Definisi Keamanan Informasi dan 3 Aspek di Dalamnya (CIA Triad)

Peringatan Keamanan

>Definisi Keamanan Informasi dan 3 Aspek di Dalamnya (CIA Triad)

Mei 11, 2023  by BatangKab-CSIRT

>

Information security (infosec) atau keamanan informasi adalah sekumpulan metodologi, praktik, ataupun proses yang dapat Anda lakukan untuk melindungi informasi digital atau informasi analog yang Anda miliki. 

Serangan cyber terus terjadi mengancam keamanan informasi milik organisasi serta perusahaan-perusahaan di Indonesia. Saat ini sebagian besar orang sudah beralih menggunakan platform digital untuk melakukan berbagai aktivitas.

Terlebih di masa pandemi seperti saat ini, orang-orang dihimbau untuk tetap tinggal di dalam rumah sehingga mereka lebih banyak menggunakan platform digital untuk melakukan berbagai hal baik itu untuk transaksi online, belajar, bekerja dan lain-lain. Di sisi lain, para cyber hacker terus memanfaatkan momen untuk melakukan serangkaian tindak kejahatan cyber. Tidak terkecuali di masa pandemi seperti saat ini. 

Pada tahun 2020 yang lalu saja, Badan Siber dan Sandi Negara telah mengungkapkan bahwa terjadi peningkatan serangan cyber sebesar 4 kali lipat. (Sumber: Tekno kompas.com) Serangan cyber yang terjadi dapat berbentuk malware, trojan, phishing, dan lain-lain. Oleh karena itulah, di masa pandemi ini BSSN menghimbau para pemilik perusahaan agar terus membenahi kebijakan keamanan informasi untuk mengantisipasi adanya serangan siber.

Dengan melakukan persiapan keamanan informasi yang baik, perusahaan dapat meminimalisir terjadinya pencurian informasi atau indisen cyber. Lalu apa sebenarnya arti keamanan informasi tersebut? Berikut LOGIQUE akan menjelaskannya untuk Anda. 

Keamanan informasi adalah sekumpulan metodologi, praktik, ataupun proses yang dirancang dan diterapkan untuk melindungi informasi atau data pribadi dari akses, penggunaan, penyalahgunaan, gangguan, atau modifikasi yang tidak sah. Keamanan informasi bertujuan untuk melindungi data pada berbagai tahap, baik itu ketika proses menyimpan, mentransfer, atau menggunakannya. 

Perusahaan akan mengembangkan kebijakan keamanan informasi untuk menangani dan melindungi info atau data penting yang mereka miliki. Kebijakan yang sudah dikembangkan tersebut akan berlaku untuk seluruh struktur IT.

Selain itu, kebijakan keamanan informasi juga berguna untuk menentukan siapa yang memiliki akses ke berbagai jenis data, bagaimana identitas akan diautentikasikan, metode apa yang dipergunakan untuk mengamankan informasi, dan lain-lain. Langkah-langkah tersebut akan membantu Anda mencegah bahaya akan pencurian, modifikasi, atau kehilangan informasi penting. 

Perlu diketahui, bahwa sebagian besar kebijakan keamanan informasi akan memiliki fokus atau tujuan yang mengacu pada aspel CIA triad. Aspek tersebut yaitu confidentiality, integrity, dan availability. Setiap serangan di dunia maya pada umumnya akan mencoba melanggar setidaknya salah satu aspek atau atribut dalam CIA triad.

Dengan memiliki pemahaman yang baik tentang model keamanan informasi ini, Anda akan lebih terbantu untuk meminimalisir risiko serangan atau kesalahan sistem dengan lebih baik. Dengan kebijakan keamanan yang tepat, Anda dapat melindungi informasi penting dari aktivitas-aktivitas yang tidak sah.

Keamanan informasi vs keamanan cyber

Keamanan cyber dan keamanan informasi  memang sering digunakan secara bergantian. Meskipun demikian, perlu Anda ketahui bahwa kedua istilah tersebut memiliki arti yang berbeda.

Keamanan informasi merupakan suatu perlindungan informasi dari akses, penggunaan, pengungkapan, gangguan, modifikasi, atau penghancuran yang tidak sah untuk memberikan kerahasiaan, integritas, dan ketersediaan informasi. Sedangkan keamanan cyber adalah kemampuan untuk melindungi atau mempertahankan penggunaan cyber space dari serangan cyber.

Jadi keamanan informasi adalah sub-domain atau disiplin khusus di bawah payung keamanan cyber. Keamanan cyber memiliki ruang lingkup yang lebih luas untuk menangani semua jenis aktivitas keamanan digital yang melibatkan pengamanan semua jenis aset IT dari segala jenis penyalahgunaan, pencurian, dan pengungkapan informasi rahasia.  

Baca Juga: Berkenalan dengan OWASP Top 10, Standar Keamanan Website Dunia

3 Aspek dalam Keamanan Informasi (CIA Triad)

CIA triad adalah model standar dalam keamanan informasi yang dirancang untuk mengatur dan mengevaluasi bagaimana sebuah organisasi atau perusahaan ketika data disimpan, dikirim, atau diproses. Setiap aspek yang ada di dalam CIA triad (Confidentiality – Integrity – Availability) akan menjadi komponen penting dari keamanan informasi. 

1. Confidentiality (Kerahasiaan)

Ketika kita membahas mengenai aspek confidentiality atau kerahasiaan informasi, maka kita sedang berbicara mengenai serangkaian upaya perlindungan agar informasi tidak terakses oleh pihak yang tidak berwenang.

Informasi rahasia memang dianggap sebagai data yang bernilai oleh para cyber hacker. Informasi yang diincar biasanya berupa informasi pelanggan, data karyawan, kekayaan intelektual, atau informasi mengenai rahasia dagang. Oleh karena itulah para cyber hacker terus mencari kerentanan yang ada pada dalam sistem agar mereka bisa mengakses info-info penting tersebut.

Pada umumnya, informasi rahasia dapat jatuh ke tangan yang salah karena data breach atau ancaman orang dalam. Beberapa jenis serangan yang umum digunakan untuk mengakses informasi rahasia tersebut seperti :

• Serangan Man in The Middle
• Pembobolan enkripsi
• Serangan eavesdropping

Untuk melindunginya, terdapat sejumlah langkah yang dapat dipergunakan seperti dengan menerapkan autentikasi dua faktor, penggunaan password yang kuat, enkripsi, dan lain-lain. 

Meskipun demikian, Anda juga perlu memahami bahwa informasi rahasia juga dapat terakses oleh pihak yang tidak sah karena kecerobohan atau kesalahan pengguna, serta kontrol keamanan yang tidak memadai. Contohnya seperti penggunaan password yang lemah, berbagi akun, atau karena social engineering karena security awareness yang kurang. 

Oleh karena itulah, pelatihan karyawan atau user juga dapat dilakukan sebagai langkah pencegahan tambahan agar informasi rahasia bisa tetap terlindungi dengan baik. Jadi, kesimpulannya aspek confidentiality ini memiliki tujuan untuk melindungi informasi dari akses dan penyalahgunaan info yang tidak sah.

2  Integrity

Dalam keamanan informasi, integrity atau integritas mengacu pada suatu metode atau langkah-langkah untuk menjaga agar data atau informasi tidak dapat dimanipulasi, diubah atau diedit oleh pihak yang tidak punya wewenang. Langkah-langkah ini memberikan jaminan atas keakuratan dan kelengkapan informasi.

Seperti halnya dengan perlindungan informasi rahasia, perlindungan integritas juga perlu untuk dilakukan. Bayangkan jika Anda memiliki sebuah web e-commerce yang diretas oleh hacker sehingga mereka dapat mengubah harga produk Anda menjadi jauh lebih murah. Contoh lain dari kegagalan perlindungan integritas seperti ketika pengguna website mengunjungi halaman web Anda namun peretas mampu mengalihkan traffic tersebut ke website palsu. Serangan-serangan tersebut tentu akan membawa kerugian besar untuk perusahaan Anda.

Perlu Anda ketahui, aspek perlindungan integrity tidak hanya akan melindungi keakuratan informasi dari serangan hacker namun juga untuk mencegah perubahan informasi yang tidak disengaja. Contohnya seperti kesalahan pengguna atau kerusakan sistem.

Untuk mencegah modifikasi informasi yang tidak diinginkan atau untuk memastikan bahwa informasi dapat dipulihkan kembali jika diubah oleh pihak tidak sah, maka terdapat beberapa langkah pencegahan yang bisa Anda lakukan. Beberapa diantaranya seperti :

• mengontrol akses pengguna
• enkripsi
• autentikasi yang ketat
• prosedur backup dan recovery
• version controls
• input validation

3  Availability

Aspek ketiga dalam CIA triad adalah availability atau ketersediaan. Artinya, dalam konteks keamanan informasi upaya untuk menjaga agar sebuah sistem tetap bisa digunakan adalah hal penting yang perlu dilakukan. Dengan memberikan perlindungan availability, Anda harus bisa memberikan jaminan bahwa sistem dan data dapat diakses oleh pengguna yang diautentikasi kapanpun informasi tersebut dibutuhkan.

Kelangsungan sebuah bisnis akan sangat bergantung pada pemeliharaan performa perangkat keras, perangkat lunak, dan saluran komunikasi yang digunakan untuk menyimpan dan memproses informasi. Ketika sebuah situs website perusahaan terganggu dan tidak dapat diakses, maka perusahaan dapat kehilangan banyak pendapatan. Selain itu pelanggan juga akan merasa tidak puas dengan performa web sehingga mempengaruhi reputasi perusahaan.

Para peretas biasanya mengganggu availability website menggunakan beberapa jenis serangan salah satunya adalah  DDOS attack. Serangan tersebut dilakukan dengan cara membanjiri lalu lintas server, jaringan, atau sistem untuk mengganggu lalu lintas normal. Jika peretas berhasil melakukannya maka akses website dapat menghilang atau bekerja dengan sangat lambat.

Selain itu ketidaktersediaan informasi juga dapat terjadi karena beberapa hal lain seperti karena menggunakan bandwidth yang tidak mencukupi atau karena adanya kode berbahaya di dalam sistem.

Untuk menjaga aspek availability ini, terdapat beberapa upaya yang bisa Anda lakukan. Beberapa diantaranya seperti:

• menggunakan layanan pelindung DDoS
• menggunakan redundancy, firewall, dan proxy servers
• memastikan bahwa bandwidths yang digunakan mencukupi
• penggunaan access controls. 

Baca Juga: Bagaimana Dampak Covid-19 terhadap Cyber Security ?

Kesimpulan

Ancaman keamanan informasi Anda dapat datang dalam berbagai bentuk. Dengan memahami apa itu keamanan informasi, Anda dapat mengevaluasi dan mengidentifikasi kebijakan di perusahaan. Anda dapat melihat apakah kebijakan tersebut dapat melindungi informasi rahasia sesuai aspek-aspek pada CIA triad. 

Ada banyak cara untuk melindungi keamanan informasi di perusahaan Anda. Salah satu yang bisa Anda andalkan adalah dengan melakukan penetration testing.

Seperti yang sudah dijelaskan di atas, pada CIA triad terdapat 3 aspek dasar yang harus selalu diperhatikan dalam menjaga keamanan informasi. Aspek tersebut adalah Confidentiality, Integrity dan Availability.

Dengan melakukan penetration testing, Anda dapat mengeksploitasi dan mengidentifikasi apakah ada kerentanan yang bisa segera diperbaiki dari ketiga aspek tersebut. Selain itu, melalui penetration testing, Anda juga akan memperoleh berbagai saran dan solusi untuk meminimalisir risiko dan dampak yang ditimbulkan apabila ketiga aspek keamanan informasi tersebut berhasil dieksploitasi.

Salah satu perusahaan yang bisa Anda andalkan dalam melakukan penetration testing adalah LOGIQUE Digital Indonesia. LOGIQUE memiliki tim IT security profesional. Kami memiliki sertifikat CEH (Certified Ethical Hacker) dan CSCU (Certified Secure Computer User) dari EC-Council untuk menguji tingkat keamanan dari sistem yang Anda gunakan. 

Anda tidak perlu mengkhawatirkan kualitas pengujian yang kami lakukan. Kami selalu mengikuti standar OWASP (Open Web Application Security Project) ketika melakukan pengujian. Silakan hubungi kami  atau kunjungi halaman layanan penetration testing  kami untuk mendapatkan penjelasan lebih lanjut mengenai layanan kami.

Jangan ragu untuk menghubungi kami, Tim LOGIQUE akan selalu siap untuk membantu Anda.