8 Tahap Kontrol Keamanan pada SI

Sebuah sistem informasi  memerlukan kontrol keamanan untuk mengetahui bahwa sistem informasi tersebut sudah terlindungi dengan baik. Berikut ini adalah 8 tahap kontrol keamanan pada sebuah sistem informasi yang dimiliki oleh suatu perusahaan atau organisasi

1.      Prepare a Project Plan (Persiapan Rencana Proyek)

Perencanaan proyek untuk tinjauan keamanan mengikuti beberapa item, sebagai berikut:
a. Tujuan Review

b. Ruang Lingkup (Scope) Review

c. Tugas yang harus dipenuhi

d. Organisasi dari Tim Proyek

e. Sumber Anggaran (Pendanaan)

f. Jadwal untuk Menyelesaikan Tugas

2.      Identify Assets (Mengidentifikasi Kekayaan/Aset)

Tujuan mengidentifikasi asset untuk mengetahui kekayaan yang dimiliki agar perusahaan/organisasi dapat melindungi aset semaksimal mungkin tanpa ada yang terlewatkan. Adapun aset/kekayaan terbagi menjadi beberapa klasifikasi, yaitu:

a)      Personnel (End Users, Analyst, Programmers, Operators, Clerks, Guards)

b)      Hardware (Mainframe, Minicomputer, Microcomputer, Disk, Printer, Communication Lines, Concentrator, Terminal)

c)      Fasilitas (Furniture, Office Space, Computer Rom, Tape Storage Rack)

d)      Dokumentasi (System And Program Doc., Database Doc., Standards Plans, Insurance Policies, Contracts)

e)      Persediaan (Negotiable Instrument, Preprinted Forms, Paper, Tapes, Cassettes)

f)       Data/Informasi (Master Files, Transaction Files, Archival Files)

g)      Software Aplikasi (Debtors, Creditors, Payroll, Bill-Of-Materials, Sales, Inventory)

h)      Sistem Software (Compilers, Utilities, Dbms, Os, Communication Software, Spreadsheets)

3.      Value Assets (Nilai Kekayaan)

Langkah ke tiga adalah penilaian kekayaan, yang merupakan langkah paling sulit. Parker (1981) menggambarkan ketergantungan penilaian pada siapa yang ditanya untuk memberikan penilaian, cara penilaian atas kekayaan yang hilang (lost), waktu periode untuk perhitungan atas hilangnya kekayaan, dan umur asset.

4.      Identify Threats (Mengidentifikasi Ancaman)

Bertujuan untuk pencegahan dan penanggulangan dini. Ancaman juga terbagi menjadi dua kategori, yaitu ancaman external dan internal.

Sumber ancaman External :

a)      Nature / Acts of God

b)      H/W Suppliers

c)      S/W Suppliers

d)      Contractors

e)      Other Resource Suppliers

f)       Competitors (Sabotage, Espionage, Lawsuits, Financial Distress Through Fair Or Unfair Competition)

g)      Debt and Equity Holders

h)      Unions (Strikes, Sabotage,Harassment)

i)        Governmnets

j)        Environmentalist (Harassment (Gangguan), Unfavorable Publicity)

k)      Criminals/Hackers (Theft, Sabotage, Espionage, Extortion)

Sumber ancaman Internal :

·         Management, contoh kesalahan dalam penyediaan sumber daya, perencanaan dan control yang tidak cukup.

·         Employee, Errors, Theft (pencurian), Fraud (penipuan), Sabotase, Extortion (Pemerasan), Improper Use Of Service (penggunaan layanan yg tidak sah)

·         Unreliable System, contoh Kesalahan H/W, kesalahan S/W, kesalahan fasilitas.

5.      Threats Likehood Assessment (Penilaian Kemungkinan Ancaman)

perusahaan asuransi dapat menyediakan informasi tentang kemungkinan terjadinya kebakaran api dalam satu waktu periode tertentu.

6.      Analyze Exposures

Tahap analisis ekspose terdiri dari 4 tugas yaitu :

1. Identification of the controls in place

2. Assessment of the reliability of the controls in place

3. Evaluation of the likelihood that a threat incident will be successful

4. Assess the resulting loss if the threat is successful

7.      Adjust Controls (Pengendalian Penerapan)

Keenam tahap diatas akan dimonitoring apakah tahap-tahap tersebut sudah diterapkan dengan tepat dan berjalan sesuai tujuan yang akan dicapai.

8.      Prepare Security Report (Persiapan Laporan Keamanan)

Tahap ini untuk melaporkan secara berkala mengenai keamanan sistem untuk memantau kinerja keamaan dari sistem yang telah diterapkan.