FullBook Keamanan Informasi (Cybersecurity)

Keamanan Informasi (Cybersecurity) ⁠Ilham Firman Ashari, Wisnu Kurniadi, Sudirman, Janner Simarmata Zelvi Gustiana, Nurdin, Muhammad Resha Sarah Rosdiana Tambunan, Nizirwan Anwar, Muharman Lubis

Penerbit Yayasan Kita Menulis

Keamanan Informasi (Cybersecurity) Copyright © Yayasan Kita Menulis, 2025 Penulis: Ilham Firman Ashari, Wisnu Kurniadi, Sudirman, Janner Simarmata Zelvi Gustiana, Nurdin, Muhammad Resha Sarah Rosdiana Tambunan, Nizirwan Anwar, Muharman Lubis Editor: Iko Mart Nadeak Desain Sampul: Devy Dian Pratama, S.Kom. Penerbit Yayasan Kita Menulis Web: kitamenulis.id e-mail: press@kitamenulis.id WA: 0813-9680-7167 IKAPI: 044/SUT/2021 Ilham Firman Ashari., dkk.

Keamanan Informasi (Cybersecurity) Yayasan Kita Menulis, 2025 xiv; 230 hlm; 16 x 23 cm ISBN: 978-623-113-649-7 Cetakan 1, Januari 2025 I. Keamanan Informasi (Cybersecurity) II.

Yayasan Kita Menulis

Katalog Dalam Terbitan Hak cipta dilindungi undang-undang Dilarang memperbanyak maupun mengedarkan buku tanpa Izin tertulis dari penerbit maupun penulis

Kata Pengantar

Keamanan informasi adalah praktik melindungi informasi dari ancaman yang dapat merusak integritas, kerahasiaan, dan ketersediaannya.

Keamanan informasi bertujuan untuk menjaga agar data tetap aman dari akses, penggunaan, pengungkapan, perusakan, atau perubahan yang tidak sah. Keamanan informasi mencakup kebijakan, prosedur, dan teknologi yang digunakan untuk melindungi data baik dalam bentuk elektronik, fisik, maupun lainnya.

Buku ini membahas : Bab 1 Pengantar Keamanan Informasi Bab 2 Prinsip-prinsip Keamanan Informasi Bab 3 Pengamanan Jaringan Bab 4 Perlindungan Data Bab 5 Jenis-jenis Serangan Siber Bab 6 Kebijakan Keamanan Bab 7 Analisis Ancaman Bab 8 Pengamanan Aplikasi (Application Security) Bab 9 Keamanan Internet of Things (IoT) Bab 10 Pengujian Keamanan dan Evaluasi Harapan kami, buku ini dapat memberikan pengetahuan mendalam sekaligus keterampilan praktis yang diperlukan untuk mengembangkan dan mengimplementasikan keamanan informasi.

Semoga buku ini menjadi sumber inspirasi dan referensi yang berguna bagi semua pembaca. Selamat membaca dan semoga sukses November 2024 Penulis

vi

Keamanan Informasi (Cyber Security)

Daftar Isi Kata Pengantar ................................................................................................... v Daftar Isi ............................................................................................................. vii Daftar Gambar .................................................................................................. xi Daftar Tabel ....................................................................................................... xiii Bab 1 Pengantar Keamanan Informasi 1.1 Definisi Keamanan Informasi..................................................................... 1 1.2 Komponen Keamanan Informasi ............................................................... 5 1.3 Confidentiality, Integrity, Availability (CIA) ............................................ 8 1.4 Ancaman dan Risiko dalam Keamanan Informasi ................................... 12 1.5 Perkembangan Sejarah Keamanan Informasi ........................................... 14 Bab 2 Prinsip-prinsip Keamanan Informasi 2.1 Confidentiality, Integrity, dan Availability (CIA Triad)........................... 19 2.1.1 Confidentiality .................................................................................... 20 2.1.2 Integrity ............................................................................................... 21 2.1.3 Availability.......................................................................................... 22 2.2 Authentication, Authorization, dan Accountability (AAA Model) ......... 23 2.2.1 Authentication ..................................................................................... 23 2.2.2 Authorization ...................................................................................... 26 2.2.3 Accountability ..................................................................................... 29 2.3 Risiko dan Pengelolaan Risiko Keamanan................................................ 30 2.3.1 Identifikasi Risiko............................................................................... 30 2.3.2 Analisis Risiko .................................................................................... 30 2.3.3 Pengurangan Risiko............................................................................ 31 2.3.4 Monitoring dan Evaluasi Risiko ........................................................ 31 2.4 Prinsip Zero Trust dan Least Privilege....................................................... 32 2.5 Framework Keamanan: ISO 27001, NIST, dan COBIT .......................... 33 2.5.1 ISO 27001 ........................................................................................... 33 2.5.2 NIST (National Institute of Standards and Technology) ................. 34 2.5.3 COBIT ................................................................................................. 36

viii

Keamanan Informasi (Cyber Security)

Bab 3 Pengamanan Jaringan 3.1 Dasar-Dasar Keamanan Jaringan .............................................................. 39 3.1.1 Konsep Dasar Keamanan Jaringan ................................................... 39 3.1.2 Jenis Ancaman Jaringan ..................................................................... 42 3.1.3 Risiko dan Dampak pada Sistem Jaringan ....................................... 46 3.2 Praktik Terbaik untuk Pengamanan Jaringan ............................................ 50 3.2.1 Langkah-langkah Pencegahan Serangan .......................................... 50 3.2.2 Kebijakan Penggunaan Kata Sandi yang Aman .............................. 54 3.2.3 Backup dan Disaster Recovery.......................................................... 57 Bab 4 Perlindungan Data 4.1 Pengertian Perlindungan Data .................................................................... 61 4.2 Jenis Data yang Dilindungi ......................................................................... 63 4.3 Prinsip-Prinsip Perlindungan Data ............................................................. 66 4.4 Teknik dan Prosedur Perlindungan Data ................................................... 68 4.5 Tantangan dalam Perlindungan Data ......................................................... 70 4.6 Peran Keamanan Siber dalam Perlindungan Data .................................... 72 4.7 Masa Depan Perlindungan Data ................................................................. 74 Bab 5 Jenis-jenis Serangan Siber 5.1 Definisi Serangan Siber............................................................................... 77 5.2 Jenis-jenis Serangan Siber .......................................................................... 79 Bab 6 Kebijakan Keamanan 6.1 Pendahuluan ................................................................................................. 91 6.1.1 Mengapa Kebijakan Keamanan Penting?......................................... 92 6.1.2 Jenis-Jenis Kebijakan Keamanan ...................................................... 94 6.2 Ruang Lingkup Kebijakan Keamanan....................................................... 95 6.3 Pengembangan dan Implementasi Kebijakan Keamanan ........................ 98 6.4 Tipologi Kebijakan Keamanan................................................................... 101 6.5 Penegakan Kebijakan Keamanan............................................................... 104 6.6 Contoh Kasus dan Studi Kasus .................................................................. 106 6.7 Tren dan Isu terkini dalam Kebijakan Keamanan..................................... 108 Bab 7 Analisis Ancaman 7.1 Pendahuluan ................................................................................................. 111 7.2 Jenis-Jenis Ancaman Siber ......................................................................... 113 7.2.1 Ancaman Berdasarkan Sektor Serangan........................................... 113 7.2.2 Ancaman pada Infrastruktur .............................................................. 114

Daftar Isi

ix

7.2.3 Ancaman Emerging............................................................................ 115 7.3 Dampak Ancaman terhadap Kemanan Informasi..................................... 116 7.3.1 Kerugian Finansial.............................................................................. 116 7.3.2 Kerusakan Reputasi ............................................................................ 117 7.3.3 Gangguan Operasional ....................................................................... 118 7.4 Analisis Risiko Ancaman............................................................................ 119 7.4.1 Identifikasi Risiko............................................................................... 119 7.4.2 Evaluasi Probalilitas dan Dampak..................................................... 120 7.4.3 Matriks Risiko..................................................................................... 122 7.5 Metode Pencegahan dan Mitigasi .............................................................. 123 7.5.1 Ancaman ............................................................................................. 123 7.5.2 Keamanan Perimeter .......................................................................... 124 7.5.3 Keamanan Aplikasi ............................................................................ 126 Bab 8 Pengamanan Aplikasi (Application Security) 8.1 Pentingnya Pengamanan Aplikasi.............................................................. 129 8.2 Kerentanan Aplikasi (Software Vulnerabilities) ....................................... 131 8.2.1 Buffer Overflow.................................................................................. 132 8.2.2 Format String Vulnerabilities ............................................................ 135 8.2.3 Integer Overflow................................................................................. 136 8.3 Keamanan Aplikasi Web (Web Application Security) ............................ 137 8.3.1 Security Problems of Web Applications........................................... 139 8.3.2 Core Defense Mechanisme ................................................................ 140 8.4 Serangan pada Aplikasi............................................................................... 141 8.4.1 SQL Injection ...................................................................................... 141 8.4.2 Session Hijacking Attack ................................................................... 143 Bab 9 Keamanan Internet of Things (IoT) 9.1 Pengantar Internet of Things (IoT)............................................................. 147 9.2 Arsitektur IoT: Lapisan dan Komponen Kunci......................................... 149 9.3 Sensor dan Perangkat IoT: Teknologi dan Kemampuan.......................... 152 9.3.1 Sensor IoT ........................................................................................... 152 9.3.2 Perangkat IoT ...................................................................................... 153 9.3.3 Teknologi dan Kemampuan .............................................................. 154 9.4 Integrasi Keamanan dalam Siklus Hidup IoT ........................................... 155 9.5 Komunikasi IoT: Protokol dan Standar ..................................................... 157 9.5.1 Protokol Komunikasi IoT .................................................................. 157 9.5.2 Standar Komunikasi IoT .................................................................... 159 9.5.3 Pemilihan Protokol dan Standar ........................................................ 159

x

Keamanan Informasi (Cyber Security)

9.6 Keamanan dalam IoT: Tantangan dan Ancaman...................................... 160 9.6.1 Tantangan Keamanan IoT.................................................................. 160 9.6.2 Ancaman Keamanan IoT ................................................................... 161 9.6.3 Mitigasi Ancaman .............................................................................. 162 9.7 Autentikasi dan Otorisasi pada IoT ............................................................ 162 9.7.1 Autentikasi .......................................................................................... 163 9.7.2 Otorisasi............................................................................................... 163 9.7.3 Implementasi Autentikasi dan Otorisasi dalam IoT......................... 164 9.8 Enkripsi dan Perlindungan Data IoT.......................................................... 165 9.8.1 Enkripsi................................................................................................ 165 9.8.2 Perlindungan Data IoT ....................................................................... 166 9.8.3 Standar dan Regulasi .......................................................................... 167 9.9 Keamanan Aplikasi dan Layanan IoT ....................................................... 167 9.9.1 Keamanan Aplikasi IoT ..................................................................... 168 9.9.2 Keamanan Layanan IoT ..................................................................... 168 9.10 Solusi Keamanan End-to-End untuk IoT ................................................ 170 9.11 Integrasi Keamanan dalam Siklus Hidup IoT ......................................... 173 9.12 Studi Kasus: Implementasi Keamanan IoT pada Industri ...................... 176 Bab 10 Pengujian Keamanan dan Evaluasi 10.1 Vulnerability Assessment dan Penetration Testing (Pentest)................. 179 10.1.1 Vulnerability Assessment ............................................................. 179 10.1.2 Penetration Testing ........................................................................ 180 10.2 Red Team vs Blue Team Exercises ......................................................... 182 10.3 Security Audits .......................................................................................... 183 10.4 Dynamic dan Interactive Application Security Testing.......................... 185 10.4.1 Dynamic Application Security Testing (DAST)......................... 185 10.4.2 Interactive Application Security Testing (IAST) ........................ 186 10.5 Threat Modeling dan Risk Assessment ................................................... 188 10.6 Security Information and Event Management (SIEM) .......................... 191 10.7 Phishing Simulation .................................................................................. 193 10.8 Endpoint Security Testing ........................................................................ 194 10.9 Zero Trust Security Testing ...................................................................... 196 10.10 Incident Response Testing ...................................................................... 198 10.11 Code Review dan Analisis Statik ........................................................... 200 Daftar Pustaka .................................................................................................... 203 Biodata Penulis .................................................................................................. 225

Daftar Gambar

Gambar 2.1: COBIT .........................................................................................37 Gambar 7.1: Tren Peningkatan Insiden Kemanan Informasi di Indonesia ..112 Gambar 8.1: Contoh program yang rentan BOF ............................................133 Gambar 8.2: contoh fungsi ...............................................................................133 Gambar 8.3: Visual Studio ...............................................................................135 Gambar 8.4: Contoh kode rentan format string vuln. ....................................135 Gambar 8.5: Contoh hasil eksekusi .................................................................136 Gambar 8.6: Contoh kode yang rentan terhadap Integer Overflow..............136 Gambar 8.7: Arsitektur Aplikasi Web ............................................................137 Gambar 8.8: Contoh query...............................................................................142 Gambar 8.9: Query yang diubah oleh input user............................................142 Gambar 8.10: source code pada DVWA ........................................................143 Gambar 8.11: output pada DVWA .................................................................143 Gambar 8.12: cara kerja man-in-the-middle attack ........................................144 Gambar 8.13: cara kerja XSS (stored-XSS) ...................................................144 Gambar 8.14: cara kerja session sniffing attack .............................................145 Gambar 8.15: Output pada DVWA untuk XSS .............................................145

xii

Keamanan Informasi (Cyber Security)

Daftar Tabel

Tabel 4.1: Jenis-jenis data pribadi yang dilindungi ........................................63 Tabel 4.2: Jenis-jenis data organisasi yang dilindungi ...................................65 Tabel 8.1: Stack dari fungsi login ....................................................................134

xiv

Keamanan Informasi (Cyber Security)

Bab 1 Pengantar Keamanan Informasi

1.1 Definisi Keamanan Informasi Keamanan informasi adalah disiplin keilmuan yang berfokus pada perlindungan informasi dari ancaman yang dapat merusak kerahasiaan, integritas, dan ketersediaan nya (Ashari et al., 2020). Di era digital, informasi menjadi aset penting bagi individu, organisasi, dan pemerintah, namun rentan terhadap risiko seperti serangan siber, kesalahan manusia, dan bencana alam. Hal ini menjadi esensial untuk keberlangsungan di dunia modern.

Keamanan Informasi adalah upaya melindungi informasi dari akses, penggunaan, pengungkapan, gangguan, dan modifikasi yang tidak sah.

Fokus utamanya adalah menjaga tiga elemen utama, yaitu Confidentiality (Kerahasiaan), Integrity (Integritas), dan Availability (Ketersediaan), yang sering disebut sebagai CIA Triad (Simarmata et al., 2022).

2

Keamanan Informasi (Cyber Security)

Informasi yang dimaksud meliputi: 1. Informasi digital Informasi digital adalah data yang disimpan, diproses, atau ditransfer menggunakan perangkat elektronik atau sistem komputer. Informasi ini biasanya berbentuk file digital atau basis data yang dapat diakses melalui jaringan atau perangkat tertentu.

Contoh : a. File dokumen digital seperti PDF, Word, atau spreadsheet. b. Data pelanggan yang disimpan dalam sistem CRM (Customer Relationship Management). c. Data transaksi keuangan dalam sistem perbankan. d. Informasi pribadi dalam media sosial (foto, video, atau status).

Kerentanan : a. Dapat dicuri atau diubah melalui serangan malware atau hacking. b. Rentan terhadap akses tidak sah melalui perangkat jaringan yang lemah. c. Risiko kehilangan jika tidak dilakukan backup.

2. Informasi fisik Informasi fisik adalah data atau informasi yang disimpan dalam bentuk non-digital, seperti dokumen cetak, buku, catatan manual, atau file arsip. Informasi ini sering kali masih digunakan di berbagai organisasi untuk kebutuhan administratif atau legal.

Contoh : a. Dokumen kontrak atau perjanjian hukum dalam bentuk cetak. b. Laporan keuangan tahunan yang diarsipkan secara fisik.

Bab 1 Pengantar Keamanan Informasi

3

c. Peta dan cetak biru bangunan. d. Formulir pendaftaran manual.

Kerentanan : a. Dapat dicuri secara fisik (misalnya, dari lemari arsip yang tidak terkunci). b. Risiko kerusakan akibat kebakaran, banjir, atau bencana alam lainnya. c. Mudah diakses oleh pihak tidak berwenang jika tidak ada kontrol keamanan fisik.

3. Informasi verbal Informasi verbal adalah informasi yang disampaikan secara lisan melalui komunikasi langsung (tatap muka) atau melalui alat komunikasi seperti telepon, konferensi video, atau pesan suara.

Contoh : a. Diskusi rapat perusahaan.

yang

menyampaikan

informasi

strategis

b. Pembicaraan telepon antara dokter dan pasien yang berisi informasi medis. c. Arahan langsung dari manajer kepada karyawan tentang proyek penting.

Kerentanan : a. Risiko penyadapan pada komunikasi telepon atau konferensi video. b. Kebocoran informasi jika pihak yang tidak berwenang mendengar pembicaraan. c. Kesalahan penyampaian atau misinterpretasi yang dapat menyebabkan masalah.

4

Keamanan Informasi (Cyber Security)

Pentingnya Keamanan Informasi di Era Digital (Sari et al., 2020; Simarmata et al., 2022): 1. Melindungi Privasi Individu Data pribadi seperti nomor identitas, alamat, informasi kesehatan, dan data finansial perlu dilindungi agar tidak disalahgunakan.

2. Keamanan Bisnis Perusahaan menyimpan data penting seperti strategi bisnis, informasi pelanggan, dan data keuangan yang jika bocor dapat menyebabkan kerugian besar.

3. Pencegahan Kejahatan Siber Keamanan informasi membantu mencegah kejahatan seperti phishing, ransomware, dan penipuan daring yang meningkat drastis di era digital.

4. Kepatuhan Hukum dan Regulasi Banyak negara memiliki regulasi seperti GDPR (General Data Protection Regulation) dan UU ITE (di Indonesia) yang mewajibkan organisasi menjaga data.

5. Kepercayaan Publik Pelanggaran keamanan informasi dapat merusak reputasi organisasi, sehingga melindungi informasi menjadi kunci menjaga kepercayaan pelanggan.

6. Melindungi Infrastruktur Kritis Di era digital, sektor seperti transportasi, kesehatan, dan energi sangat bergantung pada teknologi. Serangan terhadap infrastruktur ini bisa berdampak besar pada masyarakat.

7. Meningkatkan Ketahanan Digital Dengan ancaman yang terus berkembang, keamanan informasi membantu organisasi tetap tangguh menghadapi serangan baru.

Bab 1 Pengantar Keamanan Informasi

5

1.2 Komponen Keamanan Informasi Berikut adalah penjelasan yang lebih rinci terkait komponen keamanan informasi.

1. Manusia Komponen manusia mencakup semua individu yang terlibat dalam pengelolaan, penggunaan, atau pengamanan informasi. Manusia sering dianggap sebagai "mata rantai terlemah" dalam keamanan informasi, karena kesalahan manusia menjadi salah satu penyebab utama terjadinya pelanggaran keamanan.

Aspek Penting pada Faktor Manusia : a. Awareness (Kesadaran) Pengguna harus memahami pentingnya menjaga keamanan informasi, termasuk risiko yang muncul dari kekeliruan dari tindakan mereka, seperti mengklik tautan phishing atau menggunakan kata sandi yang lemah. Solusi untuk meningkatkan kesadaran dengan kampanye keamanan (security awareness training).

kesadaran

b. Pelatihan (Training) Pengguna perlu diberikan pelatihan tentang praktik terbaik keamanan informasi, seperti mengenali ancaman phishing, menggunakan perangkat lunak dengan aman, dan respon untuk melaporkan insiden keamanan. Cara paling efektif adalah program pelatihan rutin untuk karyawan dan pengguna. c. Kesalahan Manusia (Human Error) Kesalahan ini bisa berupa salah konfigurasi sistem, kehilangan perangkat, atau secara tidak sengaja membocorkan data sensitif.

Pengawasan

ketat,

penggunaan

checklist,

dan

6

Keamanan Informasi (Cyber Security)

otomatisasi

proses

perlu

dilakukan

untuk

mengurangi

kesalahan.

Contoh Masalah pada Komponen Manusia: a. Seorang karyawan membuka lampiran email yang berbahaya dan mengandung malware, menyebabkan malware menyebar di jaringan. b. Pengguna menggunakan kata sandi yang mudah ditebak atau sama untuk banyak akun.

2. Proses Proses dalam keamanan informasi terdiri dari kebijakan, prosedur, dan pendekatan sistematis untuk melindungi informasi.

Komponen ini membantu organisasi memastikan bahwa keamanan informasi menjadi bagian dari operasional sehari-hari.

Aspek Penting pada Proses a. Kebijakan Keamanan (Security Policies) Aturan tertulis yang mengatur bagaimana informasi dilindungi, siapa yang memiliki akses, dan bagaimana pelanggaran dapat ditangani. Kebijakan ini dapat berupa kebijakan penggunaan perangkat pribadi (BYOD), kebijakan kata sandi, dan kebijakan akses data. b. Prosedur Operasional (Standard Operating Procedures - SOP) Langkah-langkah yang harus diikuti untuk melindungi informasi dalam berbagai situasi, seperti proses backup data dan pengelolaan akses. Penerapan dalam bentuk SOP perlu diterapakn juga untuk melaporkan insiden keamanan atau kebijakan enkripsi data.

Bab 1 Pengantar Keamanan Informasi

7

c. Manajemen Risiko Identifikasi, evaluasi, dan mitigasi risiko yang mungkin mengancam keamanan informasi.

Contoh Masalah pada Komponen Proses a. Tidak adanya kebijakan yang jelas tentang penggunaan perangkat USB, sehingga karyawan tanpa sadar terlah menyebarkan malware atau menjadi objek yang diserang malware. b. Prosedur backup data yang tidak rutin menyebabkan hilangnya data penting.

3. Teknologi Komponen teknologi mencakup alat, perangkat keras, perangkat lunak, dan infrastruktur yang digunakan untuk melindungi informasi

dari

ancaman.

Teknologi

memberikan

perlindungan yang dapat diotomatisasi untuk mencegah, atau memitigasi ancaman keamanan.

lapisan

mendeteksi,

Aspek Penting pada Teknologi a. Firewall Melindungi jaringan dari akses tidak sah dengan cara memfilter lalu lintas yang masuk dan keluar. Contohnya adalah Firewall aplikasi web (WAF), firewall jaringan. b. Enkripsi Enkripsi adalah metode mengubah informasi menjadi format yang tidak dapat dibaca tanpa kunci dekripsi, melindungi data saat dalam perjalanan atau disimpan (Ashari & Praseptiawan, 2024). Contohnya adalah Protokol HTTPS untuk komunikasi web, enkripsi email (Fairuzabadi et al., 2023; Ashari et al., 2024).

8

Keamanan Informasi (Cyber Security)

c. Antivirus dan Antimalware Antivirus digunakan untuk melindungi sistem dari perangkat lunak berbahaya seperti virus, worm, ransomware, dan spyware. Contohnya Antivirus yang diperbarui secara berkala. d. Sistem Deteksi dan Pencegahan Intrusi (IDS/IPS) IDS/IPS digunakan untuk mendeteksi dan menghentikan serangan yang sedang berlangsung pada jaringan atau sistem.

Contohnya adalah IDS berbasis host, IPS berbasis jaringan. e. Backup dan Pemulihan Data Menyediakan salinan data yang dapat dipulihkan jika terjadi insiden, seperti serangan ransomware atau kegagalan sistem.

Contohnya adalah Sistem backup otomatis ke cloud.

Contoh Masalah pada Komponen Teknologi a. Firewall yang salah konfigurasi memungkinkan akses pihak tidak berwenang ke sistem internal. b. Antivirus yang tidak diperbarui gagal mendeteksi ancaman baru.

1.3 Confidentiality, Integrity, Availability (CIA) Tiga Pilar Keamanan Informasi (CIA Triad), yaitu (Indarta et al., 2022): 1. Confidentiality (Kerahasiaan) Kerahasiaan adalah upaya melindungi informasi agar hanya dapat diakses oleh pihak yang berwenang. Tujuan utama kerahasiaan adalah memastikan bahwa data sensitif tidak jatuh ke tangan yang salah atau tidak sah (Ashari et al., 2024).

Bab 1 Pengantar Keamanan Informasi

9

Aspek Confidentiality mencakup beberapa hal berikut, yaitu (Simarmata, Sriadhi dan Rahim, 2020): a. Akses Terbatas Informasi hanya dapat diakses oleh individu atau sistem yang memiliki otorisasi. b. Enkripsi Data dienkripsi agar tidak dapat dibaca dan dipahami oleh pihak yang tidak memiliki kunci enkripsi. c. Autentikasi Proses untuk memastikan bahwa pengguna yang mencoba mengakses data adalah pihak yang berwenang dan telah memiliki akses. d. Klasifikasi Informasi Menentukan level sensitivitas dari informasi yang dapat diakses, misalnya "rahasia," "terbatas," atau "publik."

Contoh Kasus terkait Confidentiality : a. Informasi pribadi (misalnya, data pelanggan) hanya dapat diakses oleh staf yang berwenang. b. Data transaksi kartu kredit harus dienkripsi agar tidak dicuri oleh pihak ketiga.

Kerentanan Confidentiality : a. Phishing, penjahat siber dapat mencuri kredensial pengguna untuk mendapatkan akses. b. Penyadapan komunikasi (eavesdropping) pada jaringan yang tidak aman.

10

Keamanan Informasi (Cyber Security)

2. Integrity (Integritas) Integritas adalah kemampuan untuk memastikan bahwa informasi tetap akurat, konsisten, dan tidak diubah tanpa izin. Tujuan integritas adalah melindungi informasi dari modifikasi yang disengaja maupun tidak disengaja.

Aspek Penting Integrity a. Kontrol Versi Melacak perubahan yang dibuat pada informasi untuk memastikan keakuratan data. b. Hashing Menggunakan algoritma hashing untuk mendeteksi apakah data telah diubah. c. Audit Log Mencatat semua aktivitas yang terjadi pada data untuk mendeteksi potensi perubahan tidak sah.

Contoh Kasus Integrity a. Dalam sistem perbankan, saldo akun pengguna tidak boleh diubah tanpa otorisasi resmi. b. Dokumen medis pasien harus tetap akurat dan tidak boleh dimodifikasi oleh pihak yang tidak sah.

Kerentanan dari Integrity a. Serangan malware, seperti ransomware, yang dapat mengenkripsi atau mengubah data pengguna. b. Kesalahan manusia, seperti penghapusan atau modifikasi data yang tidak disengaja.

3. Availability (Ketersediaan) Ketersediaan adalah memastikan bahwa informasi dapat diakses oleh pihak yang berwenang kapan pun informasi tersebut

Bab 1 Pengantar Keamanan Informasi

11

dibutuhkan. Tujuan utama ketersediaan adalah mencegah gangguan terhadap akses informasi yang diperlukan, terutama dalam situasi kritis.

Aspek Penting Availability a. Backup dan Pemulihan Mencadangkan data secara berkala untuk memastikan data dapat dipulihkan setelah terjadi kegagalan sistem. b. Pemantauan Sistem Memastikan bahwa sistem berjalan dengan mendeteksi potensi kegagalan atau serangan.

baik

dan

Contoh Kasus Availability : a. Layanan perbankan online harus tetap tersedia 24/7 untuk pelanggan. b. Rumah sakit harus dapat mengakses rekam medis elektronik pasien kapan saja, terutama dalam situasi darurat.

Kerentanan Availability : a. Serangan

Distributed

Denial

of

Service

(DDoS)

yang

membanjiri server hingga server tidak dapat melayani pengguna yang sah. b. Kegagalan perangkat keras, seperti hard disk rusak, yang menyebabkan data tidak dapat diakses.

12

Keamanan Informasi (Cyber Security)

1.4 Ancaman dan Risiko dalam Keamanan Informasi Berikut beberapa ancaman dan risiko dalam keamanan informasi, yaitu: 1. Serangan Siber Ancaman ini berasal dari pihak eksternal yang mencoba mengeksploitasi kelemahan sistem untuk mencuri, merusak, atau memodifikasi informasi.

Hacking adalah upaya ilegal untuk mendapatkan akses ke sistem atau jaringan. Contohnya adalah Serangan brute force untuk menebak kata sandi dan eksploitasi celah keamanan dalam perangkat lunak.

Malware adalah perangkat lunak berbahaya yang dirancang untuk mencuri data, mengganggu sistem, atau merusak perangkat.

Contohnya seperti Ransomware yang dapat Mengenkripsi data dan meminta tebusan dan Spyware yang dapat Mencuri informasi pribadi tanpa sepengetahuan pengguna.

Phishing adalah upaya untuk menipu pengguna agar pengguna dapat memberikan informasi sensitif seperti kata sandi atau data kartu kredit. Phising biasanya dilakukan melalui email palsu yang tampaknya berasal dari bank dan meminta login ke situs palsu.

2. Ancaman Internal (Insider Threats Ancaman yang berasal dari dalam organisasi, baik karena kelalaian maupun tindakan disengaja (Sihotang et al., 2023).

Beberapa Tindakan yang termasuk dalam ancaman internal, yaitu: a. Karyawan secara tidak sengaja menghapus data penting atau mengekspos informasi sensitif. Contohnya adalah pengguna yang menggunakan perangkat USB tidak aman yang terinfeksi malware.

Bab 1 Pengantar Keamanan Informasi

13

b. Karyawan atau mantan karyawan yang sengaja mencuri atau merusak data. Contoh: Mantan karyawan mengakses sistem perusahaan dengan akun yang tidak dinonaktifkan.

3. Bencana Alam Bencana alam dapat merusak infrastruktur teknologi dan data secara fisik, mengganggu ketersediaan informasi. a. Banjir Dapat merusak server atau pusat data yang tidak memiliki perlindungan terhadap air. b. Gempa Bumi Berpotensi merusak perangkat keras seperti server, kabel jaringan, atau bangunan tempat data disimpan. c. Kebakaran Menghancurkan dokumen fisik, perangkat keras, atau bahkan backup data jika tidak disimpan di lokasi yang aman.

Contoh Risiko : 1. Kehilangan Data Sensitif Kehilangan informasi

penting,

baik

karena

pencurian,

penghapusan, atau kerusakan, dapat berdampak signifikan pada individu atau organisasi. Dampaknya adalah hilangnya kepercayaan pelanggan dan denda atau sanksi jika data sensitif pelanggan bocor. Contohnya adalah kebocoran data pelanggan sebuah e-commerce akibat serangan hacking.

2. Serangan Ransomware Ransomware adalah ancaman di mana data pengguna dienkripsi oleh pelaku dan hanya dapat diakses kembali setelah membayar tebusan. Dampaknya adalah gangguan operasional dan kehilangan data jika tidak ada backup. Contohnya adalah serangan

14

Keamanan Informasi (Cyber Security)

ransomware pada sistem rumah sakit, sehingga membuat pihak rumah sakit tidak dapat mengakses rekam medis pasien.

3. Kerusakan Reputasi Organisasi Ketika informasi sensitif bocor atau serangan keamanan terjadi, reputasi organisasi dapat rusak di mata pelanggan, mitra, atau masyarakat umum. Dampaknya adalah Kehilangan pelanggan, penurunan nilai pasar, dan kehilangan peluang bisnis. Contohnya adalah bocornya informasi pribadi pelanggan bank menyebabkan hilangnya kepercayaan dan migrasi pelanggan ke kompetitor.

1.5 Perkembangan Sejarah Keamanan Informasi Perkembangan sejarah keamanan informasi diuraikan sebagai berikut: 1. Awal Mula Konsep Keamanan Informasi Konsep keamanan informasi telah berkembang seiring dengan kebutuhan manusia untuk melindungi informasi penting sejak zaman dahulu. a. Era Pra-Digital Pada zaman

kuno,

metode

perlindungan

informasi

menggunakan enkripsi manual, seperti Cipher Caesar yang digunakan oleh Julius Caesar untuk mengamankan pesan militernya. Arsip-arsip kerajaan dan dokumen penting disimpan di tempat yang aman untuk melindunginya dari pihak yang tidak berwenang.

Bab 1 Pengantar Keamanan Informasi

15

b. Perang Dunia II Kemajuan dalam enkripsi dan dekripsi terjadi, seperti penggunaan mesin Enigma oleh Jerman yang dipecahkan oleh para ahli di Bletchley Park, Inggris. Ini menandai awal mula pentingnya kriptografi dalam keamanan informasi. c. Era Komputer Awal (1950-1970) Ketika komputer mulai digunakan untuk menyimpan dan memproses informasi, kebutuhan akan keamanan informasi mulai berkembang. Pada saat ini, fokus utama adalah melindungi akses fisik ke perangkat keras dan menyimpan informasi dalam bentuk kode sederhana.

2. Revolusi Digital dan Dampaknya terhadap Keamanan Informasi Dengan munculnya komputer pribadi dan internet, keamanan informasi menghadapi tantangan yang semakin kompleks. a. Era Komputer Pribadi (1980-an): Pengenalan komputer pribadi ke rumah-rumah membuat informasi menjadi lebih terdesentralisasi, tetapi juga meningkatkan risiko pencurian data. Virus komputer pertama, seperti Elk Cloner, muncul pada awal 1980-an, menunjukkan ancaman terhadap perangkat lunak. b. Era Internet (1990-an) Internet membawa manfaat besar dalam berbagi informasi, tetapi juga membuka pintu bagi ancaman siber baru seperti phishing, spam, dan hacking. Konsep keamanan jaringan mulai dikembangkan dengan alat seperti firewall dan antivirus. c. Regulasi Awal Keamanan Informasi Dengan semakin banyaknya insiden pelanggaran data, munculnya regulasi seperti Data Protection Act 1998 di Inggris menjadi tonggak penting.

16

Keamanan Informasi (Cyber Security)

d. Munculnya Serangan Terorganisir (2000-an) Ancaman siber mulai berkembang menjadi lebih canggih dan terorganisir, seperti serangan ransomware dan DDoS (Distributed Denial of Service). Fokus keamanan informasi mulai beralih dari pencegahan ke deteksi dan respon cepat terhadap insiden.

3. Tren Terbaru dalam Keamanan Informasi a. Internet of Things (IoT) IoT membawa tantangan baru karena semakin banyak perangkat yang terhubung ke internet, seperti kamera keamanan, perangkat rumah pintar, hingga kendaraan.\ Tantangan Keamanan IoT : Banyak perangkat IoT dirancang tanpa mempertimbangkan keamanan, sehingga mudah diserang. Contoh: Botnet Mirai menyerang ratusan ribu perangkat IoT untuk meluncurkan serangan DDoS besar-besaran. Solusi dengan cara Implementasi standar keamanan IoT seperti pengelolaan kredensial perangkat dan pembaruan firmware secara rutin. b. Cloud Computing Penyimpanan dan pemrosesan data di cloud memungkinkan fleksibilitas, tetapi juga menghadirkan risiko baru. Beberapa Tantangan Keamanan Cloud seperti Akses tidak sah ke data yang disimpan di cloud, Ancaman insider pada penyedia layanan cloud, dan Ketergantungan pada penyedia pihak ketiga. Solusi dengan cara Enkripsi data end-to-end, Autentikasi multi-faktor (MFA), dan Pemantauan keamanan berbasis cloud.

Bab 1 Pengantar Keamanan Informasi

17

c. Artificial Intelligence (AI): AI telah menjadi alat yang kuat dalam memperkuat pertahanan keamanan informasi, tetapi juga dimanfaatkan oleh penyerang. AI dapat digunakan untuk mendeteksi pola anomali dalam lalu lintas jaringan, memprediksi serangan sebelum terjadi, dan otomatisasi respons keamanan.

Contohnya adalah Sistem Intrusion Detection and Prevention (IDPS) berbasis AI.

18

Keamanan Informasi (Cyber Security)

Bab 2 Prinsip-prinsip Keamanan Informasi

2.1 Confidentiality, Integrity, dan Availability (CIA Triad) Keamanan informasi merupakan salah satu aspek krusial dalam dunia digital yang terus berkembang. Dalam konteks ini, prinsip-prinsip keamanan informasi berfungsi sebagai pedoman untuk melindungi data dan sistem dari ancaman yang dapat merusak integritas, kerahasiaan, dan ketersediaan informasi. Penerapan prinsip-prinsip ini tidak hanya melibatkan teknologi, tetapi juga kebijakan, prosedur, dan perilaku pengguna yang memegang peranan penting dalam menjaga keamanan informasi. Dalam pembahasan ini, kita akan mengkaji berbagai prinsip dasar yang menjadi fondasi dalam merancang dan mengimplementasikan sistem keamanan yang efektif dan dapat diandalkan

20

Keamanan Informasi (Cyber Security)

Dalam dunia keamanan informasi, tiga konsep utama yang dikenal sebagai CIA Triad, Confidentiality, Integrity, dan Availability adalah pilar fundamental yang membentuk kerangka kerja keamanan informasi. CIA Triad menyediakan dasar yang kokoh dalam upaya menjaga kerahasiaan, keandalan, dan aksesibilitas data. Konsep ini berfungsi tidak hanya sebagai prinsip inti keamanan, tetapi juga sebagai alat evaluasi dalam menentukan efektivitas strategi perlindungan siber dalam berbagai situasi. Di era digital ini, memahami dan mengimplementasikan CIA Triad menjadi semakin penting, terutama dengan maraknya ancaman yang terus berkembang dan inovasi teknologi yang meningkatkan kompleksitas keamanan (Stallings & Brown, 2018).

2.1.1 Confidentiality Confidentiality, atau kerahasiaan, adalah konsep dasar dalam keamanan informasi yang berfokus pada menjaga agar informasi hanya diakses oleh individu atau sistem yang memiliki otorisasi. Dalam konteks keamanan, menjaga kerahasiaan sangat penting untuk melindungi data sensitif dari akses yang tidak sah dan menjaga kepercayaan pengguna atau pemilik data terhadap sistem. Penggunaan metode enkripsi adalah salah satu teknik umum untuk mencapai kerahasiaan; data dikodekan menjadi format yang tidak dapat dipahami tanpa kunci dekripsi yang sesuai.

Selain itu, sistem otentikasi yang kuat, seperti multifactor authentication (MFA), membantu memastikan bahwa hanya pengguna yang sah yang dapat mengakses data. Kerahasiaan sangat krusial di berbagai industri, termasuk keuangan, kesehatan, dan pemerintahan, di mana kebocoran informasi dapat memiliki konsekuensi serius.

Selain enkripsi dan otentikasi, pengaturan hak akses berbasis peran (RoleBased Access Control/RBAC) adalah pendekatan lain yang efektif dalam menjaga kerahasiaan. RBAC mengizinkan akses berdasarkan peran pengguna di dalam organisasi, sehingga hanya mereka yang benarbenar memerlukan data tertentu untuk tugasnya yang memiliki akses. Dengan

Bab 2 Prinsip-prinsip Keamanan Informasi

21

demikian, prinsip "least privilege" juga diterapkan, di mana pengguna hanya diberikan akses minimum yang diperlukan.

Dalam era transformasi digital, tantangan terhadap kerahasiaan semakin meningkat seiring dengan penggunaan layanan berbasis cloud, kolaborasi daring, dan akses jarak jauh. Oleh karena itu, pendekatan terhadap kerahasiaan kini mencakup kebijakan pengamanan data yang kuat serta audit berkala untuk mendeteksi dan menangani potensi pelanggaran sejak dini (Bishop, 2019).

2.1.2 Integrity Integrity, atau integritas, berfokus pada menjaga keakuratan, keutuhan, dan konsistensi data dari modifikasi yang tidak sah selama siklus hidupnya.

Dalam lingkungan bisnis dan pemerintahan, integritas informasi sangat penting karena ketidakakuratan data dapat menyebabkan kesalahan pengambilan keputusan dan merusak kepercayaan terhadap sistem.

Teknik untuk menjaga integritas meliputi penggunaan checksum dan hash function, di mana hash function dapat mendeteksi perubahan pada data dengan cara membandingkan nilai hash sebelum dan sesudah perubahan.

Apabila data mengalami modifikasi yang tidak sah, hasil hash akan berubah, sehingga administrator dapat segera menyelidiki insiden tersebut.

Integritas juga menjadi dasar bagi catatan medis, data keuangan, dan berbagai sektor lain di mana kebenaran data merupakan elemen krusial.

Dalam dunia digital yang terus berkembang, menjaga integritas informasi juga melibatkan pemantauan dan audit terhadap aktivitas sistem. Proses audit dan logging memungkinkan organisasi untuk melacak perubahan dan memastikan bahwa data tetap dalam keadaan yang seharusnya. Selain itu, metode seperti kontrol versi dan backup rutin membantu mengurangi risiko terhadap integritas data, khususnya ketika terjadi kesalahan atau serangan.

Penggunaan teknologi blockchain juga menjadi tren dalam menjaga integritas informasi karena karakteristiknya yang tidak dapat diubah dan

22

Keamanan Informasi (Cyber Security)

transparan. Di sektor perbankan, misalnya, integritas data yang terjaga menjadi dasar untuk membangun kepercayaan nasabah dan mencegah kerugian finansial akibat penipuan atau manipulasi data (Stallings & Brown, 2018).

2.1.3 Availability Availability, atau ketersediaan, memastikan bahwa informasi dan sumber daya sistem selalu dapat diakses oleh pengguna yang sah saat dibutuhkan.

Dalam dunia yang semakin terhubung, ketersediaan informasi sangat penting untuk mendukung operasional bisnis, menyediakan layanan publik, dan menjaga kepuasan pengguna. Untuk mencapai ketersediaan, organisasi biasanya menerapkan teknik redundansi dan failover, yang memungkinkan sistem untuk tetap berjalan meskipun terjadi kegagalan pada komponen tertentu.

Misalnya, penggunaan backup dan disaster recovery memastikan bahwa data dapat dipulihkan dalam situasi darurat, seperti bencana alam atau serangan siber. Ketika data atau layanan tidak tersedia, dampaknya bisa sangat besar, terutama di sektor kesehatan dan keuangan, di mana keterlambatan akses dapat berakibat fatal.

Serangan yang menargetkan ketersediaan, seperti Distributed Denial of Service (DDoS), juga menjadi perhatian utama dalam keamanan informasi.

Serangan DDoS mencoba mengganggu akses terhadap layanan atau sistem dengan membanjiri lalu lintas jaringan, sehingga server menjadi kelebihan beban dan tidak dapat merespons pengguna yang sah. Untuk mengatasi ancaman ini, organisasi sering menggunakan firewall, load balancer, dan jaringan pengiriman konten (Content Delivery Network/CDN) untuk mendistribusikan lalu lintas dan mencegah overload.

Selain itu, pengelolaan risiko yang proaktif, termasuk pemantauan aktivitas sistem secara terusmenerus, membantu organisasi mendeteksi potensi gangguan sejak dini. Dengan demikian, ketersediaan tidak hanya melibatkan penyediaan akses tetapi juga mempertimbangkan ketangguhan sistem dalam menghadapi gangguan yang tidak terduga (Vacca, 2020).

Bab 2 Prinsip-prinsip Keamanan Informasi

23

2.2 Authentication, Authorization, dan Accountability (AAA Model) Dalam keamanan informasi, model Authentication, Authorization, dan Accountability (AAA) berfungsi sebagai fondasi untuk mengendalikan akses terhadap data dan sumber daya. Model ini dirancang untuk memberikan kontrol yang ketat terhadap siapa yang dapat mengakses sistem, apa yang mereka boleh lakukan, dan memastikan bahwa setiap tindakan dicatat untuk mencegah penyalahgunaan.

Dengan menggunakan model AAA, organisasi dapat mengembangkan dan menerapkan sistem keamanan yang efektif untuk melindungi aset digital mereka dari ancaman dan pelanggaran. Konsep AAA ini penting untuk melindungi kerahasiaan, integritas, dan ketersediaan informasi yang dikelola oleh sebuah organisasi (Andress, 2014).

2.2.1 Authentication Authentication adalah proses verifikasi identitas pengguna sebelum memberikan akses ke sistem. Dalam konteks keamanan, autentikasi adalah langkah pertama yang krusial untuk memastikan bahwa hanya individu yang berwenang yang dapat masuk ke dalam sistem atau jaringan. Proses autentikasi melibatkan berbagai metode seperti kata sandi, biometrik (misalnya sidik jari atau pengenalan wajah), dan token keamanan.

Teknologi autentikasi multifaktor (MFA) semakin populer, karena memadukan beberapa lapisan verifikasi yang memperkecil peluang akses oleh pihak yang tidak sah. Contoh autentikasi yang aman adalah kombinasi antara kata sandi dan sidik jari, yang membuat sulit bagi peretas untuk mengakses sistem hanya dengan satu bentuk verifikasi.

Dalam dunia siber yang penuh dengan risiko, autentikasi yang kuat memberikan fondasi untuk mengamankan akses dan menjaga informasi sensitif dari ancaman eksternal (Stallings & Brown, 2018).

24

Keamanan Informasi (Cyber Security)

1. Definisi dan Tujuan Authentication Authentication adalah langkah pertama dalam kontrol akses yang berfungsi untuk memverifikasi identitas pengguna, perangkat, atau aplikasi sebelum memberikan akses ke sistem. Proses ini umumnya melibatkan kredensial seperti kata sandi, token fisik, atau biometrik (Kumar & Gupta, 2023). Dalam lingkungan modern, authentication tidak hanya menjamin keamanan, tetapi juga mendukung pengalaman pengguna yang efisien melalui mekanisme seperti Single Sign-On (SSO).

2. Faktor Authentication Faktor authentication mengacu pada metode yang digunakan untuk memverifikasi identitas.

Tiga kategori utama meliputi: a. Sesuatu yang Anda Ketahui: Informasi seperti kata sandi atau PIN. b. Sesuatu yang Anda Miliki: Token fisik, kartu pintar, atau perangkat seluler. c. Sesuatu yang Anda Adalah: Biometrik seperti sidik jari, pengenalan wajah, atau iris mata (Smith & Brown, 2022).

Penggunaan lebih dari satu faktor dikenal sebagai Multi-Factor Authentication (MFA), yang secara signifikan meningkatkan keamanan dengan mengurangi risiko jika salah satu faktor terkompromi.

3. Tren Authentication Modern a. Passwordless Authentication Metode ini menghilangkan ketergantungan pada kata sandi tradisional yang rentan terhadap serangan seperti phishing atau brute force. Sebagai gantinya, pengguna memanfaatkan

Bab 2 Prinsip-prinsip Keamanan Informasi

25

biometrik atau tautan satu kali yang dikirim melalui email atau SMS (Rahman et al., 2023). b. Behavioral Biometrics Behavioral biometrics menganalisis pola perilaku pengguna seperti cara mengetik, pergerakan kursor, atau gaya berjalan.

Teknologi ini menawarkan lapisan keamanan tambahan yang sulit dipalsukan (Anderson & Li, 2023). c. Continuous Authentication Dalam pendekatan ini, sistem memantau aktivitas pengguna secara berkelanjutan untuk memastikan bahwa pengguna yang telah diotentikasi tetap sah sepanjang sesi. Teknologi ini sering digunakan dalam aplikasi dengan kebutuhan keamanan tinggi seperti perbankan digital (Chen et al., 2023).

4. Risiko dan Tantangan Meskipun authentication semakin maju, ancaman tetap ada.

Serangan seperti phishing, man-in-the-middle attacks, dan eksploitasi token tetap menjadi tantangan signifikan. Untuk mengatasinya, sistem modern menggunakan enkripsi yang kuat, autentikasi berbasis waktu, dan teknologi biometrik yang lebih canggih (NIST, 2022).

5. Rekomendasi Implementasi Sistem authentication yang kuat harus memadukan kemudahan penggunaan dengan keamanan.

Beberapa rekomendasi utama meliputi: a. Mengadopsi Multi-Factor Authentication (MFA). b. Memanfaatkan enkripsi ujung ke ujung selama proses authentication. c. Menerapkan pendekatan passwordless untuk mengurangi ketergantungan pada kata sandi.

26

Keamanan Informasi (Cyber Security)

d. Melakukan audit berkala terhadap mekanisme authentication untuk mengidentifikasi kelemahan potensial (ISO, 2023).

2.2.2 Authorization Authorization adalah langkah yang menentukan tingkat akses pengguna setelah identitas mereka berhasil diverifikasi. Sederhananya, otorisasi berfokus pada kontrol tentang apa yang dapat dilakukan atau diakses oleh pengguna dalam sistem. Contohnya, dalam sebuah sistem manajemen data, seorang pengguna biasa mungkin hanya memiliki hak untuk melihat data, sementara seorang administrator memiliki hak untuk mengubah atau menghapus data.

Pengaturan ini mengurangi risiko penyalahgunaan informasi dan menjaga agar hanya mereka yang memiliki peran tertentu yang dapat mengakses fungsi atau data penting. Prinsip otorisasi sering dikombinasikan dengan konsep "least privilege," yang menyatakan bahwa pengguna sebaiknya diberikan akses minimal yang mereka butuhkan untuk menyelesaikan pekerjaannya.

Dengan demikian, otorisasi berfungsi sebagai perisai keamanan tambahan yang memastikan data aman dari perubahan atau modifikasi yang tidak sah (Whitman & Mattord, 2018).

1. Definisi dan Pentingnya Authorization Authorization adalah proses pemberian izin kepada pengguna atau entitas untuk mengakses sumber daya tertentu berdasarkan hak yang telah ditetapkan. Proses ini memastikan keamanan sistem dengan membatasi akses hanya kepada pengguna yang berwenang (Kumar & Singh, 2023). Authorization tidak hanya mengelola akses tetapi juga menjaga integritas dan kerahasiaan data dengan mencegah tindakan yang tidak sah.

Bab 2 Prinsip-prinsip Keamanan Informasi

27

2. Prinsip Utama Authorization a. Least Privilege Prinsip ini memastikan bahwa pengguna hanya memiliki akses minimum yang diperlukan untuk menjalankan tugas mereka.

Pendekatan ini mengurangi risiko penyalahgunaan akses atau kerentanan keamanan (Chen et al., 2023). b. Role-Based Access Control (RBAC) RBAC mengatur akses berdasarkan peran pengguna dalam organisasi. Setiap peran memiliki serangkaian izin yang telah ditentukan, sehingga akses lebih terstruktur dan mudah dikelola (Anderson & White, 2022). c. Attribute-Based Access Control (ABAC) ABAC memberikan izin berdasarkan atribut tertentu, seperti waktu, lokasi, atau perangkat yang digunakan. Pendekatan ini lebih fleksibel dibanding RBAC, memungkinkan kontrol akses yang lebih dinamis (Rahman & Lee, 2023). d. Separation of Duties (SoD) SoD memastikan bahwa tanggung jawab yang sensitif dibagi antara beberapa pengguna untuk mengurangi risiko kesalahan atau kecurangan. Contohnya, seorang pengguna yang membuat transaksi tidak menyetujuinya (ISO, 2023).

boleh

menjadi

orang

yang

3. Model Authorization Modern a. Discretionary Access Control (DAC) Dalam model ini, pemilik data menentukan siapa yang memiliki akses ke sumber daya tertentu. Meskipun fleksibel, pendekatan ini rentan terhadap kesalahan konfigurasi (Smith & Brown, 2023).

28

Keamanan Informasi (Cyber Security)

b. Mandatory Access Control (MAC) MAC menggunakan kebijakan keamanan terpusat yang mengontrol akses berdasarkan klasifikasi data dan tingkat otoritas pengguna. Model ini sering digunakan di lingkungan dengan keamanan tinggi seperti militer (NIST, 2022). c. Zero Trust Architecture Zero Trust adalah pendekatan modern yang mengasumsikan bahwa tidak ada pengguna atau perangkat yang sepenuhnya dapat dipercaya, bahkan jika mereka berada di dalam jaringan organisasi. Akses diberikan hanya setelah verifikasi menyeluruh (Taylor et al., 2023).

4. Implementasi Authorization a. Access Control Lists (ACLs) ACLs adalah daftar izin yang menentukan siapa yang dapat mengakses sumber daya tertentu dan tindakan apa yang dapat dilakukan, seperti membaca, menulis, atau mengeksekusi file (Rahman & Lee, 2023). b. Policy Enforcement Points (PEPs) PEPs adalah komponen yang bertanggung jawab untuk menegakkan kebijakan akses, memastikan bahwa hanya pengguna yang berwenang yang dapat mengakses sistem (Chen et al., 2023). c. OAuth and OpenID Connect OAuth adalah protokol authorization untuk memberikan akses sementara ke aplikasi pihak ketiga tanpa berbagi kredensial pengguna. OpenID Connect melengkapi OAuth dengan menambahkan lapisan authentication (Smith & Brown, 2023).

Bab 2 Prinsip-prinsip Keamanan Informasi

29

5. Risiko dan Tantangan dalam Authorization Authorization menghadapi tantangan seperti: a. Kesalahan Konfigurasi: Hak akses yang tidak tepat dapat menyebabkan pelanggaran keamanan. b. Pengelolaan Hak Akses: Dalam organisasi besar, mengelola akses untuk banyak pengguna bisa menjadi rumit. c. Serangan Insider Threats: Pengguna yang memiliki hak akses sah tetapi menyalahgunakannya dapat mengancam keamanan sistem (Kumar & Singh, 2023).

Untuk mengatasi tantangan ini, praktik terbaik termasuk melakukan audit reguler, menerapkan prinsip least privilege, dan menggunakan alat manajemen akses yang kuat.

2.2.3 Accountability Accountability, atau pertanggungjawaban, adalah elemen yang mendasari transparansi dan pengawasan di dalam sistem keamanan.

Pertanggungjawaban dilakukan dengan mencatat dan melacak setiap aktivitas pengguna di dalam sistem melalui proses audit dan log. Aktivitas pengguna seperti login, modifikasi data, dan upaya akses yang gagal semuanya dicatat dan disimpan untuk memastikan bahwa tindakan yang dilakukan dapat dilacak kembali ke identitas tertentu.

Dengan adanya accountability, organisasi dapat mengidentifikasi potensi pelanggaran, memantau kepatuhan, dan melakukan forensik jika terjadi insiden keamanan. Keberadaan log audit juga memberikan bukti penting dalam penegakan kebijakan keamanan dan memungkinkan tindakan korektif jika ditemukan penyalahgunaan atau pelanggaran kebijakan oleh pengguna (Bishop, 2019).

30

Keamanan Informasi (Cyber Security)

2.3 Risiko dan Pengelolaan Risiko Keamanan Dalam keamanan informasi, risiko mencakup potensi ancaman yang dapat memengaruhi sistem, data, atau aset penting organisasi. Pengelolaan risiko yang efektif bertujuan untuk meminimalisir dampak negatif dari ancaman terhadap kerahasiaan, integritas, atau ketersediaan informasi. Pendekatan ini melibatkan beberapa langkah kritis: identifikasi risiko, analisis risiko, pengurangan risiko, serta monitoring dan evaluasi risiko secara berkelanjutan.

Menerapkan metode pengelolaan risiko yang komprehensif dapat meningkatkan daya tahan organisasi terhadap ancaman dan menjaga operasional tetap aman serta sesuai dengan regulasi (Whitman & Mattord, 2018).

2.3.1 Identifikasi Risiko Langkah pertama dalam manajemen risiko adalah identifikasi risiko, yaitu proses mengenali potensi ancaman yang dapat mengganggu atau merusak sistem keamanan. Identifikasi risiko melibatkan pemetaan semua aset penting yang dimiliki organisasi, seperti data, perangkat keras, perangkat lunak, dan jaringan, serta memahami bagaimana aset tersebut bisa menjadi sasaran ancaman.

Proses ini dilakukan dengan berbagai teknik, seperti wawancara, survei, dan analisis skenario untuk mengungkap risiko yang mungkin tidak terlihat. Dengan pemahaman yang mendalam tentang ancaman, organisasi dapat menyusun strategi lebih lanjut untuk mengantisipasi atau menghindari risikorisiko tersebut (Stoneburner, Goguen, & Feringa, 2002).

2.3.2 Analisis Risiko Setelah mengidentifikasi risiko, langkah selanjutnya adalah menganalisis risiko untuk menentukan tingkat ancaman yang dihadapi oleh organisasi.

Bab 2 Prinsip-prinsip Keamanan Informasi

31

Analisis risiko melibatkan dua komponen utama: kemungkinan terjadinya suatu risiko dan dampak potensial yang ditimbulkan. Dengan menganalisis kedua komponen ini, organisasi dapat memprioritaskan risiko yang paling signifikan dan mengalokasikan sumber daya secara efektif.

Metode analisis ini dapat menggunakan pendekatan kualitatif, kuantitatif, atau kombinasi keduanya, tergantung pada kompleksitas dan kebutuhan organisasi. Dengan pemahaman ini, keputusan strategis yang diambil menjadi lebih tepat sasaran, memungkinkan perlindungan yang lebih baik terhadap sumber daya yang paling berharga (Kouns & Minoli, 2010).

2.3.3 Pengurangan Risiko Pengurangan risiko mencakup langkahlangkah untuk mengurangi kemungkinan atau dampak dari risiko yang telah dianalisis. Strategi pengurangan risiko dapat dilakukan melalui berbagai cara, seperti penguatan keamanan jaringan, pembaruan perangkat lunak, implementasi kontrol akses, serta pelatihan bagi karyawan untuk meningkatkan kesadaran keamanan.

Misalnya, penggunaan enkripsi data yang kuat dan autentikasi multifaktor dapat mengurangi risiko akses yang tidak sah ke sistem informasi.

Pengurangan risiko ini tidak hanya melibatkan penerapan teknologi, tetapi juga mencakup kebijakan dan prosedur yang konsisten untuk menjaga keamanan di setiap level organisasi (Andress, 2014).

2.3.4 Monitoring dan Evaluasi Risiko Monitoring dan evaluasi risiko adalah proses yang berkelanjutan untuk memastikan bahwa strategi pengelolaan risiko yang telah diterapkan tetap efektif seiring dengan perubahan lingkungan dan teknologi. Pemantauan risiko memungkinkan organisasi untuk mendeteksi perubahan dalam profil risiko yang mungkin timbul, seperti munculnya ancaman baru atau perubahan dalam regulasi.

Evaluasi secara berkala membantu organisasi menyesuaikan strategi pengelolaan risiko mereka agar tetap relevan dan responsif terhadap

32

Keamanan Informasi (Cyber Security)

perkembangan terkini. Proses ini dapat melibatkan audit keamanan, uji penetrasi, serta analisis log untuk mendeteksi aktivitas mencurigakan, sehingga organisasi dapat bertindak sebelum terjadi insiden yang merugikan (Bishop, 2019).

2.4 Prinsip Zero Trust dan Least Privilege Prinsip Zero Trust telah menjadi dasar pendekatan modern dalam keamanan informasi, menekankan bahwa tidak ada pengguna atau perangkat yang dapat dipercaya begitu saja, baik yang berada di dalam maupun di luar jaringan organisasi. Pada dasarnya, Zero Trust berprinsip bahwa akses ke sistem atau data harus selalu diverifikasi, dan semua permintaan akses harus divalidasi berdasarkan sejumlah faktor, seperti autentikasi pengguna, lokasi, dan perilaku akses sebelumnya.

Dengan pendekatan ini, organisasi dapat meminimalisir risiko serangan dari dalam (insider threats) dan mempersulit penyerang eksternal untuk merusak sistem. Dalam dunia yang semakin terhubung, Zero Trust menggeser paradigma keamanan tradisional yang berfokus pada perimeter jaringan, menjadi model yang menitikberatkan pada verifikasi terusmenerus dan minimalisasi kepercayaan tanpa pembuktian (Rose, Borchert, Mitchell, & Connelly, 2020).

Prinsip Zero Trust juga mendukung kebijakan akses terbatas hanya pada sumber daya yang diperlukan bagi pengguna, yang relevan dengan konsep Least Privilege. Least Privilege, atau hak akses minimal, adalah prinsip yang memastikan bahwa pengguna atau perangkat hanya memiliki izin akses minimum yang diperlukan untuk menjalankan tugasnya. Dengan membatasi hak akses pengguna, organisasi dapat meminimalkan potensi kerusakan jika suatu akun atau perangkat mengalami kompromi.

Bab 2 Prinsip-prinsip Keamanan Informasi

33

Sebagai contoh, jika seorang karyawan hanya memerlukan akses ke data keuangan untuk melakukan tugasnya, maka akses ke data sensitif lainnya, seperti informasi pelanggan atau rincian proyek, tidak seharusnya diberikan. Penerapan prinsip Least Privilege menjadi semakin penting di tengah peningkatan ancaman dari malware dan ransomware yang dapat menyebar dengan cepat melalui jaringan jika pengguna memiliki hak akses yang terlalu luas (Bertino & Sandhu, 2005).

Kombinasi dari Zero Trust dan Least Privilege memperkuat strategi keamanan yang lebih menyeluruh, karena kedua prinsip ini bekerja secara sinergis untuk mengurangi eksposur organisasi terhadap risiko dan membatasi potensi pergerakan lateral dari serangan siber. Dalam implementasinya, model ini juga melibatkan penggunaan teknologi tambahan, seperti kontrol akses berbasis identitas, autentikasi multifaktor, dan pemantauan aktivitas yang ketat untuk memastikan bahwa setiap tindakan dalam sistem dapat dilacak dan dianalisis.

Dengan mengadopsi prinsip-prinsip Zero Trust dan Least Privilege, organisasi tidak hanya mengamankan sistem mereka dari akses yang tidak sah, tetapi juga membangun fondasi keamanan yang proaktif dan responsif dalam menghadapi dinamika ancaman siber yang terus berkembang (Kindervag, 2010).

2.5 Framework Keamanan: ISO 27001, NIST, dan COBIT 2.5.1 ISO 27001 ISO 27001 adalah standar internasional yang diakui luas dalam mengelola keamanan informasi organisasi secara sistematis dan terstruktur. Standar ini menawarkan kerangka kerja bagi organisasi untuk mengidentifikasi, mengelola, dan mengurangi risiko keamanan informasi, yang menjadi aspek penting dalam era digital saat ini. ISO 27001 berfokus pada

34

Keamanan Informasi (Cyber Security)

pembentukan dan pemeliharaan Sistem Manajemen Keamanan Informasi (Information Security Management System atau ISMS) yang mencakup kebijakan, prosedur, dan kontrol yang diperlukan untuk melindungi aset informasi.

Penerapan standar ini membantu organisasi menjaga kerahasiaan, integritas, dan ketersediaan data dengan memastikan bahwa mereka memiliki mekanisme untuk melindungi data dari ancaman yang beragam, baik yang bersifat internal maupun eksternal (Humphreys, 2008).

Dalam implementasinya, ISO 27001 menyediakan langkah-langkah yang terstruktur untuk mengidentifikasi risiko dan menerapkan kontrol yang tepat untuk memitigasi ancaman terhadap informasi. Proses ini melibatkan penilaian risiko yang cermat, diikuti oleh pemilihan kontrol keamanan yang sesuai dari Annex A ISO 27001, yang mencakup berbagai aspek seperti kebijakan keamanan, keamanan fisik, kontrol akses, dan keamanan komunikasi.

Selain itu, standar ini juga mewajibkan adanya audit dan pemantauan berkelanjutan untuk memastikan efektivitas sistem keamanan yang diterapkan, serta peningkatan berkelanjutan yang memungkinkan adaptasi terhadap perubahan lingkungan ancaman. Dengan menerapkan ISO 27001, organisasi dapat menunjukkan komitmen mereka terhadap keamanan informasi kepada para pemangku kepentingan, serta membangun kepercayaan yang lebih besar dengan pelanggan, mitra, dan regulator (Von Solms & Von Solms, 2004).

2.5.2 NIST (National Institute of Standards and Technology) National Institute of Standards and Technology (NIST) adalah lembaga yang memainkan peran kunci dalam pengembangan dan pemeliharaan standar keamanan informasi di Amerika Serikat, dengan dampak signifikan terhadap praktik keamanan siber global. NIST telah mengembangkan serangkaian pedoman dan framework yang bertujuan untuk membantu

Bab 2 Prinsip-prinsip Keamanan Informasi

35

organisasi mengidentifikasi, melindungi, mendeteksi, merespons, dan memulihkan aset informasi mereka dari berbagai ancaman siber.

Salah satu kontribusi utama NIST dalam bidang keamanan informasi adalah publikasinya yang dikenal sebagai NIST Cybersecurity Framework (CSF), yang pertama kali diperkenalkan pada tahun 2014 sebagai bagian dari upaya nasional untuk memperkuat keamanan siber infrastruktur penting.

Framework ini dirancang untuk menjadi panduan praktis yang dapat digunakan oleh organisasi dari berbagai ukuran dan industri untuk meningkatkan postur keamanan mereka secara menyeluruh (Ross et al., 2018).

NIST CSF terdiri dari lima fungsi inti Identify, Protect, Detect, Respond, dan Recover—yang membentuk pendekatan holistik terhadap keamanan siber. Setiap fungsi ini terstruktur dalam kategori dan subkategori yang mencakup berbagai aktivitas dan kontrol yang harus diadopsi oleh organisasi dalam melindungi sistem informasi mereka. Misalnya, fungsi "Identify" mengharuskan organisasi memahami dan mengelola risiko terhadap sistem dan data, sedangkan "Protect" fokus pada kontrol yang mengurangi dampak insiden, seperti kebijakan kontrol akses dan pelatihan keamanan.

NIST juga menyediakan panduan mendetail dalam dokumen NIST SP 80053, yang mencakup katalog kontrol keamanan untuk sistem informasi federal, dan NIST SP 800171, yang menguraikan perlindungan data sensitif yang dibagikan oleh pemerintah dengan mitra swasta. Dengan mengikuti standar-standar NIST ini, organisasi tidak hanya meningkatkan kemampuan mereka untuk mencegah dan merespons serangan siber, tetapi juga memenuhi persyaratan kepatuhan yang semakin ketat (Stouffer, Falco, & Scarfone, 2011).

Framework yang disediakan oleh NIST sangat fleksibel dan dapat diadaptasi oleh organisasi nonpemerintah, termasuk sektor swasta, yang ingin meningkatkan ketahanan siber mereka. Hal ini penting karena NIST CSF dirancang untuk menyesuaikan dengan berbagai jenis ancaman siber yang terus berkembang dan meningkat. Selain itu, karena diadopsi secara luas di

36

Keamanan Informasi (Cyber Security)

luar Amerika Serikat, NIST CSF juga mendorong harmonisasi standar keamanan di tingkat internasional, yang sangat relevan dalam era digital saat ini di mana bisnis sering beroperasi secara lintas batas.

Dengan penerapan yang tepat, pedoman NIST dapat membantu organisasi mencapai kematangan keamanan yang lebih tinggi serta membangun lingkungan operasional yang lebih tangguh terhadap serangan. Secara keseluruhan, peran NIST dalam mendefinisikan dan mengatur standar keamanan siber telah memberikan fondasi yang kuat bagi perlindungan informasi dalam berbagai sektor industri (Lipner & Sherman, 2015).

2.5.3 COBIT COBIT (Control Objectives for Information and Related Technologies) adalah framework tata kelola dan manajemen teknologi informasi yang dirancang untuk membantu organisasi dalam mencapai tujuan bisnisnya melalui penggunaan teknologi informasi yang efektif dan aman. COBIT pertama kali dikembangkan oleh ISACA, sebuah asosiasi profesional internasional untuk tata kelola teknologi informasi, dan telah mengalami banyak pembaruan untuk mengikuti perkembangan teknologi dan praktik terbaik di industri.

COBIT 2019, versi terbaru yang diperkenalkan, memperkenalkan struktur yang lebih fleksibel dan adaptif dibandingkan versi sebelumnya, menekankan integrasi penuh antara tujuan bisnis dan TI. Dengan menggunakan COBIT, organisasi dapat menciptakan lingkungan yang memungkinkan mereka menjaga keseimbangan antara pengendalian risiko dan pencapaian nilai dari investasi teknologi informasi, serta memastikan pemanfaatan TI yang bertanggung jawab dan sesuai regulasi (Wilkin & Chenhall, 2020).

Bab 2 Prinsip-prinsip Keamanan Informasi

37

Gambar 2.1: COBIT

COBIT 2019 mencakup berbagai komponen utama seperti prinsip, tujuan, model tata kelola, dan panduan implementasi. Prinsip COBIT 2019 terbagi menjadi dua bagian utama: Prinsip Tata Kelola dan Prinsip Manajemen, yang bersamasama membantu organisasi dalam mengelola risiko, meningkatkan efisiensi, dan memastikan bahwa penggunaan TI sejalan dengan sasaran strategis perusahaan. Salah satu aspek kunci dari COBIT adalah fokusnya pada penciptaan nilai bagi para pemangku kepentingan.

COBIT menyediakan kerangka kerja yang memungkinkan perusahaan mengidentifikasi dan mengelola risiko secara sistematis, yang sangat penting dalam konteks keamanan informasi. Melalui pendekatan ini, COBIT membantu organisasi dalam menentukan proses mana yang perlu ditingkatkan dan bagaimana melaksanakan pengendalian yang efektif untuk mencapai tujuan yang diinginkan, termasuk dalam pengelolaan keamanan informasi yang lebih komprehensif (De Haes et al., 2021).

COBIT juga menyediakan pedoman yang kuat dalam menjaga kepatuhan terhadap berbagai peraturan dan standar yang berlaku di bidang keamanan informasi. Dengan merangkul prinsipprinsip COBIT, organisasi dapat meningkatkan efektivitas kontrol keamanan informasi yang mereka terapkan serta meningkatkan kepercayaan pengguna dan pemangku

38

Keamanan Informasi (Cyber Security)

kepentingan. COBIT memberikan kerangka referensi yang mencakup aktivitas spesifik, metrik kinerja, dan metode evaluasi yang dapat digunakan organisasi untuk menilai dan meningkatkan pengelolaan informasi.

Dengan pendekatan yang fleksibel, framework ini memungkinkan perusahaan dari berbagai sektor untuk menyesuaikan strategi keamanan mereka terhadap kebutuhan spesifik, serta memastikan bahwa sistem dan data mereka tetap terlindungi dalam lingkungan teknologi yang dinamis (Tuttle & Vandervelde, 2021).

Bab 3 Pengamanan Jaringan

3.1 Dasar-Dasar Keamanan Jaringan 3.1.1 Konsep Dasar Keamanan Jaringan Konsep Dasar Keamanan Jaringan adalah fondasi penting dalam melindungi sistem jaringan dari ancaman, gangguan, atau penyusupan yang dapat menyebabkan kerugian bagi individu atau organisasi. Keamanan jaringan bertujuan untuk menjaga kerahasiaan, integritas, dan ketersediaan data dan layanan jaringan (Waroh et al., 2024).

Berikut adalah beberapa konsep utama dalam keamanan jaringan: 1. Kerahasiaan (Confidentiality) Kerahasiaan bertujuan melindungi informasi dari akses yang tidak sah, baik dalam proses transmisi maupun penyimpanan. Untuk menjaga kerahasiaan, data sering kali dienkripsi, sehingga hanya pihak yang memiliki izin atau kunci tertentu yang bisa membacanya. Dengan kata lain, hanya pihak yang berwenang

40

Keamanan Informasi (Cyber Security)

yang dapat mengakses data, menjaga informasi sensitif dari tangan yang salah.

2. Integritas (Integrity) Integritas memastikan bahwa data tidak diubah atau dirusak selama proses transmisi atau penyimpanan. Ini penting agar informasi yang diterima tetap asli dan akurat seperti yang dimaksudkan oleh pengirim. Teknik seperti hashing dan tanda tangan digital sering digunakan untuk memeriksa integritas data.

3. Ketersediaan (Availability) Ketersediaan mengacu pada keandalan sistem jaringan, di mana data dan layanan jaringan harus selalu tersedia bagi pengguna yang berwenang kapan pun mereka membutuhkannya. Berbagai metode seperti load balancing, backup, dan disaster recovery diterapkan untuk memastikan bahwa layanan tetap aktif dan berfungsi, bahkan dalam situasi serangan atau kerusakan sistem.

4. Autentikasi (Authentication) Autentikasi adalah proses verifikasi identitas pengguna atau perangkat yang mencoba mengakses jaringan. Ini adalah langkah pertama dalam pengamanan, yang memastikan bahwa hanya pengguna yang sah yang bisa masuk ke jaringan. Teknik yang umum digunakan meliputi kata sandi, PIN, biometrik, dan otentikasi multi-faktor (MFA).

5. Otorisasi (Authorization) Setelah autentikasi, otorisasi menentukan tingkat akses yang dimiliki oleh pengguna di jaringan. Otorisasi menetapkan hak atau izin untuk mengakses data atau layanan tertentu, sehingga mencegah pengguna melakukan tindakan yang tidak diperbolehkan di dalam jaringan.

Bab 3 Pengamanan Jaringan

41

6. Audit dan Pemantauan (Audit and Monitoring) Audit dan pemantauan adalah proses memantau aktivitas jaringan secara terus-menerus untuk mendeteksi anomali atau aktivitas yang mencurigakan. Log audit jaringan memungkinkan administrator untuk melacak dan meninjau aktivitas yang mencurigakan dan mengidentifikasi pola yang menunjukkan adanya pelanggaran keamanan.

7. Pengendalian Akses (Access Control) Pengendalian akses adalah langkah-langkah yang membatasi akses ke bagian jaringan tertentu atau informasi tertentu berdasarkan peran atau identitas pengguna. Ini mencegah pengguna atau perangkat yang tidak sah untuk mengakses atau memodifikasi informasi yang tidak relevan.

8. Kriptografi (Cryptography) Kriptografi adalah teknik pengamanan data melalui enkripsi untuk melindungi informasi selama proses komunikasi. Teknik ini melibatkan penggunaan algoritma matematis untuk mengenkripsi dan mendekripsi data, sehingga hanya penerima yang sah yang dapat mengakses informasi yang dikirimkan.

9. Sistem Deteksi dan Pencegahan Intrusi (IDS/IPS) Sistem deteksi intrusi (IDS) dan sistem pencegahan intrusi (IPS) adalah teknologi yang dirancang untuk memantau dan menganalisis lalu lintas jaringan guna mendeteksi ancaman potensial. IDS mendeteksi dan melaporkan ancaman, sementara IPS lebih proaktif dalam menghentikan ancaman secara otomatis sebelum mencapai jaringan.

10. Firewall Firewall adalah perangkat atau sistem perangkat lunak yang mengatur lalu lintas jaringan berdasarkan aturan keamanan yang

42

Keamanan Informasi (Cyber Security)

ditetapkan. Firewall bekerja sebagai penghalang antara jaringan internal dan eksternal, mencegah akses yang tidak sah masuk atau keluar dari jaringan.

11. Pengendalian Fisik Selain aspek teknis, pengendalian fisik (seperti pengamanan akses ke server, ruang data, dan perangkat jaringan) juga penting untuk mengamankan infrastruktur jaringan dari ancaman fisik, seperti pencurian atau kerusakan perangkat.

Konsep dasar keamanan jaringan ini membentuk strategi komprehensif untuk melindungi sistem dari berbagai jenis ancaman. Dengan memahami dan menerapkan konsep ini, organisasi dapat membangun jaringan yang lebih aman dan andal, serta siap dalam menghadapi tantangan keamanan digital (Mariana, Utomo and Jananto, 2024; Purnama Putra, Dharma Saputra and Suandika, 2024).

3.1.2 Jenis Ancaman Jaringan Jenis Ancaman Jaringan merujuk pada berbagai risiko dan potensi serangan yang dapat merusak sistem jaringan atau mencuri informasi. Memahami jenis ancaman ini adalah langkah penting untuk mencegah dan melindungi jaringan dari gangguan eksternal maupun internal (Prihadiati, Putra and Aris, 2024).

Berikut adalah beberapa jenis ancaman jaringan utama: 1. Serangan Denial of Service (DoS) dan Distributed Denial of Service (DDoS) a. DoS adalah serangan yang membuat layanan jaringan menjadi tidak dapat diakses oleh pengguna sah dengan membanjiri server atau jaringan dengan lalu lintas berlebih. b. DDoS adalah varian dari DoS yang menggunakan banyak perangkat (biasanya melalui botnet) untuk menyerang server secara simultan, membuatnya sulit untuk diblokir.

Bab 3 Pengamanan Jaringan

43

2. Man-in-the-Middle Attack (MITM) Serangan MITM terjadi ketika penyerang menyusup di antara dua pihak yang berkomunikasi, memungkinkan mereka untuk mengakses, mengubah, atau menyadap data yang dikirimkan.

Penyerang dapat menyamarkan diri sebagai pihak yang sah dalam komunikasi ini, sering kali tanpa disadari oleh kedua belah pihak.

3. Phishing dan Spear Phishing a. Phishing adalah upaya untuk mendapatkan informasi sensitif (seperti kata sandi dan data kartu kredit) dengan menyamar sebagai pihak terpercaya melalui email, pesan teks, atau situs palsu. b. Spear Phishing adalah versi yang lebih terarah, di mana serangan difokuskan pada individu tertentu dengan informasi spesifik tentang mereka, membuat serangan lebih meyakinkan.

4. Malware (Malicious Software) a. Virus: Program berbahaya yang dapat mereplikasi dirinya sendiri dan menyebar ke perangkat lain, sering kali merusak atau mencuri data. b. Worm: Mirip dengan virus, tetapi dapat menyebar tanpa memerlukan host atau interaksi pengguna. c. Trojan Horse: Program yang terlihat sah tetapi sebenarnya berisi kode berbahaya. Trojan sering digunakan untuk mencuri informasi atau mengakses perangkat tanpa izin. d. Spyware: Program yang mengumpulkan data pengguna tanpa sepengetahuannya.

tentang

e. Ransomware: Jenis malware yang mengenkripsi data dan meminta tebusan untuk membukanya kembali.

44

Keamanan Informasi (Cyber Security)

5. SQL Injection SQL Injection adalah teknik serangan di mana penyerang menyisipkan kode SQL berbahaya ke dalam aplikasi untuk memanipulasi database di belakangnya. Serangan ini memungkinkan penyerang untuk mengakses, mengubah, atau menghapus data yang seharusnya terlindungi.

6. Cross-Site Scripting (XSS) XSS adalah serangan yang memungkinkan penyerang menyisipkan skrip jahat ke dalam situs web yang kemudian dieksekusi oleh browser pengguna. Ini dapat digunakan untuk mencuri informasi pengguna atau merusak sesi pengguna.

7. Sniffing dan Spoofing a. Sniffing adalah teknik pengawasan lalu lintas jaringan untuk menangkap data yang sedang dikirimkan. Serangan ini dapat mengumpulkan data seperti kredensial login atau informasi pribadi. b. Spoofing melibatkan manipulasi identitas dengan menyamarkan diri sebagai pengguna, perangkat, atau alamat IP lain. Contohnya termasuk IP spoofing dan ARP spoofing.

8. Brute Force Attack Serangan brute force adalah metode mencoba-coba berbagai kombinasi kata sandi hingga menemukan yang benar. Serangan ini dapat memakan waktu lama tetapi cukup efektif jika kata sandi lemah.

9. Social Engineering Social engineering adalah teknik manipulasi psikologis yang digunakan oleh penyerang untuk mendapatkan informasi rahasia atau akses ke jaringan. Ini melibatkan taktik seperti berpura-pura

Bab 3 Pengamanan Jaringan

45

menjadi orang dalam perusahaan atau menipu seseorang untuk membocorkan informasi sensitif.

10. Advanced Persistent Threats (APT) APT adalah serangan jangka panjang dan berkelanjutan di mana penyerang menyusup ke dalam jaringan dan beroperasi secara tersembunyi untuk waktu yang lama, biasanya untuk mencuri data sensitif secara berkelanjutan. APT biasanya melibatkan penyerang terlatih dan berteknologi tinggi.

11. Zero-Day Attack Serangan zero-day adalah eksploitasi kerentanan dalam perangkat lunak yang belum ditemukan atau diperbaiki oleh pengembang.

Karena kerentanannya belum diketahui, sangat sulit untuk melindungi sistem dari serangan zero-day.

12. Insider Threats (Ancaman Internal) Ancaman internal adalah serangan atau pelanggaran yang dilakukan oleh orang dalam organisasi, seperti karyawan atau kontraktor. Ancaman ini sering kali disebabkan oleh akses yang sah tetapi disalahgunakan untuk mencuri data atau merusak sistem.

13. Eavesdropping atau Interception Attack Serangan ini melibatkan penyadapan atau pengintaian lalu lintas jaringan untuk mencuri informasi rahasia, seperti kredensial atau data sensitif lainnya.

Ancaman-ancaman jaringan ini menuntut perlindungan yang cermat dan pendekatan keamanan berlapis untuk memitigasi risikonya. Dengan memahami berbagai jenis ancaman, organisasi dapat merancang dan menerapkan solusi keamanan yang lebih efektif dan komprehensif (Bayu Megantoro et al., 2024; Nurendro Ilhamsyah, Mahmudi and Faisol, 2024).

46

Keamanan Informasi (Cyber Security)

3.1.3 Risiko dan Dampak pada Sistem Jaringan Risiko dan Dampak pada Sistem Jaringan adalah aspek kritis yang harus dipahami untuk menjaga kelangsungan operasional serta perlindungan data organisasi. Serangan pada jaringan dapat mengakibatkan kerugian besar, baik dalam aspek finansial, reputasi, maupun keamanan data (Purbodiningrat, I Nyoman Yudi Anggara Wijaya and I Gede Juliana Eka Putra, 2024).

Berikut adalah beberapa risiko utama serta dampak yang mungkin terjadi pada sistem jaringan: 1. Risiko Pencurian Data (Data Breach) a. Risiko: Pencurian data adalah salah satu risiko terbesar, di mana data sensitif seperti informasi pelanggan, data karyawan, atau data bisnis dicuri oleh pihak tidak berwenang. b. Dampak: Pencurian data dapat mengakibatkan kerugian finansial yang besar, hilangnya kepercayaan pelanggan, tuntutan hukum, serta dampak reputasi yang merugikan organisasi.

2. Risiko Serangan Denial of Service (DoS/DDoS) a. Risiko: Serangan DoS/DDoS menyebabkan layanan jaringan atau server tidak dapat diakses oleh pengguna sah karena banjir lalu lintas berlebih. b. Dampak: Serangan ini bisa mengakibatkan downtime pada layanan, menghambat operasional bisnis, dan menurunkan produktivitas. Bagi layanan yang bergantung pada ketersediaan online (seperti e-commerce), ini dapat mengakibatkan hilangnya pendapatan dan kepercayaan pengguna.

Bab 3 Pengamanan Jaringan

47

3. Risiko Malware dan Ransomware a. Risiko: Malware atau ransomware yang masuk ke jaringan dapat menginfeksi perangkat atau mengenkripsi data, mengunci akses hingga tebusan dibayar. b. Dampak: Kehilangan data, downtime yang lama, serta biaya tambahan untuk pemulihan atau pembayaran tebusan.

Malware yang tersebar juga dapat menginfeksi jaringan eksternal, memperburuk dampak reputasi.

4. Risiko Perusakan Data (Data Tampering) a. Risiko: Penyerang dapat mengubah atau memanipulasi data sehingga menjadi tidak akurat atau tidak dapat dipercaya. b. Dampak: Data yang rusak atau diubah dapat menyebabkan kesalahan

dalam

pengambilan

keputusan,

hilangnya

kepercayaan pada sistem, serta risiko operasional yang mengganggu proses bisnis.

5. Risiko Keamanan Fisik (Physical Security Threats) a. Risiko: Pencurian perangkat fisik atau kerusakan perangkat keras (hardware) karena akses tidak sah atau bencana fisik. b. Dampak: Hilangnya perangkat atau kerusakan fisik dapat menyebabkan kehilangan data, menghambat operasional, serta memerlukan biaya perbaikan atau penggantian perangkat.

6. Risiko Ancaman Internal (Insider Threats) a. Risiko: Karyawan atau orang dalam yang memiliki akses ke jaringan bisa menyalahgunakan akses ini untuk keuntungan pribadi atau merusak data. b. Dampak: Ancaman internal bisa lebih merusak karena pelaku biasanya memiliki akses yang sah. Dampaknya dapat berupa pencurian data, perusakan sistem, serta hilangnya data atau informasi bisnis penting.

48

Keamanan Informasi (Cyber Security)

7. Risiko Kerentanan dalam Perangkat Lunak (Software Vulnerabilities) a. Risiko: Aplikasi atau sistem yang memiliki celah keamanan dapat dieksploitasi oleh penyerang, misalnya melalui serangan zero-day atau SQL Injection. b. Dampak: Eksploitasi kerentanan ini dapat mengakibatkan akses tidak sah, kebocoran data, dan potensi kehilangan kontrol terhadap sistem jaringan.

8. Risiko Phishing dan Serangan Rekayasa Sosial (Social Engineering) a. Risiko: Phishing dan social engineering mencoba menipu pengguna untuk memberikan informasi sensitif atau mengklik tautan berbahaya. b. Dampak: Jika pengguna tertipu, ini dapat mengakibatkan pencurian kredensial, hilangnya data, atau masuknya malware ke dalam sistem jaringan.

9. Risiko Sniffing dan Spoofing a. Risiko: Teknik sniffing memungkinkan penyerang menangkap dan membaca data dalam perjalanan, sedangkan spoofing memungkinkan penyerang menyamar sebagai perangkat atau pengguna lain. b. Dampak: Kedua serangan ini dapat menyebabkan hilangnya data, kerusakan reputasi, dan kebocoran informasi sensitif yang berdampak pada operasional bisnis dan keamanan.

10. Risiko Ketergantungan pada Vendor atau Cloud (Third-party Dependency) a. Risiko: Bergantung pada penyedia layanan cloud atau vendor pihak ketiga dapat menimbulkan risiko jika pihak tersebut mengalami pelanggaran atau downtime.

Bab 3 Pengamanan Jaringan

49

b. Dampak: Ketergantungan ini dapat mengakibatkan hilangnya data, keterlambatan operasional, atau bahkan gangguan besar pada infrastruktur jaringan organisasi.

Dampak Umum yang Mungkin Terjadi : 1. Kerugian Finansial: Serangan pada jaringan dapat mengakibatkan biaya pemulihan, tuntutan hukum, serta kehilangan pendapatan.

2. Penurunan Produktivitas: Kegagalan jaringan dan serangan dapat menghentikan atau menunda proses bisnis yang penting.

3. Kerusakan Reputasi: Pelanggaran jaringan sering kali mengurangi kepercayaan pelanggan dan mitra bisnis.

4. Dampak Hukum: Pencurian data atau pelanggaran keamanan dapat menyebabkan organisasi harus menghadapi tuntutan hukum atau denda.

5. Gangguan Operasional: Kehilangan data atau kerusakan sistem dapat mengakibatkan organisasi kehilangan terhambatnya layanan kepada pelanggan.

kendali

dan

Risiko-risiko ini menunjukkan bahwa keamanan jaringan bukan hanya tentang melindungi perangkat, tetapi juga melibatkan perlindungan aset digital, data, serta reputasi organisasi. Memahami risiko dan dampaknya memungkinkan organisasi untuk mengembangkan kebijakan, prosedur, dan teknologi yang sesuai untuk menjaga keamanan jaringan (Christanto and Aji, 2024; Suharni, 2024).

50

Keamanan Informasi (Cyber Security)

3.2 Praktik Terbaik untuk Pengamanan Jaringan 3.2.1 Langkah-langkah Pencegahan Serangan Langkah-langkah Pencegahan Serangan adalah strategi dan tindakan untuk melindungi jaringan dari berbagai ancaman keamanan. Pencegahan yang efektif dapat mengurangi risiko serangan dan meminimalkan dampaknya pada operasional jaringan (Mahardika, Juardi and Solehudin, 2024).

Berikut adalah langkah-langkah utama untuk mencegah serangan jaringan: 1. Penerapan Firewall dan Sistem Deteksi Intrusi (IDS/IPS) a. Firewall membantu memfilter lalu lintas jaringan dan membatasi akses ke jaringan berdasarkan aturan keamanan yang ditetapkan. b. Intrusion Detection System (IDS) dan Intrusion Prevention System (IPS) mendeteksi dan mencegah ancaman dengan mengidentifikasi aktivitas mencurigakan dalam jaringan dan melakukan tindakan otomatis untuk menghentikannya.

2. Enkripsi Data a. Enkripsi adalah teknik mengubah data menjadi format yang tidak bisa dibaca oleh siapa pun kecuali penerima yang dituju.

Ini sangat penting untuk data sensitif yang dikirim melalui jaringan. b. Menggunakan enkripsi yang kuat, seperti SSL/TLS untuk komunikasi web dan VPN untuk jaringan jarak jauh, dapat membantu mencegah penyadapan dan manipulasi data.

Bab 3 Pengamanan Jaringan

51

3. Pembaruan dan Patch Secara Berkala a. Pembaruan perangkat lunak dan patch keamanan sangat penting untuk menutup celah yang dapat dimanfaatkan oleh penyerang. b. Memastikan semua sistem operasi, aplikasi, dan perangkat jaringan selalu diperbarui membantu mencegah serangan yang memanfaatkan kerentanan perangkat lunak.

4. Penggunaan Otentikasi Dua Faktor (2FA) a. Otentikasi Dua Faktor (2FA) adalah lapisan tambahan keamanan di mana pengguna harus melewati dua langkah verifikasi, seperti memasukkan kata sandi dan kode OTP yang dikirim ke ponsel. b. Ini mengurangi risiko akses tidak sah jika kata sandi bocor atau dicuri.

5. Pelatihan Keamanan untuk Pengguna a. Pelatihan pengguna tentang praktik keamanan dasar, seperti mengenali email phishing, tidak membagikan kata sandi, dan menggunakan kata sandi yang kuat, adalah langkah penting untuk mencegah serangan yang memanfaatkan kelemahan manusia. b. Edukasi ini membantu pengguna lebih waspada terhadap serangan rekayasa sosial, seperti phishing dan social engineering.

6. Penerapan Kebijakan Akses yang Ketat (Least Privilege) a. Prinsip least privilege memastikan bahwa pengguna hanya memiliki akses ke informasi dan sistem yang mereka butuhkan untuk pekerjaan mereka. b. Menggunakan kontrol akses berbasis peran (RBAC) membantu mencegah akses tidak sah ke data sensitif dan sistem jaringan.

52

Keamanan Informasi (Cyber Security)

7. Pemantauan dan Logging Aktivitas Jaringan a. Memantau aktivitas jaringan secara berkala memungkinkan tim keamanan mendeteksi pola yang mencurigakan atau aktivitas abnormal. b. Log dari sistem keamanan dan server dapat memberikan wawasan tentang serangan yang sedang berlangsung atau yang mungkin terjadi.

8. Backup Data Secara Berkala a. Backup data secara teratur adalah langkah penting dalam menjaga ketersediaan data jika terjadi serangan ransomware atau kerusakan sistem. b. Pastikan backup disimpan secara aman di luar jaringan utama dan diuji untuk memastikan data dapat dipulihkan dengan cepat jika diperlukan.

9. Segmentasi Jaringan a. Segmentasi jaringan adalah teknik membagi jaringan menjadi beberapa bagian, sehingga serangan yang masuk ke satu bagian tidak bisa menyebar dengan mudah ke bagian lain. b. Ini berguna dalam mencegah ancaman lateral (gerakan antardevice dalam jaringan) dan melindungi data sensitif.

10. Penggunaan Software Antivirus dan Anti-Malware a. Antivirus dan anti-malware membantu melindungi perangkat dari berbagai jenis malware dan virus yang bisa menginfeksi jaringan. b. Pastikan software ini selalu diperbarui dengan database terbaru untuk mendeteksi ancaman baru yang muncul.

Bab 3 Pengamanan Jaringan

53

11. Otentikasi Jaringan dan VPN untuk Akses Jarak Jauh a. Virtual Private Network (VPN) membantu melindungi komunikasi jaringan saat bekerja dari jarak jauh, memastikan data dienkripsi dan hanya bisa diakses oleh pengguna yang sah. b. VPN menyediakan lapisan perlindungan tambahan bagi karyawan yang mengakses jaringan perusahaan dari luar.

12. Pemindai Keamanan dan Tes Penetrasi Secara Berkala a. Pemindai keamanan otomatis dan tes penetrasi berkala membantu menemukan celah penyerang menemukannya.

dalam

sistem

sebelum

b. Tes penetrasi dilakukan oleh tim keamanan atau pihak ketiga untuk mengidentifikasi dan memperbaiki kerentanan.

13. Penerapan Protokol Keamanan Jaringan yang Ketat a. Menggunakan protokol keamanan, seperti HTTPS, SSH, dan WPA3 (untuk jaringan nirkabel), membantu melindungi data saat dalam perjalanan dan menjaga keamanan jaringan. b. Menghindari protokol yang tidak aman seperti HTTP (tanpa SSL/TLS) dan WEP (untuk Wi-Fi) karena mudah diserang.

14. Rencana Tanggap Darurat dan Pemulihan Bencana (Incident Response and Disaster Recovery) a. Menyusun rencana tanggap darurat yang mencakup langkahlangkah yang diambil jika terjadi serangan, siapa yang harus diberi tahu, dan bagaimana proses pemulihan harus dilakukan. b. Rencana pemulihan bencana memastikan bahwa data dan sistem dapat dipulihkan secepat mungkin setelah serangan untuk meminimalkan downtime.

Langkah-langkah pencegahan ini dapat membantu melindungi jaringan dari berbagai jenis serangan dan memastikan sistem berjalan dengan aman.

Dengan pendekatan berlapis-lapis dalam keamanan jaringan, organisasi

54

Keamanan Informasi (Cyber Security)

dapat meningkatkan ketahanan terhadap ancaman dan melindungi data sensitif dari risiko yang terus berkembang (Cahyono et al., 2024; Febriyanto and Sobari, 2024).

3.2.2 Kebijakan Penggunaan Kata Sandi yang Aman Kebijakan Penggunaan Kata Sandi yang Aman adalah seperangkat aturan dan pedoman untuk memastikan bahwa kata sandi yang digunakan dalam jaringan atau aplikasi adalah kuat dan sulit ditebak. Kebijakan ini dirancang untuk melindungi data pengguna dan mencegah akses tidak sah (Adrianto, Widodo and Puspitasari, 2024).

Berikut adalah komponen utama dari kebijakan penggunaan kata sandi yang aman: 1. Panjang Minimum Kata Sandi a. Kata sandi harus memiliki panjang minimum, biasanya setidaknya 12 karakter untuk tingkat keamanan yang lebih tinggi. b. Panjang yang lebih besar membantu memperkuat kata sandi dan mengurangi kemungkinan peretas bisa menebaknya melalui metode brute-force.

2. Kombinasi Karakter Beragam a. Kata sandi harus mengandung kombinasi karakter yang berbeda, termasuk: • Huruf besar (A-Z) • •

Huruf kecil (a-z) Angka (0-9)

•

Simbol (misalnya, @, #, $, !)

b. Kombinasi ini meningkatkan kompleksitas menjadikannya lebih sulit ditebak.

kata

sandi,

Bab 3 Pengamanan Jaringan

55

3. Larangan Menggunakan Informasi Pribadi a. Pengguna sebaiknya tidak menggunakan informasi pribadi dalam kata sandi mereka, seperti nama, tanggal lahir, nama hewan peliharaan, atau alamat. b. Informasi pribadi mudah ditebak dan dapat digunakan oleh peretas dalam serangan social engineering.

4. Kata Sandi Unik untuk Setiap Akun a. Disarankan untuk tidak menggunakan kata sandi yang sama pada beberapa akun atau layanan. b. Dengan menggunakan kata sandi yang unik untuk setiap akun, jika satu akun dibobol, akun lainnya tetap aman.

5. Penggunaan Otentikasi Dua Faktor (2FA) a. Otentikasi dua faktor menambahkan lapisan keamanan tambahan, sehingga pengguna tidak hanya bergantung pada kata sandi. b. 2FA biasanya menggunakan metode verifikasi tambahan, seperti kode OTP yang dikirim ke ponsel atau email.

6. Kata Sandi Tidak Boleh Disimpan dalam Bentuk Teks Terbuka a. Saat disimpan dalam sistem, kata sandi harus dienkripsi dengan teknik hashing yang aman, seperti bcrypt atau SHA-256, untuk melindungi dari pencurian. b. Ini memastikan bahwa bahkan jika sistem disusupi, kata sandi tidak terbaca oleh pihak yang tidak sah.

7. Pemutakhiran Kata Sandi Secara Berkala a. Pengguna disarankan untuk memperbarui kata sandi mereka secara berkala, misalnya setiap 90 hingga 180 hari. b. Penggantian rutin kata sandi mencegah peretas memanfaatkan kata sandi yang mungkin telah mereka akses.

56

Keamanan Informasi (Cyber Security)

8. Larangan Menggunakan Kata Sandi yang Sama atau Sederhana Secara Berulang a. Sistem harus mencegah pengguna menggunakan kembali kata sandi lama atau yang mirip dengan kata sandi sebelumnya. b. Kata sandi seperti "password123" atau pola yang umum harus dibatasi untuk menghindari penggunaan kata sandi yang mudah ditebak.

9. Menyediakan Sistem Pengelolaan Kata Sandi a. Untuk membantu pengguna mengelola kata sandi yang kompleks dan beragam, disarankan menggunakan pengelola kata sandi (password manager). b. Pengelola kata sandi membantu menyimpan dan membuat kata sandi yang kuat tanpa harus menghafalnya.

10. Memastikan Pengguna Mendapat Edukasi Tentang Keamanan Kata Sandi a. Organisasi harus mengedukasi pengguna tentang pentingnya kata sandi yang kuat dan risiko dari penggunaan kata sandi yang lemah atau berulang. b. Edukasi ini membantu meningkatkan kepatuhan terhadap kebijakan keamanan dan mengurangi risiko serangan.

Contoh Kebijakan Kata Sandi yang Aman : 1. Panjang minimum: 12 karakter.

2. Menggunakan kombinasi huruf besar, huruf kecil, angka, dan simbol.

3. Dilarang menggunakan informasi pribadi atau kata yang mudah ditebak.

4. Unik untuk setiap akun, tidak digunakan ulang.

5. Harus diubah setiap 90-180 hari.

Bab 3 Pengamanan Jaringan

57

6. Dilarang menyimpan dalam bentuk teks terbuka.

Kebijakan penggunaan kata sandi yang aman bertujuan untuk memastikan bahwa akses ke sistem dan data organisasi tetap terlindungi dari ancaman peretasan. Kebijakan ini, jika diterapkan dengan baik, bisa membantu organisasi mengurangi risiko yang berasal dari penggunaan kata sandi yang lemah atau mudah ditebak (Ariza Hasibuan et al., 2024; Putra et al., 2024).

3.2.3 Backup dan Disaster Recovery Backup dan Disaster Recovery adalah dua elemen penting dalam strategi keamanan dan keberlangsungan operasional suatu organisasi. Backup memastikan bahwa data tetap aman dan tersedia jika terjadi kehilangan, sementara Disaster Recovery (DR) mencakup rencana dan tindakan untuk memulihkan sistem setelah insiden (Triadi Antara, 2024).

Berikut penjelasan detail dari masing-masing komponen: 1. Backup Backup adalah proses membuat salinan data dari sistem utama yang digunakan untuk pemulihan jika data asli hilang, rusak, atau dicuri. Backup yang teratur dan tepat sangat penting untuk menjaga integritas dan keberlanjutan data.

Jenis-jenis Backup a. Full Backup: Salinan lengkap dari seluruh data. Memerlukan waktu dan ruang penyimpanan yang besar, sehingga biasanya dilakukan secara berkala (misalnya, mingguan atau bulanan). b. Incremental Backup: Menyimpan hanya perubahan yang terjadi sejak backup terakhir, sehingga lebih hemat waktu dan ruang dibandingkan full backup. c. Differential Backup: Menyimpan perubahan yang terjadi sejak full backup terakhir, tetapi tidak menghapus salinan

58

Keamanan Informasi (Cyber Security)

sebelumnya, sehingga memerlukan lebih banyak ruang daripada incremental backup. d. Mirror Backup: Salinan langsung dari data yang disimpan secara sinkron, tetapi tidak menyimpan riwayat perubahan.

Lokasi Penyimpanan Backup : a. On-site Backup: Data disimpan di lokasi fisik yang sama dengan data asli, misalnya pada perangkat penyimpanan lokal atau server internal. Ini cepat diakses, tetapi rentan terhadap risiko fisik seperti kebakaran atau pencurian. b. Off-site Backup: Data disimpan di lokasi lain, seperti pusat data yang berbeda atau penyimpanan awan (cloud). Off-site backup memberikan perlindungan tambahan terhadap risiko lokal. c. Cloud Backup: Penyimpanan data di layanan cloud pihak ketiga. Ini memungkinkan akses jarak jauh yang mudah, serta keamanan dan skalabilitas.

2. Disaster Recovery (DR) Disaster Recovery adalah rencana tindakan dan strategi pemulihan yang dirancang untuk memastikan bahwa organisasi dapat segera pulih dari gangguan besar, seperti serangan siber, bencana alam, atau kegagalan perangkat keras. DR berfokus pada pemulihan infrastruktur dan aplikasi utama yang mendukung operasional bisnis.

Langkah-langkah dalam Disaster Recovery : a. Assessment Risiko dan Penentuan Prioritas: Menentukan risiko apa saja yang mungkin terjadi, seperti bencana alam, kerusakan perangkat, atau serangan siber, dan menetapkan prioritas pemulihan untuk komponen sistem penting.

Bab 3 Pengamanan Jaringan

59

b. Rencana Pemulihan: Menyusun langkah-langkah pemulihan yang jelas untuk infrastruktur TI, termasuk jaringan, server, dan perangkat lunak. c. Recovery Point Objective (RPO): Menetapkan seberapa jauh data bisa dipulihkan setelah kehilangan, biasanya diukur dalam hitungan jam atau hari. Ini menentukan seberapa sering backup harus dilakukan. d. Recovery Time Objective (RTO): Menentukan seberapa cepat sistem harus dipulihkan setelah terjadi insiden untuk menjaga kelangsungan bisnis. e. Pengujian dan Simulasi: Menguji rencana DR secara berkala melalui simulasi untuk memastikan kesiapan dan mengidentifikasi kelemahan yang perlu diperbaiki.

3. Peran Backup dalam Disaster Recovery a. Backup merupakan komponen kunci dalam strategi Disaster Recovery, menyediakan pemulihan cepat.

data

yang

diperlukan

untuk

b. Saat terjadi bencana, backup yang tersedia memungkinkan organisasi untuk mengembalikan data dan memulihkan sistem tanpa harus memulai dari awal. c. Disaster Recovery yang sukses bergantung pada backup yang up-to-date dan mudah diakses, dengan salinan yang aman di berbagai lokasi.

4. Best Practices untuk Backup dan Disaster Recovery a. Frekuensi Backup: Sesuaikan frekuensi backup dengan kebutuhan bisnis dan risiko yang ada. Data yang sering berubah mungkin memerlukan backup harian atau bahkan real-time.

60

Keamanan Informasi (Cyber Security)

b. Enkripsi Data Backup: Untuk melindungi data sensitif dalam backup, pastikan backup dienkripsi, terutama jika data disimpan secara off-site atau di cloud. c. Pemantauan dan Pengelolaan Backup: Gunakan perangkat lunak atau alat monitoring untuk memastikan backup berjalan seperti yang direncanakan dan tidak ada error atau file yang gagal di-backup. d. Latihan Pemulihan Berkala: Simulasikan pemulihan dari backup dan rencana DR untuk memastikan bahwa semua pihak memahami peran mereka dan bahwa prosedur berfungsi seperti yang diharapkan. e. Pemeliharaan Rencana DR yang Dinamis: Update rencana DR sesuai dengan perubahan teknologi, infrastruktur, dan kebutuhan bisnis.

Backup dan Disaster Recovery adalah aspek kritis untuk menjaga keberlanjutan operasional dan keamanan data. Backup berfungsi sebagai cadangan data yang siap digunakan, sementara Disaster Recovery adalah rencana komprehensif untuk pemulihan sistem setelah bencana atau gangguan.

Melakukan keduanya secara terstruktur dapat membantu organisasi meminimalkan kerugian finansial, reputasi, dan operasional akibat insiden tak terduga (Glen Maxie Taberima and Ramayanti, 2024; Wahyudin et al., 2024).

Bab 4 Perlindungan Data

4.1 Pengertian Perlindungan Data Pengertian Perlindungan Data mengacu pada berbagai upaya dan langkahlangkah yang dilakukan untuk menjaga data pribadi dan informasi sensitif dari akses yang tidak sah, penyalahgunaan, atau pelanggaran. Perlindungan data melibatkan proses pengumpulan, penyimpanan, pengelolaan, dan pemanfaatan data dengan cara yang memastikan bahwa data tetap aman, tidak mengalami perubahan tanpa izin, dan hanya diakses oleh pihak-pihak yang berwenang.

Di era digital saat ini, data menjadi aset yang sangat bernilai, baik untuk individu maupun organisasi, karena data memberikan wawasan yang mendalam tentang perilaku, preferensi, dan kebutuhan pengguna (Smith, 2021). Sebagai hasilnya, perlindungan data menjadi semakin penting dalam menjaga privasi individu dan integritas informasi bisnis, terutama ketika data-data ini digunakan oleh perusahaan untuk pengambilan keputusan dan strategi pemasaran.

62

Keamanan Informasi (Cyber Security)

Tujuan utama perlindungan data adalah untuk menjaga kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) data, yang sering disebut sebagai prinsip CIA Triad (Anderson, 2020).

Confidentiality memastikan bahwa data hanya dapat diakses oleh individu atau entitas yang berwenang, sementara integritas memastikan bahwa data tetap akurat dan tidak diubah tanpa izin. Di sisi lain, availability menjamin bahwa data selalu dapat diakses oleh pengguna yang memiliki otorisasi, terutama dalam situasi di mana data tersebut diperlukan untuk operasional atau pengambilan keputusan kritis.

Selain itu, perlindungan data bertujuan untuk memastikan kepatuhan terhadap peraturan dan regulasi yang berlaku, seperti GDPR (General Data Protection Regulation) di Uni Eropa atau CCPA (California Consumer Privacy Act) di Amerika Serikat, yang mewajibkan perusahaan dan organisasi untuk melindungi data pengguna dan memberikan hak akses yang jelas kepada individu terkait data pribadi mereka (Brown & Harris, 2019).

Perlindungan data juga memainkan peran penting dalam membangun kepercayaan antara organisasi dan pengguna. Ketika individu merasa aman dan yakin bahwa data mereka diproses dan disimpan dengan aman, mereka lebih cenderung berinteraksi dan berbagi informasi secara sukarela, yang pada akhirnya meningkatkan loyalitas dan kepercayaan terhadap organisasi (White, 2021). Selain itu, dengan menerapkan perlindungan data yang ketat, perusahaan dapat menghindari risiko pelanggaran data yang berpotensi merusak reputasi bisnis dan mengakibatkan kerugian finansial yang besar.

Menurut Johnson (2020), upaya perlindungan data yang komprehensif membantu perusahaan menjaga hubungan baik dengan konsumen sekaligus meningkatkan efisiensi operasional melalui penerapan protokol keamanan yang tepat. Dalam konteks yang lebih luas, perlindungan data bukan hanya merupakan kewajiban hukum, tetapi juga tanggung jawab moral untuk menjaga privasi individu dan memastikan bahwa informasi digunakan secara etis dan bertanggung jawab.

Bab 4 Perlindungan Data

63

4.2 Jenis Data yang Dilindungi Jenis Data yang Dilindungi dalam konteks perlindungan data mencakup berbagai macam informasi yang, jika disalahgunakan atau diakses oleh pihak yang tidak berwenang, dapat menimbulkan risiko signifikan bagi individu maupun organisasi. Salah satu jenis data yang paling umum adalah data pribadi, yaitu informasi yang terkait langsung dengan identitas individu, seperti nama, alamat, tanggal lahir, nomor telepon, alamat email, dan nomor identitas seperti nomor KTP atau paspor (Anderson, 2020).

Data pribadi sering menjadi target utama peretasan karena nilai tinggi yang dimilikinya dalam aktivitas keuangan atau bahkan pencurian identitas.

Selain data pribadi, ada pula data sensitif, yaitu informasi yang lebih mendalam dan memerlukan tingkat perlindungan yang lebih tinggi.

Contoh data sensitif termasuk data kesehatan, riwayat medis, informasi finansial (misalnya nomor rekening atau kartu kredit), serta data biometrik seperti sidik jari atau pengenalan wajah (White, 2021).

Data sensitif ini dianggap sangat berharga dan rentan, karena dampaknya dapat meluas jika disalahgunakan, termasuk ancaman terhadap privasi, kerugian finansial, dan bahkan potensi gangguan fisik atau psikologis bagi individu yang bersangkutan.

Tabel 4.1: Jenis-jenis data pribadi yang dilindungi Jenis Data Pribadi Identitas Pribadi Informasi Kontak Informasi Keuangan Data Kesehatan Data Biometrik

Deskripsi Informasi yang secara langsung mengidentifikasi individu.

Data yang digunakan untuk menghubungi individu.

Data yang berkaitan dengan keuangan pribadi atau transaksi finansial individu.

Informasi medis dan riwayat kesehatan yang bersifat pribadi.

Data yang digunakan untuk

Contoh Nama lengkap, nomor KTP, nomor paspor Alamat rumah, nomor telepon, email Nomor rekening bank, nomor kartu kredit, riwayat transaksi Riwayat medis, catatan penyakit, hasil tes laboratorium Sidik jari, pemindaian

64

Data Lokasi Data Kepegawaian Data Perilaku Online Data Pendidikan

Informasi Keluarga

Informasi Demografis

Keamanan Informasi (Cyber Security)

autentikasi berdasarkan karakteristik biologis unik individu.

Informasi yang menunjukkan keberadaan fisik individu.

Informasi terkait pekerjaan atau riwayat kerja individu.

Informasi tentang aktivitas dan preferensi individu di internet.

Informasi akademik dan riwayat pendidikan individu.

Data yang mencakup informasi pribadi anggota keluarga atau hubungan keluarga individu.

Data yang mendeskripsikan karakteristik populasi individu.

wajah, iris mata

Riwayat lokasi alamat IP

GPS,

Nomor pegawai, jabatan, gaji Riwayat penelusuran, preferensi belanja, interaksi media social Gelar, nilai akademik, riwayat sekolah atau universitas Status perkawinan, nama anggota keluarga, data anak atau tanggungan Usia, jenis kebangsaan

kelamin,

Di ranah bisnis dan organisasi, terdapat data organisasi yang dilindungi.

Data organisasi mencakup informasi internal yang terkait dengan operasi, strategi, keuangan, dan inovasi perusahaan.

Menurut Brown (2019), data organisasi seperti rahasia dagang, rencana bisnis, dokumen kontrak, informasi pelanggan, serta riset dan pengembangan produk adalah aset berharga yang harus dijaga dengan ketat. Kebocoran atau pencurian data organisasi dapat mengakibatkan kerugian besar bagi perusahaan, baik dari segi finansial maupun reputasi, terutama jika informasi ini jatuh ke tangan pesaing atau pihak yang tidak bertanggung jawab.

Data operasional, yang merupakan data tentang prosedur kerja, produksi, dan pengelolaan sumber daya, juga memerlukan perlindungan, khususnya dalam industri yang sangat kompetitif. Data ini penting untuk menjaga keunggulan kompetitif, memastikan operasional yang efisien, dan mendukung pengambilan keputusan berdasarkan informasi yang akurat (Johnson, 2020).

Bab 4 Perlindungan Data

65

Tabel 4.2: Jenis-jenis data organisasi yang dilindungi Jenis Data Organisasi Rahasia Dagang

Strategi Bisnis

Data Keuangan

Informasi Pelanggan

Riset dan Pengembangan (R&D) Dokumen Kontrak dan Legal

Data Karyawan

Data Operasional

Data Pemasok dan Mitra Hak Kekayaan Intelektual (HKI)

Deskripsi Informasi yang memberikan keunggulan kompetitif bagi organisasi dan dirahasiakan dari publik.

Rencana dan tujuan jangka pendek atau panjang organisasi untuk mencapai target bisnis.

Informasi yang berkaitan dengan kondisi keuangan dan arus kas organisasi.

Data yang mencakup informasi pelanggan yang digunakan untuk pelayanan dan pemasaran.

Data terkait penelitian dan pengembangan produk atau inovasi yang sedang dilakukan.

Dokumen hukum yang mengatur hubungan bisnis dan melindungi hak organisasi.

Informasi tentang staf dan karyawan, termasuk data pribadi dan informasi kepegawaian.

Data yang berkaitan dengan proses dan prosedur internal yang mendukung operasional organisasi.

Informasi tentang pemasok dan mitra bisnis yang bekerja sama dengan organisasi.

Data yang mencakup semua hak cipta, paten,

Contoh Formula produk, resep rahasia, algoritma unik Rencana ekspansi, strategi pemasaran, analisis SWOT Laporan keuangan, neraca, laporan laba rugi Nama pelanggan, kontak, riwayat pembelian Prototipe produk, studi inovasi, hasil penelitian Kontrak kerja, perjanjian kerahasiaan, MoU Gaji, nomor pegawai, riwayat pekerjaan SOP (Standar Operasional Prosedur), jadwal produksi Kontrak pemasok, data kontak mitra, syarat pembelian Paten produk, merek dagang, hak cipta

66

Proyeksi Penelitian

Keamanan Informasi (Cyber Security)

Pasar

dan

Data Teknologi Infrastruktur

dan

merek dagang, dan desain yang dimiliki organisasi.

Analisis yang digunakan untuk memahami tren pasar dan kebutuhan pelanggan di masa depan.

Informasi tentang sistem IT dan infrastruktur teknologi yang mendukung operasi bisnis.

Laporan analisis pasar, tren industri, survei pelanggan Arsitektur jaringan, data akses server, perangkat lunak eksklusif

Di era digital saat ini, data digital pengguna juga menjadi jenis data yang penting untuk dilindungi, mencakup data aktivitas pengguna di internet seperti riwayat penelusuran, preferensi belanja, dan data yang dihasilkan dari penggunaan aplikasi atau situs web tertentu (Harris, 2019).

Data ini sering dikumpulkan dan dianalisis oleh perusahaan untuk memahami pola perilaku konsumen dan menyusun strategi pemasaran yang lebih efektif. Namun, karena data ini sering kali bersifat pribadi dan dapat melanggar privasi pengguna jika digunakan secara tidak etis, perlindungan data digital menjadi prioritas utama dalam regulasi data.

Dengan demikian, jenis data yang dilindungi meliputi data pribadi, data sensitif, data organisasi, data operasional, dan data digital pengguna. Setiap jenis data ini memerlukan pendekatan perlindungan khusus yang dirancang untuk mengamankan data dari berbagai ancaman, baik eksternal maupun internal, sekaligus memenuhi ketentuan hukum yang berlaku.

4.3 Prinsip-Prinsip Perlindungan Data Prinsip-Prinsip Perlindungan Data merupakan landasan penting dalam menjaga keamanan dan privasi data, terutama di era digital yang semakin kompleks dan rentan terhadap ancaman siber. Prinsip-prinsip ini membantu organisasi dalam mengelola data secara etis dan sesuai dengan regulasi. Salah satu prinsip utama dalam perlindungan data adalah prinsip

Bab 4 Perlindungan Data

67

kerahasiaan (confidentiality), yang menekankan bahwa data harus dijaga dari akses yang tidak sah.

Confidentiality menjamin bahwa hanya individu atau entitas yang memiliki otorisasi yang dapat mengakses data tertentu, melindungi informasi dari peretasan atau kebocoran yang tidak diinginkan (Anderson, 2020). Selain itu, prinsip integritas (integrity) sangat penting untuk memastikan bahwa data tetap akurat, lengkap, dan tidak berubah tanpa izin selama proses penyimpanan, transfer, atau pemrosesan. Integritas data ini memainkan peran penting dalam menjaga kepercayaan terhadap sistem informasi, karena perubahan data yang tidak sah dapat menyebabkan informasi yang salah atau bahkan kerusakan reputasi perusahaan (Johnson, 2019).

Prinsip lain yang esensial adalah ketersediaan (availability), yang memastikan bahwa data dan sistem informasi selalu tersedia bagi pengguna yang berwenang ketika dibutuhkan. Ketersediaan data sangat penting dalam operasional bisnis dan layanan publik, terutama dalam situasi darurat atau saat pengambilan keputusan penting (Smith, 2021). Selain tiga prinsip utama dalam CIA Triad (Confidentiality, Integrity, Availability), terdapat juga prinsip minimalisasi data (data minimization), yang menyarankan agar organisasi hanya mengumpulkan dan menyimpan data yang benar-benar diperlukan untuk tujuan yang spesifik.

Hal ini penting untuk mengurangi risiko penyalahgunaan data dan memastikan bahwa data yang dikumpulkan dapat dikelola dengan lebih aman dan efisien (White, 2020). Dengan prinsip ini, organisasi dapat meminimalkan paparan terhadap risiko keamanan yang mungkin terjadi akibat menyimpan data yang berlebihan.

Prinsip transparansi juga menjadi aspek penting dalam perlindungan data, di mana organisasi harus memberitahu individu tentang bagaimana data mereka dikumpulkan, digunakan, dan dilindungi. Transparansi membangun kepercayaan dengan pengguna dan memastikan bahwa mereka memiliki pemahaman tentang bagaimana data pribadi mereka dikelola oleh organisasi (Harris & Miller, 2021).

68

Keamanan Informasi (Cyber Security)

Selain itu, akuntabilitas mengharuskan organisasi untuk bertanggung jawab atas praktik perlindungan data mereka. Dengan demikian, mereka harus mampu menunjukkan langkah-langkah yang telah dilakukan untuk melindungi data sesuai dengan standar hukum dan etika yang berlaku.

Prinsip akuntabilitas ini melibatkan pemantauan, pelatihan, dan audit reguler untuk memastikan bahwa kebijakan dan prosedur perlindungan data diikuti dengan konsisten (Brown, 2020).

Prinsip-prinsip perlindungan data ini tidak hanya memastikan keamanan data, tetapi juga mematuhi berbagai regulasi global, seperti GDPR di Uni Eropa dan CCPA di Amerika Serikat, yang mewajibkan organisasi untuk menghormati hak privasi pengguna. Dengan menerapkan prinsip-prinsip ini, organisasi tidak hanya melindungi diri dari potensi pelanggaran hukum, tetapi juga membangun hubungan kepercayaan yang lebih kuat dengan pelanggan dan pengguna layanan mereka.

4.4 Teknik dan Prosedur Perlindungan Data Teknik dan Prosedur Perlindungan Data sangat penting dalam menjaga keamanan informasi di tengah meningkatnya ancaman siber. Salah satu teknik utama adalah enkripsi data, yang melibatkan pengubahan data menjadi format yang tidak dapat dibaca oleh pihak yang tidak berwenang.

Dengan enkripsi, data sensitif seperti informasi pribadi dan keuangan tetap terlindungi bahkan jika terjadi pelanggaran akses. Anderson (2020) mencatat bahwa enkripsi adalah teknik esensial dalam menjaga kerahasiaan informasi, terutama dalam lingkungan digital di mana data sering dipindahkan antar sistem.

Selain enkripsi, firewall adalah prosedur perlindungan lain yang berfungsi sebagai pembatas antara jaringan internal yang aman dan jaringan eksternal. Firewall bekerja dengan cara memantau lalu lintas masuk dan keluar, menyaring ancaman yang mungkin masuk ke dalam sistem, serta

Bab 4 Perlindungan Data

69

memastikan bahwa hanya lalu lintas yang sah yang diperbolehkan (Johnson, 2019).

Kontrol akses juga merupakan prosedur penting untuk memastikan bahwa data hanya diakses oleh pihak yang memiliki wewenang. Teknik ini meliputi penggunaan sistem autentikasi seperti kata sandi, identifikasi biometrik, atau otentikasi dua faktor (2FA). Kontrol akses yang ketat tidak hanya mencegah akses yang tidak sah, tetapi juga memungkinkan organisasi untuk melacak aktivitas pengguna dan mengidentifikasi tindakan yang mencurigakan (Brown & Miller, 2021).

Selain itu, backup data adalah prosedur perlindungan yang penting untuk memitigasi risiko kehilangan data akibat serangan ransomware, kegagalan sistem, atau bencana. Dengan melakukan backup secara rutin dan menyimpannya di lokasi terpisah, organisasi dapat memastikan bahwa data mereka dapat dipulihkan dengan cepat jika terjadi insiden (White, 2020).

Pemantauan jaringan juga menjadi komponen utama dalam perlindungan data. Melalui pemantauan, organisasi dapat mendeteksi aktivitas yang mencurigakan dan menanggapi ancaman siber secara proaktif. Menurut Harris (2021), pemantauan jaringan yang efektif melibatkan penggunaan alat deteksi ancaman dan sistem peringatan dini yang memberikan notifikasi kepada tim keamanan ketika ada aktivitas yang mencurigakan.

Ini memungkinkan respons yang cepat dan mengurangi risiko pelanggaran data yang lebih luas.

Selain itu, penerapan prosedur audit yang teratur membantu organisasi untuk meninjau dan mengkaji efektivitas sistem keamanan mereka. Audit memungkinkan evaluasi berkala terhadap kebijakan dan prosedur keamanan yang diterapkan, memastikan bahwa standar dan praktik perlindungan data selalu up-to-date sesuai dengan perkembangan teknologi dan regulasi yang berlaku (Smith, 2021).

Penerapan kebijakan pelatihan dan edukasi keamanan bagi karyawan juga tidak kalah pentingnya. Dengan memberikan pelatihan rutin tentang praktik keamanan data, seperti mengenali email phishing dan cara menjaga

70

Keamanan Informasi (Cyber Security)

kata sandi yang aman, organisasi dapat meningkatkan kesadaran karyawan terhadap risiko keamanan dan meminimalkan kesalahan manusia yang sering kali menjadi penyebab kebocoran data. Secara keseluruhan, teknik dan prosedur perlindungan data, termasuk enkripsi, firewall, kontrol akses, backup data, pemantauan jaringan, audit, serta pelatihan keamanan, berfungsi sebagai sistem perlindungan berlapis yang efektif dalam melindungi data dari berbagai ancaman, baik internal maupun eksternal.

4.5 Tantangan dalam Perlindungan Data Tantangan dalam Perlindungan Data di era digital semakin kompleks dan beragam, seiring dengan meningkatnya ketergantungan pada teknologi serta banyaknya ancaman siber yang berkembang. Salah satu tantangan utama dalam perlindungan data adalah menghadapi serangan yang semakin canggih, seperti serangan malware dan ransomware. Menurut White (2021), malware dan ransomware telah berkembang dalam teknik dan skala, mengincar kelemahan sistem untuk mengenkripsi atau mencuri data penting, yang sering kali berdampak signifikan pada operasional perusahaan.

Dalam serangan ransomware, penyerang mengenkripsi data perusahaan dan menuntut tebusan untuk membuka kembali akses data tersebut.

Fenomena ini menimbulkan tantangan besar bagi organisasi, yang harus berinvestasi dalam teknologi deteksi dini dan respons insiden untuk meminimalkan dampak dari serangan tersebut (Johnson, 2020).

Tantangan lain yang signifikan adalah kebutuhan untuk melindungi data di lingkungan cloud. Semakin banyak organisasi yang beralih ke cloud computing untuk efisiensi dan kemudahan akses data, namun ini juga meningkatkan risiko keamanan, terutama ketika data sensitif diproses dan disimpan oleh pihak ketiga. Anderson (2020) mencatat bahwa penggunaan cloud membawa tantangan tambahan dalam kontrol akses dan kepatuhan

Bab 4 Perlindungan Data

71

terhadap regulasi, karena data harus tetap aman meskipun berada di luar infrastruktur fisik perusahaan.

Keamanan di cloud memerlukan pendekatan multi-layer, termasuk enkripsi data, kontrol akses ketat, dan audit keamanan reguler untuk mengatasi risiko yang mungkin muncul. Selain itu, organisasi harus memastikan bahwa penyedia layanan cloud mereka mematuhi standar keamanan dan peraturan yang berlaku.

Kesenjangan dalam kesadaran keamanan di kalangan karyawan juga menjadi tantangan utama dalam perlindungan data. Meskipun teknologi keamanan terus berkembang, kesalahan manusia tetap menjadi salah satu faktor utama kebocoran data. Brown dan Harris (2019) menunjukkan bahwa kurangnya pelatihan atau pemahaman karyawan tentang ancaman siber, seperti serangan phishing, sering kali menyebabkan kelemahan yang dapat dieksploitasi oleh peretas.

Kesadaran dan pelatihan keamanan yang berkala sangat penting untuk memastikan bahwa karyawan dapat mengenali dan menghindari potensi serangan. Selain itu, karena semakin banyak orang yang bekerja dari jarak jauh, tantangan ini semakin diperburuk oleh kurangnya kontrol langsung terhadap perangkat karyawan, yang sering kali terhubung ke jaringan yang tidak aman (Smith, 2020).

Tantangan lainnya adalah kepatuhan terhadap regulasi perlindungan data yang semakin ketat, seperti GDPR di Uni Eropa dan CCPA di Amerika Serikat. Peraturan ini memberikan hak tambahan kepada individu atas data mereka dan menuntut organisasi untuk mematuhi standar perlindungan data yang ketat. Namun, kepatuhan ini bukan tanpa tantangan. Organisasi harus menyesuaikan kebijakan dan prosedur mereka dengan regulasi yang beragam, dan sering kali ini membutuhkan perubahan besar dalam infrastruktur dan manajemen data mereka (Harris, 2021). Tidak hanya membutuhkan investasi finansial yang besar, tetapi kepatuhan terhadap regulasi juga memerlukan pemantauan terus-menerus dan audit berkala untuk memastikan bahwa semua aspek perlindungan data tetap sesuai dengan hukum.

72

Keamanan Informasi (Cyber Security)

Secara keseluruhan, tantangan dalam perlindungan data meliputi ancaman serangan siber yang semakin canggih, kebutuhan akan keamanan di lingkungan cloud, kesenjangan kesadaran keamanan di kalangan karyawan, dan kepatuhan terhadap regulasi yang ketat. Meskipun teknologi dan prosedur keamanan terus berkembang, tantangan-tantangan ini menuntut organisasi untuk terus beradaptasi, memperbarui pendekatan keamanan mereka, dan memastikan bahwa perlindungan data tetap menjadi prioritas utama.

4.6 Peran Keamanan Siber dalam Perlindungan Data Peran Keamanan Siber dalam Perlindungan Data sangatlah penting dalam melindungi informasi sensitif dari ancaman yang berkembang di dunia digital. Keamanan siber mencakup serangkaian teknologi, proses, dan praktik yang dirancang untuk melindungi jaringan, perangkat, program, dan data dari serangan digital, pencurian data, dan penyalahgunaan (Anderson, 2020).

Keamanan siber berfungsi sebagai lapisan perlindungan pertama dalam sistem teknologi informasi yang kompleks, menciptakan perisai antara data penting dan ancaman eksternal seperti malware, ransomware, dan serangan phishing yang berpotensi merusak atau mencuri data organisasi maupun individu (Johnson, 2021).

Sistem deteksi ancaman adalah salah satu komponen penting dalam keamanan siber. Dengan menggunakan teknologi seperti sistem deteksi intrusi (Intrusion Detection System/IDS) dan pemantauan jaringan secara real-time, organisasi dapat mengidentifikasi aktivitas yang mencurigakan dan merespons ancaman siber lebih cepat, mengurangi risiko terjadinya pelanggaran data (Smith & Brown, 2020).

Bab 4 Perlindungan Data

73

Di samping itu, keamanan siber juga mencakup penggunaan enkripsi data, yang membantu menjaga kerahasiaan informasi dengan mengubah data menjadi kode yang tidak dapat dibaca tanpa kunci khusus. Teknik enkripsi ini membuat data tetap aman bahkan jika jatuh ke tangan yang tidak berwenang, sehingga merupakan komponen kritis dalam perlindungan data (White, 2019).

Autentikasi multi-faktor (MFA) merupakan teknik lain yang digunakan dalam keamanan siber untuk memperkuat perlindungan akses terhadap data. MFA mengharuskan pengguna untuk melalui beberapa langkah verifikasi identitas sebelum mendapatkan akses ke data sensitif, sehingga meningkatkan keamanan dan mengurangi risiko akses yang tidak sah (Harris, 2021).

Ini sangat penting di era di mana pelanggaran keamanan sering kali terjadi akibat kata sandi yang lemah atau kesalahan manusia. Keamanan siber juga mencakup penerapan firewall dan antivirus yang berfungsi untuk memblokir akses dari jaringan atau perangkat yang tidak terpercaya, serta mendeteksi dan menghapus malware yang dapat merusak sistem atau mencuri data (Miller, 2020).

Di tengah meningkatnya adopsi cloud computing, peran keamanan siber dalam melindungi data di lingkungan cloud juga menjadi semakin penting.

Organisasi perlu memastikan bahwa penyedia layanan cloud memiliki standar keamanan tinggi dan prosedur yang memadai untuk mencegah pelanggaran data (Brown, 2020). Selain itu, dengan semakin luasnya ancaman siber, banyak organisasi juga menerapkan program pelatihan dan kesadaran keamanan bagi karyawan untuk memastikan bahwa semua anggota organisasi memahami ancaman yang ada dan langkah-langkah yang diperlukan untuk melindungi data.

Dengan semua langkah ini, keamanan siber tidak hanya membantu mencegah pelanggaran data tetapi juga menjaga kepercayaan pelanggan, menjaga kepatuhan terhadap regulasi, dan melindungi reputasi organisasi di pasar yang kompetitif. Oleh karena itu, peran keamanan siber dalam perlindungan data sangat penting untuk memastikan bahwa organisasi

74

Keamanan Informasi (Cyber Security)

dapat beroperasi dengan aman dan menjaga integritas serta kerahasiaan data yang mereka miliki.

4.7 Masa Depan Perlindungan Data Masa Depan Perlindungan Data menghadapi tantangan dan peluang yang semakin besar seiring dengan perkembangan teknologi yang pesat. Di masa depan, teknologi seperti kecerdasan buatan (AI) dan pembelajaran mesin (machine learning) akan memainkan peran penting dalam memperkuat perlindungan data melalui kemampuan mereka dalam mendeteksi polapola yang mencurigakan dan mengidentifikasi ancaman potensial sebelum terjadi pelanggaran data.

Menurut White (2021), sistem keamanan yang didukung oleh AI memungkinkan proses analisis ancaman yang lebih cepat dan presisi, mengurangi waktu respons dan meningkatkan kemampuan deteksi dini terhadap serangan siber. Penggunaan AI dalam keamanan data juga diharapkan mampu mengidentifikasi anomali dalam jaringan secara otomatis dan memprediksi serangan berdasarkan pola historis, memberikan perlindungan yang lebih proaktif daripada pendekatan tradisional.

Selain itu, enkripsi data akan semakin canggih untuk menghadapi ancaman kriptografi yang lebih kompleks. Brown (2020) mengungkapkan bahwa teknik enkripsi kuantum, yang menggunakan prinsip-prinsip fisika kuantum untuk menghasilkan kunci yang tidak dapat dipecahkan, mulai diperkenalkan dan diperkirakan akan menjadi standar baru dalam perlindungan data, terutama untuk data yang sangat sensitif dan bernilai tinggi. Enkripsi kuantum ini memungkinkan komunikasi data yang lebih aman karena setiap upaya untuk mengintervensi data akan terdeteksi secara otomatis, memastikan bahwa informasi tetap terlindungi bahkan dari serangan komputer kuantum yang memiliki daya komputasi jauh lebih tinggi daripada komputer saat ini.

Bab 4 Perlindungan Data

75

Di sisi regulasi, masa depan perlindungan data akan semakin dipengaruhi oleh kebijakan dan peraturan yang terus berkembang, baik di tingkat nasional maupun internasional. Peraturan seperti GDPR di Uni Eropa telah menetapkan standar perlindungan data yang ketat, dan negara-negara lain diharapkan mengikuti jejak ini dengan menetapkan regulasi yang lebih komprehensif.

Harris dan Miller (2021) mencatat bahwa regulasi global ini tidak hanya akan memberikan perlindungan yang lebih baik bagi individu, tetapi juga mendorong perusahaan untuk meningkatkan sistem keamanan mereka agar mematuhi standar internasional. Hal ini menunjukkan bahwa perusahaan akan terus dihadapkan pada tuntutan untuk memperbarui prosedur perlindungan data mereka dan menjaga kepatuhan terhadap berbagai peraturan yang terus berkembang.

Namun, tantangan besar dalam perlindungan data juga diprediksi akan meningkat, terutama dengan bertambahnya perangkat yang terhubung ke Internet of Things (IoT) dan migrasi ke cloud yang luas. IoT membawa risiko tambahan karena banyak perangkat yang tidak memiliki sistem keamanan yang memadai, menjadikannya pintu masuk potensial untuk peretas (Smith, 2020).

Tantangan ini akan mendorong organisasi untuk memperketat keamanan tidak hanya pada data utama tetapi juga pada perangkat dan sistem yang berinteraksi dengan data tersebut. Demikian pula, penggunaan cloud untuk menyimpan data dalam skala besar juga akan meningkatkan kebutuhan akan keamanan yang lebih kuat dalam penyimpanan dan akses data, yang mengarah pada pengembangan solusi keamanan berbasis cloud yang lebih efisien dan aman.

Ke depan, pendidikan dan kesadaran keamanan bagi pengguna akhir juga akan menjadi prioritas dalam perlindungan data. White (2021) menekankan bahwa peningkatan kesadaran dan pemahaman masyarakat umum tentang pentingnya keamanan data akan menjadi kunci dalam menciptakan ekosistem digital yang aman dan terpercaya.

76

Keamanan Informasi (Cyber Security)

Dengan demikian, masa depan perlindungan data akan sangat bergantung pada kombinasi teknologi canggih, regulasi yang ketat, serta peningkatan kesadaran publik untuk memastikan bahwa data tetap aman di tengah ancaman yang terus berkembang.

Bab 5 Jenis-jenis Serangan Siber

5.1 Definisi Serangan Siber Pada era digital yang terus berkembang, kejahatan siber (cybercrime) tidak hanya memiliki potensi untuk merusak data dan menyebabkan kebocoran informasi pribadi, tetapi juga dapat menghancurkan perekonomian, merusak bisnis, mengganggu infrastruktur vital, bahkan mengancam stabilitas keamanan nasional suatu negara.

Cybercrime merupakan kejahatan yang dilakukan dengan memanfaatkan teknologi informasi dan komunikasi untuk tujuan ilegal, sementara cybersecurity adalah langkah proteksi yang dirancang untuk melindungi sistem komputer dari berbagai ancaman atau akses yang tidak sah. Salah satu bentuk serangan dalam kejahatan siber adalah cyberattack, yaitu serangan yang dilakukan oleh pelaku kejahatan siber dengan menggunakan satu atau lebih komputer untuk menyerang komputer lain yang terhubung dalam jaringan. Fenomena ini menjadi masalah serius bagi individu, perusahaan, dan pemerintah.

78

Keamanan Informasi (Cyber Security)

Kejahatan komputer, kejahatan siber, atau kejahatan dunia maya (cybercrime) adalah bentuk kriminalitas yang memanfaatkan internet dan komputer sebagai sarana utama untuk melakukan tindakan ilegal. Contoh dari kejahatan ini meliputi hacking, pelanggaran hak cipta, pornografi anak, eksploitasi anak, serta pelanggaran privasi seperti pencurian atau kehilangan informasi rahasia. Selain itu, ransomware, yaitu jenis malware yang mengenkripsi data dan meminta tebusan kepada korban, menjadi salah satu bentuk kejahatan siber yang semakin sering terjadi.

Definisi lain menjelaskan bahwa kejahatan dunia maya mengacu pada aktivitas ilegal yang melibatkan komputer atau jaringan komputer sebagai alat, target, atau lokasi kejahatan. Jenis kejahatan yang termasuk dalam kategori ini antara lain penipuan lelang daring, pemalsuan cek, penipuan kartu kredit, penipuan identitas, confidence fraud, dan penyebaran pornografi anak. Meskipun istilah "cybercrime" biasanya merujuk pada aktivitas kriminal yang sepenuhnya bergantung pada teknologi komputer, istilah ini juga digunakan untuk menggambarkan kejahatan tradisional yang dimodifikasi dengan bantuan teknologi, seperti pencucian uang atau perdagangan ilegal secara online.

Sebagai respons terhadap meningkatnya ancaman siber, diperlukan upaya kolaboratif dari berbagai pihak, termasuk individu, organisasi, dan pemerintah, untuk memperkuat sistem keamanan siber dan meningkatkan kesadaran akan pentingnya menjaga data pribadi. Regulasi dan kebijakan yang ketat, pelatihan keamanan siber, serta investasi dalam teknologi perlindungan adalah langkah penting untuk memitigasi risiko dan mengurangi dampak dari kejahatan siber. Di samping itu, penting untuk membangun infrastruktur keamanan yang tangguh, termasuk deteksi dini terhadap potensi serangan dan penanganan cepat terhadap insiden siber.

Lebih jauh lagi, perkembangan teknologi seperti kecerdasan buatan (artificial intelligence) dan pembelajaran mesin (machine learning) kini juga dimanfaatkan untuk mendeteksi aktivitas mencurigakan secara realtime. Namun, hal ini menciptakan tantangan baru karena teknologi yang sama juga dapat digunakan oleh pelaku kejahatan untuk melancarkan

Bab 5 Jenis-jenis Serangan Siber

79

serangan yang lebih canggih dan sulit dideteksi. Oleh karena itu, pengembangan strategi keamanan siber harus selalu mengikuti dinamika perkembangan teknologi.

Pendidikan dan kesadaran publik juga memegang peran penting dalam memerangi kejahatan siber. Banyak serangan siber berhasil karena kurangnya pengetahuan individu tentang risiko penggunaan teknologi, seperti membuka lampiran email yang mencurigakan atau menggunakan kata sandi yang lemah. Dengan meningkatkan literasi digital dan menerapkan kebiasaan yang aman, risiko kejahatan siber dapat diminimalkan. Selain itu, penegakan hukum yang kuat dan kerjasama lintas negara juga diperlukan, mengingat sifat kejahatan siber yang sering kali bersifat lintas batas.

5.2 Jenis-jenis Serangan Siber Kejahatan komputer mencakup berbagai jenis aktivitas ilegal.

Secara umum, kejahatan ini dapat dikelompokkan menjadi dua kategori utama: 1

Kejahatan yang secara langsung menargetkan jaringan komputer atau perangkat sebagai objek serangan

2

Kejahatan yang memanfaatkan jaringan komputer atau perangkat sebagai sarana, tetapi tujuan utamanya adalah entitas lain di luar jaringan atau perangkat tersebut.

Contoh kejahatan yang secara khusus menargetkan jaringan komputer atau perangkat antara lain adalah: 1. Cyber stalking (Pencurian Dunia Maya) Cyberstalking adalah tindakan menggunakan internet atau perangkat elektronik lainnya untuk menghina, melecehkan, atau mengganggu

80

Keamanan Informasi (Cyber Security)

individu, kelompok, atau organisasi tertentu. Perilaku ini dapat mencakup tuduhan palsu, pengintaian, ancaman, pencurian identitas, perusakan data atau perangkat, penghasutan anak di bawah umur untuk aktivitas seksual, hingga pengumpulan informasi dengan tujuan mengganggu pihak lain.

Untuk dianggap sebagai "pelecehan," tindakan tersebut harus memenuhi standar di mana orang yang memahami situasi serupa akan menganggapnya cukup untuk menimbulkan kesulitan atau kerugian yang masuk akal bagi korban.

2. Penipuan dan pencurian identitas.

Pencurian identitas adalah tindakan menggunakan identitas orang lain, seperti KTP, SIM, atau paspor, untuk kepentingan pribadi, biasanya dengan tujuan penipuan. Meskipun sering kali terkait dengan aktivitas di internet, jenis kejahatan ini juga dapat terjadi dalam kehidupan sehari-hari.

Contohnya adalah pemanfaatan informasi dari kartu identitas seseorang untuk melakukan tindakan kriminal. Pelaku pencurian identitas dapat menggunakan data orang lain dalam suatu transaksi atau aktivitas tertentu, sehingga pemilik identitas asli yang kemudian dianggap bertanggung jawab atas tindakan tersebut.

3. Phishing scam Dalam keamanan komputer, phishing (dalam bahasa Indonesia: pengelabuan) adalah bentuk penipuan yang bertujuan untuk memperoleh informasi sensitif, seperti kata sandi atau data kartu kredit, dengan berpurapura menjadi pihak atau organisasi terpercaya. Modus ini sering dilakukan melalui komunikasi elektronik resmi, seperti email atau pesan instan.

Istilah phishing berasal dari bahasa Inggris, yaitu kata "fishing" (memancing), yang dalam konteks ini berarti memancing informasi keuangan dan data pribadi pengguna.

4. Perang informasi (Information warfare) Perang Informasi adalah pemanfaatan dan pengelolaan informasi untuk mencapai keunggulan kompetitif atas lawan. Bentuk perang ini mencakup

Bab 5 Jenis-jenis Serangan Siber

81

pengumpulan informasi taktis, memastikan keabsahan informasi sendiri, menyebarkan propaganda atau disinformasi untuk melemahkan moral musuh dan masyarakat, serta merusak kemampuan lawan dalam mengelola atau mengakses informasi. Perang informasi juga sering bertujuan untuk mencegah pihak lawan mendapatkan peluang dalam mengumpulkan informasi. Konsep ini memiliki keterkaitan erat dengan perang psikologis.

Contohnya termasuk pencurian informasi dari situs web atau tindakan yang menyebabkan kerusakan pada komputer atau jaringan komputer.

Aktivitas semacam ini bersifat virtual, terjadi di dunia digital, sehingga dampaknya biasanya tidak menyebabkan kerusakan fisik, melainkan hanya gangguan pada fungsi perangkat. Selain itu, komputer sering menjadi sumber bukti yang penting dalam penyelidikan kriminal. Meskipun komputer tidak selalu digunakan secara langsung dalam tindak kejahatan, perangkat ini sering digunakan untuk menyimpan catatan, terutama dengan kemampuan enkripsi data. Jika bukti digital ini dapat diambil dan didekripsi, maka nilainya akan sangat membantu proses investigasi kriminal.

Dalam perembangannya tindak pidana Cyber Crime memiliki berbagai jenis modus yang dilakukan dan sering terjadi pada dunia maya: 1. Unauthorized Access to Computer System and Service Kejahatan ini terjadi ketika seseorang dengan sengaja masuk atau menyusup ke dalam sistem jaringan komputer tanpa izin, tanpa sepengetahuan pemiliknya. Biasanya, tindakan ini dilakukan untuk tujuan sabotase atau pencurian informasi penting dan bersifat rahasia. Namun, ada juga yang melakukannya sekadar untuk menguji kemampuan mereka dalam menembus sistem keamanan yang kompleks.

Dengan berkembangnya teknologi internet dan intranet, jenis kejahatan ini semakin marak terjadi. Contohnya, saat isu Timor Timur menjadi perhatian internasional, beberapa situs milik pemerintah Indonesia dirusak oleh peretas. Tak lama setelahnya, hacker juga berhasil membobol basis data pelanggan America Online (AOL), sebuah perusahaan e-commerce

82

Keamanan Informasi (Cyber Security)

Amerika Serikat dengan tingkat keamanan tinggi. Bahkan situs resmi Federal Bureau of Investigation (FBI) pernah menjadi target serangan, menyebabkan situs tersebut tidak dapat diakses untuk beberapa waktu.

2. Offense against Intellectual Property.

Kejahatan ini menyasar Hak Kekayaan Intelektual (HKI) milik pihak lain di internet. Contohnya meliputi peniruan desain atau tampilan halaman web suatu situs tanpa izin, penyebaran informasi di internet yang sebenarnya merupakan rahasia dagang milik orang lain, dan tindakan serupa lainnya.

Salah satu contoh yang pernah terjadi adalah tuduhan bahwa situs mesin pencari Bing milik Microsoft memiliki kemiripan dengan situs perusahaan travel online tertentu.

3. Illegal Contents.

Kejahatan ini dilakukan dengan menyebarkan data atau informasi di internet yang bersifat tidak benar, tidak etis, atau melanggar hukum, serta dapat mengganggu ketertiban umum. Contohnya meliputi penyebaran berita palsu atau fitnah yang merusak reputasi seseorang, konten pornografi, penyebaran informasi rahasia negara, hingga agitasi atau propaganda yang bertujuan melawan pemerintah yang sah. Salah satu kasus terkenal adalah kasus Prita Mulyasari, yang hingga kini menjadi sorotan. Ia menghadapi proses hukum hanya karena sebuah email yang dianggap merusak reputasi sebuah institusi kesehatan swasta.

4. Cyberstalking Jenis kejahatan ini dilakukan dengan tujuan mengganggu atau melecehkan seseorang melalui penggunaan komputer, misalnya dengan mengirimkan email secara berulang-ulang. Tindakan ini menyerupai bentuk teror yang dilakukan melalui media internet. Hal ini dimungkinkan karena kemudahan dalam membuat email dengan alamat tertentu tanpa perlu mencantumkan identitas asli.

Bab 5 Jenis-jenis Serangan Siber

83

Contoh kasusnya meliputi email yang berisi ajakan untuk bergabung dengan suatu situs web, penawaran untuk membeli produk tertentu, atau email yang mengklaim adanya kontes atau undian berhadiah. Sesuai dengan Undang-Undang ITE Pasal 25, penggunaan informasi pribadi melalui media elektronik harus mendapatkan persetujuan dari pemilik data, kecuali diatur lain oleh peraturan perundang-undangan.

5. Hacking dan Cracker Istilah hacker merujuk pada individu yang memiliki minat mendalam untuk mempelajari sistem komputer secara detail dan meningkatkan kapabilitasnya. Namun, mereka yang menggunakan keahlian ini untuk tujuan merusak sering disebut sebagai cracker. Cracker pada dasarnya adalah hacker yang menyalahgunakan kemampuan mereka untuk melakukan tindakan negatif. Aktivitas cracking di internet mencakup berbagai tindakan, seperti pembajakan akun, peretasan situs web, probing (penyelidikan sistem keamanan), penyebaran virus, hingga serangan pelumpuhan yang dikenal sebagai Denial of Service (DoS). Serangan DoS bertujuan untuk melumpuhkan target sehingga tidak dapat berfungsi atau memberikan layanan.

Contoh Kasus, Pada tahun 1983, FBI pertama kali menangkap kelompok kriminal komputer bernama The 414s, yang berbasis di Milwaukee, AS (414 adalah kode area mereka). Kelompok ini berhasil membobol 60 komputer, termasuk komputer di Pusat Kanker Memorial Sloan-Kettering dan Laboratorium Nasional Los Alamos. Salah satu anggota kelompok diberikan kekebalan karena bersedia memberikan kesaksian, sedangkan lima lainnya dijatuhi hukuman percobaan.

Berdasarkan Pasal 27 (1) UU ITE, setiap orang dilarang menggunakan atau mengakses komputer dan sistem elektronik tanpa hak untuk memperoleh, mengubah, merusak, atau menghilangkan informasi dalam sistem tersebut.

Pelanggaran ini dapat dikenai pidana hingga 4 tahun penjara dan denda sebesar Rp 1 miliar.

84

Keamanan Informasi (Cyber Security)

6. Cybersquatting and Typosquatting Cybersquatting adalah kejahatan dengan cara mendaftarkan nama domain yang merupakan nama perusahaan atau merek milik pihak lain, kemudian mencoba menjualnya kembali kepada perusahaan tersebut dengan harga yang jauh lebih tinggi. Sementara itu, typosquatting adalah kejahatan dengan membuat nama domain yang merupakan plesetan atau memiliki kemiripan dengan domain milik pihak lain, biasanya untuk mengecoh pengguna atau menyasar domain milik pesaing perusahaan.

Contoh Kasus, Salah satu kasus internasional yang terkenal adalah tuntutan Yahoo terhadap OnlineNIC atas praktik cybersquatting pada 500 nama domain yang menyerupai atau membingungkan pengguna, seperti yahoozone.com, yahooyahooligans.com, dan denverwifesexyahoo.com.

Berdasarkan Pasal 23 (2) UU ITE, kepemilikan dan penggunaan nama domain harus dilakukan dengan itikad baik, tidak melanggar prinsip persaingan usaha yang sehat, dan tidak melanggar hak pihak lain.

Pelanggaran terkait nama domain hanya dapat dituntut berdasarkan pengaduan dari pihak yang dirugikan, dengan ancaman pidana hingga 6 bulan penjara atau denda maksimal Rp 100 juta.

7. ARP spoofing ARP Spoofing adalah teknik yang sering digunakan untuk menyadap data di jaringan internal, terutama data sensitif seperti username dan password.

Metode ini bekerja dengan mengirimkan paket ARP Reply palsu ke komputer target, yang mengubah hubungan antara alamat MAC dan IP dalam tabel ARP milik target. Akibatnya, lalu lintas paket TCP/IP dialihkan melalui perangkat penyerang, memungkinkan mereka untuk memantau, menyadap, atau bahkan memodifikasi data yang dikirimkan di jaringan tersebut.

8. Carding Carding adalah kejahatan dengan cara berbelanja menggunakan nomor atau identitas kartu kredit milik orang lain secara ilegal. Pelaku kejahatan

Bab 5 Jenis-jenis Serangan Siber

85

ini dikenal sebagai carder. Indonesia bahkan menduduki peringkat kedua dunia setelah Ukraina untuk kasus carding, dengan sekitar 20% transaksi internet dari Indonesia dianggap sebagai hasil dari aktivitas ilegal ini.

Akibatnya, banyak situs belanja online memblokir alamat IP dari Indonesia, melarang konsumen asal Indonesia untuk bertransaksi di platform mereka.

Belakangan, pelaku carding juga mulai menyasar ruang obrolan daring seperti mIRC, menawarkan barang-barang dengan harga sangat murah.

Namun, setelah pembeli mentransfer uang melalui rekening, barang yang dijanjikan tidak pernah dikirim.

Perlu diketahui, pelaku carding sering disamakan dengan hacker, meskipun keduanya berbeda. Carding tidak memerlukan keahlian mendalam; pelaku hanya perlu mengetahui nomor kartu kredit dan tanggal kedaluwarsanya.

Sebaliknya, hacker adalah individu yang sangat menguasai sistem keamanan jaringan dan membutuhkan waktu serta keahlian tinggi untuk mencapai kemampuannya.

9. Defacing Defacing adalah tindakan merubah tampilan halaman situs atau website milik pihak lain tanpa izin. Contohnya adalah peretasan yang pernah terjadi pada situs Menkominfo, Partai Golkar, Bank Indonesia (BI), dan situs KPU saat pemilu 2004.

Motif di balik defacing beragam, mulai dari sekadar iseng, unjuk kebolehan, hingga pamer kemampuan dalam membuat program. Namun, ada juga yang bertujuan jahat, seperti mencuri data penting dari situs tersebut untuk dijual kepada pihak lain.

10. Phising Phishing adalah tindakan kejahatan yang bertujuan untuk menipu pengguna internet agar memberikan informasi pribadi mereka, seperti username dan password. Modusnya sering kali melalui situs web palsu yang telah diubah tampilannya (defaced) agar menyerupai situs asli.

86

Keamanan Informasi (Cyber Security)

Phishing biasanya menargetkan pengguna layanan perbankan online. Data penting yang dimasukkan oleh korban, seperti username dan password, akan jatuh ke tangan pelaku kejahatan. Informasi ini kemudian digunakan untuk melakukan transaksi ilegal, seperti belanja dengan kartu kredit atau mengakses rekening bank korban.

11. Spamming Spam adalah tindakan mengirimkan pesan atau iklan yang tidak diinginkan melalui surat elektronik (email). Biasanya, spam berisi tawaran hadiah, lotere palsu, atau permintaan bantuan dari seseorang yang mengaku memiliki rekening di luar negeri, seperti Amerika atau Baghdad, dengan tujuan menipu penerima untuk mencairkan dana.

Salah satu kasus terkenal melibatkan Sanford Wallace, yang dijuluki "Spam King." Wallace ditangkap dan diadili oleh Jeremy Fogel, hakim di Pengadilan Distrik AS untuk Wilayah Utara California, atas pelanggaran aturan Facebook melalui aksi spam mail marketing. Wallace dihukum dengan sanksi denda sebesar US$ 230 juta atas tuduhan pencemaran akses di platform Facebook. Kasus ini ditangani oleh Kejaksaan Agung Amerika Serikat.

Terkait pesan berantai di Facebook, hal ini dapat dianggap sebagai salah satu bentuk spam, terutama jika pesan tersebut mengganggu pengguna lain atau melanggar aturan platform. Dalam beberapa kasus, jika tindakan ini melibatkan penipuan, penyebaran hoaks, atau akses ilegal, maka pelaku dapat dikenai pasal pidana sesuai hukum yang berlaku, termasuk pelanggaran Undang-Undang Informasi dan Transaksi Elektronik (UU ITE).

12. Malware Malware adalah program komputer yang dirancang untuk mengeksploitasi kelemahan pada suatu perangkat lunak. Biasanya, malware dibuat dengan tujuan untuk membobol atau merusak perangkat lunak atau sistem operasi.

Bab 5 Jenis-jenis Serangan Siber

87

Malware terdiri dari berbagai jenis, seperti virus, worm, trojan horse, adware, dan browser hijacker.

Meskipun di pasaran sudah tersedia perangkat keamanan seperti antispam, antivirus, dan antimalware, ancaman ini tetap ada karena pembuat malware terus berinovasi dan aktif menciptakan program baru untuk menargetkan korban yang lengah. Oleh karena itu, kewaspadaan pengguna sangat diperlukan untuk menghindari risiko serangan malware.

13. Jamming adalah bentuk gangguan yang dilakukan dengan mengurangi kekuatan frekuensi radio dari sumber tertentu, menggunakan karakteristik tertentu, untuk menghalangi penerima menangkap sinyal GPS di area yang menjadi target. Karena sinyal GPS tersebar bebas di udara, hal ini mempermudah orang untuk menciptakan sinyal serupa yang menyesatkan. Dengan menggunakan generator sinyal, frekuensi radio dari osilator dapat dimodifikasi, bahkan teknik ini bisa diterapkan hanya dengan menggunakan perangkat seperti ponsel. Biasanya, pelaku jamming yang ingin menghindari deteksi di darat akan melakukannya dari tempat yang lebih sulit dijangkau, seperti pesawat atau balon udara.

14. Spoofing Spoofing adalah teknik manipulasi sinyal, di mana pelaku memalsukan sinyal asli untuk menipu penerima agar menerima informasi yang salah.

Dalam kasus GPS spoofing, pelaku mengirimkan sinyal palsu agar perangkat penerima GPS mengunci sinyal tersebut dan memberikan informasi lokasi atau arah yang tidak sesuai dengan kenyataan, sering kali untuk mengarahkan perangkat ke lokasi tertentu yang diinginkan oleh pelaku.

15. Cyber Espionage Kejahatan ini melibatkan penggunaan jaringan internet untuk melakukan kegiatan spionase terhadap pihak tertentu dengan cara mengakses sistem

88

Keamanan Informasi (Cyber Security)

jaringan komputer target. Biasanya, sasaran utama adalah pesaing bisnis yang menyimpan dokumen atau data penting dalam sistem komputer.

Pelaku sering kali menggunakan program mata-mata, atau yang dikenal sebagai spyware, untuk menyusup dan mengakses informasi yang diinginkan.

16. Infringements of Privacy Kejahatan ini menyasar informasi pribadi dan rahasia milik seseorang.

Biasanya, target utama adalah data pribadi yang tersimpan dalam sistem komputer, seperti formulir elektronik. Jika informasi ini jatuh ke tangan pihak lain, korban dapat mengalami kerugian, baik secara materi maupun non-materi. Contoh data yang sering menjadi target meliputi nomor kartu kredit, PIN ATM, atau informasi sensitif seperti riwayat kesehatan atau kondisi medis tersembunyi.

17. Data Forgery Kejahatan ini melibatkan pemalsuan data pada dokumen-dokumen penting yang disimpan dalam bentuk scriptless document melalui internet.

Biasanya, tindakan ini menyasar dokumen-dokumen terkait e-commerce dengan cara merekayasa data sehingga tampak seperti kesalahan pengetikan. Manipulasi ini pada akhirnya dirancang untuk memberikan keuntungan bagi pelaku.

18. Cyber Sabotage and Extortion Kejahatan ini termasuk salah satu yang paling merugikan dan destruktif.

Tindakan ini dilakukan dengan cara mengganggu, merusak, atau menghancurkan data, program komputer, atau sistem jaringan yang terhubung ke internet. Pelaku biasanya menggunakan metode seperti menyisipkan logic bomb, virus komputer, atau program tertentu untuk membuat data, program, atau sistem tidak dapat diakses, tidak berfungsi dengan semestinya, atau bekerja sesuai dengan keinginan pelaku.

Bab 5 Jenis-jenis Serangan Siber

89

Dalam beberapa kasus, setelah melakukan sabotase, pelaku menawarkan jasa untuk memperbaiki kerusakan yang telah mereka sebabkan, tentu dengan meminta imbalan tertentu. Kejahatan seperti ini dikenal sebagai cyber-terrorism dan sering menargetkan korban untuk keuntungan pribadi atau tujuan lain yang lebih besar.

19. Snifing Kegiatan ini melibatkan penyadapan atau inspeksi paket data menggunakan perangkat lunak atau perangkat keras sniffer di jaringan internet. Aktivitas ini sering dikategorikan sebagai serangan keamanan pasif, di mana data yang mengalir di internet dibaca dan disaring untuk mencari informasi dari host tertentu. Namun, metode ini tidak memodifikasi, mengubah, atau memanipulasi data yang disadap hanya sekadar mengaksesnya.

Tujuan utama kegiatan ini biasanya untuk mendapatkan informasi seperti kata sandi, data rahasia, atau informasi penting lainnya. Di sisi lain, metode ini juga digunakan secara legal oleh analis jaringan, baik dari kalangan pengembang maupun administrator jaringan, untuk keperluan troubleshooting atau pemecahan masalah jaringan.

90

Keamanan Informasi (Cyber Security)

Bab 6 Kebijakan Keamanan

6.1 Pendahuluan Dalam dunia yang semakin terhubung dan bergantung pada teknologi informasi, keamanan informasi menjadi elemen krusial yang menuntut perhatian serius dari setiap organisasi, baik di sektor publik maupun swasta.

Kebijakan keamanan, sebagai fondasi dari sistem keamanan informasi yang komprehensif, memainkan peran sentral dalam melindungi aset informasi yang berharga dari berbagai ancaman siber yang terus berkembang (Whitman & Mattord, 2021).

Kebijakan ini, yang didefinisikan sebagai seperangkat aturan dan pedoman formal yang mengatur penggunaan, pemrosesan, penyimpanan, dan transmisi informasi dalam suatu organisasi, berfungsi sebagai panduan bagi seluruh pemangku kepentingan dalam menjaga kerahasiaan, integritas, dan ketersediaan informasi (Kim & Solomon, 2018).

Pentingnya kebijakan keamanan tidak dapat disangkal, mengingat dampak negatif yang ditimbulkan oleh insiden keamanan siber semakin merugikan.

92

Keamanan Informasi (Cyber Security)

Pelanggaran data, serangan ransomware, dan bentuk-bentuk kejahatan siber lainnya dapat mengakibatkan kerugian finansial yang signifikan, merusak reputasi organisasi, dan mengganggu operasional bisnis (Stallings & Brown, 2018). Lebih jauh lagi, kegagalan dalam mematuhi regulasi dan standar kepatuhan yang berlaku, seperti GDPR, HIPAA, PCI DSS, dan ISO 27001, dapat berujung pada sanksi hukum dan denda yang memberatkan (Peltier, 2020).

Kebijakan keamanan yang efektif tidak hanya menetapkan aturan dan prosedur, tetapi juga menumbuhkan budaya keamanan yang positif di dalam organisasi (ISO/IEC 27001:2013). Budaya ini ditandai dengan kesadaran dan komitmen bersama dari seluruh anggota organisasi untuk melindungi informasi dan mematuhi praktik keamanan yang telah ditetapkan (NIST Cybersecurity Framework, 2018).

Dengan demikian, kebijakan keamanan menjadi instrumen penting dalam membangun lingkungan digital yang aman dan terpercaya, yang memungkinkan organisasi untuk beroperasi dengan lancar, melindungi aset informasinya, dan menjaga kepercayaan para pemangku kepentingan (CIS Controls, 2021).

6.1.1 Mengapa Kebijakan Keamanan Penting?

Dalam lanskap digital yang terus berkembang, di mana ancaman siber semakin canggih dan meluas, kebijakan keamanan menjadi garda terdepan dalam melindungi aset informasi vital suatu organisasi. Ibarat fondasi kokoh yang menopang bangunan, kebijakan keamanan berperan sebagai kerangka kerja esensial yang mendefinisikan aturan main dalam mengakses, menggunakan, memproses, menyimpan, dan mentransmisikan informasi (Whitman & Mattord, 2021).

Ia tidak hanya melindungi data sensitif dari akses ilegal, pencurian, dan manipulasi, tetapi juga memastikan kepatuhan terhadap regulasi yang berlaku, seperti GDPR dan UU ITE, serta menumbuhkan budaya kesadaran keamanan di seluruh lapisan organisasi (Peltier, 2020). Dengan demikian, kebijakan keamanan yang komprehensif dan dinamis menjadi imperatif

Bab 6 Kebijakan Keamanan

93

bagi setiap organisasi yang ingin menjaga integritas, kerahasiaan, dan ketersediaan informasi, serta memitigasi risiko dan kerugian yang diakibatkan oleh insiden keamanan siber (Kim & Solomon, 2018).

Berikut ini beberapa hal yang membuat kebijakan keamanan menjadi penting : 1. Melindungi aset informasi: Kebijakan keamanan berperan sebagai garis pertahanan pertama dalam melindungi aset informasi dari spektrum ancaman yang luas, termasuk akses ilegal, pencurian, penyalahgunaan, dan modifikasi (Stallings & Brown, 2018).

Misalnya, penerapan kebijakan kata sandi yang robust dapat secara signifikan mengurangi risiko akses tidak sah ke sistem dan data sensitif (Easttom, 2019).

2. Memastikan kepatuhan : Organisasi harus mematuhi beragam regulasi dan standar kepatuhan yang mengatur penanganan informasi, seperti GDPR, HIPAA, dan PCI DSS. Kebijakan keamanan menyediakan mekanisme untuk memastikan kepatuhan terhadap persyaratan ini dan menghindari sanksi hukum dan finansial (Peltier, 2020).

3. Menumbuhkan budaya keamanan: Kebijakan keamanan yang komprehensif dan terkomunikasikan dengan baik berkontribusi pada pembentukan budaya keamanan yang positif di dalam organisasi (ISO/IEC 27001:2013). Dalam budaya seperti itu, setiap individu memahami dan menerima tanggung jawab mereka dalam menjaga keamanan informasi (NIST Cybersecurity Framework, 2018).

4. Memberikan panduan bagi karyawan dan pengguna: Kebijakan keamanan memberikan panduan yang jelas tentang perilaku yang dapat diterima dan tidak dapat diterima terkait penggunaan aset IT organisasi. Contoh Kasus: Karyawan di perusahaan A mengetahui

94

Keamanan Informasi (Cyber Security)

dengan jelas batasan penggunaan internet dan email di tempat kerja karena adanya kebijakan penggunaan yang dapat diterima (AUP) yang jelas.

5. Mengurangi risiko dan kerugian: Dengan menerapkan kebijakan keamanan, organisasi dapat mengurangi risiko dan potensi kerugian akibat insiden keamanan. Contoh Kasus: Bank B berhasil mencegah serangan ransomware karena memiliki kebijakan keamanan yang kuat, termasuk sistem backup dan pemulihan data yang efektif.

Tipologi Kebijakan Keamanan:

Kebijakan keamanan granularitasnya:

dapat

diklasifikasikan

berdasarkan

tingkat

1. Kebijakan tingkat tinggi: Kebijakan ini mendefinisikan prinsip dan tujuan keamanan secara menyeluruh, seperti pernyataan misi keamanan informasi atau kebijakan keamanan informasi umum (CIS Controls, 2021).

2. Kebijakan tingkat menengah: Kebijakan ini berfokus pada area spesifik dari keamanan informasi, seperti kebijakan penggunaan internet, kebijakan email, atau kebijakan perangkat seluler.

3. Kebijakan tingkat rendah: Kebijakan ini menjabarkan prosedur dan instruksi spesifik untuk implementasi kontrol keamanan, seperti prosedur pelaporan insiden atau prosedur backup data.

6.1.2 Jenis-Jenis Kebijakan Keamanan Dalam ranah keamanan informasi, kebijakan keamanan bukanlah entitas monolitik, melainkan beragam dan terstruktur untuk mengatasi berbagai aspek perlindungan informasi. Schneier (2000) mengklasifikasikan kebijakan keamanan berdasarkan fungsinya, seperti kebijakan akses, kebijakan penggunaan, dan kebijakan tanggap insiden. Sementara itu,

Bab 6 Kebijakan Keamanan

95

Pfleeger dan Pfleeger (2003) menekankan pentingnya kebijakan yang bersifat preventif, detektif, dan korektif.

Jenis-jenis kebijakan keamanan ini, mulai dari Kebijakan Penggunaan yang Dapat Diterima (AUP) yang mengatur etika dan batasan penggunaan aset IT, hingga Kebijakan Pemulihan Bencana yang mengarahkan langkahlangkah pemulihan pasca insiden, saling melengkapi untuk membangun sistem pertahanan siber yang komprehensif dan adaptif terhadap dinamika ancaman siber.

1. Kebijakan tingkat tinggi: Kebijakan umum yang menetapkan prinsip dan tujuan keamanan informasi organisasi secara keseluruhan. Contoh: Kebijakan Keamanan Informasi Umum yang mendefinisikan komitmen organisasi terhadap informasi dan tanggung jawab semua karyawan.

keamanan

2. Kebijakan tingkat menengah: Kebijakan yang lebih spesifik yang membahas area atau sistem tertentu. Contoh: Kebijakan Penggunaan Internet yang mengatur akses dan penggunaan internet di lingkungan kerja.

3. Kebijakan tingkat rendah: Prosedur dan standar yang rinci untuk implementasi kebijakan tingkat menengah. Contoh: Prosedur untuk melaporkan insiden keamanan yang menjelaskan langkahlangkah yang harus diambil karyawan jika menemukan potensi ancaman keamanan.

6.2 Ruang Lingkup Kebijakan Keamanan Ruang lingkup kebijakan keamanan harus didefinisikan secara jelas dan komprehensif, mencakup seluruh aspek yang relevan dengan perlindungan informasi dalam organisasi. Ini meliputi identifikasi aset informasi yang perlu dilindungi, penentuan pengguna yang terikat oleh kebijakan, dan

96

Keamanan Informasi (Cyber Security)

spesifikasi aktivitas yang diatur oleh kebijakan tersebut (Whitman & Mattord, 2021).

Aset Informasi:

Aset informasi mencakup semua bentuk data, baik yang terstruktur maupun tidak terstruktur, yang dimiliki atau dikelola oleh organisasi, terlepas dari formatnya, baik elektronik, fisik, maupun audio-visual (Kim & Solomon, 2018).

Ini termasuk, namun tidak terbatas pada: 1. Data sensitif: Informasi pribadi, data keuangan, rahasia dagang, dan informasi rahasia lainnya yang memerlukan perlindungan khusus (Stallings & Brown, 2018).

2. Data penting: Informasi yang krusial untuk operasional bisnis, seperti data pelanggan, data transaksi, dan data konfigurasi sistem (Easttom, 2019).

3. Kekayaan intelektual: Hak cipta, paten, merek dagang, dan bentuk kekayaan intelektual lainnya yang dimiliki oleh organisasi (Peltier, 2020).

Pengguna:

Kebijakan keamanan berlaku bagi semua individu yang berinteraksi dengan sistem dan informasi organisasi, baik secara langsung maupun tidak langsung. Ini mencakup: 1. Karyawan: Semua karyawan, terlepas dari peran, jabatan, atau tingkat akses mereka terhadap informasi (ISO/IEC 27001:2013).

2. Kontraktor dan Konsultan: Individu atau perusahaan yang bekerja untuk organisasi berdasarkan kontrak dan memiliki akses ke informasi organisasi (NIST Cybersecurity Framework, 2018).

Bab 6 Kebijakan Keamanan

97

3. Vendor dan Mitra Bisnis: Pihak ketiga yang memiliki hubungan bisnis dengan organisasi dan dapat mengakses informasi organisasi dalam rangka kerjasama tersebut (CIS Controls, 2021).

4. Pengguna Tamu: Individu yang diberikan akses sementara ke sumber daya IT organisasi, seperti jaringan Wi-Fi tamu (Whitman & Mattord, 2021).

Aktivitas:

Kebijakan keamanan harus mengatur semua aktivitas yang berkaitan dengan informasi, termasuk: 1. Akses: Menentukan mekanisme kontrol akses untuk membatasi akses ke informasi hanya kepada individu yang berwenang (Kim & Solomon, 2018).

2. Penggunaan: Menetapkan aturan dan pedoman untuk penggunaan informasi yang tepat, termasuk larangan penggunaan informasi untuk tujuan pribadi atau ilegal (Stallings & Brown, 2018).

3. Penyimpanan: Menentukan persyaratan untuk penyimpanan informasi yang aman, baik secara fisik maupun elektronik, untuk melindungi informasi dari akses tidak sah, kerusakan, atau kehilangan (Easttom, 2019).

4. Transmisi: Mengatur metode transmisi informasi yang aman, baik di dalam maupun di luar jaringan organisasi, untuk mencegah intersepsi atau modifikasi data (Peltier, 2020).

5. Pemusnahan: Menetapkan prosedur untuk pemusnahan informasi yang aman dan permanen ketika informasi tersebut tidak lagi diperlukan, untuk mencegah pemulihan atau penyalahgunaan informasi (ISO/IEC 27001:2013).

98

Keamanan Informasi (Cyber Security)

6.3 Pengembangan dan Implementasi Kebijakan Keamanan Pengembangan dan implementasi kebijakan keamanan merupakan proses yang sistematis dan terstruktur, yang melibatkan analisis mendalam terhadap kebutuhan organisasi, penilaian risiko yang komprehensif, dan perancangan kebijakan yang cermat (Whitman & Mattord, 2021). Proses ini juga harus mencakup sosialisasi dan pelatihan kepada seluruh pengguna, implementasi yang konsisten, monitoring dan evaluasi yang berkelanjutan, serta review dan revisi berkala untuk memastikan kebijakan tetap relevan dan efektif (Kim & Solomon, 2018).

1. Analisis Kebutuhan: Tahap awal ini melibatkan pemahaman yang mendalam tentang konteks organisasi, termasuk tujuan bisnis, persyaratan kepatuhan, lanskap ancaman, dan budaya organisasi (ENISA Threat Landscape Report, 2021). Analisis ini harus mengidentifikasi aset informasi yang paling berharga, kerentanan yang ada, dan potensi dampak dari insiden keamanan (Verizon Data Breach Investigations Report, 2021).

2. Penilaian Risiko: Penilaian risiko yang komprehensif dilakukan untuk mengidentifikasi, menganalisis, dan mengevaluasi risiko keamanan informasi yang dihadapi organisasi (NIST SP 800-30). Penilaian ini harus mempertimbangkan berbagai faktor, seperti kemungkinan terjadinya ancaman, kerentanan aset, dan dampak potensial dari insiden keamanan (Ponemon Institute Cost of a Data Breach Report, 2021).

3. Perancangan Kebijakan: Kebijakan keamanan harus dirumuskan dengan jelas, ringkas, dan mudah dipahami oleh semua pengguna (Peltier, 2020). Bahasa

Bab 6 Kebijakan Keamanan

99

yang digunakan harus lugas dan menghindari jargon teknis yang tidak perlu (Whitman & Mattord, 2021). Kebijakan harus konsisten dengan tujuan bisnis, persyaratan kepatuhan, dan budaya organisasi (ISO/IEC 27001:2013).

4. Sosialisasi dan Pelatihan: Setelah kebijakan keamanan dirumuskan, langkah selanjutnya adalah mensosialisasikannya kepada seluruh pengguna dan memberikan pelatihan yang memadai untuk memastikan pemahaman dan kepatuhan (NIST Cybersecurity Framework, 2018). Sosialisasi dapat dilakukan melalui berbagai saluran, seperti email, intranet, presentasi, dan workshop (CIS Controls, 2021).

5. Implementasi: Implementasi kebijakan keamanan melibatkan penerapan kontrol keamanan yang diperlukan, baik secara administratif, teknis, maupun fisik (Whitman & Mattord, 2021). Kontrol administratif mencakup kebijakan, prosedur, dan pedoman; kontrol teknis mencakup perangkat lunak keamanan, firewall, dan enkripsi; sedangkan kontrol fisik mencakup akses fisik, pengawasan, dan perlindungan lingkungan (Kim & Solomon, 2018).

6. Monitoring dan Evaluasi: Efektivitas kebijakan keamanan harus dipantau secara berkala untuk memastikan bahwa kebijakan tersebut mencapai tujuannya dan tetap relevan dengan perubahan lingkungan bisnis dan teknologi (ISO/IEC 27001:2013). Evaluasi dapat dilakukan melalui audit internal, penilaian kerentanan, dan analisis insiden keamanan (NIST SP 800-53A).

7. Review dan Revisi: Kebijakan keamanan harus ditinjau dan direvisi secara berkala untuk memastikan bahwa kebijakan tersebut tetap mutakhir dan

100

Keamanan Informasi (Cyber Security)

sesuai dengan kebutuhan organisasi yang terus berkembang (Peltier, 2020). Review dan revisi harus melibatkan pemangku kepentingan yang relevan, seperti manajemen, staf IT, dan pengguna akhir (Whitman & Mattord, 2021).

Penulisan kebijakan: 1. Bahasa yang jelas dan mudah dipahami: Kebijakan harus ditulis dengan bahasa yang sederhana dan mudah dipahami oleh semua karyawan.

2. Format yang konsisten: Menggunakan format yang konsisten untuk semua kebijakan keamanan agar mudah dibaca dan dipahami.

3. Peninjauan dan persetujuan oleh manajemen: Semua kebijakan harus ditinjau dan disetujui oleh manajemen senior sebelum diimplementasikan.

4. Sosialisasi dan pelatihan: Karyawan harus dilatih tentang kebijakan keamanan dan bagaimana menerapkannya dalam pekerjaan mereka sehari-hari.

Contoh Kasus: Perusahaan mengadakan pelatihan keamanan siber untuk karyawan agar memahami kebijakan keamanan dan cara melindungi data sensitif.

5. Implementasi dan penegakan: Kebijakan keamanan harus diterapkan secara konsisten dan adil.

Contoh Kasus: Perusahaan menerapkan sistem kontrol akses untuk membatasi akses ke data sensitif hanya untuk karyawan yang berwenang.

6. Monitoring dan evaluasi: Efektivitas kebijakan keamanan harus dipantau dan dievaluasi secara berkala. Contoh Kasus: Organisasi secara teratur mengaudit

Bab 6 Kebijakan Keamanan

kepatuhan terhadap kebijakan penyesuaian jika diperlukan.

7. Pembaruan dan revisi berkala:

101

keamanan

dan

melakukan

Kebijakan keamanan harus ditinjau dan diperbarui secara berkala untuk memastikan bahwa kebijakan tersebut tetap relevan dan efektif. Contoh Kasus: Perusahaan memperbarui kebijakan kata sandi mereka untuk mewajibkan penggunaan otentikasi dua faktor setelah terjadi peningkatan serangan brute-force.

6.4 Tipologi Kebijakan Keamanan Organisasi dapat mengimplementasikan berbagai jenis kebijakan keamanan, tergantung pada kebutuhan dan karakteristik spesifik mereka.

Berikut adalah beberapa tipologi kebijakan keamanan yang umum ditemukan: 1. Kebijakan Penggunaan yang Dapat Diterima (AUP): Kebijakan ini mendefinisikan aturan dan pedoman untuk penggunaan aset IT organisasi, seperti internet, email, dan media sosial, untuk mencegah penyalahgunaan sumber daya IT, melindungi organisasi dari risiko hukum dan reputasi, dan mempromosikan penggunaan teknologi yang bertanggung jawab (Ponemon Institute, 2021). AUP harus mencakup topik-topik seperti akses internet, penggunaan email, penggunaan media sosial, instalasi perangkat lunak, akses jarak jauh, dan penggunaan perangkat pribadi. AUP juga harus mendefinisikan sanksi bagi pengguna yang melanggar kebijakan (Whitman & Mattord, 2021).

102

Keamanan Informasi (Cyber Security)

2. Kebijakan Kata Sandi: Kebijakan ini menetapkan persyaratan kompleksitas, panjang, dan masa berlaku kata sandi, serta praktik manajemen kata sandi yang aman, untuk mencegah akses tidak sah ke akun pengguna dan data sensitif (Kim & Solomon, 2018). Kebijakan ini harus mencakup persyaratan seperti panjang minimum kata sandi, penggunaan karakter yang beragam (huruf besar, huruf kecil, angka, dan simbol), larangan penggunaan kata sandi yang mudah ditebak, dan frekuensi penggantian kata sandi (NIST SP 800-63B).

3. Kebijakan Akses Jarak Jauh: Kebijakan ini mengatur akses ke jaringan dan sistem organisasi dari lokasi terpencil, dengan menekankan pada keamanan koneksi dan otentikasi pengguna (Stallings & Brown, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan Virtual Private Network (VPN) untuk mengenkripsi lalu lintas jaringan, otentikasi multifaktor untuk verifikasi identitas, dan pembatasan akses berdasarkan peran pengguna (Easttom, 2019).

4. Kebijakan Data Sensitif: Kebijakan ini mendefinisikan prosedur penanganan, penyimpanan, dan transmisi data sensitif, seperti informasi pribadi, data keuangan, dan rahasia dagang, untuk melindungi kerahasiaan, integritas, dan ketersediaan data sensitif (Peltier, 2020). Kebijakan ini harus mencakup persyaratan seperti enkripsi data, kontrol akses berbasis peran, dan pembatasan akses fisik ke lokasi penyimpanan data (ISO/IEC 27001:2013).

5. Kebijakan Keamanan Perangkat Mobile: Kebijakan ini mengatur penggunaan perangkat mobile, seperti smartphone dan tablet, dalam konteks pekerjaan, dengan fokus pada keamanan perangkat, aplikasi, dan data (NIST Cybersecurity

Bab 6 Kebijakan Keamanan

103

Framework, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan kata sandi atau PIN untuk mengunci perangkat, enkripsi data pada perangkat, instalasi perangkat lunak keamanan, dan pembatasan akses ke aplikasi dan data perusahaan (CIS Controls, 2021).

6. Kebijakan Tanggap Insiden: Kebijakan ini mendefinisikan prosedur untuk mendeteksi, merespons, dan memulihkan dari insiden keamanan, seperti pelanggaran data atau serangan malware, untuk meminimalkan dampak insiden dan mencegah kerusakan lebih lanjut (Whitman & Mattord, 2021). Kebijakan ini harus mencakup langkah-langkah seperti identifikasi insiden, penahanan dampak, pemberitahuan kepada pihak berwenang, pemulihan sistem dan data, dan analisis pasca-insiden (NIST SP 800-61).

7. Kebijakan Pemulihan Bencana: Kebijakan ini menjabarkan rencana untuk memulihkan data dan sistem organisasi setelah terjadi bencana, seperti kebakaran, banjir, atau serangan siber yang besar, untuk memastikan kelangsungan bisnis dan meminimalkan gangguan operasional (Kim & Solomon, 2018). Kebijakan ini harus mencakup langkah-langkah seperti analisis dampak bisnis (BIA), strategi pemulihan bencana, rencana pemulihan bencana, pengujian rencana, dan pembaruan rencana (ISO/IEC 22301).

104

Keamanan Informasi (Cyber Security)

6.5 Penegakan Kebijakan Keamanan Organisasi dapat mengimplementasikan berbagai jenis kebijakan keamanan, tergantung pada kebutuhan dan karakteristik spesifik mereka.

Berikut adalah beberapa tipologi kebijakan keamanan yang umum ditemukan: 1. Kebijakan Penggunaan yang Dapat Diterima (AUP): Kebijakan ini mendefinisikan aturan dan pedoman untuk penggunaan aset IT organisasi, seperti internet, email, dan media sosial, untuk mencegah penyalahgunaan sumber daya IT, melindungi organisasi dari risiko hukum dan reputasi, dan mempromosikan penggunaan teknologi yang bertanggung jawab (Ponemon Institute, 2021). AUP harus mencakup topik-topik seperti akses internet, penggunaan email, penggunaan media sosial, instalasi perangkat lunak, akses jarak jauh, dan penggunaan perangkat pribadi. AUP juga harus mendefinisikan sanksi bagi pengguna yang melanggar kebijakan (Whitman & Mattord, 2021).

2. Kebijakan Kata Sandi: Kebijakan ini menetapkan persyaratan kompleksitas, panjang, dan masa berlaku kata sandi, serta praktik manajemen kata sandi yang aman, untuk mencegah akses tidak sah ke akun pengguna dan data sensitif (Kim & Solomon, 2018). Kebijakan ini harus mencakup persyaratan seperti panjang minimum kata sandi, penggunaan karakter yang beragam (huruf besar, huruf kecil, angka, dan simbol), larangan penggunaan kata sandi yang mudah ditebak, dan frekuensi penggantian kata sandi (NIST SP 800-63B).

3. Kebijakan Akses Jarak Jauh: Kebijakan ini mengatur akses ke jaringan dan sistem organisasi dari lokasi terpencil, dengan menekankan pada keamanan koneksi

Bab 6 Kebijakan Keamanan

105

dan otentikasi pengguna (Stallings & Brown, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan Virtual Private Network (VPN) untuk mengenkripsi lalu lintas jaringan, otentikasi multifaktor untuk verifikasi identitas, dan pembatasan akses berdasarkan peran pengguna (Easttom, 2019).

4. Kebijakan Data Sensitif: Kebijakan ini mendefinisikan prosedur penanganan, penyimpanan, dan transmisi data sensitif, seperti informasi pribadi, data keuangan, dan rahasia dagang, untuk melindungi kerahasiaan, integritas, dan ketersediaan data sensitif (Peltier, 2020). Kebijakan ini harus mencakup persyaratan seperti enkripsi data, kontrol akses berbasis peran, dan pembatasan akses fisik ke lokasi penyimpanan data (ISO/IEC 27001:2013).

5. Kebijakan Keamanan Perangkat Mobile: Kebijakan ini mengatur penggunaan perangkat mobile, seperti smartphone dan tablet, dalam konteks pekerjaan, dengan fokus pada keamanan perangkat, aplikasi, dan data (NIST Cybersecurity Framework, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan kata sandi atau PIN untuk mengunci perangkat, enkripsi data pada perangkat, instalasi perangkat lunak keamanan, dan pembatasan akses ke aplikasi dan data perusahaan (CIS Controls, 2021).

6. Kebijakan Tanggap Insiden: Kebijakan ini mendefinisikan prosedur untuk mendeteksi, merespons, dan memulihkan dari insiden keamanan, seperti pelanggaran data atau serangan malware, untuk meminimalkan dampak insiden dan mencegah kerusakan lebih lanjut (Whitman & Mattord, 2021). Kebijakan ini harus mencakup langkah-langkah seperti identifikasi insiden, penahanan dampak, pemberitahuan

106

Keamanan Informasi (Cyber Security)

kepada pihak berwenang, pemulihan sistem dan data, dan analisis pasca-insiden (NIST SP 800-61).

7. Kebijakan Pemulihan Bencana: Kebijakan ini menjabarkan rencana untuk memulihkan data dan sistem organisasi setelah terjadi bencana, seperti kebakaran, banjir, atau serangan siber yang besar, untuk memastikan kelangsungan bisnis dan meminimalkan gangguan operasional (Kim & Solomon, 2018). Kebijakan ini harus mencakup langkah-langkah seperti analisis dampak bisnis (BIA), strategi pemulihan bencana, rencana pemulihan bencana, pengujian rencana, dan pembaruan rencana (ISO/IEC 22301).

6.6 Contoh Kasus dan Studi Kasus Analisis contoh kasus dan studi kasus nyata dapat memberikan wawasan berharga tentang pentingnya kebijakan keamanan dan konsekuensi dari kegagalan dalam menerapkan atau menegakkannya (Whitman & Mattord, 2021).

Studi kasus ini dapat diambil dari berbagai sumber, seperti laporan pelanggaran data, publikasi akademis, dan berita media (Kim & Solomon, 2018).

1. Pelanggaran Data: Studi kasus pelanggaran data, seperti kasus Equifax (2017) atau Yahoo (2013), dapat digunakan untuk mengilustrasikan dampak finansial, reputasi, dan operasional dari kegagalan dalam melindungi data sensitif (Ponemon Institute, 2021). Analisis kasus ini dapat mengungkapkan kelemahan dalam kontrol keamanan, seperti kegagalan dalam menerapkan patch keamanan atau kurangnya enkripsi data, yang memungkinkan

Bab 6 Kebijakan Keamanan

107

penyerang untuk mengakses dan mencuri data sensitif (Stallings & Brown, 2018).

2. Serangan Malware: Contoh kasus serangan ransomware, seperti WannaCry (2017) atau NotPetya (2017), dapat menunjukkan pentingnya kebijakan tanggap insiden dan pemulihan bencana dalam meminimalkan kerusakan dan waktu henti (Easttom, 2019).

Analisis kasus ini dapat mengungkap bagaimana malware menyebar melalui jaringan, mengeksploitasi kerentanan sistem, dan mengenkripsi data, serta bagaimana organisasi merespons dan memulihkan dari serangan tersebut (NIST SP 800-61).

Analisis Kasus:

Analisis kasus harus mencakup: 1. Kronologi Insiden: Urutan peristiwa yang mengarah pada insiden, dari awal hingga akhir, untuk memberikan pemahaman yang komprehensif tentang bagaimana insiden terjadi (Whitman & Mattord, 2021).

2. Penyebab Insiden: Identifikasi faktor-faktor yang berkontribusi terhadap terjadinya insiden, baik faktor internal maupun eksternal, untuk memahami akar penyebab masalah dan mencegah terulangnya insiden serupa (Kim & Solomon, 2018).

3. Dampak Insiden: Evaluasi konsekuensi dari insiden bagi organisasi dan pihak terkait, termasuk kerugian finansial, kerusakan reputasi, gangguan operasional, dan dampak hukum (Ponemon Institute, 2021).

108

Keamanan Informasi (Cyber Security)

4. Pelajaran yang Dipetik: Identifikasi tindakan pencegahan yang dapat diambil untuk mencegah insiden serupa di masa mendatang, berdasarkan analisis kasus dan rekomendasi dari pakar keamanan (NIST SP 800-61).

6.7 Tren dan Isu terkini dalam Kebijakan Keamanan Organisasi dapat mengimplementasikan berbagai jenis kebijakan keamanan, tergantung pada kebutuhan dan karakteristik spesifik mereka.

Berikut adalah beberapa tipologi kebijakan keamanan yang umum ditemukan: 1. Kebijakan Penggunaan yang Dapat Diterima (AUP): Kebijakan ini mendefinisikan aturan dan pedoman untuk penggunaan aset IT organisasi, seperti internet, email, dan media sosial, untuk mencegah penyalahgunaan sumber daya IT, melindungi organisasi dari risiko hukum dan reputasi, dan mempromosikan penggunaan teknologi yang bertanggung jawab (Ponemon Institute, 2021). AUP harus mencakup topik-topik seperti akses internet, penggunaan email, penggunaan media sosial, instalasi perangkat lunak, akses jarak jauh, dan penggunaan perangkat pribadi. AUP juga harus mendefinisikan sanksi bagi pengguna yang melanggar kebijakan (Whitman & Mattord, 2021).

2. Kebijakan Kata Sandi: Kebijakan ini menetapkan persyaratan kompleksitas, panjang, dan masa berlaku kata sandi, serta praktik manajemen kata sandi yang aman, untuk mencegah akses tidak sah ke akun pengguna dan data sensitif (Kim & Solomon, 2018). Kebijakan ini harus mencakup

Bab 6 Kebijakan Keamanan

109

persyaratan seperti panjang minimum kata sandi, penggunaan karakter yang beragam (huruf besar, huruf kecil, angka, dan simbol), larangan penggunaan kata sandi yang mudah ditebak, dan frekuensi penggantian kata sandi (NIST SP 800-63B).

3. Kebijakan Akses Jarak Jauh: Kebijakan ini mengatur akses ke jaringan dan sistem organisasi dari lokasi terpencil, dengan menekankan pada keamanan koneksi dan otentikasi pengguna (Stallings & Brown, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan Virtual Private Network (VPN) untuk mengenkripsi lalu lintas jaringan, otentikasi multifaktor untuk verifikasi identitas, dan pembatasan akses berdasarkan peran pengguna (Easttom, 2019).

4. Kebijakan Data Sensitif: Kebijakan ini mendefinisikan prosedur penanganan, penyimpanan, dan transmisi data sensitif, seperti informasi pribadi, data keuangan, dan rahasia dagang, untuk melindungi kerahasiaan, integritas, dan ketersediaan data sensitif (Peltier, 2020). Kebijakan ini harus mencakup persyaratan seperti enkripsi data, kontrol akses berbasis peran, dan pembatasan akses fisik ke lokasi penyimpanan data (ISO/IEC 27001:2013).

5. Kebijakan Keamanan Perangkat Mobile: Kebijakan ini mengatur penggunaan perangkat mobile, seperti smartphone dan tablet, dalam konteks pekerjaan, dengan fokus pada keamanan perangkat, aplikasi, dan data (NIST Cybersecurity Framework, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan kata sandi atau PIN untuk mengunci perangkat, enkripsi data pada perangkat, instalasi perangkat lunak keamanan, dan pembatasan akses ke aplikasi dan data perusahaan (CIS Controls, 2021).

110

Keamanan Informasi (Cyber Security)

6. Kebijakan Tanggap Insiden: Kebijakan ini mendefinisikan prosedur untuk mendeteksi, merespons, dan memulihkan dari insiden keamanan, seperti pelanggaran data atau serangan malware, untuk meminimalkan dampak insiden dan mencegah kerusakan lebih lanjut (Whitman & Mattord, 2021). Kebijakan ini harus mencakup langkah-langkah seperti identifikasi insiden, penahanan dampak, pemberitahuan kepada pihak berwenang, pemulihan sistem dan data, dan analisis pasca-insiden (NIST SP 800-61).

7. Kebijakan Pemulihan Bencana: Kebijakan ini menjabarkan rencana untuk memulihkan data dan sistem organisasi setelah terjadi bencana, seperti kebakaran, banjir, atau serangan siber yang besar, untuk memastikan kelangsungan bisnis dan meminimalkan gangguan operasional (Kim & Solomon, 2018). Kebijakan ini harus mencakup langkah-langkah seperti analisis dampak bisnis (BIA), strategi pemulihan bencana, rencana pemulihan bencana, pengujian rencana, dan pembaruan rencana (ISO/IEC 22301).

Bab 7 Analisis Ancaman

7.1 Pendahuluan Dalam bab ini, kita akan membahas konsep ancaman dalam konteks keamanan informasi. Ancaman terhadap informasi mencakup berbagai bentuk serangan, baik dari dalam maupun luar, yang dapat membahayakan integritas, kerahasiaan, dan ketersediaan data. Dengan meningkatnya ketergantungan pada teknologi digital, ancaman ini menjadi semakin kompleks dan beragam. Menurut laporan dari Smith & Johnson (2022), dalam lima tahun terakhir, terdapat peningkatan signifikan dalam insiden keamanan informasi, di mana sektor-sektor vital seperti kesehatan, keuangan, dan pemerintahan menjadi target utama. Gambar 7.1 menunjukkan tren peningkatan insiden keamanan informasi sejak 2018, yang menggambarkan urgensi untuk memahami dan mengatasi ancaman ini.

Keamanan informasi merupakan bagian krusial dari manajemen risiko di era digital ini. Dalam konteks ini, ancaman dapat dibedakan menjadi beberapa kategori, termasuk ancaman yang bersifat teknis, seperti malware

112

Keamanan Informasi (Cyber Security)

dan serangan phishing, serta ancaman non-teknis, seperti kesalahan manusia dan kebocoran informasi internal. Menurut Brown (2021), ancaman yang tidak terdeteksi dapat menyebabkan kebocoran data dan kerugian finansial yang besar, dengan biaya rata-rata kebocoran data mencapai $3,86 juta per insiden di tahun 2020. Hal ini menunjukkan bahwa pemahaman yang mendalam tentang jenis-jenis ancaman sangat penting untuk melindungi aset informasi organisasi.

Salah satu contoh nyata dari ancaman ini adalah serangan ransomware yang semakin marak. Dalam laporan oleh Cybersecurity & Infrastructure Security Agency (CISA), terungkap bahwa pada tahun 2021, serangan ransomware meningkat hingga 300% dibandingkan tahun sebelumnya, dengan sektor kesehatan menjadi salah satu yang paling terpengaruh (CISA, 2021). Kasus serangan terhadap Colonial Pipeline di Amerika Serikat, yang mengakibatkan gangguan pasokan bahan bakar, menggambarkan dampak besar yang dapat ditimbulkan oleh serangan semacam ini. Oleh karena itu, penting bagi organisasi untuk tidak hanya mengidentifikasi ancaman tetapi juga mengembangkan strategi mitigasi yang efektif.

Gambar 7.1: Tren Peningkatan Insiden Kemanan Informasi di Indonesia ((Sumber: Santika, Erlina F (2024))

Selain itu, penting untuk mencatat bahwa ancaman terhadap keamanan informasi tidak hanya berasal dari luar organisasi. Ancaman internal,

Bab 7 Analisis Ancaman

113

seperti karyawan yang tidak puas atau yang tidak terlatih, juga dapat menjadi penyebab kebocoran data dan kerugian.

Menurut penelitian oleh Ponemon Institute (2022), sekitar 60% kebocoran data disebabkan oleh kesalahan manusia, baik yang disengaja maupun tidak disengaja. Hal ini menekankan perlunya pelatihan dan kesadaran yang lebih baik di kalangan karyawan untuk mencegah ancaman internal.

7.2 Jenis-Jenis Ancaman Siber 7.2.1 Ancaman Berdasarkan Sektor Serangan Ancaman siber dapat dikategorikan berdasarkan vektor serangan yang digunakan oleh pelaku kejahatan siber. Salah satu jenis ancaman yang paling umum adalah malware, yang mencakup berbagai jenis perangkat lunak berbahaya seperti virus, ransomware, dan trojan. Menurut laporan dari Cybersecurity Ventures, kerugian akibat serangan malware diperkirakan mencapai $6 triliun pada tahun 2021, dan angka ini diprediksi akan terus meningkat (Cybersecurity Ventures, 2021). Virus adalah jenis malware yang dapat mereplikasi dirinya sendiri dan menyebar ke perangkat lain, sedangkan ransomware adalah jenis malware yang mengenkripsi data korban dan meminta tebusan untuk mengembalikannya.

Salah satu contoh kasus yang mencolok adalah serangan ransomware WannaCry yang terjadi pada Mei 2017. Serangan ini memanfaatkan kerentanan dalam sistem operasi Windows dan berhasil menginfeksi lebih dari 200.000 komputer di 150 negara. Akibatnya, banyak perusahaan dan institusi, termasuk layanan kesehatan di Inggris, mengalami gangguan operasional yang signifikan (Kaspersky Lab, 2017). Serangan ini menunjukkan betapa rentannya infrastruktur digital kita terhadap serangan malware yang terorganisir.

114

Keamanan Informasi (Cyber Security)

Selain malware, serangan phishing juga merupakan ancaman yang signifikan. Phishing adalah metode di mana penyerang mencoba untuk memperoleh informasi sensitif, seperti nama pengguna dan kata sandi, dengan menyamar sebagai entitas tepercaya. Menurut laporan dari APWG (Anti-Phishing Working Group), jumlah serangan phishing meningkat 22% pada tahun 2020 dibandingkan tahun sebelumnya (APWG, 2020).

Serangan ini sering kali dilakukan melalui email yang tampak sah, tetapi sebenarnya mengandung tautan berbahaya yang mengarahkan korban ke situs web palsu.

Rekayasa sosial juga merupakan teknik yang sering digunakan dalam serangan siber. Dalam hal ini, penyerang memanipulasi psikologi korban untuk mendapatkan informasi yang dibutuhkan. Misalnya, penyerang dapat berpura-pura menjadi rekan kerja atau atasan untuk meminta akses ke sistem atau data sensitif. Menurut penelitian oleh Social-Engineer.org, sekitar 93% dari semua pelanggaran data melibatkan teknik rekayasa sosial (Social-Engineer.org, 2019). Ini menunjukkan bahwa meskipun teknologi keamanan semakin canggih, manusia tetap menjadi titik lemah yang dapat dieksploitasi oleh penyerang.

7.2.2 Ancaman pada Infrastruktur Ancaman terhadap infrastruktur kritis semakin menjadi perhatian utama dalam dunia keamanan siber. Infrastruktur ini mencakup sistem yang penting bagi fungsi masyarakat, seperti jaringan listrik, sistem transportasi, dan layanan kesehatan. Serangan terhadap infrastruktur ini dapat memiliki dampak yang luas dan merugikan. Misalnya, serangan siber terhadap jaringan listrik di Ukraina pada tahun 2015 menyebabkan pemadaman listrik yang meluas dan memengaruhi lebih dari 200.000 pelanggan (Friedman, 2016). Serangan ini menunjukkan bahwa infrastruktur kritis sangat rentan terhadap serangan siber yang terkoordinasi.

Internet of Things (IoT) juga menjadi target utama serangan siber. Dengan semakin banyaknya perangkat yang terhubung ke internet, peluang bagi penyerang untuk mengeksploitasi kerentanan meningkat. Menurut laporan

Bab 7 Analisis Ancaman

115

dari Gartner, diperkirakan akan ada lebih dari 25 miliar perangkat IoT yang terhubung pada tahun 2025 (Gartner, 2020). Banyak dari perangkat ini tidak memiliki keamanan yang memadai, sehingga menjadi pintu masuk bagi penyerang untuk mengakses jaringan yang lebih besar. Contoh serangan IoT yang terkenal adalah Mirai Botnet, yang memanfaatkan perangkat IoT yang terinfeksi untuk meluncurkan serangan DDoS besarbesaran pada tahun 2016.

Ancaman pada cloud dan virtualisasi juga semakin meningkat. Banyak organisasi kini beralih ke layanan cloud untuk menyimpan data dan menjalankan aplikasi. Namun, keamanan data di cloud sering kali menjadi perhatian utama. Menurut laporan dari McAfee, 21% perusahaan mengalami pelanggaran data yang terkait dengan layanan cloud (McAfee, 2019). Serangan ini dapat terjadi melalui akses tidak sah, di mana penyerang mendapatkan akses ke data sensitif yang disimpan di cloud.

Oleh karena itu, penting bagi organisasi untuk menerapkan langkahlangkah keamanan yang kuat ketika menggunakan layanan cloud.

7.2.3 Ancaman Emerging Dengan perkembangan teknologi yang pesat, ancaman siber juga berkembang menjadi bentuk yang lebih kompleks. Salah satu ancaman yang sedang naik daun adalah penggunaan teknologi kecerdasan buatan (AI) dalam serangan siber. Penyerang kini dapat menggunakan AI untuk mengotomatisasi serangan dan meningkatkan efektivitasnya. Misalnya, AI dapat digunakan untuk menganalisis pola perilaku pengguna dan menemukan titik lemah dalam sistem keamanan. Menurut laporan dari Cybersecurity Insiders, 61% profesional keamanan percaya bahwa AI akan digunakan oleh penyerang dalam lima tahun ke depan (Cybersecurity Insiders, 2020).

Ancaman lainnya yang perlu diwaspadai adalah serangan berbasis quantum computing. Meskipun teknologi ini masih dalam tahap pengembangan, potensi ancamannya sangat besar. Quantum computing dapat memecahkan enkripsi yang saat ini digunakan untuk melindungi data dengan kecepatan

116

Keamanan Informasi (Cyber Security)

yang jauh lebih tinggi daripada komputer tradisional. Menurut laporan dari IBM, dengan kemajuan dalam teknologi quantum, enkripsi saat ini dapat menjadi usang dalam waktu dekat (IBM, 2021). Ini menimbulkan kebutuhan mendesak untuk mengembangkan metode enkripsi baru yang tahan terhadap serangan quantum.

Dalam menghadapi ancaman emerging ini, penting bagi organisasi untuk tetap waspada dan beradaptasi dengan cepat. Pendekatan proaktif dalam keamanan siber, termasuk pelatihan karyawan, pemantauan sistem yang terus-menerus, dan pembaruan perangkat lunak secara berkala, dapat membantu mengurangi risiko. Selain itu, kolaborasi antara sektor publik dan swasta juga sangat penting untuk mengidentifikasi dan menangani ancaman siber yang terus berkembang.

7.3 Dampak Ancaman terhadap Kemanan Informasi Keamanan informasi merupakan aspek krusial dalam era digital saat ini, di mana data menjadi aset yang sangat berharga bagi individu, bisnis, dan institusi. Ancaman terhadap keamanan informasi dapat muncul dalam berbagai bentuk, mulai dari serangan siber, malware, hingga kebocoran data. Dampak dari ancaman ini tidak hanya bersifat teknis, tetapi juga dapat berimplikasi pada aspek finansial, reputasi, dan operasional. Dalam makalah ini, akan dibahas secara mendalam dampak ancaman terhadap keamanan informasi dengan fokus pada kerugian finansial, kerusakan reputasi, dan gangguan operasional.

7.3.1 Kerugian Finansial Salah satu dampak paling signifikan dari ancaman terhadap keamanan informasi adalah kerugian finansial. Menurut laporan dari Cybersecurity Ventures, diperkirakan bahwa kerugian global akibat kejahatan siber akan mencapai 10,5 triliun dolar AS pada tahun 2025 (Cybersecurity Ventures,

Bab 7 Analisis Ancaman

117

2020). Kerugian ini mencakup berbagai aspek, mulai dari kehilangan aset digital, biaya pemulihan, hingga denda hukum yang mungkin dikenakan.

Misalnya, dalam kasus serangan ransomware pada perusahaan Colonial Pipeline pada tahun 2021, perusahaan tersebut terpaksa membayar tebusan sebesar 4,4 juta dolar AS untuk mendapatkan kembali akses ke sistem mereka (BBC News, 2021).

Selain itu, biaya pemulihan setelah serangan siber juga dapat sangat besar.

Menurut laporan dari Ponemon Institute, rata-rata biaya pemulihan per insiden keamanan informasi mencapai 3,86 juta dolar AS (Ponemon Institute, 2021). Biaya ini mencakup investigasi, perbaikan sistem, dan peningkatan keamanan untuk mencegah insiden serupa di masa depan.

Dalam banyak kasus, perusahaan juga harus mengeluarkan biaya untuk mengganti perangkat keras dan perangkat lunak yang terpengaruh oleh serangan.

Kerugian finansial ini tidak hanya berdampak pada perusahaan besar, tetapi juga pada usaha kecil dan menengah (UKM). Banyak UKM yang tidak memiliki anggaran yang cukup untuk menangani serangan siber, sehingga mereka lebih rentan terhadap kerugian. Sebuah survei oleh Hiscox menunjukkan bahwa 47% UKM mengalami kerugian finansial akibat serangan siber, dengan rata-rata kerugian mencapai 200.000 dolar AS per insiden (Hiscox, 2020). Hal ini menunjukkan bahwa ancaman terhadap keamanan informasi dapat mengancam kelangsungan hidup bisnis, terutama bagi UKM.

7.3.2 Kerusakan Reputasi Dampak lain yang tidak kalah penting dari ancaman terhadap keamanan informasi adalah kerusakan reputasi. Ketika sebuah perusahaan mengalami pelanggaran data atau serangan siber, kepercayaan pelanggan dan pemangku kepentingan dapat terguncang. Menurut survei yang dilakukan oleh KPMG, sekitar 86% konsumen menyatakan bahwa mereka tidak akan melakukan bisnis dengan perusahaan yang telah mengalami pelanggaran

118

Keamanan Informasi (Cyber Security)

data (KPMG, 2020). Ini menunjukkan bahwa reputasi perusahaan dapat hancur dalam sekejap akibat serangan siber.

Contoh nyata dari kerusakan reputasi akibat ancaman keamanan informasi dapat dilihat dalam kasus pelanggaran data yang dialami oleh Equifax pada tahun 2017, di mana data pribadi sekitar 147 juta konsumen bocor. Setelah insiden tersebut, saham Equifax anjlok dan perusahaan harus menghadapi berbagai tuntutan hukum serta denda yang signifikan (Reuters, 2019).

Selain itu, reputasi perusahaan tersebut sebagai penyedia layanan keuangan terkemuka juga tercoreng, yang berdampak pada kepercayaan publik.

Kerusakan reputasi ini tidak hanya memengaruhi hubungan dengan pelanggan, tetapi juga dapat berdampak pada kemitraan bisnis. Perusahaan yang memiliki reputasi buruk dalam hal keamanan informasi mungkin kesulitan menjalin kemitraan dengan perusahaan lain, yang pada gilirannya dapat memengaruhi pertumbuhan dan inovasi perusahaan. Sebuah studi oleh Deloitte menunjukkan bahwa perusahaan dengan reputasi baik dalam keamanan informasi dapat meningkatkan nilai saham mereka hingga 15% dibandingkan dengan perusahaan yang memiliki reputasi buruk (Deloitte, 2021).

7.3.3 Gangguan Operasional Gangguan operasional adalah dampak lain yang sering kali diabaikan dalam diskusi mengenai ancaman terhadap keamanan informasi. Ketika sistem informasi terganggu akibat serangan siber, produktivitas perusahaan dapat terhambat. Sebuah studi oleh CyberEdge Group menunjukkan bahwa 60% organisasi mengalami gangguan operasional akibat serangan siber, dengan 29% dari mereka melaporkan bahwa gangguan tersebut berlangsung lebih dari satu minggu (CyberEdge Group, 2021). Hal ini menunjukkan bahwa serangan siber dapat menyebabkan kerugian waktu yang signifikan bagi perusahaan.

Serangan ransomware, misalnya, dapat mengakibatkan ketidakmampuan perusahaan untuk mengakses data dan sistem penting. Dalam kasus serangan ransomware WannaCry pada tahun 2017, lebih dari 200.000

Bab 7 Analisis Ancaman

119

komputer di 150 negara terinfeksi, mengakibatkan gangguan besar pada berbagai sektor, termasuk kesehatan, transportasi, dan keuangan (BBC News, 2017). Banyak rumah sakit di Inggris harus menunda prosedur medis karena sistem mereka tidak dapat diakses, yang menunjukkan dampak serius dari gangguan operasional.

Gangguan operasional juga dapat memengaruhi karyawan, yang mungkin harus bekerja lebih keras untuk memulihkan sistem dan data yang hilang.

Hal ini dapat menyebabkan penurunan moral dan produktivitas, serta meningkatkan tingkat stres di tempat kerja. Dalam jangka panjang, gangguan operasional dapat memengaruhi kinerja perusahaan secara keseluruhan, yang pada gilirannya dapat berdampak pada pendapatan dan pertumbuhan perusahaan.

7.4 Analisis Risiko Ancaman 7.4.1 Identifikasi Risiko Identifikasi risiko merupakan langkah awal yang krusial dalam mengenali ancaman yang spesifik pada sistem tertentu. Dalam konteks keamanan informasi, identifikasi risiko melibatkan pengenalan berbagai jenis ancaman yang dapat memengaruhi integritas, kerahasiaan, dan ketersediaan data.

Menurut Martin (2019), proses ini meliputi pengumpulan informasi tentang potensi ancaman, kerentanan sistem, serta konsekuensi yang mungkin timbul jika ancaman tersebut terealisasi. Sebagai contoh, dalam dunia siber, ancaman seperti malware, serangan phishing, dan ransomware semakin meningkat, dengan laporan menunjukkan bahwa serangan ransomware meningkat sebesar 150% antara tahun 2018 dan 2020 (Clarke, 2021).

Proses identifikasi risiko harus melibatkan berbagai stakeholder, termasuk tim IT, manajemen, dan pengguna akhir. Keterlibatan banyak pihak memungkinkan pengumpulan informasi yang lebih komprehensif dan

120

Keamanan Informasi (Cyber Security)

akurat. Sebagai contoh, sebuah perusahaan dapat melakukan survei internal untuk mengidentifikasi potensi ancaman yang mungkin tidak terdeteksi oleh tim IT. Dengan pendekatan ini, perusahaan dapat lebih siap menghadapi ancaman yang mungkin muncul di lingkungan mereka.

Selain itu, identifikasi risiko juga harus mempertimbangkan faktor eksternal yang dapat memengaruhi sistem. Misalnya, perubahan regulasi pemerintah terkait perlindungan data dapat memperkenalkan ancaman baru bagi organisasi. Penelitian oleh Martin (2019) menunjukkan bahwa organisasi yang tidak memperbarui kebijakan keamanan mereka sesuai dengan perubahan regulasi lebih rentan terhadap pelanggaran data. Oleh karena itu, penting bagi organisasi untuk secara berkala melakukan audit risiko guna memastikan bahwa semua potensi ancaman teridentifikasi dengan baik.

Dalam identifikasi risiko, penggunaan alat bantu seperti analisis SWOT (Strengths, Weaknesses, Opportunities, Threats) dapat sangat membantu.

Analisis ini memungkinkan organisasi untuk mengidentifikasi kekuatan dan kelemahan internal serta peluang dan ancaman eksternal yang dapat memengaruhi sistem mereka. Sebuah studi kasus pada perusahaan teknologi menunjukkan bahwa dengan menggunakan analisis SWOT, mereka dapat mengidentifikasi beberapa ancaman baru yang sebelumnya tidak disadari, yang kemudian diatasi dengan langkah-langkah mitigasi yang tepat.

Dengan demikian, identifikasi risiko merupakan langkah fundamental dalam manajemen risiko yang efektif. Tanpa pemahaman yang jelas tentang ancaman yang ada, organisasi akan kesulitan dalam merumuskan strategi mitigasi yang efektif. Oleh karena itu, penting bagi organisasi untuk menginvestasikan waktu dan sumber daya dalam proses identifikasi risiko ini.

7.4.2 Evaluasi Probalilitas dan Dampak Setelah risiko diidentifikasi, langkah selanjutnya adalah evaluasi probabilitas dan dampak dari setiap ancaman yang terdeteksi. Evaluasi ini

Bab 7 Analisis Ancaman

121

bertujuan untuk mengukur seberapa mungkin suatu ancaman terjadi dan seberapa parah dampaknya jika ancaman tersebut berhasil menembus pertahanan sistem. Menurut Clarke (2021), evaluasi ini dapat dilakukan dengan menggunakan metode kuantitatif maupun kualitatif. Metode kuantitatif melibatkan pengumpulan data statistik untuk menghitung probabilitas dan dampak, sementara metode kualitatif lebih berfokus pada penilaian subjektif dari para ahli.

Dalam konteks evaluasi probabilitas, penting untuk mempertimbangkan faktor-faktor seperti frekuensi serangan yang terjadi di industri yang sama, serta kerentanan spesifik dari sistem yang dianalisis. Sebagai contoh, jika sebuah organisasi beroperasi di sektor keuangan, mereka mungkin lebih rentan terhadap serangan siber dibandingkan dengan sektor lain. Data dari Cybersecurity and Infrastructure Security Agency (CISA) menunjukkan bahwa sektor keuangan mengalami tingkat serangan siber yang lebih tinggi dibandingkan sektor lainnya, dengan 30% dari semua insiden siber terjadi di sektor ini (CISA, 2022).

Dampak dari suatu ancaman juga perlu dievaluasi dengan hati-hati.

Dampak dapat dibagi menjadi beberapa kategori, seperti dampak finansial, reputasi, dan operasional. Sebuah studi kasus yang dilakukan oleh Martin (2019) menunjukkan bahwa serangan siber yang berhasil dapat menyebabkan kerugian finansial yang signifikan, dengan rata-rata biaya pemulihan setelah serangan mencapai $1.1 juta. Selain itu, dampak reputasi juga dapat berkelanjutan, dengan banyak perusahaan yang kehilangan kepercayaan pelanggan setelah mengalami pelanggaran data.

Evaluasi probabilitas dan dampak juga dapat dilakukan dengan menggunakan skala penilaian. Misalnya, organisasi dapat menggunakan skala 1-5 untuk menilai kemungkinan terjadinya ancaman dan dampaknya.

Dengan cara ini, organisasi dapat dengan mudah mengidentifikasi ancaman mana yang paling kritis dan memerlukan perhatian segera. Penelitian oleh Clarke (2021) menunjukkan bahwa penggunaan skala penilaian ini dapat membantu organisasi dalam memprioritaskan sumber daya untuk mitigasi risiko.

122

Keamanan Informasi (Cyber Security)

Secara keseluruhan, evaluasi probabilitas dan dampak adalah langkah penting dalam proses manajemen risiko. Dengan memahami seberapa besar kemungkinan suatu ancaman terjadi dan seberapa parah dampaknya, organisasi dapat mengambil langkah-langkah yang tepat untuk melindungi sistem mereka dari risiko yang ada.

7.4.3 Matriks Risiko Matriks risiko merupakan alat yang sangat berguna dalam memprioritaskan ancaman berdasarkan tingkat keparahan dan kemungkinan terjadinya.

Dengan menggunakan matriks risiko, organisasi dapat dengan mudah mengidentifikasi mana ancaman yang paling mendesak untuk ditangani.

Menurut Martin (2019), matriks risiko biasanya terdiri dari dua sumbu: satu untuk probabilitas terjadinya ancaman dan satu lagi untuk dampak yang ditimbulkan. Dengan cara ini, ancaman dapat dikelompokkan dalam kategori rendah, sedang, dan tinggi.

Sebagai contoh, sebuah perusahaan dapat mengembangkan matriks risiko yang mencakup berbagai ancaman yang telah diidentifikasi sebelumnya.

Ancaman dengan probabilitas tinggi dan dampak besar akan ditempatkan di kuadran paling atas dari matriks, dan akan menjadi fokus utama dalam strategi mitigasi. Sebuah studi yang dilakukan oleh Clarke (2021) menunjukkan bahwa penggunaan matriks risiko dapat membantu organisasi dalam membuat keputusan yang lebih baik terkait alokasi sumber daya untuk keamanan siber.

Matriks risiko juga dapat digunakan untuk mengkomunikasikan risiko kepada pemangku kepentingan. Dengan visualisasi yang jelas, manajemen dapat dengan mudah memahami ancaman mana yang paling berbahaya dan memerlukan perhatian segera. Dalam konteks ini, matriks risiko berfungsi sebagai alat komunikasi yang efektif, yang memungkinkan tim keamanan untuk menjelaskan situasi risiko kepada pihak manajemen dan mendapatkan dukungan yang diperlukan untuk tindakan mitigasi.

Selain itu, matriks risiko harus diperbarui secara berkala untuk mencerminkan perubahan dalam lingkungan ancaman. Ancaman baru

Bab 7 Analisis Ancaman

123

dapat muncul seiring dengan perkembangan teknologi dan perubahan dalam perilaku penyerang. Oleh karena itu, penting bagi organisasi untuk melakukan revisi dan pembaruan pada matriks risiko mereka secara berkala. Penelitian menunjukkan bahwa organisasi yang secara rutin memperbarui matriks risiko mereka memiliki tingkat kesiapan yang lebih tinggi dalam menghadapi ancaman baru (Martin, 2019).

Secara keseluruhan, matriks risiko adalah alat yang efektif untuk memprioritaskan ancaman dan membantu organisasi dalam mengambil keputusan yang tepat terkait manajemen risiko. Dengan menggunakan matriks ini, organisasi dapat lebih fokus dalam mengalokasikan sumber daya untuk melindungi sistem mereka dari ancaman yang paling signifikan.

7.5 Metode Pencegahan dan Mitigasi 7.5.1 Ancaman Ancaman terhadap keamanan informasi semakin kompleks seiring dengan perkembangan teknologi. Dalam konteks ini, ancaman dapat dibagi menjadi beberapa kategori, seperti ancaman internal dan eksternal.

Menurut laporan dari Cybersecurity Ventures, kerugian akibat serangan siber diperkirakan mencapai $6 triliun pada tahun 2021, dan angka ini diperkirakan akan terus meningkat (Cybersecurity Ventures, 2021).

Ancaman ini tidak hanya berasal dari individu atau kelompok yang berniat jahat, tetapi juga dapat muncul dari kesalahan manusia yang tidak disengaja, seperti kebocoran data akibat kelalaian karyawan. Oleh karena itu, penting untuk memahami berbagai jenis ancaman yang ada agar dapat mengambil langkah pencegahan yang tepat.

Salah satu contoh nyata dari ancaman ini adalah serangan ransomware yang menargetkan perusahaan besar di seluruh dunia. Pada tahun 2021, serangan ransomware Colonial Pipeline menyebabkan gangguan besar pada pasokan bahan bakar di Amerika Serikat, yang mengakibatkan kerugian

124

Keamanan Informasi (Cyber Security)

finansial yang signifikan dan dampak sosial yang luas (FBI, 2021). Kasus ini menunjukkan betapa seriusnya ancaman yang dihadapi oleh organisasi dan pentingnya memiliki strategi pencegahan yang efektif.

Data statistik menunjukkan bahwa lebih dari 90% serangan siber dimulai dengan email phishing, yang merupakan bentuk rekayasa sosial yang paling umum (Verizon, 2021). Ini menunjukkan bahwa ancaman tidak selalu datang dari teknologi canggih, tetapi sering kali berasal dari teknik manipulasi psikologis yang sederhana. Oleh karena itu, pendekatan yang komprehensif dalam mengidentifikasi dan mengelola ancaman sangat diperlukan, termasuk pelatihan dan kesadaran bagi karyawan.

Selain itu, ancaman terhadap keamanan siber juga dapat berasal dari perangkat IoT (Internet of Things) yang semakin banyak digunakan.

Menurut Gartner, diperkirakan akan ada lebih dari 25 miliar perangkat IoT yang terhubung pada tahun 2025 (Gartner, 2020). Dengan meningkatnya jumlah perangkat ini, risiko serangan juga meningkat, karena banyak perangkat IoT yang tidak memiliki keamanan yang memadai. Oleh karena itu, identifikasi ancaman yang berasal dari perangkat ini harus menjadi bagian integral dari strategi keamanan.

Dengan memahami berbagai ancaman yang ada, organisasi dapat lebih siap untuk mengambil langkah-langkah pencegahan dan mitigasi yang diperlukan. Dalam sub-bab berikutnya, kita akan membahas metode pencegahan yang dapat diterapkan untuk mengurangi dampak dari ancaman tersebut.

7.5.2 Keamanan Perimeter Keamanan perimeter merupakan garis pertahanan pertama dalam melindungi jaringan dari serangan luar. Salah satu komponen utama dalam keamanan perimeter adalah penggunaan firewall, yang berfungsi untuk mengontrol lalu lintas data yang masuk dan keluar dari jaringan.

Menurut Turner (2021), firewall modern dapat menganalisis paket data secara mendalam untuk mendeteksi dan memblokir ancaman yang mungkin tidak terdeteksi oleh metode tradisional. Selain itu, penggunaan

Bab 7 Analisis Ancaman

125

Intrusion Detection System (IDS) dan Intrusion Prevention System (IPS) juga sangat penting untuk mendeteksi dan merespons serangan secara realtime.

IDS berfungsi untuk memantau aktivitas jaringan dan mendeteksi perilaku yang mencurigakan, sedangkan IPS tidak hanya mendeteksi, tetapi juga mengambil tindakan untuk mencegah serangan. Dalam sebuah studi oleh Kim dan Nguyen (2020), ditemukan bahwa organisasi yang menerapkan sistem IDS dan IPS secara efektif dapat mengurangi insiden keamanan hingga 30%. Hal ini menunjukkan bahwa investasi dalam teknologi keamanan perimeter dapat memberikan pengembalian yang signifikan dalam hal perlindungan data.

Namun, keamanan perimeter tidak hanya bergantung pada teknologi, tetapi juga pada kebijakan dan prosedur yang diterapkan oleh organisasi.

Misalnya, penerapan kebijakan akses berbasis peran dapat membantu membatasi akses ke sumber daya sensitif hanya kepada individu yang berwenang. Ini penting untuk mengurangi risiko kebocoran data akibat akses yang tidak sah. Data dari Cybersecurity and Infrastructure Security Agency (CISA) menunjukkan bahwa lebih dari 60% pelanggaran data terjadi akibat akses yang tidak sah (CISA, 2021).

Selain itu, penting untuk melakukan audit keamanan secara berkala untuk memastikan bahwa sistem keamanan perimeter tetap efektif. Audit ini dapat membantu mengidentifikasi celah keamanan yang mungkin ada dan memberikan rekomendasi untuk perbaikan. Dalam konteks ini, penilaian risiko yang komprehensif juga diperlukan untuk memahami potensi ancaman dan dampaknya terhadap organisasi.

Dengan penerapan metode keamanan perimeter yang tepat, organisasi dapat membangun fondasi yang kuat untuk melindungi data dan sistem mereka dari serangan siber. Selanjutnya, kita akan membahas tentang keamanan aplikasi dan langkah-langkah yang dapat diambil untuk melindungi perangkat lunak dari potensi ancaman.

126

Keamanan Informasi (Cyber Security)

7.5.3 Keamanan Aplikasi Keamanan aplikasi merupakan aspek krusial dalam melindungi data dan sistem informasi dari serangan siber. Dengan semakin banyaknya aplikasi yang digunakan oleh organisasi, penting untuk memastikan bahwa setiap aplikasi yang dikembangkan dan diterapkan memiliki prosedur keamanan yang memadai. Menurut Turner (2021), penerapan prinsip Secure Software Development Life Cycle (SDLC) dapat membantu mengidentifikasi dan mengatasi kerentanan sejak tahap awal pengembangan perangkat lunak.

Salah satu langkah penting dalam keamanan aplikasi adalah melakukan uji penetrasi secara berkala. Uji penetrasi ini bertujuan untuk mensimulasikan serangan siber dan mengidentifikasi celah keamanan yang mungkin ada dalam aplikasi. Dalam sebuah studi yang dilakukan oleh Kim dan Nguyen (2020), ditemukan bahwa organisasi yang secara rutin melakukan uji penetrasi dapat mengurangi risiko keamanan aplikasi hingga 40%. Hal ini menunjukkan bahwa uji penetrasi merupakan alat yang efektif dalam meningkatkan keamanan aplikasi.

Selain itu, penting untuk menerapkan praktik pengkodean yang aman selama proses pengembangan perangkat lunak. Misalnya, penggunaan teknik enkripsi untuk melindungi data sensitif dan penerapan validasi input untuk mencegah serangan injeksi SQL. Menurut OWASP (Open Web Application Security Project), serangan injeksi SQL merupakan salah satu serangan yang paling umum dan dapat menyebabkan kebocoran data yang signifikan (OWASP, 2021). Oleh karena itu, pengembang harus dilatih untuk memahami dan menerapkan praktik pengkodean yang aman.

Organisasi juga harus mempertimbangkan untuk menerapkan solusi keamanan aplikasi seperti Web Application Firewall (WAF). WAF dapat membantu melindungi aplikasi web dari berbagai serangan, termasuk serangan DDoS (Distributed Denial of Service) dan serangan injeksi. Data dari Gartner menunjukkan bahwa penggunaan WAF dapat mengurangi risiko serangan aplikasi hingga 50% (Gartner, 2021). Ini menunjukkan bahwa investasi dalam solusi keamanan aplikasi dapat memberikan perlindungan tambahan yang signifikan.

Bab 7 Analisis Ancaman

127

Dengan menerapkan langkah-langkah keamanan yang tepat dalam pengembangan dan pemeliharaan aplikasi, organisasi dapat mengurangi risiko serangan dan melindungi data sensitif mereka. Selanjutnya, kita akan membahas pentingnya kesadaran pengguna dalam meningkatkan keamanan informasi di organisasi.

128

Keamanan Informasi (Cyber Security)

Bab 8 Pengamanan Aplikasi (Application Security)

8.1 Pentingnya Pengamanan Aplikasi Pengamanan apikasi adalah proses dan praktik yang bertujuan untuk melindungi aplikasi perangkat lunak dari ancaman, serangan, atau eksploitasi yang dapat membahayakan kerahasiaan, integritas, dan ketersediaan data serta fungsi aplikasi tertentu. Keamanan aplikasi menjadi hal yang krusial pada cybersecurity karena aplikasi sering kali menjadi target utama serangan siber.

Tujuan pentingnya pengamanan aplikasi adalah: 1. Melindungi Data Pengguna Pada umumnya aplikasi sering memproses dan menyimpan data sensitive seperti informasi pribadi bahkan data keuangan. Jika aplikasi tidak dapat dijamin keamanannya, maka data yang ada

130

Keamanan Informasi (Cyber Security)

sangat mungkin untuk disalahgunakan oleh pihak yang tidak bertanggung jawab dan Perusahaan.

2. Menghindari Kerugian

pada

akhirnya

akan

merugikan

Serangan aplikasi seperti SQL Injection, cross-site scripting, Session hijacking attack dapat menyebabkan kerugian finansial mencakup biaya pemulihan, denda pelanggaran regulasi dan berkurangnya kepercayaan pengguna.

3. Menghindari Eksploitasi Kerentanan Keamanan aplikasi dapat dieksploitasi oleh peretas untuk mendapatkan hak akses illegal ke system. Pengamanan aplikasi membantu mengidentifikasi dan menutup celah ini sebelum terjadinya eksploitasi.

4. Menjamin Integritas Sistem Serangan pada aplikasi dapat merusak integrasi system, seperti modifikasi data yang ada bahkan modifikasi fungsi secara illegal.

Dengan pengamanan dipertahankan.

aplikasi,

integritas

system

dapat

Keamanan aplikasi, khususnya aplikasi perangkat lunak bukan hanya menambahkan fitur keamanan tertentu, tetapi dengan pendekatan holistik terhadap pengembangan perangkat lunak. Penggunaan algoritma kriptografi tidak secara otomatis menjadikan perangkat lunak aman.

Implementasi yang salah atau penggunaan tanpa konteks yang benar justru akan menimbulkan kerentanan. Tidak ada mekanisme keamanan tunggal yang dapat melindungi semua aspek perangkat lunak.

Keamanan memerlukan kombinasi beberapa mekanisme keamanan.

Keamanan tidak dapat diisolasi pada satu komponen, namun bisa muncul dari bagaimana semua kompunen sistem bekerja bersama. Misalnya, jika satu titik pada sistem tidak dibangun dengan baik (API tidak aman), itu dapat menyebabkan kerusakan seluruh sistem.

Bab 8 Pengamanan Aplikasi (Application Security)

131

Seperti kualitas perangkat lunak, keamanan harus dipertimbangkan sejak awal dan diperiksa di setiap tahap proses pengembangan. Namun untuk aplikasi perangkat lunak yang telah published, mengenali kerentanan aplikasi adalah hal yang utama dalam keamanan. Penting untuk memahami apa yang menyebabkan sebuah aplikasi rentan terhadap serangan.

8.2 Kerentanan Aplikasi (Software Vulnerabilities) Sistem informasi terkomputerisasi terdiri atas sekumpulan software buatan manusia yang rentan terhadap bug/flaws. Kerentanan adalah kelemahan sistem atau aplikasi yang dapat dimanfaatkan oleh penyerang untuk mengurangi tingkat information assurance (jaminan keamanan informasi suatu sistem). Information assurance mencakup kemampuan sistem untuk melindungi kerahasiaan, integritas, dan ketersediaan data (CIA).

Berdasarkan definisi, kerentanan aplikasi mencakup beberapa aspek yaitu: 1. Kesalahan Pemrograman atau Konfigurasi Kerentanan dapat berasal dari kesalahan dalam penulisan kode yang menyebabkan adanya bugs, atau konfigurasi yang salah.

Misalnya programmer yang tidak memvalidasi input pengguna dapat menyebabkan serangan SQL Injection. Konfigurasi server yang salah, yang membiarkan port terbuka dapat memberikan celah bagi penyerang.

2. Rentan terhadap Vektor Serangan Tertentu Kerentanan dapat dieksploitasi melalui attack vector tertentu.

Attack vector adalah jalur atau metode yang digunakan penyerang untuk menyerang sistem. Misalnya melalui input data (form pada aplikasi), melalui API yang tidak aman, atau melalui koneksi jaringan yang tidak terenkripsi.

132

Keamanan Informasi (Cyber Security)

3. Mengurangi Keandalan Sistem Ketika kerentanan dieksploitasi, keandalan sistem akan berkurang.

Misalnya aplikasi dapat berhenti bekerja (crash), dan data dapat dicuri atau dimanipulasi sehingga akan merusak integritas sistem.

Yang menjadi permasalahan adalah bahwa menentukan kebenaran (correctness) dari sebuah program atau aplikasi adalah hal yang sulit. Tidak ada tools yang bisa menjamin sebuah aplikasi 100% benar dan aman.

Howard et al. membahas terdapat 24 kesalahan umum dari aplikasi dan diklasifikasi menjadi empat kategori (Howard, Leblanc and Viega, 2009): 1

Web application sins: kesalahan pada aplikasi web seperti SQL Injection, Session Hijacking Attack, dll.

2

Implementation sins: kesalahan pada saat implementasi yang mengakibatkan adanya buffer overflow, format string problem,

3

integer overflow, command injection, dll.

Cryptographic sins: kesalahan pada

implementasi

sistem

kriptografi seperti weak password, weak random number generator, atau penggunaan cryptography yang tidak tepat.

4

Networking sins: kegagalan dalam melindungi komunikasi, salah menggunakan PKI/SSL, dll

jaringan

Pada pembahasan ini, yang menjadi fokus utama adalah kesalahan implementasi (implementation sins) yang akan dibahas pada sub bab selanjutnaya dan kesalahan aplikasi web (web application sins) yang dibahas pada sub bab 9.3.

8.2.1 Buffer Overflow Kerentanan buffer overflow telah ada sejak computer muncul dan masih ada sampai saat ini. Kerentanan ini terjadi karena program mengizinkan pengguna menuliskan input ke buffer yang dialokasikan. Biasanya terjadi pada Bahasa pemrograman low level (low level programming language)

Bab 8 Pengamanan Aplikasi (Application Security)

133

atau di bahasa pemrograman apapun yang menyediakan akses langsung ke memory (Foster et al., 2005).

Gambar 8.1: Contoh program yang rentan BOF

Pada pembahasan ini, kita akan menggunakan Bahasa pemrograman C sebagai contoh. Bahasa pemrograman C adalah high-level programming language yang membebankan integritas data kepada programmer. Gambar 8.1 adalah contoh program yang rentan terhadap buffer overflow.

Gambar 8.2: contoh fungsi

134

Keamanan Informasi (Cyber Security)

Program pada Gambar 8.1 dikatakan rentan terhadap buffer overflow karena fungsi strcpy mengambil input dari user tanpa validasi ukuran kemudian di-copy ke buff dengan ukuran terbatas. Lebih detail, contoh pada Gambar 8.2 dapat dilihat.

Fungsi login pada Gambar adalah fungsi untuk memeriksa inputan dari user. Input yang diizinkan adalah “brillig” dan “outgrabe”. Namun karena tidak dilakukannya validasi ukuran, logika dari fungsi bisa salah, khususnya saat user memberikan masukan sembarang yang ukurannya lebih dari 16, misalnya 17. Stack yang terbentuk akan dirusak, segmen yang harusnya menampung local variable “flagg” 0 untuk salah dan selain 0 adalah benar.

Nilai input yang membanjiri stack menuju flagg mengakibatkan input dianggap benar. Ilustrasi stack yang terbentuk saat eksekusi fungsi login dapat dilihat pada Tabel 8.1.

Tabel 8.1: Stack dari fungsi login pass_buff [16] Flagg [1] SFP (old EBP/EBP main) [4] Return address (old EIP) [4] password

Selain pada segmen stack, buffer overflow juga dapat terjadi pada segmen heap. Artinya bagian kode yang menyebabkan kerentanan ada pada alokasi memori dinamis (fungsi malloc, calloc, realloc, dll.).

Remedy untuk kerentanan buffer overflow adalah dengan tidak menggunakan fungsi-fungsi berbahaya, seperti strcpy, strncpy, gets, fgets, fopen, dll. Visual studio sudah memberikan peringatan terkait penggunaan fungsi-fungsi ini.

Bab 8 Pengamanan Aplikasi (Application Security)

135

Gambar 8.3: Visual Studio

Selain itu, yang paling penting adalah dengan menggunakan boundary checking untuk memeriksa ukuran dari input yang diberikan pengguna dan menyesuaikannya dengan buffer yang disediakan. Atau dapat juga dengan menggunakan fungsi yang ada pada C++ karena pada C++ sudah include object oriented dan integrity checking.

8.2.2 Format String Vulnerabilities Kerentanan format string muncul karena programmer tidak secara eksplisit menentukan format input/output dalam fungsi pemrograman. Kesalahan ini dapat dieksploitasi oleh penyerang untuk membaca, menulis, atau memanipulasi memori program yang berpotensi menyebabkan perilaku tak terduga dari program atau aplikasi. Contoh potongan kode yang rentan terhadap format string ada pada Gambar 8.4.

Gambar 8.4: Contoh kode rentan format string vuln.

136

Keamanan Informasi (Cyber Security)

Jika program dieksekusi dengan normal, hasilnya akan terlihat normal juga, namun tidak semua pengguna memberikan input sesuai ekspektasi aplikasi, jika pengguna memberikan format pada input, misalnya %x, maka program akan memberikan nilai atau alamat dari stack yang terbentuk. Contoh hasil eksekusi dapat dilihat pada Gambar 8.5.

Gambar 8.5: Contoh hasil eksekusi

Remedy yang bisa dilakukan untuk menghindari kerentanan ini adalah dengan selalu menyertakan format yang tepat pada setiap input maupun output dari program.

8.2.3 Integer Overflow Integer overflow terjadi ketika sebuah nilai yang lebih besar darinilai maksimum yang data disimpan oleh variable tipe data integer coba disimpan ke dalam variable tersebut. Contohnya, integer 8-bit hanya dapat menyimpan nilai dari 0 sampai 255 namun mencoba menyimpan nilai 256 atau lebih.

Gambar 8.6: Contoh kode yang rentan terhadap Integer Overflow

Bab 8 Pengamanan Aplikasi (Application Security)

137

Output yang seharusnya dihasilkan oleh program adalah 256 namun karena batas maksimal nilai yang dapat disimpan, mengakibatkan output menjadi 0 (circular). Jika program adalah x+3 maka outputnya menjadi 2.

Integer overflow ini adalah kerentanan yang berbahaya karena hanya akan dapat dideteksi saat telah terjadi.

8.3 Keamanan Aplikasi Web (Web Application Security) Aplikasi web, yang lebih terkenal dengan sebutan WWW (World Wide Web) ditemukan oleh seorang ilmuwan Inggris, Sir Timothy Berners – Lee pada tahun 1989 ketika bekerja di CERN, Swiss. Aplikasi web berevolusi sangat cepat, menjadi sesuatu yang lebih mudah digunakan, lebih mudah diakses, lebih banyak menyimpan dan mengolah data, dan semakin fungsional seiring berjalannya waktu (Scambray J., Shema M., and Sima, 2006).

Karena web telah merambah ke segala aspek kehidupan manusia, taruhan akan ketidakamanan web semakin tinggi, seperti area bisnis yang transaksinya telah dilakukan secara online seperti e-commerce, internet banking, dan system pembayaran lainnya.

Gambar 8.7: Arsitektur Aplikasi Web (Scambray J., Shema M., and Sima, 2006)

138

Keamanan Informasi (Cyber Security)

Arsitektur aplikasi web memiliki kesamaan dengan model komputasi terpusat dengan banyak klien “thin” yang tersebar untuk menampilkan data. Klien tersebut terhubung ke server “thick” terpusat yang melakukan Sebagian besar pemrosesan data. Arsitektur web bergantung pada teknologi WWW, yaitu Hypertext Markup Language (HTML) sebagai Bahasa markup utama dan Hypertext Transfer Protocol (HTTP) sebagai media transportasi utamanya.

Meskipun HTML dan HTTP menjadi elemen dasar dalam mendefinisikan arsitektur aplikasi web, sebuah aplikasi web pada kenyataannya jauh lebih kompleks dibandingkan hanya dengan kedua teknologi tersebut.

Komponen utama dari aplikasi web ditampilkan pada Gambar 9. 7.

Kebanyakan pemilik aplikasi web mengatakan bahwa aplikasi mereka aman karena menggunakan protocol Secure Socket Layer (SSL) atau Transport Layer Security (TLS). Namun asumsi ini sering kali berlebihan karena meskipun SSL/TSL menyediakan mekaniskme keamanan yang penting, seperti enkrikpsi komunikasi antar klien dan server, penggunaannya saja tidak cukup untuk menjamin keamanan menyeluruh dari aplikasi web.

Hal ini terjadi karena SSL/TSL melindungi data saat sedang ditransmisikan antara klien dan server, namun saat sampai di server atau diambil oleh klien, keamanan data menjadi tanggungjawab system lain. SSL tidak melindungi aplikasi dari serangan logika aplikasi, sql injection, atau kerentanan otorisasi.

Pada kenyataannya, kebanyakan aplikasi web tidak aman (insecure).

Kriptografi memang telah menjalankan peran penting dalam menjaga tiga pilar utama keamanan informasi, yaitu Confidentiality (Kerahasiaan), Integrity (Integritas), dan Availability (Ketersediaan), yang sering disebut sebagai CIA Triad. Meskipun demikian, kriptografi tidak mampu menahan serangan yang menargetkan kerentanan pada sisi server dan klien dari aplikasi web. Peranan pengembang software pada tahap requirement, design dan coding menjadi sangat penting.

Bab 8 Pengamanan Aplikasi (Application Security)

139

8.3.1 Security Problems of Web Applications Setiap pengguna dapat memberikan input apapun ke aplikasi dan semuanya tidak terpercaya karena pengguna dapat memberikan input apapun termasuk kode atau data yang berbahaya (all input is evil). Hal ini lah yang menjadi sumber utama kerentanan dalam aplikasi web. Pengguna dapat mengubah atau menginterferensi data yang ditransmisikan antara klien (browser) dan server.

Data yang dapat dimanipulasi adalah: 1

Request Parameters: Parameter yang dikirimkan melalui URL,

2

form data, atau body request Cookies: Data yang disimpan di sisi klien dan dikirimkan ke server

3

pada setiap request HTTP Headers: Informasi tambahan yang dikirimkan dalam setiap request HTTP (User-Agent, Authorization, dll.)

Validasi keamanan yang dilakukan di sisi klien (client-side) dapat dilewati dengan mudah oleh pengguna dengan browser developer tools atau aplikasi seperti Burp Suite.

Pengguna dapat mengirim permintaan dalam urutan yang berbeda dari yang diharapkan oleh aplikasi, dapat mengirimkan request lebih dari satu kali (repeated request), atau bahkan tidak dapat mengirimkan permintaan yang diharapkan (skipped request). Asumsi developer tentang bagaimana pengguna akan berinteraksi dengan aplikasi dapat dilanggar sehingga dapat menyebabkan kerentanan. Misalnya pengguna dapat melompati tahap autentikasi dan langsung mengakses data sensitif.

Selain itu, pengguna tidah hanya menggunakan browser untuk mengakses aplikasi. Mereka dapat menggunakan tools lain yang dirancang untuk berinteraksi dengan aplikasi secara langsung atau melalui protokol HTTP/HTTPS, tanpa menggunakan browser standar. Tools ini mampu mengirimkan request yang tidak dapat dilakukan oleh browser biasa.

140

Keamanan Informasi (Cyber Security)

Contoh tools yang dimaksud adalah Bur Suite (untuk menganalisis, memanipulasi, dan memodifikasi request sebelum dikirim ke server), Postman (membantu mengirimkan request API secara langsung dengan mengabaikan batasan UI), curl dan wget (command-line tools untuk mengirim request HTTP yang dimodifikasi), OWASP ZAP atau Nikto (mencari kerentanan dengan mengirimkan ribuan request dalam waktu singkat).

8.3.2 Core Defense Mechanisme Terdapat mekanisme untuk menciptakan keamanan pada aplikasi web dan meminimalkan risiko serangan.

1. Mengelola Akses Pengguna Sistem harus mampu memastikan bahwa hanya pengguna yang sah yang dapat mengakses sumber daya tertentu. Perlu dilakukan autentikasi untuk verifikasi identitas pengguna misalnya menggunakan password, token atau biometrik. Session management juga perlu dilakukan untuk mencegah pengambilalihan sesi (session hijacking). Selain itu diperlukan otorisasi untuk menentukan izin akses dan memastikan pengguna hanya dapat mengakses data atau fitur yang diizinkan berdasarkan role-nya (role-based access control) 2. Mengelola Input Pengguna Input dari pengguna sering menjadi vektor serangan seperti pada SQL Injection atau Cross-Site Scripting (XSS). Untuk itu, diperlukan strategi dalam menghindari input tak terduga dari pengguna. Tolak input yang sudah diketahui berbahaya dan hanya menerima input dengan format yang diizinkan. Lakukan sanitasi atau pembersihan input dengan mekanisme validasi untuk membersihkan dari elemen yang berpotensi berbahaya, serta

Bab 8 Pengamanan Aplikasi (Application Security)

141

memastikan nilai dan ukuran input berada dalam batas yang diperbolehkan.

3. Mengelola Penyerang Perlu untuk menghadapi penyerang yang mencoba mengeksploitasi aplikasi. Cara yang dapat dilakukan adalah dengan menganalisis dan memantau error logs untuk mendeteksi aktivitas mencurigakan. Menggunakan Intrusion Detection System (IDS) atau firewall atau dengan memberikan rate limit pada server dan memblokir IP penyerang yang terdeteksi.

4. Mengelola Aplikasi Pengelolaan aplikasi yang dimaksud adalah dengan meninjau ulang mekanisme autentikasi yang digunakan, mengevaluasi kontrol

akses

dan

memastikan

bahwa

semua

sudah

diimplementasikan dengan tepat, serta memeriksa data yang berasal dari pengguna untuk mendeteksi serangan seperti XSS.

8.4 Serangan pada Aplikasi Sub bab ini akan membahas serangan umum yang terjadi pada aplikasi, khususnya aplikasi web.

8.4.1 SQL Injection SQL Injection adalah kerentanan yang sangat merusak karena memungkinkan penyerang untuk mendapatkan control langsung terhadap database, termasuk membaca, mengubah atau menghapus data. Pada tahun 2008 terjadi serangan massal; ribuan computer menjalankan SQL Server dan Internet Information Services (IIS) menjadi korban serangan SQL Injection.

142

Keamanan Informasi (Cyber Security)

Serangan ini memanfaatkan kelemahan pada kode Active Server Pages (ASP), berasal dari input pengguna yang tidak divalidasi dengan baik sebelum diteruskan ke query SQL. Akibatnya, banyak data sensitive terekspos dan system database pada server berhasil diakses secara illegal (Katz, 2004).

Cara kerja SQL injection adalah penyerang menyisipkan perintah SQL yang berbahaya ke dalam input aplikasi yang tidak diverifikasi dengan baik.

Gambar 8.8: Contoh query

Gambar 8.8 adalah contoh query yang rentan terhadap sql injection.

Penyerang dapat memberikan input berbahaya ke aplikasi, misalnya user’ OR ‘1’=’1’ – sehingga query dapat berubah menjadi seperti pada Gambar 8.9.

Gambar 8.9: Query yang diubah oleh input user

Dengan manipulasi sederhana oleh penyerang, autentikasi pada aplikasi dapat terlewati dan penyerang dapat mengakses data.

Untuk melihat mekanisme penyerangan SQL Injection, dapat menggunakan DVWA (Damn Vulnerable Web Apps), sebuah platform yang dapat digunakan untuk melakukan penetration testing.

Bab 8 Pengamanan Aplikasi (Application Security)

143

Gambar 8.10: source code pada DVWA

Pada form di DVWA, diberikan masukan %’ or ‘1’ =’1’, maka semua akun ditampilkan seperti pada Gambar 8.11.

Gambar 8.11: output pada DVWA

Untuk menghindari serangan ini, penting untuk dilakukan validasi dan sanitasi input untuk memeriksa format input dan memastikan tidak ada karakter berbahaya.

8.4.2 Session Hijacking Attack Serangan Session Hijacking melibatkan eksploitasi mekanisme kontrol atas sesi aplikasi (application sessio) di mana penyerang mencuri session token untuk mengambil alih sesi pengguna yang sah sehingga penyerang dapat

144

Keamanan Informasi (Cyber Security)

akses illegal ke server web. Session Token adaah string yang biasanya bersifat unik, digunakan untuk mengidentifikasi sesi pengguna yang sedang aktif.

Cara kerja session hijacking adalah penyerang mencuri session token pengguna melalui berbagai metode seperti: 1. Man-in-the-Middle: penyerang mencegat komunikasi antara klien dan server untuk mencuri token

Gambar 8.12: cara kerja man-in-the-middle attack

2. Cross-Site Scripting: penyerang memasukkan skrip berbahaya untuk mencuri token dari cookie.

Gambar 8.13: cara kerja XSS (stored-XSS)

Bab 8 Pengamanan Aplikasi (Application Security)

145

3. Session Sniffing Attack: penyerang menggunakan sniffer untuk mendapat session token

Gambar 8.14: cara kerja session sniffing attack

Pada DVWA, jika input pada form diberikan kode “<script> alert(document.cookie) </script>” maka output yang diberikan adalah cookie dalam bentuk pop up seperti pada Gambar 8.15.

Gambar 8.15: Output pada DVWA untuk XSS

Pencegahan session hijacking attack dapat dilakukan dengan menggunakan HTTPS, menerapkan secure cookie dengan menambahkan atribut HttpOnly atau Secure untuk mencegah akses skrip (XSS) serta timeout session untuk mengakhiri sesi secara otomatis pada periode tertentu.

146

Keamanan Informasi (Cyber Security)

Bab 9 Keamanan Internet of Things (IoT)

9.1 Pengantar Internet of Things (IoT) Internet of Things (IoT) adalah konsep yang sedang berkembang pesat dan mengubah cara kita berinteraksi dengan dunia di sekitar kita. Sederhananya, IoT mengacu pada jaringan objek fisik “benda” yang tertanam dengan sensor, perangkat lunak, dan teknologi lainnya untuk tujuan menghubungkan dan bertukar data dengan perangkat dan sistem lain melalui internet.

Bayangkan kulkas yang dapat memesan susu secara otomatis saat hampir habis, atau lampu jalan yang dapat menyesuaikan kecerahannya berdasarkan kondisi lalu lintas. Ini adalah contoh bagaimana IoT dapat membuat hidup kita lebih mudah dan efisien.

148

Keamanan Informasi (Cyber Security)

Berikut adalah beberapa komponen kunci dari IoT: 1. Perangkat: ini bisa berupa apa saja mulai dari sensor kecil hingga peralatan rumah tangga besar, yang dilengkapi dengan kemampuan untuk mengumpulkan dan mengirimkan data.

2. Konektivitas: perangkat IoT terhubung ke internet melalui berbagai cara, termasuk Wi-Fi, Bluetooth, dan jaringan seluler.

3. Pemrosesan Data: data yang dikumpulkan oleh perangkat IoT diproses dan dianalisis untuk mendapatkan wawasan yang berguna.

4. Antarmuka Pengguna: ini memungkinkan manusia untuk berinteraksi dengan perangkat IoT, misalnya melalui aplikasi smartphone atau platform web.

Bagaimana IoT beroperasional?

1. Pengumpulan Data: perangkat IoT mengumpulkan data dari lingkungan sekitarnya menggunakan sensor, seperti suhu, kelembaban, lokasi, atau gambar; 2. Koneksi: data ini ke-mudian dikirimkan melalui jaringan internet ke platform cloud; 3. Pemrosesan: di cloud, data diproses dan dianalisis untuk mengidentifikasi pola dan wawasan; 4. Tindakan: berdasarkan analisis data, sistem IoT dapat memicu tindakan tertentu, seperti mengirimkan peringat-an, mengontrol perangkat lain, atau memberikan rekomendasi 5. Antarmuka Pengguna: informasi disajikan kepada pengguna melalui aplikasi smartphone, dashboard, atau antarmuka lainnya, yang me-mungkinkan mereka untuk memantau dan mengontrol perangkat IoT.

Bab 9 Keamanan Internet of Things (IoT)

149

Manfaat IoT: 1. Efisiensi: otomatisasi tugas dan proses.

2. Peningkatan Produktivitas: optimalisasi operasi dan pengam-bilan keputusan yang lebih baik.

3. Pengalaman yang Dipersonalisasi: penyesuaian layanan dan produk.

4. Keamanan yang Ditingkatkan: pemantauan dan deteksi dini ancaman.

5. Inovasi: penciptaan produk dan layanan baru.

Meskipun IoT menawarkan banyak potensi, penting juga untuk mempertimbangkan tantangan seperti keamanan data, privasi, dan interoperabilitas. Namun, dengan perkembangan teknologi yang berkelanjutan, IoT diharapkan akan terus berkembang dan memberikan dampak yang lebih besar pada kehidupan kita di masa depan.

9.2 Arsitektur IoT: Lapisan dan Komponen Kunci Arsitektur IoT adalah kerangka kerja (framework) yang mendefinisikan bagaimana berbagai komponen dalam sistem IoT saling terhubung, berinteraksi, dan bekerja sama untuk mencapai tujuan tertentu. Memahami arsitektur ini sangat penting untuk merancang, mengembangkan, dan menerapkan solusi IoT yang efektif dan efisien. Secara umum, arsitektur IoT dapat dibagi menjadi beberapa lapisan, yang masing-masing memiliki fungsi dan tanggung jawab spesifik.

150

Keamanan Informasi (Cyber Security)

Meskipun terdapat variasi dalam jumlah dan pelabelan lapisan, berikut adalah model umum yang terdiri dari 4 (empat) lapisan: 1. Lapisan Perangkat (Perception Layer) a. Fungsi: lapisan ini bertanggung jawab untuk mengumpulkan data dari lingkungan fisik dan mengubahnya menjadi format digital. b. Komponen: • Sensor: mendeteksi dan mengukur berbagai parameter fisik seperti suhu, kelembaban, cahaya, tekanan, dan gerakan.

•

•

Aktuator: menerima perintah dari sistem dan melakukan tindakan fisik, seperti membuka pintu, menyalakan lampu, atau mengontrol motor.

Perangkat Tertanam: perangkat kecil dengan kemampuan komputasi dan komunikasi yang tertanam di dalam objek fisik.

2. Lapisan Jaringan (Network Layer) a. Fungsi: lapisan ini menyediakan infrastruktur komunikasi yang menghubungkan perangkat IoT ke internet dan satu sama lain. b. Komponen: • Gateway: menjembatani komunikasi antara perangkat IoT • •

dan jaringan internet.

Jaringan Komunikasi: berbagai teknologi jaringan seperti Wi-Fi, Bluetooth, Zigbee, LoRaWAN, dan jaringan seluler.

Protokol Komunikasi: standar komunikasi yang memungkin-kan perangkat IoT untuk bertukar data, seperti MQTT, CoAP, dan AMQP.

Bab 9 Keamanan Internet of Things (IoT)

151

3. Lapisan Platform (Application Layer) a. Fungsi: lapisan ini bertanggung jawab untuk memproses, meng-analisis, dan menyimpan data yang dikumpulkan dari perangkat IoT. b. Komponen: •

Platform IoT: platform cloud atau on-premise yang menyediakan layanan untuk manajemen perangkat, penyimpanan data, analisis data, dan visualisasi data.

•

Database: menyimpan data yang dikumpulkan dari perangkat IoT.

•

Alat Analisis: menganalisis data untuk mengidentifikasi pola, tren, dan anomali.

4. Lapisan Aplikasi (Business Layer) a. Fungsi: lapisan ini menyediakan antarmuka pengguna dan aplikasi yang memungkinkan manusia untuk berinteraksi dengan sistem IoT dan memanfaatkan data yang dihasilkan. b. Komponen: •

Aplikasi IoT: aplikasi mobile, laman, atau desktop yang memungkinkan pengguna untuk memantau, mengontrol, dan berinteraksi dengan perangkat IoT.

•

Dashboard: menampilkan data dan informasi secara visual untuk memudahkan pemantauan dan analisis.

•

API: antarmuka pemrograman aplikasi memungkinkan integrasi dengan sistem lain.

yang

152

Keamanan Informasi (Cyber Security)

Komponen Kunci Lainnya: 1. Keamanan: mekanisme keamanan untuk melindungi data dan perangkat IoT dari ancaman siber.

2. Manajemen Perangkat: alat dan proses untuk mengelola dan memantau perangkat IoT. 3. Interoperabilitas: kemampuan perangkat dan sistem IoT dari vendor yang berbeda untuk berkomunikasi dan bekerja sama.

Dengan memahami arsitektur dan komponen kunci IoT, Anda dapat merancang solusi IoT yang lebih efektif, efisien, dan aman.

9.3 Sensor dan Perangkat IoT: Teknologi dan Kemampuan Sensor dan perangkat IoT adalah konsep fundamenta dari IoT. Mereka bertindak sebagai jembatan antara dunia fisik dan dunia digital, memungkinkan kita untuk mengumpulkan data dari lingkungan sekitar dan mengubahnya menjadi informasi yang berguna.

9.3.1 Sensor IoT Sensor adalah perangkat yang mendeteksi dan mengukur perubahan fisik atau lingkungan, seperti suhu, tekanan, cahaya, atau gerakan. Mereka kemudian mengubah informasi ini menjadi sinyal digital yang dapat diproses oleh perangkat lain.

Berikut beberapa jenis sensor IoT yang umum digunakan: 1. Sensor Suhu: mengukur suhu suatu objek atau lingkungan.

Contoh: termokopel, termistor.

2. Sensor Kelembaban: mengukur jumlah uap air di udara.

3. Sensor Tekanan: mengukur tekanan suatu fluida atau gas.

Bab 9 Keamanan Internet of Things (IoT)

153

4. Sensor Cahaya: mendeteksi intensitas cahaya. Contoh: fotodioda, fotoresistor.

5. Sensor Proximity: mendeteksi keberadaan objek di dekatnya tanpa kontak fisik. Contoh: sensor ultrasonik, sensor inframerah.

6. Sensor Akselerometer: mengukur percepatan atau getaran suatu objek.

7. Sensor Giroskop: mengukur orientasi dan rotasi suatu objek.

8. Sensor GPS: menentukan lokasi geografis suatu objek.

9.3.2 Perangkat IoT Perangkat IoT adalah objek fisik yang dilengkapi dengan sensor, perangkat lunak, dan konektivitas jaringan untuk mengumpulkan dan bertukar data.

Mereka dapat berupa perangkat yang sederhana seperti sensor suhu yang terhubung ke internet, atau perangkat yang lebih kompleks seperti mobil otonom.

Berikut beberapa contoh perangkat IoT: 1. Perangkat yang Dapat Dikenakan (wearables): jam tangan pintar, pelacak kebugaran, kacamata pintar.

2. Peralatan Rumah Tangga: kulkas pintar, mesin cuci pintar, termostat pintar.

3. Sistem Keamanan Rumah: kamera keamanan, sensor pintu dan jendela, alarm.

4. Kendaraan: mobil terhubung, sistem pelacakan kendaraan.

5. Peralatan Industri: mesin produksi, robot, sensor lingkungan.

154

Keamanan Informasi (Cyber Security)

9.3.3 Teknologi dan Kemampuan Sensor dan perangkat IoT didukung oleh berbagai teknologi, termasuk: 1. Mikroprosesor: untuk memproses data dan mengontrol perangkat.

2. Konektivitas Nirkabel: Wi-Fi, Bluetooth, Zigbee, LoRa-WAN, dan jaringan seluler untuk komunikasi data.

3. Teknologi Energi Rendah: untuk memperpanjang masa pakai baterai perangkat IoT. 4. Cloud Computing: untuk penyimpanan dan pemrosesan data.

5. Kecerdasan Buatan (AI): untuk analisis data dan pengambilan keputusan yang cerdas.

Kemampuan Sensor dan Perangkat IoT: 1. Pemantauan: mengumpulkan data secara real-time tentang berbagai parameter.

2. Kontrol: mengontrol perangkat dan sistem dari jarak jauh.

3. Otomatisasi: mengotomatiskan tugas dan proses.

4. Optimalisasi: meningkatkan efisiensi dan produktivitas.

5. Analisis: menganalisis data untuk mendapatkan wawasan yang berharga.

Dengan perkembangan teknologi yang pesat, sensor dan perangkat IoT menjadi semakin canggih, membuka peluang baru untuk inovasi di berbagai bidang.

Bab 9 Keamanan Internet of Things (IoT)

155

9.4 Integrasi Keamanan dalam Siklus Hidup IoT Keamanan siber merupakan aspek krusial dalam pengembangan dan penerapan IoT. Mengingat IoT melibatkan jaringan perangkat yang saling terhubung dan bertukar data sensitif, mengintegrasikan keamanan di setiap tahap siklus hidup IoT menjadi sangat penting.

Berikut adalah bagaimana keamanan dapat diintegrasikan ke dalam setiap fase siklus hidup IoT: 1. Fase Desain dan Pengembangan a. Keamanan by Design: mempertimbangkan keamanan sejak awal proses desain, bukan sebagai tambahan. b. Pemilihan Hardware yang Aman: memilih komponen perangkat keras yang memiliki fitur keamanan bawaan, seperti secure element dan modul platform terpercaya (TPM). c. Pengembangan Perangkat Lunak yang Aman: menerapkan praktik pengkodean yang aman, melakukan pengujian keamanan secara teratur, dan menggunakan kerangka kerja keamanan perangkat lunak. d. Autentikasi dan Otorisasi: menerapkan mekanisme autentikasi yang kuat untuk memverifikasi identitas perangkat dan pengguna, serta mekanisme otorisasi untuk mem-batasi akses ke data dan fungsi. e. Enkripsi: melindungi data saat transit dan saat istirahat dengan menggunakan algoritma enkripsi yang kuat. f.

Minimalisasi Permukaan Serangan: membatasi jumlah layanan dan port yang terbuka pada perangkat IoT, dan menonaktifkan fitur yang tidak perlu.

156

Keamanan Informasi (Cyber Security)

2. Fase Produksi dan Pengujian a. Pengujian Keamanan: melakukan pengujian keamanan yang komprehensif, termasuk pengujian penetrasi dan analisis kerentanan, untuk mengidentifikasi dan memperbaiki celah keamanan sebelum perangkat diproduksi. b. Validasi Keamanan: memastikan bahwa perangkat IoT memenuhi standar keamanan yang relevan dan persyaratan peraturan. c. Manajemen Konfigurasi: menerapkan konfigurasi keamanan yang tepat pada perangkat IoT dan menjaga agar tetap mutakhir.

3. Fase Penerapan dan Penyebaran a. Secure Boot: memastikan bahwa perangkat IoT hanya menjalankan perangkat lunak tepercaya saat dinyalakan. b. Pembaruan Firmware yang Aman: menerapkan mekanisme untuk memperbarui firmware perangkat IoT dengan aman dan efisien. c. Segmentasi Jaringan: memisahkan jaringan IoT dari jaringan internal lainnya untuk membatasi dampak potensial dari pelang-garan keamanan. d. Pemantauan Keamanan: memantau jaringan IoT secara terusmenerus untuk mendeteksi aktivitas yang mencurigakan dan me-respons insiden keamanan dengan cepat.

4. Fase Operasi dan Pemeliharaan a. Manajemen Kerentanan: mengidentifikasi dan memperbaiki kerentanan keamanan baru secara proaktif. b. Analisis Log: menganalisis log keamanan mengidentifikasi tren, anomali, dan potensi ancaman.

untuk

Bab 9 Keamanan Internet of Things (IoT)

157

c. Penilaian Risiko: menilai risiko keamanan secara berkala dan menyesuaikan strategi keamanan sesuai kebutuhan. d. Pelatihan Keamanan: memberikan pelatihan kepada pengguna tentang praktik keamanan terbaik dan kesadaran akan ancaman siber.

5. Fase Penonaktifan Penghapusan Data yang Aman: memastikan bahwa data sensitif dihapus secara aman dari perangkat IoT sebelum dinonaktifkan atau dibuang.

Dengan mengintegrasikan keamanan ke dalam setiap fase siklus hidup IoT, kita dapat membangun sistem IoT yang lebih aman dan tangguh, melindungi data sensitif, dan menjaga privasi pengguna.

9.5 Komunikasi IoT: Protokol dan Standar Komunikasi dalam ekosistem IoT sangat penting untuk memungkinkan perangkat yang beragam untuk saling terhubung dan bertukar informasi.

Protokol dan standar komunikasi IoT berperan krusial dalam memastikan interoperabilitas, efisiensi, dan keamanan dalam jaringan IoT.

9.5.1 Protokol Komunikasi IoT Protokol komunikasi IoT adalah seperangkat aturan dan spesifikasi yang mengatur bagaimana perangkat IoT berkomunikasi satu sama lain.

Berikut adalah beberapa protokol komunikasi IoT yang umum digunakan: 1. MQTT (Message Queuing Telemetry Transport): protokol ringan dan hemat daya yang di rancang untuk komunikasi machine-to-

158

Keamanan Informasi (Cyber Security)

machine (M2M) dan IoT. MQTT sering digunakan dalam skenario di mana bandwidth terbatas dan koneksi tidak stabil.

2. CoAP (Constrained Application Protocol): protokol laman transfer yang dioptimalkan untuk perangkat dengan sumber daya terbatas. CoAP sering digunakan dalam jaringan sensor nirkabel dan perangkat IoT berdaya rendah.

3. HTTP/HTTPS (Hypertext Transfer Protocol/Secure): pro-tokol yang umum digunakan untuk komunikasi laman, juga dapat digunakan dalam IoT, terutama untuk perangkat yang memiliki sumber daya lebih besar dan membutuhkan keamanan yang kuat.

4. AMQP (Advanced Message Queuing Protocol): protokol antrean pesan yang andal dan fleksibel, sering digunakan dalam aplikasi IoT yang membutuhkan pengiriman pesan yang terjamin dan interoperabilitas antar platform.

5. DDS (Data Distribution Service): protokol komunikasi real-time yang dirancang untuk aplikasi yang membutuhkan latensi rendah dan throughput tinggi, seperti kendaraan otonom dan sistem kontrol industri.

6. Bluetooth: teknologi nirkabel jarak pendek yang umum digunakan untuk menghubungkan perangkat IoT seperti smartphone, wearable devices, dan sensor.

7. Zigbee: teknologi nirkabel mesh yang hemat daya dan cocok untuk jaringan sensor dan perangkat IoT berdaya rendah.

8. LoRaWAN: teknologi jaringan area luas berdaya rendah yang di rancang untuk komunikasi jarak jauh dengan konsumsi daya minimal.

Bab 9 Keamanan Internet of Things (IoT)

159

9.5.2 Standar Komunikasi IoT Selain protokol, terdapat juga standar komunikasi IoT yang dikembangkan oleh berbagai organisasi untuk memastikan interoperabilitas dan keamanan.

Beberapa standar yang penting meliputi: 1. IEEE 802.15.4: standar untuk komunikasi nirkabel jarak pendek berdaya rendah, yang menjadi dasar bagi protokol seperti Zigbee dan 6LoWPAN. 2. IETF 6LoWPAN: standar yang memungkinkan protokol IPv6 digunakan pada jaringan berdaya rendah dan lossy, seperti jaringan sensor nirkabel.

3. oneM2M: standar global untuk platform IoT yang bertujuan untuk menciptakan kerangka kerja umum untuk interoperabilitas antar perangkat dan aplikasi IoT. 4. Industrial Internet Consortium (IIC): organisasi yang mengembangkan standar dan arsitektur referensi untuk Industrial Internet of Things (IIoT).

9.5.3 Pemilihan Protokol dan Standar Pemilihan protokol dan standar komunikasi IoT yang tepat bergantung pada berbagai faktor, termasuk: 1. Kebutuhan aplikasi: latensi, throughput, keandalan, dan keamanan.

2. Jenis perangkat: sumber daya perangkat, daya pemrosesan, dan memori.

3. Jaringan: jenis jaringan, jangkauan, dan bandwidth.

4. Biaya: biaya implementasi dan pemeliharaan.

160

Keamanan Informasi (Cyber Security)

Dengan memahami protokol dan standar komunikasi IoT, pengembang dapat membangun solusi IoT yang lebih efisien, interoperable, dan aman.

9.6 Keamanan dalam IoT: Tantangan dan Ancaman IoT menjanjikan banyak manfaat, tetapi juga menghadirkan tan-tangan keamanan yang signifikan. Jaringan perangkat yang saling terhubung ini rentan terhadap berbagai ancaman siber, yang dapat membahayakan data sensitif, privasi, dan bahkan keselamatan fisik.

9.6.1 Tantangan Keamanan IoT 1. Skala dan Kompleksitas: jaringan IoT seringkali terdiri dari jutaan perangkat yang beragam dengan kemampuan dan konfigurasi yang berbeda. Hal ini menyulitkan untuk menerap-kan dan mengelola keamanan secara konsisten di seluruh jaringan.

2. Keterbatasan Sumber Daya: banyak perangkat IoT me-miliki sumber daya yang terbatas, seperti daya pemrosesan, memori, dan daya baterai. Hal ini membatasi kemampuan mereka untuk menerapkan mekanisme keamanan yang kuat.

3. Kurangnya Standar Keamanan: kurangnya standar keamanan yang seragam di industri IoT dapat menyebabkan inkonsistensi dan kerentanan dalam implementasi keamanan.

4. Siklus Hidup Perangkat yang Panjang: perangkat IoT seringkali memiliki siklus hidup yang panjang, yang berarti mereka mungkin perlu didukung dan diamankan selama bertahun-tahun, bahkan setelah teknologi keamanan baru muncul.

Bab 9 Keamanan Internet of Things (IoT)

161

5. Kurangnya Kesadaran Keamanan: banyak pengguna dan produsen perangkat IoT tidak memiliki kesadaran yang cukup tentang risiko keamanan dan praktik keamanan terbaik.

9.6.2 Ancaman Keamanan IoT 1. Akses Tidak Sah: Peretas dapat mengeksploitasi kerentanan untuk mendapatkan akses tidak sah ke perangkat IoT dan mencuri data, memanipulasi fungsi, atau meluncurkan serangan lebih lanjut.

2. Malware dan Botnet: Perangkat IoT dapat terinfeksi malware dan direkrut menjadi botnet, yang dapat digunakan untuk meluncurkan serangan DDoS, menam-bang cryptocurrency, atau menyebarkan spam.

3. Pencurian Data: data sensitif yang dikumpulkan dan ditransmisikan oleh perangkat IoT, seperti informasi pribadi, data kesehatan, atau data keuangan, dapat dicuri dan disalah gunakan.

4. Serangan Man-in-the-Middle: penyerang dapat mencegat komunikasi antara perangkat IoT untuk mencuri data atau memanipulasi informasi.

5. Spoofing dan Pemalsuan: penyerang dapat memalsukan iden-titas perangkat atau pengguna untuk mendapatkan akses tidak sah ke sistem atau data.

6. Serangan Denial-of-Service (DoS): perangkat IoT dapat men-jadi sasaran serangan DoS, yang dapat mengganggu layanan dan menyebabkan kerusakan atau kerugian finansial.

7. Serangan terhadap Privasi: data yang dikumpulkan oleh perangkat IoT dapat digunakan untuk melacak dan memantau aktivitas pengguna, yang melanggar privasi mereka.

162

Keamanan Informasi (Cyber Security)

9.6.3 Mitigasi Ancaman Untuk memitigasi ancaman keamanan IoT, penting untuk: 1. Menerapkan Keamanan by Design: mempertimbangkan keamanan sejak awal proses desain dan pengembangan perang-kat IoT. 2. Menggunakan Standar Keamanan: mengikuti standar ke-amanan yang relevan dan praktik terbaik.

3. Memperbarui Perangkat Lunak: memastikan perangkat IoT diperbarui dengan patch keamanan terbaru.

4. Menggunakan Autentikasi yang Kuat: menerapkan meka-nisme autentikasi yang kuat untuk memverifikasi identitas perangkat dan pengguna.

5. Mengenkripsi Data: melindungi data saat transit dan saat istirahat dengan menggunakan enkripsi.

6. Memantau Jaringan: memantau jaringan IoT secara terus-menerus untuk mendeteksi aktivitas yang mencurigakan.

7. Meningkatkan Kesadaran Keamanan: mendidik pengguna dan produsen tentang risiko keamanan dan praktik keamanan ter-baik.

Dengan mengatasi tantangan dan ancaman keamanan IoT, kita dapat memanfaatkan potensi penuh teknologi ini sambil meminimalkan risiko.

9.7 Autentikasi dan Otorisasi pada IoT Autentikasi dan otorisasi adalah 2 (dua) elemen kunci dalam sistem keamanan IoT. Keduanya berperan penting dalam melindungi perangkat, data, dan jaringan dari akses yang tidak sah dan ancaman siber.

Bab 9 Keamanan Internet of Things (IoT)

163

9.7.1 Autentikasi Autentikasi adalah proses memverifikasi identitas perangkat atau pengguna yang mencoba mengakses sistem IoT. Tujuannya adalah untuk memastikan bahwa hanya entitas yang berwenang yang dapat terhubung dan berinteraksi dengan sistem.

Metode Autentikasi dalam IoT: 1. Kunci pra-bagi (pre-shared keys): perangkat dan server berbagi kunci rahasia yang digunakan untuk autentikasi.

2. Token: perangkat diberikan token unik yang digunakan untuk mengautentikasi setiap permintaan.

3. Sertifikat digital: sertifikat digital digunakan untuk mem-verifikasi identitas perangkat dan server.

4. Biometrik: sidik jari, pemindaian wajah, atau pemindaian iris mata dapat digunakan untuk mengautentikasi pengguna.

5. Autentikasi dua faktor (2FA): menggabungkan dua metode autentikasi, seperti kata sandi dan kode OTP, untuk meningkatkan keamanan.

9.7.2 Otorisasi Otorisasi adalah proses menentukan izin dan hak akses yang diberikan kepada perangkat atau pengguna setelah diautentikasi. Tujuannya adalah untuk membatasi akses ke data dan fungsi hanya kepada mereka yang memiliki izin yang tepat.

Metode Otorisasi dalam IoT: 1. Kontrol Akses Berbasis Peran (RBAC): memberikan berdasarkan peran pengguna atau perangkat dalam sistem.

izin

2. Kontrol Akses Berbasis Atribut (ABAC): memberikan izin berdasarkan atribut pengguna, perangkat, atau sumber daya.

164

Keamanan Informasi (Cyber Security)

3. Daftar Kontrol Akses (ACL): daftar yang menentukan izin akses untuk setiap pengguna atau perangkat.

9.7.3 Implementasi Autentikasi dan Otorisasi dalam IoT Implementasi autentikasi dan otorisasi dalam IoT dapat bervariasi tergantung pada kebutuhan dan karakteristik sistem.

Beberapa pertimbangan penting meliputi: 1. Keamanan Protokol Komunikasi: menggunakan protokol komunikasi yang aman seperti MQTT dengan TLS/SSL atau HTTPS untuk melindungi data selama transmisi.

2. Keamanan Perangkat: menerapkan mekanisme keamanan pada perangkat itu sendiri, seperti secure boot dan secure element untuk mencegah akses tidak sah.

3. Manajemen Identitas dan Akses (IAM): menggunakan platform IAM untuk mengelola identitas dan izin peng-guna dan perangkat secara terpusat.

4. Pemantauan dan Audit: memantau aktivitas jaringan dan perangkat untuk mendeteksi akses yang tidak sah dan melakukan audit keamanan secara teratur.

Contoh Skenario : 1. Rumah Pintar: pengguna diautentikasi menggunakan kata sandi atau biometrik untuk mengakses sistem rumah pintar. Otorisasi menentukan perangkat mana yang dapat mereka kontrol dan data apa yang dapat mereka akses.

2. Kendaraan Terhubung: kendaraan diautentikasi meng-gunakan sertifikat digital untuk berkomunikasi dengan server. Otorisasi menentukan fungsi mana yang dapat diakses oleh pengguna atau aplikasi, seperti membuka kunci pintu atau menyalakan mesin.

Bab 9 Keamanan Internet of Things (IoT)

165

3. Kesehatan: perangkat medis yang dapat dikenakan di-autentikasi menggunakan token untuk mengirimkan data ke platform kesehatan. Otorisasi memastikan bahwa hanya profesional medis yang berwenang yang dapat mengakses data pasien.

Dengan menerapkan autentikasi dan otorisasi yang kuat, sistem IoT dapat lebih terlindungi dari ancaman siber dan menjaga keamanan data dan privasi pengguna.

9.8 Enkripsi dan Perlindungan Data IoT Enkripsi dan perlindungan data adalah komponen penting dalam mengamankan ekosistem IoT. Mengingat perangkat IoT sering kali mengumpulkan dan mengirimkan data sensitif melalui jaringan yang rentan, langkah-langkah untuk melindungi data ini dari akses yang tidak sah dan ancaman siber menjadi sangat penting.

9.8.1 Enkripsi Enkripsi adalah proses mengubah data menjadi format yang tidak dapat dibaca (ciphertext) tanpa kunci dekripsi yang sesuai. Ini memastikan bahwa bahkan jika data di oleh pihak yang tidak berwenang dan mempunyai otorisasi, mereka tidak akan dapat memahami atau mengeksploitasinya.

Jenis Enkripsi dalam IoT: 1. Enkripsi Simetris: menggunakan kunci yang sama untuk enkripsi dan dekripsi. Cocok untuk perangkat dengan sumber daya terbatas. Contoh: AES. 2. Enkripsi Asimetris: menggunakan dua kunci, kunci publik untuk enkripsi dan kunci privat untuk dekripsi. Menawarkan keamanan yang lebih kuat tetapi membutuhkan lebih banyak sumber daya.

Contoh: RSA.

166

Keamanan Informasi (Cyber Security)

Penerapan Enkripsi dalam IoT: 1. Enkripsi Data saat Transit: melindungi data saat ditrans-misikan melalui jaringan, misalnya antara perangkat IoT dan platform cloud.

2. Enkripsi Data saat Istirahat: melindungi data yang disimpan di perangkat IoT atau di penyimpanan cloud.

3. Enkripsi end-to-end: mengenkripsi data dari titik awal hingga titik akhir, memastikan bahwa hanya pengirim dan penerima yang berwenang yang dapat mengakses data tersebut.

9.8.2 Perlindungan Data IoT Selain enkripsi, ada berbagai langkah lain yang dapat diambil untuk melindungi data IoT: 1. Autentikasi dan Otorisasi: memastikan bahwa hanya perang-kat dan pengguna yang berwenang yang dapat mengakses sistem dan data IoT. 2. Segmentasi Jaringan: memisahkan jaringan IoT dari jaringan internal lainnya untuk membatasi dampak potensial dari pelanggaran keamanan.

3. Firewall: memblokir akses yang tidak sah ke perangkat dan jaringan IoT. 4. Intrusion Detection and Prevention Systems (IDPS): mendeteksi dan mencegah aktivitas yang mencurigakan di jaringan IoT. 5. Secure Boot: memastikan bahwa perangkat IoT hanya menjalankan perangkat lunak tepercaya saat dinyalakan.

6. Pembaruan Firmware: memperbarui perangkat lunak perangkat IoT dengan patch keamanan terbaru untuk memperbaiki kerentanan.

Bab 9 Keamanan Internet of Things (IoT)

167

7. Manajemen Kerentanan: mengidentifikasi dan memperbaiki kerentanan keamanan baru secara proaktif.

8. Analisis Log: menganalisis log keamanan untuk mengidentifikasi tren, anomali, dan potensi ancaman.

9. Penilaian Risiko: menilai risiko keamanan secara berkala dan menyesuaikan strategi keamanan sesuai kebutuhan.

9.8.3 Standar dan Regulasi Ada berbagai standar dan regulasi yang relevan dengan enkripsi dan perlindungan data IoT, seperti: 1. General Data Protection Regulation (GDPR): regulasi Uni Eropa yang mengatur perlindungan data pribadi.

2. California Consumer Privacy Act (CCPA): Undang-undang California yang memberikan hak privasi data kepada konsumen.

3. Payment Card Industry Data Security Standard (PCI DSS): standar keamanan untuk melindungi data kartu pembayaran.

Dengan menerapkan enkripsi dan langkah-langkah perlindungan data lainnya, organisasi dapat membangun sistem IoT yang lebih aman dan tangguh, melindungi data sensitif, dan menjaga privasi pengguna.

9.9 Keamanan Aplikasi dan Layanan IoT Keamanan aplikasi dan layanan IoT merupakan lapisan per-lindungan penting dalam ekosistem Internet of Things. Karena aplikasi dan layanan ini bertindak sebagai antarmuka antara pengguna dan perangkat IoT, serta memproses dan menyimpan data sensitif, mengamankan mereka dari ancaman siber sangatlah penting.

168

Keamanan Informasi (Cyber Security)

9.9.1 Keamanan Aplikasi IoT Aplikasi IoT mencakup aplikasi mobile, laman, atau desktop yang memungkinkan pengguna untuk berinteraksi dengan perangkat IoT, memantau data, dan mengontrol fungsi.

Beberapa praktik keamanan aplikasi IoT yang penting meliputi: 1. Pengembangan

Aman:

menerapkan

praktik

pengembangan

perangkat lunak yang aman, seperti validasi input, penanganan kesalahan, dan pengujian keamanan, untuk mencegah kerentanan.

2. Autentikasi dan Otorisasi: memastikan bahwa hanya pengguna yang berwenang yang dapat mengakses aplikasi dan data IoT dengan menerapkan mekanisme autentikasi yang kuat dan kontrol akses berbasis peran.

3. Perlindungan Data: melindungi data sensitif yang diproses dan disimpan oleh aplikasi dengan menggunakan enkripsi dan teknik perlindungan data lainnya.

4. API Security: mengamankan antarmuka pemrograman aplikasi (API) yang digunakan oleh aplikasi untuk berkomu-nikasi dengan perangkat dan layanan IoT, dengan meng-gunakan autentikasi API, otorisasi, dan perlindungan terhadap serangan injeksi.

5. Pengujian Keamanan: melakukan pengujian keamanan aplikasi secara teratur, termasuk pengujian penetrasi dan analisis kerentanan, untuk mengidentifikasi dan memper-baiki celah keamanan.

9.9.2 Keamanan Layanan IoT Layanan IoT mencakup platform cloud, database, dan layanan lainnya yang mendukung fungsi dan konektivitas perangkat IoT.

Bab 9 Keamanan Internet of Things (IoT)

169

Keamanan layanan IoT yang kuat meliputi: 1. Keamanan Cloud: memilih penyedia cloud yang aman dan menerapkan kontrol keamanan cloud yang tepat, seperti enkripsi data, manajemen akses, dan pemantauan keamanan.

2. Keamanan Database: mengamankan database yang menyimpan data IoT dengan menggunakan enkripsi data, kontrol akses, dan audit keamanan.

3. Keamanan Jaringan: mengamankan jaringan yang menghubungkan perangkat IoT dan layanan dengan menggunakan firewall, segmentasi jaringan, dan protokol komunikasi yang aman.

4. Manajemen Kerentanan: memantau dan memperbaiki kerentanan keamanan dalam layanan IoT secara proaktif.

5. Pemulihan Bencana: menerapkan rencana pemulihan bencana untuk memastikan kontinuitas layanan jika terjadi insiden keamanan atau bencana alam.

Praktik Terbaik Keamanan Aplikasi dan Layanan IoT: 1. Minimalkan Permukaan Serangan: Membatasi jumlah layan-an dan port yang terbuka pada perangkat dan aplikasi IoT. 2. Terapkan Prinsip Least Privilege: memberikan akses mini-mal yang diperlukan kepada pengguna dan perangkat.

3. Pantau Aktivitas: memantau aktivitas jaringan dan aplikasi untuk mendeteksi anomali dan potensi ancaman.

4. Perbarui Perangkat Lunak: memperbarui perangkat lunak aplikasi dan layanan secara teratur dengan patch keamanan terbaru.

5. Latih Pengguna: mendidik pengguna tentang praktik keamanan terbaik dan kesadaran akan ancaman siber.

170

Keamanan Informasi (Cyber Security)

Dengan mengamankan aplikasi dan layanan IoT, organisasi dapat membangun sistem IoT yang lebih tangguh dan melindungi data sensitif dari akses yang tidak sah dan ancaman siber.

9.10 Solusi Keamanan End-to-End untuk IoT Solusi keamanan end-to-end untuk IoT adalah pendekatan holistik yang mencakup semua lapisan ekosistem IoT, mulai dari perangkat hingga aplikasi, untuk melindungi data dan mencegah ancaman siber. Pendekatan ini mengakui bahwa keamanan bukan hanya tanggung jawab satu komponen, tetapi memerlukan integrasi dan koordinasi di seluruh sistem.

Komponen Utama Solusi Keamanan End-to-End: 1. Keamanan Perangkat: a. Secure Boot: memastikan perangkat hanya menjalankan perangkat lunak tepercaya saat dinyalakan. b. Secure Firmware Updates: memungkinkan pembaruan firmware yang aman dan mencegah instalasi perangkat lunak yang tidak sah. c. Enkripsi Data: melindungi data yang disimpan di perangkat dan data yang ditransmisikan. d. Hardware Security Modules (HSMs): menyimpan dan mengelola kunci kriptografi dengan aman. e. Physical Tamper Protection: melindungi perangkat dari akses fisik yang tidak sah.

Bab 9 Keamanan Internet of Things (IoT)

171

2. Keamanan Jaringan: a. Protokol Komunikasi yang Aman: menggunakan protokol seperti MQTT dengan TLS/SSL atau HTTPS untuk enkripsi dan autentikasi. b. Segmentasi Jaringan: memisahkan jaringan IoT dari jaringan lain untuk membatasi dampak pelanggaran. c. Firewall: memblokir akses yang tidak sah ke perangkat dan jaringan. d. Intrusion Detection and Prevention Systems (IDPS): mendeteksi dan mencegah aktivitas yang mencurigakan. e. Virtual Private Networks (VPNs): mengamankan komuni-kasi antara perangkat dan jaringan.

3. Keamanan Aplikasi dan Layanan: a. Pengembangan Aman: menerapkan praktik pengembangan yang aman untuk mencegah kerentanan. b. Autentikasi dan Otorisasi: memastikan hanya pengguna yang berwenang yang dapat mengakses aplikasi dan data. c. API Security: mengamankan API yang digunakan untuk komunikasi. d. Perlindungan Data: melindungi data sensitif dengan enkripsi dan teknik lainnya. e. Keamanan Cloud: menerapkan kontrol keamanan cloud yang f.

tepat.

Keamanan Database: mengamankan database yang menyimpan data IoT.

4. Manajemen Identitas dan Akses: a. Memberikan identitas unik kepada setiap perangkat dan pengguna. b. Mengelola siklus hidup identitas dan izin akses.

172

Keamanan Informasi (Cyber Security)

c. Menggunakan platform IAM untuk manajemen terpusat.

5. Pemantauan dan Analisis Keamanan: a. Memantau aktivitas jaringan dan perangkat untuk men-deteksi anomali. b. Menganalisis log keamanan untuk mengidentifikasi potensi ancaman. c. Menggunakan alat keamanan untuk visualisasi dan analisis data keamanan.

6. Pembaruan dan Perbaikan Keamanan: a. Memperbarui perangkat lunak perangkat dan aplikasi dengan patch keamanan terbaru. b. Memantau dan memperbaiki kerentanan keamanan secara proaktif. c. Menerapkan rencana pemulihan bencana untuk memastikan kontinuitas layanan.

Manfaat Solusi Keamanan End-to-End: 1. Perlindungan Data yang Komprehensif: melindungi data di semua lapisan ekosistem IoT. 2. Pencegahan Ancaman Siber: mencegah berbagai ancaman, termasuk akses tidak sah, malware, dan serangan DoS. 3. Peningkatan Kepercayaan dan Privasi: meningkatkan kepercayaan pengguna dan melindungi privasi mereka.

4. Kepatuhan terhadap Regulasi: membantu organisasi mema-tuhi regulasi keamanan dan privasi data.

5. Peningkatan Ketahanan: membuat sistem IoT lebih tangguh terhadap serangan dan gangguan.

Dengan menerapkan solusi keamanan end-to-end, organisasi dapat membangun sistem IoT yang aman, andal, dan terpercaya.

Bab 9 Keamanan Internet of Things (IoT)

173

9.11 Integrasi Keamanan dalam Siklus Hidup IoT Integrasi keamanan dalam siklus hidup IoT adalah pendekatan proaktif untuk membangun sistem IoT yang aman dan tangguh. Dengan mempertimbangkan keamanan di setiap tahap, mulai dari desain hingga penonaktifan, organisasi dapat meminimalkan risiko, melindungi data, dan menjaga privasi pengguna.

1. Fase Desain dan Pengembangan a. Keamanan by Design: membangun keamanan sejak awal proses desain, bukan sebagai tambahan. b. Analisis Risiko: mengidentifikasi potensi ancaman dan kerentanan sejak dini. c. Pemilihan Komponen yang Aman: memilih perangkat keras dan perangkat lunak dengan fitur keamanan bawaan. d. Pengembangan Perangkat Lunak yang Aman: menerapkan praktik pengkodean yang aman dan melakukan pengujian keamanan secara teratur. e. Autentikasi dan Otorisasi: menerapkan mekanisme untuk mem-verifikasi identitas perangkat dan pengguna, serta mengontrol akses ke data dan fungsi. f.

Enkripsi: melindungi data saat transit dan saat istirahat dengan menggunakan algoritma enkripsi yang kuat. g. Minimalisasi Permukaan Serangan: membatasi jumlah layanan dan port yang terbuka, dan menonaktifkan fitur yang tidak perlu.

174

Keamanan Informasi (Cyber Security)

2. Fase Produksi dan Pengujian a. Pengujian Keamanan: melakukan pengujian keamanan yang komprehensif, termasuk pengujian penetrasi dan analisis keren-tanan. b. Validasi Keamanan: memastikan bahwa perangkat IoT memenuhi standar keamanan yang relevan dan persyaratan peraturan. c. Manajemen Konfigurasi: menerapkan konfigurasi keamanan yang tepat pada perangkat IoT dan menjaga agar tetap mutakhir. d. Kontrol Kualitas: memastikan bahwa proses produksi memenuhi standar kualitas dan keamanan.

3. Fase Penerapan dan Penyebaran a. Secure Boot: memastikan bahwa perangkat IoT hanya menjalankan perangkat lunak tepercaya saat dinyalakan. b. Pembaruan Firmware yang Aman: menerapkan mekanisme untuk memperbarui firmware perangkat IoT dengan aman dan efisien. c. Segmentasi Jaringan: memisahkan jaringan IoT dari jaringan internal lainnya untuk membatasi dampak potensial dari pelang-garan keamanan. d. Pemantauan Keamanan: memantau jaringan IoT secara terusmenerus untuk mendeteksi aktivitas yang mencurigakan dan merespons insiden keamanan dengan cepat. e. Keamanan Fisik: melindungi perangkat IoT dari akses fisik yang tidak sah dan kerusakan.

4. Fase Operasi dan Pemeliharaan a. Manajemen Kerentanan: mengidentifikasi dan memperbaiki ke-rentanan keamanan baru secara proaktif.

Bab 9 Keamanan Internet of Things (IoT)

175

b. Analisis Log: menganalisis log keamanan untuk mengidentifikasi tren, anomali, dan potensi ancaman. c. Penilaian Risiko: menilai risiko keamanan secara berkala dan menyesuaikan strategi keamanan sesuai kebutuhan. d. Pelatihan Keamanan: memberikan pelatihan kepada pengguna tentang praktik keamanan terbaik dan kesadaran akan ancaman siber. e. Insiden Response: memiliki rencana untuk menangani insiden keamanan dengan cepat dan efektif.

5. Fase Penonaktifan a. Penghapusan Data yang Aman: memastikan bahwa data sensitif dihapus secara aman dari perangkat IoT sebelum dinonaktifkan atau dibuang. b. Pembuangan Perangkat yang Aman: memastikan bahwa perangkat IoT dibuang dengan cara yang bertanggung jawab dan aman untuk mencegah kebocoran data.

Manfaat Integrasi Keamanan: 1. Mengurangi Risiko Keamanan: meminimalkan risiko ancaman siber dan melindungi data sensitif.

2. Meningkatkan Kepercayaan: meningkatkan kepercayaan pengguna dan pelanggan terhadap keamanan sistem IoT. 3. Mematuhi Regulasi: membantu organisasi mematuhi peraturan keamanan dan privasi data.

4. Mengurangi Biaya: mencegah kerugian finansial dan kerusakan reputasi yang disebabkan oleh insiden keamanan.

Dengan mengintegrasikan keamanan ke dalam setiap fase siklus hidup IoT, organisasi dapat membangun sistem yang lebih aman, tangguh, dan terpercaya.

176

Keamanan Informasi (Cyber Security)

9.12 Studi Kasus: Implementasi Keamanan IoT pada Industri Latar Belakang

Sebuah perusahaan manufaktur besar ingin meningkatkan efisiensi dan produktivitas dengan menerapkan IoT di pabrik mereka. Mereka berencana untuk menggunakan sensor untuk memantau mesin produksi, meng-umpulkan data real-time, dan melakukan pemeliharaan prediktif.

Namun, mereka juga menyadari pentingnya keamanan IoT untuk melindungi data sensitif dan mencegah gangguan operasional.

Tantangan

1. Melindungi data sensitif: Data produksi, termasuk informasi desain produk dan data operasional, harus dilindungi dari akses yang tidak sah.

2. Mencegah gangguan operasional: serangan siber dapat mengganggu proses produksi dan menyebabkan kerugian finansial.

3. Memastikan keamanan perangkat: ribuan sensor dan perangkat IoT yang terhubung harus diamankan dari ancaman siber.

4. Mematuhi regulasi: perusahaan harus mematuhi regulasi keamanan dan privasi data yang relevan.

Solusi

Perusahaan menerapkan solusi keamanan IoT end-to-end yang mencakup: 1. Keamanan Perangkat: a. Setiap sensor dilengkapi dengan modul platform terpercaya (TPM) untuk penyimpanan kunci enkripsi yang aman. b. Secure boot diimplementasikan untuk memastikan bahwa hanya firmware tepercaya yang dijalankan.

Bab 9 Keamanan Internet of Things (IoT)

177

c. Pembaruan firmware dilakukan secara aman dengan verifikasi tanda tangan digital.

2. Keamanan Jaringan: a. Jaringan IoT dipisahkan dari jaringan perusahaan lainnya dengan firewall. b. Komunikasi antara sensor dan platform IoT dienkripsi menggunakan protokol MQTT dengan TLS/SSL. c. Sistem deteksi intrusi (IDS) diimplementasikan untuk memantau aktivitas jaringan dan mendeteksi anomali.

3. Keamanan Aplikasi dan Layanan: a. Platform IoT di hosting di lingkungan cloud yang aman dengan kontrol akses yang ketat. b. Autentikasi multi-faktor digunakan untuk mengakses platform dan data. c. Data sensitif di enkripsi saat istirahat dan saat transit.

4. Manajemen Identitas dan Akses: a. Setiap perangkat dan pengguna diberikan identitas unik. b. Kontrol akses berbasis peran diterapkan untuk membatasi akses ke data dan fungsi.

5. Pemantauan dan Analisis Keamanan: a. Platform keamanan informasi dan manajemen kejadian (SIEM) digunakan untuk mengumpulkan dan menganalisis log keamanan dari seluruh sistem IoT. b. Tim keamanan siber memantau aktivitas jaringan dan perangkat secara real-time dan merespons insiden keamanan dengan cepat.

178

Keamanan Informasi (Cyber Security)

Hasil

Dengan menerapkan solusi keamanan IoT yang komprehensif, perusahaan manufaktur berhasil: 1. Melindungi data sensitif dari akses yang tidak sah dan pencurian.

2. Mencegah gangguan operasional yang disebabkan oleh serangan siber.

3. Meningkatkan efisiensi dan produktivitas dengan meman-faatkan data IoT secara aman.

4. Mematuhi regulasi keamanan dan privasi data.

Bab 10 Pengujian Keamanan dan Evaluasi

10.1 Vulnerability Assessment dan Penetration Testing (Pentest) 10.1.1 Vulnerability Assessment Vulnerability Assessment adalah proses sistematis yang bertujuan untuk mengidentifikasi, mengklasifikasikan, dan memprioritaskan kerentanan dalam sistem informasi, jaringan, dan aplikasi. Proses ini melibatkan pemindaian otomatis menggunakan alat-alat khusus untuk menemukan kelemahan yang diketahui dan memberikan rekomendasi tentang cara memperbaikinya.

Tujuan utama dari Vulnerability Assessment adalah untuk memberikan gambaran menyeluruh tentang kerentanan yang ada sehingga organisasi

180

Keamanan Informasi (Cyber Security)

dapat mengambil langkah-langkah korektif yang diperlukan untuk meningkatkan keamanan (Supriyanto dkk., 2024).

Proses Vulnerability Assessment umumnya melibatkan beberapa tahap, termasuk: 1. Perencanaan: Menentukan ruang lingkup dan tujuan penilaian, serta memilih tools dan teknik yang akan digunakan.

2. Pemindaian: Menggunakan tools pemindai otomatis untuk mengidentifikasi kerentanan dalam sistem dan jaringan. Tools ini akan mencari kelemahan yang diketahui seperti patch software, konfigurasi yang salah, dan celah keamanan lainnya.

3. Analisis: Menganalisis hasil pemindaian untuk mengklasifikasikan dan memprioritaskan kerentanan berdasarkan tingkatannya.

4. Pelaporan: Menyusun laporan yang merinci temuan, termasuk deskripsi kerentanan, dampak potensial, dan rekomendasi perbaikan.

5. Tindak Lanjut:

Mengambil

tindakan

korektif

berdasarkan

rekomendasi dan melakukan perbaikan untuk memastikan bahwa kerentanan telah diperbaiki.

10.1.2 Penetration Testing Penetration Testing, atau Pentest, adalah simulasi serangan siber yang dilakukan oleh "ethical hacker" untuk mengidentifikasi dan mengeksploitasi kerentanan dalam sistem, jaringan, atau aplikasi.

Tujuan utama dari Pentest adalah untuk menguji keamanan dari perspektif penyerang dan mengungkap kelemahan yang mungkin tidak terdeteksi oleh pemindaian otomatis. Pentest memberikan wawasan yang lebih mendalam tentang bagaimana kerentanan dapat dimanfaatkan dan dampak potensial dari serangan tersebut (Fachri, 2023).

Bab 10 Pengujian Keamanan dan Evaluasi

181

Proses Pentest biasanya melibatkan beberapa tahap, termasuk: 1. Perencanaan dan Rekonesans: Menentukan ruang lingkup dan tujuan pengujian, serta mengumpulkan informasi tentang target untuk memahami arsitektur dan potensi titik masuk.

2. Pemindaian: Menggunakan tools vulnebirity scan

untuk

mengidentifikasi titik lemah dan celah keamanan yang dapat dieksploitasi.

3. Eksploitasi: Melakukan serangan untuk mengeksploitasi kerentanan yang ditemukan dan mengakses sistem, data, atau sumber daya lainnya. Ini termasuk teknik seperti serangan brute force, SQL injection, dan pengambilalihan sesion.

4. Post-Exploitation: Mengevaluasi dampak dari eksploitasi dan menentukan sejauh mana penyerang dapat memperoleh akses dan mengendalikan sistem.

5. Pelaporan: Menyusun laporan yang merinci temuan pengujian, termasuk deskripsi serangan, dampak, dan rekomendasi perbaikan.

6. Tindak Lanjut: Membantu organisasi dalam memperbaiki kerentanan yang ditemukan dan melakukan pengujian ulang jika diperlukan.

Vulnerability Assessment dan Penetration Testing menawarkan berbagai manfaat signifikan bagi organisasi. Kedua pendekatan ini membantu mengidentifikasi kerentanan dalam sistem dan jaringan sebelum dapat dimanfaatkan oleh penyerang, sehingga memungkinkan tindakan perbaikan proaktif.

Dengan mengidentifikasi dan memperbaiki kerentanan, organisasi dapat meningkatkan keamanan mereka secara keseluruhan, mengurangi risiko serangan siber yang dapat mengakibatkan kehilangan data, gangguan operasional, dan kerugian finansial.

182

Keamanan Informasi (Cyber Security)

10.2 Red Team vs Blue Team Exercises Dalam dunia keamanan siber, latihan "Red Team" dan "Blue Team" adalah metode yang sering digunakan untuk menguji dan meningkatkan keamanan suatu organisasi. Red Team Exercises melibatkan simulasi serangan dari pihak lawan untuk mengidentifikasi kerentanan dan kelemahan dalam sistem, sementara Blue Team Exercises berfokus pada mekanisme pertahanan proaktif dan strategi mitigasi risiko untuk melindungi dari potensi pelanggaran keamanan (Kotwani dkk., 2023).

Red Team adalah kelompok yang bertugas mensimulasikan serangan terhadap sistem, jaringan, atau organisasi untuk mengidentifikasi kelemahan yang dapat dieksploitasi oleh penyerang sebenarnya. Anggota Red Team biasanya terdiri dari para ahli keamanan siber yang memiliki keahlian khusus dalam teknik penyerangan dan penetrasi (Kraemer dkk., 2004). Tujuan dari latihan Red Team adalah untuk mengekspos kelemahan yang mungkin tidak terlihat dalam audit keamanan reguler.

Metode yang digunakan dapat mencakup: 1. Penetration Testing: Mengidentifikasi kerentanan dalam sistem.

dan

mengeksploitasi

2. Social Engineering: Menggunakan teknik manipulasi psikologis untuk mendapatkan akses atau informasi.

3. Phishing Attacks: Mensimulasikan serangan phishing untuk menguji kewaspadaan karyawan terhadap email yang mencurigakan.

Blue Team, di sisi lain, adalah kelompok yang bertugas mempertahankan sistem dan jaringan dari serangan (Mirkovic dkk., 2008). Mereka bertanggung jawab untuk memantau, mendeteksi, dan merespons insiden keamanan.

Bab 10 Pengujian Keamanan dan Evaluasi

183

Tugas utama Blue Team meliputi: 1. Monitoring: Memantau aktivitas jaringan dan sistem untuk mendeteksi tanda-tanda serangan.

2. Incident Response: Merespons dan mengelola insiden keamanan untuk meminimalkan dampak.

3. Vulnerability Management: Mengidentifikasi dan memperbaiki kelemahan dalam sistem sebelum dapat dieksploitasi oleh penyerang.

Sementara itu, latihan yang melibatkan Red Team dan Blue Team, yang sering disebut sebagai "Red Team vs Blue Team Exercise" atau "Purple Team Exercise" (jika kedua tim bekerja sama), adalah cara yang efektif untuk menguji dan meningkatkan kesiapan keamanan organisasi (Salamh dkk., 2021).

Beberapa manfaat dari latihan ini adalah: 1. Identifikasi Kelemahan: Latihan ini membantu mengidentifikasi kelemahan yang mungkin tidak ditemukan dalam pengujian rutin.

2. Peningkatan Respons: Blue Team dapat meningkatkan kemampuan respon insiden mereka melalui pengalaman langsung menghadapi serangan yang disimulasikan.

3. Peningkatan Kolaborasi: Dalam latihan Purple Team, kedua tim bekerja sama untuk berbagi wawasan dan strategi, yang dapat meningkatkan keamanan secara keseluruhan.

10.3 Security Audits Security audits dalam keamanan informasi adalah proses sistematis untuk mengevaluasi dan memastikan bahwa sistem informasi suatu organisasi memenuhi standar keamanan yang telah ditetapkan. Proses ini melibatkan

184

Keamanan Informasi (Cyber Security)

peninjauan kebijakan, prosedur, kontrol, dan sistem teknologi untuk mengidentifikasi kelemahan serta memastikan kepatuhan terhadap regulasi dan standar industri.

Security audits adalah evaluasi menyeluruh terhadap infrastruktur keamanan informasi suatu organisasi dengan tujuan menilai efektivitas kontrol keamanan, mengidentifikasi kerentanan, dan memastikan bahwa praktik keamanan sesuai dengan kebijakan dan standar yang berlaku (Sandy & Solihin, 2021). Security audits mencakup berbagai area, termasuk jaringan, aplikasi, data, dan kebijakan keamanan.

Ada beberapa jenis security audits yang sering dilakukan, yaitu internal audits, external audits, compliance audits, dan vulnerability assessments.

Internal audits dilakukan oleh tim internal organisasi dengan fokus pada penilaian kebijakan dan prosedur internal (NIST, 2020). External audits dilakukan oleh auditor eksternal yang independen untuk memberikan perspektif objektif mengenai keamanan sistem.

Compliance audits fokus pada kepatuhan terhadap regulasi dan standar tertentu, seperti GDPR, HIPAA, atau ISO/IEC 27001. Sementara itu, vulnerability assessments melibatkan penilaian teknis terhadap sistem untuk mengidentifikasi kerentanan melalui pemindaian dan pengujian penetrasi.

Proses security audits dimulai dengan perencanaan yang mencakup penetapan tujuan, ruang lingkup, dan metodologi audit, serta identifikasi sumber daya yang diperlukan dan jadwal pelaksanaan. Selanjutnya adalah pengumpulan informasi terkait kebijakan, prosedur, dan konfigurasi sistem, termasuk wawancara dengan staf terkait. Evaluasi dan pengujian dilakukan untuk menilai kontrol keamanan dan mengidentifikasi kerentanan menggunakan alat dan teknik seperti pemindaian kerentanan, pengujian penetrasi, dan analisis log.

Setelah itu, laporan audit disusun yang mencakup temuan, kelemahan yang diidentifikasi, dan rekomendasi perbaikan, yang kemudian disampaikan kepada manajemen untuk tindakan lebih lanjut. Tindak lanjut dilakukan

Bab 10 Pengujian Keamanan dan Evaluasi

185

untuk memantau implementasi rekomendasi perbaikan dan melakukan audit ulang jika diperlukan untuk memastikan perbaikan telah diterapkan secara efektif.

Security audits memiliki banyak manfaat, termasuk membantu organisasi menemukan dan memperbaiki kelemahan dalam sistem keamanan mereka, memastikan kepatuhan terhadap regulasi dan standar industri, meningkatkan perlindungan terhadap data sensitif dan informasi penting, serta meningkatkan kepercayaan pelanggan, mitra bisnis, dan pihak berwenang terhadap keamanan informasi organisasi.

10.4 Dynamic dan Interactive Application Security Testing 10.4.1 Dynamic Application Security Testing (DAST) Dalam upaya untuk memastikan keamanan aplikasi, Dynamic Application Security Testing (DAST) dan Interactive Application Security Testing (IAST) adalah dua pendekatan yang digunakan untuk mengidentifikasi dan memperbaiki kerentanan keamanan. Kedua metode ini memainkan peran penting dalam strategi keamanan aplikasi dengan memberikan wawasan yang berbeda tentang kelemahan keamanan aplikasi.

Dynamic Application Security Testing (DAST) adalah metode pengujian keamanan aplikasi yang dilakukan pada aplikasi yang sedang berjalan.

DAST bekerja dengan cara mensimulasikan serangan eksternal terhadap aplikasi web untuk mengidentifikasi kerentanan (Seth dkk., 2022). Ini termasuk pengujian black-box, di mana penguji tidak memiliki akses ke kode sumber aplikasi dan berinteraksi dengan aplikasi seperti pengguna eksternal.

186

Keamanan Informasi (Cyber Security)

Keunggulan DAST:

1. Pengujian dari Perspektif Pengguna Eksternal: DAST mengidentifikasi kerentanan yang dapat dieksploitasi oleh penyerang dari luar, memberikan gambaran nyata tentang risiko keamanan.

2. Deteksi Kerentanan Run-Time: DAST menguji aplikasi yang sedang berjalan, sehingga dapat mendeteksi kerentanan yang hanya muncul saat aplikasi beroperasi.

3. Integrasi Mudah dengan CI/CD: Alat DAST dapat diintegrasikan ke dalam pipeline Continuous Integration/Continuous Deployment (CI/CD), memungkinkan pengujian otomatis dan berkelanjutan.

Keterbatasan DAST:

1. Tidak Mengidentifikasi Kerentanan Kode Sumber: DAST tidak menganalisis kode sumber, sehingga tidak dapat menemukan kerentanan yang tidak muncul dalam aplikasi yang berjalan.

2. False Positives/Negatives: DAST dapat menghasilkan false positives (alarm palsu) dan false negatives (kerentanan yang tidak terdeteksi).

Beberapa alat DAST yang populer termasuk OWASP ZAP, Burp Suite, dan Acunetix.

10.4.2 Interactive Application Security Testing (IAST) Interactive Application Security Testing (IAST) adalah metode pengujian keamanan yang menggabungkan elemen dari Static Application Security Testing (SAST) dan DAST. IAST bekerja dengan menginstrumen aplikasi selama pengujian run-time, memberikan analisis yang lebih mendalam tentang kode sumber dan perilaku aplikasi (Seth dkk., 2022).

Bab 10 Pengujian Keamanan dan Evaluasi

187

Keunggulan IAST:

1. Kombinasi Analisis Statis dan Dinamis: IAST menawarkan wawasan yang lebih komprehensif dengan menggabungkan analisis kode sumber (SAST) dan pengujian aplikasi yang berjalan (DAST).

2. Deteksi Kerentanan yang Lebih Akurat: Dengan informasi runtime dan kode sumber, IAST dapat mengidentifikasi kerentanan dengan akurasi yang lebih tinggi dan mengurangi false positives/negatives.

3. Integrasi ke dalam Pengembangan: IAST dapat diintegrasikan langsung ke dalam lingkungan pengembangan, memungkinkan pengujian keamanan berkelanjutan selama proses pengembangan.

Keterbatasan IAST:

1. Ketergantungan pada Instrumen: IAST memerlukan instrumen pada aplikasi, yang dapat menambah kompleksitas dalam pengaturan dan pemeliharaan.

2. Biaya

dan

Sumber

Daya:

Implementasi

IAST

mungkin

memerlukan biaya dan sumber daya tambahan dibandingkan dengan DAST atau SAST. Beberapa tools IAST yang dikenal meliputi Contrast Security, Veracode IAST, dan IBM Security AppScan. Kedua metode ini memiliki keunggulan dan keterbatasan masing-masing. DAST cocok untuk pengujian dari perspektif pengguna eksternal dan dapat dengan mudah diintegrasikan ke dalam pipeline CI/CD. IAST, di sisi lain, menawarkan analisis yang lebih mendalam dengan menggabungkan informasi run-time dan kode sumber, sehingga memberikan deteksi kerentanan yang lebih akurat.

Menggunakan kombinasi DAST dan IAST dapat memberikan pendekatan yang lebih komprehensif terhadap keamanan aplikasi. DAST dapat

188

Keamanan Informasi (Cyber Security)

digunakan untuk pengujian eksternal rutin, sementara IAST dapat memberikan analisis mendalam selama pengembangan dan pengujian integrasi.

10.5 Threat Modeling dan Risk Assessment Dalam upaya menjaga keamanan informasi dan infrastruktur teknologi, threat modeling dan risk assessment adalah dua pendekatan kritis yang membantu organisasi mengidentifikasi, menganalisis, dan mengelola potensi ancaman serta risiko. Kedua pendekatan ini memainkan peran penting dalam strategi keamanan siber dengan memberikan pandangan yang mendalam tentang potensi ancaman dan cara-cara untuk mengurangi risiko.

Threat modeling adalah proses sistematis untuk mengidentifikasi dan memprioritaskan potensi ancaman terhadap sistem atau aplikasi. Tujuannya adalah untuk memahami bagaimana ancaman tersebut dapat dieksploitasi dan apa dampaknya terhadap sistem (Orjatsalo, 2022). Threat modeling membantu organisasi memahami titik-titik lemah dalam desain dan implementasi sistem sehingga dapat mengambil langkah-langkah mitigasi yang tepat.

Secara umum makan proses Threat Modeling dapat dilakukan dengan: 1. Identifikasi Aset: Menentukan apa yang perlu dilindungi, seperti data sensitif, sistem kritis, dan informasi pribadi.

2. Identifikasi Ancaman: Mengidentifikasi potensi ancaman yang dapat memengaruhi aset, termasuk ancaman internal dan eksternal.

3. Penilaian Kerentanan: Menentukan kelemahan yang dapat dieksploitasi oleh ancaman.

Bab 10 Pengujian Keamanan dan Evaluasi

189

4. Penentuan Dampak: Menilai potensi dampak dari ancaman yang berhasil dieksploitasi.

5. Mitigasi: Mengembangkan dan menerapkan strategi untuk mengurangi risiko dari ancaman yang diidentifikasi.

Selain itu, keuntungan Threat Modeling dapat dilihat dalam beberapa cara: 1. Pemahaman Mendalam tentang Risiko: Membantu organisasi memahami potensi ancaman dan bagaimana mereka dapat dieksploitasi.

2. Peningkatan Desain Keamanan: Mengidentifikasi titik lemah dalam desain sistem dan memberikan panduan untuk perbaikan.

3. Penghematan Biaya: Mengurangi biaya mitigasi dengan mengidentifikasi dan memperbaiki masalah sejak dini.

Beberapa metode threat modeling yang populer meliputi STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege), DREAD (Damage Potential, Reproducibility, Exploitability, Affected Users, Discoverability), dan PASTA (Process for Attack Simulation and Threat Analysis).

Sementara itu, risk assessment adalah proses untuk mengidentifikasi, menganalisis, dan mengevaluasi risiko yang dihadapi oleh organisasi.

Tujuannya adalah untuk menentukan tingkat risiko yang dapat diterima dan mengembangkan strategi untuk mengelola risiko tersebut. Risk assessment membantu organisasi memahami potensi dampak dari risiko dan mengambil langkah-langkah yang diperlukan untuk mengurangi atau mengelola risiko tersebut (Mahendra & Soewito, 2023).

Secara umum maka proses Risk Assessment antara lain: 1. Identifikasi Risiko: Mengidentifikasi potensi risiko yang dapat memengaruhi organisasi, termasuk risiko operasional, finansial, dan reputasi.

190

Keamanan Informasi (Cyber Security)

2. Analisis Risiko: Menilai kemungkinan dan dampak dari setiap risiko yang diidentifikasi.

3. Evaluasi Risiko: Menentukan tingkat risiko yang dapat diterima dan memprioritaskan risiko berdasarkan analisis.

4. Mitigasi Risiko: Mengembangkan dan menerapkan strategi untuk mengurangi atau mengelola risiko.

5. Pemantauan dan Review: Memantau risiko secara terus-menerus dan meninjau strategi mitigasi untuk memastikan efektivitasnya.

Keuntungan Risk Assessment: 1. Identifikasi Risiko yang Komprehensif: Memberikan gambaran lengkap tentang risiko yang dihadapi oleh organisasi.

2. Pengambilan Keputusan yang Informed: Membantu manajemen membuat keputusan berdasarkan pemahaman yang jelas tentang risiko.

3. Peningkatan Keamanan dan Kepatuhan: Memastikan bahwa risiko dikelola dengan baik dan sesuai dengan regulasi serta standar industri.

Meskipun threat modeling dan risk assessment memiliki fokus yang berbeda, keduanya saling melengkapi dalam strategi keamanan siber.

Threat modeling fokus pada identifikasi dan mitigasi ancaman terhadap sistem atau aplikasi tertentu, sementara risk assessment memberikan pandangan yang lebih luas tentang berbagai jenis risiko yang dihadapi oleh organisasi.

Menggabungkan kedua pendekatan ini memungkinkan organisasi untuk mengidentifikasi ancaman dan risiko secara lebih komprehensif dan mengambil langkah-langkah yang tepat untuk mengelolanya.

Bab 10 Pengujian Keamanan dan Evaluasi

191

10.6 Security Information and Event Management (SIEM) Security Information and Event Management (SIEM) adalah pendekatan integral dalam keamanan siber yang menggabungkan dua fungsi utama: manajemen informasi keamanan (Security Information Management SIM) dan manajemen acara keamanan (Security Event Management SEM). SIEM bertujuan untuk memberikan pandangan menyeluruh tentang keamanan jaringan dengan mengumpulkan, menganalisis, dan mengkorelasikan data dari berbagai sumber untuk mendeteksi, mengidentifikasi, dan merespons ancaman keamanan siber secara real-time (González-Granadillo dkk., 2021).

Sementara itu ada beberapa fungsi Utama SIEM antara lain: 1. Pengumpulan Log dan Data: SIEM mengumpulkan data log dari berbagai sumber, seperti firewall, sistem deteksi intrusi, server, aplikasi, dan perangkat jaringan. Data ini mencakup informasi tentang aktivitas pengguna, akses jaringan, dan transaksi aplikasi.

2. Korelasi dan Analisis: SIEM menggunakan algoritma canggih untuk menganalisis data yang dikumpulkan dan mengkorelasikan peristiwa keamanan untuk mengidentifikasi pola yang mencurigakan atau anomali yang menunjukkan potensi ancaman.

3. Deteksi Ancaman: Dengan analisis korelasi dan penerapan aturan deteksi ancaman, SIEM dapat mendeteksi insiden keamanan yang mungkin terlewatkan oleh sistem keamanan tradisional. Ini termasuk deteksi serangan malware, peretasan, dan aktivitas mencurigakan lainnya.

4. Manajemen Insiden: SIEM memungkinkan tim keamanan untuk merespons insiden dengan cepat melalui notifikasi real-time dan pembuatan tiket insiden otomatis. Alat SIEM juga menyediakan

192

Keamanan Informasi (Cyber Security)

alat

untuk

analisis

forensik

yang

mendalam

untuk

mengidentifikasi penyebab utama dan dampak insiden.

5. Pelaporan dan Kepatuhan: SIEM menghasilkan laporan yang dapat disesuaikan untuk kebutuhan kepatuhan regulasi, seperti GDPR, HIPAA, dan PCI DSS. Laporan ini membantu organisasi mendokumentasikan dan membuktikan bahwa mereka telah mengambil langkah-langkah yang diperlukan untuk melindungi data dan infrastruktur mereka.

Tantangan dalam Implementasi SIEM: 1. Kompleksitas dan Biaya: Implementasi SIEM bisa sangat kompleks dan mahal, memerlukan investasi signifikan dalam perangkat lunak, perangkat keras, dan pelatihan staf.

2. Pemeliharaan Berkelanjutan: SIEM memerlukan pemeliharaan dan pengaturan berkelanjutan untuk memastikan bahwa sistem tetap efektif dalam mendeteksi ancaman baru dan yang berkembang.

3. False Positives: Sistem SIEM dapat menghasilkan sejumlah besar false positives, yang dapat mengarah pada kewaspadaan yang salah dan mengurangi efisiensi tim keamanan.

Gartner adalah salah satu sumber terpercaya yang sering digunakan untuk mengevaluasi alat SIEM terbaik di pasar.

Menurut laporan terbaru dari Gartner Magic Quadrant untuk SIEM (Gartner, 2024), beberapa alat SIEM yang menonjol adalah: 1. Splunk: Terkenal karena kemampuannya dalam analisis data besar dan visibilitas mendalam terhadap ancaman.

2. IBM QRadar: Dikenal karena analisis cerdas dan integrasi yang kuat dengan berbagai alat keamanan.

3. LogRhythm: Menawarkan deteksi ancaman yang cepat dan respons insiden yang efisien.

Bab 10 Pengujian Keamanan dan Evaluasi

193

4. Microsoft Azure Sentinel: SIEM berbasis cloud yang menawarkan skalabilitas tinggi dan integrasi dengan ekosistem Microsoft.

5. Securonix: Menggunakan analisis perilaku dan pembelajaran mesin untuk mendeteksi ancaman dengan lebih akurat.

10.7 Phishing Simulation Simulasi phishing adalah proses dimana perusahaan secara sengaja mengirimkan email phishing yang dirancang untuk menguji kemampuan karyawan dalam mengenali dan merespons ancaman phishing. Tujuan utamanya adalah untuk mendidik dan melatih karyawan agar lebih waspada terhadap upaya phishing yang sesungguhnya (McElwee dkk., 2018).

Pada dasarnya, pentingnya Simulasi Phishing dapat dilakukan dengan: 1. Meningkatkan Kesadaran Karyawan: Simulasi ini membantu meningkatkan kesadaran karyawan tentang ancaman phishing dan pentingnya menjaga keamanan informasi.

2. Mengidentifikasi Kelemahan: Dengan melakukan simulasi, perusahaan dapat mengidentifikasi karyawan atau departemen yang mungkin memerlukan pelatihan tambahan.

3. Mengurangi Risiko: Karyawan yang terlatih lebih baik dalam mengenali dan menghindari phishing akan mengurangi risiko pelanggaran data dan kerugian finansial.

Untuk melaksanakan simulasi phishing yang efektif, perusahaan perlu melalui beberapa tahapan penting (CISA, 2023). Pertama-tama, perencanaan dan persiapan Perusahaan harus menentukan tujuan simulasi dan metrik keberhasilan yang jelas. Selain itu, mereka harus memilih atau

194

Keamanan Informasi (Cyber Security)

merancang skenario phishing yang realistis dan relevan dengan lingkungan kerja mereka.

Persetujuan dari manajemen dan kepatuhan terhadap peraturan privasi juga sangat penting dalam tahap ini. Setelah persiapan selesai, tahap berikutnya adalah pelaksanaan simulasi. Email phishing yang telah dirancang harus dikirimkan ke sekelompok karyawan atau seluruh organisasi. Email tersebut harus mencakup elemen-elemen yang sering digunakan dalam serangan phishing nyata, seperti tautan berbahaya atau lampiran mencurigakan. Penting untuk memastikan bahwa email tersebut tampak meyakinkan tetapi tetap mematuhi etika dan aturan yang berlaku.

Setelah simulasi dilaksanakan, evaluasi dan tindak lanjut menjadi tahap yang krusial. Hasil simulasi harus dianalisis untuk melihat berapa banyak karyawan yang terjebak oleh email phishing. Dari analisis ini, perusahaan dapat memberikan umpan balik kepada karyawan dan melakukan sesi pelatihan untuk memperbaiki kelemahan yang teridentifikasi. Pengulangan simulasi secara berkala juga penting untuk memastikan adanya peningkatan dan menjaga kewaspadaan karyawan terhadap ancaman phishing.

10.8 Endpoint Security Testing Endpoint security testing adalah proses pengujian yang bertujuan untuk mengevaluasi efektivitas langkah-langkah keamanan yang diterapkan pada perangkat endpoint. Proses ini melibatkan identifikasi, analisis, dan mitigasi kerentanan yang dapat dimanfaatkan oleh penyerang untuk mengakses atau merusak sistem endpoint (Kamruzzaman dkk., 2022). Pengujian ini penting untuk memastikan bahwa perangkat endpoint mampu menahan serangan siber dan melindungi data sensitif yang disimpan atau diproses oleh perangkat tersebut.

Bab 10 Pengujian Keamanan dan Evaluasi

195

Secara sederhana, pentingnya Endpoint Security Testing dapat dirumuskan antara lain: 1. Mengidentifikasi Kerentanan: Pengujian keamanan endpoint membantu dalam mengidentifikasi kerentanan yang mungkin ada dalam perangkat endpoint sebelum dapat dimanfaatkan oleh penyerang. Ini memungkinkan organisasi untuk mengambil tindakan korektif sebelum terjadi insiden keamanan.

2. Memastikan Kepatuhan: Banyak industri memiliki standar dan regulasi yang mengharuskan organisasi untuk melakukan pengujian keamanan secara berkala. Endpoint security testing membantu organisasi memenuhi persyaratan kepatuhan tersebut.

3. Mengurangi Risiko: Dengan mengidentifikasi dan memperbaiki kerentanan, organisasi dapat mengurangi risiko serangan siber yang dapat mengakibatkan kehilangan data, gangguan operasional, dan kerugian finansial.

4. Meningkatkan Kepercayaan: Pengujian keamanan yang efektif meningkatkan kepercayaan pelanggan dan mitra bisnis terhadap kemampuan organisasi dalam melindungi data dan sistem mereka.

Metode Pengujian Keamanan Endpoint dapat dilakukan dengan: 1. Penetration Testing (Pen Testing): Melibatkan simulasi serangan siber untuk mengidentifikasi dan mengeksploitasi kerentanan dalam sistem endpoint. Tujuannya adalah untuk mengevaluasi sejauh mana sistem dapat bertahan terhadap serangan nyata.

2. Vulnerability Scanning: Metode ini menggunakan alat pemindaian otomatis untuk mendeteksi kerentanan yang diketahui dalam perangkat endpoint. Hasil pemindaian kemudian dianalisis untuk menentukan risiko dan prioritas tindakan perbaikan.

196

Keamanan Informasi (Cyber Security)

3. Configuration

Review:

Tinjauan

konfigurasi

melibatkan

pemeriksaan pengaturan keamanan pada perangkat endpoint untuk memastikan bahwa konfigurasi tersebut sesuai dengan kebijakan keamanan dan praktik terbaik.

4. Endpoint Detection and Response (EDR) Testing: Pengujian EDR fokus pada kemampuan solusi EDR dalam mendeteksi, menganalisis, dan merespons ancaman keamanan. Ini mencakup pengujian fitur seperti deteksi malware, analisis perilaku, dan respons insiden.

5. Security Policy Testing: Menguji kebijakan keamanan yang diterapkan pada perangkat endpoint untuk memastikan bahwa kebijakan tersebut efektif dalam melindungi sistem dari ancaman siber.

Pengujian keamanan endpoint memberikan berbagai manfaat signifikan bagi organisasi. Dengan mengidentifikasi dan memperbaiki kerentanan, pengujian ini membantu meningkatkan posture keamanan secara keseluruhan, sehingga perangkat endpoint lebih mampu menahan serangan siber.

Pengujian ini memungkinkan organisasi untuk mengadopsi pendekatan proaktif dalam manajemen risiko keamanan. Daripada hanya merespons insiden setelah terjadi, organisasi dapat mengelola risiko secara efektif dengan mengetahui potensi kerentanan sejak dini. Melalui pengujian yang efektif, organisasi dapat meningkatkan efisiensi operasional.

10.9 Zero Trust Security Testing Dalam lanskap ancaman siber yang semakin kompleks, konsep Zero Trust Security semakin populer sebagai pendekatan keamanan yang proaktif.

Zero Trust Security berfokus pada prinsip bahwa tidak ada pengguna atau

Bab 10 Pengujian Keamanan dan Evaluasi

197

perangkat yang dipercaya secara otomatis, baik yang berada di dalam maupun di luar jaringan organisasi.

Pendekatan ini menekankan verifikasi terus-menerus, kontrol akses granular, dan segmentasi jaringan untuk meminimalkan risiko keamanan.

Pengujian keamanan Zero Trust menjadi krusial untuk memastikan bahwa implementasi Zero Trust berjalan efektif dan dapat menahan berbagai ancaman siber (Papakonstantinou dkk., 2021).

Pengujian keamanan Zero Trust mencakup berbagai metode untuk mengevaluasi efektivitas kontrol keamanan yang diterapkan dalam model Zero Trust. Salah satu metode utama adalah penetration testing, yang melibatkan simulasi serangan untuk mengidentifikasi kerentanan dalam sistem dan jaringan yang seharusnya tidak mempercayai siapa pun secara default. Metode ini membantu menemukan celah yang mungkin tidak terdeteksi oleh pemindaian kerentanan biasa.

Selain itu, pengujian juga melibatkan tinjauan konfigurasi untuk memastikan bahwa setiap perangkat dan pengguna diverifikasi dan diautentikasi secara tepat sesuai dengan kebijakan Zero Trust. Manfaat utama dari pengujian keamanan Zero Trust adalah peningkatan keamanan yang signifikan (Dumitru, 2022). Dengan memastikan bahwa semua akses diverifikasi dan dikendalikan dengan ketat, organisasi dapat mengurangi risiko serangan dari ancaman internal dan eksternal.

Pengujian ini juga membantu dalam mengidentifikasi potensi kerentanan sebelum dapat dieksploitasi oleh penyerang. Dengan mengetahui dan memperbaiki kelemahan ini, organisasi dapat meningkatkan posture keamanan mereka secara keseluruhan dan mengurangi kemungkinan terjadinya insiden keamanan yang merugikan.

Selain itu, pengujian keamanan Zero Trust membantu organisasi dalam mematuhi berbagai regulasi dan standar keamanan yang semakin ketat.

Banyak industri, termasuk sektor keuangan dan kesehatan, mengharuskan implementasi kontrol keamanan yang ketat untuk melindungi data sensitif.

Dengan melakukan pengujian secara berkala, organisasi dapat memastikan

198

Keamanan Informasi (Cyber Security)

bahwa mereka memenuhi persyaratan kepatuhan ini dan menghindari potensi denda dan kerugian reputasi.

Kepatuhan yang baik juga meningkatkan kepercayaan dari pelanggan dan mitra bisnis terhadap kemampuan organisasi dalam menjaga keamanan data. Pengujian ini juga berkontribusi pada efisiensi operasional. Dengan mengidentifikasi dan memperbaiki kerentanan, organisasi dapat mengurangi frekuensi dan dampak insiden keamanan, yang pada gilirannya mengurangi gangguan operasional dan biaya yang terkait dengan pemulihan dari serangan.

Pengujian keamanan yang konsisten dan komprehensif membantu organisasi menjaga kelangsungan bisnis dan fokus pada pertumbuhan tanpa khawatir tentang ancaman keamanan yang mungkin mengganggu operasional mereka.

10.10 Incident Response Testing Incident Response Testing adalah komponen vital dalam strategi keamanan siber organisasi. Tujuan utama dari pengujian ini adalah untuk memastikan bahwa tim tanggap insiden siap dan mampu menangani berbagai jenis ancaman siber dengan efisien dan efektif (Wlosinski, 2022).

Pengujian ini juga membantu mengidentifikasi kelemahan dalam rencana tanggap insiden dan memberikan kesempatan untuk memperbaikinya sebelum terjadi insiden nyata. Dengan melakukan pengujian secara berkala, organisasi dapat meningkatkan kesiapan mereka dan memastikan bahwa semua anggota tim memahami peran dan tanggung jawab mereka selama insiden (Scarfone dkk., 2008).

Ada beberapa metode yang dapat digunakan untuk melakukan pengujian tanggap insiden: 1. Tabletop Exercises: Ini adalah diskusi yang dipandu di mana anggota tim tanggap insiden berkumpul untuk membahas respons

Bab 10 Pengujian Keamanan dan Evaluasi

199

mereka terhadap skenario insiden hipotetis. Tabletop exercises membantu tim untuk memahami rencana tanggap insiden dan mengidentifikasi area yang memerlukan perbaikan.

2. Simulasi atau War Gaming: Metode ini melibatkan simulasi insiden keamanan nyata dalam lingkungan yang terkendali. Tim tanggap insiden harus merespons simulasi tersebut seolah-olah itu adalah insiden nyata. Simulasi ini memberikan gambaran yang lebih realistis tentang kesiapan tim dan kemampuan mereka dalam menangani insiden.

3. Penetration Testing: Penetration testing dapat digunakan untuk mensimulasikan serangan nyata terhadap sistem organisasi. Ini membantu mengidentifikasi kelemahan yang dapat dimanfaatkan oleh penyerang dan menguji efektivitas respons terhadap insiden tersebut.

4. Full-Scale Exercises: Ini adalah pengujian tanggap insiden yang komprehensif di mana semua aspek rencana tanggap insiden diuji.

Full-scale exercises melibatkan banyak tim dan departemen, dan memberikan gambaran menyeluruh tentang kesiapan organisasi.

Pengujian tanggap insiden memberikan berbagai manfaat bagi organisasi.

Pertama, pengujian ini membantu meningkatkan kesadaran dan pemahaman tim tentang rencana tanggap insiden dan peran mereka selama insiden. Ini penting untuk memastikan bahwa respons terhadap insiden cepat dan terkoordinasi.

Kedua, pengujian ini membantu mengidentifikasi kelemahan dalam rencana tanggap insiden dan memberikan kesempatan untuk memperbaikinya sebelum terjadi insiden nyata. Ketiga, pengujian ini meningkatkan kepercayaan diri tim dalam menangani insiden, sehingga mereka lebih siap dan tanggap ketika menghadapi situasi sebenarnya.

Meskipun manfaatnya banyak, pengujian tanggap insiden juga menghadapi beberapa tantangan.

200

Keamanan Informasi (Cyber Security)

Salah satu tantangan utama adalah memastikan bahwa pengujian tersebut realistis dan mencerminkan skenario ancaman yang mungkin dihadapi oleh organisasi. Selain itu, pengujian harus dilakukan secara berkala dan diperbarui sesuai dengan perubahan dalam lingkungan ancaman dan infrastruktur organisasi. Tantangan lainnya adalah memastikan keterlibatan dan dukungan dari seluruh tim dan departemen yang relevan karena tanggap insiden yang efektif memerlukan kolaborasi yang baik di seluruh organisasi.

10.11 Code Review dan Analisis Statik Code review dan analisis statis adalah dua pendekatan penting yang digunakan untuk memastikan bahwa kode perangkat lunak bebas dari kerentanan dan aman dari ancaman siber. Kedua metode ini memiliki tujuan yang sama, yaitu untuk meningkatkan kualitas dan keamanan kode, tetapi mereka melakukannya dengan cara yang berbeda dan sering saling melengkapi (Keary, 2017).

Beberapa manfaat utama dari code review dapat meliputi: 1. Identifikasi Kesalahan Awal: Kesalahan dapat ditemukan dan diperbaiki sebelum kode diintegrasikan ke dalam basis kode utama, mengurangi biaya perbaikan di kemudian hari.

2. Peningkatan Kualitas Kode: Dengan melibatkan beberapa orang dalam proses pemeriksaan, kualitas kode dapat ditingkatkan melalui saran dan umpan balik konstruktif.

3. Pembelajaran dan Kolaborasi: Code review adalah kesempatan bagi pengembang untuk belajar dari satu sama lain dan berbagi pengetahuan tentang praktik terbaik dan standar kode.

4. Ada beberapa pendekatan untuk code review, termasuk pair programming, over-the-shoulder reviews, dan tool-assisted reviews menggunakan platform seperti GitHub atau GitLab.

Bab 10 Pengujian Keamanan dan Evaluasi

201

Analisis statis adalah proses otomatis yang menggunakan alat perangkat lunak untuk menganalisis kode sumber tanpa menjalankannya. Alat analisis statis memindai kode untuk menemukan kerentanan, kesalahan sintaks, dan pelanggaran terhadap standar kode (Amankwah dkk., 2018).

Beberapa manfaat utama dari analisis statis meliputi: 1. Deteksi

Kerentanan

Otomatis:

Alat

analisis

statis

dapat

menemukan kerentanan umum seperti buffer overflow, SQL injection, dan cross-site scripting.

2. Konsistensi: Alat ini dapat memastikan bahwa semua kode mematuhi standar dan konvensi yang telah ditentukan, membantu menjaga konsistensi dalam kode.

3. Penghematan Waktu: Karena proses ini otomatis, analisis statis dapat memindai kode dengan cepat dan efisien, memungkinkan pengembang fokus pada tugas lain yang lebih kompleks.

Beberapa alat analisis statis yang populer termasuk SonarQube, Fortify Static Code Analyzer, dan Coverity. Alat ini menyediakan laporan mendetail tentang potensi masalah dalam kode dan seringkali terintegrasi dengan alur kerja pengembangan untuk pemindaian berkelanjutan.

Meskipun code review dan analisis statis memiliki keunggulan masingmasing, kombinasi keduanya dapat memberikan pendekatan yang lebih komprehensif untuk mengamankan kode. Code review manual dapat menangkap konteks dan nuansa yang mungkin terlewatkan oleh alat analisis statis, sementara analisis statis dapat secara efisien memindai kode besar dan menemukan kerentanan umum dengan cepat. Dengan menggabungkan kedua metode ini, organisasi dapat meningkatkan efektivitas pengujian keamanan kode mereka.

202

Keamanan Informasi (Cyber Security)

Daftar Pustaka

Adrianto, M., Widodo, G.P. and Puspitasari, I. (2024) ‘KEAMANAN EKSTRAK DAUN SIRIH MERAH PADA LAMBUNG TIKUS PUTIH WISTAR SEBAGAI TERAPI ANTIINFLAMASI’, SENTRI: Jurnal Riset Ilmiah, 3(1).

Available at: https://doi.org/10.55681/sentri.v3i1.2052.

Al-Fuqaha, A., Guizani, M., Mohammadi, M., Aledhari, M., & Ayyash, M. (2015). Internet of things: A survey on enabling technologies, protocols, and applications. IEEE Communications Surveys & Tutorials, 17(4), 2347-2376. https://doi.org/10.1109/COMST.2015.2444095 Amankwah, R., Kwaku, P., Korkor, B., Mensah, K., Brew, B., & Yeboah, S. (2018). A Theoretical Framework for Software Vulnerability Detection based on Cascaded Refinement Network. International Journal of Computer Applications, 182(25), 12–15.

Amin, R., Islam, S. H., Biswas, G., Khan, M. K., & Kumar, N. (2019).

Blockchain technology for security and privacy in the internet of things. In Blockchain for cyber-physical systems (pp. 251-283).

Springer, Cham.

Anderson, R. (2020). Security Engineering: A Guide to Building Dependable Distributed Systems (3rd Edition). Wiley. ISBN 978-1119642954 Anderson, T. (2020). Challenges of Cloud Security and Data Protection.

McGraw Hill.

204

Keamanan Informasi (Cyber Security)

Anderson, T. (2020). Data Encryption Techniques for Modern Security.

McGraw Hill.

Anderson, T. (2020). The Fundamentals of Cybersecurity. McGraw Hill.

Anderson, T., & Li, Z. (2023). Behavioral biometrics and its application in cybersecurity. Cybersecurity Journal, 45(2), 132-145.

Anderson, T., & White, Z. (2022). Role-based and attribute-based access control models in enterprise environments. Journal of Cybersecurity Research, 34(1), 45-60.

Andress, J. (2014). The Basics of Information Security: Understanding the Fundamentals of InfoSec in Theory and Practice (2nd ed.). Syngress.

Anti-Phishing Working Group (APWG). (2020). Phishing Activity Trends Report. https://apwg.org Ariza Hasibuan, C. et al. (2024) ‘Kebijakan Produk Standarisasi Internasional: Analisis Pada Kualitas dan Keselamatan Produk Pada Kentucky Fried Chicken (KFC)’, Jurnal Minfo Polgan, 12(2). Available at: https://doi.org/10.33395/jmp.v12i2.13372.

Ashari, I. F. et al. (2024) Dasar-dasar Keamanan Informasi. Yayasan Kita Menulis.

Ashari, I. F., & Praseptiawan, M. (2024). Analysis and Implementation of Blowfish and LSB Algorithm on RGB Images using SHA-512.

Computer Engineering and Applications Journal, 13(1), 53–73. https://doi.org/10.18495/comengapp.v13i1.450 Ashari, I. F., Nugroho, E. D., Andrianto, D. D., Yusuf, M. A. N. M., & Alkarkhi, M. (2024). The Evaluation of LSB Steganography on Image File Using 3DES and MD5 Key. JITCE (Journal of Information Technology and Computer Engineering), 8(1), 8–18. https://doi.org/10.25077/jitce.8.1.8-18.2024 Ashari, I. F., Putri, E. E., Sasongko, D., Suardinata, & Simarmata, J. (2020).

Dasar-dasar Keamanan Informasi. In Journal GEEJ (Vol. 7, Issue 2).

Daftar Pustaka

205

Bayu Megantoro, R. et al. (2024) ‘SMART HOME: KENDALI LAMPU RUMAH DAN CCTV BERBASIS ANDROID-WIFI’, JATI (Jurnal Mahasiswa Teknik Informatika), 7(6).

Available at: https://doi.org/10.36040/jati.v7i6.7842.

BBC News. (2017). "WannaCry ransomware attack: What you need to know." https://www.bbc.com/news/technology-39920141 BBC News. (2021). "Colonial Pipeline paid hackers nearly $5 million." https://www.bbc.com/news/technology-57020282).

Bertino, E., & Islam, N. (2017). Botnets and internet of things security.

Computer, 50(2), 76-82.

Bertino, E., & Sandhu, R. (2005). Database Security—Concepts, Approaches, and Challenges. IEEE Transactions on Dependable and Secure Computing, 2(1), 2–19. https://doi.org/10.1109/TDSC.2005.9 Bishop, M. (2019). Computer Security: Art and Science (2nd ed.). AddisonWesley.

Brenner, S. W. (2020). Cybercrime: Criminal Threats from Cyberspace. 2nd ed. Santa Barbara, CA: Praeger.

Broadhurst, R., and Chang, L. Y. C. (2020). Cybercrime in Asia: Trends and Challenges. Singapore: Springer.

Brown, A. (2019). Corporate Data Security Essentials. Pearson.

Brown, A. (2020). Accountability in Data Security: An Ethical Perspective.

Pearson.

Brown, A. (2020). Cloud Security Essentials. Pearson.

Brown, A. (2020). Quantum Encryption and the Future of Data Security.

Pearson.

Brown, A., & Harris, R. (2019). Human Factor in Data Security: Addressing Awareness Gaps. Pearson.

206

Keamanan Informasi (Cyber Security)

Brown, A., & Harris, R. (2019). Privacy and Data Security Laws Around the World. Pearson.

Brown, A., & Miller, R. (2021). Access Control and Authentication in Cybersecurity. Pearson.

Brown, T. (2021). The Cost of Undetected Threats in Cybersecurity.

International Journal of Information Management, 59, 102345 Cahyono, R.E. et al. (2024) ‘Rancang Bangun Prototipe Smart Control System Sebagai Pengendali Debit Air Berbasis Computer Control’, Jurnal Rekayasa Sistem Informasi dan Teknologi, 1(3). Available at: https://doi.org/10.59407/jrsit.v1i3.515.

Castiglione, A., Francese, R., & Tedesco, A. (2018). Internet of Things: Technologies and Applications for a New Smart World. Springer.

ISBN 978-3319950567 Center for Internet Security.

(2021).

“CIS Controls”. [https://www.cisecurity.org/controls/cis-controlslist/](https://www.google.com/url?sa=E&source=gmail&q=https://w ww.cisecurity.org/controls/cis-controls-list/) Chen, Y., Zhang, H., & Liu, P. (2023). Continuous authentication in the age of AI. Journal of Security Engineering, 14(1), 56-74.

Chen, Y., Zhang, L., & Lee, H. (2023). Advanced access control mechanisms for cloud computing. Journal of Cloud Security, 12(3), 78-92.

Christanto, F.W. and Aji, D.S. (2024) ‘Analisa dan Perbandingan QoS Jaringan Internet dengan Metode PPPoE, PPTP, dan L2TP pada Implementasi Hotspot RT/RW Net’, MULTINETICS, 9(2). Available at: https://doi.org/10.32722/multinetics.v9i2.6261.

CISA. (2021). Cybersecurity and Infrastructure Security Agency. https://www.cisa.gov CISA. (2021). Cybersecurity for Small Business.

CISA. (2023). Phishing guidance: stopping the attack cycle at phase one.

Daftar Pustaka

207

Clarke, D. (2021). Quantitative vs Qualitative Risk Analysis for Cybersecurity. *Security Analysis Journal*, 16(3), 98-112.

Clough, J. (2021). Principles of Cybercrime. 2nd ed. Cambridge: Cambridge University Press.

CyberEdge Group. (2021). "Cyberthreat Defense Report." [Online] Tersedia di: [CyberEdge Group](https://www.cyberedgegroup.com/research).

Cybersecurity & Infrastructure Security Agency (CISA). (2021).

Ransomware Awareness. https://www.cisa.gov.

Cybersecurity Insiders. (2020). 2020 https://cybersecurity-insiders.com

Cybersecurity

AI

Report.

Cybersecurity Ventures. (2021). Cybercrime to Cost the World $10.5 Trillion Annually by 2025.

De Haes, S., Van Grembergen, W., & Debreceny, R. (2021). COBIT 2019: Evolution and implications for future research and practice. Journal of Information Systems, 35(1), 49-62. https://doi.org/10.2308/JIS19020 Deloitte.

(2021).

"The Value of Cybersecurity." https://www2.deloitte.com/us/en/insights/industry/financialservices/cyber-risk.html Djenouri, D., Khelladi, L., & Guerroumi, M. (2019). A survey of security issues in mobile ad hoc networks. IEEE Communications Surveys & Tutorials, 21(1), 887-907.

Dumitru, I.-A. (2022). Zero Trust Security. Proceedings of the International Conference on Cybersecurity and Cybercrime (IC3), 99–104.

Easttom, C. (2019). “Computer Security Fundamentals”. Pearson Education.

ENISA. (2021). “Threat Landscape Report”. European Union Agency for Cybersecurity. [URL yang tidak valid dihapus]

208

Keamanan Informasi (Cyber Security)

Fachri, F. (2023). Optimasi Keamanan Web Server Terhadap Serangan Brute-Force Menggunakan Penetration Testing. Jurnal Teknologi Informasi dan Ilmu Komputer, 10(1), 51–58.

Fagbemi, O., Wheeler, D., & Wheeler, L. (2024). The IoT Architect's Guide to Attainable Security and Privacy. Routledge. ISBN 9781032475233 Fairuzabadi, M. et al. (2023) Keamanan Sistem Informasi dan Kriptografi.

Yayasan Kita Menulis.

FBI. (2021). Ransomware: A Growing Threat. https://www.fbi.gov Febriyanto, N.I. and Sobari, I.A. (2024) ‘PERANCANGAN JARINGAN VPN MENGGUNAKAN PROTOKOL L2TP+IPSEC SEBAGAI MEDIA TRANSMISI DATA PADA YAYASAN SIRAJUL FALAH INDONESIA’, Jurnal Informatika dan Teknik Elektro Terapan, 12(1).

Available at: https://doi.org/10.23960/jitet.v12i1.3703.

FireEye. (2021). M-Trends 2021: Insights from the Frontlines of Cybersecurity.

Foster, J.C. et al. (2005) Buffer overflow attacks: Detect, exploit, prevent, Buffer Overflow Attacks: Detect, Exploit, Prevent. Available at: https://doi.org/10.1016/B978-1-932266-67-2.X5031-2.

Friedman, L. (2016). Ukraine’s Power Grid Cyberattack: What We Know.

The New York Times. https://nytimes.com Furnell, S. (2020). Cybercrime: Vandalizing the Information Society. 2nd ed.

London: Addison-Wesley.

Gartner. (2020). Forecast: Internet of Things, Worldwide, 2020. https://gartner.com Gartner. (2021). Market Guide for Web Application Firewalls. https://www.gartner.com Gartner. (2024). Gartner Magic Quadrant for Security Information and Event Management.

Daftar Pustaka

209

Glen Maxie Taberima and Ramayanti, D. (2024) ‘MENGOPTIMALKAN MANAJEMEN DAN KEAMANAN TI MELALUI IMPLEMENTASI LAYANAN DOMAIN ACTIVE DIRECTORY STUDI KASUS PADA INFRASTRUKTUR TI PERUSAHAAN’, Jurnal Informatika Teknologi dan Sains (Jinteks), 6(1).

Available at: https://doi.org/10.51401/jinteks.v6i1.3884.

González-Granadillo, G., González-Zarzosa, S., & Diaz, R. (2021). Security Information and Event Management (SIEM): Analysis, Trends, and Usage in Critical Infrastructures. Sensors, 21(14), 4759.

Grabosky, P. N. (2020). Cybercrime: Key Issues and Debates. London: Routledge.

Granjal, J., Monteiro, E., & Silva, J. S. (2015). Security for the internet of things: a survey of existing protocols and open research issues. IEEE Communications Surveys & Tutorials, 17(3), 1294-1312.

Hakim, L., Kusumasari, T.F., & Lubis, M. (2018). Text Mining of UU-ITE Implementation in Indonesia. Journal of Physics: Conference Series 1007(1).

Harris, J. (2019). User Data Protection and Online Privacy. Wiley.

Harris, J. (2021). Compliance and Regulatory Challenges in Data Protection.

Wiley.

Harris, J. (2021). Multi-Factor Authentication and Its Importance in Data Protection. Wiley.

Harris, J. (2021). Network Monitoring for Data Protection. Wiley.

Harris, J., & Miller, R. (2021). Global Data Privacy Regulations and Compliance. Wiley.

Harris, J., & Miller, R. (2021). Transparency and Trust in Data Protection.

Wiley.

Hassija, V., Chamola, V., Goyal, V., Sikdar, B., & Guizani, M. (2020). A survey on IoT security: Application areas, security threats, and

210

Keamanan Informasi (Cyber Security)

solution architectures.

IEEE Access, https://doi.org/10.1109/ACCESS.2020.2968078 Hiscox.

(2020).

"Hiscox Cyber Readiness https://www.hiscox.com/cyber-readiness-report.

8,

22273-22289.

Report

2020."

Holt, T. J., Bossler, A. M., and Seigfried-Spellar, K. C. (2020). Cybercrime and Digital Forensics: An Introduction. 3rd ed. New York: Routledge.

Howard, M., Leblanc, D. and Viega, J. (2009) 24 Deadly Sins of Software Security: Programming Flaws and How to Fix Them, Technology.

Available at: http://www.amazon.com/Deadly-Sins-SoftwareSecurity-Programming/dp/0071626751.

Humphreys, E. (2008). Information security management standards: Compliance, governance, and risk management. Information Security Technical Report, 13(4), 247–255. https://doi.org/10.1016/j.istr.2008.10.010 IBM. (2021). Cost of a Data Breach Report 2021.

IBM. (2021). Quantum Computing: The Future of Security. https://ibm.com Indarta, Y., Ranuhardja, F., & Ashari, I. F. (2022). Keamanan Siber Tantangan di Era Revolusi Industri 4.0.

International Organization for Standardization (ISO). (2023). Standards for access control and authorization. ISO/IEC 27002:2023.

ISO/IEC 22301:2019. “Security and resilience — Business continuity management systems — Requirements”. International Organization for Standardization.

ISO/IEC 27001:2013. “Information technology — Security techniques — Information security management systems — Requirements”.

International Organization for Standardization.

ISO/IEC 27701:2019. “Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management —

Daftar Pustaka

211

Requirements and guidelines”. International Organization for Standardization.

Jing, Q., Vasilakos, A. V., Wan, J., Lu, J., & Qiu, D. (2014). Security of the internet of things: Perspectives and challenges. Wireless Networks, 20(8), 2481-2501. https://doi.org/10.1007/s11276-014-0761-7 Johnson, S. (2019). Firewall and Threat Management in the Digital Age. Routledge.

Johnson, S. (2019). Integrity in Data Management Practices. Routledge.

Johnson, S. (2020). Building Trust Through Data Protection Strategies.

Routledge.

Johnson, S. (2020). Ransomware and Advanced Threats in Cybersecurity.

Routledge.

Johnson, S. (2020). Strategies for Safeguarding Business Data. Routledge.

Johnson, S. (2021). Advanced Threat Detection and Cybersecurity.

Routledge.

Kamruzzaman, A., Ismat, S., Brickley, J. C., Liu, A., & Thakur, K. (2022). A Comprehensive Review of Endpoint Security: Threats and Defenses.

2022 International Conference on Cyber Warfare and Security (ICCWS), 1–7.

Kaspersky Lab. (2017). WannaCry Ransomware Attack: What You Need to Know. https://kaspersky.com Katz, J. (2004) Cryptography, Computer Science Handbook, Second Edition.

Available at: https://doi.org/10.1201/9781420057133.

Keary, E. (2017). OWASP Code Review Guide (v2 ed.). https://owasp.org/.

Kim, D., & Solomon, M. G. (2018). “Fundamentals of Information Systems Security”. Jones & Bartlett Learning.

212

Keamanan Informasi (Cyber Security)

Kim, J., & Nguyen, T. (2020). Effectiveness of Security Awareness Training in Reducing Social Engineering. Cybersecurity Journal, 13(2), 133145.

Kindervag, J. (2010). Build Security Into Your Network’s DNA: The Zero Trust Model. Forrester Research Report. Forrester.

Kotwani, B., Sawant, M. R., & Chopra, D. S. (2023). Red Teaming vs. Blue Teaming: A Comparative Analysis of CyberSecurity Strategies in the Digital Battlefield. Interantional journal of scientific research in engineering and management, 07(12), 1–11.

Kouns, J., & Minoli, D. (2010). Information Technology Risk Management in Enterprise Environments: A Review of Industry Practices and a Practical Guide to Risk Management Teams. Wiley.

KPMG. (2020). "The Future of Privacy: Consumer Perspectives." https://home.kpmg/xx/en/home/insights/2020/01/the-future-ofprivacy-consumer-perspectives.html Kraemer, S., Carayon, P., & Duggan, R. (2004). Red Team Performance for Improved Computer Security. Proceedings of the Human Factors and Ergonomics Society Annual Meeting, 48(14), 1605–1609.

Kumar, A., & Gupta, R. (2023). Multi-factor authentication: A comprehensive review. Journal of Computer Security Research, 25(3), 223-240.

Kumar, A., & Singh, R. (2023). Enhancing authorization in hybrid networks: A comprehensive review. International Journal of Information Security, 21(2), 145-162.

Lee, H. (2020). The Importance of Proactive Threat Analysis in Information Security. Journal of Cyber Defense, 12(2), 100-115.

Li, S., Da Xu, L., & Zhao, S. (2015). The internet of things: a survey.

Information Systems Frontiers, 17(2), 243-259. https://doi.org/10.1007/s10796-014-9492-7

Daftar Pustaka

213

Lipner, S., & Sherman, L. (2015). The NIST cybersecurity framework. IEEE Computer Society, 19(4), 27-32. https://doi.org/10.1109/MSEC.2015.55 Liu, Y., He, D., & Kumar, N. (2019). Edge computing for the internet of things: A survey. Mobile Networks and Applications, 24(1), 5-16.

Lubis, M., Fauzi, R., & Zamzami, I.F. (2018). The Development of Radical Innovation with the Digital Gift. IEEE ICOSNIKOM 2018.

Lubis, M., Fauzi, R., Lubis, A.R., & Fauzi, R. (2018). Analysis of Project Integration on Smart Parking System in Telkom University. Proc.

IEEE CITSM. Lubis, M., Fauzi, R., Sutoyo, E., & Abdulmana, S. (2019). Responsive innovation through perceived shared values and preferences of customers. In J. of Physics: Con. S. 1361(1) 012075. IOP Publishing.

Lubis, M., Lubis, A.R., & Ernovianti, E. (2018). Disruptive innovation service oriented framework: a case study of transportation in Indonesia. Proc. of 7th ICMR. Lubis, M., Lubis. A.R., Lubis, B., & Lubis, A. (2018). Incremental innovation towards business performance: data management challenges in healthcare industry in Indonesia. MATEC web of conferences 218, 04015. EDP Sciences.

Lubis, N.S., & Nasution, M.I.P. (2023). Perkembangan Teknologi Informasi Dan Dampaknya Pada Masyarakat. KOHESI: Jurnal Multidisplin Saintek, 1(12), 41–50.

Mahardika, N., Juardi, D. and Solehudin, A. (2024) ‘PENERAPAN NETWORK MANAGEMENT SYSTEM MENGGUNAKAN THE DUDE’, JATI (Jurnal Mahasiswa Teknik Informatika), 7(6). Available at: https://doi.org/10.36040/jati.v7i6.8195.

Mahdavinejad, M. S., Rezvanian, A., Gupta, G., Léonard, F., & Strayer, W. T. (2018). Machine learning for internet of things data analysis: A survey.

214

Keamanan Informasi (Cyber Security)

Digital Communications and Networks, https://doi.org/10.1016/j.dcan.2017.10.002

4(3),

161-175.

Mahendra, V., & Soewito, B. (2023). Penerapan Kerangka Kerja NIST Cybersecurity dan CIS Controls sebagai Manajemen Risiko Keamanan Siber. Techno.Com, 22(3), 527–538.

Mariana, N., Utomo, A.P. and Jananto, A. (2024) ‘Pendampingan Pengelolaan Website (Keamanan Website) Bagi Admin Website SD Negeri Kota Semarang’, IKRA-ITH ABDIMAS, 8(1). Available at: https://doi.org/10.37817/ikra-ithabdimas.v8i1.3202.

Martin, S. (2019). Risk Assessment in Information Security Management.

Journal of Risk and Security, 23(1), 55-68.

McAfee. (2019). Cloud Security: A Comprehensive Overview. [Online] Tersedia di: https://mcafee.com McElwee, S., Murphy, G., & Shelton, P. (2018). Influencing Outcomes and Behaviors in Simulated Phishing Exercises. SoutheastCon 2018, 1–6.

McGuire, M., and Dowling, S. (2020). Cybercrime: Critical Issues in a Global Context. London: Routledge.

Miller, R. (2020). Firewall and Antivirus in Modern Cybersecurity.

Cambridge University Press.

Miorandi, D., Sicari, S., De Pellegrini, F., & Chlamtac, I. (2012). Internet of things: Vision, applications and research challenges. Ad Hoc Networks, 10(7), 1497-1516. https://doi.org/10.1016/j.adhoc.2012.02.016 Mirkovic, J., Reiher, P., Papadopoulos, C., Hussain, A., Shepard, M., Berg, M., & Jung, R. (2008). Testing a Collaborative DDoS Defense In a Red Team/Blue Team Exercise. IEEE Transactions on Computers, 57(8), 1098–1112.

National Institute of Standards and Technology (NIST). (2022). Access control and authorization guidelines. NIST Special Publication 800-53 Rev. 5.

Daftar Pustaka

215

National Institute of Standards and Technology (NIST). (2022). Digital identity guidelines. NIST Special Publication 800-63B. Newman, L. (2019). Building Microservices: Designing Fine-Grained Systems (2nd Edition). O'Reilly Media. ISBN 978-1492056250 NIST Cybersecurity Framework. (2018). National Institute of Standards and Technology. [https://www.nist.gov/cyberframework](https://www.google.com/ur l?sa=E&source=gmail&q=https://www.nist.gov/cyberframework) NIST SP 800-137. “Information Security Continuous Monitoring (ISCM) for Federal Information Systems and Organizations”. National Institute of Standards and Technology.

NIST SP 800-145. “The NIST Definition of Cloud Computing”. National Institute of Standards and Technology.

NIST SP 800-160. “Systems Security Engineering: Considerations for a Multidisciplinary Approach in the Engineering of Trustworthy Secure Systems”. National Institute of Standards and Technology.

NIST SP 800-30. “Guide for Conducting Risk Assessments”. National Institute of Standards and Technology.

NIST SP 800-53A. “Assessing Security and Privacy Controls in Federal Information Systems and Organizations: Building Effective Assessment Plans”. National Institute of Standards and Technology.

NIST SP 800-61. “Computer Security Incident Handling Guide”. National Institute of Standards and Technology.

NIST SP 800-63B. “Digital Identity Guidelines”. National Institute of Standards and Technology.

NIST. (2020). Security and Privacy Controls for Information Systems and Organizations.

NISTIR 8259. “Foundational Cybersecurity Activities for IoT Device Manufacturers”. National Institute of Standards and Technology.

216

Keamanan Informasi (Cyber Security)

Nurendro Ilhamsyah, R., Mahmudi, A. and Faisol, A. (2024) ‘RANCANG BANGUN APLIKASI SITELADAN ABSENSI SISWA MENGGUNAKAN SIDIK JARI STUDI KASUS SMP NEGERI 1 MARGOMULYO BERBASIS IOT’, JATI (Jurnal Mahasiswa Teknik Informatika), 7(5).

Available at: https://doi.org/10.36040/jati.v7i5.7612.

O'Reilly Media, Inc. (2020). IoT Security. O'Reilly Media. ISBN 9781119527923 Orjatsalo, J. (2022). Facilitating Cyber Security Threat Modelling: A Social Capital Perspective. European Conference on Knowledge Management, 23(2), 878–884.

OWASP. (2021). Top Ten Project. https://owasp.org Papakonstantinou, N., Van Bossuyt, D. L., Linnosmaa, J., Hale, B., & O’Halloran, B. (2021). A Zero Trust Hybrid Security and Safety Risk Analysis Method. Journal of Computing and Information Science in Engineering, 21(5).

Peltier, T. R. (2020). “Information Security Policies, Procedures, and Standards: Guidelines for Effective Information Security Management”. CRC Press.

Pfleeger, C. P., & Pfleeger, S. L. (2003). Security in computing. Prentice Hall.

Pierson, C. (2017). Programming the Internet of Things: An Introduction to Building Integrated, Device-to-Cloud IoT Solutions. Manning Publications. ISBN 978-1617293678 Ponemon Institute. (2020). Cost of a Data Breach Report 2020.

Ponemon Institute. (2021). "Cost of a Data Breach Report 2021." https://www.ibm.com/security/data-breach Ponemon Institute. (2021). “Cost of a Data Breach Report”. IBM Security. [https://www.ibm.com/security/databreach](https://www.google.com/url?sa=E&source=gmail&q=https:// www.ibm.com/security/data-breach)

Daftar Pustaka

217

Ponemon Institute. (2022). The Cost of Insider Threats: Global Report. https://www.ponemon.org/ Prasetyo, S.J., Lubis, M., Witjaksono, R.W., & Azizah, A.H. (2019). Critical Failure Factors in Enterprise Resource Planning (ERP) Implementation: Case Study of PT. Toyota Astra Motor Indonesia.

Proc. IEEE ICIC. Prasetyo, Y.A., & Lubis, M. (2020). Smart City Architecture Development Methodology (SCADM): A Meta-Analysis using SOA-EA and SoS Approach. SAGE Open 10(2), 1-14.

Prihadiati, R. r. L.A., Putra, Y.H. and Aris, U. (2024) ‘Penerapan Pemberantasan Tindak Pidana Terorisme Pasal 12A Ayat (2) Undangundang No. 5 Tahun 2018 Dihubungkan dengan Keadilan bagi Pelaku Terorisme’, HUMANIORUM, 1(4).

Available at: https://doi.org/10.37010/hmr.v1i4.27.

Purbodiningrat, R.E.R., I Nyoman Yudi Anggara Wijaya and I Gede Juliana Eka Putra (2024) ‘PEMBANGUNAN INFRASTRUKTUR JARINGAN FIBER OPTIC JALUR UDARA PT. WISUANDHA NETWORK GLOBALINDO DI KABUPATEN BULELENG’, Jurnal Informatika Teknologi dan Sains (Jinteks), 6(1).

Available at: https://doi.org/10.51401/jinteks.v6i1.3776.

Purnama Putra, I.P.K., Dharma Saputra, K.E. and Suandika, I.N. (2024) ‘KEWENANGAN IMIGRASI DALAM MELAKSANAKAN DEPORTASI KEPADA WARGA NEGARA ASING’, Jurnal Ilmiah Raad Kertha, 7(1).

Available at: https://doi.org/10.47532/jirk.v7i1.1057.

Putra, F.P.E. et al. (2024) ‘Tinjauan Performa RouterOS Mikrotik dalam Jaringan Internet: Analisis Kinerja dan Kelayakan’, Digital Transformation Technology, 3(2).

Available at: https://doi.org/10.47709/digitech.v3i2.3446.

Putri, A.D., Lubis, M., & Azizah, A.H. (2020). Analysis of Critical Success Factors (CSF) in Enterprise Resource Planning (ERP) Implementation

218

Keamanan Informasi (Cyber Security)

using Extended Technology Acceptance Model (TAM) at Trading and Distribution Company. Proc. of IEEE ELTICOM. Rahman, S., & Lee, K. (2023). Dynamic access control using attribute-based policies in IoT environments. Journal of Internet Security Research, 18(4), 213-229.

Rahman, S., Davis, K., & Taylor, J. (2023). Passwordless authentication: Advancing user security and experience. Technology in Practice, 19(4), 212-228.

Roman, R., Zhou, J., & Lopez, J. (2013). On the features and challenges of security and privacy in distributed internet of things. Computer Networks, 57(10), 2266-2279.

Rose, S., Borchert, O., Mitchell, S., & Connelly, S. (2020). Zero Trust Architecture. National Institute of Standards and Technology, Special Publication 800-207.

Ross, R., McEvilley, M., & Oren, J. (2018). Systems Security Engineering: Considerations for a Multidisciplinary Approach in the Engineering of Trustworthy Secure Systems (NIST SP 800-160). Gaithersburg, MD: National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800160 Russell, D. & Hart, A. (2020). Practical Internet of Things Security: Design a Security Framework for an Internet of Things Ecosystem. Packt Publishing. ISBN 978-1838827356 Safitra, M.F., dkk. (2023). Metaverse Trend: Definition, Application, Opportunities, Law, and Ethics. Proc. of IEEE ICOCO, 160-165.

Safitra, M.F., Lubis, M., & Kurniawan, M.T. (2023). Cyber Resilience: Research Opportunities. Proc. ACM ICECCE. Safitra, M.F., Lubis, M., & Ramadani, L. (2024). Advancements in Artificial Intelligence and Data Science: Models, Applications, and Challenges.

Procedia Computer Science 234, 381-388.

Daftar Pustaka

219

Salamh, F. E., Karabiyik, U., Rogers, M. K., & Matson, E. T. (2021). A Comparative UAV Forensic Analysis: Static and Live Digital Evidence Traceability Challenges. Drones, 5(2), 42.

Sandy, S., & Solihin, H. H. (2021). Audit Keamanan dan Manajemen Risiko pada e-Learning Universitas Sangga Buana. Jurnal Manajemen Informatika (JAMIKA), 11(1), 1–14.

Santika, Erlina F. (2024). Serangan Digital di Indonesia Meningkat pada Kuartal I 2024. https://databoks.katadata.co.id/ Sari, I. Y. et al. (2020) Keamanan Data dan Informasi. Yayasan Kita Menulis.

Scambray J., Shema M., and Sima, C. (2006) Hacking Exposed Web Applications: Web Application Security Secrets and Solutions.

Scarfone, K. A., Grance, T., & Masone, K. (2008). Computer security incident handling guide.

Schneier, B. (2000). Secrets and lies: Digital security in a networked world.

John Wiley & Sons, Inc. Schneier, B. (2015). Data and Goliath: The Hidden Battles to Collect Your Data and Control Your World. W. W. Norton & Company. ISBN 9780393352177 Seth, A., Bhattacharya, S., Elder, S., Zahan, N., & Williams, L. (2022).

Comparing Effectiveness and Efficiency of Interactive Application Security Testing (Iast) and Runtime Application Self-Protection (Rasp) Tools in A Large Java-Based System. SSRN Electronic Journal.

Sicari, S., Rizzardi, A., Grieco, L. A., & Coen-Porisini, A. (2015). Security, privacy and trust in Internet of Things: The road ahead. Computer Networks, 76, 146-164. https://doi.org/10.1016/j.comnet.2014.11.008 Sihotang, J. I., Arni, S., Darsin, Ashari, I. F., Hasan, M. N., & Fadhillah, Y. (2023). Kontrol dan Audit TI.

220

Keamanan Informasi (Cyber Security)

Sikdar, B., Sikdar, S., & Amin, R. (2019). Security and privacy in software defined internet of things: Challenges and opportunities. IEEE Internet of Things Journal, 6(2), 1670-1683.

Simarmata, J. et al. (2022) Sistem Keamanan Data. Yayasan Kita Menulis.

Simarmata, J., Sasongko, D., & Ashari, I. F. (2022). Sistem Keamanan Data.

In Suparyanto dan Rosad (2015 (Vol. 5, Issue 3).

Simarmata, J., Sriadhi, S. dan Rahim, R. (2020) Kriptografi: Teknik Keamanan Data Dan Informasi. Jogyakarta: Andi Publisher.

Smith, A., & Johnson, P. (2022). Cybersecurity Threat Trends: Analysis and Impact. Journal of Information Security, 15(4), 210-222.

Smith, M. (2020). Data Security in Remote Work Environments. Oxford University Press.

Smith, M. (2020). IoT Security Challenges in Data Protection. Oxford University Press.

Smith, M. (2021). Auditing and Compliance in Data Security. Oxford University Press.

Smith, M. (2021). Ensuring Data Availability for Business Continuity. Oxford University Press.

Smith, M. (2021). The Value of Data Protection in Modern Business. Oxford University Press.

Smith, M., & Brown, L. (2020). Real-Time Threat Detection and Data Security. Oxford University Press.

Smith, R. G., and Hutchings, A. (2020). Cybercrime: Risks, Responses and Regulation. London: Palgrave Macmillan.

Smith, R., & Brown, E. (2022). Understanding modern authentication mechanisms. IT Security Review, 18(5), 89-103.

Smith, R., & Brown, E. (2023). Exploring OAuth and OpenID Connect: Authorization in the digital age. IT Security Journal, 29(5), 90-105.

Daftar Pustaka

Social-Engineer.org. (2019). The https://social-engineer.org

221

Social

Engineering

Framework.

Solove, D. J. (2006). “Digital person: Technology and privacy in the information age”. NYU Press.

Stallings, W., & Brown, L. (2018). “Computer Security: Principles and Practice”. Pearson Education.

Stergiou, C., Psannis, K. E., Kim, B. G., & Gupta, B. B. (2018). Secure integration of IoT and cloud computing. Future Generation Computer Systems, 78, 964-975. https://doi.org/10.1016/j.future.2017.02.031 Stoneburner, G., Goguen, A., & Feringa, A. (2002). Risk Management Guide for Information Technology Systems. NIST Special Publication 80030. National Institute of Standards and Technology.

Stouffer, K., Falco, J., & Scarfone, K. (2011). Guide to Industrial Control Systems (ICS) Security (NIST SP 800-82). Gaithersburg, MD: National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.80082 Sudirman, S., Suyuti, A., Zainuddin, Z., & Fauzan, A. (2024). Fall Rate Detection, Identification and Analysis Object Oriented for Elderly Safety. ILKOM Jurnal Ilmiah, 16(1), 1-11.

Suharni, S. (2024) ‘EKSPLORASI METODE PENGOLAHAN BIG DATA UNTUK PEMODELAN PREDIKTIF DALAM BIDANG KESEHATAN’, Jurnal Review Pendidikan dan Pengajaran (JRPP), 7(1 SE-Articles).

Suo, H., Wan, J., Zou, C., & Liu, J. (2012). Security in the internet of things: A review. In 2012 International conference on computer science and electronics engineering (Vol. 3, pp. 648-651). IEEE. Supriyanto, B., Sumijan, & Yuhandri. (2024). Audit Keamanan Website Menggunakan Acunetix Web Vulnerability (Studi Kasus Di SMK Muhammadiyah 3 Terpadu Pekanbaru). Jurnal CoSciTech (Computer Science and Information Technology), 5(1), 134–143.

222

Keamanan Informasi (Cyber Security)

Taylor, J., Anderson, M., & Li, Z. (2023). Zero trust architecture: Implementation and challenges. Journal of Cybersecurity Strategies, 11(1), 32-50.

Triadi Antara, K. (2024) ‘Pengaruh IoT pada Transformasi Jaringan Multimedia: Literatur Review’, Jurnal Ilmu Komputer dan Sistem Informasi (JIKOMSI), 7(1).

Available at: https://doi.org/10.55338/jikomsi.v7i1.2736.

Turner, R. (2021). Application Security Measures for Modern Enterprises.

Journal of Application Security, 7(4), 210-228.

Tuttle, B., & Vandervelde, S. D. (2021). IT governance: The benefits of the COBIT 2019 framework. Journal of Accounting and Public Policy, 40(5), 106856. https://doi.org/10.1016/j.jaccpubpol.2021.106856 Vacca, J. R. (2020). Guide to Computer Network Security (5th ed.). Springer.

Verizon. (2021). “Data Breach Investigations Report”. Verizon Enterprise Solutions. [URL yang tidak valid dihapus] Verizon. (2021). 2021 Data Breach Investigations https://enterprise.verizon.com/resources/reports/dbir

Report.

Voigt, P., & Von dem Bussche, A. (2017). “The EU general data protection regulation (GDPR): a practical guide”. Springer.

Von Solms, B., & Von Solms, R. (2004). The 10 deadly sins of information security management. Computers & Security, 23(5), 371–376. https://doi.org/10.1016/j.cose.2004.05.002 Wahyudin, W. et al. (2024) ‘Metode Vulnerability Assesment Dalam Pengujian Kinerja Sistem Keamanan Website Points of Sales’, Computer Science (CO-SCIENCE), 4(1). Available at: https://doi.org/10.31294/coscience.v4i1.2978.

Wall, D. S. (2020). Cybercrime: The Transformation of Crime in the Information Age. Cambridge: Polity Press.

Daftar Pustaka

223

Waroh, A.P.Y. et al. (2024) ‘Sistem Keamanan Rumah Melalui Pengenalan Wajah Dengan Webcam Berbasis Raspberry Pi4’, Jambura Journal of Electrical and Electronics Engineering, 6(1). Available at: https://doi.org/10.37905/jjeee.v6i1.21714.

Weber, R. H. (2010). Internet of Things. Springer. ISBN 978-3642102992 Wharton, D. (2023). “The AI Security Cookbook: Recipes for building secure AI systems”. O'Reilly Media.

White, K. (2019). Data Encryption and Privacy in the Digital Age. Routledge.

White, K. (2020). Data Backup and Recovery Strategies. Cambridge University Press.

White, K. (2020). Data Minimization and Privacy-by-Design. Cambridge University Press.

White, K. (2021). AI and Machine Learning in Data Protection. Cambridge University Press.

White, K. (2021). Ethics and Data Privacy in Business Operations.

Cambridge University Press.

White, K. (2021). Malware Evolution and the Increasing Threat to Data Security. Cambridge University Press.

White, K. (2021). Sensitive Information and Privacy in the Age of Big Data.

Cambridge University Press.

Whitman, M. E., & Mattord, H. J. (2018). Principles of Information Security (6th ed.). Cengage Learning.

Whitman, M. E., & Mattord, H. J. (2021). “Principles of Information Security”. Cengage Learning.

Wilkin, C. L., & Chenhall, R. H. (2020). Improving organizational performance through effective IT governance: The case for adopting COBIT 2019. Information & Management, 57(2), 103141. https://doi.org/10.1016/j.im.2019.103141

224

Keamanan Informasi (Cyber Security)

Wlosinski, L. G. (2022). Cybersecurity Incident Response Exercise Guidance.

ISACA. Xu, L. D., He, W., & Li, S. (2014). Internet of Things in Industries: A Survey.

IEEE Transactions on Industrial Informatics, 10(4), 2233-2243. ISBN 978-1-4799-5443-9 Yar, M., and Steinmetz, K. F. (2020). Cybercrime and Society. 3rd ed.

London: SAGE Publications.

Zarpelão, B. B., Miani, R. S., Kawakani, C. T., & Al-Muhtadi, S. (2017). A survey of intrusion detection in internet of things. Journal of Network and Computer Applications, 84, 25-37.

Biodata Penulis Ilham Firman Ashari akrab disapa Ilham. Penulis saat ini sebagai dosen aktif di Program Studi Teknik Informatika Institut Teknologi Sumatera (ITERA).

Sebagai seorang dosen, ilham aktif untuk melakukan penelitian di bidang keamanan informasi, IoT, dan kecerdasan buatan. Ilham adalah lulusan dari Institut Teknologi Bandung tahun 2018 dan bergabung menjadi dosen di ITERA tahun 2019. Saat ini sebagai Ketua Kelompok keilmuan (KK) bidang Keamanan Siber, Multimedia, dan IoT. Wisnu Kurniadi, lahir pada 27 Mei 1989 di Lamasi, Kabupaten Luwu, Sulawesi Selatan, adalah anak bungsu dari enam bersaudara. Ia merupakan putra dari pasangan Bapak Buang Pawiro (alm) dan Ibu Sulastri. Saat ini, Wisnu Kurniadi telah berkeluarga dengan seorang istri dan seorang putra.

Dalam perjalanan pendidikannya, ia berhasil meraih gelar sarjana di Universitas Cokroaminoto Palopo (UNCP) dan melanjutkan studi hingga memperoleh gelar magister di bidang informatika dari Universitas Islam Indonesia (UII). Saat ini, ia berstatus sebagai dosen tetap di Universitas Cokroaminoto Palopo, Sulawesi Selatan. Selain mengajar mata kuliah di Program Studi Informatika Fakultas Teknik Komputer UNCP, Wisnu Kurniadi juga dipercaya menjabat sebagai Direktur Sistem Informasi di universitas tersebut.

E-mail: wisnukurniadi@uncp.ac.id

226

Keamanan Informasi (Cyber Security)

Sudirman, yang akrab disapa Dymand, lahir di Takalar dan memiliki hobi membaca buku. Ia menempuh pendidikan S1 dan S2 di Universitas Muslim Indonesia, Fakultas Ilmu Komputer, Jurusan Teknik Informatika, angkatan 2009, dan lulus sebagai lulusan terbaik.

Selama karier akademisnya, Sudirman berhasil meraih juara 1 dalam lomba karya ilmiah komputer di Politeknik Negeri Ujungpandang saat masih bersekolah di SMKN 2 Takalar. Ia memiliki minat yang besar dalam jaringan komputer dan kecerdasan buatan (artificial intelligence).

Sudirman pernah bekerja sebagai ahli troubleshoot komputer di sebuah perusahaan komputer dan terlibat dalam berbagai proyek IT. Saat ini, ia aktif sebagai programer, dosen, dan pengajar karyawan di bidang IT, berfokus pada peningkatan keterampilan interpersonal karyawan di perusahaannya. Ia menjunjung tinggi profesionalisme dalam bidang komputer.

Sebagai penulis, Sudirman telah menerbitkan banyak artikel dan buku tentang teknologi, yang dipublikasikan di beberapa majalah teknologi terkemuka.

Artikel-artikelnya mencakup topik kecerdasan buatan, teknologi informasi, dan pengembangan aplikasi. Ia juga aktif dalam riset dan analisis tren teknologi terkini, termasuk riset di Jepang pada tahun 2016.

Sudirman saat ini bekerja sebagai dosen di Program Studi Teknologi Informasi, Fakultas Teknik, Universitas Bosowa, dan. Selain itu, ia juga menjabat sebagai Direktur di sebuah perusahaan. Dengan keahlian yang luas dalam teknologi, mulai dari pengembangan perangkat lunak hingga keamanan siber, Sudirman adalah sosok yang pekerja keras, selalu mencari hal-hal baru, dan seorang yang rajin beribadah. Pengalamannya yang mendalam menjadikannya salah satu penulis teknologi terkemuka dan sumber inspirasi bagi banyak orang di industri teknologi. sudirman.dymand@universitasbosowa.ac.id

Biodata Penulis

227

Dr. Ir. Janner Simarmata, S.T., M.Kom. (C.SP., C.BMC., C.DMP., C.PI., C.PKIR., C.SF., C.PDM., C.SEM., C.COM., C.SI., C.SY., C.STMI INT'l., CBPA., C.WI.) Sarjana Teknik Informatika dari STMIK Bandung, Magister Ilmu Komputer dari Universitas Gadjah Mada (UGM) dan Doktor Pendidikan Teknologi Kejuruan (PTK) diperoleh dari Universitas Pendidikan Indonesia (UPI) Bandung bidang kajian Blended Learning. Program Profesi Insinyur (PPI) dari Institut Teknologi Indonesia (ITI). Alumni Taplai II 2004 Lemhannas RI . Menulis buku sejak tahun 2005 dan telah menulis 315 buku dan 200 HKI. Dosen di Pendidikan Teknologi Informatika dan Komputer (PTIK) Fakultas Teknik Universitas Negeri Medan.

Zelvi Gustiana lahir di salah satu daerah kecil di Sumatera Barat yaitu Sungai Rumbai. Ia tercatat sebagai lulusan S1 Sistem Komputer dan Magister Komputer di Universitas Putra Indonesia ”YPTK” Padang. Kemudian melanjutkan studi S2 pada Universitas yang sama yaitu Universitas Putra Indonesia ”YPTK” Padang dan lulus pada tahun 2018.

Selain itu, saya juga aktif melakukan kegiatan penelitian dan pengabdian kepada masyarakat disamping melakukan aktivitas pengajaran sebagai implementasi tri dharma.

Telah menulis lebih dari 15 buku di bidang komputer di bawah naungan Yayasan Kita Menulis E-mail: zelvi@dharmawangsa.ac.id

228

Keamanan Informasi (Cyber Security)

Muhammad Resha lahir di Ujungpandang, pada 10 Februari 1975. Ia tercatat sebagai lulusan Pasca Sarjana Universitas Gunadarma tahun 2004. Lelaki yang kerap disapa Resha ini adalah anak dari pasangan M Sardin (Alm) (ayah) dan Husniar Husain(Alm) (ibu). Muhammad Resha bukanlah orang baru di dunia Teknologi Informasi. Ia membangun Usaha Teknologi Informasi sejak tahun 2006.

Sampai saat ini memiliki Tim IT Software Development. Selain itu aktif sebagai Dosen Pengajar di Universitas Teknologi Akba Makassar Program Studi Sistem Informasi.

Nurdin. Dosen Tetap Program Studi Teknik Informatika pada Universitas Dipa Makassar.

Mengampu Matakuliah : Keamanan Komputer/Kriptografi, Keamanan Jaringan, Keamanan Sitem Informasi, Data Mining, Sistem Operasi, Jaringan Komputer, Pemrograman Web. Email : nurdin@undipa.ac.id.

Sarah Rosdiana Tambunan. Menyelesaikan Pendidikan Program S1 di Program Studi Sistem Informasi, Institut Teknologi Del pada tahun 2019, dan S2 di Program Magister Ilmu Komputer, FMIPA, UGM Yogyakarta. Seorang dosen tetap Program Studi Sistem Informasi, Fakultas Informatika dan Teknik Elektro, Institut Teknologi Del. Mengampu mata kuliah Algoritma dan Struktur Data, Keamanan Sistem, Arsitektur dan Organisasi Komputer, Audit Teknologi Informasi dan Manajemen Proyek Sistem Informasi. Research-nya focus di Software Engineering and Data Security.

E-mail: sarah.tambunan@del.ac.id, sarahtambunan24@gmail.com

Biodata Penulis

229

Nizirwan Anwar, saat ini berkarir sebagai Dosen Tetap Jenjang Studi S1 Program Studi Teknik Informatika Fakultas Ilmu Komputer Universitas Esa Unggul di bawah naungan Yayasan Pendidikan Kemala Bangsa (YPKB). Penulis lahir di kota Bandung tanggal 24 Juli 1964, menyelesaikan pendidikan S1 dari Program Studi Fisika Fakultas Matematika dan Ilmu Pengetahuan Alam Universitas Padjadjaran Bandung, Jawa Barat (1989) dan melanjutkan Program Studi Teknik Elektro Fakultas Teknik (dh .Program Studi Pascasarjana) Universitas Indonesia, Depok Jawa Barat (dh DKI Jakarta), menyelesaikan studinya (1995), memperoleh gelar Insinyur Profesional Madya (IPM) tahun 2022; Certified ASEAN Engineer (ASEAN.Eng) tahun 2023.

Riwayat singkat perjalanan karir penulis sebagai seorang pendidik (dosen) dalam melaksanakan dan mengabdi pada Tri Dharma Perguruan Tinggi sudah 34 tahun – sekarang. Alhamdulillah telah menghasilkan beberapa karya ilmiah/artikel terpublikasi (nasional/internasional) bereputasi dan terindeks, bidang kajian Internet of Things, Digital Forensik, Kriptografi, Bibliometrik dan Data Science. Hingga pernah/saat ini aktif di beberapa organisasi profesi (IAII, ADI, ACM, IEEE, ASIOTI, BKI PII, APTIKOM, IAENG), Asesor Dosen Nasional BKD (NIRA), Reviewer Jurnal Ilmiah Terakreditasi SINTA (Kemendikbud DIKTI); Komite Ilmiah Konferensi (Nasional/Internasional), Pengurus Badan Kejuruan Informatika (BKI) Persatuan Insyinyur Indonesia dan Asesor Majelis Uji Kompetensi (MUK) Persatuan Insinyur Indonesia (PII) (2021- saat ini). e-mail korespodensi: nizirwan.anwar@esaunggul.ac.id Muharman Lubis memiliki gelar Ph.D. di bidang Teknologi Informasi dari International Islamic University Malaysia. Sebelumnya, ia menyelesaikan gelar Master di universitas yang sama dan gelar Sarjana di Universiti Utara Malaysia dengan spesialisasi dalam Jaringan Komputer. Saat ini, ia sedang mengejar gelar Magister Manajemen di Universitas Widyatama, gelar Sarjana Hukum di Universitas Terbuka, dan Double Degree di

230

Keamanan Informasi (Cyber Security)

International Open University untuk Bachelor of Art (Islamic Studies) dan Bachelor of Science (Psychology).

Mengampu beragam mata kuliah dari Tata Kelola Data dan Teknologi Informasi, Analisa Data dan Bisnis Perusahaan, Transformasi dan Strategi Digital, Inovasi dan Kewirausahaan Teknologi, Manajemen Pengetahuan dan Sumber Daya, Metodologi Penelitian, Hukum dan Etika Siber. Menulis beberapa jurnal ilmiah dan seminar internasional terkait Perlindungan Data Pribadi, Strategi Sistem Informasi Organisasi, dan Ketangguhan dan Jaminan Siber.

E-mail: muharmanlubis@telkomuniversity.ac.id