INTRODUCTIONKeamanan informasi memiliki beberapa aspek

yang harus dipahami untuk dapat diterapkan. Beberapa aspek tersebut, tiga yang pertamadisebut C.I.A (Confidentiality, Integrity & Availability) ”triangle model”. Aspek yang lain disebutkan oleh Dr. Michael E.Whitman dan Herbert J. Mattord dalam bukunya Management Of Information Security adalah: Privacy, Identification, Authentication, Authorization, Accountability .

Perkembangan yang sangat cepat saat ini mau tidak mau perusahaan dan pelaku bisnis harus dapat beradaptasi dengan cepat, kebutuhan akan informasi dan koneksi data untuk update informasi dari kantor tidak mengenal waktu dan tempat, munculnya solusi-solusi unified communications, mobile commuters, dan sebagainya semakin menguatkan bahwa ketepatan dan kecepatan dalam mendapatkan informasi mutlak dibutuhkan.

Tidak ada sistem yang sempurna, kita hanya dapat meningkatkan dari status tidak aman menjadi relatif lebih aman, karena banyak sekali cara atau metode lubang-lubang keamanan yang dapat ditembus. Lubang keamanan itu baik pada lapisan sistem operasi, aplikasi, layanan, dan sebagainya pasti dapat ditemuka titik kelemahanya. Secara garis besar keamanan sistem informasi dan komputer dapat dibagi dua yaitu keamanan secara phisikal dan secara logikal. Secara Phisik berarti bagaimana kita mengamankan semua infrastruktur peralatan sistem keamanan kita baik dari sisi server, ruangan, kabel, system backup redundant system, system cadangan power listrik dan lain-lain sedangkan keamanan secara logikal tentang metode keamanan seperti protocol yang digunakan, metode komunikasi datanya, model basis datanya dan sistem operasinya.

Informasi adalah salah satu asset penting yang sangat berharga bagi kelangsungan hidup suatu organisasi atau bisnis, pertahanan keamanan dan keutuhan negara, kepercayaan publik atau konsumen, sehingga harus dijaga ketersediaan, ketepatan dan keutuhan informasinya. Informasi dapat disajikan dalam berbagai format seperti: teks, gambar, audio, maupun video. Tersimpan dalam komputer atau media penyimpanan external lain (seperti: harddisk, flashdisk, CD, DVD, dan lain-lain), tercetak / tertulis dalam media kertas atau media bentuk lainnya.[Melwin Syafrizal,S.Kom. Dosen STMIK AMIKOM Yogyakarta]

Keamanan data secara tidak langsung dapat memastikan kontinuitas bisnis, mengurangi resiko, mengoptimalkan return on investment dan mencari kesempatan bisnis. Semakin banyak informasi perusahaan yang disimpan, dikelola dan di-sharing maka semakin besar pula resiko terjadinya kerusakan, kehilangan atau ter-ekspos-nya data ke pihak eksternal yang tidak diinginkan.

Sistem pengelolaan keamanan informasi dalam hal ini, menjadi penting untuk dipahami, diupayakan atau

dicoba untuk diimplementasikan agar informasi dapat dikelola dengan benar, sehingga perusahaan atau instansi dapat lebih fokus mencapai visi yang sudah ditetapkan, atau melakukan hal-hal lain untuk perkembangan usaha, atau lebih fokus dalam memberikan layanan terbaik bagi pelanggan. Teknologi bukanlah satu-satunya aspek yang harus kita perhatikan ketika mempertimbangkan serta memikirkan bagaimana cara yang paling baik untuk memastikan bahwa data dan informasi perusahaan tidak diakses oleh pihak-pihak yang tidak memiliki hak. [Melwin Syafrizal,S.Kom. Dosen STMIK AMIKOM Yogyakarta]

Proses dan manusia adalah dua aspek yang tidak kalah pentingnya. Keamanan informasi memproteksi informasi dari ancaman yang luas untuk memastikan kelanjutan usaha, memperkecil rugi perusahaan dan memaksimalkan laba atas investasi dan kesempatan usaha.

Manajemen sistem informasi memungkinkan data untuk terdistribusi secara elektronis, sehingga diperlukan sistem untuk memastikan data telah terkirim dan diterima oleh user yang benar.Hasil survey ISBS (Information Security Breaches Survey) pada tahun 2000 menunjukkan bahwa sebagian besar data atau informasi tidak cukup terpelihara/terlindungi sehingga beralasan kerawanan. Hasil survey yang terkait dengan hal ini dapat dilihat dalam gambar berikut:

Gambar 1 Grafik Persentase Ancaman Keamanan Sistem Informasi

Survey tersebut juga menunjukkan bahwa 60% organisasi mengalami serangan atau kerusakan data karena kelemahan dalam sistem keamanan. Kegagalan sistem keamanan lebih banyak disebabkan oleh faktor internal dibandingkan dengan faktor eksternal. Faktor internal ini diantaranya kesalahan dalam pengoperasian sistem (40%) dan diskontinuitas power supply (32%). Hasil survey ISBS tahun 2004-2006 menunjukkan bahwa terdapat banyak jaringan bisnis di Inggris (UK) telah mendapatkan serangan dari luar.

DIGITAL LIABILITY MANAGEMENT MODEL

“4_TIER OF DLM DEFENSE MODEL”

Yasril Sjaf,Faculty of Computer Science, University of Indonesia

Email: yasril.sjaf@ui.ac.id

Gambar 2 UK Business Network Attack

Saat ini dengan kesadaran yang tinggi, telah banyak perusahaan atau pelaku bisnis yang telah memperhatikan masalah keamanan sistem informasi dan computernya, apalagi dengan tawaran one stop solution dari vendor-vendor IT semakin mempekecil masalah-masalah keamanan.Apalagi ISO sebagai salah satu badan dunia yang membuat standarisasi yang digunakan oleh para pengguna dan produsen dalam bidang tertentu. ISO 17799 : 27002 adalah standar yang berisi tentang tahapan praktis untuk mengatur sistem keamanan informasi. Namun seringkali peralatan yang mahal tidak diikuti dengan aturan yang jelas dan rasa kesadaran yang tinggi pada pengguna.[Deris Stiawan, Dosen Jurusan Sistem Komputer FASILKOM UNSRI]

Masalah utama eksekusi yang buruk di perusahaan besar maupun kecil tentang security adalah kesalahpahaman mengenai investasi dimana sangat sulit untuk membuat financial justification. Budget hanya digelontorkan kepada IT tanpa adanya control yang jelas mengenainya. Komitmen dan partisipasi yang kurang dari semua pihak menyebabkan implementasi gagal.4 TIER DLM DEFENSE MODELSenior Management Commitment and Support

Keamanan informasi merupakan kebutuhan pokok bagi kesuksesan bisnis. Namun, meskipun termotivasi dengan baik, manajer puncak sering punya pemahaman yang dangkal mengenai keamanan informasi, sehingga dapat membuat keputusan yang tidak tepat. Meningkatkan kesadaran keamanan informasi di antara semua karyawan sangat diperlukan, tapi kunci keberhasilan adalah meningkatkan tingkat kesadaran senior manajemen.

Beberapa waktu yang lalu, sebuah survei yang luas, yang dilakukan dalam sebuah perusahaan Finlandia, menunjukkan bahwa meskipun semua karyawan

termotivasi dengan baik, manajemen senior tidak memiliki informasi yang diperlukan mengenai manajemen keamanan. Hal ini dibuktikan oleh fakta bahwa konsultan eksternal berhasil meyakinkan manajemen puncak untuk menyetujui sebuah studi keselamatan kerja tanpa meminta ahli internal perusahaan, yang diantisipasi dengan solusi keamanan informasi yang lebih baik. Contoh seperti ini dapat ditemukan juga di kantor-kantor pemerintah dan di univiersities. [Jorma Kajava1, Universitas Lapland]

Permasalahan dalam implementasi akan terjadi karena alasan bahwa security tidak populer. Kebiasaan buruk pegawai dalam memanfaatkan informasi perusahaan dapat menjadi ancaman, oleh karena itu perlu tanggung jawab management untuk menghilangkan kebiasaan itu dan memimpin securitypolicy dengan baik.

Acceptable-Use Policies and Practice (AUPs)AUPs adalah suatu prosedur yang management

harus definisikan mengenai tanggung jawab masing-masing user dalam skala yang bisa dan tidak bisa diterima, serta konsekuensi dari perbuatannya. Hal ini dapat mencegah tindakan yang merusak seperti liability exposure dan sexual harrassment. Harapan dari user juga perlu dikelola dengan baik dengan menciptakan kedisiplinan pada penggunaan AUPs yang telah dibuat agar security tetap terjaga dengan baik. Dengan mencampur kebijakan security kedalam tugas mereka, maka secara tidak sadar mereka berlatih information security secara tidak langsung. AUPs juga harus dipelihara dan diperbaharui dengan baik karena information security sangat dinamis.

Secure-Use Procedures (SUPs)SUPs merupakan prosedur/ guideline untuk

mengimplementasikan policy yang telah diambil . Peran utama SUPs adalah membantu dan menuntun policy's application. Aplikasi dari kebijakan harian didefinisikan dengan jelas dalam SUPs sehingga kegiatan operasional berjalan dengan baik. Akan tetapi hal ini memerlukan evaluasi rutin untuk memastikan keefektifannya dalam organisasi yang menerapkannya.

Hardware,Software,Network Secutiry Tools Ketika semua tier telah terpenuhi, maka yang

terakhir adalah peran dari technology adalah mendukung implementation dari policy dan practice yang dibuat. Banyak vendor dan produk yang ditawarkan dipasaran, tetapi semua memiliki kelebihan dan kekurangan masing-masing, sehingga tidak bisa menentukan single solution untuk technology yang ingin dipakai.

Implementation BarriersMeskipun DLM sudah memberikan gambaran

lengkap mengenai ketatalaksanaan sistem manajemen keamanan informasi, tetapi terdapat kesulitan dalam menerapkannya disebabkan kurangnya perhatian banyak orang terhadap pentingnya sistem manajemen keamanan informasi terutama top manajemen. Kesulitan penerapanini meliputi pemilihan metode pendekatan untuk risk assessment, melakukan identifikasi resiko, memperkirakan resiko, dan memilih kendali yang tepat untuk diterapkan.

CONCLUSIONDLM model mendorong people, practices,

dan technology karena ketiga hal tersebut merupakan komponen utama dari program. Tujuan dan sasaran yang jelas harus didefinisikan dengan jelas oleh senior manager agar berhasil dan sejalan dengan tujuan bisnis utama. Policy harus dikomunikasikan dengan baik dan dibuat standard AUPs yang jelas, maka tahap selanjutnya adalah pemilihan technology yang tepat untuk mendukung kebijakan.

References[1] Indocommit (23 Desember 2005),

Kepatuhan terhadap Sistem Keamanan Informasi http://www.indocommit.com/index.html?menu=29&idnews=

[2] Jimmy Hannytyo Pinontoan (28/12/2007), Manajemen Keamanan Informasi dengan ISO27001 & ISO27002 http://www.pcmedia.co.id/detail.asp? Id=1914&Cid=22&Eid=49

[3]  News Release (April 27, 2006), ISO17799: Standar Sistem Manajemen Keamanan Informasi http://www.nevilleclarke.com/newsReleases/newsController.php?do=toNews&id=45

[4] Sany Asyari (26 September 2006), Keamanan Jaringan Berdasarkan ISO 17799,http://sanyasyari.com/2006/09/26/keamananjaringan-berdasarkan-iso17799/

[5] Puguh Kusdianto (2005), Tugas Akhir EC5010 Keamanan SistemInformasi, judul Konsep Manajemen Keamanan Informasi ISO-17799 dengan Risk Assessment Menggunakan Metode OCTAVE

[6] Principles and Practices of Information Security “Protecting Computers From Hackers and Lawyers”, Linda Volonino and Stephen R. Robinson.

[7] http://www.infosecuregroup.com/index.php?id=8&m=solution