Pengantar Keamanan Sistem InformasiHaryono Setiadi, M.EngProdi D3 Teknik Informatika MIPA UNS

Pentingnya Keamanan SistemTantangan Keamanan SistemStatistik Insiden Keamanan SistemOBJEK PEMBELAJARAN

Pentingnya Keamanan SistemTantangan Keamanan SistemStatistik Insiden Keamanan SistemOBJEK PEMBELAJARAN

Informasi saat ini menjadi sebuah komoditi yang sangat penting information-based society. Kemampuan untuk mengakses & menyediakan informasi secara cepat dan akurat Pentingnya nilai informasi informasi yg di inginkan hanya boleh diakses oleh orang tertentu.Jatuhnya informasi ke pihak lain (lawan bisnis) dapat menimbulkan kerugian pemilik informasi. Contoh : produk dlm proses development.1. Pentingnya Keamanan Sistem (1)

1. Pentingnya Keamanan Sistem (1)Sangat pentingnya nilai sebuah informasi menyebabkan informasi hanya boleh diakses oleh orang2 tertentu Jatuhnya informasi ke tangan pihak lain menimbulkan kerugian bagi pemilik informasiContoh : informasi tentang produk yg baru di develop jatuh ke lawan kompetitor

Untuk itu keamanan SI yang digunakan harus terjamin dalam batas yang dapat diterima.

1. Pentingnya Keamanan Sistem (1)Jaringan komputer (LAN & Internet) menyediakan informasi secara cepat.Terhubungnya LAN / komputer ke Internet membuka potensi adanya lubang keamanan (security hole) yang tadinya bisa ditutupi dengan mekanisme keamanan secara fisik .Kemudahan (kenyamanan) mengakses informasi berbanding terbalik dengan tingkat keamanan sistem informasi itu sendiri.

Semakin tinggi tingkat keamanan, semakin sulit (tidak nyaman) untuk mengakses informasi.

1. Pentingnya Keamanan Sistem (1)Faktor yg menyebabkan sistem informasi rentan terhadap gangguan:Sistem yg dirancang untuk bersifat terbuka (mis: Internet)Perkembangan jaringan (internetworking) yang amat cepatSikap dan pandangan pemakaiAspek keamanan belum banyak dimengertiMenempatkan keamanan sistem pada prioritas rendahKetrampilan (skill) pengamanan kurang

Pentingnya Keamanan SistemTantangan Keamanan SistemStatistik Insiden Keamanan SistemOBJEK PEMBELAJARAN

Ketidakpedulian manajemen perusahaanLebih mementingkan reducing cost perbaikan sistem yang dirusak membutuhkan biaya besar

Tidak adanya perencanaan awalKebutuhan budget yang besar secara tiba-tibaContoh : kunci pintu rumah 1 rumah memiliki 2 kamar dampak tdk seberapa1 hotel memiliki 200 kamar bugjed menjadi besar

Jika tidak budgetkan diawal akan dikagetkan dengan kebutuhan pengamaman sistem : (firewall, Intrusion Detection System, anti virus, Dissaster Recovery Center2. Tantangan Keamanan Sistem (1)

2. Tantangan Keamanan Sistem (2)Keuntungan tak terlihatKeuntungan yang tidak bisa diukur dengan uang (intangible) pihak management kurang peduli/mengerti pentingnya keamanan sistem

Mengurangi kenyamananComfort or Secure ? semakin aman semakin tidak nyaman

AmanNyaman2. Tantangan Keamanan Sistem (3)

Apakah keamanan adalah sesuatu yang tidak bisa diukur dengan uang ? Pertimbangkan kerugian yang terjadi jika :Sistem tidak bekerja (down)1 X 24 Jam ? 7 hari ? 1 bulan? Contoh : server amazon.com down dlm beberapa hari = kerugian jutaan dolar

Ada kesalahan informasiInformasi dirubah ? Contoh : harga katalog online berbeda dengan harga real di toko2. Tantangan Keamanan Sistem (4) Tangible vs Intangible

Ada data yang hilangData pelanggan hilang ? Invoice hilang ? dibutuhkan biaya tinggi untuk rekonstruksi data

Nama baik perusahaanWeb dirubah ?Contoh : bank terkenal sering terjadi security incidents banyak nasabah yang pindah ke bank lain karena takut keamanannya.2. Tantangan Keamanan Sistem (5) Tangible vs Intangible

Pentingnya Keamanan SistemTantangan Keamanan SistemStatistik Insiden Keamanan SistemOBJEK PEMBELAJARAN

3. Statistik Insiden Keamanan Sistem(Luar negeri)Survey Information Week (USA), 1271 system or network manager, hanya 22% yang menganggap keamanan sistem informasi sebagai komponen penting.Kesadaran akan masalah keamanan masih rendah!

3. Statistik Insiden Keamanan Sistem (Luar negeri)Timbul Masalah Security

Angka pasti, sulit ditampilkan karena kendala bisnis. Negative publicity.1996. FBI National Computer Crime Squad, kejahatan komputer yang terdeteksi kurang dari 15%, dan hanya 10% dari angka itu yang dilaporkan.1996. American Bar Association: dari 1000 perusahaan, 48% telah mengalami computer fraud dalam kurun 5 tahun terakhir.1996. Di Inggris, NCC Information Security Breaches Survey: kejahatan komputer naik 200% dari 1995 ke 1996.1997. FBI: kasus persidangan yang berhubungan dengan kejahatan komputer naik 950% dari tahun 1996 ke 1997, dan yang convicted di pengadilan naik 88%.3. Statistik Insiden Keamanan Sistem (Luar negeri)

1988. Sendmail dieksploitasi oleh R.T. Morris sehingga melumpuhkan Internet. Diperkirakan kerugian mencapai $100 juta. Morris dihukum denda $10.000.10 Maret 1997. Seorang hacker dari Massachusetts berhasil mematikan sistem telekomunikasi sebuah airport lokal (Worcester, Mass.) sehingga memutuskan komunikasi di control tower dan menghalau pesawat yang hendal mendarat7 Februari 2000 s/d 9 Februari 2000. Distributed Denial of Service (Ddos) attack terhadap Yahoo, eBay, CNN, Amazon, ZDNet, E-Trade. Diduga penggunaan program Trinoo, TFN.3. Statistik Insiden Keamanan Sistem (Luar negeri)

3. Statistik Insiden Keamanan Sistem (Luar negeri)1999. Common Vulnerabilities and Exposure cve.mitre.org mempublikasikan lebih dari 1000 kelemahan sistem. CVE terdiri dari 20 security entities.2000. Ernst & Young survey menunjukkan bahwa 66% responden menganggap security & privacy menghambat (inhibit) perkembangan e-commerce2001. Virus SirCam mengirimkan file dari harddisk korban. File rahasia bisa tersebar. Worm Code Red menyerang sistem IIS kemudian melakukan port scanning dan menyusup ke sistem IIS yang ditemukannya.

3. Statistik Insiden Keamanan Sistem (Dalam negeri)Januari 1999. Domain Timor Timur (.tp) diacak-acak dengan dugaan dilakukan oleh orang IndonesiaSeptember 2000. Mulai banyak penipuan transaksi di ruangan lelang (auction) dengan tidak mengirimkan barang yang sudah disepakati24 Oktober 2000. Dua Warnet di Bandung digrebeg karena menggunakan account dialup curian. Banyak situs web Indonesia (termasuk situs Bank) yang diobok-obok (defaced)Akhir tahun 2000, banyak pengguna Warnet yang melakukan kegiatan carding

3. Statistik Insiden Keamanan Sistem (Dalam negeri)Juni 2001. Situs plesetan kilkbca.com muncul dan menangkap PIN pengguna klikbca.comSeorang operator komputer di sebuah rumah sakit mencuri obat-obatan dengan mengubah data-data pembelian obatOktober 2001. Jaringan VSAT BCA terputus selama beberapa jam sehingga mesin ATM tidak dapat digunakan untuk transaksi. Tidak diberitakan penyebabnya.3 April 2002. Pada siang hari (jam 14:34 WIB), sistem BEJ macet sehingga transaksi tidak dapat dilakukan sampai tutup pasar (jam 16:00). Diduga karena ada transaksi besar (15 ribu saham TLKM dibeli oleh Meryll Lynch). Padahal ada perangkat (switch) yang tidak berfungsiOktober 2002. Web BRI diubah (deface)

Koran Tempo, 26 September 2003

KEJAHATAN DI ATM

Mungkinkah aman?Sangat sulit mencapai 100% amanAda timbal balik antara keamanan vs. kenyamanan (security vs convenience)Semakin tidak aman, semakin nyaman

Definisi computer security: (Garfinkel & Spafford)A computer is secure if you can depend on it and its software to behave as you expect

***Masalah keamanan merupakan salah satu aspek penting dari sebuah sistem informasi masalah keamanan ini sering kali kurang mendapat perhatian dari para pemilik dan pengelola sistem informasi. Seringkali masalah keamanan berada di urutan kedua, atau bahkan di urutan terakhir dalam daftar hal-hal yang dianggap penting. Apabila menggangu performansi dari sistem, seringkali keamanan dikurangi atau ditiadakan.

Informasi saat ini sudah menjadi sebuah komoditi yang sangat penting. Bahkan ada yang mengatakan bahwa kita sudah berada di sebuah information-based society. Kemampuan untuk mengakses dan menyediakan informasi secara cepat dan akurat menjadi sangat esensial bagi sebuah organisasi, baik yang berupa organisasi komersial (perusahaan), perguruan tinggi, lembaga pemerintahan, maupun individual

Sangat pentingnya nilai sebuah informasi menyebabkan seringkali informasi diinginkan hanya boleh diakses oleh orang-orang tertentu. Jatuhnya informasi ke tangan pihak lain (misalnya pihak lawan bisnis) dapat menimbulkan kerugian bagi pemilik informasi. Sebagai contoh, banyak informasi dalam sebuah perusahaan yang hanya diperbolehkan diketahui oleh orang-orang tertentu di dalam perusahaan tersebut, seperti misalnya informasi tentang produk yang sedang dalam development, algoritma-algoritma dan teknik-teknik yang digunakan untuk menghasilkan produk tersebut. Untuk itu keamanan dari sistem informasi yang digunakan harus terjamin dalam batas yang dapat diterima.**Perusahaan lebih mementingkan reducing cost dan improving competitiveness meskipun perbaikan sistem informasi setelah dirusak justru dapat menelan biaya yang lebih banyak.Jika kita membangun sebuah rumah, maka pintu rumah kita harus dilengkapi dengan kunci pintu. Jika kita terlupa memasukkan kunci pintu pada budget perencanaan rumah, maka kita akan dikagetkan bahwa ternyata harus keluar dana untuk menjaga keamanan.Kalau rumah kita hanya memiliki satu atau dua pintu, mungkin dampak dari budget tidak seberapa. Bayangkan bila kita mendesain sebuah hotel dengan 200 kamar dan lupa membudgetkan kunci pintu.kebutuhan pengamanan sistem informasi perangkat pengamanan (firewall, Intrusion Detection System, anti virus, Dissaster Recovery Center, dan seterusnya).*Meskipun sering terlihat sebagai besaran yang tidak dapat langsung diukur dengan uang (intangible), keamanan sebuah sistem informasi sebetulnya dapat diukur dengan besaran yang dapat diukur dengan uang (tangible).

*Hitung kerugian apabila sistem informasi anda tidak bekerja selama 1 jam, selama 1 hari, 1 minggu, dan 1 bulan. (Sebagai perbandingkan, bayangkan jika server Amazon.com tidak dapat diakses selama beberapahari. Setiap harinya dia dapat menderita kerugian beberapa juta dolar.)

Hitung kerugian apabila ada kesalahan informasi (data) pada sistem informasi anda. Misalnya web site anda mengumumkan harga sebuah barang yang berbeda dengan harga yang ada di toko anda.*Hitung kerugian apabila ada data yang hilang, misalnya berapa kerugian yang diderita apabila daftar pelanggan dan invoice hilang dari sistem anda. Berapa biaya yang dibutuhkan untuk rekonstruksi data.

Apakah nama baik perusahaan anda merupakan sebuah hal yang harus dilindungi? Bayangkan bila sebuah bank terkenal dengan rentannya pengamanan data-datanya, bolak-balik terjadi security incidents.Tentunya banyak nasabah yang pindah ke bank lain karena takut akan keamanan uangnya.**