Dokumen ini membahas tentang keamanan informasi dan manajemen risiko yang penting bagi organisasi untuk melindungi data dan sumber daya informasi dari ancaman internal dan eksternal. Terdapat penjelasan mengenai kebijakan keamanan informasi, pengendalian teknis, formal, dan informal, serta metodologi untuk mengidentifikasi dan mengatasi risiko. Penekanan pada pentingnya perencanaan kontinjensi dan kerjasama dengan pihak terkait untuk menjaga keamanan informasi menjadi sorotan utama dalam dokumen ini.

1. SISTEM INFORMASI MANAJEMEN BAB 9 KEAMANAN INFORMASI

2. NAMA KELOMPOK 4 : KELAS III-B Yuliani (021109067) Zeldy Diwanto (021109045) Firman Supriyat (0211090) Asep Septriyanto Ribowo (021109055 )

3. TUJUAN BELAJAR Memahami kebutuhan organisasi akan keamanan dan pengendalian Memahami bahwa keamanan informasi berkaitan dengan keamanan semua sumber daya informasi, bukan hanya peranti keras dan data. Memahami 3 tujuan utama keamanan informasi Memahami bahwa menejemen keamanan informasi terdiri atas 2 area: manajemen keamanan informasi (ISM) dan manajemen keberlangsungan bisnis (BCM)

4. Melihat hubungan yang logis antara ancaman, risiko, dan pengendalian. Memahami apa saja ancaman keamanan yang utama Memahami apa saja risiko keamanan yang utama Mengenali berbagai kekhawatiran keamanan e-commer dan bagaimana perudahaan-perusahaan kartu kredit mengatasinya Mengenali cara formal melakukan manajemen risiko

5. Mengetahui proses implementasi kebijakan keamanan informasi Mengenali cara-cara pengendalian keamanan yan populer Mengetahui tindakan-tindakan pemerintah dan kalangan industri yang memengaruhi keamanan informasi Mengetahui cara mendapatkan sertifikasi profesional dalam keamanan dan pengendalian Mengetahui jenis-jenis rencana yang termasuk dalam perencanann kontinjensi

6. Keamanan Informasi Kemanan Informasi Di gunakan untuk mendeskripsikan perlindungan baik peralatan komputer maupun non komputer, fasilitas, data, dan informasi dari penyalahgunaan pihak-lpihak yang tidak berwenang.

7. Tujuan keamanan informasi - Kerahasiaan perusahaan berusaha untuk melindungi data dan informasinya dari pengungkapan kepada orang-orang yang tidak berwenang contohnya: piutang dagang, pembeian, dan utang dagang.

8. Ketersediaan adalah menyediakan data dan informasi sedia bagi pihak-pihak yang memiliki wewenang untuk menggunakannya contohnya: sistem informasi sumber daya manusia dan sistem informasi eksekutif - Integritas semua sistem informasi harus memberikan representasi akurat atas sistem fisik yang di representasikannya.

9. keamanan informasi Aktifitas untuk menjaga agar sumber daya informasi tetap aman. sedangkan, aktifitas untuk menjaga agar perusahaan dan sumber daya inflormasinya tetap berfungsi setelah adanya bencana di sebut manajemen keberlangsungan bisnis.

10. Manajemen Keamanan Informasi Manajemen Informasi terdiri dari 4 tahap : 1. Mengidentifikasi ancaman yang dapat menyerang sumber daya informasi perusahaan 2. Mendefinisikan resiko yang dapat di sebabkan oleh ancaman-ancaman tersebut. 3. Menentukan kebijakan keamanan dan informasi. 4. Mengimplementasikan pengendalian untuk mengatasi resiko-resiko tersebut .

11. Manajemen Risiko (risk manajemen) di buat untuk menggambarkan pendekatan ini dimana tingkat keamanan sumber daya informasi perusahaan di bandingkan dengan risiko yang di hadapinya. Tolok ukur keamanan informasi adalah tingkat keamanan yang disarankan yang dalam keadaan normal harus menawarkan perlindungan yang cukup terhadap gangguan yang tidak terotorisasi.

12. A Manajemen Risiko

13. B kepatuhan terhadap tolok ukur Tolok Ukur Menentukan kebijakan Keamanan informasi Mengimplementasikan Pengendalian

14. Ancaman (information security threat) Ancaman keamanan informasi Adalah orang, organisasi, mekanisme, atau peristiwa yang memiliki potensi untuk membahayakan sumberdaya informasi perusahaan. Ancaman Internal dan Eksternal Ancaman internal mencakup bukan hanya karyawan perusahaan, tetapi juga pekerja temporer, konsultan, kontraktor, dan bahkan mitra bisnis perusahaan tersebut.

15. sedangkan, Ancaman eksternal adalah ancaman yang di luar perusahaan yang tidak ada hubungannya dengan internal seperti perusahaan lain yang sama produk dengan perusahaan kita atau bisa juga disebut pesaing dalam usaha.

16. Jenis Ancaman Virus Virus hanyalah salah satu contoh jenis peranti lunak yang menyandanng nama peranti lunak yang berbahaya (malicios software). Malicios dan malware, terdiri atas program-program lengkap atau segmen-segmen kode yang dapat menyerang suatu sistem dan melakukan fungsi-fungsi yang tidak di harapkan oleh pemilik sistem. Fungsi-fungsi tersebut dapat menghapus file atau menyebabkan sistem tersebut berhenti. Beberapa jenis peranti lunak uang berbahaya selain virus: worm, trojan horse, adware, dan spyware .

17. Risiko Risiko keamanan informasi di definisikan sebagai potensi output yang tidak di harapkan dari pelanggaran keamanan informasi oleh ancaman keamanan informasi. Risiko-risiko seperti ini di bagi menjadi 4 jenis, yaitu : 1. pengungkapan informasi yang tidak terotoritas dan pencurian. 2. penggunaan yang tidak terotorisasi

18. 3. penghancuran yang tidak terotorisasi dan penolakan pelayanan 4. modifikasi yang tidak terotorisasi.

19. Persoalan E-commerce E-commerce (perdagangan elektronik) telah Memperkenalkan keamanan baru. Masalah ini bukanlah perlindungan data, informasi, dan peranti lunak, tapi perlindungan dari pemalsuan kartu kredit. Menurut sebuah survei yang di lakukan oleh gartner group, pemalsuan kartu kredit 12 kali lebih sering terjadi untuk para peritel

20. e-commerce di bandingkan dengan para pedagang yang berurusan dengan pelanggan mereka secara langsung. Untuk mengatasi masalah ini, perusahaan-perusahaan kartu kredit yang utama telah mengimplementasikan program yang di tujukan secara khusus untuk keamanan kartu kredit e-commerce .

21. Kartu kredit “sekali pakai” Pada september 2000, American Express mengumumkan sebuah kartu kredit “sekali pakai”. Kartu ini bekerja dengan cara : saat pemegang kartu ingin membeli sesuatu secara online, ia akan memperoleh angka yang acak dari situs web perusahaan kartu kredit tersebut. Angka inilah, dan bukannya nomor kartu kredit pelanggan tersebut, yang di berikan

22. kepada pedagang e-commerce , yang kemudian melaporkannya ke perusahaan kartu kredit untuk pembayaran.

23. Manajemen Risiko Manajemen risiko di identifikasi sebagai satu dari dua strategi untuk mencapai keamanan informasi. Pendefinisian risiko terdiri atas empat langkah, yaitu: 1. identifikasi aset-aset bisnis yang harus di lindungi dari risiko. 2. menyadari risikonya.

24. 3. menentukan tingkatan dampak pada perusahaan jika risiko benar-benar terjadi. 4. menganalisis kelemahan perusahaan tersebut.

25. Tingkat dampak dan kelemahan menentukan pengendalian Dampak parah Dampak signifikan Dampak minor Kelemahan tingkat tinggi Melaksanakan analisis kelemahan. Harus meningkatkan pengendalian Melaksanakan analisis kelemahan. Harus meningkatkan pengendalian. Analisis kelemahan tidak di butuhkna Kelemahan tingkat menengah Melaksanakan analisis kelemahan. Sebaiknya meningkat kan pengendslian Melaksanakan analisis kelemahan. Sebaiknya meningkat kan pengendalian Analisis kelemahan tidak di butuhkan Kelemahan tingkat rendah Melaksnakan analisis kelemahan. Menjaga pengendalian tetap ketat. Melaksanakan analisis kelemahan. Menjaga pengendalian tetap ketat Analisis kelemahan tidak di bbutuhkan

26. Kebijakan keamanan informasi suatu kebijakan keamanan harus di terapkan untuk mengarahkan keseluruhan program. Disini perusahaan menerapkan kebijakan keamanan dengan mengikuti pendekatan lima fase implementasi kebijakan keamanan, yaitu: Fase -1 inisiasi proyek Fase -2 penyusunan kebijakan Fase -3 konsultasi dan persetujuan Fase -4 kesadaran dan edukasi Fase -5 penyebarluasan kebijakan

27. Kebijakan terpisah dikembangkan untuk Keamanan sistem informasi Pengendalian akses sistem Keamanan personel Keamanan lingkungan dan fisik Keamanan komunikasi data Klasifikasi informasi Perencanaan kelangsungan usaha Akuntabilitas manajemen

28. Pengendalian Pengendalian (control) adalah mekanisme yang di terapkan baik untuk melindungi perusahaan dari risiko atau untuk meminimalkan dampak risiko tersebut pada perusahaan jika risiko tersebut terjadi. pengendalian di bagi menjadi tiga (3) kategori, yaitu : 1. teknis 2. formal 3. informal

29. PENGENDALIAN TEKNIS (technical control) adalah pengendalian yang menjadi satu di dalam sistem dan di buat oleh para penyusun sistem selama masa siklus penyusunan sistem. Biasanya pengendalian keamanan di buat berdasarkan teknologi peranti keras dan lunak. Yang paling populer akan di jelakan sbb:

30. 1. Pengendalian akses dasar untuk keamanan melawan ancaman yang di lakukan oleh orang-orang yang tidak diotorisasi. pengendalian akses di lakukan melalui proses tiga tahap yang mencakup : 1. Identifikasi pengguna para pengguna pertama-tama mengidentifikasi diri mereka dengan cara memberikan sesuatu yang mereka ketahui, misalnya kata sandi.

31. 2. Otentikasi pengguna setelah identifikasi awal di lakukan, para pengguna memverifikasi akses dengan cara memberikan sesuatu yang mereka miliki, seperti smart card atau tanda tertentu atau chip identifikasi. 3. Otorisasi pengguna setelah pemeriksaan identifikasi dan otentikasi di lalui, seseorang kemudian dapat mendapatkan otorisasi untuk memasuki tingkat atau derajat penggunaan tertentu.

32. 2. Sistem deteksi gangguan mengenali upaya pelanggaran keamanan sebelum memiliki kesempatan untuk melakukan perusakan. Contohnya : peranti lunak proteksi virus yang terbukti efektif melawan virus yang terkirim melalui e-mail. 3. Firewall pendekatan membangun dinding pelindung. Yang berfungsi sebagai penyaring dan penghalang yang membatasi aliran data ke dan dari perusahaan tersebut dan internet.

33. 4. Pengendalian kriptografis data dan informasi yang tersimpan dan di transmisikan dapat di lindungi dari pengungkapan yang tidak terotorisasi dengan kriptografi, yaitu penggunaan kode yang menggunakan proses-proses matemetika. 5. Pengendalian fisik peringatan pertama yang tidak terotorisasi adalah mengunci pintu ruangan komputer. 6. Meletakkan pengendalian teknis pada tempatnya

34. PENGENDALIAN FORMAL pengendalian formal mencakup penetuan cara berperilaku, dokumentasi prosedur dan praktik yang di harapkan, dan pengawasan serta pencegahan perilaku yang berbeda dari panduan yang berlaku. PENGENDALIAN INFORMAL pengendalian informal mencakup program-program pelatihan dan edukasi serta pembangunan manajemen.

35. Dukungan pemerintah dan Indutri beberapa organisasi pemerintah dan international telah menentukan standar-standar yang di tujukan untuk menjadi panduan bagi organisasi yang ingin mendapatkan keamanan informasi. Beberapa standar ini membentuk tolok ukur, yang telah di identifikasi sebelumnya sebagai penyedia strategi alternatif untuk manajemen risiko.

36. Berikut ini adalah beberapa contohnya : 1. BS7799 milik Inggris 2. BSI IT baseline protection manual 3. COBIT 4. GASSP ( Generally Accepted System Security Principles ) 5. ISF Standard of good practice

37. Standar Indutri The centre for internet security (CIS) adalah organisasi nirlaba yang di dedikasikan untuk membantu para pengguna komputer guna membuat sistem mereka lebih aman.

38. Sertifikasi profesional Mulai tahun 1960-an, profesi TI mulai menawarkan program sertifikasi. 3 contoh mengilustrasikan cakupan dari program ini: 1. Asosiasi Audit Sistem dan pengendalian 2. konsorsium sertifikasi keamanan sistem informasi internasional 3. Institut SANS

39. Meletakkan manajemen keamanan informasi pada tempatnya Perusahaan harus merencanakan kebijakan manajemen keamanan informasi sebelum menempatkan pengendalian Manajemen keberlangsungan bisnis Aktifitas yang di tujukan untuk menentukan operasional setelah terjadi gangguan sistem informasi.

40. Recana darurat Rencana darurat (emergency plan) menyebutkan cara-cara yang akan menjaga keamanan karyawan jika bencana terjadi. Cara-cara ini mencakup sistem alarm, prosedur evakuasi, dan sistem pemadaman api. Rencana cadangan Perusahaan harus mmengatur agar fasilitas komputer cadangan tersedia seandainya fasilitas yang biasa hnacur dan rusak sehingga tidak dapat di gunakan. Cadangan dapat di peroleh melalui kombinasi rekundasi, keberagaman, & mobilitas.

41. Rencana catatan penting Catatan penting (vital record) perusahaan adalah dokumen kertas, mikroform, dan media penyimpanan optis dan magnetis yang penting untuk meneruskan bisnis perusahaan tersebut. Dan menentukan cara bagaimana catatan penting tersebut harus di lindungi.

42. Kesimpulan Dimasa sekarang banyak perusahaan mencari keamanan sistem informasi yang tidak menghambat ketersediaan informasi bagi pihak-pihak yang mmemiliki otorisasi untuk mendapatkannya. Ppemerintah mencari keamanan sistem yang tidak melanggar hak pribadi perorangan. Hal-hal ini adalah keseimbangan yang sulit untuk di dapat.

43. Terima Kasih Atas Perhatiannya