FullBook Keamanan Informasi (Cybersecurity)

Keamanan Informasi (Cybersecurity)

Ilham Firman Ashari, Wisnu Kurniadi, Sudirman, Janner Simarmata

Zelvi Gustiana, Nurdin, Muhammad Resha

Sarah Rosdiana Tambunan, Nizirwan Anwar, Muharman Lubis

Penerbit Yayasan Kita Menulis

Keamanan Informasi (Cybersecurity)

Copyright © Yayasan Kita Menulis, 2025

Penulis:

Ilham Firman Ashari, Wisnu Kurniadi, Sudirman, Janner Simarmata

Zelvi Gustiana, Nurdin, Muhammad Resha

Sarah Rosdiana Tambunan, Nizirwan Anwar, Muharman Lubis

Editor: Iko Mart Nadeak

Desain Sampul: Devy Dian Pratama, S.Kom.

Penerbit

Yayasan Kita Menulis

Web: kitamenulis.id

e-mail: press@kitamenulis.id

WA: 0813-9680-7167

IKAPI: 044/SUT/2021

Ilham Firman Ashari., dkk.

Keamanan Informasi (Cybersecurity)

Yayasan Kita Menulis, 2025

xiv; 230 hlm; 16 x 23 cm

ISBN: 978-623-113-649-7

Cetakan 1, Januari 2025

I. Keamanan Informasi (Cybersecurity)

II. Yayasan Kita Menulis

Katalog Dalam Terbitan

Hak cipta dilindungi undang-undang

Dilarang memperbanyak maupun mengedarkan buku tanpa

Izin tertulis dari penerbit maupun penulis

Kata Pengantar

Keamanan informasi adalah praktik melindungi informasi dari ancaman yang dapat merusak integritas, kerahasiaan, dan ketersediaannya.

Keamanan informasi bertujuan untuk menjaga agar data tetap aman dari akses, penggunaan, pengungkapan, perusakan, atau perubahan yang tidak sah. Keamanan informasi mencakup kebijakan, prosedur, dan teknologi yang digunakan untuk melindungi data baik dalam bentuk elektronik, fisik, maupun lainnya.

Buku ini membahas :

Bab 1 Pengantar Keamanan Informasi

Bab 2 Prinsip-prinsip Keamanan Informasi

Bab 3 Pengamanan Jaringan

Bab 4 Perlindungan Data

Bab 5 Jenis-jenis Serangan Siber

Bab 6 Kebijakan Keamanan

Bab 7 Analisis Ancaman

Bab 8 Pengamanan Aplikasi (Application Security)

Bab 9 Keamanan Internet of Things (IoT)

Bab 10 Pengujian Keamanan dan Evaluasi

Harapan kami, buku ini dapat memberikan pengetahuan mendalam sekaligus keterampilan praktis yang diperlukan untuk mengembangkan dan mengimplementasikan keamanan informasi.

Semoga buku ini menjadi sumber inspirasi dan referensi yang berguna bagi semua pembaca. Selamat membaca dan semoga sukses

November 2024 Penulis

vi Keamanan Informasi (Cyber Security)

Bab 1

Daftar Isi

2.2

Bab

Bab

4.1

6.4

6.5

7.4

7.3.3

Bab 8

Pengamanan Aplikasi (Application

Bab 9 Keamanan Internet of Things (IoT)

9.1

9.3

9.4

9.7

9.9

Daftar Gambar

Gambar 2.1: COBIT .........................................................................................37

Gambar 7.1: Tren Peningkatan Insiden Kemanan Informasi di Indonesia ..112

Gambar 8.1: Contoh program yang rentan BOF ............................................133

Gambar 8.2: contoh fungsi ...............................................................................133

Gambar 8.3: Visual Studio ...............................................................................135

Gambar 8.4: Contoh kode rentan format string vuln. 135

Gambar 8.5: Contoh hasil eksekusi 136

Gambar 8.6: Contoh kode yang rentan terhadap Integer Overflow ..............136

Gambar 8.7: Arsitektur Aplikasi Web ............................................................137

Gambar 8.8: Contoh query...............................................................................142

Gambar 8.9: Query yang diubah oleh input user............................................142

Gambar 8.10: source code pada DVWA ........................................................143

Gambar 8.11: output pada DVWA .................................................................143

Gambar 8.12: cara kerja man-in-the-middle attack ........................................144

Gambar 8.13: cara kerja XSS (stored-XSS) ...................................................144

Gambar 8.14: cara kerja session sniffing attack 145

Gambar 8.15: Output pada DVWA untuk XSS 145

xii Keamanan Informasi (Cyber Security)

Daftar Tabel

Tabel 4.1: Jenis-jenis data pribadi yang dilindungi ........................................63

Tabel 4.2: Jenis-jenis data organisasi yang dilindungi ...................................65

Tabel 8.1: Stack dari fungsi login ....................................................................134

xiv Keamanan Informasi (Cyber Security)

Bab 1 Pengantar Keamanan Informasi

1.1 Definisi Keamanan Informasi

Keamanan informasi adalah disiplin keilmuan yang berfokus pada perlindungan informasi dari ancaman yang dapat merusak kerahasiaan, integritas, dan ketersediaan nya (Ashari et al., 2020). Di era digital, informasi menjadi aset penting bagi individu, organisasi, dan pemerintah, namun rentan terhadap risiko seperti serangan siber, kesalahan manusia, dan bencana alam. Hal ini menjadi esensial untuk keberlangsungan di dunia modern.

Keamanan Informasi adalah upaya melindungi informasi dari akses, penggunaan, pengungkapan, gangguan, dan modifikasi yang tidak sah. Fokus utamanya adalah menjaga tiga elemen utama, yaitu Confidentiality (Kerahasiaan), Integrity (Integritas), dan Availability (Ketersediaan), yang sering disebut sebagai CIA Triad (Simarmata et al., 2022).

2 Keamanan Informasi (Cyber Security)

Informasi yang dimaksud meliputi:

1. Informasi digital

Informasi digital adalah data yang disimpan, diproses, atau ditransfer menggunakan perangkat elektronik atau sistem komputer. Informasi ini biasanya berbentuk file digital atau basis data yang dapat diakses melalui jaringan atau perangkat tertentu.

Contoh :

a. File dokumen digital seperti PDF, Word, atau spreadsheet.

b. Data pelanggan yang disimpan dalam sistem CRM (Customer Relationship Management).

c. Data transaksi keuangan dalam sistem perbankan.

d. Informasi pribadi dalam media sosial (foto, video, atau status).

Kerentanan :

a. Dapat dicuri atau diubah melalui serangan malware atau hacking.

b. Rentan terhadap akses tidak sah melalui perangkat jaringan yang lemah.

c. Risiko kehilangan jika tidak dilakukan backup.

2. Informasi fisik

Informasi fisik adalah data atau informasi yang disimpan dalam bentuk non-digital, seperti dokumen cetak, buku, catatan manual, atau file arsip. Informasi ini sering kali masih digunakan di berbagai organisasi untuk kebutuhan administratif atau legal.

Contoh :

a. Dokumen kontrak atau perjanjian hukum dalam bentuk cetak.

b. Laporan keuangan tahunan yang diarsipkan secara fisik.

Bab 1 Pengantar Keamanan Informasi 3

c. Peta dan cetak biru bangunan.

d. Formulir pendaftaran manual.

Kerentanan :

a. Dapat dicuri secara fisik (misalnya, dari lemari arsip yang tidak terkunci).

b. Risiko kerusakan akibat kebakaran, banjir, atau bencana alam lainnya.

c. Mudah diakses oleh pihak tidak berwenang jika tidak ada kontrol keamanan fisik.

3. Informasi verbal Informasi verbal adalah informasi yang disampaikan secara lisan melalui komunikasi langsung (tatap muka) atau melalui alat komunikasi seperti telepon, konferensi video, atau pesan suara.

Contoh :

a. Diskusi rapat yang menyampaikan informasi strategis perusahaan.

b. Pembicaraan telepon antara dokter dan pasien yang berisi informasi medis.

c. Arahan langsung dari manajer kepada karyawan tentang proyek penting.

Kerentanan :

a. Risiko penyadapan pada komunikasi telepon atau konferensi video

b. Kebocoran informasi jika pihak yang tidak berwenang mendengar pembicaraan.

c. Kesalahan penyampaian atau misinterpretasi yang dapat menyebabkan masalah.

4

Keamanan Informasi (Cyber Security)

Pentingnya Keamanan Informasi di Era Digital (Sari etal. , 2020; Simarmata etal. , 2022):

1. Melindungi Privasi Individu

Data pribadi seperti nomor identitas, alamat, informasi kesehatan, dan data finansial perlu dilindungi agar tidak disalahgunakan.

2. Keamanan Bisnis

Perusahaan menyimpan data penting seperti strategi bisnis, informasi pelanggan, dan data keuangan yang jika bocor dapat menyebabkan kerugian besar.

3. Pencegahan Kejahatan Siber

Keamanan informasi membantu mencegah kejahatan seperti phishing, ransomware, dan penipuan daring yang meningkat drastis di era digital.

4. Kepatuhan Hukum dan Regulasi

Banyak negara memiliki regulasi seperti GDPR (General Data Protection Regulation) dan UU ITE (di Indonesia) yang mewajibkan organisasi menjaga data.

5. Kepercayaan Publik

Pelanggaran keamanan informasi dapat merusak reputasi organisasi, sehingga melindungi informasi menjadi kunci menjaga kepercayaan pelanggan.

6. Melindungi Infrastruktur Kritis

Di era digital, sektor seperti transportasi, kesehatan, dan energi sangat bergantung pada teknologi. Serangan terhadap infrastruktur ini bisa berdampak besar pada masyarakat.

7. Meningkatkan Ketahanan Digital

Dengan ancaman yang terus berkembang, keamanan informasi membantu organisasi tetap tangguh menghadapi serangan baru.

1.2 Komponen Keamanan Informasi

Berikut adalah penjelasan yang lebih rinci terkait komponen keamanan informasi.

1. Manusia

Komponen manusia mencakup semua individu yang terlibat dalam pengelolaan, penggunaan, atau pengamanan informasi. Manusia sering dianggap sebagai "mata rantai terlemah" dalam keamanan informasi, karena kesalahan manusia menjadi salah satu penyebab utama terjadinya pelanggaran keamanan.

Aspek Penting pada Faktor Manusia :

a. Awareness (Kesadaran)

Pengguna harus memahami pentingnya menjaga keamanan informasi, termasuk risiko yang muncul dari kekeliruan dari tindakan mereka, seperti mengklik tautan phishing atau menggunakan kata sandi yang lemah. Solusi untuk meningkatkan kesadaran dengan kampanye kesadaran keamanan (security awareness training).

b. Pelatihan (Training)

Pengguna perlu diberikan pelatihan tentang praktik terbaik keamanan informasi, seperti mengenali ancaman phishing, menggunakan perangkat lunak dengan aman, dan respon untuk melaporkan insiden keamanan. Cara paling efektif adalah program pelatihan rutin untuk karyawan dan pengguna.

c. Kesalahan Manusia (Human Error)

Kesalahan ini bisa berupa salah konfigurasi sistem, kehilangan perangkat, atau secara tidak sengaja membocorkan data sensitif. Pengawasan ketat, penggunaan checklist, dan

Keamanan Informasi (Cyber Security)

otomatisasi proses perlu dilakukan untuk mengurangi kesalahan.

Contoh Masalah pada Komponen Manusia:

a. Seorang karyawan membuka lampiran email yang berbahaya dan mengandung malware, menyebabkan malware menyebar di jaringan.

b. Pengguna menggunakan kata sandi yang mudah ditebak atau sama untuk banyak akun.

2. Proses

Proses dalam keamanan informasi terdiri dari kebijakan, prosedur, dan pendekatan sistematis untuk melindungi informasi.

Komponen ini membantu organisasi memastikan bahwa keamanan informasi menjadi bagian dari operasional sehari-hari.

Aspek Penting pada Proses

a. Kebijakan Keamanan (Security Policies)

Aturan tertulis yang mengatur bagaimana informasi dilindungi, siapa yang memiliki akses, dan bagaimana pelanggaran dapat ditangani. Kebijakan ini dapat berupa kebijakan penggunaan perangkat pribadi (BYOD), kebijakan kata sandi, dan kebijakan akses data.

b. Prosedur Operasional (Standard Operating Procedures - SOP)

Langkah-langkah yang harus diikuti untuk melindungi informasi dalam berbagai situasi, seperti proses backup data dan pengelolaan akses. Penerapan dalam bentuk SOP perlu diterapakn juga untuk melaporkan insiden keamanan atau kebijakan enkripsi data.

c. Manajemen Risiko

Identifikasi, evaluasi, dan mitigasi risiko yang mungkin mengancam keamanan informasi.

Contoh Masalah pada Komponen Proses

a. Tidak adanya kebijakan yang jelas tentang penggunaan perangkat USB, sehingga karyawan tanpa sadar terlah menyebarkan malware atau menjadi objek yang diserang malware.

b. Prosedur backup data yang tidak rutin menyebabkan hilangnya data penting.

3. Teknologi

Komponen teknologi mencakup alat, perangkat keras, perangkat lunak, dan infrastruktur yang digunakan untuk melindungi informasi dari ancaman. Teknologi memberikan lapisan perlindungan yang dapat diotomatisasi untuk mendeteksi, mencegah, atau memitigasi ancaman keamanan.

Aspek Penting pada Teknologi

a. Firewall

Melindungi jaringan dari akses tidak sah dengan cara memfilter lalu lintas yang masuk dan keluar. Contohnya adalah Firewall aplikasi web (WAF), firewall jaringan.

b. Enkripsi

Enkripsi adalah metode mengubah informasi menjadi format yang tidak dapat dibaca tanpa kunci dekripsi, melindungi data saat dalam perjalanan atau disimpan (Ashari & Praseptiawan, 2024). Contohnya adalah Protokol HTTPS untuk komunikasi web, enkripsi email (Fairuzabadi et al. , 2023; Ashari et al. , 2024).

Keamanan Informasi (Cyber Security)

c. Antivirus dan Antimalware

Antivirus digunakan untuk melindungi sistem dari perangkat lunak berbahaya seperti virus, worm, ransomware, dan spyware. Contohnya Antivirus yang diperbarui secara berkala.

d. Sistem Deteksi dan Pencegahan Intrusi (IDS/IPS)

IDS/IPS digunakan untuk mendeteksi dan menghentikan serangan yang sedang berlangsung pada jaringan atau sistem.

Contohnya adalah IDS berbasis host, IPS berbasis jaringan.

e. Backup dan Pemulihan Data

Menyediakan salinan data yang dapat dipulihkan jika terjadi insiden, seperti serangan ransomware atau kegagalan sistem.

Contohnya adalah Sistem backup otomatis ke cloud.

Contoh Masalah pada Komponen Teknologi

a. Firewall yang salah konfigurasi memungkinkan akses pihak tidak berwenang ke sistem internal.

b. Antivirus yang tidak diperbarui gagal mendeteksi ancaman baru.

1.3 Confidentiality, Integrity, Availability (CIA)

Tiga Pilar Keamanan Informasi (CIA Triad), yaitu (Indarta et al., 2022):

1. Confidentiality (Kerahasiaan)

Kerahasiaan adalah upaya melindungi informasi agar hanya dapat diakses oleh pihak yang berwenang. Tujuan utama kerahasiaan adalah memastikan bahwa data sensitif tidak jatuh ke tangan yang salah atau tidak sah (Ashari et al., 2024).

Aspek Confidentiality mencakup beberapa hal berikut, yaitu (Simarmata, Sriadhi dan Rahim, 2020):

a. Akses Terbatas

Informasi hanya dapat diakses oleh individu atau sistem yang memiliki otorisasi.

b. Enkripsi

Data dienkripsi agar tidak dapat dibaca dan dipahami oleh pihak yang tidak memiliki kunci enkripsi.

c. Autentikasi

Proses untuk memastikan bahwa pengguna yang mencoba mengakses data adalah pihak yang berwenang dan telah memiliki akses.

d. Klasifikasi Informasi

Menentukan level sensitivitas dari informasi yang dapat diakses, misalnya "rahasia," "terbatas," atau "publik."

Contoh Kasus terkait Confidentiality :

a. Informasi pribadi (misalnya, data pelanggan) hanya dapat diakses oleh staf yang berwenang.

b. Data transaksi kartu kredit harus dienkripsi agar tidak dicuri oleh pihak ketiga.

Kerentanan Confidentiality :

a. Phishing, penjahat siber dapat mencuri kredensial pengguna untuk mendapatkan akses.

b. Penyadapan komunikasi (eavesdropping) pada jaringan yang tidak aman.

Keamanan Informasi (Cyber Security)

2. Integrity (Integritas)

Integritas adalah kemampuan untuk memastikan bahwa informasi tetap akurat, konsisten, dan tidak diubah tanpa izin. Tujuan

integritas adalah melindungi informasi dari modifikasi yang disengaja maupun tidak disengaja.

Aspek Penting Integrity

a. Kontrol Versi

Melacak perubahan yang dibuat pada informasi untuk memastikan keakuratan data.

b. Hashing

Menggunakan algoritma hashing untuk mendeteksi apakah data telah diubah.

c. Audit Log

Mencatat semua aktivitas yang terjadi pada data untuk mendeteksi potensi perubahan tidak sah.

Contoh Kasus Integrity

a. Dalam sistem perbankan, saldo akun pengguna tidak boleh diubah tanpa otorisasi resmi.

b. Dokumen medis pasien harus tetap akurat dan tidak boleh dimodifikasi oleh pihak yang tidak sah.

Kerentanan dari Integrity

a. Serangan malware, seperti ransomware, yang dapat mengenkripsi atau mengubah data pengguna.

b. Kesalahan manusia, seperti penghapusan atau modifikasi data yang tidak disengaja.

3. Availability (Ketersediaan)

Ketersediaan adalah memastikan bahwa informasi dapat diakses oleh pihak yang berwenang kapan pun informasi tersebut

dibutuhkan. Tujuan utama ketersediaan adalah mencegah gangguan terhadap akses informasi yang diperlukan, terutama dalam situasi kritis.

Aspek Penting Availability

a. Backup dan Pemulihan Mencadangkan data secara berkala untuk memastikan data dapat dipulihkan setelah terjadi kegagalan sistem.

b. Pemantauan Sistem Memastikan bahwa sistem berjalan dengan baik dan mendeteksi potensi kegagalan atau serangan.

Contoh Kasus Availability :

a. Layanan perbankan online harus tetap tersedia 24/7 untuk pelanggan.

b. Rumah sakit harus dapat mengakses rekam medis elektronik pasien kapan saja, terutama dalam situasi darurat.

Kerentanan Availability :

a. Serangan Distributed Denial of Service (DDoS) yang membanjiri server hingga server tidak dapat melayani pengguna yang sah.

b. Kegagalan perangkat keras, seperti hard disk rusak, yang menyebabkan data tidak dapat diakses.

1.4 Ancaman dan Risiko dalam

Keamanan Informasi

Berikut beberapa ancaman dan risiko dalam keamanan informasi, yaitu:

1. Serangan Siber

Ancaman ini berasal dari pihak eksternal yang mencoba mengeksploitasi kelemahan sistem untuk mencuri, merusak, atau memodifikasi informasi.

Hacking adalah upaya ilegal untuk mendapatkan akses ke sistem atau jaringan. Contohnya adalah Serangan brute force untuk menebak kata sandi dan eksploitasi celah keamanan dalam perangkat lunak.

Malware adalah perangkat lunak berbahaya yang dirancang untuk mencuri data, mengganggu sistem, atau merusak perangkat.

Contohnya seperti Ransomware yang dapat Mengenkripsi data dan meminta tebusan dan Spyware yang dapat Mencuri informasi pribadi tanpa sepengetahuan pengguna.

Phishing adalah upaya untuk menipu pengguna agar pengguna dapat memberikan informasi sensitif seperti kata sandi atau data kartu kredit. Phising biasanya dilakukan melalui email palsu yang tampaknya berasal dari bank dan meminta login ke situs palsu.

2. Ancaman Internal (Insider Threats

Ancaman yang berasal dari dalam organisasi, baik karena kelalaian maupun tindakan disengaja (Sihotang et al., 2023).

Beberapa Tindakan yang termasuk dalam ancaman internal, yaitu:

a. Karyawan secara tidak sengaja menghapus data penting atau mengekspos informasi sensitif. Contohnya adalah pengguna yang menggunakan perangkat USB tidak aman yang terinfeksi malware.

b. Karyawan atau mantan karyawan yang sengaja mencuri atau merusak data. Contoh: Mantan karyawan mengakses sistem perusahaan dengan akun yang tidak dinonaktifkan.

3. Bencana Alam

Bencana alam dapat merusak infrastruktur teknologi dan data secara fisik, mengganggu ketersediaan informasi.

a. Banjir

Dapat merusak server atau pusat data yang tidak memiliki perlindungan terhadap air.

b. Gempa Bumi

Berpotensi merusak perangkat keras seperti server, kabel jaringan, atau bangunan tempat data disimpan.

c. Kebakaran

Menghancurkan dokumen fisik, perangkat keras, atau bahkan backup data jika tidak disimpan di lokasi yang aman.

Contoh Risiko :

1. Kehilangan Data Sensitif

Kehilangan informasi penting, baik karena pencurian, penghapusan, atau kerusakan, dapat berdampak signifikan pada individu atau organisasi. Dampaknya adalah hilangnya kepercayaan pelanggan dan denda atau sanksi jika data sensitif pelanggan bocor. Contohnya adalah kebocoran data pelanggan sebuah e-commerce akibat serangan hacking.

2. Serangan Ransomware

Ransomware adalah ancaman di mana data pengguna dienkripsi oleh pelaku dan hanya dapat diakses kembali setelah membayar tebusan. Dampaknya adalah gangguan operasional dan kehilangan data jika tidak ada backup. Contohnya adalah serangan

Keamanan Informasi (Cyber Security)

ransomware pada sistem rumah sakit, sehingga membuat pihak rumah sakit tidak dapat mengakses rekam medis pasien.

3. Kerusakan Reputasi Organisasi

Ketika informasi sensitif bocor atau serangan keamanan terjadi, reputasi organisasi dapat rusak di mata pelanggan, mitra, atau masyarakat umum. Dampaknya adalah Kehilangan pelanggan, penurunan nilai pasar, dan kehilangan peluang bisnis. Contohnya adalah bocornya informasi pribadi pelanggan bank menyebabkan hilangnya kepercayaan dan migrasi pelanggan ke kompetitor.

1.5 Perkembangan Sejarah Keamanan

Informasi

Perkembangan sejarah keamanan informasi diuraikan sebagai berikut:

1. Awal Mula Konsep Keamanan Informasi

Konsep keamanan informasi telah berkembang seiring dengan kebutuhan manusia untuk melindungi informasi penting sejak zaman dahulu.

a. Era Pra-Digital

Pada zaman kuno, metode perlindungan informasi menggunakan enkripsi manual, seperti Cipher Caesar yang digunakan oleh Julius Caesar untuk mengamankan pesan militernya. Arsip-arsip kerajaan dan dokumen penting disimpan di tempat yang aman untuk melindunginya dari pihak yang tidak berwenang.

b. Perang Dunia II

Kemajuan dalam enkripsi dan dekripsi terjadi, seperti penggunaan mesin Enigma oleh Jerman yang dipecahkan oleh para ahli di Bletchley Park, Inggris. Ini menandai awal mula pentingnya kriptografi dalam keamanan informasi.

c. Era Komputer Awal (1950-1970)

Ketika komputer mulai digunakan untuk menyimpan dan memproses informasi, kebutuhan akan keamanan informasi mulai berkembang. Pada saat ini, fokus utama adalah melindungi akses fisik ke perangkat keras dan menyimpan informasi dalam bentuk kode sederhana.

2. Revolusi Digital dan Dampaknya terhadap Keamanan Informasi

Dengan munculnya komputer pribadi dan internet, keamanan informasi menghadapi tantangan yang semakin kompleks.

a. Era Komputer Pribadi (1980-an):

Pengenalan komputer pribadi ke rumah-rumah membuat informasi menjadi lebih terdesentralisasi, tetapi juga meningkatkan risiko pencurian data. Virus komputer pertama, seperti Elk Cloner, muncul pada awal 1980-an, menunjukkan ancaman terhadap perangkat lunak.

b. Era Internet (1990-an)

Internet membawa manfaat besar dalam berbagi informasi, tetapi juga membuka pintu bagi ancaman siber baru seperti phishing, spam, dan hacking. Konsep keamanan jaringan mulai dikembangkan dengan alat seperti firewall dan antivirus.

c. Regulasi Awal Keamanan Informasi

Dengan semakin banyaknya insiden pelanggaran data, munculnya regulasi seperti Data Protection Act 1998 di Inggris menjadi tonggak penting.

Keamanan Informasi (Cyber Security)

d. Munculnya Serangan Terorganisir (2000-an)

Ancaman siber mulai berkembang menjadi lebih canggih dan terorganisir, seperti serangan ransomware dan DDoS (Distributed Denial of Service). Fokus keamanan informasi mulai beralih dari pencegahan ke deteksi dan respon cepat terhadap insiden.

3. Tren Terbaru dalam Keamanan Informasi

a. Internet of Things (IoT)

IoT membawa tantangan baru karena semakin banyak perangkat yang terhubung ke internet, seperti kamera keamanan, perangkat rumah pintar, hingga kendaraan.\

Tantangan Keamanan IoT : Banyak perangkat IoT dirancang tanpa mempertimbangkan keamanan, sehingga mudah diserang. Contoh: Botnet Mirai menyerang ratusan ribu perangkat IoT untuk meluncurkan serangan DDoS besar-besaran. Solusi dengan cara Implementasi standar keamanan IoT seperti pengelolaan kredensial perangkat dan pembaruan firmware secara rutin.

b. Cloud Computing

Penyimpanan dan pemrosesan data di cloud memungkinkan fleksibilitas, tetapi juga menghadirkan risiko baru. Beberapa

Tantangan Keamanan Cloud seperti Akses tidak sah ke data yang disimpan di cloud, Ancaman insider pada penyedia layanan cloud, dan Ketergantungan pada penyedia pihak ketiga. Solusi dengan cara Enkripsi data end-to-end, Autentikasi multi-faktor (MFA), dan Pemantauan keamanan berbasis cloud.

Bab 1 Pengantar Keamanan

c. Artificial Intelligence (AI):

AI telah menjadi alat yang kuat dalam memperkuat pertahanan keamanan informasi, tetapi juga dimanfaatkan oleh penyerang. AI dapat digunakan untuk mendeteksi pola anomali dalam lalu lintas jaringan, memprediksi serangan sebelum terjadi, dan otomatisasi respons keamanan. Contohnya adalah Sistem Intrusion Detection and Prevention (IDPS) berbasis AI.

Bab 2 Prinsip-prinsip Keamanan

Informasi

2.1 Confidentiality, Integrity, dan

Availability (CIA Triad)

Keamanan informasi merupakan salah satu aspek krusial dalam dunia digital yang terus berkembang. Dalam konteks ini, prinsip-prinsip keamanan informasi berfungsi sebagai pedoman untuk melindungi data dan sistem dari ancaman yang dapat merusak integritas, kerahasiaan, dan ketersediaan informasi. Penerapan prinsip-prinsip ini tidak hanya melibatkan teknologi, tetapi juga kebijakan, prosedur, dan perilaku pengguna yang memegang peranan penting dalam menjaga keamanan informasi. Dalam pembahasan ini, kita akan mengkaji berbagai prinsip dasar yang menjadi fondasi dalam merancang dan mengimplementasikan sistem keamanan yang efektif dan dapat diandalkan

Keamanan Informasi (Cyber Security)

Dalam dunia keamanan informasi, tiga konsep utama yang dikenal sebagai

CIA Triad, Confidentiality, Integrity, dan Availability adalah pilar fundamental yang membentuk kerangka kerja keamanan informasi. CIA Triad menyediakan dasar yang kokoh dalam upaya menjaga kerahasiaan, keandalan, dan aksesibilitas data. Konsep ini berfungsi tidak hanya sebagai prinsip inti keamanan, tetapi juga sebagai alat evaluasi dalam menentukan efektivitas strategi perlindungan siber dalam berbagai situasi. Di era digital ini, memahami dan mengimplementasikan CIA Triad menjadi semakin penting, terutama dengan maraknya ancaman yang terus berkembang dan inovasi teknologi yang meningkatkan kompleksitas keamanan (Stallings & Brown, 2018).

2.1.1 Confidentiality

Confidentiality, atau kerahasiaan, adalah konsep dasar dalam keamanan informasi yang berfokus pada menjaga agar informasi hanya diakses oleh individu atau sistem yang memiliki otorisasi. Dalam konteks keamanan, menjaga kerahasiaan sangat penting untuk melindungi data sensitif dari akses yang tidak sah dan menjaga kepercayaan pengguna atau pemilik data terhadap sistem. Penggunaan metode enkripsi adalah salah satu teknik umum untuk mencapai kerahasiaan; data dikodekan menjadi format yang tidak dapat dipahami tanpa kunci dekripsi yang sesuai.

Selain itu, sistem otentikasi yang kuat, seperti multifactor authentication (MFA), membantu memastikan bahwa hanya pengguna yang sah yang dapat mengakses data. Kerahasiaan sangat krusial di berbagai industri, termasuk keuangan, kesehatan, dan pemerintahan, di mana kebocoran informasi dapat memiliki konsekuensi serius.

Selain enkripsi dan otentikasi, pengaturan hak akses berbasis peran (RoleBased Access Control/RBAC) adalah pendekatan lain yang efektif dalam menjaga kerahasiaan. RBAC mengizinkan akses berdasarkan peran pengguna di dalam organisasi, sehingga hanya mereka yang benarbenar memerlukan data tertentu untuk tugasnya yang memiliki akses. Dengan

demikian, prinsip "least privilege" juga diterapkan, di mana pengguna hanya diberikan akses minimum yang diperlukan.

Dalam era transformasi digital, tantangan terhadap kerahasiaan semakin meningkat seiring dengan penggunaan layanan berbasis cloud, kolaborasi daring, dan akses jarak jauh. Oleh karena itu, pendekatan terhadap kerahasiaan kini mencakup kebijakan pengamanan data yang kuat serta audit berkala untuk mendeteksi dan menangani potensi pelanggaran sejak dini (Bishop, 2019).

2.1.2 Integrity

Integrity, atau integritas, berfokus pada menjaga keakuratan, keutuhan, dan konsistensi data dari modifikasi yang tidak sah selama siklus hidupnya.

Dalam lingkungan bisnis dan pemerintahan, integritas informasi sangat penting karena ketidakakuratan data dapat menyebabkan kesalahan pengambilan keputusan dan merusak kepercayaan terhadap sistem.

Teknik untuk menjaga integritas meliputi penggunaan checksum dan hash function, di mana hash function dapat mendeteksi perubahan pada data dengan cara membandingkan nilai hash sebelum dan sesudah perubahan.

Apabila data mengalami modifikasi yang tidak sah, hasil hash akan berubah, sehingga administrator dapat segera menyelidiki insiden tersebut. Integritas juga menjadi dasar bagi catatan medis, data keuangan, dan berbagai sektor lain di mana kebenaran data merupakan elemen krusial.

Dalam dunia digital yang terus berkembang, menjaga integritas informasi juga melibatkan pemantauan dan audit terhadap aktivitas sistem. Proses audit dan logging memungkinkan organisasi untuk melacak perubahan dan memastikan bahwa data tetap dalam keadaan yang seharusnya. Selain itu, metode seperti kontrol versi dan backup rutin membantu mengurangi risiko terhadap integritas data, khususnya ketika terjadi kesalahan atau serangan.

Penggunaan teknologi blockchain juga menjadi tren dalam menjaga integritas informasi karena karakteristiknya yang tidak dapat diubah dan

Keamanan Informasi (Cyber Security)

transparan. Di sektor perbankan, misalnya, integritas data yang terjaga menjadi dasar untuk membangun kepercayaan nasabah dan mencegah kerugian finansial akibat penipuan atau manipulasi data (Stallings & Brown, 2018).

2.1.3 Availability

Availability, atau ketersediaan, memastikan bahwa informasi dan sumber daya sistem selalu dapat diakses oleh pengguna yang sah saat dibutuhkan. Dalam dunia yang semakin terhubung, ketersediaan informasi sangat penting untuk mendukung operasional bisnis, menyediakan layanan publik, dan menjaga kepuasan pengguna. Untuk mencapai ketersediaan, organisasi biasanya menerapkan teknik redundansi dan failover, yang memungkinkan sistem untuk tetap berjalan meskipun terjadi kegagalan pada komponen tertentu.

Misalnya, penggunaan backup dan disaster recovery memastikan bahwa data dapat dipulihkan dalam situasi darurat, seperti bencana alam atau serangan siber. Ketika data atau layanan tidak tersedia, dampaknya bisa sangat besar, terutama di sektor kesehatan dan keuangan, di mana keterlambatan akses dapat berakibat fatal.

Serangan yang menargetkan ketersediaan, seperti Distributed Denial of Service (DDoS), juga menjadi perhatian utama dalam keamanan informasi. Serangan DDoS mencoba mengganggu akses terhadap layanan atau sistem dengan membanjiri lalu lintas jaringan, sehingga server menjadi kelebihan beban dan tidak dapat merespons pengguna yang sah. Untuk mengatasi ancaman ini, organisasi sering menggunakan firewall, load balancer, dan jaringan pengiriman konten (Content Delivery Network/CDN) untuk mendistribusikan lalu lintas dan mencegah overload.

Selain itu, pengelolaan risiko yang proaktif, termasuk pemantauan aktivitas sistem secara terusmenerus, membantu organisasi mendeteksi potensi gangguan sejak dini. Dengan demikian, ketersediaan tidak hanya melibatkan penyediaan akses tetapi juga mempertimbangkan ketangguhan sistem dalam menghadapi gangguan yang tidak terduga (Vacca, 2020).

2.2 Authentication, Authorization, dan Accountability (AAA Model)

Dalam keamanan informasi, model Authentication, Authorization, dan Accountability (AAA) berfungsi sebagai fondasi untuk mengendalikan akses terhadap data dan sumber daya. Model ini dirancang untuk memberikan kontrol yang ketat terhadap siapa yang dapat mengakses sistem, apa yang mereka boleh lakukan, dan memastikan bahwa setiap tindakan dicatat untuk mencegah penyalahgunaan.

Dengan menggunakan model AAA, organisasi dapat mengembangkan dan menerapkan sistem keamanan yang efektif untuk melindungi aset digital mereka dari ancaman dan pelanggaran. Konsep AAA ini penting untuk melindungi kerahasiaan, integritas, dan ketersediaan informasi yang dikelola oleh sebuah organisasi (Andress, 2014).

2.2.1

Authentication

Authentication adalah proses verifikasi identitas pengguna sebelum memberikan akses ke sistem. Dalam konteks keamanan, autentikasi adalah langkah pertama yang krusial untuk memastikan bahwa hanya individu yang berwenang yang dapat masuk ke dalam sistem atau jaringan. Proses autentikasi melibatkan berbagai metode seperti kata sandi, biometrik (misalnya sidik jari atau pengenalan wajah), dan token keamanan.

Teknologi autentikasi multifaktor (MFA) semakin populer, karena memadukan beberapa lapisan verifikasi yang memperkecil peluang akses oleh pihak yang tidak sah. Contoh autentikasi yang aman adalah kombinasi antara kata sandi dan sidik jari, yang membuat sulit bagi peretas untuk mengakses sistem hanya dengan satu bentuk verifikasi.

Dalam dunia siber yang penuh dengan risiko, autentikasi yang kuat memberikan fondasi untuk mengamankan akses dan menjaga informasi sensitif dari ancaman eksternal (Stallings & Brown, 2018).

1. Definisi dan Tujuan Authentication

Authentication adalah langkah pertama dalam kontrol akses yang berfungsi untuk memverifikasi identitas pengguna, perangkat, atau aplikasi sebelum memberikan akses ke sistem. Proses ini umumnya melibatkan kredensial seperti kata sandi, token fisik, atau biometrik (Kumar & Gupta, 2023). Dalam lingkungan modern, authentication tidak hanya menjamin keamanan, tetapi juga mendukung pengalaman pengguna yang efisien melalui mekanisme seperti Single Sign-On (SSO).

2. Faktor Authentication

Faktor authentication mengacu pada metode yang digunakan untuk memverifikasi identitas.

Tiga kategori utama meliputi:

a. Sesuatu yang Anda Ketahui: Informasi seperti kata sandi atau PIN.

b. Sesuatu yang Anda Miliki: Token fisik, kartu pintar, atau perangkat seluler.

c. Sesuatu yang Anda Adalah: Biometrik seperti sidik jari, pengenalan wajah, atau iris mata (Smith & Brown, 2022).

Penggunaan lebih dari satu faktor dikenal sebagai Multi-Factor Authentication (MFA), yang secara signifikan meningkatkan keamanan dengan mengurangi risiko jika salah satu faktor terkompromi.

3. Tren Authentication Modern

a. Passwordless Authentication Metode ini menghilangkan ketergantungan pada kata sandi tradisional yang rentan terhadap serangan seperti phishing atau brute force. Sebagai gantinya, pengguna memanfaatkan

biometrik atau tautan satu kali yang dikirim melalui email atau SMS (Rahman et al., 2023).

b. Behavioral Biometrics

Behavioral biometrics menganalisis pola perilaku pengguna seperti cara mengetik, pergerakan kursor, atau gaya berjalan. Teknologi ini menawarkan lapisan keamanan tambahan yang sulit dipalsukan (Anderson & Li, 2023).

c. Continuous Authentication Dalam pendekatan ini, sistem memantau aktivitas pengguna secara berkelanjutan untuk memastikan bahwa pengguna yang telah diotentikasi tetap sah sepanjang sesi. Teknologi ini sering digunakan dalam aplikasi dengan kebutuhan keamanan tinggi seperti perbankan digital (Chen et al., 2023).

4. Risiko dan Tantangan

Meskipun authentication semakin maju, ancaman tetap ada. Serangan seperti phishing, man-in-the-middle attacks, dan eksploitasi token tetap menjadi tantangan signifikan. Untuk mengatasinya, sistem modern menggunakan enkripsi yang kuat, autentikasi berbasis waktu, dan teknologi biometrik yang lebih canggih (NIST, 2022).

5. Rekomendasi Implementasi

Sistem authentication yang kuat harus memadukan kemudahan penggunaan dengan keamanan.

Beberapa rekomendasi utama meliputi:

a. Mengadopsi Multi-Factor Authentication (MFA).

b. Memanfaatkan enkripsi ujung ke ujung selama proses authentication.

c. Menerapkan pendekatan passwordless untuk mengurangi ketergantungan pada kata sandi.

Keamanan Informasi (Cyber Security)

d. Melakukan audit berkala terhadap mekanisme authentication untuk mengidentifikasi kelemahan potensial (ISO, 2023).

2.2.2 Authorization

Authorization adalah langkah yang menentukan tingkat akses pengguna setelah identitas mereka berhasil diverifikasi. Sederhananya, otorisasi berfokus pada kontrol tentang apa yang dapat dilakukan atau diakses oleh pengguna dalam sistem. Contohnya, dalam sebuah sistem manajemen data, seorang pengguna biasa mungkin hanya memiliki hak untuk melihat data, sementara seorang administrator memiliki hak untuk mengubah atau menghapus data.

Pengaturan ini mengurangi risiko penyalahgunaan informasi dan menjaga agar hanya mereka yang memiliki peran tertentu yang dapat mengakses fungsi atau data penting. Prinsip otorisasi sering dikombinasikan dengan konsep "least privilege," yang menyatakan bahwa pengguna sebaiknya diberikan akses minimal yang mereka butuhkan untuk menyelesaikan pekerjaannya.

Dengan demikian, otorisasi berfungsi sebagai perisai keamanan tambahan yang memastikan data aman dari perubahan atau modifikasi yang tidak sah (Whitman & Mattord, 2018).

1. Definisi dan Pentingnya Authorization

Authorization adalah proses pemberian izin kepada pengguna atau entitas untuk mengakses sumber daya tertentu berdasarkan hak yang telah ditetapkan. Proses ini memastikan keamanan sistem dengan membatasi akses hanya kepada pengguna yang berwenang (Kumar & Singh, 2023). Authorization tidak hanya mengelola akses tetapi juga menjaga integritas dan kerahasiaan data dengan mencegah tindakan yang tidak sah.

2. Prinsip Utama Authorization

a. Least Privilege

Prinsip ini memastikan bahwa pengguna hanya memiliki akses minimum yang diperlukan untuk menjalankan tugas mereka. Pendekatan ini mengurangi risiko penyalahgunaan akses atau kerentanan keamanan (Chen et al., 2023).

b. Role-Based Access Control (RBAC)

RBAC mengatur akses berdasarkan peran pengguna dalam organisasi. Setiap peran memiliki serangkaian izin yang telah ditentukan, sehingga akses lebih terstruktur dan mudah dikelola (Anderson & White, 2022).

c. Attribute-Based Access Control (ABAC)

ABAC memberikan izin berdasarkan atribut tertentu, seperti waktu, lokasi, atau perangkat yang digunakan. Pendekatan ini lebih fleksibel dibanding RBAC, memungkinkan kontrol akses yang lebih dinamis (Rahman & Lee, 2023).

d. Separation of Duties (SoD)

SoD memastikan bahwa tanggung jawab yang sensitif dibagi antara beberapa pengguna untuk mengurangi risiko kesalahan atau kecurangan. Contohnya, seorang pengguna yang membuat transaksi tidak boleh menjadi orang yang menyetujuinya (ISO, 2023).

3. Model Authorization Modern

a. Discretionary Access Control (DAC)

Dalam model ini, pemilik data menentukan siapa yang memiliki akses ke sumber daya tertentu. Meskipun fleksibel, pendekatan ini rentan terhadap kesalahan konfigurasi (Smith & Brown, 2023).

Keamanan Informasi (Cyber Security)

b. Mandatory Access Control (MAC)

MAC menggunakan kebijakan keamanan terpusat yang mengontrol akses berdasarkan klasifikasi data dan tingkat otoritas pengguna. Model ini sering digunakan di lingkungan dengan keamanan tinggi seperti militer (NIST, 2022).

c. Zero Trust Architecture

Zero Trust adalah pendekatan modern yang mengasumsikan bahwa tidak ada pengguna atau perangkat yang sepenuhnya dapat dipercaya, bahkan jika mereka berada di dalam jaringan organisasi. Akses diberikan hanya setelah verifikasi menyeluruh (Taylor et al., 2023).

4. Implementasi Authorization

a. Access Control Lists (ACLs)

ACLs adalah daftar izin yang menentukan siapa yang dapat mengakses sumber daya tertentu dan tindakan apa yang dapat dilakukan, seperti membaca, menulis, atau mengeksekusi file (Rahman & Lee, 2023).

b. Policy Enforcement Points (PEPs)

PEPs adalah komponen yang bertanggung jawab untuk menegakkan kebijakan akses, memastikan bahwa hanya pengguna yang berwenang yang dapat mengakses sistem (Chen et al., 2023).

c. OAuth and OpenID Connect

OAuth adalah protokol authorization untuk memberikan akses sementara ke aplikasi pihak ketiga tanpa berbagi kredensial pengguna. OpenID Connect melengkapi OAuth dengan menambahkan lapisan authentication (Smith & Brown, 2023).

5. Risiko dan Tantangan dalam Authorization

Authorization menghadapi tantangan seperti:

a. Kesalahan Konfigurasi: Hak akses yang tidak tepat dapat menyebabkan pelanggaran keamanan.

b. Pengelolaan Hak Akses: Dalam organisasi besar, mengelola akses untuk banyak pengguna bisa menjadi rumit.

c. Serangan Insider Threats: Pengguna yang memiliki hak akses sah tetapi menyalahgunakannya dapat mengancam keamanan sistem (Kumar & Singh, 2023).

Untuk mengatasi tantangan ini, praktik terbaik termasuk melakukan audit reguler, menerapkan prinsip least privilege, dan menggunakan alat manajemen akses yang kuat.

2.2.3 Accountability

Accountability, atau pertanggungjawaban, adalah elemen yang mendasari transparansi dan pengawasan di dalam sistem keamanan. Pertanggungjawaban dilakukan dengan mencatat dan melacak setiap aktivitas pengguna di dalam sistem melalui proses audit dan log. Aktivitas pengguna seperti login, modifikasi data, dan upaya akses yang gagal semuanya dicatat dan disimpan untuk memastikan bahwa tindakan yang dilakukan dapat dilacak kembali ke identitas tertentu.

Dengan adanya accountability, organisasi dapat mengidentifikasi potensi pelanggaran, memantau kepatuhan, dan melakukan forensik jika terjadi insiden keamanan. Keberadaan log audit juga memberikan bukti penting dalam penegakan kebijakan keamanan dan memungkinkan tindakan korektif jika ditemukan penyalahgunaan atau pelanggaran kebijakan oleh pengguna (Bishop, 2019).

Keamanan Informasi (Cyber Security)

2.3 Risiko dan Pengelolaan Risiko

Keamanan

Dalam keamanan informasi, risiko mencakup potensi ancaman yang dapat memengaruhi sistem, data, atau aset penting organisasi. Pengelolaan risiko yang efektif bertujuan untuk meminimalisir dampak negatif dari ancaman terhadap kerahasiaan, integritas, atau ketersediaan informasi. Pendekatan ini melibatkan beberapa langkah kritis: identifikasi risiko, analisis risiko, pengurangan risiko, serta monitoring dan evaluasi risiko secara berkelanjutan.

Menerapkan metode pengelolaan risiko yang komprehensif dapat meningkatkan daya tahan organisasi terhadap ancaman dan menjaga operasional tetap aman serta sesuai dengan regulasi (Whitman & Mattord, 2018).

2.3.1 Identifikasi Risiko

Langkah pertama dalam manajemen risiko adalah identifikasi risiko, yaitu proses mengenali potensi ancaman yang dapat mengganggu atau merusak sistem keamanan. Identifikasi risiko melibatkan pemetaan semua aset penting yang dimiliki organisasi, seperti data, perangkat keras, perangkat lunak, dan jaringan, serta memahami bagaimana aset tersebut bisa menjadi sasaran ancaman.

Proses ini dilakukan dengan berbagai teknik, seperti wawancara, survei, dan analisis skenario untuk mengungkap risiko yang mungkin tidak terlihat. Dengan pemahaman yang mendalam tentang ancaman, organisasi dapat menyusun strategi lebih lanjut untuk mengantisipasi atau menghindari risikorisiko tersebut (Stoneburner, Goguen, & Feringa, 2002).

2.3.2 Analisis Risiko

Setelah mengidentifikasi risiko, langkah selanjutnya adalah menganalisis risiko untuk menentukan tingkat ancaman yang dihadapi oleh organisasi.

Analisis risiko melibatkan dua komponen utama: kemungkinan terjadinya suatu risiko dan dampak potensial yang ditimbulkan. Dengan menganalisis kedua komponen ini, organisasi dapat memprioritaskan risiko yang paling signifikan dan mengalokasikan sumber daya secara efektif.

Metode analisis ini dapat menggunakan pendekatan kualitatif, kuantitatif, atau kombinasi keduanya, tergantung pada kompleksitas dan kebutuhan organisasi. Dengan pemahaman ini, keputusan strategis yang diambil menjadi lebih tepat sasaran, memungkinkan perlindungan yang lebih baik terhadap sumber daya yang paling berharga (Kouns & Minoli, 2010).

2.3.3 Pengurangan Risiko

Pengurangan risiko mencakup langkahlangkah untuk mengurangi kemungkinan atau dampak dari risiko yang telah dianalisis. Strategi pengurangan risiko dapat dilakukan melalui berbagai cara, seperti penguatan keamanan jaringan, pembaruan perangkat lunak, implementasi kontrol akses, serta pelatihan bagi karyawan untuk meningkatkan kesadaran keamanan.

Misalnya, penggunaan enkripsi data yang kuat dan autentikasi multifaktor dapat mengurangi risiko akses yang tidak sah ke sistem informasi. Pengurangan risiko ini tidak hanya melibatkan penerapan teknologi, tetapi juga mencakup kebijakan dan prosedur yang konsisten untuk menjaga keamanan di setiap level organisasi (Andress, 2014).

2.3.4 Monitoring dan Evaluasi Risiko

Monitoring dan evaluasi risiko adalah proses yang berkelanjutan untuk memastikan bahwa strategi pengelolaan risiko yang telah diterapkan tetap efektif seiring dengan perubahan lingkungan dan teknologi. Pemantauan risiko memungkinkan organisasi untuk mendeteksi perubahan dalam profil risiko yang mungkin timbul, seperti munculnya ancaman baru atau perubahan dalam regulasi.

Evaluasi secara berkala membantu organisasi menyesuaikan strategi pengelolaan risiko mereka agar tetap relevan dan responsif terhadap

Keamanan Informasi (Cyber Security)

perkembangan terkini. Proses ini dapat melibatkan audit keamanan, uji penetrasi, serta analisis log untuk mendeteksi aktivitas mencurigakan, sehingga organisasi dapat bertindak sebelum terjadi insiden yang merugikan (Bishop, 2019).

2.4 Prinsip Zero Trust dan Least Privilege

Prinsip Zero Trust telah menjadi dasar pendekatan modern dalam keamanan informasi, menekankan bahwa tidak ada pengguna atau perangkat yang dapat dipercaya begitu saja, baik yang berada di dalam maupun di luar jaringan organisasi. Pada dasarnya, Zero Trust berprinsip bahwa akses ke sistem atau data harus selalu diverifikasi, dan semua permintaan akses harus divalidasi berdasarkan sejumlah faktor, seperti autentikasi pengguna, lokasi, dan perilaku akses sebelumnya.

Dengan pendekatan ini, organisasi dapat meminimalisir risiko serangan dari dalam (insider threats) dan mempersulit penyerang eksternal untuk merusak sistem. Dalam dunia yang semakin terhubung, Zero Trust menggeser paradigma keamanan tradisional yang berfokus pada perimeter jaringan, menjadi model yang menitikberatkan pada verifikasi terusmenerus dan minimalisasi kepercayaan tanpa pembuktian (Rose, Borchert, Mitchell, & Connelly, 2020).

Prinsip Zero Trust juga mendukung kebijakan akses terbatas hanya pada sumber daya yang diperlukan bagi pengguna, yang relevan dengan konsep Least Privilege. Least Privilege, atau hak akses minimal, adalah prinsip yang memastikan bahwa pengguna atau perangkat hanya memiliki izin akses minimum yang diperlukan untuk menjalankan tugasnya. Dengan membatasi hak akses pengguna, organisasi dapat meminimalkan potensi kerusakan jika suatu akun atau perangkat mengalami kompromi.

Sebagai contoh, jika seorang karyawan hanya memerlukan akses ke data keuangan untuk melakukan tugasnya, maka akses ke data sensitif lainnya, seperti informasi pelanggan atau rincian proyek, tidak seharusnya diberikan. Penerapan prinsip Least Privilege menjadi semakin penting di tengah peningkatan ancaman dari malware dan ransomware yang dapat menyebar dengan cepat melalui jaringan jika pengguna memiliki hak akses yang terlalu luas (Bertino & Sandhu, 2005).

Kombinasi dari Zero Trust dan Least Privilege memperkuat strategi keamanan yang lebih menyeluruh, karena kedua prinsip ini bekerja secara sinergis untuk mengurangi eksposur organisasi terhadap risiko dan membatasi potensi pergerakan lateral dari serangan siber. Dalam implementasinya, model ini juga melibatkan penggunaan teknologi tambahan, seperti kontrol akses berbasis identitas, autentikasi multifaktor, dan pemantauan aktivitas yang ketat untuk memastikan bahwa setiap tindakan dalam sistem dapat dilacak dan dianalisis.

Dengan mengadopsi prinsip-prinsip Zero Trust dan Least Privilege, organisasi tidak hanya mengamankan sistem mereka dari akses yang tidak sah, tetapi juga membangun fondasi keamanan yang proaktif dan responsif dalam menghadapi dinamika ancaman siber yang terus berkembang (Kindervag, 2010).

2.5 Framework Keamanan: ISO 27001, NIST, dan COBIT

2.5.1 ISO 27001

ISO 27001 adalah standar internasional yang diakui luas dalam mengelola keamanan informasi organisasi secara sistematis dan terstruktur. Standar ini menawarkan kerangka kerja bagi organisasi untuk mengidentifikasi, mengelola, dan mengurangi risiko keamanan informasi, yang menjadi aspek penting dalam era digital saat ini. ISO 27001 berfokus pada

Keamanan Informasi (Cyber Security)

pembentukan dan pemeliharaan Sistem Manajemen Keamanan Informasi (Information Security Management System atau ISMS) yang mencakup kebijakan, prosedur, dan kontrol yang diperlukan untuk melindungi aset informasi.

Penerapan standar ini membantu organisasi menjaga kerahasiaan, integritas, dan ketersediaan data dengan memastikan bahwa mereka memiliki mekanisme untuk melindungi data dari ancaman yang beragam, baik yang bersifat internal maupun eksternal (Humphreys, 2008).

Dalam implementasinya, ISO 27001 menyediakan langkah-langkah yang terstruktur untuk mengidentifikasi risiko dan menerapkan kontrol yang tepat untuk memitigasi ancaman terhadap informasi. Proses ini melibatkan penilaian risiko yang cermat, diikuti oleh pemilihan kontrol keamanan yang sesuai dari Annex A ISO 27001, yang mencakup berbagai aspek seperti kebijakan keamanan, keamanan fisik, kontrol akses, dan keamanan komunikasi.

Selain itu, standar ini juga mewajibkan adanya audit dan pemantauan berkelanjutan untuk memastikan efektivitas sistem keamanan yang diterapkan, serta peningkatan berkelanjutan yang memungkinkan adaptasi terhadap perubahan lingkungan ancaman. Dengan menerapkan ISO 27001, organisasi dapat menunjukkan komitmen mereka terhadap keamanan informasi kepada para pemangku kepentingan, serta membangun kepercayaan yang lebih besar dengan pelanggan, mitra, dan regulator (Von Solms & Von Solms, 2004).

2.5.2 NIST (National Institute of Standards and Technology)

National Institute of Standards and Technology (NIST) adalah lembaga yang memainkan peran kunci dalam pengembangan dan pemeliharaan standar keamanan informasi di Amerika Serikat, dengan dampak signifikan terhadap praktik keamanan siber global. NIST telah mengembangkan serangkaian pedoman dan framework yang bertujuan untuk membantu

organisasi mengidentifikasi, melindungi, mendeteksi, merespons, dan memulihkan aset informasi mereka dari berbagai ancaman siber.

Salah satu kontribusi utama NIST dalam bidang keamanan informasi adalah publikasinya yang dikenal sebagai NIST Cybersecurity Framework (CSF), yang pertama kali diperkenalkan pada tahun 2014 sebagai bagian dari upaya nasional untuk memperkuat keamanan siber infrastruktur penting.

Framework ini dirancang untuk menjadi panduan praktis yang dapat digunakan oleh organisasi dari berbagai ukuran dan industri untuk meningkatkan postur keamanan mereka secara menyeluruh (Ross et al., 2018).

NIST CSF terdiri dari lima fungsi inti Identify, Protect, Detect, Respond, dan Recover yang membentuk pendekatan holistik terhadap keamanan siber. Setiap fungsi ini terstruktur dalam kategori dan subkategori yang mencakup berbagai aktivitas dan kontrol yang harus diadopsi oleh organisasi dalam melindungi sistem informasi mereka. Misalnya, fungsi "Identify" mengharuskan organisasi memahami dan mengelola risiko terhadap sistem dan data, sedangkan "Protect" fokus pada kontrol yang mengurangi dampak insiden, seperti kebijakan kontrol akses dan pelatihan keamanan.

NIST juga menyediakan panduan mendetail dalam dokumen NIST SP 80053, yang mencakup katalog kontrol keamanan untuk sistem informasi federal, dan NIST SP 800171, yang menguraikan perlindungan data sensitif yang dibagikan oleh pemerintah dengan mitra swasta. Dengan mengikuti standar-standar NIST ini, organisasi tidak hanya meningkatkan kemampuan mereka untuk mencegah dan merespons serangan siber, tetapi juga memenuhi persyaratan kepatuhan yang semakin ketat (Stouffer, Falco, & Scarfone, 2011).

Framework yang disediakan oleh NIST sangat fleksibel dan dapat diadaptasi oleh organisasi nonpemerintah, termasuk sektor swasta, yang ingin meningkatkan ketahanan siber mereka. Hal ini penting karena NIST CSF dirancang untuk menyesuaikan dengan berbagai jenis ancaman siber yang terus berkembang dan meningkat. Selain itu, karena diadopsi secara luas di

Keamanan Informasi (Cyber Security)

luar Amerika Serikat, NIST CSF juga mendorong harmonisasi standar keamanan di tingkat internasional, yang sangat relevan dalam era digital saat ini di mana bisnis sering beroperasi secara lintas batas.

Dengan penerapan yang tepat, pedoman NIST dapat membantu organisasi mencapai kematangan keamanan yang lebih tinggi serta membangun lingkungan operasional yang lebih tangguh terhadap serangan. Secara keseluruhan, peran NIST dalam mendefinisikan dan mengatur standar keamanan siber telah memberikan fondasi yang kuat bagi perlindungan informasi dalam berbagai sektor industri (Lipner & Sherman, 2015).

2.5.3 COBIT

COBIT (Control Objectives for Information and Related Technologies) adalah framework tata kelola dan manajemen teknologi informasi yang dirancang untuk membantu organisasi dalam mencapai tujuan bisnisnya melalui penggunaan teknologi informasi yang efektif dan aman. COBIT pertama kali dikembangkan oleh ISACA, sebuah asosiasi profesional internasional untuk tata kelola teknologi informasi, dan telah mengalami banyak pembaruan untuk mengikuti perkembangan teknologi dan praktik terbaik di industri.

COBIT 2019, versi terbaru yang diperkenalkan, memperkenalkan struktur yang lebih fleksibel dan adaptif dibandingkan versi sebelumnya, menekankan integrasi penuh antara tujuan bisnis dan TI. Dengan menggunakan COBIT, organisasi dapat menciptakan lingkungan yang memungkinkan mereka menjaga keseimbangan antara pengendalian risiko dan pencapaian nilai dari investasi teknologi informasi, serta memastikan pemanfaatan TI yang bertanggung jawab dan sesuai regulasi (Wilkin & Chenhall, 2020).

Gambar 2.1: COBIT

COBIT 2019 mencakup berbagai komponen utama seperti prinsip, tujuan, model tata kelola, dan panduan implementasi. Prinsip COBIT 2019 terbagi menjadi dua bagian utama: Prinsip Tata Kelola dan Prinsip Manajemen, yang bersamasama membantu organisasi dalam mengelola risiko, meningkatkan efisiensi, dan memastikan bahwa penggunaan TI sejalan dengan sasaran strategis perusahaan. Salah satu aspek kunci dari COBIT adalah fokusnya pada penciptaan nilai bagi para pemangku kepentingan.

COBIT menyediakan kerangka kerja yang memungkinkan perusahaan mengidentifikasi dan mengelola risiko secara sistematis, yang sangat penting dalam konteks keamanan informasi. Melalui pendekatan ini, COBIT membantu organisasi dalam menentukan proses mana yang perlu ditingkatkan dan bagaimana melaksanakan pengendalian yang efektif untuk mencapai tujuan yang diinginkan, termasuk dalam pengelolaan keamanan informasi yang lebih komprehensif (De Haes et al., 2021).

COBIT juga menyediakan pedoman yang kuat dalam menjaga kepatuhan terhadap berbagai peraturan dan standar yang berlaku di bidang keamanan informasi. Dengan merangkul prinsipprinsip COBIT, organisasi dapat meningkatkan efektivitas kontrol keamanan informasi yang mereka terapkan serta meningkatkan kepercayaan pengguna dan pemangku

38 Keamanan Informasi (Cyber Security)

kepentingan. COBIT memberikan kerangka referensi yang mencakup aktivitas spesifik, metrik kinerja, dan metode evaluasi yang dapat digunakan organisasi untuk menilai dan meningkatkan pengelolaan informasi.

Dengan pendekatan yang fleksibel, framework ini memungkinkan perusahaan dari berbagai sektor untuk menyesuaikan strategi keamanan mereka terhadap kebutuhan spesifik, serta memastikan bahwa sistem dan data mereka tetap terlindungi dalam lingkungan teknologi yang dinamis (Tuttle & Vandervelde, 2021).

Bab 3 Pengamanan Jaringan

3.1 Dasar-Dasar Keamanan Jaringan

3.1.1 Konsep Dasar Keamanan Jaringan

Konsep Dasar Keamanan Jaringan adalah fondasi penting dalam melindungi sistem jaringan dari ancaman, gangguan, atau penyusupan yang dapat menyebabkan kerugian bagi individu atau organisasi. Keamanan jaringan bertujuan untuk menjaga kerahasiaan, integritas, dan ketersediaan data dan layanan jaringan (Waroh et al., 2024).

Berikut adalah beberapa konsep utama dalam keamanan jaringan:

1. Kerahasiaan (Confidentiality)

Kerahasiaan bertujuan melindungi informasi dari akses yang tidak sah, baik dalam proses transmisi maupun penyimpanan. Untuk menjaga kerahasiaan, data sering kali dienkripsi, sehingga hanya pihak yang memiliki izin atau kunci tertentu yang bisa membacanya. Dengan kata lain, hanya pihak yang berwenang

Keamanan Informasi (Cyber Security)

yang dapat mengakses data, menjaga informasi sensitif dari tangan yang salah.

2. Integritas (Integrity)

Integritas memastikan bahwa data tidak diubah atau dirusak selama proses transmisi atau penyimpanan. Ini penting agar informasi yang diterima tetap asli dan akurat seperti yang dimaksudkan oleh pengirim. Teknik seperti hashing dan tanda tangan digital sering digunakan untuk memeriksa integritas data.

3. Ketersediaan (Availability)

Ketersediaan mengacu pada keandalan sistem jaringan, di mana data dan layanan jaringan harus selalu tersedia bagi pengguna yang berwenang kapan pun mereka membutuhkannya. Berbagai metode seperti load balancing, backup, dan disaster recovery diterapkan untuk memastikan bahwa layanan tetap aktif dan berfungsi, bahkan dalam situasi serangan atau kerusakan sistem.

4. Autentikasi (Authentication)

Autentikasi adalah proses verifikasi identitas pengguna atau perangkat yang mencoba mengakses jaringan. Ini adalah langkah pertama dalam pengamanan, yang memastikan bahwa hanya pengguna yang sah yang bisa masuk ke jaringan. Teknik yang umum digunakan meliputi kata sandi, PIN, biometrik, dan otentikasi multi-faktor (MFA).

5. Otorisasi (Authorization)

Setelah autentikasi, otorisasi menentukan tingkat akses yang dimiliki oleh pengguna di jaringan. Otorisasi menetapkan hak atau izin untuk mengakses data atau layanan tertentu, sehingga mencegah pengguna melakukan tindakan yang tidak diperbolehkan di dalam jaringan.

6. Audit dan Pemantauan (Audit and Monitoring)

Audit dan pemantauan adalah proses memantau aktivitas jaringan secara terus-menerus untuk mendeteksi anomali atau aktivitas yang mencurigakan. Log audit jaringan memungkinkan

administrator untuk melacak dan meninjau aktivitas yang mencurigakan dan mengidentifikasi pola yang menunjukkan adanya pelanggaran keamanan.

7. Pengendalian Akses (Access Control)

Pengendalian akses adalah langkah-langkah yang membatasi akses ke bagian jaringan tertentu atau informasi tertentu berdasarkan peran atau identitas pengguna. Ini mencegah pengguna atau perangkat yang tidak sah untuk mengakses atau memodifikasi informasi yang tidak relevan.

8. Kriptografi (Cryptography)

Kriptografi adalah teknik pengamanan data melalui enkripsi untuk melindungi informasi selama proses komunikasi. Teknik ini melibatkan penggunaan algoritma matematis untuk mengenkripsi dan mendekripsi data, sehingga hanya penerima yang sah yang dapat mengakses informasi yang dikirimkan.

9. Sistem Deteksi dan Pencegahan Intrusi (IDS/IPS)

Sistem deteksi intrusi (IDS) dan sistem pencegahan intrusi (IPS) adalah teknologi yang dirancang untuk memantau dan menganalisis lalu lintas jaringan guna mendeteksi ancaman potensial. IDS mendeteksi dan melaporkan ancaman, sementara IPS lebih proaktif dalam menghentikan ancaman secara otomatis sebelum mencapai jaringan.

10. Firewall Firewall adalah perangkat atau sistem perangkat lunak yang mengatur lalu lintas jaringan berdasarkan aturan keamanan yang

Keamanan Informasi (Cyber Security)

ditetapkan. Firewall bekerja sebagai penghalang antara jaringan internal dan eksternal, mencegah akses yang tidak sah masuk atau keluar dari jaringan.

11. Pengendalian Fisik

Selain aspek teknis, pengendalian fisik (seperti pengamanan akses ke server, ruang data, dan perangkat jaringan) juga penting untuk mengamankan infrastruktur jaringan dari ancaman fisik, seperti pencurian atau kerusakan perangkat.

Konsep dasar keamanan jaringan ini membentuk strategi komprehensif untuk melindungi sistem dari berbagai jenis ancaman. Dengan memahami dan menerapkan konsep ini, organisasi dapat membangun jaringan yang lebih aman dan andal, serta siap dalam menghadapi tantangan keamanan digital (Mariana, Utomo and Jananto, 2024; Purnama Putra, Dharma Saputra and Suandika, 2024).

3.1.2 Jenis Ancaman Jaringan

Jenis Ancaman Jaringan merujuk pada berbagai risiko dan potensi serangan yang dapat merusak sistem jaringan atau mencuri informasi. Memahami jenis ancaman ini adalah langkah penting untuk mencegah dan melindungi jaringan dari gangguan eksternal maupun internal (Prihadiati, Putra and Aris, 2024).

Berikut adalah beberapa jenis ancaman jaringan utama:

1. Serangan Denial of Service (DoS) dan Distributed Denial of Service (DDoS)

a. DoS adalah serangan yang membuat layanan jaringan menjadi tidak dapat diakses oleh pengguna sah dengan membanjiri server atau jaringan dengan lalu lintas berlebih.

b. DDoS adalah varian dari DoS yang menggunakan banyak perangkat (biasanya melalui botnet) untuk menyerang server secara simultan, membuatnya sulit untuk diblokir.

2. Man-in-the-Middle Attack (MITM)

Serangan MITM terjadi ketika penyerang menyusup di antara dua pihak yang berkomunikasi, memungkinkan mereka untuk mengakses, mengubah, atau menyadap data yang dikirimkan.

Penyerang dapat menyamarkan diri sebagai pihak yang sah dalam komunikasi ini, sering kali tanpa disadari oleh kedua belah pihak.

3. Phishing dan Spear Phishing

a. Phishing adalah upaya untuk mendapatkan informasi sensitif (seperti kata sandi dan data kartu kredit) dengan menyamar sebagai pihak terpercaya melalui email, pesan teks, atau situs palsu

b. Spear Phishing adalah versi yang lebih terarah, di mana serangan difokuskan pada individu tertentu dengan informasi spesifik tentang mereka, membuat serangan lebih meyakinkan.

4. Malware (Malicious Software)

a. Virus: Program berbahaya yang dapat mereplikasi dirinya sendiri dan menyebar ke perangkat lain, sering kali merusak atau mencuri data.

b. Worm: Mirip dengan virus, tetapi dapat menyebar tanpa memerlukan host atau interaksi pengguna.

c. Trojan Horse: Program yang terlihat sah tetapi sebenarnya berisi kode berbahaya. Trojan sering digunakan untuk mencuri informasi atau mengakses perangkat tanpa izin.

d. Spyware: Program yang mengumpulkan data tentang pengguna tanpa sepengetahuannya.

e. Ransomware: Jenis malware yang mengenkripsi data dan meminta tebusan untuk membukanya kembali.

5. SQL Injection

SQL Injection adalah teknik serangan di mana penyerang menyisipkan kode SQL berbahaya ke dalam aplikasi untuk memanipulasi database di belakangnya. Serangan ini memungkinkan penyerang untuk mengakses, mengubah, atau menghapus data yang seharusnya terlindungi.

6. Cross-Site Scripting (XSS)

XSS adalah serangan yang memungkinkan penyerang menyisipkan skrip jahat ke dalam situs web yang kemudian dieksekusi oleh browser pengguna. Ini dapat digunakan untuk mencuri informasi pengguna atau merusak sesi pengguna.

7. Sniffing dan Spoofing

a. Sniffing adalah teknik pengawasan lalu lintas jaringan untuk menangkap data yang sedang dikirimkan. Serangan ini dapat mengumpulkan data seperti kredensial login atau informasi pribadi.

b. Spoofing melibatkan manipulasi identitas dengan menyamarkan diri sebagai pengguna, perangkat, atau alamat IP lain. Contohnya termasuk IP spoofing dan ARP spoofing.

8. Brute Force Attack

Serangan brute force adalah metode mencoba-coba berbagai kombinasi kata sandi hingga menemukan yang benar. Serangan ini dapat memakan waktu lama tetapi cukup efektif jika kata sandi lemah.

9. Social Engineering

Social engineering adalah teknik manipulasi psikologis yang digunakan oleh penyerang untuk mendapatkan informasi rahasia atau akses ke jaringan. Ini melibatkan taktik seperti berpura-pura

menjadi orang dalam perusahaan atau menipu seseorang untuk membocorkan informasi sensitif.

10. Advanced Persistent Threats (APT)

APT adalah serangan jangka panjang dan berkelanjutan di mana penyerang menyusup ke dalam jaringan dan beroperasi secara tersembunyi untuk waktu yang lama, biasanya untuk mencuri data sensitif secara berkelanjutan. APT biasanya melibatkan penyerang terlatih dan berteknologi tinggi.

11. Zero-Day Attack

Serangan zero-day adalah eksploitasi kerentanan dalam perangkat lunak yang belum ditemukan atau diperbaiki oleh pengembang.

Karena kerentanannya belum diketahui, sangat sulit untuk melindungi sistem dari serangan zero-day.

12. Insider Threats (Ancaman Internal)

Ancaman internal adalah serangan atau pelanggaran yang dilakukan oleh orang dalam organisasi, seperti karyawan atau kontraktor. Ancaman ini sering kali disebabkan oleh akses yang sah tetapi disalahgunakan untuk mencuri data atau merusak sistem.

13. Eavesdropping atau Interception Attack

Serangan ini melibatkan penyadapan atau pengintaian lalu lintas jaringan untuk mencuri informasi rahasia, seperti kredensial atau data sensitif lainnya.

Ancaman-ancaman jaringan ini menuntut perlindungan yang cermat dan pendekatan keamanan berlapis untuk memitigasi risikonya. Dengan memahami berbagai jenis ancaman, organisasi dapat merancang dan menerapkan solusi keamanan yang lebih efektif dan komprehensif (Bayu Megantoro et al., 2024; Nurendro Ilhamsyah, Mahmudi and Faisol, 2024).

Keamanan Informasi (Cyber Security)

3.1.3 Risiko dan Dampak pada Sistem Jaringan

Risiko dan Dampak pada Sistem Jaringan adalah aspek kritis yang harus dipahami untuk menjaga kelangsungan operasional serta perlindungan data organisasi. Serangan pada jaringan dapat mengakibatkan kerugian besar, baik dalam aspek finansial, reputasi, maupun keamanan data (Purbodiningrat, I Nyoman Yudi Anggara Wijaya and I Gede Juliana Eka Putra, 2024).

Berikut adalah beberapa risiko utama serta dampak yang mungkin terjadi pada sistem jaringan:

1. Risiko Pencurian Data (Data Breach)

a. Risiko: Pencurian data adalah salah satu risiko terbesar, di mana data sensitif seperti informasi pelanggan, data karyawan, atau data bisnis dicuri oleh pihak tidak berwenang.

b. Dampak: Pencurian data dapat mengakibatkan kerugian finansial yang besar, hilangnya kepercayaan pelanggan, tuntutan hukum, serta dampak reputasi yang merugikan organisasi.

2. Risiko Serangan Denial of Service (DoS/DDoS)

a. Risiko: Serangan DoS/DDoS menyebabkan layanan jaringan atau server tidak dapat diakses oleh pengguna sah karena banjir lalu lintas berlebih.

b. Dampak: Serangan ini bisa mengakibatkan downtime pada layanan, menghambat operasional bisnis, dan menurunkan produktivitas. Bagi layanan yang bergantung pada ketersediaan online (seperti e-commerce), ini dapat mengakibatkan hilangnya pendapatan dan kepercayaan pengguna.

3. Risiko Malware dan Ransomware

a. Risiko: Malware atau ransomware yang masuk ke jaringan dapat menginfeksi perangkat atau mengenkripsi data, mengunci akses hingga tebusan dibayar.

b. Dampak: Kehilangan data, downtime yang lama, serta biaya tambahan untuk pemulihan atau pembayaran tebusan. Malware yang tersebar juga dapat menginfeksi jaringan eksternal, memperburuk dampak reputasi.

4. Risiko Perusakan Data (Data Tampering)

a. Risiko: Penyerang dapat mengubah atau memanipulasi data sehingga menjadi tidak akurat atau tidak dapat dipercaya.

b. Dampak: Data yang rusak atau diubah dapat menyebabkan kesalahan dalam pengambilan keputusan, hilangnya kepercayaan pada sistem, serta risiko operasional yang mengganggu proses bisnis.

5. Risiko Keamanan Fisik (Physical Security Threats)

a. Risiko: Pencurian perangkat fisik atau kerusakan perangkat keras (hardware) karena akses tidak sah atau bencana fisik.

b. Dampak: Hilangnya perangkat atau kerusakan fisik dapat menyebabkan kehilangan data, menghambat operasional, serta memerlukan biaya perbaikan atau penggantian perangkat.

6. Risiko Ancaman Internal (Insider Threats)

a. Risiko: Karyawan atau orang dalam yang memiliki akses ke jaringan bisa menyalahgunakan akses ini untuk keuntungan pribadi atau merusak data.

b. Dampak: Ancaman internal bisa lebih merusak karena pelaku biasanya memiliki akses yang sah. Dampaknya dapat berupa pencurian data, perusakan sistem, serta hilangnya data atau informasi bisnis penting.

Keamanan Informasi (Cyber Security)

7. Risiko Kerentanan dalam Perangkat Lunak (Software Vulnerabilities)

a. Risiko: Aplikasi atau sistem yang memiliki celah keamanan dapat dieksploitasi oleh penyerang, misalnya melalui serangan zero-day atau SQL Injection.

b. Dampak: Eksploitasi kerentanan ini dapat mengakibatkan akses tidak sah, kebocoran data, dan potensi kehilangan kontrol terhadap sistem jaringan.

8. Risiko Phishing dan Serangan Rekayasa Sosial (Social Engineering)

a. Risiko: Phishing dan social engineering mencoba menipu pengguna untuk memberikan informasi sensitif atau mengklik tautan berbahaya.

b. Dampak: Jika pengguna tertipu, ini dapat mengakibatkan pencurian kredensial, hilangnya data, atau masuknya malware ke dalam sistem jaringan.

9. Risiko Sniffing dan Spoofing

a. Risiko: Teknik sniffing memungkinkan penyerang menangkap dan membaca data dalam perjalanan, sedangkan spoofing memungkinkan penyerang menyamar sebagai perangkat atau pengguna lain.

b. Dampak: Kedua serangan ini dapat menyebabkan hilangnya data, kerusakan reputasi, dan kebocoran informasi sensitif yang berdampak pada operasional bisnis dan keamanan.

10. Risiko Ketergantungan pada Vendor atau Cloud (Third-party Dependency)

a. Risiko: Bergantung pada penyedia layanan cloud atau vendor pihak ketiga dapat menimbulkan risiko jika pihak tersebut mengalami pelanggaran atau downtime.

b. Dampak: Ketergantungan ini dapat mengakibatkan hilangnya data, keterlambatan operasional, atau bahkan gangguan besar pada infrastruktur jaringan organisasi.

Dampak Umum yang Mungkin Terjadi :

1. Kerugian Finansial: Serangan pada jaringan dapat mengakibatkan biaya pemulihan, tuntutan hukum, serta kehilangan pendapatan.

2. Penurunan Produktivitas: Kegagalan jaringan dan serangan dapat menghentikan atau menunda proses bisnis yang penting.

3. Kerusakan Reputasi: Pelanggaran jaringan sering kali mengurangi kepercayaan pelanggan dan mitra bisnis.

4. Dampak Hukum: Pencurian data atau pelanggaran keamanan dapat menyebabkan organisasi harus menghadapi tuntutan hukum atau denda.

5. Gangguan Operasional: Kehilangan data atau kerusakan sistem dapat mengakibatkan organisasi kehilangan kendali dan terhambatnya layanan kepada pelanggan.

Risiko-risiko ini menunjukkan bahwa keamanan jaringan bukan hanya tentang melindungi perangkat, tetapi juga melibatkan perlindungan aset digital, data, serta reputasi organisasi. Memahami risiko dan dampaknya memungkinkan organisasi untuk mengembangkan kebijakan, prosedur, dan teknologi yang sesuai untuk menjaga keamanan jaringan (Christanto and Aji, 2024; Suharni, 2024).

3.2 Praktik Terbaik untuk Pengamanan

Jaringan

3.2.1 Langkah-langkah Pencegahan Serangan

Langkah-langkah Pencegahan Serangan adalah strategi dan tindakan untuk melindungi jaringan dari berbagai ancaman keamanan. Pencegahan yang efektif dapat mengurangi risiko serangan dan meminimalkan dampaknya pada operasional jaringan (Mahardika, Juardi and Solehudin, 2024).

Berikut adalah langkah-langkah utama untuk mencegah serangan jaringan:

1. Penerapan Firewall dan Sistem Deteksi Intrusi (IDS/IPS)

a. Firewall membantu memfilter lalu lintas jaringan dan membatasi akses ke jaringan berdasarkan aturan keamanan yang ditetapkan.

b. Intrusion Detection System (IDS) dan Intrusion Prevention System (IPS) mendeteksi dan mencegah ancaman dengan mengidentifikasi aktivitas mencurigakan dalam jaringan dan melakukan tindakan otomatis untuk menghentikannya.

2. Enkripsi Data

a. Enkripsi adalah teknik mengubah data menjadi format yang tidak bisa dibaca oleh siapa pun kecuali penerima yang dituju. Ini sangat penting untuk data sensitif yang dikirim melalui jaringan.

b. Menggunakan enkripsi yang kuat, seperti SSL/TLS untuk komunikasi web dan VPN untuk jaringan jarak jauh, dapat membantu mencegah penyadapan dan manipulasi data.

3. Pembaruan dan Patch Secara Berkala

a. Pembaruan perangkat lunak dan patch keamanan sangat penting untuk menutup celah yang dapat dimanfaatkan oleh penyerang.

b. Memastikan semua sistem operasi, aplikasi, dan perangkat jaringan selalu diperbarui membantu mencegah serangan yang memanfaatkan kerentanan perangkat lunak.

4. Penggunaan Otentikasi Dua Faktor (2FA)

a. Otentikasi Dua Faktor (2FA) adalah lapisan tambahan keamanan di mana pengguna harus melewati dua langkah verifikasi, seperti memasukkan kata sandi dan kode OTP yang dikirim ke ponsel.

b. Ini mengurangi risiko akses tidak sah jika kata sandi bocor atau dicuri.

5. Pelatihan Keamanan untuk Pengguna

a. Pelatihan pengguna tentang praktik keamanan dasar, seperti mengenali email phishing, tidak membagikan kata sandi, dan menggunakan kata sandi yang kuat, adalah langkah penting untuk mencegah serangan yang memanfaatkan kelemahan manusia.

b. Edukasi ini membantu pengguna lebih waspada terhadap serangan rekayasa sosial, seperti phishing dan social engineering.

6. Penerapan Kebijakan Akses yang Ketat (Least Privilege)

a. Prinsip least privilege memastikan bahwa pengguna hanya memiliki akses ke informasi dan sistem yang mereka butuhkan untuk pekerjaan mereka.

b. Menggunakan kontrol akses berbasis peran (RBAC) membantu mencegah akses tidak sah ke data sensitif dan sistem jaringan.

7. Pemantauan dan Logging Aktivitas Jaringan

a. Memantau aktivitas jaringan secara berkala memungkinkan tim keamanan mendeteksi pola yang mencurigakan atau aktivitas abnormal.

b. Log dari sistem keamanan dan server dapat memberikan wawasan tentang serangan yang sedang berlangsung atau yang mungkin terjadi.

8. Backup Data Secara Berkala

a. Backup data secara teratur adalah langkah penting dalam menjaga ketersediaan data jika terjadi serangan ransomware atau kerusakan sistem.

b. Pastikan backup disimpan secara aman di luar jaringan utama dan diuji untuk memastikan data dapat dipulihkan dengan cepat jika diperlukan.

9. Segmentasi Jaringan

a. Segmentasi jaringan adalah teknik membagi jaringan menjadi beberapa bagian, sehingga serangan yang masuk ke satu bagian tidak bisa menyebar dengan mudah ke bagian lain.

b. Ini berguna dalam mencegah ancaman lateral (gerakan antardevice dalam jaringan) dan melindungi data sensitif.

10. Penggunaan Software Antivirus dan Anti-Malware

a. Antivirus dan anti-malware membantu melindungi perangkat dari berbagai jenis malware dan virus yang bisa menginfeksi jaringan.

b. Pastikan software ini selalu diperbarui dengan database terbaru untuk mendeteksi ancaman baru yang muncul.

11. Otentikasi Jaringan dan VPN untuk Akses Jarak Jauh

a. Virtual Private Network (VPN) membantu melindungi komunikasi jaringan saat bekerja dari jarak jauh, memastikan data dienkripsi dan hanya bisa diakses oleh pengguna yang sah.

b. VPN menyediakan lapisan perlindungan tambahan bagi karyawan yang mengakses jaringan perusahaan dari luar.

12. Pemindai Keamanan dan Tes Penetrasi Secara Berkala

a. Pemindai keamanan otomatis dan tes penetrasi berkala membantu menemukan celah dalam sistem sebelum penyerang menemukannya.

b. Tes penetrasi dilakukan oleh tim keamanan atau pihak ketiga untuk mengidentifikasi dan memperbaiki kerentanan.

13. Penerapan Protokol Keamanan Jaringan yang Ketat

a. Menggunakan protokol keamanan, seperti HTTPS, SSH, dan WPA3 (untuk jaringan nirkabel), membantu melindungi data saat dalam perjalanan dan menjaga keamanan jaringan.

b. Menghindari protokol yang tidak aman seperti HTTP (tanpa SSL/TLS) dan WEP (untuk Wi-Fi) karena mudah diserang.

14. Rencana Tanggap Darurat dan Pemulihan Bencana (Incident Response and Disaster Recovery)

a. Menyusun rencana tanggap darurat yang mencakup langkahlangkah yang diambil jika terjadi serangan, siapa yang harus diberi tahu, dan bagaimana proses pemulihan harus dilakukan.

b. Rencana pemulihan bencana memastikan bahwa data dan sistem dapat dipulihkan secepat mungkin setelah serangan untuk meminimalkan downtime.

Langkah-langkah pencegahan ini dapat membantu melindungi jaringan dari berbagai jenis serangan dan memastikan sistem berjalan dengan aman. Dengan pendekatan berlapis-lapis dalam keamanan jaringan, organisasi

Keamanan Informasi (Cyber Security)

dapat meningkatkan ketahanan terhadap ancaman dan melindungi data sensitif dari risiko yang terus berkembang (Cahyono et al., 2024; Febriyanto and Sobari, 2024).

3.2.2 Kebijakan Penggunaan Kata Sandi yang Aman

Kebijakan Penggunaan Kata Sandi yang Aman adalah seperangkat aturan dan pedoman untuk memastikan bahwa kata sandi yang digunakan dalam jaringan atau aplikasi adalah kuat dan sulit ditebak. Kebijakan ini dirancang untuk melindungi data pengguna dan mencegah akses tidak sah (Adrianto, Widodo and Puspitasari, 2024).

Berikut adalah komponen utama dari kebijakan penggunaan kata sandi yang aman:

1. Panjang Minimum Kata Sandi

a. Kata sandi harus memiliki panjang minimum, biasanya setidaknya 12 karakter untuk tingkat keamanan yang lebih tinggi.

b. Panjang yang lebih besar membantu memperkuat kata sandi dan mengurangi kemungkinan peretas bisa menebaknya melalui metode brute-force.

2. Kombinasi Karakter Beragam

a. Kata sandi harus mengandung kombinasi karakter yang berbeda, termasuk:

• Huruf besar (A-Z)

• Huruf kecil (a-z)

• Angka (0-9)

• Simbol (misalnya, @, #, $, !)

b. Kombinasi ini meningkatkan kompleksitas kata sandi, menjadikannya lebih sulit ditebak.

3. Larangan Menggunakan Informasi Pribadi

a. Pengguna sebaiknya tidak menggunakan informasi pribadi dalam kata sandi mereka, seperti nama, tanggal lahir, nama hewan peliharaan, atau alamat.

b. Informasi pribadi mudah ditebak dan dapat digunakan oleh peretas dalam serangan social engineering.

4. Kata Sandi Unik untuk Setiap Akun

a. Disarankan untuk tidak menggunakan kata sandi yang sama pada beberapa akun atau layanan.

b. Dengan menggunakan kata sandi yang unik untuk setiap akun, jika satu akun dibobol, akun lainnya tetap aman.

5. Penggunaan Otentikasi Dua Faktor (2FA)

a. Otentikasi dua faktor menambahkan lapisan keamanan tambahan, sehingga pengguna tidak hanya bergantung pada kata sandi.

b. 2FA biasanya menggunakan metode verifikasi tambahan, seperti kode OTP yang dikirim ke ponsel atau email.

6. Kata Sandi Tidak Boleh Disimpan dalam Bentuk Teks Terbuka

a. Saat disimpan dalam sistem, kata sandi harus dienkripsi dengan teknik hashing yang aman, seperti bcrypt atau SHA-256, untuk melindungi dari pencurian.

b. Ini memastikan bahwa bahkan jika sistem disusupi, kata sandi tidak terbaca oleh pihak yang tidak sah.

7. Pemutakhiran Kata Sandi Secara Berkala

a. Pengguna disarankan untuk memperbarui kata sandi mereka secara berkala, misalnya setiap 90 hingga 180 hari.

b. Penggantian rutin kata sandi mencegah peretas memanfaatkan kata sandi yang mungkin telah mereka akses.

8. Larangan Menggunakan Kata Sandi yang Sama atau Sederhana

Secara Berulang

a. Sistem harus mencegah pengguna menggunakan kembali kata sandi lama atau yang mirip dengan kata sandi sebelumnya.

b. Kata sandi seperti "password123" atau pola yang umum harus dibatasi untuk menghindari penggunaan kata sandi yang mudah ditebak.

9. Menyediakan Sistem Pengelolaan Kata Sandi

a. Untuk membantu pengguna mengelola kata sandi yang kompleks dan beragam, disarankan menggunakan pengelola kata sandi (password manager).

b. Pengelola kata sandi membantu menyimpan dan membuat kata sandi yang kuat tanpa harus menghafalnya.

10. Memastikan Pengguna Mendapat Edukasi Tentang Keamanan Kata

Sandi

a. Organisasi harus mengedukasi pengguna tentang pentingnya kata sandi yang kuat dan risiko dari penggunaan kata sandi yang lemah atau berulang.

b. Edukasi ini membantu meningkatkan kepatuhan terhadap kebijakan keamanan dan mengurangi risiko serangan.

Contoh Kebijakan Kata Sandi yang Aman :

1. Panjang minimum: 12 karakter.

2. Menggunakan kombinasi huruf besar, huruf kecil, angka, dan simbol.

3. Dilarang menggunakan informasi pribadi atau kata yang mudah ditebak.

4. Unik untuk setiap akun, tidak digunakan ulang.

5. Harus diubah setiap 90-180 hari.

6. Dilarang menyimpan dalam bentuk teks terbuka.

Kebijakan penggunaan kata sandi yang aman bertujuan untuk memastikan bahwa akses ke sistem dan data organisasi tetap terlindungi dari ancaman peretasan. Kebijakan ini, jika diterapkan dengan baik, bisa membantu organisasi mengurangi risiko yang berasal dari penggunaan kata sandi yang lemah atau mudah ditebak (Ariza Hasibuan et al., 2024; Putra et al., 2024).

3.2.3 Backup dan Disaster Recovery

Backup dan Disaster Recovery adalah dua elemen penting dalam strategi keamanan dan keberlangsungan operasional suatu organisasi. Backup memastikan bahwa data tetap aman dan tersedia jika terjadi kehilangan, sementara Disaster Recovery (DR) mencakup rencana dan tindakan untuk memulihkan sistem setelah insiden (Triadi Antara, 2024).

Berikut penjelasan detail dari masing-masing komponen:

1. Backup

Backup adalah proses membuat salinan data dari sistem utama yang digunakan untuk pemulihan jika data asli hilang, rusak, atau

dicuri. Backup yang teratur dan tepat sangat penting untuk menjaga integritas dan keberlanjutan data.

Jenis-jenis Backup

a. Full Backup: Salinan lengkap dari seluruh data. Memerlukan waktu dan ruang penyimpanan yang besar, sehingga biasanya dilakukan secara berkala (misalnya, mingguan atau bulanan).

b. Incremental Backup: Menyimpan hanya perubahan yang terjadi sejak backup terakhir, sehingga lebih hemat waktu dan ruang dibandingkan full backup.

c. Differential Backup: Menyimpan perubahan yang terjadi sejak full backup terakhir, tetapi tidak menghapus salinan

58 Keamanan Informasi (Cyber Security)

sebelumnya, sehingga memerlukan lebih banyak ruang daripada incremental backup.

d. Mirror Backup: Salinan langsung dari data yang disimpan secara sinkron, tetapi tidak menyimpan riwayat perubahan.

Lokasi Penyimpanan Backup :

a. On-site Backup: Data disimpan di lokasi fisik yang sama dengan data asli, misalnya pada perangkat penyimpanan lokal atau server internal. Ini cepat diakses, tetapi rentan terhadap risiko fisik seperti kebakaran atau pencurian.

b. Off-site Backup: Data disimpan di lokasi lain, seperti pusat data yang berbeda atau penyimpanan awan (cloud). Off-site backup memberikan perlindungan tambahan terhadap risiko lokal.

c. Cloud Backup: Penyimpanan data di layanan cloud pihak ketiga. Ini memungkinkan akses jarak jauh yang mudah, serta keamanan dan skalabilitas.

2. Disaster Recovery (DR)

Disaster Recovery adalah rencana tindakan dan strategi pemulihan yang dirancang untuk memastikan bahwa organisasi dapat segera pulih dari gangguan besar, seperti serangan siber, bencana alam, atau kegagalan perangkat keras. DR berfokus pada pemulihan infrastruktur dan aplikasi utama yang mendukung operasional bisnis.

Langkah-langkah dalam Disaster Recovery :

a. Assessment Risiko dan Penentuan Prioritas: Menentukan risiko apa saja yang mungkin terjadi, seperti bencana alam, kerusakan perangkat, atau serangan siber, dan menetapkan prioritas pemulihan untuk komponen sistem penting.

b. Rencana Pemulihan: Menyusun langkah-langkah pemulihan yang jelas untuk infrastruktur TI, termasuk jaringan, server, dan perangkat lunak.

c. Recovery Point Objective (RPO): Menetapkan seberapa jauh data bisa dipulihkan setelah kehilangan, biasanya diukur dalam hitungan jam atau hari. Ini menentukan seberapa sering backup harus dilakukan.

d. Recovery Time Objective (RTO): Menentukan seberapa cepat sistem harus dipulihkan setelah terjadi insiden untuk menjaga kelangsungan bisnis.

e. Pengujian dan Simulasi: Menguji rencana DR secara berkala melalui simulasi untuk memastikan kesiapan dan mengidentifikasi kelemahan yang perlu diperbaiki.

3. Peran Backup dalam Disaster Recovery

a. Backup merupakan komponen kunci dalam strategi Disaster Recovery, menyediakan data yang diperlukan untuk pemulihan cepat.

b. Saat terjadi bencana, backup yang tersedia memungkinkan organisasi untuk mengembalikan data dan memulihkan sistem tanpa harus memulai dari awal.

c. Disaster Recovery yang sukses bergantung pada backup yang up-to-date dan mudah diakses, dengan salinan yang aman di berbagai lokasi.

4. Best Practices untuk Backup dan Disaster Recovery

a. Frekuensi Backup: Sesuaikan frekuensi backup dengan kebutuhan bisnis dan risiko yang ada. Data yang sering berubah mungkin memerlukan backup harian atau bahkan real-time.

b. Enkripsi Data Backup: Untuk melindungi data sensitif dalam backup, pastikan backup dienkripsi, terutama jika data disimpan secara off-site atau di cloud.

c. Pemantauan dan Pengelolaan Backup: Gunakan perangkat lunak atau alat monitoring untuk memastikan backup berjalan seperti yang direncanakan dan tidak ada error atau file yang gagal di-backup.

d. Latihan Pemulihan Berkala: Simulasikan pemulihan dari backup dan rencana DR untuk memastikan bahwa semua pihak memahami peran mereka dan bahwa prosedur berfungsi seperti yang diharapkan.

e. Pemeliharaan Rencana DR yang Dinamis: Update rencana DR sesuai dengan perubahan teknologi, infrastruktur, dan kebutuhan bisnis.

Backup dan Disaster Recovery adalah aspek kritis untuk menjaga keberlanjutan operasional dan keamanan data. Backup berfungsi sebagai cadangan data yang siap digunakan, sementara Disaster Recovery adalah rencana komprehensif untuk pemulihan sistem setelah bencana atau gangguan.

Melakukan keduanya secara terstruktur dapat membantu organisasi meminimalkan kerugian finansial, reputasi, dan operasional akibat insiden tak terduga (Glen Maxie Taberima and Ramayanti, 2024; Wahyudin et al., 2024).

Bab 4 Perlindungan Data

4.1 Pengertian Perlindungan Data

Pengertian Perlindungan Data mengacu pada berbagai upaya dan langkahlangkah yang dilakukan untuk menjaga data pribadi dan informasi sensitif dari akses yang tidak sah, penyalahgunaan, atau pelanggaran. Perlindungan data melibatkan proses pengumpulan, penyimpanan, pengelolaan, dan pemanfaatan data dengan cara yang memastikan bahwa data tetap aman, tidak mengalami perubahan tanpa izin, dan hanya diakses oleh pihak-pihak yang berwenang.

Di era digital saat ini, data menjadi aset yang sangat bernilai, baik untuk individu maupun organisasi, karena data memberikan wawasan yang mendalam tentang perilaku, preferensi, dan kebutuhan pengguna (Smith, 2021). Sebagai hasilnya, perlindungan data menjadi semakin penting dalam menjaga privasi individu dan integritas informasi bisnis, terutama ketika data-data ini digunakan oleh perusahaan untuk pengambilan keputusan dan strategi pemasaran.

Keamanan Informasi (Cyber Security)

Tujuan utama perlindungan data adalah untuk menjaga kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) data, yang sering disebut sebagai prinsip CIA Triad (Anderson, 2020).

Confidentiality memastikan bahwa data hanya dapat diakses oleh individu atau entitas yang berwenang, sementara integritas memastikan bahwa data tetap akurat dan tidak diubah tanpa izin. Di sisi lain, availability menjamin bahwa data selalu dapat diakses oleh pengguna yang memiliki otorisasi, terutama dalam situasi di mana data tersebut diperlukan untuk operasional atau pengambilan keputusan kritis.

Selain itu, perlindungan data bertujuan untuk memastikan kepatuhan terhadap peraturan dan regulasi yang berlaku, seperti GDPR (General Data Protection Regulation) di Uni Eropa atau CCPA (California Consumer Privacy Act) di Amerika Serikat, yang mewajibkan perusahaan dan organisasi untuk melindungi data pengguna dan memberikan hak akses yang jelas kepada individu terkait data pribadi mereka (Brown & Harris, 2019).

Perlindungan data juga memainkan peran penting dalam membangun kepercayaan antara organisasi dan pengguna. Ketika individu merasa aman dan yakin bahwa data mereka diproses dan disimpan dengan aman, mereka lebih cenderung berinteraksi dan berbagi informasi secara sukarela, yang pada akhirnya meningkatkan loyalitas dan kepercayaan terhadap organisasi (White, 2021). Selain itu, dengan menerapkan perlindungan data yang ketat, perusahaan dapat menghindari risiko pelanggaran data yang berpotensi merusak reputasi bisnis dan mengakibatkan kerugian finansial yang besar.

Menurut Johnson (2020), upaya perlindungan data yang komprehensif membantu perusahaan menjaga hubungan baik dengan konsumen sekaligus meningkatkan efisiensi operasional melalui penerapan protokol keamanan yang tepat. Dalam konteks yang lebih luas, perlindungan data bukan hanya merupakan kewajiban hukum, tetapi juga tanggung jawab moral untuk menjaga privasi individu dan memastikan bahwa informasi digunakan secara etis dan bertanggung jawab.

4.2 Jenis Data yang Dilindungi

Jenis Data yang Dilindungi dalam konteks perlindungan data mencakup berbagai macam informasi yang, jika disalahgunakan atau diakses oleh pihak yang tidak berwenang, dapat menimbulkan risiko signifikan bagi individu maupun organisasi. Salah satu jenis data yang paling umum adalah data pribadi, yaitu informasi yang terkait langsung dengan identitas individu, seperti nama, alamat, tanggal lahir, nomor telepon, alamat email, dan nomor identitas seperti nomor KTP atau paspor (Anderson, 2020).

Data pribadi sering menjadi target utama peretasan karena nilai tinggi yang dimilikinya dalam aktivitas keuangan atau bahkan pencurian identitas. Selain data pribadi, ada pula data sensitif, yaitu informasi yang lebih mendalam dan memerlukan tingkat perlindungan yang lebih tinggi. Contoh data sensitif termasuk data kesehatan, riwayat medis, informasi finansial (misalnya nomor rekening atau kartu kredit), serta data biometrik seperti sidik jari atau pengenalan wajah (White, 2021).

Data sensitif ini dianggap sangat berharga dan rentan, karena dampaknya dapat meluas jika disalahgunakan, termasuk ancaman terhadap privasi, kerugian finansial, dan bahkan potensi gangguan fisik atau psikologis bagi individu yang bersangkutan.

Tabel 4.1: Jenis-jenis data pribadi yang dilindungi

Jenis Data Pribadi Deskripsi Contoh

Identitas Pribadi

Informasi Kontak

Informasi Keuangan

Data Kesehatan

Data Biometrik

Informasi yang secara langsung mengidentifikasi individu.

Nama lengkap, nomor KTP, nomor paspor

Data yang digunakan untuk menghubungi individu. Alamat rumah, nomor telepon, email

Data yang berkaitan dengan keuangan pribadi atau transaksi finansial individu.

Informasi medis dan riwayat kesehatan yang bersifat pribadi.

Nomor rekening bank, nomor kartu kredit, riwayat transaksi

Riwayat medis, catatan penyakit, hasil tes laboratorium

Data yang digunakan untuk Sidik jari, pemindaian

Data Lokasi

Data Kepegawaian

Data Perilaku Online

Data Pendidikan

Informasi Keluarga

Informasi Demografis

Keamanan Informasi (Cyber Security)

autentikasi berdasarkan karakteristik biologis unik individu.

Informasi yang menunjukkan keberadaan fisik individu.

Informasi terkait pekerjaan atau riwayat kerja individu.

Informasi tentang aktivitas dan preferensi individu di internet.

wajah, iris mata

Riwayat lokasi GPS, alamat IP

Nomor pegawai, jabatan, gaji

Riwayat penelusuran, preferensi belanja, interaksi media social

Informasi akademik dan riwayat pendidikan individu. Gelar, nilai akademik, riwayat sekolah atau universitas

Data yang mencakup informasi pribadi anggota keluarga atau hubungan keluarga individu.

Data yang mendeskripsikan karakteristik populasi individu.

Status perkawinan, nama anggota keluarga, data anak atau tanggungan

Usia, jenis kelamin, kebangsaan

Di ranah bisnis dan organisasi, terdapat data organisasi yang dilindungi. Data organisasi mencakup informasi internal yang terkait dengan operasi, strategi, keuangan, dan inovasi perusahaan.

Menurut Brown (2019), data organisasi seperti rahasia dagang, rencana bisnis, dokumen kontrak, informasi pelanggan, serta riset dan pengembangan produk adalah aset berharga yang harus dijaga dengan ketat. Kebocoran atau pencurian data organisasi dapat mengakibatkan kerugian besar bagi perusahaan, baik dari segi finansial maupun reputasi, terutama jika informasi ini jatuh ke tangan pesaing atau pihak yang tidak bertanggung jawab.

Data operasional, yang merupakan data tentang prosedur kerja, produksi, dan pengelolaan sumber daya, juga memerlukan perlindungan, khususnya dalam industri yang sangat kompetitif. Data ini penting untuk menjaga keunggulan kompetitif, memastikan operasional yang efisien, dan mendukung pengambilan keputusan berdasarkan informasi yang akurat (Johnson, 2020).

Tabel 4.2: Jenis-jenis data organisasi yang dilindungi

Jenis Data Organisasi Deskripsi Contoh

Rahasia Dagang

Strategi Bisnis

Data Keuangan

Informasi Pelanggan

Riset dan Pengembangan (R&D)

Dokumen Kontrak dan Legal

Data Karyawan

Data Operasional

Data Pemasok dan Mitra

Hak Kekayaan Intelektual (HKI)

Informasi yang memberikan keunggulan kompetitif bagi organisasi dan dirahasiakan dari publik.

Rencana dan tujuan jangka pendek atau panjang organisasi untuk mencapai target bisnis.

Informasi yang berkaitan dengan kondisi keuangan dan arus kas organisasi.

Data yang mencakup informasi pelanggan yang digunakan untuk pelayanan dan pemasaran.

Data terkait penelitian dan pengembangan produk atau inovasi yang sedang dilakukan.

Dokumen hukum yang mengatur hubungan bisnis dan melindungi hak organisasi.

Informasi tentang staf dan karyawan, termasuk data pribadi dan informasi kepegawaian.

Data yang berkaitan dengan proses dan prosedur internal yang mendukung operasional organisasi.

Informasi tentang pemasok dan mitra bisnis yang bekerja sama dengan organisasi.

Data yang mencakup semua hak cipta, paten,

Formula produk, resep rahasia, algoritma unik

Rencana ekspansi, strategi pemasaran, analisis SWOT

Laporan keuangan, neraca, laporan laba rugi

Nama pelanggan, kontak, riwayat pembelian

Prototipe produk, studi inovasi, hasil penelitian

Kontrak kerja, perjanjian kerahasiaan, MoU

Gaji, nomor pegawai, riwayat pekerjaan

SOP (Standar Operasional Prosedur), jadwal produksi

Kontrak pemasok, data kontak mitra, syarat pembelian

Paten produk, merek dagang, hak cipta

Proyeksi Pasar dan

Penelitian

Data Teknologi dan Infrastruktur

Keamanan Informasi (Cyber Security)

merek dagang, dan desain yang dimiliki organisasi.

Analisis yang digunakan untuk memahami tren pasar dan kebutuhan pelanggan di masa depan.

Informasi tentang sistem IT dan infrastruktur teknologi yang mendukung operasi bisnis.

Laporan analisis pasar, tren industri, survei pelanggan

Arsitektur jaringan, data akses server, perangkat lunak eksklusif

Di era digital saat ini, data digital pengguna juga menjadi jenis data yang penting untuk dilindungi, mencakup data aktivitas pengguna di internet seperti riwayat penelusuran, preferensi belanja, dan data yang dihasilkan dari penggunaan aplikasi atau situs web tertentu (Harris, 2019).

Data ini sering dikumpulkan dan dianalisis oleh perusahaan untuk memahami pola perilaku konsumen dan menyusun strategi pemasaran yang lebih efektif. Namun, karena data ini sering kali bersifat pribadi dan dapat melanggar privasi pengguna jika digunakan secara tidak etis, perlindungan data digital menjadi prioritas utama dalam regulasi data. Dengan demikian, jenis data yang dilindungi meliputi data pribadi, data sensitif, data organisasi, data operasional, dan data digital pengguna. Setiap jenis data ini memerlukan pendekatan perlindungan khusus yang dirancang untuk mengamankan data dari berbagai ancaman, baik eksternal maupun internal, sekaligus memenuhi ketentuan hukum yang berlaku.

4.3 Prinsip-Prinsip Perlindungan Data

Prinsip-Prinsip Perlindungan Data merupakan landasan penting dalam menjaga keamanan dan privasi data, terutama di era digital yang semakin kompleks dan rentan terhadap ancaman siber. Prinsip-prinsip ini membantu organisasi dalam mengelola data secara etis dan sesuai dengan regulasi. Salah satu prinsip utama dalam perlindungan data adalah prinsip

kerahasiaan (confidentiality), yang menekankan bahwa data harus dijaga dari akses yang tidak sah.

Confidentiality menjamin bahwa hanya individu atau entitas yang memiliki otorisasi yang dapat mengakses data tertentu, melindungi informasi dari peretasan atau kebocoran yang tidak diinginkan (Anderson, 2020). Selain itu, prinsip integritas (integrity) sangat penting untuk memastikan bahwa data tetap akurat, lengkap, dan tidak berubah tanpa izin selama proses penyimpanan, transfer, atau pemrosesan. Integritas data ini memainkan peran penting dalam menjaga kepercayaan terhadap sistem informasi, karena perubahan data yang tidak sah dapat menyebabkan informasi yang salah atau bahkan kerusakan reputasi perusahaan (Johnson, 2019).

Prinsip lain yang esensial adalah ketersediaan (availability), yang memastikan bahwa data dan sistem informasi selalu tersedia bagi pengguna yang berwenang ketika dibutuhkan. Ketersediaan data sangat penting dalam operasional bisnis dan layanan publik, terutama dalam situasi darurat atau saat pengambilan keputusan penting (Smith, 2021). Selain tiga prinsip utama dalam CIA Triad (Confidentiality, Integrity, Availability), terdapat juga prinsip minimalisasi data (data minimization), yang menyarankan agar organisasi hanya mengumpulkan dan menyimpan data yang benar-benar diperlukan untuk tujuan yang spesifik.

Hal ini penting untuk mengurangi risiko penyalahgunaan data dan memastikan bahwa data yang dikumpulkan dapat dikelola dengan lebih aman dan efisien (White, 2020). Dengan prinsip ini, organisasi dapat meminimalkan paparan terhadap risiko keamanan yang mungkin terjadi akibat menyimpan data yang berlebihan.

Prinsip transparansi juga menjadi aspek penting dalam perlindungan data, di mana organisasi harus memberitahu individu tentang bagaimana data mereka dikumpulkan, digunakan, dan dilindungi. Transparansi membangun kepercayaan dengan pengguna dan memastikan bahwa mereka memiliki pemahaman tentang bagaimana data pribadi mereka dikelola oleh organisasi (Harris & Miller, 2021).

Keamanan Informasi (Cyber Security)

Selain itu, akuntabilitas mengharuskan organisasi untuk bertanggung jawab atas praktik perlindungan data mereka. Dengan demikian, mereka harus mampu menunjukkan langkah-langkah yang telah dilakukan untuk melindungi data sesuai dengan standar hukum dan etika yang berlaku. Prinsip akuntabilitas ini melibatkan pemantauan, pelatihan, dan audit reguler untuk memastikan bahwa kebijakan dan prosedur perlindungan data diikuti dengan konsisten (Brown, 2020).

Prinsip-prinsip perlindungan data ini tidak hanya memastikan keamanan data, tetapi juga mematuhi berbagai regulasi global, seperti GDPR di Uni Eropa dan CCPA di Amerika Serikat, yang mewajibkan organisasi untuk menghormati hak privasi pengguna. Dengan menerapkan prinsip-prinsip ini, organisasi tidak hanya melindungi diri dari potensi pelanggaran hukum, tetapi juga membangun hubungan kepercayaan yang lebih kuat dengan pelanggan dan pengguna layanan mereka.

4.4 Teknik dan Prosedur Perlindungan

Data

Teknik dan Prosedur Perlindungan Data sangat penting dalam menjaga keamanan informasi di tengah meningkatnya ancaman siber. Salah satu teknik utama adalah enkripsi data, yang melibatkan pengubahan data menjadi format yang tidak dapat dibaca oleh pihak yang tidak berwenang. Dengan enkripsi, data sensitif seperti informasi pribadi dan keuangan tetap terlindungi bahkan jika terjadi pelanggaran akses. Anderson (2020) mencatat bahwa enkripsi adalah teknik esensial dalam menjaga kerahasiaan informasi, terutama dalam lingkungan digital di mana data sering dipindahkan antar sistem.

Selain enkripsi, firewall adalah prosedur perlindungan lain yang berfungsi sebagai pembatas antara jaringan internal yang aman dan jaringan eksternal. Firewall bekerja dengan cara memantau lalu lintas masuk dan keluar, menyaring ancaman yang mungkin masuk ke dalam sistem, serta

memastikan bahwa hanya lalu lintas yang sah yang diperbolehkan (Johnson, 2019).

Kontrol akses juga merupakan prosedur penting untuk memastikan bahwa data hanya diakses oleh pihak yang memiliki wewenang. Teknik ini meliputi penggunaan sistem autentikasi seperti kata sandi, identifikasi biometrik, atau otentikasi dua faktor (2FA). Kontrol akses yang ketat tidak hanya mencegah akses yang tidak sah, tetapi juga memungkinkan organisasi untuk melacak aktivitas pengguna dan mengidentifikasi tindakan yang mencurigakan (Brown & Miller, 2021).

Selain itu, backup data adalah prosedur perlindungan yang penting untuk memitigasi risiko kehilangan data akibat serangan ransomware, kegagalan sistem, atau bencana. Dengan melakukan backup secara rutin dan menyimpannya di lokasi terpisah, organisasi dapat memastikan bahwa data mereka dapat dipulihkan dengan cepat jika terjadi insiden (White, 2020).

Pemantauan jaringan juga menjadi komponen utama dalam perlindungan data. Melalui pemantauan, organisasi dapat mendeteksi aktivitas yang mencurigakan dan menanggapi ancaman siber secara proaktif. Menurut Harris (2021), pemantauan jaringan yang efektif melibatkan penggunaan alat deteksi ancaman dan sistem peringatan dini yang memberikan notifikasi kepada tim keamanan ketika ada aktivitas yang mencurigakan. Ini memungkinkan respons yang cepat dan mengurangi risiko pelanggaran data yang lebih luas.

Selain itu, penerapan prosedur audit yang teratur membantu organisasi untuk meninjau dan mengkaji efektivitas sistem keamanan mereka. Audit memungkinkan evaluasi berkala terhadap kebijakan dan prosedur keamanan yang diterapkan, memastikan bahwa standar dan praktik perlindungan data selalu up-to-date sesuai dengan perkembangan teknologi dan regulasi yang berlaku (Smith, 2021).

Penerapan kebijakan pelatihan dan edukasi keamanan bagi karyawan juga tidak kalah pentingnya. Dengan memberikan pelatihan rutin tentang praktik keamanan data, seperti mengenali email phishing dan cara menjaga

Keamanan Informasi (Cyber Security)

kata sandi yang aman, organisasi dapat meningkatkan kesadaran karyawan terhadap risiko keamanan dan meminimalkan kesalahan manusia yang sering kali menjadi penyebab kebocoran data. Secara keseluruhan, teknik dan prosedur perlindungan data, termasuk enkripsi, firewall, kontrol akses, backup data, pemantauan jaringan, audit, serta pelatihan keamanan, berfungsi sebagai sistem perlindungan berlapis yang efektif dalam melindungi data dari berbagai ancaman, baik internal maupun eksternal.

4.5 Tantangan dalam Perlindungan Data

Tantangan dalam Perlindungan Data di era digital semakin kompleks dan beragam, seiring dengan meningkatnya ketergantungan pada teknologi serta banyaknya ancaman siber yang berkembang. Salah satu tantangan utama dalam perlindungan data adalah menghadapi serangan yang semakin canggih, seperti serangan malware dan ransomware. Menurut White (2021), malware dan ransomware telah berkembang dalam teknik dan skala, mengincar kelemahan sistem untuk mengenkripsi atau mencuri data penting, yang sering kali berdampak signifikan pada operasional perusahaan.

Dalam serangan ransomware, penyerang mengenkripsi data perusahaan dan menuntut tebusan untuk membuka kembali akses data tersebut.

Fenomena ini menimbulkan tantangan besar bagi organisasi, yang harus berinvestasi dalam teknologi deteksi dini dan respons insiden untuk meminimalkan dampak dari serangan tersebut (Johnson, 2020).

Tantangan lain yang signifikan adalah kebutuhan untuk melindungi data di lingkungan cloud. Semakin banyak organisasi yang beralih ke cloud computing untuk efisiensi dan kemudahan akses data, namun ini juga meningkatkan risiko keamanan, terutama ketika data sensitif diproses dan disimpan oleh pihak ketiga. Anderson (2020) mencatat bahwa penggunaan cloud membawa tantangan tambahan dalam kontrol akses dan kepatuhan

terhadap regulasi, karena data harus tetap aman meskipun berada di luar infrastruktur fisik perusahaan.

Keamanan di cloud memerlukan pendekatan multi-layer, termasuk enkripsi data, kontrol akses ketat, dan audit keamanan reguler untuk mengatasi risiko yang mungkin muncul. Selain itu, organisasi harus memastikan bahwa penyedia layanan cloud mereka mematuhi standar keamanan dan peraturan yang berlaku.

Kesenjangan dalam kesadaran keamanan di kalangan karyawan juga menjadi tantangan utama dalam perlindungan data. Meskipun teknologi keamanan terus berkembang, kesalahan manusia tetap menjadi salah satu faktor utama kebocoran data. Brown dan Harris (2019) menunjukkan bahwa kurangnya pelatihan atau pemahaman karyawan tentang ancaman siber, seperti serangan phishing, sering kali menyebabkan kelemahan yang dapat dieksploitasi oleh peretas.

Kesadaran dan pelatihan keamanan yang berkala sangat penting untuk memastikan bahwa karyawan dapat mengenali dan menghindari potensi serangan. Selain itu, karena semakin banyak orang yang bekerja dari jarak jauh, tantangan ini semakin diperburuk oleh kurangnya kontrol langsung terhadap perangkat karyawan, yang sering kali terhubung ke jaringan yang tidak aman (Smith, 2020).

Tantangan lainnya adalah kepatuhan terhadap regulasi perlindungan data yang semakin ketat, seperti GDPR di Uni Eropa dan CCPA di Amerika Serikat. Peraturan ini memberikan hak tambahan kepada individu atas data mereka dan menuntut organisasi untuk mematuhi standar perlindungan data yang ketat. Namun, kepatuhan ini bukan tanpa tantangan. Organisasi harus menyesuaikan kebijakan dan prosedur mereka dengan regulasi yang beragam, dan sering kali ini membutuhkan perubahan besar dalam infrastruktur dan manajemen data mereka (Harris, 2021). Tidak hanya membutuhkan investasi finansial yang besar, tetapi kepatuhan terhadap regulasi juga memerlukan pemantauan terus-menerus dan audit berkala untuk memastikan bahwa semua aspek perlindungan data tetap sesuai dengan hukum.

Keamanan Informasi (Cyber Security)

Secara keseluruhan, tantangan dalam perlindungan data meliputi ancaman serangan siber yang semakin canggih, kebutuhan akan keamanan di lingkungan cloud, kesenjangan kesadaran keamanan di kalangan karyawan, dan kepatuhan terhadap regulasi yang ketat. Meskipun teknologi dan prosedur keamanan terus berkembang, tantangan-tantangan ini menuntut organisasi untuk terus beradaptasi, memperbarui pendekatan keamanan mereka, dan memastikan bahwa perlindungan data tetap menjadi prioritas utama.

4.6 Peran Keamanan Siber dalam

Perlindungan Data

Peran Keamanan Siber dalam Perlindungan Data sangatlah penting dalam melindungi informasi sensitif dari ancaman yang berkembang di dunia digital. Keamanan siber mencakup serangkaian teknologi, proses, dan praktik yang dirancang untuk melindungi jaringan, perangkat, program, dan data dari serangan digital, pencurian data, dan penyalahgunaan (Anderson, 2020).

Keamanan siber berfungsi sebagai lapisan perlindungan pertama dalam sistem teknologi informasi yang kompleks, menciptakan perisai antara data penting dan ancaman eksternal seperti malware, ransomware, dan serangan phishing yang berpotensi merusak atau mencuri data organisasi maupun individu (Johnson, 2021).

Sistem deteksi ancaman adalah salah satu komponen penting dalam keamanan siber. Dengan menggunakan teknologi seperti sistem deteksi intrusi (Intrusion Detection System/IDS) dan pemantauan jaringan secara real-time, organisasi dapat mengidentifikasi aktivitas yang mencurigakan dan merespons ancaman siber lebih cepat, mengurangi risiko terjadinya pelanggaran data (Smith & Brown, 2020).

Di samping itu, keamanan siber juga mencakup penggunaan enkripsi data, yang membantu menjaga kerahasiaan informasi dengan mengubah data menjadi kode yang tidak dapat dibaca tanpa kunci khusus. Teknik enkripsi ini membuat data tetap aman bahkan jika jatuh ke tangan yang tidak berwenang, sehingga merupakan komponen kritis dalam perlindungan data (White, 2019).

Autentikasi multi-faktor (MFA) merupakan teknik lain yang digunakan dalam keamanan siber untuk memperkuat perlindungan akses terhadap data. MFA mengharuskan pengguna untuk melalui beberapa langkah verifikasi identitas sebelum mendapatkan akses ke data sensitif, sehingga meningkatkan keamanan dan mengurangi risiko akses yang tidak sah (Harris, 2021).

Ini sangat penting di era di mana pelanggaran keamanan sering kali terjadi akibat kata sandi yang lemah atau kesalahan manusia. Keamanan siber juga mencakup penerapan firewall dan antivirus yang berfungsi untuk memblokir akses dari jaringan atau perangkat yang tidak terpercaya, serta mendeteksi dan menghapus malware yang dapat merusak sistem atau mencuri data (Miller, 2020).

Di tengah meningkatnya adopsi cloud computing, peran keamanan siber dalam melindungi data di lingkungan cloud juga menjadi semakin penting. Organisasi perlu memastikan bahwa penyedia layanan cloud memiliki standar keamanan tinggi dan prosedur yang memadai untuk mencegah pelanggaran data (Brown, 2020). Selain itu, dengan semakin luasnya ancaman siber, banyak organisasi juga menerapkan program pelatihan dan kesadaran keamanan bagi karyawan untuk memastikan bahwa semua anggota organisasi memahami ancaman yang ada dan langkah-langkah yang diperlukan untuk melindungi data.

Dengan semua langkah ini, keamanan siber tidak hanya membantu mencegah pelanggaran data tetapi juga menjaga kepercayaan pelanggan, menjaga kepatuhan terhadap regulasi, dan melindungi reputasi organisasi di pasar yang kompetitif. Oleh karena itu, peran keamanan siber dalam perlindungan data sangat penting untuk memastikan bahwa organisasi

Keamanan Informasi (Cyber Security)

dapat beroperasi dengan aman dan menjaga integritas serta kerahasiaan data yang mereka miliki.

4.7 Masa Depan Perlindungan Data

Masa Depan Perlindungan Data menghadapi tantangan dan peluang yang semakin besar seiring dengan perkembangan teknologi yang pesat. Di masa depan, teknologi seperti kecerdasan buatan (AI) dan pembelajaran mesin (machine learning) akan memainkan peran penting dalam memperkuat perlindungan data melalui kemampuan mereka dalam mendeteksi polapola yang mencurigakan dan mengidentifikasi ancaman potensial sebelum terjadi pelanggaran data.

Menurut White (2021), sistem keamanan yang didukung oleh AI memungkinkan proses analisis ancaman yang lebih cepat dan presisi, mengurangi waktu respons dan meningkatkan kemampuan deteksi dini terhadap serangan siber. Penggunaan AI dalam keamanan data juga diharapkan mampu mengidentifikasi anomali dalam jaringan secara otomatis dan memprediksi serangan berdasarkan pola historis, memberikan perlindungan yang lebih proaktif daripada pendekatan tradisional.

Selain itu, enkripsi data akan semakin canggih untuk menghadapi ancaman kriptografi yang lebih kompleks. Brown (2020) mengungkapkan bahwa teknik enkripsi kuantum, yang menggunakan prinsip-prinsip fisika kuantum untuk menghasilkan kunci yang tidak dapat dipecahkan, mulai diperkenalkan dan diperkirakan akan menjadi standar baru dalam perlindungan data, terutama untuk data yang sangat sensitif dan bernilai tinggi. Enkripsi kuantum ini memungkinkan komunikasi data yang lebih aman karena setiap upaya untuk mengintervensi data akan terdeteksi secara otomatis, memastikan bahwa informasi tetap terlindungi bahkan dari serangan komputer kuantum yang memiliki daya komputasi jauh lebih tinggi daripada komputer saat ini.

Di sisi regulasi, masa depan perlindungan data akan semakin dipengaruhi oleh kebijakan dan peraturan yang terus berkembang, baik di tingkat nasional maupun internasional. Peraturan seperti GDPR di Uni Eropa telah menetapkan standar perlindungan data yang ketat, dan negara-negara lain diharapkan mengikuti jejak ini dengan menetapkan regulasi yang lebih komprehensif.

Harris dan Miller (2021) mencatat bahwa regulasi global ini tidak hanya akan memberikan perlindungan yang lebih baik bagi individu, tetapi juga mendorong perusahaan untuk meningkatkan sistem keamanan mereka agar mematuhi standar internasional. Hal ini menunjukkan bahwa perusahaan akan terus dihadapkan pada tuntutan untuk memperbarui prosedur perlindungan data mereka dan menjaga kepatuhan terhadap berbagai peraturan yang terus berkembang.

Namun, tantangan besar dalam perlindungan data juga diprediksi akan meningkat, terutama dengan bertambahnya perangkat yang terhubung ke Internet of Things (IoT) dan migrasi ke cloud yang luas. IoT membawa risiko tambahan karena banyak perangkat yang tidak memiliki sistem keamanan yang memadai, menjadikannya pintu masuk potensial untuk peretas (Smith, 2020).

Tantangan ini akan mendorong organisasi untuk memperketat keamanan tidak hanya pada data utama tetapi juga pada perangkat dan sistem yang berinteraksi dengan data tersebut. Demikian pula, penggunaan cloud untuk menyimpan data dalam skala besar juga akan meningkatkan kebutuhan akan keamanan yang lebih kuat dalam penyimpanan dan akses data, yang mengarah pada pengembangan solusi keamanan berbasis cloud yang lebih efisien dan aman.

Ke depan, pendidikan dan kesadaran keamanan bagi pengguna akhir juga akan menjadi prioritas dalam perlindungan data. White (2021) menekankan bahwa peningkatan kesadaran dan pemahaman masyarakat umum tentang pentingnya keamanan data akan menjadi kunci dalam menciptakan ekosistem digital yang aman dan terpercaya.

Dengan demikian, masa depan perlindungan data akan sangat bergantung pada kombinasi teknologi canggih, regulasi yang ketat, serta peningkatan kesadaran publik untuk memastikan bahwa data tetap aman di tengah ancaman yang terus berkembang.

Bab 5 Jenis-jenis Serangan Siber

5.1 Definisi Serangan Siber

Pada era digital yang terus berkembang, kejahatan siber (cybercrime) tidak hanya memiliki potensi untuk merusak data dan menyebabkan kebocoran informasi pribadi, tetapi juga dapat menghancurkan perekonomian, merusak bisnis, mengganggu infrastruktur vital, bahkan mengancam stabilitas keamanan nasional suatu negara.

Cybercrime merupakan kejahatan yang dilakukan dengan memanfaatkan teknologi informasi dan komunikasi untuk tujuan ilegal, sementara cybersecurity adalah langkah proteksi yang dirancang untuk melindungi sistem komputer dari berbagai ancaman atau akses yang tidak sah. Salah satu bentuk serangan dalam kejahatan siber adalah cyberattack, yaitu serangan yang dilakukan oleh pelaku kejahatan siber dengan menggunakan satu atau lebih komputer untuk menyerang komputer lain yang terhubung dalam jaringan. Fenomena ini menjadi masalah serius bagi individu, perusahaan, dan pemerintah.

Keamanan Informasi (Cyber Security)

Kejahatan komputer, kejahatan siber, atau kejahatan dunia maya (cybercrime) adalah bentuk kriminalitas yang memanfaatkan internet dan komputer sebagai sarana utama untuk melakukan tindakan ilegal. Contoh dari kejahatan ini meliputi hacking, pelanggaran hak cipta, pornografi anak, eksploitasi anak, serta pelanggaran privasi seperti pencurian atau kehilangan informasi rahasia. Selain itu, ransomware, yaitu jenis malware yang mengenkripsi data dan meminta tebusan kepada korban, menjadi salah satu bentuk kejahatan siber yang semakin sering terjadi.

Definisi lain menjelaskan bahwa kejahatan dunia maya mengacu pada aktivitas ilegal yang melibatkan komputer atau jaringan komputer sebagai alat, target, atau lokasi kejahatan. Jenis kejahatan yang termasuk dalam kategori ini antara lain penipuan lelang daring, pemalsuan cek, penipuan kartu kredit, penipuan identitas, confidence fraud, dan penyebaran pornografi anak. Meskipun istilah "cybercrime" biasanya merujuk pada aktivitas kriminal yang sepenuhnya bergantung pada teknologi komputer, istilah ini juga digunakan untuk menggambarkan kejahatan tradisional yang dimodifikasi dengan bantuan teknologi, seperti pencucian uang atau perdagangan ilegal secara online.

Sebagai respons terhadap meningkatnya ancaman siber, diperlukan upaya kolaboratif dari berbagai pihak, termasuk individu, organisasi, dan pemerintah, untuk memperkuat sistem keamanan siber dan meningkatkan kesadaran akan pentingnya menjaga data pribadi. Regulasi dan kebijakan yang ketat, pelatihan keamanan siber, serta investasi dalam teknologi perlindungan adalah langkah penting untuk memitigasi risiko dan mengurangi dampak dari kejahatan siber. Di samping itu, penting untuk membangun infrastruktur keamanan yang tangguh, termasuk deteksi dini terhadap potensi serangan dan penanganan cepat terhadap insiden siber.

Lebih jauh lagi, perkembangan teknologi seperti kecerdasan buatan (artificial intelligence) dan pembelajaran mesin (machine learning) kini juga dimanfaatkan untuk mendeteksi aktivitas mencurigakan secara realtime. Namun, hal ini menciptakan tantangan baru karena teknologi yang sama juga dapat digunakan oleh pelaku kejahatan untuk melancarkan

Bab 5 Jenis-jenis Serangan Siber 79

serangan yang lebih canggih dan sulit dideteksi. Oleh karena itu, pengembangan strategi keamanan siber harus selalu mengikuti dinamika perkembangan teknologi.

Pendidikan dan kesadaran publik juga memegang peran penting dalam memerangi kejahatan siber. Banyak serangan siber berhasil karena kurangnya pengetahuan individu tentang risiko penggunaan teknologi, seperti membuka lampiran email yang mencurigakan atau menggunakan kata sandi yang lemah. Dengan meningkatkan literasi digital dan menerapkan kebiasaan yang aman, risiko kejahatan siber dapat diminimalkan. Selain itu, penegakan hukum yang kuat dan kerjasama lintas negara juga diperlukan, mengingat sifat kejahatan siber yang sering kali bersifat lintas batas.

5.2 Jenis-jenis Serangan Siber

Kejahatan komputer mencakup berbagai jenis aktivitas ilegal.

Secara umum, kejahatan ini dapat dikelompokkan menjadi dua kategori utama:

1 Kejahatan yang secara langsung menargetkan jaringan komputer atau perangkat sebagai objek serangan

2 Kejahatan yang memanfaatkan jaringan komputer atau perangkat sebagai sarana, tetapi tujuan utamanya adalah entitas lain di luar jaringan atau perangkat tersebut.

Contoh kejahatan yang secara khusus menargetkan jaringan komputer atau perangkat antara lain adalah:

1. Cyber stalking (Pencurian Dunia Maya)

Cyberstalking adalah tindakan menggunakan internet atau perangkat elektronik lainnya untuk menghina, melecehkan, atau mengganggu

Keamanan Informasi (Cyber Security)

individu, kelompok, atau organisasi tertentu. Perilaku ini dapat mencakup tuduhan palsu, pengintaian, ancaman, pencurian identitas, perusakan data atau perangkat, penghasutan anak di bawah umur untuk aktivitas seksual, hingga pengumpulan informasi dengan tujuan mengganggu pihak lain. Untuk dianggap sebagai "pelecehan," tindakan tersebut harus memenuhi standar di mana orang yang memahami situasi serupa akan menganggapnya cukup untuk menimbulkan kesulitan atau kerugian yang masuk akal bagi korban.

2. Penipuan dan pencurian identitas.

Pencurian identitas adalah tindakan menggunakan identitas orang lain, seperti KTP, SIM, atau paspor, untuk kepentingan pribadi, biasanya dengan tujuan penipuan. Meskipun sering kali terkait dengan aktivitas di internet, jenis kejahatan ini juga dapat terjadi dalam kehidupan sehari-hari. Contohnya adalah pemanfaatan informasi dari kartu identitas seseorang untuk melakukan tindakan kriminal. Pelaku pencurian identitas dapat menggunakan data orang lain dalam suatu transaksi atau aktivitas tertentu, sehingga pemilik identitas asli yang kemudian dianggap bertanggung jawab atas tindakan tersebut.

3. Phishing scam

Dalam keamanan komputer, phishing (dalam bahasa Indonesia: pengelabuan) adalah bentuk penipuan yang bertujuan untuk memperoleh informasi sensitif, seperti kata sandi atau data kartu kredit, dengan berpurapura menjadi pihak atau organisasi terpercaya. Modus ini sering dilakukan melalui komunikasi elektronik resmi, seperti email atau pesan instan. Istilah phishing berasal dari bahasa Inggris, yaitu kata "fishing" (memancing), yang dalam konteks ini berarti memancing informasi keuangan dan data pribadi pengguna.

4. Perang informasi (Information warfare)

Perang Informasi adalah pemanfaatan dan pengelolaan informasi untuk mencapai keunggulan kompetitif atas lawan. Bentuk perang ini mencakup

Bab 5 Jenis-jenis Serangan Siber 81

pengumpulan informasi taktis, memastikan keabsahan informasi sendiri, menyebarkan propaganda atau disinformasi untuk melemahkan moral musuh dan masyarakat, serta merusak kemampuan lawan dalam mengelola atau mengakses informasi. Perang informasi juga sering bertujuan untuk mencegah pihak lawan mendapatkan peluang dalam mengumpulkan informasi. Konsep ini memiliki keterkaitan erat dengan perang psikologis.

Contohnya termasuk pencurian informasi dari situs web atau tindakan yang menyebabkan kerusakan pada komputer atau jaringan komputer. Aktivitas semacam ini bersifat virtual, terjadi di dunia digital, sehingga dampaknya biasanya tidak menyebabkan kerusakan fisik, melainkan hanya gangguan pada fungsi perangkat. Selain itu, komputer sering menjadi sumber bukti yang penting dalam penyelidikan kriminal. Meskipun komputer tidak selalu digunakan secara langsung dalam tindak kejahatan, perangkat ini sering digunakan untuk menyimpan catatan, terutama dengan kemampuan enkripsi data. Jika bukti digital ini dapat diambil dan didekripsi, maka nilainya akan sangat membantu proses investigasi kriminal.

Dalam perembangannya tindak pidana Cyber Crime memiliki berbagai jenis modus yang dilakukan dan sering terjadi pada dunia maya:

1. Unauthorized Access to Computer System and Service

Kejahatan ini terjadi ketika seseorang dengan sengaja masuk atau menyusup ke dalam sistem jaringan komputer tanpa izin, tanpa sepengetahuan pemiliknya. Biasanya, tindakan ini dilakukan untuk tujuan sabotase atau pencurian informasi penting dan bersifat rahasia. Namun, ada juga yang melakukannya sekadar untuk menguji kemampuan mereka dalam menembus sistem keamanan yang kompleks.

Dengan berkembangnya teknologi internet dan intranet, jenis kejahatan ini semakin marak terjadi. Contohnya, saat isu Timor Timur menjadi perhatian internasional, beberapa situs milik pemerintah Indonesia dirusak oleh peretas. Tak lama setelahnya, hacker juga berhasil membobol basis data pelanggan America Online (AOL), sebuah perusahaan e-commerce

Keamanan Informasi (Cyber Security)

Amerika Serikat dengan tingkat keamanan tinggi. Bahkan situs resmi Federal Bureau of Investigation (FBI) pernah menjadi target serangan, menyebabkan situs tersebut tidak dapat diakses untuk beberapa waktu.

2. Offense against Intellectual Property.

Kejahatan ini menyasar Hak Kekayaan Intelektual (HKI) milik pihak lain di internet. Contohnya meliputi peniruan desain atau tampilan halaman web suatu situs tanpa izin, penyebaran informasi di internet yang sebenarnya merupakan rahasia dagang milik orang lain, dan tindakan serupa lainnya. Salah satu contoh yang pernah terjadi adalah tuduhan bahwa situs mesin pencari Bing milik Microsoft memiliki kemiripan dengan situs perusahaan travel online tertentu.

3. Illegal Contents.

Kejahatan ini dilakukan dengan menyebarkan data atau informasi di internet yang bersifat tidak benar, tidak etis, atau melanggar hukum, serta dapat mengganggu ketertiban umum. Contohnya meliputi penyebaran berita palsu atau fitnah yang merusak reputasi seseorang, konten pornografi, penyebaran informasi rahasia negara, hingga agitasi atau propaganda yang bertujuan melawan pemerintah yang sah. Salah satu kasus terkenal adalah kasus Prita Mulyasari, yang hingga kini menjadi sorotan. Ia menghadapi proses hukum hanya karena sebuah email yang dianggap merusak reputasi sebuah institusi kesehatan swasta.

4. Cyberstalking

Jenis kejahatan ini dilakukan dengan tujuan mengganggu atau melecehkan seseorang melalui penggunaan komputer, misalnya dengan mengirimkan email secara berulang-ulang. Tindakan ini menyerupai bentuk teror yang dilakukan melalui media internet. Hal ini dimungkinkan karena kemudahan dalam membuat email dengan alamat tertentu tanpa perlu mencantumkan identitas asli.

Bab 5 Jenis-jenis Serangan Siber 83

Contoh kasusnya meliputi email yang berisi ajakan untuk bergabung dengan suatu situs web, penawaran untuk membeli produk tertentu, atau email yang mengklaim adanya kontes atau undian berhadiah. Sesuai dengan Undang-Undang ITE Pasal 25, penggunaan informasi pribadi melalui media elektronik harus mendapatkan persetujuan dari pemilik data, kecuali diatur lain oleh peraturan perundang-undangan.

5. Hacking dan Cracker

Istilah hacker merujuk pada individu yang memiliki minat mendalam untuk mempelajari sistem komputer secara detail dan meningkatkan kapabilitasnya. Namun, mereka yang menggunakan keahlian ini untuk tujuan merusak sering disebut sebagai cracker. Cracker pada dasarnya adalah hacker yang menyalahgunakan kemampuan mereka untuk melakukan tindakan negatif. Aktivitas cracking di internet mencakup berbagai tindakan, seperti pembajakan akun, peretasan situs web, probing (penyelidikan sistem keamanan), penyebaran virus, hingga serangan pelumpuhan yang dikenal sebagai Denial of Service (DoS). Serangan DoS bertujuan untuk melumpuhkan target sehingga tidak dapat berfungsi atau memberikan layanan.

Contoh Kasus, Pada tahun 1983, FBI pertama kali menangkap kelompok kriminal komputer bernama The 414s, yang berbasis di Milwaukee, AS (414 adalah kode area mereka). Kelompok ini berhasil membobol 60 komputer, termasuk komputer di Pusat Kanker Memorial Sloan-Kettering dan Laboratorium Nasional Los Alamos. Salah satu anggota kelompok diberikan kekebalan karena bersedia memberikan kesaksian, sedangkan lima lainnya dijatuhi hukuman percobaan.

Berdasarkan Pasal 27 (1) UU ITE, setiap orang dilarang menggunakan atau mengakses komputer dan sistem elektronik tanpa hak untuk memperoleh, mengubah, merusak, atau menghilangkan informasi dalam sistem tersebut. Pelanggaran ini dapat dikenai pidana hingga 4 tahun penjara dan denda sebesar Rp 1 miliar.

Keamanan Informasi (Cyber Security)

6. Cybersquatting and Typosquatting

Cybersquatting adalah kejahatan dengan cara mendaftarkan nama domain yang merupakan nama perusahaan atau merek milik pihak lain, kemudian mencoba menjualnya kembali kepada perusahaan tersebut dengan harga yang jauh lebih tinggi. Sementara itu, typosquatting adalah kejahatan dengan membuat nama domain yang merupakan plesetan atau memiliki kemiripan dengan domain milik pihak lain, biasanya untuk mengecoh pengguna atau menyasar domain milik pesaing perusahaan.

Contoh Kasus, Salah satu kasus internasional yang terkenal adalah tuntutan Yahoo terhadap OnlineNIC atas praktik cybersquatting pada 500 nama domain yang menyerupai atau membingungkan pengguna, seperti yahoozone.com, yahooyahooligans.com, dan denverwifesexyahoo.com.

Berdasarkan Pasal 23 (2) UU ITE, kepemilikan dan penggunaan nama domain harus dilakukan dengan itikad baik, tidak melanggar prinsip persaingan usaha yang sehat, dan tidak melanggar hak pihak lain. Pelanggaran terkait nama domain hanya dapat dituntut berdasarkan pengaduan dari pihak yang dirugikan, dengan ancaman pidana hingga 6 bulan penjara atau denda maksimal Rp 100 juta.

7. ARP spoofing

ARP Spoofing adalah teknik yang sering digunakan untuk menyadap data di jaringan internal, terutama data sensitif seperti username dan password. Metode ini bekerja dengan mengirimkan paket ARP Reply palsu ke komputer target, yang mengubah hubungan antara alamat MAC dan IP dalam tabel ARP milik target. Akibatnya, lalu lintas paket TCP/IP dialihkan melalui perangkat penyerang, memungkinkan mereka untuk memantau, menyadap, atau bahkan memodifikasi data yang dikirimkan di jaringan tersebut.

8. Carding

Carding adalah kejahatan dengan cara berbelanja menggunakan nomor atau identitas kartu kredit milik orang lain secara ilegal. Pelaku kejahatan

Bab 5 Jenis-jenis Serangan Siber 85

ini dikenal sebagai carder. Indonesia bahkan menduduki peringkat kedua dunia setelah Ukraina untuk kasus carding, dengan sekitar 20% transaksi internet dari Indonesia dianggap sebagai hasil dari aktivitas ilegal ini.

Akibatnya, banyak situs belanja online memblokir alamat IP dari Indonesia, melarang konsumen asal Indonesia untuk bertransaksi di platform mereka.

Belakangan, pelaku carding juga mulai menyasar ruang obrolan daring seperti mIRC, menawarkan barang-barang dengan harga sangat murah. Namun, setelah pembeli mentransfer uang melalui rekening, barang yang dijanjikan tidak pernah dikirim.

Perlu diketahui, pelaku carding sering disamakan dengan hacker, meskipun keduanya berbeda. Carding tidak memerlukan keahlian mendalam; pelaku hanya perlu mengetahui nomor kartu kredit dan tanggal kedaluwarsanya.

Sebaliknya, hacker adalah individu yang sangat menguasai sistem keamanan jaringan dan membutuhkan waktu serta keahlian tinggi untuk mencapai kemampuannya.

9. Defacing

Defacing adalah tindakan merubah tampilan halaman situs atau website milik pihak lain tanpa izin. Contohnya adalah peretasan yang pernah terjadi pada situs Menkominfo, Partai Golkar, Bank Indonesia (BI), dan situs KPU saat pemilu 2004.

Motif di balik defacing beragam, mulai dari sekadar iseng, unjuk kebolehan, hingga pamer kemampuan dalam membuat program. Namun, ada juga yang bertujuan jahat, seperti mencuri data penting dari situs tersebut untuk dijual kepada pihak lain.

10. Phising

Phishing adalah tindakan kejahatan yang bertujuan untuk menipu pengguna internet agar memberikan informasi pribadi mereka, seperti username dan password. Modusnya sering kali melalui situs web palsu yang telah diubah tampilannya (defaced) agar menyerupai situs asli.

Keamanan Informasi (Cyber Security)

Phishing biasanya menargetkan pengguna layanan perbankan online. Data penting yang dimasukkan oleh korban, seperti username dan password, akan jatuh ke tangan pelaku kejahatan. Informasi ini kemudian digunakan untuk melakukan transaksi ilegal, seperti belanja dengan kartu kredit atau mengakses rekening bank korban. 11. Spamming

Spam adalah tindakan mengirimkan pesan atau iklan yang tidak diinginkan melalui surat elektronik (email). Biasanya, spam berisi tawaran hadiah, lotere palsu, atau permintaan bantuan dari seseorang yang mengaku memiliki rekening di luar negeri, seperti Amerika atau Baghdad, dengan tujuan menipu penerima untuk mencairkan dana.

Salah satu kasus terkenal melibatkan Sanford Wallace, yang dijuluki "Spam King." Wallace ditangkap dan diadili oleh Jeremy Fogel, hakim di Pengadilan Distrik AS untuk Wilayah Utara California, atas pelanggaran aturan Facebook melalui aksi spam mail marketing. Wallace dihukum dengan sanksi denda sebesar US$ 230 juta atas tuduhan pencemaran akses di platform Facebook. Kasus ini ditangani oleh Kejaksaan Agung Amerika Serikat.

Terkait pesan berantai di Facebook, hal ini dapat dianggap sebagai salah satu bentuk spam, terutama jika pesan tersebut mengganggu pengguna lain atau melanggar aturan platform. Dalam beberapa kasus, jika tindakan ini melibatkan penipuan, penyebaran hoaks, atau akses ilegal, maka pelaku dapat dikenai pasal pidana sesuai hukum yang berlaku, termasuk pelanggaran Undang-Undang Informasi dan Transaksi Elektronik (UU ITE).

12. Malware

Malware adalah program komputer yang dirancang untuk mengeksploitasi kelemahan pada suatu perangkat lunak. Biasanya, malware dibuat dengan tujuan untuk membobol atau merusak perangkat lunak atau sistem operasi.

Bab 5 Jenis-jenis Serangan Siber 87

Malware terdiri dari berbagai jenis, seperti virus, worm, trojan horse, adware, dan browser hijacker.

Meskipun di pasaran sudah tersedia perangkat keamanan seperti antispam, antivirus, dan antimalware, ancaman ini tetap ada karena pembuat malware terus berinovasi dan aktif menciptakan program baru untuk menargetkan korban yang lengah. Oleh karena itu, kewaspadaan pengguna sangat diperlukan untuk menghindari risiko serangan malware.

13. Jamming

adalah bentuk gangguan yang dilakukan dengan mengurangi kekuatan frekuensi radio dari sumber tertentu, menggunakan karakteristik tertentu, untuk menghalangi penerima menangkap sinyal GPS di area yang menjadi target. Karena sinyal GPS tersebar bebas di udara, hal ini mempermudah orang untuk menciptakan sinyal serupa yang menyesatkan. Dengan menggunakan generator sinyal, frekuensi radio dari osilator dapat dimodifikasi, bahkan teknik ini bisa diterapkan hanya dengan menggunakan perangkat seperti ponsel. Biasanya, pelaku jamming yang ingin menghindari deteksi di darat akan melakukannya dari tempat yang lebih sulit dijangkau, seperti pesawat atau balon udara.

14. Spoofing

Spoofing adalah teknik manipulasi sinyal, di mana pelaku memalsukan sinyal asli untuk menipu penerima agar menerima informasi yang salah. Dalam kasus GPS spoofing, pelaku mengirimkan sinyal palsu agar perangkat penerima GPS mengunci sinyal tersebut dan memberikan informasi lokasi atau arah yang tidak sesuai dengan kenyataan, sering kali untuk mengarahkan perangkat ke lokasi tertentu yang diinginkan oleh pelaku.

15. Cyber Espionage

Kejahatan ini melibatkan penggunaan jaringan internet untuk melakukan kegiatan spionase terhadap pihak tertentu dengan cara mengakses sistem

Keamanan Informasi (Cyber Security)

jaringan komputer target. Biasanya, sasaran utama adalah pesaing bisnis yang menyimpan dokumen atau data penting dalam sistem komputer. Pelaku sering kali menggunakan program mata-mata, atau yang dikenal sebagai spyware, untuk menyusup dan mengakses informasi yang diinginkan.

16. Infringements of Privacy

Kejahatan ini menyasar informasi pribadi dan rahasia milik seseorang. Biasanya, target utama adalah data pribadi yang tersimpan dalam sistem komputer, seperti formulir elektronik. Jika informasi ini jatuh ke tangan pihak lain, korban dapat mengalami kerugian, baik secara materi maupun non-materi. Contoh data yang sering menjadi target meliputi nomor kartu kredit, PIN ATM, atau informasi sensitif seperti riwayat kesehatan atau kondisi medis tersembunyi.

17. Data Forgery

Kejahatan ini melibatkan pemalsuan data pada dokumen-dokumen penting yang disimpan dalam bentuk scriptless document melalui internet. Biasanya, tindakan ini menyasar dokumen-dokumen terkait e-commerce dengan cara merekayasa data sehingga tampak seperti kesalahan pengetikan. Manipulasi ini pada akhirnya dirancang untuk memberikan keuntungan bagi pelaku.

18. Cyber Sabotage and Extortion

Kejahatan ini termasuk salah satu yang paling merugikan dan destruktif. Tindakan ini dilakukan dengan cara mengganggu, merusak, atau menghancurkan data, program komputer, atau sistem jaringan yang terhubung ke internet. Pelaku biasanya menggunakan metode seperti menyisipkan logic bomb, virus komputer, atau program tertentu untuk membuat data, program, atau sistem tidak dapat diakses, tidak berfungsi dengan semestinya, atau bekerja sesuai dengan keinginan pelaku.

Bab 5 Jenis-jenis Serangan Siber 89

Dalam beberapa kasus, setelah melakukan sabotase, pelaku menawarkan jasa untuk memperbaiki kerusakan yang telah mereka sebabkan, tentu dengan meminta imbalan tertentu. Kejahatan seperti ini dikenal sebagai cyber-terrorism dan sering menargetkan korban untuk keuntungan pribadi atau tujuan lain yang lebih besar. 19. Snifing

Kegiatan ini melibatkan penyadapan atau inspeksi paket data menggunakan perangkat lunak atau perangkat keras sniffer di jaringan internet. Aktivitas ini sering dikategorikan sebagai serangan keamanan pasif, di mana data yang mengalir di internet dibaca dan disaring untuk mencari informasi dari host tertentu. Namun, metode ini tidak memodifikasi, mengubah, atau memanipulasi data yang disadap hanya sekadar mengaksesnya.

Tujuan utama kegiatan ini biasanya untuk mendapatkan informasi seperti kata sandi, data rahasia, atau informasi penting lainnya. Di sisi lain, metode ini juga digunakan secara legal oleh analis jaringan, baik dari kalangan pengembang maupun administrator jaringan, untuk keperluan troubleshooting atau pemecahan masalah jaringan.

Bab 6 Kebijakan Keamanan

6.1 Pendahuluan

Dalam dunia yang semakin terhubung dan bergantung pada teknologi informasi, keamanan informasi menjadi elemen krusial yang menuntut perhatian serius dari setiap organisasi, baik di sektor publik maupun swasta. Kebijakan keamanan, sebagai fondasi dari sistem keamanan informasi yang komprehensif, memainkan peran sentral dalam melindungi aset informasi yang berharga dari berbagai ancaman siber yang terus berkembang (Whitman & Mattord, 2021).

Kebijakan ini, yang didefinisikan sebagai seperangkat aturan dan pedoman formal yang mengatur penggunaan, pemrosesan, penyimpanan, dan transmisi informasi dalam suatu organisasi, berfungsi sebagai panduan bagi seluruh pemangku kepentingan dalam menjaga kerahasiaan, integritas, dan ketersediaan informasi (Kim & Solomon, 2018).

Pentingnya kebijakan keamanan tidak dapat disangkal, mengingat dampak negatif yang ditimbulkan oleh insiden keamanan siber semakin merugikan.

Keamanan Informasi (Cyber Security)

Pelanggaran data, serangan ransomware, dan bentuk-bentuk kejahatan siber lainnya dapat mengakibatkan kerugian finansial yang signifikan, merusak reputasi organisasi, dan mengganggu operasional bisnis (Stallings & Brown, 2018). Lebih jauh lagi, kegagalan dalam mematuhi regulasi dan standar kepatuhan yang berlaku, seperti GDPR, HIPAA, PCI DSS, dan ISO 27001, dapat berujung pada sanksi hukum dan denda yang memberatkan (Peltier, 2020).

Kebijakan keamanan yang efektif tidak hanya menetapkan aturan dan prosedur, tetapi juga menumbuhkan budaya keamanan yang positif di dalam organisasi (ISO/IEC 27001:2013). Budaya ini ditandai dengan kesadaran dan komitmen bersama dari seluruh anggota organisasi untuk melindungi informasi dan mematuhi praktik keamanan yang telah ditetapkan (NIST Cybersecurity Framework, 2018).

Dengan demikian, kebijakan keamanan menjadi instrumen penting dalam membangun lingkungan digital yang aman dan terpercaya, yang memungkinkan organisasi untuk beroperasi dengan lancar, melindungi aset informasinya, dan menjaga kepercayaan para pemangku kepentingan (CIS Controls, 2021).

6.1.1 Mengapa Kebijakan Keamanan Penting?

Dalam lanskap digital yang terus berkembang, di mana ancaman siber semakin canggih dan meluas, kebijakan keamanan menjadi garda terdepan dalam melindungi aset informasi vital suatu organisasi. Ibarat fondasi kokoh yang menopang bangunan, kebijakan keamanan berperan sebagai kerangka kerja esensial yang mendefinisikan aturan main dalam mengakses, menggunakan, memproses, menyimpan, dan mentransmisikan informasi (Whitman & Mattord, 2021).

Ia tidak hanya melindungi data sensitif dari akses ilegal, pencurian, dan manipulasi, tetapi juga memastikan kepatuhan terhadap regulasi yang berlaku, seperti GDPR dan UU ITE, serta menumbuhkan budaya kesadaran keamanan di seluruh lapisan organisasi (Peltier, 2020). Dengan demikian, kebijakan keamanan yang komprehensif dan dinamis menjadi imperatif

bagi setiap organisasi yang ingin menjaga integritas, kerahasiaan, dan ketersediaan informasi, serta memitigasi risiko dan kerugian yang diakibatkan oleh insiden keamanan siber (Kim & Solomon, 2018).

Berikut ini beberapa hal yang membuat kebijakan keamanan menjadi penting :

1. Melindungi aset informasi: Kebijakan keamanan berperan sebagai garis pertahanan pertama dalam melindungi aset informasi dari spektrum ancaman yang luas, termasuk akses ilegal, pencurian, penyalahgunaan, dan modifikasi (Stallings & Brown, 2018). Misalnya, penerapan kebijakan kata sandi yang robust dapat secara signifikan mengurangi risiko akses tidak sah ke sistem dan data sensitif (Easttom, 2019).

2. Memastikan kepatuhan : Organisasi harus mematuhi beragam regulasi dan standar kepatuhan yang mengatur penanganan informasi, seperti GDPR, HIPAA, dan PCI DSS. Kebijakan keamanan menyediakan mekanisme untuk memastikan kepatuhan terhadap persyaratan ini dan menghindari sanksi hukum dan finansial (Peltier, 2020).

3. Menumbuhkan budaya keamanan: Kebijakan keamanan yang komprehensif dan terkomunikasikan dengan baik berkontribusi pada pembentukan budaya keamanan yang positif di dalam organisasi (ISO/IEC 27001:2013). Dalam budaya seperti itu, setiap individu memahami dan menerima tanggung jawab mereka dalam menjaga keamanan informasi (NIST Cybersecurity Framework, 2018).

4. Memberikan panduan bagi karyawan dan pengguna: Kebijakan keamanan memberikan panduan yang jelas tentang perilaku yang dapat diterima dan tidak dapat diterima terkait penggunaan aset IT organisasi. Contoh Kasus: Karyawan di perusahaan A mengetahui

Keamanan Informasi (Cyber Security)

dengan jelas batasan penggunaan internet dan email di tempat kerja karena adanya kebijakan penggunaan yang dapat diterima (AUP) yang jelas.

5. Mengurangi risiko dan kerugian: Dengan menerapkan kebijakan keamanan, organisasi dapat mengurangi risiko dan potensi kerugian akibat insiden keamanan. Contoh Kasus: Bank B berhasil mencegah serangan ransomware karena memiliki kebijakan keamanan yang kuat, termasuk sistem backup dan pemulihan data yang efektif.

Tipologi Kebijakan Keamanan:

Kebijakan keamanan dapat diklasifikasikan berdasarkan tingkat granularitasnya:

1. Kebijakan tingkat tinggi: Kebijakan ini mendefinisikan prinsip dan tujuan keamanan secara menyeluruh, seperti pernyataan misi keamanan informasi atau kebijakan keamanan informasi umum (CIS Controls, 2021).

2. Kebijakan tingkat menengah: Kebijakan ini berfokus pada area spesifik dari keamanan informasi, seperti kebijakan penggunaan internet, kebijakan email, atau kebijakan perangkat seluler.

3. Kebijakan tingkat rendah: Kebijakan ini menjabarkan prosedur dan instruksi spesifik untuk implementasi kontrol keamanan, seperti prosedur pelaporan insiden atau prosedur backup data.

6.1.2 Jenis-Jenis Kebijakan Keamanan

Dalam ranah keamanan informasi, kebijakan keamanan bukanlah entitas monolitik, melainkan beragam dan terstruktur untuk mengatasi berbagai aspek perlindungan informasi. Schneier (2000) mengklasifikasikan kebijakan keamanan berdasarkan fungsinya, seperti kebijakan akses, kebijakan penggunaan, dan kebijakan tanggap insiden. Sementara itu,

Pfleeger dan Pfleeger (2003) menekankan pentingnya kebijakan yang bersifat preventif, detektif, dan korektif.

Jenis-jenis kebijakan keamanan ini, mulai dari Kebijakan Penggunaan yang

Dapat Diterima (AUP) yang mengatur etika dan batasan penggunaan aset IT, hingga Kebijakan Pemulihan Bencana yang mengarahkan langkahlangkah pemulihan pasca insiden, saling melengkapi untuk membangun sistem pertahanan siber yang komprehensif dan adaptif terhadap dinamika ancaman siber.

1. Kebijakan tingkat tinggi: Kebijakan umum yang menetapkan prinsip dan tujuan keamanan informasi organisasi secara keseluruhan. Contoh: Kebijakan Keamanan Informasi Umum yang mendefinisikan komitmen organisasi terhadap keamanan informasi dan tanggung jawab semua karyawan.

2. Kebijakan tingkat menengah: Kebijakan yang lebih spesifik yang membahas area atau sistem tertentu. Contoh: Kebijakan Penggunaan Internet yang mengatur akses dan penggunaan internet di lingkungan kerja.

3. Kebijakan tingkat rendah: Prosedur dan standar yang rinci untuk implementasi kebijakan tingkat menengah. Contoh: Prosedur untuk melaporkan insiden keamanan yang menjelaskan langkahlangkah yang harus diambil karyawan jika menemukan potensi ancaman keamanan.

6.2 Ruang Lingkup Kebijakan Keamanan

Ruang lingkup kebijakan keamanan harus didefinisikan secara jelas dan komprehensif, mencakup seluruh aspek yang relevan dengan perlindungan informasi dalam organisasi. Ini meliputi identifikasi aset informasi yang perlu dilindungi, penentuan pengguna yang terikat oleh kebijakan, dan

Keamanan Informasi (Cyber Security)

spesifikasi aktivitas yang diatur oleh kebijakan tersebut (Whitman & Mattord, 2021).

Aset Informasi:

Aset informasi mencakup semua bentuk data, baik yang terstruktur maupun tidak terstruktur, yang dimiliki atau dikelola oleh organisasi, terlepas dari formatnya, baik elektronik, fisik, maupun audio-visual (Kim & Solomon, 2018).

Ini termasuk, namun tidak terbatas pada:

1. Data sensitif: Informasi pribadi, data keuangan, rahasia dagang, dan informasi rahasia lainnya yang memerlukan perlindungan khusus (Stallings & Brown, 2018).

2. Data penting: Informasi yang krusial untuk operasional bisnis, seperti data pelanggan, data transaksi, dan data konfigurasi sistem (Easttom, 2019).

3. Kekayaan intelektual: Hak cipta, paten, merek dagang, dan bentuk kekayaan intelektual lainnya yang dimiliki oleh organisasi (Peltier, 2020).

Pengguna:

Kebijakan keamanan berlaku bagi semua individu yang berinteraksi dengan sistem dan informasi organisasi, baik secara langsung maupun tidak langsung. Ini mencakup:

1. Karyawan: Semua karyawan, terlepas dari peran, jabatan, atau tingkat akses mereka terhadap informasi (ISO/IEC 27001:2013).

2. Kontraktor dan Konsultan: Individu atau perusahaan yang bekerja untuk organisasi berdasarkan kontrak dan memiliki akses ke informasi organisasi (NIST Cybersecurity Framework, 2018).

3. Vendor dan Mitra Bisnis: Pihak ketiga yang memiliki hubungan bisnis dengan organisasi dan dapat mengakses informasi organisasi dalam rangka kerjasama tersebut (CIS Controls, 2021).

4. Pengguna Tamu: Individu yang diberikan akses sementara ke sumber daya IT organisasi, seperti jaringan Wi-Fi tamu (Whitman & Mattord, 2021).

Aktivitas:

Kebijakan keamanan harus mengatur semua aktivitas yang berkaitan dengan informasi, termasuk:

1. Akses: Menentukan mekanisme kontrol akses untuk membatasi akses ke informasi hanya kepada individu yang berwenang (Kim & Solomon, 2018).

2. Penggunaan: Menetapkan aturan dan pedoman untuk penggunaan informasi yang tepat, termasuk larangan penggunaan informasi untuk tujuan pribadi atau ilegal (Stallings & Brown, 2018).

3. Penyimpanan: Menentukan persyaratan untuk penyimpanan informasi yang aman, baik secara fisik maupun elektronik, untuk melindungi informasi dari akses tidak sah, kerusakan, atau kehilangan (Easttom, 2019).

4. Transmisi: Mengatur metode transmisi informasi yang aman, baik di dalam maupun di luar jaringan organisasi, untuk mencegah intersepsi atau modifikasi data (Peltier, 2020).

5. Pemusnahan: Menetapkan prosedur untuk pemusnahan informasi yang aman dan permanen ketika informasi tersebut tidak lagi diperlukan, untuk mencegah pemulihan atau penyalahgunaan informasi (ISO/IEC 27001:2013).

6.3 Pengembangan dan Implementasi

Kebijakan Keamanan

Pengembangan dan implementasi kebijakan keamanan merupakan proses yang sistematis dan terstruktur, yang melibatkan analisis mendalam terhadap kebutuhan organisasi, penilaian risiko yang komprehensif, dan perancangan kebijakan yang cermat (Whitman & Mattord, 2021). Proses ini juga harus mencakup sosialisasi dan pelatihan kepada seluruh pengguna, implementasi yang konsisten, monitoring dan evaluasi yang berkelanjutan, serta review dan revisi berkala untuk memastikan kebijakan tetap relevan dan efektif (Kim & Solomon, 2018).

1. Analisis Kebutuhan:

Tahap awal ini melibatkan pemahaman yang mendalam tentang konteks organisasi, termasuk tujuan bisnis, persyaratan kepatuhan, lanskap ancaman, dan budaya organisasi (ENISA Threat Landscape Report, 2021). Analisis ini harus mengidentifikasi aset informasi yang paling berharga, kerentanan yang ada, dan potensi dampak dari insiden keamanan (Verizon Data Breach Investigations Report, 2021).

2. Penilaian Risiko:

Penilaian risiko yang komprehensif dilakukan untuk mengidentifikasi, menganalisis, dan mengevaluasi risiko keamanan informasi yang dihadapi organisasi (NIST SP 800-30). Penilaian ini harus mempertimbangkan berbagai faktor, seperti kemungkinan terjadinya ancaman, kerentanan aset, dan dampak potensial dari insiden keamanan (Ponemon Institute Cost of a Data Breach Report, 2021).

3. Perancangan Kebijakan: Kebijakan keamanan harus dirumuskan dengan jelas, ringkas, dan mudah dipahami oleh semua pengguna (Peltier, 2020). Bahasa

yang digunakan harus lugas dan menghindari jargon teknis yang tidak perlu (Whitman & Mattord, 2021). Kebijakan harus konsisten dengan tujuan bisnis, persyaratan kepatuhan, dan budaya organisasi (ISO/IEC 27001:2013).

4. Sosialisasi dan Pelatihan:

Setelah kebijakan keamanan dirumuskan, langkah selanjutnya adalah mensosialisasikannya kepada seluruh pengguna dan memberikan pelatihan yang memadai untuk memastikan pemahaman dan kepatuhan (NIST Cybersecurity Framework, 2018). Sosialisasi dapat dilakukan melalui berbagai saluran, seperti email, intranet, presentasi, dan workshop (CIS Controls, 2021).

5. Implementasi:

Implementasi kebijakan keamanan melibatkan penerapan kontrol keamanan yang diperlukan, baik secara administratif, teknis, maupun fisik (Whitman & Mattord, 2021). Kontrol administratif mencakup kebijakan, prosedur, dan pedoman; kontrol teknis mencakup perangkat lunak keamanan, firewall, dan enkripsi; sedangkan kontrol fisik mencakup akses fisik, pengawasan, dan perlindungan lingkungan (Kim & Solomon, 2018).

6. Monitoring dan Evaluasi:

Efektivitas kebijakan keamanan harus dipantau secara berkala untuk memastikan bahwa kebijakan tersebut mencapai tujuannya dan tetap relevan dengan perubahan lingkungan bisnis dan teknologi (ISO/IEC 27001:2013). Evaluasi dapat dilakukan melalui audit internal, penilaian kerentanan, dan analisis insiden keamanan (NIST SP 800-53A).

7. Review dan Revisi: Kebijakan keamanan harus ditinjau dan direvisi secara berkala untuk memastikan bahwa kebijakan tersebut tetap mutakhir dan

100 Keamanan Informasi (Cyber Security)

sesuai dengan kebutuhan organisasi yang terus berkembang (Peltier, 2020). Review dan revisi harus melibatkan pemangku kepentingan yang relevan, seperti manajemen, staf IT, dan pengguna akhir (Whitman & Mattord, 2021).

Penulisan kebijakan:

1. Bahasa yang jelas dan mudah dipahami: Kebijakan harus ditulis dengan bahasa yang sederhana dan mudah dipahami oleh semua karyawan.

2. Format yang konsisten: Menggunakan format yang konsisten untuk semua kebijakan keamanan agar mudah dibaca dan dipahami.

3. Peninjauan dan persetujuan oleh manajemen: Semua kebijakan harus ditinjau dan disetujui oleh manajemen senior sebelum diimplementasikan.

4. Sosialisasi dan pelatihan:

Karyawan harus dilatih tentang kebijakan keamanan dan bagaimana menerapkannya dalam pekerjaan mereka sehari-hari. Contoh Kasus: Perusahaan mengadakan pelatihan keamanan siber untuk karyawan agar memahami kebijakan keamanan dan cara melindungi data sensitif.

5. Implementasi dan penegakan: Kebijakan keamanan harus diterapkan secara konsisten dan adil.

Contoh Kasus: Perusahaan menerapkan sistem kontrol akses untuk membatasi akses ke data sensitif hanya untuk karyawan yang berwenang.

6. Monitoring dan evaluasi: Efektivitas kebijakan keamanan harus dipantau dan dievaluasi secara berkala. Contoh Kasus: Organisasi secara teratur mengaudit

Bab 6 Kebijakan Keamanan

kepatuhan terhadap kebijakan keamanan dan melakukan penyesuaian jika diperlukan.

7. Pembaruan dan revisi berkala:

Kebijakan keamanan harus ditinjau dan diperbarui secara berkala untuk memastikan bahwa kebijakan tersebut tetap relevan dan efektif. Contoh Kasus: Perusahaan memperbarui kebijakan kata sandi mereka untuk mewajibkan penggunaan otentikasi dua faktor setelah terjadi peningkatan serangan brute-force.

6.4 Tipologi Kebijakan Keamanan

Organisasi dapat mengimplementasikan berbagai jenis kebijakan keamanan, tergantung pada kebutuhan dan karakteristik spesifik mereka.

Berikut adalah beberapa tipologi kebijakan keamanan yang umum ditemukan:

1. Kebijakan Penggunaan yang Dapat Diterima (AUP):

Kebijakan ini mendefinisikan aturan dan pedoman untuk penggunaan aset IT organisasi, seperti internet, email, dan media sosial, untuk mencegah penyalahgunaan sumber daya IT, melindungi organisasi dari risiko hukum dan reputasi, dan mempromosikan penggunaan teknologi yang bertanggung jawab (Ponemon Institute, 2021). AUP harus mencakup topik-topik seperti akses internet, penggunaan email, penggunaan media sosial, instalasi perangkat lunak, akses jarak jauh, dan penggunaan perangkat pribadi. AUP juga harus mendefinisikan sanksi bagi pengguna yang melanggar kebijakan (Whitman & Mattord, 2021).

2. Kebijakan Kata Sandi:

Kebijakan ini menetapkan persyaratan kompleksitas, panjang, dan masa berlaku kata sandi, serta praktik manajemen kata sandi yang aman, untuk mencegah akses tidak sah ke akun pengguna dan data sensitif (Kim & Solomon, 2018). Kebijakan ini harus mencakup persyaratan seperti panjang minimum kata sandi, penggunaan karakter yang beragam (huruf besar, huruf kecil, angka, dan simbol), larangan penggunaan kata sandi yang mudah ditebak, dan frekuensi penggantian kata sandi (NIST SP 800-63B).

3. Kebijakan Akses Jarak Jauh:

Kebijakan ini mengatur akses ke jaringan dan sistem organisasi dari lokasi terpencil, dengan menekankan pada keamanan koneksi dan otentikasi pengguna (Stallings & Brown, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan Virtual Private Network (VPN) untuk mengenkripsi lalu lintas jaringan, otentikasi multifaktor untuk verifikasi identitas, dan pembatasan akses berdasarkan peran pengguna (Easttom, 2019).

4. Kebijakan Data Sensitif:

Kebijakan ini mendefinisikan prosedur penanganan, penyimpanan, dan transmisi data sensitif, seperti informasi pribadi, data keuangan, dan rahasia dagang, untuk melindungi kerahasiaan, integritas, dan ketersediaan data sensitif (Peltier, 2020). Kebijakan ini harus mencakup persyaratan seperti enkripsi data, kontrol akses berbasis peran, dan pembatasan akses fisik ke lokasi penyimpanan data (ISO/IEC 27001:2013).

5. Kebijakan Keamanan Perangkat Mobile:

Kebijakan ini mengatur penggunaan perangkat mobile, seperti smartphone dan tablet, dalam konteks pekerjaan, dengan fokus pada keamanan perangkat, aplikasi, dan data (NIST Cybersecurity

Bab 6 Kebijakan Keamanan 103

Framework, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan kata sandi atau PIN untuk mengunci perangkat, enkripsi data pada perangkat, instalasi perangkat lunak keamanan, dan pembatasan akses ke aplikasi dan data perusahaan (CIS Controls, 2021).

6. Kebijakan Tanggap Insiden:

Kebijakan ini mendefinisikan prosedur untuk mendeteksi, merespons, dan memulihkan dari insiden keamanan, seperti pelanggaran data atau serangan malware, untuk meminimalkan dampak insiden dan mencegah kerusakan lebih lanjut (Whitman & Mattord, 2021). Kebijakan ini harus mencakup langkah-langkah seperti identifikasi insiden, penahanan dampak, pemberitahuan kepada pihak berwenang, pemulihan sistem dan data, dan analisis pasca-insiden (NIST SP 800-61).

7. Kebijakan Pemulihan Bencana:

Kebijakan ini menjabarkan rencana untuk memulihkan data dan sistem organisasi setelah terjadi bencana, seperti kebakaran, banjir, atau serangan siber yang besar, untuk memastikan kelangsungan bisnis dan meminimalkan gangguan operasional (Kim & Solomon, 2018). Kebijakan ini harus mencakup langkah-langkah seperti analisis dampak bisnis (BIA), strategi pemulihan bencana, rencana pemulihan bencana, pengujian rencana, dan pembaruan rencana (ISO/IEC 22301).

Keamanan Informasi (Cyber Security)

6.5 Penegakan Kebijakan Keamanan

Organisasi dapat mengimplementasikan berbagai jenis kebijakan keamanan, tergantung pada kebutuhan dan karakteristik spesifik mereka.

Berikut adalah beberapa tipologi kebijakan keamanan yang umum ditemukan:

1. Kebijakan Penggunaan yang Dapat Diterima (AUP):

Kebijakan ini mendefinisikan aturan dan pedoman untuk penggunaan aset IT organisasi, seperti internet, email, dan media sosial, untuk mencegah penyalahgunaan sumber daya IT, melindungi organisasi dari risiko hukum dan reputasi, dan mempromosikan penggunaan teknologi yang bertanggung jawab (Ponemon Institute, 2021). AUP harus mencakup topik-topik seperti akses internet, penggunaan email, penggunaan media sosial, instalasi perangkat lunak, akses jarak jauh, dan penggunaan perangkat pribadi. AUP juga harus mendefinisikan sanksi bagi pengguna yang melanggar kebijakan (Whitman & Mattord, 2021).

2. Kebijakan Kata Sandi:

Kebijakan ini menetapkan persyaratan kompleksitas, panjang, dan masa berlaku kata sandi, serta praktik manajemen kata sandi yang aman, untuk mencegah akses tidak sah ke akun pengguna dan data sensitif (Kim & Solomon, 2018). Kebijakan ini harus mencakup persyaratan seperti panjang minimum kata sandi, penggunaan karakter yang beragam (huruf besar, huruf kecil, angka, dan simbol), larangan penggunaan kata sandi yang mudah ditebak, dan frekuensi penggantian kata sandi (NIST SP 800-63B).

3. Kebijakan Akses Jarak Jauh:

Kebijakan ini mengatur akses ke jaringan dan sistem organisasi dari lokasi terpencil, dengan menekankan pada keamanan koneksi

dan otentikasi pengguna (Stallings & Brown, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan Virtual Private Network (VPN) untuk mengenkripsi lalu lintas jaringan, otentikasi multifaktor untuk verifikasi identitas, dan pembatasan akses berdasarkan peran pengguna (Easttom, 2019).

4. Kebijakan Data Sensitif:

Kebijakan ini mendefinisikan prosedur penanganan, penyimpanan, dan transmisi data sensitif, seperti informasi pribadi, data keuangan, dan rahasia dagang, untuk melindungi kerahasiaan, integritas, dan ketersediaan data sensitif (Peltier, 2020). Kebijakan ini harus mencakup persyaratan seperti enkripsi data, kontrol akses berbasis peran, dan pembatasan akses fisik ke lokasi penyimpanan data (ISO/IEC 27001:2013).

5. Kebijakan Keamanan Perangkat Mobile:

Kebijakan ini mengatur penggunaan perangkat mobile, seperti smartphone dan tablet, dalam konteks pekerjaan, dengan fokus pada keamanan perangkat, aplikasi, dan data (NIST Cybersecurity Framework, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan kata sandi atau PIN untuk mengunci perangkat, enkripsi data pada perangkat, instalasi perangkat lunak keamanan, dan pembatasan akses ke aplikasi dan data perusahaan (CIS Controls, 2021).

6. Kebijakan Tanggap Insiden:

Kebijakan ini mendefinisikan prosedur untuk mendeteksi, merespons, dan memulihkan dari insiden keamanan, seperti pelanggaran data atau serangan malware, untuk meminimalkan dampak insiden dan mencegah kerusakan lebih lanjut (Whitman & Mattord, 2021). Kebijakan ini harus mencakup langkah-langkah seperti identifikasi insiden, penahanan dampak, pemberitahuan

Keamanan Informasi (Cyber Security)

kepada pihak berwenang, pemulihan sistem dan data, dan analisis pasca-insiden (NIST SP 800-61).

7. Kebijakan Pemulihan Bencana:

Kebijakan ini menjabarkan rencana untuk memulihkan data dan sistem organisasi setelah terjadi bencana, seperti kebakaran, banjir, atau serangan siber yang besar, untuk memastikan kelangsungan bisnis dan meminimalkan gangguan operasional (Kim & Solomon, 2018). Kebijakan ini harus mencakup langkah-langkah seperti analisis dampak bisnis (BIA), strategi pemulihan bencana, rencana pemulihan bencana, pengujian rencana, dan pembaruan rencana (ISO/IEC 22301).

6.6 Contoh Kasus dan Studi Kasus

Analisis contoh kasus dan studi kasus nyata dapat memberikan wawasan berharga tentang pentingnya kebijakan keamanan dan konsekuensi dari kegagalan dalam menerapkan atau menegakkannya (Whitman & Mattord, 2021).

Studi kasus ini dapat diambil dari berbagai sumber, seperti laporan pelanggaran data, publikasi akademis, dan berita media (Kim & Solomon, 2018).

1. Pelanggaran Data: Studi kasus pelanggaran data, seperti kasus Equifax (2017) atau Yahoo (2013), dapat digunakan untuk mengilustrasikan dampak finansial, reputasi, dan operasional dari kegagalan dalam melindungi data sensitif (Ponemon Institute, 2021). Analisis kasus ini dapat mengungkapkan kelemahan dalam kontrol keamanan, seperti kegagalan dalam menerapkan patch keamanan atau kurangnya enkripsi data, yang memungkinkan

Bab 6 Kebijakan Keamanan

penyerang untuk mengakses dan mencuri data sensitif (Stallings & Brown, 2018).

2. Serangan Malware: Contoh kasus serangan ransomware, seperti WannaCry (2017) atau NotPetya (2017), dapat menunjukkan pentingnya kebijakan tanggap insiden dan pemulihan bencana dalam meminimalkan kerusakan dan waktu henti (Easttom, 2019).

Analisis kasus ini dapat mengungkap bagaimana malware menyebar melalui jaringan, mengeksploitasi kerentanan sistem, dan mengenkripsi data, serta bagaimana organisasi merespons dan memulihkan dari serangan tersebut (NIST SP 800-61).

Analisis Kasus:

Analisis kasus harus mencakup:

1. Kronologi Insiden:

Urutan peristiwa yang mengarah pada insiden, dari awal hingga akhir, untuk memberikan pemahaman yang komprehensif tentang bagaimana insiden terjadi (Whitman & Mattord, 2021).

2. Penyebab Insiden:

Identifikasi faktor-faktor yang berkontribusi terhadap terjadinya insiden, baik faktor internal maupun eksternal, untuk memahami akar penyebab masalah dan mencegah terulangnya insiden serupa (Kim & Solomon, 2018).

3. Dampak Insiden:

Evaluasi konsekuensi dari insiden bagi organisasi dan pihak terkait, termasuk kerugian finansial, kerusakan reputasi, gangguan operasional, dan dampak hukum (Ponemon Institute, 2021).

Keamanan Informasi (Cyber Security)

4. Pelajaran yang Dipetik:

Identifikasi tindakan pencegahan yang dapat diambil untuk mencegah insiden serupa di masa mendatang, berdasarkan analisis kasus dan rekomendasi dari pakar keamanan (NIST SP 800-61).

6.7 Tren dan Isu terkini dalam Kebijakan

Keamanan

Organisasi dapat mengimplementasikan berbagai jenis kebijakan keamanan, tergantung pada kebutuhan dan karakteristik spesifik mereka.

Berikut adalah beberapa tipologi kebijakan keamanan yang umum ditemukan:

1. Kebijakan Penggunaan yang Dapat Diterima (AUP):

Kebijakan ini mendefinisikan aturan dan pedoman untuk penggunaan aset IT organisasi, seperti internet, email, dan media sosial, untuk mencegah penyalahgunaan sumber daya IT, melindungi organisasi dari risiko hukum dan reputasi, dan mempromosikan penggunaan teknologi yang bertanggung jawab (Ponemon Institute, 2021). AUP harus mencakup topik-topik seperti akses internet, penggunaan email, penggunaan media sosial, instalasi perangkat lunak, akses jarak jauh, dan penggunaan perangkat pribadi. AUP juga harus mendefinisikan sanksi bagi pengguna yang melanggar kebijakan (Whitman & Mattord, 2021).

2. Kebijakan Kata Sandi:

Kebijakan ini menetapkan persyaratan kompleksitas, panjang, dan masa berlaku kata sandi, serta praktik manajemen kata sandi yang aman, untuk mencegah akses tidak sah ke akun pengguna dan data sensitif (Kim & Solomon, 2018). Kebijakan ini harus mencakup

persyaratan seperti panjang minimum kata sandi, penggunaan karakter yang beragam (huruf besar, huruf kecil, angka, dan simbol), larangan penggunaan kata sandi yang mudah ditebak, dan frekuensi penggantian kata sandi (NIST SP 800-63B).

3. Kebijakan Akses Jarak Jauh:

Kebijakan ini mengatur akses ke jaringan dan sistem organisasi dari lokasi terpencil, dengan menekankan pada keamanan koneksi dan otentikasi pengguna (Stallings & Brown, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan Virtual Private Network (VPN) untuk mengenkripsi lalu lintas jaringan, otentikasi multifaktor untuk verifikasi identitas, dan pembatasan akses berdasarkan peran pengguna (Easttom, 2019).

4. Kebijakan Data Sensitif:

Kebijakan ini mendefinisikan prosedur penanganan, penyimpanan, dan transmisi data sensitif, seperti informasi pribadi, data keuangan, dan rahasia dagang, untuk melindungi kerahasiaan, integritas, dan ketersediaan data sensitif (Peltier, 2020). Kebijakan ini harus mencakup persyaratan seperti enkripsi data, kontrol akses berbasis peran, dan pembatasan akses fisik ke lokasi penyimpanan data (ISO/IEC 27001:2013).

5. Kebijakan Keamanan Perangkat Mobile:

Kebijakan ini mengatur penggunaan perangkat mobile, seperti smartphone dan tablet, dalam konteks pekerjaan, dengan fokus pada keamanan perangkat, aplikasi, dan data (NIST Cybersecurity Framework, 2018). Kebijakan ini harus mencakup persyaratan seperti penggunaan kata sandi atau PIN untuk mengunci perangkat, enkripsi data pada perangkat, instalasi perangkat lunak keamanan, dan pembatasan akses ke aplikasi dan data perusahaan (CIS Controls, 2021).

6. Kebijakan Tanggap Insiden:

Kebijakan ini mendefinisikan prosedur untuk mendeteksi, merespons, dan memulihkan dari insiden keamanan, seperti pelanggaran data atau serangan malware, untuk meminimalkan dampak insiden dan mencegah kerusakan lebih lanjut (Whitman & Mattord, 2021). Kebijakan ini harus mencakup langkah-langkah seperti identifikasi insiden, penahanan dampak, pemberitahuan kepada pihak berwenang, pemulihan sistem dan data, dan analisis pasca-insiden (NIST SP 800-61).

7. Kebijakan Pemulihan Bencana:

Kebijakan ini menjabarkan rencana untuk memulihkan data dan sistem organisasi setelah terjadi bencana, seperti kebakaran, banjir, atau serangan siber yang besar, untuk memastikan kelangsungan bisnis dan meminimalkan gangguan operasional (Kim & Solomon, 2018). Kebijakan ini harus mencakup langkah-langkah seperti analisis dampak bisnis (BIA), strategi pemulihan bencana, rencana pemulihan bencana, pengujian rencana, dan pembaruan rencana (ISO/IEC 22301).

Bab 7 Analisis Ancaman

7.1 Pendahuluan

Dalam bab ini, kita akan membahas konsep ancaman dalam konteks keamanan informasi. Ancaman terhadap informasi mencakup berbagai bentuk serangan, baik dari dalam maupun luar, yang dapat membahayakan integritas, kerahasiaan, dan ketersediaan data. Dengan meningkatnya ketergantungan pada teknologi digital, ancaman ini menjadi semakin kompleks dan beragam. Menurut laporan dari Smith & Johnson (2022), dalam lima tahun terakhir, terdapat peningkatan signifikan dalam insiden keamanan informasi, di mana sektor-sektor vital seperti kesehatan, keuangan, dan pemerintahan menjadi target utama. Gambar 7.1 menunjukkan tren peningkatan insiden keamanan informasi sejak 2018, yang menggambarkan urgensi untuk memahami dan mengatasi ancaman ini.

Keamanan informasi merupakan bagian krusial dari manajemen risiko di era digital ini. Dalam konteks ini, ancaman dapat dibedakan menjadi beberapa kategori, termasuk ancaman yang bersifat teknis, seperti malware

112

Keamanan Informasi (Cyber Security)

dan serangan phishing, serta ancaman non-teknis, seperti kesalahan manusia dan kebocoran informasi internal. Menurut Brown (2021), ancaman yang tidak terdeteksi dapat menyebabkan kebocoran data dan kerugian finansial yang besar, dengan biaya rata-rata kebocoran data mencapai $3,86 juta per insiden di tahun 2020. Hal ini menunjukkan bahwa pemahaman yang mendalam tentang jenis-jenis ancaman sangat penting untuk melindungi aset informasi organisasi.

Salah satu contoh nyata dari ancaman ini adalah serangan ransomware yang semakin marak. Dalam laporan oleh Cybersecurity & Infrastructure Security Agency (CISA), terungkap bahwa pada tahun 2021, serangan ransomware meningkat hingga 300% dibandingkan tahun sebelumnya, dengan sektor kesehatan menjadi salah satu yang paling terpengaruh (CISA, 2021). Kasus serangan terhadap Colonial Pipeline di Amerika Serikat, yang mengakibatkan gangguan pasokan bahan bakar, menggambarkan dampak besar yang dapat ditimbulkan oleh serangan semacam ini. Oleh karena itu, penting bagi organisasi untuk tidak hanya mengidentifikasi ancaman tetapi juga mengembangkan strategi mitigasi yang efektif.

Gambar 7.1: Tren Peningkatan Insiden Kemanan Informasi di Indonesia ((Sumber: Santika, Erlina F (2024))

Selain itu, penting untuk mencatat bahwa ancaman terhadap keamanan informasi tidak hanya berasal dari luar organisasi. Ancaman internal,

Bab 7 Analisis Ancaman 113

seperti karyawan yang tidak puas atau yang tidak terlatih, juga dapat menjadi penyebab kebocoran data dan kerugian.

Menurut penelitian oleh Ponemon Institute (2022), sekitar 60% kebocoran data disebabkan oleh kesalahan manusia, baik yang disengaja maupun tidak disengaja. Hal ini menekankan perlunya pelatihan dan kesadaran yang lebih baik di kalangan karyawan untuk mencegah ancaman internal.

7.2 Jenis-Jenis Ancaman Siber

7.2.1 Ancaman Berdasarkan Sektor Serangan

Ancaman siber dapat dikategorikan berdasarkan vektor serangan yang digunakan oleh pelaku kejahatan siber. Salah satu jenis ancaman yang paling umum adalah malware, yang mencakup berbagai jenis perangkat lunak berbahaya seperti virus, ransomware, dan trojan. Menurut laporan dari Cybersecurity Ventures, kerugian akibat serangan malware diperkirakan mencapai $6 triliun pada tahun 2021, dan angka ini diprediksi akan terus meningkat (Cybersecurity Ventures, 2021). Virus adalah jenis malware yang dapat mereplikasi dirinya sendiri dan menyebar ke perangkat lain, sedangkan ransomware adalah jenis malware yang mengenkripsi data korban dan meminta tebusan untuk mengembalikannya.

Salah satu contoh kasus yang mencolok adalah serangan ransomware WannaCry yang terjadi pada Mei 2017. Serangan ini memanfaatkan kerentanan dalam sistem operasi Windows dan berhasil menginfeksi lebih dari 200.000 komputer di 150 negara. Akibatnya, banyak perusahaan dan institusi, termasuk layanan kesehatan di Inggris, mengalami gangguan operasional yang signifikan (Kaspersky Lab, 2017). Serangan ini menunjukkan betapa rentannya infrastruktur digital kita terhadap serangan malware yang terorganisir.

Keamanan Informasi (Cyber Security)

Selain malware, serangan phishing juga merupakan ancaman yang signifikan. Phishing adalah metode di mana penyerang mencoba untuk memperoleh informasi sensitif, seperti nama pengguna dan kata sandi, dengan menyamar sebagai entitas tepercaya. Menurut laporan dari APWG (Anti-Phishing Working Group), jumlah serangan phishing meningkat 22% pada tahun 2020 dibandingkan tahun sebelumnya (APWG, 2020).

Serangan ini sering kali dilakukan melalui email yang tampak sah, tetapi sebenarnya mengandung tautan berbahaya yang mengarahkan korban ke situs web palsu.

Rekayasa sosial juga merupakan teknik yang sering digunakan dalam serangan siber. Dalam hal ini, penyerang memanipulasi psikologi korban untuk mendapatkan informasi yang dibutuhkan. Misalnya, penyerang dapat berpura-pura menjadi rekan kerja atau atasan untuk meminta akses ke sistem atau data sensitif. Menurut penelitian oleh Social-Engineer.org, sekitar 93% dari semua pelanggaran data melibatkan teknik rekayasa sosial (Social-Engineer.org, 2019). Ini menunjukkan bahwa meskipun teknologi keamanan semakin canggih, manusia tetap menjadi titik lemah yang dapat dieksploitasi oleh penyerang.

7.2.2 Ancaman pada Infrastruktur

Ancaman terhadap infrastruktur kritis semakin menjadi perhatian utama dalam dunia keamanan siber. Infrastruktur ini mencakup sistem yang penting bagi fungsi masyarakat, seperti jaringan listrik, sistem transportasi, dan layanan kesehatan. Serangan terhadap infrastruktur ini dapat memiliki dampak yang luas dan merugikan. Misalnya, serangan siber terhadap jaringan listrik di Ukraina pada tahun 2015 menyebabkan pemadaman listrik yang meluas dan memengaruhi lebih dari 200.000 pelanggan (Friedman, 2016). Serangan ini menunjukkan bahwa infrastruktur kritis sangat rentan terhadap serangan siber yang terkoordinasi.

Internet of Things (IoT) juga menjadi target utama serangan siber. Dengan semakin banyaknya perangkat yang terhubung ke internet, peluang bagi penyerang untuk mengeksploitasi kerentanan meningkat. Menurut laporan

dari Gartner, diperkirakan akan ada lebih dari 25 miliar perangkat IoT yang terhubung pada tahun 2025 (Gartner, 2020). Banyak dari perangkat ini tidak memiliki keamanan yang memadai, sehingga menjadi pintu masuk bagi penyerang untuk mengakses jaringan yang lebih besar. Contoh serangan IoT yang terkenal adalah Mirai Botnet, yang memanfaatkan perangkat IoT yang terinfeksi untuk meluncurkan serangan DDoS besarbesaran pada tahun 2016.

Ancaman pada cloud dan virtualisasi juga semakin meningkat. Banyak organisasi kini beralih ke layanan cloud untuk menyimpan data dan menjalankan aplikasi. Namun, keamanan data di cloud sering kali menjadi perhatian utama. Menurut laporan dari McAfee, 21% perusahaan mengalami pelanggaran data yang terkait dengan layanan cloud (McAfee, 2019). Serangan ini dapat terjadi melalui akses tidak sah, di mana penyerang mendapatkan akses ke data sensitif yang disimpan di cloud. Oleh karena itu, penting bagi organisasi untuk menerapkan langkahlangkah keamanan yang kuat ketika menggunakan layanan cloud.

7.2.3

Ancaman Emerging

Dengan perkembangan teknologi yang pesat, ancaman siber juga berkembang menjadi bentuk yang lebih kompleks. Salah satu ancaman yang sedang naik daun adalah penggunaan teknologi kecerdasan buatan (AI) dalam serangan siber. Penyerang kini dapat menggunakan AI untuk mengotomatisasi serangan dan meningkatkan efektivitasnya. Misalnya, AI dapat digunakan untuk menganalisis pola perilaku pengguna dan menemukan titik lemah dalam sistem keamanan. Menurut laporan dari Cybersecurity Insiders, 61% profesional keamanan percaya bahwa AI akan digunakan oleh penyerang dalam lima tahun ke depan (Cybersecurity Insiders, 2020).

Ancaman lainnya yang perlu diwaspadai adalah serangan berbasis quantum computing. Meskipun teknologi ini masih dalam tahap pengembangan, potensi ancamannya sangat besar. Quantum computing dapat memecahkan enkripsi yang saat ini digunakan untuk melindungi data dengan kecepatan

Keamanan Informasi (Cyber Security)

yang jauh lebih tinggi daripada komputer tradisional. Menurut laporan dari IBM, dengan kemajuan dalam teknologi quantum, enkripsi saat ini dapat menjadi usang dalam waktu dekat (IBM, 2021). Ini menimbulkan kebutuhan mendesak untuk mengembangkan metode enkripsi baru yang tahan terhadap serangan quantum.

Dalam menghadapi ancaman emerging ini, penting bagi organisasi untuk tetap waspada dan beradaptasi dengan cepat. Pendekatan proaktif dalam keamanan siber, termasuk pelatihan karyawan, pemantauan sistem yang terus-menerus, dan pembaruan perangkat lunak secara berkala, dapat membantu mengurangi risiko. Selain itu, kolaborasi antara sektor publik dan swasta juga sangat penting untuk mengidentifikasi dan menangani ancaman siber yang terus berkembang.

7.3 Dampak Ancaman terhadap

Kemanan Informasi

Keamanan informasi merupakan aspek krusial dalam era digital saat ini, di mana data menjadi aset yang sangat berharga bagi individu, bisnis, dan institusi. Ancaman terhadap keamanan informasi dapat muncul dalam berbagai bentuk, mulai dari serangan siber, malware, hingga kebocoran data. Dampak dari ancaman ini tidak hanya bersifat teknis, tetapi juga dapat berimplikasi pada aspek finansial, reputasi, dan operasional. Dalam makalah ini, akan dibahas secara mendalam dampak ancaman terhadap keamanan informasi dengan fokus pada kerugian finansial, kerusakan reputasi, dan gangguan operasional.

7.3.1 Kerugian Finansial

Salah satu dampak paling signifikan dari ancaman terhadap keamanan informasi adalah kerugian finansial. Menurut laporan dari Cybersecurity Ventures, diperkirakan bahwa kerugian global akibat kejahatan siber akan mencapai 10,5 triliun dolar AS pada tahun 2025 (Cybersecurity Ventures,

Bab 7 Analisis Ancaman 117

2020). Kerugian ini mencakup berbagai aspek, mulai dari kehilangan aset digital, biaya pemulihan, hingga denda hukum yang mungkin dikenakan. Misalnya, dalam kasus serangan ransomware pada perusahaan Colonial Pipeline pada tahun 2021, perusahaan tersebut terpaksa membayar tebusan sebesar 4,4 juta dolar AS untuk mendapatkan kembali akses ke sistem mereka (BBC News, 2021).

Selain itu, biaya pemulihan setelah serangan siber juga dapat sangat besar. Menurut laporan dari Ponemon Institute, rata-rata biaya pemulihan per insiden keamanan informasi mencapai 3,86 juta dolar AS (Ponemon Institute, 2021). Biaya ini mencakup investigasi, perbaikan sistem, dan peningkatan keamanan untuk mencegah insiden serupa di masa depan. Dalam banyak kasus, perusahaan juga harus mengeluarkan biaya untuk mengganti perangkat keras dan perangkat lunak yang terpengaruh oleh serangan.

Kerugian finansial ini tidak hanya berdampak pada perusahaan besar, tetapi juga pada usaha kecil dan menengah (UKM). Banyak UKM yang tidak memiliki anggaran yang cukup untuk menangani serangan siber, sehingga mereka lebih rentan terhadap kerugian. Sebuah survei oleh Hiscox menunjukkan bahwa 47% UKM mengalami kerugian finansial akibat serangan siber, dengan rata-rata kerugian mencapai 200.000 dolar AS per insiden (Hiscox, 2020). Hal ini menunjukkan bahwa ancaman terhadap keamanan informasi dapat mengancam kelangsungan hidup bisnis, terutama bagi UKM.

7.3.2 Kerusakan Reputasi

Dampak lain yang tidak kalah penting dari ancaman terhadap keamanan informasi adalah kerusakan reputasi. Ketika sebuah perusahaan mengalami pelanggaran data atau serangan siber, kepercayaan pelanggan dan pemangku kepentingan dapat terguncang. Menurut survei yang dilakukan oleh KPMG, sekitar 86% konsumen menyatakan bahwa mereka tidak akan melakukan bisnis dengan perusahaan yang telah mengalami pelanggaran

118

Keamanan Informasi (Cyber Security)

data (KPMG, 2020). Ini menunjukkan bahwa reputasi perusahaan dapat hancur dalam sekejap akibat serangan siber.

Contoh nyata dari kerusakan reputasi akibat ancaman keamanan informasi dapat dilihat dalam kasus pelanggaran data yang dialami oleh Equifax pada tahun 2017, di mana data pribadi sekitar 147 juta konsumen bocor. Setelah insiden tersebut, saham Equifax anjlok dan perusahaan harus menghadapi berbagai tuntutan hukum serta denda yang signifikan (Reuters, 2019). Selain itu, reputasi perusahaan tersebut sebagai penyedia layanan keuangan terkemuka juga tercoreng, yang berdampak pada kepercayaan publik.

Kerusakan reputasi ini tidak hanya memengaruhi hubungan dengan pelanggan, tetapi juga dapat berdampak pada kemitraan bisnis. Perusahaan yang memiliki reputasi buruk dalam hal keamanan informasi mungkin kesulitan menjalin kemitraan dengan perusahaan lain, yang pada gilirannya dapat memengaruhi pertumbuhan dan inovasi perusahaan. Sebuah studi oleh Deloitte menunjukkan bahwa perusahaan dengan reputasi baik dalam keamanan informasi dapat meningkatkan nilai saham mereka hingga 15% dibandingkan dengan perusahaan yang memiliki reputasi buruk (Deloitte, 2021).

7.3.3 Gangguan Operasional

Gangguan operasional adalah dampak lain yang sering kali diabaikan dalam diskusi mengenai ancaman terhadap keamanan informasi. Ketika sistem informasi terganggu akibat serangan siber, produktivitas perusahaan dapat terhambat. Sebuah studi oleh CyberEdge Group menunjukkan bahwa 60% organisasi mengalami gangguan operasional akibat serangan siber, dengan 29% dari mereka melaporkan bahwa gangguan tersebut berlangsung lebih dari satu minggu (CyberEdge Group, 2021). Hal ini menunjukkan bahwa serangan siber dapat menyebabkan kerugian waktu yang signifikan bagi perusahaan.

Serangan ransomware, misalnya, dapat mengakibatkan ketidakmampuan perusahaan untuk mengakses data dan sistem penting. Dalam kasus serangan ransomware WannaCry pada tahun 2017, lebih dari 200.000

komputer di 150 negara terinfeksi, mengakibatkan gangguan besar pada berbagai sektor, termasuk kesehatan, transportasi, dan keuangan (BBC News, 2017). Banyak rumah sakit di Inggris harus menunda prosedur medis karena sistem mereka tidak dapat diakses, yang menunjukkan dampak serius dari gangguan operasional.

Gangguan operasional juga dapat memengaruhi karyawan, yang mungkin harus bekerja lebih keras untuk memulihkan sistem dan data yang hilang. Hal ini dapat menyebabkan penurunan moral dan produktivitas, serta meningkatkan tingkat stres di tempat kerja. Dalam jangka panjang, gangguan operasional dapat memengaruhi kinerja perusahaan secara keseluruhan, yang pada gilirannya dapat berdampak pada pendapatan dan pertumbuhan perusahaan.

7.4 Analisis Risiko Ancaman

7.4.1 Identifikasi Risiko

Identifikasi risiko merupakan langkah awal yang krusial dalam mengenali ancaman yang spesifik pada sistem tertentu. Dalam konteks keamanan informasi, identifikasi risiko melibatkan pengenalan berbagai jenis ancaman yang dapat memengaruhi integritas, kerahasiaan, dan ketersediaan data. Menurut Martin (2019), proses ini meliputi pengumpulan informasi tentang potensi ancaman, kerentanan sistem, serta konsekuensi yang mungkin timbul jika ancaman tersebut terealisasi. Sebagai contoh, dalam dunia siber, ancaman seperti malware, serangan phishing, dan ransomware semakin meningkat, dengan laporan menunjukkan bahwa serangan ransomware meningkat sebesar 150% antara tahun 2018 dan 2020 (Clarke, 2021).

Proses identifikasi risiko harus melibatkan berbagai stakeholder, termasuk tim IT, manajemen, dan pengguna akhir. Keterlibatan banyak pihak memungkinkan pengumpulan informasi yang lebih komprehensif dan

Keamanan Informasi (Cyber Security)

akurat. Sebagai contoh, sebuah perusahaan dapat melakukan survei internal untuk mengidentifikasi potensi ancaman yang mungkin tidak terdeteksi oleh tim IT. Dengan pendekatan ini, perusahaan dapat lebih siap menghadapi ancaman yang mungkin muncul di lingkungan mereka.

Selain itu, identifikasi risiko juga harus mempertimbangkan faktor eksternal yang dapat memengaruhi sistem. Misalnya, perubahan regulasi pemerintah terkait perlindungan data dapat memperkenalkan ancaman baru bagi organisasi. Penelitian oleh Martin (2019) menunjukkan bahwa organisasi yang tidak memperbarui kebijakan keamanan mereka sesuai dengan perubahan regulasi lebih rentan terhadap pelanggaran data. Oleh karena itu, penting bagi organisasi untuk secara berkala melakukan audit risiko guna memastikan bahwa semua potensi ancaman teridentifikasi dengan baik.

Dalam identifikasi risiko, penggunaan alat bantu seperti analisis SWOT (Strengths, Weaknesses, Opportunities, Threats) dapat sangat membantu. Analisis ini memungkinkan organisasi untuk mengidentifikasi kekuatan dan kelemahan internal serta peluang dan ancaman eksternal yang dapat memengaruhi sistem mereka. Sebuah studi kasus pada perusahaan teknologi menunjukkan bahwa dengan menggunakan analisis SWOT, mereka dapat mengidentifikasi beberapa ancaman baru yang sebelumnya tidak disadari, yang kemudian diatasi dengan langkah-langkah mitigasi yang tepat.

Dengan demikian, identifikasi risiko merupakan langkah fundamental dalam manajemen risiko yang efektif. Tanpa pemahaman yang jelas tentang ancaman yang ada, organisasi akan kesulitan dalam merumuskan strategi mitigasi yang efektif. Oleh karena itu, penting bagi organisasi untuk menginvestasikan waktu dan sumber daya dalam proses identifikasi risiko ini.

7.4.2 Evaluasi Probalilitas dan Dampak

Setelah risiko diidentifikasi, langkah selanjutnya adalah evaluasi probabilitas dan dampak dari setiap ancaman yang terdeteksi. Evaluasi ini

bertujuan untuk mengukur seberapa mungkin suatu ancaman terjadi dan seberapa parah dampaknya jika ancaman tersebut berhasil menembus pertahanan sistem. Menurut Clarke (2021), evaluasi ini dapat dilakukan dengan menggunakan metode kuantitatif maupun kualitatif. Metode kuantitatif melibatkan pengumpulan data statistik untuk menghitung probabilitas dan dampak, sementara metode kualitatif lebih berfokus pada penilaian subjektif dari para ahli.

Dalam konteks evaluasi probabilitas, penting untuk mempertimbangkan faktor-faktor seperti frekuensi serangan yang terjadi di industri yang sama, serta kerentanan spesifik dari sistem yang dianalisis. Sebagai contoh, jika sebuah organisasi beroperasi di sektor keuangan, mereka mungkin lebih rentan terhadap serangan siber dibandingkan dengan sektor lain. Data dari Cybersecurity and Infrastructure Security Agency (CISA) menunjukkan bahwa sektor keuangan mengalami tingkat serangan siber yang lebih tinggi dibandingkan sektor lainnya, dengan 30% dari semua insiden siber terjadi di sektor ini (CISA, 2022).

Dampak dari suatu ancaman juga perlu dievaluasi dengan hati-hati. Dampak dapat dibagi menjadi beberapa kategori, seperti dampak finansial, reputasi, dan operasional. Sebuah studi kasus yang dilakukan oleh Martin (2019) menunjukkan bahwa serangan siber yang berhasil dapat menyebabkan kerugian finansial yang signifikan, dengan rata-rata biaya pemulihan setelah serangan mencapai $1.1 juta. Selain itu, dampak reputasi juga dapat berkelanjutan, dengan banyak perusahaan yang kehilangan kepercayaan pelanggan setelah mengalami pelanggaran data.

Evaluasi probabilitas dan dampak juga dapat dilakukan dengan menggunakan skala penilaian. Misalnya, organisasi dapat menggunakan skala 1-5 untuk menilai kemungkinan terjadinya ancaman dan dampaknya. Dengan cara ini, organisasi dapat dengan mudah mengidentifikasi ancaman mana yang paling kritis dan memerlukan perhatian segera. Penelitian oleh Clarke (2021) menunjukkan bahwa penggunaan skala penilaian ini dapat membantu organisasi dalam memprioritaskan sumber daya untuk mitigasi risiko.

Keamanan Informasi (Cyber Security)

Secara keseluruhan, evaluasi probabilitas dan dampak adalah langkah penting dalam proses manajemen risiko. Dengan memahami seberapa besar kemungkinan suatu ancaman terjadi dan seberapa parah dampaknya, organisasi dapat mengambil langkah-langkah yang tepat untuk melindungi sistem mereka dari risiko yang ada.

7.4.3 Matriks Risiko

Matriks risiko merupakan alat yang sangat berguna dalam memprioritaskan ancaman berdasarkan tingkat keparahan dan kemungkinan terjadinya. Dengan menggunakan matriks risiko, organisasi dapat dengan mudah mengidentifikasi mana ancaman yang paling mendesak untuk ditangani. Menurut Martin (2019), matriks risiko biasanya terdiri dari dua sumbu: satu untuk probabilitas terjadinya ancaman dan satu lagi untuk dampak yang ditimbulkan. Dengan cara ini, ancaman dapat dikelompokkan dalam kategori rendah, sedang, dan tinggi.

Sebagai contoh, sebuah perusahaan dapat mengembangkan matriks risiko yang mencakup berbagai ancaman yang telah diidentifikasi sebelumnya. Ancaman dengan probabilitas tinggi dan dampak besar akan ditempatkan di kuadran paling atas dari matriks, dan akan menjadi fokus utama dalam strategi mitigasi. Sebuah studi yang dilakukan oleh Clarke (2021) menunjukkan bahwa penggunaan matriks risiko dapat membantu organisasi dalam membuat keputusan yang lebih baik terkait alokasi sumber daya untuk keamanan siber.

Matriks risiko juga dapat digunakan untuk mengkomunikasikan risiko kepada pemangku kepentingan. Dengan visualisasi yang jelas, manajemen dapat dengan mudah memahami ancaman mana yang paling berbahaya dan memerlukan perhatian segera. Dalam konteks ini, matriks risiko berfungsi sebagai alat komunikasi yang efektif, yang memungkinkan tim keamanan untuk menjelaskan situasi risiko kepada pihak manajemen dan mendapatkan dukungan yang diperlukan untuk tindakan mitigasi.

Selain itu, matriks risiko harus diperbarui secara berkala untuk mencerminkan perubahan dalam lingkungan ancaman. Ancaman baru

Bab 7 Analisis Ancaman 123

dapat muncul seiring dengan perkembangan teknologi dan perubahan dalam perilaku penyerang. Oleh karena itu, penting bagi organisasi untuk melakukan revisi dan pembaruan pada matriks risiko mereka secara berkala. Penelitian menunjukkan bahwa organisasi yang secara rutin memperbarui matriks risiko mereka memiliki tingkat kesiapan yang lebih tinggi dalam menghadapi ancaman baru (Martin, 2019).

Secara keseluruhan, matriks risiko adalah alat yang efektif untuk memprioritaskan ancaman dan membantu organisasi dalam mengambil keputusan yang tepat terkait manajemen risiko. Dengan menggunakan matriks ini, organisasi dapat lebih fokus dalam mengalokasikan sumber daya untuk melindungi sistem mereka dari ancaman yang paling signifikan.

7.5 Metode Pencegahan dan Mitigasi

7.5.1 Ancaman

Ancaman terhadap keamanan informasi semakin kompleks seiring dengan perkembangan teknologi. Dalam konteks ini, ancaman dapat dibagi menjadi beberapa kategori, seperti ancaman internal dan eksternal. Menurut laporan dari Cybersecurity Ventures, kerugian akibat serangan siber diperkirakan mencapai $6 triliun pada tahun 2021, dan angka ini diperkirakan akan terus meningkat (Cybersecurity Ventures, 2021).

Ancaman ini tidak hanya berasal dari individu atau kelompok yang berniat jahat, tetapi juga dapat muncul dari kesalahan manusia yang tidak disengaja, seperti kebocoran data akibat kelalaian karyawan. Oleh karena itu, penting untuk memahami berbagai jenis ancaman yang ada agar dapat mengambil langkah pencegahan yang tepat.

Salah satu contoh nyata dari ancaman ini adalah serangan ransomware yang menargetkan perusahaan besar di seluruh dunia. Pada tahun 2021, serangan ransomware Colonial Pipeline menyebabkan gangguan besar pada pasokan bahan bakar di Amerika Serikat, yang mengakibatkan kerugian

Keamanan Informasi (Cyber Security)

finansial yang signifikan dan dampak sosial yang luas (FBI, 2021). Kasus ini menunjukkan betapa seriusnya ancaman yang dihadapi oleh organisasi dan pentingnya memiliki strategi pencegahan yang efektif.

Data statistik menunjukkan bahwa lebih dari 90% serangan siber dimulai dengan email phishing, yang merupakan bentuk rekayasa sosial yang paling umum (Verizon, 2021). Ini menunjukkan bahwa ancaman tidak selalu datang dari teknologi canggih, tetapi sering kali berasal dari teknik manipulasi psikologis yang sederhana. Oleh karena itu, pendekatan yang komprehensif dalam mengidentifikasi dan mengelola ancaman sangat diperlukan, termasuk pelatihan dan kesadaran bagi karyawan.

Selain itu, ancaman terhadap keamanan siber juga dapat berasal dari perangkat IoT (Internet of Things) yang semakin banyak digunakan.

Menurut Gartner, diperkirakan akan ada lebih dari 25 miliar perangkat IoT yang terhubung pada tahun 2025 (Gartner, 2020). Dengan meningkatnya jumlah perangkat ini, risiko serangan juga meningkat, karena banyak perangkat IoT yang tidak memiliki keamanan yang memadai. Oleh karena itu, identifikasi ancaman yang berasal dari perangkat ini harus menjadi bagian integral dari strategi keamanan.

Dengan memahami berbagai ancaman yang ada, organisasi dapat lebih siap untuk mengambil langkah-langkah pencegahan dan mitigasi yang diperlukan. Dalam sub-bab berikutnya, kita akan membahas metode pencegahan yang dapat diterapkan untuk mengurangi dampak dari ancaman tersebut.

7.5.2 Keamanan Perimeter

Keamanan perimeter merupakan garis pertahanan pertama dalam melindungi jaringan dari serangan luar. Salah satu komponen utama dalam keamanan perimeter adalah penggunaan firewall, yang berfungsi untuk mengontrol lalu lintas data yang masuk dan keluar dari jaringan.

Menurut Turner (2021), firewall modern dapat menganalisis paket data secara mendalam untuk mendeteksi dan memblokir ancaman yang mungkin tidak terdeteksi oleh metode tradisional. Selain itu, penggunaan

Intrusion Detection System (IDS) dan Intrusion Prevention System (IPS) juga sangat penting untuk mendeteksi dan merespons serangan secara realtime.

IDS berfungsi untuk memantau aktivitas jaringan dan mendeteksi perilaku yang mencurigakan, sedangkan IPS tidak hanya mendeteksi, tetapi juga mengambil tindakan untuk mencegah serangan. Dalam sebuah studi oleh

Kim dan Nguyen (2020), ditemukan bahwa organisasi yang menerapkan sistem IDS dan IPS secara efektif dapat mengurangi insiden keamanan hingga 30%. Hal ini menunjukkan bahwa investasi dalam teknologi keamanan perimeter dapat memberikan pengembalian yang signifikan dalam hal perlindungan data.

Namun, keamanan perimeter tidak hanya bergantung pada teknologi, tetapi juga pada kebijakan dan prosedur yang diterapkan oleh organisasi. Misalnya, penerapan kebijakan akses berbasis peran dapat membantu membatasi akses ke sumber daya sensitif hanya kepada individu yang berwenang. Ini penting untuk mengurangi risiko kebocoran data akibat akses yang tidak sah. Data dari Cybersecurity and Infrastructure Security Agency (CISA) menunjukkan bahwa lebih dari 60% pelanggaran data terjadi akibat akses yang tidak sah (CISA, 2021).

Selain itu, penting untuk melakukan audit keamanan secara berkala untuk memastikan bahwa sistem keamanan perimeter tetap efektif. Audit ini dapat membantu mengidentifikasi celah keamanan yang mungkin ada dan memberikan rekomendasi untuk perbaikan. Dalam konteks ini, penilaian risiko yang komprehensif juga diperlukan untuk memahami potensi ancaman dan dampaknya terhadap organisasi.

Dengan penerapan metode keamanan perimeter yang tepat, organisasi dapat membangun fondasi yang kuat untuk melindungi data dan sistem mereka dari serangan siber. Selanjutnya, kita akan membahas tentang keamanan aplikasi dan langkah-langkah yang dapat diambil untuk melindungi perangkat lunak dari potensi ancaman.

Keamanan Informasi (Cyber Security)

7.5.3 Keamanan Aplikasi

Keamanan aplikasi merupakan aspek krusial dalam melindungi data dan sistem informasi dari serangan siber. Dengan semakin banyaknya aplikasi yang digunakan oleh organisasi, penting untuk memastikan bahwa setiap aplikasi yang dikembangkan dan diterapkan memiliki prosedur keamanan yang memadai. Menurut Turner (2021), penerapan prinsip Secure Software Development Life Cycle (SDLC) dapat membantu mengidentifikasi dan mengatasi kerentanan sejak tahap awal pengembangan perangkat lunak.

Salah satu langkah penting dalam keamanan aplikasi adalah melakukan uji penetrasi secara berkala. Uji penetrasi ini bertujuan untuk mensimulasikan serangan siber dan mengidentifikasi celah keamanan yang mungkin ada dalam aplikasi. Dalam sebuah studi yang dilakukan oleh Kim dan Nguyen (2020), ditemukan bahwa organisasi yang secara rutin melakukan uji penetrasi dapat mengurangi risiko keamanan aplikasi hingga 40%. Hal ini menunjukkan bahwa uji penetrasi merupakan alat yang efektif dalam meningkatkan keamanan aplikasi.

Selain itu, penting untuk menerapkan praktik pengkodean yang aman selama proses pengembangan perangkat lunak. Misalnya, penggunaan teknik enkripsi untuk melindungi data sensitif dan penerapan validasi input untuk mencegah serangan injeksi SQL. Menurut OWASP (Open Web Application Security Project), serangan injeksi SQL merupakan salah satu serangan yang paling umum dan dapat menyebabkan kebocoran data yang signifikan (OWASP, 2021). Oleh karena itu, pengembang harus dilatih untuk memahami dan menerapkan praktik pengkodean yang aman.

Organisasi juga harus mempertimbangkan untuk menerapkan solusi keamanan aplikasi seperti Web Application Firewall (WAF). WAF dapat membantu melindungi aplikasi web dari berbagai serangan, termasuk serangan DDoS (Distributed Denial of Service) dan serangan injeksi. Data dari Gartner menunjukkan bahwa penggunaan WAF dapat mengurangi risiko serangan aplikasi hingga 50% (Gartner, 2021). Ini menunjukkan bahwa investasi dalam solusi keamanan aplikasi dapat memberikan perlindungan tambahan yang signifikan.

Dengan menerapkan langkah-langkah keamanan yang tepat dalam pengembangan dan pemeliharaan aplikasi, organisasi dapat mengurangi risiko serangan dan melindungi data sensitif mereka. Selanjutnya, kita akan membahas pentingnya kesadaran pengguna dalam meningkatkan keamanan informasi di organisasi.

Bab 7 Analisis Ancaman

Bab 8 Pengamanan Aplikasi

(Application Security)

8.1 Pentingnya Pengamanan Aplikasi

Pengamanan apikasi adalah proses dan praktik yang bertujuan untuk melindungi aplikasi perangkat lunak dari ancaman, serangan, atau eksploitasi yang dapat membahayakan kerahasiaan, integritas, dan ketersediaan data serta fungsi aplikasi tertentu. Keamanan aplikasi menjadi hal yang krusial pada cybersecurity karena aplikasi sering kali menjadi target utama serangan siber.

Tujuan pentingnya pengamanan aplikasi adalah:

1. Melindungi Data Pengguna Pada umumnya aplikasi sering memproses dan menyimpan data sensitive seperti informasi pribadi bahkan data keuangan. Jika aplikasi tidak dapat dijamin keamanannya, maka data yang ada

Keamanan Informasi (Cyber Security)

sangat mungkin untuk disalahgunakan oleh pihak yang tidak bertanggung jawab dan pada akhirnya akan merugikan Perusahaan.

2. Menghindari Kerugian

Serangan aplikasi seperti SQL Injection, cross-site scripting, Session hijacking attack dapat menyebabkan kerugian finansial mencakup biaya pemulihan, denda pelanggaran regulasi dan berkurangnya kepercayaan pengguna.

3. Menghindari Eksploitasi Kerentanan

Keamanan aplikasi dapat dieksploitasi oleh peretas untuk mendapatkan hak akses illegal ke system. Pengamanan aplikasi membantu mengidentifikasi dan menutup celah ini sebelum terjadinya eksploitasi.

4. Menjamin Integritas Sistem

Serangan pada aplikasi dapat merusak integrasi system, seperti modifikasi data yang ada bahkan modifikasi fungsi secara illegal. Dengan pengamanan aplikasi, integritas system dapat dipertahankan.

Keamanan aplikasi, khususnya aplikasi perangkat lunak bukan hanya menambahkan fitur keamanan tertentu, tetapi dengan pendekatan holistik terhadap pengembangan perangkat lunak. Penggunaan algoritma kriptografi tidak secara otomatis menjadikan perangkat lunak aman. Implementasi yang salah atau penggunaan tanpa konteks yang benar justru akan menimbulkan kerentanan. Tidak ada mekanisme keamanan tunggal yang dapat melindungi semua aspek perangkat lunak.

Keamanan memerlukan kombinasi beberapa mekanisme keamanan. Keamanan tidak dapat diisolasi pada satu komponen, namun bisa muncul dari bagaimana semua kompunen sistem bekerja bersama. Misalnya, jika satu titik pada sistem tidak dibangun dengan baik (API tidak aman), itu dapat menyebabkan kerusakan seluruh sistem.

Seperti kualitas perangkat lunak, keamanan harus dipertimbangkan sejak awal dan diperiksa di setiap tahap proses pengembangan. Namun untuk aplikasi perangkat lunak yang telah published, mengenali kerentanan aplikasi adalah hal yang utama dalam keamanan. Penting untuk memahami apa yang menyebabkan sebuah aplikasi rentan terhadap serangan.

8.2 Kerentanan

Aplikasi (Software

Vulnerabilities)

Sistem informasi terkomputerisasi terdiri atas sekumpulan software buatan manusia yang rentan terhadap bug/flaws. Kerentanan adalah kelemahan sistem atau aplikasi yang dapat dimanfaatkan oleh penyerang untuk mengurangi tingkat information assurance (jaminan keamanan informasi suatu sistem). Information assurance mencakup kemampuan sistem untuk melindungi kerahasiaan, integritas, dan ketersediaan data (CIA).

Berdasarkan definisi, kerentanan aplikasi mencakup beberapa aspek yaitu:

1. Kesalahan Pemrograman atau Konfigurasi

Kerentanan dapat berasal dari kesalahan dalam penulisan kode yang menyebabkan adanya bugs, atau konfigurasi yang salah.

Misalnya programmer yang tidak memvalidasi input pengguna dapat menyebabkan serangan SQL Injection. Konfigurasi server yang salah, yang membiarkan port terbuka dapat memberikan celah bagi penyerang.

2. Rentan terhadap Vektor Serangan Tertentu

Kerentanan dapat dieksploitasi melalui attack vector tertentu. Attack vector adalah jalur atau metode yang digunakan penyerang untuk menyerang sistem. Misalnya melalui input data (form pada aplikasi), melalui API yang tidak aman, atau melalui koneksi jaringan yang tidak terenkripsi.

Informasi (Cyber Security)

3. Mengurangi Keandalan Sistem

Ketika kerentanan dieksploitasi, keandalan sistem akan berkurang. Misalnya aplikasi dapat berhenti bekerja (crash), dan data dapat dicuri atau dimanipulasi sehingga akan merusak integritas sistem.

Yang menjadi permasalahan adalah bahwa menentukan kebenaran (correctness) dari sebuah program atau aplikasi adalah hal yang sulit. Tidak ada tools yang bisa menjamin sebuah aplikasi 100% benar dan aman.

Howard et al. membahas terdapat 24 kesalahan umum dari aplikasi dan diklasifikasi menjadi empat kategori (Howard, Leblanc and Viega, 2009):

1 Web application sins: kesalahan pada aplikasi web seperti SQL Injection, Session Hijacking Attack, dll.

2 Implementation sins: kesalahan pada saat implementasi yang mengakibatkan adanya buffer overflow, format string problem, integer overflow, command injection, dll.

3 Cryptographic sins: kesalahan pada implementasi sistem kriptografi seperti weak password, weak random number generator, atau penggunaan cryptography yang tidak tepat.

4 Networking sins: kegagalan dalam melindungi jaringan komunikasi, salah menggunakan PKI/SSL, dll

Pada pembahasan ini, yang menjadi fokus utama adalah kesalahan implementasi (implementation sins) yang akan dibahas pada sub bab selanjutnaya dan kesalahan aplikasi web (web application sins) yang dibahas pada sub bab 9.3.

8.2.1

Buffer Overflow

Kerentanan buffer overflow telah ada sejak computer muncul dan masih ada sampai saat ini. Kerentanan ini terjadi karena program mengizinkan pengguna menuliskan input ke buffer yang dialokasikan. Biasanya terjadi pada Bahasa pemrograman low level (low level programming language)

Bab 8 Pengamanan Aplikasi (Application Security)

atau di bahasa pemrograman apapun yang menyediakan akses langsung ke memory (Foster et al., 2005).

Gambar 8.1: Contoh program yang rentan BOF

Pada pembahasan ini, kita akan menggunakan Bahasa pemrograman C sebagai contoh. Bahasa pemrograman C adalah high-level programming language yang membebankan integritas data kepada programmer. Gambar 8.1 adalah contoh program yang rentan terhadap buffer overflow.

Gambar 8.2: contoh fungsi

Keamanan Informasi (Cyber Security)

Program pada Gambar 8.1 dikatakan rentan terhadap buffer overflow karena fungsi strcpy mengambil input dari user tanpa validasi ukuran kemudian di-copy ke buff dengan ukuran terbatas. Lebih detail, contoh pada Gambar 8.2 dapat dilihat.

Fungsi login pada Gambar adalah fungsi untuk memeriksa inputan dari user. Input yang diizinkan adalah “brillig” dan “outgrabe”. Namun karena tidak dilakukannya validasi ukuran, logika dari fungsi bisa salah, khususnya saat user memberikan masukan sembarang yang ukurannya lebih dari 16, misalnya 17. Stack yang terbentuk akan dirusak, segmen yang harusnya menampung local variable “flagg” 0 untuk salah dan selain 0 adalah benar.

Nilai input yang membanjiri stack menuju flagg mengakibatkan input dianggap benar. Ilustrasi stack yang terbentuk saat eksekusi fungsi login dapat dilihat pada Tabel 8.1.

Tabel 8.1: Stack dari fungsi login

pass_buff [16]

Flagg [1]

SFP (old EBP/EBP main) [4]

Return address (old EIP) [4]

password

Selain pada segmen stack, buffer overflow juga dapat terjadi pada segmen heap. Artinya bagian kode yang menyebabkan kerentanan ada pada alokasi memori dinamis (fungsi malloc, calloc, realloc, dll.).

Remedy untuk kerentanan buffer overflow adalah dengan tidak menggunakan fungsi-fungsi berbahaya, seperti strcpy, strncpy, gets, fgets, fopen, dll. Visual studio sudah memberikan peringatan terkait penggunaan fungsi-fungsi ini.

Selain itu, yang paling penting adalah dengan menggunakan boundary checking untuk memeriksa ukuran dari input yang diberikan pengguna dan menyesuaikannya dengan buffer yang disediakan. Atau dapat juga dengan menggunakan fungsi yang ada pada C++ karena pada C++ sudah include object oriented dan integrity checking.

8.2.2 Format String Vulnerabilities

Kerentanan format string muncul karena programmer tidak secara eksplisit menentukan format input/output dalam fungsi pemrograman. Kesalahan ini dapat dieksploitasi oleh penyerang untuk membaca, menulis, atau memanipulasi memori program yang berpotensi menyebabkan perilaku tak terduga dari program atau aplikasi. Contoh potongan kode yang rentan terhadap format string ada pada Gambar 8.4.

Gambar 8.4: Contoh kode rentan format string vuln.

Gambar 8.3: Visual Studio

Keamanan Informasi (Cyber Security)

Jika program dieksekusi dengan normal, hasilnya akan terlihat normal juga, namun tidak semua pengguna memberikan input sesuai ekspektasi aplikasi, jika pengguna memberikan format pada input, misalnya %x, maka program akan memberikan nilai atau alamat dari stack yang terbentuk. Contoh hasil eksekusi dapat dilihat pada Gambar 8.5.

Gambar 8.5: Contoh hasil eksekusi

Remedy yang bisa dilakukan untuk menghindari kerentanan ini adalah dengan selalu menyertakan format yang tepat pada setiap input maupun output dari program.

8.2.3 Integer Overflow

Integer overflow terjadi ketika sebuah nilai yang lebih besar darinilai maksimum yang data disimpan oleh variable tipe data integer coba disimpan ke dalam variable tersebut. Contohnya, integer 8-bit hanya dapat menyimpan nilai dari 0 sampai 255 namun mencoba menyimpan nilai 256 atau lebih.

Gambar 8.6: Contoh kode yang rentan terhadap Integer Overflow

Output yang seharusnya dihasilkan oleh program adalah 256 namun karena batas maksimal nilai yang dapat disimpan, mengakibatkan output menjadi 0 (circular). Jika program adalah x+3 maka outputnya menjadi 2.

Integer overflow ini adalah kerentanan yang berbahaya karena hanya akan dapat dideteksi saat telah terjadi.

8.3 Keamanan Aplikasi Web (Web Application Security)

Aplikasi web, yang lebih terkenal dengan sebutan WWW (World Wide Web) ditemukan oleh seorang ilmuwan Inggris, Sir Timothy Berners – Lee pada tahun 1989 ketika bekerja di CERN, Swiss. Aplikasi web berevolusi sangat cepat, menjadi sesuatu yang lebih mudah digunakan, lebih mudah diakses, lebih banyak menyimpan dan mengolah data, dan semakin fungsional seiring berjalannya waktu (Scambray J., Shema M., and Sima, 2006).

Karena web telah merambah ke segala aspek kehidupan manusia, taruhan akan ketidakamanan web semakin tinggi, seperti area bisnis yang transaksinya telah dilakukan secara online seperti e-commerce, internet banking, dan system pembayaran lainnya.

Gambar 8.7: Arsitektur Aplikasi Web (Scambray J., Shema M., and Sima, 2006)

138

Keamanan Informasi (Cyber Security)

Arsitektur aplikasi web memiliki kesamaan dengan model komputasi terpusat dengan banyak klien “thin” yang tersebar untuk menampilkan data. Klien tersebut terhubung ke server “thick” terpusat yang melakukan

Sebagian besar pemrosesan data. Arsitektur web bergantung pada teknologi WWW, yaitu Hypertext Markup Language (HTML) sebagai Bahasa markup utama dan Hypertext Transfer Protocol (HTTP) sebagai media transportasi utamanya.

Meskipun HTML dan HTTP menjadi elemen dasar dalam mendefinisikan arsitektur aplikasi web, sebuah aplikasi web pada kenyataannya jauh lebih kompleks dibandingkan hanya dengan kedua teknologi tersebut.

Komponen utama dari aplikasi web ditampilkan pada Gambar 9. 7.

Kebanyakan pemilik aplikasi web mengatakan bahwa aplikasi mereka aman karena menggunakan protocol Secure Socket Layer (SSL) atau

Transport Layer Security (TLS). Namun asumsi ini sering kali berlebihan karena meskipun SSL/TSL menyediakan mekaniskme keamanan yang penting, seperti enkrikpsi komunikasi antar klien dan server, penggunaannya saja tidak cukup untuk menjamin keamanan menyeluruh dari aplikasi web.

Hal ini terjadi karena SSL/TSL melindungi data saat sedang ditransmisikan antara klien dan server, namun saat sampai di server atau diambil oleh klien, keamanan data menjadi tanggungjawab system lain. SSL tidak melindungi aplikasi dari serangan logika aplikasi, sql injection, atau kerentanan otorisasi.

Pada kenyataannya, kebanyakan aplikasi web tidak aman (insecure).

Kriptografi memang telah menjalankan peran penting dalam menjaga tiga pilar utama keamanan informasi, yaitu Confidentiality (Kerahasiaan), Integrity (Integritas), dan Availability (Ketersediaan), yang sering disebut sebagai CIA Triad. Meskipun demikian, kriptografi tidak mampu menahan serangan yang menargetkan kerentanan pada sisi server dan klien dari aplikasi web. Peranan pengembang software pada tahap requirement, design dan coding menjadi sangat penting.

8.3.1 Security Problems of Web Applications

Setiap pengguna dapat memberikan input apapun ke aplikasi dan semuanya tidak terpercaya karena pengguna dapat memberikan input apapun termasuk kode atau data yang berbahaya (all input is evil). Hal ini lah yang menjadi sumber utama kerentanan dalam aplikasi web. Pengguna dapat mengubah atau menginterferensi data yang ditransmisikan antara klien (browser) dan server.

Data yang dapat dimanipulasi adalah:

1 Request Parameters: Parameter yang dikirimkan melalui URL, form data, atau body request

2 Cookies: Data yang disimpan di sisi klien dan dikirimkan ke server pada setiap request

3 HTTP Headers: Informasi tambahan yang dikirimkan dalam setiap request HTTP (User-Agent, Authorization, dll.)

Validasi keamanan yang dilakukan di sisi klien (client-side) dapat dilewati dengan mudah oleh pengguna dengan browser developer tools atau aplikasi seperti Burp Suite.

Pengguna dapat mengirim permintaan dalam urutan yang berbeda dari yang diharapkan oleh aplikasi, dapat mengirimkan request lebih dari satu kali (repeated request), atau bahkan tidak dapat mengirimkan permintaan yang diharapkan (skipped request). Asumsi developer tentang bagaimana pengguna akan berinteraksi dengan aplikasi dapat dilanggar sehingga dapat menyebabkan kerentanan. Misalnya pengguna dapat melompati tahap autentikasi dan langsung mengakses data sensitif.

Selain itu, pengguna tidah hanya menggunakan browser untuk mengakses aplikasi. Mereka dapat menggunakan tools lain yang dirancang untuk berinteraksi dengan aplikasi secara langsung atau melalui protokol HTTP/HTTPS, tanpa menggunakan browser standar. Tools ini mampu mengirimkan request yang tidak dapat dilakukan oleh browser biasa.

140

Keamanan Informasi (Cyber Security)

Contoh tools yang dimaksud adalah Bur Suite (untuk menganalisis, memanipulasi, dan memodifikasi request sebelum dikirim ke server), Postman (membantu mengirimkan request API secara langsung dengan mengabaikan batasan UI), curl dan wget (command-line tools untuk mengirim request HTTP yang dimodifikasi), OWASP ZAP atau Nikto (mencari kerentanan dengan mengirimkan ribuan request dalam waktu singkat).

8.3.2 Core Defense Mechanisme

Terdapat mekanisme untuk menciptakan keamanan pada aplikasi web dan meminimalkan risiko serangan.

1. Mengelola Akses Pengguna

Sistem harus mampu memastikan bahwa hanya pengguna yang sah yang dapat mengakses sumber daya tertentu. Perlu dilakukan autentikasi untuk verifikasi identitas pengguna misalnya menggunakan password, token atau biometrik. Session management juga perlu dilakukan untuk mencegah pengambilalihan sesi (session hijacking). Selain itu diperlukan otorisasi untuk menentukan izin akses dan memastikan pengguna hanya dapat mengakses data atau fitur yang diizinkan berdasarkan role-nya (role-based access control)

2. Mengelola Input Pengguna

Input dari pengguna sering menjadi vektor serangan seperti pada SQL Injection atau Cross-Site Scripting (XSS). Untuk itu, diperlukan strategi dalam menghindari input tak terduga dari pengguna. Tolak input yang sudah diketahui berbahaya dan hanya menerima input dengan format yang diizinkan. Lakukan sanitasi atau pembersihan input dengan mekanisme validasi untuk membersihkan dari elemen yang berpotensi berbahaya, serta

Bab 8 Pengamanan Aplikasi (Application Security) 141

memastikan nilai dan ukuran input berada dalam batas yang diperbolehkan.

3. Mengelola Penyerang

Perlu untuk menghadapi penyerang yang mencoba mengeksploitasi aplikasi. Cara yang dapat dilakukan adalah dengan menganalisis dan memantau error logs untuk mendeteksi aktivitas mencurigakan. Menggunakan Intrusion Detection System (IDS) atau firewall atau dengan memberikan rate limit pada server dan memblokir IP penyerang yang terdeteksi.

4. Mengelola Aplikasi

Pengelolaan aplikasi yang dimaksud adalah dengan meninjau ulang mekanisme autentikasi yang digunakan, mengevaluasi kontrol akses dan memastikan bahwa semua sudah diimplementasikan dengan tepat, serta memeriksa data yang berasal dari pengguna untuk mendeteksi serangan seperti XSS.

8.4 Serangan pada Aplikasi

Sub bab ini akan membahas serangan umum yang terjadi pada aplikasi, khususnya aplikasi web.

8.4.1 SQL Injection

SQL Injection adalah kerentanan yang sangat merusak karena memungkinkan penyerang untuk mendapatkan control langsung terhadap database, termasuk membaca, mengubah atau menghapus data. Pada tahun 2008 terjadi serangan massal; ribuan computer menjalankan SQL Server dan Internet Information Services (IIS) menjadi korban serangan SQL Injection.

142 Keamanan Informasi (Cyber Security)

Serangan ini memanfaatkan kelemahan pada kode Active Server Pages (ASP), berasal dari input pengguna yang tidak divalidasi dengan baik sebelum diteruskan ke query SQL. Akibatnya, banyak data sensitive terekspos dan system database pada server berhasil diakses secara illegal (Katz, 2004).

Cara kerja SQL injection adalah penyerang menyisipkan perintah SQL yang berbahaya ke dalam input aplikasi yang tidak diverifikasi dengan baik.

Gambar 8.8: Contoh query

Gambar 8.8 adalah contoh query yang rentan terhadap sql injection. Penyerang dapat memberikan input berbahaya ke aplikasi, misalnya user’ OR ‘1’=’1’ – sehingga query dapat berubah menjadi seperti pada Gambar 8.9.

Gambar 8.9: Query yang diubah oleh input user

Dengan manipulasi sederhana oleh penyerang, autentikasi pada aplikasi dapat terlewati dan penyerang dapat mengakses data.

Untuk melihat mekanisme penyerangan SQL Injection, dapat menggunakan DVWA (Damn Vulnerable Web Apps), sebuah platform yang dapat digunakan untuk melakukan penetration testing.

Bab 8 Pengamanan Aplikasi (Application Security)

Gambar 8.10: source code pada DVWA

Pada form di DVWA, diberikan masukan %’ or ‘1’ =’1’, maka semua akun ditampilkan seperti pada Gambar 8.11.

Gambar 8.11: output pada DVWA

Untuk menghindari serangan ini, penting untuk dilakukan validasi dan sanitasi input untuk memeriksa format input dan memastikan tidak ada karakter berbahaya.

8.4.2 Session Hijacking Attack

Serangan Session Hijacking melibatkan eksploitasi mekanisme kontrol atas sesi aplikasi (application sessio) di mana penyerang mencuri session token untuk mengambil alih sesi pengguna yang sah sehingga penyerang dapat

144 Keamanan Informasi (Cyber Security)

akses illegal ke server web. Session Token adaah string yang biasanya bersifat unik, digunakan untuk mengidentifikasi sesi pengguna yang sedang aktif.

Cara kerja session hijacking adalah penyerang mencuri session token pengguna melalui berbagai metode seperti:

1. Man-in-the-Middle: penyerang mencegat komunikasi antara klien dan server untuk mencuri token

8.12: cara kerja man-in-the-middle attack

2. Cross-Site Scripting: penyerang memasukkan skrip berbahaya untuk mencuri token dari cookie.

Gambar

Gambar 8.13: cara kerja XSS (stored-XSS)

3. Session Sniffing Attack: penyerang menggunakan sniffer untuk mendapat session token

Gambar 8.14: cara kerja session sniffing attack

Pada DVWA, jika input pada form diberikan kode “<script> alert(document.cookie) </script>” maka output yang diberikan adalah cookie dalam bentuk pop up seperti pada Gambar 8.15.

Gambar 8.15: Output pada DVWA untuk XSS

Pencegahan session hijacking attack dapat dilakukan dengan menggunakan HTTPS, menerapkan secure cookie dengan menambahkan atribut HttpOnly atau Secure untuk mencegah akses skrip (XSS) serta timeout session untuk mengakhiri sesi secara otomatis pada periode tertentu.

Bab 9 Keamanan Internet of Things (IoT)

9.1 Pengantar Internet of Things (IoT)

Internet of Things (IoT) adalah konsep yang sedang berkembang pesat dan mengubah cara kita berinteraksi dengan dunia di sekitar kita. Sederhananya, IoT mengacu pada jaringan objek fisik “benda” yang tertanam dengan sensor, perangkat lunak, dan teknologi lainnya untuk tujuan menghubungkan dan bertukar data dengan perangkat dan sistem lain melalui internet.

Bayangkan kulkas yang dapat memesan susu secara otomatis saat hampir habis, atau lampu jalan yang dapat menyesuaikan kecerahannya berdasarkan kondisi lalu lintas. Ini adalah contoh bagaimana IoT dapat membuat hidup kita lebih mudah dan efisien.

Berikut adalah beberapa komponen kunci dari IoT:

1. Perangkat: ini bisa berupa apa saja mulai dari sensor kecil hingga peralatan rumah tangga besar, yang dilengkapi dengan kemampuan untuk mengumpulkan dan mengirimkan data.

2. Konektivitas: perangkat IoT terhubung ke internet melalui berbagai cara, termasuk Wi-Fi, Bluetooth, dan jaringan seluler.

3. Pemrosesan Data: data yang dikumpulkan oleh perangkat IoT diproses dan dianalisis untuk mendapatkan wawasan yang berguna.

4. Antarmuka Pengguna: ini memungkinkan manusia untuk berinteraksi dengan perangkat IoT, misalnya melalui aplikasi smartphone atau platform web.

Bagaimana IoT beroperasional?

1. Pengumpulan Data: perangkat IoT mengumpulkan data dari lingkungan sekitarnya menggunakan sensor, seperti suhu, kelembaban, lokasi, atau gambar;

2. Koneksi: data ini ke-mudian dikirimkan melalui jaringan internet ke platform cloud;

3. Pemrosesan: di cloud, data diproses dan dianalisis untuk mengidentifikasi pola dan wawasan;

4. Tindakan: berdasarkan analisis data, sistem IoT dapat memicu tindakan tertentu, seperti mengirimkan peringat-an, mengontrol perangkat lain, atau memberikan rekomendasi

5. Antarmuka Pengguna: informasi disajikan kepada pengguna melalui aplikasi smartphone, dashboard, atau antarmuka lainnya, yang me-mungkinkan mereka untuk memantau dan mengontrol perangkat IoT.

Manfaat IoT:

1. Efisiensi: otomatisasi tugas dan proses.

2. Peningkatan Produktivitas: optimalisasi operasi dan pengam-bilan keputusan yang lebih baik.

3. Pengalaman yang Dipersonalisasi: penyesuaian layanan dan produk.

4. Keamanan yang Ditingkatkan: pemantauan dan deteksi dini ancaman.

5. Inovasi: penciptaan produk dan layanan baru.

Meskipun IoT menawarkan banyak potensi, penting juga untuk mempertimbangkan tantangan seperti keamanan data, privasi, dan interoperabilitas. Namun, dengan perkembangan teknologi yang berkelanjutan, IoT diharapkan akan terus berkembang dan memberikan dampak yang lebih besar pada kehidupan kita di masa depan.

9.2 Arsitektur IoT: Lapisan dan

Komponen Kunci

Arsitektur IoT adalah kerangka kerja (framework) yang mendefinisikan bagaimana berbagai komponen dalam sistem IoT saling terhubung, berinteraksi, dan bekerja sama untuk mencapai tujuan tertentu. Memahami arsitektur ini sangat penting untuk merancang, mengembangkan, dan menerapkan solusi IoT yang efektif dan efisien. Secara umum, arsitektur IoT dapat dibagi menjadi beberapa lapisan, yang masing-masing memiliki fungsi dan tanggung jawab spesifik.

150 Keamanan Informasi (Cyber Security)

Meskipun terdapat variasi dalam jumlah dan pelabelan lapisan, berikut adalah model umum yang terdiri dari 4 (empat) lapisan:

1. Lapisan Perangkat (Perception Layer)

a. Fungsi: lapisan ini bertanggung jawab untuk mengumpulkan data dari lingkungan fisik dan mengubahnya menjadi format digital.

b. Komponen:

• Sensor: mendeteksi dan mengukur berbagai parameter fisik seperti suhu, kelembaban, cahaya, tekanan, dan gerakan.

• Aktuator: menerima perintah dari sistem dan melakukan tindakan fisik, seperti membuka pintu, menyalakan lampu, atau mengontrol motor.

• Perangkat Tertanam: perangkat kecil dengan kemampuan komputasi dan komunikasi yang tertanam di dalam objek fisik.

2. Lapisan Jaringan (Network Layer)

a. Fungsi: lapisan ini menyediakan infrastruktur komunikasi yang menghubungkan perangkat IoT ke internet dan satu sama lain.

b. Komponen:

• Gateway: menjembatani komunikasi antara perangkat IoT dan jaringan internet.

• Jaringan Komunikasi: berbagai teknologi jaringan seperti Wi-Fi, Bluetooth, Zigbee, LoRaWAN, dan jaringan seluler.

• Protokol Komunikasi: standar komunikasi yang memungkin-kan perangkat IoT untuk bertukar data, seperti MQTT, CoAP, dan AMQP.

3. Lapisan Platform (Application Layer)

a. Fungsi: lapisan ini bertanggung jawab untuk memproses, meng-analisis, dan menyimpan data yang dikumpulkan dari perangkat IoT.

b. Komponen:

• Platform IoT: platform cloud atau on-premise yang menyediakan layanan untuk manajemen perangkat, penyimpanan data, analisis data, dan visualisasi data.

• Database: menyimpan data yang dikumpulkan dari perangkat IoT.

• Alat Analisis: menganalisis data untuk mengidentifikasi pola, tren, dan anomali.

4. Lapisan Aplikasi (Business Layer)

a. Fungsi: lapisan ini menyediakan antarmuka pengguna dan aplikasi yang memungkinkan manusia untuk berinteraksi dengan sistem IoT dan memanfaatkan data yang dihasilkan.

b. Komponen:

• Aplikasi IoT: aplikasi mobile, laman, atau desktop yang memungkinkan pengguna untuk memantau, mengontrol, dan berinteraksi dengan perangkat IoT.

• Dashboard: menampilkan data dan informasi secara visual untuk memudahkan pemantauan dan analisis.

• API: antarmuka pemrograman aplikasi yang memungkinkan integrasi dengan sistem lain.

Keamanan Informasi (Cyber Security)

Komponen Kunci Lainnya:

1. Keamanan: mekanisme keamanan untuk melindungi data dan perangkat IoT dari ancaman siber.

2. Manajemen Perangkat: alat dan proses untuk mengelola dan memantau perangkat IoT.

3. Interoperabilitas: kemampuan perangkat dan sistem IoT dari vendor yang berbeda untuk berkomunikasi dan bekerja sama.

Dengan memahami arsitektur dan komponen kunci IoT, Anda dapat merancang solusi IoT yang lebih efektif, efisien, dan aman.

9.3 Sensor dan Perangkat IoT: Teknologi dan Kemampuan

Sensor dan perangkat IoT adalah konsep fundamenta dari IoT. Mereka bertindak sebagai jembatan antara dunia fisik dan dunia digital, memungkinkan kita untuk mengumpulkan data dari lingkungan sekitar dan mengubahnya menjadi informasi yang berguna.

9.3.1 Sensor IoT

Sensor adalah perangkat yang mendeteksi dan mengukur perubahan fisik atau lingkungan, seperti suhu, tekanan, cahaya, atau gerakan. Mereka kemudian mengubah informasi ini menjadi sinyal digital yang dapat diproses oleh perangkat lain.

Berikut beberapa jenis sensor IoT yang umum digunakan:

1. Sensor Suhu: mengukur suhu suatu objek atau lingkungan. Contoh: termokopel, termistor.

2. Sensor Kelembaban: mengukur jumlah uap air di udara.

3. Sensor Tekanan: mengukur tekanan suatu fluida atau gas.

4. Sensor Cahaya: mendeteksi intensitas cahaya. Contoh: fotodioda, fotoresistor.

5. Sensor Proximity: mendeteksi keberadaan objek di dekatnya tanpa kontak fisik. Contoh: sensor ultrasonik, sensor inframerah.

6. Sensor Akselerometer: mengukur percepatan atau getaran suatu objek.

7. Sensor Giroskop: mengukur orientasi dan rotasi suatu objek.

8. Sensor GPS: menentukan lokasi geografis suatu objek.

9.3.2 Perangkat IoT

Perangkat IoT adalah objek fisik yang dilengkapi dengan sensor, perangkat lunak, dan konektivitas jaringan untuk mengumpulkan dan bertukar data. Mereka dapat berupa perangkat yang sederhana seperti sensor suhu yang terhubung ke internet, atau perangkat yang lebih kompleks seperti mobil otonom.

Berikut beberapa contoh perangkat IoT:

1. Perangkat yang Dapat Dikenakan (wearables): jam tangan pintar, pelacak kebugaran, kacamata pintar.

2. Peralatan Rumah Tangga: kulkas pintar, mesin cuci pintar, termostat pintar.

3. Sistem Keamanan Rumah: kamera keamanan, sensor pintu dan jendela, alarm.

4. Kendaraan: mobil terhubung, sistem pelacakan kendaraan.

5. Peralatan Industri: mesin produksi, robot, sensor lingkungan.

9.3.3 Teknologi dan Kemampuan

Sensor dan perangkat IoT didukung oleh berbagai teknologi, termasuk:

1. Mikroprosesor: untuk memproses data dan mengontrol perangkat.

2. Konektivitas Nirkabel: Wi-Fi, Bluetooth, Zigbee, LoRa-WAN, dan jaringan seluler untuk komunikasi data.

3. Teknologi Energi Rendah: untuk memperpanjang masa pakai baterai perangkat IoT.

4. Cloud Computing: untuk penyimpanan dan pemrosesan data.

5. Kecerdasan Buatan (AI): untuk analisis data dan pengambilan keputusan yang cerdas.

Kemampuan Sensor dan Perangkat IoT:

1. Pemantauan: mengumpulkan data secara real-time tentang berbagai parameter.

2. Kontrol: mengontrol perangkat dan sistem dari jarak jauh.

3. Otomatisasi: mengotomatiskan tugas dan proses.

4. Optimalisasi: meningkatkan efisiensi dan produktivitas.

5. Analisis: menganalisis data untuk mendapatkan wawasan yang berharga.

Dengan perkembangan teknologi yang pesat, sensor dan perangkat IoT menjadi semakin canggih, membuka peluang baru untuk inovasi di berbagai bidang.

9.4 Integrasi Keamanan dalam Siklus

Hidup IoT

Keamanan siber merupakan aspek krusial dalam pengembangan dan penerapan IoT. Mengingat IoT melibatkan jaringan perangkat yang saling terhubung dan bertukar data sensitif, mengintegrasikan keamanan di setiap tahap siklus hidup IoT menjadi sangat penting.

Berikut adalah bagaimana keamanan dapat diintegrasikan ke dalam setiap fase siklus hidup IoT:

1. Fase Desain dan Pengembangan

a. Keamanan by Design: mempertimbangkan keamanan sejak awal proses desain, bukan sebagai tambahan.

b. Pemilihan Hardware yang Aman: memilih komponen perangkat keras yang memiliki fitur keamanan bawaan, seperti secure element dan modul platform terpercaya (TPM).

c. Pengembangan Perangkat Lunak yang Aman: menerapkan praktik pengkodean yang aman, melakukan pengujian keamanan secara teratur, dan menggunakan kerangka kerja keamanan perangkat lunak.

d. Autentikasi dan Otorisasi: menerapkan mekanisme autentikasi yang kuat untuk memverifikasi identitas perangkat dan pengguna, serta mekanisme otorisasi untuk mem-batasi akses ke data dan fungsi.

e. Enkripsi: melindungi data saat transit dan saat istirahat dengan menggunakan algoritma enkripsi yang kuat.

f. Minimalisasi Permukaan Serangan: membatasi jumlah layanan dan port yang terbuka pada perangkat IoT, dan menonaktifkan fitur yang tidak perlu.

2. Fase Produksi dan Pengujian

a. Pengujian Keamanan: melakukan pengujian keamanan yang komprehensif, termasuk pengujian penetrasi dan analisis kerentanan, untuk mengidentifikasi dan memperbaiki celah keamanan sebelum perangkat diproduksi.

b. Validasi Keamanan: memastikan bahwa perangkat IoT memenuhi standar keamanan yang relevan dan persyaratan peraturan.

c. Manajemen Konfigurasi: menerapkan konfigurasi keamanan yang tepat pada perangkat IoT dan menjaga agar tetap mutakhir.

3. Fase Penerapan dan Penyebaran

a. Secure Boot: memastikan bahwa perangkat IoT hanya menjalankan perangkat lunak tepercaya saat dinyalakan.

b. Pembaruan Firmware yang Aman: menerapkan mekanisme untuk memperbarui firmware perangkat IoT dengan aman dan efisien.

c. Segmentasi Jaringan: memisahkan jaringan IoT dari jaringan internal lainnya untuk membatasi dampak potensial dari pelang-garan keamanan.

d. Pemantauan Keamanan: memantau jaringan IoT secara terusmenerus untuk mendeteksi aktivitas yang mencurigakan dan me-respons insiden keamanan dengan cepat.

4. Fase Operasi dan Pemeliharaan

a. Manajemen Kerentanan: mengidentifikasi dan memperbaiki kerentanan keamanan baru secara proaktif.

b. Analisis Log: menganalisis log keamanan untuk mengidentifikasi tren, anomali, dan potensi ancaman.

c. Penilaian Risiko: menilai risiko keamanan secara berkala dan menyesuaikan strategi keamanan sesuai kebutuhan.

d. Pelatihan Keamanan: memberikan pelatihan kepada pengguna tentang praktik keamanan terbaik dan kesadaran akan ancaman siber.

5. Fase Penonaktifan

Penghapusan Data yang Aman: memastikan bahwa data sensitif dihapus secara aman dari perangkat IoT sebelum dinonaktifkan atau dibuang.

Dengan mengintegrasikan keamanan ke dalam setiap fase siklus hidup IoT, kita dapat membangun sistem IoT yang lebih aman dan tangguh, melindungi data sensitif, dan menjaga privasi pengguna.

9.5 Komunikasi IoT: Protokol dan Standar

Komunikasi dalam ekosistem IoT sangat penting untuk memungkinkan perangkat yang beragam untuk saling terhubung dan bertukar informasi.

Protokol dan standar komunikasi IoT berperan krusial dalam memastikan interoperabilitas, efisiensi, dan keamanan dalam jaringan IoT.

9.5.1 Protokol Komunikasi IoT

Protokol komunikasi IoT adalah seperangkat aturan dan spesifikasi yang mengatur bagaimana perangkat IoT berkomunikasi satu sama lain.

Berikut adalah beberapa protokol komunikasi IoT yang umum digunakan:

1. MQTT (Message Queuing Telemetry Transport): protokol ringan dan hemat daya yang di rancang untuk komunikasi machine-to-

158 Keamanan Informasi (Cyber Security)

machine (M2M) dan IoT. MQTT sering digunakan dalam skenario di mana bandwidth terbatas dan koneksi tidak stabil.

2. CoAP (Constrained Application Protocol): protokol laman transfer yang dioptimalkan untuk perangkat dengan sumber daya terbatas. CoAP sering digunakan dalam jaringan sensor nirkabel dan perangkat IoT berdaya rendah.

3. HTTP/HTTPS (Hypertext Transfer Protocol/Secure): pro-tokol yang umum digunakan untuk komunikasi laman, juga dapat digunakan dalam IoT, terutama untuk perangkat yang memiliki sumber daya lebih besar dan membutuhkan keamanan yang kuat.

4. AMQP (Advanced Message Queuing Protocol): protokol antrean pesan yang andal dan fleksibel, sering digunakan dalam aplikasi IoT yang membutuhkan pengiriman pesan yang terjamin dan interoperabilitas antar platform.

5. DDS (Data Distribution Service): protokol komunikasi real-time yang dirancang untuk aplikasi yang membutuhkan latensi rendah dan throughput tinggi, seperti kendaraan otonom dan sistem kontrol industri.

6. Bluetooth: teknologi nirkabel jarak pendek yang umum digunakan untuk menghubungkan perangkat IoT seperti smartphone, wearable devices, dan sensor.

7. Zigbee: teknologi nirkabel mesh yang hemat daya dan cocok untuk jaringan sensor dan perangkat IoT berdaya rendah.

8. LoRaWAN: teknologi jaringan area luas berdaya rendah yang di rancang untuk komunikasi jarak jauh dengan konsumsi daya minimal.

9.5.2 Standar Komunikasi IoT

Selain protokol, terdapat juga standar komunikasi IoT yang dikembangkan oleh berbagai organisasi untuk memastikan interoperabilitas dan keamanan.

Beberapa standar yang penting meliputi:

1. IEEE 802.15.4: standar untuk komunikasi nirkabel jarak pendek berdaya rendah, yang menjadi dasar bagi protokol seperti Zigbee dan 6LoWPAN.

2. IETF 6LoWPAN: standar yang memungkinkan protokol IPv6 digunakan pada jaringan berdaya rendah dan lossy, seperti jaringan sensor nirkabel.

3. oneM2M: standar global untuk platform IoT yang bertujuan untuk menciptakan kerangka kerja umum untuk interoperabilitas antar perangkat dan aplikasi IoT.

4. Industrial Internet Consortium (IIC): organisasi yang mengembangkan standar dan arsitektur referensi untuk Industrial Internet of Things (IIoT).

9.5.3 Pemilihan Protokol dan Standar

Pemilihan protokol dan standar komunikasi IoT yang tepat bergantung pada berbagai faktor, termasuk:

1. Kebutuhan aplikasi: latensi, throughput, keandalan, dan keamanan.

2. Jenis perangkat: sumber daya perangkat, daya pemrosesan, dan memori.

3. Jaringan: jenis jaringan, jangkauan, dan bandwidth.

4. Biaya: biaya implementasi dan pemeliharaan.

Dengan memahami protokol dan standar komunikasi IoT, pengembang dapat membangun solusi IoT yang lebih efisien, interoperable, dan aman.

9.6 Keamanan dalam IoT: Tantangan dan Ancaman

IoT menjanjikan banyak manfaat, tetapi juga menghadirkan tan-tangan keamanan yang signifikan. Jaringan perangkat yang saling terhubung ini rentan terhadap berbagai ancaman siber, yang dapat membahayakan data sensitif, privasi, dan bahkan keselamatan fisik.

9.6.1 Tantangan Keamanan IoT

1. Skala dan Kompleksitas: jaringan IoT seringkali terdiri dari jutaan perangkat yang beragam dengan kemampuan dan konfigurasi yang berbeda. Hal ini menyulitkan untuk menerap-kan dan mengelola keamanan secara konsisten di seluruh jaringan.

2. Keterbatasan Sumber Daya: banyak perangkat IoT me-miliki sumber daya yang terbatas, seperti daya pemrosesan, memori, dan daya baterai. Hal ini membatasi kemampuan mereka untuk menerapkan mekanisme keamanan yang kuat.

3. Kurangnya Standar Keamanan: kurangnya standar keamanan yang seragam di industri IoT dapat menyebabkan inkonsistensi dan kerentanan dalam implementasi keamanan.

4. Siklus Hidup Perangkat yang Panjang: perangkat IoT seringkali memiliki siklus hidup yang panjang, yang berarti mereka mungkin perlu didukung dan diamankan selama bertahun-tahun, bahkan setelah teknologi keamanan baru muncul.

5. Kurangnya Kesadaran Keamanan: banyak pengguna dan produsen perangkat IoT tidak memiliki kesadaran yang cukup tentang risiko keamanan dan praktik keamanan terbaik.

9.6.2 Ancaman Keamanan IoT

1. Akses Tidak Sah: Peretas dapat mengeksploitasi kerentanan untuk mendapatkan akses tidak sah ke perangkat IoT dan mencuri data, memanipulasi fungsi, atau meluncurkan serangan lebih lanjut.

2. Malware dan Botnet: Perangkat IoT dapat terinfeksi malware dan direkrut menjadi botnet, yang dapat digunakan untuk meluncurkan serangan DDoS, menam-bang cryptocurrency, atau menyebarkan spam.

3. Pencurian Data: data sensitif yang dikumpulkan dan ditransmisikan oleh perangkat IoT, seperti informasi pribadi, data kesehatan, atau data keuangan, dapat dicuri dan disalah gunakan.

4. Serangan Man-in-the-Middle: penyerang dapat mencegat komunikasi antara perangkat IoT untuk mencuri data atau memanipulasi informasi.

5. Spoofing dan Pemalsuan: penyerang dapat memalsukan iden-titas perangkat atau pengguna untuk mendapatkan akses tidak sah ke sistem atau data.

6. Serangan Denial-of-Service (DoS): perangkat IoT dapat men-jadi sasaran serangan DoS, yang dapat mengganggu layanan dan menyebabkan kerusakan atau kerugian finansial.

7. Serangan terhadap Privasi: data yang dikumpulkan oleh perangkat IoT dapat digunakan untuk melacak dan memantau aktivitas pengguna, yang melanggar privasi mereka.

9.6.3 Mitigasi Ancaman

Untuk memitigasi ancaman keamanan IoT, penting untuk:

1. Menerapkan Keamanan by Design: mempertimbangkan keamanan sejak awal proses desain dan pengembangan perang-kat IoT.

2. Menggunakan Standar Keamanan: mengikuti standar ke-amanan yang relevan dan praktik terbaik.

3. Memperbarui Perangkat Lunak: memastikan perangkat IoT diperbarui dengan patch keamanan terbaru.

4. Menggunakan Autentikasi yang Kuat: menerapkan meka-nisme autentikasi yang kuat untuk memverifikasi identitas perangkat dan pengguna.

5. Mengenkripsi Data: melindungi data saat transit dan saat istirahat dengan menggunakan enkripsi.

6. Memantau Jaringan: memantau jaringan IoT secara terus-menerus untuk mendeteksi aktivitas yang mencurigakan.

7. Meningkatkan Kesadaran Keamanan: mendidik pengguna dan produsen tentang risiko keamanan dan praktik keamanan ter-baik.

Dengan mengatasi tantangan dan ancaman keamanan IoT, kita dapat memanfaatkan potensi penuh teknologi ini sambil meminimalkan risiko.

9.7 Autentikasi dan Otorisasi pada IoT

Autentikasi dan otorisasi adalah 2 (dua) elemen kunci dalam sistem keamanan IoT. Keduanya berperan penting dalam melindungi perangkat, data, dan jaringan dari akses yang tidak sah dan ancaman siber.

9.7.1

Autentikasi

Autentikasi adalah proses memverifikasi identitas perangkat atau pengguna yang mencoba mengakses sistem IoT. Tujuannya adalah untuk memastikan bahwa hanya entitas yang berwenang yang dapat terhubung dan berinteraksi dengan sistem.

Metode Autentikasi dalam IoT:

1. Kunci pra-bagi (pre-shared keys): perangkat dan server berbagi kunci rahasia yang digunakan untuk autentikasi.

2. Token: perangkat diberikan token unik yang digunakan untuk mengautentikasi setiap permintaan.

3. Sertifikat digital: sertifikat digital digunakan untuk mem-verifikasi identitas perangkat dan server.

4. Biometrik: sidik jari, pemindaian wajah, atau pemindaian iris mata dapat digunakan untuk mengautentikasi pengguna.

5. Autentikasi dua faktor (2FA): menggabungkan dua metode autentikasi, seperti kata sandi dan kode OTP, untuk meningkatkan keamanan.

9.7.2 Otorisasi

Otorisasi adalah proses menentukan izin dan hak akses yang diberikan kepada perangkat atau pengguna setelah diautentikasi. Tujuannya adalah untuk membatasi akses ke data dan fungsi hanya kepada mereka yang memiliki izin yang tepat.

Metode Otorisasi dalam IoT:

1. Kontrol Akses Berbasis Peran (RBAC): memberikan izin berdasarkan peran pengguna atau perangkat dalam sistem.

2. Kontrol Akses Berbasis Atribut (ABAC): memberikan izin berdasarkan atribut pengguna, perangkat, atau sumber daya.

Keamanan Informasi (Cyber Security)

3. Daftar Kontrol Akses (ACL): daftar yang menentukan izin akses untuk setiap pengguna atau perangkat.

9.7.3 Implementasi Autentikasi dan Otorisasi dalam IoT

Implementasi autentikasi dan otorisasi dalam IoT dapat bervariasi tergantung pada kebutuhan dan karakteristik sistem.

Beberapa pertimbangan penting meliputi:

1. Keamanan Protokol Komunikasi: menggunakan protokol komunikasi yang aman seperti MQTT dengan TLS/SSL atau HTTPS untuk melindungi data selama transmisi.

2. Keamanan Perangkat: menerapkan mekanisme keamanan pada perangkat itu sendiri, seperti secure boot dan secure element untuk mencegah akses tidak sah.

3. Manajemen Identitas dan Akses (IAM): menggunakan platform IAM untuk mengelola identitas dan izin peng-guna dan perangkat secara terpusat.

4. Pemantauan dan Audit: memantau aktivitas jaringan dan perangkat untuk mendeteksi akses yang tidak sah dan melakukan audit keamanan secara teratur.

Contoh Skenario :

1. Rumah Pintar: pengguna diautentikasi menggunakan kata sandi atau biometrik untuk mengakses sistem rumah pintar. Otorisasi menentukan perangkat mana yang dapat mereka kontrol dan data apa yang dapat mereka akses.

2. Kendaraan Terhubung: kendaraan diautentikasi meng-gunakan sertifikat digital untuk berkomunikasi dengan server. Otorisasi menentukan fungsi mana yang dapat diakses oleh pengguna atau aplikasi, seperti membuka kunci pintu atau menyalakan mesin.

3. Kesehatan: perangkat medis yang dapat dikenakan di-autentikasi menggunakan token untuk mengirimkan data ke platform kesehatan. Otorisasi memastikan bahwa hanya profesional medis yang berwenang yang dapat mengakses data pasien.

Dengan menerapkan autentikasi dan otorisasi yang kuat, sistem IoT dapat lebih terlindungi dari ancaman siber dan menjaga keamanan data dan privasi pengguna.

9.8 Enkripsi dan Perlindungan Data IoT

Enkripsi dan perlindungan data adalah komponen penting dalam mengamankan ekosistem IoT. Mengingat perangkat IoT sering kali mengumpulkan dan mengirimkan data sensitif melalui jaringan yang rentan, langkah-langkah untuk melindungi data ini dari akses yang tidak sah dan ancaman siber menjadi sangat penting.

9.8.1 Enkripsi

Enkripsi adalah proses mengubah data menjadi format yang tidak dapat dibaca (ciphertext) tanpa kunci dekripsi yang sesuai. Ini memastikan bahwa bahkan jika data di oleh pihak yang tidak berwenang dan mempunyai otorisasi, mereka tidak akan dapat memahami atau mengeksploitasinya.

Jenis Enkripsi dalam IoT:

1. Enkripsi Simetris: menggunakan kunci yang sama untuk enkripsi dan dekripsi. Cocok untuk perangkat dengan sumber daya terbatas. Contoh: AES.

2. Enkripsi Asimetris: menggunakan dua kunci, kunci publik untuk enkripsi dan kunci privat untuk dekripsi. Menawarkan keamanan yang lebih kuat tetapi membutuhkan lebih banyak sumber daya. Contoh: RSA.

166 Keamanan Informasi (Cyber Security)

Penerapan Enkripsi dalam IoT:

1. Enkripsi Data saat Transit: melindungi data saat ditrans-misikan melalui jaringan, misalnya antara perangkat IoT dan platform cloud.

2. Enkripsi Data saat Istirahat: melindungi data yang disimpan di perangkat IoT atau di penyimpanan cloud.

3. Enkripsi end-to-end: mengenkripsi data dari titik awal hingga titik akhir, memastikan bahwa hanya pengirim dan penerima yang berwenang yang dapat mengakses data tersebut.

9.8.2 Perlindungan Data IoT

Selain enkripsi, ada berbagai langkah lain yang dapat diambil untuk melindungi data IoT:

1. Autentikasi dan Otorisasi: memastikan bahwa hanya perang-kat dan pengguna yang berwenang yang dapat mengakses sistem dan data IoT.

2. Segmentasi Jaringan: memisahkan jaringan IoT dari jaringan internal lainnya untuk membatasi dampak potensial dari pelanggaran keamanan.

3. Firewall: memblokir akses yang tidak sah ke perangkat dan jaringan IoT.

4. Intrusion Detection and Prevention Systems (IDPS): mendeteksi dan mencegah aktivitas yang mencurigakan di jaringan IoT.

5. Secure Boot: memastikan bahwa perangkat IoT hanya menjalankan perangkat lunak tepercaya saat dinyalakan.

6. Pembaruan Firmware: memperbarui perangkat lunak perangkat IoT dengan patch keamanan terbaru untuk memperbaiki kerentanan.

7. Manajemen Kerentanan: mengidentifikasi dan memperbaiki kerentanan keamanan baru secara proaktif.

8. Analisis Log: menganalisis log keamanan untuk mengidentifikasi tren, anomali, dan potensi ancaman.

9. Penilaian Risiko: menilai risiko keamanan secara berkala dan menyesuaikan strategi keamanan sesuai kebutuhan.

9.8.3 Standar dan Regulasi

Ada berbagai standar dan regulasi yang relevan dengan enkripsi dan perlindungan data IoT, seperti:

1. General Data Protection Regulation (GDPR): regulasi Uni Eropa yang mengatur perlindungan data pribadi.

2. California Consumer Privacy Act (CCPA): Undang-undang California yang memberikan hak privasi data kepada konsumen.

3. Payment Card Industry Data Security Standard (PCI DSS): standar keamanan untuk melindungi data kartu pembayaran.

Dengan menerapkan enkripsi dan langkah-langkah perlindungan data lainnya, organisasi dapat membangun sistem IoT yang lebih aman dan tangguh, melindungi data sensitif, dan menjaga privasi pengguna.

9.9 Keamanan Aplikasi dan Layanan IoT

Keamanan aplikasi dan layanan IoT merupakan lapisan per-lindungan penting dalam ekosistem Internet of Things. Karena aplikasi dan layanan ini bertindak sebagai antarmuka antara pengguna dan perangkat IoT, serta memproses dan menyimpan data sensitif, mengamankan mereka dari ancaman siber sangatlah penting.

9.9.1 Keamanan Aplikasi IoT

Aplikasi IoT mencakup aplikasi mobile, laman, atau desktop yang memungkinkan pengguna untuk berinteraksi dengan perangkat IoT, memantau data, dan mengontrol fungsi.

Beberapa praktik keamanan aplikasi IoT yang penting meliputi:

1. Pengembangan Aman: menerapkan praktik pengembangan perangkat lunak yang aman, seperti validasi input, penanganan kesalahan, dan pengujian keamanan, untuk mencegah kerentanan.

2. Autentikasi dan Otorisasi: memastikan bahwa hanya pengguna yang berwenang yang dapat mengakses aplikasi dan data IoT dengan menerapkan mekanisme autentikasi yang kuat dan kontrol akses berbasis peran.

3. Perlindungan Data: melindungi data sensitif yang diproses dan disimpan oleh aplikasi dengan menggunakan enkripsi dan teknik perlindungan data lainnya.

4. API Security: mengamankan antarmuka pemrograman aplikasi (API) yang digunakan oleh aplikasi untuk berkomu-nikasi dengan perangkat dan layanan IoT, dengan meng-gunakan autentikasi API, otorisasi, dan perlindungan terhadap serangan injeksi.

5. Pengujian Keamanan: melakukan pengujian keamanan aplikasi secara teratur, termasuk pengujian penetrasi dan analisis kerentanan, untuk mengidentifikasi dan memper-baiki celah keamanan.

9.9.2 Keamanan Layanan IoT

Layanan IoT mencakup platform cloud, database, dan layanan lainnya yang mendukung fungsi dan konektivitas perangkat IoT.

Keamanan layanan IoT yang kuat meliputi:

1. Keamanan Cloud: memilih penyedia cloud yang aman dan menerapkan kontrol keamanan cloud yang tepat, seperti enkripsi data, manajemen akses, dan pemantauan keamanan.

2. Keamanan Database: mengamankan database yang menyimpan data IoT dengan menggunakan enkripsi data, kontrol akses, dan audit keamanan.

3. Keamanan Jaringan: mengamankan jaringan yang menghubungkan perangkat IoT dan layanan dengan menggunakan firewall, segmentasi jaringan, dan protokol komunikasi yang aman.

4. Manajemen Kerentanan: memantau dan memperbaiki kerentanan keamanan dalam layanan IoT secara proaktif.

5. Pemulihan Bencana: menerapkan rencana pemulihan bencana untuk memastikan kontinuitas layanan jika terjadi insiden keamanan atau bencana alam.

Praktik Terbaik Keamanan Aplikasi dan Layanan IoT:

1. Minimalkan Permukaan Serangan: Membatasi jumlah layan-an dan port yang terbuka pada perangkat dan aplikasi IoT.

2. Terapkan Prinsip Least Privilege: memberikan akses mini-mal yang diperlukan kepada pengguna dan perangkat.

3. Pantau Aktivitas: memantau aktivitas jaringan dan aplikasi untuk mendeteksi anomali dan potensi ancaman.

4. Perbarui Perangkat Lunak: memperbarui perangkat lunak aplikasi dan layanan secara teratur dengan patch keamanan terbaru.

5. Latih Pengguna: mendidik pengguna tentang praktik keamanan terbaik dan kesadaran akan ancaman siber.

Keamanan Informasi (Cyber Security)

Dengan mengamankan aplikasi dan layanan IoT, organisasi dapat membangun sistem IoT yang lebih tangguh dan melindungi data sensitif dari akses yang tidak sah dan ancaman siber.

9.10 Solusi Keamanan End-to-End untuk

IoT

Solusi keamanan end-to-end untuk IoT adalah pendekatan holistik yang mencakup semua lapisan ekosistem IoT, mulai dari perangkat hingga aplikasi, untuk melindungi data dan mencegah ancaman siber. Pendekatan ini mengakui bahwa keamanan bukan hanya tanggung jawab satu komponen, tetapi memerlukan integrasi dan koordinasi di seluruh sistem.

Komponen Utama Solusi Keamanan End-to-End:

1. Keamanan Perangkat:

a. Secure Boot: memastikan perangkat hanya menjalankan perangkat lunak tepercaya saat dinyalakan.

b. Secure Firmware Updates: memungkinkan pembaruan firmware yang aman dan mencegah instalasi perangkat lunak yang tidak sah.

c. Enkripsi Data: melindungi data yang disimpan di perangkat dan data yang ditransmisikan.

d. Hardware Security Modules (HSMs): menyimpan dan mengelola kunci kriptografi dengan aman.

e. Physical Tamper Protection: melindungi perangkat dari akses fisik yang tidak sah.

2. Keamanan Jaringan:

a. Protokol Komunikasi yang Aman: menggunakan protokol seperti MQTT dengan TLS/SSL atau HTTPS untuk enkripsi dan autentikasi.

b. Segmentasi Jaringan: memisahkan jaringan IoT dari jaringan lain untuk membatasi dampak pelanggaran.

c. Firewall: memblokir akses yang tidak sah ke perangkat dan jaringan.

d. Intrusion Detection and Prevention Systems (IDPS): mendeteksi dan mencegah aktivitas yang mencurigakan.

e. Virtual Private Networks (VPNs): mengamankan komuni-kasi antara perangkat dan jaringan.

3. Keamanan Aplikasi dan Layanan:

a. Pengembangan Aman: menerapkan praktik pengembangan yang aman untuk mencegah kerentanan.

b. Autentikasi dan Otorisasi: memastikan hanya pengguna yang berwenang yang dapat mengakses aplikasi dan data.

c. API Security: mengamankan API yang digunakan untuk komunikasi.

d. Perlindungan Data: melindungi data sensitif dengan enkripsi dan teknik lainnya.

e. Keamanan Cloud: menerapkan kontrol keamanan cloud yang tepat.

f. Keamanan Database: mengamankan database yang menyimpan data IoT.

4. Manajemen Identitas dan Akses:

a. Memberikan identitas unik kepada setiap perangkat dan pengguna.

b. Mengelola siklus hidup identitas dan izin akses.

172 Keamanan Informasi (Cyber Security)

c. Menggunakan platform IAM untuk manajemen terpusat.

5. Pemantauan dan Analisis Keamanan:

a. Memantau aktivitas jaringan dan perangkat untuk men-deteksi anomali.

b. Menganalisis log keamanan untuk mengidentifikasi potensi ancaman.

c. Menggunakan alat keamanan untuk visualisasi dan analisis data keamanan.

6. Pembaruan dan Perbaikan Keamanan:

a. Memperbarui perangkat lunak perangkat dan aplikasi dengan patch keamanan terbaru.

b. Memantau dan memperbaiki kerentanan keamanan secara proaktif.

c. Menerapkan rencana pemulihan bencana untuk memastikan kontinuitas layanan.

Manfaat Solusi Keamanan End-to-End:

1. Perlindungan Data yang Komprehensif: melindungi data di semua lapisan ekosistem IoT.

2. Pencegahan Ancaman Siber: mencegah berbagai ancaman, termasuk akses tidak sah, malware, dan serangan DoS.

3. Peningkatan Kepercayaan dan Privasi: meningkatkan kepercayaan pengguna dan melindungi privasi mereka.

4. Kepatuhan terhadap Regulasi: membantu organisasi mema-tuhi regulasi keamanan dan privasi data.

5. Peningkatan Ketahanan: membuat sistem IoT lebih tangguh terhadap serangan dan gangguan.

Dengan menerapkan solusi keamanan end-to-end, organisasi dapat membangun sistem IoT yang aman, andal, dan terpercaya.

9.11 Integrasi Keamanan dalam Siklus

Hidup IoT

Integrasi keamanan dalam siklus hidup IoT adalah pendekatan proaktif untuk membangun sistem IoT yang aman dan tangguh. Dengan mempertimbangkan keamanan di setiap tahap, mulai dari desain hingga penonaktifan, organisasi dapat meminimalkan risiko, melindungi data, dan menjaga privasi pengguna.

1. Fase Desain dan Pengembangan

a. Keamanan by Design: membangun keamanan sejak awal proses desain, bukan sebagai tambahan.

b. Analisis Risiko: mengidentifikasi potensi ancaman dan kerentanan sejak dini.

c. Pemilihan Komponen yang Aman: memilih perangkat keras dan perangkat lunak dengan fitur keamanan bawaan.

d. Pengembangan Perangkat Lunak yang Aman: menerapkan praktik pengkodean yang aman dan melakukan pengujian keamanan secara teratur.

e. Autentikasi dan Otorisasi: menerapkan mekanisme untuk mem-verifikasi identitas perangkat dan pengguna, serta mengontrol akses ke data dan fungsi.

f. Enkripsi: melindungi data saat transit dan saat istirahat dengan menggunakan algoritma enkripsi yang kuat.

g. Minimalisasi Permukaan Serangan: membatasi jumlah layanan dan port yang terbuka, dan menonaktifkan fitur yang tidak perlu.

2. Fase Produksi dan Pengujian

a. Pengujian Keamanan: melakukan pengujian keamanan yang komprehensif, termasuk pengujian penetrasi dan analisis keren-tanan.

b. Validasi Keamanan: memastikan bahwa perangkat IoT memenuhi standar keamanan yang relevan dan persyaratan peraturan.

c. Manajemen Konfigurasi: menerapkan konfigurasi keamanan yang tepat pada perangkat IoT dan menjaga agar tetap mutakhir.

d. Kontrol Kualitas: memastikan bahwa proses produksi memenuhi standar kualitas dan keamanan.

3. Fase Penerapan dan Penyebaran

a. Secure Boot: memastikan bahwa perangkat IoT hanya menjalankan perangkat lunak tepercaya saat dinyalakan.

b. Pembaruan Firmware yang Aman: menerapkan mekanisme untuk memperbarui firmware perangkat IoT dengan aman dan efisien.

c. Segmentasi Jaringan: memisahkan jaringan IoT dari jaringan internal lainnya untuk membatasi dampak potensial dari pelang-garan keamanan.

d. Pemantauan Keamanan: memantau jaringan IoT secara terusmenerus untuk mendeteksi aktivitas yang mencurigakan dan merespons insiden keamanan dengan cepat.

e. Keamanan Fisik: melindungi perangkat IoT dari akses fisik yang tidak sah dan kerusakan.

4. Fase Operasi dan Pemeliharaan

a. Manajemen Kerentanan: mengidentifikasi dan memperbaiki ke-rentanan keamanan baru secara proaktif.

b. Analisis Log: menganalisis log keamanan untuk mengidentifikasi tren, anomali, dan potensi ancaman.

c. Penilaian Risiko: menilai risiko keamanan secara berkala dan menyesuaikan strategi keamanan sesuai kebutuhan.

d. Pelatihan Keamanan: memberikan pelatihan kepada pengguna tentang praktik keamanan terbaik dan kesadaran akan ancaman siber.

e. Insiden Response: memiliki rencana untuk menangani insiden keamanan dengan cepat dan efektif.

5. Fase Penonaktifan

a. Penghapusan Data yang Aman: memastikan bahwa data sensitif dihapus secara aman dari perangkat IoT sebelum dinonaktifkan atau dibuang.

b. Pembuangan Perangkat yang Aman: memastikan bahwa perangkat IoT dibuang dengan cara yang bertanggung jawab dan aman untuk mencegah kebocoran data.

Manfaat Integrasi Keamanan:

1. Mengurangi Risiko Keamanan: meminimalkan risiko ancaman siber dan melindungi data sensitif.

2. Meningkatkan Kepercayaan: meningkatkan kepercayaan pengguna dan pelanggan terhadap keamanan sistem IoT.

3. Mematuhi Regulasi: membantu organisasi mematuhi peraturan keamanan dan privasi data.

4. Mengurangi Biaya: mencegah kerugian finansial dan kerusakan reputasi yang disebabkan oleh insiden keamanan.

Dengan mengintegrasikan keamanan ke dalam setiap fase siklus hidup IoT, organisasi dapat membangun sistem yang lebih aman, tangguh, dan terpercaya.

9.12 Studi Kasus: Implementasi Keamanan IoT pada Industri

Latar Belakang

Sebuah perusahaan manufaktur besar ingin meningkatkan efisiensi dan produktivitas dengan menerapkan IoT di pabrik mereka. Mereka berencana untuk menggunakan sensor untuk memantau mesin produksi, meng-umpulkan data real-time, dan melakukan pemeliharaan prediktif. Namun, mereka juga menyadari pentingnya keamanan IoT untuk melindungi data sensitif dan mencegah gangguan operasional.

Tantangan

1. Melindungi data sensitif: Data produksi, termasuk informasi desain produk dan data operasional, harus dilindungi dari akses yang tidak sah.

2. Mencegah gangguan operasional: serangan siber dapat mengganggu proses produksi dan menyebabkan kerugian finansial.

3. Memastikan keamanan perangkat: ribuan sensor dan perangkat IoT yang terhubung harus diamankan dari ancaman siber.

4. Mematuhi regulasi: perusahaan harus mematuhi regulasi keamanan dan privasi data yang relevan.

Solusi

Perusahaan menerapkan solusi keamanan IoT end-to-end yang mencakup:

1. Keamanan Perangkat:

a. Setiap sensor dilengkapi dengan modul platform terpercaya (TPM) untuk penyimpanan kunci enkripsi yang aman.

b. Secure boot diimplementasikan untuk memastikan bahwa hanya firmware tepercaya yang dijalankan.

c. Pembaruan firmware dilakukan secara aman dengan verifikasi tanda tangan digital.

2. Keamanan Jaringan:

a. Jaringan IoT dipisahkan dari jaringan perusahaan lainnya dengan firewall.

b. Komunikasi antara sensor dan platform IoT dienkripsi menggunakan protokol MQTT dengan TLS/SSL.

c. Sistem deteksi intrusi (IDS) diimplementasikan untuk memantau aktivitas jaringan dan mendeteksi anomali.

3. Keamanan Aplikasi dan Layanan:

a. Platform IoT di hosting di lingkungan cloud yang aman dengan kontrol akses yang ketat.

b. Autentikasi multi-faktor digunakan untuk mengakses platform dan data.

c. Data sensitif di enkripsi saat istirahat dan saat transit.

4. Manajemen Identitas dan Akses:

a. Setiap perangkat dan pengguna diberikan identitas unik.

b. Kontrol akses berbasis peran diterapkan untuk membatasi akses ke data dan fungsi.

5. Pemantauan dan Analisis Keamanan:

a. Platform keamanan informasi dan manajemen kejadian (SIEM) digunakan untuk mengumpulkan dan menganalisis log keamanan dari seluruh sistem IoT.

b. Tim keamanan siber memantau aktivitas jaringan dan perangkat secara real-time dan merespons insiden keamanan dengan cepat.

Hasil

Dengan menerapkan solusi keamanan IoT yang komprehensif, perusahaan manufaktur berhasil:

1. Melindungi data sensitif dari akses yang tidak sah dan pencurian.

2. Mencegah gangguan operasional yang disebabkan oleh serangan siber.

3. Meningkatkan efisiensi dan produktivitas dengan meman-faatkan data IoT secara aman.

4. Mematuhi regulasi keamanan dan privasi data.

Bab 10 Pengujian Keamanan dan

Evaluasi

10.1 Vulnerability Assessment dan

Penetration Testing (Pentest)

10.1.1 Vulnerability Assessment

Vulnerability Assessment adalah proses sistematis yang bertujuan untuk mengidentifikasi, mengklasifikasikan, dan memprioritaskan kerentanan dalam sistem informasi, jaringan, dan aplikasi. Proses ini melibatkan pemindaian otomatis menggunakan alat-alat khusus untuk menemukan kelemahan yang diketahui dan memberikan rekomendasi tentang cara memperbaikinya.

Tujuan utama dari Vulnerability Assessment adalah untuk memberikan gambaran menyeluruh tentang kerentanan yang ada sehingga organisasi

180

Keamanan Informasi (Cyber Security)

dapat mengambil langkah-langkah korektif yang diperlukan untuk meningkatkan keamanan (Supriyanto dkk., 2024).

Proses Vulnerability Assessment umumnya melibatkan beberapa tahap, termasuk:

1. Perencanaan: Menentukan ruang lingkup dan tujuan penilaian, serta memilih tools dan teknik yang akan digunakan.

2. Pemindaian: Menggunakan tools pemindai otomatis untuk mengidentifikasi kerentanan dalam sistem dan jaringan. Tools ini akan mencari kelemahan yang diketahui seperti patch software, konfigurasi yang salah, dan celah keamanan lainnya.

3. Analisis: Menganalisis hasil pemindaian untuk mengklasifikasikan dan memprioritaskan kerentanan berdasarkan tingkatannya.

4. Pelaporan: Menyusun laporan yang merinci temuan, termasuk deskripsi kerentanan, dampak potensial, dan rekomendasi perbaikan.

5. Tindak Lanjut: Mengambil tindakan korektif berdasarkan rekomendasi dan melakukan perbaikan untuk memastikan bahwa kerentanan telah diperbaiki.

10.1.2 Penetration Testing

Penetration Testing, atau Pentest, adalah simulasi serangan siber yang dilakukan oleh "ethical hacker" untuk mengidentifikasi dan mengeksploitasi kerentanan dalam sistem, jaringan, atau aplikasi.

Tujuan utama dari Pentest adalah untuk menguji keamanan dari perspektif penyerang dan mengungkap kelemahan yang mungkin tidak terdeteksi oleh pemindaian otomatis. Pentest memberikan wawasan yang lebih mendalam tentang bagaimana kerentanan dapat dimanfaatkan dan dampak potensial dari serangan tersebut (Fachri, 2023).

Proses Pentest biasanya melibatkan beberapa tahap, termasuk:

1. Perencanaan dan Rekonesans: Menentukan ruang lingkup dan tujuan pengujian, serta mengumpulkan informasi tentang target untuk memahami arsitektur dan potensi titik masuk.

2. Pemindaian: Menggunakan tools vulnebirity scan untuk mengidentifikasi titik lemah dan celah keamanan yang dapat dieksploitasi.

3. Eksploitasi: Melakukan serangan untuk mengeksploitasi kerentanan yang ditemukan dan mengakses sistem, data, atau sumber daya lainnya. Ini termasuk teknik seperti serangan brute force, SQL injection, dan pengambilalihan sesion.

4. Post-Exploitation: Mengevaluasi dampak dari eksploitasi dan menentukan sejauh mana penyerang dapat memperoleh akses dan mengendalikan sistem.

5. Pelaporan: Menyusun laporan yang merinci temuan pengujian, termasuk deskripsi serangan, dampak, dan rekomendasi perbaikan.

6. Tindak Lanjut: Membantu organisasi dalam memperbaiki kerentanan yang ditemukan dan melakukan pengujian ulang jika diperlukan.

Vulnerability Assessment dan Penetration Testing menawarkan berbagai manfaat signifikan bagi organisasi. Kedua pendekatan ini membantu mengidentifikasi kerentanan dalam sistem dan jaringan sebelum dapat dimanfaatkan oleh penyerang, sehingga memungkinkan tindakan perbaikan proaktif.

Dengan mengidentifikasi dan memperbaiki kerentanan, organisasi dapat meningkatkan keamanan mereka secara keseluruhan, mengurangi risiko serangan siber yang dapat mengakibatkan kehilangan data, gangguan operasional, dan kerugian finansial.

Informasi (Cyber Security)

10.2 Red Team vs Blue Team Exercises

Dalam dunia keamanan siber, latihan "Red Team" dan "Blue Team" adalah metode yang sering digunakan untuk menguji dan meningkatkan keamanan suatu organisasi. Red Team Exercises melibatkan simulasi serangan dari pihak lawan untuk mengidentifikasi kerentanan dan kelemahan dalam sistem, sementara Blue Team Exercises berfokus pada mekanisme pertahanan proaktif dan strategi mitigasi risiko untuk melindungi dari potensi pelanggaran keamanan (Kotwani dkk., 2023).

Red Team adalah kelompok yang bertugas mensimulasikan serangan terhadap sistem, jaringan, atau organisasi untuk mengidentifikasi kelemahan yang dapat dieksploitasi oleh penyerang sebenarnya. Anggota Red Team biasanya terdiri dari para ahli keamanan siber yang memiliki keahlian khusus dalam teknik penyerangan dan penetrasi (Kraemer dkk., 2004). Tujuan dari latihan Red Team adalah untuk mengekspos kelemahan yang mungkin tidak terlihat dalam audit keamanan reguler.

Metode yang digunakan dapat mencakup:

1. Penetration Testing: Mengidentifikasi dan mengeksploitasi kerentanan dalam sistem.

2. Social Engineering: Menggunakan teknik manipulasi psikologis untuk mendapatkan akses atau informasi.

3. Phishing Attacks: Mensimulasikan serangan phishing untuk menguji kewaspadaan karyawan terhadap email yang mencurigakan.

Blue Team, di sisi lain, adalah kelompok yang bertugas mempertahankan sistem dan jaringan dari serangan (Mirkovic dkk., 2008). Mereka bertanggung jawab untuk memantau, mendeteksi, dan merespons insiden keamanan.

Tugas utama Blue Team meliputi:

1. Monitoring: Memantau aktivitas jaringan dan sistem untuk mendeteksi tanda-tanda serangan.

2. Incident Response: Merespons dan mengelola insiden keamanan untuk meminimalkan dampak.

3. Vulnerability Management: Mengidentifikasi dan memperbaiki kelemahan dalam sistem sebelum dapat dieksploitasi oleh penyerang.

Sementara itu, latihan yang melibatkan Red Team dan Blue Team, yang sering disebut sebagai "Red Team vs Blue Team Exercise" atau "Purple Team Exercise" (jika kedua tim bekerja sama), adalah cara yang efektif untuk menguji dan meningkatkan kesiapan keamanan organisasi (Salamh dkk., 2021).

Beberapa manfaat dari latihan ini adalah:

1. Identifikasi Kelemahan: Latihan ini membantu mengidentifikasi kelemahan yang mungkin tidak ditemukan dalam pengujian rutin.

2. Peningkatan Respons: Blue Team dapat meningkatkan kemampuan respon insiden mereka melalui pengalaman langsung menghadapi serangan yang disimulasikan.

3. Peningkatan Kolaborasi: Dalam latihan Purple Team, kedua tim bekerja sama untuk berbagi wawasan dan strategi, yang dapat meningkatkan keamanan secara keseluruhan.

10.3 Security Audits

Security audits dalam keamanan informasi adalah proses sistematis untuk mengevaluasi dan memastikan bahwa sistem informasi suatu organisasi memenuhi standar keamanan yang telah ditetapkan. Proses ini melibatkan

184

Keamanan Informasi (Cyber Security)

peninjauan kebijakan, prosedur, kontrol, dan sistem teknologi untuk mengidentifikasi kelemahan serta memastikan kepatuhan terhadap regulasi dan standar industri.

Security audits adalah evaluasi menyeluruh terhadap infrastruktur keamanan informasi suatu organisasi dengan tujuan menilai efektivitas kontrol keamanan, mengidentifikasi kerentanan, dan memastikan bahwa praktik keamanan sesuai dengan kebijakan dan standar yang berlaku (Sandy & Solihin, 2021). Security audits mencakup berbagai area, termasuk jaringan, aplikasi, data, dan kebijakan keamanan.

Ada beberapa jenis security audits yang sering dilakukan, yaitu internal audits, external audits, compliance audits, dan vulnerability assessments. Internal audits dilakukan oleh tim internal organisasi dengan fokus pada penilaian kebijakan dan prosedur internal (NIST, 2020). External audits dilakukan oleh auditor eksternal yang independen untuk memberikan perspektif objektif mengenai keamanan sistem.

Compliance audits fokus pada kepatuhan terhadap regulasi dan standar tertentu, seperti GDPR, HIPAA, atau ISO/IEC 27001. Sementara itu, vulnerability assessments melibatkan penilaian teknis terhadap sistem untuk mengidentifikasi kerentanan melalui pemindaian dan pengujian penetrasi.

Proses security audits dimulai dengan perencanaan yang mencakup penetapan tujuan, ruang lingkup, dan metodologi audit, serta identifikasi sumber daya yang diperlukan dan jadwal pelaksanaan. Selanjutnya adalah pengumpulan informasi terkait kebijakan, prosedur, dan konfigurasi sistem, termasuk wawancara dengan staf terkait. Evaluasi dan pengujian dilakukan untuk menilai kontrol keamanan dan mengidentifikasi kerentanan menggunakan alat dan teknik seperti pemindaian kerentanan, pengujian penetrasi, dan analisis log.

Setelah itu, laporan audit disusun yang mencakup temuan, kelemahan yang diidentifikasi, dan rekomendasi perbaikan, yang kemudian disampaikan kepada manajemen untuk tindakan lebih lanjut. Tindak lanjut dilakukan

untuk memantau implementasi rekomendasi perbaikan dan melakukan audit ulang jika diperlukan untuk memastikan perbaikan telah diterapkan secara efektif.

Security audits memiliki banyak manfaat, termasuk membantu organisasi menemukan dan memperbaiki kelemahan dalam sistem keamanan mereka, memastikan kepatuhan terhadap regulasi dan standar industri, meningkatkan perlindungan terhadap data sensitif dan informasi penting, serta meningkatkan kepercayaan pelanggan, mitra bisnis, dan pihak berwenang terhadap keamanan informasi organisasi.

10.4 Dynamic dan Interactive Application Security Testing

10.4.1 Dynamic Application Security Testing (DAST)

Dalam upaya untuk memastikan keamanan aplikasi, Dynamic Application

Security Testing (DAST) dan Interactive Application Security Testing (IAST) adalah dua pendekatan yang digunakan untuk mengidentifikasi dan memperbaiki kerentanan keamanan. Kedua metode ini memainkan peran penting dalam strategi keamanan aplikasi dengan memberikan wawasan yang berbeda tentang kelemahan keamanan aplikasi.

Dynamic Application Security Testing (DAST) adalah metode pengujian keamanan aplikasi yang dilakukan pada aplikasi yang sedang berjalan. DAST bekerja dengan cara mensimulasikan serangan eksternal terhadap aplikasi web untuk mengidentifikasi kerentanan (Seth dkk., 2022). Ini termasuk pengujian black-box, di mana penguji tidak memiliki akses ke kode sumber aplikasi dan berinteraksi dengan aplikasi seperti pengguna eksternal.

186

Keunggulan DAST:

Keamanan Informasi (Cyber Security)

1. Pengujian dari Perspektif Pengguna Eksternal: DAST mengidentifikasi kerentanan yang dapat dieksploitasi oleh penyerang dari luar, memberikan gambaran nyata tentang risiko keamanan.

2. Deteksi Kerentanan Run-Time: DAST menguji aplikasi yang sedang berjalan, sehingga dapat mendeteksi kerentanan yang hanya muncul saat aplikasi beroperasi.

3. Integrasi Mudah dengan CI/CD: Alat DAST dapat diintegrasikan ke dalam pipeline Continuous Integration/Continuous Deployment (CI/CD), memungkinkan pengujian otomatis dan berkelanjutan.

Keterbatasan DAST:

1. Tidak Mengidentifikasi Kerentanan Kode Sumber: DAST tidak menganalisis kode sumber, sehingga tidak dapat menemukan kerentanan yang tidak muncul dalam aplikasi yang berjalan.

2. False Positives/Negatives: DAST dapat menghasilkan false positives (alarm palsu) dan false negatives (kerentanan yang tidak terdeteksi).

Beberapa alat DAST yang populer termasuk OWASP ZAP, Burp Suite, dan Acunetix.

10.4.2 Interactive Application Security Testing (IAST)

Interactive Application Security Testing (IAST) adalah metode pengujian keamanan yang menggabungkan elemen dari Static Application Security Testing (SAST) dan DAST. IAST bekerja dengan menginstrumen aplikasi selama pengujian run-time, memberikan analisis yang lebih mendalam tentang kode sumber dan perilaku aplikasi (Seth dkk., 2022).

Keunggulan IAST:

1. Kombinasi Analisis Statis dan Dinamis: IAST menawarkan wawasan yang lebih komprehensif dengan menggabungkan analisis kode sumber (SAST) dan pengujian aplikasi yang berjalan (DAST).

2. Deteksi Kerentanan yang Lebih Akurat: Dengan informasi runtime dan kode sumber, IAST dapat mengidentifikasi kerentanan dengan akurasi yang lebih tinggi dan mengurangi false positives/negatives.

3. Integrasi ke dalam Pengembangan: IAST dapat diintegrasikan langsung ke dalam lingkungan pengembangan, memungkinkan pengujian keamanan berkelanjutan selama proses pengembangan.

Keterbatasan IAST:

1. Ketergantungan pada Instrumen: IAST memerlukan instrumen pada aplikasi, yang dapat menambah kompleksitas dalam pengaturan dan pemeliharaan.

2. Biaya dan Sumber Daya: Implementasi IAST mungkin memerlukan biaya dan sumber daya tambahan dibandingkan dengan DAST atau SAST.

Beberapa tools IAST yang dikenal meliputi Contrast Security, Veracode IAST, dan IBM Security AppScan. Kedua metode ini memiliki keunggulan dan keterbatasan masing-masing. DAST cocok untuk pengujian dari perspektif pengguna eksternal dan dapat dengan mudah diintegrasikan ke dalam pipeline CI/CD. IAST, di sisi lain, menawarkan analisis yang lebih mendalam dengan menggabungkan informasi run-time dan kode sumber, sehingga memberikan deteksi kerentanan yang lebih akurat.

Menggunakan kombinasi DAST dan IAST dapat memberikan pendekatan yang lebih komprehensif terhadap keamanan aplikasi. DAST dapat

188 Keamanan Informasi (Cyber Security)

digunakan untuk pengujian eksternal rutin, sementara IAST dapat memberikan analisis mendalam selama pengembangan dan pengujian integrasi.

10.5 Threat Modeling dan Risk Assessment

Dalam upaya menjaga keamanan informasi dan infrastruktur teknologi, threat modeling dan risk assessment adalah dua pendekatan kritis yang membantu organisasi mengidentifikasi, menganalisis, dan mengelola potensi ancaman serta risiko. Kedua pendekatan ini memainkan peran penting dalam strategi keamanan siber dengan memberikan pandangan yang mendalam tentang potensi ancaman dan cara-cara untuk mengurangi risiko.

Threat modeling adalah proses sistematis untuk mengidentifikasi dan memprioritaskan potensi ancaman terhadap sistem atau aplikasi. Tujuannya adalah untuk memahami bagaimana ancaman tersebut dapat dieksploitasi dan apa dampaknya terhadap sistem (Orjatsalo, 2022). Threat modeling membantu organisasi memahami titik-titik lemah dalam desain dan implementasi sistem sehingga dapat mengambil langkah-langkah mitigasi yang tepat.

Secara umum makan proses Threat Modeling dapat dilakukan dengan:

1. Identifikasi Aset: Menentukan apa yang perlu dilindungi, seperti data sensitif, sistem kritis, dan informasi pribadi.

2. Identifikasi Ancaman: Mengidentifikasi potensi ancaman yang dapat memengaruhi aset, termasuk ancaman internal dan eksternal.

3. Penilaian Kerentanan: Menentukan kelemahan yang dapat dieksploitasi oleh ancaman.

4. Penentuan Dampak: Menilai potensi dampak dari ancaman yang berhasil dieksploitasi.

5. Mitigasi: Mengembangkan dan menerapkan strategi untuk mengurangi risiko dari ancaman yang diidentifikasi.

Selain itu, keuntungan Threat Modeling dapat dilihat dalam beberapa cara:

1. Pemahaman Mendalam tentang Risiko: Membantu organisasi memahami potensi ancaman dan bagaimana mereka dapat dieksploitasi.

2. Peningkatan Desain Keamanan: Mengidentifikasi titik lemah dalam desain sistem dan memberikan panduan untuk perbaikan.

3. Penghematan Biaya: Mengurangi biaya mitigasi dengan mengidentifikasi dan memperbaiki masalah sejak dini.

Beberapa metode threat modeling yang populer meliputi STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege), DREAD (Damage Potential, Reproducibility, Exploitability, Affected Users, Discoverability), dan PASTA (Process for Attack Simulation and Threat Analysis).

Sementara itu, risk assessment adalah proses untuk mengidentifikasi, menganalisis, dan mengevaluasi risiko yang dihadapi oleh organisasi.

Tujuannya adalah untuk menentukan tingkat risiko yang dapat diterima dan mengembangkan strategi untuk mengelola risiko tersebut. Risk assessment membantu organisasi memahami potensi dampak dari risiko dan mengambil langkah-langkah yang diperlukan untuk mengurangi atau mengelola risiko tersebut (Mahendra & Soewito, 2023).

Secara umum maka proses Risk Assessment antara lain:

1. Identifikasi Risiko: Mengidentifikasi potensi risiko yang dapat memengaruhi organisasi, termasuk risiko operasional, finansial, dan reputasi.

2. Analisis Risiko: Menilai kemungkinan dan dampak dari setiap risiko yang diidentifikasi.

3. Evaluasi Risiko: Menentukan tingkat risiko yang dapat diterima dan memprioritaskan risiko berdasarkan analisis.

4. Mitigasi Risiko: Mengembangkan dan menerapkan strategi untuk mengurangi atau mengelola risiko.

5. Pemantauan dan Review: Memantau risiko secara terus-menerus dan meninjau strategi mitigasi untuk memastikan efektivitasnya.

Keuntungan Risk Assessment:

1. Identifikasi Risiko yang Komprehensif: Memberikan gambaran lengkap tentang risiko yang dihadapi oleh organisasi.

2. Pengambilan Keputusan yang Informed: Membantu manajemen membuat keputusan berdasarkan pemahaman yang jelas tentang risiko.

3. Peningkatan Keamanan dan Kepatuhan: Memastikan bahwa risiko dikelola dengan baik dan sesuai dengan regulasi serta standar industri.

Meskipun threat modeling dan risk assessment memiliki fokus yang berbeda, keduanya saling melengkapi dalam strategi keamanan siber. Threat modeling fokus pada identifikasi dan mitigasi ancaman terhadap sistem atau aplikasi tertentu, sementara risk assessment memberikan pandangan yang lebih luas tentang berbagai jenis risiko yang dihadapi oleh organisasi.

Menggabungkan kedua pendekatan ini memungkinkan organisasi untuk mengidentifikasi ancaman dan risiko secara lebih komprehensif dan mengambil langkah-langkah yang tepat untuk mengelolanya.

10.6 Security Information and Event Management (SIEM)

Security Information and Event Management (SIEM) adalah pendekatan integral dalam keamanan siber yang menggabungkan dua fungsi utama: manajemen informasi keamanan (Security Information ManagementSIM) dan manajemen acara keamanan (Security Event ManagementSEM). SIEM bertujuan untuk memberikan pandangan menyeluruh tentang keamanan jaringan dengan mengumpulkan, menganalisis, dan mengkorelasikan data dari berbagai sumber untuk mendeteksi, mengidentifikasi, dan merespons ancaman keamanan siber secara real-time (González-Granadillo dkk., 2021).

Sementara itu ada beberapa fungsi Utama SIEM antara lain:

1. Pengumpulan Log dan Data: SIEM mengumpulkan data log dari berbagai sumber, seperti firewall, sistem deteksi intrusi, server, aplikasi, dan perangkat jaringan. Data ini mencakup informasi tentang aktivitas pengguna, akses jaringan, dan transaksi aplikasi.

2. Korelasi dan Analisis: SIEM menggunakan algoritma canggih untuk menganalisis data yang dikumpulkan dan mengkorelasikan peristiwa keamanan untuk mengidentifikasi pola yang mencurigakan atau anomali yang menunjukkan potensi ancaman.

3. Deteksi Ancaman: Dengan analisis korelasi dan penerapan aturan deteksi ancaman, SIEM dapat mendeteksi insiden keamanan yang mungkin terlewatkan oleh sistem keamanan tradisional. Ini termasuk deteksi serangan malware, peretasan, dan aktivitas mencurigakan lainnya.

4. Manajemen Insiden: SIEM memungkinkan tim keamanan untuk merespons insiden dengan cepat melalui notifikasi real-time dan pembuatan tiket insiden otomatis. Alat SIEM juga menyediakan

Keamanan Informasi (Cyber Security)

alat untuk analisis forensik yang mendalam untuk mengidentifikasi penyebab utama dan dampak insiden.

5. Pelaporan dan Kepatuhan: SIEM menghasilkan laporan yang dapat disesuaikan untuk kebutuhan kepatuhan regulasi, seperti GDPR, HIPAA, dan PCI DSS. Laporan ini membantu organisasi mendokumentasikan dan membuktikan bahwa mereka telah mengambil langkah-langkah yang diperlukan untuk melindungi data dan infrastruktur mereka.

Tantangan dalam Implementasi SIEM:

1. Kompleksitas dan Biaya: Implementasi SIEM bisa sangat kompleks dan mahal, memerlukan investasi signifikan dalam perangkat lunak, perangkat keras, dan pelatihan staf.

2. Pemeliharaan Berkelanjutan: SIEM memerlukan pemeliharaan dan pengaturan berkelanjutan untuk memastikan bahwa sistem tetap efektif dalam mendeteksi ancaman baru dan yang berkembang.

3. False Positives: Sistem SIEM dapat menghasilkan sejumlah besar false positives, yang dapat mengarah pada kewaspadaan yang salah dan mengurangi efisiensi tim keamanan.

Gartner adalah salah satu sumber terpercaya yang sering digunakan untuk mengevaluasi alat SIEM terbaik di pasar.

Menurut laporan terbaru dari Gartner Magic Quadrant untuk SIEM (Gartner, 2024), beberapa alat SIEM yang menonjol adalah:

1. Splunk: Terkenal karena kemampuannya dalam analisis data besar dan visibilitas mendalam terhadap ancaman.

2. IBM QRadar: Dikenal karena analisis cerdas dan integrasi yang kuat dengan berbagai alat keamanan.

3. LogRhythm: Menawarkan deteksi ancaman yang cepat dan respons insiden yang efisien.

4. Microsoft Azure Sentinel: SIEM berbasis cloud yang menawarkan skalabilitas tinggi dan integrasi dengan ekosistem Microsoft.

5. Securonix: Menggunakan analisis perilaku dan pembelajaran mesin untuk mendeteksi ancaman dengan lebih akurat.

10.7 Phishing Simulation

Simulasi phishing adalah proses dimana perusahaan secara sengaja mengirimkan email phishing yang dirancang untuk menguji kemampuan karyawan dalam mengenali dan merespons ancaman phishing. Tujuan utamanya adalah untuk mendidik dan melatih karyawan agar lebih waspada terhadap upaya phishing yang sesungguhnya (McElwee dkk., 2018).

Pada dasarnya, pentingnya Simulasi Phishing dapat dilakukan dengan:

1. Meningkatkan Kesadaran Karyawan: Simulasi ini membantu meningkatkan kesadaran karyawan tentang ancaman phishing dan pentingnya menjaga keamanan informasi.

2. Mengidentifikasi Kelemahan: Dengan melakukan simulasi, perusahaan dapat mengidentifikasi karyawan atau departemen yang mungkin memerlukan pelatihan tambahan.

3. Mengurangi Risiko: Karyawan yang terlatih lebih baik dalam mengenali dan menghindari phishing akan mengurangi risiko pelanggaran data dan kerugian finansial.

Untuk melaksanakan simulasi phishing yang efektif, perusahaan perlu melalui beberapa tahapan penting (CISA, 2023). Pertama-tama, perencanaan dan persiapan Perusahaan harus menentukan tujuan simulasi dan metrik keberhasilan yang jelas. Selain itu, mereka harus memilih atau

194

Keamanan Informasi (Cyber Security)

merancang skenario phishing yang realistis dan relevan dengan lingkungan kerja mereka.

Persetujuan dari manajemen dan kepatuhan terhadap peraturan privasi juga sangat penting dalam tahap ini. Setelah persiapan selesai, tahap berikutnya adalah pelaksanaan simulasi. Email phishing yang telah dirancang harus dikirimkan ke sekelompok karyawan atau seluruh organisasi. Email tersebut harus mencakup elemen-elemen yang sering digunakan dalam serangan phishing nyata, seperti tautan berbahaya atau lampiran mencurigakan. Penting untuk memastikan bahwa email tersebut tampak meyakinkan tetapi tetap mematuhi etika dan aturan yang berlaku.

Setelah simulasi dilaksanakan, evaluasi dan tindak lanjut menjadi tahap yang krusial. Hasil simulasi harus dianalisis untuk melihat berapa banyak karyawan yang terjebak oleh email phishing. Dari analisis ini, perusahaan dapat memberikan umpan balik kepada karyawan dan melakukan sesi pelatihan untuk memperbaiki kelemahan yang teridentifikasi. Pengulangan simulasi secara berkala juga penting untuk memastikan adanya peningkatan dan menjaga kewaspadaan karyawan terhadap ancaman phishing.

10.8 Endpoint Security Testing

Endpoint security testing adalah proses pengujian yang bertujuan untuk mengevaluasi efektivitas langkah-langkah keamanan yang diterapkan pada perangkat endpoint. Proses ini melibatkan identifikasi, analisis, dan mitigasi kerentanan yang dapat dimanfaatkan oleh penyerang untuk mengakses atau merusak sistem endpoint (Kamruzzaman dkk., 2022). Pengujian ini penting untuk memastikan bahwa perangkat endpoint mampu menahan serangan siber dan melindungi data sensitif yang disimpan atau diproses oleh perangkat tersebut.

Secara sederhana, pentingnya Endpoint Security Testing dapat dirumuskan antara lain:

1. Mengidentifikasi Kerentanan: Pengujian keamanan endpoint membantu dalam mengidentifikasi kerentanan yang mungkin ada dalam perangkat endpoint sebelum dapat dimanfaatkan oleh penyerang. Ini memungkinkan organisasi untuk mengambil tindakan korektif sebelum terjadi insiden keamanan.

2. Memastikan Kepatuhan: Banyak industri memiliki standar dan regulasi yang mengharuskan organisasi untuk melakukan pengujian keamanan secara berkala. Endpoint security testing membantu organisasi memenuhi persyaratan kepatuhan tersebut.

3. Mengurangi Risiko: Dengan mengidentifikasi dan memperbaiki kerentanan, organisasi dapat mengurangi risiko serangan siber yang dapat mengakibatkan kehilangan data, gangguan operasional, dan kerugian finansial.

4. Meningkatkan Kepercayaan: Pengujian keamanan yang efektif meningkatkan kepercayaan pelanggan dan mitra bisnis terhadap kemampuan organisasi dalam melindungi data dan sistem mereka.

Metode Pengujian Keamanan Endpoint dapat dilakukan dengan:

1. Penetration Testing (Pen Testing): Melibatkan simulasi serangan siber untuk mengidentifikasi dan mengeksploitasi kerentanan dalam sistem endpoint. Tujuannya adalah untuk mengevaluasi sejauh mana sistem dapat bertahan terhadap serangan nyata.

2. Vulnerability Scanning: Metode ini menggunakan alat pemindaian otomatis untuk mendeteksi kerentanan yang diketahui dalam perangkat endpoint. Hasil pemindaian kemudian dianalisis untuk menentukan risiko dan prioritas tindakan perbaikan.

Informasi (Cyber Security)

3. Configuration Review: Tinjauan konfigurasi melibatkan pemeriksaan pengaturan keamanan pada perangkat endpoint untuk memastikan bahwa konfigurasi tersebut sesuai dengan kebijakan keamanan dan praktik terbaik.

4. Endpoint Detection and Response (EDR) Testing: Pengujian EDR fokus pada kemampuan solusi EDR dalam mendeteksi, menganalisis, dan merespons ancaman keamanan. Ini mencakup pengujian fitur seperti deteksi malware, analisis perilaku, dan respons insiden.

5. Security Policy Testing: Menguji kebijakan keamanan yang diterapkan pada perangkat endpoint untuk memastikan bahwa kebijakan tersebut efektif dalam melindungi sistem dari ancaman siber.

Pengujian keamanan endpoint memberikan berbagai manfaat signifikan bagi organisasi. Dengan mengidentifikasi dan memperbaiki kerentanan, pengujian ini membantu meningkatkan posture keamanan secara keseluruhan, sehingga perangkat endpoint lebih mampu menahan serangan siber.

Pengujian ini memungkinkan organisasi untuk mengadopsi pendekatan proaktif dalam manajemen risiko keamanan. Daripada hanya merespons insiden setelah terjadi, organisasi dapat mengelola risiko secara efektif dengan mengetahui potensi kerentanan sejak dini. Melalui pengujian yang efektif, organisasi dapat meningkatkan efisiensi operasional.

10.9 Zero Trust Security Testing

Dalam lanskap ancaman siber yang semakin kompleks, konsep Zero Trust Security semakin populer sebagai pendekatan keamanan yang proaktif. Zero Trust Security berfokus pada prinsip bahwa tidak ada pengguna atau

perangkat yang dipercaya secara otomatis, baik yang berada di dalam maupun di luar jaringan organisasi.

Pendekatan ini menekankan verifikasi terus-menerus, kontrol akses granular, dan segmentasi jaringan untuk meminimalkan risiko keamanan.

Pengujian keamanan Zero Trust menjadi krusial untuk memastikan bahwa implementasi Zero Trust berjalan efektif dan dapat menahan berbagai ancaman siber (Papakonstantinou dkk., 2021).

Pengujian keamanan Zero Trust mencakup berbagai metode untuk mengevaluasi efektivitas kontrol keamanan yang diterapkan dalam model Zero Trust. Salah satu metode utama adalah penetration testing, yang melibatkan simulasi serangan untuk mengidentifikasi kerentanan dalam sistem dan jaringan yang seharusnya tidak mempercayai siapa pun secara default. Metode ini membantu menemukan celah yang mungkin tidak terdeteksi oleh pemindaian kerentanan biasa.

Selain itu, pengujian juga melibatkan tinjauan konfigurasi untuk memastikan bahwa setiap perangkat dan pengguna diverifikasi dan diautentikasi secara tepat sesuai dengan kebijakan Zero Trust. Manfaat utama dari pengujian keamanan Zero Trust adalah peningkatan keamanan yang signifikan (Dumitru, 2022). Dengan memastikan bahwa semua akses diverifikasi dan dikendalikan dengan ketat, organisasi dapat mengurangi risiko serangan dari ancaman internal dan eksternal.

Pengujian ini juga membantu dalam mengidentifikasi potensi kerentanan sebelum dapat dieksploitasi oleh penyerang. Dengan mengetahui dan memperbaiki kelemahan ini, organisasi dapat meningkatkan posture keamanan mereka secara keseluruhan dan mengurangi kemungkinan terjadinya insiden keamanan yang merugikan.

Selain itu, pengujian keamanan Zero Trust membantu organisasi dalam mematuhi berbagai regulasi dan standar keamanan yang semakin ketat. Banyak industri, termasuk sektor keuangan dan kesehatan, mengharuskan implementasi kontrol keamanan yang ketat untuk melindungi data sensitif. Dengan melakukan pengujian secara berkala, organisasi dapat memastikan

Keamanan Informasi (Cyber Security)

bahwa mereka memenuhi persyaratan kepatuhan ini dan menghindari potensi denda dan kerugian reputasi.

Kepatuhan yang baik juga meningkatkan kepercayaan dari pelanggan dan mitra bisnis terhadap kemampuan organisasi dalam menjaga keamanan data. Pengujian ini juga berkontribusi pada efisiensi operasional. Dengan mengidentifikasi dan memperbaiki kerentanan, organisasi dapat mengurangi frekuensi dan dampak insiden keamanan, yang pada gilirannya mengurangi gangguan operasional dan biaya yang terkait dengan pemulihan dari serangan.

Pengujian keamanan yang konsisten dan komprehensif membantu organisasi menjaga kelangsungan bisnis dan fokus pada pertumbuhan tanpa khawatir tentang ancaman keamanan yang mungkin mengganggu operasional mereka.

10.10 Incident Response Testing

Incident Response Testing adalah komponen vital dalam strategi keamanan siber organisasi. Tujuan utama dari pengujian ini adalah untuk memastikan bahwa tim tanggap insiden siap dan mampu menangani berbagai jenis ancaman siber dengan efisien dan efektif (Wlosinski, 2022).

Pengujian ini juga membantu mengidentifikasi kelemahan dalam rencana tanggap insiden dan memberikan kesempatan untuk memperbaikinya sebelum terjadi insiden nyata. Dengan melakukan pengujian secara berkala, organisasi dapat meningkatkan kesiapan mereka dan memastikan bahwa semua anggota tim memahami peran dan tanggung jawab mereka selama insiden (Scarfone dkk., 2008).

Ada beberapa metode yang dapat digunakan untuk melakukan pengujian tanggap insiden:

1. Tabletop Exercises: Ini adalah diskusi yang dipandu di mana anggota tim tanggap insiden berkumpul untuk membahas respons

mereka terhadap skenario insiden hipotetis. Tabletop exercises membantu tim untuk memahami rencana tanggap insiden dan mengidentifikasi area yang memerlukan perbaikan.

2. Simulasi atau War Gaming: Metode ini melibatkan simulasi insiden keamanan nyata dalam lingkungan yang terkendali. Tim tanggap insiden harus merespons simulasi tersebut seolah-olah itu adalah insiden nyata. Simulasi ini memberikan gambaran yang lebih realistis tentang kesiapan tim dan kemampuan mereka dalam menangani insiden.

3. Penetration Testing: Penetration testing dapat digunakan untuk mensimulasikan serangan nyata terhadap sistem organisasi. Ini membantu mengidentifikasi kelemahan yang dapat dimanfaatkan oleh penyerang dan menguji efektivitas respons terhadap insiden tersebut.

4. Full-Scale Exercises: Ini adalah pengujian tanggap insiden yang komprehensif di mana semua aspek rencana tanggap insiden diuji. Full-scale exercises melibatkan banyak tim dan departemen, dan memberikan gambaran menyeluruh tentang kesiapan organisasi.

Pengujian tanggap insiden memberikan berbagai manfaat bagi organisasi. Pertama, pengujian ini membantu meningkatkan kesadaran dan pemahaman tim tentang rencana tanggap insiden dan peran mereka selama insiden. Ini penting untuk memastikan bahwa respons terhadap insiden cepat dan terkoordinasi.

Kedua, pengujian ini membantu mengidentifikasi kelemahan dalam rencana tanggap insiden dan memberikan kesempatan untuk memperbaikinya sebelum terjadi insiden nyata. Ketiga, pengujian ini meningkatkan kepercayaan diri tim dalam menangani insiden, sehingga mereka lebih siap dan tanggap ketika menghadapi situasi sebenarnya. Meskipun manfaatnya banyak, pengujian tanggap insiden juga menghadapi beberapa tantangan.

200

Keamanan Informasi (Cyber Security)

Salah satu tantangan utama adalah memastikan bahwa pengujian tersebut realistis dan mencerminkan skenario ancaman yang mungkin dihadapi oleh organisasi. Selain itu, pengujian harus dilakukan secara berkala dan diperbarui sesuai dengan perubahan dalam lingkungan ancaman dan infrastruktur organisasi. Tantangan lainnya adalah memastikan keterlibatan dan dukungan dari seluruh tim dan departemen yang relevan karena tanggap insiden yang efektif memerlukan kolaborasi yang baik di seluruh organisasi.

10.11 Code Review dan Analisis Statik

Code review dan analisis statis adalah dua pendekatan penting yang digunakan untuk memastikan bahwa kode perangkat lunak bebas dari kerentanan dan aman dari ancaman siber. Kedua metode ini memiliki tujuan yang sama, yaitu untuk meningkatkan kualitas dan keamanan kode, tetapi mereka melakukannya dengan cara yang berbeda dan sering saling melengkapi (Keary, 2017).

Beberapa manfaat utama dari code review dapat meliputi:

1. Identifikasi Kesalahan Awal: Kesalahan dapat ditemukan dan diperbaiki sebelum kode diintegrasikan ke dalam basis kode utama, mengurangi biaya perbaikan di kemudian hari.

2. Peningkatan Kualitas Kode: Dengan melibatkan beberapa orang dalam proses pemeriksaan, kualitas kode dapat ditingkatkan melalui saran dan umpan balik konstruktif.

3. Pembelajaran dan Kolaborasi: Code review adalah kesempatan bagi pengembang untuk belajar dari satu sama lain dan berbagi pengetahuan tentang praktik terbaik dan standar kode.

4. Ada beberapa pendekatan untuk code review, termasuk pair programming, over-the-shoulder reviews, dan tool-assisted reviews menggunakan platform seperti GitHub atau GitLab.

Analisis statis adalah proses otomatis yang menggunakan alat perangkat lunak untuk menganalisis kode sumber tanpa menjalankannya. Alat analisis statis memindai kode untuk menemukan kerentanan, kesalahan sintaks, dan pelanggaran terhadap standar kode (Amankwah dkk., 2018).

Beberapa manfaat utama dari analisis statis meliputi:

1. Deteksi Kerentanan Otomatis: Alat analisis statis dapat menemukan kerentanan umum seperti buffer overflow, SQL injection, dan cross-site scripting.

2. Konsistensi: Alat ini dapat memastikan bahwa semua kode mematuhi standar dan konvensi yang telah ditentukan, membantu menjaga konsistensi dalam kode.

3. Penghematan Waktu: Karena proses ini otomatis, analisis statis dapat memindai kode dengan cepat dan efisien, memungkinkan pengembang fokus pada tugas lain yang lebih kompleks.

Beberapa alat analisis statis yang populer termasuk SonarQube, Fortify Static Code Analyzer, dan Coverity. Alat ini menyediakan laporan mendetail tentang potensi masalah dalam kode dan seringkali terintegrasi dengan alur kerja pengembangan untuk pemindaian berkelanjutan.

Meskipun code review dan analisis statis memiliki keunggulan masingmasing, kombinasi keduanya dapat memberikan pendekatan yang lebih komprehensif untuk mengamankan kode. Code review manual dapat menangkap konteks dan nuansa yang mungkin terlewatkan oleh alat analisis statis, sementara analisis statis dapat secara efisien memindai kode besar dan menemukan kerentanan umum dengan cepat. Dengan menggabungkan kedua metode ini, organisasi dapat meningkatkan efektivitas pengujian keamanan kode mereka.

Daftar Pustaka

Adrianto, M., Widodo, G.P. and Puspitasari, I. (2024) ‘KEAMANAN EKSTRAK DAUN SIRIH MERAH PADA LAMBUNG TIKUS PUTIH WISTAR SEBAGAI TERAPI ANTIINFLAMASI’, SENTRI: Jurnal Riset Ilmiah, 3(1). Available at: https://doi.org/10.55681/sentri.v3i1.2052.

Al-Fuqaha, A., Guizani, M., Mohammadi, M., Aledhari, M., & Ayyash, M. (2015). Internet of things: A survey on enabling technologies, protocols, and applications. IEEE Communications Surveys & Tutorials, 17(4), 2347-2376. https://doi.org/10.1109/COMST.2015.2444095

Amankwah, R., Kwaku, P., Korkor, B., Mensah, K., Brew, B., & Yeboah, S. (2018). A Theoretical Framework for Software Vulnerability Detection based on Cascaded Refinement Network. International Journal of Computer Applications, 182(25), 12–15.

Amin, R., Islam, S. H., Biswas, G., Khan, M. K., & Kumar, N. (2019). Blockchain technology for security and privacy in the internet of things. In Blockchain for cyber-physical systems (pp. 251-283). Springer, Cham.

Anderson, R. (2020). Security Engineering: A Guide to Building Dependable Distributed Systems (3rd Edition). Wiley. ISBN 978-1119642954

Anderson, T. (2020). Challenges of Cloud Security and Data Protection. McGraw Hill.

204

Keamanan Informasi (Cyber Security)

Anderson, T. (2020). Data Encryption Techniques for Modern Security. McGraw Hill.

Anderson, T. (2020). The Fundamentals of Cybersecurity. McGraw Hill.

Anderson, T., & Li, Z. (2023). Behavioral biometrics and its application in cybersecurity. Cybersecurity Journal, 45(2), 132-145.

Anderson, T., & White, Z. (2022). Role-based and attribute-based access control models in enterprise environments. Journal of Cybersecurity Research, 34(1), 45-60.

Andress, J. (2014). The Basics of Information Security: Understanding the Fundamentals of InfoSec in Theory and Practice (2nd ed.). Syngress.

Anti-Phishing Working Group (APWG). (2020). Phishing Activity Trends Report. https://apwg.org

Ariza Hasibuan, C. et al. (2024) ‘Kebijakan Produk Standarisasi Internasional: Analisis Pada Kualitas dan Keselamatan Produk Pada Kentucky Fried Chicken (KFC)’, Jurnal Minfo Polgan, 12(2). Available at: https://doi.org/10.33395/jmp.v12i2.13372.

Ashari, I. F. et al. (2024) Dasar-dasar Keamanan Informasi. Yayasan Kita Menulis.

Ashari, I. F., & Praseptiawan, M. (2024). Analysis and Implementation of Blowfish and LSB Algorithm on RGB Images using SHA-512. Computer Engineering and Applications Journal, 13(1), 53–73. https://doi.org/10.18495/comengapp.v13i1.450

Ashari, I. F., Nugroho, E. D., Andrianto, D. D., Yusuf, M. A. N. M., & Alkarkhi, M. (2024). The Evaluation of LSB Steganography on Image File Using 3DES and MD5 Key. JITCE (Journal of Information Technology and Computer Engineering), 8(1), 8–18. https://doi.org/10.25077/jitce.8.1.8-18.2024

Ashari, I. F., Putri, E. E., Sasongko, D., Suardinata, & Simarmata, J. (2020). Dasar-dasar Keamanan Informasi. In Journal GEEJ (Vol. 7, Issue 2).

Bayu Megantoro, R. et al. (2024) ‘SMART HOME: KENDALI LAMPU RUMAH DAN CCTV BERBASIS ANDROID-WIFI’, JATI (Jurnal Mahasiswa Teknik Informatika), 7(6). Available at: https://doi.org/10.36040/jati.v7i6.7842.

BBC News. (2017). "WannaCry ransomware attack: What you need to know." https://www.bbc.com/news/technology-39920141

BBC News. (2021). "Colonial Pipeline paid hackers nearly $5 million." https://www.bbc.com/news/technology-57020282).

Bertino, E., & Islam, N. (2017). Botnets and internet of things security. Computer, 50(2), 76-82.

Bertino, E., & Sandhu, R. (2005). Database Security Concepts, Approaches, and Challenges. IEEE Transactions on Dependable and Secure Computing, 2(1), 2–19. https://doi.org/10.1109/TDSC.2005.9

Bishop, M. (2019). Computer Security: Art and Science (2nd ed.). AddisonWesley.

Brenner, S. W. (2020). Cybercrime: Criminal Threats from Cyberspace. 2nd ed. Santa Barbara, CA: Praeger.

Broadhurst, R., and Chang, L. Y. C. (2020). Cybercrime in Asia: Trends and Challenges. Singapore: Springer.

Brown, A. (2019). Corporate Data Security Essentials. Pearson.

Brown, A. (2020). Accountability in Data Security: An Ethical Perspective. Pearson.

Brown, A. (2020). Cloud Security Essentials. Pearson.

Brown, A. (2020). Quantum Encryption and the Future of Data Security. Pearson.

Brown, A., & Harris, R. (2019). Human Factor in Data Security: Addressing Awareness Gaps. Pearson.

206

Keamanan Informasi (Cyber Security)

Brown, A., & Harris, R. (2019). Privacy and Data Security Laws Around the World. Pearson.

Brown, A., & Miller, R. (2021). Access Control and Authentication in Cybersecurity. Pearson.

Brown, T. (2021). The Cost of Undetected Threats in Cybersecurity. International Journal of Information Management, 59, 102345

Cahyono, R.E. et al. (2024) ‘Rancang Bangun Prototipe Smart Control System Sebagai Pengendali Debit Air Berbasis Computer Control’, Jurnal Rekayasa Sistem Informasi dan Teknologi, 1(3). Available at: https://doi.org/10.59407/jrsit.v1i3.515.

Castiglione, A., Francese, R., & Tedesco, A. (2018). Internet of Things: Technologies and Applications for a New Smart World. Springer. ISBN 978-3319950567

Center for Internet Security. (2021). “CIS Controls”. [https://www.cisecurity.org/controls/cis-controlslist/](https://www.google.com/url?sa=E&source=gmail&q=https://w ww.cisecurity.org/controls/cis-controls-list/)

Chen, Y., Zhang, H., & Liu, P. (2023). Continuous authentication in the age of AI. Journal of Security Engineering, 14(1), 56-74.

Chen, Y., Zhang, L., & Lee, H. (2023). Advanced access control mechanisms for cloud computing. Journal of Cloud Security, 12(3), 78-92.

Christanto, F.W. and Aji, D.S. (2024) ‘Analisa dan Perbandingan QoS Jaringan Internet dengan Metode PPPoE, PPTP, dan L2TP pada Implementasi Hotspot RT/RW Net’, MULTINETICS, 9(2). Available at: https://doi.org/10.32722/multinetics.v9i2.6261.

CISA. (2021). Cybersecurity and Infrastructure Security Agency. https://www.cisa.gov

CISA. (2021). Cybersecurity for Small Business.

CISA. (2023). Phishing guidance: stopping the attack cycle at phase one.

Daftar Pustaka

Clarke, D. (2021). Quantitative vs Qualitative Risk Analysis for Cybersecurity. *Security Analysis Journal*, 16(3), 98-112.

Clough, J. (2021). Principles of Cybercrime. 2nd ed. Cambridge: Cambridge University Press.

CyberEdge Group. (2021). "Cyberthreat Defense Report." [Online] Tersedia di: [CyberEdge Group](https://www.cyberedgegroup.com/research).

Cybersecurity & Infrastructure Security Agency (CISA). (2021). Ransomware Awareness. https://www.cisa.gov.

Cybersecurity Insiders. (2020). 2020 Cybersecurity AI Report. https://cybersecurity-insiders.com

Cybersecurity Ventures. (2021). Cybercrime to Cost the World $10.5 Trillion Annually by 2025.

De Haes, S., Van Grembergen, W., & Debreceny, R. (2021). COBIT 2019: Evolution and implications for future research and practice. Journal of Information Systems, 35(1), 49-62. https://doi.org/10.2308/JIS19020

Deloitte. (2021). "The Value of Cybersecurity." https://www2.deloitte.com/us/en/insights/industry/financialservices/cyber-risk.html

Djenouri, D., Khelladi, L., & Guerroumi, M. (2019). A survey of security issues in mobile ad hoc networks. IEEE Communications Surveys & Tutorials, 21(1), 887-907.

Dumitru, I.-A. (2022). Zero Trust Security. Proceedings of the International Conference on Cybersecurity and Cybercrime (IC3), 99–104.

Easttom, C. (2019). “Computer Security Fundamentals”. Pearson Education. ENISA. (2021). “Threat Landscape Report”. European Union Agency for Cybersecurity. [URL yang tidak valid dihapus]

208

Keamanan Informasi (Cyber Security)

Fachri, F. (2023). Optimasi Keamanan Web Server Terhadap Serangan Brute-Force Menggunakan Penetration Testing. Jurnal Teknologi Informasi dan Ilmu Komputer, 10(1), 51–58.

Fagbemi, O., Wheeler, D., & Wheeler, L. (2024). The IoT Architect's Guide to Attainable Security and Privacy. Routledge. ISBN 9781032475233

Fairuzabadi, M. et al. (2023) Keamanan Sistem Informasi dan Kriptografi. Yayasan Kita Menulis.

FBI. (2021). Ransomware: A Growing Threat. https://www.fbi.gov

Febriyanto, N.I. and Sobari, I.A. (2024) ‘PERANCANGAN JARINGAN VPN MENGGUNAKAN PROTOKOL L2TP+IPSEC SEBAGAI MEDIA TRANSMISI DATA PADA YAYASAN SIRAJUL FALAH INDONESIA’, Jurnal Informatika dan Teknik Elektro Terapan, 12(1). Available at: https://doi.org/10.23960/jitet.v12i1.3703.

FireEye. (2021). M-Trends 2021: Insights from the Frontlines of Cybersecurity.

Foster, J.C. et al. (2005) Buffer overflow attacks: Detect, exploit, prevent, Buffer Overflow Attacks: Detect, Exploit, Prevent. Available at: https://doi.org/10.1016/B978-1-932266-67-2.X5031-2.

Friedman, L. (2016). Ukraine’s Power Grid Cyberattack: What We Know. The New York Times. https://nytimes.com

Furnell, S. (2020). Cybercrime: Vandalizing the Information Society. 2nd ed. London: Addison-Wesley.

Gartner. (2020). Forecast: Internet of Things, Worldwide, 2020. https://gartner.com

Gartner. (2021). Market Guide for Web Application Firewalls. https://www.gartner.com

Gartner. (2024). Gartner Magic Quadrant for Security Information and Event Management.

Glen Maxie Taberima and Ramayanti, D. (2024) ‘MENGOPTIMALKAN

MANAJEMEN DAN KEAMANAN TI MELALUI IMPLEMENTASI

LAYANAN DOMAIN ACTIVE DIRECTORY STUDI KASUS PADA

INFRASTRUKTUR TI PERUSAHAAN’, Jurnal Informatika Teknologi dan Sains (Jinteks), 6(1). Available at: https://doi.org/10.51401/jinteks.v6i1.3884.

González-Granadillo, G., González-Zarzosa, S., & Diaz, R. (2021). Security Information and Event Management (SIEM): Analysis, Trends, and Usage in Critical Infrastructures. Sensors, 21(14), 4759.

Grabosky, P. N. (2020). Cybercrime: Key Issues and Debates. London: Routledge.

Granjal, J., Monteiro, E., & Silva, J. S. (2015). Security for the internet of things: a survey of existing protocols and open research issues. IEEE Communications Surveys & Tutorials, 17(3), 1294-1312.

Hakim, L., Kusumasari, T.F., & Lubis, M. (2018). Text Mining of UU-ITE Implementation in Indonesia. Journal of Physics: Conference Series 1007(1).

Harris, J. (2019). User Data Protection and Online Privacy. Wiley.

Harris, J. (2021). Compliance and Regulatory Challenges in Data Protection. Wiley.

Harris, J. (2021). Multi-Factor Authentication and Its Importance in Data Protection. Wiley.

Harris, J. (2021). Network Monitoring for Data Protection. Wiley.

Harris, J., & Miller, R. (2021). Global Data Privacy Regulations and Compliance. Wiley.

Harris, J., & Miller, R. (2021). Transparency and Trust in Data Protection. Wiley.

Hassija, V., Chamola, V., Goyal, V., Sikdar, B., & Guizani, M. (2020). A survey on IoT security: Application areas, security threats, and

210 Keamanan Informasi (Cyber Security)

solution architectures. IEEE Access, 8, 22273-22289. https://doi.org/10.1109/ACCESS.2020.2968078

Hiscox. (2020). "Hiscox Cyber Readiness Report 2020." https://www.hiscox.com/cyber-readiness-report.

Holt, T. J., Bossler, A. M., and Seigfried-Spellar, K. C. (2020). Cybercrime and Digital Forensics: An Introduction. 3rd ed. New York: Routledge.

Howard, M., Leblanc, D. and Viega, J. (2009) 24 Deadly Sins of Software Security: Programming Flaws and How to Fix Them, Technology. Available at: http://www.amazon.com/Deadly-Sins-SoftwareSecurity-Programming/dp/0071626751.

Humphreys, E. (2008). Information security management standards: Compliance, governance, and risk management. Information Security Technical Report, 13(4), 247–255. https://doi.org/10.1016/j.istr.2008.10.010

IBM. (2021). Cost of a Data Breach Report 2021.

IBM. (2021). Quantum Computing: The Future of Security. https://ibm.com Indarta, Y., Ranuhardja, F., & Ashari, I. F. (2022). Keamanan Siber Tantangan di Era Revolusi Industri 4.0.

International Organization for Standardization (ISO). (2023). Standards for access control and authorization. ISO/IEC 27002:2023.

ISO/IEC 22301:2019. “Security and resilience Business continuity management systems Requirements”. International Organization for Standardization.

ISO/IEC 27001:2013. “Information technology Security techniques Information security management systems Requirements”. International Organization for Standardization.

ISO/IEC 27701:2019. “Security techniques Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management

Daftar Pustaka 211

Requirements and guidelines”. International Organization for Standardization.

Jing, Q., Vasilakos, A. V., Wan, J., Lu, J., & Qiu, D. (2014). Security of the internet of things: Perspectives and challenges. Wireless Networks, 20(8), 2481-2501. https://doi.org/10.1007/s11276-014-0761-7

Johnson, S. (2019). Firewall and Threat Management in the Digital Age. Routledge.

Johnson, S. (2019). Integrity in Data Management Practices. Routledge.

Johnson, S. (2020). Building Trust Through Data Protection Strategies. Routledge.

Johnson, S. (2020). Ransomware and Advanced Threats in Cybersecurity. Routledge.

Johnson, S. (2020). Strategies for Safeguarding Business Data. Routledge.

Johnson, S. (2021). Advanced Threat Detection and Cybersecurity. Routledge.

Kamruzzaman, A., Ismat, S., Brickley, J. C., Liu, A., & Thakur, K. (2022). A Comprehensive Review of Endpoint Security: Threats and Defenses. 2022 International Conference on Cyber Warfare and Security (ICCWS), 1–7.

Kaspersky Lab. (2017). WannaCry Ransomware Attack: What You Need to Know. https://kaspersky.com

Katz, J. (2004) Cryptography, Computer Science Handbook, Second Edition. Available at: https://doi.org/10.1201/9781420057133.

Keary, E. (2017). OWASP Code Review Guide (v2 ed.). https://owasp.org/.

Kim, D., & Solomon, M. G. (2018). “Fundamentals of Information Systems Security”. Jones & Bartlett Learning.

212

Keamanan Informasi (Cyber Security)

Kim, J., & Nguyen, T. (2020). Effectiveness of Security Awareness Training in Reducing Social Engineering. Cybersecurity Journal, 13(2), 133145.

Kindervag, J. (2010). Build Security Into Your Network’s DNA: The Zero Trust Model. Forrester Research Report. Forrester.

Kotwani, B., Sawant, M. R., & Chopra, D. S. (2023). Red Teaming vs. Blue Teaming: A Comparative Analysis of CyberSecurity Strategies in the Digital Battlefield. Interantional journal of scientific research in engineering and management, 07(12), 1–11.

Kouns, J., & Minoli, D. (2010). Information Technology Risk Management in Enterprise Environments: A Review of Industry Practices and a Practical Guide to Risk Management Teams. Wiley.

KPMG. (2020). "The Future of Privacy: Consumer Perspectives." https://home.kpmg/xx/en/home/insights/2020/01/the-future-ofprivacy-consumer-perspectives.html

Kraemer, S., Carayon, P., & Duggan, R. (2004). Red Team Performance for Improved Computer Security. Proceedings of the Human Factors and Ergonomics Society Annual Meeting, 48(14), 1605–1609.

Kumar, A., & Gupta, R. (2023). Multi-factor authentication: A comprehensive review. Journal of Computer Security Research, 25(3), 223-240.

Kumar, A., & Singh, R. (2023). Enhancing authorization in hybrid networks: A comprehensive review. International Journal of Information Security, 21(2), 145-162.

Lee, H. (2020). The Importance of Proactive Threat Analysis in Information Security. Journal of Cyber Defense, 12(2), 100-115.

Li, S., Da Xu, L., & Zhao, S. (2015). The internet of things: a survey. Information Systems Frontiers, 17(2), 243-259. https://doi.org/10.1007/s10796-014-9492-7

Lipner, S., & Sherman, L. (2015). The NIST cybersecurity framework. IEEE Computer Society, 19(4), 27-32. https://doi.org/10.1109/MSEC.2015.55

Liu, Y., He, D., & Kumar, N. (2019). Edge computing for the internet of things: A survey. Mobile Networks and Applications, 24(1), 5-16.

Lubis, M., Fauzi, R., & Zamzami, I.F. (2018). The Development of Radical Innovation with the Digital Gift. IEEE ICOSNIKOM 2018.

Lubis, M., Fauzi, R., Lubis, A.R., & Fauzi, R. (2018). Analysis of Project Integration on Smart Parking System in Telkom University. Proc. IEEE CITSM.

Lubis, M., Fauzi, R., Sutoyo, E., & Abdulmana, S. (2019). Responsive innovation through perceived shared values and preferences of customers. In J. of Physics: Con. S. 1361(1) 012075. IOP Publishing.

Lubis, M., Lubis, A.R., & Ernovianti, E. (2018). Disruptive innovation service oriented framework: a case study of transportation in Indonesia. Proc. of 7th ICMR.

Lubis, M., Lubis. A.R., Lubis, B., & Lubis, A. (2018). Incremental innovation towards business performance: data management challenges in healthcare industry in Indonesia. MATEC web of conferences 218, 04015. EDP Sciences.

Lubis, N.S., & Nasution, M.I.P. (2023). Perkembangan Teknologi Informasi Dan Dampaknya Pada Masyarakat. KOHESI: Jurnal Multidisplin Saintek, 1(12), 41–50.

Mahardika, N., Juardi, D. and Solehudin, A. (2024) ‘PENERAPAN NETWORK MANAGEMENT SYSTEM MENGGUNAKAN THE DUDE’, JATI (Jurnal Mahasiswa Teknik Informatika), 7(6). Available at: https://doi.org/10.36040/jati.v7i6.8195.

Mahdavinejad, M. S., Rezvanian, A., Gupta, G., Léonard, F., & Strayer, W. T. (2018). Machine learning for internet of things data analysis: A survey.

214

Keamanan Informasi (Cyber Security)

Digital Communications and Networks, 4(3), 161-175. https://doi.org/10.1016/j.dcan.2017.10.002

Mahendra, V., & Soewito, B. (2023). Penerapan Kerangka Kerja NIST Cybersecurity dan CIS Controls sebagai Manajemen Risiko Keamanan Siber. Techno.Com, 22(3), 527–538.

Mariana, N., Utomo, A.P. and Jananto, A. (2024) ‘Pendampingan Pengelolaan Website (Keamanan Website) Bagi Admin Website SD Negeri Kota Semarang’, IKRA-ITH ABDIMAS, 8(1). Available at: https://doi.org/10.37817/ikra-ithabdimas.v8i1.3202.

Martin, S. (2019). Risk Assessment in Information Security Management. Journal of Risk and Security, 23(1), 55-68.

McAfee. (2019). Cloud Security: A Comprehensive Overview. [Online] Tersedia di: https://mcafee.com

McElwee, S., Murphy, G., & Shelton, P. (2018). Influencing Outcomes and Behaviors in Simulated Phishing Exercises. SoutheastCon 2018, 1–6.

McGuire, M., and Dowling, S. (2020). Cybercrime: Critical Issues in a Global Context. London: Routledge.

Miller, R. (2020). Firewall and Antivirus in Modern Cybersecurity. Cambridge University Press.

Miorandi, D., Sicari, S., De Pellegrini, F., & Chlamtac, I. (2012). Internet of things: Vision, applications and research challenges. Ad Hoc Networks, 10(7), 1497-1516. https://doi.org/10.1016/j.adhoc.2012.02.016

Mirkovic, J., Reiher, P., Papadopoulos, C., Hussain, A., Shepard, M., Berg, M., & Jung, R. (2008). Testing a Collaborative DDoS Defense In a Red Team/Blue Team Exercise. IEEE Transactions on Computers, 57(8), 1098–1112.

National Institute of Standards and Technology (NIST). (2022). Access control and authorization guidelines. NIST Special Publication 800-53 Rev. 5.

National Institute of Standards and Technology (NIST). (2022). Digital identity guidelines. NIST Special Publication 800-63B.

Newman, L. (2019). Building Microservices: Designing Fine-Grained Systems (2nd Edition). O'Reilly Media. ISBN 978-1492056250

NIST Cybersecurity Framework. (2018). National Institute of Standards and Technology.

[https://www.nist.gov/cyberframework](https://www.google.com/ur l?sa=E&source=gmail&q=https://www.nist.gov/cyberframework)

NIST SP 800-137. “Information Security Continuous Monitoring (ISCM) for Federal Information Systems and Organizations”. National Institute of Standards and Technology.

NIST SP 800-145. “The NIST Definition of Cloud Computing”. National Institute of Standards and Technology.

NIST SP 800-160. “Systems Security Engineering: Considerations for a Multidisciplinary Approach in the Engineering of Trustworthy Secure Systems”. National Institute of Standards and Technology.

NIST SP 800-30. “Guide for Conducting Risk Assessments”. National Institute of Standards and Technology.

NIST SP 800-53A. “Assessing Security and Privacy Controls in Federal Information Systems and Organizations: Building Effective Assessment Plans”. National Institute of Standards and Technology.

NIST SP 800-61. “Computer Security Incident Handling Guide”. National Institute of Standards and Technology.

NIST SP 800-63B. “Digital Identity Guidelines”. National Institute of Standards and Technology.

NIST. (2020). Security and Privacy Controls for Information Systems and Organizations.

NISTIR 8259. “Foundational Cybersecurity Activities for IoT Device Manufacturers”. National Institute of Standards and Technology.

216

Keamanan Informasi (Cyber Security)

Nurendro Ilhamsyah, R., Mahmudi, A. and Faisol, A. (2024) ‘RANCANG

BANGUN APLIKASI SITELADAN ABSENSI SISWA

MENGGUNAKAN SIDIK JARI STUDI KASUS SMP NEGERI 1 MARGOMULYO BERBASIS IOT’, JATI (Jurnal Mahasiswa Teknik Informatika), 7(5). Available at: https://doi.org/10.36040/jati.v7i5.7612.

O'Reilly Media, Inc. (2020). IoT Security. O'Reilly Media. ISBN 9781119527923

Orjatsalo, J. (2022). Facilitating Cyber Security Threat Modelling: A Social Capital Perspective. European Conference on Knowledge Management, 23(2), 878–884.

OWASP. (2021). Top Ten Project. https://owasp.org

Papakonstantinou, N., Van Bossuyt, D. L., Linnosmaa, J., Hale, B., & O’Halloran, B. (2021). A Zero Trust Hybrid Security and Safety Risk Analysis Method. Journal of Computing and Information Science in Engineering, 21(5).

Peltier, T. R. (2020). “Information Security Policies, Procedures, and Standards: Guidelines for Effective Information Security Management”. CRC Press.

Pfleeger, C. P., & Pfleeger, S. L. (2003). Security in computing. Prentice Hall.

Pierson, C. (2017). Programming the Internet of Things: An Introduction to Building Integrated, Device-to-Cloud IoT Solutions. Manning Publications. ISBN 978-1617293678

Ponemon Institute. (2020). Cost of a Data Breach Report 2020.

Ponemon Institute. (2021). "Cost of a Data Breach Report 2021." https://www.ibm.com/security/data-breach

Ponemon Institute. (2021). “Cost of a Data Breach Report”. IBM Security. [https://www.ibm.com/security/databreach](https://www.google.com/url?sa=E&source=gmail&q=https:// www.ibm.com/security/data-breach)

Daftar Pustaka 217

Ponemon Institute. (2022). The Cost of Insider Threats: Global Report. https://www.ponemon.org/

Prasetyo, S.J., Lubis, M., Witjaksono, R.W., & Azizah, A.H. (2019). Critical Failure Factors in Enterprise Resource Planning (ERP)

Implementation: Case Study of PT. Toyota Astra Motor Indonesia. Proc. IEEE ICIC.

Prasetyo, Y.A., & Lubis, M. (2020). Smart City Architecture Development Methodology (SCADM): A Meta-Analysis using SOA-EA and SoS Approach. SAGE Open 10(2), 1-14.

Prihadiati, R. r. L.A., Putra, Y.H. and Aris, U. (2024) ‘Penerapan Pemberantasan Tindak Pidana Terorisme Pasal 12A Ayat (2) Undangundang No. 5 Tahun 2018 Dihubungkan dengan Keadilan bagi Pelaku Terorisme’, HUMANIORUM, 1(4). Available at: https://doi.org/10.37010/hmr.v1i4.27.

Purbodiningrat, R.E.R., I Nyoman Yudi Anggara Wijaya and I Gede Juliana Eka Putra (2024) ‘PEMBANGUNAN INFRASTRUKTUR JARINGAN FIBER OPTIC JALUR UDARA PT. WISUANDHA NETWORK GLOBALINDO DI KABUPATEN BULELENG’, Jurnal Informatika Teknologi dan Sains (Jinteks), 6(1). Available at: https://doi.org/10.51401/jinteks.v6i1.3776.

Purnama Putra, I.P.K., Dharma Saputra, K.E. and Suandika, I.N. (2024) ‘KEWENANGAN IMIGRASI DALAM MELAKSANAKAN DEPORTASI KEPADA WARGA NEGARA ASING’, Jurnal Ilmiah Raad Kertha, 7(1). Available at: https://doi.org/10.47532/jirk.v7i1.1057.

Putra, F.P.E. et al. (2024) ‘Tinjauan Performa RouterOS Mikrotik dalam Jaringan Internet: Analisis Kinerja dan Kelayakan’, Digital Transformation Technology, 3(2). Available at: https://doi.org/10.47709/digitech.v3i2.3446.

Putri, A.D., Lubis, M., & Azizah, A.H. (2020). Analysis of Critical Success Factors (CSF) in Enterprise Resource Planning (ERP) Implementation

218

Keamanan Informasi (Cyber Security)

using Extended Technology Acceptance Model (TAM) at Trading and Distribution Company. Proc. of IEEE ELTICOM.

Rahman, S., & Lee, K. (2023). Dynamic access control using attribute-based policies in IoT environments. Journal of Internet Security Research, 18(4), 213-229.

Rahman, S., Davis, K., & Taylor, J. (2023). Passwordless authentication: Advancing user security and experience. Technology in Practice, 19(4), 212-228.

Roman, R., Zhou, J., & Lopez, J. (2013). On the features and challenges of security and privacy in distributed internet of things. Computer Networks, 57(10), 2266-2279.

Rose, S., Borchert, O., Mitchell, S., & Connelly, S. (2020). Zero Trust Architecture. National Institute of Standards and Technology, Special Publication 800-207.

Ross, R., McEvilley, M., & Oren, J. (2018). Systems Security Engineering: Considerations for a Multidisciplinary Approach in the Engineering of Trustworthy Secure Systems (NIST SP 800-160). Gaithersburg, MD: National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.800160

Russell, D. & Hart, A. (2020). Practical Internet of Things Security: Design a Security Framework for an Internet of Things Ecosystem. Packt Publishing. ISBN 978-1838827356

Safitra, M.F., dkk. (2023). Metaverse Trend: Definition, Application, Opportunities, Law, and Ethics. Proc. of IEEE ICOCO, 160-165.

Safitra, M.F., Lubis, M., & Kurniawan, M.T. (2023). Cyber Resilience: Research Opportunities. Proc. ACM ICECCE.

Safitra, M.F., Lubis, M., & Ramadani, L. (2024). Advancements in Artificial Intelligence and Data Science: Models, Applications, and Challenges. Procedia Computer Science 234, 381-388.

Salamh, F. E., Karabiyik, U., Rogers, M. K., & Matson, E. T. (2021). A Comparative UAV Forensic Analysis: Static and Live Digital Evidence Traceability Challenges. Drones, 5(2), 42.

Sandy, S., & Solihin, H. H. (2021). Audit Keamanan dan Manajemen Risiko pada e-Learning Universitas Sangga Buana. Jurnal Manajemen Informatika (JAMIKA), 11(1), 1–14.

Santika, Erlina F. (2024). Serangan Digital di Indonesia Meningkat pada Kuartal I 2024. https://databoks.katadata.co.id/

Sari, I. Y. et al. (2020) Keamanan Data dan Informasi. Yayasan Kita Menulis.

Scambray J., Shema M., and Sima, C. (2006) Hacking Exposed Web Applications: Web Application Security Secrets and Solutions.

Scarfone, K. A., Grance, T., & Masone, K. (2008). Computer security incident handling guide.

Schneier, B. (2000). Secrets and lies: Digital security in a networked world. John Wiley & Sons, Inc.

Schneier, B. (2015). Data and Goliath: The Hidden Battles to Collect Your Data and Control Your World. W. W. Norton & Company. ISBN 9780393352177

Seth, A., Bhattacharya, S., Elder, S., Zahan, N., & Williams, L. (2022). Comparing Effectiveness and Efficiency of Interactive Application Security Testing (Iast) and Runtime Application Self-Protection (Rasp) Tools in A Large Java-Based System. SSRN Electronic Journal.

Sicari, S., Rizzardi, A., Grieco, L. A., & Coen-Porisini, A. (2015). Security, privacy and trust in Internet of Things: The road ahead. Computer Networks, 76, 146-164. https://doi.org/10.1016/j.comnet.2014.11.008

Sihotang, J. I., Arni, S., Darsin, Ashari, I. F., Hasan, M. N., & Fadhillah, Y. (2023). Kontrol dan Audit TI.

220 Keamanan Informasi (Cyber Security)

Sikdar, B., Sikdar, S., & Amin, R. (2019). Security and privacy in software defined internet of things: Challenges and opportunities. IEEE Internet of Things Journal, 6(2), 1670-1683.

Simarmata, J. et al. (2022) Sistem Keamanan Data. Yayasan Kita Menulis.

Simarmata, J., Sasongko, D., & Ashari, I. F. (2022). Sistem Keamanan Data. In Suparyanto dan Rosad (2015 (Vol. 5, Issue 3).

Simarmata, J., Sriadhi, S. dan Rahim, R. (2020) Kriptografi: Teknik Keamanan Data Dan Informasi. Jogyakarta: Andi Publisher.

Smith, A., & Johnson, P. (2022). Cybersecurity Threat Trends: Analysis and Impact. Journal of Information Security, 15(4), 210-222.

Smith, M. (2020). Data Security in Remote Work Environments. Oxford University Press.

Smith, M. (2020). IoT Security Challenges in Data Protection. Oxford University Press.

Smith, M. (2021). Auditing and Compliance in Data Security. Oxford University Press.

Smith, M. (2021). Ensuring Data Availability for Business Continuity. Oxford University Press.

Smith, M. (2021). The Value of Data Protection in Modern Business. Oxford University Press.

Smith, M., & Brown, L. (2020). Real-Time Threat Detection and Data Security. Oxford University Press.

Smith, R. G., and Hutchings, A. (2020). Cybercrime: Risks, Responses and Regulation. London: Palgrave Macmillan.

Smith, R., & Brown, E. (2022). Understanding modern authentication mechanisms. IT Security Review, 18(5), 89-103.

Smith, R., & Brown, E. (2023). Exploring OAuth and OpenID Connect: Authorization in the digital age. IT Security Journal, 29(5), 90-105.

Daftar Pustaka 221

Social-Engineer.org. (2019). The Social Engineering Framework. https://social-engineer.org

Solove, D. J. (2006). “Digital person: Technology and privacy in the information age”. NYU Press.

Stallings, W., & Brown, L. (2018). “Computer Security: Principles and Practice”. Pearson Education.

Stergiou, C., Psannis, K. E., Kim, B. G., & Gupta, B. B. (2018). Secure integration of IoT and cloud computing. Future Generation Computer Systems, 78, 964-975. https://doi.org/10.1016/j.future.2017.02.031

Stoneburner, G., Goguen, A., & Feringa, A. (2002). Risk Management Guide for Information Technology Systems. NIST Special Publication 80030. National Institute of Standards and Technology.

Stouffer, K., Falco, J., & Scarfone, K. (2011). Guide to Industrial Control Systems (ICS) Security (NIST SP 800-82). Gaithersburg, MD: National Institute of Standards and Technology. https://doi.org/10.6028/NIST.SP.80082

Sudirman, S., Suyuti, A., Zainuddin, Z., & Fauzan, A. (2024). Fall Rate Detection, Identification and Analysis Object Oriented for Elderly Safety. ILKOM Jurnal Ilmiah, 16(1), 1-11.

Suharni, S. (2024) ‘EKSPLORASI METODE PENGOLAHAN BIG DATA UNTUK PEMODELAN PREDIKTIF DALAM BIDANG KESEHATAN’, Jurnal Review Pendidikan dan Pengajaran (JRPP), 7(1 SE-Articles).

Suo, H., Wan, J., Zou, C., & Liu, J. (2012). Security in the internet of things: A review. In 2012 International conference on computer science and electronics engineering (Vol. 3, pp. 648-651). IEEE.

Supriyanto, B., Sumijan, & Yuhandri. (2024). Audit Keamanan Website Menggunakan Acunetix Web Vulnerability (Studi Kasus Di SMK Muhammadiyah 3 Terpadu Pekanbaru). Jurnal CoSciTech (Computer Science and Information Technology), 5(1), 134–143.

222

Keamanan Informasi (Cyber Security)

Taylor, J., Anderson, M., & Li, Z. (2023). Zero trust architecture: Implementation and challenges. Journal of Cybersecurity Strategies, 11(1), 32-50.

Triadi Antara, K. (2024) ‘Pengaruh IoT pada Transformasi Jaringan Multimedia: Literatur Review’, Jurnal Ilmu Komputer dan Sistem Informasi (JIKOMSI), 7(1). Available at: https://doi.org/10.55338/jikomsi.v7i1.2736.

Turner, R. (2021). Application Security Measures for Modern Enterprises. Journal of Application Security, 7(4), 210-228.

Tuttle, B., & Vandervelde, S. D. (2021). IT governance: The benefits of the COBIT 2019 framework. Journal of Accounting and Public Policy, 40(5), 106856. https://doi.org/10.1016/j.jaccpubpol.2021.106856

Vacca, J. R. (2020). Guide to Computer Network Security (5th ed.). Springer.

Verizon. (2021). “Data Breach Investigations Report”. Verizon Enterprise Solutions. [URL yang tidak valid dihapus]

Verizon. (2021). 2021 Data Breach Investigations Report. https://enterprise.verizon.com/resources/reports/dbir

Voigt, P., & Von dem Bussche, A. (2017). “The EU general data protection regulation (GDPR): a practical guide”. Springer.

Von Solms, B., & Von Solms, R. (2004). The 10 deadly sins of information security management. Computers & Security, 23(5), 371–376. https://doi.org/10.1016/j.cose.2004.05.002

Wahyudin, W. et al. (2024) ‘Metode Vulnerability Assesment Dalam Pengujian Kinerja Sistem Keamanan Website Points of Sales’, Computer Science (CO-SCIENCE), 4(1). Available at: https://doi.org/10.31294/coscience.v4i1.2978.

Wall, D. S. (2020). Cybercrime: The Transformation of Crime in the Information Age. Cambridge: Polity Press.

Waroh, A.P.Y. et al. (2024) ‘Sistem Keamanan Rumah Melalui Pengenalan Wajah Dengan Webcam Berbasis Raspberry Pi4’, Jambura Journal of Electrical and Electronics Engineering, 6(1). Available at: https://doi.org/10.37905/jjeee.v6i1.21714.

Weber, R. H. (2010). Internet of Things. Springer. ISBN 978-3642102992

Wharton, D. (2023). “The AI Security Cookbook: Recipes for building secure AI systems”. O'Reilly Media.

White, K. (2019). Data Encryption and Privacy in the Digital Age. Routledge.

White, K. (2020). Data Backup and Recovery Strategies. Cambridge University Press.

White, K. (2020). Data Minimization and Privacy-by-Design. Cambridge University Press.

White, K. (2021). AI and Machine Learning in Data Protection. Cambridge University Press.

White, K. (2021). Ethics and Data Privacy in Business Operations. Cambridge University Press.

White, K. (2021). Malware Evolution and the Increasing Threat to Data Security. Cambridge University Press.

White, K. (2021). Sensitive Information and Privacy in the Age of Big Data. Cambridge University Press.

Whitman, M. E., & Mattord, H. J. (2018). Principles of Information Security (6th ed.). Cengage Learning.

Whitman, M. E., & Mattord, H. J. (2021). “Principles of Information Security”. Cengage Learning.

Wilkin, C. L., & Chenhall, R. H. (2020). Improving organizational performance through effective IT governance: The case for adopting COBIT 2019. Information & Management, 57(2), 103141. https://doi.org/10.1016/j.im.2019.103141

224 Keamanan Informasi (Cyber Security)

Wlosinski, L. G. (2022). Cybersecurity Incident Response Exercise Guidance. ISACA.

Xu, L. D., He, W., & Li, S. (2014). Internet of Things in Industries: A Survey. IEEE Transactions on Industrial Informatics, 10(4), 2233-2243. ISBN 978-1-4799-5443-9

Yar, M., and Steinmetz, K. F. (2020). Cybercrime and Society. 3rd ed. London: SAGE Publications.

Zarpelão, B. B., Miani, R. S., Kawakani, C. T., & Al-Muhtadi, S. (2017). A survey of intrusion detection in internet of things. Journal of Network and Computer Applications, 84, 25-37.

Biodata Penulis

Ilham Firman Ashari akrab disapa Ilham. Penulis saat ini sebagai dosen aktif di Program Studi Teknik Informatika Institut Teknologi Sumatera (ITERA). Sebagai seorang dosen, ilham aktif untuk melakukan penelitian di bidang keamanan informasi, IoT, dan kecerdasan buatan. Ilham adalah lulusan dari Institut Teknologi Bandung tahun 2018 dan bergabung menjadi dosen di ITERA tahun 2019. Saat ini sebagai Ketua Kelompok keilmuan (KK) bidang Keamanan Siber, Multimedia, dan IoT.

Wisnu Kurniadi, lahir pada 27 Mei 1989 di Lamasi, Kabupaten Luwu, Sulawesi Selatan, adalah anak bungsu dari enam bersaudara. Ia merupakan putra dari pasangan Bapak Buang Pawiro (alm) dan Ibu Sulastri. Saat ini, Wisnu Kurniadi telah berkeluarga dengan seorang istri dan seorang putra.

Dalam perjalanan pendidikannya, ia berhasil meraih gelar sarjana di Universitas Cokroaminoto Palopo (UNCP) dan melanjutkan studi hingga memperoleh gelar magister di bidang informatika dari Universitas Islam Indonesia (UII). Saat ini, ia berstatus sebagai dosen tetap di Universitas Cokroaminoto Palopo, Sulawesi Selatan. Selain mengajar mata kuliah di Program Studi Informatika Fakultas Teknik Komputer UNCP, Wisnu Kurniadi juga dipercaya menjabat sebagai Direktur Sistem Informasi di universitas tersebut.

E-mail: wisnukurniadi@uncp.ac.id

Keamanan Informasi (Cyber Security)

Sudirman, yang akrab disapa Dymand, lahir di Takalar dan memiliki hobi membaca buku. Ia menempuh pendidikan S1 dan S2 di Universitas Muslim Indonesia, Fakultas Ilmu Komputer, Jurusan Teknik Informatika, angkatan 2009, dan lulus sebagai lulusan terbaik.

Selama karier akademisnya, Sudirman berhasil meraih juara 1 dalam lomba karya ilmiah komputer di Politeknik Negeri Ujungpandang saat masih bersekolah di SMKN 2 Takalar. Ia memiliki minat yang besar dalam jaringan komputer dan kecerdasan buatan (artificial intelligence).

Sudirman pernah bekerja sebagai ahli troubleshoot komputer di sebuah perusahaan komputer dan terlibat dalam berbagai proyek IT. Saat ini, ia aktif sebagai programer, dosen, dan pengajar karyawan di bidang IT, berfokus pada peningkatan keterampilan interpersonal karyawan di perusahaannya. Ia menjunjung tinggi profesionalisme dalam bidang komputer.

Sebagai penulis, Sudirman telah menerbitkan banyak artikel dan buku tentang teknologi, yang dipublikasikan di beberapa majalah teknologi terkemuka. Artikel-artikelnya mencakup topik kecerdasan buatan, teknologi informasi, dan pengembangan aplikasi. Ia juga aktif dalam riset dan analisis tren teknologi terkini, termasuk riset di Jepang pada tahun 2016.

Sudirman saat ini bekerja sebagai dosen di Program Studi Teknologi Informasi, Fakultas Teknik, Universitas Bosowa, dan. Selain itu, ia juga menjabat sebagai Direktur di sebuah perusahaan. Dengan keahlian yang luas dalam teknologi, mulai dari pengembangan perangkat lunak hingga keamanan siber, Sudirman adalah sosok yang pekerja keras, selalu mencari hal-hal baru, dan seorang yang rajin beribadah. Pengalamannya yang mendalam menjadikannya salah satu penulis teknologi terkemuka dan sumber inspirasi bagi banyak orang di industri teknologi.

sudirman.dymand@universitasbosowa.ac.id

Biodata Penulis

. Ir. Janner Simarmata, S.T., M.Kom. C.BMC., C.DMP., C.PI., C.PKIR., C.PDM., C.SEM., C.COM., C.SI.,

Sarjana Teknik

dari STMIK Bandung, Magister Ilmu Universitas Gadjah Mada (UGM) Pendidikan Teknologi Kejuruan

Universitas Pendidikan bidang kajian Blended Insinyur (PPI) dari Institut Teknologi Indonesia

Menulis buku sejak tahun

2005 dan telah menulis 315 buku dan 200 HKI. Dosen di Pendidikan

Teknologi Informatika dan Komputer (PTIK) Fakultas Teknik Universitas Negeri Medan.

Zelvi Gustiana lahir di salah satu daerah kecil di Sumatera Barat yaitu Sungai Rumbai. Ia tercatat sebagai lulusan S1 Sistem Komputer dan Magister Komputer di Universitas Putra Indonesia ”YPTK” Padang. Kemudian melanjutkan studi S2 pada Universitas yang sama yaitu Universitas Putra Indonesia ”YPTK” Padang dan lulus pada tahun 2018.

Selain itu, saya juga aktif melakukan kegiatan penelitian dan pengabdian kepada masyarakat disamping melakukan aktivitas pengajaran sebagai implementasi tri dharma. Telah menulis lebih dari 15 buku di bidang komputer di bawah naungan

Yayasan Kita Menulis

E-mail: zelvi@dharmawangsa.ac.id

228

Keamanan Informasi (Cyber Security)

Muhammad Resha lahir di Ujungpandang, pada 10 Februari 1975. Ia tercatat sebagai lulusan Pasca Sarjana Universitas Gunadarma tahun 2004. Lelaki yang kerap disapa Resha ini adalah anak dari pasangan M Sardin (Alm) (ayah) dan Husniar Husain(Alm) (ibu). Muhammad Resha bukanlah orang baru di dunia Teknologi Informasi. Ia membangun Usaha Teknologi Informasi sejak tahun 2006.

Sampai saat ini memiliki Tim IT Software Development. Selain itu aktif sebagai Dosen Pengajar di Universitas Teknologi Akba Makassar Program Studi Sistem Informasi.

Nurdin. Dosen Tetap Program Studi Teknik Informatika pada Universitas Dipa Makassar. Mengampu Matakuliah : Keamanan Komputer/Kriptografi, Keamanan Jaringan, Keamanan Sitem Informasi, Data Mining, Sistem Operasi, Jaringan Komputer, Pemrograman Web.

Email : nurdin@undipa.ac.id.

Sarah Rosdiana Tambunan. Menyelesaikan Pendidikan Program S1 di Program Studi Sistem Informasi, Institut Teknologi Del pada tahun 2019, dan S2 di Program Magister Ilmu Komputer, FMIPA, UGM Yogyakarta. Seorang dosen tetap Program Studi Sistem Informasi, Fakultas Informatika dan Teknik Elektro, Institut Teknologi Del.

Mengampu mata kuliah Algoritma dan Struktur Data, Keamanan Sistem, Arsitektur dan Organisasi Komputer, Audit Teknologi Informasi dan Manajemen Proyek Sistem Informasi. Research-nya focus di Software Engineering and Data Security.

E-mail: sarah.tambunan@del.ac.id, sarahtambunan24@gmail.com

Nizirwan Anwar, saat ini berkarir sebagai Dosen

Tetap Jenjang Studi S1 Program Studi Teknik

Informatika Fakultas Ilmu Komputer Universitas Esa Unggul di bawah naungan Yayasan Pendidikan

Kemala Bangsa (YPKB). Penulis lahir di kota

Bandung tanggal 24 Juli 1964, menyelesaikan

pendidikan S1 dari Program Studi Fisika Fakultas

Matematika dan Ilmu Pengetahuan Alam Universitas

Padjadjaran Bandung, Jawa Barat (1989) dan melanjutkan Program Studi Teknik Elektro Fakultas Teknik (dh .Program Studi Pascasarjana) Universitas Indonesia, Depok Jawa Barat (dh DKI Jakarta), menyelesaikan studinya (1995), memperoleh gelar Insinyur Profesional Madya (IPM) tahun 2022; Certified ASEAN Engineer (ASEAN.Eng) tahun 2023. Riwayat singkat perjalanan karir penulis sebagai seorang pendidik (dosen) dalam melaksanakan dan mengabdi pada Tri Dharma Perguruan Tinggi sudah 34 tahun – sekarang. Alhamdulillah telah menghasilkan beberapa karya ilmiah/artikel terpublikasi (nasional/internasional) bereputasi dan terindeks, bidang kajian Internet of Things, Digital Forensik, Kriptografi, Bibliometrik dan Data Science. Hingga pernah/saat ini aktif di beberapa organisasi profesi (IAII, ADI, ACM, IEEE, ASIOTI, BKI PII, APTIKOM, IAENG), Asesor Dosen Nasional BKD (NIRA), Reviewer Jurnal Ilmiah Terakreditasi SINTA (Kemendikbud DIKTI); Komite Ilmiah Konferensi (Nasional/Internasional), Pengurus Badan Kejuruan Informatika (BKI) Persatuan Insyinyur Indonesia dan Asesor Majelis Uji Kompetensi (MUK) Persatuan Insinyur Indonesia (PII) (2021- saat ini).

e-mail korespodensi: nizirwan.anwar@esaunggul.ac.id

Muharman Lubis memiliki gelar Ph.D. di bidang Teknologi Informasi dari International Islamic University Malaysia. Sebelumnya, ia menyelesaikan gelar Master di universitas yang sama dan gelar Sarjana di Universiti Utara Malaysia dengan spesialisasi dalam Jaringan Komputer. Saat ini, ia sedang mengejar gelar Magister Manajemen di Universitas Widyatama, gelar Sarjana Hukum di Universitas Terbuka, dan Double Degree di

230 Keamanan Informasi (Cyber Security)

International Open University untuk Bachelor of Art (Islamic Studies) dan Bachelor of Science (Psychology).

Mengampu beragam mata kuliah dari Tata Kelola Data dan Teknologi Informasi, Analisa Data dan Bisnis Perusahaan, Transformasi dan Strategi Digital, Inovasi dan Kewirausahaan Teknologi, Manajemen Pengetahuan dan Sumber Daya, Metodologi Penelitian, Hukum dan Etika Siber. Menulis beberapa jurnal ilmiah dan seminar internasional terkait Perlindungan Data Pribadi, Strategi Sistem Informasi Organisasi, dan Ketangguhan dan Jaminan Siber.

E-mail: muharmanlubis@telkomuniversity.ac.id