Nama No. BP : Nadila Maghfirah : 1811511019 Tugas Pertemuan 1 - Keamanan Informasi 1. Identifikasi 5 aset informasi yang paling a. sensitif, b. critical, di instansi tempat PKL Jawaban: Instansi : Dinas Komunikasi dan Informatika Provinsi Sumatera Barat Informasi Sensitif: 1) Nota asli pembelian inventaris dan kebutuhan internal 2) Database kepegawaian dan staff 3) Kegiatan internal tim IT terkait server 4) Perincian aliran dana masuk dan keluar 5) Data akun dashboard command center Informasi Critical: 1) Struktur organisasi diskominfo 2) Informasi kerja setiap bidang 3) Data penggunaan barang di instansi 4) Data perjalanan dinas pegawai dan staff 5) Informasi hasil rapat 2. Cari tahu mengenai Triad CIA & Extended CIA Jawaban: Triad CIA, merupakan segitiga kesatuan yang terdiri dari tiga buah aspek penting yang perlu diperhatikan dalam hal keamanan, misalnya oleh suatu instansi, mengenai informasi yang dimiliki/berkenaan dengan instansi tersebut. Adanya Triad CIA ini diperlukan untuk menentukan kebijakan yang dibutuhkan suatu instansi dalam menjamin keamanan informasinya. Triad CIA terdiri dari tiga aspek, yaitu: - Confidentiality (kerahasiaan), artinya aspek yang berkaitan dengan kerahasiaan data atau informasi suatu instansi, berkaitan dengan privasi intansi tersebut. Dengan memperhatikan aspek ini, suatu instansi memerlukan kebijakan-kebijakan yang bertujuan untuk menjaga kerahasiaan informasi atau datanya, misalnya perlindungan dari pengaksesan dan penggunaan data yang ilegal atau tidak diinginkan, pengeksposan data, serta perlindungan data yang berada dalam lingkup sistem instansi tersebut. - Integrity (integritas), ini berkaitan integritas atau mutu atau keutuhan data suatu instansi, agar data yang dimiliki terjamin keakuratannya. Dengan memperhatikan aspek ini maka dipertimbangkan kebijakan-kebijakan yang diperlukan untuk menjamin integritas instansi tersebut, misalnya selalu mengidentifikasi perubahan-perubahan yang dialami dalam setiap pemrosesan data, penyaluran data, maupun dalam penyimpanan data. - Availability (ketersediaan), berkaitan dengan kesiapan suatu informasi untuk dapat digunakan atau dioperasikan saat dibutuhkan oleh instansi tersebut. Aspek ini bertujuan untuk mencegah gangguan layanan karena pemadaman listrik, kegagalan perangkat keras, dan peningkatan sistem, serta pencegahan serangan denial-of-service. Kebijakan mengenai aspek ini memastikan bahwa sistem komputasi yang digunakan untuk menyimpan dan memproses informasi, kontrol keamanan yang digunakan untuk melindunginya, dan saluran komunikasi yang digunakan untuk mengaksesnya sudah berfungsi dengan benar. Extended CIA berkaitan dengan aspek-aspek di luar segitiga CIA (triad CIA) yang tetap penting untuk diperhatikan meskipun kepentingannya tidak semendasar kepentingan tiga aspek di atas. Aspek itu antara lain sebagai berikut. - Authenticity (keaslian/kebenaran), artinya aspek yang memperhatikan keaslian informasi yang ada. Maka diperlukan pengecekan terhadap identitas suatu entitas dalam informasi tersebut, yang nantinya diperlukan dalam menjamin keamanan informasi. Aspek ini berhubungan dengan penyataan bahwa informasi betul-betul asli, atau orang yang mengakses atau memberikan informasi adalah betul-betul orang yang sesuai. - Possession (kepemilikan), artinya aspek ini mengenai kepemilikan informasi, setiap informasi yang ada diperhatikan kepemilikannya, agar bisa dipertanggungjawabkan kedepannya. Ini menentukan pemilik sah untuk menggunakan atau mengirimkan informasi kepada pihak lain. - Utility (keperluan), artinya setiap informasi memiliki keperluan tersendiri, sehingga digunakan pada hal yang sesuai dengan keperluannya itu saja untuk menghindari terjadinya miss-informasi atau data. - Signature (tanda tangan), dengan aspek ini maka suatu informasi ada pengesahannya dan menjadi satu kesatuan di bawah suatu otoritas. - Authorization (otorisasi), maksudnya adalah pemberian hak/kewenangan kepada entitas lain di dalam sistem, sehingga informasi yang diperlukan oleh suatu pihak di luar pemiliknya dapat terkonfirmasi dan dapat diakses oleh pihak tersebut ketika diperlukan. - Validation (validasi), aspek ini adalah aspek yang dilakukan untuk pengecekan keabsahan suatu otorisasi, yang mana ini berkaitan dengan aspek otorisasi, sehingga setiap pihak yang diberikan kewenangan terhadap suatu informasi terjamin bahwa pihak tersebut benar-benar sudah valid pelimpahan wewenang terhadap dirinya. - Access Control (kontrol akses), aspek ini berhubungan dengan cara pengaturan akses kepada informasi, misalnya dilakukan dengan menggunakan kombinasi user id/password atau dengan menggunakan mekanisme lain. - Certification (sertifikasi), artinya pengesahan/pemberian kuasa suatu informasi kepada pihak yang tepercaya. - Time Stamp (pencatatan waktu), aspek ini diperlukan untuk mencatat waktu pembuatan atau keberadaan suatu informasi di dalam sistem. - Verification (persaksian), aspek ini untuk memverifikasi pembuatan dan keberadaan suatu informasi di dalam sistem, ini dilakukan oleh pihak yang bukan pembuat atau pemilik informasi. - Confirmation (konfirmasi), aspek ini diperlukan untuk melakukan pemberitahuan bahwa suatu layanan informasi telah tersedia, sehingga dapat digunakan ketika diperlukan (semacam konfirmasi sebelum hendak digunakan). - Anonymous (anonimitas), aspek ini berkaitan juga dengan kerahasiaan informasi ketika diperlukan, dengan menyamarkan identitas dari entitas terkait dalam suatu proses yang dilakukan. - Non-repudiation (nirpenyangkalan), aspek ini diperlukan untuk memastikan bahwa baik pengirim maupun penerima informasi tidak dapat menyangkal pengiriman dan penerimaan informasi tersebut sehingga dapat mencegah penyangkalan dari suatu entitas atas kesepakatan atau perbuatan yang sudah dibuat. 3. Cari tahu mengenai Red Team, Blue Team, Yellow Team dalam domain information security, dan identifikasi perbedaan ketiganya Jawaban: Red Team disebut sebagai "The Breakers", merupakan pihak yang melakukan penyerangan dalam keamanan informasi yang spesialisasinya adalah dalam hal menyerang dan membobol pertahan keamanan. Tim ini ditugaskan untuk melakukan "peretasan etis" pada suatu organisasi dan diberi wewenang untuk melakukan apa pun untuk melanggar pertahanan keamanan. Tim ini meniru serangan dunia nyata yang dapat mengenai perusahaan atau organisasi, dan melakukan semua langkah yang diperlukan sebagai penyerang. Dengan mengambil peran sebagai penyerang, tim ini menunjukkan kepada organisasi apa yang bisa menjadi alternatif atau kerentanan yang dapat dieksploitasi yang menimbulkan ancaman bagi keamanan mereka. Blue Team disebut sebagai “The Defenders”, merupakan pihak yang melakukan pertahanan, bertanggung jawab dalam menjaga pertahanan internal dari segala serangan dan ancaman dunia maya yang menargetkan jaringannya. Tim ini menerapkan keamanan pertahanan, pengendalian kerusakan, serta berperan sebagai pengidentifikasi ancaman, penjaga keamanan operasional, dan tim ahli forensik data. Tim ini memperkuat seluruh infrastruktur keamanan digital, menggunakan perangkat lunak seperti IDS (sistem deteksi intrusi) yang memberikan analisis berkelanjutan atas aktivitas yang tidak biasa dan mencurigakan. Yellow Team disebut sebagai "The Builders", yaitu pihak yang bertanggung jawab untuk mengembangkan sistem keamanan suatu organisasi. Misalnya departemen TI internal atau penyedia solusi keamanan pihak ketiga, pengembang aplikasi atau perangkat lunak, yang diharapkan memastikan bahwa aplikasi tersebut cukup aman.
