Membangun Sistem Pengamanan Informasi berbasis

Membangun Sistem Pengamanan Informasi
Di Pemerintah Daerah Kabupaten Bogor

Bogor, 11 Juli 2017

3

DASAR HUKUM PENERAPAN TATA
KELOLA KEAMANAN INFORMASI
Tag line goes here

PENGAMANAN INFORMASI SEBAGAI BAGIAN
DARI KESUKSESAN E-GOVERNMENT

Need Security
E-GOVERNMENT

Agar Sistem Informasi Pemerintah dapat dengan
optimal mendukung pelaksanaan
E-Government maka pengamanan wajib menjadi
aspek utama yang harus diimplementasikan


Need Security

E-GOVERNMENT SUKSES

Need Security
Need Security

TRENDS 2017

SMART CITY

Smart Hospital

MEMBUKA PINTU
DENGAN
SMARTPHONE

Tag line goes here


Tag line goes here

Tag line goes here

SERANGAN YANG SERING MUNCUL

Brute Force Attack

• Melakukan percobaan
login dengan
menggunakan banyak
kemungkinan password
• Dapat dimitigasi dengan
menerapkan kebijakan
permbatasan jumlah
percobaan password
• Menambah variabel
dekripsi seperti mac
address device


Man in The Middle Attack

• Melakukan Tapping
terhadap traffic untuk
mendapatkan username
dan password yang
kemudian dapat bertindak
sebagai user legitimate
• Dapat dimitigasi dengan
menerapkan HTTPS dan
enkripsi data

Reverse Engineering

• Melakukan bypass setelah
atau ketika proses dekripsi
file berjalan
• Dapat juga dilakukan
dengan merekonstruksi data
yang ada di temporary file

atau di memory
• Dapat dimitigasi dengan
menyimpan temporary plain
data di RAM sehingga lebih
sulit direkonstruksi

10 RESIKO PENGELOLAAN PAMINFO PEMDA
Ketidaktersediaan Peraturan Securtiy Clearence

91,2%

Ketidaktersediaan Peraturan Penanganan Insiden

88,2%

Backup Berkala Tidak Dilakukan

88,2%

Penyimpanan Inf. Berklasifikasi Tidak Terenkripsi


70,6%

Klasifikasi Belum Ditetapkan

67,6%

JRA Informasi Berklasifikasi Belum Ditetapkan

64,7%

Perubahan Susunan AKS Tidak Dilakukan

64,7%

Pembuatan Informasi Berklasifikasi Tidak Aman

52,9%

Kegiatan sosialisasi Tidak Dilakukan


52,9%

Pengawasan dan pengendalian sendiri Tidak…
0%

52,9%
25%

50%

75%

100%

APA ITU MOBILE
THREAT !

CIA TRIAD


INFORMASICC

CONFIDENTIALIT
Y

6.

Menjamin informasi yang dikirim tersebut tidak
dapat dibuka dan tidak dapat diketahui pihak yang
tidak berhak.

II

INTEGRITY
Menjamin konsistensi dan menjamin data
tersebut sesuai dengan aslinya.

A
A


AVAILABILIT
Y
Menjamin pengguna yang valid selalu
bisa mengakses informasi dan
sumberdaya miliknya sendiri.

NEED

GOAL

Layanan
Keamanan
Informasi

Layanan
aman
terpercaya

RISK
ASSESSMENT


01

APPLICATION
SECURITY
ASSESSMENT

22

NETWORK SECURITY
ASSESSMENT

02

Tag line goes here

03

MENGETAHUI RESIKO DARI
SISI TEKNIS DAN

OPERASIONAL

MENGETAHUI KELEMAHAN
KEAMANAN APLIKASI

MENGETAHUI CELAH
KEAMANAN JARINGAN
KOMPUTER

PENETRATION
TESTING

SOURCE CODE
ANALYSIS

UJI FUNGSI
KRIPTOGRAFI

01


02

03

NETWORK
DISCOVERY

BUSINESS
PROCESS REVIEW

POLICY REVIEW

04

05

05

IT SECURITY
ASSESSMENT
SERVICE

IT SECURITY
ASSESSMENT
METHOD

Lemsaneg
E-Government
Security
Support

Custom
Algorithm
VPN
Encryption
Leased Line
Connection

Digital
Signature
SECURE
GOVT
INTRA
NETWORK

SERTIFIKAT
DIGITAL

Satelite
Connection

SSL Server /
Client
Atuhentication
Key Exchange

VPN Client

Secure
Data Center

Application
Security

LEMBAGA SANDI NEGARA
Sthana Paroksharta Bhakti

Network
Security

IT SECURITY
ASSESSMENT

ENCRYPTION
DEVICES /
APPLICATIONS

National
Algorithm
Design
Produk Karya
Mandiri

SECURITY REQUIREMENT
Security
Policy

Application
Hardening

Evaluation

Network
Security
Perimeter

Monitoring
System

2. Melakukan hardening pada sisi
aplikasi/sistem informasi yang sudah ada
saat ini. Dengan terlebih dahulu
melakukan IT security
Assessment/Penetration Test (OWASP
compliance recomended for optimal
application security)
3. Melakukan hardening pada sisi
infrastruktur jaringan yang ada saat ini
dengan menggunakan security devices
seperti Firewall dan IPS, akses kontrol,
backup data dan redudansi jaringan

SECURITY
REQUIREMENT

Recovery
System

1. Membuat kebijakan terkait keamanan
operasional pengelolaan informasi di
pemda Bogor

4. Melakukan monitoring terhadap threat
secara berkala
5. Mempersiapkan sistem dan mekanisme
recovery terhadap insiden
6. Melakukan evaluasi secara berkala
dalam rangka optimalisasi sistem

24

UNSUR PENGAMANAN INFORMASI
Memastikan user
mendapatkan
edukasi tentang
keamanan
teknologi
informasi

Memastikan
seluruh sistem
dengan perangkat
lama maupun baru
terkonfigurasi
dengan aman

Melindungi
sistem yang
terimplementasi
dengan jaringan
secure intra
network milik
pemerintah

Secure Your Server
Secure Your Users

Secure Your Network

Memastikan
sistem yang
terimplementasi
termonitor dengan
baik dan aman
dan didukung
dengan kebijakan
yang ada

Monitor And Manage
Operational Security
(NOC)

Perlu adanya
prosedur,kebijaka
n yang menjadi
pedoman/yang
dapat diikuti
dalam menangani
insiden terhadap
keamanan
informasi

Manage Security
Incidents
(SOC)

Membangun Peraturan dan Kebijakan sebagai Fondasi dari Framework

INFORMATION RISK ASSESSMENT

Security
Level

MENETAPKAN KLASIFIKASI
INFORMASI

MENETAPKAN ASSET
PENTING / INFRASTRUKTUR
KRITIS

Risk
Level

MENGETAHUI
PERMASALAHAN
KEAMANAN SISTEM
INFORMASI SECARA
KOMPREHENSIF
MENENTUKAN PRIORITAS
PENANGANAN
PERMASALAHAN
KEAMANAN SISTEM
INFORMASI

DEFINISI ISTILAH RISK ASSESSMENT

Risiko (Risk):

Efek suatu ketidakpastian terhadap sasaran, baik aspek strategis,
organisasi, proses atau produk.
Catatan:
Risiko sering dinyatakan sebagai kombinasi dari dampak (impact/consequences) suatu kejadian
dan kemungkinan (likelihood) terjadinya.

Risiko Keamanan Informasi
(information security risk)

Potensi ancaman (threat) yang memanfaatkan suatu kelemahan
(vulnerability) dari satu atau sejumlah aset yang membahayakan
organisasi

Pemilik Risiko
(Risk Owner)

Orang atau entitas yang untuk bertanggung jawab dan berwenang
mengelola risiko
Keputusan untuk menerima risiko tertentu

Risk Acceptance

Risk Analysis

Catatan:
Risk acceptance dapat terjadi tanpa Risk Treatment.
Risiko yang diterima harus dimonitor dan direview

Proses memeriksa sifat risiko dan menentukan tingkat besarnya
risiko yang dinyatakan sebagai kombinasi dampak
(impact/consequences) dan kemungkinan terjadinya (likelihood)

Ref. ISO 27000:2014 – Overview and Vocabulary

27

METODE PENILAIAN RESIKO
Aset

Ancaman (Threat)

Aset apa yang akan
dilindungi?

Apa yang dikhawatirkan
akan terjadi?

Dampak (Impact)
Apa dampaknya bagi organisasi?
(dampak: operasional/downtime, kinerja
proses, hukum, reputasi, biaya)

Kelemahan
(Vulnerability)
Mengapa ancaman
dapat terjadi?

Kontrol
Apa yang sudah ada
untuk mengurangi
risiko?

Kemungkinan (Probability)
Seberapa sering ancaman muncul
dengan kontrol yang ada?

Nilai Risiko = Dampak x Kemungkinan

ELEMEN – ELEMEN DALAM RISK ASSESSMENT
• Data/Informasi: Rencana pengadaan, daftar karyawan, dokumen manajemen
tata kelola TI (kebijakan, prosedur), dokumen kontrak/pengadaan, source
code, materi training, Daftar Risiko TI, hasil audit TI, rekaman implementasi
penggunaan TI, dll

• Software: software aplikasi, software sistem (O/S), development tools dan
utilities (AntiVirus, WinZip, dsb)

• Hardware dan infrastruktur jaringan: server, PC, Laptop, removable media
(hard disk, tape backup, CD, flash disk, dsb), router, firewall, Hanndphone,
Tablet, dsb/

• Sarana pendukung: A/C, alat pemadam kebakaran, CCTV, UPS, sumber
daya listrik, alarm kebakaran, penangkal petir,dsb

• SDM & Pihak Ketiga: System Administrator, programmer, Pejabat Pembuat
Komitmen/Pengambil Keputusan, vendor kritikal, dsb

NETWORK OPERATIONS CENTER (NOC)
During

Before

ORGANIZE

OPTIMIZE
Redundant

Network Policy
Fault Analysis
Assessment
Education and
Awareness

Topology
Asset Inventory and
Management
Documentation

PLAN

Quality Of Service

Back Up
Proxy

Load Balance
Network Acess
Logging

RUN

After

DETECT
Network
Monitoring System
Anomaly
Detection

RESPOND
Network Incident
Response
Network
Forensics

Traffing Monitoring

Threat Analysis
Validation

Bandwith Monitor

Reporting and
Statistics

Network
Controlling

MONITOR

MANAGE

SECURITY OPERATIONS CENTER (SOC)

ORGANIZE
Security Policy
Process Inventory

Asset Inventory and
Management
Assessment

Change
Management
Education and
Awareness
Dashboard and
Reporting

DEFEND

HARDEN
Secure
Storage

Network
Segmentation

Security Log
Collection and
Management

IPS and
Signatures

Secure Access
And Control

Whitelisting and
Blacklisting

Centralized
Anti Virus
Patch Management

Physical
Security

Virtualization

KPIs and
Analytics

Portable Media
Security

Encryption

Threat
Defense

Vulnerability
Assessment

Knowledge Center
PLAN

After

During

Before

BUILD

RUN

DETECT

RESPOND

Proactive
Monitoring

Incident
Response

Security
Monitoring

Forensics

Anomaly
Detection

Disaster
Recovery

Malware
Detection

Backup and
Restore

Intrusion
Detection

Continuous
Improvement

Location
Awareness

24 x 7

MONITOR

MANAGE

THREAT
IP
spoofing

ATTAC
K

Gaining
access

SECURITY
OPERATING
CENTER

Server

ATTACK

spoofing

Ancaman

DNS
poisoning
Man in the

ATTAC
K

Midle
Server
spoofing

etc

1 Managing the Log

2 Monitoring of Security Environments
for Security Events
3 Threats Identification

4 Reaction to Threats
5 Incident Management
6 Reporting

Fungsi
SOC

SOC - LEMSANEG
24/7 Security Monitoring
Better Security Management
Improve Security Posture
Preventing Future Security Incident
Regulatory Compliance

SOC
Lemsaneg

REKOMENDASI
Policy Making

Application Development

Pemda Bogor membuat kebijakan terkait operasional dan
keamanan Sistem Informasi sesuai dengan kebutuhan.

Penda Bogor membangun sistem informasi dan jaringan
dengan mengedepankan kaidah keamanan

Kostumisasi Fungsi

IT Security Assessment

Lemsaneg Memberikan Dukungan Terhadap Fungsi
Authentikasi, Enkripsi dan Signing File dari Aplikasi yang
pemda Bogor bangun

Lemsaneg melakukan IT Security Assessmnet terhadap
Aplikasi Sistem Informasi dan Infrastruktur yang dibangun
dan memberikan rekomendasi terkait miitigasi celah
keamanan yang ditemukan.

System Design

Asistensi Implementasi

Lemsaneg memberikan rekomendasi terkait Desain Arsitekur
Keamanan Aplikasi dan Desain Keamanan Jaringan yang
dapat digunakan Pemda Bogor sebagai referensi dalam
membangun keamanan Sistem Informasi di Pemda Bogor

Lemsaneg memberikan asistensi tekait implementasi
pembangunan / pengembangan sistem (aplikasi dan
jaringan) terkait aspek security

33

TERIMA KASIH

34