Keamanan informasi, kadang-kadang disingkat menjadi InfoSec, adalah praktek membela informasi dari akses yang tidak sah, penggunaan, pengungkapan, gangguan, modifikasi, teliti, inspeksi, rekaman atau perusakan.
Dua aspek utama dari keamanan informasi adalah:
- Keamanan IT : Kadang-kadang disebut sebagai keamanan komputer, keamanan informasi diterapkan pada teknologi ( paling sering beberapa bentuk sistem komputer ). Komputer adalah perangkat dengan prosesor dan beberapa memori (bahkan kalkulator ). TI spesialis keamanan hampir selalu ditemukan dalam perusahaan besar / perusahaan karena sifat dan nilai dari data dalam bisnis yang lebih besar. Mereka bertanggung jawab untuk menjaga semua teknologi dalam perusahaan aman dari serangan cyber berbahaya yang sering mencoba untuk melanggar menjadi informasi pribadi kritis atau mendapatkan kontrol dari sistem internal.
- Jaminan Informasi: Tindakan untuk memastikan bahwa data tidak hilang bila isu-isu kritis muncul. Isu-isu termasuk tidak terbatas pada : bencana alam, kerusakan komputer / server, pencurian fisik, atau contoh lain di mana data memiliki potensi hilang.Karena sebagian besar informasi yang tersimpan pada komputer di era modern kita, jaminan informasi biasanya ditangani oleh TI spesialis keamanan. Salah satu metode yang paling umum memberikan jaminan informasi adalah untuk memiliki cadangan off-site dari data dalam kasus salah satu masalah yang disebutkan muncul.
Pemerintah, militer, perusahaan , lembaga keuangan , rumah sakit , dan perusahaan swasta mengumpulkan banyak informasi rahasia mengenai karyawan mereka , pelanggan , produk , penelitian dan status keuangan . Sebagian besar informasi ini sekarang dikumpulkan , diproses dan disimpan di komputer elektronik dan dikirimkan melalui jaringan ke komputer lain .
Haruskah informasi rahasia tentang pelanggan bisnis ' atau keuangan atau lini produk baru jatuh ke tangan pesaing atau black hat hacker , bisnis dan pelanggan bisa menderita luas , kerugian keuangan dapat diperbaiki , belum lagi kerusakan reputasi perusahaan . Melindungi informasi rahasia adalah kebutuhan bisnis, dan dalam banyak kasus juga merupakan persyaratan etika dan hukum .
Untuk individu , keamanan informasi memiliki pengaruh yang signifikan terhadap privasi, yang dipandang sangat berbeda dalam budaya yang berbeda .
Bidang keamanan informasi telah tumbuh dan berkembang secara signifikan dalam beberapa tahun terakhir . Ada banyak cara untuk mendapatkan masuk ke lapangan sebagai karier. Ini menawarkan banyak daerah untuk spesialisasi termasuk : mengamankan jaringan ( s ) dan prasarana sekutu , mengamankan aplikasi dan database , pengujian keamanan , sistem informasi audit , perencanaan kelangsungan bisnis dan forensik digital, dll
Triad CIA ( kerahasiaan , integritas dan ketersediaan ) merupakan salah satu prinsip inti keamanan informasi.
Pada 2013 , berdasarkan analisis literatur yang luas , Informasi Assurance & Keamanan ( IAS ) Oktaf telah dikembangkan dan diusulkan sebagai perpanjangan CIA - traid . IAS Octave adalah salah satu dari empat dimensi dari Model Referensi Informasi Jaminan Keamanan ( RMIAS ) . IAS Octave termasuk kerahasiaan, integritas , ketersediaan , privasi, keaslian & kepercayaan , non-penolakan , akuntabilitas dan auditability. The IAS Octave sebagai seperangkat saat tujuan keamanan yang relevan telah dievaluasi melalui serangkaian wawancara dengan InfoSec dan IA profesional dan akademisi . Dalam definisi untuk setiap anggota Oktaf IAS diuraikan bersama dengan penerapan setiap tujuan keamanan ( faktor kunci ) untuk enam komponen dari Sistem Informasi .
Kerahasiaan mengacu mencegah pengungkapan informasi kepada individu atau sistem yang tidak sah. Misalnya, transaksi kartu kredit di Internet membutuhkan nomor kartu kredit yang akan dikirim dari pembeli ke pedagang dan dari pedagang ke jaringan proses transaksi . Sistem ini mencoba untuk menegakkan kerahasiaan dengan mengenkripsi nomor kartu selama transmisi , dengan membatasi tempat-tempat itu mungkin muncul ( dalam database , file log , backup , penerimaan dicetak , dan sebagainya) , dan dengan membatasi akses ke tempat-tempat itu disimpan . Jika pihak yang tidak berwenang memperoleh nomor kartu dengan cara apapun , pelanggaran kerahasiaan telah terjadi .
Kerahasiaan diperlukan untuk menjaga privasi orang-orang yang informasi pribadi diadakan dalam sistem .
Dalam keamanan informasi , integritas data berarti menjaga dan menjamin akurasi dan konsistensi data melalui yang seluruh siklus hidup. Ini berarti bahwa data tidak dapat dimodifikasi secara tidak sah atau tidak terdeteksi . Ini bukan hal yang sama seperti integritas referensial dalam database , meskipun dapat dipandang sebagai kasus khusus Konsistensi seperti yang dipahami dalam model ACID klasik pemrosesan transaksi . Integritas dilanggar ketika pesan secara aktif diubah dalam transit . Sistem keamanan informasi biasanya menyediakan integritas pesan di samping kerahasiaan data .
Untuk setiap sistem informasi untuk melayani tujuannya , informasi harus tersedia saat dibutuhkan . Ini berarti bahwa sistem komputasi yang digunakan untuk menyimpan dan memproses informasi , kontrol keamanan digunakan untuk melindunginya , dan saluran komunikasi yang digunakan untuk mengaksesnya harus berfungsi dengan benar . Sistem ketersediaan tinggi bertujuan untuk tetap tersedia setiap saat , mencegah gangguan layanan akibat listrik padam , kegagalan hardware , dan upgrade sistem . Memastikan ketersediaan juga melibatkan mencegah serangan denial-of -service .
Dalam keamanan komputer, e-Business , dan informasi , perlu untuk memastikan bahwa data , transaksi , komunikasi atau dokumen ( elektronik atau fisik ) yang asli . Hal ini juga penting untuk keaslian untuk memvalidasi bahwa kedua pihak yang terlibat adalah yang menjadi tuntutan mereka . Beberapa sistem keamanan informasi memasukkan fitur otentikasi seperti " tanda tangan digital " , yang memberikan bukti bahwa pesan data asli dan dikirim oleh seseorang yang memiliki kunci penandatanganan yang tepat .
Dalam hukum , non-penolakan menyiratkan niat seseorang untuk memenuhi kewajiban mereka dalam kontrak . Hal ini juga menyiratkan bahwa salah satu pihak dari transaksi tidak dapat menyangkal telah menerima transaksi juga tidak bisa pihak lain menyangkal telah mengirimkan transaksi .
Penting untuk dicatat bahwa sementara teknologi seperti sistem kriptografi dapat membantu upaya non-penolakan , konsep ini pada intinya konsep hukum melampaui bidang teknologi . Hal ini tidak , misalnya, cukup untuk menunjukkan bahwa pesan cocok dengan tanda tangan digital ditandatangani dengan kunci pribadi pengirim , dan dengan demikian hanya pengirim bisa mengirim pesan dan tidak ada orang lain bisa diubah dalam transit. Dugaan pengirim bisa dengan imbalan menunjukkan bahwa algoritma tanda tangan digital rentan atau cacat , atau menyatakan atau membuktikan bahwa kunci penandatanganan telah diganggu . Kesalahan atas pelanggaran tersebut mungkin atau mungkin tidak berbohong dengan pengirim sendiri , dan pernyataan tersebut mungkin atau mungkin tidak meringankan pengirim kewajiban , tetapi pernyataan akan membatalkan klaim bahwa tanda tangan harus membuktikan keaslian dan integritas dan dengan demikian mencegah penolakan.
- Analis keamanan informasi
Analis keamanan informasi teknologi informasi ( TI ) spesialis yang bertanggung jawab untuk menjaga semua data dan komunikasi yang disimpan dan dibagi dalam sistem jaringan . Dalam industri keuangan , misalnya , analis keamanan informasi mungkin terus meng-upgrade firewall yang melarang akses berlebihan untuk data bisnis sensitif dan mungkin melakukan tes defencelessness untuk menilai efektivitas langkah-langkah keamanan .
Manajemen risiko
Manajemen risiko adalah proses identifikasi kerentanan dan ancaman terhadap sumber daya informasi yang digunakan oleh suatu organisasi dalam mencapai tujuan bisnis , dan memutuskan apa penanggulangan , jika ada , untuk mengambil dalam mengurangi risiko ke tingkat yang dapat diterima , berdasarkan nilai dari sumber daya informasi bagi organisasi .
Risiko adalah kemungkinan bahwa sesuatu yang buruk akan terjadi yang menyebabkan kerugian bagi aset informasi ( atau hilangnya aset) . Kerentanan adalah kelemahan yang dapat digunakan untuk membahayakan atau menyebabkan kerusakan pada aset informasi . Ancaman adalah sesuatu ( buatan manusia atau kejadian alam ) yang memiliki potensi untuk menyebabkan kerusakan .
Kemungkinan bahwa ancaman akan menggunakan kerentanan untuk menyebabkan kerusakan menciptakan risiko . Ketika ancaman tidak menggunakan kerentanan untuk menimbulkan kerusakan , memiliki dampak . Dalam konteks keamanan informasi , dampaknya adalah hilangnya ketersediaan , integritas , dan kerahasiaan, dan mungkin kerugian lainnya ( kehilangan pendapatan, hilangnya nyawa , kehilangan harta benda nyata) . Ini harus menunjukkan bahwa tidak mungkin untuk mengidentifikasi semua risiko , juga tidak mungkin untuk menghilangkan semua risiko. Risiko yang tersisa disebut " residual risk " .
Sebuah penilaian risiko dilakukan oleh tim orang-orang yang memiliki pengetahuan tentang bidang bisnis yang spesifik tersebut . Keanggotaan tim dapat bervariasi dari waktu ke waktu sebagai bagian yang berbeda dari bisnis yang dinilai. Penilaian dapat menggunakan analisis kualitatif subyektif berdasarkan informasi pendapat , atau di mana angka dolar handal dan informasi historis yang tersedia , analisis dapat menggunakan analisis kuantitatif .
Penelitian telah menunjukkan bahwa titik paling rentan dalam sistem informasi yang paling adalah pengguna manusia , operator, desainer , atau manusia lainnya. ISO / IEC 27002:2005 Kode praktek untuk manajemen keamanan informasi merekomendasikan berikut diperiksa selama risiko penilaian:
- kebijakan keamanan ,
- organisasi keamanan informasi ,
- manajemen aset ,
- keamanan sumber daya manusia ,
- keamanan fisik dan lingkungan ,
- komunikasi dan manajemen operasi ,
- kontrol akses ,
- sistem informasi akuisisi , pengembangan dan pemeliharaan ,
- pengelolaan insiden keamanan informasi ,
- manajemen kelangsungan bisnis , dan
- kepatuhan terhadap peraturan .
Dalam arti luas, proses manajemen risiko terdiri dari :
- Identifikasi aset dan memperkirakan nilai mereka . Sertakan : orang, bangunan , hardware, software , data ( elektronik, cetak , lainnya ) , persediaan.
- Melakukan penilaian ancaman . Termasuk: Kisah alam , tindakan perang , kecelakaan , tindakan berbahaya yang berasal dari dalam atau luar organisasi .
- Melakukan penilaian kerentanan , dan untuk setiap kerentanan , menghitung probabilitas bahwa hal itu akan dieksploitasi . Mengevaluasi kebijakan , prosedur , standar , pelatihan , keamanan fisik , kontrol kualitas , keamanan teknis .
- Hitung dampak bahwa setiap ancaman akan pada setiap aset . Gunakan analisis kualitatif atau analisis kuantitatif .
- Mengidentifikasi, memilih dan menerapkan kontrol yang sesuai . Memberikan respon yang proporsional . Pertimbangkan produktivitas, efektivitas biaya , dan nilai aset .
- Mengevaluasi efektivitas tindakan pengendalian . Pastikan kontrol menyediakan dibutuhkan biaya perlindungan yang efektif tanpa kehilangan dilihat dari produktivitas.
