CHAPTER 8 MELINDUNGI SISTEM INFORMASI

Transkripsi

1 CHAPTER 8 MELINDUNGI SISTEM INFORMASI Disusun Oleh: Febrizio Hoggi Akhiradi Hilda Devi Noeraini Shabrina Kirgizia Hanum Ammar Zaky Ramadhan Fakultas Ekonomi dan Bisnis Universitas Airlangga 2016

2 8.1. Kerentanan dan Penyalahgunaan Sistem A. Mengapa sistem dapat menjadi rentan Klien (Pengguna) Jalur Komunikasi Server Perusahaan Sistem Perusahaan - Akses tanpa- Tapping - Hacking - Pencurian data izin - Sniffing - Virus dan worm - Penyalinan data - Kesalahan - Penggantian pesan - Pencurian/penipuan - Pengubahan data - Virus dan- Pencurian/penipua - Vandalisme - Kegagalan peranti spyware n - Radiasi - Denial of service keras - Kegagalan peranti lunak Kerentanan internet Jaringan publik yang besar seperti internet lebih rentan daripada jaringan internal karena terbuka bagi siapapun. Ketika penyalahgunaan terjadi, dampaknya tersebar sangat luas hanya dalam hitungan menit. Ketika jaringan perusahaan terhubung ke internet, sistem informasi perusahaan rentan terhadap serangan dari pihak luar Tantangan pengamanan nirkabel War driving = para penyusup mendekati suatu gedung dan mencoba memasuki jalur jaringan nirkabel B. Peranti lunak berbahaya Program peranti lunak yang berbahaya biasanya disebut malware dan meliputi berbagai jenis ancaman seperti 1. Virus komputer Program peranti lunak berbahaya yang menempelkan dirinya ke program lainnya atau file data untuk dieksekusi, biasanya tanpa sepengetahuan atau seizin pengguna. 2. Worm Program komputer independen yang menyalin diri sendiri dari satu komputer ke komputer lain dalam jaringan 3. Trojan horse Program peranti lunak yang tampaknya tidak berbahaya tapi justru berbuat sesuatu yang tidak diperkirakan

3 4. Spyware Program peranti lunak ini memasang diri secara sembunyi sembunyi di komputer untuk memantau kegiatan penelusuran Web oleh pengguna komputer dan untuk memunculkan iklan C. Hacker dan vandalisme maya Seorang hacker adalah seseorang yang ingin mendapatkan akses tidak sah ke sebuah sistem komputer Computer crime adalah gangguan, perusakan atau bahkan penghancuran situs atau sistem informasi perusahaan secara disengaja Diantaranya adalah 1. Spoofing dan sniffing Spoofing berupa pengalihan jalur sebuah situs web ke sebuah alamat yang berbeda dari yang diinginkan, dengan situs yang disamarkan sebagai tujuan yang diinginkan Sniffer sejenis program pencuri informasi yang memantau informasi dalam sebuah jaringan 2. Denial of service attacks Hacker membanjiri server jaringan atau server web dengan ribuan komunikasi palsu atau permohonan layanan palsu untuk menyusup ke dalam jaringan D. Kejahatan komputer dan terorisme maya 1. Computer crime Pelanggaran hukum kriminal apa pun yang melibatkan pengetahuan teknologi komputer untuk tujuan kejahatan, penyelidikan, atau penuntutan Contoh: mengakses sistem komputer tanpa otorisasi, menerobos kerahasiaan data terkomputerisasi yang dilindungi dan sebagainya 2. Identity theft Kejahatan dimana seorang penipu mendapatkan informasi pribadi yang penting, seperti nomor jaminan sosial, untuk menyamar sebagai orang lain 3. Click fraud

4 Terjadi ketika seseorang atau program komputer dengan curang mengklik sebuah iklan online tanpa maksud mempelajari lebih lanjut tentang pemasang iklannya atau melakukan pembelian 4. Cyberterorism dan cyberwafare Cyberterrorism serangan elektronik melalui jaringan komputer terhadap infrastruktur kritis yang berpotensi besar mengganggu aktivitas sosial dan ekonomis bangsa Cyberwarfare perang jaringan komputer dan internet di dunia maya, dalam bentuk pertahanan dan penyerangan informasi E. Ancaman internal Rekayasa sosial (social engineering) = penyusup berbahaya yang mencari akses sistem kadangkala menipu karyawan sehingga membuka kata sandi mereka dengan cara berpura pura menjadi anggota perusahaan yang sah yang sedang membutuhkan informasi F. Kerentanan peranti lunak 8.2. Menetapkan Kerangka Kerja untuk Pengamanan dan Pengendalian A. Penilaian risiko Menentukan tingkat risiko pada perusahaan jika aktivitas atau proses tertentu tidak dikendalikan dengan benar. B. Kebijakan pengamanan Terdiri atas pernyataan pernyataan yang menilai risiko informasi, mengidentifikasi tujuan pengamanan yang berterima, dan mengidentifikasi mekanisme untuk mencapai tujuan ini Direktur keamanan = chief securty officer (CSO) Acceptable Use Policy (AUP) Mendefinisikan penggunaan sumber sumber informasi perusahaan dan perangkat komputasi Authorization policy

5 Menentukan tingkat akses yang berbeda ke aset informasi untuk tingkat pengguna yang berbeda pula Authorization management system Menentukan dimana dan kapan seorang pengguna diizinkan untuk mengakses bagian tertentu dari situs atau basis data perusahaan C. Memastikan kelangsungan bisnis Fault-tolerant computer system berisi peranti keras, peranti lunak dan komponen persediaan daya yang berlebih yang menciptakan sebuah lingkungan yang memberikan layanan terus menerus dan bebas gangguan Downtime adalah periode waktu saat sistem tidak bekerja Recovery-oriented computing adalah merancang sistem yang dapat pulih dengan cepat dan mengimplementasi kapabilitas dan perangkat guna membantu operator menunjukkan sumber kesalahan dalam sistem multikomponen dan dengan mudah memperbaiki kesalahan 1. Perencanaan pemulihan bencana dan perencanaan keberlangsungan bisnis 2. Perencanaan pemulihan bencana (disaster recovery planning) Merancang cara cara merestorasi layanan komputasi dan komunikasi setelah terganggu oleh suatu peristiwa, seperti gempa bumi, dll 3. Perencana keberlangsungan bisnis (business continuity planning) Berfokus pada bagaimana perusahaan dapat mengembalikan operasi bisnis setelah dilanda bencana 4. Alih kontrak pengamanan Penyedia layanan keamanan terbuka (managed security services provider / MSSP) memantau aktivitas jaringan dan melakukan uji kerentanan dan deteksi adanya gangguan D. Peran proses audit Audit SIM menguji lingkungan pengamanan perusahaan secara menyeluruh sekaligus juga pengendalian yang mengatur sistem informasi perorangan 8.3. Teknologi dan Perangkat Pengamanan A. Kontrol akses

6 Kontrol akses terdiri atas semua kebijakan dan prosedur yang digunakan perusahaan untuk mencegah akses tanpa izin ke sistem yang dilakukan oleh pihak internal dan pihak luar Autentikasi adalah kemampuan untuk mengetahui siapa pengguna itu. Akses pengendalian peranti lunak dirancang hanya untuk mengizinkan para pengguna sah untuk menggunakan sistem atau mengakses data dengan menggunakan beberapa metode autentikasi. Terdapat beberapa teknologi autentikasi baru yaitu 1. Token Perangkat fisik, mirip dengan kartu identifikasi, yang dirancang untuk membuktikan identitas seorang pengguna 2. Smart card Perangkat yang ukurannya mirip dengan kartu kredit yang berisi sebuah chip yang diformat dengan izin akses dan sata lainnya 3. Biometric authentication Menggunaka sistem yang membaca dan menginterpretasi ciri khas setiap orang, seperti sidik jari, iris mata, dan suara dengan tujuan memberikan atau menolak akses B. Firewall, sistem deteksi gangguan dan antivirus Perlindungan dalam koneksi ke internet akan sangat dibutuhkan. Diantaranya adalah 1. Firewall Kombinasi peranti keras dan peranti lunak yang mengendalikan arus lalu lintas jaringan yang masuk dan keluar. Firewall secara umum terletak diantara jaringan internal pribadi organisasi dan jaringan eksternal yang tidak dipercaya seperti internet Contoh: static packet filtering, stateful inspection, application proxy filtering - Packet filtering Memeriksa field terpilih di header dari paket data yang mengalir masuk dan keluar antara jaringan yang dipercaya dan internet dan memeriksa setiap paket secara terpisah - Stateful inspection

7 Menyediakan pengamanan tambahan dengan cara menentukan apakah suatu paket merupakan bagian dari dialog yang terus menerus antara pengirim dan penerima - Network adress Translation (NAT) Memberikan lapisan perlindungan lainnya ketika static packet filtering dan stateful inspection digunakan - Application proxy filtering Memeriksa isi aplikasi dari paket paket yang masuk 2. Sistem deteksi gangguan Menggunakan perangkat yang selalu aktif melakukan pemantauan yang diletakkan di titik-titik yang paling rentan dalam jaringan perusahaan untuk secara kontinyu mendeteksi dan menghalangi para penyusup. Sistem akan menyalakan alarm jika menemukan peristiwa yang mencurigakan atau ganjil 3. Antivirus Dirancang untuk memeriksa adanya virus komputer dalam sistem dan drive komputer. Contoh: McAfee, Symatec, dan lain-lain C. Enkripsi dan infrastruktur kunci punlik Enkripsi Proses mengubah teks atau data biasa menjadi teks bersandi rahasia (cipher) yang tidak dapat dibaca oleh siapapun selain pengirim dan penerima yang dimaksudkan Metode untuk mengenkripsi dalam jaringan pada web 1. SSL/ Secure Sockets Layer dan penerusnya Transport Layer Security (TLS) Memungkinkan komputer klien dan server untuk mengelola aktivitas enkripsi dan dekripsi sebagaimana mereka berkomunikasi satu sama lain selama berlangsungnya sesi web yang aman 2. SHTTP / Secure Hypertext Transfer Protocol Digunakan untuk mengenkripsi data di internet, tetapi terbatas pada pesan pesan individual, sementara SSL dan TLS dirancang untuk membangun hubungan yang aman antara dua komputer

8 Terdapat dua alternatif metode enkripsi 1. Enkripsi kunci simetris Pengirim dan penerima membuat sesi internet yang aman dengan menciptakan sebuah kunci enkripsi tunggal dan mengirimnya kepada penerima, sehingga baik pengirim dan penerima berbagi kunci yang sama Kekuatan: diukur dengan panjang bitnya (umum nya 128 bit) Masalah: mengekspos kunci kepada pihak luar mungkin saja terjadi 2. Enkripsi kunci publik Menggunakan dua kunci, kunci publik dan privat Membantu proses autentikasi 1. Tanda tangan digital Pesan yang dienkripsi yang hanya dapat diciptakan oleh seorang pengirim menggunakan kunci privatnya sendiri. Tanda tangan ini digunakan untuk memastikan keaslian asal dan isi pesan 2. Sertifikat digital File data yang digunakan untuk menciptakan identitas pengguna dan aset elektronik untuk perlindungan transaksi online. Sistem ini menggunakan pihak ketiga yang terpercaya, dikenal sebagai certificate authority (CA)