Pengendalian dan Keamanan Informasi

Trust Services Framework mengatur pengendalian TI ke dalam 5 prinsip yang berkontribusi secara bersamaan terhadap keandalan sistem:

1. Keamanan (security) - akses (baik fisik maupun logis) terhadap sistem dan data di dalamnya dikendalikan serta terbatas untuk pengguna yang sah.
2. Kerahasiaan (cinfidentiality) - informasi keorganisasian yang sensitif (seperti rencana pemasaran, rahasia dagang) terlindungi dari pengungkapan yang tanpa izin.
3. Privasi (privacy) - informasi pribadi tentang pelanggan, pegawai, pemasok, atau rekan kerja hanya dikumpulkan, digunakan, diungkapkan, dan dikelola sesuai dengan kepatuhan terhadap kebijakan internal dan persyaratan peraturan eksternal serta terlindungi dari pengungkapan yang tanpa izin.
4. Integritas Pemrosesan (processing integrity) - data diproses secara akurat, lengkap, tepat waktu, dan hanya dengan otorisasi yang sesuai.
5. Ketersediaan (availability) - sistem dan informasinya tersedia untuk memenuhi kewajiban operasionaldan kontraktual.

DUA KONSEP KEAMANAN INFORMASI FUNDAMENTAL

Keamanan merupakan masalah manajemen, bukan hanya masalah teknologi

Manajemen harus secara periodik menilai ulang respons risiko organisasi dan, ketika diperlukan, membuat perubahan terhadap kebijakan keamanan informasi serta berinvestasi pada solusi baru untuk memastikan bahwa upaya keamanan informasi organisasi mendukung strategi bisnisnya secara konsisten dengan kebutuhan risiko manajemen.

Defense-In-Depth dan model keamanan informasi berbasis waktu

Defense-in-depth adalah penggunaan berbagai lapisan pengendalian untuk menghindari satu poin kegagalan. Defense-in-depth secara khusus melibatkan penggunaan sebuah kombinasi dari pengendalian preventif, detektif, dan korektif. Peran pengendalian preventif adalah untuk membatasi tindakan individu tertentu agar sesuai dengan kebijakan keamanan organisasi. Tujuan dari model keamanan berbasis waktu (time-based model of security) adalah menggunakan kombinasi perlindungan preventif, detektif, korektif yang melindungi aset informasi cukup lama agar memungkinkan organisasi untuk menggagalkannya sebelum informasi hilang atau dirusak. Tujuan ini dapat ditunjukkan dengan sebuah formula yang menggunakan 3 variabel berikut:

P = waktu yang diperlukan seorang penyerang untuk menerobos pengendalian preventif organisasi.

D = waktu yang diperlukan untuk mendeteksi bahwa sebuah serangan sedang dalam proses.

C = waktu yang diperlukan untuk merespon serangan dan mengambil tindakan korektif.

Ketiga variabel tersebut kemudian dievaluasi seperti berikut: Jika P>D+C, maka prosedur keamanan organisasi efektif. Jika kebalikannya, keamanan tidaklah efektif.

MEMAHAMI SERANGAN YANG DITARGETKAN

Langkah-langkah dasar yang dilakukan para penjahat untuk menyerang sistem informasi suatu perusahaan:

1. Melakukan pengintaian (conduct reconnaissance). Tujuan pengintaian awal adalah untuk mempelajari sebanyak mungkin tentang target serta mengidentifikasikan kerentanan potensial.
2. Mengupayakan rekayasa sosial (attemp social engineering). Rekayasa sosial menggunakan tipuan untuk mendapatkan akses tanpa izin terhadap sumber daya informasi. Rekayasa sosial dapat terjadi melalui banyak cara, hanya dibatasi oleh kreativitas dan imajinasi penyerang. Serangan rekayasa sosial biasanya terjadi melalui telepon, serangan rekayasa sosial juga dapat terjadi melalui e-mail.
3. Memindai dan memetakan target (scan and map the target). Penyerang menggunakan berbagai alat otomatis untuk mengidentifikasi komputer yang dapat dikendalikan dari jarak jauh serta berbagai jenis perangkat lunak yang mereka jalankan.
4. Penelitian (research). Untuk menemukan kerentanan yang terdeteksi pada program-program tersebut serta mempelajari bagaimana memanfaatkan kerentanan tersebut.
5. Mengeksekusi serangan (execute the attack). Penyerang memanfaatkan kerentanan untuk mendapatkan akses tanpa izin terhadap sistem informasi target.
6. Menutupi jejak (cover tracks). Sebagian besar penyerang berupaya untuk menutupi jejak mereka dan menciptakan "pintu belakang" yang dapat mereka gunakan untuk mendapatkan akses jika serangan awal mereka diketahui dan pengendalian diimplementasikan untuk mengeblok metode entri tersebut.

PENGENDALIAN PREVENTIF

Pengendalian Preventif secara umum digunakan organisasi untuk membatasi akses terhadap sumber daya informasi.

Orang-orang: Penciptaan sebuah budaya "Sadar Keamanan"

Untuk menciptakan sebuah budaya sadar keamanan agar para pegawai mematuhi kebijakan keorganisasian, manajemen puncak tidak hanya harus mengomunikasikan kebijakan keamanan organisasi, tetapi juga harus memandu dengan mencontohkannya.

Orang-orang: Pelatihan

COBIT 5 mengidentifikasi kemampuan dan kompetensi pegawai sebagai sebuah fasilitator kritis lainnya untuk keamanan informasi yang efektif. Para pegawai harus memahami cara untuk mengikuti kebijakan keamanan organisasi. Oleh karena itu, pelatihan adalah sebuah pengendalian preventif yang kritis. Bahkan, pentingnya hal tersebut tercermin dalam fakta bahwa pelatihan kesadaran keamanan dibahas sebagai sebuah praktik utama guna mendukung beberapa dari 32 proses manajemen COBIT5.

Proses: Pengendalian Akses Pengguna

Praktik manajemen COBIT5 DSS05.04 menekankan perlunya pengendalian untuk mengelola identitas pengguna dan akses logis, sehingga memungkinkan identifikasi secara khusus siapa saja yang mengakses sistem informasi organisasi serta melacak tindakan yang mereka lakukan. Penerapan praktik manajemen DSS05.04 ini melibatkan penggunaan atas dua jenis pengendalian akses pengguna yang saling berhubungan, tetapi berbeda:

--Pengendalian Autentikasi (authentication) adalah proses verifikasi identitas seseorang atau perangkat yang mencoba untuk mengakses sistem. Tujuannya untuk memastikan bahwa hanya pengguna sah yang dapat mengakses sistem. Tiga jenis tanda bukti yang dapat digunakan untuk memverifikasi identitas seseorang:

1. Sesuatu yang mereka ketahui, seperti kata sandi atau personal identification number (PIN).
2. Sesuatu yang mereka miliki, seperti kartu pintar atau badge ID.
3. Beberapa karakteristik fisik atau perilaku (disebut dengan pengidentifikasi biometri/biometric identifier), seperti sidik jari atau pola tulisan.

--Pengendalian Otorisasi (authorization) adalah proses dari memperketat akses dari pengguna sah terhadap bagian spesifik sistem dan membatasi tindakan-tindakan apa saja yang diperbolehkan untuk dilakukan. Tujuannya adalah untuk menyusun hak serta keistimewaan setiap pegawai dengan cara menetapkan dan mengelola pemisahan tugas yang tepat.

Pengendalian otorisasi biasanya diimplementasikan dengan menciptakan matriks pengendalian akses (access control matrix). Kemudian, ketika seorang pegawai berusaha mengakses sumber daya sistem informasi tersebut, sistem akan melakukan sebuah uji kompatibilitas (compatibility test) yang mencocokkan tanda bukti autentikasi pengguna dengan matriks pengendalian akses untuk menentukan sebaiknya pegawai diizinkan atau tidak untuk mengakses sumber daya dan melakukan tindakan yang diminta.

Solusi TI: Pengendalian Antimalware

Salah satu dari bagian COBIT5 DSS05.01 mendaftar perlindungan malware sebagai salah satu dari kunci keamanan yang efektif, merekomendasikan secara spesifik:

1. Edukasi kesadaran perangkat lunak jahat.
2. Pemasangan alat perlindungan anti-malware pada seluruh perangkat.
3. Manajemen terpusat atas sejumlah patch dan memperbarui perangkat lunak anti-malware.
4. Tinjauan teratur atas ancaman malware baru.
5. Menyaring lalu lintas masuk untuk mengeblok sumber malware potensial.
6. Melatih pegawai untuk tidak memasang perangkat lunak yang dibagikan atau tidak disetujui.

Pertahanan Perimeter: Router, Firewall, dan Sistem Pencegahan Gangguan

Sebuah perangkat yang disebut dengan border router menghubungkan sistem informasi sebuah organisasi ke Internet. Di balik border router terdapat firewall utama, yang dapat menjadi perangkat-perangkat keras bertujuan khusus atau perangkat lunak yang bekerja pada sebuah komputer bertujuan umum yang mengendalikan baik komunikasi masuk maupun keluar antara sistem di balik firewall dan jaringan lainnya. Router adalah perangkat bertujuan khusus yang didesain untuk membaca bagian alamat sumber dan tujuan pada header paket IP untuk memutuskan kemana akan mengirim (rute) paket selanjutnya. Demilitarized zone (DMZ) adalah sebuah jaringan terpisah yang berada di luar sistem informasi internal organisasi serta mengizinkan akses yang dikendalikan dari Internet untuk memilih sumber daya, seperti server jejaring e-commerce organisasi.

Mengamankan Akses Nirkabel

Prosedur-prosedur yang perlu diikuti untuk mengamankan akses nirkabel secara memadai adalah sebagai berikut:

• Menyalakan fitur keamanan yang tersedia.
• Membuktikan keabsahan seluruh perangkat yang digunakan untuk menetapkan akses nirkabel ke jaringan sebelum menentukan sebuah alamat IP untuk mereka.
• Mengatur seluruh perangkat nirkabel terotorisasi agar hanya beroperasi pada modus infrastruktur yang memaksa perangkat untuk hanya terhubung ke titik akses nirkabel.
• Menggunakan nama yang noninformatif sebagai alamat titik akses yang disebut dengan service set identifier (SSID).
• Mengurangi kekuatan publikasi dari titik akses nirkabel, menempatkannya pada interior gedung, dan menggunakan antena pengarahan untuk membuat penerimaan lokal tanpa izin menjadi lebih sulit.
• Mengenkripsi seluruh lalu lintas nirkabel.

Solusi TI: Pengendalian Pengukuhan Peralatan dan Perangkat Lunak

Tiga area yang berhak mendapatkan perhatian lebih:

• Konfigurasi Endpoint. Endpoint adalah istilah kolektif untuk stasiun kerja, server, printer, dan perangkat lain yang meliputi jaringan organisasi. Endpoint dapat dibuat lebih aman dengan memodifikasi konfigurasinya. Setiap program yang berjalan menunjukkan sebuah titik serangan potensial karena ia kemungkinan memiliki kerusakan, disebut kerentanan (vulnerabilities) yang dapat dimanfaatkan baik untuk merusak sistem maupun mengambil keandilannya. Alat-alat yang disebut pemindai kerentanan (vulnerabilities scanners) dapat digunakan untuk mengidentifikasi program yang tidak digunakan, sehingga tidak memerlukan program yang menunjukkan ancaman keamanan potensial. Proses memodifikasi konfigurasi dasar endpoint untuk mengeliminasi pengaturan dan layanan yang tidak diperlukan disebut pengukuhan (hardening).
• Manajemen Akun Pengguna. Praktik manajemen COBIT5 DSS05.04 menekankan kebutuhan untuk secara hati-hati mengelola seluruh akun pengguna, terutama akun-akun yang memiliki hak tak terbatas (administratif) pada komputer.
• Desain Perangkat Lunak. Kerangka COBIT5 menspesifikasikan kebutuhan untuk mendesain keamanan secara cemat ke dalam seluruh aplikasi baru dan bagian lain dari kerangka COBIT5 menyarankan praktik-praktik terbaik untuk mengelola risiko terkait dengan pembelian perangkat lunak.

Solusi TI: Enkripsi

Enkripsi memberikan sebuah lapisan pertahanan terakhir untuk mencegah akses tanpa izin terhadap informasi sensitif.

Pengendalian Perubahan dan Manajemen Perubahan (change control and change management)

Mengarah pada proses formal yang digunakan untuk memastikan bahwa modifikasi pada perangkat keras, perangkat lunak, atau pada proses tidak mengurangi keandalan sistem.

Beberapa karakteristik proses pengendalian perubahan dan manajemen perubahan yang di desain dengan baik melibatkan:

• Dokumentasi seluruh permintaan perubahan, pengidentifikasian sifat perubahan, rasionalitasnya, tanggal permintaan, dan hasil permintaan.
• Persetujuan terdokumentasi atas seluruh permintaan perubahan dilakukan oleh tingkat manajemen yang sesuai.
• Pengujian seluruh perubahan menggunakan sebuah sistem yang terpisah, bukan hanya yang digunakan untuk proses bisnis harian.
• Pengendalian konversi memastikan bahwa data ditransfer secara akurat dan lengkap dari sistem lama ke sistem baru.
• Pembaruan seluruh dokumentasi (instruksi program, deskripsi sistem, manual prosedur, dsb) untuk menunjukkan implementasi perubahan terbaru.
• Sebuah proses khusus untuk peninjauan, persetujuan, dan dokumentasi secara tepat waktu atas "perubahan darurat" segera setelah krisis terjadi.
• Pengembangan dan dokumentasi rencana "mundur" untuk mempermudah pengembalian ke konfigurasi sebelumnya jika perubahan baru menciptakan masalah yang tidak diharapkan.
• Pengawasan dan peninjauan dengan cermat atas hak dan keistimewaan pengguna selama proses perubahan untuk memastikan bahwa pemisahan tugas yang sesuai telah ditetapkan.

PENGENDALIAN DETEKTIF

Empat jenis pengendalian detektif : analisis log, sistem deteksi gangguan, pengujian penetrasi, dan pengawasan berkelanjutan.

• Analisis Log (log analysis) adalah proses pemeriksaan log untuk mengidentifikasi bukti kemungkinan serangan. Analisis log tentunya memerlukan pertimbangan manusia untuk mengartikan laporan dan mengidentifikasi situasi yang tidak "normal".
• Sistem Deteksi Gangguan (intrusion detection system--IDS) jaringan terdiri atas satu set sensor dan unit pengawasan pusat (central monitoring unit) yang menghasilkan log dari seluruh lalu lintas jaringan yang diizinkan untuk melewati firewall dan kemudian menganalisis log-log tersebut sebagai tanda atas gangguan yang diupayakan atau yang berhasil dilakukan. IDS hanya menghasilkan sebuah tanda peringatan ketika ia mendeteksi sebuah pola mencurigakan pada lalu lintas jaringan, kemudian terserah pada manusia yang bertanggung jawab untuk mengawasi IDS untuk memutuskan jenis tindakan apa yang akan diambil.
• Pengujian Penetrasi (penetration test) adalah sebuah upaya terotorisasi oleh baik tim audit internal maupun kantor konsultasi keamanan eksternal untuk menerobos ke dalam sistem informasi organisasi.
• Pengawasan Berkelanjutan - Praktik manajemen COBIT5 menekankan pentingnya pengawasan berkelanjutan dan kepatuhan pegawai terhadap kebijakan keamanan informasi organisasi serta kinerja keseluruhan proses bisnis. Para akuntan dapat memberikan nilai dengan penggambaran pada pembahasan COBIT5 mengenai metrik yang memungkinkan untuk mengevaluasi keamanan informasi guna membantu manajemen mendesain laporan efektif yang menekankan area yang paling memerlukan perhatian.

PENGENDALIAN KOREKTIF

Tiga pengendalian korektif yang penting yaitu:

1. Pembetukan sebuah tim perespon insiden komputer (Computer Incident Response Team--CIRT).

2. Pendesainan individu khusus (Chief Information Security Officer--CISO).

3. Penetapan serta penerapan sistem manajemen path yang didesain dengan baik.

Computer Incident Response Team (CIRT)

Sebuah komponen utama agar mampu merespons insiden keamanan dengan tepat dan efektif adalah penetapan sebuah tim perespons insiden komputer.

Sebuah CIRT harus mengarahkan proses respons insiden organisasi melalui empat tahapan berikut:

1. Pemberitahuan (recognition) adanya sebuah masalah.
2. Penahanan (containment) masalah.
3. Pemulihan (recovery).
4. Tindak lanjut (follow up).

Chief Information Security Officer (CISO)

CISO harus memiliki tanggung jawab untuk memastikan bahwa penilaian kerentanan dan risiko dilakukan secara teratur serta audit keamanan dilakukan secara periodik. CISO juga perlu bekerja sama dengan pihak yang berwenang atas keamanan fisik, karena akses fisik tanpa izin dapat memungkinkan penyusup untuk menerobos pengendalian akses logis yang paling rumit.

Manajemen Patch

Setelah sebuah kerentanan teridentifikasi, penting untuk mengambil langkah secara tepat waktu untuk memperbaikinya karena hal tersebut tidak akan bertahan lama sebelum sebuah exploit muncul, yaitu sebuah program yang didesain untuk memanfaatkan adanya kerentanan yang terdeteksi.

Manajemen Patch (patch management) adalah proses untuk secara teratur menerapkan patch dan memperbarui seluruh perangkat lunak yang digunakan oleh organisasi.

Patch adalah kode yang dirilis oleh pengembang perangkat lunak untuk memperbaiki kerentanan tertentu.