Forum VClass Softskill Pertemuan 2 - MLSI

ASFAN SHABRI
NPM 17120005
KELAS 2KA20

 Manajemen Keamanan Sistem Informasi

Kebijakan keamanan sistem informasi biasanya disusun oleh pimpinan  operasional beserta pimpinan ICT dengan pengarahan dari pimpinan organisasi atau perusahaan. Rangkaian konsep secara garis besar dari prosedur keamanan sistem informasi adalah:

1. Keamanan sistem informasi merupakan urusan dan tanggung jawab semua karyawan. Semua karyawan harus mengetahui dampak apabila peraturan keamanan sistem informasi diabaikan. Semua manajer atau pihak ICT bertanggung jawab untuk mengkomunikasikan kepada semua karyawannya mengenai pengamanan yang dilakukan di perusahaan dan meyakinkan bahwa mereka mengetahi dan memahami semua peraturan yang diterapkan di perusahaan dan bagiannya. Akan tetapi dilain pihak, setiap karyawan bertanggung jawab dan harus mematuhi peraturan keamanan sistem informasi yang diterapkan perusahaan. Memunculkan tanggung jawab karyawan dapat dilakukan dengan cara:

a. Mengadakan pelatihan atau sosialisi tentang pedoman keamanan sistem informasi,

b. Mencantumkan ketentuan yang berkaitan dengan keamanan sistem informasi pada surat kontrak ketika karyawan tersebut mulai bekerja,

c. Memberikan surat peringatan terhadap karyawan yang melanggar ketentuan keamanan sistem informasi.

Contoh: tidak ada gunanya apabila username dan password untuk mengakses data diberikan atau diketahui oleh pihak yang tidak berwenang. Misalnya dengan menempelkan password di atas keyboard atau di monitor.

2. Penetapan pemilik sistem informasi.

Sebaiknya menunjuk atau menetapkan seorang karyawan sebagai pemilik sistem (atau subsistem) yang bertanggung jawab atas keamanan sistem dan data yang diolahnya. Beliau juga berhak untuk mengajukan permintaan atas pengembangan sistem lebih lanjut atau perbaikan sistem yang menyangkut bagiannya. Personal ini merupakan contact person dengan bagian ICT.

Contoh: Perusahaan menunjuk seseorang dari salah satu divisi untuk dapat mengakses halaman backdoor website resmi perusahaan dan mengolah data yang ada di dalam website tersebut. Personal tersebut juga dapat mengajukan permintaan dan pengembangan sistem website apabila ditemukan kekurangan atau kelemahan.

3. Langkah keamanan harus sesuai dengan peraturan dan undang-undang.Tergandung bidang yang ditekuni, perusahaan harus mematuhi undang-undang yang telah ditetapkan yang berikaitan dengan proteksi data, cyber law, dan hak cipta.

Contoh: sebuah bank harus mematuhi peraturan yang dikeluarkan oleh Bank Indonesia, misalnya berkatian dengan sistem pengiriman uang atau perlindungan data nasabah.

4. Antisipasi terhadap kesalahan.

Dengan meningkatnya proses transaksi secara online dan real time yang terkoneksi ke dalam jaringan komputer, maka transaksi akan terlaksana dalam hitungan beberapa detik atau lebih cepat. Transaksi semacam ini apabila terjadi kesalahan tidak dapat langsung diperbaiki atau akan menyita banyak waktu dan upaya dalam perbaikannya.

Antisipasi dan pencegahan dengan tindakan keamanan yang ketat akan memberikan garansi atas integritas, keberlangsungan, dan kerahasiaan transaksi.

Contoh: transaksi ini biasanya terjadi pada sistem perbankan misalnya pemindahan dana melalui ATM. Berbeda halnya dengan proses transaksi pemesanan barang yang tidak langsung dapat dikirim, kesalahan pemesanan masih dapat dikoreksi misalnya melalui kontak telepon, email atau melalui fasilitas yang tersedia pada sistem.

5. Pengaksesan ke dalam sistem harus berdasarkan kebutuhan fungsi.

Pengguna sistem harus disesuaikan dengan kebutuhan fungsi pengguna tersebut. Dalam artian akses yang diberikan hanya dapat digunakan pada bagian-bagian sistem yang sesuai dengan fungsionalitas karyawan dalam perusahaan.

Contoh: bagian personalia hanya diberikan akses terhadap sistem penggajian, tidak ada akses terhadap data hasil penjualan dari setiap personal bagian pemasaran. Atau beberapa personal bagian personalia (misalnya untuk bagian rekrutment/hiring) tidak diperbolehkan untuk memiliki akses ke data penggajian karyawan.

6. Hanya data bisnis yang ditekuni perusahaan yang diperbolehkan untuk diproses di sistem komputer.Sistem komputer milik perusahaan beserta jaringannya hanya diperbolehkan untuk dipakai demi kepentingan bisnis perusahaan. Data yang diperbolehkan disimpan dalam sistem hanya data-data yang berkaitan dengan proses bisnis perusahaan dan data tersebut hanya digunakan untuk kebutuhan perusahaan.

Contoh: Pengguna tidak diperbolehkan menyimpan data pribadi (yang tidak berkaitan dengan kebutuhan bisnis) pada komputer atau database sistem.

Contoh lainnya adalah aplikasi yang dikembangkan oleh perusahaan software house tidak dapat digunakan oleh karyawan untuk keperluan pribadi.

7. Pekerjaan yang dilakukan oleh pihak ketiga.Apabila terdapat pekerjaan yang diserahkan kepada pihak ketiga, maka perusahaan harus dilindungi oleh keamanan atas informasi perusahaan. Di dalam kontrak harus diatur agar pihak ketiga tidak menyebarkan data dan informasi yang berkaitan dengan perusahaan. Selain hal tersebut untuk antisipasinya perusahaan harus menunjuk seseorang sebagai perwakilan perusahaan untuk terlibat (melakukan pengawasan) dalam proyek yang dikerjakan oleh pihak ketiga.

Contoh: apabila dalam pengembangan sistem informasi melibatkan software house dalam pengerjaannya, maka pada saat tahap uji coba akhir yang mengharuskan melibatkan data sungguhan perusahaan. Data ini tidak diperbolehkan oleh pihak software house untuk disalin atau disebarluaskan baik dalam bentuk hardcopy maupun softcopy, apalagi kalau sampai digunakan sebagai contoh untuk perusahaan lain atau kompetitor.

8. Pemisahan aktivitas antara pengembang sistem, pengoperasian sistem, dan pemakai akhir sistem informasi. Untuk menjaga kestabilan sistem informasi di perusahaan, maka dianjurkan untuk diadakan pemisahan secara fungsional antara pengembang sistem, pengoperasian sistem harian dan pemakai akhir sistem. 

Contoh: tidak dibenarkan apabila pengembang sistem (programmer, system analys) diberikan tanggung jawab secara bersamaan dalam menangangi pengoperasian sistem (system administrator, database administrator) atau diberikan tugas-tugas sebagai pengguna akhir (user).

9. Implementasi sistem baru atau permintaan perubahan terhadap sistem yang sudah ada harus melalui pengontrolan yang ketat melalui prosedur sistem akseptasi dan permintaan perubahan (Change Request).

Setiap permintaan perubahan harus disertai alasan yang kuat serta keuntungan yang akan didapatkan dan pemohon harus dapat meyakini manajer terkait dan pemilik sistem mengenai perubahan ini. Harus pula diingat bahwa perubahan program akan memakan biaya dan waktu.

Contoh: tidak dibenarkan apabila pemakai secara inidividu meminta atau melakukan perubahan terhadap sistem tanpa sepengetahuan pemilik sistem atau tanpa melalui prosedur change request. 

10. Sistem yang akan dikembangkan harus sesuai dengan standar metode pengembangan sistem yang diemban oleh organisasi.Sistem yang akan dikembangkan harus memakai bahasa pemrograman yang sudah ditetapkan. Begitu pula dengan sistem database yang digunakan harus memiliki keseragaman. Sebelum implementasi sistem yang dikembangkan, maka diwajibkan melakukan evaluasi dan menilai keandalan keamanan sistem agar sesuai dengan standar keamanan yang sudah ditetapkan.

11. Pemakai bertanggung jawab penuh atas semua aktivitas yang dilakukan dengan memakai kode identitasnya (User-ID).5 Materi 3 | Keamanan Sistem Informasi Semua pemakai harus berhati-hati menyimpan username dan password. Semua aktivitas yang dilakukan oleh ID yang bersangkutan harus terekam dalam sebuah sistem. Apabila terjadi kesalahan yang berkaitan dengan ID tersebut yang mengakibatkan kerugian terhadap perusahaan, maka pengguna yang bersangkutan akan diminta pertanggung jawabannya.