BAB 9 PENGENDALIAN KERAHASIAAN PRIVASI

Pembahasan berikut meliputi dua prinsip lain dari keandalan sistem dan Trust Service Framework: menjaga kerahasiaan kekayaan intelektual sebuah organisasi dan menjaga privasi informasi pribadi yang dikumpulkan dari pelanggan, pegawai, pemasok, dan rekan bisnis. Selain itu pembahasan berikut akan membahas enkripsi secara mendetail karena ia merupakan alat penting untuk melindungi baik kerahasiaan maupun privasi.

MENJAGA KERAHASIAAN

Empat tindakan dasar yang harus dilakukan untuk menjaga kerahasiaan atas informasi sensitif adalah sebagai berikut:

1. mengidentifikasi dan mengklarifikasi informasi yang dilindungi.
2. mengenkripsi informasi.
3. mengendalikan akses atas informasi.
4. melatih para pegawai untuk menangani informasi secara tepat.

IDENTIFIKASI DAN KLARIFIKASI INFORMASI UNTUK DILINDUNGI

Langkah pertama untuk melindungi kerahasiaan kekayaan intelektual dan informasi bisnis sensitif lainnya adalah mengidentifikasi letak informasi tersebut disimpan dan orang yang mengaksesnya. Langkah selanjutnya adalah mengklarifikasikan informasi untuk organisasi berdasarkan nilainya.

MELINDUNGI KERAHASIAAN DENGAN ENKRIPSI

Enkripsi adalah alat yang sangat penting dan efektif untuk melindungi kerahasiaan. Ia adalah satu-satunya cara untuk melindungi informasi dalam lalu lintasnya melalui internet. Enkripsi juga merupakan bagian yang diperlukan dari defense-in-depth untuk melindungi informasi yang disimpan dalam situs atau di dalam sebuah cloud publik.

MENGENDALIKAN AKSES ATAS INFORMASI

Manajemen hak informasi (information rights management - IRM): perangkat lunak yang menawarkan kemampuan tidak hanya untuk membatasi akses terhadap file atau dokumen tertentu, tetapi juga memerinci tindakan-tindakan (baca, salin, cetak, unduh, dsb) individu yang diberi akses terhadap sumber daya tersebut agar dapat melakukannya. Beberapa perangkat lunak IRM bahkan memiliki kemampuan untuk membatasi keistimewaan akses untuk periode waktu tertentu dan menghapus file yang dilindungi dari jarak jauh.

Pencegahan kehilangan data (data loss prevention - DLP): perangkat lunak yang bekerja seperti program antivirus secara terbalik, mengeblok pesan-pesan keluar (baik e-mail, IM, dll.) yang mengandung kata-kata atau frasa-frasa kunci yang terkait dengan kekayaan intelektual atau data sensitif lain yang ingin dilindungi organisasi.

Watermark digital (digital watermark): kode yang terlekat dalam dokumen yang memungkinkan sebuah organisasi untuk mengidentifikasi informasi rahasia yang telah diungkapkan.

PELATIHAN

Pelatihan adalah pengendalian yang paling penting untuk melindungi kerahasiaan. Para pegawai harus mengetahui jenis informasi yang dapat mereka bagikan dengan orang luar dan jenis informasi yang perlu dilindungi.

PRIVASI

Prinsip privasi Trust Services Framework erat kaitannya dengan prinsip kerahasiaan, perbedaan utamanya, yaitu ia lebih fokus pada perlindungan informasi pribadi mengenai pelanggan, pegawai, pemasok, atau rekan bisnis daripada data keorganisasian.

PENGENDALIAN PRIVASI

Data masking: sebuah program yang melindungi privasi dengan mengganti informasi pribadi dengan nilai-nilai palsu.

PERMASALAHAN PRIVASI

Spam: e-mail yang tidak diinginkan yang mengandung baik periklanan maupun konten serangan.

Organisasi harus mengikuti panduan Controlling the Assault of Non-Solicited Pornography and Marketing (CAM-SPAM) atau risiko sanksinya. Ketentuan utamanya meliputi:

• identitas pengirim harus ditampilkan dengan jelas di header pesan.
• field subjek pada header harus mengidentifikasikan dengan jelas pesan sebagai contoh periklanan atau permintaan.
• bagian isi pesan harus menyediakan penerima dengan sebuah tautan aktif yang dapat digunakan untuk memilih keluar dari e-mail di masa depan.
• bagian isi pesan harus menyertakan alamat pos pengirim yang valid.
• organisasi tidak boleh mengirim e-mail komersial ke alamat-alamat yang diperoleh secara acak dan tidak boleh membuat situs yang di desain untuk "mengambil" alamat e-mail dari calon pelanggan.

Pencurian identitas (identity theft): mengasumsikan identitas seseorang, biasanya untuk keuntungan ekonomi.

REGULASI PRIVASI DAN PRINSIP-PRINSIP PRIVASI YANG DITERIMA SECARA UMUM(GENERALLY ACCEPTED PRIVACY PRINCIPLES - GAAP)

Sepuluh praktik terbaik yang diakui secara internasional untuk melindungi privasi informasi pribadi para pelanggan adalah:

1. Manajemen. Organisasi perlu membuat satu set prosedur dan kebijakan untuk melindungi privasi informasi pribadi yang mereka kumpulkan dari para pelanggan, begitu pula dengan informasi tentang pelanggan mereka yang diperoleh dari pihak ketiga seperti biro kredit.
2. Pemberitahuan. Organisasi harus memberikan pemberitahuan tenteng kebijakan dan praktik privasinya pada saat atau sebelum organisasi tersebut mengumpulkan informasi pribadi dari para pelanggan atau sesegera sesudahnya.
3. Pilihan dan persetujuan. Organisasi harus menjelaskan pilihan-pilihan yang disediakan kepada para individu serta mendapatkan persetujuannya sebelum mengumpulkan dan menggunakan informasi pribadi mereka.
4. Pengumpulan. Organisasi hanya boleh mengumpulkan informasi yang diperlukan untuk memenuhi tujuan yang dinyatajan dalam kebijakan privasinya. Cookie: sebuah file teks yang diciptakan oleh sebuah situs web dan disimpan dalam hard drive pengunjung. Cookiemenyimpan informasi mengenai siapa pengguna tersebut dan tindakan yang telah dilakukan pengguna di situs tersebut.
5. Penggunaan dan retensi. Organisasi harus menggunakan informasi pribadi para pelanggan hanya dengan cara yang dideskripsikan pada kebijakan privasi yang dinyatakan dan menyimpan informasi tersebut hanya selama informasi tersebut diperlukan untuk memenuhi tujuan bisnis yang sah.
6. Akses. Organisasi harus memberikan individu dengan kemampuan mengakses, meninjau, memperbaiki, dan menghapus informasi pribadi yang tersimpan mengenai mereka.
7. Pengungkapan kepada pihak ketiga. Organisasi harus mengungkapkan informasi pribadi pelanggannya hanya untuk situasi dan cara yang sesuai dengan kebijakan privasi organisasi serta hanya kepada pihak ketiga yang menyediakan tingkatan perlindungan privasi yang sama, sebagaimana organisasi sebelumnnya yang mengumpulkan informasi tersebut. 
8. Keamanan. Organisasi harus mengambil langkah-langkah rasional untuk melindungi informasi pribadi para pelanggannya dari kehilangan atau pengungkapan yang tak terotorisasi.
9. Kualita. Organisasi harus menjaga integritas informasi pribadi pelanggannya dan menggunakan prosedur yang memastikan informasi tersebut akurat secara wajar.
10. Pengawasan dan penegakan. Organisasi harus menugaskan satu pegawai atau lebih guna bertanggung jawab untuk memastikan kepatuhan terhadao kebijakan privasi yang dinyatakan.

ENKRIPSI

Enkripsi (encryption): proses mentransformasikan teks normal, disebut plaintext, ke dalam raban yang tidak dapat dibaca, disebut chipertext.

Plaintext: teks normal yang belum dienkripsi.

Chipertext: plaintext yang diubah menjadi raban yang tidak dapat dibaca menggunakan enkripsi.

Deskripsi: mengubah chipertext kembali menjadi plaintext.

Berikut langkah-langkah dalam proses enkripsi dan deskripsi:

FAKTOR-FAKTOR YANG MEMENGARUHI KEKUATAN ENKRIPSI

PANJANG KUNCI

Kunci yang lebih panjang memberikan enkripsi yang lebih kuat dengan mengurangi jumlah blok-blok berulang pada chipertext.

ALOGARITME ENKRIPSI

Jenis alogaritme yang digunakan untuk mengombinasikan kunci dan plaintext adalah sangat penting.

KEBIJAKAN UNTUK MENGELOLA KUNCI KRIPTOGRAFI

Manajemen kunci kriptografi sering kali merupakan aspek penting yang paling rentan dari sistem enkripsi.

JENIS-JENIS SISTEM ENKRIPSI

Sistem enkripsi simetris (symmetric encryption system): sistem enkripsi yang menggunakan kunci yang sama untuk mengenkripsi dan mendeskripsi.

Sistem enkripsi asimetris (asymmetric encryption system): sistem enkripsi yang menggunakan dua kunci (satu publik, lainnya privat), keduanya dapat mengenkripsi, tetapi hanya kunci pencocokan lainnya yang dapat mendeskripsi.

Kunci publik (public key): salah satu kunci yang digunakan dalam sistem enkripsi asimetris. Kunci ini didistribusikan secara luas dan tersedia bagi siapa pun.

Kunci privat (private key): salah satu kunci yang digunakan pada sistem enkripsi asimetris. Kunci ini dirahasiakan dan diketahui hanya oleh pemilik dari sepasang kunci publik dan privat.

Key escrow: proses penyimpanan sebuah salinan kunci enkripsi dalam lokasi yang aman.

Berikut perbandingan sistem enkripsi simetris dan asimetris: 

HASHING

Hashing: mengubah plaintext sepanjang apa pun ke dalam sebuah kode singkat yang disebut hash.

Hash:  plaintext yang telah diubah menjadi kode singkat.

Beikut perbandingan antara hashing dan enkripsi:

TANDA TANGAN DIGITAL

Nonrepudiation: menciptakan persetujuan yang terikat secara hukum yang tidak dapat ditolak secara unilateral oleh kedua pihak.

Tanda tangan digital (digital signature): sebuah hash yang dienkripsi dengan kunci privat milik pembuat hash.

Berikut langkah menciptakan sebuah tanda tangan digital: 

Berikut contoh penggunaan tanda tangan digital: 

SERTIFIKAT DIGITAL DAN INFRASTRUKTUR KUNCI PUBLIK

Sertifikat digital (digital certificate): sebuah dokumen elektronik yang mengandung kunci publik milik entitas dan menerangkan identitas pemilik kunci publik tersebut.

Otoritas sertiifikat (certificate authority): sebuah organisasi yang menerbitkan kunci publik dan privat serta mencatat kunci publik di dalam sertifikat digital.

Infrastruktur kunci publik (public key infrastructure - PKI): sistem untuk menerbitkan sepasang kunci publik dan privat serta sertifikat digital terkait.

VIRTUAL PRIVATE NETWORK (VPN)

Virtual private network (VPN): menggunakan enkripsi dan autentikasi untuk mentransfer informasi melalui internet dengan aman sehingga menciptakan sebuah jaringan privat "virtual".

Berikut VPN: 

BAB 8 PENGENDALIAN UNTUK KEAMANAN INFORMASI

Trust Services Framework mengatur pengendalian TI ke dalam lima prinsip yang berkontribusi secara bersamaan terhadap keandalan sistem:

1. Keamanan (security) - akses (baik fisik maupun logis) terhadap sistem dan data di dalamnnya dikendalikan serta terbatas untuk pengguna yang sah.
2. Kerahasiaan (confidentiaity) - informasi keorganisasian yang sensitif (seperti rencana pemasaran, rahasia dagang) terlindungi dari pengungkapan yang tanpa izin.
3. Privasi (privacy) - informasi pribadi tentang pelanggan, pegawai, pemasok, atau rekan kerja hanya dikumpulkan, digunakan, diungkapkan, dan dikelola sesuai dengan kepatuhan terhadap kebijakan internal dan persyaratan peraturan eksternal serta terlindungi dari pengungkapan yang tanpa izin.
4. Integritas Pemrosesan (processing integrity) - data diproses secara akurat, lengkap, tepat waktu, dan hanya dengan otorisasi yang sesuai.
5. Ketersediaan (avaibility) - sistem dan informasinya tersedia untuk memenuhi kewajiban operasional dan kontraktual. 

Beikut ini hubungan antara lima prinsip trust services untuk keandalan sistem:

DUA KONSEP KEAMANAN INFORMASI FUNDAMENTAL

KEAMANAN MERUPAKAN MASALAH MANAJEMEN, BUKAN HANYA MASALAH TEKNOLOGI

Walaupun keamanan informasi yang efektif mensyaratkan penggunaan alat-alat berteknologi sepertifirewall, antivirus, dan enkripsi, keterlibatan serta dukungan manajemen senior juga jelas menjadi dasar untuk keberhasilan. Manajemen senior harus berpartisipasi dalam pengembangan kebijakan karena mereka harus memutuskan sanksi yang akan diberikan terhadap tindakan ketidak patuhan. Manajemen senior juga harus mengotorisasi investasi sumber daya yang diperlukan untuk mengatasi ancaman yang teridentifikasi serta mencapai level keamanan yang dikehendaki.

DEFENSE-IN-DEPTH DAN MODEL KEAMANAN INFORMASI BERBASIS WAKTU

Defense-in-depth: menggunakan berbagai lapisan pengendalian untuk menghindari sebuah poin kegagalan.

Model keamanan berbasis waktu (time-based model of security): penggunaan kombinasi perlindungan preventif, detektif, korektif yang melindungi aset informasi cukup lama agar memungkinkan organisasi untuk mengenali bahwa sebuah serangan tengah terjadi dan mengambil langkah-langkah untuk menggagalkannya sebelum informasi hilang atau dirusak.

MEMAHAMI SERANGAN YANG DITARGETKAN

Langkah-langkah dasar yang dilakukan para penjahat untuk menyerang sistem informasi suatu perusahaan adalah:

1. melakukan pengintaian.
2. mengupayakan rekayasa sosial (attemp social engineering). Rekayasa sosial (social engineering): menggunakan tipuan untuk mendapatkan akses tanpa izin terhadap sumber daya informasi.
3. memindai dan memetakan target (scan and map the target).
4. penelitian (research).
5. mengeksekusi serangan (execute the attack).
6. menutupi jejak (cover tracks).

PENGENDALIAN PREVENTIF

Manajemen harus menciptakan sebuah budaya "sadar keamanan" dan pegawai harus dilatih untuk mengikuti kebijakan-kebijakan keamanan serta mempraktikkan perilaku komputasi yang aman,

ORANG-ORANG: PENCIPTAAN SEBUAH BUDAYA "SADAR-KEAMANAN"

COBIT 5 secara spesifik mengidentifikasi budaya dan etika organisasi sebagai salah satu dari fasilitator kritis untuk keamanan informasi yang efektif. Untuk menciptakan sebuah budaya sadar keamanan agar para pegawai mematuhi kebijakan keorganisasian, manajemen puncak tidak hanya harus mengomunikasikan kebijakan keamanan organisasi, tetapi juga harus memandu dengan mencontohkannya.

ORANG-ORANG: PELATIHAN

COBIT 5 mengidentifikasi kemampuan dan kompetensi pegawai sebagai sebuah fasilitator kritis lainnya untuk keamanan informasi yang efektif. Para pegawai harus memahami cara untuk mengikuti kebijakan keamanan organisasi. Oleh karena itu, pelatihan adalah sebuah pengendalian preventif yang kritis.

PROSES: PENGENDALIAN AKSES PENGGUNA

Penting untuk memahami bahwa "orang luar" bukan satu-satunya sumber ancaman. Seorang pegawai mungkin tidak puas karena berbagai alasan (contoh: tidak dipromosikan) dan mencoba balas dendam, atas mungkin melakukan korupsi karena kesulitan keuangan, atau mungkin juga memaksa untuk diberi informasi sensitif. Oleh karena itu, organisasi perlu menerapkan satu set pengendalian yang dirancang untuk melindungi aset informasi mereka dari penggunaan dan akses tanpa izin yang dilakukan oleh pegawai.

PENGENDALIAN AUNTENTIKASI

Autentikasi (authentication): memverifikasi identitas seseorang atau perangkat yang mencoba untuk mengakses sistem. Tiga tanda bukti yang dapat digunakan untuk memverifikasi identitas seseorang:

1. sesuatu yang mereka ketahui, sepertu kata sandi atau personal identification number (PIN).
2. sesuatu yang mereka miliki, sepertu kartu pintar atau badge ID.
3. beberapa karakteristik fisik atau perilaku (disebut dengan pengidentifikasi biometri (biometric identifier): sebuah karakteristik disik atau perilaku yang digunakan sebagai informasi keaslian), seperti sidik jari atau pola tulisan.

Autentikasi multifaktor (multifactor authentication): penggunaan dua atau lebih jenis tanda bukti autentikasi secara bersamaan untuk mencapai tingkat keamanan yang lebih ketat.

Autentikasi multimodal (multimodal authentication): penggunaan berbagai tanda bukti autentikasi dari jenis yang sama untuk mencapai tingkay keamanan yang ketat.

PENGENDALIAN OTORISASI

Otorisasi (authorization): proses memperketat akses pengguna terotorisasi atas bagian spesifik sistem dan membatasi tindakan-tindakan apa saja yang diperbolehkan untuk dilakukan.

Matriks pengendalian akses (access control matrix): sebuah tabel yang digunakan untuk mengimplementasikan pengendalian otorisasi. Berikut matriks pengendalian akses: 

Uji kompabilitas (compability test): mencocokkan tanda bukti autentikasi pengguna terhadap matriks pengendalian akses untuk menentukan sebaiknya pegawai diizinkan atau tidak untuk mengakses sumber daya dan melakukan tindakan yang diminta.

SOLUSI TI: PENGENDALIAN ANTIMALWARE

Salah satu dari bagian COBIT 5 DSS05.01 mendaftar perlindungan malware sebagai salah satu dari kunci keamanan yang efektif, merekomendasikan secara spesifik:

1. edukasi kesadaran perangkat lunak jahat.
2. pemasangan alat perlindungan anti-malware pada seluruh perangkat.
3. manajemen terpusat atas sejumlah patch dan memberbarui perangkat lunak anti-malware.
4. tinjauan teratur atas ancaman malware baru.
5. menyaring lalu lintas masuk untuk mengeblok sumber malware potensial.
6. melatih pegawai untuk tidak memasang perangkat lunak yang dibagikan atau tidak disetujui.

SOLUSI TI: PENGENDALIAN AKSES JARINGAN

Sebagian besar organisasi menyediakan para pegawai, pelanggan, dan pemasok dengan akses jarak jauh terhadap sistem informasi mereka. Biasanya, akses ini dilakukan melalui internet, tetapi beberapa organisasi masih mengelola jaringan hak milik mereka sendiri atau menyediakan akses dial-up langsung melalui modem.

PERTAHANAN PERIMETER: ROUTER, FIREWALL, DAN SISTEM PENCEGAHAN GANGGUAN

Border router: sebuah perangkat yang menghubungkan sistem informasi organisasi ke internet.

Firewall: sebuah perangkat keras yang bertujuan khusus atau perangkat lunak yang bekerja pada sebuah komputer bertujuan umum yang mengendalikan baik komunikasi masuk maupun keluar antara sistem di balik firewall dan jaringan lainnya.

Demilitarized zone (DMZ): sebuah jaringan terpisah yang berada di luar sistem informasi internal organisasi serta mengizinkan akses yang dikendalikan dari internet.

BAGAIMANA ARUS INFORMASI PADA JARINGAN: TINJAUAN MENYELURUH TCP/IP DAN ETHERNET

Berikut contoh arsitektur jaringan keorganisasian:

Router: perangkat bertujuan khusus yang didesain untuk membaca bagian alamat sumber dan tujuan pada header paket IP untuk memutuskan selanjutnya akan mengirim (rute) paket ke mana.

Mengendalikan Akses dengan Paket Penyaringan

Access Control List (ACL): seperangkat aturan IF-THEN yang digunakan untuk menentukan tindakan untuk paket yang tiba.

Penyaringan paket (packet filtering): sebuah proses yang menggunakan berbagai bagian pada header IP dan TCP paket untuk memutuskan tindakan yang dilakukan pada paket.

Deep packer inspection: sebuah proses yang memeriksa data fisik sebuah paket TCP untuk mengendalikan lalu lintas, bukan hanya melihat informasi pada header IP dan TCP.

Sistem pencegah gangguan (instrusion prevention- IPS): perangkat lunak atau perangkat keras yang mengawasi pola-pola dalam arus lalu-lintas untuk mengidentifikasi dan mengeblok serangan secara otomatis.

Menggunakan Defense-in-Depth untuk Membatasi Akses Jaringan

Salah satu dimensi lain dari konsep defense-in-depth: penggunaan multi-firewall internet untuk membuat segmentasi departemen berbeda di dalam organisasi.

MENGAMANKAN KONEKSI DIAL-UP

Remote Authentication Dial-in User Servise (RADIUS): sebuah metode standar untuk memverifikasi identitas pengguna yang berupaya untuk terhubung melalui akses dial-in.

War dialing: mencari sebuah modem menganggur dengan memprogram sebuah kompuer untuk memanggil ribuan lini telepon.

MENGAMANKAN AKSES NIRKABEL

• menyalakan fitur keamanan yang tersedia.
• membuktikan keabsahan seluruh perangkat yang digunakan untuk menetaokan akses nirkabel ke jaringan sebelum menentukan sebuah alamat IP untuk mereka.
• mengatur seluruh perangkat nirkabel terotorisasi agar hanya beroperasi pada modus infrastruktur yang memaksa perangkat untuk hanya terhubung ke titik akses nirkabel.
• menggunakan nama yang noninformatif sebagai alamat titik akases yang disebut dengan service set identifier (SSID).
• mengurangi kekuatan publikasi dari titik akses nirkabel, menempatkannya pada interior gedung, dan menggunakan antena pengarahan untuk membuat penerimaan lokal tana izin menjadi lebih sulit.
• mengenkripsi seluruh lalu lintas nirkabel.

SOLUSI TI: PENGENDALIAN PENGUKUHAN PERALATAN DAN PERANGKAT LUNAK

Endpoint: istilah kolektif untuk stasiun kerja, server, printer, dan perangkat lain yang meliputi jaringan organisasi.

KONFIGURASI ENDPOINT

Kerentanan (vulnerabilities): cacat pada program yang dapat dimanfaatkan baik untuk merusak sistem maupun mengambil kendalinya.

Pemindai kerentanan (vulnerabilities scanners): alat otomatis yang didesain untuk mengidentifikasi apakah sebuah sistem bawaan memiliki program yang tidak digunakan dan tidak perlu serta menunjukkan ancaman keamanan potensial.

Pengukuhan (hardening): proses memodifikasi konfigurasi dasar endpoint untuk mengeliminasi pengaturan dan layanan yang tidak perlu.

MANAJEMEN AKUN PENGGUNA

Praktik manajemen COBIT 5 DDS05.04 menekankan kebutuhan untuk secara hati-hati mengelola seluruh akun pengguna, terutama akun-akun yang memiliki hak terbatas (administratif) pada komputer.

DESAIN PERANGKAT LUNAK

Limpahan buffer, injeksi SQL, dan cross-site scripting adalah contoh umum dari serangan terhadap perangkat lunak yang dijakankan dalam situs.

SOLUSI TI: ENKRIPSI

Enkripsi memberikan sebuah lapisan pertahanan terakhir untuk mencegah akses tanpa izin terhadap informasi sensitif.

KEAMANAN FISIK: PENGENDALIAN AKSES

Sudah menjadi hal mendasar untuk mengendalikan akses fisik terhadap sumber daya informasi karena seorang penyerang yang ahli hanya membutuhkan beberapa menit untuk akses fisik langsung tanpa pengawasan untuk menembus pengendalian keamanan informasi yang ada.

PENGENDALIAN PERUBAHAN DAN MANAJEMEN PERUBAHAN

Pengendalian perubahan dan manajemen perubahan (change control and change management):proses formal yang digunakan untuk memastikan bahwa modifikasi pada perangkat keras, perangkat lunak, atau pada proses tidak mengurangi keandalan sistem. Beberapa karakteristik proses pengendalian perubahan dan manajemen perubahan yang didesain dengan baik melibatkan:

• dokumentasi seluruh permintaan perubahan, pengidentifikasian sifat perubahan, rasionalitasnya, tanggal permintaan, dan hasil permintaan.
• persetujuan terdokumentasi atas seluruh permintaan perubahan dilakukan oleh tingkat manajemen yang sesuai.
• pengujian seluruh perubahan menggunakan sebuah sistem yang terpisah, bukan hanya yang digunakan untuk proses bisnis harian.
• pengendalian konversi memastikan bahwa data ditransfer secara akurat dan lengkap dari sistem lama ke sistem baru.
• pembaruan seluruh dokumentasi untuk menunjukkan implementasi perubahan terbaru.
• sebuah proses khusus untuk peninjauan, persetujuan, dan dokumentasi secara tepat waktu atas "perubahan darurat" segera setelah krisi terjadi.
• pengembangan dan dokumentasi rencana "mundur" untuk mempermudah pengembalian ke konfigurasi sebelumnya jika perubahan baru menciptakan masalah yang tidak diharapkan.
• pengawasan dan peninjawan dengan cermat atas hak dan keistimewaan pengguna selama proses perubahan untuk memastikan bahwa pemisahan tugas yang sesuai telah ditetapkan.

PENGENDALIAN DETEKTIF

ANALISIS LOG

Analisis Log: proses pemeriksaan log untuk mengidentifikasi bukti kemungkinan serangan.

SISTEM DETEKSI GANGGUAN

Intrusion detection system (IDS): sebuah sistem yang menghasilkan sejumlah log dari seluruh lalu lintas jaringan yang diizinkan untuk melewati firewall kemudian menganalisis log-log tersebut sebgai tanda atas gangguan yang diupayakan atau berhasil dilakukan.

PENGUJIAN PENETRASI

Uji penetrasi (penetration test): upaya terotorisasi untuk menerobos ke dalam sistem informasi organisasi.

PENGAWASAN BERKELANJUTAN

Praktik COBIT 5 menekankan pentingnya pengawasan berkelanjutan dan kepatuhan pegawai terhadap kebijakan keamanan informasi organisasi serta kinerja keseluruhan proses bisnis.

PENGENDALIAN KOREKTIF

COMPUTER INCIDENT RESPONSE TEAM (CIRT)

Tim perespons insiden komputer (computer incident response team- CIRT): sebuah tim yang bertanggung jawab untuk mengatasi insiden keamanan utama. Empat tahapan dalam CIRT:

1. Pemberitahuan (recognition) adanya sebuah masalah.
2. Penahanan (containment) masalah.
3. Pemulihan (recovery).
4. Tindak lanjut (follow up).

CHIEF INFORMATION SECURITY OFFICER (CISO)

CISO harus memiliki tanggung jawab untuk memastikan bahwa penilaian kerentanan dan risiko dilakukan secara teratur serta audit keamanan dilakukan secara periodik.

MANAJEMEN PATCH

Exploit: sebuah program yang didesain untuk memanfaatkan dari kerentanan yang diketahui.

Patch: kode yang dirilis oleh pengembang perangkat lunak untuk memperbaiki kerentanan tertentu.

Manajemen patch (patch management): proses untuk secara teratur menerapkan patch dan memperbarui perangkat lunak.

IMPLIKASI KEAMANAN VIRTUALISASI DAN CLOUD

Virtualisasi (virtualization): menjalankan berbagai sistem secara bersamaan pada satu komputer fisik.

Komputasi Cloud (cloud computing): menggunakan sebuah browser untuk mengakses perangkat lunak, penyimpanan data, perangkat keras, dan aplikasi dari jarak jauh.