Mempelajari Tentang Manajemen Keamanan Sistem Informasi

Dalam mempelajari dunia keamanan sistem informasi ada banyak sekali hal yang harusnya diketahui oleh seorang praktisi keamanan system informasi. Tidak semata-mata hanya berupa tools yang diperlukan untuk melakukan “penetration test”, atau  mempelajari tools yang digunakan untuk melakukan kegiatan forensic juga. Namun harus lebih jauh diperhatikan adalah aspek-aspek menejemen dalam mengimplementasikan sebuah sistem menejemen keamanan sistem informasi di sebuah perusahaan.

Berbagai macam fasilitas & aset perusahaan yang perlu sangat dilindungi karena mencakup banyak karakteristik yang sangat perlu dipahami oleh seorang praktisi keamanan sistem informasi. Fasilitas & aset yang dimaksud adalah dapat berupa aset yang dapat langsung merugikan secara fisik seperti perangkat keras (hardware), perangkat lunak (software), database dan informasi penting lainnya. Dan beberapa fasilitas yang tidak begitu merugikan perusahaan secara langsung misalnya saja refutasi perusahaan (ISO/IEC 27002, 2005). Dan pada dasarnya fasilitas dan aset perusahaan yang harus dijaga adalah yang berkaitan dengan 5 komponen dasar sistem informasi yaitu perangkat keras (hardware), perangkat lunak (software), pengguna (user), data dan prosedur.

Ada beberapa karakteristik perusahaan yang harus dilindungi aset dan fasilitas sistem informasinya. Karakteristik ini dihasilkan dari klausal yang diterapkan oleh ISO (international standard organization) dalam standarisasi tentang keamanan sistem informasi yaitu ISO27001. Sehingga apabila karakteristik tersebut tidak terdapat di perusahaan atau objek penelitian maka penerapan standard kebijakan yang ada pada ISO27001 tidak akan memberikan hasil yang maksimal bagi objek penelitian pada perusahaan yang dimaksud. Bahkan tidak berguna bagi objek penelitian pada perusahaan tersebut. Karakteristik ini sangat berkaitan dengan kondisi dan perkembangan masing-masing perusahaan.

Di bawah ini terdapat empat karakteristik dasar yang dapat diketahui apabila perusahaan ingin menerapkan solusi pengamanan sistem informasi perusahaan :

1. Perusahaan yang bersangkutan harus memiliki sebuah sistem komputerisasi yang layak dilindungi seperti misalnya mempunyai personal computer di perusahannya, memiliki jaringan komputer (local area network) atau jaringan yang lebih luas. Misalnya internet yang hanya digunakan untuk kegiatan bisnis perusahaan saja. Dengan kata lain perusahaan yang bersangkutan tidak akan berjalan tanpa adanya fasilitas komputer dan jaringan data tersebut. Karakteristik ini sangat diperlukan karena apabila perusahaan tidak memilikinya berarti mereka tidak memiliki sesuatu yang harus dilindungi.
2. Sebuah perusahaan harus memiliki sebuah divisi teknologi informasi yang menangani berbagai kegiatan penunjang untuk berbagai aplikasi bisnis perusahaan di bidang teknologi informasi. Divisi teknologi diperusahaan biasanya disebut EDP (Entry Data Processing). Ini juga berkaitan dengan salah satu klausal di dalam standarisasi ISO27001 tentang keamanan system informasi. Kejahatan computer dapat dilakukan dan berawal dari bagian ini, seperti dikatakan oleh Thomas Porter dalam bukunya “Elektronik data processing (EDP) control and auditing” (Porter, 1974). Beliau mengatakan bahwa kejahatan yang berhubungan dengan personal terutama dalam perusahaan dapat dikategorikan dalam computer abuse (penyalahgunaan komputer), computer crime (kejahatan komputer) dan computer related crime (kejahatan yang berhubungan dengan komputer).
3. Mempunyai data, informasi dan sistem jaringan yang berharga yang layak untuk di jaga. Apabila tidak di jaga akan menyebabkan kerugian yang besar terhadap data, informasi dan sistem jaringan tersebut. Karakteristik ini berhubungan sekali dengan materi risk manajemen yang akan dipelajari pada bab berikutnya. Pihak perusahaan dapat juga menghitung kerugian material ataupun non material yang disebabkan kejahatan dari sisi teknologi ini. Dan juga dapat diketahui apakah sudah layak mereka mengimplementasikan pengamanan sistem informasi dalam setiap kegiatan bisnis perusahaan tersebut.
4. Perusahaan yang belum mempunyai kebijakan tentang pengelolaan keamanan sistem informasi (Information technology security policy). Atau mereka sudah menerapkan beberapa prosedur kebijakan tentang keamanan sistem informasi namun belum mengikuti standarisasi dari beberapa organisasi standar yang ada.

Empat karakteristik diatas dapat di jadikan dasar bagi perusahaan dan praktisi keamanan sistem informasi untuk dapat mengetahui apakah sebuah perusahaan tersebut sudah seharusnya mengimplementasikan kebijakan tentang keamanan sistem diperusahaan tersebut atau belum. Dalam mempelajari masalah keamanan sistem informasi ada beberapa istilah umum yang dapat kita pelajari dengan membaca beberapa defenisi dari istilah umum pada pembahasan berikutnya.

Share :