View
1.244
Download
5
Embed Size (px)
Citation preview
PERTEMUAN VIII :
Pengendalian Sistem
Informasi Berbasis Komputer
Mahasiswa mampu menjelaskan konsep
keamanan informasi serta tipe2 kontrol untuk
keandalan sistem informasi , konsep COBIT’s
Framework
Chapter 8
Information
Security
Introduction
Security
Concepts
Targeted
Attacks
Preventive
Control
Detective
Control
Corective
Control
Virtualization
and the
cloud
Co
bit
Fra
me
wo
rk
Trust Services Framework
Security Concepts
• Keamanan sistem adalah masalah
manajemen, bukan masalah teknologi semata.
• Untuk menjamin keamanan sistem diperlukan
defense-in-depth dan time-based model of
security
Defense-in-depth
Penggunaan berbagai lapisan pengendalian untuk menghindari
kegagalan sistem
Time-based Model of Security
P > D + C
P waktu yang diperlukan untuk
menerobos pengendalian preventif
organisasi
D Waktu yang diperlukan untuk
mendeteksi sebuah serangan sedang
berlangsung
C Waktu yang diperlukan untuk
mengambil tindakan atas serangan
yang terjadi
Pengertian
Penggunaan kombinasi tiga
jenis perlindungan untuk
melindungi aset informasi
sehingga memungkinkan
sistem untuk mengenali dan
mengambil langkah untuk
menggagalkan serangan
yang terjadi
Understand Targeted Attacks
Langkah yang dilakukan penjahat untuk
menyerang suatu sistem informasi :
PengintaianSocial
Engineering
Pindai danmemetakan
target
ResearchEksekusiserangan
Menutupijejak
Preventive Control
Training
Pengendalian
User Access:
• Authentication
• Authorization
Pengendalian
Network Access :
• Firewalls
• Intrution
prevention
system
Pengendalian
Physical Access:
• Locks
• Guards
Network Access Control
Detective Control
Pemeriksaan log
untuk
mengidentifikasi
bukti
kemungkinan
serangan
Log Analysis
Sistem yang
menghasilkan
sejumlah log dari
lalu lintas
jaringan yang
melewati firewall
dan
menganalisisnya
untuk
mengetahui
adanya gangguan
Intrusion
Detection System
Intrusion
Detection System
Uji terotorisasi
untuk menerobos
ke dalam sistem
informasi
Penetration Test
Laporan berisi
jumlah gangguan,
user yang tidak
memenuhi
standar
password, kunci/
pengamanan
yang terbobol
Managerial
Reports
Managerial
Reports
Log Analysis
Intrusion Detection System
Corrective Control
Tim yang
bertanggungjawab
untuk mengatasi
insiden keamanan
utama
Computer Incident
Response Team (CIRT)
• Harus independen
• Memahami
lingkungan
teknologi
• Mampu menjadi
penilai dan
pengevaluasi IT
• Bekerjasama
dengan CIO
mendesain prosedur
keamanan yang baik
Chief Information
Security Officer (CISO)
Proses menerapkan
patch secara teratur
dan memperbarui
perangkat lunak
Patch Management
Tim yang
bertanggungjawab
untuk mengatasi
insiden keamanan
utama
Computer Incident
Response Team (CIRT)
• Harus independen
• Memahami
lingkungan
teknologi
• Mampu menjadi
penilai dan
pengevaluasi IT
• Bekerjasama
dengan CIO
mendesain prosedur
keamanan yang baik
Chief Information
Security Officer (CISO)
Virtualisation dan Cloud Computing
Virtualisation
Menjalankan berbagai sistem
secara bersamaan dalam satu
komputer fisik
Cloud Computing
Penggunaan browser untuk
mengakses perangkat lunak,
penyimpanan data, perangkat
keras dan aplikasi dari jarak
jauh
Chapter 9
Introduction
Pre
serv
ing
Co
nfid
en
tiality
Privacy
En
cry
pti
on
Preserving Confidentiality
Identifikasi danklasifikasi informasi
Enkripsi
Pelatihan Pengendalian akses
Penjagaankerahasiaandan privasi
Information Right Managements
Perangkat lunak yang menawarkan kemampuan
membatasi akses terhadap file, seperti baca,
salin, cetak, unduh.
Data Loss Prevention
Perangkat lunak yang bekerja seperti antivirus secara terbalik
dengan memblok pesan keluar (email, social media, IM dll) yang
mengandung frase kunci yang terkait dengan kekayaan
intelektual atau data sensitif yang ingin dilindungi organisasi
Digital Watermark
Kode yang terkandung dalam dokumen yang
memungkinkan pihak tertentu untuk
mengidentifikasi informasi rahasia yang telah
diungkapkan
Privacy
Dua permasalahan privacy
Email yang tidak diinginkan
karena mengandung konten
periklanan ataupun
penyerangan
Penggunaan identitas seseorang oleh
pihak lain yang tidak berhak untuk
keuntungan ekonomi
Data MaskingProgram yang
melindungi privasi
dengan mengganti
informasi pribadi
dengan nilai-nilai
palsu
Generally Accepted Privacy Principles
Encryption
Proses
mentransformasikan
teks normal (plain
text) ke bentuk yang
tidak dapat dibaca
(chiper text)
Encryption
Mengubah chiper text
kembali menjadi
plaintext
Dekripsi
Plain text yang diubah
menjadi bentuk yang
tidak dapat dibaca
menggunakan enkripsi
Chiper Text
Teks normal yang
belum dienkripsi
Plain Text
Faktor Yang Memengaruhi Kekuatan
Enkripsi
Kebijakan Mengelola
Kunci Kriptografi
Key Length
Encryption Algorithm
Symetric Encryption System
• Satu kunci rahasia
• Lebih cepat
• Kunci rahasia harus
terlindungi
• Untuk enkripsi data yang
besar
Asymetric Encryption System
• Dua Kunci (rahasia dan
publik)
• Lebih lamban
• Kunci privat harus
terlindungi
• Untuk pembuatan tanda
tangan digital
Hashing
Mengubah plaintext ke dalam kode
singkat yang disebut hash
Digital Signature
Sebuah hash yang dienkripsi dengan kunci privat milik pembuat
hash
Digital Certificate
Sebuah dokumen elektronik yang mengandung kunci
publik milik entitas dan menerangkan identitas pemilik
kunci publik tersebut
Digital Signature Vs Digital Certificate
Digital Signature Vs Digital Certificate• Anto hendak mengirim pesan ke Badu. Setelah membubuhkan digital
signature ke dalam pesan, Anto hendak mengirim kunci publiknya (PbA)
kepada Badu. Tapi saat kunci itu dikirim lewat jaringan publik, Maling
mencuri kunci PbA. Kemudian Maling menyerahkan kunci publiknya (PbM)
kepada Badu, sambil mengatakan bahwa kunci itu adalah kunci publik
milik Anto.
• Badu, karena tidak pernah memegang kunci publik Anto yang asli, percaya
saja saat menerima PbM. Saat Anto hendak mengirim dokumen yang telah
ditandatanganinya dengan kunci privatnya (PvA) kepada Badu, sekali lagi
Maling mencurinya. Tanda tangan Anto pada dokumen itu lalu dihapus,
dan kemudian Maling membubuhkan tanda tangannya dengan kunci
privatnya (PvM). Maling mengirim dokumen itu ke Badu sambil
mengatakan bahwa dokumen ini berasal dari Anto dan ditandatangani
oleh Anto. Badu kemudian memeriksa tanda tangan itu, dan mendapatkan
bahwa tanda tangan itu sah dari Anto. Tentu saja kelihatan sah, karena
Badu memeriksanya dengan kunci publik PbM, bukan dengan PbA.
Digital Signature Vs Digital Certificate
• Untuk mengatasi masalah sekuriti pendistribusian kunci publik,maka kunci publik itu ‘direkatkan’ pada suatu digital certificate.Digital certificate adalah kartu kredit elektronik yang membuatsurat kuasa anda ketika melakukan bisnis atau transaksi lainnya diWeb. Hal ini dikeluarkan oleh otoritas sertifikasi (CA).
• Digital certificate ini berisi nama anda, nomor seri, tanggalkadaluarsa, salinan kunci publik pemegang sertifikat (digunakanuntuk mengenkripsi pesan dan digital signature), dan digitalsiganture dari sertifikat sehingga penerima dapat memverifikasibahwa sertifikat tersebut benar . Beberapa digital certificate sesuaidengan standar, X.509. Digital certificate dapat disimpan dalamregistri otentikasi sehingga pengguna dapat melihat kunci publikuser lain.
Sumber : https://vier2cha.wordpress.com/definisi-digital-signature-dan-digital-certificate/
Public Key Infrastructure
Sistem untuk
menerbitkan
sepasang kunci
publik dan privat
serta sertifikat
digital terkait
Virtual Private Network
Menggunakan enkripsi dan
autentikasi untuk
mentransfer informasi
melalui internet dengan
aman sehingga
menciptakan sebuah
jaringan privat virtual
Referensi :
Accounting Information Systems 12th Edition
Marshall B. Romney
Paul John Steinbart