MAKALAH KEAMANAN INFORMASI Oleh : Muhammad Shodiqil Khafili Djakfar 2110155027 Dosen Pengajar : Ferry Astika Saputra, ST, M.Sc
Pendahuluan Informasi merupakan aset yang sangat penting bagi Instansi penyelenggara layanan publik dan karenanya perlu dilindungi dari ancaman yang dapat mengganggu kelangsungan bisnisnya. Penggunaan fasilitas teknologi informasi selain memudahkan proses pekerjaan juga mengandung risiko bila tidak digunakan dan dikelola dengan tepat. Oleh karena itu, penggunaan teknologi informasi harus dikelola sedemikian rupa sehingga memberi manfaat sebesarbesarnya dengan kemungkinan risiko yang rendah. Penerapan tata kelola Teknologi Informasi dan Komunikasi (TIK) saat ini sudah menjadi kebutuhan dan tuntutan di setiap instansi penyelenggara pelayanan publik mengingat peran TIK yang semakin penting bagi upaya peningkatan kualitas layanan sebagai salah satu realisasi dari tata kelola pemerintahan yang baik (Good Corporate Governance). Dalam penyelenggaraan tata kelola TIK, faktor keamanan informasi merupakan aspek yang sangat penting diperhatikan mengingat kinerja tata kelola TIK akan terganggu jika informasi sebagai salah satu objek utama tata kelola TIK mengalami masalah keamanan informasi yang menyangkut kerahasiaan (confidentiality), keutuhan (integrity) dan ketersediaan (availability). Pembuatan panduan tata kelola tak lepas dari indeks indeks keamanan informasi yang ada di dunia. Oleh karena itu, penulis akan membahas tentang indeks yang berhubungan dengan keamanan informasi. \
Pembahasan Pemerintah berupaya untuk melindungi keamanan informasi negara dengan melakukan tata kelola pada Teknologi Informasi dan Komunikasi (TIK) melalui Sistem Pengendalian Intern sesuai dengan peraturan pemerintah (Perpu) 60 Tahun 2008. Sistem Pengendalian Intern adalah proses yang integral pada tindakan dan kegiatan yang dilakukan secara terus menerus oleh pimpinan dan seluruh pegawai untuk memberikan keyakinan memadai atas tercapainya tujuan organisasi melalui kegiatan yang efektif dan efisien, keandalan pelaporan keuangan, pengamanan aset negara, dan ketaatan terhadap peraturan perundang-undangan. Dalam melakukannya, pemerintah yang dalam masalah ini langsung diatasi oleh Kementerian Komunikasi dan Informasi (Kominfo) membuat panduan penerapan tata kelola tersebut. Namun dalam pembuatannya, diperlukan standar standar yang mencakup sebagai peraturan yang baik. Adalah COBIT sebagai standar praktik manajemen Teknologi Informasi, ISO 20000-1 yang membahas standar Manajemen Layanan Teknologi Informasi, ISO 27001 yang membahas standar Sistem Manajemen Keamanan Informasi, dan ISO 15408 yang membahas tentang keamanan perangkat. COBIT Control Objective for Information and related Technology, disingkat COBIT, adalah suatu panduan standar praktik manajemen teknologi informasi. Standar COBIT dikeluarkan oleh IT Governance Institute yang merupakan bagian dari ISACA. COBIT 4.1 merupakan versi terbaru. COBIT memiliki 4 cakupan domain, yaitu :
Perencanaan dan organisasi (plan and organise) Pengadaan dan implementasi (acquire and implement) Pengantaran dan dukungan (deliver and support) Pengawasan dan evaluasi (monitor and evaluate) Maksud utama COBIT ialah menyediakan kebijakan yang jelas dan good practice untuk IT governance, membantu manajemen senior dalam memahami dan mengelola resiko-resiko yang berhubungan dengan IT. COBIT menyediakan kerangka IT governance dan petunjuk control objective yang detail untuk manajemen, pemilik proses bisnis, user dan auditor. ISO/IEC 20000-1 ISO/IEC 20000-1:2011 is a service management system (SMS) standard. It specifies requirements for the service provider to plan, establish, implement, operate, monitor, review, maintain and improve an SMS. The requirements include the design, transition, delivery and improvement of services to fulfil agreed service requirements. ISO/IEC 20000-1 yang diterbitkan tahun 2011 adalah standar sistem manajemen pelayanan yang fokus dalam perencanaan, implementasi, pengoperasian, review, monitoring, maintenance, dan pengembangan service provider. Kebutuhannya termasuk desain, transisi, pengiriman dan kemajuan pelayanan untuk melengkapi kebutuhan pelayanan itu sendiri. Standar ISO/IEC 20000-1 berbasis pada pekerjaan yang dilakukan oleh Office of Government Commerce (OGC) dan IT Infrastructure Library (ITIL) yang diterima secara internasional sehingga Anda bisa merasa yakin dengan manfaat yang akan Anda peroleh dari cara layanan teknologi informasi Anda dijalankan.
Basis standar ini adalah siklus Plan-Do-Check-Act, sama dengan standar sistem manajemen yang lain, yang memungkinkan Anda untuk mengerjakan sistem terintegrasi dan mengurangi biaya dan duplikasi. ISO/IEC 20000-1 bisa diterapkan untuk seluruh organisasi penyedia aktifitas manajemen TI yang ingin mengukur manajemen layanan TI mereka yang ada. ISO/IEC 20000-1 adalah sebuah standar Inggris yang dikembangkan oleh Forum Manajemen Layanan TI (itsmf) yang diterima secara internasional. ISO/IEC 27001 SNI ISO/IEC 27001 yang diterbitkan tahun 2009 dan merupakan versi Indonesia dari ISO/IEC 27001:2005, berisi spesifikasi atau persyaratan yang harus dipenuhi dalam membangun Sistem Manajemen Keamanan Informasi (SMKI). Standar ini bersifat independen terhadap produk teknologi informasi, mensyaratkan penggunaan pendekatan manajemen berbasis risiko, dan dirancang untuk menjamin agar kontrol-kontrol keamanan yang dipilih mampu melindungi aset informasi dari berbagai risiko dan memberi keyakinan tingkat keamanan bagi pihak yang berkepentingan. Standar ini dikembangkan dengan pendekatan proses sebagai suatu model bagi penetapan, penerapan, pengoperasian, pemantauan, tinjau ulang (review), pemeliharaan dan peningkatan suatu SMKI. Pendekatan proses mendorong pengguna menekankan pentingnya : Pemahaman persyaratan keamanan informasi organisasi dan kebutuhan terhadap kebijakan serta sasaran keamanan informasi Penerapan dan pengoperasian kontrol untuk mengelola risiko keamanan informasi dalam konteks risiko bisnis organisasi secara keseluruhan Pemantauan dan tinjau ulang kinerja dan efektivitas SMKI Peningkatan berkelanjutan berdasarkan pada pengukuran tingkat ketercapaian sasaran
Standar menyatakan persyaratan utama yang harus dipenuhi menyangkut: Sistem manajemen keamanan informasi (kerangka kerja, proses dan dokumentasi) Tanggung jawab manajemen Audit internal SMKI Manajemen tinjau ulang SMKI Peningkatan berkelanjutan Disamping persyaratan utama di atas, standar ini mensyaratkan penetapan sasaran kontrol dan kontrol-kontrol keamanan informasi meliputi 11 area pengamanan sebagai berikut: Kebijakan keamanan informasi Organisasi keamanan informasi Manajemen aset Sumber daya manusia menyangkut keamanan informasi Keamanan fisik dan lingkungan Komunikasi dan manajemen operasi Akses kontrol Pengadaan/akuisisi, pengembangan dan pemeliharaan sistem informasi Pengelolaan insiden keamanan informasi Manajemen kelangsungan usaha (business continuity management) Kepatuhan
ISO/IEC 15408 Terdapat 3 bagian ISO 15408, berikut adalah penjelasan sekilasnya. ISO/IEC 15408-1:2009 Bagian pertama dari ISO/IEC 15408 merupakan kemungkinan perbandingan antara hasil evaluasi keamanan yang secara independen. Menyediakan seperangkat persyaratan untuk fungsi keamanan produk dan jaminan pada penerapan untuk produk-produk IT selama evaluasi keamanan dilakukan. Hal ini dapat diimplementasikan dalam hardware, firmware atau perangkat lunak. ISO/IEC 15408-2:2008 Bagian kedua merupakan dasar untuk persyaratan keamanan fungsional yang disajikan dalam Profil Perlindungan (Protection Profile/PP) atau Sasaran Keamanan (Security Target/ST). Persyaratan menggambarkan perilaku keamanan yang diinginkan dan diharapkan dari Target of Evaluation (TOE) dan dimaksudkan untuk memenuhi tujuan keamanan sebagaimana tercantum dalam PP atau ST. Persyaratan menjelaskan sifat keamanan yang dilakukan pengguna, dapat mendeteksi interaksi langsung (yaitu input, output) dengan IT atau oleh respon IT ke stimulus. ISO/IEC 15408-3: 2008 Bagian yang ketiga merupakan dasar untuk persyaratan jaminan keamanan yang disajikan dalam Profil Perlindungan (Protection Profile/PP) atau Sasaran Keamanan (Security Target/ST). Persyaratan untuk menetapkan cara standar dalam mengekspresikan persyaratan jaminan untuk TOE. Bagian dari ISO/IEC 15408 untuk katalog set dari komponen jaminan, keluarga(families) dan kelas (classes). Bagian dari ISO/IEC 15408 untuk mendefinisikan kriteria evaluasi pada PP dan ST dan untuk menyajikan tingkat jaminan evaluasi yang digunakan dalam menentukan ketetapan pada ISO/IEC 15408 untuk jaminan skala tingkatan TOE, yang disebut Evaluation Assurance Levels (EALs).
Penutup Informasi sangatlah penting, teruntama untuk pihak yang membutuhkannya. Informasi harus dilindungi dari ancaman ancaman yang membut informasi rusak atau bocor. Oleh karena itu butuh adanya tata kelola yang baik dan pentingnya keamanan informasi sebagaimana halnya keamanan informasi pada Teknologi Informasi. Pengelolaan keamanan informasi tidak dapat dibuat begitu saja, namun harus memperhatikan indeks indeks yang ada. Indeks tersebut berupa standar standar nasional maupun internasional. Untuk keamanan informasi, beberapa standar yang perlu diperhatikan adalah : 1. Peraturan Pemerintah 60 tahun 2008 tentang Sistem Pengendalian Intern. 2. COBIT sebagai standar praktik Manajemen Teknologi Informasi. 3. ISO/IEC 20000-1 tentang Manajemen Layanan Teknologi Informasi. 4. ISO/IEC 27001 tentang Sistem Manajemen Keamanan Informasi. 5. ISO/IEC 15408 tentang Keamanan Perangkat.
Daftar Pustaka https://arafiandi.wordpress.com/2009/10/27/tentang-iso-27001-information-securitymanagement-system/ http://blogs.itb.ac.id/aiceware/2014/02/21/sekilas-iso-15408/ http://id.wikipedia.org/wiki/cobit http://www.id.lrqa.com/standards-and-schemes/iso-iec20000-1/ http://www.iso.org/iso/catalogue_detail.htm?csnumber=50341 http://www.iso.org/iso/catalogue_detail?csnumber=51986 Panduan Penerapan Tata Kelola KIPPP Peraturan Pemerintah 60 Tahun 2008