MAKALAH Standar Sistem Management Keamanan Informasi ISO-17799 Disusun untuk menyelesaikan tugas mata kuliah Keamanan Sistem Informasi
Dosen : Angga Setiyadi, S.kom, M.kom
Disusun Oleh : 10114286 / Alfian Eryan Dika 10114253 / Diar Gumilang Suhendi 10114284 / Rizal Yogi Pratama 10114281 / Muhammad Ariq Fakrizal 10114254 / Muhammad Faris Somantri
Kelas : KSI-7
PROGRAM SETUDI TEKNIK INFORMATIKA FAKULTAS TEKNIKDAN ILMU KOMPUTER UNIVERSITAS KOMPUTER INDONESIA 2018
KATA PENGANTAR
Dengan menyebut nama Allah SWT yang Maha Pengasih lagi Maha Panyayang, Kami panjatkan puja dan puji syukur atas kehadirat-Nya, yang telah melimpahkan rahmat, hidayah, dan inayah-Nya kepada kami, sehingga kami dapat menyelesaikan makalah tentang Setandar Sistem Management Keamanan Informasi ISO-17799 Makalah ilmiah ini telah kami susun dengan maksimal dan mendapatkan bantuan dari berbagai pihak pihak sehingga dapat memperlancar pembuatan pembuatan makalah ini. Untuk itu kami menyampaikan banyak terima kasih kepada semu a pihak yang telah berkontribusi dalam pembuatan makalah ini dengan sebaik-baiknya sehingga dapat menyelesaikan makalah. Terlepas dari semua itu, Kami menyadari sepenuhnya bahwa masih ada kekurangan baik dari segi susunan kalimat maupun tata bahasan ya. Oleh karena itu dengan tangan terbuka kami menerima segala saran dan kritik dari pembaca agar kami dapat memperbaiki makalah. Akhir kata kami berharap semoga makalah ilmiah tentang limbah dan manfaatnya untuk masyarakan ini dapat memberikan manfaat maupun inpirasi terhadap pembaca.
Bandung, 16 Maret 2018
Penyusun
i
DAFTAR ISI
KATA PENGANTAR ......................................................................................................... i DAFTAR ISI ....................................................................................................................... ii DAFTAR GAMBAR ......................................................................................................... iii BAB I
PENDAHULUAN .............................................................................................. 1
1.1.
Latar Belakang .................................................................................................... 1
1.2.
Identifikasi Masalah ............................................................................................ 1
1.3.
Maksud dan Tujuan ............................................................................................. 2
1.3.1.
Maksud........................................................................................................ 2
1.3.2.
Tujuan ......................................................................................................... 2
BAB II
PEMBAHASAN ............................................................................................. 3
2.1.
Sejarah ISO-17799 ............................................................................................... 3
2.2.
Definisi Keamanan Informasi ............................................................................. 3
2.3.
Pentingnya Kemanan Informasi .......................................................................... 4
2.4.
Standar Kompetensi Kemanan Menurut TKTI ................................................... 6
2.5.
Definisi dan Manajemen Keamanan sesuai ISO-17799 ...................................... 7
2.6.
Isi ISO-17799 ...................................................................................................... 9
2.7.
Aset dan Aspek yang dinilai dalam ISO-17799 ................................................ 13
2.7.1.
Aset ........................................................................................................... 13
2.7.2.
Aspek ......................................................................................................... 13
2.8.
Manfaat Implementasi ISO-17799 .................................................................... 16
2.9.
Kelemahan Implementasi ISO-17799 ............................................................... 16
BAB III
PENUTUP ..................................................................................................... 18
Kesimpulan ................................................................................................................... 18 DAFTAR PUSTAKA ....................................................................................................... 19
ii
DAFTAR GAMBAR Gambar 2.1 Elemen-elemen keamanan informasi ........................................................ 4 Gambar 2.2 Grafik persentase ancaman keamanan sistem informasi ........................ 5 Gambar 2.3 UK business network attack ....................................................................... 5
iii
BAB I PENDAHULUAN 1.1.
Latar Belakang Informasi adalah salah satu asset penting yang sangat berharga bagi kelangsungan hidup suatu organisasi/bisnis, pertahanan keamanan dan keutuhan negara, kepercayaan publik atau konsumen, sehingga harus dijaga ketersediaan, ketepatan dan keutuhan informasinya. Informasi dapat disajikan dalam berbagai format seperti: teks, gambar, audio, maupun video. Manajemen pengelolaan informasi menjadi penting ketika terkait dengan kredibilitas dan kelangsungan hidup orang banyak. Tujuan sistem manajemen keamanan informasi adalah untuk melindungi kerahasiaan, integritas dan ketersediaan informasi tersebut. Untuk itu diperlukan standar dan manajemen yang memadai agar kemanan dapat dilakukan secara memadai pula. Standar kompetensi dapat dilakukan sesuai dengan TKTI jika menggunakan standar Nasional. Standar kompetensi tidak berarti hanya kemampuan menyelesaikan suatu tugas, tetapi dilandasi pula bagaimana serta mengapa tugas itu dikerjakan. Selain itu standar ISO yang merupakan standar internasional dapat diterapkan yaitu menggunakan ISO 17799 dan ISO 27000 serta turunannya. Manajemen operasi keamanan harus memenuhi beberapa hal penting yaitu kontrol dan proteksi, monitoring dan auditing, serta pem ahaman tentang threat dan vulnerabilitas 1.2.
Identifikasi Masalah Penulis telah menyusun beberapa identifikasi masalah yang akan dibahas dalam makalah ini sebagai batasan dalam pembahasan bab isi. Beberapa masalah tersebut antara lain : a. Apa definisi keamanan informasi ? b. Bagaimana pentingnya keamanan ? c. Apa Standar Kompetensi Keamanan menurut TKTI ? d. Apa pengertian dan manajemen Keamanan sesuai ISO-17799 ? e. Apa isi dari ISO-17799 ? f. Aset dan aspek saja yang dinilai dalam ISO-17799 ? g. Apa keuntungan dan kelemahan implementasi ISO-17799 ?
1
2
1.3.
Maksud dan Tujuan
1.3.1. Maksud Maksud dari makalah ini adalah mengenali dan membahas mengenai Standar Sistem Management Keamanan Informasi ISO-17799.
1.3.2. Tujuan 1. 2. 3. 4. 5. 6. 7.
Adapun tujuan -tujuan dari makalah ini sebagai berikut : Pembaca mengetahui pengertian dari keamanan informasi. Pembaca memahami pentingnya keamanan Pembaca mengenal apa itu standar kompetensi keamanan menurut TKTI Pembaca memahami pengertian dan manajemen keamanan menurut ISO-1799 Pembaca mengetahui isi dari ISO-1799 Pembaca mengetahui asset dan aspek penilaian dari ISO1799 Pembaca mengetahui keuntungan dan kelemahan implementasi ISO-1799
BAB II PEMBAHASAN 2.1.
ISO 17799 diterbitkan oleh International Organization for Standardization (ISO) pada tahun 2000. ISO 17799 adalah standar internasional yang menyediakan petunjuk dan kontrol untuk mengatur keamanan informasi(Information Security Management Standard/ISMS). ISO 17799 berasal dari standar yang dikembangkan Department of Trade and Industry (DIT) tahun 1993. British Standards Institute (BSI) kemudian mengambil alih dan memperbaikinya kemudian disebut BS 7799 pada Februari tahun 1995, dan kemudian direvisi pada Mei 1999 dan diterbitkan dalam dua bagian [1]:
Part I : Code Of Practice For Information Security Management
Part II : Specification For Information Security Management S ystems ISO hanya mengadopsi Part I dari BS 7799, sehingga Part I sekarang disebut sebagai “ISO/IEC 17799:2000” atau “ISO 17799”, sedangkan Part II tetap disebut “BS 7799-2”. Edisi pertama ISO 17799 diterbitkan pada tahun 2000, dan edisi keduanya terbit pada tahun 2005. Sejak edisi kedua tersebut ISO 17799 menjadi standar resmi ISO yang berdampak diperlukannya revisi dan pemutakhiran setiap tiga hingga lima tahun sekali.
2.2.
Definisi Keamanan Informasi Keamanan informasi terdiri dari perlindungan terhadap berbagai aspek berikut : 1. Confidentiality (kerahasiaan) aspek yang menjamin kerahasiaan data atau informasi, memastikan bahwa informasi hanya dapat diakses oleh orang yang berwenang dan menjamin kerahasiaan data yang dikirim, diterima dan disimpan. 2. Integrity (integritas) aspek yang menjamin bahwa data tidak dirubah tanpa ada ijin pihak yang berwenang (authorized), menjaga keakuratan dan keutuhan informasi serta metode prosesnya untuk menjamin aspek integrit y ini. 3. Availability (ketersediaan) aspek yang menjamin bahwa data akan tersedia saat dibutuhkan, memastikan user yang berhak dapat menggunakan informasi dan perangkat terkait (aset yang berhubungan bilamana diperlukan). Keamanan informasi diperoleh dengan mengimplementasi seperangkat alat kontrol yang layak, yang dapat berupa kebijakankebijakan, praktek-praktek, prosedur-prosedur, struktur-struktur organisasi dan piranti lunak.
3
4
Gambar 2.1 E lemen-elemen keamanan informasi 2.3.
Pentingnya Kemanan Informasi Keamanan informasi memproteksi informasi dari ancaman yang luas untuk memastikan kelanjutan usaha, memperkecil rugi perusahaan dan memaksimalkan laba atas investasi dan kesempatan usaha. Manajemen sistem informasi memungkinkan data untuk terdistribusi secara elektronis, sehingga diperlukan sistem untuk memastikan data telah terkirim dan diterima oleh user yang benar.
Hasil survey ISBS (Information Security Breaches Survey) pada tahun 2000 menunjukkan bahwa sebagian besar data atau informasi tidak cukup terpelihara/terlindungi sehingga beralasan kerawanan. Hasil survey yang terkait dengan hal ini dapat dilihat dalam gambar berikut:
5
Gambar 2.2 Grafik persentase ancaman keamanan si stem informasi Survey tersebut juga menunjukkan bahwa 60% organisasi mengalami serangan atau kerusakan data karena kelemahan dalam sistem keamanan. Kegagalan sistem keamanan lebih banyak disebabkan oleh faktor internal dibandingkan dengan faktor eksternal. Faktor internal ini diantaranya kesalahan dalam pengoperasian sistem (40%) dan diskontinuitas power supply (32%). Hasil survey ISBS tahun 2004-2006 menunjukkan bahwa terdapat banyak jaringan bisnis di Inggris (UK) telah mendapatkan serangan dari luar.
Gambar 2.3 UK business network attack
6
Langkah-langkah untuk memastikan bahwa sistem benar-benar mampu menjamin keamanan data dan informasi dapat dilakukan dengan menerapkan kunci-kunci pengendalian yang teridentifikasi dalam standar ini. 2.4.
Standar Kompetensi Kemanan Menurut TKTI Standar kompetensi diartikan sebagai suatu ukuran atau patokan tentang pengetahuan, keterampilan, dan sikap kerja yang harus dimiliki oleh seseorang untuk mengerjakan suatu pekerjaan atau tugas sesuai dengan unjuk kerja yang dipersyaratkan oleh Tim Koordinasi Telematika Indonesia (TKTI, 2004). Standar kompetensi tidak berarti hanya kemampuan menyelesaikan suatu tugas, tetapi dilandasi pula bagaimana serta mengapa tugas itu dikerjakan. Berdasarkan jenis kelompok Sumber daya manusia (SDM) pada teknologi informasi dan komunikasi (information and communication technology - ICT) berikut kompetensinya, yang berhubungan dengan keamanan dan pemeliharaan komputer, adalah : a.
unit kompetensi no 16
b.
Judul Unit : Mendeskripsikan Kewaspadaan Terhadap Keamanan Informasi. Uraian Unit : Unit kompetensi ini berhubungan dengan pemahaman prinsip keamanan informasi guna. meningkatkan kewaspadaan atas keamanan informasi. Berupa : o Kaidah Umum Kemanan Informasi o Pemilihan dan Penggunaan Password o Identifikasi Resiko Keamanan Atas Penggunaan Internet o Pengelolaan Data/Informasi Secara Aman unit kompetensi no 17 Judul Unit : Mempergunakan Piranti lunak Anti Virus
Uraian Unit : Unit kompetensi ini berkaitan dengan penggunaan piranti lunak anti virus yang umum digunakan dengan tujuan agar dapat melindungi komputer dari berbagai jenis virus standard yang dapat menyebar di komputer kita. Berupa : o Mengidentifikasi jenis virus o Mempersiapkan Piranti lunak Anti Virus dijalankan. o Mengoperasikan piranti lunak anti virus o Melakukan pencegahan unit kompetensi no 20 Judul Unit : Melakukan penanganan awal (Troubleshooting) atas masalah pada PC
c.
Uraian Unit : Unit kompetensi ini berhubungan dengan pemahaman tentang cara kerja komputer (PC) dan penanganannya apabila komputer tersebut tidak bisa bekerja. Berupa : o Cara Kerja Komputer o Instalasi Komponen Komputer o Penggunaan Alat Bantu Deteksi Masalah
7
d.
o Diagnosa Masalah dan Penanganan Masalah (Troubleshoot) unit kompetensi no 21 Judul Unit : Mengoperasikan utilitas dasar untuk Backup, Restore, Data Recovery
Uraian Unit : Unit kompetensi ini berkaitan dengan langkah-langkah dasar dalam melakukan pengamanan terhadap data-data elektronik dalam komputer yang dimiliki. Berupa : o Mengidentifikasi dan mendeskripsikan aspek-aspek pengamanan data o Melindungi data di komputer dari gangguan o Melakukan Data Revovery unit kompetensi no 24 Judul Unit : Mengimplementasikan sistem keamanan dan keselamatan pada pengoperasian komputer
e.
Uraian Unit : Unit kompetensi ini berhubungan dengan penguasaan konsep dasar keamanan sistem komputer yang harus dibuat untuk menjamin kemanan sistem komputer yang digunakan. Berupa : o Mengidentifikasi Ancaman Keamanan o Standar Pengamanan Komputer Dasar
2.5.
Definisi dan Manajemen Keamanan sesuai ISO-17799 ISO (International Standart Organisation) atau Organiasasi standar Internasioanal merupakan badan penetap standar internasional yang terdiri dari wakilwakil dari badan standar nasional setiap negara. ISO menetapkan standarstandar industrial dan komersial dunia. Standard ISO 17799 adalah merupakan suatu standar sistem manajemen keamanan informasi (Informasi Secuity Management system) yang telah disempurnakan dan diterapkan untuk digunakan oleh peruasahaan-perusahaan di dalam mengamankan data atau informasi. yang dimilikinya, dengan adanya standar ISO 17799 maka kita akan dapat mengukur apakah sistem keamanan informasi yang kita terapkan sudah efektif dan memberikan jaminan keamanan terhadap konsumen. Sebelum diperkenalkan ISO 17799, pada tahun 1995, Britania Standard Institut (BSI) meluncurkan standard pertama mengenai manajemen informasi di seluruh dunia, yaitu “B 7799”, Bagian Pertama: Kode Praktek untuk Manajemen Keamanan Informasi, yang didasarkan pada Infrastruktur pokok B 7799. Kemudian pada tanggal 1 Desember, 2000, ISO 17799 standard mengenai manajemen informasi baru diterbitkan. Pemakaian standar ISO 17799 meliputi kebutuhan akan hal-hal sebagai berikut :
Dokumen kebijakan keamanan informasi
Adanya Tanggung jawab keamanan informasi
8
Adanya program pendidikan dan pelatihan keamanan informasi untuk semua pemakai (user)
Mengembangkan suatu sistem untuk pelaporan peristiwa keamanan
Memperkenalkan teknik pengendalian virus
Mengembangkan suatu rencana kesinambungan bisnis
Mengendalikan pengkopian perangkat lunak kepemilikan
Surat pengantar arsip perlindungan data,
organisatoris
untuk
mengikuti
kebutuhan
Dan menetapkan prosedur dalam mentaati kebijakan keamanan. Sedangkan Kebijakan pengendalian atau kontrol menurut standar ISO 17799 meliputi : kebijakan keamanan, organisasi keamanan, penggolongan dan pengendalian asset, keamanan personil, keamanan phisik dan kendali lingkungan, pengembangan dan manajemen jaringan komputer, sistem akses kendali, pemeliharaan sistem, perencanaan kesinambungan bisnis, dan pemenuhan. Guna meminimalkan resiko ancaman keamanan yang merugikan bisnis, maka masalah tersebut harus ditangani dengan menggunakan suatu tindakan pencegahan (preventive action) tanpa harus menunggu dalam keadaan darurat dalam melakukan tindakan keamanan. Dalam rangka pro aktif terhadap kebutuhan keamanan, arsitektur keamanan meliputi tiga unsur pokok:
Kebijakan perusahaan yaitu keterlibatan manajemen dalam alokasi sumber daya dan suatu visi yang strategis dan permasalahan global dalam keamanan, Instrumen teknologi,
Perilaku individu (pelatihan karyawan, dan adanya proses komunikasi). Dalam standar ISO 17799, sistem manajemen keamanan informasi yang efektif dan efisien akan memberikan petunjuk bagi perusahaan atau organisasi untuk:
Secara konstan memperbaharui (update) atas adanya ancaman baru serta mengambil tindakan dengan pertimbangan yang sistematis. Melakukan penanganan kecelakaan dan kerugian dengan tindakan pencegahan dan peningkatan keamanan sistem yan berkelanjutan. Mengetahui ketika kebijakan dan prosedur tidak cukup mampu diterapkan dalam usaha pencegahan ancaman keamanan.
Menerapkan kebijakan dan prosedur tentang pentingnya managemen keamanan, dengan mengikuti " prosedur praktek terbaik" dan manajemen resiko yang baik. Dengan mengenali nilai manajemen keamanan informasi yang strategis ini, maka dapat ditawarkan suatu rencana inovasi sertifikasi, berdasar pada rencana sertifikasi BS7799-2:1999 dan petunjuk ISO17799. Dimana isi dari ISO-17799 meliputi : 10 Ketentuan Pengendalian (control clauses), 36 Tujuan Pengendalian (control objectives), dan, 127 Kendali (controls). Kendali / Kontrol tersebut
9
diuraikan pada tingkat tinggi, tanpa memasukkan masalah te knologi secara detail, dalam rangka membiarkan perusahaan / organisasi masing-masing secara total bebas untuk memilih kendali itu yang terdekat ke situasi cultural/technological dan kebutuhan sendiri. 2.6.
Isi ISO-17799
Berikut adalah isi dari ISO-17799 :
1.
Security Policy (kebijakan keamanan)
Mengarahkan visi dan misi manajemen agar kontinuitas bisnis dapat dipertahankan dengan mengamankan dan menjaga integritas/keutuhan informasi-informasi krusial yang dimiliki oleh perusahaan. Security Policy sangat diperlukan mengingat banyak ditemuinya masalah-masalah non teknis salah satunya penggunaan password oleh lebih dari satu orang. Hal ini menunjukan tidak adanya kepatuhan dalam menerapkan sistem keamanan informasi. Harus dilakukan inventarisasi data-data perusahaan. Selanjutnya dibuat peraturan yang melibatkan semua departemen sehingga peraturan yang dibuat dapat diterima oleh semua pihak. Setelah itu rancangan peraturan tersebut diajukan ke pihak direksi. Setelah disetujui, peraturan tersebut dapat diterapkan. Security Policy meliputi berbagai aspek, yaitu : a. Information security infrastructure b. Information security policy 2.
System Access Control
Mengendalikan/membatasi akses user terhadap informasi-informasi yang telah diatur kewenangannya, termasuk pengendalian secara mobilecomputing ataupun tele-networking. Mengontrol tata cara akses terhadap informasi dan sumber daya yang ada meliputi berbagai aspek, yaitu : a. Access control. b. User Access Management. c.
User Responsibilities.
d. Network Access Control e.
Operation System access Control
f.
Application Access Control.
g. Monitor system Access and use.
10
h. Mobile Computing and Telenetworking. 3.
Communication and Operations
Menyediakan perlindungan terhadap infrastruktur sistem informasi melalui perawatan dan pemeriksaan berkala, serta memastikan ketersediaan panduan
sistem
yang
terdokumentasi
dan
dikomunikasikan
guna
menghindari kesalahan operasional. Pengaturan tentang alur komunikasi dan operasi yang terjadi meliputi berbagai aspek, yaitu : a. Operational procedures and reponsibilities. b. System Planning and acceptance. c.
Protection against malicious software.
d. Housekeeping e.
Network Management.
f.
Media handling and security.
g. Exchange of Information and software. 4.
Management
Management (manajemen komunikasi dan operasi), menyediakan perlindungan terhadap infrastruktur sistem informasi melalui perawatan dan pemeriksaan berkala, serta memastikan ketersediaan panduan sistem yang terdokumentasi dan dikomunikasikan guna menghindari kesalahan operasional. Pengaturan tentang alur komunikasi dan operasi yang terjadi meliputi berbagai aspek, yaitu : a. Operational procedures and reponsibilities. b. System Planning and acceptance. c.
Protection against malicious software.
d. Housekeeping e.
Network Management.
f.
Media handling and security.
g. Exchange of Information and software. 5.
Management
System Development and Maintenance (pengembangan sistem dan pemeliharaan), memastikan bahwa sistem operasi maupun aplikasi yang
11
baru diimplementasikan mampu bersinergi melalui verifikasi/validasi terlebih dahulu sebelum diluncurkan ke live environment. Penelitian untuk pengembangan dan perawatan sistem yang ada meliputi berbagai aspek, yaitu : a. Security requirements of system. b. Security in application system. c.
Cryptographic control
d. Security of system files e. 6.
Security in development and support process.
Physical And Environmental Security
Physical and Environmental Security (keamanan fisik dan lingkungan), membahas keamanan dari segi fisik dan lingkungan jaringan, untuk mencegah kehilangan/ kerusakan data yang diakibatkan oleh lingkungan, termasuk bencana alam dan pencurian data dalam media penyimpanan atau fasilitas informasi yang lain. Aspek yang dibahas antara lain: a. Secure Areas b. Equipment security c. 7.
General Control
Compliance
Compliance (penyesuaian), memastikan implementasi kebijakankebijakan keamanan selaras dengan peraturan dan perundangan yang berlaku, termasuk persyaratan kontraktual melalui audit sistem secara berkala. Kepatuhan yang mengarah kepada pembentukan prosedur dan aturan – aturan sesuai dengan hukum yang berlaku meliputi berbagai aspek, yaitu : a. Compliance with legal requirements b. Reviews of security policy and technical comliance. c. System audit and consideration 8.
Personel Security
Personnel Security (keamanan perorangan), mengatur tentang pengurangan resiko dari penyalahgunaan fungsi penggunaan atau
12
wewenang akibat kesalahan manusia (human error), sehingga mampu mengurangi human error dan manipulasi data dalam pengoperasian sistem serta aplikasi oleh user, melalui pelatihan-pelatihan mengenai security awareness agar setiap user mampu menjaga keamanan informasi dan data dalam lingkup kerja masing-masing. Personnel Security meliputi berbagai aspek, yaitu : a. Security in Job Definition and Resourcing. b. User Training. c. 9.
Responding to Security Incidens and Malfunction.
Security Organization
Security Organization (organisasi keamanan), mengatur tentang keamanan secara global pada suatu organisasi atau instansi, mengatur dan menjaga integritas sistem informasi internal terhadap keperluan pihak eksternal termasuk pengendalian terhadap pengolahan informasi yang dilakukan oleh pihak ketiga (outsourcing). Aspek yang terlingkupi, yaitu : a. Security of third party access b. Outsourcing 10.
Asset Classification Ana Control
Asset Classification and Control (klasifikasi dan kontrol aset), memberikan perlindungan terhadap aset perusahaan dan aset informasi berdasarkan level proteksi yang ditentukan. Membahas tentang penjagaan aset yang ada meliputi berbagai aspek, diantaranya : a. Accountability for Assets. b. Information Classification. 11.
Bussiness Continiity
Business Continuity Management (manajemen kelanjutan usaha), siap menghadapi resiko yang akan ditemui didalam aktivitas lingkungan bisnis yang bisa mengakibatkan ”major failure” atau resiko kegagalan yang utama ataupun ”disaster” atau kejadian buruk yang tak terduga, sehingga diperlukan pengaturan dan manajemen untuk kelangsungan proses bisnis, dengan mempertimbangkan: a. Aspects of business continuity management
13
Membangun dan menjaga keamanan sistem manajemen informasi akan terasa jauh lebih mudah dan sederhana dibandingkan dengan memperbaiki sistem yang telah terdisintegrasi. Penerapan standar ISO 17799 akan memberikan benefit yang lebih nyata bagi organisasi bila didukung oleh kerangka kerja manajemen yang baik dan terstruktur serta pengukuran kinerja sistem keamanan informasi, sehingga sistem informasi akan bekerja lebih efektif dan efisien. 36 objek pengamatan/pengawasan keamanan merupakan uraian dari aspek 10 control clouse tersebut. 2.7.
Aset dan Aspek yang dinilai dalam ISO-17799 Aset dan aspek yang dinilai dalam ISO 17799 yaitu sebagai berikut :
2.7.1. Aset Aset dan aspek yang dinilai dalam ISO 17799 yaitu sebagai berikut : 1. Information assets (aset informasi), 2. Software assets (aset perangkat lunak yang dimiliki), 3. Physical assets (aset fisik) dan 4. Services (pelayanan). 2.7.2. Aspek Berikut adalah aspek yang ada di dalam ISO 1799 : 1. Kebijakan Keamanan
Untuk memberikan arahan dan dukungan manajemen keamanan informasi. Manajemen harus menetapkan arah kebijakan yang jelas dan menunjukkan dukungan, serta komitmen terhadap keamanan informasi melalui penerapan dan pemeliharaan suatu kebijakan keamanan informasi di seluruh tataran organisasi; 2.
Pengorganisasian Keamanan
Untuk mengelola keamanan informasi dalam suatu organisasi. Satu kerangka kerja manajemen harus ditetapkan untuk memulai dan mengkontrol penerapan keamanan informasi di dalam organisasi.Fora manajemen dengan kepemimpinan yang kondusif harus dibangun untuk menyetujui kebijakan keamanan informasi, menetapkan peran keamanan dan mengkoordinir penerapan keamanan di seluruh tataran organisasi. Jika diperlukan, pendapat pakar keamanan informasi harus dipersiapkan dan tersedia dalam organisasi. Hubungan dengan pakar keamanan eksternal
14
harus dibangun untuk mengikuti perkembangan industri, memonitor standar dan metode penilaian serta menyediakan penghubung yang tepat, ketika berurusan dengan insiden keamanan. Pendekatan multi-disiplin terhadap keamanan informasi harus dikembangkan, misalnya dengan melibatkan kerjasama dan kolaborasi di antara manajer, pengguna, administrator, perancang aplikasi, pemeriksa dan staf keamanan, serta keahlian di bidang asuransi dan manajemen resiko; 3.
Klasifikasi dan Kontrol Aset
Untuk memelihara perlindungan yang tepat bagi pengorganisasian aset.Semua aset informasi penting harus diperhitungkan keberadaannya dan ditentukan kepemilikannya. Akuntabilitas terhadap aset akan menjamin terdapatnya perlindungan yang tepat. Pemilik semua aset penting harus diidentifikasi dan ditetapkan tanggung jawabnya untuk memelihara sistem kontrol
tersebut.
Tanggungjawab
penerapan
sistem
kontrol
dapat
didelegasikan. Akuntabilitas harus tetap berada pada pemilik aset; 4.
Pengamanan Personil
Untuk mengurangi resiko kesalahan manusia, pencurian, penipuan atau penyalahgunaan fasilitas.Tanggung jawab keamanan harus diperhatikan pada tahap penerimaan pegawai, dicakup dalam kontrak dan dipantau selama masa kerja pegawai. Penelitian khusus harus dilakukan terhadap calon pegawai (lihat 6.1.2) khususnya di bidang tugas yang rahasia. Seluruh pegawai dan pengguna pihak ketiga yang menggunakan fasilitas pemrosesan informasi harus menanda-tangani perjanjian kerahasiaan (nondisclosure); 5.
Keamanan Fisik dan Lingkungan
Untuk mencegah akses tanpa otorisasi, kerusakan, dan gangguan terhadap tempat dan informasi bisnis. Fasilitas pemrosesan informasi bisnis yang kritis dan sensitif harus berada di wilayah aman, terlindung dalam perimeter keamanan, dengan rintangan sistem pengamanan dan kontrol masuk yang memadai. Fasilitas tersebut harus dilindungi secara fisik dari akses tanpa ijin, kerusakan dan gangguan. Perlindungan harus disesuaikan dengan identifikasi resiko. Disarankan penerapan kebijakan clear desk dan
15
clear screen untuk mengurangi resiko akses tanpa ijin atau kerusakan terhadap kertas, media dan fasilitas pemrosesan informasi. 6.
Komunikasi dan Manajemen Operasi
Untuk menjamin bahwa fasilitas pemrosesan informasi berjalan dengan benar dan aman. Harus ditetapkan tanggung jawab dan prosedur untuk manajemen dan operasi seluruh fasilitas pemrosesan informasi. Hal ini mencakup pengembangan instruksi operasi yang tepat dan prosedur penanganan insiden. Di mana mungkin harus ditetapkan pemisahan tugas (lihat 8.1.4.), untuk mengurangi resiko penyalahgunaan sistem karena kecerobohan atau kesengajaan; 7.
Pengontrolan Akses
Untuk mencegah akses tanpa ijin terhadap sistem informasi. Prosedur formal harus diberlakukan untuk mengkontrol alokasi akses, dari pendaftaran awal dari pengguna baru sampai pencabutan hak pengguna yang sudah tidak membutuhkan lagi akses ke sistem informasi dan layanan. Perhatian khusus harus diberikan, jika diperlukan, yang dibutuhkan untuk mengkontrol alokasi hak akses istimewa, yang memperbolehkan pengguna untuk menembus sistem kontrol; 8.
Pengembangan dan Pemeliharaan Sistem
Untuk memastikan bahwa keamanan dibangun dalam sistem informasi. Persyaratan Keamanan sistem mencakup infrastruktur, aplikasi bisnis dan aplikasi yang dikembangkan pengguna. Disain dan implementasi proses bisnis yang mendukung aplikasi atau layanan sangat menentukan bagi keamanan. Persyaratan keamanan harus diidentifikasi dan disetujui sebelum pengembangan sistem informasi. Semua persyaratan keamanan sisitem informasi, termasuk kebutuhan pengaturan darurat, harus diidentifikasi pada fase
persyaratan
suatu
proyek.,
dan
diputuskan,
disetujui
serta
didokumentasikan sebagai bagian dari keseluruhan kasus bisnis sebuah sistem informasi; 9.
Manajemen Kelangsungan Bisnis
Untuk menghadapi kemungkinan penghentian kegiatan usaha dan melindungi proses usaha yang kritis dari akibat kegagalan atau bencana
16
besar. Proses manajemen kelangsungan usaha harus diterapkan untuk mengurangi kerusakan akibat bencana atau kegagalan sistem keamanan (yang mungkin dihasilkan dari, sebagai contoh, bencana alam, kecelakaan, kegagalan alat dan keterlambatan) sampai ke tingkat yang dapat ditolerir melalui kombinasi pencegahan dan pemulihan kontrol. Konsekuensi dari bencana alam, kegagalan sistem keamanan dan kehilangan layanan harus dianalisa. Rencana darurat harus dikembangkan dan diterapkan untuk memastikan proses usaha dapat disimpan ulang dalam skala waktu yang dibutuhkan. Rencana semacam itu harus dijaga dan dipraktekkan untuk menjadi bagian integral keseluruhan proses manajemen. Manajemen kelangsungan bisnis harus mencakup kontrol untuk mengidentifikasi dan mengurangi resiko, membatasi konsekuensi kesalahan yang merusak, dan memastikan penyimpulan tahapan operasional yang penting; dan 10. Kesesuaian
Untuk menghindari pelanggaran terhadap hukum pidana maupun hukum perdata, perundangan, peraturan atau kewajiban kontrak serta ketentuan keamanan lainnya. Disain, operasional, penggunanan dan manajemenan sistem informasi adalah subyek dari perundangan, peraturan, dan perjanjian kebutuhan keamanan. Saran untuk kebutuhan legalitas yang bersifat khusus harus dicari dari penasihat hukum organisasi, atau praktisi hukum yang berkualitas. Kebutuhan legalitas bervariasi dari negara ke negara dan bagi informasi yang dihasilkan dalam satu negara yang didistribusikan ke negara lain (contohnya arus data lintas batas). 2.8.
Manfaat Implementasi ISO-17799 Manfaat dalam menerapkan ISO-17799 adalah sebagai berikut :
Menjamin layanan informasi yang tepat guna.
Basis untuk standar keamanan informasi perusahaan
2.9.
Dokumentasi yang lengkap atas segala perubahan. Standar ini merupakan tanda kepercayaan dalam seluruh keamanan perusahaan.
Kelemahan Implementasi ISO-17799 Kelemahan dalam menerapkan ISO-17799 adalah sebagai berikut :
Memerlukan biaya yang mahal sehingga hanya daoat diaplikasikan dalam organisasi besar dengan struktur keuangan yang kuat.
17
ISO/IEC 17799:2005 tidak memfokuskan pada effectiveness dan efficiency serta hanya memberikan sedikit perhatian pada reliability. Sedangkan pada pengelolaan sumber daya TI dalam ISO/IEC 17799:2005tidak terlalu memfokuskan pada infrastructure.
BAB III PENUTUP Kesimpulan a. Keamanan yang baik bukan saja merupakan kemewahan untuk perusahaan-
perusahaan besarxsaja, tetapi juga merupakan keharusan bagixperusahaan kecil. Keamanan informasi disesuaikan dengan perusahaan. Kerahasiaan, integritas, dan keberadaan informasi adalahxfactor penting dalam memelihara aspek persaingan, arus kas, penyesuaian legalitas dan citra diri perusahaan yang baik. b. Mengembangkan kebijakan keamanan informasi berdasarkan ISO 17799 merupakan titik utama dalam manajemen keamanan informasi. c. Salah satu cara terbaik dalam melaksanakan system keamanan informasi yang lengkap dan efektif adalah dengan mengimplementasikan software dan menggunakannya bersama dengan para professional untuk pelayanan intern. d. Membangun dan menjaga keamanan system manajemen informasi akan lebih mudah dan sederhana dibandingkan dengan memperbaiki sistem yang telah terdisintegrasi. Penerapan standar ISO 17799 akan memberikan benefit yang didukung oleh kerangka kerja manajemen yang baik dan terstruktur serta pengukuran kinerja sistem keamanan informasi, sehingga sistem informasi akan bekerja lebih efektif dan efisien.
18
DAFTAR PUSTAKA
[1] P. R. E. Indrajit, "Kerangka Standar Kemanan Informasi," pp. 1-9. [2] H. Februariyanti, “Standar dan Manajemen Keamanan Komputer,” Jurnal Teknologi Informasi DINAMIK Volume XI, pp. 134-142, 2006. [3] M. Syafrizal, “www.academia.edu,” 24 November 2007. [Online]. Available: https://idsirtii.or.id/doc/IDSIRTII-Artikel-pengantar_ISO.pdf. [Diakses 16 Maret 2018].
19
