KEAMANAN SISTEM

1. KEAMANAN SISTEM ISO 17799 sebagai standar dalam penyusunan dokumen kebijakan keamanan TI

2. #Agenda • Overview ISO 17799 • Point-point yang tercakup dalam ISO 17799

3. Dokumen Kebijakan Keamanan • Dokumen kebijakan keamanan perlu dibuat sebagai obyektif kontrol dari kelemahan-kelemahan yang terdapat pada sebuah sistem dan bagaimana mengatasi kelemahan-kelemahan tersebut. • Selain itu dokumen kebijakan keamanan akan berguna sebagai panduan dan petunjuk bagi manajemen perusahaan untuk menerapkan kebijakan keamanan. • http://www.dir.state.tx.us.

4. Referensi Standar Keamanan Informasi • Penyusunan kebijakan keamanan dibuat menggunakan referensi dari beberapa standar keamanan informasi internasional yang disesuaikan dengan kondisi bisnis dan organisasi PT X. • Referensi standar keamanan informasi tersebut adalah: • ISO 17799 • RUSecure Information Security Policy Reference Manual

5. SANS (SysAdmin, Audit, Network, Security) Institute • The State of Texas Department of Information Resources

6. Overview ISO 17799 • Standar internasional ISO/IEC 17799 sebelumnya dikenal sebagai BS 7799 • Draft ISO 17799 disusun oleh ISO(International Organization for Standardization) dan EIC(International Electrotechnical Commision) • Dalam bidang IT, ISO dan EIC membentuk sebuah joint technical commitee yang disebut ISO/EIC JTC

7. Setiap draft yang dihasilkan oleh ISO/EIC harus diterima terlebih dahulu oleh JTC dan dikirim kesemua badan nasional untuk dilakukan verifikasi dan pemungutan suara • Untuk meluluskan setiap publikasi ISO/EIC menjadi standar internasional diperlukan persetujuan dari minimal 75% dari seluruh badan nasional

8. Pemilihan Kontrol • Ketika kebutuhan keamanan sudah berhasil diidentifikasi, maka kontrol-kontrol harus dipilih dan dilaksanakan untuk menjamin pengurangan resiko pada level tertentu yang dapat diterima • Kontrol-kontrol dapat dipilih dari dokumen ISO 17799 atau dari kumpulan kontrol lainnya, atau dapat didisain kontrol baru untuk memenuhi kebutuhan yang spesifik

9. Perlu untuk mengetahui bahwa ada beberapa kontrol yang tidak bisa dilaksanakan disemua lingkungan sistem informasi, misal kontrol objectif 8.1.4 tentang pemisahan tugas untuk mencegah terjadinya tindak kejahatan dan kesalahan • Kontrol harus dipilih berdasarkan biaya implementasi dalam kaitannya dengan resiko yang ingin dikurangi dan potential losses jika terjadi serangan keamanan

10. Faktor-faktor non-moneter seperti kehilangan reputasi juga harus diperhatikan • Beberapa kontrol dalam dokumen ISO 17799 dapat digunakan sebagai petunjuk-petunjuk prinsip untuk manajemen keamanan sistem dan dapat dilakukan pada kebanyakan organisasi

11. Starting Point untuk Keamanan Informasi • Ada sejumlah kontrol yang dapat digunakan sebagai prinsip-prinsip panduan yang memberikan starting point yang baik untuk implementasi keamanan informasi • Kontrol-kontrol tersebut diturunkan dari kebutuhan legislatif yang penting dan best practice yang umum untuk keamanan informasi

12. Kontrol-kontrol yang dianggap penting bagi organisasi dari sudut pandang legislatif: • Proteksi data dan informasi perorangan yang bersifat pribadi (12.1.4) • Perlindungan terhadap data-data organisasi (12.1.3) • Hal milik intelektual (12.1.2)

13. Kontrol-kontrol yang diturunkan dari best practice umum untuk keamanan informasi: • Dokumen kebijakan keamanan informasi (3.1) • Alokasi tanggung jawab keamanan informasi (4.1.3) • Pendidikan dan pelatihan tentang keamanan informasi (6.2.1)

14. Pelaporan kejadian-kejadian yang berhubungan dengan keamanan (6.3.1) • Manajemen kelangsungan bisnis (11.1)

15. Kontrol-kontrol tersebut diatas dapat diterapkan dikebanyakan organisasi dan lingkungan • Walaupun semua kontrol dalam dokumen ISO 17799 adalah penting, tetapi relevansi dari masing-masing kontrol harus ditentukan berdasarkan resiko tertentu yang dihadapi organisasi.

16. Oleh karena itu, walaupun kontrol-kontrol diatas dapat dipakai sebagai starting point yang baik, tetapi tidak akan menggantikan pemilihan kontrol berdasarkan penilaian resiko

17. Critical Sucess Factors • Faktor-faktor berikut bersifat kritis sebagai kunci sukses implementasi keamanan informasi dalam sebuah organisasi : • Kebijakan keamanan, tujuan dan aktifitas yang menggambarkan tujuan bisnis • Pendekatan untuk melaksanakan keamanan yang konsisten dengan budaya organisasi

18. Dukungan dan komitmen yang nyata dari pihak manajemen • Penyampaian yang efektif mengenai keamanan ke semua manager dan karyawan

19. Distribusi panduan pada kebijakan keamanan informasi dan standar-standarnya kesemua karyawan • Menyediakan pelatihan dan pendidikan yang tepat

20. Sistem pengukuran yang menyeluruh dan seimbang yang dipakai untuk mengevaluasi performansi manajemen keamanan informasi dan saran-saran umpan balik untuk pengembangan

21. Membangun Panduan Anda Sendiri • Jika ternyata tidak semua panduan dan kontrol dalam dokumen ISO 17799 ini dapat dilaksanakan, maka kontrol-kontrol tambahan dapat dimasukkan dalam dokumen jika dibutuhkan

22. Jika ini terjadi, maka sangat membantu untuk melakukan cross-reference dokumen lain yang memudahkan pemenuhan pengecekan oleh auditor dan rekan bisnis

23. Point-point yang tercakup dalam ISO 17799 • ISO/IEC 17799:2000 mendefinikan 127 buah kontrol keamanan yang terstruktur dibawah 10 poin utama untuk memudahkan praktisi keamanan informasi mengidentifikasi hal-hal yang dibutuhkan untuk mengamankan bisnis dan organisasi mereka.

24. Sepuluh poin yang tercakup pada ISO 17799 adalah: • Security Policy • Organizational Security • Asset Classification and Control • Personal Security • Physical and Environmental Security • Communication and Operations Management • Access Control • System Development and Maintenance • Bussines Continuity Management • Compliance

25. Berikut adalah pembahasan dari kesepuluh poin tersebut. • Security Policy • Bertujuan untuk menyediakan arah manajemen dan dukungan untuk keamanan informasi. • Manajemen harus memberikan arah yang jelas dan memperlihatkan dukungan dan komitmen terhadap keamanan informasi melalui pemeliharaan kebijakan kemanan informasi dari organisasi

26. Organizational Security • Information Security Infrastruktur • Bertujuan untuk mengatur keamanan informasi dalam organisasi. • Sebuah kerangka manajemen harus dibuat untuk memulai dan mengontrol implementasi keamanan informasi dalam organisasi • Security of Third Party Access • Bertujuan untuk menjaga keamanan dari fasilitas pemrosesan informasi dan aset informasi yang diakses oleh pihak ketiga. Akses oleh pihak ketiga terhadap fasilitas pemrosesan informasi sebuah organisasi harus dikontrol. • Ketika sebuah bisnis membutuhkan akses dari pihak ketiga, sebuah pengujian risiko harus dilakukan untuk menentukan implikasi keamanan dan kontrol yang perlu dilakukan. • Kontrol harus disetujui dan didefinisikan dalam kontrak dengan pihak ketiga.

27. Pihak ketiga mungkin juga melibatkan pihak lain. Kontrak dengan pihak ketiga juga sebaiknya mencakup hal ini. Standar ini juga dapat digunakan sebagai basis untuk kontrak dan ketika mempertimbangkan outsourcing pemrosesan informasi. • Outsourcing • Bertujuan untuk menjaga keamanan informasi ketika tanggung jawab untuk melakukan proses pengolahan informasi telah di-outsource ke pihak lain. Pengaturan outsourcing harus memperhatikan risiko, kontrol keamanan dan prosedur terhadap sistem informasi, jaringan dan lingkungan desktop dalam kontrak terhadap pihak-pihak yang terkait.

28. Asset Classification and Control • Accountability for Assests • Bertujuan untuk memberikan perlindungan yang baik terhadap aset organisasi. Setiap aset informasi utama harus dicatat untuk menjamin perlindungan yang sesuai sudah diberikan terhadap aset tersebut. Pemilik harus mengindentifikaskan setiap aaset utama dan tanggung jawab perawatannya. • Information Classification • Bertujuan untuk menjamin aset informasi mendapatkan perlindungan yang sesuai. • Informasi harus diklasifikasikan untuk mengindikasikan kebutuhkan, prioritas dan tingkat perlindungannya. • Informasi memiliki beragam tingkat sensitifitas dan kekritisannya. • Beberapa item bisa saja membutuhkan perlindungan tambahan atau perlakuan khusus. • Klasifikasi informasi harus digunakan untuk mendefinikan tingkat perlindungan yang sesuai, dan kebutuhan perlakuan khusus.

29. Personal Security • Security in Job Definition and Resourcing • Bertujuan untuk mengurangi kesalahan manusia, pencurian, kejahatan dan penyalahgunaan fasilitas. • Tanggung jawab keamanan harus diarahkan pada tahap penerimaan, termasuk dalam kontrak, dan diawasi sepanjang masa kerja karyawan. • Kandidat karyawan harus disaring sebaik mungkin dengan memperhatikan faktor keamanan, terutama untuk posisi-posisi sensitif. • Semua karyawan dan pihak ketiga harus menandatangani sebuah perjanjian kerahasiaan.

30. User Training • Bertujuan untuk memastikan bahwa pengguna peduli terhadap ancaman keamanan informasi, sehingga para pengguna tersebut dapat bekerja sesuai dengan prosedur keamanan yang ada. • Pengguna harus dilatih mengenai prosedur keamanan dan penggunaan fasilitas pengolahan informasi yang benar untuk mengurangi resiko keamanan.

31. Responding to Security Incidents and Malfunction • Bertujuan untuk mengurangi kerusakan yang terjadi dari sebuah insiden dan tidak berfungsinya keamanan serta untuk mengawasi dan belajar dari insiden yang terjadi tersebut. • Insiden yang berakibat terhadap keamanan harus dilaporkan melalui jalur manajemen yang sesuai secepat mungkin. • Semua karyawan dan kontraktor harus dibuat peduli terhadap prosedur untuk melaporkan berbagai tipe insiden yang mungkin memiliki efek terhadap keamanan organisasi. • Mereka harus segera melaporkan semua insiden terhadap orang tertentu yang telah ditetapkan. • Perusahaan juga harus menetapkan prosedur tertentu untuk menangani orang yang melakukan pelanggaran keamanan. • Untuk dapat melihat masalahnya secara benar, bisa jadi diperlukan untuk mengumpulkan bukti segera setelah kejadian.

32. Physical and Environmental Security • Secure Areas • Bertujuan untuk mencegah akses yang tidak diinginkan, kerusakan dan interferensi dengan pernyataan dan informasi • Equipment Security • Bertujuan untuk mencegah kerugian, kerusakan atau kompromi terhadap aset dan berhentinya aktifitas bisnis. • General Control • Bertujuan untuk mencegah kompromi atau pencurian informasi dan fasilitas pengolahan informasi

33. Communication and Operations Management • Operational Procedure and Responsibilities • Untuk menjamin operasi fasilitas pengolahan informasi berjalan dengan benar dan aman. • Tanggung jawab dan prosedur untuk pengaturan dan operasi dari semua fasilitas pengolahan informasi harus dibuat. • Termasuk pembuatan instruksi operasi dan prosedur penanganan insiden yang sesuai.

34. System planning and Acceptance • Untuk mengurangi risiko kegagalan sistem. • Perencanaan yang matang dan persiapan dibutuhkan untuk menjamin ketersediaan kapasitas dan sumber daya yang cukup. • Proyek dari kebutuhan kapasitas di masa mendatang harus dibuat, untuk mengurangi resiko dari sistem yang kelebihan beban. kebutuhan dari sistem baru harus dibuat, didokumentasikan dan dilakukan tes untuk penerimaan dan penggunaan.

35. Protection Againsts Malicious Software • Bertujuan untuk menjaga integritas dari software dan informasi. • Pencegahan dibutuhkan untuk mencegah dan mendeteksi adanya malicious software. • Software dan fasilitas pengolahan informasi rawan terhadap malicious software, seperti virus komputer, network worms, trojan horses, dan logic bomb. • Pengguna harus dibuat waspada terhadap bahwa malicious software dan ketika diperlukan manajer harus mengenalkan kontrol khusus untuk mendeteksi dan mencegah datangnya malicious software tersebut. • Terutama sangat penting melakukan antisipasi untuk mendeteksi dan mencegah virus di komputer.

36. Housekeeping • Bertujuan untuk menjaga integritas dan ketersediaan dari pengolahan informasi dan layanan komunikasi. • Prosedur rutin harus dibuat untuk menjalankan strategi backup yang disetujui, mengambil salinan data yang di-backup dan mengulangi restorasi, mencatat kejadian-kejadian dan kesalahan dan ketika dibutuhkan mengawasi lingkungan peralatan.

37. Network management • Bertujuan untuk menjamin perlindungan terhadap informasi di jaringan dan perlindungan terhadap infrastruktur pendukung. • Manajemen keamanan jaringan yang dapat merentangkan batasan-batasan organisasi membutuhkan perhatian khusus. • Kontrol tambahan dapat juga dibutuhkan untuk melindungi data-data yang sensitif yang lewat melalui jaringan publik. • Media handling and security • Bertujuan untuk mencegah kerusakan aset dan berhentinya aktifitas bisnis. • Media harus dikontrol dan dilindungi secara fisik. • Prosedur operasi yang sesuai harus dibuat untuk melindungi dokumen, media komputer, data yang keluar masuk dan dokumentasi sistem dari kerusakan, pencurian dan akses yang tidak berhak.

38. Exchange of Information and Software • Untuk mencegah kehilangan, modifikasi atau penyalahgunaan dari pertukaran informasi antar organisasi. • Pertukaran informasi dan software antar organisasi harus dikontrol, dan harus sesuai dengan aturan yang relevan. • Pertukaran harus dilakukan berdasarkan kesepakatan. • Prosedur dan standar untuk melindungi informasi dan media dalam pengiriman harus dibuat. • Implikasi bisnis dan keamanan yang berhubungan dengan EDI (electronic data interchange), electronic commerce dan e-mail harus dikontrol.

39. Access Control • Access Control Policy • Bertujuan untuk mengontrol akses terhadap informasi. • Akses terhadap informasi dan proses bisnis harus dikontrol dengan dasar kebutuhan bisnis dan keamanan. • User Access Management • Bertujuan untuk mencegah akses yang tidak sah ke dalam sistem informasi. • Prosedur formal harus ditempatkan untuk mengontrol alokasi hak ases terhadap sistem informasi dan layanan. • Prosedur tersebut harus mencakup semua tingkat dari siklus-hidup akses pengguna, mulai dari pendaftaran pengguna baru sampai deregistrasi pengguna yang tidak lagi membutuhkan akses kedalam sistem informasi dan layanan. • Perhatian khusus perlu diberikan untuk mengontrol hak akses khusus yang memungkinkan seorang pengguna untuk mengambil alih kontrol sistem.

40. User Responsibilities • Bertujuan untuk mencegah akses pengguna yang tidak sah. • Kerjasama dari pengguna yang sah sangat penting untuk keefektifan keamanan. • Pengguna harus disadarkan terhadap tanggung jawabnya untuk menjaga kontrol akses yang efektif, terutama yang berkaitan dengan penggunaan password dan keamanan perangkat pengguna

41. Network Access Control • Bertujuan untuk mengamankan layanan yang terhubung dengan jaringan. • Akses terhadap layanan yang terhubung jaringan baik itu internal maupun eksternal harus dikontrol. • Hal ini perlu untuk memastikan bahwa pengguna yang memiliki akses kedalam jaringan dan layanan jaringan tidak mengkompromikan keamanan dari jaringan tersebut dengan cara menjamin: • Interface yang sesuai antara jaringan di organisasi dan jaringan yang dimiliki oleh organisasi lain atau jaringan publik. • Mekanisme otentikasi yang sesuai untuk pengguna dan perangkat. • Kontrol terhadap akses pengguna ke dalam sistem informasi.

42. Operating System Acces Control • Bertujuan untuk mencegah akses yang tidak sah kedalam sistem komputer. • Fasilitas keamanan pada level sistem operasi harus digunakan untuk membatasi akses ke sumberdaya komputer. • Fasilitas ini harus mampu untuk melakukan hal-hal sebagai berikut: • Mengidentifikasi dan mengecek ulang identitas dan jika perlu letak terminal dan lokasi dari setiap user yang sah. • Mencatat akses kedalam sistem, baik yang sukses dan gagal. • Menyediakan otentikasi yang sesuai, apabila sistem menajemen password digunakan, sistem tersebut harus menjamin password yang baik. • Membatasi waktu akses dari pengguna, ketika dibutuhkan.

43. Application Access Control • Bertujuan untuk mencegah akses tidak sah terhadap informasi yang disimpan dalam sistem informasi. • Fasilitas keamanan harus bisa digunakan untuk membatasi akses dalam sistem aplikasi. • Akses logik ke dalam software dan informasi harus dibatasi terhadap user yang sah. • Sistem aplikasi harus : • Mengontrol akses pengguna terhadap informasi dan fungsi sistem aplikasi, sesuai dengan kebijakan akses kontrol bisnis. • Menyediakan perlindungan dari akses yang tidak sah terhadap utiliti dan software sistem operasi yang mampu untuk mengambil alih sistem atau kontrol aplikasi. • Tidak mengancam keamanan dari sistem yang lain yang menggunakan bersama-sama sumber daya informasi. • Dapat menyediakan akses informasi khusus kepada pemilik, atau sekumpulan pengguna tertentu.

44. Monitoring System Acces and Use • Bertujuan untuk mendeteksi aktifitas yang tidak sah. • Sistem harus diawasi untuk mendeteksi penyimpangan dari kebijakan akses kontrol dan merekam kejadian-kejadian yang dapat diawasi untuk menyediakan bukti apabila terjadi insiden keamanan. • Pengawasan sistem memungkinkan pengecekan terhadap keefektifan kontrol dan kesesuaian model kebijakan akses diperiksa.

45. Mobile Computing and Teleworking • Bertujuan untuk menjamin keamanan informasi ketika menggunakan fasilitas mobile computing dan teleworking. • Perlindungan yang diperlukan harus seimbang dengan risiko yang ditimbulkan dari cara kerja ini. • Ketika menggunakan mobile computing, risiko bekerja dalam lingkungan yang tidak terlindungi harus dipertimbangkan dan perlindungan yang sesuai harus diterapkan. • Pada kasus teleworking, organisasi tersebut harus mengaplikasikan perlindungan terhadap tempat teleworking dan menjamin pengaturan yang sesuai dilakukan untuk cara kerja ini.

46. System Development and Maintenance • Security Requirement of System • Bertujuan untuk menjamin bahwa keamanan dibangun didalam sistem informasi. • Hal ini termasuk infrastruktur, aplikasi bisnis, dan aplikasi yang dibangun oleh pengguna. • Disain dan implementasi dari proses bisnis yang mendukung aplikasi atau layanan dapat bersifat vital untuk keamanan. • Kebutuhan keamanan harus diidentifikasi dan disetujui dalam pembangunan sistem informasi. • Semua kebutuhan keamanan, termasuk kebutuhan untuk pengaturan fallback, harus didentifikaskan pada fase pengumpulan kebutuhan dari sebuah proyek dan dijustifikasi, disetujui dan didokumentasikan sebagai bagian dari kasus bisnis keseluruhan dari sebuah sistem informasi.

47. Security in Application System • Bertujuan untuk mencegah kehilangan, modifikasi atau penyalahgunaan data pengguna dalam sistem aplikasi. • Kontrol yang sesuai dan catatan audit harus dirancang kedalam sistem aplikasi, termasuk aplikasi yang ditulis oleh pengguna. • Hal ini seharusnya termasuk validasi dari input data, pengolahan internal dan keluaran data.

48. Cryptographic Controls • Bertujuan untuk menjaga confidentiality, authenticity dan integrity dari informasi. • Sistem dan teknik kriptografi harus digunakan untuk pengamanan informasi yang dianggap berada dalam risiko dan juga untuk yang tidak mendapatkan perlindungan cukup.

49. Security of System Files • Untuk menjamin bahwa proyek teknologi informasi dan aktifitas pendukungnya dilakukan dengan memperhatikan faktor keamanan. • Akses ke file-file pada sistem harus dikontrol. • Memelihara integritas sistem harus menjadi tanggung jawab dari fungsi pengguna atau grup pengembang yang memiliki sistem aplikasi atau software.

50. Security in Development and Support Processes • Bertujuan untuk memelihara keamanan dari software sistem aplikasi dan informasi. • Proyek dan lingkungan pendukungnya harus dikontrol secara ketat. • Para manajer yang bertanggung jawab terhadap sistem aplikasi harus juga bertanggung jawab terhadap keamanan proyek dan lingkungan pendukungnya. • Mereka harus menjamin bahwa semua perubahan sistem yang diajukan sudah diperiksa dan dicek, supaya tidak terjadi pelanggaran keamanan pada sistem atau lingkungan operasi.