Versi terjemahan Bahasa Dari ch04

Versi terjemahan Bahasa Dari ch04.doc
Bab 4: Keamanan Informasi (4 edisi
th)
Page 1
BAB 4: Keamanan Informasi
Bab Outline
4.1
4.2
4.3
4.4
4.5
Pengantar Keamanan Informasi
Ancaman tidak disengaja Sistem Informasi
Ancaman yang disengaja untuk Sistem Informasi
Organisasi Apa Apakah Melakukan Melindungi Sumber Daya Informasi
Keamanan Informasi Kontrol
Tujuan Pembelajaran
1. Mengidentifikasi lima faktor yang berkontribusi terhadap meningkatnya kerentanan
sumber daya informasi, dan memberikan contoh yang spesifik masing-masing.
2. Bandingkan dan kontras kesalahan manusia dan rekayasa sosial, dan memberikan contoh
yang spesifik masing-masing.
3. Diskusikan sembilan jenis serangan yang disengaja.
4. Tentukan strategi mitigasi tiga risiko, dan memberikan contoh masing-masing dalam
konteks Anda memiliki sebuah rumah.
5. Mengidentifikasi tiga jenis utama dari kontrol yang organisasi dapat digunakan untuk
melindungi sumber informasi mereka, dan memberikan contoh masing-masing.
Pengajaran Tips dan Strategi
Keamanan informasi telah menjadi penting i jar ngan dalam lingkungan bisnis saat ini. Bisnis
yang berpikir mereka tidak perlu atau ingin menghabiskan dana untuk keamanan informasi
semakin mencari tahu cara yang keras bahwa mereka salah.
Keamanan informasi telah menjadi isu bahwa semua jenis organisasi perlu prihatin dan
beroperasi sekitar untuk melindungi sumber daya informasi dan aset. Setiap hari tampaknya ada
berita bisnis yang memiliki jaringan atau sumber daya informasi dilanggar. Periksa, atau sebagai
tugas memiliki cek siswa, beberapa situs berita teknologi, seperti http://computerworld.com atau
http://news.cnet.com/security , sebelum Anda mulai bab ini untuk membawa beberapa saat
peristiwa dalam diskusi Anda.
Banyak siswa masih menggunakan password sederhana. Meskipun Anda tidak harus meminta
siswa Anda apa password mereka, Anda bisa datang dengan beberapa contoh password yang
baik dan buruk yang dapat Anda posting di papan tulis. Memiliki diskusi mana yang mungkin
lebih baik atau lebih buruk daripada yang lain, dan mengapa (panjang, pola, mudah ditebak, kata
nyata, dll ...)
Tanyakan dimana siswa menggunakan password pada perangkat mereka sendiri? Selain laptop,
menjadi ke dalam diskusi ponsel mereka pintar, tablet, dll Sementara kita belum sampai ke bab
telekomunikasi belum, pertimbangkan membawa keamanan jaringan WiFi rumah mereka ke
dalam diskusi. (Lihat Lifehacker.com untuk beberapa ide.)
T di sini adalah tidak ada cara untuk sepenuhnya mengamankan sistem informasi terhadap setiap
kecelakaan potensial, tetapi ada banyak cara untuk secara signifikan mengurangi risiko dan
memulihkan kerugian. Organisasi terbaik mengakui bahwa pemulihan sistem yang cepat adalah
bisnis yang baik. Hari-hari berada di belakang kami ketika organisasi bisa terus melayani
pelanggan mereka selama beberapa hari atau bahkan berminggu-minggu tanpa bantuan TI.
Industri kaya informasi sepenuhnya tergantung pada teknologi. Bayangkan sebuah universitas
yang tidak dapat menagih mahasiswa atau membayar fakultas, bayangkan sebuah perusahaan
asuransi yang tidak memiliki akses ke kebijakan terkomputerisasi cu stomers ';! Atau, bayangkan
sebuah bank yang tidak dapat menyediakan Anda dengan saldo rekening giro Salah satu yang
paling dibenci dan frase semakin tidak dapat diterima kita dapat mendengar dari perwakilan
layanan pelanggan "komputer yang tidak aktif, Anda bisa kembali lagi nanti?"
Potensi acara yang berkaitan dengan alam dan "buatan manusia" bencana telah menjadi risiko
bahwa organisasi tidak bisa lagi mengabaikan. Sebuah skenario pernah dicatat oleh seorang ahli
komputer, "Sistem hanya benar-benar aman dimatikan, cor blok beton, dan disegel di ruang
memimpin dengan penjaga bersenjata, dan bahkan kemudian saya ragu". Mengingat gambar ini
lucu, penulis benar. Bagaimana jika mampu menyelaraskan diri dengan penjaga bersenjata dan
mendapatkan akses ke sistem?
Bagian terakhir dari bab ini membahas tentang perencanaan bencana. Jenis ancaman dan
tingkat potensi mereka dampak akan berbeda tergantung pada bagian dari negara (atau dunia)
bisnis berada. Sebagai contoh, pada 2011, wilayah di Amerika Serikat sepanjang Sungai
Mississippi yang belum melihat banjir dalam beberapa dekade di mana berdampak buruk tahun
itu. Demikian pula, pada tahun 2011, beberapa daerah yang terkena tornado, berdampak bisnis
pada mereka dan sekitarnya. Untuk bisnis yang terkena dampak, perencanaan dan pemulihan
bencana dengan cepat menjadi sangat penting untuk kelangsungan hidup mereka.
"Sebelum Anda pergi ..." Pertanyaan Ulasan
Bagian 4.1 ... Sebelum Anda pergi pada ...
1.
Tentukan keamanan informasi.
Keamanan informasi adalah perlindungan informasi dan sistem informasi dari akses yang
tidak sah, penggunaan, pengungkapan, gangguan, modifikasi atau perusakan.
2.
Bedakan antara ancaman, eksposur, dan kerentanan.
Sebuah ancaman bagi sumber daya informasi bahaya yang sistem bisa terpapar.
Pemaparan dari sumber daya informasi adalah kerusakan, kehilangan, atau kerusakan yang
dapat timbul jika ancaman kompromi sumber daya itu. Kerentanan sebuah sumber
informasi adalah kemungkinan bahwa sistem akan dirugikan oleh ancaman.
3.
Mengapa keterampilan yang dibutuhkan untuk menjadi seorang hacker menurun?
Alasannya adalah bahwa Internet berisi informasi dan program komputer yang disebut script
yang pengguna dengan sedikit keterampilan dapat men-download dan digunakan untuk
menyerang sistem informasi yang terhubung ke Internet. (Ahli keamanan juga dapat
menggunakan script ini untuk tujuan yang sah, seperti pengujian keamanan berbagai sistem.)
Bagian 4.2 ... Sebelum Anda pergi pada ...
1.
Apakah yang dimaksud dengan ancaman disengaja terhadap sistem informasi?
Ini termasuk ancaman seperti kesalahan manusia, listrik padam, dll.
2.
Memberikan contoh serangan rekayasa sosial selain yang baru saja dibahas.
Ada nomor dan telah tumbuh melalui penggunaan jaringan sosial.
Bagian 4.3 ... Sebelum Anda pergi pada ...
1.
Mengapa pencurian perangkat komputasi menjadi lebih serius dari waktu ke waktu?
Sebagian karena potensi data rahasia yang mungkin disimpan pada perangkat.
2.
a.
b.
c.
3.
Apakah tiga jenis serangan perangkat lunak?
Jauh Serangan Membutuhkan Pengguna Aksi
Jauh Serangan Membutuhkan No User Aksi
Serangan oleh Programmer Mengembangkan System
Tentukan perangkat lunak asing, dan menjelaskan mengapa itu adalah masalah serius.
Software adalah perangkat lunak Alien klandestin yang diinstal pada komputer Anda
melalui metode mendua. Ini biasanya tidak berbahaya seperti virus, worm, atau Trojan
horse, tetapi tidak menggunakan sumber daya sistem yang berharga. Selain itu, dapat
melaporkan Anda kebiasaan surfing Web dan perilaku pribadi lainnya.
4.
Apakah sistem SCADA?
SCADA digunakan untuk memantau atau mengontrol kimia, fisik, dan proses transportasi
seperti kilang minyak, air dan instalasi pengolahan limbah, generator listrik, dan pembangkit
listrik tenaga nuklir. Pada dasarnya, sistem SCADA memberikan link antara dunia fisik dan
dunia elektronik.
Bagian 4.4 ... Sebelum Anda pergi pada ...
1.
Jelaskan beberapa alasan mengapa sulit untuk melindungi sumber informasi.
a.
Ratusan potensi ancaman yang ada.
b.
Sumber daya komputasi mungkin terletak di banyak lokasi.
c.
Banyak orang mengontrol atau memiliki akses terhadap aset informasi.
d.
Jaringan komputer dapat berada di luar organisasi, membuat mereka sulit untuk
melindungi.
e.
Perubahan teknologi yang cepat membuat beberapa kontrol usang segera setelah
mereka diinstal.
f.
Banyak kejahatan komputer yang tidak terdeteksi untuk jangka waktu yang
panjang, sehingga sulit untuk belajar dari pengalaman.
g.
Orang cenderung untuk melanggar prosedur keamanan karena prosedur yang
nyaman.
h.
Jumlah pengetahuan komputer yang diperlukan untuk melakukan kejahatan
komputer biasanya minimal. Sebagai soal fakta, seorang penjahat potensial dapat belajar
hacking, secara gratis, di Internet.
i.
Biaya mencegah bahaya bisa sangat tinggi. Oleh karena itu, sebagian besar
organisasi hanya tidak mampu untuk melindungi diri terhadap semua bahaya yang mungkin.
j.
Sulit untuk melakukan pembenaran biaya-manfaat untuk kontrol sebelum
serangan terjadi karena sulit untuk menilai dampak dari serangan hipotetis.
k.
Antara lain ...
2.
Bandingkan dan manajemen risiko dan analisis risiko kontras.
Analisis risiko mencakup tiga langkah (1) menilai nilai setiap aset dilindungi, (2)
memperkirakan probabilitas bahwa setiap aset akan dikompromikan, dan (3)
membandingkan biaya kemungkinan aset tersebut sedang berkompromi dengan biaya
melindungi aset tersebut . Organisasi kemudian mempertimbangkan bagaimana untuk
mengurangi risiko.
Dalam mitigasi risiko, organisasi mengambil tindakan nyata terhadap risiko. Mitigasi risiko
memiliki dua fungsi: (1) menerapkan pengawasan untuk mencegah ancaman diidentifikasi
dari terjadi, dan (2) mengembangkan sarana pemulihan harus ancaman menjadi kenyataan.
Ada beberapa strategi mitigasi risiko bahwa organisasi dapat mengadopsi. Tiga paling
umum adalah penerimaan risiko, pembatasan risiko, dan transferensi risiko.
Bagian 4.5 ... Sebelum Anda pergi pada ...
1.
Apa kontrol keamanan informasi yang paling penting untuk organisasi?
Kontrol akses, baik fisik maupun digital
2. Membedakan antara otentikasi dan otorisasi. Yang salah satu dari proses-proses ini
selalu dilakukan pertama?
Otentikasi menegaskan identitas orang yang membutuhkan akses. Setelah orang tersebut
dikonfirmasi (diidentifikasi), langkah berikutnya adalah otorisasi. Otorisasi menentukan
tindakan apa, hak, atau hak orang tersebut telah, berdasarkan identitasnya diverifikasi. Mari
kita periksa fungsi-fungsi lebih dekat.
Otorisasi yang menentukan tindakan, hak, atau hak orang tersebut telah, berdasarkan
identitas nya diverifikasi. Mari kita periksa fungsi-fungsi lebih dekat.
3.
Bandingkan dan whitelist kontras dan hitam.
Membolehkan adalah proses di mana sebuah perusahaan mengidentifikasi perangkat lunak
yang akan memungkinkan untuk berjalan di komputer tersebut. Membolehkan akses
memungkinkan perangkat lunak untuk menjalankan dan diterima baik mencegah perangkat
lunak lainnya dari berjalan atau memungkinkan menjalankan software baru di lingkungan
dikarantina sampai perusahaan dapat memverifikasi validitas.
Blacklist A, maka, termasuk jenis perangkat lunak tertentu yang tidak diperbolehkan untuk
dijalankan dalam lingkungan perusahaan. Sebagai contoh, sebuah perusahaan mungkin
blacklist file sharing peer-to-peer pada sistem tersebut. Selain perangkat lunak, orang,
perangkat, dan situs Web dapat juga masuk daftar putih dan hitam.
4.
Apa tujuan dari rencana pemulihan bencana?
Kelangsungan bisnis adalah rantai peristiwa menghubungkan perencanaan perlindungan dan
pemulihan. Tujuan dari rencana kesinambungan bisnis adalah untuk memberikan bimbingan
kepada orang-orang yang menjaga operasi bisnis setelah bencana terjadi.
5.
Apa sistem audit informasi?
Dalam IS lingkungan, audit adalah pemeriksaan sistem informasi, masukan mereka, output,
dan pengolahan. Pengamat seperti melakukan tugas audit sistem informasi.
TI Tentang Pertanyaan Bisnis
4,1 Virus Attack Hits University of Exeter
1.
Apa tindakan-tindakan lain yang bisa Universitas telah diambil untuk mencegah
serangan itu?
Siswa akan memiliki berbagai tanggapan untuk pertanyaan ini. Tanggapan yang
mungkin meliputi:

Pastikan semua sistem operasi penjual dan patch perangkat lunak keamanan telah
diterapkan untuk semua mesin yang terkoneksi ke jaringan.

Pastikan semua perangkat lunak malware adalah up-to-date bersama dan
melakukan update harian definisi virus otomatis.

Instal firewall jaringan yang mampu memantau dan memblokir malware yang
dikenal

Tempat mahasiswa (non-administratif) lalu lintas di jaringan yang terpisah
2.
Tindakan apa yang harus Universitas kini tampil untuk mencegah serangan di
masa depan?
Sekali lagi, siswa akan memiliki berbagai tanggapan untuk pertanyaan ini. Selain di atas
beberapa tindakan mungkin termasuk,

Pelatihan keamanan periodik.

Malware scan secara otomatis semua file yang melintasi jaringan.
4.2 Stuxnet Worm
1.
Jelaskan implikasi dari sifat tepat sasaran serangan Stuxnet.
Ini berarti bahwa dengan pengetahuan dan sumber daya yang memadai untuk
pembangunan, suatu negara atau organisasi berpotensi mengembangkan malware yang
mampu mengganggu atau menghancurkan ing ing sumber daya digital negara lain atau
organisasi tanpa mengganggu proses lainnya yang digunakan oleh kelompok itu.
2.
Menganalisis pernyataan: "Bangsa menggunakan malware seperti worm Stuxnet
saat satunya alternatif mereka untuk pergi berperang."
Mengingat ketergantungan yang tumbuh pada teknologi oleh sebagian besar negara,
mungkin lebih murah dan strategis dan menguntungkan untuk menyerang yang lain
adalah aset elektronik dan lainnya dari jarak jauh daripada serangan militer.
4.3 Keamanan Informasi di City National Bank dan Percayalah
1.
Mengapa begitu penting bagi organisasi untuk menetapkan kebijakan keamanan
perusahaan-lebar?
Menjaga konsistensi di seluruh organisasi.
2.
Apakah kebijakan e-mail bank terlalu ketat? Mengapa atau mengapa tidak?
Mendukung jawaban Anda.
No Mengingat jenis data yang dikelola oleh bank, adalah penting untuk mempertahankan
kontrol ketat.
Pertanyaan Diskusi
1.
Mengapa sistem komputer sehingga rentan?
Tingkat kompleksitas membuat sulit untuk memahami semua kerentanan. Ada banyak
ancaman internal dan eksternal, disengaja dan tidak disengaja.
2.
Mengapa keamanan informasi harus menjadi perhatian utama untuk
manajemen?
Sebagian besar perusahaan akan terkena dampak jika sistem mereka terganggu.
3.
Adalah keamanan masalah teknis? Masalah bisnis? Kedua?
Mendukung jawaban Anda. Petunjuk: Baca Kim Nash, "Mengapa Teknologi Bukankah
Jawaban untuk Keamanan lebih baik," CIO (www.cio.com), 15 Oktober 2008.
Keduanya. Teknologi menciptakan lubang keamanan dan memungkinkan hacker untuk
masuk, tapi es bisnis harus mengadopsi kebijakan dan kontrol untuk meminimalkan ini
pembobolan.
4.
Bandingkan keamanan informasi dalam sebuah organisasi dengan
mengasuransikan rumah.
Kami membayar asuransi, tetapi berharap bahwa kita tidak perlu khawatir tentang
menggunakannya.
5.
Mengapa otentikasi dan otorisasi penting untuk e-commerce?
Otentikasi menegaskan identitas individu dan otorisasi menentukan apa yang mereka
diizinkan untuk melakukan.
6.
Mengapa maya lintas-perbatasan - kejahatan berkembang dengan
cepat? Diskusikan solusi yang mungkin.
Kejahatan terorganisir internasional mengambil alih cybercrime yang aktivitas ilegal yang
terjadi melalui jaringan komputer. Industri perdagangan online tidak terlalu bersedia untuk
menginstal perlindungan yang akan membuat lebih sulit untuk menyelesaikan transaksi. Ini
akan menjadi mungkin untuk menuntut password atau nomor ID pribadi untuk semua
transaksi kartu kredit. Perusahaan sedang mengembangkan perangkat lunak dan layanan
yang memberikan peringatan dini masalah. Sistem ini peringatan dini yang proaktif,
pemindaian Web untuk virus baru dan perusahaan peringatan untuk bahaya.
7.
Diskusikan mengapa Sarbanes-Oxley Act adalah memiliki dampak pada
keamanan informasi.
The Sarbanes-Oxley Act memerlukan pengamanan tertentu yang akan dibangun ke dalam
sistem dan memiliki persyaratan audit yang ketat.
8. Apa jenis otentikasi pengguna digunakan di universitas dan / atau tempat kerja?
Apakah langkah-langkah otentikasi tampaknya efektif? Bagaimana jika tingkat yang lebih
tinggi otentikasi dilaksanakan? Apakah hal itu ada nilainya, atau akan menurunkan
produktivitas?
Siswa dapat menjawab berdasarkan lingkungan mereka.
9.
Mengapa pemerintah federal begitu khawatir tentang serangan SCADA?
Pemerintah federal prihatin b arena SCADA (kontrol pengawasan dan akuisisi data) sistem
yang digunakan untuk memantau dan mengontrol pabrik atau peralatan dalam industri seperti
telekomunikasi, air dan limbah kontrol, jaringan energi, minyak dan penyulingan gas dan
transportasi.
Masalah Kegiatan Pemecahan
1. Masalah kritis menilai seberapa jauh suatu perusahaan diwajibkan secara hukum untuk
pergi dalam rangka untuk mengamankan data pribadi. Karena tidak ada hal seperti
keamanan yang sempurna (yaitu, selalu ada lagi yang dapat Anda lakukan), menyelesaikan
pertanyaan ini dapat secara signifikan mempengaruhi biaya.
a.
Ketika langkah-langkah keamanan bahwa perusahaan menerapkan cukup untuk
memenuhi dengan kewajiban?
Langkah-langkah keamanan yang cukup w ayam mereka telah menyelesaikan analisis
risiko yang komprehensif dan menetapkan bahwa mereka telah membahas semua
ancaman yang memiliki kemungkinan yang wajar terjadi dan memberikan perlindungan
terhadap ancaman tersebut.
b.
Apakah ada cara bagi perusahaan untuk mengetahui apakah langkah-langkah
keamanan yang memadai? Dapatkah Anda merancang sebuah metode untuk setiap
organisasi untuk menentukan apakah langkah-langkah keamanan yang memadai?
Tidak ada yang mutlak di dunia ini teknologi, mengetahui bahwa beberapa orang
menganggapnya sebagai tantangan untuk melihat apakah mereka dapat menembus setiap
perlindungan yang diimplementasikan. Satu-satunya cara pasti untuk mengetahui jika
ada pelanggaran. Pemantauan dan tetap waspada adalah cara terbaik untuk melindungi
terhadap gangguan.
2. Asumsikan bahwa probabilitas harian gempa bumi besar di Los Angeles adalah .07
persen. Kesempatan pusat komputer yang rusak selama gempa tersebut adalah 5 persen.
Jika pusat rusak, kerusakan diperkirakan rata-rata akan menjadi $ 4,0 juta.
a.
Hitung kerugian yang diperkirakan dalam dolar.
Diharapkan Kerusakan Tahunan = .07 * .05 * $ 4.000.000 = $ 14.000
b.
Seorang agen asuransi bersedia untuk memastikan fasilitas Anda untuk biaya
tahunan sebesar $ 25.000. Menganalisis tawaran itu, dan mendiskusikan apakah akan
menerimanya.
Asuransi adalah biaya lebih dari kerusakan yang diharapkan. Harus menolak tawaran tersebut.
3. Masukkan www.scambu s ters.org . Cari tahu apa yang organisasi tidak. Pelajari
tentang e-mail penipuan dan situs web penipuan. Melaporkan temuan Anda.
"ScamBusters Telah Membantu Orang Melindungi Diri Dari Penipuan Internet Pintar,
Pencurian Identitas dan Legends Perkotaan Sejak tahun 1994 "
Respon siswa akan bervariasi.
4. Kunjungi www.dhs.gov / dhs p ublik (Department of Homeland Security). Cari situs
untuk "Strategi Nasional untuk Secure Cyberspace," dan menulis laporan tentang agenda dan
prestasi sampai saat ini mereka.
Siswa akan menggunakan fungsi pencarian di situs untuk mencari dokumen. Ini adalah
dokumen halaman 76 yang akan memberikan tanggapan siswa materi.
5. Masukkan www.alltr u stnetworks.com dan vendor lainnya biometrik. Cari perangkat
yang mereka buat yang dapat digunakan untuk mengontrol akses ke dalam sistem informasi.
Siapkan daftar produk dan kemampuan utama masing-masing vendor.
Ketika siswa menggunakan link tersebut, mereka dapat memilih "pedagang" dan itu akan
membawa mereka ke menu yang akan memungkinkan mereka untuk memilih "teknologi
Biopay".
6. Pembajakan perangkat lunak adalah masalah global. Akses situs Web berikut:
www.bsa.org dan www.microsoft.com/piracy/ . Apa yang bisa dilakukan organisasi untuk
mengurangi masalah ini? Apakah beberapa organisasi yang berhubungan dengan masalah
yang lebih baik daripada yang lain?
Siswa harus memasukkan argumen pencarian "pembajakan perangkat lunak" setelah
memasuki situs bsa.org dan mengakses sejumlah link pada topik untuk menyelesaikan tugas
mereka. Situs Microsoft menawarkan berbagai link untuk mengeksplorasi pilihan yang
tersedia untuk organisasi.
7.
Menyelidiki Sony Playstation hack jaringan yang terjadi pada April 2011.
a.
Apa jenis serangan itu?
Itu benar-benar dua serangan yang berbeda. Satu kelompok membanting server dengan
serangan denial-of-service utama, pada saat hacker lain memperoleh akses ke pribadi
informasi pada server.
b.
Apakah keberhasilan serangan karena masalah teknologi di Sony, masalah
manajemen di Sony, atau kombinasi keduanya? Memberikan contoh-contoh spesifik
untuk mendukung jawaban Anda.
Dalam surat kepada Kongres, Sony mengatakan butuh beberapa hari untuk menentukan
apa yang terjadi di Sony PlayStation Network, yang terdiri ed dari sekitar 130 server dan
50 program perangkat lunak. Sony berpikir hacker melanggar 10 dari servernya.
Masalahnya adalah karena kombinasi dari masalah. Beberapa orang yang terlibat
masalah pendanaan.
c.
Yang Sony kontrol gagal?
PS3 hack mirip dengan banyak serangan pada sistem keamanan: Ini tidak benar-benar
satu hack, melainkan serangkaian tambahan serangan yang dilakukan selama periode
waktu, yang berturut-turut mengalahkan berbagai fitur keamanan subsistem melalui
berbagai teknik. Jenis-jenis serangan yang sering berlangsung selama beberapa hari atau
minggu dan menggunakan pengetahuan yang didapat di setiap tahap sukses untuk maju
ke tahap berikutnya. Sebagai contoh, salah satu inisiatif awal adalah serangan fisik yang
diinduksi gangguan pada bus memori, memungkinkan hacker untuk mengambil kendali
dari sistem operasi dan melakukan pemeriksaan tambahan. PS3 hack dapat mengajarkan
desainer banyak tentang cara pendekatan dan rencana platform keamanan.
d.
Bisa hack telah dicegah? Jika demikian, bagaimana?
Para siswa harus memiliki sejumlah saran, baik sistematis dan administrasi, berdasarkan
bagaimana serangan itu terjadi.
e.
Diskusikan respon Sony untuk hack.
Sejak serangan keamanan baru telah diterapkan, pusat data telah dipindahkan ke lokasi
yang dirahasiakan, dan perusahaan telah menciptakan posisi baru: Chief Information
Security Officer, langsung melapor ke Information Officer dari Sony Corporation.
Berikut adalah beberapa langkah-langkah keamanan baru:

Ditambahkan software monitoring otomatis dan manajemen konfigurasi untuk
membantu mempertahankan terhadap serangan baru

Peningkatan tingkat perlindungan data dan enkripsi

Meningkatkan kemampuan untuk mendeteksi intrusi perangkat lunak dalam
jaringan, akses tidak sah dan tidak biasa pola aktivitas

Implementasi firewall tambahan
(Http://arstechnica.com/gaming/news/2011/05/hirai-update.ars)
f.
Jelaskan kerusakan yang timbul dari Sony hack.
Sony sangat menderita setelah serangan hacker pada akhir April dipaksa untuk mencatat
Jaringan layanan online PlayStation dan membangunnya kembali dengan cara yang lebih
aman, setelah penyusup berhasil mencuri informasi pribadi dari semua 70 + juta
pengguna PSN. (Http://news.softpedia.com/news/PSN-Attack-Has-Made-Sony-HyperVigilant-About-Security-207544.shtml)
Tim Penugasan
1. Akses www.f t c.gov / sentinel untuk mempelajari lebih lanjut tentang bagaimana
lembaga penegak hukum di seluruh dunia bekerja sama untuk memerangi penipuan
konsumen. Setiap tim harus memperoleh statistik saat ini pada salah satu dari lima kategori
keluhan konsumen dan menyiapkan laporan. Apakah ada kategori tumbuh lebih cepat dari
yang lain? Apakah kategori lebih umum di bagian-bagian tertentu dari dunia?
2. Baca Dalam Masalah Klub Grosir BJ, Inc, Perjanjian mengandung Consent Order, FTC
File No 042 3160, 16 Juni 2005 jam www.ftc.gov/opa/2005/ 0 6/bjswholesale.htm . Jelaskan
pelanggaran keamanan di BJ Wholesale Club. Apa alasan untuk perjanjian ini?
Mengidentifikasi beberapa penyebab dari pelanggaran keamanan, dan mendiskusikan
bagaimana BJ yang lebih baik dapat mempertahankan diri terhadap serangan hacker dan
tanggung jawab hukum.
3. Baca artikel: "Alat Keamanan Anda Perlu" di
http://www.pcworld.com/downloads/collection/collid, 1525/files.html . Setiap tim harus mendownload produk dan mendiskusikan pro dan kontra untuk kelas. Pastikan untuk melihat di
semua komentar diposting tentang artikel ini.
Menutup Kasus
Keamanan Informasi di Dana Internasional untuk Kesejahteraan Hewan
Masalah
Dana Internasional untuk Kesejahteraan Hewan ( www.ifaw.org ) adalah organisasi terkemuka
di dunia hewan internasional kesejahteraan. yang kecil, nonprofi organisasi t menyatakan bahwa
"nasib dan masa depan semua hewan di Bumi terkait erat dengan umat manusia. " IFAW
memiliki sekitar 375 aktivis yang berpengalaman, hukum dan ilmuwan ahli politik, dan diakui
dunia internasional bekerja dari pejabat ces di 15 negara. Sasaran Organisasi segala sesuatu dari
bayi segel berburu di Kanada untuk perdagangan ilegal gading gajah dan tanduk badak di
Afrika.
IFAW memiliki tiga Karakteristik yang mempengaruhi keamanan informasi organisasi.
Pertama, sebagai sangat tersebar organisasi, IFAW harus berurusan dengan keamanan informasi
pada berskala internasional yang besar. Kedua, pengguna ponsel IFAW membawa laptop yang
harus dilindungi untuk digunakan di luar jaringan IFAW namun tetap cukup aman untuk
kembali ke jaringan tanpa menyebabkan merusak ketika kembali pengguna dari perjalanan
keluar di fi eld. Ketiga, IFAW adalah kekuatan kontroversial dalam konservasi dan karena itu
menemukan sendiri ditargetkan oleh individu, organisasi, dan bahkan pemerintah yang
keberatan dengan kegiatan organisasi.
Dalam satu contoh, selama Canadian bayi perburuan anjing laut, IFAW serangan menyelidik
berpengalaman terhadap laptop penggunanya 'ketika mereka menghadiri misi pemantau
menonton di Prince Edward Island. Dalam kasus lain, IFAW ditemui denial-of-service
serangan dari puluhan server Jepang karena IFAW koperasi sedang melakukan analisis DNA
dari daging ikan paus yang ditemukan di toko Tokyo fi shmonger dalam mendukung antiwhaling
organisasi posisi. IFAW juga telah ditargetkan oleh adat-built perangkat lunak berbahaya yang
dirancang untuk menyerang organisasi. Itu malware disampaikan dari pemerintah sehingga saya
spesifik Cally untuk tujuan memata-matai operasi IFAW.
Solusi
Karena IFAW telah menjadi target serangan adat, organisasi menyadari adanya masalah yang
terkait dengan mengandalkan secara eksklusif pada perangkat lunak anti-malware untuk
melindungi komputer tersebut. Sayangnya, perangkat lunak antimalware menawarkan sedikit
perlindungan terhadap malware diketahui karena hal itu bergantung pada tanda tangan digital
malware dikenal ditemukan oleh peneliti keamanan. Jika malware masih belum ditemukan oleh
para peneliti, tidak ada digital signature ditangkap dan pelanggan tetap tidak dilindungi.
Untuk melindungi aset informasinya, IFAW masih menggunakan komersial software antimalware, meskipun keterbatasannya. Namun, IFAW juga menggunakan perangkat lunak
pendeteksi intrusi dari Sourcefire ( www.sourcefire.com ) dan telah terpasang jaringan akses
kontrol software disebut ProCurve dari Hewlett-Packard ( www.procurve.com ). Efek yang
paling IFAW ive pertahanan, meskipun, telah w hitelisting teknologi. Daripada menghalangi
malware yang dikenal dan hilang semua malware yang tidak diketahui, membolehkan
memungkinkan hanya dikenal "Baik" program perangkat lunak untuk menjalankan sementara
mencegah semua lainnya program dari berjalan. IFAW dipilih Check Point Endpoint
Keamanan ( www.checkpoint.com ) untuk melaksanakan daftar putih.
Hasil
Menggunakan perangkat lunak Check Point, IFAW diterapkan sangat ketat kontrol pada
program perangkat lunak yang memungkinkan untuk berjalan di hardware-nya. Untuk
perangkat lunak membolehkan akses untuk bekerja, organisasi harus memutuskan setiap aplikasi
yang harus dijalankan pada salah satu komputer tersebut. Jika program tidak masuk daftar
putih, maka akan tidak berjalan sampai seseorang di departemen IT IFAW memungkinkan
untuk berjalan.
Salah satu hasil yang tak terduga adalah bahwa IFAW bisa menggunakan sistem membolehkan
untuk mengidentifikasi dan memisahkan diketahui malware-malware yang tidak diakui oleh
IFAW antimalware perangkat lunak. Sistem membolehkan akses segera berkurang jumlah
infeksi dan eksploitasi keamanan kerentanan pada komputer organisasi. Bahkan, keamanan
insiden turun sekitar 75 persen. Selain itu, sistem membolehkan diaktifkan IFAW untuk
meningkatkan perangkat lunak lisensi kepatuhan karena organisasi sekarang tahu persis
software apa yang berjalan pada komputer tersebut.
Satu masalah tetap. Meskipun IFAW telah sukses dengan berbagai pertahanan, organisasi
masih harus mengelola komputer yang tidak sendiri. Banyak pengguna yang milik mitra
organisasi perlu terhubung ke jaringan IFAW. Akibatnya, Kebijakan akses jaringan
keseimbangan dengan keamanan IFAW. IFAW sekarang memberikan mitranya telanjang akses
yang diperlukan minimum untuk jaringan dan terus memantau pengguna dari organisasi mitra.
Pertanyaan
ol akses
1.
Apakah tempat proses membolehkan lebih dari beban pada kelompok TI di
IFAW? Mengapa atau mengapa tidak? Mendukung jawaban Anda.
Lebih beban tidak harus ditempatkan. Hal ini penting bagi TI untuk memiliki kontrol
atas apa yang sudah diinstal dan dijalankan pada komputer karyawan. Karena komputer
yang diambil dari jaringan mereka sering dan ditempatkan ke jaringan lain, potensi
berbagai program dan konten untuk mendapatkan diinstal adalah ancaman besar. Oleh
karena itu, program ini hanya membantu departemen TI mengelola sumber dayanya.
2.
Menganalisis resiko yang terlibat dalam IFAW memungkinkan pengguna dari
organisasi mitra untuk mengakses jaringan IFAW.
Membuka jaringan mereka ke luar untuk setiap pengguna dari mitra yang dapat
menyebabkan masalah besar. Intrusi lebih mungkin dan dapat menyebabkan gangguan
layanan jaringan.
Sumber Tambahan
Karena pentingnya keamanan informasi telah pada organisasi ada aliran kontinu laporan berita
dari berbagai serangan dan masalah keamanan yang terjadi. Instruktur harus secara berkala
memeriksa, terutama di sekitar waktu bab ini disajikan, situs berita teknologi tersebut dapat
menyisipkan peristiwa keamanan saat ini terkait ke dalam diskusi kelas.
Jika Anda mengajar kelas online atau mencari video singkat untuk kelas kuliah, saya kadangkadang memiliki keberuntungan menemukan topik video yang relevan di http://youtube.com .
Masalahnya adalah bahwa kadang-kadang y adalah demo produk atau video penjualan, tetapi
mereka masih kadang-kadang menyajikan informasi atau konsep yang relevan.
Sumber lain yang berhubungan dengan keamanan bagaimana teknologi-karya audio adalah
podcast mingguan yang dilakukan oleh Steve Gibson dan Leo Leporte, disebut SecurityNow.
Arsip lengkap dari versi audio dari acara dapat ditemukan di
http://www.grc.com/securitynow.htm . (Anda dapat menemukan versi video dari acara yang
lebih baru di http://www.thisweekintech.com/sn .) Namun, sementara isi dari acara topik tertentu
biasanya sangat baik, dua host terkadang menghabiskan bagian pertama dari podcast berbicara
tentang beberapa topik terkait. ini podcast yang dirilis di bawah Lisensi Creative Commons.
Saya telah menggunakan mereka untuk kelas online saya dan dukungan yang lebih rinci topik
tertentu untuk siswa kelas kuliah saya.
Bab Glosarium
Kontrol yang membatasi individu yang tidak sah dari menggunakan sumber daya informasi
dan prihatin dengan identifikasi pengguna
e
Perangkat lunak Alien dirancang untuk membantu iklan pop-up muncul di layar Anda
gkat lunak asing
Software Clandestine yang diinstal pada komputer Anda melalui metode mendua
anti-malware (perangkat lunak antivirus) Software paket yang mencoba untuk mengidentifikasi dan
menghilangkan virus, worm, dan software berbahaya lainnya
Pemeriksaan sistem informasi, masukan mereka, output, dan pengolahan
kasi
Sebuah proses yang menentukan identitas orang yang membutuhkan akses
asi
Sebuah proses yang menentukan tindakan, hak, atau hak orang tersebut telah, berdasarkan identitas
yang dapat diverifikasi
belakang
Biasanya password, yang hanya diketahui oleh penyerang, yang memungkinkan penyerang
untuk mengakses sistem tanpa harus melalui prosedur keamanan
trik
Ilmu pengetahuan dan teknologi otentikasi (misalnya, menetapkan identitas individu) dengan
mengukur karakteristik fisiologis atau perilaku subjek
hitam
Sebuah proses di mana sebuah perusahaan mengidentifikasi jenis perangkat lunak tertentu yang
tidak diperbolehkan untuk berjalan dalam lingkungan perusahaan
kat otoritas
Pihak ketiga yang bertindak sebagai perantara terpercaya antara komputer (dan
perusahaan) dengan menerbitkan sertifikat digital dan memverifikasi nilai dan integritas
sertifikat
dingin
Sebuah lokasi backup yang hanya menyediakan layanan dan fasilitas dasar
ol komunikasi (juga kontrol jaringan)
Kontrol yang berurusan dengan pergerakan data di seluruh
jaringan
ol
Mekanisme pertahanan (juga disebut penanggulangan)
Sejumlah kecil informasi yang web situs simpan di komputer Anda, sementara atau lebih-atau-kurang
permanen
pta
Dana bantuan yang menyediakan pencipta kekayaan intelektual dengan kepemilikan itu untuk
jangka waktu tertentu, saat ini kehidupan pencipta ditambah 70 tahun
crime
Aktivitas ilegal dieksekusi di Internet
errorism
Dapat didefinisikan sebagai direncanakan, serangan bermotif politik terhadap informasi,
sistem komputer, program komputer, dan data yang mengakibatkan kekerasan terhadap target
noncombatant oleh kelompok subnasional atau agen klandestin
warfare
Perang di mana sistem informasi suatu negara bisa lumpuh dari serangan besar-besaran oleh
perangkat lunak destruktif
demiliterisasi (DMZ) Sebuah jaringan area lokal organisasi terpisah yang terletak antara jaringan internal
organisasi dan jaringan eksternal, biasanya Internet
gan denial-of-service Sebuah serangan cyber di mana penyerang mengirimkan banjir paket data ke komputer
target, dengan tujuan overloading sumber daya
kat digital
Sebuah dokumen elektronik yang melekat pada sertifikasi berkas yang file ini dari
organisasi itu mengaku dari dan belum diubah dari format aslinya atau konten
ibusikan denial-of-service (DDoS) Sebuah serangan denial-of-service yang mengirimkan banjir paket data
dari banyak komputer dikompromikan secara bersamaan
wan sistem pemantauan Sistem yang memonitor komputer karyawan, aktivitas e-mail, dan kegiatan
berselancar di Internet
si
Proses konversi pesan asli menjadi bentuk yang tidak dapat dibaca oleh siapapun kecuali penerima
yang dituju
ur
Kerugian, kehilangan, atau kerusakan yang dapat timbul jika ancaman kompromi sumber informasi
ll
Sebuah sistem (baik hardware, software, atau kombinasi keduanya) yang mencegah jenis tertentu
informasi dari bergerak antara jaringan tidak dipercaya, seperti Internet, dan jaringan pribadi,
seperti jaringan perusahaan Anda
anas
Sebuah fasilitas komputer sepenuhnya dikonfigurasi, dengan semua sumber informasi dan jasa,
link komunikasi, dan operasi pabrik fisik, yang menduplikasi sumber daya perusahaan Anda
komputasi dan memberikan pemulihan dekat real-time operasi TI
rian identitas
Kejahatan di mana seseorang menggunakan informasi pribadi orang lain untuk membuat
identitas palsu dan kemudian menggunakannya untuk beberapa penipuan
masi keamanan
P rotecting informasi organisasi dan sistem informasi dari akses yang tidak sah,
penggunaan, pengungkapan, gangguan, modifikasi, atau perusakan
informasi kontrol Prosedur, perangkat, atau perangkat lunak yang bertujuan untuk mencegah kompromi
untuk sistem
aan intelektual
Properti berwujud yang diciptakan oleh perorangan atau perusahaan, yang dilindungi
oleh rahasia dagang, paten, dan hukum hak cipta
istimewa
Sebuah prinsip bahwa pengguna diberikan hak khusus untuk beberapa aktivitas hanya jika
ada kebutuhan dibenarkan untuk memberikan otorisasi ini
bom
Segmen kode komputer tertanam dalam program komputer yang ada organisasi
re
perangkat lunak berbahaya seperti virus dan worm
l jaringan (lihat kontrol komunikasi )
andi
Kombinasi pribadi karakter yang hanya pengguna harus tahu
Sebuah dokumen yang memberikan hak eksklusif pemegang pada penemuan atau proses untuk jangka
waktu tertentu, saat ini 20 tahun
ng serangan
Sebuah serangan yang menggunakan penipuan untuk menipu mendapatkan informasi
pribadi yang sensitif dengan menyamar sebagai e-mail resmi yang tampak
l fisik
Kontrol yang membatasi individu yang tidak sah dari mendapatkan akses ke fasilitas komputer
perusahaan
jakan
Menyalin sebuah program perangkat lunak (selain freeware, demo software, dll) tanpa
melakukan pembayaran kepada pemilik
Hak untuk dibiarkan sendiri dan bebas dari intrusi pribadi tidak masuk akal
mewaan
Koleksi operasi sistem komputer terkait yang dapat dilakukan oleh pengguna sistem
si kunci publik (juga disebut enkripsi asimetris) Suatu jenis enkripsi yang menggunakan dua kunci berbeda,
kunci publik dan sebuah kunci pribadi
Kemungkinan bahwa ancaman akan terjadi
maan resiko
Sebuah strategi di mana organisasi menerima resiko potensial, terus beroperasi tanpa
kontrol, dan menyerap kerugian yang terjadi
s risiko
Proses di mana sebuah organisasi menilai nilai setiap aset dilindungi, memperkirakan
probabilitas bahwa setiap aset mungkin dikompromikan, dan membandingkan biaya
kemungkinan masing-masing berkompromi dengan biaya melindunginya
siko
Sebuah strategi di mana organisasi membatasi risiko dengan menerapkan kontrol yang
meminimalkan dampak ancaman
emen risiko
Sebuah proses yang mengidentifikasi, kontrol, dan meminimalkan dampak dari ancaman,
dalam upaya untuk mengurangi risiko ke tingkat dikelola
si risiko
Sebuah proses dimana organisasi mengambil tindakan konkret terhadap risiko, seperti
menerapkan kontrol dan mengembangkan rencana pemulihan bencana
transferensi
Sebuah proses di mana organisasi mentransfer risiko dengan menggunakan cara lain
untuk mengkompensasi kerugian, seperti dengan membeli asuransi
socket layer ( SSL ) (juga dikenal sebagai lapisan keamanan transportasi )
Sebuah standar enkripsi
yang digunakan untuk transaksi yang aman seperti pembelian kartu kredit dan perbankan online
nan
T ia tingkat proteksi terhadap kegiatan kriminal, bahaya, kerusakan, dan / atau kerugian
sa sosial
yang
are
Bepergian sistem keamanan dengan cara menipu pengguna komputer di dalam sebuah
perusahaan menjadi informasi sensitif mengungkapkan atau mendapatkan hak akses yang tidak
sah
Yang tidak diminta e-mail
lunak Alien yang menggunakan komputer Anda sebagai platform peluncuran untuk spammer
re
software Alien yang dapat merekam keystrokes Anda dan / atau mencuri password Anda
man
Bahaya yang merupakan sumber informasi dapat terkena
a dagang
kerja Intelektual, seperti rencana bisnis, yang merupakan rahasia perusahaan dan tidak
didasarkan pada informasi publik
ortasi lapisan keamanan ( TLS ) (lihat secure socket layer )
perangkap
(lihat pintu belakang)
horse
Sebuah program perangkat lunak yang berisi fungsi tersembunyi yang menyajikan risiko
keamanan
ing
Sebuah proses yang mengenkripsi setiap paket data yang akan dikirim dan menempatkan setiap
paket dienkripsi dalam paket lain
virtual private network Sebuah jaringan pribadi yang menggunakan jaringan publik (biasanya internet) untuk
secara aman menghubungkan pengguna dengan menggunakan enkripsi
Perangkat lunak berbahaya yang dapat melampirkan sendiri ke (atau "menginfeksi") program komputer
lain tanpa pemilik program menyadari infeksi
anan
Kemungkinan bahwa sebuah sumber informasi akan dirugikan oleh ancaman
angat
Sebuah situs yang menyediakan banyak layanan dan pilihan dari situs panas yang sama, tetapi
tidak termasuk aplikasi perusahaan
olehkan akses
Sebuah proses di mana sebuah perusahaan mengidentifikasi software diterima dan
memungkinkan untuk berjalan, dan baik mencegah apa pun dari berjalan atau memungkinkan
menjalankan software baru di lingkungan dikarantina sampai perusahaan dapat memverifikasi
validitas
program Merusak yang mereplikasi diri tanpa memerlukan program lain untuk menyediakan
lingkungan yang aman untuk replikasi