PENGAMANAN SISTEM PERTEMUAN 6 ppt

PERTEMUAN - 6

Strategi Keamanan

Strategi Keamanan Sistem
Informasi
Elemen Kunci Kebijakan Keamanan EC-Council melihat
ada 7 (tujuh) elemen kunci yang harus diperhatikan
dalam menyusun kebijakan keamanan, masing-masing
adalah:
1.Komunikasi yang jelas mengenai arti dan pentingnya
sebuah kebijakan keamanan untuk disusun dan ditaati
oleh seluruh pemangku kepentingan perusahaan;
2.Definisi yang jelas dan ringkas mengenai aset
informasi apa saja yang harus diprioritaskan untuk
dilindungi dan dikelola dengan sebaik-baiknya;
3.Penentuan ruang lingkup pemberlakukan kebijakan
yang dimaksud dalam teritori kewenangan yang ada;

4. Jaminan

adanya
sanksi,
perlindungan,
dan
penegakan hukum terhadap para pelaku yang
terkait dengan manajemen informasi sesuai dengan
peraturan dan undang-undang yang berlaku;
5. Adanya pembagian tugas dan tanggung jawab yang
jelas terhadap personel atau SDM yang diberikan
tugas untuk melakukan kegiatan pengamanan
informasi;
6. Penyusunan dokumen atau referensi panduan bagi
seluruh
pemangku
kepentingan
dan
pelaku
manajemen keamanan informasi untuk menjamin
penerapan yang efektif;

7. Partisipasi aktif dan intensif dari manajemen atau

pimpinan puncak organisasi untuk mensosialisasikan
dan mengawasi implementasi kebijakan dimaksud.
Peranan dan Tujuan Keberadaan Kebijakan Keamanan
Secara prinsip paling tidak ada 2 (dua) peranan
penting dari sebuah dokumen kebijakan keamanan,
yaitu:
 Untuk mendefinisikan dan memetakan secara
detail aset-aset informasi apa saja yang harus
dilindungi dan dikelola dengan baik keamanannya;
 Untuk mereduksi atau mengurangi resiko yang
dapat ditimbulkan karena:

Adanya penyalahgunaan sumber daya atau
fasilitas perusahaan yang terkait dengan
manajemen pengelolaan data dan informasi;

Adanya insiden yang menyebabkan hilangnya
data penting, tersebarnya informasi rahasia,

dan pelanggaran terhadap hak cipta (HAKI);
 Adanya pelanggaran terhadap hak akses
pengguna informasi tertentu sesuai dengan
hak dan wewenangnya.


Klasifikasi Jenis Kebijakan Keamanan
Dilihat dari segi peruntukkan dan kontennya,
dokumen
kebijakan
keamanan
dapat
dikategorisasikan menjadi beberapa jenis, yaitu:
1.User Policy
Berisi berbagai kebijakan yang harus dipatuhi oleh
seluruh pengguna komputer dan sistem informasi
organisasi, terutama menyangkut masalah hak
akses, proteksi keamanan, tanggung jawab
pengelolaan aset teknologi, dan lain sebagainya;

2. IT Policy

Diperuntukkan secara khusus bagi mereka
yang bekerja di departemen atau divisi
teknologi informasi untuk memastikan
adanya
dukungan
penuh
terhadap
pelaksanaan
tata
kelola
keamanan
informasi, seperti: mekanisme back-up, tata
cara
konfigurasi
teknologi,
dukungan
terhadap pengguna, manajemen help desk,
penanganan insiden, dan lain sebagainya;

3. General Policy

membahas masalah-masalah umum yang
menjadi tanggung jawab bersama seluruh
pemangku kepentingan organisasi, misalnya
dalam hal mengelola keamanan informasi
pada saat terjadi: manajemen krisis,
serangan penjahat cyber, bencana alam,
kerusakan sistem, dan lain sebagainya;

Contoh Model Kebijakan Keamanan
Dipandang dari segi prinsip, paradigma, dan
pendekatan dalam menyusun strategi keamanan,
dokumen
kebijakan
yang
disusun
dapat
dikategorikan menjadi sejumlah model, antara lain:

Primiscuous Policy
Merupakan kebijakan untuk tidak memberikan
restriksi apa pun kepada para pengguna dalam
memanfaatkan internet atau sistem informasi yang
ada. Kebebasan yang mutlak ini biasanya sering
diterapkan oleh organisasi semacam media atau
pers, konsultan, firma hukum, dan lain sebagainya
– yang menerapkan prinsip-prinsip kebebasan
dalam berkarya dan berinovasi.

Permissive Policy

Pada intinya kebijakan ini juga memberikan
keleluasaan kepada pengguna untuk memanfaatkan
sistem informasi sebebas-bebasnya tanpa kendali,
namun setelah dilakukan sejumlah aktivitas kontrol,
seperti: (i) menutup lubang-lubang kerawanan
dalam sistem dimaksud; (ii) menonaktifkan port atau
antar muka input-output yang tidak dipergunakan;
(iii)

mengkonfigurasian
server
dan
firewalls
sedemikian rupa sehingga tidak dimungkinkan
adanya akses dari eksternal organisasi ke dalam;
dan lain sebagainya.

Prudent Policy

Kebalikan dengan dua model kebijakan sebelumnya,
jenis ini organisasi benar-benar menggunakan prinsip
kehati-haian
dalam
mengelola
keamanan
informasinya. Dalam lingkungan ini, hampir seluruh
sumber daya informasi “dikunci” dan “diamankan”.
Untuk menggunakannya, setiap user harus melalui
sejumlah aktivitas pengamanan terlebih dahulu.

Prinsip ekstra hati-hati ini biasanya cocok untuk
diterapkan pada organisasi semacam instalasi
militer, bursa efek, perusahaan antariksa, dan lain
sebagainya.

Isu Kerahasiaan Data
Ada beberapa isu-isu yang terkait dengan keamanan
dan kerahasiaan sistem komputer, jaringan komputer
dan internet menurut International Telecomunication
Uion-Telecomunication Standarization Sector (ITU-T)
yang merekomendasikan X.800, yaitu sebuah
arsitektur keamanan OSI yang dituangkan secara
jelas pada RFC 2828.
Adapun kategori-kategori yang diatur dalam layanan
keamanan X.800 adalah : authentication, Access
Control
Data
Confidentiality,
Data
Integrity,

Nonrepudiation dan Avaiability Services

Privacy
Ketika sebuah pesan atau informasi dirasa sensitif
atau nilai informasi itu tinggi, informasi tersebut
sifatnya rahasia dan perlu mendapatkan
perlindungan. Sejak internet berkembang secara
pesat, lalul intas pengiriman data dan informasi
yang melewatinya sangat tinggi. Data-data yang
kita kirim seperti data pribadi di alamat-alamat
website tertentu dapat disalah gunakan oleh
user yang tidak bertanggung jawab. Informasi
tersebut dapat saja disalahgunakan untuk
penawaran produk tertentu, belum lagi serbuan
software spyware yang biasanya terdapat pada
software gratisan.

Spyware akan memata-matai semua kegiatan
kita di internet dan mencatat semua data
pribadi kita.

Dengan kondisi itu, pelanggaran privasi atas
data pribadi sangat mudah terjadi, terutama
diluar pengetahuan dan persetujuan objek data.

Integrity
Integritas data diperlukan untuk menjamin bahwa
data yang dikirim harus benar-benar data asli
yang dikirim oleh orang atau user yang benarbenar mengirimkannya. Selain itu integritas
harus bisa memberikan jaminan untuk tiap
bagian bahwa pesan tidak akan mengalami
perubahan dari saat dibuat sampai saat dibuka.
Untuk keperluan menjaga agar data yang
dikirimkan utuh dan asli seperti apa adanya,
banyak yang menggunakan model enkripsi

Authenticity
Isu utama dalam keamanan adalah kasalian,
pembuktian
pesan,
file,

dokumen
atau
kumpulan data lainnya yang dikatakan autentik
dan berasal dari sumber yang terpercaya atau
resmi.
Non-Repudiation
Hal ini berkaitan dengan penyangkalan apa yang
telah dilakukan oleh seseorang yang telah
melakukan sesuatu namun tidak dapat
dibuktikan atau menyangkal telah melakukan
transaksi.

Model Enkripsi
Sejarah Singkat Enkripsi
Jaman dahulu orang Yunani menggunakan tool
yang
disebut
Scytale
untuk
membantu
mengenkripsi pesan yang akan mereka kirimkan.
Metode ini lebih cepat dibandingkan dengan
menggunakan.
Mereka
akan
membungkus
silinder dengan kertas, menulis pesan dan
mengirimkannya.
Metode enkripsi ini sangat mudah dipecahkan,
tidak mengherankan karena ini adalah enkripsi
pertama di dunia yang digunakan di dunia nyata.

Julius Caesar menggunakan metode yang agak mirip
dengan ini, menggeser setiap huruf alfabet ke kanan
atau ke kiri berdasarkan angka dan posisi. Tekni
enkripsi ini disebut juga Caesar cipher. Sebagai
contoh kamu bisa melihat cipher di bawah ini, ketika
ingin
menuliskan
UNSURYA
maka
dituliskan
XQVXUBD.
Plain:
ABCDEFGHIJKLMNOPQRSTUVWXY
Z
Cipher: D E F G H I J K L M N O P Q R S T U V W X Y Z A B C

Hanya para penerima pesan memiliki cipher akan
tahu maksut pesan tersebut, akan sulit orang
berikutnya untuk memecahkan kode pesan.
Contoh cipher enkripsi sederhana lainnya adalah
Polybius square menggunakan cipher polyalphabetic
yang alfabetnya tertulis di setiap sisi angka.

Dengan menggunakan metode engkripsi di atas,
kalau kamu ingin menuliskan UNSURYA, berarti
enrkipsinya adalah 35 52 44 35 14 55 11.

Sejarah Enkripsi di Era Modern
Hari ini orang orang tidak memiliki metode enkripsi yang
baik untuk mengamankan komunikasi di dunia elektronik.
Lucifer adalah nama yang diberikan beberapa orang block
cipher saat awal-awal, dikembangkan oleh Horst Feistel
bersama teman-temannya di IBM.
Data Encryption Standard (DES) adalah sebuah block
cipher (bentuk dari enkripsi rahasia yang dibagikan)
dipilih oleh National Bureau of Standards sebagai Federal
Information Processing Standard (FIPS) di Amerika pada
tahun 1976 yang kemudian digunakan secara luas dan
mendunia.

Algoritma enkripsi Rijndael digunakan oleh
pemerintahan Amerika sebagai standar enkripsi
sysmmetric-key, atau Advanced Encryption
Standard (AES). AES diumumkan secara resmi
oleh National Institute of Standards and
Technology (NIST) sebagai U.S. FIPS PUB 197
(FIPS 197) pada 26 November 2001, setelah 5
tahun proses standarisasi dimana ada 15 desain
block cipher bersaing untuk terpilih menjadi
algoritma enkripsi yang cocok.

Jenis-Jenis Enkripsi di Era Modern
Semua algoritma enkripsi yang sudah kita bahas
tadi sebagian besar menggunakan dua jenis
enkripsi, yaitu:
Algoritma Symmetric key menggunakan kunci
enkripsi yang terkait atau identik untuk enkripsi
dan dekripsi.
Algoritma Asymmetric key menggunakan kunci
berbeda untuk enkripsi dan dekripsi. Biasanya ini
disebut sebagai Public-key Cryptography.

Algoritma Symmetric key

Algoritma Asymmetric key

Aplikasi Protokol
Cryptografi
Pengertian Protokol Cryptografi
kriptografi atau dalam bahasa Inggris "Cryptography“
adalah ilmu dan seni (art and science) yang dapat
menyembunyikan tulisan terang (plaintext) menjadi
tulisan sandi (ciphertext) dengan formula atau
algoritma tertentu dan biasanya menggunakan kunci.
Biasanya
kriptografi
menyediakan
service
CIA
(confidensial, Integrity, Authentication). Dengan kata
lain, Kriptografi adalah : suatu protokol yang
didalamnya ada unsur kriptografi, menggunakan
beberapa algoritma kriptografi dan untuk memenuhi
CIA.

Macam-Macam
Kriptografi
1.DATA ENCYPTION STANDART

Data
Encryption
Standard (DES)
adalah
sebelumnya dominan algoritma untuk enkripsi data
elektronik. Ini sangat berpengaruh dalam kemajuan
modern kriptografi di dunia akademis. Dikembangkan
pada awal tahun 1970 di IBM dan didasarkan pada
desain sebelumnya oleh Horst Feistel, algoritma
telah
disampaikan
kepada National
Bureau
Standard (NBS) mengikuti undangan badan untuk
mengusulkan calon untuk perlindungan sensitif,
unclassified data pemerintah elektronik.

2.ADVANCE ENCRYPTION STANDART

Advance
Encryption
Standard (AES)
merupakan pengganti dari DES setelah DES ditarik
sebagai standar oleh Institut Nasional Standar dan
Teknologi.
AES
adalah
sebuah
spesifikasi
untuk enkripsi data elektronik yang ditetapkan
oleh US National Institute of Standard an
Technology (NIST) pada tahun 2001. AES termasuk
dalam standar ISO / IEC 18033-3. AES tersedia
dalam berbagai paket enkripsi yang berbeda, dan
merupakan yang pertama diakses publik dan
terbuka cippher disetujui oleh National Security
Agency (NSA)
untuk rahasia
informasi
bila
digunakan dalam NSA disetujui modul kriptografi.

3.DIGITAL SERTIFICATE SERVER

Digital Certificate Server adalah file yang terproteksi
password yang berisi berbagai macam info berita:
nama dan alamat email pemegang sertifikat, kunci
enkripsi yang dapat digunakan untuk memverifikasi
tanda tangan digital pemegang, nama perusahaan
yang mengeluarkan sertifikat, dan periode validitas
sertifikat.
Digital Certificate Server melakukan verifikasi untuk
digital signature, autentikasi user, menggunakan
public dan private key, contoh : Netscape Certificate
Server.

Sekian
Terima Kasih