KEAMANAN SISTEM INFORMASI

Sistem komputer bisa dikatakan sebagai suatu sistem yang aman jika telah memenuhi beberapa syarat tertentu untuk mencapai suatu tujuan keamanan. Secara garis besar, persyaratan keamanan sistem komputer dapat dibedakan menjadi tiga,yaitu:

- Kerahasian (secrecy)

Secrecy berhubungan dengan hak akses untuk membaca data atau informasi dari suatu system computer.dalam hal ini suatu system computer dapat dikatakan aman jika suatu data atau informasi hanya dapat dibaca oleh pihak yang telah diberi hak atau wewenang

- Integritas (integrity)

Integrity berhubungan dengan hak akses untuk mengubah data dari suatu sistem komputer dalam hal ini suatu sistem komputer dikatakan aman, jika suatu data hanya dapat diubah oleh pihak yang berwenang

- Ketersediaan (availability)

Availability berhubungan dengan ketersediaan data pada saat yang dibutuhkan dalam hal ini suatu data dapat diakses dan dimanfaatkan oleh pihak yang berhak.    

Lingkup keamanan adalah sisi-sisi jangkauan keamanan komputer yang bisa dilakukan. Pada prinsipnya pengamanan sistem komputer mencakup empat hal yang sangat mendasar, yaitu:

a.      Pengamanan secara fisik

Computer secara fisik adalah wujud computer yang bisa dilihat dan diraba,seperti monitor,CPU,keyboard dan lain-lain.jika computer memang perlu untuk diamankan karena fungsi dan data di dalamnya yang penting,maka pengaman secara fisik dapat dilakukan dengan dengan menempatkan system computer pada tempat atau lokasi yang mudah diawasi dan dikendalikan,pada ruangan tertentu yang dapat dikunci,dan sulit dijankau orang lain,sehingga tidak ada komponen yang hilang. Hal ini dilakukan untuk mengantisipasi kelalaian / keteledoran User yang seringkali meninggalkan terminal komputer dalam keadaan Log On. Hal ini dapat mengakibatkan pihak lain dapat mengakses beberapa fasilitas sistem komputer

b.      Pengamanan Akses

Ini dilakukan untuk PC yang mengunakan system operasi lagging (penguncian) dan system operasi jaringan.ini dilakukan untuk mengantisipasi kejadian yang sifatnya disengaja ataupun tidak disengaja. Pengamanan Akses biasanya menjadi tanggung jawab dari administrator sistem dalam hal ini seorang administrator harus mampu mengontrol dan mendokumentasi seluruh akses terhadap sistem komputer.

c.       Pengaman Data

Pengamanan data dilakukan dengan menetapkan system tingkatan atau hierarki akses dimana seseorang hanya dapat mengakses data tertentu saja yang menjadi haknya.

d.      Pengamanan Komunikasi jaringan

Jaringan disini berkaitan erat dengan pemanfaatan jaringan umum seperti internet pengamanan jaringan dapat dilakukan dengan mengunakan kriptografi dimana data yang sifatnya sensitive dienkripsi atau disandikan terlebih dahulu sebelum ditransmisikan melalui jaringan tersebut.

Masalah keamanan dalam sistem informasi

Ancaman terhadap sistem informasi dibagi menjadi 2 macam, yaitu ancaman aktif dan ancaman pasif.

a.      Ancaman aktif mencakup:

1.      Pencurian data

Jika informasi penting yang terdapat dalam database dapat diakses oleh orang yang tidak berwenang maka hasilnya dapat kehilangan informasi atau uang. Misalnya, mata-mata industri dapat memperoleh informasi persaingan yang berharga, penjahat komputer dapat mencuri uang bank.

2.      Penggunaan sistem secara ilegal

Orang yang tidak berhak mengakses informasi pada suatu sistem yang bukan menjadi hak-nya, dapat mengakses sistem tersebut. Penjahat komputer jenis ini umumnya adalah hacker yaitu orang yang suka menembus sistem keamanan dengan tujuan mendapatkan data atau informasi penting yang diperlukan, memperoleh akses ke sistem telepon, dan membuat sambungan telepon jarak jauh secara tidak sah.

3.      Penghancuran data secara ilegal

Orang yang dapat merusak atau menghancurkan data atau informasi dan membuat berhentinya suatu sistem operasi komputer. Penjahat komputer ini tidak perlu berada ditempat kejadian. Ia dapat masuk melalui jaringan komputer dari suatu terminal dan menyebabkan kerusakan pada semua sistem dan hilangnya data atau informasi penting. Penjahat komputer jenis ini umumnya disebut sebagai cracker yaitu penjebol sistem komputer yang bertujuan melakukan pencurian data atau merusak sistem.

4.      Modifikasi secara ilegal

Perubahan-perubahan pada data atau informasi dan perangkat lunak secara tidak disadari. Jenis modifikasi yang membuat pemilik sistem menjadi bingung karena adanya perubahan pada data dan perangkat lunak disebabkan oleh progam aplikasi yang merusak (malicious software). Program aplikasi yang dapat merusak tersebut terdiri dari program lengkap atau segemen kode yang melaksanakan fungsi yang tidak dikehendaki oleh pemilik sistem. Fungsi ini dapat menghapus file atau menyebabkan sistem terhenti. Jenis aplikasi yang dapat merusak data atau perangkat lunak yang paling populer adalah virus.

b.      Ancaman pasif mencakup:

1.      Kegagalan sistem

Kegagalan sistem atau kegagalan software dan hardware dapat menyebabkan data tidak konsisten, transaksi tidak berjalan dengan lancar sehingga data menjadi tidak lengkap atau bahkan data menjadi rusak. Selain itu, tegangan listrik yang tidak stabil dapat membuat peralatan-peralatan menjadi rusak dan terbakar.

2.      Kesalahan manusia

Kesalahan pengoperasian sistem yang dilakukan oleh manusia dapat mengancam integritas sistem dan data.

3.      Bencana alam

Bencana alam seperti gempa bumi, banjir, kebakaran, hujan badai merupakan faktor yang tidak terduga yang dapat mengancam sistem informasi sehingga mengakibatkan sumber daya pendukung sistem informasi menjadi luluhlantah dalam waktu yang singkat.

Mengamankan sistem informasi.

Ada banyak cara mengamankan data atau informasi pada sebauh sistem. Pada umumnya pengamanan data dapat dikategorikan menjadi dua jenis, yaitu :  penecegahan (presentif) dan  pengobatan (recovery).

1.      Pengendalian akses.

Pengendalian akses dapat dicapai dengan tiga langkah, yaitu:

a.      Identifikasi pemakai (user identification).

Mula-mula pemakai mengidentifikasikan dirinya sendiri dengan menyediakan sesuatu yang diketahuinya, seperti kata sandi atau password. Identifikasi tersebut dapat mencakup lokasi pemakai, seperti titik masuk jaringan dan hak akses telepon.

b.      Pembuktian keaslian pemakai (user authentication).

Setelah melewati identifikasi pertama, pemakai dapat membuktikan hak akses dengan menyediakan sesuatu yang ia punya, seperti kartu id (smart card, token dan identification chip), tanda tangan, suara atau pola ucapan.

c.       Otorisasi pemakai (user authorization).

Setelah melewati pemeriksaan identifikasi dan pembuktian keaslian, maka orang tersebut dapat diberi hak wewenang untuk mengakses dan melakukan perubahan dari suatu file atau data.

2.      Memantau adanya serangan pada sistem.

Sistem pemantau (monitoring system) digunakan untuk mengetahui adanya penyusup yang masuk kedalam sistem (intruder) atau adanya serangan (attack) dari hacker. sistem ini biasa disebut “intruder detection system” (IDS). Sistem ini dapat memberitahu admin melalui e-mail atau melalui mekanisme lain. Terdapat berbagai cara untuk memantau adanya penyusup. Ada yang bersifat aktif dan pasif. IDS cara yang pasif misalnya dengan melakukan pemantauan pada logfile.

Berbagai macam software IDS antara lain, yaitu:

a.      Autobuse yaitu mendeteksi port scanning dengan melakukan pemantauan pada logfile.

b.      Port blocker yaitu memblok port tertentu terhadap serangan. Biasanya untuk melakukan port blok memerlukan software tertentu, seperti NinX atau sejenisnya.

c.       Courtney dan portsentry yaitu mendeteksi port scanning dengan melakukan pemantauan paket data yang sedang lewat.

d.      Snort yaitu mendeteksi pola pada paket data yang lewat dan mengirimkan instruksi siaga jika pola tersebut terdeteksi. Pola disimpan dalam berkas yang disebut library yang dapat dikonfigurasi sesuai dengan kebutuhan.

3.      Penggunaan enkripsi .

Salah satu mekanisme untuk meningkatkan keamanan sistem yaitu dengan menggunakan teknologi enkripsi data. Data-data yang dikirimkan diubah sedemikian rupa sehingga tidak mudah diketahui oleh orang lain yang tidak berhak.

Ada tiga kategori enkripsi yaitu:

a.      Enkripsi rahasia.

Terdapat sebuah kunci yang dapat digunakan untuk meng-enkripsi dan men-dekripsi datadata.

b.      Enkripsi publik.

Terdapat dua kunci yang digunakan, satu kunci digunakan untuk melakukan enkripsi dan kunci yang lain digunakan untuk melakukan proses dekripsi.

c.       Fungsi one-way.

Suatu fungsi dimana informasi di enkripsi untuk menciptakan “signature” dari data asli yang dapat digunakan untuk keperluan autentifikasi. Enkripsi dibentuk berdasarkan algoritma yang dapat mengacak data kedalam bentuk yang tidak bisa dibaca atau rahasia, sedangkan dekripsi dibentuk berdasarkan algoritma yang sama untuk mengembalikan data yang teracak menjadi bentuk asli atau dapat dibaca. Metode enkripsi

Ada beberapa metode enkripsi yaitu:

a)      DES (Data Encryption Standard)

DES merupakan nama dari sebuah algoritma untuk mengenkripsi data yang dikeluarkan oleh Federal Information Processing Stadard (FIPS) Amerika Serikat. DES memiliki blok kunci 64-bit, tetapi yang digunakan dalam proses eksekusi adalah 54 bit. Algoritma enkripsi ini termasuk algoritma yang tidak mudah untuk diterobos.

b)      3DES (Triple DES)

Triple DES dikembangkan untuk mengatasi kelemahan ukuran kunci yang digunakan pada proses enkripsideskripsi DES sehingga teknik kriptografi ini lebih tahan terhadap exhaustive key search yang dilakukan oleh kriptoanalis. Penggunaan triple DES dengan suatu kunci tidak akan menghasilkan pemetaan yang sama seperti yang dihasilkan oleh DES dengan kunci tertentu. Hal itu disebabkan oleh sifat DES yang tidak tertutup (not closed). Sedangkan dari hasil implementasi dengan menggunakan modus Electronic Code Book (ECB) menunjukkan bahwa walaupun memiliki kompleksitas atau notasi O yang sama (O(n)), proses enkripsi-deskripsi pada DES lebih cepat dibandingkan dengan triple DES.

c)      Kerberos.

Kerberos adalah suatu sistem keamanan berdasarkan enkripsi yang menyediakan pembuktuan keaslian (mutual authentication) bersama-sama antara komponen client dan komponen server dalam lingkungan computing terdistribusi. Kerberos juga menyediakan hak-hak layanan yang dapat digunakan untuk mengontrol client mana yang berwenang mengakses suatu server.

4.      Melakukan backup secara rutin.

Dengan adanya backup data yang dilakukan secara rutin merupakan sebuah hal yang esensial, sehingga apabila ada penyusup yang mencuri, menghapus, bahkan melakukan modifikasi seluruh isi berkas penting dapat diatasi dengan cepat.

System Access Control (sistem kontrol akses), mengendalikan/membatasi akses user terhadap informasi-informasi yang telah diatur kewenangannya, termasuk pengendalian secara mobilecomputing ataupun tele-networking. Mengontrol tata cara akses terhadap informasi dan sumber daya yang ada meliputi berbagai aspek, yaitu :

a. Access control.

b. User Access Management.

c. User Responsibilities.

d. Network Access Control

e. Operation System access Control

f. Application Access Control.

g. Monitor system Access and use.

h. Mobile Computing and Telenetworking.

 Ada kemungkinan bahwa seseorang yang tak berhak terhadap suatu informasi berhasil membaca informasi tersebut melalui jaringan (dengan menggunakan teknik sniffer). Untuk mengantisipasi keadaan seperti ini, alangkah lebih baik sekiranya informasi tersebut dikodekan dalam bentuk yang hanya bisa dibaca oleh yang berhak. Studi tentang cara mengubah suatu informasi ke dalam bentuk yang tak dapat dibaca oleh orang lain dikenal dengan istilah kriptografi. Adapun sistemnya disebut sistem kripto. Secara lebih khusus, proses untuk mengubah teks asli (cleartext atau plaintext) menjadi teks yang telah dilacak (cliphertext) dinamakan enskripsi, sedangkan proses kebalikannya, dari chiphertext menjadi cleratext, disebut dekrpisi.

Dua teknik yang popular untuk melakukan enskripsi yaitu DES dan public-key encryption.

DES merupakan teknik untuk melakukan enskripsi dan deskripsi yang dikembangkan oleh IBM  pada tahun 1970-an. Kunci yang digunakan berupa kunci privat yang bentuknya sama. Panjang kunci yang digunakan sebesar 64 bit. Algoritma yang digunakan mengonversi satu blok berukuran 64 bit (8karakter) menjadi blok data berukuran 64 bit.

Sistem DES yang menggunakan kunci privat memiliki kelemahan yang terletak pada keharusan untuk mendistribusikan kunci ini. Pendistribusian inilah yang menjadi titik rawan untuk diketahui oleh pihak penyadap.

Untuk mengatasi kelemahan sistem kripto simetrik, diperkenalkan teknik yang disebut kriptografi kunci publik. Sistem ini merupakan model sistem kripto asimetrik, yang menggunakan kunci enkripsi dan dekripsi yang berbeda. Caranya adalah dengan menggunakan kunci privat dan kunci publik. Sebagai gambaran, bila pengirim S mengirimkan pesan ke penerima R, ia menggunakan kunci publik R dan kemudian R melakukan dekripsi dengan menggunakan kunci privat R.

Access Control

Kontrol akses adalah proses dimana pengguna diidentifikasi dan diberikan hak tertentu untuk informasi, sistem, atau sumber daya. Understanding the basics of access control is fundamental to understanding how to manage proper disclosure of information. Memahami dasar-dasar kontrol akses merupakan dasar untuk memahami bagaimana mengelola pengungkapan informasi yang tepat.

Aspek ini berhubungan dengan cara pengaturan akses kepada informasi. Hal ini biasanya berhubungan dengan masalah authentication dan juga privacy. Access control seringkali dilakukan dengan menggunakan kombinasi userid/password atau dengan menggunakan mekanisme lain.

Authentication

Aspek ini berhubungan dengan metoda untuk menyatakan bahwa informasi betul-betul asli, atau orang yang mengakses atau memberikan informasi adalah betul-betul orang yang dimaksud. Masalah pertama, membuktikan keaslian dokumen, dapat dilakukan dengan teknologi watermarking dan digital signature. Watermarking juga dapat digunakan untuk menjaga “intellectual property”, yaitu dengan menandai dokumen atau hasil karya dengan “tanda tangan” pembuat . Masalah kedua biasanya berhubungan dengan access control, yaitu berkaitan dengan pembatasan orang yang dapat mengakses informasi. Dalam hal ini pengguna harus menunjukkan bukti bahwa memang dia adalah pengguna yang sah, misalnya dengan menggunakan password, biometric (ciri-ciri khas orang), dan sejenisnya. Penggunaan teknologi smart card, saat ini kelihatannya dapat meningkatkan keamanan aspek ini.

Privacy / Confidentiality

Inti utama aspek privacy atau confidentiality adalah usaha untuk menjaga informasi dari orang yang tidak berhak mengakses. Privacy lebih kearah data-data yang sifatnya privat sedangkan confidentiality biasanya berhubungan dengan data yang diberikan ke pihak lain untuk keperluan tertentu (misalnya sebagai bagian dari pendaftaran sebuah servis) dan hanya diperbolehkan untuk keperluan tertentu tersebut. Contoh hal yang berhubungan dengan privacy adalah e-mail seorang pemakai (user) tidak boleh dibaca oleh administrator. Contoh confidential information adalah data-data yang sifatnya pribadi (seperti nama, tempat tanggal lahir, social security number, agama, status perkawinan, penyakit yang pernah diderita, nomor kartu kredit, dan sebagainya) merupakan data-data yang ingin diproteksi penggunaan dan penyebarannya. Contoh lain dari confidentiality adalah daftar pelanggan dari sebuah Internet Service Provider (ISP). Serangan terhadap aspek privacy misalnya adalah usaha untuk melakukan penyadapan (dengan program sniffer). Usaha-usaha yang dapat dilakukan untuk meningkatkan privacy atau confidentiality adalah dengan menggunakan teknologi kriptografi.

Mengatur akses (Access Control)

Salah satu cara yang umum digunakan untuk mengamankan informasi adalah dengan mengatur akses ke informasi melalui mekanisme “access control”. Implementasi dari mekanisme ini antara lain dengan menggunakan “password”. Di sistem UNIX, untuk menggunakan sebuah sistem atau komputer, pemakai diharuskan melalui proses authentication dengan menuliskan “userid” dan “password”. Informasi yang diberikan ini dibandingkan dengan userid dan password yang berada di sistem. Apabila keduanya valid, pemakai yang bersangkutan diperbolehkan menggunakan sistem. Apabila ada yang salah, pemakai tidak dapat menggunakan sistem. Informasi tentang kesalahan ini biasanya dicatat dalam berkas log. Besarnya informasi yang dicatat bergantung kepada konfigurasi dari sistem setempat. Misalnya, ada yang menuliskan informasi apabila pemakai memasukkan userid dan password yang salah sebanyak tiga kali. Ada juga yang langsung menuliskan informasi ke dalam berkas log meskipun baru satu kali salah. Informasi tentang waktu kejadian juga dicatat. Selain itu asal hubungan (connection) juga dicatat sehingga administrator dapat memeriksa keabsahan hubungan.