk menghadapi ancaman pencurian laptop, sebaiknya karyawan dilatih untuk selalu mengunci
laptopnya pada benda tidak bergerak. Hal ini diperlukan bahkan saat berada di kantor, karena ada kasus
dimana pencuri yang menyamar sebagai petugas kebersihan mencuri laptop dan peralatan lainnya selama
jam kerja. Beberapa organisasi juga menginstal perangkat lunak khusus pada laptop dan perangkat seluler
lainnya yang mengirimkan pesan ke server keamanan setiap kali perangkat terhubung ke Internet.
Kemudian, jika perangkat hilang atau dicuri, lokasinya dapat diidentifikasi saat perangkat tersambung ke
Internet lagi. Server keamanan juga dapat mengirimkan pesan balasan yang menghapus secara permanen
semua informasi yang tersimpan di perangkat.
Penting juga untuk membatasi akses fisik ke printer jaringan karena printer tersebut sering
menyimpan gambar dokumen di hard drive mereka. Ada beberapa kasus di mana penyusup mencuri
hard drive di printer tersebut, sehingga mendapatkan akses ke informasi sensitif.
Terakhir, cara yang sangat menjanjikan untuk mencapai pertahanan mendalam adalah dengan
mengintegrasikan sistem kontrol akses fisik dan jarak jauh. Misalnya, jika organisasi menggunakan keypad, pembaca
kartu atau lencana, atau pengidentifikasi biometrik untuk mengontrol dan mencatat akses fisik ke kantor, data
tersebut harus digunakan saat menerapkan kontrol akses jarak jauh. Hal ini akan mengidentifikasi situasi yang
mungkin mewakili pelanggaran keamanan, seperti ketika seorang karyawan yang seharusnya berada di dalam
kantor secara bersamaan mencoba masuk ke sistem dari jarak jauh dari lokasi lain yang secara geografis jauh.
PROSES: KONTROL AKSES PENGGUNA

Penting untuk dipahami bahwa “orang luar” bukanlah satu-satunya sumber ancaman. Seorang karyawan
mungkin menjadi tidak puas karena sejumlah alasan (misalnya, tidak mendapat promosi) dan ingin
membalas dendam, atau mungkin rentan dikorupsi karena kesulitan keuangan, atau mungkin diperas untuk
memberikan informasi sensitif. Oleh karena itu, organisasi perlu menerapkan serangkaian kontrol yang
dirancang untuk melindungi aset informasi mereka dari penggunaan dan akses tidak sah oleh karyawan.
Untuk mencapai tujuan tersebut, praktik manajemen COBIT 2019 DSS05.04 menekankan perlunya kontrol
untuk mengelola identitas pengguna dan akses logis sehingga
bahwa dimungkinkan untuk secara unik mengidentifikasi setiap orang yang mengakses sistem informasi
organisasi dan melacak tindakan yang mereka lakukan. Penerapan DSS05.04 melibatkan penggunaan dua
jenis kontrol akses pengguna yang terkait namun berbeda: kontrol otentikasi dan kontrol otorisasi.
KONTROL OTENTIKASIAutentikasiadalah proses memverifikasi identitas orang atau perangkat yang autentikasi- Memverifikasi
identitas orang atau perangkat
mencoba mengakses sistem. Tujuannya adalah untuk memastikan bahwa hanya pengguna yang sah
yang mencoba mengakses
yang dapat mengakses sistem. sistem.
Tiga jenis kredensial dapat digunakan untuk memverifikasi identitas seseorang:
1.Sesuatu yang diketahui orang tersebut, seperti kata sandi atau nomor identifikasi pribadi
(PIN).
2.Sesuatu yang dimiliki orang tersebut, seperti kartu pintar atau lencana ID.
3.Beberapa karakteristik fisik atau perilaku (disebut sebagai apengenal biometrik) orang pengenal biometrik- karakteristik
tersebut, seperti sidik jari atau pola pengetikan. fisik atau perilaku yang digunakan
sebagai kredensial otentikasi.
Secara individual, setiap metode otentikasi memiliki keterbatasannya. Kata sandi dapat ditebak, hilang,
ditulis, atau diberikan. Teknik identifikasi fisik (kartu, lencana, perangkat USB, dll.) dapat hilang, dicuri, atau
diduplikasi. Teknik biometrik tidak 100% akurat, terkadang menolak pengguna yang sah (disebut tingkat
penolakan palsu) dan terkadang mengizinkan akses kepada orang yang tidak berwenang (disebut tingkat
penerimaan palsu). Masalah ini terjadi karena sistem otentikasi biometrik hanya menggunakan sampel titik
data dari karakteristiknya. Misalnya, alih-alih menyimpan sidik jari lengkap, sistem hanya mencatat ada atau
tidaknya suatu fitur di sejumlah titik data, menghasilkan serangkaian digit biner dengan angka 1
menunjukkan bahwa suatu fitur ada dan angka 0 menunjukkan bahwa fitur tersebut ada. bukan. Kemudian
membandingkan rangkaian digit biner tersebut dengan sampel yang disimpan saat orang tersebut
mendaftar ke sistem dan membuat kredensial biometriknya. Karena sistem menggunakan sampel,
penerimaan atau penolakan didasarkan pada apakah data biometrik yang dikumpulkan saat mencoba masuk
melebihi ambang batas persentase kecocokan yang ditetapkan oleh organisasi. Akibatnya, jika orang
tersebut tidak menggunakan tekanan yang sama ketika mencoba menggunakan pemindai sidik jari untuk
login atau mengubah gaya rambutnya atau sedang pilek, sampel biometrik yang dihasilkan mungkin tidak
cukup cocok dengan yang disimpan dan orang tersebut akan salah. ditolak. Itulah sebabnya banyak
perangkat menggunakan PIN sebagai cara alternatif untuk mengautentikasi jika biometrik gagal. Sebaliknya,
seseorang dengan karakteristik yang cukup mirip (misalnya kembar identik) mungkin “menipu” sistem dan
diberikan akses secara tidak semestinya (penerimaan yang salah).
Ada juga kekhawatiran keamanan mengenai penyimpanan informasi biometrik itu sendiri. Templat
biometrik, seperti representasi digital dari sidik jari atau suara seseorang, harus disimpan di suatu tempat.
Kompromi terhadap templat tersebut akan menimbulkan masalah serius seumur hidup bagi donor karena
karakteristik biometrik, tidak seperti kata sandi atau token fisik, tidak dapat diganti atau diubah. Selain itu,
banyak kredensial biometrik yang tidak dapat digunakan oleh semua orang. Misalnya, penderita Cerebral
Palsy atau Multiple Sclerosis tidak dapat menggunakan pemindai sidik jari, dan beberapa agama mungkin
tidak menyetujui penggunaan sistem identifikasi wajah. Oleh karena itu, untuk menghindari potensi masalah
hukum yang timbul dari diskriminasi terhadap kelompok tertentu, organisasi yang ingin menggunakan
biometrik harus menggunakan beberapa biometrik alternatif, sehingga menambah biaya dan kompleksitas
yang terkait dengan pengintegrasian dan pengelolaan berbagai sistem.
Meskipun tidak satu pun dari tiga kredensial otentikasi dasar yang dapat digunakan dengan mudah,
penggunaan dua atau ketiga jenis tersebut secara bersamaan, sebuah proses yang disebut sebagaiotentikasi otentikasi multifaktor-
Penggunaan dua atau lebihjenis
multifaktor, cukup efektif. Misalnya, mengharuskan pengguna untuk memasukkan kartu pintar ke pembaca kartu
kredensial otentikasi bersamaan
dan memasukkan kata sandi akan memberikan autentikasi yang jauh lebih kuat dibandingkan hanya menggunakan untuk mencapai tingkat keamanan
salah satu metode saja. Dalam beberapa situasi, menggunakan beberapa kredensial dengan tipe yang sama, suatu yang lebih tinggi.
proses disebut sebagaiotentikasi multimodal, juga dapat meningkatkan keamanan. Misalnya, banyak situs
otentikasi multimodal- Penggunaan
perbankan online menggunakan beberapa hal yang diketahui seseorang (kata sandi, ID pengguna, dan pengenalan beberapa kredensial otentikasiTipe
gambar grafik) untuk otentikasi. Demikian pula, karena sebagian besar laptop kini dilengkapi dengan kamera dan yang sama untuk mencapai tingkat
keamanan yang lebih tinggi.
mikrofon, ditambah pembaca sidik jari, otentikasi biometrik multimodal yang melibatkan kombinasi pengenalan
wajah, suara, dan sidik jari dapat digunakan untuk memverifikasi identitas.
Otentikasi multifaktor dan otentikasi multimodal adalah contoh penerapan prinsip
pertahanan mendalam. Namun, otentikasi multifaktor lebih baik daripada multimodal
karena kredensialnya independen satu sama lain. Oleh karena itu, mengkompromikan satu kredensial tidak
mempengaruhi kemungkinan berhasil mengkompromikan kredensial lainnya. Misalnya, membobol kata
sandi seseorang tidak memengaruhi kemungkinan pencurian kartu pintarnya. Sebaliknya, membobol kata
sandi seseorang dapat mempermudah memperoleh jawaban atas pertanyaan keamanan apa pun karena
orang tersebut mungkin menggunakan kata sandi yang sama untuk akun media sosialnya.
Kata sandi kemungkinan besar akan terus digunakan sebagai bagian dari proses autentikasi karena dapat
dimasukkan di perangkat jenis apa pun. Memang benar, dalam beberapa situasi, misalnya di kios umum, ini
mungkin satu-satunya jenis kredensial yang dapat digunakan dengan mudah. Oleh karena itu, Fokus 11-3
membahas prinsip-prinsip yang menentukan kekuatan kata sandi sebagai kredensial autentikasi.
FOKUS 11-3Efektivitas Kata Sandi sebagai Kredensial Otentikasi
Efektivitas penggunaan kata sandi sebagai kredensial • Dirahasiakan.Kata sandi harus dirahasiakan agar efektif.
otentikasi bergantung pada beberapa faktor: Namun, masalah dengan kata sandi yang kuat, seperti
• Panjang.Satu-satunya faktor terpenting yang mempengaruhi dX%m8K#2, adalah kata sandi tersebut tidak mudah diingat.
kekuatan kata sandi adalah panjangnya. Semakin lama, Akibatnya, ketika mengikuti persyaratan untuk membuat
semakin baik. Alasan panjangnya begitu penting adalah kata sandi yang kuat, orang cenderung menuliskan kata
karena banyaknya kemungkinan yang harus “ditebak” oleh sandi tersebut. Hal ini melemahkan nilai kata sandi dengan
penyerang sama dengan cL, dimana c = jumlah kemungkinan mengubahnya dari sesuatu yang mereka ketahui menjadi
karakter (angka, huruf, dll.) yang dapat digunakan di setiap sesuatu yang mereka miliki—yang kemudian dapat dicuri
posisi dalam kata sandi dan L = panjang kata sandi. Untuk dan digunakan oleh siapa saja.
memahami pengaruh penggandaan jumlah jenis karakter Terakhir, organisasi harus mempertimbangkan “kegunaan”
versus penggandaan panjangnya, pertimbangkan PIN yang kebijakan kata sandi dan perangkat lunak login mereka. Misalnya,
digunakan untuk ATM. Biasanya PIN panjangnya 4 digit, mewajibkan kata sandi atau frasa sandi yang panjang dapat
artinya ada 104(10.000) kemungkinan PIN. Jika, alih-alih meningkatkan tingkat kegagalan login karena “kesalahan ketik”, yang
angka, setiap karakter berupa huruf, sehingga jumlah pilihan dapat menggoda karyawan untuk mengambil solusi yang tidak
untuk setiap posisi menjadi lebih dari dua kali lipat (26 diinginkan seperti membuat browser “mengingat” kredensial mereka.
berbanding 10), akan ada 264(456.976) kemungkinan PIN. Namun, kebanyakan orang adalah juru ketik yang cukup akurat ketika
Sebaliknya, terus menggunakan angka saja tetapi menggunakan aplikasi pengolah kata. Masalah dengan frasa sandi
menggandakan panjang PIN menjadi 8 digit menghasilkan yang panjang muncul karena orang tidak terbiasa mengetikkan frasa
108(100.000.000) kemungkinan PIN. 15 atau 20 karakter yang tidak mengizinkan tanda baca. Oleh karena
• Berbagai tipe karakter.Menggunakan campuran itu, mengizinkan penggunaan spasi antar kata dapat menjadi cara
huruf besar dan kecil, angka, dan karakter khusus untuk meningkatkan kekuatan kredensial login dengan mendorong
akan meningkatkan kekuatan kata sandi. penggunaan frasa sandi yang panjang, tanpa membuat frustrasi
• Keserampangan.Kata sandi tidak boleh mudah ditebak. karena meningkatkan tingkat kegagalan login.
Oleh karena itu, kata-kata tersebut tidak boleh ditemukan Demikian pula, sulit untuk menciptakan kredensial yang kuat dan
dalam kamus. Juga tidak boleh berupa kata-kata dengan mudah diingat. Akibatnya, mengharuskan orang untuk sering
karakter numerik sebelum atau sesudahnya (seperti mengubah kata sandi atau frasa sandi berarti orang sering kali
3Diamond atau Diamond3). Hal tersebut juga tidak boleh melakukan perilaku yang tidak diinginkan seperti menambahkan
berhubungan dengan minat atau hobi pribadi karyawan; angka di awal atau akhir kata sandi yang kuat dan kemudian hanya
kamus pemecah kata sandi tujuan khusus yang berisi mengubah nomor tersebut setiap kali mereka harus mengubah
kata sandi paling umum terkait dengan berbagai topik kredensial, atau menggunakan nomor yang sama. kata sandi pada
tersedia di Internet. Misalnya, kata sandi Ncc1701, pada banyak sistem. Menyadari masalah ini, panduan yang lebih baru
pandangan pertama, tampaknya memenuhi persyaratan menyarankan bahwa organisasi hanya mewajibkan karyawannya
kata sandi yang kuat karena berisi campuran karakter untuk mengubah kata sandi setelah terjadi pelanggaran, bukan pada
huruf besar dan kecil serta angka. TetapiPerjalanan jadwal yang tetap (misalnya, setiap 6 bulan).
Bintangpenggemar akan langsung mengenalinya Salah satu cara yang menjanjikan untuk meningkatkan kegunaan kata
sebagai sebutan untuk kapal luar angkasaPerusahaan. sandi adalah melalui proses yang disebut sistem masuk tunggal, yaitu
Akibatnya, Ncc1701 dan banyak variasinya (mengubah seseorang memasukkan kredensialnya hanya sekali dan sistem secara
huruf besar, mengganti angka 1 dengan simbol !, dll.) otomatis mengingat dan menggunakannya kembali untuk mengakses
disertakan dalam sebagian besar kamus peretas kata berbagai subsistem dan program. Namun, kemudahan penggunaan ini
sandi dan, oleh karena itu, dengan cepat disusupi. juga menciptakan satu titik kegagalan dan membuat pembuatan kata sandi
atau frasa sandi yang kuat (panjang) menjadi lebih penting.
Penting untuk mengautentikasi tidak hanya orang tetapi juga setiap perangkat yang mencoba
terhubung ke jaringan. Setiap stasiun kerja, printer, atau perangkat komputasi lainnya memerlukan kartu
antarmuka jaringan (NIC) untuk terhubung ke jaringan internal organisasi. Setiap NIC memiliki
pengidentifikasi unik, yang disebut sebagai alamat kontrol akses media (MAC). Oleh karena itu, organisasi
dapat membatasi akses jaringan hanya pada perangkat milik perusahaan dengan membandingkan MAC
perangkat tersebut dengan daftar alamat MAC yang dikenali. Namun, perangkat lunak dapat digunakan
untuk mengubah alamat MAC perangkat, sehingga memungkinkan pengguna jahat untuk “menipu” identitas
perangkat mereka. Cara yang lebih kuat untuk mengautentikasi perangkat melibatkan penggunaan sertifikat
digital yang menggunakan teknik enkripsi untuk menetapkan pengidentifikasi unik ke setiap perangkat.
Sertifikat digital dan enkripsi dibahas di Bab 12.
KONTROL OTORISASIOtorisasiadalah proses membatasi akses pengguna yang diautentikasi ke bagian otorisasi- Proses membatasi
tertentu dari sistem dan membatasi tindakan apa yang boleh mereka lakukan. Seperti yang dijelaskan akses pengguna yang
diautentikasi ke bagian
oleh praktik manajemen COBIT 2019 DSS06.03, tujuannya adalah untuk menyusun hak dan hak tertentu dari sistem dan
istimewa setiap karyawan dengan cara yang menetapkan dan mempertahankan pemisahan tugas membatasi tindakan apa yang
yang memadai. Misalnya, perwakilan layanan pelanggan tidak boleh diberi wewenang untuk boleh mereka lakukan.
mengakses sistem penggajian. Selain itu, perwakilan layanan pelanggan harus diizinkan hanya untuk
membaca, namun tidak mengubah, harga barang inventaris.
Kontrol otorisasi sering kali diterapkan dengan membuatmatriks kontrol akses (Gambar 11-4). Ketika matriks kontrol akses- tabel yang
digunakan untuk menerapkan kontrol
seorang karyawan yang diautentikasi mencoba mengakses sumber daya sistem informasi tertentu, sistem
otorisasi (lihat Gambar 11-4).
melakukan ates kompatibilitasyang mencocokkan kredensial autentikasi pengguna dengan matriks kontrol
akses untuk menentukan apakah karyawan tersebut harus diizinkan mengakses sumber daya tersebut dan tes kompatibilitas- mencocokkan
kredensial autentikasi pengguna
melakukan tindakan yang diminta. Penting untuk memperbarui matriks kontrol akses secara berkala untuk
dengan matriks kontrol akses
mencerminkan perubahan dalam tugas pekerjaan karena promosi atau mutasi. Jika tidak, seiring berjalannya untuk menentukan apakah
waktu, seorang karyawan dapat memperoleh serangkaian hak dan keistimewaan yang tidak sesuai dengan karyawan tersebut harus diizinkan
mengakses sumber daya tersebut
pemisahan tugas yang tepat.
dan melakukan tindakan yang
Gambar 11-5 menunjukkan bagaimana informasi yang terdapat dalam matriks kontrol akses digunakan diminta.
untuk mengimplementasikan kontrol otorisasi dalam sistem ERP. Bagian atas tangkapan layar menunjukkan
bahwa untuk setiap peran karyawan, sistem menyediakan sejumlah kombinasi izin yang telah ditentukan
sebelumnya untuk menerapkan pembatasan akses umum. Misalnya, entri pertama (Pembatasan Karyawan)
membuka kotak dialog yang menanyakan apakah karyawan dalam peran ini dapat melihat catatan untuk
karyawan lain (sesuai untuk manajer) atau hanya milik mereka sendiri. Bagian bawah tangkapan layar
menunjukkan bahwa kontrol dapat dirancang untuk setiap aktivitas spesifik yang dilakukan oleh peran
karyawan ini. Mengklik kata “Edit” di sebelah kanan aktivitas tertentu akan menampilkan layar lain di mana
izin khusus (baca, edit, buat, hapus) dapat ditetapkan ke subkumpulan rekaman tertentu dan bahkan ke
bidang dalam rekaman tersebut.
Kontrol dan pemisahan tugas yang lebih besar dapat dicapai dengan menggunakan sistem
manajemen proses bisnis untuk menanamkan otorisasi ke dalam proses bisnis otomatis,
daripada mengandalkan matriks kontrol akses statis. Misalnya, otorisasi hanya dapat diberikan
untuk melakukan tugas tertentu untuk transaksi tertentu. Dengan demikian, karyawan tertentu
mungkin diizinkan untuk mengakses informasi kredit tentang pelanggan yang saat ini meminta
layanan, namun sekaligus dicegah untuk “menelusuri” pelanggan lainnya.
Pengguna File Program

GAMBAR 11-4
Contoh Matriks
A B C 1 2 3 4
Kontrol Akses
identitas pengguna
NHale 0 0 1 0 0 0 0
JPJones 0 2 0 0 0 0 1
BArnold 1 1 0 1 1 0 0
.... .... .... .... .... .... .... ....
Kode untuk Akses File: 0 = Kode untuk Akses Program: 0 =

Tidak ada akses Tidak ada akses
1 = Baca/tampilkan saja 1 = Jalankan
2 = Membaca/menampilkan dan memperbarui
3 = Membaca/menampilkan, memperbarui, membuat, dan menghapus

372 BAGIAN IIIKONTROL ACC
GAMBAR 11-5
Menerapkan
Kontrol Otorisasi
dalam Sistem ERP
Sumber:2010 © NetSuite Inc.
mengajukan. Selain itu, sistem manajemen proses bisnis menerapkan pemisahan tugas karena karyawan
hanya dapat melakukan tugas spesifik yang telah ditetapkan oleh sistem. Karyawan tidak dapat menghapus
tugas dari daftar tugas yang diberikan kepada mereka, dan sistem mengirimkan pesan pengingat hingga
tugas tersebut selesai—dua langkah lagi yang semakin meningkatkan kontrol. Perangkat lunak manajemen
proses bisnis juga dapat secara instan mengarahkan transaksi yang memerlukan otorisasi khusus (seperti
penjualan kredit di atas jumlah tertentu) secara elektronik ke manajer untuk disetujui. Transaksi tidak dapat
dilanjutkan sampai otorisasi diberikan, namun karena kebutuhan akan persetujuan tersebut ditunjukkan dan
diberikan atau ditolak secara elektronik, pengendalian penting ini diterapkan tanpa mengorbankan efisiensi.
Seperti kontrol autentikasi, kontrol otorisasi dapat dan harus diterapkan tidak hanya pada orang
tetapi juga pada perangkat. Misalnya, memasukkan alamat MAC atau sertifikat digital dalam matriks
kontrol akses memungkinkan untuk membatasi akses ke sistem penggajian dan file induk penggajian
hanya untuk karyawan departemen penggajian dan hanya ketika mereka masuk dari desktop atau
komputer laptop yang ditugaskan. Lagi pula, mengapa petugas penggajian harus login dari stasiun
kerja yang berlokasi di gudang atau mencoba membuat akses dial-in dari negara lain? Menerapkan
kontrol autentikasi dan otorisasi pada manusia dan perangkat adalah cara lain untuk meningkatkan
keamanan secara mendalam.
SOLUSI IT: KONTROL ANTIMALWARE

Malware (misalnya virus, worm, perangkat lunak pencatat keystroke, dll.) merupakan ancaman besar. Malware dapat
merusak atau menghancurkan informasi atau menyediakan sarana untuk akses tidak sah. Oleh karena itu, COBIT
2019 bagian DSS05.01 mencantumkan perlindungan malware sebagai salah satu kunci keamanan yang efektif,
secara khusus merekomendasikan hal berikut:
1.Pendidikan kesadaran perangkat lunak berbahaya.

2.Pemasangan alat perlindungan antimalware di semua perangkat.
3.Manajemen patch dan pembaruan perangkat lunak antimalware yang terpusat.
4.Tinjauan rutin terhadap ancaman malware baru.
5.Memfilter lalu lintas masuk untuk memblokir potensi sumber malware.
6.Melatih karyawan untuk tidak menginstal perangkat lunak yang tidak disetujui.
SOLUSI IT: KONTROL AKSES JARINGAN

Sebagian besar organisasi memberi karyawan, pelanggan, dan pemasok akses jarak jauh ke sistem informasi
mereka. Biasanya akses ini terjadi melalui Internet, namun beberapa organisasi masih mempertahankan
jaringan milik mereka sendiri atau menyediakan akses dial-up langsung melalui modem. Banyak organisasi
juga menyediakan akses nirkabel ke sistem mereka. Sekarang kita membahas berbagai metode
yang dapat digunakan untuk memenuhi praktik manajemen COBIT 2019 DSS05.02, yang menangani
keamanan jaringan organisasi dan semua sarana yang menghubungkannya.
router perbatasan- perangkat

PERTAHANAN PERIMETER: ROUTER, FIREWALL, DAN SISTEM PENCEGAHAN INTRUSI Gambar 11-6 yang menghubungkan sistem
menunjukkan hubungan antara sistem informasi organisasi dan Internet. Alat yang disebut a informasi organisasi ke Internet.
router perbatasanmenghubungkan sistem informasi organisasi ke Internet. Di belakang router
firewall- perangkat keras atau
perbatasan adalah yang utamafirewall, yang dapat berupa perangkat keras atau perangkat perangkat lunak tujuan khusus
lunak tujuan khusus yang dijalankan pada komputer tujuan umum, yang mengontrol yang menjalankan komputer
tujuan umum yang mengontrol
komunikasi masuk dan keluar antara sistem di belakang firewall dan jaringan lain. Ituzona
komunikasi masuk dan keluar
demiliterisasi (DMZ)adalah jaringan terpisah yang terletak di luar sistem informasi internal antara sistem di belakang firewall
organisasi yang memungkinkan akses terkontrol dari Internet ke sumber daya tertentu, seperti dan jaringan lain.
server web e-niaga organisasi. Bersama-sama, router perbatasan dan firewall bertindak sebagai zona demiliterisasi (DmZ)- jaringan
filter untuk mengontrol informasi mana yang diperbolehkan masuk dan keluar dari sistem terpisah yang terletak di luar
sistem informasi internal
informasi organisasi. Untuk memahami cara kerjanya, pertama-tama perlu dibahas secara organisasi yang memungkinkan
singkat bagaimana informasi dikirimkan di Internet. akses terkontrol dari Internet.
GAMBAR 11-6
Internet Contoh Organisasi
Arsitektur jaringan
Router Perbatasan
Zona Demiliterisasi (DMZ)

DMZ
Firewall Utama
Jalur akses
Server Akses Jarak Jauh

Server Surat
Server Web
Nirkabel
Perusahaan Internal
Perute Dalaman
Jaringan
LAN Departemen Penggajian LAN Departemen Penjualan Departemen Keuangan LAN
Departemen Departemen Departemen

pelayan pelayan pelayan
GAMBAR 11-7 Mengirim Perangkat

Ethernet Header: Alamat
Perangkat Penerima
MAC Sumber & Tujuan, dll.

Bagaimana File Dipecah
menjadi Paket untuk Dikirim
Header IP: Sumber & Tujuan
melalui Jaringan dan kemudian Alamat IP, dll.
Dirangkai Kembali oleh TCP Header: Nomor urut,

nomor port, dll.
Perangkat Penerima
Bagian dari file asli


Asli Alamat IP, dll. Asli
Mengajukan Mengajukan
TCP Header: Nomor urut,

nomor port, dll.


Alamat IP, dll.
TCP Header: Nomor urut,

nomor port, dll.
Gambar 11-7 menunjukkan bahwa ketika Anda mengirim file (dokumen, spreadsheet, database,
dll.) ke orang lain atau ke printer, seluruh file jarang dikirimkan secara utuh. Dalam kebanyakan kasus,
itu dipecah menjadi serangkaian potongan-potongan kecil yang dikirim satu per satu dan dipasang
kembali setelah pengiriman. Alasan terjadinya hal ini adalah karena hampir setiap jaringan area lokal
menggunakan protokol Ethernet, yang dirancang untuk mengirimkan informasi dalam paket dengan
ukuran maksimum sekitar 1.440 byte (1,4 kB). Namun, sebagian besar file jauh lebih besar dan
karenanya dibagi menjadi ribuan paket. Setiap paket harus diberi label dengan benar sehingga
seluruh file dapat disusun kembali dengan benar di tujuan. Informasi yang harus dicapai terdapat
dalam header Protokol Kontrol Transmisi (TCP), Protokol Internet (IP), dan Ethernet. Header TCP berisi
bidang yang menentukan posisi berurutan paket tersebut dalam kaitannya dengan keseluruhan file
dan nomor port (alamat) pada perangkat pengirim dan penerima dari mana file tersebut berasal dan
di mana file tersebut akan dipasang kembali. Header IP berisi kolom yang menentukan alamat
router- Perangkat tujuan khusus yang jaringan (alamat IP) perangkat pengirim dan penerima.Routeradalah perangkat tujuan khusus yang
dirancang untuk membaca bidang
dirancang untuk membaca bidang alamat sumber dan tujuan di header paket IP untuk memutuskan
alamat sumber dan tujuan di header
paket IP untuk memutuskan ke mana
ke mana harus mengirim (merutekan) paket berikutnya. Header Ethernet berisi alamat MAC perangkat
harus mengirim (merutekan) paket pengirim dan penerima, yang digunakan untuk mengontrol arus lalu lintas di jaringan area lokal
berikutnya.
(LAN).
Mengontrol Akses dengan Memfilter Paket.Router dan firewall mengontrol akses dengan memfilter paket
individual. Organisasi memiliki satu atau lebih router perbatasan yang menghubungkan jaringan internal mereka ke
Penyedia Layanan Internet. Router perbatasan dan firewall utama organisasi menggunakan seperangkat aturan IF-
daftar kontrol akses (aCls)- Kumpulan aturan IF- THEN, yang disebutdaftar kontrol akses (ACL), untuk menentukan apa yang harus dilakukan dengan paket yang
THEn yang digunakan untuk menentukan apa
datang.
yang harus dilakukan dengan paket yang
datang.
Gambar 11-8 adalah tangkapan layar dari alat bernama Wireshark dan menunjukkan
tampilan paket. Aturan IF-THEN di ACL mengacu pada konten kolom tertentu di header paket.
Router perbatasan harus memeriksa bidang alamat IP tujuan di header paket IP untuk
menentukan apakah paket tersebut ditujukan untuk organisasi atau harus diteruskan kembali.
keluar ke Internet. Jika alamat IP tujuan paket adalah organisasi, aturan di ACL router perbatasan memeriksa
bidang alamat sumber di header paket IP untuk memblokir paket dari sumber tertentu yang tidak diinginkan
(misalnya, situs perjudian atau porno yang diketahui). Semua paket lain dengan alamat IP organisasi di
bidang tujuan diteruskan ke firewall utama untuk penyaringan lebih lanjut. Aturan di ACL firewall utama
organisasi melihat bidang lain di header paket IP dan TCP untuk menentukan apakah akan memblokir paket
masuk atau mengizinkannya masuk. Namun perlu diingat bahwa firewall tidak memblokirsemualalu lintas,
tetapi hanya memfilternya. Itulah sebabnya semua firewall pada Gambar 11-6 mempunyai lubang di
dalamnya—untuk menunjukkan bahwa jenis lalu lintas tertentu dapat melewatinya.
Proses yang dijelaskan dalam paragraf sebelumnya yaitu memeriksa berbagai bidang dalam header IP dan TCP
paket untuk memutuskan apa yang harus dilakukan dengan paket tersebut disebut sebagaipenyaringan paket. penyaringan paket- sebuah proses yang
menggunakan berbagai bidang dalam header IP
Pemfilteran paket cepat dan dapat menangkap lalu lintas yang tidak diinginkan, namun efektivitasnya terbatas. Lalu
dan TCP paket untuk memutuskan apa yang
lintas yang tidak diinginkan dapat masuk jika alamat IP sumber tidak ada dalam daftar sumber yang tidak dapat harus dilakukan dengan paket tersebut.
diterima atau jika pengirim dengan sengaja menyamarkan alamat sumber sebenarnya. Jadi, sama seperti
penyensoran surat fisik akan lebih efektif jika setiap amplop atau paket dibuka dan diperiksa, kendali atas lalu lintas
jaringan akan lebih efektif jika firewall memeriksa data sebenarnya (yaitu, bagian file yang terdapat dalam paket
TCP), a proses disebut sebagaiinspeksi paket mendalam. Misalnya, firewall aplikasi web menggunakan inspeksi inspeksi paket mendalam-
sebuah proses yang memeriksa
paket mendalam untuk melindungi server web e-niaga organisasi dengan lebih baik dengan memeriksa konten
data dalam isi paket TCP untuk
paket masuk untuk mengizinkan permintaan data menggunakan perintah HTML “get”, namun memblokir upaya mengontrol lalu lintas, daripada
untuk menggunakan “put” HTML. memerintah hanya melihat informasi di
header IP dan TCP.
GAMBAR 11-8
Tangkapan layar dari Wireshar
masuk
garis
okol
IP
eh
Kedua bidang ini menunjukkan
sumber dan tujuan
alamat IP
ds menyediakan
tentang
tujuan
Daerah dimulai
dengan garis biru
(Penularan
Protokol Kontrol) adalah
Paket TCP hanya TCP
Tajuk set (itu adalah
nilai 1),
di ini adalah
3 arah
ke
yang dapat digunakan untuk merusak situs web. Namun, kontrol tambahan yang diberikan oleh inspeksi paket
mendalam harus mengorbankan kecepatan: Dibutuhkan lebih banyak waktu untuk memeriksa hingga 1,4 kB data
dalam sebuah paket dibandingkan hanya 40 byte atau lebih di header IP dan TCP. Oleh karena itu, hanya firewall
yang melakukan pemeriksaan paket mendalam; router tidak.
sistem pencegahan intrusi (IPS)- Sedangkan router dan firewall memeriksa paket individual, jaringansistem pencegahan intrusi (IPS)
Perangkat lunak atau perangkat keras
memantaupoladalam arus lalu lintas untuk mengidentifikasi dan secara otomatis memblokir serangan. Hal
yang memantau pola arus lalu lintas
untuk mengidentifikasi dan secara ini penting karena memeriksa pola lalu lintas seringkali merupakan satu-satunya cara untuk mengidentifikasi
otomatis memblokir serangan. aktivitas yang tidak diinginkan. Misalnya, firewall aplikasi web yang melakukan inspeksi paket mendalam
akan mengizinkan paket masuk yang berisi perintah HTML yang diizinkan untuk terhubung ke port TCP 80
dan 443 di server web e-niaga organisasi, namun akan memblokir semua paket masuk ke port TCP lain di
web. server. Tindakan firewall terbatas pada melindungi server web. Sebaliknya, jaringan IPS dapat
mengidentifikasi bahwa rangkaian paket yang mencoba terhubung ke berbagai port TCP di server web e-
commerce merupakan indikator upaya untuk memindai dan memetakan server web (langkah 3 dalam proses
target serangan seperti yang dibahas dalam Bab 6). IPS tidak hanya akan memblokir paket yang melanggar,
tetapi juga akan memblokir semua lalu lintas berikutnya yang berasal dari sumber tersebut dan memberi
tahu administrator keamanan bahwa upaya pemindaian sedang berlangsung. Oleh karena itu, IPS
memberikan peluang untuk merespons serangan secara real-time.
Jaringan IPS terdiri dari sekumpulan sensor dan unit monitor pusat yang menganalisis data yang
dikumpulkan. Sensor harus dipasang pada setiap segmen jaringan yang ingin dipantau secara real-time.
Misalnya, dengan arsitektur jaringan yang digambarkan pada Gambar 11-6, organisasi mungkin
menempatkan sensor IPS di DMZ, di belakang firewall utama, dan di belakang masing-masing firewall yang
digunakan untuk mensegmentasi bagian-bagian jaringan internal.
IPS menggunakan dua teknik utama untuk mengidentifikasi pola lalu lintas yang tidak diinginkan. Pendekatan paling
sederhana adalah membandingkan pola lalu lintas dengan database tanda tangan serangan yang diketahui. Pendekatan
yang lebih canggih melibatkan pengembangan profil lalu lintas “normal” dan menggunakan analisis statistik untuk
mengidentifikasi paket yang tidak sesuai dengan profil tersebut. Keunggulan pendekatan ini adalah tidak hanya memblokir
serangan yang diketahui, yang sudah ada tanda tangannya, namun juga serangan baru.
Menggunakan Pertahanan Mendalam untuk Membatasi Akses Jaringan.Penggunaan beberapa perangkat filter perimeter
lebih efisien dan efektif dibandingkan hanya mengandalkan satu perangkat. Oleh karena itu, sebagian besar organisasi
menggunakan router perbatasan untuk dengan cepat menyaring paket-paket yang jelas-jelas buruk dan meneruskan sisanya
ke firewall utama. Firewall utama melakukan pemeriksaan lebih rinci, dan kemudian firewall lain melakukan pemeriksaan
paket mendalam untuk melindungi perangkat tertentu secara lebih lengkap seperti server web organisasi dan server email.
Selain itu, IPS memantau lalu lintas yang dilewati oleh firewall untuk mengidentifikasi dan memblokir pola lalu lintas jaringan
mencurigakan yang mungkin mengindikasikan bahwa serangan sedang berlangsung.
Gambar 11-6 mengilustrasikan satu dimensi lain dari konsep pertahanan mendalam: penggunaan
beberapa firewall internal untuk mensegmentasi berbagai departemen dalam organisasi. Ingatlah bahwa
banyak insiden keamanan melibatkan karyawan, bukan pihak luar. Firewall internal membantu membatasi
data dan bagian sistem informasi organisasi yang dapat diakses oleh karyawan tertentu. Hal ini tidak hanya
meningkatkan keamanan tetapi juga memperkuat pengendalian internal dengan menyediakan sarana untuk
menegakkan pemisahan tugas.
MENGAMANKAN AKSES NIRKABELAkses nirkabel nyaman dan mudah, namun juga menyediakan
tempat lain untuk menyerang dan memperluas batas yang harus dilindungi. Misalnya, sejumlah
perusahaan telah mengalami insiden keamanan di mana penyusup memperoleh akses nirkabel tidak
sah ke jaringan perusahaan organisasi dari laptop sambil duduk di dalam mobil yang diparkir di luar
gedung.
Memantau tempat parkir saja tidak cukup karena sinyal nirkabel sering kali dapat ditangkap bermil-mil
jauhnya. Gambar 11-6 menunjukkan bahwa bagian penting dari pengamanan akses nirkabel adalah dengan
menempatkan semua titik akses nirkabel (perangkat yang menerima komunikasi nirkabel masuk dan
mengizinkan perangkat pengirim untuk terhubung ke jaringan organisasi) di DMZ. Ini memperlakukan
semua akses nirkabel seolah-olah datang dari Internet dan memaksa semua lalu lintas nirkabel melewati
firewall utama dan IPS apa pun yang digunakan untuk melindungi perimeter jaringan internal. Selain itu,
prosedur berikut perlu diikuti untuk mengamankan akses nirkabel secara memadai:
-- Aktifkan fitur keamanan yang tersedia. Sebagian besar peralatan nirkabel dijual dan dipasang dengan
fitur-fitur ini dinonaktifkan. Misalnya, konfigurasi instalasi default untuk sebagian besar router nirkabel
tidak mengaktifkan enkripsi.
-- Otentikasi semua perangkat yang mencoba membuat akses nirkabel ke jaringansebelum memberi
mereka alamat IP. Hal ini dapat dilakukan dengan memperlakukan koneksi nirkabel yang masuk
sebagai upaya mengakses jaringan dari Internet dan merutekannya terlebih dahulu melalui server
akses jarak jauh atau perangkat otentikasi lainnya.
-- Konfigurasikan semua perangkat nirkabel resmi untuk beroperasi hanya dalam mode infrastruktur, yang
memaksa perangkat untuk terhubung hanya ke titik akses nirkabel. (Perangkat nirkabel juga dapat diatur
untuk beroperasi dalam mode ad hoc, yang memungkinkannya berkomunikasi langsung dengan perangkat
nirkabel lainnya. Ini merupakan ancaman keamanan karena menciptakan jaringan peer-to-peer dengan sedikit
atau tanpa kontrol otentikasi.) Selain itu , tentukan terlebih dahulu daftar alamat MAC resmi, dan
konfigurasikan titik akses nirkabel untuk menerima koneksi hanya jika alamat MAC perangkat ada dalam daftar
resmi.
-- Gunakan nama yang tidak informatif untuk alamat titik akses, yang disebut service set identifier
(SSID). SSID seperti “payroll”, “finance”, atau “R&D” merupakan target yang lebih jelas untuk diserang
dibandingkan perangkat dengan SSID generik seperti “A1” atau “X2.”
-- Kurangi kekuatan siaran titik akses nirkabel, letakkan di bagian dalam gedung, dan
gunakan antena pengarah untuk mempersulit penerimaan tidak sah di luar lokasi. Cat
khusus dan kaca film juga dapat digunakan untuk menampung sinyal nirkabel di dalam
gedung.
-- Enkripsi semua lalu lintas nirkabel.Hal ini sangat penting untuk melindungi kerahasiaan dan
privasi komunikasi nirkabel karena komunikasi nirkabel ditransmisikan “melalui udara” dan oleh
karena itu rentan terhadap intersepsi yang tidak sah.
Terakhir, mudah dan murah bagi karyawan untuk memasang titik akses nirkabel tidak sah di kantor
mereka. Oleh karena itu, staf keamanan informasi atau audit internal harus secara berkala menguji
keberadaan titik akses jahat tersebut, menonaktifkan semua titik akses yang ditemukan, dan mendisiplinkan
karyawan yang bertanggung jawab untuk memasangnya dengan tepat.
SOLUSI IT: KONTROL PENGERASAN PERANGKAT DAN PERANGKAT LUNAK

Firewall dan IPS dirancang untuk melindungi perimeter jaringan. Namun, sama seperti banyak rumah dan
bisnis yang melengkapi kunci pintu eksterior dan sistem alarm dengan lemari terkunci dan brankas untuk
menyimpan barang-barang berharga, sebuah organisasi harus meningkatkan keamanan sistem informasi
dengan melengkapi kontrol preventif pada perimeter jaringan dengan kontrol preventif tambahan pada
stasiun kerja, server, printer. , dan perangkat lain (secara kolektif disebut sebagai titik akhir) yang terdiri
dari jaringan organisasi. Praktik manajemen COBIT 2019 DSS05.03 menjelaskan aktivitas yang terlibat dalam titik akhir- Istilah kolektif untuk
pengelolaan keamanan titik akhir. Tiga bidang yang perlu mendapat perhatian khusus: (1) konfigurasi titik stasiun kerja, server, printer, dan
perangkat lain yang membentuk
akhir, (2) manajemen akun pengguna, dan (3) desain perangkat lunak. jaringan organisasi.
KONFIGURASI TITIK AKHIRTitik akhir dapat dibuat lebih aman dengan memodifikasi konfigurasinya.
Konfigurasi default pada sebagian besar perangkat biasanya mengaktifkan sejumlah besar pengaturan
opsional yang jarang, jika pernah, digunakan. Demikian pula, instalasi default pada banyak sistem operasi
mengaktifkan banyak program tujuan khusus, yang disebutjasa, itu tidak penting. Mengaktifkan fitur yang
tidak diperlukan dan layanan tambahan akan meningkatkan kemungkinan keberhasilan instalasi tanpa
memerlukan dukungan pelanggan. Namun kemudahan ini harus mengorbankan kelemahan keamanan.
Setiap program yang berjalan mewakili titik serangan potensial karena program tersebut mungkin
mengandung kelemahan, yang disebut kerentanan, yang dapat dieksploitasi untuk membuat sistem crash
atau mengambil alih kendali. Oleh karena itu, program dan fitur opsional apa pun yang tidak digunakan
harus dinonaktifkan. Alat disebutpemindai kerentanandapat digunakan untuk mengidentifikasi program pemindai kerentanan- alat otomatis
yang dirancang untuk mengidentifikasi
yang tidak digunakan dan, oleh karena itu, tidak diperlukan yang mewakili potensi ancaman keamanan.
apakah sistem tertentu memiliki
Ukuran dan kompleksitas program perangkat lunak yang terus meningkat hampir menjamin bahwa program program yang tidak digunakan dan
tersebut mengandung banyak kerentanan. Untuk memahami alasannya, pertimbangkan bahwa banyak program tidak diperlukan yang mewakili potensi
ancaman keamanan.
berisi jutaan baris kode. Bahkan jika kode tersebut 99,99% bebas dari “bug”, itu berarti bahwa untuk setiap juta baris
kode kemungkinan besar terdapat 100 kemungkinan masalah yang dapat menunjukkan kerentanan. Itulah
sebabnya baik penyerang maupun perusahaan konsultan keamanan terus-menerus menguji kerentanan pada
mengeksploitasi- program yang
perangkat lunak yang banyak digunakan. Setelah kerentanan teridentifikasi, penting untuk mengambil langkah tepat dirancang untuk memanfaatkan
waktu untuk memperbaikinya karena tidak akan lama lagimengeksploitasi, yang merupakan sebuah program kerentanan yang diketahui.
dirancang untuk memanfaatkan kerentanan yang diketahui, dibuat. Meskipun dibutuhkan keahlian yang tinggi untuk membuat sebuah
eksploitasi, setelah dipublikasikan di Internet, eksploitasi tersebut dapat dengan mudah digunakan oleh siapa saja.
Banyaknya ketersediaan eksploitasi dan kemudahan penggunaannya menjadikan penting bagi organisasi
untuk mengambil langkah-langkah untuk segera memperbaiki kerentanan yang diketahui dalam perangkat lunak
tambalan- Kode yang dirilis oleh yang mereka gunakan. Atambalanadalah kode yang dirilis oleh pengembang perangkat lunak yang memperbaiki
pengembang perangkat lunak yang
kerentanan tertentu.Manajemen tambalanadalah proses penerapan patch dan pembaruan secara rutin pada
memperbaiki kerentanan tertentu.
semua perangkat lunak yang digunakan oleh organisasi. Banyak insiden keamanan terjadi karena organisasi gagal
manajemen tambalan- Proses menginstal patch secara tepat waktu, sehingga memungkinkan penjahat untuk mengeksploitasi kerentanan yang
penerapan patch dan
diketahui. Namun, pengelolaan patch tidak semudah kedengarannya. Patch mewakili modifikasi pada perangkat
pembaruan perangkat lunak
secara berkala. lunak yang sudah kompleks. Akibatnya, patch terkadang menimbulkan masalah baru karena efek samping yang
tidak terduga. Oleh karena itu, organisasi perlu menguji secara hati-hati efek patch sebelum menerapkannya; jika
tidak, mereka berisiko membuat aplikasi penting mogok. Masalah yang lebih rumit adalah kenyataan bahwa
kemungkinan besar terdapat beberapa patch yang dirilis setiap tahun untuk setiap program perangkat lunak yang
digunakan oleh suatu organisasi. Oleh karena itu, organisasi mungkin menghadapi tugas menerapkan ratusan patch
pada ribuan mesin setiap tahunnya. Ini adalah salah satu bidang di mana IPS sangat menjanjikan. Jika IPS dapat
dengan cepat diperbarui dengan informasi yang diperlukan untuk merespons kerentanan baru dan memblokir
eksploitasi baru, organisasi dapat menggunakan IPS untuk mengulur waktu yang diperlukan untuk menguji patch
secara menyeluruh sebelum menerapkannya.
Proses memodifikasi konfigurasi default titik akhir untuk menghilangkan pengaturan dan layanan yang
pengerasan- Proses memodifikasi tidak perlu disebutpengerasan. Selain pengerasan, setiap titik akhir harus menjalankan perangkat lunak
konfigurasi default titik akhir untuk
antivirus dan firewall yang diperbarui secara berkala. Mungkin juga diinginkan untuk menginstal perangkat
menghilangkan pengaturan dan
layanan yang tidak diperlukan. lunak pencegahan intrusi secara langsung pada titik akhir untuk mencegah upaya tidak sah untuk mengubah
konfigurasi perangkat yang diperkeras.
MANAJEMEN AKUN PENGGUNAPraktik manajemen COBIT 2019 DSS05.04 menekankan perlunya mengelola
semua akun pengguna dengan hati-hati, terutama akun yang memiliki hak (administratif) tidak terbatas pada
komputer tersebut. Hak administratif diperlukan untuk menginstal perangkat lunak dan mengubah sebagian
besar pengaturan konfigurasi. Kemampuan hebat ini menjadikan akun dengan hak administratif sebagai
target utama penyerang. Oleh karena itu, karyawan yang memerlukan kekuasaan administratif pada
komputer tertentu harus diberikan dua akun: satu dengan hak administratif dan satu lagi yang memiliki hak
istimewa terbatas. Para karyawan ini harus dilatih untuk masuk menggunakan akun terbatas mereka untuk
melakukan tugas rutin sehari-hari dan untuk masuk ke akun administratif mereka hanya ketika mereka perlu
melakukan beberapa tindakan, seperti menginstal perangkat lunak baru, yang memerlukan hak
administratif. Sangat penting bagi karyawan untuk menggunakan akun pengguna reguler terbatas saat
menjelajahi web atau membaca email. Dengan cara ini, jika karyawan mengunjungi situs web yang disusupi
atau membuka email yang terinfeksi, penyerang hanya akan memperoleh hak terbatas pada mesin tersebut.
Meskipun penyerang dapat menggunakan alat lain untuk mendapatkan hak administratif pada mesin
tersebut, kontrol keamanan lain mungkin mendeteksi dan menggagalkan upaya untuk meningkatkan hak
istimewa tersebut sebelum dapat diselesaikan. Sebaliknya, jika karyawan tersebut menggunakan akun
dengan hak administratif, malware akan sepenuhnya menyusupi perangkat sebelum kontrol lain dapat
mendeteksi adanya masalah. Terakhir, penting untuk mengubah kata sandi default pada semua akun
administratif yang dibuat selama instalasi awal perangkat lunak atau perangkat keras apa pun karena nama
akun tersebut dan kata sandi defaultnya tersedia untuk umum di Internet dan dengan demikian memberikan
cara mudah bagi penyerang untuk menyusupi sistem.
DESAIN PERANGKAT LUNAKKetika organisasi meningkatkan efektivitas kontrol keamanan perimeter mereka,
penyerang semakin menargetkan kerentanan dalam program aplikasi. Buffer overflow, injeksi SQL, dan skrip
lintas situs adalah contoh umum serangan terhadap perangkat lunak yang berjalan di situs web. Semua
serangan ini mengeksploitasi perangkat lunak yang ditulis dengan buruk sehingga tidak memeriksa secara
menyeluruh masukan yang diberikan pengguna sebelum diproses lebih lanjut. Pertimbangkan tugas umum
meminta masukan pengguna seperti nama dan alamat. Sebagian besar program menyisihkan sejumlah
memori tetap, yang disebut sebagai buffer, untuk menampung input pengguna. Namun, jika program tidak
hati-hati memeriksa ukuran data yang dimasukkan, penyerang dapat memasukkan jumlah data berkali-kali
lipat dari yang diharapkan dan menyebabkan buffer meluap. Kelebihan data dapat ditulis ke area memori
yang biasanya digunakan untuk menyimpan dan menjalankan perintah. Dalam kasus seperti itu, penyerang
mungkin dapat mengambil kendali mesin dengan mengirimkan perintah yang dibuat dengan hati-hati pada
kelebihan data. Demikian pula, serangan injeksi SQL terjadi setiap kali perangkat lunak aplikasi web
bahwa antarmuka dengan server database tidak memfilter input pengguna, sehingga memungkinkan penyerang
untuk menanamkan perintah SQL dalam permintaan entri data dan menjalankan perintah tersebut di server
database. Serangan skrip lintas situs terjadi ketika perangkat lunak aplikasi web tidak memfilter masukan pengguna
dengan hati-hati sebelum mengembalikan data apa pun ke browser, dalam hal ini browser korban akan
mengeksekusi skrip berbahaya apa pun yang tertanam.
Tema umum dalam semua serangan ini adalah kegagalan untuk “menggosok” masukan pengguna untuk menghapus
kode yang berpotensi berbahaya. Solusinya adalah dengan melatih pemrogram untuk memperlakukan semua masukan dari
pengguna eksternal sebagai tidak dapat dipercaya dan memeriksanya dengan cermat sebelum melakukan tindakan lebih
lanjut. Untuk mencegah serangan skrip lintas situs, pemrogram juga perlu memfilter semua keluaran yang dikembalikan ke
browser untuk menghapus skrip yang tertanam. Teknik pemrograman yang buruk tidak hanya mempengaruhi kode yang
dibuat secara internal tetapi juga perangkat lunak yang dibeli dari pihak ketiga. Oleh karena itu, bagian BAI03 dari kerangka
COBIT 2019 menetapkan perlunya merancang keamanan secara hati-hati ke dalam semua aplikasi baru dan bagian APO10
menetapkan praktik terbaik untuk mengelola risiko yang terkait dengan pembelian perangkat lunak.
SOLUSI IT: ENKRIPSI

Enkripsi memberikan lapisan pertahanan terakhir untuk mencegah akses tidak sah ke
informasi sensitif. Kami membahas enkripsi secara lebih rinci di Bab 12 karena pentingnya
mencapai prinsip keamanan dalam melindungi kerahasiaan informasi organisasi dan
privasi informasi pribadi yang dikumpulkan dari pelanggan, karyawan, dan mitra bisnis.
Mendeteksi Serangan
Seperti disebutkan sebelumnya, pengendalian preventif tidak pernah 100% efektif dalam memblokir semua
serangan. Oleh karena itu, praktik manajemen COBIT 2019 DSS02 dan DSS03 menggambarkan aktivitas yang
juga dibutuhkan organisasi untuk memungkinkan deteksi intrusi dan masalah secara tepat waktu. Bagian ini
membahas empat jenis pengendalian detektif yang tercantum dalam Tabel 11-1: analisis log, sistem deteksi
intrusi, honeypot, dan pemantauan berkelanjutan. Keempatnya dapat membantu memenuhi tujuan model
keamanan berbasis waktu dengan mengurangi nilai D (waktu yang diperlukan untuk mendeteksi masalah).
ANALISIS LOG
Sebagian besar sistem hadir dengan kemampuan ekstensif untuk mencatat siapa yang mengakses sistem
dan tindakan spesifik apa yang dilakukan setiap pengguna. Log ini membentuk jejak audit akses sistem.
analisis log- Proses pemeriksaan
Seperti jejak audit lainnya, log hanya bernilai jika diperiksa secara rutin.Analisis logadalah proses
log untuk mengidentifikasi bukti
pemeriksaan log untuk mengidentifikasi bukti kemungkinan serangan. kemungkinan serangan.
Sangat penting untuk menganalisis log dari upaya yang gagal untuk masuk ke sistem dan upaya yang
gagal untuk mendapatkan akses ke sumber informasi tertentu. Misalnya, Gambar 11-9 menyajikan sebagian
log keamanan dari komputer yang menjalankan sistem operasi Windows yang menunjukkan bahwa
pengguna bernama “rjones” gagal mencoba masuk ke komputer bernama “server penggajian.” Tujuan
analisis log adalah untuk menentukan alasan kegagalan upaya masuk ini. Salah satu penjelasan yang
mungkin adalah bahwa rjones adalah pengguna sah yang lupa kata sandinya. Kemungkinan lainnya adalah
rjones adalah pengguna yang sah tetapi tidak berwenang mengakses server penggajian. Kemungkinan lain
adalah bahwa ini mungkin merupakan upaya serangan oleh pengguna yang tidak sah.
Penting juga untuk menganalisis perubahan pada log itu sendiri (yaitu, “untuk mengaudit jejak audit”).
Catatan log secara rutin dibuat setiap kali peristiwa yang sesuai terjadi. Namun, catatan log biasanya tidak
dihapus atau diperbarui. Oleh karena itu, menemukan perubahan tersebut pada file log menunjukkan bahwa
sistem kemungkinan besar telah disusupi.
Log perlu dianalisis secara teratur untuk mendeteksi masalah secara tepat waktu. Hal ini tidak mudah
karena ukuran kayu dapat bertambah dengan cepat. Masalah lainnya adalah banyak perangkat
menghasilkan log dengan format eksklusif, sehingga sulit untuk menghubungkan dan meringkas log dari
perangkat yang berbeda. Alat perangkat lunak seperti sistem informasi keamanan dan manajemen kejadian
(SIEM) berupaya mengatasi masalah ini dengan mengubah format log khusus vendor menjadi representasi
umum dan menghasilkan laporan yang menghubungkan dan merangkum informasi dari berbagai sumber.
380 BAGIAN IIIKONTROL ACC
GAMBAR 11-9
Contoh dari a
Catatan sistem
Fungsi keamanan informasi kemudian dapat menggunakan teknik analitik tingkat lanjut untuk menganalisis data log yang
sangat banyak ini guna mengidentifikasi situasi yang memerlukan penyelidikan lebih lanjut.
SISTEM DETEKSI INTRUSI

sistem deteksi intrusi (IDS)- Sistem yang Jaringansistem deteksi intrusi (IDS)terdiri dari sekumpulan sensor dan unit pemantauan pusat yang membuat log
membuat log dari semua lalu lintas
lalu lintas jaringan yang diizinkan melewati firewall dan kemudian menganalisis log tersebut untuk mencari tanda-
jaringan yang diizinkan melewati firewall
dan kemudian menganalisis log tersebut
tanda percobaan atau penyusupan yang berhasil. Seperti IPS jaringan, IDS jaringan berfungsi dengan
untuk mencari tanda-tanda percobaan membandingkan lalu lintas yang diamati dengan basis aturannya. Selain itu, IDS dapat diinstal pada perangkat
atau penyusupan yang berhasil.
tertentu untuk memantau upaya tidak sah untuk mengubah konfigurasi perangkat tersebut. Perbedaan utama
antara IDS dan IPS adalah IDS hanya menghasilkan peringatan ketika mendeteksi pola lalu lintas jaringan yang
mencurigakan; terserah pada manusia yang bertanggung jawab untuk memantau IDS untuk memutuskan tindakan
apa yang harus diambil. Sebaliknya, IPS tidak hanya mengeluarkan peringatan tetapi juga secara otomatis
mengambil langkah-langkah untuk menghentikan dugaan serangan.
MADU
wadah madu- sistem umpan yang Alat pertahanan penting yang digunakan banyak organisasi disebut awadah madu. Honeypot adalah
digunakan untuk memberikan
sistem yang tampak seperti bagian sah dari jaringan internal organisasi namun hanyalah sistem
peringatan dini bahwa orang dalam
atau luar sedang mencoba mencari
umpan. Misalnya, honeypot dapat dikonfigurasi untuk meniru server penelitian dan pengembangan
informasi rahasia. atau target lain yang berpotensi menarik. Karena merupakan sistem umpan, upaya untuk mengakses
honeypot memberikan peringatan dini bahwa seseorang, baik karyawan atau pihak luar, sedang
mencari informasi rahasia. Tim keamanan informasi kemudian dapat memantau upaya penyusupan
dan melakukan intervensi jika diperlukan.
PEMANTAUAN TERUS MENERUS
Praktik manajemen COBIT 2019 MEA01, MEA02, dan MEA03 menekankan pentingnya pemantauan terus menerus
baik kepatuhan karyawan terhadap kebijakan keamanan informasi organisasi dan kinerja proses bisnis secara
keseluruhan. Pemantauan tersebut merupakan pengendalian detektif yang penting yang dapat mengidentifikasi
potensi masalah secara tepat waktu dan mengidentifikasi peluang untuk meningkatkan pengendalian yang ada.
Mengukur kepatuhan terhadap kebijakan sangatlah mudah, namun pemantauan kinerja yang efektif memerlukan
pertimbangan dan keterampilan. Akuntan dapat memberikan nilai dengan memanfaatkan diskusi COBIT 2019
tentang kemungkinan metrik untuk mengevaluasi keamanan informasi guna membantu manajemen merancang
laporan efektif yang menyoroti area yang paling membutuhkan perhatian.
Menanggapi Serangan
Deteksi masalah yang tepat waktu, meskipun penting, tidaklah cukup. Seperti yang dijelaskan dalam praktik
manajemen COBIT 2019 MEA01.05, organisasi juga memerlukan prosedur untuk melakukan tindakan
perbaikan tepat waktu. Namun, banyak pengendalian korektif bergantung pada penilaian manusia. Oleh
karena itu, efektivitasnya sangat bergantung pada perencanaan dan persiapan yang tepat. Sekarang kita
membahas dua pengendalian penting yang tercantum dalam Tabel 11-1: (1) pembentukan tim respons
insiden komputer (CIRT) dan (2) penunjukan individu tertentu, biasanya disebut sebagai Chief Information
Security Officer (CISO), dengan tanggung jawab seluruh organisasi untuk keamanan informasi. Kedua hal ini
dapat membantu memenuhi model keamanan berbasis waktu dengan mengurangi nilai R, waktu yang
diperlukan untuk merespons suatu masalah.
TIM RESPON INSIDEN KOMPUTER (CIRT)

Komponen kunci agar mampu merespons insiden keamanan dengan cepat dan efektif adalah pembentukan
atim respons insiden komputer (CIRT). CIRT harus mencakup tidak hanya spesialis teknis namun juga tim respons insiden komputer
manajemen operasi senior karena beberapa respons potensial terhadap insiden keamanan mempunyai (CIrT)- tim yang bertanggung
jawab menangani insiden
konsekuensi ekonomi yang signifikan. Misalnya, server e-niaga mungkin perlu dimatikan untuk sementara. keamanan besar.
Keputusan untuk melakukan hal ini terlalu penting untuk diserahkan kepada kebijaksanaan staf keamanan
TI; hanya manajemen yang mempunyai pengetahuan luas untuk mengevaluasi secara tepat biaya dan
manfaat dari tindakan tersebut, dan hanya manajemen yang mempunyai wewenang untuk mengambil
keputusan tersebut.
CIRT harus memimpin proses respons insiden organisasi melalui empat langkah
berikut:
1.Pengakuanbahwa ada masalah. Biasanya, hal ini terjadi ketika IPS atau IDS memberi sinyal
peringatan, namun bisa juga merupakan hasil analisis log oleh administrator sistem.
2.Penahanandari masalahnya. Setelah penyusupan terdeteksi, tindakan cepat diperlukan untuk menghentikannya
dan membendung kerusakan.
3.Pemulihan. Kerusakan akibat serangan itu harus diperbaiki. Ini mungkin melibatkan penghapusan malware apa
pun dan memulihkan data dari cadangan dan menginstal ulang program yang rusak. Kami akan membahas
prosedur pencadangan dan pemulihan bencana secara lebih rinci di Bab 13.
4.Menindaklanjuti. Setelah proses pemulihan berjalan, CIRT harus memimpin analisis tentang bagaimana
insiden tersebut terjadi. Langkah-langkah mungkin perlu diambil untuk mengubah kebijakan dan
prosedur keamanan yang ada untuk meminimalkan kemungkinan terjadinya insiden serupa di masa
depan. Keputusan penting yang perlu diambil adalah apakah akan berusaha menangkap dan
menghukum pelaku. Jika organisasi memutuskan untuk mengadili para penyerang, organisasi tersebut
perlu segera melibatkan ahli forensik untuk memastikan bahwa semua bukti yang mungkin
dikumpulkan dan disimpan sedemikian rupa sehingga dapat digunakan di pengadilan.
Komunikasi sangat penting dalam keempat langkah dalam proses respons insiden. Oleh karena
itu, diperlukan berbagai metode untuk memberi tahu anggota CIRT. Misalnya, IPS dan IDS mungkin
dikonfigurasi untuk mengirim peringatan email. Namun, jika sistem mati atau disusupi, peringatan
email mungkin tidak berfungsi. Telepon tradisional dan telepon seluler menyediakan saluran alternatif
yang baik untuk mengirimkan peringatan awal dan komunikasi selanjutnya.
Penting juga untuk mempraktikkan rencana respons insiden secara teratur, termasuk proses
peringatan. Jauh lebih baik menemukan celah dalam rencana saat latihan daripada saat kejadian nyata
terjadi. Latihan teratur membantu mengidentifikasi perlunya perubahan sebagai respons terhadap
perubahan teknologi. Misalnya, banyak organisasi beralih dari sistem telepon tradisional ke sistem berbasis
voice-over IP (VoIP). Hal ini dapat menghemat banyak uang, namun hal ini juga berarti bahwa jika jaringan
komputer mati, sistem telepon juga akan mengalami gangguan. Efek samping ini mungkin tidak disadari
sampai rencana respons terhadap insiden dipraktikkan.
KEPALA PETUGAS KEAMANAN INFORMASI (CISO)

COBIT 2019 mengidentifikasi struktur organisasi sebagai faktor penting untuk mencapai kontrol dan keamanan yang efektif.
Sangat penting bagi organisasi untuk menugaskan tanggung jawab atas keamanan informasi kepada seseorang pada tingkat
manajemen senior yang sesuai karena organisasi yang melakukan hal tersebut kemungkinan besar memiliki tim tanggap
insiden yang terlatih dibandingkan organisasi yang tidak melakukan hal tersebut.
jangan membuat seseorang bertanggung jawab atas keamanan informasi. Salah satu cara untuk memenuhi
tujuan ini adalah dengan menciptakan posisi CISO, yang harus independen terhadap fungsi sistem informasi
lainnya dan harus melapor kepada chief operating officer (COO) atau chief executive officer (CEO). CISO
harus memahami lingkungan teknologi perusahaan dan bekerja dengan chief information officer (CIO) untuk
merancang, menerapkan, dan mempromosikan kebijakan dan prosedur keamanan yang baik. CISO juga
harus menjadi penilai dan evaluator yang tidak memihak terhadap lingkungan TI. Oleh karena itu, CISO
harus memiliki tanggung jawab untuk memastikan bahwa penilaian kerentanan dan risiko dilakukan secara
berkala dan audit keamanan dilakukan secara berkala. CISO juga perlu bekerja sama dengan orang yang
bertanggung jawab atas keamanan fisik karena akses fisik yang tidak sah dapat memungkinkan penyusup
melewati kontrol akses logis yang paling rumit.
Pantau dan Revisi Solusi Keamanan

Tahap keempat dalam siklus hidup keamanan (lihat Gambar 11-2) melibatkan pemantauan kinerja dan
perbaikan setiap kekurangan yang teridentifikasi, yang sesuai dengan komponen terakhir dalam
kerangka COSO-ERM: Monitor Proses Pengendalian. Bagian ini membahas dua proses utama dalam
pemantauan tersebut: pengujian penetrasi dan manajemen perubahan.
UJI PENETRASI
Proses pengendalian COBIT 2019 MEA01 dan MEA02 menyatakan perlunya pengujian efektivitas proses bisnis dan
pengendalian internal (termasuk prosedur keamanan) secara berkala. Pengujian penetrasi memberikan cara yang
ketat untuk menguji efektivitas keamanan informasi organisasi. Ates penetrasiadalahberwenangupaya yang
tes penetrasi- sebuahberwenang dilakukan oleh tim audit internal atau perusahaan konsultan keamanan eksternal untuk membobol sistem informasi
upaya untuk membobol sistem organisasi. Tim-tim ini mencoba segala kemungkinan untuk mengkompromikan sistem perusahaan. Karena terdapat
informasi organisasi.
banyak vektor serangan potensial, uji penetrasi hampir selalu berhasil. Jadi, nilainya tidak terlalu penting dalam
mendemonstrasikan suatu sistemBisadapat dibobol, namun dalam mengidentifikasi di mana perlindungan
tambahan paling dibutuhkan untuk meningkatkan waktu dan upaya yang diperlukan untuk menyusupi sistem.
Pengujian penetrasi juga memberikan data tentang efektivitas kemampuan organisasi dalam mendeteksi dan
merespons serangan secara tepat waktu.
KONTROL PERUBAHAN DAN MANAJEMEN PERUBAHAN

Organisasi terus-menerus memodifikasi sistem informasi mereka untuk mencerminkan praktik bisnis baru dan
memanfaatkan kemajuan TI. Pengendalian perubahan dan manajemen perubahan mengacu pada proses formal yang
digunakan untuk memastikan bahwa modifikasi pada perangkat keras, perangkat lunak, atau proses tidak mengurangi
keandalan sistem. Pengendalian perubahan yang baik sering kali menghasilkanlebih baikkinerja pengoperasian karena lebih
sedikit masalah yang harus diperbaiki. Perusahaan dengan manajemen perubahan dan proses pengendalian perubahan yang
baik juga mengalami biaya yang lebih rendah ketika insiden keamanan benar-benar terjadi. Memang benar, kemampuan
untuk dengan cepat mengidentifikasi perubahan yang tidak sah dan memberikan sanksi kepada mereka yang bertanggung
jawab untuk secara sengaja menghindari proses pengendalian perubahan dan manajemen perubahan adalah salah satu
karakteristik paling penting yang membedakan organisasi dengan kinerja terbaik dari organisasi lainnya. Oleh karena itu,
tidak mengherankan jika dua proses utama COBIT 2019 berkaitan dengan pengelolaan perubahan (BAI06) dan prosedur
pengujian dan transisi ke solusi baru (BAI07). Karakteristik proses pengendalian perubahan dan manajemen perubahan yang
dirancang dengan baik meliputi:
-- Dokumentasi seluruh permintaan perubahan, mengidentifikasi sifat perubahan, alasan

perubahan, tanggal permintaan, dan hasil permintaan.
-- Persetujuan terdokumentasi atas semua permintaan perubahan oleh tingkat manajemen yang sesuai.
Sangat penting bagi manajemen senior untuk meninjau dan menyetujui perubahan besar pada proses
dan sistem untuk memastikan bahwa perubahan yang diusulkan konsisten dengan rencana strategis
jangka panjang organisasi.
-- Menguji seluruh perubahan dalam sistem terpisah, bukan yang digunakan untuk proses bisnis sehari-
hari. Hal ini mengurangi risiko “bug” dalam modifikasi mengganggu bisnis normal.
-- Kontrol konversi untuk memastikan bahwa data ditransfer secara akurat dan lengkap dari sistem lama
ke sistem baru. Auditor internal harus meninjau proses konversi untuk memverifikasi bahwa
perubahan tersebut telah disahkan dan diuji dengan benar.
-- Memperbarui semua dokumentasi (instruksi program, deskripsi sistem, manual prosedur, dll.)
untuk mencerminkan perubahan yang baru diterapkan.
-- Sebuah proses khusus untuk meninjau, menyetujui, dan mendokumentasikan “perubahan darurat” secara
tepat waktu segera setelah krisis terjadi. Semua perubahan darurat harus dicatat untuk memberikan jejak
audit. Perubahan darurat dalam jumlah besar atau meningkat tajam merupakan potensi tanda bahaya dari
masalah lain (prosedur manajemen konfigurasi yang buruk, kurangnya pemeliharaan preventif, atau
“permainan” politik untuk menghindari proses pengendalian perubahan yang normal).
-- Pengembangan dan dokumentasi rencana “backout” untuk memfasilitasi pengembalian ke konfigurasi
sebelumnya jika perubahan baru menimbulkan masalah yang tidak terduga.
-- Pemantauan dan peninjauan yang cermat terhadap hak dan hak istimewa penggunaselamaproses perubahan
untuk memastikan pemisahan tugas yang tepat tetap terjaga.
Implikasi Keamanan dari Virtualisasi, Cloud

Computing, dan Internet of Things
Virtualisasi dan komputasi awan mengubah risiko beberapa ancaman keamanan informasi. Misalnya, akses
fisik tanpa pengawasan dalam lingkungan virtualisasi tidak hanya memaparkan satu perangkat tetapi juga
seluruh jaringan virtual terhadap risiko pencurian atau perusakan dan penyusupan. Demikian pula,
menyusupi sistem penyedia cloud dapat memberikan akses tidak sah ke banyak sistem. Selain itu, karena
cloud publik, menurut definisinya, dapat diakses melalui Internet, kesalahan konfigurasi dapat menyebabkan
data sensitif terkena akses tidak sah. Layanan berbagi file cloud juga dapat digunakan untuk
mendistribusikan malware. Cloud publik juga menimbulkan kekhawatiran mengenai aspek lain dari
keandalan sistem (kerahasiaan, privasi, integritas pemrosesan, dan ketersediaan) karena organisasi tersebut
mengalihkan kendali atas data dan sumber daya komputasinya kepada pihak ketiga. Manajemen dapat
memperoleh informasi tentang keamanan layanan yang dialihdayakan ke penyedia cloud pihak ketiga
dengan memperoleh salinan laporan Sistem dan Kontrol Organisasi (SOC) 2 Tipe 2 penyedia cloud. Laporan
Tipe 2 SOC 2 menjelaskan pengendalian yang digunakan oleh penyedia layanan (misalnya, penyedia cloud,
layanan penggajian, dll.) dan opini CPA tentang efektivitas pengoperasian pengendalian tersebut.
Meskipun virtualisasi dan komputasi awan dapat meningkatkan risiko beberapa ancaman, kedua
perkembangan tersebut juga menawarkan peluang untuk meningkatkan keamanan secara
keseluruhan secara signifikan. Misalnya, menerapkan kontrol akses yang kuat di cloud atau melalui
server yang menghosting jaringan virtual memberikan keamanan yang baik atas semua sistem yang
ada di dalamnya. Poin pentingnya adalah semua kontrol yang dibahas sebelumnya dalam bab ini
tetap relevan dalam konteks virtualisasi dan komputasi awan. Kontrol akses pengguna yang kuat,
idealnya melibatkan penggunaan autentikasi multifaktor, dan kontrol akses fisik sangatlah penting.
Firewall virtual, IPS, dan IDS perlu diterapkan oleh penyedia cloud untuk mengisolasi mesin virtual dan
pelanggan cloud satu sama lain, dan oleh organisasi untuk membatasi akses karyawan hanya pada
bagian sistem yang diperlukan untuk melakukan pekerjaan yang ditugaskan kepada mereka. File perlu
dipindai untuk mencari malware sebelum diunduh dari cloud; sebaliknya, file perlu dipindai sebelum
diunggah untuk mencegah penyelundupan informasi sensitif. Kebutuhan untuk mendeteksi masalah
secara tepat waktu masih terus ada, begitu pula kebutuhan akan pengendalian korektif seperti
manajemen patch. Dengan demikian, virtualisasi dan komputasi awan dapat mempunyai efek positif
atau negatif pada tingkat keamanan informasi secara keseluruhan, tergantung pada seberapa baik
organisasi atau penyedia cloud menerapkan berbagai lapisan kontrol preventif, detektif, dan korektif.
Internet of Things (IoT) juga memiliki implikasi signifikan terhadap keamanan informasi. Di satu sisi, hal
ini membuat desain serangkaian kontrol yang efektif menjadi jauh lebih kompleks. Secara tradisional,
keamanan informasi berfokus pada pengendalian akses ke sejumlah titik akhir: laptop, komputer desktop,
server, printer, dan perangkat seluler. Peralihan ke IoT berarti bahwa banyak perangkat lain yang ditemukan
di lingkungan kerja kini menyediakan sarana potensial untuk mengakses jaringan perusahaan dan, oleh
karena itu, harus diamankan. Di sisi lain, IoT memberikan peluang untuk meningkatkan kontrol akses fisik.
Misalnya saja, ribuan sensor kecil dapat dipasang di seluruh kantor, gudang, dan area produksi untuk
memberikan informasi real-time mengenai pergerakan masuk dan keluar dari area tersebut. Selain itu,
organisasi dapat menggunakan sensor di perangkat yang dapat dikenakan untuk melacak lokasi karyawan
dan pengunjung. Oleh karena itu, dampak bersih IoT terhadap kemampuan organisasi untuk memenuhi
model keamanan berbasis waktu bergantung pada seberapa baik organisasi tersebut menangani dan
menggunakan perkembangan baru ini.
Ringkasan dan Kesimpulan Kasus

Jason Scott menyelesaikan tinjauannya terhadap prosedur keamanan sistem informasi Northwest Industries dan
menyiapkan laporan sementara untuk supervisornya. Laporan tersebut dimulai dengan menjelaskan bahwa
keamanan adalah salah satu dari lima prinsip keandalan sistem. Karena keamanan absolut tidak praktis, laporan
tersebut mencatat bahwa tujuan Northwest Industries adalah mengadopsi model keamanan berbasis waktu dan
menggunakan kombinasi kontrol detektif dan korektif yang memungkinkan perusahaan mendeteksi dan merespons
serangan dalam waktu lebih singkat dibandingkan dibutuhkan seorang penyusup untuk menerobos kontrol
pencegahannya dan berhasil menyerang sistem. Selain itu, laporan tersebut menunjukkan manfaat dari penerapan
kontrol yang berlebihan dan tumpang tindih untuk memberikan lapisan pertahanan yang mendalam.
Laporan Jason kemudian menjelaskan dan mengevaluasi berbagai prosedur keamanan yang diterapkan
di Northwest Industries. Akses fisik ke kantor perusahaan dibatasi pada satu pintu masuk utama, yang selalu
dijaga oleh petugas keamanan. Semua pengunjung harus masuk di meja keamanan dan selalu dikawal oleh
seorang karyawan. Akses ke ruangan dengan peralatan komputasi memerlukan penyisipan lencana
karyawan di pembaca kartu ditambah entri PIN di kunci keypad di pintu. Kontrol akses jarak jauh mencakup
firewall utama yang melakukan pemfilteran paket dan firewall aplikasi web yang menggunakan inspeksi
paket mendalam untuk memfilter semua lalu lintas yang menuju ke server web. Terdapat firewall internal
tambahan yang memisahkan fungsi bisnis yang berbeda satu sama lain. Staf keamanan informasi secara
teratur memindai semua peralatan untuk mencari kerentanan dan memastikan bahwa setiap stasiun kerja
karyawan menjalankan versi terbaru perangkat lunak antivirus dan firewall perusahaan. Untuk
meningkatkan kesadaran keamanan, semua karyawan menghadiri lokakarya bulanan selama satu jam yang
membahas berbagai masalah keamanan terkini setiap bulannya. Perusahaan menggunakan sistem deteksi
intrusi, dan manajemen puncak menerima laporan bulanan tentang efektivitas keamanan sistem.
Pengendalian korektif mencakup tim respons insiden komputer dan praktik rencana respons insiden
triwulanan. Jason menyimpulkan bahwa karena manajemen senior Northwest Industries menganggap
keamanan informasi menjadi bagian integral dari proses organisasi, serupa dengan kualitas, maka mereka
telah mengambil langkah-langkah untuk menerapkan praktik keamanan informasi yang proaktif dan efektif.
Namun, Jason mengidentifikasi dua kelemahan terkait pengendalian perubahan. Salah satu hal yang menjadi
perhatian adalah beberapa “perubahan darurat” yang dilakukan selama setahun terakhir tidak didokumentasikan.
Masalah kedua adalah untuk menghemat uang, Northwest Industries tidak memiliki lingkungan pengujian terpisah,
namun memberikan akses langsung kepada pemrogramnya ke sistem pemrosesan transaksi untuk melakukan
perubahan. Untuk memperbaiki masalah pertama, Jason merekomendasikan agar CIO menugaskan seseorang
untuk bertanggung jawab memastikan bahwa semua perubahan didokumentasikan dengan benar. Untuk mengatasi
masalah kedua, Jason merekomendasikan agar Northwest Industries berinvestasi dalam teknologi virtualisasi untuk
menciptakan lingkungan pengujian dan pengembangan terpisah dan menghilangkan akses pemrogram ke sistem
pemrosesan transaksi.
Supervisor Jason senang dengan laporan sementaranya. Dia meminta Jason untuk melanjutkan
tinjauannya terhadap sistem informasi Industri Barat Laut dengan memeriksa dua prinsip keandalan
sistem lainnya dalam Kerangka Layanan Kepercayaan AICPA: kerahasiaan dan privasi.
KEYTE RM S
model berbasis waktu router perbatasan 373 pemindai kerentanan 377

keamanan informasi 365 firewall 373 mengeksploitasi 377
pertahanan mendalam 366 zona demiliterisasi (DMZ) tambalan 378
otentikasi 369 373 manajemen tambalan 378
pengidentifikasi biometrik router 374 pengerasan 378
369 otentikasi multifaktor daftar kontrol akses (ACL) analisis log 379
369 374 sistem deteksi intrusi
otentikasi multimodal pemfilteran paket 375 (IDS) 380
369 inspeksi paket mendalam 375 pot madu 380
otorisasi 371 sistem pencegahan intrusi respons insiden komputer
matriks kontrol akses 371 (IPS) 376 tim (CIRT) 381
uji kompatibilitas 371 titik akhir 377 uji penetrasi 382
AIS sedang beraksi
BAB QU IZ
1.Manakah dari pernyataan berikut yang benar?

A. Konsep pertahanan mendalam mencerminkan fakta bahwa keamanan melibatkan penggunaan
beberapa pengendalian teknis yang canggih.
B. Keamanan informasi diperlukan untuk melindungi kerahasiaan, privasi, integritas
pemrosesan, dan ketersediaan sumber daya informasi.
C. Model keamanan berbasis waktu dapat dinyatakan dalam rumus berikut: P
,D1R.
D. Keamanan informasi pada dasarnya adalah masalah TI, bukan masalah manajerial.
2.Manakah dari berikut ini yang merupakan kontrol detektif?

A. CISO C. enkripsi
B. otentikasi dan otorisasi D. pemantauan terus menerus
3.Prosedur pengendalian yang dirancang untuk membatasi bagian mana dari sistem informasi yang dapat
diakses oleh karyawan dan tindakan apa yang dapat dilakukannya disebut .
A. autentikasi C. pencegahan intrusi
B. otorisasi D. Deteksi gangguan
4.Manakah dari berikut ini yang bukan merupakan langkah dalam proses respons insiden?
A. penahanan C. manajemen tambalan
B. menindaklanjuti D. pengakuan
5.Manakah dari berikut ini yang bukan merupakan langkah dasar yang dilakukan penjahat untuk menyerang sistem informasi?
A. menemukan kerentanan yang diketahui C. mengidentifikasi titik-titik potensial masuknya jarak jauh
B. menginfeksi jaringan korban dengan D. pelajari sebanyak mungkin tentang
virus target dan kerentanannya
6.Manakah dari pernyataan berikut yang benar tentang zona demiliterisasi?

A. Ini adalah jaringan terpisah di luar IS internal organisasi yang mengizinkan akses
terkontrol dari Internet ke sumber internal tertentu.
B. Ini adalah perangkat dengan tujuan khusus yang dirancang untuk membaca kolom alamat sumber dan tujuan di
header paket IP untuk mengetahui ke mana paket harus dikirim selanjutnya.
C. Ini memantau pola arus lalu lintas untuk mengidentifikasi dan secara otomatis memblokir serangan.
D. Ini memberikan lapisan pertahanan terakhir untuk mencegah akses tidak sah ke suatu sistem.

A. Perubahan “darurat” perlu didokumentasikan setelah masalah teratasi.
B. Perubahan harus diuji dalam sistem yang terpisah dari sistem yang digunakan untuk
memproses transaksi.
C. Kontrol perubahan diperlukan untuk menjaga pemisahan tugas yang memadai.
D. Semua hal di atas adalah benar.
8.Manakah dari teknik berikut yang merupakan cara paling efektif bagi firewall untuk melindungi
perimeter?
A. inspeksi paket mendalam C. daftar kontrol akses
B. penyaringan paket D. Semua hal di atas sama efektifnya.
9.Manakah dari pernyataan berikut yang benar sehubungan dengan risiko karyawan diperbolehkan menggunakan
perangkat portabel pribadi untuk mengakses jaringan perusahaan?
A. Perangkat tidak boleh terinfeksi malware, yang berpotensi menyebar ke jaringan
perusahaan.
B. Karyawan mungkin tidak menganggap keamanan sebagai panduan komprehensif untuk penggunaan perangkat mereka
secara aman.
C. Perusahaan dapat mengaktifkan enkripsi pada perangkat untuk menjadikan data yang disimpan di dalamnya
berpotensi tidak berguna.
D. Perusahaan harus melatih karyawannya untuk menginstal pembaruan sistem operasi secara berkala pada
perangkat pribadi mereka.
10.Memodifikasi konfigurasi default untuk mematikan program dan fitur yang tidak perlu untuk
meningkatkan keamanan disebut .
A. manajemen akun pengguna C. pemindaian kerentanan
B. pertahanan yang mendalam D. pengerasan
PEMBAHASAN TENTANG QU ESTI PADA S
11.1Jelaskan mengapa organisasi ingin menggunakan semua kontrol keamanan

informasi berikut: firewall, sistem pencegahan intrusi, sistem deteksi intrusi,
honeypot, dan CIRT.
11.2Apa lima prinsip yang secara bersama-sama berkontribusi terhadap keandalan sistem informasi?
Jelaskan secara singkat setiap prinsip.
11.3Jelaskan apa yang dimaksud dengan jebakan manusia. Jelaskan bagaimana hal ini berkontribusi terhadap keamanan informasi.
11.4Identifikasi tiga cara pengguna dapat diautentikasi, dan berikan contohnya masing-masing.
11.5Apa yang dimaksud dengan pertahanan mendalam? Menurut Anda mengapa ini penting bagi sebuah organisasi?
11.6Haruskah pasal 404 Sarbanes–Oxley diperluas hingga mencakup keamanan siber?
11.7Dua proses utama COBIT 5 berkaitan dengan pengelolaan perubahan dan prosedur pengujian
dan transisi ke solusi baru. Jelaskan secara singkat karakteristik proses pengendalian
perubahan dan manajemen perubahan yang dirancang dengan baik.
MASALAH EM S
11.1Cocokkan istilah-istilah berikut dengan definisinya:
1.kerentanan A. Kode yang memperbaiki cacat pada suatu program
2.mengeksploitasi B. Verifikasi identitas yang diklaim

3.autentikasi C. Teknik firewall yang memfilter lalu lintas dengan
hanya memeriksa informasi di header paket dengan
aturan di ACL
4.otorisasi D. Cacat atau kelemahan dalam suatu program
5.zona demiliterisasi e. Tes yang menentukan waktu yang diperlukan untuk

(DMZ) mendeteksi dan merespons serangan
6.paket yang dalam F. Subjaringan dapat diakses dari Internet tetapi
inspeksi terpisah dari jaringan internal organisasi
7.router G. Perangkat yang menghubungkan organisasi ke Internet
8.wadah madu H. Alat yang tidak memiliki fungsi sebenarnya, namun hanya berfungsi
sebagai umpan
9.firewall Saya. Perangkat yang memberikan keamanan perimeter dengan

memfilter paket
10.pengerasan J. Seperangkat karyawan yang diberi tanggung jawab untuk

menyelesaikan masalah dan insiden
11.CIRT k. Membatasi tindakan yang boleh dilakukan pengguna

12.tambalan aku. Meningkatkan keamanan dengan menghapus atau menonaktifkan
program dan fitur yang tidak diperlukan
13.pengendalian perubahan dan M. Perangkat yang menggunakan Protokol Internet (IP) untuk
manajemen perubahan mengirim paket melintasi jaringan
14.penyaringan paket N. Kontrol detektif yang mengidentifikasi kelemahan pada perangkat
atau perangkat lunak
15.router perbatasan Hai. Rencana yang memastikan modifikasi pada sistem informasi
tidak mengurangi keamanannya
16.pemindaian kerentanan P. Proses penerapan kode yang disediakan oleh vendor untuk memperbaiki
masalah pada perangkat lunak vendor tersebut
17.tes penetrasi Q. Kode perangkat lunak yang dapat digunakan untuk memanfaatkan
kelemahan dan membahayakan sistem
18.manajemen tambalan R. Teknik firewall yang memfilter lalu lintas dengan

memeriksa tidak hanya informasi header paket
tetapi juga isi paket
11.2(Masalah Excel) CISO perusahaan ABC sedang mempertimbangkan cara meningkatkan

kekuatan kata sandi karyawan. Saat ini, kata sandi harus terdiri dari 10 karakter, peka
huruf besar-kecil (yaitu, menyertakan karakter alfabet huruf kecil dan besar), dan harus
berisi setidaknya dua angka.
A. Hitung ukuran ruang pencarian kata sandi yang mungkin berdasarkan persyaratan
kata sandi saat ini.
B. Hitung ukuran ruang pencarian kata sandi yang mungkin jika persyaratan kata
sandi saat ini diubah sehingga harus berisi setidaknya dua karakter khusus
(misalnya $, #, @, dll.) dari daftar 66 simbol yang umum tersedia.
C. Hitung ukuran ruang pencarian kata sandi yang mungkin jika persyaratan kata
sandi saat ini diubah sehingga panjang kata sandi harus 20 karakter.
D. Modifikasi manakah pada persyaratan kata sandi saat ini (menambahkan persyaratan untuk
menyertakan simbol khusus atau menambah panjangnya dari 10 menjadi 20) yang paling
meningkatkan kekuatan kata sandi?
e. Modifikasi mana yang Anda rekomendasikan? Mengapa?
11.3Tabel berikut mencantumkan tugas-tugas yang harus dilakukan seorang karyawan:
Karyawan Tugas
Periksa log jaringan login karyawan untuk menentukan siapa yang

Gerald
login dari jarak jauh selama akhir pekan
Malusi Menjaga informasi pemasok
Perbarui perubahan peraturan pajak

Berkeliaran
Tambahkan karyawan baru
Olwethu Periksa ketentuan pembayaran pemasok
Perbarui tingkat pemesanan ulang ketika produk baru ditambahkan ke

Samjay
daftar stok
DIPERLUKAN
Gunakan kode berikut untuk melengkapi matriks kontrol akses sehingga setiap karyawan
memiliki hak dan hak istimewa yang sesuai untuk melakukan tugasnya:
05tidak ada akses
15akses hanya baca
25membaca dan memodifikasi catatan
35membaca, memodifikasi, membuat, dan menghapus catatan
11.4Pengendalian preventif, detektif, dan/atau korektif manakah yang paling baik dalam memitigasi
ancaman berikut?
A. Laptop seorang karyawan dicuri di bandara. Laptop tersebut berisi informasi pribadi
pelanggan perusahaan yang berpotensi digunakan untuk melakukan pencurian
identitas.
B. Seorang tenaga penjualan berhasil masuk ke sistem penggajian dengan menebak kata sandi
penyelia penggajian.
C. Penjahat mengakses database sensitif dari jarak jauh menggunakan kredensial

otentikasi (ID pengguna dan kata sandi yang kuat) dari manajer TI. Pada saat serangan
terjadi, manajer TI sedang login ke sistem di stasiun kerjanya di kantor pusat
perusahaan.
D. Seorang karyawan menerima email yang mengaku berasal dari atasannya yang memberitahukan tentang
kebijakan kehadiran baru yang penting. Ketika dia mengklik link yang tertanam di email untuk melihat
kebijakan baru, dia menginfeksi laptopnya dengan keystroke logger.
e. Staf pemrograman sebuah perusahaan menulis kode khusus untuk fitur keranjang belanja di
situs webnya. Kode tersebut berisi kerentanan buffer overflow yang dapat dieksploitasi saat
pelanggan mengetikkan alamat pengiriman.
F. Sebuah perusahaan membeli perangkat lunak e-commerce “off-the-shelf” terkemuka untuk
menghubungkan etalase elektroniknya ke database inventarisnya. Pelanggan menemukan cara untuk
mengakses database back-end secara langsung dengan memasukkan kode SQL yang sesuai.
G. Penyerang membobol sistem informasi perusahaan melalui titik akses nirkabel
yang terletak di salah satu toko ritelnya. Titik akses nirkabel telah dibeli dan
dipasang oleh manajer toko tanpa memberi tahu pusat TI atau keamanan.
H. Seorang karyawan mengambil drive USB di tempat parkir dan mencolokkannya ke
laptopnya untuk “melihat apa isinya.” Hasilnya, keystroke logger dipasang di laptop
itu.
Saya. Setelah serangan terhadap situs web perusahaan ditemukan, diperlukan waktu lebih dari 30 menit untuk
menentukan siapa yang harus dihubungi guna memulai tindakan respons.
J. Untuk memudahkan bekerja dari rumah, seorang karyawan memasang modem di workstation kantornya.
Seorang penyerang berhasil menembus sistem perusahaan dengan melakukan panggilan ke modem
tersebut.
k. Seorang penyerang memperoleh akses ke jaringan internal perusahaan dengan memasang
titik akses nirkabel di lemari kabel yang terletak di sebelah elevator di lantai empat gedung
perkantoran bertingkat tinggi yang digunakan bersama oleh tujuh perusahaan lainnya.
11.5Pelatihan staf dalam hal kesadaran keamanan merupakan pengendalian preventif yang penting.
Meskipun demikian, banyak karyawan yang tidak mematuhi kebijakan keamanan ini meskipun
mereka bertindak seolah-olah mereka memahami pentingnya kebijakan keamanan organisasi.
Ada beberapa artikel tentang bagaimana kurangnya kesadaran keamanan atau kurangnya kepatuhan terhadap
kebijakan keamanan mengancam organisasi.
DIPERLUKAN
Temukan setidaknya dua contoh pelanggaran data atau keamanan yang disebabkan oleh karyawan sebuah
perusahaan. Tulis laporan singkat untuk menjelaskan apa yang terjadi, bagaimana pelanggaran ditemukan,
dan apa akibat dari pelanggaran keamanan tersebut.
11.6A. Gunakan fakta berikut untuk menilai model keamanan berbasis waktu untuk Perusahaan
ABC; seberapa baik sistem yang ada melindungi ABC? Asumsikan estimasi kasus
terbaik, rata-rata, dan terburuk tidak bergantung pada setiap komponen model.
• Perkiraan waktu dimana kontrol yang ada akan melindungi sistem dari serangan5 14
menit (kasus terburuk), 18 menit (kasus rata-rata), dan 22 menit (kasus terbaik)
• Perkiraan waktu untuk mendeteksi bahwa serangan sedang terjadi56 menit (kasus terbaik), 9
menit (kasus rata-rata) dan 12 menit (kasus terburuk)
• Perkiraan waktu untuk merespons serangan setelah terdeteksi55 menit (kasus
terbaik), 10 menit (kasus rata-rata), dan 15 menit (kasus terburuk)
B. Perusahaan sedang mempertimbangkan untuk menginvestasikan tambahan $100.000 untuk meningkatkan keamanannya.
Mengingat kemungkinan-kemungkinan berikut, investasi tunggal manakah yang akan Anda rekomendasikan? Jelaskan
jawabanmu.
• Investasi sebesar $100.000 pada pertahanan perimeter yang lebih baik akan mengubah
perkiraan waktu perlindungan menjadi 20 menit (kasus terburuk), 24 menit (kasus rata-rata),
dan 30 menit (kasus terbaik).
• Investasi sebesar $100.000 pada sistem deteksi yang lebih baik akan mengubah perkiraan
waktu deteksi menjadi 3 menit (kasus terbaik), 5 menit (kasus rata-rata), dan 8 menit
(kasus terburuk).
• Investasi sebesar $100.000 dalam pelatihan akan mengubah perkiraan waktu respons
menjadi 1 menit (kasus terbaik), 2 menit (kasus rata-rata), dan 4 menit (kasus terburuk).
11.7Jawablah pertanyaan berikut sehubungan dengan kontrol akses pengguna.

1. Diskusikan apakah pernyataan berikut ini benar: “Faktor terpenting yang mempengaruhi kekuatan
sebuah kata sandi adalah panjangnya. Semakin lama, semakin baik.”
2. Diskusikan konsep keacakan dan penggunaan beberapa tipe karakter saat membuat kata
sandi. Berikan contoh dua kata sandi kuat yang sulit ditebak dan dipecahkan, namun Anda
sebagai pengguna dapat mengingatnya (tanpa menuliskannya!) Jelaskan mengapa Anda
menganggap kedua kata sandi tersebut sebagai kata sandi yang kuat.
3. Diskusikan setidaknya dua contoh di mana Anda melihat pengidentifikasi biometrik digunakan
sebagai kontrol otentikasi.
4. Jika Anda beralih ke bank baru dan ingin mendaftar perbankan online, yang tersedia melalui
aplikasi di ponsel Anda, apakah Anda memerlukan autentikasi multifaktor, autentikasi
multimodal, atau keduanya? Jelaskan jawabanmu.
5. Apa perbedaan antara otentikasi dan otorisasi?
6. Masalah apa yang mungkin dihadapi saat menggunakan matriks kontrol akses untuk
mengotorisasi pengguna? Bagaimana Anda dapat mengurangi permasalahan ini?
7. Apakah perangkat perlu diotorisasi? Berikan contoh untuk menjelaskan jawaban
Anda.
8. Pertimbangkan pernyataan berikut: “Upaya menerapkan kata sandi yang kuat adalah
kontraproduktif.” Apakah Anda setuju dengan pernyataan ini? Jelaskan jawabanmu.
11.8Konfigurasi titik akhir yang aman mencakup konfigurasi browser dan ponsel cerdas Anda dengan
benar. Kunjungi situs web Pusat Keamanan Internet (www.cisecurity.org). Navigasikan ke
“Configuration Benchmarks” dan unduh benchmark untuk browser favorit atau ponsel cerdas
Anda. Sesuaikan pengaturan java, javascript, dan plugin dengan pengaturan yang disarankan.
Kemudian uji perangkat yang dikonfigurasi dengan benar pada tugas-tugas berikut:
A. Akses akun email universitas Anda

B. Akses akun email pribadi Anda
C. Gunakan mesin pencari favorit Anda untuk mencari informasi mengenai perjalanan wisata ke Pulau
Paskah
D. Mencoba memesan penerbangan
e. Mainkan game online (Sudoku, Kenken, dll.)
DIPERLUKAN
Tulis laporan singkat yang menjelaskan dampak, jika ada, dari konfigurasi perangkat yang lebih aman
saat Anda mencoba setiap tugas.
11.9Periksa apakah ada akun email Anda yang telah disusupi karena pelanggaran data dengan mengunjungi situs
web “apakah saya telah digadaikan” (https://haveibeenpwned.com/). Tulis laporan tentang temuan Anda.
11.10Jawablah sembilan pertanyaan pilihan ganda berikut.
1.Sistem menggunakan uji kompatibilitas untuk memutuskan apakah akan mengizinkan

karyawan tertentu memperbarui catatan dalam file tertentu. Uji kompatibilitas adalah
bagian dari aspek kontrol akses yang disebut .
A. autentikasi
B. otorisasi
C. akuntabilitas
2.Kumpulan instruksi untuk memanfaatkan kelemahan suatu program disebut a(n)

.
A. kerentanan
B. tambalan
C. memperbarui
D. mengeksploitasi
3.Firewall paling efektif dalam mengurangi kemampuan penyerang .

A. melakukan pengintaian awal
B. kerentanan dan eksploitasi penelitian
C. memindai dan memetakan target
D. Semua hal di atas dicegah oleh firewall.

e. Semua hal di atas tidak dapat dicegah oleh firewall.
4.Kebijakan kata sandi perusahaan saat ini mengharuskan kata sandi berupa alfanumerik, peka huruf
besar-kecil, dan panjang 10 karakter. Manakah dari perubahan berikut pada kebijakan kata sandi
perusahaan yang akan meningkatkan kekuatan kata sandi tersebutpaling ? A. Mewajibkan kata
sandi untuk juga menyertakan karakter khusus (seperti $, &, dll.).
B. Memerlukan kata sandi sepanjang 15 karakter.
C. Kedua perubahan di atas akan memiliki efek yang sama pada kekuatan kata sandi.
5.Manakah dari kumpulan kredensial autentikasi berikut yang memberikan kontrol

akses terkuat?
A. Kata sandi dan pertanyaan keamanan
B. PIN dan kartu pintar
C. Pengenalan suara dan sidik jari
D. Semua kombinasi kredensial sama kuatnya.
6.Firewall yang menggunakan akan paling efektif dalam mendeteksi dan menghentikan
mencoba merusak situs web organisasi dengan mengirimkan perintah HTML “PUT” ke
server webnya.
A. pemfilteran paket statis
B. pemfilteran paket stateful
C. inspeksi paket mendalam
7.Selain itu untuk enkripsi, organisasi harus untuk secara efektif mengamankan kawat-
mengurangi komunikasi.
A. tempatkan semua titik akses nirkabel di DMZ
B. konfigurasikan semua klien nirkabel untuk beroperasi dalam mode ad hoc
C. Lakukan kedua hal di atas.
D. Jangan lakukan hal di atas.

A. Perkembangan TI seperti virtualisasi, komputasi awan, dan Internet of Things
melemahkan keamanan informasi.
B. Banyaknya perubahan darurat merupakan potensi tanda bahaya dari masalah
lainnya.
C. Keamanan informasi ditingkatkan ketika CISO melapor kepada CIO.
D. Semua pernyataan itu benar.
e. Tidak ada satupun pernyataan yang benar.
9.Bank ABC ingin memperkuat keamanan fitur pembayaran tagihan online. Oleh karena itu,
diputuskan bahwa selain kata sandi, pengguna juga harus memasukkan 6 digit nomor yang
dikirimkan ke ponsel cerdasnya dengan benar. Ini adalah contoh proses yang disebut sebagai
.
A. otentikasi multifaktor
B. otentikasi multimodal
C. Tak satu pun dari pernyataan lainnya yang benar.
KASUS 11-1Menilai Pengendalian Perubahan dan Manajemen Perubahan
Baca artikel “Kontrol Keamanan yang Berfungsi” oleh 2.Pengendalian manakah yang digunakan oleh hampir semua organisasi
Dwayne Melancon diJurnal Pengendalian Sistem berkinerja tinggi namun tidak digunakan oleh organisasi berkinerja
Informasi, 2007, volume 4 (tersedia http:// rendah atau menengah?
www.isaca .org/Journal/Past-Issues/2007/Volume-4/ 3.Apa tiga hal yang tidak pernah dilakukan oleh organisasi
Pages/Security-Controls-That-Work1.aspx). Tulislah berkinerja tinggi?
laporan yang menjawab pertanyaan-pertanyaan berikut: 4.Metrik apa yang dapat digunakan auditor TI untuk menilai
kinerja organisasi dalam hal pengendalian perubahan
1.Apa perbedaan antara organisasi berkinerja tinggi dan
dan manajemen perubahan? Mengapa metrik tersebut
organisasi berkinerja menengah dan rendah dalam
sangat berguna?
hal kinerja operasional normal? Deteksi pelanggaran
keamanan? Persentase anggaran yang dialokasikan
untuk TI?
KASUS 11-2Proyek Penelitian
Teliti insiden keamanan yang dipilih oleh instruktur Anda F.Sifat pengungkapan yang dilakukan perusahaan (lampirkan pernyataan);
dan jawab pertanyaan berikut: menurut Anda, apakah perusahaan menerima tanggung jawab atas
masalah tersebut atau mencoba memaafkannya? Pertahankan jawaban
A.Kapan pelanggaran itu terjadi
Anda.
B.Ketika pelanggaran ditemukan
G.Rencana/tanggapan perusahaan terhadap kejadian tersebut: Apa yang
C.Bagaimana dan oleh siapa pelanggaran tersebut ditemukan
akan dilakukan secara berbeda di masa depan?
D.Konsekuensi pelanggaran terhadap organisasi
H.Pembelajaran: Menurut Anda, apa yang bisa dilakukan
1. Pengaruh terhadap harga saham perusahaan secara berbeda untuk mengurangi
2. Pengaruhnya terhadap penjualan di masa depan kemungkinan terjadinya insiden, memitigasi
3. Biaya remunerasi (misalnya pemantauan kredit) yang konsekuensi pelanggaran, atau keduanya?
ditawarkan kepada pelanggan
Dapat dikirim:
4. Peraturan denda
Instruktur Anda akan memilih apakah Anda akan menyerahkan
e.Dampak terhadap CISO dan CIO (apakah salah satu atau keduanya
laporan tertulis, membuat presentasi lisan di depan kelas, atau
mengundurkan diri atau dipecat?)
keduanya.
AIS dalam Solusi Aksi

QU IZKEY

A. Konsep pertahanan mendalam mencerminkan fakta bahwa keamanan melibatkan penggunaan beberapa
pengendalian teknis yang canggih. [Salah. Konsep pertahanan mendalam didasarkan pada gagasan bahwa,
dengan waktu dan sumber daya yang cukup, kendali tunggal apa pun, betapapun canggihnya, dapat diatasi
—oleh karena itu, penggunaan kendali yang berlebihan dan tumpang tindih akan memaksimalkan
keamanan.]
▶ B.Keamanan informasi diperlukan untuk melindungi kerahasiaan, privasi, integritas pemrosesan,
dan ketersediaan sumber daya informasi. [Benar. Seperti yang ditunjukkan Gambar 11-1,
keamanan adalah landasan untuk mencapai empat komponen keandalan sistem lainnya.]
C. Model keamanan berbasis waktu dapat dinyatakan dalam rumus berikut: P,
D1R. [Salah. Rumusnya adalahP.D1R.]
D. Keamanan informasi pada dasarnya adalah masalah TI, bukan masalah manajerial. [Salah. Keamanan
pada dasarnya merupakan masalah manajerial karena hanya manajemen yang dapat memilih
respons risiko yang paling tepat untuk melindungi sumber daya informasi organisasi.]
2.Manakah dari berikut ini yang merupakan kontrol detektif?

A. CISO [Salah. CISO adalah penilai yang tidak memihak yang mengevaluasi lingkungan TI dan
memastikan bahwa penilaian kerentanan dan risiko dilakukan secara berkala.]
B. otentikasi dan otorisasi [Salah. Bagian proses ini mengelola kontrol akses pengguna. Ini
adalah pengendalian preventif.]
C. enkripsi [Salah. Ini adalah solusi TI dan contoh pengendalian preventif.]
▶ D.pemantauan berkelanjutan [Benar. Ia mampu mengidentifikasi potensi masalah dengan
memantau kepatuhan karyawan dan kinerja proses bisnis secara keseluruhan.]
3.Prosedur pengendalian yang dirancang untuk membatasi bagian mana dari sistem informasi yang dapat
diakses oleh karyawan dan tindakan apa yang dapat dilakukannya disebut .
A. otentikasi [Salah. Otentikasi adalah proses verifikasi identitas pengguna untuk memutuskan apakah
orang tersebut akan diberikan akses atau tidak.]
▶ B.otorisasi [Benar. Otorisasi adalah proses mengendalikan tindakan apa—membaca, menulis,
menghapus, dll.—yang boleh dilakukan oleh pengguna.]
C. pencegahan intrusi [Salah. Sistem pencegahan intrusi memantau pola lalu lintas jaringan untuk
mengidentifikasi dan menghentikan serangan.]
D. deteksi intrusi [Salah. Deteksi intrusi adalah kontrol detektif yang mengidentifikasi kapan
serangan telah terjadi.]
4.Manakah dari berikut ini yang bukan merupakan langkah dalam proses respons insiden?
A. penahanan [Salah. Langkah dalam proses respons insiden CIRT yang bertujuan
menghentikan masalah dan membendung kerusakan.]
B. tindak lanjut [Salah. Langkah dalam proses respons insiden CIRT yang ditujukan pada analisis
bagaimana insiden tersebut sebenarnya terjadi.]
▶ C.manajemen patch [Benar. Ini adalah proses memperbarui patch dan memuat pembaruan perangkat
lunak untuk memastikan perangkat lunak selalu mutakhir.]
D. pengakuan [Salah. Langkah dalam proses respons insiden CIRT yang dituju.
Menyadari bahwa ada masalah.]
5.Manakah dari berikut ini yang bukan merupakan langkah dasar yang dilakukan penjahat untuk menyerang sistem informasi?
A. temukan kerentanan yang diketahui [Salah. Ini adalah langkah penelitian sebelum menyerang
IS.]
▶ B.menginfeksi jaringan korban dengan virus [Benar. Bagian dari langkah rekayasa sosial ini dapat
berupa menginfeksi jaringan korban dengan kuda Trojan agar pelaku dapat mengakses
jaringan tersebut.]
C. mengidentifikasi titik-titik potensial masuknya jarak jauh [Salah. Ini adalah langkah pemindaian dan pemetaan target
untuk menemukan komputer yang dapat diakses dari jarak jauh.]
D. pelajari sebanyak mungkin tentang target dan kerentanannya [Salah. Ini adalah langkah
pengintaian yang dilakukan penjahat sebelum merencanakan serangan.]
6.Manakah dari pernyataan berikut yang benar tentang zona demiliterisasi?

A. Ini adalah jaringan terpisah di luar IS internal organisasi yang mengizinkan akses
terkontrol dari Internet ke sumber internal tertentu. [Benar]
B. Ini adalah perangkat dengan tujuan khusus untuk membaca kolom alamat sumber dan tujuan di header
paket IP untuk mengetahui ke mana paket harus dikirim. [Salah. Ini adalah deskripsi untuk sebuah router.]
▶ C.Ini memantau pola arus lalu lintas untuk mengidentifikasi dan secara otomatis memblokir serangan.
[Salah. Ini adalah tugas sistem pencegahan intrusi jaringan.]
D. Ini memberikan lapisan pertahanan terakhir untuk mencegah akses tidak sah ke suatu
sistem. [Salah. Ini adalah tugas enkripsi, salah satu solusi TI.]

A. Perubahan “darurat” perlu didokumentasikan setelah masalah teratasi. [Salah.
Pernyataan ini benar, begitu pula b dan c.]
B. Perubahan harus diuji dalam sistem yang terpisah dari sistem yang digunakan untuk memproses
transaksi. [Salah. Pernyataan ini benar, begitu pula a dan c.]
C. Kontrol perubahan diperlukan untuk menjaga pemisahan tugas yang memadai. [Salah.
Pernyataan ini benar, begitu pula a dan b.]
▶ D.Semua hal di atas adalah benar. [Benar.]
8.Manakah dari teknik berikut yang merupakan cara paling efektif bagi firewall untuk melindungi
perimeter?
▶ A.inspeksi paket mendalam [Benar. Inspeksi paket mendalam memeriksa isi data di
badan paket IP, bukan hanya informasi di header paket. Ini adalah cara terbaik
untuk menangkap kode berbahaya.]
B. pemfilteran paket [Salah. Pemfilteran paket memeriksa header paket IP. Ia dapat ditipu dengan
serangan yang memalsukan alamat sumber atau tujuan atau yang menyembunyikan kode
berbahaya di dalam paket.]
C. daftar kendali akses [Salah. Daftar kontrol akses adalah seperangkat aturan yang dapat digunakan untuk
melakukan pemfilteran paket atau pemeriksaan paket mendalam.]
D. Semua hal di atas sama efektifnya. [Salah. Pilihan b kurang efektif dibandingkan pilihan
a, dan pilihan c adalah bagian dari pemfilteran paket dan pemeriksaan paket mendalam.]
9.Manakah dari pernyataan berikut yang benar sehubungan dengan risiko karyawan diperbolehkan menggunakan
perangkat portabel pribadi untuk mengakses jaringan perusahaan?
A. Perangkat tidak boleh terinfeksi malware, yang berpotensi menyebar ke jaringan
perusahaan. [Salah. Perangkat seluler juga dapat terinfeksi malware dan berisiko
menginfeksi jaringan perusahaan juga]
▶ B.Karyawan mungkin tidak menganggap kebijakan keamanan sebagai panduan komprehensif untuk penggunaan
perangkat mereka secara aman. [Benar. Ini adalah bagian dari penggunaan yang tidak aman dengan ancaman
peningkatan risiko insiden keamanan.]
C. Perusahaan dapat mengaktifkan enkripsi pada perangkat untuk menjadikan data yang disimpan di
dalamnya berpotensi tidak berguna. [Salah. Enkripsi sebenarnya diperlukan untuk transmisi
informasi sensitif serta untuk menyimpan data perusahaan di perangkat.]
D. Perusahaan harus melatih karyawannya untuk menginstal pembaruan sistem operasi secara berkala
pada perangkat pribadi mereka. [Salah. Ini adalah salah satu solusi terhadap ancaman infeksi
malware.]
10.Memodifikasi konfigurasi default untuk mematikan program dan fitur yang tidak perlu untuk
meningkatkan keamanan disebut .
A. manajemen akun pengguna [Salah. Manajemen akun pengguna adalah kontrol preventif yang membatasi
apa yang dapat dilakukan pengguna.]
B. pertahanan mendalam [Salah. Pertahanan mendalam adalah prinsip keamanan umum yang menggunakan beberapa
kontrol yang tumpang tindih untuk melindungi suatu sistem.]
C. pemindaian kerentanan [Salah. Pemindaian kerentanan adalah kontrol detektif yang dirancang untuk
mengidentifikasi kelemahan.]
▶ D.pengerasan [Benar. Inilah definisi pengerasan.]

Marshall B. Romney - Accounting Information Systems (2021, Pearson Education Limited) (1) - 361-394 (1) .En - Id

Diunggah oleh

Informasi Dokumen

Judul Asli

Hak Cipta

Format Tersedia

Bagikan dokumen Ini

Bagikan atau Tanam Dokumen

Opsi Berbagi

Apakah menurut Anda dokumen ini bermanfaat?

Apakah konten ini tidak pantas?

Hak Cipta:

Format Tersedia

Marshall B. Romney - Accounting Information Systems (2021, Pearson Education Limited) (1) - 361-394 (1) .En - Id

Diunggah oleh

Hak Cipta:

Format Tersedia

Diterjemahkan dari bahasa Inggris ke bahasa Indonesia - www.onlinedoctranslator.

Setelah mempelajari bab ini, Anda seharusnya mampu:

2.Jelaskan tiga konsep dasar: mengapa keamanan informasi merupakan masalah

3.Jelaskan kontrol yang dapat digunakan untuk melindungi informasi

6.Jelaskan bagaimana virtualisasi, komputasi awan, dan Internet of Things mempengaruhi

KASUS INTEGRASI IVE Industri Barat Laut

3.Pribadi—informasi pribadi tentang pelanggan, karyawan, pemasok, atau mitra bisnis

Tiga Konsep Dasar Keamanan Informasi

Langkah 2 melibatkan pengembangan kebijakan keamanan informasi dan mengkomunikasikannya kepada

2. ORANG: FAKTOR KRITIS

Semua karyawan harus diajarMengapalangkah-langkah keamanan penting untuk kelangsungan hidup

3. MODEL KEAMANAN INFORMASI BERBASIS WAKTU

P.D1R, Di mana bahwa serangan sedang terjadi dan

Jika persamaan terpenuhi (yaitu, jikaP.D1Rbenar), maka prosedur keamanan informasi

Komponen Model Contoh

Deteksi -- Analisis log

Tanggapan -- Tim respons insiden komputer (CIRT)

Melindungi Sumber Daya Informasi

KEAMANAN FISIK: KONTROL AKSES

FOKUS 11-2 Mengontrol Akses Fisik dengan Man-Traps

PROSES: KONTROL AKSES PENGGUNA

FOKUS 11-3Efektivitas Kata Sandi sebagai Kredensial Otentikasi

Pengguna File Program

Kode untuk Akses File: 0 = Kode untuk Akses Program: 0 =

3 = Membaca/menampilkan, memperbarui, membuat, dan menghapus

Sumber:2010 © NetSuite Inc.

SOLUSI IT: KONTROL ANTIMALWARE

1.Pendidikan kesadaran perangkat lunak berbahaya.

SOLUSI IT: KONTROL AKSES JARINGAN

router perbatasan- perangkat

Zona Demiliterisasi (DMZ)

Server Akses Jarak Jauh

LAN Departemen Penggajian LAN Departemen Penjualan Departemen Keuangan LAN

Departemen Departemen Departemen

GAMBAR 11-7 Mengirim Perangkat

MAC Sumber & Tujuan, dll.

Dirangkai Kembali oleh TCP Header: Nomor urut,

Ethernet Header: Alamat

Header IP: Sumber & Tujuan

TCP Header: Nomor urut,

Bagian dari file asli

Ethernet Header: Alamat

Header IP: Sumber & Tujuan

TCP Header: Nomor urut,

Bagian dari file asli

SOLUSI IT: KONTROL PENGERASAN PERANGKAT DAN PERANGKAT LUNAK

SOLUSI IT: ENKRIPSI

SISTEM DETEKSI INTRUSI

PEMANTAUAN TERUS MENERUS

TIM RESPON INSIDEN KOMPUTER (CIRT)

KEPALA PETUGAS KEAMANAN INFORMASI (CISO)

Pantau dan Revisi Solusi Keamanan

KONTROL PERUBAHAN DAN MANAJEMEN PERUBAHAN

-- Dokumentasi seluruh permintaan perubahan, mengidentifikasi sifat perubahan, alasan

Implikasi Keamanan dari Virtualisasi, Cloud

Ringkasan dan Kesimpulan Kasus

model berbasis waktu router perbatasan 373 pemindai kerentanan 377

AIS sedang beraksi

1.Manakah dari pernyataan berikut yang benar?

2.Manakah dari berikut ini yang merupakan kontrol detektif?

6.Manakah dari pernyataan berikut yang benar tentang zona demiliterisasi?

7.Manakah dari pernyataan berikut yang benar?

PEMBAHASAN TENTANG QU ESTI PADA S