KELOMPOK BANTENG HITAM

1. Jenny Enjelita – 202060021

2. Richard – 202060024
3. Marcylia Fransisca – 202060027
4. Valberra Christian – 202060039
5. Brilliant Fausta – 202060057

INFORMATION SECURITY

Ø Security / Keamanan dapat didefinisikan sebagai tingkat proteksi terhadap aktivitas kriminal,

bahaya, kerusakan, dan kerugian ( suatu keadaan yang bebas dari ancaman yang berbahaya ).

Ø Keamanan informasi (Information Security) adalah semua proses dan kebijakan yang

dirancang untuk melindungi sistem informasi dan informasi organisasi dari akses yang tidak
sah, penyalahgunaan, pengungkapan, gangguan, modifikasi, atau perusakan. Kita
dapat  melihat bahwa informasi dan sistem informasi sering mendapat tindakan kriminal yang
disengaja oleh manusia yang dapat mengganggu berfungsinya sistem informasi tesebut.
Menurut G. J. Simons, keamanan informasi adalah bagaimana kita dapat mencegah penipuan
(cheating) atau, paling tidak, mendeteksi adanya penipuan di sebuah sistem yang berbasis
informasi, dimana informasinya sendiri tidak memiliki arti fisik. Maka dapat dikatakan juga
bahwa Kemananan Informasi menggambarkan usaha untuk melindungi komputer dan non-
peralatan komputer, fasilitas, data, dan informasi dari penyalahgunaan oleh orang yang tidak
bertanggung jawab.

Ø Ancaman (Threat) keamanan informasi adalah aksi yang terjadi baik dari dalam sistem

maupun dari luar sistem yang dapat mengganggu keseimbangan sistem informasi tersebut.
Ancaman dapat berupa seseorang, organisasi, mekanisme, atau peristiwa yang dapat
berpotensi menimbulkan kejahatan pada sumber daya informasi. Ancaman
dapat dibedakan internal atau external, disengaja atau tidak disengaja . Ancaman bagi sumber
daya informasi adalah bahaya yang bisa terpapar terhadap sistem. Pemaparan sumber
informasi dapat berupa  bahaya, kerugian, atau kerusakan yang dapat terjadi jika ancaman
tersebut membahayakan sumber daya informasi itu. Kerentanan suatu informasi sumber daya
adalah kemungkinan bahwa sistem akan dirugikan oleh ancaman. Ancaman yang mungkin
timbul dari kegiatan pengolahan informasi berasal dari 3 hal utama, yaitu :
                      1.       Ancaman Alam
                      2.       Ancaman Manusia
                      3.       Ancaman Lingkungan

Ancaman Alam
Yang termasuk dalam kategori ancaman alam terdiri atas :
 Ancaman air             : Banjir, Tsunami, Intrusi air laut, Kelembaban tinggi, Badai,
Pencairan salju
 Ancaman Tanah       : Longsor, Gempa bumi, Gunung meletus
 Ancaman Alam lain  : Kebakaran hutan, Petir, Tornado, Angin ribut

Ancaman Manusia
Yang dapat dikategorikan sebagai ancaman manusia, diantaranya adalah :
 Malicious code
  Virus
 Logic bombs
 Trojan horse
 Worm
 Active contents
 Countermeasures
 Social engineering
 Hacking
 Cracking
 Akses ke sistem oleh orang yang tidak berhak
 DDOS
 Backdoor
 Kriminal
 Pencurian
 Penipuan
 Pengkopian tanpa ijin
 Perusakan
 Teroris
 Peledakan
Ancaman Lingkungan
Yang dapat dikategorikan sebagai ancaman lingkungan seperti :
 Penurunan tegangan listrik atau kenaikan tegangan listrik secara tiba-tiba dan dalam jangka
waktu yang cukup lama. Polusi. Efek bahan kimia seperti semprotan obat pembunuh
serangga, semprotan anti api, dll. Kebocoran seperti AC, atau atap bocor saat hujan.

Besar kecilnya suatu ancaman dari sumber ancaman yang teridentifikasi atau belum
teridentifikasi dengan jelas tersebut, perlu di klasifikasikan secara matriks ancaman sehingga
kemungkinan yang timbul dari ancaman tersebut dapat di minimalisir dengan pasti. Setiap
ancaman tersebut memiliki probabilitas serangan yang beragam baik dapat terprediksi
maupun tidak dapat terprediksikan seperti terjadinya gempa bumi yang mengakibatkan sistem
informasi mengalami gangguan.

Ø Kelemahan (Vulnerability)
Adalah sebagai akibat dari kesalahan atau kecerobohan. Kelemahan dari suatu sistem
mungkin timbul pada saat mendesain/memprogram, menetapkan prosedur,
mengimplementasikan maupun kelemahan atas sistem kontrol yang ada sehingga memicu
tindakan pelanggaran oleh pelaku yang mencoba menyusup/melakukan tindakan kriminal
terhadap sistem tersebut. Cacat sistem bisa terjadi pada prosedur, peralatan, maupun
perangkat lunak yang dimiliki, contoh yang mungkin terjadi seperti : Seting firewall yang
membuka telnet sehingga dapat diakses dari luar, atau Seting VPN yang tidak di ikuti oleh
penerapan kerberos atau NAT

Lima faktor kunci yang berkontribusi terhadap meningkatnya kerentanan sumber daya
informasi organisasi, sehingga jauh lebih sulit untuk mengamankannya : 
Faktor pertama
adalah evolusi dari sumber daya TI dari mainframe-hanya untuk yang sangat kompleks,
saling berhubungan, saling tergantung, lingkungan bisnis nirkabel jaringan saat ini. Internet
 sekarang memungkinkan jutaan komputer dan jaringan komputer untuk berkomunikasi secara
bebas dan lancar satu sama lain. Organisasi dan individu dapat terkena dunia jaringan tidak
dipercaya dan penyerang potensial. jaringan yang terpercaya, pada umumnya, adalah setiap
jaringan dalam organisasi Anda. jaringan tidak dipercaya, secara umum, adalah setiap
jaringan eksternal untuk organisasi Anda. Di samping itu, teknologi nirkabel memungkinkan
karyawan untuk berkomunikasi, dan mengakses internet di mana saja dan kapan saja. Secara
signifikan, wireless merupakan media komunikasi broadcast tidak aman.

Faktor kedua
mencerminkan fakta bahwa komputer modern dan perangkat penyimpanan terus menjadi
lebih kecil, lebih cepat, lebih murah, dan lebih portabel, dengan kapasitas penyimpanan yang
lebih besar. Juga jauh lebih banyak orang yang mampu membeli komputer yang canggih ,
dan terhubung ke internet dengan biaya yang murah sehingga meningkatkan potensi serangan
terhadap aset informasi.

Faktor ketiga
adalah bahwa keterampilan komputer yang diperlukan untuk menjadi seorang
hacker/cracking menurun. Alasannya adalah bahwa internet berisi informasi dan program
komputer yang pengguna dengan sedikit keterampilan dapat men-download dan
menggunakannya untuk menyerang sistem informasi yang terhubung ke internet.

Faktor keempat
adalah bahwa kejahatan internasional terorganisir mengambil alih cybercrime. cybercrime
adalah kegiatan ilegal yang dilakukan melalui jaringan komputer, khususnya internet.
Contohnya penggunaan teknologi komputer untuk mencetak ulang software atau informasi
lalu mendistribusikan informasi atau software tersebut lewat teknologi komputer.

Faktor kelima
adalah kurangnya dukungan manajemen. Terkadang seorang manajer kurang mengawasi
karyawan bawahannya sehingga karyawan tersebut melakukan pelanggaran seperti mencuri ,
atau memodifikasi data informasi yang menjadi milik oleh perusahaan. Lebih baik
bila seluruh perusahaan supaya mengambil kebijakan keamanan dan prosedur serius, manajer
senior harus mengatur para manajer bawahannya agar berada dalam kontak dekat dengan
karyawan setiap hari sehingga dengan demikian manajer akan berada dalam posisi yang lebih
baik untuk mengetahui apakah karyawan mengikuti prosedur yang benar.

4.2  Unintentional Threats to Information Systems

Ancaman yang tidak disengaja (unintentional threats) adalah tindakan yang dilakukan tanpa
maksud jahat, namun merupakan ancaman yang serius bagi keamanan informasi.
Ada 2 jenis ancaman yang tidak disengaja :
1.      Kelalaian manusia (Human Errors)
Karyawan organisasi dapat menjangkau luas dan kedalaman sebuah organisasi, dari pengirim
surat sampai CEO, dan seluruh area fungsional. Ada 2 poin penting mengenai karyawan
sebuah organisasi / perusahaan :
·         Semakin tinggi jabatan seorang karyawan, semakin besar ancaman yang dia berikan
kepada kemanan informasi, karena semakin tinggi jabatan seorang karyawan biasanya
semakin banyak juga data perusahaan yang dapat diakses dan mereka menggunakan hak yang
diberikan tersebut atas sistem informasi organisasi / perusahaan
·         Karyawan di dua area organisasi menimbulkan ancaman yang signifikan terhadan
keamanan informasi, yaitu sumber daya manusia dan sistem informasi.
a.       Karyawan atas sumber daya manusia biasanya memiliki akses atas informasi pribadi yang
sensitif mengenai seluruh karyawan.
b.      Karyawan sistem informasi tidak hanya memiliki akses atas data organisasi yang sensitif,
tetapi mereka terkadang juga mengontrol sarana untuk menciptakan, menyimpat,
memindahkan dan memodifikasi data tersebut.
c.       karyawan lain termasuk :
1.      karyawan kontrak, dapat mengakses susunan keamanan informasi dan biasanya memiliki
akses atas jaringan perusahaan, sistem informasi, dan aset informasi.
2.      Konsultan, dapat juga memiliki akses atas jaringan perusahaan, sistem informasi, dan aset
informasi tergantung atas jenis pekerjaan mereka.
3.      Petugas pembersih dan keamanan, adalah yang paling sering diabaikan di sistem keamanan
informasi. Mereka biasanya hadir jika seluruh / sebagian karyawan sudah pulang ke rumah.
Mereka memiliki kunci atas setiap ruangan dan tidak seorang pun akan menanyakan
keberadaan mereka walaupun di bagian paling sensitif di perusahaan.

Kelalaian manusia atau kesalahan karyawan dapat menimbulkan masalah besar atas hasil dari
kemalasan, kecerobohan atau kurangnya kesadaran mengenai keamanan informasi.
Kurangnya kesadaran ini datang dari pendidikan dan pelatihan yang rendah dari perusahaan /
orgaanisasi.

Ada berbagai kelalaian manusia di dalam perusahaan:

1.      Meletakan laptop secara sembarangan
2.      Meletakan perangkat komputer secara sembarangan sehingga terkena malware
3.      Membuka email dari orang yang tidak dikenal atau membuka link yang ada di email
4.      Kelalaian dalam menjelajahi internet dapat menyebabkan malware
5.      Memilih /  menggunakan password yang lemah
6.      Tidak mengunci meja dan laci saat pulang dari kerja dan juga tidak menutup jaringan
internet perusahaan ketika pergi dari kantor untuk jangka waktu tertentu
7.      kelalaian atas perangkat yang tidak dapat dikendalikan oleh departemen IT dan prosedur
keamanan perusahaan
8.      kelalaian atas peralatan yang dibuang
9.      kelalaian dalam memonitori bahaya yang ada di lingkungan

Kelalaian tersebut walapun tidak disengaja tetap dilakukan sepenuhnya oleh karyawan.
Namun, karyawan juga dapat melakukan kesalahan yang tidak disengaja sebagai akibat
tidakan yang dilakukan oleh penyerang. Penyerang sering menggunakan rekayasa sosial
untuk mendorong individu untuk melakukan kesalahan yang tidak disengaja dan
mengungkapkan informasi sensitif.

2.      Rekayasa Sosial
Adalah serangan dimana pelaku menggunakan keahlian sosial untuk mengelabui atau
memanipulasi karyawan yang sah dalam memberikan informasi rahasia perusahaan, seperti
password. Contoh yang paling sering terjadi dari rekayasa sosial terjadi ketika penyerang
menirukan orang lain di telepon, seperti manajer perusahaan atau karyawan sistem informasi.
Penyerang mengklaim bahwa ia lupa passwordnya dan meminta karyawan yang sah untuk
memberikan ia password untuk digunakan. Rekayasa lainnya termasuk menyamar sebagai
pembasmi, teknisi AC, atau pemadam kebakaran.
 Dua teknik rekayasa sosial lainnya, yaitu tailgating and shoulder surfing. Tailgating
adalah teknik yang di desain untuk memungkinkan pelaku kejahatan memasuki area terlarang
yang di kontrol oleh kunci atau kartu masuk. Shoulder surfing terjadi ketika pelaku kejahatan
melihat layar komputer karyawan dari bahu karyawan tersebut. Teknik ini berhasil terutama
di area publik seperti bandara, komputer kereta, dan pesawat.

4.3 Delibarate Threats to Information Systems

Jenis –jenis ancaman yang disengaja untuk sistem informasi:

·         Pengintai atau penyalahgunaan: Terjadi karena seorang individu secara tidak sah mencoba
untuk mendapatkan akses ilegal ke informasi organisasi.
·         Informasi pemerasan: Terjadi ketika penyerang mengancam untuk mencuri informasi dari
perusahaan.
·         Sabotase atau perusakan: Perbuatan yang disengaja yang melibatkan pencemaran suatu
website organisasi dengan merusak citra baik suatu perusahaan.
·         Pencurian peralatan atau informasi: Hal ini terjadi karena seseorang kurang peduli dengan
barang elektroniknya sehingga penyerang memperoleh kesempatan untuk mencuri suatu data
dalam elektronik tersebut.  
·         Pencurian identitas: Seseorang dengan sengaja mencuri identitas seseorang untuk
mengakses informasi untuk berbuat kriminal. Contoh: mencuri informasi pribadi seseorang di
database komputer.
·         Berkompromi untuk kekayaan intelektual:  properti kekayaan di buat oleh individu atau
kelompok untuk melindungi rahasia perusahaan ( seperti rencana bisnis/ resep cocacola),
patent(dokumen resmi perusahaan), hak cipta.
·         Serangan perangkat lunak: Terjadi ketika penyerang menggunakan software malicious
untuk menularkan ke banyak ke komputer dunia.
·         Alien software: Software tersembunyi yang dipasang di komputer dengan metode
duplikasi, alien software bukan termasuk virus, worms dan trojan horse tetapi ini adalah suatu
sumber sistem yang berharga.
·         SCADA attacks: suatu sistem untuk memonitor  atau mengontrol suatu proses dalam
komputer. SCADA mempunyai sensor yang mudah terhubung ke suatu jaringan. Jika
penyerang telah mengakses ke jaringan tersebut, mereka bisa menyebabkan kerusakan yang
serius.
·         Cyberterrorism dan cyberwarfare: tindakan malicious dimana penyerang menggunakan
sistem komputer sebagai target , terutama melalui internet hal ini menyebabkan gangguan
parah pada dunia nyata, biasanya untuk melaksanakan agenda politik. Biasanya mereka
cenderung mengumpulkan data lalu menyerang infrastruktur politik.
·         Virus: segment kode komputer yang menampilakan tindakan malicious dengan melekatkan
program komputer yang lain.
·         Worm: program komputer yang dapat menggandakan dirinya secara sendiri dalam sistem
komputer.
·         Pishing attacks: pishing menggunakan penipuan untuk memperoleh informasi seseorang
dengan menyamar menjadi email asli atau pesan instant.
·         Spear pishing attack: pengertiannya sama dengan pishing tetapi spear pishing biasanya
menyerang grup besar.
·         Denial of service attack: penyerang mengirimkan banyak informasi ke target sistem
komputer, dimana target tersebut tidak bisa handle komputernya secara keseluruhan.
·         Distributed denial of service attack: pertama penyerang mengambil alih banyak komputer,
biasanya dengan menggunakan perangkat lunak malicious.
·         Trojan horse: program software yang menyembunyikan program komputer lainnya.
·         Back door: password yang diketahui oleh penyerang yang memperbolehkan dia untuk
akses ke sistem komputer tanpa mengikuti proedur keamanan.
·         Logic bomb: program komputer yang dirancang untuk diaktifkan lalu dihancurkan pada
waktu dan hari yang telah di tentukan.
·         Adware: iklan produk/ penawaran layanan yang merupakan bagian dari sebuah situs.
·         Spyware: software yang mengumpulkan informasi personal tentang pengguna tanpa izin.
·         Keyloggers: merekam keystrokes individual dan riwayat web browsing internet.
·         Spamware: pestware yang menggunakan komputer anda sebagai landasan peluncuran
untuk scammers.
·        Cookies: situs yang menyimpan sedikit informasi di komputer anda.

·        Tracking cookies: kombinasi informasi dengan nama, credit card dan data personal lainnya
yang di dapat tanpa seizin pemilik.
4.4 What Organizations Are Doing to Protect Information Resources ?

Industri keamanan informasi berjuang kembali terhadap cybercrime. Perusahaan sedang

mengenbangkan perangkat lunak dan layanan yang memberikan peringatan dini masalah di
internet. Tidak seperti perangkat lunak antivirus tradisional yang reaktif. Sistem peringatan
dini yang proaktif, memindai web untuk virus baru dan mengingatkan perusahaan terhadap
bahaya. Perusahaan menghabiskan banyak waktu dan uang untuk melindungi sumber
informasi mereka. Sebelum melakukannya, mereka melakukan manajemen resiko

Resiko adalah kemungkinan bahwa ancaman akan berdampak pada sebuah sumber jnformasi
Tujuan manajemen resiko adalah untuk mngidentifikasi, mengontrol dan meminimalkan
dampak dari ancaman. Dengan kata lain manajemen resiko berusaha mengurangi resiko ke
tingkat yang dapat diterima

Manajemen resiko terdiri dari 3 proses : analisis resiko, mitigasi resiko dan kontrol evaluasi

Analisis resiko melibatkan 3 langkah :

1. Menilai jumlah setiap aset yang dilindungi
2. Memperkirakan kemungkinan bahwa setiap aset akan di kompromikan
3. Membandingkan biaya kemungkinan aset yang dikompromikan dengan biaya melindungi aset

Dalam mitigasi resiko, organisasi mengambil tindakan nyata terhadap resiko.

Mitigasi resiko memiliki 2 fungsi :
1.      Menerapkan kontrol untuk mencegah ancaman yang diidentifikasi sebelum terjadi
2.      Mengembangkan sarana pemulihan jika ancaman terjadi

Ada beberapa strategi mitigasi resiko bahwa organisasi dapat diadopsi. 3 paling umum adalah
penerimaan resiko, pembatasan resiko dan pemindahan resiko

 Resiko penerimaan  : menerima potensi resiko, terus beroperasi tanpa kontrol dan
menyerap kerugian yang trjadi.
 Keterbatasan resiko : membatasi resiko dengan menerapkan kontrol yang
meminimalkan dampak dari ancaman.
 Resiko pemindahan : mntransfer resiko dgn menggunakan cara lain utk
mngkompensasi kerugian spr membeli asuransi.
 4.5 Information Security Controls
1.      fisik
Mencengah seseorang menggunakan akses ke fasilitas perusahaan secara illegal.
Physical control berupa: gedung, security, dan sistem alarm.
Alat yang digunakan untuk keamanan informasi berupa sensor tekanan , sensor suhu , dan
detektor gerakan
2.      akses
·         Otentikasi (pengenal)
biometrics: meneliti fisik seseorang (sidik jari, retina, wajah)
Passwords: Sesuatu yang diketahui, lakukan, dan miliki Bersifat perorangan untuk menjaga
informasi.
Panduan dasar dalam membuat password:
a.       Sulit untuk ditebak
b.      Password yang panjang
c.       Mempunyai (angka dan tanda baca)
d.    Angka atau kalimat yang familiar contohnya: tanggal lahir atau nama binatang peliharaan.
·         Otorikasi (hak)
hak khusus atau hak istimewa seseorang untuk mengakses operasi sistem komputer.
3.      komunikasi
a.    Firewall: mencegah jaringan komputer dari serangan komputer luar/ mencengah akses illegal
ke private network 

b.      Anti malware systems: mencengah software dari serangan malware atau virus

c.      Whitelisting: daftar web, URL, dan email yang dapat diakses karena aman 

d.     Blacklisting: kumpulan dari web domain, URL, dan Email yang tidak aman dan dapat di
blokir secara otomatis

e.      Enkripsi:  pengamanan informasi agar tidak dapat diakses kecuali penerima informasi

f.     Virtual private networking:koneksi antara satu jaringan dengan jaringan lainnya secara
privat melalui jaringan publik (Internet)

g.  Secure socket layer: menjaga pengiriman data web server dan pengguna situs web tersebut.

h.     Employee monitoring systems: memonitoring segala kegiatan pekerja 

4.         Bussines continuity planning

Adalah strategi untuk memperkecil efek gangguan agar proses bisnis terus berlangsung
Strategi ada 2:
a.     Cold site adalah ruang dengan daya listrik dan HVAC, tetapi komputer harus dibawa dari
luar jika diperlukan, dan link komunikasi bisa ada ataupun tidak.
b.   Hot site adalah fasilitas untuk komputer yaitudaya listrik, pemanasan, ventilasi, dan proses
pengaturan suhu, dan berfungsi sebagai file/print server dan workstation.
c.   Warm Site adalah kombinasi antara hot site dan cold site. Seperti halnya hot site, pada warm
site terdapat suatu fasilitas komputer yang tersedia dengan daya listrik dan HVAC, tetapi
aplikasinya belum di-install atau dikonfigurasi.
  
5.    Pemeriksa sistem informasi
Tipe auditor and audit : internal dan eksternal
Internal     : sering dilakukan oleh auditor internal perusahaan
Eksternal  : meninjau audit internal yaitu input dan output dari sistem informasi

Bagaimana pelaksaan auditing??

 Auditing bagian komputer (memverifikasi pengolahan dengan memeriksa output
menggunakan input spesifik)
 Auditing melalui komputer (menguji data yang terdapat dalam sistem)
 Auditing menggunakan komputer(pengerjaan tahap-tahap program audit yang terinci.)