Karyawan yang mempunyai akses ke sistem sering menjadi tersangka utama pembobolan. Dan dari semua karyawan, bagian TI-lah yang paling besar kemungkinannya. Oleh karena itu, audit TI untuk mengidentifi kasi risiko. Gunung SarjonoORANG DALAM MERUPAKAN salah satu ancaman bagi sekuriti, dan sebagian besar terjadi setelah mereka berhenti bekerja. Penipuan oleh orang dalam terjadi karena tiga hal kesempatan, kemauan, dan rasionalisasi. Kontrol yang efektif harus memperhatikan ketiga hal tersebut. Berikut ini cara-cara untuk mengontrol dan mengurangi kesempatan mereka untuk menipu Anda.
Aturan Sekuriti TI
Tinjau aturan sekuriti TI mengenai account dan user dengan hak akses administratif, seperti domain administrator, application administrator, dan DBA. Pastikan aturan itu ada dan menerangkan dengan jelas bagaimana akses diminta, justifikasi, dan disetujui, dan pastikan aturan ditinjau secara rutin. Tanpa ini, hanya sedikit dasar manajemen hak akses.
Aturan untuk mengelola hak account belum lengkap tanpa laporan yang berhubungan. Laporan password sering kali mencakup topik seperti kapan password di-update, semua update yang gagal, dan individu mana yang melakukan pekerjaan dengan account bersama.
Aturan harus mempunyai tujuan untuk menghentikan aktivitas user yang jelas-jelas berbahaya. Pastikan semua karyawan tetap/kontrak, dan user lain tahu bahwa mereka bertanggung jawab untuk mengikuti aturan sekuriti TI, praktik, dan panduan relevan yang sesuai dengan peran mereka.
Account dan Akses “Superuser”
Penting untuk mengetahui tingkat ekpos organisasi Anda yang berhubungan dengan akses. Tentukan jumlah account dan user yang mempunyai hak akses khusus. Buat daftar semua account dengan akses yang ditingkatkan ke jaringan, aplikasi, data, dan fungsi administrator. Masukkan semua account komputer (mesin), yang sering kali terlewatkan. Dengan ini, pastikan akses ditinjau dan memang perlu/sesuai. Salah satu cara terbaik adalah dengan meninjau akses secara reguler dan lihat bahwa “pemilik” data dan sistem telah secara jelas disetujui.
Account dan Password Standar
Pastikan semua account administratif di-update sesuai aturan. Jangan ada perangkat yang menggunakan password default.
Kontrol Akses Password
Kontrol akses password ke account yang mempunyai hak akses administratif. Ini mungkin kedengarannya sudah pasti, tapi berbagi akses ke, dan memberitahu password tidak selalu terkontrol. Catatan offl ine atau data terbuka, seperti e-mail berisi password, tidak boleh ada. Meskipun password disimpan dalam file yang terenkripsi, itu tetap tidak dianjurkan. Kasus terburuk, password ke file tersebut tidak terkontrol.
Account Service, Alias Account “Mesin”
Account service bisa dijalankan dengan hak akses yang dinaik
User dan Fungsi Risiko Tinggi
Beberapa organisasi secara aktif memonitor fungsi tertentu di mana risiko perkerjaan lebih tinggi untuk mengidentifiasi perilaku yang “tidak bisa diterima”. Banyak bisnis mempunyai fungsi kritikal, di mana risiko kejahatan lebih tinggi. Sebagai contoh, manajer purchasing mempunyai akses ke data penting yang direncanakan untuk bersaing dengan kompetitor. Pada kasus ini, akses diotorisasi, tapi bisa saja disalahgunakan. Merotasi pekerjaan dan tugas dan memberi waktu libur sering kali menjadi solusi pada bagian dengan risiko tinggi.
Program Sadar Sekuriti
Setiap karyawan atau user bisa menjadi ancaman. Sangat penting untuk mengimplementasikan program sadar sekuriti yang mencakup semua topik di atas dan harus ditegakkan. Banyak solusi sederhana untuk memastikan semua user telah membaca dan menyetujui aturan. Tool untuk melakukannya adalah pesan sign-on yang ditampilkan pada saat login, yang meminta user untuk menyatakan persetujuannya dengan mencentang check-box “diterima”. Kesadaran yang berkelanjutan bisa membantu implementasi sekuriti.
Pemeriksaan Latar Belakang
Ajukan pertanyaan untuk mengetahui perilaku dan sikap yang perlu diwaspadai, seperti: (i) Historis pekerjaan tanyakan alasan meninggalkan pekerjaan, lamanya tidak bekerja. (ii) Kejujuran bisa dilihat dari kesesuaian bio data yang ditulis. (iii) Masalah karakter/sikap kurangnya hubungan dengan rekan kerja dan/atau atasan. (iv) Perilaku seperti frustasi, masalah dengan yang berwajib, curiga atau paranoid, atau ketidakinginan untuk menerima perubahan.
Pencatatan Event
Manajemen event sekuriti menyediakan penggunaan dan aktivitas secara real time. Daftar lengkap dan akurat tentang user dan aktivitas mereka sangat penting untuk analisis insiden dan pengembangan prosedur sekuriti tambahan. Yang menjadi kunci penting adalah metode yang digunakan untuk mendapat-kan akses, tingkat akses, dan aktivitas terdahulu. Supaya catatan memadai, tingkatkan pencatatan penggunaan untuk area dan service yang risikonya lebih tinggi.
Bukti
Manajer harus familiar dengan beragam perangkat penyimpanan yang digunakan dan juga mempunyai tingkat pengetahuan “sidik jari” yang cukup jika ada sesuatu yang mencurigakan. Ini bisa header, data cookie, data penggunaan, data OS tersembunyi, dan seterusnya. Tidak sulit untuk mengambil file rahasia dari sistem perusahaan dan menyimpan mereka ke flash drive, yang bisa disamarkan sebagai pulpen, jam digital, kamera digital, personal digital assistant (PDA), atau telepon selular. Beberapa penyelidik tidak melakukan apapun selain mengumpulkan dan menganalisis informasi dari telepon selular, karena mereka berisi voice mail, pesan teks, file alamat, nomor telepon, dan daftar telepon yang tidak terangkat, diterima, dan dilakukan. Jika ada aktivitas mencurigakan, bukti tersebut harus disimpan dan dijaga sama ada keputusan.
Pengamanan Secara Fisik
Setiap kelas jaringan mengajari model jaringan OSI dan/atau DoD, dan kita semua tahu bahwa semuanya dimulai dari bawah. Hal yang sama juga berlaku pada sekuriti TI, di mana sekuriti fisik merupakan dasar dari keseluruhan pengamanan yang dilakukan. Tidak sedikit perusahaan yang terpesona dengan beragam fitur software sekuriti, tapi melewatkan keamanan fisik. Sekuriti jaringan dimulai dari tingkat fisik. Semua firewall di dunia tidak akan bisa menghentikan penyusup yang bisa mendapatkan akses fisik ke jaringan dan komputer Anda. Kita lihat pengamanan fisik yang harus diimplementasikan, jika Anda belum melakukannya.
Kunci Ruang Server
Sebelum Anda mengunci server, bahkan sebelum Anda menyalakan mereka untuk kali pertama, pastikan pintu ruang server mempunyai kunci yang baik. Tentu saja, kunci terbaik di dunia pun tidak ada gunanya jika tidak digunakan, jadi ada harus ada aturan juga yang mewajibkan untuk mengunci pintu jika tidak ada orang, dan harus disebutkan juga siapa yang mempunyai kunci atau kode untuk masuk. Ruang server merupakan jantung jaringan Anda, dan orang dengan akses fisik ke server, switch, router, kabel, dan perangkat lainnya dalam ruang tersebut, bisa melakukan kerusakan besar.
Lakukan Pengawasan
Mengunci pintu ruang server merupakan langkah pertama yang baik, tapi seseorang bisa membobolnya, atau orang yang berwenang menyalahgunakan otoritasnya. Anda harus tahu siapa yang masuk dan keluar dan kapan. Untuk mengetahuinya, Anda bisa menyediakan buku catatan keluar dan masuk, tapi ini banyak kekurangannya. Orang dengan maksud jahat sudah pasti tidak akan mengisinya.
Solusi yang lebih baik dari buku catatan adalah sistem oten-
tikasi yang dipadukan dengan perangkat pengaman, sehingga diperlukan smart card, token, atau biometric scan untuk membuka ruangan dan dibuat catatan untuk mengidentifi kasi setiap orang yang masuk. Sebagai pelengkap buku catatan atau sistem akses elektronik, Anda bisa menggunakan kamera pengawas supaya bisa melihat orang yang masuk dan keluar.
Kamera pengawas bisa memonitor secara kontinyu, atau mereka bisa menggunakan teknologi pendeteksi gerak supaya mereka hanya merekam ketika ada gerakan manusia. Kamera bahkan bisa mengirim e-mail atau sms ke ponsel untuk memberitahu jika ada gerakan pada waktu yang tidak seharusnya (misalnya setelah jam kerja).
Pastikan Perangkat yang Paling Kritikal Ada dalam Ruangan yang Terkunci
Jangan lupa, bukan hanya server yang khawatirkan. Hacker bisa menghubungkan laptop ke hub/switch dan menggunakan software pengintai untuk menangkap data yang melalui jaringan. Pastikan perangkat jaringan Anda dalam ruangan yang terkunci.
Gunakan Rak Server
Penempatan server dengan rak tidak hanya menghemat ruangan; mereka juga lebih mudah diamankan. Server bisa dikunci dalam lemari rak, di mana lemari tersebut bisa dibaut ke lantai sehigga keseluruhan server dalam lemari rak tidak bisa dipindah, apalagi dicuri.
Jangan Lupakan Workstation
Hacker bisa menggunakan komputer yang terhubung ke jaringan untuk mengakses atau menghapus informasi penting perusahaan Anda. Workstation pada meja kosong atau kantor kosong (misalnya karyawan sedang cuti atau berhenti dari perusahaan) atau pada tempat yang mudah diakses oleh orang luar, misalnya meja resepsionis, sangat rentan.
Putuskan dan/atau pindahkan komputer yang tidak terpakai dan/atau kunci pintu ruangan, termasuk jika karyawan tidak masuk karena sakit misalnya. Jika komputer harus berada di tempat terbuka, yang kadang tidak bisa terpantau, lengkapi dengan smart card atau biometric reader sehingga orang yang tidak berwenang lebih sulit untuk masuk.
Jangan Sampai Penyusup Membuka Casing
Baik server dan workstation harus dilindungi dari pencuri yang bisa membuka casing dan mengambil harddisk. Lebih mudah membawa harddisk dan memasukkannya ke dalam kantong dibanding membawa keseluruhan CPU. Banyak komputer yang dilengkapi dengan kunci casing supaya casing tidak bisa dibuka tanpa kunci. Jika tidak ada, Anda bisa membelinya di toko komputer terdekat.
Lindungi Perangkat Portabel
Laptop dan komputer handheld mempunyai risiko keamanan tersendiri. Orang bisa dengan mudah mencurinya, termasuk semua data yang tersimpan di dalamnya dan juga password jaringan yang mungkin disimpan. Jika karyawan menggunakan laptop di mejanya, mereka harus membawanya jika pergi atau menguncinya ke tempat permanen dengan kabel kunci.
Meskipun ini tidak seratus persen melindungi laptop Anda dari pencuri, tapi sebagian besar dari mereka akan pergi jika sasarannya tidak mudah. Setiap rintangan yang Anda pasang akan mempersulit pencuri.
Handheld bisa dikunci dalam laci atau kotak pengaman atau masukkan saja ke dalam saku dan bawa setiap kali Anda perg
Simpan Back-up
Mem-back-up data merupakan langkah paling penting dalam pemulihan data, tapi jangan lupa bahwa informasi pada back-up tape, disk, atau disk tersebut bisa dicuri dan digunakan oleh orang luar. Banyak administrator TI yang menyimpan backup tersebut di sebelah server pada ruang server. Namun, paling tidak mereka harus dikunci dalam laci atau kotak pengaman. Idealnya, back-up harus disimpan di tempat lain, dan And harus memastikan mereka aman di tempat tersebut. Jangan lupakan bahwa ada beberapa karyawan yang mem-back-up pekerjaan mereka ke USB key, atau harddisk eksternal. Jika ini diperbolehkan, pastikan ada aturan yang mengharuskan backup dikunci sepanjang waktu.
Disable Drive
Jika tidak mau karyawan meng-copy informasi perusahaan ke removable media, Anda bisa men-disable atau mencabut flopp drive, USB port, atau jalur penghubung perangkat luar lainnya Mencabut kabel saja tidak menghalangi karyawan yang mempunyai pengetahuan teknis. Beberapa perusahaan ada yang melakukan tindakan lebih ekstrim dengan mengisikan lem ke port atau konektor lainnya supaya mereka tidak bisa digunakan Atau Anda bisa memasukkan ke pengunci ke dalam floppy drive pada komputer yang masih memilikinya.
Lindungi Printer
Anda mungkin tidak berpikir bahwa printer bisa mengancam keamanan, tapi banyak printer sekarang yang menyimpan dokumen dalam memory mereka. Jika hacker mencuri printe dan mengakses memori tersebut, ia bisa mencetak dokumen yang baru-baru saja dicetak. Sama seperti server dan worksation yang menyimpan data penting, printer harus diletakkan pada tempat yang aman dan dikunci supaya tidak ada yang bisa mencurinya.
Pertimbangkan juga pengaman fisik terhadap dokumen yang dicetak pada karyawan, terutama hasil cetak yang kurang sempurna dan diletakkan sembarangan di sebelah printer atau dibuang ke dalam tempat sampah. Cara terbaik adalah dengan menerapkan aturan yang mengharuskan supaya dokumen yang tidak perlukan langsung dihancurkan, meskipun tidak berisi informasi rahasia. Ini akan menjadi kebiasaan dan membebaskan user dari tanggung jawab apakah dokumen harus dihancurkan atau tidak.
LEBIH LANJUT
http://www.securitykit.com
