Скачать презентацию Keamanan Informasi dan Aspek Legal Teknologi Informasi MMTC Скачать презентацию Keamanan Informasi dan Aspek Legal Teknologi Informasi MMTC

88b73295a1e582b53c21c3dc2d203aba.ppt

  • Количество слайдов: 71

Keamanan Informasi dan Aspek Legal Teknologi Informasi MMTC, 26 Maret 2012 Keamanan Informasi dan Aspek Legal Teknologi Informasi MMTC, 26 Maret 2012

BACKGROUND ICT changed the world: people interaction, workplace, lifestyle, business, government, art & culture. BACKGROUND ICT changed the world: people interaction, workplace, lifestyle, business, government, art & culture. More dependencies to the technology & more risk. Now, this is the world of online society Competition to gain ICT supremacy will be easily burn political issues causing uncontrolled widespread cyber warfare involving many group of interest that could be very difficult to identify who they really are & to detect their presence. So how to prevent, protect & manage national ICT resources are the most necessary & prior things to do & how to build effective preemptive measure ICT will become the most fragile & critical infrastructure. Since it was internetworked so every node are related. There is no way to stop the threat or attack by simply turning off the system

MENGAPA KITA PERLU MENGAMANKAN INFORMASI ? MENGAPA KITA PERLU MENGAMANKAN INFORMASI ?

Apakah informasi itu? • Dari perspektif Keamanan Informasi – Informasi diartikan sebagai sebuah ‘aset’; Apakah informasi itu? • Dari perspektif Keamanan Informasi – Informasi diartikan sebagai sebuah ‘aset’; merupakan sesuatu yang memiliki nilai dan karenanya harus dilindungi – Nilai secara intrinsik melibatkan subyektivitas yang membutuhkan penilaian dan pengambilan keputusan

Bentuk informasi Bentuk informasi

Informasi menjadi “Bernilai” Dilihat dari : • Isi dari informasi tersebut bernilai strategis • Informasi menjadi “Bernilai” Dilihat dari : • Isi dari informasi tersebut bernilai strategis • Keadaan / Situasi • Person yang memiliki dan mengkomunikasikan informasi (Semakin tinggi jabatan seseorang, semakin besar nilai informasi yang disampaikan).

ANCAMAN TERHADAP INFORMASI RAHASIA ANCAMAN LOJIK contoh: kriptanalisa, cracking, virus komputer, dll ANCAMAN FISIK ANCAMAN TERHADAP INFORMASI RAHASIA ANCAMAN LOJIK contoh: kriptanalisa, cracking, virus komputer, dll ANCAMAN FISIK contoh: pencurian data/informasi, pencurian alat, penyadapan, mengganggu sinyal (jamming), pengrusakan dan bencana alam. ANCAMAN ADMINISTRASI Contoh: penggandaan data yang berlebihan, tidak adanya pengklasifikasi berita/rahasia, pelanggaraan akses terhadap informasi/data

Filosofi Keamanan Informasi Di dunia cyber Semuanya tercatat • Bagi penjahat : pasti tertangkap Filosofi Keamanan Informasi Di dunia cyber Semuanya tercatat • Bagi penjahat : pasti tertangkap • Bagi kita : Berhati-hati dalam memberikan informasi

Tujuan Keamanan Informasi CONFIDENTIALITY (Kerahasiaan) • Pesan saya hanya bisa terbaca oleh penerima yang Tujuan Keamanan Informasi CONFIDENTIALITY (Kerahasiaan) • Pesan saya hanya bisa terbaca oleh penerima yang berhak INTEGRITY (Integritas) • Informasi yang terkirim dan diterima tidak berubah AVAILABITY (Ketersediaan) • Saya bisa menggunakan kapan saja

Penjaminan Informasi • Penggunaan operasi 2 informasi untuk melindungi informasi, sistem dan jaringan informasi, Penjaminan Informasi • Penggunaan operasi 2 informasi untuk melindungi informasi, sistem dan jaringan informasi, dengan cara memastikan: ketersediaan, integritas, keaslian, kerahasiaan dan non-repudiasi, dengan mempertimbangkan resiko akibat ancaman dari lokal atau tempat yang jauh melalui jaringan komunikasi dan Internet. • Tanpa adanya penjaminan informasi, suatu organisasi tidak mempunyai kepastian tentang informasi yang diperlukan untuk pengambilan keputusan penting, adalah andal, aman, dan tersedia saat dibutuhkan

Keamanan Informasi • Konsep, teknik dan hal-hal yang terkait dengan kerahasian, ketersediaan, integritas, keaslian Keamanan Informasi • Konsep, teknik dan hal-hal yang terkait dengan kerahasian, ketersediaan, integritas, keaslian dari informasi • Teknik: enkripsi, digital signature, intrusion detection, firewall, kontrol aksesdll • Manajemen: strategi, desain, evaluasi, audit • Standar dan sertifikasi

Big picture Y. Qian et al. , 2008 Big picture Y. Qian et al. , 2008

Standar Kegiatan Keamanan Informasi • ISO [International Standards Organization] ISO/IEC 27001 disusun oleh ISO/IEC Standar Kegiatan Keamanan Informasi • ISO [International Standards Organization] ISO/IEC 27001 disusun oleh ISO/IEC dan fokus kepada keamanan administratif • CISA [Certified Information Systems Auditor] CISA fokus pada kegiatan audit dan pengendalian sistem informasi • CISSP [Certified Information Systems Security Professional] CISSP fokus utamanya pada keamanan teknis

Konsep Privasi (1) • Apakah “Informasi Pribadi”? Secara sempit, Informasi pribadi adalah informasi yang Konsep Privasi (1) • Apakah “Informasi Pribadi”? Secara sempit, Informasi pribadi adalah informasi yang berkaitan dengan individu yang dapat diidentifikasi atau orang yang teridentifikasi. Informasi Pribadi, definisi sempit Nama Alamat e-mail Hubungan keluarga Nomor lisensi mobil Nomor telepon Nomor kartu kredit Alamat Karakteristik fisik

Konsep Privasi (2) • Apakah “Informasi Pribadi”? Dalam pengertian lebih luas, mencakup informasi pribadi Konsep Privasi (2) • Apakah “Informasi Pribadi”? Dalam pengertian lebih luas, mencakup informasi pribadi seperti informasi kredit, detail transaksi, detail panggilan telepon, latar belakang akademik, karir, evaluasi/opini, dan catatan kriminal. Informasi Pribadi, Definisi Luas Informasi Kredit Detail transaksi Detail panggilan telepon Latar belakang akademik Karir Evaluasi Pendapat Catatan kriminal

Konsep Privasi (3) • Informasi Pribadi dan Privasi – Akses, pengumpulan, analisis, dan penggunaan Konsep Privasi (3) • Informasi Pribadi dan Privasi – Akses, pengumpulan, analisis, dan penggunaan informasi pribadi yang tidak pantas berdampak pada perilaku pihak lain terhadap pribadi yang bersangkutan dan pada akhirnya berdampak negatif terhadap kehidupan sosial, harta benda, dan keselamatan-nya. – Oleh karena itu, informasi pribadi harus dilindungi dari akses, pengumpulan, penyimpanan, analisis dan penggunaan yang salah. Dalam hal ini, informasi pribadi adalah subyek perlindungan.

Aspek-aspek Keamanan Informasi Aspek-aspek Keamanan Informasi

Aspek Keamanan Informasi Ancaman (THREATS) • Segala sesuatu yang bisa mengganggu operasional, fungsi, integritas Aspek Keamanan Informasi Ancaman (THREATS) • Segala sesuatu yang bisa mengganggu operasional, fungsi, integritas dan ketersediaan sebuah sistem informasi Kelemahan (VULNERABILITIES) • Kelemahan dari desain, konfigurasi dan implementasi sebuah sistem informasi yang membawanya rentan terhadap ancaman • Setiap 10 ribu code programming minimal ada satu cacat / hole. • 102 Milyar code dihasilkan dalam sehari juta hole 10, 2 lahir dalam sehari

Aspek Keamanan Informasi Serangan (ATTACKS) Tehnik khusus yang digunakan untuk mengekploitasi kelemahan yang ada Aspek Keamanan Informasi Serangan (ATTACKS) Tehnik khusus yang digunakan untuk mengekploitasi kelemahan yang ada dalam sebuah sistem informasi • Serangan Pasif: Mengumpulkan informasi dgn cara monitoring dan recording traffic di jaringan atau dengan social engineering • Serangan Aktif : aksi langsung pada sistem komputer

4 R Keamanan Informasi 4 R Keamanan Informasi

Jenis-jenis serangan • • Hacking Denial of service Kode berbahaya (malicious code) Social engineering Jenis-jenis serangan • • Hacking Denial of service Kode berbahaya (malicious code) Social engineering

22 Type of Attacks 22 Type of Attacks

Contoh-contoh kasus v 2010 – Wikileaks v 2010 – Virus Stuxnet menyerang PLTN di Contoh-contoh kasus v 2010 – Wikileaks v 2010 – Virus Stuxnet menyerang PLTN di Iran v. Ags 2008 – Serangan Internet terhadap Situs web Georgia v. Apr 2007 – Serangan Cyber terhadap Estonia v. Sep 2005 – Kontroversi Kartun Muhammad (Jyllands-Posten) v. Mei 2005 – Malaysia-Indonesia v. Apr 2001 – Sino-AS Nilai kerugian?

Peningkatan Keamanan (1) • Pengamanan Administratif – Strategi, kebijakan, dan pedoman keamanan informasi • Peningkatan Keamanan (1) • Pengamanan Administratif – Strategi, kebijakan, dan pedoman keamanan informasi • • • Strategi keamanan informasi Kebijakan keamanan informasi Pedoman keamanan informasi Standar keamanan informasi IT Compliance

Peningkatan Keamanan (2) • Pengamanan Administratif – lanjutan – Proses dan operasi keamanan informasi Peningkatan Keamanan (2) • Pengamanan Administratif – lanjutan – Proses dan operasi keamanan informasi • Program pendidikan dan pelatihan keamanan informasi • Penguatan promosi melalui berbagai kegiatan • Pengamanan dukungan

Pengamanan dengan Teknologi • Model Defense-in-Depth (DID) Pengamanan dengan Teknologi • Model Defense-in-Depth (DID)

Pengamanan dengan Teknologi • Teknologi Pencegah – Kriptografi Proses pengkodean informasi dari bentuk aslinya Pengamanan dengan Teknologi • Teknologi Pencegah – Kriptografi Proses pengkodean informasi dari bentuk aslinya (disebut plaintext) menjadi sandi, bentuk yang tidak dapat dipahami – One-Time Passwords (OTP) OTP hanya dapat digunakan sekali. Password statis lebih mudah disalahgunakan oleh password loss, password sniffing, dan bruteforce cracks, dan sejenisnya. OTP digunakan untuk mencegahnya.

Pengamanan dengan Teknologi • Teknologi pencegah (lanjutan) – Firewalls mengatur beberapa aliran lalu lintas Pengamanan dengan Teknologi • Teknologi pencegah (lanjutan) – Firewalls mengatur beberapa aliran lalu lintas antara jaringan komputer dari trust level yang berbeda. – Alat penganalisis kerentanan Ada 3 jenis alat penganalisis kerentanan: • Alat penganalisis kerentanan jaringan • Alat penganalisis kerentanan server • Alat penganalisis kerentanan web

Pengamanan dengan Teknologi • Teknologi deteksi – Anti-Virus Program komputer untuk mengidentifikasi, menetralisir atau Pengamanan dengan Teknologi • Teknologi deteksi – Anti-Virus Program komputer untuk mengidentifikasi, menetralisir atau mengeliminasi kode berbahaya – IDS (Intrusion Detection System) IDS mengumpulkan dan menganalisis informasi dari berbagai area dalam sebuah komputer atau jaringan untuk mengidentifikasi kemungkinan penerobosan keamanan – IPS (Intrusion Prevention System) IPS mengidentifikasi potensi ancaman dan bereaksi sebelum mereka digunakan untuk menyerang

Pengamanan dengan Teknologi • Teknologi terintegrasi – ESM (Enterprise Security Management) Sistem ESM mengatur, Pengamanan dengan Teknologi • Teknologi terintegrasi – ESM (Enterprise Security Management) Sistem ESM mengatur, mengontrol dan mengoperasikan solusi keamanan informasi seperti IDS dan IPS mengikuti kebijakan yang ditetapkan – ERM (Enterprise Risk Management) Sistem ERM adalah membantu memprediksi seluruh risiko yang terkait dengan organisasi, termasuk area di luar keamanan informasi, dan mengatur langkah mengatasinya secara otomatis

Peran & Tanggung Jawab Peran & Tanggung Jawab

Metodologi Keamanan Informasi • Model Proses ISO/IEC 27001 (BS 7799) ISO/IEC 27001 mengadopsi model Metodologi Keamanan Informasi • Model Proses ISO/IEC 27001 (BS 7799) ISO/IEC 27001 mengadopsi model proses Plan-Do. Check-Act, yang digunakan untuk mengatur struktur seluruh proses ISMS. Model PDCA yang diterapkan ke Proses ISMS Sumber: ISO/IEC JTC 1/SC 27

Metodologi Keamanan Informasi • ISO/IEC 27001 (BS 7799) – Analisis kesenjangan Proses pengukuran tingkat Metodologi Keamanan Informasi • ISO/IEC 27001 (BS 7799) – Analisis kesenjangan Proses pengukuran tingkat keamanan informasi saat ini dan menetapkan arah masa depan keamanan informasi – Kajian risiko Terdiri dari dua bagian: kajian nilai aset dan kajian ancaman dan kerentanan – Penerapan kontrol Diperlukan keputusan untuk menerapkan kontrol yang sesuai untuk masing-masing nilai aset. Risiko perlu dibagi ke dalam risiko yang dapat diterima dan risiko yang tidak dapat diterima mengikuti kriteria 'Tingkatan Jaminan'.

SISTEM INFORMASI YANG AMAN ? The only truly secure system is one that is SISTEM INFORMASI YANG AMAN ? The only truly secure system is one that is powered off, cast in a block of concrete and sealed in a lead-lined room with armed guards -and even then I have my doubts (Eugene H. Spafford)

Dasar Hukum Pengamanan Informasi Rahasia di Lingkungan Pemerintah Dasar Hukum Pengamanan Informasi Rahasia di Lingkungan Pemerintah

Produk Hukum Terkait Persandian 1. UU Nomor 11 Tahun 2008 Tentang Informasi dan Transaksi Produk Hukum Terkait Persandian 1. UU Nomor 11 Tahun 2008 Tentang Informasi dan Transaksi Elektronik 2. UU Nomor 14 Tahun 2008 Tentang Keterbukaan Informasi Publik 3. PP No 61 tahun 2010 tentang Pelaksanaan UU No 14 Tahun 2008 Tentang Keterbukaan Informasi Publik 4. PP Nomor 38 Tahun 2007 Tentang Pembagian Urusan Pemerintahan Antara Pemerintah, Pemerintahan Daerah Provinsi dan Pemerintahan Daerah Kabupaten/Kota 5. Keppres Nomor 103 Tahun 2001 Tentang Kedudukan, Tugas, Fungsi, Kewenangan, Susunan Organisasi, dan Tata Kerja Lembaga Pemerintah Non Departemen Sebagaimana telah diubah dengan Perpres Nomor 64 Tahun 2005 6. Permenpan Nomor 22 Tahun 2008 Tentang Pedoman Umum Tata Naskah Dinas 7. Keputusan Menteri Dalam Negeri Nomor 34 Tahun 2001 tentang Pengamanan Berita Rahasia Melalui Proses Persandian dan Telekomunikasi 8. SEB Mendagri dan Ka. Lemsaneg (061/1727/SJ - HK. 104/SE. 2061/2008)

Media Cetak/Pers (UU 40/1999) n Media Elektronik (UU 32/2002) n Film (UU. 33/2009) n Media Cetak/Pers (UU 40/1999) n Media Elektronik (UU 32/2002) n Film (UU. 33/2009) n KIP (14/2008) n Telematics: Convergence MEDIA • Publishing • Film industry & Advertising UU 44/2008 pornografi Film, News Education/Edutaiment Advertising Cable TV Off-line Satellite TV Entertainment INTERNET Broadcasting & Information SERVICES UU-ITE Hardware & Software COMPUTING • Information Processing • Consumer Electronics Networking Switching Telephony • Paket UU ttg HKI UU 36/1999 • Arsip & Dokumen Perusah UU 38/2009 (UU 8/1997) UU 25/2009 TELECOMMUNICATIONS • Network Infrastructure

1 st G 2 nd G 3 rd G voice • Voice • text 1 st G 2 nd G 3 rd G voice • Voice • text • Text • Video 4 th G • voice • text • video • TCP/IP based Network Operator LAN content Users/ Cons. Content Computing Communication Community

UU Nomor 14 Tahun 2008 KIP • Setiap Badan Publik wajib membuka akses bagi UU Nomor 14 Tahun 2008 KIP • Setiap Badan Publik wajib membuka akses bagi setiap Pemohon Informasi Publik untuk mendapatkan Informasi Publik, kecuali: a. Informasi Publik yang apabila dibuka dan diberikan kepada Pemohon Informasi Publik dapat menghambat proses penegakan hukum, b. Informasi Publik yang apabila dibuka dan diberikan kepada Pemohon Informasi Publik dapat mengganggu kepentingan perlindungan hak atas kekayaan intelektual dan perlindungan dari persaingan usaha tidak sehat c. Informasi Publik yang apabila dibuka dan diberikan kepada Pemohon Informasi Publik dapat membahayakan pertahanan dan keamanan negara

Pasal 17 butir c UU KIP : Setiap Badan Publik wajib membuka akses bagi Pasal 17 butir c UU KIP : Setiap Badan Publik wajib membuka akses bagi setiap Pemohon Informasi Publik untuk mendapatkan Informasi Publik, kecuali : c. Informasi Publik yang apabila dibuka dan diberikan kepada Pemohon Informasi Publik dapat membahayakan pertahanan dan keamanan negara, yaitu: informasi tentang strategi, intelijen, operasi, taktik dan teknik yang berkaitan dengan penyelenggaraan sistem pertahanan dan keamanan negara, meliputi tahap perencanaan, pelaksanaan dan pengakhiran atau evaluasi dalam kaitan dengan ancaman dari dalam dan luar negeri; dokumen yang memuat tentang strategi, intelijen, operasi, teknik dan taktik yang berkaitan dengan penyelenggaraan sistem pertahanan dan keamanan negara yang meliputi tahap perencanaan, pelaksanaan dan pengakhiran atau evaluasi;

 jumlah, komposisi, disposisi, atau dislokasi kekuatan dan kemampuan dalam penyelenggaraan sistem pertahanan dan jumlah, komposisi, disposisi, atau dislokasi kekuatan dan kemampuan dalam penyelenggaraan sistem pertahanan dan keamanan negara serta rencana pengembangannya; gambar dan data tentang situasi dan keadaan pangkalan dan/atau instalasi militer; data perkiraan kemampuan militer dan pertahanan negara lain terbatas pada segala tindakan dan/atau indikasi negara tersebut yang dapat membahayakan kedaulatan Negara Kesatuan Republik Indonesia dan/atau data terkait kerjasama militer dengan negara lain yang disepakati dalam perjanjian tersebut sebagai rahasia atau sangat rahasia; SISTEM PERSANDIAN NEGARA ; dan/atau sistem intelijen negara.

Penjelasan Pasal 17 butir c. 6 UU KIP • Yang dimaksud dengan “sistem persandian Penjelasan Pasal 17 butir c. 6 UU KIP • Yang dimaksud dengan “sistem persandian negara” adalah segala sesuatu yang berkaitan dengan pengamanan Informasi rahasia negara yang meliputi data dan Informasi tentang material sandi dan jaring yang digunakan , metode dan teknik aplikasi persandian, aktivitas penggunaannya, serta kegiatan pencarian dan pengupasan Informasi bersandi pihak lain yang meliputi data dan Informasi material sandi yang digunakan, aktivitas, pencarian dan analisis, sumber Informasi bersandi, serta hasil analisis dan personil sandi yang melakukan.

Regulasi • UU RI no. 11 thn 2008 tentang Informasi dan Transaksi Elektronik Regulasi • UU RI no. 11 thn 2008 tentang Informasi dan Transaksi Elektronik

UU Nomor 11 Tahun 2008 Informasi dan Transaksi Elektronik • Pasal 1 ayat 5 UU Nomor 11 Tahun 2008 Informasi dan Transaksi Elektronik • Pasal 1 ayat 5 : “Sistem Elektronik adalah serangkaian perangkat dan prosedur elektronik yang berfungsi mempersiapkan, mengumpulkan, mengolah, menganalisis, menyimpan, menampilkan, mengumumkan, mengirimkan, dan/atau menyebarkan Informasi Elektronik”

Defenisi Cyber Crime n Dalam dua dokumen Kongres PBB mengenai The Prevention of Crime Defenisi Cyber Crime n Dalam dua dokumen Kongres PBB mengenai The Prevention of Crime and the Treatment of Offenders di Havana, Cuba pada tahun 1990 dan di Wina, Austria pada tahun 2000, ada dua istilah yang dikenal. Pertama adalah istilah ‘cyber crime. Kedua adalah istilah ‘computer related crime’. Dalam back ground paper untuk lokakarya Kongres PBB X/2000 di Wina, Austria istilah ‘cyber crime’ dibagi dalam dua kategori. Pertama, cyber crime dalam arti sempit (in a narrow sense) disebut ‘computer crime’. Kedua, cyber crime dalam arti luas (in a broader sense) disebut ‘computer related crime’. n Cyber crime in a narrow sense (computer crime) : any illegal behaviour directed by means of electronic operations that targets the security of computer system and the data processed by them. n Cyber crime in a broader sense (computer related crime) : any illegal behaviour committed by means on in relation to, a computer system or network, including such crime as illegal possession, offering or distributing information by means of a computer system or network.

Masih menurut dokumen tersebut, cyber crime meliputi kejahatan yang dilakukan: n Dengan menggunakan sarana-sarana Masih menurut dokumen tersebut, cyber crime meliputi kejahatan yang dilakukan: n Dengan menggunakan sarana-sarana dari sistem atau jaringan komputer (by means of a computer system or network) n Di dalam sistem atau jaringan komputer (in a computer system or network) ; dan n Terhadap sistem atau jaringan komputer (against a computer system or network).

Peran komputer dalam cyber crimes 1. sebagai sarana 2. sebagai tempat menyimpan 3. sebagai Peran komputer dalam cyber crimes 1. sebagai sarana 2. sebagai tempat menyimpan 3. sebagai sasaran

Beberapa kata kunci yang dihasilkan oleh Council Of Europe dalam Convention On Cyber Crime Beberapa kata kunci yang dihasilkan oleh Council Of Europe dalam Convention On Cyber Crime di Budapest, Hongaria pada tahun 2001. n n n Illegal access: sengaja memasuki atau mengakses sistem komputer tanpa hak. Illegal interception: sengaja dan tanpa hak mendengar atau menangkap secara diam-diam pengiriman dan pemancaran data komputer yang tidak bersifat publik ke, dari atau di dalam sistem komputer dengan menggunakan alat bantu teknis. Data interference: sengaja dan tanpa hak melakukan perusakan, penghapusan atau perubahan data komputer. System interference: sengaja melakukan gangguan atau rintangan serius tanpa hak terhadap berfungsinya sistem komputer. Misuse of devices: penyalahgunaan perlengkapan komputer termasuk program komputer, password komputer, kode masuk.

Kegiatan Berpotensi Cyber Crimes n Layanan Online Shopping (toko online), yang memberi fasilitas pembayaran Kegiatan Berpotensi Cyber Crimes n Layanan Online Shopping (toko online), yang memberi fasilitas pembayaran melalui kartu kredit n Layanan Online Banking (perbankan online)

Kejahatan Kartu Kredit (Credit Card Fraud) n Sebelum ada kejahatan kartu kredit melalui internet, Kejahatan Kartu Kredit (Credit Card Fraud) n Sebelum ada kejahatan kartu kredit melalui internet, sudah ada model kejahatan kartu kredit konvensional (tanpa internet) n Jenis kejahatan ini muncul akibat adanya kemudahan sistem pembayaran menggunakan kartu kredit yang diberikan online shop n Pelaku menggunakan nomer kartu kredit korban untuk berbelanja di online shop

Tindak Pencegahan Kejahatan n Credit Card Fraud dapat diantisipasi dengan menerapkan sistem otorisasi bertingkat Tindak Pencegahan Kejahatan n Credit Card Fraud dapat diantisipasi dengan menerapkan sistem otorisasi bertingkat n Sistem online banking dapat meningkatkan keamanan dengan menggunakan sistem penyandian transmisi data (secure http), digital certificate dan OTP (one time password)

Asas UU ITE 1. 2. 3. 4. 5. Kepastian hukum Kemanfaatan Kehati-hatian Itikat baik Asas UU ITE 1. 2. 3. 4. 5. Kepastian hukum Kemanfaatan Kehati-hatian Itikat baik Kebebasan memilih teknologi

Tujuan UU ITE 1. Mencerdaskan kehidupan bangsa sebagai bagian dari masyarakat informasi dunia 2. Tujuan UU ITE 1. Mencerdaskan kehidupan bangsa sebagai bagian dari masyarakat informasi dunia 2. Mengembangkan perdagangan dan perekonomian nasional dalam rangka meningkatkan kesejahteraan masyarakat. 3. Membuka kesempatan seluas-luasnya kepada setiap orang untuk memajukan pemikiran dan kemampuan di bidang penggunaan dan pemanfaatan teknologi informasi seoptimal mungkin dan bertanggung jawab 4. Memberikan rasa aman, keadilan dan kepastian hukum bagi pengguna dan penyelenggaran teknologi infomrasi

Tindakan Pengamanan 1. 2. 3. 4. 5. 6. Modernisasi hukum pidana materiil dan hukum Tindakan Pengamanan 1. 2. 3. 4. 5. 6. Modernisasi hukum pidana materiil dan hukum pidana formil. Mengembangkan tindakan-tindakan pencegahan dan pengamanan komputer. Melakukan langkah-langkah yang membuat peka masyarakat, aparat pengadilan dan penegak hukum, terhadap pentingnya pencegahan kejahatan yang berhubungan dengan komputer. Melakukan pelatihan para hakim, pejabat dan aparat penegak hukum mengenai kejahatan ekonomi dan cyber crime. Memperluas rule of ethics dalam penggunaan komputer dan mengajarkannya melalui kurikulum infomratika Mengadopsi kebijakan perlindungan korban cyber crime termasuk untuk mendorong korban melaporkan adanya cyber crime

SEKILAS TENTANG KEBIJAKAN KEAMANAN INFORMASI INDONESIA SEKILAS TENTANG KEBIJAKAN KEAMANAN INFORMASI INDONESIA

Information Security Today Sumber : (ISC)2 – SSCP-CBK Information Security Today Sumber : (ISC)2 – SSCP-CBK

3+2 Pilar Keamanan Informasi • Law • Regulation • Cooperation & Agreement • Professionalism 3+2 Pilar Keamanan Informasi • Law • Regulation • Cooperation & Agreement • Professionalism • Education • Training • Methodology • Standard • Guideline • Network • Hardware • Software Business Legal Remedy People Y Y T T II R R U C C E E S S • Objective • Organizational Structure • Architecture Process Technology Sumber : Modified Presentasi CA -SAM Pollkam Kominfo 2011

Ruang Lingkup Keamanan Informasi Tony Rutkowski, tony@yaanatech. com Rapporteur, ITU-T Cybersecurity Rapporteur Group EVP, Ruang Lingkup Keamanan Informasi Tony Rutkowski, [email protected] com Rapporteur, ITU-T Cybersecurity Rapporteur Group EVP, Yaana Technologies Senior Fellow, Georgia Tech, Sam Nunn School, Center for International Strategy, Technology, and Policy (CISTP)

20 Security Best Practices (ITU) Spam, Spyware and Malicious Code General IT Security Financial 20 Security Best Practices (ITU) Spam, Spyware and Malicious Code General IT Security Financial Services Security Awareness E-mail Security Cyber Security and Networking Risk Management Media and End User Device Security Metrics Wireless Networks Incident Management, Monitoring and Response Network Security and Information Exchange Electronic Authentication and Personal Identification Electronic Signatures Web Security Mobile Device Security Operating System and Server Security Radio Frequency Identification (RFID) Security Planning, Testing and Security Management Sumber : ITU & Modified Presentasi CA -2011 Security Policy

HISA Framework Hogan Information Security Architecture Framework Organization Individual Country Certification Compliance Business / HISA Framework Hogan Information Security Architecture Framework Organization Individual Country Certification Compliance Business / Goverment ICT Info. Sec Governance/ Risk Management Care People Threat Process Vulnerability Technology Asset Confidentiality Prevention Integrity Availability Detection Response Administrative Sumber : Hogan –Presdir Unipro Physical Technical

PERMASALAHAN KEAMANAN INFORMASI PERMASALAHAN KEAMANAN INFORMASI

Kondisi Kemanan Informasi di Indonesia • Implementasi • Belum adanya (explicitly) pengamanan TIK di Kondisi Kemanan Informasi di Indonesia • Implementasi • Belum adanya (explicitly) pengamanan TIK di peraturan perundang- Indonesia masih berjalan undangan di bidang sendiri-sendiri (Silo Keamanan Informasi. System). • Belum ada pengelola Government Certificate • Belum ada kerangka Keamanan Informasi secara Nasional. of Authority (CA). Sumber : Detiknas 2010 - Modified • Belum terbentuknya Disaster Recovery Center (DRC) Pemerintah. • Belum adanya SOP dalam Keamanan Informasi Nasional

Security Landscape Now 5 Years Ago • Information Leaks • Incident is known CHANGE Security Landscape Now 5 Years Ago • Information Leaks • Incident is known CHANGE • Vandalism • Profit Oriented • Attack System • Stealthy mode • Broad base • Targeted • Individual • Organized crime • Attack Control System • Attack Application and Data • (State) Sponsored Attack/ Espionage/Sabotage • Military Domain Sumber : Hogan-Unipro-Modified

Security Landscape (Cyber Range Attack from Individual, Corporation to Country) • Malicious Ware (Virus, Security Landscape (Cyber Range Attack from Individual, Corporation to Country) • Malicious Ware (Virus, Worm, Spyware, Keylogger, DOS, DDOS, etc) • Account Hijack • Spam, Phishing • Identity Theft • Web Defaced • Data Leakage/Theft • Web Transaction Attack • Misuse of IT Resources • Cyber Espionage • Cyber War Sumber : Presentasi CA –Modified

Ancaman Keamanan Informasi 65 Sumber : Presentasi Iwan S-Bank Indonesia 2008 Ancaman Keamanan Informasi 65 Sumber : Presentasi Iwan S-Bank Indonesia 2008

BEST PRACTICES KEAMANAN INFORMASI BEST PRACTICES KEAMANAN INFORMASI

Best Practices - Inisiatif Information Security Amerika Serikat 1. White House 2. NIST 3. Best Practices - Inisiatif Information Security Amerika Serikat 1. White House 2. NIST 3. Do. HS 4. Do. D 5. CERT Negara Lain 1. Infocomm Development Authority (IDA) of Singapore 2. Cyber. Security Malaysia, under Ministry of Science, Technology and Innovation (MOSTI) 3. Cyber Security Operation Center (CSOC), Australian Department of Defense. 4. National Information Security Council of Japan. Lembaga Internasional 1. ITU International Telecommunication Union 2. ISO/IEC – International Standard Organization 3. ISF – Information Security Forum 4. BSA- Business Software Alliance Lesson Learned Implementasi Keamanan Informasi sebagaimana dilakukan mensyaratkan: Adanya koordinasi antar lembaga, Penerbitan Regulasi, Penetapan Standar, Penunjukan Lembaga, Penetapan Prosedur, Pengembangan sebuah arsitektur keamanan informasi yang merupakan bagian dari arsitektur enterprise

Regulation & Best Practices • UU ITE 2008 (PP pendukung - 2010), RPM, SE Regulation & Best Practices • UU ITE 2008 (PP pendukung - 2010), RPM, SE Government Regulation Industry Regulation • PP 60/2008 (Sistem Pengendalian Intern Pemerintah) • PBI (Peraturan Bank Indonesia) 2007 • Basell II (Banking Industry) • PCI-DSS (Payment Card Industry Data Security Standard) • COBIT Framework Best Practices • COSO Enterprise Risk Management Framework • ISO 27001 (SNI-ISO 27001 - Oct 2009), ISO 27002

SNI-ISO 27001 Sistem Manajemen Keamanan Informasi Sumber ISMS – ISO 27001 1. 2. 3. SNI-ISO 27001 Sistem Manajemen Keamanan Informasi Sumber ISMS – ISO 27001 1. 2. 3. 4. 5. 6. 7. 8. Kebijakan Keamanan Informasi Organisasi Keamanan Informasi Pengelolaan Aset Keamanan Sumber Daya Manusia Keamanan Fisik dan Lingkungan Manajemen Komunikasi dan Operasi Pengendalian Akses Akuisisi, Pengembangan dan Pemeliharaan Sistem Informasi 9. Manajemen Insiden Keamanan Infomasi 10. Manajemen Keberlanjutan Bisnis • Kesesuaian (Compliance). 69

“Security Transcends Technology” “Security Transcends Technology”