Security Awareness Bandung, 1 September 2015
Digital Artifacts in our daily lives Mesin ATM Handphone Digital camera Komputer Notebook Tablet 2014 IT trends 1 1
Pemanfaatan IT Sudah merasuk dalam kehidupan kita sehari-hari Handphone: telepon, SMS, WhatsApp, Transaksi perbankan: ATM, internet banking, SMS banking, mobile banking, Internet: email, web, Transaksi saham Security Awareness 2
IT in Business Otomatisasi & mempercepat proses Menurunkan biaya Meningkatkan user experience Mendekatkan pengguna Customer / user support Feedback dari pengguna Penggunaan media sosial (facebook, twitter) untuk berbagai interaksi Tanpa IT akan kalah Security Awareness 3
Top 3 Hot Issues (2011-2015) Social Network Misanthropes and anti-socials: privacy vs. security in social networks Mobile Devices Mobile devices compromise data security Integrated application on mobile devices Cloud/Physical/Disaster Data security goes to the cloud File security takes center stage Security Awareness 4
Social Network Pencurian identitas Pencemaran nama baik Komentar terhadap layanan, keluhan, dsb Bullying model baru Integrasi antara social network (dan aplikasi) Facebook, Twitter, Instagram Pembocoran aktivitas tanpa sadar Social media, antara area publik vs area pribadi Security Awareness 5
Media Sosial Indonesia Masih terus bertambah 55M internet users diindonesia in 2011, naik 22% dari 2008 (2012 Internet Trends Kleiner Perkins Caufield Byers) 2009, Indonesia bahkan tidak ada di daftar pengguna twitter, sekarang mendominasi Jakarta #1 Bandung #6 Security Awareness 6
Mobile Devices Berkembangnya sistem operasi open source (Android) Terhubung ke Internet 24 jam Kamera dengan resolusi tinggi Media penyimpanan yang besar (8GB 64GB) Dimensi yang semakin mengecil Aplikasi perusahaan + data penting diakses dan disimpan dalam perangkat ini Rentan terhadap pencurian (kebocoran data) Security Awareness 7
Security and privacy Bersangkutan dengan perlindungan data, integritas operasional, kelemahan management, kelangsungan bisnis (BC), perbaikan dari bencana, dan pengelolaan identitas Compliance User yang memiliki kebutuhan pemenuhan yang harus dimengerti apa dan bagaimana, menggunakan cloud service yang dapat berpengaruh terhadap pencapaian tujuan Legal and contractual issues Security Issues for Cloud Computing (versi Forrester) Kepemilikan aset/liabilitas dan intelektual adalah sebagian kecil dari isu hukum yang harus dipertimbangkan Liabilitas tidak selalu clear-cut ketika berubah menjadi cloud service Security Awareness 8
Justifikasi Investasi Security Survey di perusahaan: hanya 22% yang menganggap keamanan sistem informasi sebagai komponen penting. Kesadaran akan masalah keamanan masih rendah! Bagaimana untuk meyakinkan management untuk melakukan investasi di bidang keamanan? Membutuhkan justifikasi perlunya investasi infrastruktur keamanan Security Awareness 9
Rendahnya Kesadaran Keamanan (Lack of Security Awarenes) Management: nyambung dulu (online dulu), security belakangan Sekarang kan belum ada masalah! Bagaimana ROI? Praktisi: Pinjam password admin, dong Rendahnya kesadaran akan masalah keamanan! Security Awareness 10
Rendahnya Kesadaran Keamanan (Lack of Security Awarenes) Lack of internal security awareness is still one of our biggest threats. Technology can reduce risks to a point, but it is people who are the weakest link. Deloitte Global Security Survey 2004 Respondent Security Awareness 11
Security Incident Cost Indonesia Server Down : untuk menghidupkan server kembali dibutuhkan dana sekitar 25 jt Kerugian yang mungkin dialami oleh perbankan sekitar 300 jt/down Sumber: Tim Sharing Vision, 2003 (http://sharingvision.biz) information security breaches survey 2004 (PricewaterhouseCoopers) Security Awareness 12
Security Lifecycle Security Awareness 13
BEBERAPA MASALAH Security Awareness
Pishing: personal information fishing From: <USbank-Notification-Urgecq@UsBank.com> To: Subject: USBank.com Account Update URGEgb Date: Thu, 13 May 2004 17:56:45-0500 USBank.com Dear US Bank Customer, During our regular update and verification of the Internet Banking Accounts, we could not verify your current information. Either your information has been changed or incomplete, as a result your access to use our services has been limited. Please update your information. To update your account information and start using our services please click on the link below: http://www.usbank.com/internetbanking/requestrouter?requestcmdid=displayloginpage Note: Requests for information will be initiated by US Bank Business Development; this process cannot be externally requested through Customer Support. Security Awareness 15
Spam Email yang berisi sampah (umumnya iklan) Menghabiskan jaringan, disk, waktu pekerja Spam merugikan bisnis Security Awareness 16
Type of Fraud Experienced During the Prior 12 Months (Percentages) Fraud Type Security Awareness 17
Terlupakan Abuse dari dalam! 1999 Computer Security Institute (CSI) / FBI Computer Crime Survey menunjukkan bahwa disgruntled worker (orang dalam) merupakan potensi attack / abuse. http://www.gocsi.com Disgruntled workers 86% Independent hackers 74% US competitors 53% Foreign corporation 30% Foreign government 21% Security Awareness 18
Serangan dari Dalam Karena Tidak Ada Policy Tujuh-puluh sembilan persen eksekutif senior terjebak dalam kesalahan berfikir bahwa ancaman terbesar terhadap keamanan sistem berasal dari luar (eksternal) Walaupun kebanyakan responden sudah memikirkan tentang hacker, kurangnya atau bahkan tidak adanya implementasi security policy dan kurangnya kesadaran karyawan adalah ancaman terbesar bagi sistem online mereka KPMG Security Awareness 19
Virus (Malware) Virus masih tetap menjadi masalah nomor satu Selalu ada virus baru yang muncul Bahkan virus lama pun (seperti conficker) masih sering muncul Ditambah dengan virus lokal Virus (malware) untuk cyberwar? Harus melakukan investasi di anti virus (plus anti virus lokal?) Security Awareness 20
Stuxnet (dari berbagai sumber) Stuxnet disebut-sebut para pakar keamanan sebagai bentuk senjata cyber yang menjadi sarana terorisme di dunia maya. Serangannya tidak hanya mencuri informasi di komputer korban, namun mengambil alih sistem kontrol berbasis mesin Negara Jumlah Komputer terinfeksi Negara Jumlah Komputer terinfeksi Iran dengan, 62.867 Indonesia 13.336 Amerika Serikat 2.913 Australia 2.436 India 6.552 Malaysia 1.013 Inggris dengan 1.038 Pakistan 993 Security Awareness 21
Stuxnet (dari berbagai sumber) 2 Belum diketahui siapa di balik stuxnet Menyerang Windows dan Turunannya Menyebar melalui USB Thumb Drive Virus menyerang sistem kontrol industri, dapat digunakan untuk mata-mata atau sabotase Security Awareness 22
Penyebaran Worm Security Awareness 23
Contoh Akibat Virus License issuance still idled By Robert Barba Denver Post Staff Writer Friday, September 24, 2004, Denver, CO State driver's licenses and identification cards won't be issued again today, inconveniencing thousands of Coloradans for a second straight day. An unidentified computer virus forced the Colorado Department of Revenue to close the system at 2:30 p.m. Friday, and it hasn't been up since, said Diane Reimer, a spokeswoman for the department's Motor Vehicle Business Group. "Somebody felt there wasn't something quite right," she said. "We want to make sure that we are doing everything that we should be doing to keep it secure. No personal data is believed to have been lost, Reimer said. A team of staffers has been working since Friday to fix the problem. Reimer said she was optimistic that license and ID card issuance would resume Wednesday. Customers have been sympathetic, she said. "People understand that we are living in a computer world," Reimer said. The problem could affect more than 10,000 Coloradans if it persists through today. The virus has not affected other government agencies, and written and driving tests are still being administered, Reimer said. Security Awareness 24
WEB DEFACING Security Introduction Security Awareness
Website Sistem Akademik Universitas Gunadarma Kasus peretasan terhadap Sistem Akademik 19/10/2014 16.33 sumber: www.merdeka.com dan www.gunadarma.ac.id Security Awareness 26
Website Telkom Indonesia Terkena Deface 14/04/2013 Security Awareness 27
Website Presidensby (Defaced) 11/1/2013 sumber: Koran Pikiran Rakyat Security Awareness 28
Website Pejabat Negara (Defaced) 12/11/2012 08.35 sumber: www.zone-h.org Security Awareness 29
Website Bakrie Life (Defaced) 21/12/2011 15.22 sumber: Bakrie Life Security Awareness 30
Website KPK (Defaced) 29/09/2009 09:48 PM sumber: Kaskus Security Awareness 31
Website TV One Terkena Deface 08-03-2011, 09:23 PM sumber : kaskus Security Awareness 32
Situs Pemerintah Keuangan Palembang Security Awareness 33
POLRI www.polri.go.id/backend/index.html Security Awareness 34
LEMHANAS www.lemhanas.go.id/index_hack.ht ml Security Awareness 35
Security Awareness 36
Serangan yang Pernah Terjadi (dulu) Security Awareness 37
Deface di Web http://www.presidensby.info/ Security Awareness 38
KPU 2004 Security Awareness 39
KPU 2004: Data Test Masih Ada? Security Awareness 40
Security Awareness 41
PERUSAHAAN ATAU PERBANKAN Security Awareness
Issues 2015 Dunia: Penyerangan Hacker, dan masih berlanjut 28/4/2015 sumber: http://industri.bisnis.com/ Security Awareness 43
Issues 2015 Dunia: Finansial, dan masih berlanjut 16/2/2015 sumber: http://www.tempo.co/ Security Awareness 44
Issues 2015 Dunia: Finansial, dan masih berlanjut 23/4/2015 sumber: http://www.antaranews.com/ Security Awareness 45
Issues 2014 Dunia: Finansial, dan masih berlanjut 20/10/2014 sumber: http://www.theguardian.com/uk Security Awareness 46
Issues 2014 Indonesia: Finansial, dan masih berlanjut 29/10/2014 sumber: Kontan Security Awareness 47
Issues 2014 Indonesia: Finansial, Sistem Transaksi Bermasalah 10/12/2014 sumber: http://m.bisnis.com/ Security Awareness 48
Bursa Saham Singapura Macet 04/12/2014 sumber: Kompas Security Awareness 49
Issues 2013 Indonesia: Finansial, dan masih berlanjut Kasus 2 Karyawan Bank Mandiri meretas sistem dan gelapkan uang Security Awareness 50
Issues 2013 Indonesia: Finansial, dan masih berlanjut kasus malinda dee, citibank (2011), pembobolan dari dalam, lebih dari 20 milyar rupiah Security Awareness 51
Issues 2013 Indonesia: Finansial, dan masih berlanjut 22/03/2013 sumber: Kompas Security Awareness 52
Finansial, Modus Lain Security Awareness 53
Rentang 2011 BRI tamani square, sebesar Rp 29 M, melibatkan supervisor Pemberian kredit dengan dokumen fiktif BII cabang Pangeran Jayakarta, tersangka account officer, 3,6M Pencairan deposito bank mandiri 18M, customer service BNI, teleks palsu, BNI Depok, Wakil Pimpinan Pencairan Deposito BPR Pundi Artha Sejahtera, Dirut BPR, dua komisaris, komisaris utama, dan marketing Bank Danamon, menarik uang kas berulang dari cabang pembantu menara bank danamon, tersangkat mantan teller, 1,9 M dan 110 ribu USD Panin Bank, penggelapan dana nasabah oleh kepala operasional panin bank cabang metro sunter, 2,5 M Pembobolan oleh mantan relationship manager, citigold citibank, 4,5M Security Awareness 54
Fraud Perbankan di Indonesia Security Awareness 55
Koran Tempo, 26 September 2003 Security Awareness 56
November - Desember 2004 Bank Mega: 50 M BRI Rp. 9,4 M Security Awareness 57
Bank Danamon, 2005 Security Awareness 58
2006: Lippo Security Awareness 59
Sistem Bank Down Security Awareness 60
Bank Yang Nakal? Mengubah bunga tabungan sebesar 2% selama beberapa hari. [Sumber: Bisnis Indonesia 24 Januari 2005] Security Awareness 61
Kejahatan Di ATM Sumber: Surat Pembaca, Kompas, 2003 Security Awareness 62
Kejahatan ATM Mesin ATM biasa? Perhatikan lebih baik: skimmer Security Awareness 63
Kejahatan ATM Menyadap PIN dengan wireless camera Security Awareness 64
Masalah Mesin ATM Bagi Bank, ATM memiliki banyak masalah Mesin dicuri Uang dipancing Dipasangi alat Data disadap Prosedur lemah Nomor telepon bantuan palsu Tetapi ATM merupakan delivery channel yang paling disukai nasabah Security Awareness 65
Membawa uang tunai dalam jumlah besar beresiko! Tapi Security Awareness 66
Carder Indonesia menempati urutan tinggi (dalam penyalahgunaan kartu kredit) No 1 dari segi persentase (dibandingkan dengan transaksi baik) No 3 dari segi volume transaksi Modus: menggunakan nomor kartu kredit milik orang lain (umumnya orang asing) untuk membeli barang di Internet Ranking 1. Yogyakarta 2. Bandung Sulit ditangani karena lemahnya hukum? KARTU KREDIT INDONESIA DI-BANNED DI LUAR NEGERI, IP DIBATASI Security Awareness 67
Kejahatan Carder Security Awareness 68
Penipuan Lain Penipuan melalui SMS Anda menang sebuah undian dan harus membayarkan pajaknya. Pajak dapat dibayarkan melalui mesin ATM (transfer uang, atau dengan membeli voucher yang kemudian disebutkan nomornya). Mama minta pulsa, sedang di rumah sakit Banyak yang percaya dengan modus ini Social engineering Hipnotis? Security Awareness 69
Mungkinkah aman? Sangat sulit mencapai 100% aman Ada timbal balik antara keamanan vs. kenyamanan (security vs. convenience) Semakin tidak aman, semakin nyaman Juga security vs. performance Definisi computer security: A computer is secure if you can depend on it and its software to behave as you expect (Garfinkel & Spafford) Security Awareness 70
Peningkatan Kejahatan Komputer Aplikasi bisnis yang berbasis komputer / Internet meningkat Internet mulai dibuka untuk publik tahun 1995 Electronic commerce (e-commerce) Statistik e-commerce yang meningkat Semakin banyak yang terhubung ke jaringan (seperti Internet) Security Awareness 71
Peningkatan Kejahatan Komputer Desentralisasi server Terkait dengan langkanya SDM yang handal Lebih banyak server yang harus ditangani dan butuh lebih banyak SDM dan tersebar di berbagai lokasi. Padahal susah mencari SDM Server remote seringkali tidak terurus Serangan terhadap server remote lebih susah ditangani (berebut akses dan bandwidth dengan penyerang) Security Awareness 72
Peningkatan Kejahatan Komputer Transisi dari single vendor ke multi-vendor (Terlalu) banyak jenis perangkat dari berbagai vendor yang harus dipelajari. Contoh: Router: Cisco, Juniper, Huawei, Bay Networks, Nortel, 3Com, Linux-based router, Server: Solaris, Windows NT/2000/Win7/2008, SCO UNIX, Linux, *BSD, AIX, HP-UX, Sulit mendapatkan SDM yang mampu menguasai semua jenis perangkat. Security Awareness 73
Peningkatan Kejahatan Komputer Pemakai makin melek teknologi dan kemudahan mendapatkan software Ada kesempatan untuk menjajal. Tinggal download software dari Internet. (Script kiddies) Zero-day exploit System administrator harus selangkah di depan. Security Awareness 74
Pencurian Server Secara Fisik Security Awareness 75
Hacker kecil Security Awareness 76
Peningkatan Kejahatan Komputer Kesulitan penegak hukum untuk mengejar kemajuan dunia telekomunikasi dan komputer. Cyberlaw (UU ITE) masih membutuhkan penyempurnaan Tingkat awareness masih belum menyebar secara merata Technical capability masih belum optimal Security Awareness 77
Peningkatan Kejahatan Komputer Meningkatnya kompleksitas sistem (teknis & bisnis) Program menjadi semakin besar. Megabytes. Gigabytes. Terrabytes. Pola bisnis berubah: partners, alliance, inhouse development, outsource, Jaringan semakin cepat 1999 IIX ~7 Mbps 2004 IIX ~1 Gbps 2009 IIX ~11 Gbps 2010, 2011, 2012, 2016 akan semakin cepat Potensi lubang keamanan juga semakin besar. Security Awareness 78
Contoh peningkatkan kompleksitas Operating System Year Lines of Codes Windows 3.1 1990 3 million Windows NT 1996 4 million Windows 95 1997 15 million Windows NT 4.0 1998 16.5 million Windows 98 1999 18 million Windows NT 5.0/2K beta 2000 20 million Debian GNU/Linux 2.2 2000 55 million Windows 2000 2001 35 million Windows XP 2001 40 million Red Hat 7.1 2001 30 million Windows Vista (beta 2) 2007 50 million Security Awareness 79
Penutup Masalah keamanan akan tetap muncul dengan pola baru meskipun prinsip tetap sama Masalah keamanan tetap menjadi prioritas dan membutuhkan dukungan dari pucuk pimpinan Security merupakan sebuah proses Security Awareness 80