BAB III (Sistem Keamanan informasi)

A. Pengertian :

Jika kita berbicara tentang keamanan sistem informasi, selalu kata kunci yang dirujuk adalah pencegahan dari kemungkinan adanya virus, hacker, cracker dan lain-lain. Padahal berbicara masalah keamanan sistem informasi maka kita akan berbicara kepada kemungkinan adanya resiko yang muncul atas sistem tersebut (lihat tulisan strategi pendekatan manajemen resiko dalam pengembangan sistem informasi). Sehingga pembicaraan tentang keamanan sistem tersebut maka kita akan berbicara 2 masalah utama yaitu :
1. Threats (Ancaman) atas sistem dan
2. Vulnerability (Kelemahan) atas sistem

Masalah tersebut pada gilirannya berdampak kepada 6 hal yang utama dalam sistem informasi yaitu : 
 • Efektifitas
• Efisiensi
• Kerahaasiaan
• Integritas
• Keberadaan (availability)
• Kepatuhan (compliance)
• Keandalan (reliability)

Untuk menjamin hal tersebut maka keamanan sistem informasi baru dapat terkriteriakan dengan baik. Adapun kriteria yag perlu di perhatikan dalam masalah keamanan sistem informasi membutuhkan 10 domain keamanan yang perlu di perhatikan yaitu :
 1. Akses kontrol sistem yang digunakan
2. Telekomunikasi dan jaringan yang dipakai
3. Manajemen praktis yang di pakai
4. Pengembangan sistem aplikasi yang digunakan
5. Cryptographs yang diterapkan
6. Arsitektur dari sistem informasi yang diterapkan
7. Pengoperasian yang ada
8. Busineess Continuity Plan (BCP) dan Disaster Recovery Plan (DRP)
9. Kebutuhan Hukum, bentuk investigasi dan kode etik yang diterapkan
10. Tata letak fisik dari sistem yang ada

Dari domain tersebutlah isu keamanan sistem informasi dapat kita klasifikasikan berdasarkan ancaman dan kelemahan sistem yang dimiliki.

B. ANCAMAN (Threats) 

Ancaman adalah aksi yang terjadi baik dari dalam sistem maupun dari luar sistem yang dapat mengganggu keseimbangan sistem informasi.
Ancaman yang mungkin timbul dari kegiatan pengolahan informasi berasal dari 3 hal utama, yaitu : 1. Ancaman Alam
2. Ancaman Manusia
3. Ancaman Lingkungan

Ancaman Alam Yang termasuk dalam kategori ancaman alam terdiri atas : 
• Ancaman air, seperti : Banjir, Stunami, Intrusi air laut, kelembaban tinggi, badai, pencairan salju
• Ancaman Tanah, seperti : Longsor, Gempa bumi, gunung meletus
• Ancaman Alam lain, seperti : Kebakaran hutan, Petir, tornado, angin ribut

Ancaman Manusia Yang dapat dikategorikan sebagai ancaman manusia, diantaranya adalah : 
• Malicious code
• Virus, Logic bombs, Trojan horse, Worm, active contents, Countermeasures
• Social engineering
• Hacking, cracking, akses ke sistem oleh orang yang tidak berhak, DDOS, backdoor
• Kriminal
• Pencurian, penipuan, penyuapan, pengkopian tanpa ijin, perusakan
• Teroris
• Peledakan, Surat kaleng, perang informasi, perusakan

Ancaman Lingkungan Yang dapat dikategorikan sebagai ancaman lingkungan seperti : 
• Penurunan tegangan listrik atau kenaikan tegangan listrik secara tiba-tiba dan dalam jangka waktu yang cukup lama
• Polusi
• Efek bahan kimia seperti semprotan obat pembunuh serangga, semprotan anti api, dll
• Kebocoran seperti A/C, atap bocor saat hujan

Besar kecilnya suatu ancaman dari sumber ancaman yang teridentifikasi atau belum teridentifikasi dengan jelas tersebut, perlu di klasifikasikan secara matriks ancaman sehingga kemungkinan yang timbul dari ancaman tersebut dapat di minimalisir dengan pasti. Setiap ancaman tersebut memiliki probabilitas serangan yang beragam baik dapat terprediksi maupun tidak dapat terprediksikan seperti terjadinya gempa bumi yang mengakibatkan sistem informasi mengalami mall function.

C. KELEMAHAN (Vurnerability) 

Adalah cacat atau kelemahan dari suatu sistem yang mungkin timbul pada saat mendesain, menetapkan prosedur, mengimplementasikan maupun kelemahan atas sistem kontrol yang ada sehingga memicu tindakan pelanggaran oleh pelaku yang mencoba menyusup terhadap sistem tersebut. Cacat sistem bisa terjadi pada prosedur, peralatan, maupun perangkat lunak yang dimiliki, contoh yang mungkin terjadi seperti : Seting firewall yang membuka telnet sehingga dapat diakses dari luar, atau Seting VPN yang tidak di ikuti oleh penerapan kerberos atau NAT.

Contoh Tekhnik pencurian Data:

1. Teknik Session Hijacking

Dengan session hijacking, hacker menempatkan sistem monitoring/spying terhadap pengetikan yang dilakukan pengguna pada PC yang digunakan oleh pengguna untuk mengunjungi situs. Untuk mengatasi masalah ini pengguna sebaiknya menggunakan komputer yang benar-benar terjamin dan tidak digunakan oleh sembarang orang, misalnya komputer di rumah, kantor, dsb.

2. Teknik Packet Sniffing

Pada teknik ini hacker melakukan monitoring atau penangkapan terhadap paket data yang ditransmisikan dari komputer client ke web server pada jaringan internet. Untuk mengatasi masalah ini perlu dilakukan enkripsi/penyandian paket data pada komputer client sebelum dikirimkan melalui media internet ke web server.

3. Teknik DNS Spoofing

Pada teknik ini hacker berusaha membuat pengguna mengunjungi situs yang salah sehingga memberikan informasi rahasia kepada pihak yang tidak berhak. Untuk melakukan tehnik ini hacker umumnya membuat situs yang mirip namanya dengan nama server eCommerce asli. Misalnya www.klikbca.com merupakan situs yang asli, maka hacker akan membuat situs bernama www.klik_bca.com, www.klikbca.org, www.klik-bca.com, www.klikbca.co.id. Dengan demikian ketika pengguna membuka alamat yang salah, ia akan tetap menduga ia mengunjungsi situs klikbca yang benar.

4. Teknik Website Defacing

Pada teknik ini hacker melakukan serangan pada situs asli misalkan www.klikbca.com kemudian mengganti isi halaman pada server tersebut dengan miliknya. Dengan demikian pengunjung akan mengunjungi alamat dan server yang benar namun halaman yang dibuat hacker.

Contoh pencurian data :

Beberapa Teknik Umum Pencurian Data Yang sering di Lakukan Oleh Hackers dan Crackers

1.      Eaversdropping

Tindakan Melakukan intersepsi secara real-Time  yang tidak diotoritasi terhadap komunikasi pribadi. Tindakan ini dilakukan untuk mencuri data yang dikirim melalui jaringan seperti ( Telepon, Email, SMS, Fax )

2.      Snooping

Tindakan Mengakses data orang lain tanpa otorisasi. Hal ini dilakukan dengan cara mengintip email orang lain pada saat di tampilkan di monitor atau mengamati sesorang ketika mengetik sesuatu di keyboard atau dengan menggunakan  perangkat lunak seperti keylogger untuk merekam setiap tombol yang diketik pengguna.

3.      Spoofing

Tindakan menyusup ke sebuah jaringan di internet dengan cara memalsuka IP Addres dan kemudian melakukan serangan ke jaringan yang berhasil disusupi 

4.      E-mail Spoofing

Teknik Penipuan yang dilakukan dengan cara memalsukan email header, dan hal ini di lakukakan oleh spam agar mencuri data penerima email spoofing tersebut.

5.      Phising

Cara mendapatkan data penting korbang dengan situs palsu dan mengarahkan korban agar memasukan data pentingya di situs palsu tersebut. Korban di tipu menggunakan rekayasa social seperti mengirim email ke Korban.

6.      Pharming

Sama denga Phising hanya pada pharming korban diarahkan ke situs palsu dengan cara membajak DNS ( Domain Name Service ) dari situs yang dipalsukan

7.      Cookies

Data yang telah diisi dalam sebuah situs melalui Sign Up tersipan secara otomatis dan suatu saat membuka situ tersebut tidak perlu memasukan data lagi. Data yang di masukan dikirm ke pengguna sebagai cookies dalam bentuk file teks dan hal ini tidak begitu berbahaya.

8.      Spyware

Program yang mencurigakan yang dinstal secara diam-diam melalui web. Hal ini dilakukan untuk mencuri data secara online seperti Keystroke, user ID, password, alamat email dan history di halaman web.

9.      Adware

Menipu korban dengan menampilkan iklan – iklan secar online untuk mengelabui aktivitas online dan belanja online dengan iklan yang cocok untuk korba yang sering berbelanja online.

10. Browse Hijackers

Pembajak browser dengan mengubah pengaturan browser, lalu mengalihkan atau mengarahkan situs peselencar menuju situs – situs yang berbauh pornografi dan pornoaksi atau situs – situs lain yang tidak di inginkan pengguna situs