CHAPTER 8
MELINDUNGI SISTEM INFORMASI
Disusun Oleh:
Febrizio Hoggi Akhiradi 041411331008 Hilda Devi Noeraini 041411331015 Shabrina Kirgizia Hanum 041411331067 Ammar Zaky Ramadhan 041411331125
Fakultas Ekonomi dan Bisnis Universitas Airlangga
8.1.
Kerentanan dan Penyalahgunaan Sistem
A. Mengapa sistem dapat menjadi rentan
Klien (Pengguna)
Jalur
Komunikasi
Server Perusahaan Sistem Perusahaan - Akses tanpa izin - Kesalahan - Virus dan spyware - Tapping - Sniffing - Penggantian pesan - Pencurian/penipua n - Radiasi - Hacking
- Virus dan worm - Pencurian/penipuan - Vandalisme - Denial of service - Pencurian data - Penyalinan data - Pengubahan data - Kegagalan peranti keras - Kegagalan peranti lunak Kerentanan internet
Jaringan publik yang besar seperti internet lebih rentan daripada jaringan internal karena terbuka bagi siapapun. Ketika penyalahgunaan terjadi, dampaknya tersebar sangat luas hanya dalam hitungan menit. Ketika jaringan perusahaan terhubung ke internet, sistem informasi perusahaan rentan terhadap serangan dari pihak luar
Tantangan pengamanan nirkabel
War driving = para penyusup mendekati suatu gedung dan mencoba memasuki jalur jaringan nirkabel
B. Peranti lunak berbahaya
Program peranti lunak yang berbahaya biasanya disebut malware dan meliputi berbagai jenis ancaman seperti
1. Virus komputer
Program peranti lunak berbahaya yang menempelkan dirinya ke program lainnya atau file data untuk dieksekusi, biasanya tanpa sepengetahuan atau seizin pengguna.
2. Worm
Program komputer independen yang menyalin diri sendiri dari satu komputer ke komputer lain dalam jaringan
3. Trojan horse
Program peranti lunak yang tampaknya tidak berbahaya tapi justru berbuat sesuatu yang tidak diperkirakan
4. Spyware
Program peranti lunak ini memasang diri secara sembunyi – sembunyi di komputer untuk memantau kegiatan penelusuran Web oleh pengguna komputer dan untuk memunculkan iklan
C. Hacker dan vandalisme maya
Seorang hacker adalah seseorang yang ingin mendapatkan akses tidak sah ke sebuah sistem komputer
Computer crime adalah gangguan, perusakan atau bahkan penghancuran situs atau sistem informasi perusahaan secara disengaja
Diantaranya adalah 1. Spoofing dan sniffing
Spoofing berupa pengalihan jalur sebuah situs web ke sebuah alamat yang berbeda dari yang diinginkan, dengan situs yang disamarkan sebagai tujuan yang diinginkan
Sniffer sejenis program pencuri informasi yang memantau informasi dalam sebuah jaringan
2. Denial of service attacks
Hacker membanjiri server jaringan atau server web dengan ribuan komunikasi palsu atau permohonan layanan palsu untuk menyusup ke dalam jaringan
D. Kejahatan komputer dan terorisme maya 1. Computer crime
Pelanggaran hukum kriminal apa pun yang melibatkan pengetahuan teknologi komputer untuk tujuan kejahatan, penyelidikan, atau penuntutan Contoh: mengakses sistem komputer tanpa otorisasi, menerobos kerahasiaan data terkomputerisasi yang dilindungi dan sebagainya
2. Identity theft
Kejahatan dimana seorang penipu mendapatkan informasi pribadi yang penting, seperti nomor jaminan sosial, untuk menyamar sebagai orang lain 3. Click fraud
Terjadi ketika seseorang atau program komputer dengan curang mengklik sebuah iklan online tanpa maksud mempelajari lebih lanjut tentang pemasang iklannya atau melakukan pembelian
4. Cyberterorism dan cyberwafare
Cyberterrorism serangan elektronik melalui jaringan komputer terhadap infrastruktur kritis yang berpotensi besar mengganggu aktivitas sosial dan ekonomis bangsa
Cyberwarfare perang jaringan komputer dan internet di dunia maya, dalam bentuk pertahanan dan penyerangan informasi
E. Ancaman internal
Rekayasa sosial (social engineering) = penyusup berbahaya yang mencari akses sistem kadangkala menipu karyawan sehingga membuka kata sandi mereka dengan cara berpura – pura menjadi anggota perusahaan yang sah yang sedang membutuhkan informasi
F. Kerentanan peranti lunak
8.2.
Menetapkan Kerangka Kerja untuk Pengamanan dan Pengendalian
A. Penilaian risiko
Menentukan tingkat risiko pada perusahaan jika aktivitas atau proses tertentu tidak dikendalikan dengan benar.
B. Kebijakan pengamanan
Terdiri atas pernyataan – pernyataan yang menilai risiko informasi, mengidentifikasi tujuan pengamanan yang berterima, dan mengidentifikasi mekanisme untuk mencapai tujuan ini
Direktur keamanan = chief securty officer (CSO) Acceptable Use Policy (AUP)
Mendefinisikan penggunaan sumber – sumber informasi perusahaan dan perangkat komputasi
Menentukan tingkat akses yang berbeda ke aset informasi untuk tingkat pengguna yang berbeda pula
Authorization management system
Menentukan dimana dan kapan seorang pengguna diizinkan untuk mengakses bagian tertentu dari situs atau basis data perusahaan
C. Memastikan kelangsungan bisnis
Fault-tolerant computer system berisi peranti keras, peranti lunak dan komponen persediaan daya yang berlebih yang menciptakan sebuah lingkungan yang memberikan layanan terus – menerus dan bebas gangguan Downtime adalah periode waktu saat sistem tidak bekerja
Recovery-oriented computing adalah merancang sistem yang dapat pulih dengan cepat dan mengimplementasi kapabilitas dan perangkat guna membantu operator menunjukkan sumber kesalahan dalam sistem multikomponen dan dengan mudah memperbaiki kesalahan
1. Perencanaan pemulihan bencana dan perencanaan keberlangsungan bisnis 2. Perencanaan pemulihan bencana (disaster recovery planning)
Merancang cara – cara merestorasi layanan komputasi dan komunikasi setelah terganggu oleh suatu peristiwa, seperti gempa bumi, dll
3. Perencana keberlangsungan bisnis (business continuity planning)
Berfokus pada bagaimana perusahaan dapat mengembalikan operasi bisnis setelah dilanda bencana
4. Alih kontrak pengamanan
Penyedia layanan keamanan terbuka (managed security services provider / MSSP) memantau aktivitas jaringan dan melakukan uji kerentanan dan deteksi adanya gangguan
D. Peran proses audit
Audit SIM menguji lingkungan pengamanan perusahaan secara menyeluruh sekaligus juga pengendalian yang mengatur sistem informasi perorangan
8.3.
Teknologi dan Perangkat Pengamanan
Kontrol akses terdiri atas semua kebijakan dan prosedur yang digunakan perusahaan untuk mencegah akses tanpa izin ke sistem yang dilakukan oleh pihak internal dan pihak luar
Autentikasi adalah kemampuan untuk mengetahui siapa pengguna itu. Akses pengendalian peranti lunak dirancang hanya untuk mengizinkan para pengguna sah untuk menggunakan sistem atau mengakses data dengan menggunakan beberapa metode autentikasi.
Terdapat beberapa teknologi autentikasi baru yaitu 1. Token
Perangkat fisik, mirip dengan kartu identifikasi, yang dirancang untuk membuktikan identitas seorang pengguna
2. Smart card
Perangkat yang ukurannya mirip dengan kartu kredit yang berisi sebuah chip yang diformat dengan izin akses dan sata lainnya
3. Biometric authentication
Menggunaka sistem yang membaca dan menginterpretasi ciri khas setiap orang, seperti sidik jari, iris mata, dan suara dengan tujuan memberikan atau menolak akses
B. Firewall, sistem deteksi gangguan dan antivirus
Perlindungan dalam koneksi ke internet akan sangat dibutuhkan. Diantaranya adalah
1. Firewall
Kombinasi peranti keras dan peranti lunak yang mengendalikan arus lalu lintas jaringan yang masuk dan keluar. Firewall secara umum terletak diantara jaringan internal pribadi organisasi dan jaringan eksternal yang tidak dipercaya seperti internet
Contoh: static packet filtering, stateful inspection, application proxy filtering - Packet filtering
Memeriksa field terpilih di header dari paket data yang mengalir masuk dan keluar antara jaringan yang dipercaya dan internet dan memeriksa setiap paket secara terpisah
Menyediakan pengamanan tambahan dengan cara menentukan apakah suatu paket merupakan bagian dari dialog yang terus menerus antara pengirim dan penerima
- Network adress Translation (NAT)
Memberikan lapisan perlindungan lainnya ketika static packet filtering dan stateful inspection digunakan
- Application proxy filtering
Memeriksa isi aplikasi dari paket – paket yang masuk 2. Sistem deteksi gangguan
Menggunakan perangkat yang selalu aktif melakukan pemantauan yang diletakkan di titik-titik yang paling rentan dalam jaringan perusahaan untuk secara kontinyu mendeteksi dan menghalangi para penyusup. Sistem akan menyalakan alarm jika menemukan peristiwa yang mencurigakan atau ganjil 3. Antivirus
Dirancang untuk memeriksa adanya virus komputer dalam sistem dan drive komputer.
Contoh: McAfee, Symatec, dan lain-lain C. Enkripsi dan infrastruktur kunci punlik
Enkripsi
Proses mengubah teks atau data biasa menjadi teks bersandi rahasia (cipher) yang tidak dapat dibaca oleh siapapun selain pengirim dan penerima yang dimaksudkan
Metode untuk mengenkripsi dalam jaringan pada web
1. SSL/ Secure Sockets Layer dan penerusnya Transport Layer Security (TLS)
Memungkinkan komputer klien dan server untuk mengelola aktivitas enkripsi dan dekripsi sebagaimana mereka berkomunikasi satu sama lain selama berlangsungnya sesi web yang aman
2. SHTTP / Secure Hypertext Transfer Protocol
Digunakan untuk mengenkripsi data di internet, tetapi terbatas pada pesan – pesan individual, sementara SSL dan TLS dirancang untuk membangun hubungan yang aman antara dua komputer
Terdapat dua alternatif metode enkripsi 1. Enkripsi kunci simetris
Pengirim dan penerima membuat sesi internet yang aman dengan menciptakan sebuah kunci enkripsi tunggal dan mengirimnya kepada penerima, sehingga baik pengirim dan penerima berbagi kunci yang sama Kekuatan: diukur dengan panjang bitnya (umum nya 128 bit)
Masalah: mengekspos kunci kepada pihak luar mungkin saja terjadi 2. Enkripsi kunci publik
Menggunakan dua kunci, kunci publik dan privat Membantu proses autentikasi
1. Tanda tangan digital
Pesan yang dienkripsi yang hanya dapat diciptakan oleh seorang pengirim menggunakan kunci privatnya sendiri. Tanda tangan ini digunakan untuk memastikan keaslian asal dan isi pesan
2. Sertifikat digital
File data yang digunakan untuk menciptakan identitas pengguna dan aset elektronik untuk perlindungan transaksi online. Sistem ini menggunakan pihak ketiga yang terpercaya, dikenal sebagai certificate authority (CA)
