8.

1 MENGAPA SISTEM INFORMASI RENTAN TERHADAP KERUSAKAN,

KESALAHAN, DAN PENYALAHGUNAAN?
MENGAPA SISTEM BEGITU RENTAN
Potensi untuk akses yang tidak sah, penyalahgunaan, atau penipuan tidak terbatas pada satu
lokasi tetapi dapat terjadi pada titik akses mana pun di jaringan. Mereka dapat berasal dari faktor
teknis, organisasi, dan lingkungan yang diperparah oleh keputusan manajemen yang buruk.
Dalam lingkungan komputasi klien / server multitier yang diilustrasikan di sini, kerentanan ada
di setiap lapisan dan dalam komunikasi antar lapisan.
Kerentanan Internet
Jaringan publik besar, seperti Internet, lebih rentan daripada jaringan internal karena mereka
sebenarnya terbuka untuk siapa saja. Internet sangat besar sehingga ketika pelanggaran terjadi,
mereka dapat memiliki dampak yang sangat luas. Ketika Internet menjadi bagian dari jaringan
perusahaan, sistem informasi organisasi bahkan lebih rentan terhadap tindakan dari orang luar.
Tantangan Keamanan Wireless
Wi-Fi merupakan standar untuk jaringan nirkabel mudah disusupi penyelundup menggunakan
program sniffer untuk mendapatkan sebuah alamat sebagai sumber akses jaringan. Karena
jaringan Wi-Fi di banyak lokasi tidak memiliki keamanan untuk melawan war driving.

PERANGKAT LUNAK BERBAHAYA: VIRUSES, WORMS, TROJAN HORSES, AND

SPYWARE

 Program perangkat lunak berbahaya disebut sebagai malware dan mencakup berbagai
ancaman, seperti virus komputer, worm, dan kuda Trojan.
 Virus komputer adalah program perangkat lunak jahat yang menempel pada program
perangkat lunak lain atau file data untuk dieksekusi, biasanya tanpa sepengetahuan atau izin
pengguna.
 Worm, yang merupakan program komputer independen yang menyalin dirinya dari satu
komputer ke komputer lain melalui jaringan.
 Trojan Horse adalah program perangkat lunak yang tampaknya jinak tetapi kemudian
melakukan sesuatu yang tidak diharapkan.
 Beberapa jenis spyware juga bertindak sebagai perangkat lunak berbahaya. Program-program
kecil ini memasang diri mereka secara diam-diam di komputer untuk memantau aktivitas
 penjelajahan Web pengguna dan menayangkan iklan. Ribuan bentuk spyware telah
didokumentasikan.

HACKERS DAN KEJAHATAN KOMPUTER

Hackers adalah individu yang bermaksud mendapatkan akses tidak sah ke sistem komputer.
Aktivitas peretas telah meluas melampaui sekadar intrusi sistem untuk memasukkan pencurian
barang dan informasi, serta kerusakan sistem dan vandalisme dunia maya, gangguan yang
disengaja, pengrusakan, atau bahkan penghancuran situs Web atau sistem informasi perusahaan.

 Spoofing and Sniffing  Click Fraud

 Denial-of-Service Attacks  Global Threats: Cyber terrorism
 Computer Crime and Cyber war fare
 Identity Theft
ANCAMAN INTERNAL : PEGAWAI

Studi telah menemukan bahwa kurangnya pengetahuan pengguna adalah satu-satunya penyebab
terbesar dari pelanggaran keamanan jaringan. Banyak karyawan lupa kata sandi mereka untuk
mengakses sistem komputer atau mengizinkan rekan kerja untuk menggunakannya, yang
membahayakan sistem. Penyusup jahat yang mencari akses sistem terkadang menipu karyawan
untuk mengungkapkan kata sandi mereka dengan berpura-pura menjadi anggota sah perusahaan
yang membutuhkan informasi. Praktek ini disebut rekayasa sosial.

KERENTANAN SOFTWARE

Kesalahan perangkat lunak menimbulkan ancaman konstan terhadap sistem informasi,

menyebabkan hilangnya produktivitas yang tak terhitung, dan terkadang membahayakan orang
yang menggunakan atau bergantung pada sistem. Meningkatnya kompleksitas dan ukuran
program perangkat lunak, ditambah dengan permintaan untuk pengiriman tepat waktu ke pasar,
telah berkontribusi pada peningkatan kelemahan atau kerentanan perangkat lunak.

8.2 KEAMANAN DAN PENGENDALIAN NILAI BISNIS

Keamanan dan kontrol yang tidak memadai dapat mengakibatkan pertanggungjawaban hukum
yang serius. Bisnis harus melindungi tidak hanya aset informasi mereka sendiri tetapi juga milik
pelanggan, karyawan, dan mitra bisnis. Kegagalan untuk melakukannya dapat membuka
perusahaan untuk litigasi mahal untuk paparan data atau pencurian.
PERSYARATAN HUKUM DAN REGULASI UNTUK MANAJEMEN RECORDS
ELEKTRONIK
Jika Anda bekerja di industri perawatan kesehatan, perusahaan Anda harus mematuhi
Undang-undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) tahun 1996.
HIPAA menguraikan aturan dan prosedur keamanan dan privasi medis untuk menyederhanakan
administrasi tagihan perawatan kesehatan dan mengotomatiskan transfer. data perawatan
kesehatan antara penyedia layanan kesehatan, pembayar, dan rencana.
Jika Anda bekerja di sebuah perusahaan yang menyediakan jasa keuangan, perusahaan
Anda harus mematuhi Undang-Undang Modernisasi Jasa Keuangan tahun 1999, yang lebih
dikenal sebagai Undang-Undang Gramm-Leach-Bliley setelah sponsor kongresnya.
Jika Anda bekerja di perusahaan publik, perusahaan Anda harus mematuhi Reformasi
Akuntansi Perusahaan Publik dan Undang-Undang Perlindungan Investor tahun 2002, yang lebih
dikenal sebagai Sarbanes-Oxley Act setelah sponsornya Senator Paul Sarbanes dari Maryland
dan Perwakilan Michael Oxley dari Ohio.
BUKTI ELEKTRONIK DAN FORENSIK KOMPUTER
Forensik komputer adalah pengumpulan ilmiah, pemeriksaan, otentikasi, pelestarian, dan
analisis data yang disimpan atau diambil dari media penyimpanan komputer sedemikian rupa
sehingga informasi tersebut dapat digunakan sebagai bukti di pengadilan. Ini berkaitan dengan
masalah-masalah berikut:
• Memulihkan data dari komputer dengan tetap menjaga integritas bukti
• Secara aman menyimpan dan menangani data elektronik yang dipulihkan
• Menemukan informasi penting dalam volume besar data elektronik
• Menyajikan informasi ke pengadilan

Bukti elektronik dapat berada pada media penyimpanan komputer dalam bentuk file
komputer dan sebagai data sekitar, yang tidak terlihat oleh pengguna rata-rata.
8.3. MEMBANGUN KERANGKA KERJA MANAJEMEN UNTUK KEAMANAN DAN
KONTROL

Perlindungan sumber daya informasi membutuhkan sistem keamanan yang baik dan serangkaian
kontrol. ISO 17799, seperangkat standar internasional untuk keamanan dan kontrol, menetapkan
praktik terbaik dalam keamanan dan kontrol sistem informasi.

Penilaian risiko menentukan tingkat risiko bagi perusahaan jika aktivitas atau proses tertentu
tidak dikontrol dengan baik. Manajer bisnis yang bekerja dengan spesialis sistem informasi
menentukan nilai aset informasi, titik kerentanan, frekuensi kemungkinan masalah, dan potensi
kerusakan. Setelah risiko dinilai, pembangun sistem dapat berkonsentrasi pada titik kontrol
dengan kerentanan dan potensi kerugian terbesar untuk meminimalkan biaya keseluruhan dan
memaksimalkan pertahanan.

Perusahaan besar biasanya memiliki fungsi keamanan perusahaan formal yang dikepalai oleh
chief security officer (CSO). Grup keamanan mendidik dan melatih pengguna, menjaga
manajemen sadar akan ancaman dan gangguan keamanan, dan memelihara alat yang dipilih
untuk menerapkan keamanan. Chief security officer bertanggung jawab untuk menegakkan
kebijakan keamanan perusahaan. Kebijakan keamanan terdiri dari pernyataan risiko peringkat
informasi, mengidentifikasi tujuan keamanan yang dapat diterima, dan mengidentifikasi
mekanisme untuk mencapai tujuan ini. Organisasi keamanan biasanya mengelola kebijakan
penggunaan yang dapat diterima dan kebijakan otorisasi. Kebijakan penggunaan yang dapat
diterima (AUP) mendefinisikan penggunaan sumber daya informasi dan peralatan komputasi
perusahaan yang dapat diterima, termasuk komputer desktop dan laptop, perangkat nirkabel,
telepon, dan Internet. Kebijakan otorisasi menentukan berbagai tingkat akses ke aset informasi
untuk berbagai tingkat pengguna. Sistem manajemen otorisasi menetapkan di mana dan kapan
pengguna diizinkan untuk mengakses bagian tertentu dari situs Web atau database perusahaan.

Gambar 8.3
GAMBAR 8-3 PROFIL KEAMANAN UNTUK SISTEM PERSONIL

Dua contoh ini mewakili dua profil keamanan atau pola keamanan data yang mungkin ditemukan
dalam sistem personalia. Bergantung pada profil keamanan, pengguna akan memiliki batasan
tertentu pada akses ke berbagai sistem, lokasi, atau data dalam suatu organisasi.

Karena perusahaan semakin bergantung pada jaringan digital untuk pendapatan dan operasi
mereka, mereka perlu mengambil langkah-langkah tambahan untuk memastikan bahwa sistem
dan aplikasi mereka selalu tersedia. Downtime mengacu pada periode waktu di mana suatu
sistem tidak beroperasi. Beberapa teknik dapat digunakan oleh perusahaan untuk mengurangi
downtime.

Sistem komputer yang toleran terhadap kesalahan menggunakan perangkat keras atau perangkat
lunak untuk mendeteksi kegagalan perangkat keras dan secara otomatis beralih ke sistem
cadangan. Lingkungan komputasi dengan ketersediaan tinggi menggunakan server cadangan,
mendistribusikan pemrosesan di antara beberapa server, penyimpanan berkapasitas tinggi, dan
perencanaan pemulihan bencana dan perencanaan kesinambungan bisnis untuk pulih dengan
cepat dari kerusakan sistem.

Dalam komputasi berorientasi pemulihan, sistem dirancang untuk pulih dengan cepat, dan
menerapkan kemampuan dan alat untuk membantu operator menentukan sumber kesalahan
dalam sistem multikomponen dan dengan mudah memperbaiki kesalahan mereka. Perencanaan
pemulihan bencana merancang rencana untuk memulihkan layanan komputasi dan komunikasi
setelah mereka terganggu oleh peristiwa seperti gempa bumi, banjir, atau serangan teroris.

Perencanaan kelangsungan bisnis berfokus pada bagaimana perusahaan dapat memulihkan

operasi bisnis setelah bencana terjadi. Beberapa perusahaan mengalihdayakan fungsi keamanan
ke penyedia layanan keamanan terkelola (MSSP) yang memantau aktivitas jaringan dan
melakukan pengujian kerentanan dan deteksi intrusi.

Audit MIS memeriksa lingkungan keamanan perusahaan secara keseluruhan serta

mengendalikan sistem informasi individu. Audit keamanan meninjau teknologi, prosedur,
dokumentasi, pelatihan, dan personel. Audit mencantumkan dan memberi peringkat semua
kelemahan kontrol dan memperkirakan kemungkinan terjadinya. Kemudian menilai dampak
keuangan dan organisasi dari setiap ancaman.
Gambar 8-3

GAMBAR 8-3 DAFTAR CONTOH KELEMBABAN AUDITOR CONTOH AUDITOR

Bagan ini adalah halaman sampel dari daftar kelemahan kontrol yang mungkin ditemukan
auditor dalam sistem pinjaman di bank komersial lokal. Formulir ini membantu auditor mencatat
dan mengevaluasi kelemahan kontrol dan menunjukkan hasil dari mendiskusikan kelemahan
tersebut dengan manajemen, serta setiap tindakan korektif yang diambil oleh manajemen.

8.4. MEMBANGUN KERANGKA KERJA MANAJEMEN UNTUK KEAMANAN DAN

KONTROL

Perlindungan sumber daya informasi membutuhkan serangkaian kontrol yang dirancang dengan
baik. Sistem komputer dikendalikan oleh kombinasi kontrol umum dan kontrol aplikasi.

Kontrol umum mengatur desain, keamanan, dan penggunaan program komputer dan
keamanan file data secara umum di seluruh infrastruktur TI organisasi. Kontrol umum meliputi
kontrol perangkat lunak, kontrol perangkat keras fisik, kontrol operasi komputer, kontrol
keamanan data, kontrol atas proses implementasi sistem, dan kontrol administratif. Kontrol
perangkat keras memastikan bahwa perangkat keras komputer aman secara fisik dan operasional.
Kontrol perangkat lunak memantau penggunaan perangkat lunak dan mencegah akses tidak sah
terhadap perangkat lunak sistem dan program perangkat lunak. Kontrol pengoperasian komputer
memastikan bahwa departemen komputer menjalankan setiap pekerjaan dengan benar dan
memiliki prosedur khusus untuk mencegah dan memperbaiki kesalahan. Kontrol implementasi
mengaudit proses pengembangan sistem di berbagai titik untuk memastikan bahwa itu
didokumentasikan dan dikelola dengan baik. Kontrol keamanan data memastikan bahwa file data
tidak dikenakan akses, perubahan, atau penghancuran yang tidak sah. Semua kontrol ini
memerlukan kontrol administratif untuk memastikan bahwa kontrol tersebut dijalankan dan
ditegakkan dengan benar. Kontrol administrasi utama adalah pengawasan, kebijakan dan
prosedur tertulis, dan pemisahan fungsi pekerjaan.

Kontrol aplikasi adalah kontrol khusus yang unik untuk setiap aplikasi yang
terkomputerisasi, seperti penggajian atau pemrosesan pesanan. Kontrol aplikasi mencakup
prosedur otomatis dan manual yang memastikan bahwa hanya data yang diotorisasi yang
diproses secara lengkap dan akurat oleh aplikasi tersebut. Kontrol aplikasi dapat diklasifikasikan
sebagai (1) kontrol input, (2) kontrol pemrosesan, dan (3) kontrol output. Kontrol input
memeriksa data untuk akurasi dan kelengkapan ketika mereka memasuki sistem. Kontrol
pemrosesan menetapkan bahwa data lengkap dan akurat selama pembaruan. Kontrol output
memastikan bahwa hasil pemrosesan komputer akurat, lengkap, dan didistribusikan dengan
benar.

Penilaian risiko menentukan tingkat risiko bagi perusahaan jika aktivitas atau proses
tertentu tidak dikontrol dengan baik. Manajer bisnis yang bekerja dengan spesialis sistem
informasi menentukan nilai aset informasi, titik kerentanan, frekuensi kemungkinan masalah,
dan potensi kerusakan. Setelah risiko dinilai, pembangun sistem dapat berkonsentrasi pada titik
kontrol dengan kerentanan dan potensi kerugian terbesar untuk meminimalkan biaya keseluruhan
dan memaksimalkan pertahanan.

Semakin banyak perusahaan membentuk fungsi keamanan perusahaan formal yang

dipimpin oleh seorang kepala petugas keamanan (CSO). Grup keamanan mendidik dan melatih
pengguna, menjaga manajemen sadar akan ancaman dan gangguan keamanan, dan memelihara
alat yang dipilih untuk menerapkan keamanan. Kepala petugas keamanan bertanggung jawab
untuk menegakkan kebijakan keamanan perusahaan. Kebijakan keamanan terdiri dari pernyataan
risiko peringkat informasi, mengidentifikasi tujuan keamanan yang dapat diterima, dan
mengidentifikasi mekanisme untuk mencapai tujuan ini. Organisasi keamanan biasanya
mengelola kebijakan penggunaan yang dapat diterima dan kebijakan otorisasi.

Kebijakan penggunaan yang dapat diterima (AUP) mendefinisikan penggunaan sumber daya
informasi dan peralatan komputasi perusahaan yang dapat diterima, termasuk komputer desktop
dan laptop, perangkat nirkabel, telepon, dan Internet. Kebijakan otorisasi menentukan berbagai
tingkat akses ke aset informasi untuk berbagai tingkat pengguna. Sistem manajemen otorisasi
menetapkan di mana dan kapan pengguna diizinkan untuk mengakses bagian tertentu dari situs
Web atau database perusahaan.

[Gambar 8-5]

GAMBAR 8-5 Profil keamanan untuk sistem personalia

Dua contoh ini mewakili dua profil keamanan atau pola keamanan data yang mungkin ditemukan
dalam sistem personalia. Bergantung pada profil keamanan, pengguna akan memiliki batasan
tertentu pada akses ke berbagai sistem, lokasi, atau data dalam suatu organisasi.

Karena perusahaan semakin bergantung pada jaringan digital untuk pendapatan dan
operasi mereka, mereka perlu mengambil langkah-langkah tambahan untuk memastikan bahwa
sistem dan aplikasi mereka selalu tersedia. Downtime mengacu pada periode waktu di mana
suatu sistem tidak beroperasi. Perusahaan dapat menggunakan sistem komputer yang toleran
terhadap kesalahan atau menciptakan lingkungan komputasi dengan ketersediaan tinggi untuk
memastikan bahwa sistem informasi mereka selalu tersedia dan berkinerja tanpa gangguan.
Semua perusahaan harus menggunakan perencanaan pemulihan bencana dan perencanaan
kesinambungan bisnis untuk menetapkan prosedur organisasi dan kemampuan pemrosesan
cadangan, penyimpanan, dan basis data untuk menjaga agar bisnis tetap berjalan jika komputer
padam.