Bab 9 (22 slide)

SISTEM INFORMASI MANAJEMEN BAB 9 KEAMANAN INFORMASI

NAMA KELOMPOK 4 : KELAS III-B Yuliani (021109067) Zeldy Diwanto (021109045) Firman Supriyat (0211090) Asep Septriyanto Ribowo (021109055 )

TUJUAN BELAJAR Memahami kebutuhan organisasi akan keamanan dan pengendalian Memahami bahwa keamanan informasi berkaitan dengan keamanan semua sumber daya informasi, bukan hanya peranti keras dan data. Memahami 3 tujuan utama keamanan informasi Memahami bahwa menejemen keamanan informasi terdiri atas 2 area: manajemen keamanan informasi (ISM) dan manajemen keberlangsungan bisnis (BCM)

Melihat hubungan yang logis antara ancaman, risiko, dan pengendalian. Memahami apa saja ancaman keamanan yang utama Memahami apa saja risiko keamanan yang utama Mengenali berbagai kekhawatiran keamanan e-commer dan bagaimana perudahaan-perusahaan kartu kredit mengatasinya Mengenali cara formal melakukan manajemen risiko

Mengetahui proses implementasi kebijakan keamanan informasi Mengenali cara-cara pengendalian keamanan yan populer Mengetahui tindakan-tindakan pemerintah dan kalangan industri yang memengaruhi keamanan informasi Mengetahui cara mendapatkan sertifikasi profesional dalam keamanan dan pengendalian Mengetahui jenis-jenis rencana yang termasuk dalam perencanann kontinjensi

Keamanan Informasi
Kemanan Informasi
Di gunakan untuk mendeskripsikan perlindungan baik peralatan komputer maupun non komputer, fasilitas, data, dan informasi dari penyalahgunaan pihak-lpihak yang tidak berwenang.

Tujuan keamanan informasi
- Kerahasiaan
perusahaan berusaha untuk melindungi data dan informasinya dari pengungkapan kepada orang-orang yang tidak berwenang
contohnya: piutang dagang, pembeian, dan utang dagang.

Ketersediaan
adalah menyediakan data dan informasi sedia bagi pihak-pihak yang memiliki wewenang untuk menggunakannya contohnya: sistem informasi sumber daya manusia dan sistem informasi eksekutif
- Integritas
semua sistem informasi harus memberikan representasi akurat atas sistem fisik yang di representasikannya.

keamanan informasi
Aktifitas untuk menjaga agar sumber daya informasi tetap aman.
sedangkan, aktifitas untuk menjaga agar perusahaan dan sumber daya inflormasinya tetap berfungsi setelah adanya bencana di sebut manajemen keberlangsungan bisnis.

Manajemen Keamanan Informasi
Manajemen Informasi terdiri dari 4 tahap :
1. Mengidentifikasi ancaman yang dapat menyerang sumber daya informasi perusahaan
2. Mendefinisikan resiko yang dapat di sebabkan oleh ancaman-ancaman tersebut.
3. Menentukan kebijakan keamanan dan informasi.
4. Mengimplementasikan pengendalian untuk mengatasi resiko-resiko tersebut .

Manajemen Risiko (risk manajemen)
di buat untuk menggambarkan pendekatan ini dimana tingkat keamanan sumber daya informasi perusahaan di bandingkan dengan risiko yang di hadapinya.
Tolok ukur keamanan informasi
adalah tingkat keamanan yang disarankan yang dalam keadaan normal harus menawarkan perlindungan yang cukup terhadap gangguan yang tidak terotorisasi.

A Manajemen Risiko

B kepatuhan terhadap tolok ukur Tolok Ukur Menentukan kebijakan Keamanan informasi Mengimplementasikan Pengendalian

Ancaman (information security threat)
Ancaman keamanan informasi
Adalah orang, organisasi, mekanisme, atau peristiwa yang memiliki potensi untuk membahayakan sumberdaya informasi perusahaan.
Ancaman Internal dan Eksternal
Ancaman internal mencakup bukan hanya karyawan perusahaan, tetapi juga pekerja temporer, konsultan, kontraktor, dan bahkan mitra bisnis perusahaan tersebut.

sedangkan,
Ancaman eksternal adalah ancaman yang di luar perusahaan yang tidak ada hubungannya dengan internal seperti perusahaan lain yang sama produk dengan perusahaan kita atau bisa juga disebut pesaing dalam usaha.

Jenis Ancaman
Virus
Virus hanyalah salah satu contoh jenis peranti lunak yang menyandanng nama peranti lunak yang berbahaya (malicios software). Malicios dan malware, terdiri atas program-program lengkap atau segmen-segmen kode yang dapat menyerang suatu sistem dan melakukan fungsi-fungsi yang tidak di harapkan oleh pemilik sistem. Fungsi-fungsi tersebut dapat menghapus file atau menyebabkan sistem tersebut berhenti. Beberapa jenis peranti lunak uang berbahaya selain virus: worm, trojan horse, adware, dan spyware .

Risiko
Risiko keamanan informasi
di definisikan sebagai potensi output yang tidak di harapkan dari pelanggaran keamanan informasi oleh ancaman keamanan informasi. Risiko-risiko seperti ini di bagi menjadi 4 jenis, yaitu :
1. pengungkapan informasi yang tidak terotoritas dan pencurian.
2. penggunaan yang tidak terotorisasi

3. penghancuran yang tidak terotorisasi dan penolakan pelayanan
4. modifikasi yang tidak terotorisasi.

Persoalan E-commerce
E-commerce (perdagangan elektronik) telah
Memperkenalkan keamanan baru.
Masalah ini bukanlah perlindungan data, informasi,
dan peranti lunak, tapi perlindungan
dari pemalsuan kartu kredit.
Menurut sebuah survei yang di lakukan oleh gartner group, pemalsuan kartu kredit 12 kali lebih sering terjadi untuk para peritel

e-commerce di bandingkan dengan para pedagang yang berurusan dengan pelanggan mereka secara langsung. Untuk mengatasi masalah ini, perusahaan-perusahaan kartu kredit yang utama telah mengimplementasikan program yang di tujukan secara khusus untuk keamanan kartu kredit e-commerce .

Kartu kredit “sekali pakai”
Pada september 2000, American Express mengumumkan sebuah kartu kredit “sekali pakai”.
Kartu ini bekerja dengan cara :
saat pemegang kartu ingin membeli sesuatu secara online, ia akan memperoleh angka yang acak dari situs web perusahaan kartu kredit tersebut. Angka inilah, dan bukannya nomor kartu kredit pelanggan tersebut, yang di berikan

kepada pedagang e-commerce , yang kemudian melaporkannya ke perusahaan kartu kredit untuk pembayaran.

Manajemen Risiko
Manajemen risiko di identifikasi sebagai satu dari dua strategi untuk mencapai keamanan informasi.
Pendefinisian risiko terdiri atas empat langkah, yaitu:
1. identifikasi aset-aset bisnis yang harus di lindungi dari risiko.
2. menyadari risikonya.

3. menentukan tingkatan dampak pada perusahaan jika risiko benar-benar terjadi.
4. menganalisis kelemahan perusahaan tersebut.

Tingkat dampak dan kelemahan menentukan pengendalian Dampak parah Dampak signifikan Dampak minor Kelemahan tingkat tinggi Melaksanakan analisis kelemahan. Harus meningkatkan pengendalian Melaksanakan analisis kelemahan. Harus meningkatkan pengendalian. Analisis kelemahan tidak di butuhkna Kelemahan tingkat menengah Melaksanakan analisis kelemahan. Sebaiknya meningkat kan pengendslian Melaksanakan analisis kelemahan. Sebaiknya meningkat kan pengendalian Analisis kelemahan tidak di butuhkan Kelemahan tingkat rendah Melaksnakan analisis kelemahan. Menjaga pengendalian tetap ketat. Melaksanakan analisis kelemahan. Menjaga pengendalian tetap ketat Analisis kelemahan tidak di bbutuhkan

Kebijakan keamanan informasi
suatu kebijakan keamanan harus di terapkan untuk mengarahkan keseluruhan program. Disini perusahaan menerapkan kebijakan keamanan dengan mengikuti pendekatan lima fase implementasi kebijakan keamanan, yaitu:
Fase -1 inisiasi proyek
Fase -2 penyusunan kebijakan
Fase -3 konsultasi dan persetujuan
Fase -4 kesadaran dan edukasi
Fase -5 penyebarluasan kebijakan

Kebijakan terpisah dikembangkan untuk
Keamanan sistem informasi
Pengendalian akses sistem
Keamanan personel
Keamanan lingkungan dan fisik
Keamanan komunikasi data
Klasifikasi informasi
Perencanaan kelangsungan usaha
Akuntabilitas manajemen

Pengendalian
Pengendalian (control)
adalah mekanisme yang di terapkan baik untuk melindungi perusahaan dari risiko atau untuk meminimalkan dampak risiko tersebut pada perusahaan jika risiko tersebut terjadi.
pengendalian di bagi menjadi tiga (3) kategori, yaitu :
1. teknis
2. formal
3. informal

PENGENDALIAN TEKNIS (technical control)
adalah pengendalian yang menjadi satu di dalam sistem dan di buat oleh para penyusun sistem selama masa siklus penyusunan sistem.
Biasanya pengendalian keamanan di buat berdasarkan teknologi peranti keras dan lunak. Yang paling populer akan di jelakan sbb:

1. Pengendalian akses
dasar untuk keamanan melawan ancaman yang di lakukan oleh orang-orang yang tidak diotorisasi.
pengendalian akses di lakukan melalui proses tiga tahap yang mencakup :
1. Identifikasi pengguna
para pengguna pertama-tama mengidentifikasi diri mereka dengan cara memberikan sesuatu yang mereka ketahui, misalnya kata sandi.

2. Otentikasi pengguna
setelah identifikasi awal di lakukan, para pengguna memverifikasi akses dengan cara memberikan sesuatu yang mereka miliki, seperti smart card atau tanda tertentu atau chip identifikasi.
3. Otorisasi pengguna
setelah pemeriksaan identifikasi dan otentikasi di lalui, seseorang kemudian dapat mendapatkan otorisasi untuk memasuki tingkat atau derajat penggunaan tertentu.

2. Sistem deteksi gangguan
mengenali upaya pelanggaran keamanan sebelum memiliki kesempatan untuk melakukan perusakan. Contohnya : peranti lunak proteksi virus yang terbukti efektif melawan virus yang terkirim melalui e-mail.
3. Firewall
pendekatan membangun dinding pelindung. Yang berfungsi sebagai penyaring dan penghalang yang membatasi aliran data ke dan dari perusahaan tersebut dan internet.

4. Pengendalian kriptografis
data dan informasi yang tersimpan dan di transmisikan dapat di lindungi dari pengungkapan yang tidak terotorisasi dengan kriptografi, yaitu penggunaan kode yang menggunakan proses-proses matemetika.
5. Pengendalian fisik
peringatan pertama yang tidak terotorisasi adalah mengunci pintu ruangan komputer.
6. Meletakkan pengendalian teknis pada tempatnya

PENGENDALIAN FORMAL
pengendalian formal mencakup penetuan cara berperilaku, dokumentasi prosedur dan praktik yang di harapkan, dan pengawasan serta pencegahan perilaku yang berbeda dari panduan yang berlaku.
PENGENDALIAN INFORMAL
pengendalian informal mencakup program-program pelatihan dan edukasi serta pembangunan manajemen.

Dukungan pemerintah dan Indutri
beberapa organisasi pemerintah dan international telah menentukan standar-standar yang di tujukan untuk menjadi panduan bagi organisasi yang ingin mendapatkan keamanan informasi. Beberapa standar ini membentuk tolok ukur, yang telah di identifikasi sebelumnya sebagai penyedia strategi alternatif untuk manajemen risiko.

Berikut ini adalah beberapa contohnya :
1. BS7799 milik Inggris
2. BSI IT baseline protection manual
3. COBIT
4. GASSP ( Generally Accepted System Security Principles )
5. ISF Standard of good practice

Standar Indutri
The centre for internet security (CIS) adalah organisasi nirlaba yang di dedikasikan untuk membantu para pengguna komputer guna membuat sistem mereka lebih aman.

Sertifikasi profesional
Mulai tahun 1960-an, profesi TI mulai menawarkan program sertifikasi. 3 contoh mengilustrasikan cakupan dari program ini:
1. Asosiasi Audit Sistem dan pengendalian
2. konsorsium sertifikasi keamanan sistem informasi internasional
3. Institut SANS

Meletakkan manajemen keamanan informasi pada tempatnya
Perusahaan harus merencanakan kebijakan manajemen keamanan informasi sebelum menempatkan pengendalian
Manajemen keberlangsungan bisnis
Aktifitas yang di tujukan untuk menentukan operasional setelah terjadi gangguan sistem informasi.

Recana darurat
Rencana darurat (emergency plan) menyebutkan cara-cara yang akan menjaga keamanan karyawan jika bencana terjadi. Cara-cara ini mencakup sistem alarm, prosedur evakuasi, dan sistem pemadaman api.
Rencana cadangan
Perusahaan harus mmengatur agar fasilitas komputer cadangan tersedia seandainya fasilitas yang biasa hnacur dan rusak sehingga tidak dapat di gunakan. Cadangan dapat di peroleh melalui kombinasi rekundasi, keberagaman, & mobilitas.

Rencana catatan penting
Catatan penting (vital record) perusahaan adalah dokumen kertas, mikroform, dan media penyimpanan optis dan magnetis yang penting untuk meneruskan bisnis perusahaan tersebut. Dan menentukan cara bagaimana catatan penting tersebut harus di lindungi.

Kesimpulan
Dimasa sekarang banyak perusahaan mencari keamanan sistem informasi yang tidak menghambat ketersediaan informasi bagi pihak-pihak yang mmemiliki otorisasi untuk mendapatkannya. Ppemerintah mencari keamanan sistem yang tidak melanggar hak pribadi perorangan. Hal-hal ini adalah keseimbangan yang sulit untuk di dapat.

Terima Kasih
Atas Perhatiannya

Bab 9 (22 slide)

by syaqiraqueensha

Accessibility

Upload Details

Usage Rights

1 Embed 20

Statistics

Bab 9 (22 slide) Presentation Transcript