Akhir akhir ini sering terjadi penipuan di bidang informasi baik penipuan komputer atau melalui jaringan internet.. agar keaman atau security kita tetap terjaga.. di dalam suatu pengendalian sistem informasi kita sering mendengan kata CIA, CIA yang dimaksud disini bukanlah CENTRAL INTELLIEGENCE AGENCY. lalu apakah apakah CIA yang dimaksud??
CIA ialah kependekan dari Confidentiality atau sering kita kenal sebagai aspek privacy.
Inti utama aspek privacy atau confidentiality adalah usaha untuk menjaga
informasi dari orang yang tidak berhak mengakses. Privacy lebih kearah
data-data yang sifatnya privat sedangkan confidentiality biasanya
berhubungan dengan data yang diberikan ke pihak lain untuk keperluan
tertentu (misalnya sebagai bagian dari pendaftaran sebuah servis) dan hanya
diperbolehkan untuk keperluan tertentu tersebut. Contoh hal yang
berhubungan dengan privacy adalah e-mail seorang pemakai (user) tidak
boleh dibaca oleh administrator. Contoh confidential information adalah
data-data yang sifatnya pribadi (seperti nama, tempat tanggal lahir, social
security number, agama, status perkawinan, penyakit yang pernah diderita,
nomor kartu kredit, dan sebagainya) merupakan data-data yang ingin
diproteksi penggunaan dan penyebarannya. Contoh lain dari confidentiality
adalah daftar pelanggan dari sebuah Internet Service Provider (ISP).
Untuk mendapatkan kartu kredit, biasanya ditanyakan data-data pribadi.
Jika saya mengetahui data-data pribadi anda, termasuk nama ibu anda,
maka saya dapat melaporkan melalui telepon (dengan berpura-pura sebagai
anda) bahwa kartu kredit anda hilang dan mohon penggunaannya diblokir.
Institusi (bank) yang mengeluarkan kartu kredit anda akan percaya bahwa
saya adalah anda dan akan menutup kartu kredit anda. Masih banyak lagi
kekacauan yang dapat ditimbulkan bila data-data pribadi ini digunakan oleh
orang yang tidak berhak.
Ada sebuah kasus dimana karyawan sebuah perusahaan dipecat dengan
tidak hormat dari perusahaan yang bersangkutan karena kedapatan
mengambil data-data gaji karyawan di perusahaan yang bersangkutan. Di
perusahaan ini, daftar gaji termasuk informasi yang bersifat confidential .
Dalam bidang kesehatan (health care) masalah privacy merupakan topik
yang sangat serius di Amerika Serikat. Health Insurance Portability and
Accountability Act (HIPPA), dikatakan akan mulai digunakan di tahun
2002, mengatakan bahwa rumah sakit, perusahaan asuransi, dan institusi
lain yang berhubungan dengan kesehatan harus menjamin keamanan dan
privacy dari data-data pasien. Data-data yang dikirim harus sesuai dengan
format standar dan mekanisme pengamanan yang cukup baik. Partner bisnis
dari institusi yang bersangkutan juga harus menjamin hal tersebut. Suatu hal
yang cukup sulit dipenuhi. Pelanggaran akan act ini dapat didenda US$
250.000 atau 10 tahun di penjara.
Serangan terhadap aspek privacy misalnya adalah usaha untuk melakukan
penyadapan (dengan program sniffer). Usaha-usaha yang dapat dilakukan
untuk meningkatkan privacy dan confidentiality adalah dengan
menggunakan teknologi kriptografi (dengan enkripsi dan dekripsi).
Ada beberapa masalah lain yang berhubungan dengan confidentiality.
Apabila kita menduga seorang pemakai (sebut saja X) dari sebuah ISP (Z),
maka dapatkah kita meminta ISP (Z) untuk membuka data-data tentang
pemakai X tersebut? Di luar negeri, ISP Z akan menolak permintaan
tersebut meskipun bukti-bukti bisa ditunjukkan bahwa pemakai X tersebut
melakukan kejahatan. Biasanya ISP Z tersebut meminta kita untuk
menunjukkan surat dari pihak penegak hukum (subpoena). Masalah privacy
atau confidentiality ini sering digunakan sebagi pelindung oleh orang yang
jahat/nakal.
Integrity
Aspek ini menekankan bahwa informasi tidak boleh diubah tanpa seijin
pemilik informasi. Adanya virus, trojan horse, atau pemakai lain yang
mengubah informasi tanpa ijin merupakan contoh masalah yang harus
dihadapi. Sebuah e-mail dapat saja “ditangkap” (intercept) di tengah jalan,
diubah isinya (altered, tampered, modified), kemudian diteruskan ke alamat
yang dituju. Dengan kata lain, integritas dari informasi sudah tidak terjaga.
Penggunaan enkripsi dan digital signature, misalnya, dapat mengatasi
masalah ini.
Salah satu contoh kasus trojan horse adalah distribusi paket program TCP
Wrapper (yaitu program populer yang dapat digunakan untuk mengatur dan
membatasi akses TCP/IP) yang dimodifikasi oleh orang yang tidak
bertanggung jawab. Jika anda memasang program yang berisi trojan horse
tersebut, maka ketika anda merakit (compile) program tersebut, dia akan
mengirimkan eMail kepada orang tertentu yang kemudian memperbolehkan
dia masuk ke sistem anda. Informasi ini berasal dari CERT Advisory, “CA-
99-01 Trojan-TCP-Wrappers” yang didistribusikan 21 Januari 1999.
Contoh serangan lain adalah yang disebut “man in the middle attack”
dimana seseorang menempatkan diri di tengah pembicaraan dan menyamar
sebagai orang lain.
Availability
Aspek availability atau ketersediaan berhubungan dengan ketersediaan
informasi ketika dibutuhkan. Sistem informasi yang diserang atau dijebol
dapat menghambat atau meniadakan akses ke informasi. Contoh hambatan
adalah serangan yang sering disebut dengan “denial of service attack” (DoS
attack), dimana server dikirimi permintaan (biasanya palsu) yang bertubitubi
atau permintaan yang diluar perkiraan sehingga tidak dapat melayani
permintaan lain atau bahkan sampai down, hang, crash. Contoh lain adalah
adanya mailbomb, dimana seorang pemakai dikirimi e-mail bertubi-tubi
(katakan ribuan e-mail) dengan ukuran yang besar sehingga sang pemakai
tidak dapat membuka e-mailnya atau kesulitan mengakses e-mailnya
(apalagi jika akses dilakukan melalui saluran telepon). Bayangkan apabila
anda dikirimi 5000 email dan anda harus mengambil (download) email
tersebut melalui telepon dari rumah.Serangan terhadap availability dalam bentuk DoS attack merupakan yang
terpopuler pada saat naskah ini ditulis. Pada bagian lain akan dibahas
tentang serangan DoS ini secara lebih rinci.
Tidak ada komentar:
Posting Komentar