modul 4 keamanan informasi & penjaminan informasi

Kementerian Komunikasi dan Informatika bekerja sama dengan

Institut Teknologi BandungInstitut Teknologi Sepuluh November

Universitas Gajah MadaUniversitas Indonesia KEMKOMINFO

SERTIFIKASI KOMPETENSI DASAR - CHIEF INFORMATION OFFICER

“OPTIMALISASI STRATEGI SUMBER DAYA INFORMASI SERA TEKNOLOGI INFORMASI”

Keamanan Informasi & Penjaminan Informasi

KEMKOMINFO

2

Agenda

Konsep dan prinsip dasar

Resiko dan aset informasi

Klasifikasi informasi

Teknologi keamanan informasi

Metodologi keamanan informasi

Standar Keamanan Informasi

Etika

Privasi

KEMKOMINFO

3

Apakah informasi itu?

Dari perspektif Keamanan Informasi Informasi diartikan sebagai sebuah

‘aset’; merupakan sesuatu yang memiliki nilai dan karenanya harus dilindungi

Nilai secara intrinsik melibatkan subyektivitas yang membutuhkan penilaian dan pengambilan keputusan

KEMKOMINFO

4

Bentuk informasi

Gagasan, pikiran dalam bentuk tulisan, pidato

Hardcopy (asli, salinan, transparan, fax)

Softcopy (tersimpan di media tetap atau portabel)

Pengetahuan perorangan

Ketrampilan teknis

Pengetahuan korporasi

Pertemuan formal dan informal

Percakapan telepon

Telekonferensi video

KEMKOMINFO

5

Penjaminan Informasi

Penggunaan operasi2 informasi untuk melindungi informasi, sistem dan jaringan informasi, dengan cara memastikan: ketersediaan, integritas, keaslian, kerahasiaan dan non-repudiasi, dengan mempertimbangkan resiko akibat ancaman dari lokal atau tempat yang jauh melalui jaringan komunikasi dan Internet.

Tanpa adanya penjaminan informasi, suatu organisasi tidak mempunyai kepastian tentang informasi yang diperlukan untuk pengambilan keputusan penting, adalah andal, aman, dan tersedia saat dibutuhkan

KEMKOMINFO

6

Keamanan Informasi

Konsep, teknik dan hal-hal yang terkait dengan kerahasian, ketersediaan, integritas, keaslian dari informasi

Teknik: enkripsi, digital signature, intrusion detection, firewall, kontrol akses dll

Manajemen: strategi, desain, evaluasi, audit

Standar dan sertifikasi

KEMKOMINFO

7

Gambar Besar (Big Picture)

Penjaminan Informasi

Sekuriti Informasi Ketergantungan Informasi

Kerahasiaan, Keutuhan, Ketersedian, Akuntabilitas

Keandalan, Ketersediaan, Pencegahan Kegagalan,

Penghindaran dan Toleransi

Kemampuan untuk pulih dari kegagalan dan serangan Y. Qian et al., 2008

KEMKOMINFO

8

Contoh-contoh kasus

2010 – Wikileaks2010 – Virus Stuxnet menyerang PLTN di IranAgs 2008 – Serangan Internet terhadap Situs web GeorgiaApr 2007 – Serangan Cyber terhadap Estonia Sep 2005 – Kontroversi Kartun Muhammad (Jyllands-

Posten)Mei 2005 – Malaysia-Indonesia Apr 2001 – Sino-AS

Stuxnet video

KEMKOMINFO

9

Regulasi

UU RI no. 11 thn 2008 tentang

Informasi dan Transaksi Elektronik

KEMKOMINFO

10

Konsep & Prinsip dasar

CIA dkk

Confidentiality

Integrity

Availability

Non-repudiation

KEMKOMINFO

11

Agenda







Etika

Privasi

KEMKOMINFO

12

Hubungan antara Risiko dan Aset Informasi

Ancaman Vulnerabilityeksploitasi

Resiko

meningkat

Aset

meningkat expose

Manajemen

melindungi

terhadap

mengurangi

Kebutuhansekuriti

NilaiAset

memilikim

eningkat

mengindikasikandipenuhi

oleh

KEMKOMINFO

13


Skema Klasifikasi Informasi SederhanaDefinisi Deskripsi

Public (umum) Informasi yang aman dibuka untuk umum (publik)

Internal use only Informasi yang aman untuk dibuka internal, tetapi tidak untuk eksternal

Company confidential (Rahasia perusahaan)

Kriteria klasifikasi• Nilai• Umur• Waktu berlaku (useful life)• Keterkaitan dengan pribadi (personal association)

KEMKOMINFO

14

4R Keamanan Informasi

Right People

(pada orang yg tepat)

Right Time

(pada waktu yg

tepat)

Right Form

(format yg tepat)

Right Informatio

n

(informasi yg tepat)

KEMKOMINFO

15

Jenis-jenis serangan

Hacking Denial of Service (DoS) Kode berbahaya (malicious code) Social engineering

KEMKOMINFO

16

Peningkatan Keamanan

Pengamanan Administratif Strategi, kebijakan, dan pedoman

keamanan informasi Strategi keamanan informasi Kebijakan keamanan informasi Pedoman keamanan informasi Standar keamanan informasi IT Compliance

Proses dan operasi keamanan informasi Program pendidikan dan pelatihan keamanan

informasi Penguatan promosi melalui berbagai kegiatan Pengamanan dukungan

KEMKOMINFO

17

Agenda







Etika

Privasi

KEMKOMINFO

18

Pengamanan dengan Teknologi (I)

Model Defense-in-Depth (DID)

KEMKOMINFO

19

Pengamanan dengan Teknologi (II)

Teknologi Pencegah Kriptografi

Proses pengkodean informasi dari bentuk aslinya (disebut plaintext) menjadi sandi, bentuk yang tidak dapat dipahami

One-Time Passwords (OTP)OTP hanya dapat digunakan sekali. Password statis lebih mudah disalahgunakan oleh password loss, password sniffing, dan brute-force cracks, dan sejenisnya. OTP digunakan untuk mencegahnya.

Firewall (Dinding api)Firewall mengatur beberapa aliran lalu lintas antara jaringan komputer dari trust level yang berbeda.

Alat penganalisis kerentananAda 3 jenis alat penganalisis kerentanan: Alat penganalisis kerentanan jaringan Alat penganalisis kerentanan server Alat penganalisis kerentanan web

KEMKOMINFO

20

Pengamanan dengan Teknologi (III)

Teknologi Pendeteksi Anti-Virus

Program komputer untuk mengidentifikasi, menetralisir atau mengeliminasi kode berbahaya

IDS (Intrusion Detection System)IDS mengumpulkan dan menganalisis informasi dari berbagai area dalam sebuah komputer atau jaringan untuk mengidentifikasi kemungkinan penerobosan keamanan

IPS (Intrusion Prevention System)IPS mengidentifikasi potensi ancaman dan bereaksi sebelum mereka digunakan untuk menyerang

KEMKOMINFO

21

Pengamanan dengan Teknologi (IV)

Teknologi Terintegrasi

ESM (Enterprise Security Management)Sistem ESM mengatur, mengontrol dan mengoperasikan solusi keamanan informasi seperti IDS dan IPS mengikuti kebijakan yang ditetapkan

ERM (Enterprise Risk Management)Sistem ERM adalah membantu memprediksi seluruh risiko yang terkait dengan organisasi, termasuk area di luar keamanan informasi, dan mengatur langkah mengatasinya secara otomatis

KEMKOMINFO

22

Peran & Tanggung Jawab

Peran Deskripsi

Manajer senior Tanggung jawab paling besar untuk sekuriti

Pejabat Sekuriti Informasi

Tanggung jawab fungsional untuk sekuriti

Pemilik Menentukan klasifikasi informasi

Penyimpan (Custodian)

Memelihara CIA dari informasi

Pengguna/operator Menjalankan kebijakan yang telah ditetapkan

Auditor Memeriksa sekuriti

KEMKOMINFO

23

Agenda







Etika

Privasi

KEMKOMINFO

Metodologi Keamanan Informasi

Model Proses ISO/IEC 27001 (BS7799)ISO/IEC27001 mengadopsi model proses Plan-Do-Check-Act, yang digunakan untuk mengatur struktur seluruh proses ISMS (Information Security Management System).

24

Model PDCA yang diterapkan ke Proses ISMS

Sumber: ISO/IEC JTC 1/SC 27

Memelihara dan memperbaiki ISMS

Memantau dan review

ISMS

Implementasi dan operasi

ISMS

Menetapkan

ISMSPihak-pihakyang terlibat

Pihak-pihak yang terlibat

Kebutuhan dan ekspektasi

sekuritiinformasi

Sekuriti Informasitermanaj

KEMKOMINFO

25

Metodologi Keamanan Informasi

ISO/IEC 27001 (BS7799)

Analisis kesenjanganProses pengukuran tingkat keamanan informasi saat ini dan menetapkan arah masa depan keamanan informasi

Kajian risikoTerdiri dari dua bagian: kajian nilai aset dan kajian ancaman dan kerentanan

Penerapan kontrolDiperlukan keputusan untuk menerapkan kontrol yang sesuai untuk masing-masing nilai aset. Risiko perlu dibagi ke dalam risiko yang dapat diterima dan risiko yang tidak dapat diterima mengikuti kriteria 'Tingkatan Jaminan'.

KEMKOMINFO

26

Agenda







Etika

Privasi

KEMKOMINFO

27

Standar Kegiatan Keamanan Informasi

ISO [International Standards Organization]ISO/IEC27001 disusun oleh ISO/IEC dan fokus kepada keamanan administratif

CISA [Certified Information Systems Auditor]CISA fokus pada kegiatan audit dan pengendalian sistem informasi

CISSP [Certified Information Systems Security Professional]CISSP fokus utamanya pada keamanan teknis

KEMKOMINFO

28

Aspek-aspek Keamanan Informasi

Teknologi

Orang

Operasi

• Pelatihan dan Kepeka-tanggapan• Administrasi sekuriti• Sekuriti pribadi• Sekuriti fisik• Manajemen fisik• Auditing dan pemantauan• Indikasi dan peringatan• Deteksi dan Tanggapan Kejadian• Kontingensi dan pemulihan

KEMKOMINFO

29

Agenda







Etika

Privacy

KEMKOMINFO

Sekuriti IT, Etika dan Masyarakat

Tanggung jawab etika dari profesional bisnis

Mempromosikan penggunaan etika dalam TI

Menerima tanggung jawab etika dari pekerjaan

Peran yang cocok sebagai SDM berkualitas

Mempertimbangkan dimensi etika dalam segala kegiatan dan pengambilan keputusan

Teknologi informasi memiliki dampak baik

dan buruk bagi masyarakat (orang)

Manajemen aktivitas kerja untuk meminimkan dampak buruk

Manajemen aktivitas kerja untuk meminimkan dampak buruk

Berupaya untuk memaksimalkan dampak baik

Berupaya untuk memaksimalkan dampak baik

KEMKOMINFO

31

Etika Teknologi Informasi

Tujuan pembelajaran tanggung jawab etika:

Isu-isu etika terkait penggunaan teknologi informasi dalam bisnis yang mempengaruhi kepegawaian, perorangan, privacy, situasi kerja, kriminal, kesehatan dan masalah-masalah sosial kemasyarakatan.

Kepegawaian Privacy

Kriminal

Situasi Kerja

Perorangan

Kesehatan

Etika Sekuriti TI

dalamBisnis

KEMKOMINFO

Ditinjau dari Teori Pertanggungjawaban Sosial Korporasi (CSR/Corporate Social Responsibility)

Stockholder TheoryTeori Kontrak

SosialStakeholder

Theory

Manajer adalah agen dari stockholders.

Tanggung jawab etika mereka adalah meningkatkan

keuntungan tanpa melanggar hukum atau

menipu.

Perusahaan memiliki

tanggung jawab etika terhadap

seluruh komponen anggota

masyarakat.

Manajer memiliki tanggung jawab

etika untuk memanaj

perusahaan agar menguntungkan

bagi semua pemegang

saham.

KEMKOMINFO

Profesional Bertanggung Jawab

Bertindak dengan integritas

Selalu meningkatkan kompetensi diri

Menetapkan standar yang tinggi untuk kinerja diri

Menerima tanggung jawab atas kerjanya

Memajukan derajat kesehatan, privacy dan kesejahteraan umum dari publik

KEMKOMINFO

Kejahatan Komputer (Kejahatan TI)

Penggunaan tidak sah, akses tidak sah, modifikasi tidak sah, atau pengrusakan perangkat keras, perangkat lunak, data atau sumber daya jaringan

Rilis yang tidak sah atas informasi

Salinan yang tidak sah atas perangkat lunak

Menolak akses pengguna terhadap perangkat kerasnya sendiri, perangkat lunaknya, datanya atau sumber daya jaringannya sendiri

Penggunaan atau berkomplot untuk pemanfaatan komputer atau sumber daya jaringan untuk memperoleh informasi atau tangible property

KEMKOMINFO

35

Hacking Penggunaan obsesif

atas komputer atau akses tidak sah dan penggunaan tidak sah jaringan

Cyber Theft Meliputi entry (masuk)

jaringan tidak sah dan pengubahan isi basis data

Kejahatan Komputer (II)

Pelaku

KEMKOMINFO

Prinsip Etika Teknologi

Proporsionalitas. Kebaikan yang dicapai oleh teknologi ini harus lebih besar dari mudharat atau resiko. Lebih luas lagi, sudah tidak ada cara lain yang dapat meraih kebaikan/keuntungan yang sama dengan mudharat atau resiko lebih kecil.

Persetujuan ybs. Siapa saja pihak yang terpengaruh oleh teknologi ini harus memashmi dan menerima resikonya

Keadilan. Keuntungan dan beban dari teknologi harus didistribusian secara adil. Siapa yang mengambil keuntungan seharusnya memikul beban yang pantas juga dan yang kurang mengambil keuntungan, tidak ketambahan resiko.

Meminimkan resiko. Walaupun sudah ada tiga poin di atas, teknologi seharusnya diimplementasikan dengan menghindari semua resiko yang tidak perlu.

KEMKOMINFO

37

Agenda







Etika

Privacy

KEMKOMINFO

38

Konsep Privasi (1)

Apakah “Informasi Pribadi”?

Secara sempit, Informasi pribadi adalah informasi yang berkaitan dengan individu yang dapat diidentifikasi atau orang yang teridentifikasi.

Nama

Hubungan keluarga

Nomor telepon

Alamat

Alamat e-mail

Nomor lisensi mobil

Nomor kartu kredit

Karakteristik fisik

Informasi Pribadi, definisi sempit

KEMKOMINFO

39

Konsep Privasi (2)

Apakah “Informasi Pribadi”?

Dalam pengertian lebih luas, mencakup informasi pribadi seperti informasi kredit, detail transaksi, detail panggilan telepon, latar belakang akademik, karir, evaluasi/opini, dan catatan kriminal.

Informasi Pribadi, Definisi Luas

Informasi Kredit

Detail panggilan telepon

Karir

Pendapat

Detail transaksi

Latar belakang akademik

Evaluasi

Catatan kriminal

KEMKOMINFO

40

Konsep Privasi (3)

Informasi Pribadi dan Privasi

Akses, pengumpulan, analisis, dan penggunaan informasi pribadi yang tidak pantas berdampak pada perilaku pihak lain terhadap pribadi yang bersangkutan dan pada akhirnya berdampak negatif terhadap kehidupan sosial, harta benda, dan keselamatan-nya.

Oleh karena itu, informasi pribadi harus dilindungi dari akses, pengumpulan, penyimpanan, analisis dan penggunaan yang salah. Dalam hal ini, informasi pribadi adalah subyek perlindungan.

KEMKOMINFO

Opt-in Versus Opt-out

Opt-In (Opsi Masuk)Opt-In (Opsi Masuk)

Anda harus secara eksplisit menyatakan bahwa data tentang Anda boleh dikompilasi

Default di Europe

Anda harus secara eksplisit menyatakan bahwa data tentang Anda boleh dikompilasi

Default di Europe

Opt-Out (Opsi Keluar)

Data tentang Anda dapat dikompilasi, kecuali Anda minta untuk tidak dimasukkan

Default di AS.

Data tentang Anda dapat dikompilasi, kecuali Anda minta untuk tidak dimasukkan

Default di AS.

KEMKOMINFO

Isu-isu Tambahan Privacy

Pelanggaran Privacy Mengakses email pribadi, percakapan pribadi dan rekaman komputer

pribadi

Mengumpulkan dan berbagi informasi tentang seseorang dari kunjungannya ke situs-situs Internet

Pemantauan Komputer Selalu tahu di mana seseorang berada Layanan seluler cenderung dekat dengan asosiasi di mana seseorang

berada Computer Matching

Memanfaatkan informasi pelanggan dari banyak sumber utuk pemasaran jasa layanan bisnis

Akses Tidak Sah atas File-file Pribadi

Mengumpulkan nomor-nomor telepon, alamat surel, nomor-nomor kartu kredit, dan informasi-informasi lain untuk membangun profil orang

KEMKOMINFO

Melindungi Privacy di Internet

Menyandi surel

Mengirim posting surel lewat remailer anonim

Meminta ISP untuk tidak menjual nama dan informasi Anda ke penyedia milis dan pengguna jasa broadcast lainnya. (Meminta operator seluler?)

Tidak membuka data pribadi dan hobi secara daring (online) atau di situs web

KEMKOMINFO

Kebebasan Komputer dan Sensor

Sisi berlawanan dari debat privacy Kebebasan informasi, kebebasan berbicara dan kebebasan

pers

Tempat-tempat Bulletin boards (kaskus, kompasiana, surel pembaca) Email boxes Online files of Internet and public networks

“Persenjataan dalam Pertempuran” Spamming

Pengiriman e-mail ke banyak pengguna unsolicited

Flame mail Sending extremely critical, derogatory, and often vulgar email

messages or newsgroup postings to other Internet users or online services

Especially prevalent on special-interest newsgroups

KEMKOMINFO

Cyberlaw

Irisan antara teknologi dan hukum merupakan bahan perdebatan Perlukah regulasi Internet?

Kriptografi menyulitkan bila regulasinya tradisional

Komunitas Internet menganggap sensor merupakan penghambat dan beberapa pihak malah melakukan by-pass

UU ITE

Hukum diniatkan untuk mengatur aktivitasber-Internet via perangkat komunikasi

Mencakup sejumlah isuhukum dan politik

Meliputi properti intelektual, privacy,kebebasan berekspresi dan jurisdiksi

KEMKOMINFO

46

Ringkasan

Informasi adalah salah satu aset yg sangat berharga bagi suatu organisasi. Ancaman terhadap keamanan informasi datang berupa pembeberan yang tidak sah, korupsi atau halangan terhadap layanan.

Tujuan dari keamanan adalah untuk melindungi aset yang sangat berharga, khususnya berkaitan dengan kerahasiaan, integritas dan ketersediaan dari informasi dan aset yang mengolah, menyimpan dan mengirim informasi tersebut.

Regulasi, kebijakan dan petunjuk tentang keamanan didasarkan pada konsep dan prinsip kemanan.

Pemahaman terhadap konsep dan prinsip tersebut memungkinkan seorang staf IA mengambil keputusan yang benar dan efektif.

KEMKOMINFO

47

Informasi lebih lanjut

www.cert.or.id - Indonesia Computer Emergency Response Team

www.wired.com/threatlevel/ - Artikel2 tentang keamanan informasi

http://www.cert.or.id/

http://www.wired.com/threatlevel/

KEMKOMINFO

48

Diskusi

Nilailah tingkat kesadaran keamanan informasi di antara anggota organisasi Anda.

Temukan contoh langkah keamanan informasi dalam domain administratif, fisik, dan teknis di organisasi Anda atau organisasi lain di negara atau wilayah Anda.

Ancaman keamanan informasi apa yang mudah menyerang organisasi Anda? Mengapa?

Solusi teknologi keamanan informasi mana yang tersedia di organisasi Anda?

Apakah organisasi Anda memiliki kebijakan, strategi dan pedoman keamanan informasi?

KEMKOMINFO

Akhir dari Modul 4Terima kasih

KEMKOMINFO

Ethical Guidelines of the AITP

KEMKOMINFO

Privacy Issues

The power of information technology to store and retrieve information can have a negative effect on every individual’s right to privacy

Personal information is collected with every visit to a Web site

Confidential information stored by credit bureaus, credit card companies, and the government has been stolen or misused

modul 4 keamanan informasi & penjaminan informasi

Documents