Modul Pembelajaran Keamanan Sistem Informasi

Keamanan Sistem Informasi

Pelajari konsep, prinsip, ancaman, risiko, serta strategi perlindungan sistem informasi untuk membangun sistem yang aman, andal, dan bertanggung jawab.

Materi ini membahas prinsip CIA, aset informasi, malware, phishing, autentikasi, pengendalian akses, kriptografi, keamanan jaringan, keamanan server, basis data, aplikasi, cloud, manajemen risiko, kebijakan keamanan, serta respons insiden.

Mulai Belajar Lihat Evaluasi

16

Pertemuan

30+

Topik Keamanan

3

Evaluasi Utama

Topik Pembelajaran

Prinsip Dasar Keamanan

Pelajari kerahasiaan, integritas, ketersediaan, aset informasi, ancaman, dan kerentanan sistem.

Identitas dan Pengendalian Akses

Pahami identifikasi, autentikasi, otorisasi, multi-factor authentication, dan role-based access control.

Kriptografi dan Keamanan Data

Pelajari enkripsi, dekripsi, kriptografi simetris, asimetris, hash, serta tanda tangan digital.

Keamanan Jaringan dan Server

Bahas firewall, segmentasi jaringan, VPN, IDS, IPS, hardening, patch management, SSH, dan monitoring.

Keamanan Aplikasi dan Basis Data

Pahami keamanan basis data, hak akses, audit, SQL injection, secure SDLC, validasi input, API, dan OWASP.

Risiko dan Respons Insiden

Pelajari analisis risiko, mitigasi, kebijakan keamanan, incident response, business continuity, dan disaster recovery.

Keamanan Sistem Informasi

Introduction

Keamanan sistem informasi merupakan bidang yang mempelajari cara melindungi data, perangkat, jaringan, aplikasi, dan sumber daya informasi dari berbagai ancaman serta risiko.

Apa Itu Keamanan Sistem Informasi?

Keamanan sistem informasi adalah serangkaian proses, kebijakan, teknologi, dan prosedur yang digunakan untuk melindungi informasi serta komponen sistem dari akses, penggunaan, pengungkapan, perubahan, gangguan, atau penghancuran yang tidak sah.

Keamanan tidak hanya berkaitan dengan penggunaan password atau antivirus. Keamanan mencakup manusia, proses, dan teknologi yang bekerja secara bersama-sama untuk mengurangi kemungkinan terjadinya insiden keamanan.

Dalam mata kuliah ini, mahasiswa mempelajari prinsip CIA, yaitu confidentiality, integrity, dan availability. Selain itu, dibahas pula ancaman, kerentanan, risiko, autentikasi, kriptografi, keamanan jaringan, keamanan server, basis data, aplikasi, cloud, dan respons insiden.

Mengapa Keamanan Penting?

Melindungi informasi rahasia dan sensitif
Mencegah akses dan penggunaan tanpa izin
Menjaga keakuratan dan integritas data
Menjamin ketersediaan layanan informasi
Mendukung kepercayaan dan keberlangsungan bisnis

Alur Pengamanan Sistem Informasi

1. Identifikasi Aset

Tentukan data, perangkat, aplikasi, jaringan, layanan, dan sumber daya yang harus dilindungi.

2. Analisis Ancaman

Identifikasi ancaman, kerentanan, kemungkinan kejadian, serta dampak terhadap organisasi.

3. Menerapkan Kontrol

Terapkan kontrol administratif, teknis, dan fisik sesuai tingkat risiko yang ditemukan.

4. Monitoring dan Evaluasi

Pantau sistem, evaluasi efektivitas kontrol, dan lakukan perbaikan secara berkelanjutan.

Contoh Penerapan Prinsip CIA

Prinsip CIA merupakan fondasi utama keamanan informasi. Ketiga prinsip tersebut digunakan untuk memastikan bahwa informasi terlindungi, akurat, dan tersedia bagi pihak yang berwenang.

Sebagai contoh, sebuah sistem akademik harus menjaga data nilai mahasiswa agar hanya dapat dilihat oleh pihak yang berwenang, tidak dapat diubah tanpa izin, dan tetap dapat diakses saat proses akademik berlangsung.

CIA Security Model

Confidentiality

Informasi hanya dapat diakses oleh pengguna yang memiliki hak akses.

Integrity

Informasi harus tetap akurat, lengkap, dan tidak diubah tanpa otorisasi.

Availability

Informasi dan layanan harus tersedia ketika dibutuhkan oleh pengguna yang berwenang.

Konsep yang Akan Dipelajari

Prinsip confidentiality, integrity, dan availability
Aset informasi, ancaman, dan kerentanan
Analisis dan manajemen risiko
Malware, phishing, dan social engineering
Identifikasi, autentikasi, dan otorisasi
Multi-factor authentication dan RBAC
Kriptografi simetris dan asimetris

Hash dan digital signature
Firewall, VPN, IDS, dan IPS
Keamanan server dan system hardening
Keamanan basis data dan SQL injection
Secure SDLC dan keamanan API
Cloud security, mobile security, dan IoT
Incident response dan disaster recovery

Lapisan Keamanan Sistem Informasi

Lapisan	Fokus Perlindungan	Contoh Kontrol
Manusia	Kesadaran dan perilaku pengguna	Pelatihan, edukasi, dan kebijakan password
Proses	Prosedur dan tata kelola keamanan	SOP, audit, manajemen risiko, dan respons insiden
Aplikasi	Perlindungan perangkat lunak	Validasi input, autentikasi, dan pengujian keamanan
Jaringan	Perlindungan komunikasi dan konektivitas	Firewall, VPN, segmentasi, IDS, dan IPS
Data	Perlindungan informasi	Enkripsi, backup, kontrol akses, dan klasifikasi data
Fisik	Perlindungan fasilitas dan perangkat	Kunci ruangan, CCTV, UPS, dan kontrol lingkungan

Tips Mempelajari Keamanan Sistem Informasi

Pahami aset dan proses bisnis sebelum menganalisis risiko.
Bedakan antara ancaman, kerentanan, risiko, dan dampak.
Gunakan prinsip least privilege dalam pengelolaan akses.
Terapkan defense in depth, bukan hanya satu jenis kontrol.
Dokumentasikan konfigurasi, kebijakan, dan hasil evaluasi.
Lakukan pengujian hanya pada sistem yang memiliki izin.
Pertimbangkan aspek etika, privasi, dan kepatuhan hukum.

Keamanan Sistem Informasi

Identitas Mata Kuliah

Informasi umum mengenai mata kuliah Keamanan Sistem Informasi, meliputi kode mata kuliah, program studi, fakultas, bobot SKS, semester, serta dosen pengampu.

Informasi Mata Kuliah

Nama Mata Kuliah	Keamanan Sistem Informasi
Kode Mata Kuliah	SIS123324
Program Studi	Sistem Informasi
Fakultas	Fakultas Teknik
Semester	Semester 3
Bobot Mata Kuliah	3 SKS
Status Mata Kuliah	Mata Kuliah Wajib
Bahasa Pengantar	Bahasa Indonesia
Dosen Pengampu	Andi M. Yusuf, S.S., S.Pd., M.Kom.

Ringkasan Pembelajaran

SIS123324

Keamanan Sistem Informasi

16

Pertemuan

3

SKS

2

Ujian

1

Proyek

Tujuan Mata Kuliah

Mata kuliah Keamanan Sistem Informasi bertujuan membekali mahasiswa dengan pemahaman konseptual dan keterampilan dasar untuk melindungi data, aplikasi, jaringan, server, basis data, serta sumber daya sistem informasi.

Setelah menyelesaikan mata kuliah ini, mahasiswa diharapkan mampu mengidentifikasi aset informasi, menganalisis ancaman dan risiko, menerapkan kontrol keamanan dasar, serta menyusun rekomendasi perlindungan sistem informasi secara etis dan bertanggung jawab.

Ruang Lingkup Pembelajaran

Prinsip dasar keamanan informasi
Identifikasi aset dan analisis risiko
Ancaman, kerentanan, dan serangan siber
Malware dan social engineering
Autentikasi dan pengendalian akses

Kriptografi dan perlindungan data
Keamanan jaringan dan server
Keamanan aplikasi dan basis data
Cloud, mobile, dan IoT security
Manajemen risiko dan respons insiden

Prasyarat Mata Kuliah

Mahasiswa disarankan telah memahami dasar-dasar teknologi informasi sebelum mengikuti mata kuliah ini.

Pengantar Sistem Informasi
Dasar Jaringan Komputer
Dasar Sistem Operasi
Dasar Pemrograman dan Basis Data

Sasaran Peserta

Mata kuliah ini ditujukan bagi mahasiswa yang ingin memahami dasar perlindungan sistem informasi dan penerapan keamanan secara profesional.

Mahasiswa Program Studi Sistem Informasi
Mahasiswa Fakultas Teknik
Pemula di bidang keamanan siber
Pengelola sistem informasi tingkat dasar

Dosen Pengampu

Andi M. Yusuf, S.S., S.Pd., M.Kom.

Dosen Pengampu Mata Kuliah Keamanan Sistem Informasi

Fakultas Teknik

Pendekatan Pembelajaran

Pembelajaran dilaksanakan melalui kombinasi penjelasan konseptual, diskusi studi kasus, latihan analisis risiko, praktikum terkontrol, penugasan, dan proyek kelompok.

Materi Konseptual

Diskusi Kasus

Praktikum

Proyek Kelompok

Keamanan Sistem Informasi

Deskripsi Mata Kuliah

Gambaran umum mengenai materi, tujuan, ruang lingkup, pendekatan pembelajaran, serta kompetensi yang dikembangkan dalam mata kuliah Keamanan Sistem Informasi.

Gambaran Umum Mata Kuliah

Keamanan Sistem Informasi merupakan mata kuliah yang membahas konsep, prinsip, metode, teknologi, dan prosedur untuk melindungi informasi serta sumber daya sistem informasi dari berbagai ancaman keamanan.

Pembahasan mata kuliah mencakup perlindungan terhadap data, perangkat keras, perangkat lunak, jaringan, server, basis data, aplikasi, layanan cloud, perangkat mobile, dan perangkat Internet of Things.

Mahasiswa diarahkan untuk memahami bahwa keamanan sistem informasi tidak hanya bergantung pada teknologi, tetapi juga dipengaruhi oleh manusia, proses bisnis, kebijakan, budaya organisasi, etika, privasi, dan kepatuhan terhadap aturan yang berlaku.

Melalui mata kuliah ini, mahasiswa diharapkan mampu mengidentifikasi aset informasi, menganalisis ancaman dan risiko, memilih kontrol keamanan yang tepat, serta menyusun rekomendasi perlindungan sistem informasi secara sistematis dan bertanggung jawab.

Ringkasan Mata Kuliah

Fokus Utama

Perlindungan data, sistem, jaringan, aplikasi, dan infrastruktur informasi.

Permasalahan yang Dikaji

Ancaman, kerentanan, serangan, risiko, dan dampak insiden keamanan.

Pendekatan Perlindungan

Kontrol administratif, teknis, fisik, dan pengamanan berlapis.

Hasil Pembelajaran

Analisis risiko dan rekomendasi keamanan sistem informasi.

Tujuan Pembelajaran

Setelah mengikuti mata kuliah ini, mahasiswa diharapkan mampu memahami dan menerapkan dasar-dasar keamanan sistem informasi dalam konteks akademik maupun organisasi.

Menjelaskan konsep dan prinsip dasar keamanan sistem informasi.
Mengidentifikasi aset, ancaman, kerentanan, dan risiko keamanan.
Menganalisis dampak ancaman terhadap organisasi.

Menentukan kontrol keamanan berdasarkan tingkat risiko.
Menyusun rekomendasi perlindungan sistem.
Menerapkan prinsip etika, privasi, dan tanggung jawab dalam keamanan siber.

Ruang Lingkup Materi

Dasar Keamanan

Prinsip CIA, aset informasi, ancaman, kerentanan, risiko, dan kontrol keamanan.

Akses dan Data

Identifikasi, autentikasi, otorisasi, kriptografi, hash, dan tanda tangan digital.

Jaringan dan Server

Firewall, VPN, segmentasi jaringan, IDS, IPS, hardening, SSH, dan monitoring.

Basis Data dan Aplikasi

Hak akses database, audit, SQL injection, secure SDLC, validasi input, dan API.

Cloud dan IoT

Cloud security, mobile security, IoT security, dan shared responsibility.

Risiko dan Insiden

Manajemen risiko, kebijakan, respons insiden, kesinambungan bisnis, dan pemulihan.

Pendekatan Pembelajaran

Materi Konseptual

Memahami teori, prinsip, istilah, dan kerangka keamanan sistem informasi.

Studi Kasus

Menganalisis kasus ancaman dan insiden keamanan berdasarkan skenario pembelajaran.

Praktikum

Melakukan simulasi pengamanan pada lingkungan yang telah disediakan dan memiliki izin.

Proyek Kelompok

Merancang rekomendasi keamanan berdasarkan analisis kebutuhan dan risiko.

Kompetensi yang Diharapkan

Memahami konsep dasar keamanan informasi.
Mampu mengidentifikasi aset dan risiko.
Mampu menjelaskan fungsi kontrol keamanan.
Mampu menganalisis skenario serangan.
Mampu menyusun rekomendasi keamanan.

Hasil Akhir Pembelajaran

Dokumen identifikasi aset informasi.
Analisis ancaman dan penilaian risiko.
Rekomendasi kontrol keamanan.
Laporan praktikum atau studi kasus.
Presentasi proyek keamanan sistem informasi.

Catatan Etika dan Keamanan

Seluruh praktik, simulasi, pemindaian, pengujian, dan analisis keamanan hanya boleh dilakukan pada sistem yang dimiliki atau telah memberikan izin secara resmi. Mahasiswa wajib menjaga kerahasiaan data, menghormati privasi, mendokumentasikan aktivitas, serta menggunakan pengetahuan keamanan secara etis dan bertanggung jawab.

Keamanan Sistem Informasi

CPL dan CPMK

Capaian Pembelajaran Lulusan dan Capaian Pembelajaran Mata Kuliah yang menjadi dasar kompetensi mahasiswa dalam memahami, menganalisis, dan menerapkan keamanan sistem informasi.

Capaian Pembelajaran Lulusan

Capaian Pembelajaran Lulusan atau CPL merupakan kemampuan yang harus dimiliki mahasiswa setelah menyelesaikan proses pendidikan pada program studi. Pada mata kuliah ini, CPL diarahkan pada kemampuan analitis, teknis, profesional, dan etis dalam mengelola keamanan sistem informasi.

Mahasiswa diharapkan mampu memahami permasalahan keamanan, mengidentifikasi risiko, memilih solusi pengendalian, menyusun dokumentasi, serta mengkomunikasikan rekomendasi keamanan kepada pihak yang berkepentingan.

Fokus Capaian

Analisis

Menganalisis ancaman, kerentanan, dan risiko keamanan sistem informasi.

Perlindungan

Menentukan kontrol keamanan berdasarkan kebutuhan dan tingkat risiko.

Etika

Menerapkan keamanan secara legal, etis, profesional, dan bertanggung jawab.

Daftar Capaian Pembelajaran Lulusan

Kode CPL	Ranah Kompetensi	Deskripsi Capaian Pembelajaran
CPL-01	Sikap Profesional	Menunjukkan sikap bertanggung jawab, disiplin, etis, dan profesional dalam mempelajari serta menerapkan keamanan sistem informasi.
CPL-02	Pengetahuan	Menguasai konsep, prinsip, metode, dan teknologi dasar keamanan sistem informasi.
CPL-03	Keterampilan Umum	Mampu berpikir logis, kritis, sistematis, dan terukur dalam menyelesaikan masalah keamanan informasi.
CPL-04	Keterampilan Khusus	Mampu mengidentifikasi aset, menganalisis risiko, dan merancang rekomendasi kontrol keamanan sistem informasi.
CPL-05	Komunikasi dan Kolaborasi	Mampu menyusun laporan dan menyampaikan hasil analisis keamanan secara jelas, terstruktur, dan dapat dipertanggungjawabkan.

Capaian Pembelajaran Mata Kuliah

Capaian Pembelajaran Mata Kuliah atau CPMK merupakan kemampuan spesifik yang diharapkan dapat dicapai mahasiswa setelah mengikuti seluruh rangkaian pembelajaran mata kuliah Keamanan Sistem Informasi.

CPMK disusun berdasarkan pengetahuan, keterampilan, sikap, dan kemampuan analisis yang diperlukan untuk memahami serta mengelola keamanan sistem informasi.

Daftar CPMK

CPMK-01

Memahami Konsep Dasar

Mahasiswa mampu menjelaskan konsep, tujuan, ruang lingkup, dan prinsip dasar keamanan sistem informasi.

CPMK-02

Mengidentifikasi Ancaman

Mahasiswa mampu mengidentifikasi aset, ancaman, kerentanan, dan potensi serangan terhadap sistem.

CPMK-03

Menganalisis Risiko

Mahasiswa mampu menganalisis kemungkinan, dampak, dan tingkat risiko keamanan informasi.

CPMK-04

Menerapkan Kontrol Keamanan

Mahasiswa mampu menentukan dan menerapkan kontrol administratif, teknis, dan fisik sesuai kebutuhan.

CPMK-05

Mengevaluasi Keamanan

Mahasiswa mampu mengevaluasi efektivitas kontrol, konfigurasi, dan prosedur keamanan.

CPMK-06

Menyusun Rekomendasi

Mahasiswa mampu menyusun laporan dan rekomendasi keamanan secara sistematis, etis, dan komunikatif.

Pemetaan CPMK dan Topik Pembelajaran

CPMK	Topik Utama	Bentuk Kemampuan
CPMK-01	Prinsip CIA dan dasar keamanan	Menjelaskan konsep dan istilah keamanan
CPMK-02	Ancaman, malware, phishing, dan kerentanan	Mengidentifikasi potensi ancaman dan serangan
CPMK-03	Manajemen risiko keamanan	Menilai kemungkinan dan dampak risiko
CPMK-04	Akses, kriptografi, jaringan, dan server	Menentukan kontrol perlindungan yang sesuai
CPMK-05	Monitoring, audit, dan evaluasi kontrol	Mengevaluasi efektivitas pengamanan
CPMK-06	Kebijakan, respons insiden, dan proyek	Menyusun laporan dan rekomendasi keamanan

Tingkat Kemampuan yang Dikembangkan

Memahami

Memahami konsep, prinsip, istilah, dan komponen keamanan sistem informasi.

Menganalisis

Menganalisis ancaman, kerentanan, risiko, dan kebutuhan perlindungan.

Menerapkan

Menerapkan kontrol keamanan dasar pada lingkungan pembelajaran yang memiliki izin.

Mengkomunikasikan

Menyajikan hasil analisis dan rekomendasi secara tertulis maupun lisan.

Prinsip Etika dalam Pencapaian Kompetensi

Seluruh kemampuan teknis dalam mata kuliah ini harus diterapkan secara legal, etis, dan bertanggung jawab. Mahasiswa hanya diperbolehkan melakukan pengujian pada sistem yang dimiliki sendiri atau telah memperoleh izin resmi, dengan tetap menjaga kerahasiaan, privasi, dan integritas data.

Keamanan Sistem Informasi

Sub-CPMK

Sub-CPMK merupakan kemampuan khusus yang harus dicapai mahasiswa pada setiap tahapan pembelajaran untuk mendukung pencapaian CPMK mata kuliah Keamanan Sistem Informasi.

Capaian Pembelajaran Bertahap

Sub-CPMK disusun secara bertahap dari kemampuan memahami konsep dasar, mengidentifikasi ancaman, menganalisis risiko, menerapkan kontrol keamanan, sampai menyusun rekomendasi dan laporan keamanan sistem informasi.

Setiap Sub-CPMK dikaitkan dengan materi pembelajaran, aktivitas mahasiswa, serta bentuk evaluasi yang digunakan untuk mengukur pencapaian kompetensi.

Tahapan Kompetensi

Memahami

Konsep dan prinsip keamanan informasi.

Menganalisis

Ancaman, kerentanan, dan risiko.

Menerapkan

Kontrol keamanan pada lingkungan simulasi.

Mengkomunikasikan

Hasil analisis dan rekomendasi keamanan.

Daftar Sub-CPMK

Kode	Kemampuan Akhir	Indikator Pencapaian	Level
Sub-CPMK 1	Menjelaskan konsep dasar keamanan sistem informasi.	Mahasiswa mampu menjelaskan pengertian, tujuan, ruang lingkup, serta prinsip CIA.	Memahami
Sub-CPMK 2	Mengidentifikasi aset informasi dan komponen sistem.	Mahasiswa mampu mengelompokkan data, perangkat, aplikasi, jaringan, pengguna, dan layanan sebagai aset informasi.	Mengidentifikasi
Sub-CPMK 3	Menganalisis ancaman dan kerentanan.	Mahasiswa mampu mengidentifikasi sumber ancaman, jenis kerentanan, dan potensi serangan terhadap sistem.	Menganalisis
Sub-CPMK 4	Menilai tingkat risiko keamanan.	Mahasiswa mampu menentukan kemungkinan, dampak, dan tingkat risiko berdasarkan skenario keamanan.	Mengevaluasi
Sub-CPMK 5	Menjelaskan autentikasi dan pengendalian akses.	Mahasiswa mampu membedakan identifikasi, autentikasi, otorisasi, MFA, RBAC, dan prinsip least privilege.	Memahami
Sub-CPMK 6	Menjelaskan prinsip kriptografi dan perlindungan data.	Mahasiswa mampu menjelaskan enkripsi, dekripsi, kriptografi simetris, asimetris, hash, dan tanda tangan digital.	Memahami
Sub-CPMK 7	Menerapkan keamanan jaringan dan server.	Mahasiswa mampu menjelaskan fungsi firewall, VPN, IDS, IPS, hardening, patching, SSH, dan monitoring.	Menerapkan
Sub-CPMK 8	Menganalisis keamanan basis data dan aplikasi.	Mahasiswa mampu menjelaskan hak akses, audit database, SQL injection, validasi input, secure SDLC, dan keamanan API.	Menganalisis
Sub-CPMK 9	Menjelaskan keamanan cloud, mobile, dan IoT.	Mahasiswa mampu membandingkan karakteristik risiko dan kontrol keamanan pada cloud, perangkat mobile, dan IoT.	Menganalisis
Sub-CPMK 10	Menyusun strategi manajemen risiko.	Mahasiswa mampu menyusun matriks risiko, menentukan prioritas, dan merancang strategi mitigasi.	Menerapkan
Sub-CPMK 11	Menyusun kebijakan dan prosedur keamanan.	Mahasiswa mampu menyusun kebijakan, prosedur, dan aturan penggunaan sistem secara aman.	Mencipta
Sub-CPMK 12	Menjelaskan respons insiden dan pemulihan bencana.	Mahasiswa mampu menjelaskan tahapan incident response, business continuity, dan disaster recovery.	Menganalisis
Sub-CPMK 13	Mengevaluasi efektivitas kontrol keamanan.	Mahasiswa mampu mengevaluasi kesesuaian kontrol melalui audit, monitoring, pengujian, dan dokumentasi.	Mengevaluasi
Sub-CPMK 14	Menyusun laporan analisis keamanan.	Mahasiswa mampu menyusun laporan yang berisi aset, ancaman, risiko, kontrol, dan rekomendasi keamanan.	Mencipta

Pemetaan Sub-CPMK terhadap CPMK

Sub-CPMK	CPMK-01	CPMK-02	CPMK-03	CPMK-04	CPMK-05	CPMK-06
Sub-CPMK 1	Ya	-	-	-	-	-
Sub-CPMK 2	-	Ya	-	-	-	-
Sub-CPMK 3	-	Ya	Ya	-	-	-
Sub-CPMK 4	-	-	Ya	-	-	-
Sub-CPMK 5	Ya	-	-	Ya	-	-
Sub-CPMK 6	Ya	-	-	Ya	-	-
Sub-CPMK 7	-	-	-	Ya	Ya	-
Sub-CPMK 8	-	-	-	Ya	Ya	-
Sub-CPMK 9	-	Ya	Ya	Ya	-	-
Sub-CPMK 10	-	-	Ya	-	Ya	-
Sub-CPMK 11	Ya	-	-	-	Ya	Ya
Sub-CPMK 12	-	-	-	-	Ya	Ya
Sub-CPMK 13	-	-	-	Ya	Ya	-
Sub-CPMK 14	-	-	Ya	-	Ya	Ya

Aktivitas untuk Mencapai Sub-CPMK

Pembelajaran Teori

Membaca materi pembelajaran
Mengikuti penjelasan dosen
Mengerjakan latihan konsep

Praktikum Terarah

Simulasi konfigurasi keamanan
Analisis log dan skenario insiden
Pengujian pada lingkungan berizin

Proyek dan Presentasi

Analisis kasus keamanan
Penyusunan rekomendasi
Presentasi hasil proyek

Catatan Penerapan Kompetensi

Pencapaian Sub-CPMK yang berkaitan dengan pengujian keamanan wajib dilakukan pada lingkungan pembelajaran yang terisolasi atau sistem yang telah memberikan izin resmi. Setiap aktivitas harus memperhatikan aspek legalitas, etika, privasi, kerahasiaan, dan keamanan data.

Keamanan Sistem Informasi

Sistem Penilaian

Sistem penilaian dirancang untuk mengukur pemahaman konsep, kemampuan analisis, keterampilan penerapan, komunikasi, serta tanggung jawab mahasiswa dalam mempelajari keamanan sistem informasi.

Komponen Penilaian

No.	Komponen	Bobot	Keterangan
1	Kehadiran dan Partisipasi	10%	Kehadiran, keaktifan diskusi, dan kontribusi pembelajaran.
2	Tugas Individu	10%	Latihan konsep, analisis ancaman, dan identifikasi risiko.
3	Praktikum	15%	Praktik konfigurasi dan pengamatan keamanan secara terkontrol.
4	Proyek Kelompok	15%	Analisis risiko dan penyusunan rekomendasi keamanan.
5	Ujian Tengah Semester	20%	Evaluasi materi pertemuan awal sampai pertengahan semester.
6	Ujian Akhir Semester	30%	Evaluasi komprehensif dan analisis kasus keamanan.
Total		100%	Nilai Akhir Mata Kuliah

Distribusi Penilaian

100%

Total Bobot Penilaian

UTS 20%

UAS 30%

Tugas dan Praktikum 30%

Partisipasi dan Proyek 20%

Deskripsi Komponen Penilaian

Kehadiran dan Partisipasi

Penilaian mencakup kehadiran, kesiapan mengikuti pembelajaran, keaktifan dalam diskusi, serta kontribusi terhadap kegiatan kelas.

Tugas Individu

Tugas digunakan untuk mengukur kemampuan mahasiswa dalam memahami konsep, membaca kasus, dan melakukan analisis keamanan.

Praktikum

Praktikum dilakukan pada lingkungan yang aman dan memiliki izin untuk melatih keterampilan konfigurasi, monitoring, dan evaluasi keamanan.

Proyek Kelompok

Proyek berupa analisis risiko dan penyusunan rekomendasi keamanan untuk sebuah skenario organisasi.

Ujian Tengah Semester

UTS mengukur pemahaman mahasiswa terhadap konsep dasar, ancaman, risiko, akses, kriptografi, jaringan, dan server.

Ujian Akhir Semester

UAS mengukur kemampuan mahasiswa dalam mengintegrasikan konsep dan menganalisis kasus keamanan sistem informasi.

Metode dan Instrumen Penilaian

Metode	Instrumen	Kemampuan yang Diukur
Tes Tertulis	Pilihan ganda, uraian, dan studi kasus	Pengetahuan dan kemampuan analisis
Penugasan	Laporan analisis dan lembar kerja	Pemahaman dan penerapan konsep
Praktikum	Laporan praktik dan observasi	Keterampilan teknis dan ketelitian
Proyek	Laporan, presentasi, dan produk rekomendasi	Kolaborasi, komunikasi, dan pemecahan masalah
Observasi	Keaktifan, kedisiplinan, dan tanggung jawab	Sikap profesional dan etika

Konversi Nilai

Rentang Nilai	Nilai Huruf	Bobot	Keterangan
85 - 100	A	4.00	Sangat Baik
80 - 84	A-	3.75	Sangat Baik
75 - 79	B+	3.50	Baik
70 - 74	B	3.00	Baik
65 - 69	B-	2.75	Cukup Baik
60 - 64	C+	2.50	Cukup
55 - 59	C	2.00	Cukup
45 - 54	D	1.00	Kurang
0 - 44	E	0.00	Tidak Lulus

Ketentuan Penilaian

Tugas dan laporan dikumpulkan sesuai jadwal yang telah ditentukan.
Keterlambatan pengumpulan dapat mengurangi nilai sesuai kebijakan dosen pengampu.
Setiap tugas harus dikerjakan secara jujur dan tidak melakukan plagiarisme.
Praktikum keamanan hanya dilakukan pada sistem yang memiliki izin resmi.
Mahasiswa wajib menjaga kerahasiaan data dan informasi yang digunakan dalam tugas maupun praktikum.
Nilai akhir dihitung berdasarkan akumulasi seluruh komponen penilaian dengan bobot yang telah ditetapkan.

Pertemuan 1

Konsep Dasar Keamanan Sistem Informasi

Memahami pengertian, tujuan, ruang lingkup, prinsip, komponen, dan peran keamanan dalam sistem informasi.

Capaian Pembelajaran Pertemuan

Setelah mengikuti pembelajaran pada pertemuan pertama, mahasiswa diharapkan mampu memahami landasan keamanan sistem informasi dan menjelaskan pentingnya perlindungan terhadap aset informasi.

Menjelaskan pengertian keamanan sistem informasi.
Menjelaskan tujuan dan ruang lingkup keamanan sistem informasi.
Membedakan kerahasiaan, integritas, dan ketersediaan informasi.
Mengidentifikasi aset yang perlu dilindungi.
Menjelaskan hubungan antara manusia, proses, dan teknologi dalam keamanan informasi.

Informasi Pertemuan

Pertemuan 1

Dasar Keamanan Informasi

01

Minggu

3

SKS

Teori

Metode

Dasar

Level

Apa Itu Keamanan Sistem Informasi?

Keamanan sistem informasi adalah serangkaian proses, kebijakan, prosedur, teknologi, dan tindakan yang digunakan untuk melindungi informasi serta komponen sistem dari berbagai ancaman yang dapat mengganggu kerahasiaan, integritas, dan ketersediaan informasi.

Informasi merupakan salah satu aset penting bagi organisasi. Informasi dapat digunakan untuk mendukung pengambilan keputusan, pelayanan kepada pengguna, kegiatan operasional, pengembangan strategi, dan keberlangsungan bisnis.

Oleh karena itu, kehilangan, perubahan, kebocoran, atau tidak tersedianya informasi dapat menyebabkan kerugian finansial, gangguan operasional, kerusakan reputasi, dan menurunnya kepercayaan pengguna.

Prinsip Utama Keamanan Informasi

Prinsip dasar keamanan informasi dikenal dengan istilah CIA Triad. CIA terdiri dari confidentiality, integrity, dan availability. Ketiga prinsip ini menjadi dasar dalam merancang, menerapkan, dan mengevaluasi pengamanan sistem informasi.

Confidentiality

Kerahasiaan memastikan informasi hanya dapat diakses oleh pihak yang memiliki kewenangan.

Contoh:
Enkripsi, password, dan pembatasan hak akses.

Integrity

Integritas memastikan informasi tetap akurat, lengkap, konsisten, dan tidak diubah tanpa izin.

Contoh:
Hash, tanda tangan digital, dan audit log.

Availability

Ketersediaan memastikan informasi dan layanan dapat digunakan ketika dibutuhkan.

Contoh:
Backup, redundansi, UPS, dan disaster recovery.

Komponen Keamanan Sistem Informasi

Komponen	Peran	Contoh Perlindungan
Manusia	Pengguna, administrator, pengelola, dan pemilik sistem.	Pelatihan keamanan, kesadaran pengguna, dan pembagian tanggung jawab.
Proses	Kebijakan, prosedur, standar, dan tata kelola keamanan.	SOP, audit, manajemen risiko, dan prosedur respons insiden.
Teknologi	Perangkat keras, perangkat lunak, jaringan, dan layanan keamanan.	Firewall, antivirus, enkripsi, MFA, IDS, dan IPS.
Data	Informasi yang diproses, disimpan, dan dikirim oleh sistem.	Klasifikasi data, kontrol akses, backup, dan perlindungan privasi.
Infrastruktur	Server, pusat data, perangkat jaringan, dan fasilitas pendukung.	Pengamanan fisik, CCTV, UPS, dan kontrol lingkungan.

Tujuan Keamanan Informasi

Melindungi informasi dari akses yang tidak berwenang.
Mencegah perubahan data tanpa izin.
Menjamin ketersediaan layanan informasi.
Mengurangi kemungkinan terjadinya insiden keamanan.
Menjaga kepercayaan pengguna dan organisasi.

Dampak Kegagalan Keamanan

Kebocoran data pribadi dan informasi rahasia.
Kerugian finansial dan biaya pemulihan.
Gangguan proses bisnis dan layanan.
Kerusakan reputasi organisasi.
Sanksi hukum dan kehilangan kepercayaan pengguna.

Jenis Kontrol Keamanan Dasar

Kontrol Preventif

Kontrol yang bertujuan mencegah terjadinya pelanggaran atau insiden keamanan.

Contoh: firewall, MFA, dan kebijakan akses.

Kontrol Detektif

Kontrol yang digunakan untuk menemukan aktivitas mencurigakan atau pelanggaran.

Contoh: monitoring, IDS, dan audit log.

Kontrol Korektif

Kontrol yang digunakan untuk memulihkan sistem setelah terjadi insiden keamanan.

Contoh: backup, pemulihan, dan patching.

Studi Kasus Sederhana

Sistem Informasi Akademik

Sebuah perguruan tinggi menggunakan sistem informasi akademik untuk menyimpan data mahasiswa, nilai, jadwal, presensi, dan informasi pembayaran.

Prinsip	Risiko	Kontrol yang Dapat Diterapkan
Confidentiality	Data mahasiswa dilihat oleh pengguna yang tidak berwenang.	Login, role-based access control, dan enkripsi.
Integrity	Nilai mahasiswa diubah tanpa persetujuan.	Hak akses terbatas, audit log, dan persetujuan perubahan.
Availability	Sistem tidak dapat diakses saat pengisian KRS.	Backup, redundansi, monitoring, dan perencanaan pemulihan.

Aktivitas Pembelajaran

Penjelasan Materi

Dosen menjelaskan konsep dasar dan prinsip CIA.

Diskusi

Mahasiswa mendiskusikan contoh insiden keamanan.

Analisis Kasus

Mahasiswa mengidentifikasi aset dan risiko sederhana.

Refleksi

Mahasiswa menuliskan rangkuman dan pemahaman akhir.

Tugas Pertemuan 1

Pilih satu sistem informasi yang digunakan dalam kehidupan sehari-hari, kemudian lakukan analisis awal terhadap kebutuhan keamanannya.

Ketentuan Tugas

Jelaskan nama dan fungsi sistem informasi yang dipilih.
Identifikasi minimal lima aset informasi.
Jelaskan risiko terhadap confidentiality, integrity, dan availability.
Berikan minimal satu kontrol keamanan untuk setiap prinsip CIA.
Susun hasil analisis dalam bentuk laporan singkat.

Catatan: Tugas cukup menggunakan studi kasus dan tidak memerlukan pengujian langsung terhadap sistem nyata.

Rangkuman Pertemuan 1

Keamanan sistem informasi bertujuan melindungi informasi dan sumber daya sistem dari berbagai ancaman.
Prinsip utama keamanan informasi terdiri dari confidentiality, integrity, dan availability.
Keamanan sistem informasi melibatkan manusia, proses, teknologi, data, dan infrastruktur.
Kontrol keamanan dapat bersifat preventif, detektif, dan korektif.
Penerapan keamanan harus dilakukan secara legal, etis, bertanggung jawab, dan sesuai kebutuhan organisasi.

Pertemuan 2

Prinsip CIA dalam Keamanan Informasi

Memahami tiga prinsip utama keamanan informasi, yaitu confidentiality, integrity, dan availability sebagai dasar perlindungan sistem informasi.

Capaian Pembelajaran

Setelah mengikuti pembelajaran ini, mahasiswa diharapkan mampu memahami fungsi prinsip CIA dan menghubungkannya dengan kebutuhan perlindungan sistem informasi.

Menjelaskan pengertian confidentiality, integrity, dan availability.
Membedakan karakteristik dari setiap prinsip keamanan informasi.
Mengidentifikasi risiko yang berkaitan dengan prinsip CIA.
Menentukan kontrol keamanan yang sesuai untuk melindungi informasi.
Menganalisis penerapan prinsip CIA pada sebuah sistem informasi.

Informasi Pembelajaran

CIA Triad

Dasar Keamanan Informasi

C

Confidentiality

I

Integrity

A

Availability

Apa Itu CIA Triad?

CIA Triad adalah model dasar yang digunakan untuk memahami tujuan utama keamanan informasi. CIA merupakan singkatan dari confidentiality, integrity, dan availability.

Ketiga prinsip ini digunakan untuk membantu organisasi menentukan kebutuhan perlindungan informasi. Sebuah sistem informasi dapat dikatakan aman apabila informasi terlindungi dari akses yang tidak sah, tetap akurat, dan tersedia ketika dibutuhkan.

Inti CIA Triad: Informasi harus dijaga agar hanya dapat diakses oleh pihak yang berwenang, tidak berubah tanpa izin, dan tersedia ketika diperlukan.

1. Confidentiality

Kerahasiaan

Confidentiality atau kerahasiaan adalah prinsip yang memastikan informasi hanya dapat diakses, digunakan, dan diketahui oleh pihak yang memiliki hak atau kewenangan.

Ancaman terhadap Confidentiality

Pencurian username dan password.
Penyadapan komunikasi jaringan.
Kebocoran data pribadi.
Akses oleh pengguna tanpa izin.
Pengiriman data kepada pihak yang salah.

Contoh Kontrol Keamanan

Enkripsi data
Password yang kuat
Multi-factor authentication

Pembatasan hak akses
Data classification
Secure communication

2. Integrity

Integritas

Integrity atau integritas adalah prinsip yang memastikan informasi tetap akurat, lengkap, konsisten, dan tidak mengalami perubahan tanpa persetujuan atau otorisasi.

Ancaman terhadap Integrity

Perubahan data tanpa izin.
Manipulasi nilai atau transaksi.
Serangan malware.
Kesalahan input pengguna.
Kerusakan data akibat kegagalan perangkat.

Contoh Kontrol Keamanan

Hash function
Digital signature
Audit trail

Version control
Input validation
Approval mechanism

3. Availability

Ketersediaan

Availability atau ketersediaan adalah prinsip yang memastikan informasi, aplikasi, dan layanan sistem dapat diakses oleh pengguna yang berwenang ketika dibutuhkan.

Ancaman terhadap Availability

Denial-of-Service atau DoS.
Kerusakan server.
Pemadaman listrik.
Gangguan jaringan.
Bencana alam atau kegagalan fasilitas.

Contoh Kontrol Keamanan

Backup berkala
Server redundan
Load balancing

UPS dan generator
Disaster recovery
Monitoring layanan

Perbandingan Prinsip CIA

Prinsip	Fokus Perlindungan	Contoh Ancaman	Contoh Kontrol
Confidentiality	Mencegah akses informasi oleh pihak yang tidak berwenang.	Kebocoran data dan penyadapan.	Enkripsi, password, dan kontrol akses.
Integrity	Menjaga keakuratan dan keutuhan informasi.	Manipulasi data dan malware.	Hash, audit log, dan digital signature.
Availability	Menjamin informasi dan layanan tersedia.	DoS, kerusakan server, dan listrik padam.	Backup, redundansi, dan disaster recovery.

Studi Kasus: Sistem Informasi Akademik

Sebuah perguruan tinggi menggunakan sistem informasi akademik untuk mengelola data mahasiswa, nilai, jadwal, presensi, dan pembayaran.

Prinsip CIA	Skenario Risiko	Solusi Keamanan
Confidentiality	Data mahasiswa dapat dilihat oleh pengguna yang tidak memiliki hak akses.	Menerapkan login, role-based access control, dan enkripsi data.
Integrity	Nilai mahasiswa diubah tanpa persetujuan dosen.	Menerapkan audit log, pembatasan akses, dan mekanisme persetujuan.
Availability	Sistem tidak dapat digunakan saat pengisian KRS berlangsung.	Menerapkan backup, monitoring, redundansi, dan rencana pemulihan.

Aktivitas Pembelajaran

Pemahaman Konsep

Mempelajari definisi dan fungsi confidentiality, integrity, serta availability.

Analisis Risiko

Mengidentifikasi risiko keamanan pada sistem informasi sederhana.

Diskusi Kasus

Mendiskusikan penerapan CIA pada lingkungan akademik dan organisasi.

Latihan Analisis

Menentukan kontrol keamanan berdasarkan risiko yang ditemukan.

Tugas Pembelajaran

Pilih satu sistem informasi yang digunakan dalam kehidupan sehari-hari, kemudian analisis penerapan prinsip CIA pada sistem tersebut.

Ketentuan Tugas

Jelaskan fungsi sistem informasi yang dipilih.
Identifikasi minimal satu risiko confidentiality.
Identifikasi minimal satu risiko integrity.
Identifikasi minimal satu risiko availability.
Tentukan kontrol keamanan untuk setiap risiko.
Sajikan hasil analisis dalam bentuk tabel dan kesimpulan singkat.

Catatan Etika: Analisis dilakukan berdasarkan studi kasus atau observasi umum. Jangan mengakses, menguji, atau memindai sistem yang tidak dimiliki atau tidak memiliki izin resmi.

Rangkuman Prinsip CIA

Confidentiality menjaga informasi dari akses dan pengungkapan yang tidak berwenang.
Integrity menjaga informasi agar tetap akurat, lengkap, konsisten, dan tidak diubah tanpa izin.
Availability memastikan informasi dan layanan tersedia ketika dibutuhkan.
Ketiga prinsip CIA harus diterapkan secara seimbang sesuai kebutuhan dan tingkat risiko organisasi.
Penerapan keamanan harus memperhatikan aspek teknis, manusia, proses, etika, dan legalitas.

Pertemuan 3

Aset Informasi

Memahami pengertian, jenis, nilai, kepemilikan, serta cara mengidentifikasi aset informasi yang harus dilindungi dalam sistem informasi.

Capaian Pembelajaran

Setelah mengikuti pembelajaran ini, mahasiswa diharapkan mampu mengenali dan mengklasifikasikan aset informasi yang terdapat dalam suatu organisasi atau sistem informasi.

Menjelaskan pengertian aset informasi.
Mengidentifikasi jenis-jenis aset dalam sistem informasi.
Menentukan pemilik dan pengguna aset informasi.
Menganalisis nilai dan tingkat kepentingan suatu aset.
Menyusun daftar aset informasi sebagai dasar analisis risiko.

Informasi Pembelajaran

Aset Informasi

Dasar Identifikasi Risiko

Data

Informasi

Sistem

Teknologi

SDM

Pengguna

Apa Itu Aset Informasi?

Aset informasi adalah segala sesuatu yang memiliki nilai bagi organisasi dan berkaitan dengan proses pengumpulan, penyimpanan, pengolahan, penggunaan, pengiriman, atau perlindungan informasi.

Aset tidak hanya berupa data atau dokumen. Perangkat keras, perangkat lunak, jaringan, sumber daya manusia, fasilitas, layanan, serta proses bisnis juga dapat dikategorikan sebagai aset yang perlu dilindungi.

Contoh sederhana: Dalam sistem informasi akademik, data mahasiswa, server, aplikasi akademik, akun dosen, jaringan kampus, dan prosedur pengelolaan nilai merupakan aset informasi.

Jenis-Jenis Aset Informasi

Data dan Informasi

Data mahasiswa, nilai, transaksi, dokumen, laporan, kredensial, dan informasi pribadi.

Perangkat Keras

Server, komputer, laptop, router, switch, storage, kamera, dan perangkat pendukung.

Perangkat Lunak

Sistem operasi, aplikasi, database, middleware, API, dan perangkat lunak keamanan.

Jaringan

Infrastruktur jaringan, internet, intranet, VPN, DNS, dan jalur komunikasi data.

Sumber Daya Manusia

Pengguna, administrator, operator, dosen, mahasiswa, vendor, dan pengelola sistem.

Fasilitas dan Proses

Ruang server, pusat data, SOP, kebijakan, prosedur, dan proses bisnis organisasi.

Daftar Contoh Aset Informasi

No.	Nama Aset	Jenis Aset	Pemilik Aset	Tingkat Kepentingan
1	Data Mahasiswa	Data dan Informasi	Bagian Akademik	Sangat Tinggi
2	Server Akademik	Perangkat Keras	Unit Teknologi Informasi	Sangat Tinggi
3	Aplikasi Sistem Akademik	Perangkat Lunak	Unit Teknologi Informasi	Tinggi
4	Akun Administrator	Sumber Daya Manusia	Administrator Sistem	Tinggi
5	Jaringan Kampus	Jaringan	Unit Infrastruktur Jaringan	Tinggi
6	SOP Pengelolaan Nilai	Proses dan Dokumen	Program Studi	Menengah

Menentukan Nilai Aset

Nilai aset ditentukan berdasarkan seberapa penting aset tersebut bagi organisasi dan seberapa besar dampak yang timbul apabila aset mengalami kehilangan, kerusakan, kebocoran, perubahan, atau tidak dapat digunakan.

Tingkat Nilai	Karakteristik	Contoh Aset
Sangat Tinggi	Kehilangan aset dapat menyebabkan gangguan besar dan kerugian serius.	Data pribadi, data keuangan, dan server utama.
Tinggi	Aset sangat mendukung operasional utama organisasi.	Aplikasi akademik dan jaringan inti.
Menengah	Gangguan aset masih dapat ditangani melalui prosedur alternatif.	Dokumen internal dan perangkat kerja.
Rendah	Dampak kehilangan relatif kecil dan tidak mengganggu proses utama.	Informasi umum dan dokumen publik.

Hubungan Aset dengan Prinsip CIA

Aset	Confidentiality	Integrity	Availability
Data Mahasiswa	Hanya dapat diakses oleh pihak berwenang.	Tidak boleh diubah tanpa otorisasi.	Tersedia saat dibutuhkan untuk layanan akademik.
Server Akademik	Akses administrator harus dibatasi.	Konfigurasi tidak boleh diubah sembarangan.	Server harus beroperasi sesuai kebutuhan layanan.
Akun Pengguna	Kredensial harus dirahasiakan.	Aktivitas pengguna harus dapat ditelusuri.	Akun dapat digunakan oleh pemilik yang sah.

Tahapan Identifikasi Aset

1. Menentukan Ruang Lingkup

Tentukan organisasi, unit kerja, proses bisnis, atau sistem yang akan dianalisis.

2. Membuat Daftar Aset

Catat seluruh data, perangkat, aplikasi, jaringan, SDM, dan dokumen yang digunakan.

3. Menentukan Pemilik

Identifikasi pihak yang bertanggung jawab atas penggunaan dan perlindungan aset.

4. Menilai Kepentingan

Tentukan nilai aset berdasarkan dampak terhadap kerahasiaan, integritas, dan ketersediaan.

Studi Kasus Identifikasi Aset

Sebuah perguruan tinggi menggunakan sistem informasi akademik untuk mengelola data mahasiswa dan proses perkuliahan. Identifikasi aset dapat dilakukan dengan mengamati data, perangkat, aplikasi, pengguna, serta proses yang terlibat.

Aset	Nilai Aset	Risiko Utama	Perlindungan Awal
Data Nilai Mahasiswa	Sangat Tinggi	Perubahan atau kebocoran data.	Kontrol akses, audit log, dan backup.
Server Database	Sangat Tinggi	Kerusakan, serangan, atau kehilangan data.	Hardening, monitoring, dan redundansi.
Akun Dosen	Tinggi	Pengambilalihan akun atau penyalahgunaan akses.	MFA, password kuat, dan pembatasan hak akses.

Aktivitas Pembelajaran

Pemahaman Konsep

Mempelajari pengertian dan jenis aset informasi.

Identifikasi

Menemukan aset yang digunakan dalam sebuah sistem.

Klasifikasi

Mengelompokkan aset berdasarkan jenis dan nilainya.

Diskusi

Membahas risiko dan perlindungan aset informasi.

Tugas Pertemuan 3

Pilih satu sistem informasi, kemudian buat daftar aset informasi yang digunakan dalam sistem tersebut.

Ketentuan Tugas

Tentukan nama dan fungsi sistem informasi.
Identifikasi minimal sepuluh aset informasi.
Kelompokkan aset ke dalam kategori data, perangkat keras, perangkat lunak, jaringan, SDM, atau proses.
Tentukan pemilik atau pihak yang bertanggung jawab terhadap setiap aset.
Tentukan tingkat kepentingan setiap aset.
Jelaskan risiko awal berdasarkan confidentiality, integrity, dan availability.

Format yang disarankan: Buat tabel dengan kolom nama aset, jenis aset, pemilik, lokasi, nilai, risiko, dan kontrol perlindungan awal.

Rangkuman Aset Informasi

Aset informasi adalah segala sesuatu yang memiliki nilai bagi organisasi dan berkaitan dengan informasi.
Aset dapat berupa data, perangkat keras, perangkat lunak, jaringan, manusia, fasilitas, dan proses.
Setiap aset harus memiliki pemilik atau pihak yang bertanggung jawab.
Nilai aset ditentukan berdasarkan dampak kehilangan, kerusakan, kebocoran, perubahan, atau gangguan layanan.
Identifikasi aset merupakan langkah awal sebelum melakukan analisis ancaman dan penilaian risiko.

Pertemuan 2

Ancaman dan Risiko Keamanan Sistem Informasi

Memahami pengertian ancaman, kerentanan, risiko, dampak, kemungkinan, serta cara melakukan identifikasi dan penilaian risiko keamanan sistem informasi.

Capaian Pembelajaran

Setelah mengikuti pembelajaran ini, mahasiswa diharapkan mampu mengidentifikasi berbagai ancaman dan kerentanan serta menganalisis risiko yang dapat memengaruhi keamanan sistem informasi.

Menjelaskan pengertian ancaman, kerentanan, risiko, dan dampak.
Mengidentifikasi sumber dan jenis ancaman keamanan informasi.
Membedakan ancaman internal dan ancaman eksternal.
Menganalisis hubungan antara aset, ancaman, kerentanan, dan risiko.
Menentukan tingkat risiko berdasarkan kemungkinan dan dampak.

Informasi Pembelajaran

Ancaman dan Risiko

Dasar Manajemen Risiko

Aset

Yang Dilindungi

Ancaman

Sumber Bahaya

Risiko

Potensi Dampak

Konsep Dasar Ancaman dan Risiko

Keamanan sistem informasi tidak hanya berfokus pada teknologi, tetapi juga pada kemampuan organisasi dalam mengenali dan mengelola kemungkinan terjadinya gangguan terhadap aset informasi.

Ancaman dapat memanfaatkan kerentanan yang terdapat pada sistem. Apabila ancaman berhasil memanfaatkan kerentanan, maka dapat terjadi insiden yang menimbulkan risiko dan dampak bagi organisasi.

Hubungan dasar: Aset memiliki kerentanan, kerentanan dapat dimanfaatkan oleh ancaman, dan ancaman dapat menimbulkan risiko terhadap aset.

Istilah Penting

Aset

Sesuatu yang memiliki nilai bagi organisasi dan perlu dilindungi, seperti data, server, aplikasi, jaringan, dan sumber daya manusia.

Ancaman

Kondisi, peristiwa, atau tindakan yang berpotensi menyebabkan kerusakan atau gangguan terhadap aset informasi.

Kerentanan

Kelemahan pada sistem, konfigurasi, proses, atau manusia yang dapat dimanfaatkan oleh ancaman.

Risiko

Kemungkinan terjadinya suatu kejadian yang dapat memberikan dampak negatif terhadap aset atau tujuan organisasi.

Dampak

Akibat atau konsekuensi yang muncul apabila suatu ancaman berhasil memanfaatkan kerentanan.

Insiden

Peristiwa yang benar-benar terjadi dan menyebabkan atau berpotensi menyebabkan gangguan keamanan informasi.

Jenis-Jenis Ancaman

Jenis Ancaman	Penjelasan	Contoh
Ancaman Internal	Berasal dari orang atau proses yang berada di dalam organisasi.	Penyalahgunaan hak akses, kesalahan pengguna, dan kebocoran oleh pegawai.
Ancaman Eksternal	Berasal dari pihak di luar organisasi atau lingkungan sistem.	Serangan siber, pencurian kredensial, malware, dan phishing.
Ancaman Alam	Disebabkan oleh kondisi alam atau bencana yang mengganggu fasilitas.	Banjir, gempa, kebakaran, dan petir.
Ancaman Teknologi	Disebabkan oleh kegagalan perangkat, aplikasi, jaringan, atau konfigurasi.	Kerusakan server, bug aplikasi, dan kegagalan jaringan.
Ancaman Manusia	Disebabkan oleh tindakan sengaja maupun tidak sengaja dari manusia.	Social engineering, salah konfigurasi, dan penghapusan data.

Contoh Ancaman Keamanan Informasi

Phishing

Upaya menipu pengguna agar memberikan informasi sensitif melalui pesan atau situs palsu.

Malware

Perangkat lunak berbahaya yang dapat merusak, mencuri, atau mengganggu sistem.

Pencurian Kredensial

Pengambilalihan username, password, token, atau informasi autentikasi pengguna.

Denial-of-Service

Gangguan yang menyebabkan layanan tidak dapat digunakan oleh pengguna yang sah.

Social Engineering

Manipulasi psikologis untuk memperoleh akses atau informasi dari korban.

Kebocoran Data

Terbukanya data atau informasi kepada pihak yang tidak memiliki kewenangan.

Penilaian Risiko

Penilaian risiko dilakukan untuk menentukan tingkat prioritas risiko berdasarkan kemungkinan terjadinya ancaman dan besarnya dampak yang ditimbulkan.

Risiko = Kemungkinan x Dampak

Kemungkinan

Menunjukkan seberapa besar peluang suatu ancaman terjadi terhadap aset.

Rendah
Sedang
Tinggi

Dampak

Menunjukkan tingkat kerugian atau gangguan apabila ancaman benar-benar terjadi.

Rendah
Sedang
Tinggi

Matriks Risiko

Kemungkinan	Dampak
Kemungkinan	Rendah	Sedang	Tinggi
Rendah	Rendah	Sedang	Sedang
Sedang	Sedang	Tinggi	Tinggi
Tinggi	Sedang	Tinggi	Sangat Tinggi

Risiko Rendah

Risiko Sedang

Risiko Tinggi

Risiko Sangat Tinggi

Contoh Identifikasi Risiko

Aset	Ancaman	Kerentanan	Dampak	Tingkat Risiko
Data Mahasiswa	Kebocoran data	Hak akses terlalu luas	Pelanggaran privasi dan reputasi organisasi	Sangat Tinggi
Server Akademik	Kerusakan perangkat	Tidak tersedia server cadangan	Layanan akademik terganggu	Tinggi
Akun Dosen	Pencurian password	Password lemah dan tanpa MFA	Akses tidak sah dan perubahan data	Sedang
Jaringan Kampus	Gangguan layanan	Tidak ada koneksi cadangan	Aktivitas pembelajaran terhenti	Sedang

Tahapan Identifikasi dan Penilaian Risiko

1. Identifikasi Aset

Menentukan aset yang penting dan perlu dilindungi.

2. Identifikasi Ancaman

Menentukan sumber ancaman yang dapat mengganggu aset.

3. Identifikasi Kerentanan

Menemukan kelemahan yang dapat dimanfaatkan oleh ancaman.

4. Menilai Risiko

Menentukan kemungkinan, dampak, dan prioritas risiko.

Strategi Penanganan Risiko

Menghindari

Menghentikan aktivitas yang memiliki risiko terlalu tinggi.

Mengurangi

Menerapkan kontrol untuk mengurangi kemungkinan atau dampak risiko.

Memindahkan

Membagi atau mengalihkan sebagian risiko kepada pihak lain.

Menerima

Menerima risiko yang masih berada dalam batas toleransi organisasi.

Studi Kasus: Kebocoran Data Akademik

Sebuah sistem informasi akademik menyimpan data mahasiswa, termasuk identitas, alamat, nilai, dan informasi kontak. Ditemukan bahwa beberapa akun pengguna memiliki hak akses yang terlalu luas.

Elemen	Analisis
Aset	Data pribadi dan data akademik mahasiswa.
Ancaman	Penyalahgunaan akses atau kebocoran data.
Kerentanan	Hak akses tidak dibatasi berdasarkan peran.
Dampak	Pelanggaran privasi, kerugian reputasi, dan potensi sanksi.
Penanganan	Menerapkan role-based access control, audit log, review akses, dan pelatihan pengguna.

Aktivitas Pembelajaran

Kajian Konsep

Mempelajari istilah ancaman, kerentanan, risiko, dan dampak.

Identifikasi

Mengidentifikasi aset, ancaman, dan kerentanan berdasarkan studi kasus.

Penilaian

Menentukan tingkat risiko berdasarkan kemungkinan dan dampak.

Presentasi

Menyampaikan hasil analisis risiko secara sistematis.

Tugas Pertemuan 2

Pilih satu sistem informasi, kemudian buat analisis ancaman dan risiko berdasarkan aset yang telah diidentifikasi.

Ketentuan Tugas

Tentukan minimal lima aset informasi.
Identifikasi minimal satu ancaman untuk setiap aset.
Identifikasi kerentanan yang dapat dimanfaatkan oleh ancaman.
Jelaskan dampak yang mungkin terjadi.
Tentukan tingkat kemungkinan dan tingkat dampak.
Tentukan tingkat risiko menggunakan matriks risiko.
Berikan rekomendasi penanganan untuk setiap risiko.

Format tabel yang disarankan: Aset, ancaman, kerentanan, kemungkinan, dampak, tingkat risiko, dan rekomendasi pengendalian.

Rangkuman Ancaman dan Risiko

Ancaman adalah kondisi atau peristiwa yang dapat mengganggu atau merusak aset informasi.
Kerentanan adalah kelemahan yang dapat dimanfaatkan oleh suatu ancaman.
Risiko muncul dari kemungkinan ancaman terjadi dan dampak yang ditimbulkannya.
Penilaian risiko membantu organisasi menentukan prioritas pengamanan.
Strategi penanganan risiko dapat berupa menghindari, mengurangi, memindahkan, atau menerima risiko.
Analisis risiko harus dilakukan secara sistematis, terdokumentasi, dan sesuai dengan konteks organisasi.

Keamanan Sistem Informasi

Ancaman Keamanan Sistem Informasi

Materi ini membahas berbagai jenis ancaman yang dapat mengganggu kerahasiaan, integritas, dan ketersediaan sistem informasi.

Capaian Pembelajaran

Setelah mengikuti materi ini, mahasiswa diharapkan mampu mengenali, mengelompokkan, dan menjelaskan berbagai ancaman terhadap sistem informasi.

Menjelaskan pengertian ancaman keamanan.
Membedakan ancaman internal dan eksternal.
Mengidentifikasi ancaman terhadap data, aplikasi, jaringan, dan infrastruktur.
Menjelaskan dampak ancaman terhadap prinsip CIA.
Menentukan tindakan pencegahan secara umum.

Fokus Materi

Threat Awareness

Mengenali sumber dan bentuk ancaman

Data

Informasi

Sistem

Teknologi

SDM

Manusia

Pengertian Ancaman Keamanan

Ancaman keamanan adalah kondisi, tindakan, kejadian, atau pihak tertentu yang memiliki potensi untuk menyebabkan gangguan, kerusakan, kehilangan, perubahan, atau pengungkapan informasi tanpa kewenangan.

Ancaman dapat terjadi karena faktor manusia, teknologi, lingkungan, proses bisnis, maupun bencana alam. Ancaman belum tentu langsung menimbulkan kerugian, tetapi dapat menjadi risiko apabila terdapat kerentanan yang dapat dimanfaatkan.

Hubungan ancaman dan risiko: Ancaman memanfaatkan kerentanan pada aset sehingga dapat menimbulkan insiden dan dampak bagi organisasi.

Sumber Ancaman

Ancaman Internal

Berasal dari pegawai, administrator, pengguna, atau pihak internal organisasi.

Ancaman Eksternal

Berasal dari pihak luar yang berusaha memperoleh akses atau mengganggu layanan.

Ancaman Lingkungan

Berasal dari bencana alam, gangguan listrik, suhu, air, atau kerusakan fasilitas.

Jenis-Jenis Ancaman Keamanan

Jenis Ancaman	Penjelasan	Dampak yang Mungkin Terjadi
Phishing	Penipuan untuk memperoleh informasi sensitif melalui pesan, email, atau situs palsu.	Pencurian akun dan kebocoran data.
Malware	Perangkat lunak berbahaya yang dirancang untuk mengganggu, merusak, atau mencuri data.	Kerusakan sistem, kehilangan data, dan gangguan operasional.
Pencurian Kredensial	Pengambilalihan username, password, token, atau informasi autentikasi.	Akses tidak sah dan penyalahgunaan akun.
Social Engineering	Manipulasi psikologis terhadap pengguna untuk mendapatkan akses atau informasi.	Kebocoran informasi dan pengambilalihan akun.
Denial-of-Service	Upaya mengganggu layanan agar tidak dapat digunakan oleh pengguna yang sah.	Layanan tidak tersedia dan gangguan bisnis.
Kebocoran Data	Informasi rahasia atau pribadi terbuka kepada pihak yang tidak berwenang.	Pelanggaran privasi dan kerugian reputasi.
Ancaman Orang Dalam	Penyalahgunaan akses oleh pengguna internal secara sengaja atau tidak sengaja.	Manipulasi, penghapusan, atau pencurian data.
Bencana dan Gangguan Fisik	Gangguan akibat kebakaran, banjir, gempa, listrik, atau kerusakan perangkat.	Kehilangan fasilitas dan tidak tersedianya sistem.

Dampak Ancaman terhadap Prinsip CIA

Confidentiality

Terancam ketika informasi diakses atau dibocorkan kepada pihak yang tidak berwenang.

Contoh: phishing dan kebocoran data.

Integrity

Terancam ketika data diubah, dihapus, atau dimanipulasi tanpa persetujuan.

Contoh: malware dan penyalahgunaan akses.

Availability

Terancam ketika sistem atau layanan tidak dapat digunakan saat dibutuhkan.

Contoh: DoS dan kerusakan server.

Cara Mengidentifikasi Ancaman

1. Identifikasi Aset

Tentukan data, aplikasi, perangkat, jaringan, dan fasilitas yang perlu dilindungi.

2. Tentukan Sumber Ancaman

Tentukan apakah ancaman berasal dari internal, eksternal, teknologi, atau lingkungan.

3. Cari Kerentanan

Identifikasi kelemahan pada sistem, konfigurasi, proses, dan perilaku pengguna.

4. Analisis Dampak

Tentukan dampak ancaman terhadap kerahasiaan, integritas, dan ketersediaan.

Pengendalian terhadap Ancaman

Jenis Pengendalian	Tujuan	Contoh
Pengendalian Preventif	Mencegah ancaman sebelum menimbulkan insiden.	MFA, firewall, password kuat, dan pelatihan.
Pengendalian Detektif	Menemukan aktivitas mencurigakan atau pelanggaran keamanan.	Monitoring, audit log, IDS, dan alert.
Pengendalian Korektif	Memulihkan sistem setelah terjadi insiden.	Backup, patching, pemulihan, dan perbaikan.

Studi Kasus Ancaman Keamanan

Seorang pengguna menerima email yang mengatasnamakan administrator sistem akademik. Email tersebut meminta pengguna untuk memasukkan username dan password melalui tautan tertentu.

Elemen	Analisis
Aset	Akun pengguna dan data akademik.
Ancaman	Phishing dan pencurian kredensial.
Kerentanan	Pengguna tidak mengenali ciri-ciri email palsu dan tidak menggunakan MFA.
Dampak	Akun diambil alih dan data dapat diakses oleh pihak yang tidak berwenang.
Pengendalian	Edukasi pengguna, verifikasi alamat situs, MFA, filter email, dan pelaporan insiden.

Tugas Pembelajaran

Pilih satu sistem informasi, kemudian identifikasi ancaman yang mungkin terjadi terhadap sistem tersebut.

Ketentuan Tugas

Tentukan nama dan fungsi sistem informasi.
Identifikasi minimal lima aset yang digunakan.
Tentukan minimal dua ancaman untuk setiap aset.
Jelaskan sumber ancaman tersebut.
Identifikasi kerentanan yang mungkin dimanfaatkan.
Jelaskan dampak terhadap confidentiality, integrity, dan availability.
Berikan rekomendasi pengendalian keamanan.

Catatan: Tugas dilakukan berdasarkan studi kasus atau observasi umum. Jangan melakukan pengujian terhadap sistem yang tidak dimiliki atau tidak memiliki izin resmi.

Rangkuman Ancaman Keamanan

Ancaman adalah kondisi atau tindakan yang dapat mengganggu keamanan aset informasi.
Ancaman dapat berasal dari pihak internal, eksternal, teknologi, manusia, maupun lingkungan.
Phishing, malware, pencurian kredensial, social engineering, dan DoS merupakan contoh ancaman umum.
Dampak ancaman dapat memengaruhi confidentiality, integrity, dan availability.
Pengendalian keamanan meliputi tindakan preventif, detektif, dan korektif.

Keamanan Sistem Informasi

Kerentanan Sistem Informasi

Memahami pengertian, jenis, penyebab, dampak, serta cara mengidentifikasi dan mengurangi kerentanan pada sistem informasi.

Capaian Pembelajaran

Setelah mengikuti materi ini, mahasiswa diharapkan mampu memahami kelemahan sistem informasi dan menjelaskan pengaruhnya terhadap keamanan data, aplikasi, jaringan, serta infrastruktur.

Menjelaskan pengertian kerentanan sistem.
Mengidentifikasi jenis-jenis kerentanan.
Menjelaskan hubungan kerentanan dengan ancaman dan risiko.
Menganalisis dampak kerentanan terhadap prinsip CIA.
Menentukan langkah mitigasi kerentanan secara aman dan bertanggung jawab.

Fokus Materi

Vulnerability Awareness

Mengenali kelemahan sistem

Aplikasi

Perangkat Lunak

Jaringan

Infrastruktur

SDM

Pengguna

Pengertian Kerentanan Sistem

Kerentanan sistem adalah kelemahan atau kekurangan yang terdapat pada perangkat keras, perangkat lunak, jaringan, konfigurasi, proses, kebijakan, maupun sumber daya manusia yang dapat dimanfaatkan oleh suatu ancaman.

Kerentanan tidak selalu berarti sistem telah diserang. Kerentanan menunjukkan adanya kondisi yang dapat meningkatkan peluang terjadinya insiden keamanan apabila tidak segera diperbaiki atau dikendalikan.

Contoh sederhana: Sistem menggunakan password yang lemah. Kondisi tersebut merupakan kerentanan yang dapat dimanfaatkan oleh ancaman pencurian kredensial.

Hubungan Aset, Ancaman, Kerentanan, dan Risiko

Aset

Sesuatu yang memiliki nilai dan perlu dilindungi.

Ancaman

Peristiwa atau tindakan yang dapat menimbulkan gangguan.

Kerentanan

Kelemahan yang dapat dimanfaatkan oleh ancaman.

Risiko

Kemungkinan dan dampak akibat ancaman berhasil memanfaatkan kerentanan.

Aset + Ancaman + Kerentanan = Risiko Keamanan

Jenis-Jenis Kerentanan

Jenis Kerentanan	Penjelasan	Contoh
Kerentanan Aplikasi	Kelemahan pada kode, logika, validasi, atau desain aplikasi.	Validasi input tidak memadai dan kesalahan pengelolaan sesi.
Kerentanan Konfigurasi	Pengaturan sistem tidak sesuai dengan prinsip keamanan.	Password bawaan, port tidak diperlukan, dan hak akses berlebihan.
Kerentanan Jaringan	Kelemahan pada desain, protokol, atau pengamanan komunikasi jaringan.	Jaringan tanpa segmentasi dan komunikasi tanpa perlindungan.
Kerentanan Perangkat Lunak	Kelemahan akibat perangkat lunak belum diperbarui atau tidak didukung.	Sistem operasi usang dan patch keamanan belum diterapkan.
Kerentanan Fisik	Kekurangan pengamanan terhadap perangkat dan fasilitas.	Ruang server tidak terkunci dan perangkat dapat diakses sembarang orang.
Kerentanan Manusia	Kelemahan yang berasal dari kurangnya pengetahuan, kesadaran, atau kedisiplinan.	Password dibagikan dan mudah tertipu phishing.
Kerentanan Prosedur	Tidak adanya kebijakan atau prosedur keamanan yang jelas.	Tidak ada prosedur backup dan respons insiden.

Contoh Kerentanan Umum

Password Lemah

Penggunaan password pendek, mudah ditebak, digunakan berulang, atau tidak diperbarui.

Sistem Tidak Diperbarui

Perangkat lunak tidak mendapatkan pembaruan keamanan secara berkala.

Hak Akses Berlebihan

Pengguna memperoleh akses melebihi kebutuhan tugasnya.

Backup Tidak Memadai

Backup tidak dilakukan, tidak diuji, atau disimpan tanpa perlindungan.

Salah Konfigurasi

Pengaturan sistem atau jaringan tidak mengikuti standar keamanan.

Dokumentasi Tidak Lengkap

Informasi konfigurasi, aset, prosedur, dan tanggung jawab tidak terdokumentasi.

Dampak Kerentanan terhadap CIA

Prinsip CIA	Dampak Kerentanan	Contoh Kerentanan
Confidentiality	Informasi dapat dibaca atau diperoleh oleh pihak yang tidak berwenang.	Hak akses terlalu luas dan data tidak dienkripsi.
Integrity	Data dapat diubah, dihapus, atau dimanipulasi tanpa persetujuan.	Tidak ada validasi input dan audit log.
Availability	Sistem atau layanan tidak dapat digunakan ketika dibutuhkan.	Tidak ada backup, redundansi, atau pemantauan layanan.

Cara Mengidentifikasi Kerentanan

Inventarisasi

Mendata perangkat, aplikasi, sistem operasi, jaringan, akun, dan aset terkait.

Review Konfigurasi

Memeriksa konfigurasi berdasarkan kebijakan dan standar keamanan organisasi.

Review Aplikasi

Meninjau desain, kode, validasi, hak akses, dan pengelolaan data aplikasi.

Evaluasi Pengguna

Menilai kesadaran, kebiasaan, dan kepatuhan pengguna terhadap prosedur keamanan.

Langkah Mitigasi Kerentanan

Langkah	Tujuan	Contoh Penerapan
Patching	Memperbaiki kelemahan pada perangkat lunak dan sistem operasi.	Memasang pembaruan keamanan dari sumber resmi.
Hardening	Mengurangi permukaan serangan pada sistem.	Menonaktifkan layanan tidak diperlukan dan mengganti konfigurasi bawaan.
Access Control	Membatasi akses sesuai tugas dan kebutuhan.	Menerapkan least privilege dan RBAC.
Monitoring	Mendeteksi perubahan atau aktivitas yang tidak wajar.	Menggunakan log, alert, dan pemeriksaan aktivitas.
Pelatihan	Meningkatkan kesadaran dan perilaku aman pengguna.	Edukasi password, phishing, privasi, dan pelaporan insiden.
Backup	Menyiapkan pemulihan apabila data rusak, hilang, atau terkena insiden.	Backup berkala dan pengujian pemulihan.

Studi Kasus Kerentanan Sistem

Sebuah sistem informasi akademik memiliki akun administrator yang digunakan bersama oleh beberapa pengguna. Sistem juga belum menerapkan autentikasi multifaktor dan pencatatan aktivitas pengguna belum lengkap.

Elemen	Analisis
Aset	Data akademik, akun administrator, dan aplikasi sistem informasi.
Kerentanan	Akun digunakan bersama, tidak ada MFA, dan audit log tidak lengkap.
Ancaman	Pencurian password atau penyalahgunaan hak administrator.
Dampak	Data dapat diubah, dihapus, atau diakses tanpa kewenangan.
Mitigasi	Menggunakan akun individual, menerapkan MFA, membatasi hak akses, serta mengaktifkan audit log.

Tugas Pembelajaran

Pilih satu sistem informasi, kemudian identifikasi kerentanan yang mungkin terdapat pada sistem tersebut berdasarkan studi kasus atau observasi umum.

Ketentuan Tugas

Tentukan nama dan fungsi sistem informasi.
Identifikasi minimal lima aset sistem.
Identifikasi minimal lima kerentanan.
Jelaskan penyebab dari setiap kerentanan.
Jelaskan ancaman yang dapat memanfaatkan kerentanan.
Jelaskan dampak terhadap confidentiality, integrity, dan availability.
Berikan rekomendasi mitigasi untuk setiap kerentanan.

Catatan: Analisis dilakukan secara aman menggunakan studi kasus, dokumentasi, atau lingkungan praktikum yang memiliki izin. Jangan melakukan pemindaian atau pengujian terhadap sistem nyata tanpa persetujuan resmi.

Rangkuman Kerentanan Sistem

Kerentanan adalah kelemahan yang dapat dimanfaatkan oleh ancaman terhadap sistem informasi.
Kerentanan dapat berasal dari aplikasi, konfigurasi, jaringan, perangkat lunak, fisik, manusia, dan prosedur.
Kerentanan dapat memengaruhi confidentiality, integrity, dan availability.
Identifikasi kerentanan harus dilakukan secara sistematis berdasarkan aset, ancaman, dan konteks organisasi.
Mitigasi dapat dilakukan melalui patching, hardening, kontrol akses, monitoring, pelatihan, dan backup.

Keamanan Sistem Informasi

Kontrol Keamanan Sistem Informasi

Memahami tujuan, jenis, fungsi, penerapan, dan evaluasi kontrol keamanan untuk melindungi aset informasi dari berbagai ancaman.

Capaian Pembelajaran

Setelah mengikuti materi ini, mahasiswa diharapkan mampu memahami dan memilih kontrol keamanan yang sesuai dengan aset, ancaman, kerentanan, dan tingkat risiko sistem informasi.

Menjelaskan pengertian dan tujuan kontrol keamanan.
Membedakan kontrol administratif, teknis, fisik, dan operasional.
Membedakan kontrol preventif, detektif, korektif, dan pemulihan.
Memilih kontrol berdasarkan risiko yang telah diidentifikasi.
Mengevaluasi efektivitas kontrol keamanan.

Fokus Materi

Security Controls

Perlindungan berdasarkan risiko

Cegah

Preventif

Deteksi

Detektif

Pulihkan

Korektif

Pengertian Kontrol Keamanan

Kontrol keamanan adalah kebijakan, prosedur, tindakan, teknologi, atau mekanisme yang diterapkan untuk mengurangi kemungkinan terjadinya ancaman dan membatasi dampak apabila insiden keamanan terjadi.

Kontrol keamanan dirancang berdasarkan nilai aset, tingkat risiko, kebutuhan organisasi, persyaratan hukum, serta prinsip confidentiality, integrity, dan availability.

Prinsip penting: Kontrol keamanan harus sesuai kebutuhan, dapat diterapkan, terdokumentasi, dipantau, dan dievaluasi secara berkala.

Tujuan Kontrol Keamanan

Melindungi Kerahasiaan

Mencegah informasi diakses, digunakan, atau dibagikan oleh pihak yang tidak berwenang.

Menjaga Integritas

Memastikan informasi tetap akurat, lengkap, konsisten, dan tidak diubah tanpa izin.

Menjamin Ketersediaan

Memastikan layanan dan informasi dapat digunakan ketika dibutuhkan.

Kategori Kontrol Keamanan

Kategori	Penjelasan	Contoh
Kontrol Administratif	Kontrol yang berkaitan dengan kebijakan, aturan, tata kelola, dan pengelolaan risiko.	Kebijakan keamanan, SOP, klasifikasi data, dan manajemen risiko.
Kontrol Teknis	Kontrol yang diterapkan menggunakan perangkat keras atau perangkat lunak.	Firewall, enkripsi, MFA, antivirus, IDS, dan kontrol akses.
Kontrol Fisik	Kontrol untuk melindungi fasilitas, perangkat, dan lingkungan fisik.	Kunci ruangan, CCTV, kartu akses, UPS, dan pengamanan pusat data.
Kontrol Operasional	Kontrol yang dilakukan dalam kegiatan operasional sehari-hari.	Backup, monitoring, pemeliharaan, pelatihan, dan review akses.

Fungsi Kontrol Keamanan

Fungsi Kontrol	Tujuan	Contoh
Preventif	Mencegah ancaman atau kesalahan sebelum menimbulkan insiden.	MFA, firewall, password policy, dan pembatasan hak akses.
Detektif	Mendeteksi aktivitas mencurigakan atau pelanggaran keamanan.	Monitoring, audit log, IDS, alert, dan pemeriksaan keamanan.
Korektif	Memperbaiki kondisi setelah terjadi kesalahan atau insiden.	Patching, perbaikan konfigurasi, dan penghapusan malware.
Pemulihan	Mengembalikan sistem atau layanan ke kondisi operasional.	Restore backup, disaster recovery, dan pemulihan layanan.
Pencegahan Risiko	Mengurangi kemungkinan atau dampak risiko terhadap aset.	Segmentasi jaringan, redundansi, pelatihan, dan transfer risiko.

Contoh Kontrol Keamanan

Kontrol Akses

Mengatur siapa yang dapat mengakses sistem, data, dan fitur tertentu.

RBAC, MFA, least privilege, dan review akses.

Kriptografi

Melindungi data ketika disimpan maupun dikirim melalui jaringan.

Enkripsi, hashing, TLS, dan tanda tangan digital.

Firewall

Mengatur lalu lintas jaringan berdasarkan aturan keamanan yang ditetapkan.

Penyaringan koneksi dan pembatasan layanan.

Monitoring dan Audit

Mengamati aktivitas sistem dan menyediakan bukti untuk pemeriksaan keamanan.

Log aktivitas, audit trail, dan alert.

Backup dan Recovery

Menyediakan salinan data dan prosedur pemulihan setelah terjadi gangguan.

Backup berkala, restore test, dan disaster recovery plan.

Kesadaran Pengguna

Meningkatkan kemampuan pengguna dalam mengenali dan mencegah ancaman.

Pelatihan phishing, password, privasi, dan pelaporan insiden.

Pemilihan Kontrol Berdasarkan Risiko

Kontrol keamanan harus dipilih berdasarkan hasil analisis risiko. Kontrol yang digunakan untuk satu aset belum tentu sesuai untuk aset lainnya.

Risiko	Penyebab	Kontrol yang Sesuai
Kebocoran data	Hak akses terlalu luas dan data tidak terlindungi.	RBAC, MFA, enkripsi, dan review akses.
Perubahan data tanpa izin	Tidak ada pembatasan perubahan dan pencatatan aktivitas.	Approval, audit log, validasi input, dan pemisahan tugas.
Layanan tidak tersedia	Tidak ada backup, server cadangan, atau rencana pemulihan.	Backup, redundansi, monitoring, dan disaster recovery.
Infeksi malware	Perangkat lunak tidak diperbarui dan pengguna kurang waspada.	Patching, antivirus, filter email, dan pelatihan pengguna.

Tahapan Penerapan Kontrol Keamanan

1. Identifikasi Risiko

Kenali aset, ancaman, kerentanan, dan dampak yang mungkin terjadi.

2. Pilih Kontrol

Tentukan kontrol yang sesuai dengan tingkat risiko dan kebutuhan organisasi.

3. Terapkan Kontrol

Implementasikan kontrol secara terencana dan dokumentasikan hasilnya.

4. Evaluasi

Pantau efektivitas kontrol dan lakukan perbaikan secara berkala.

Studi Kasus Penerapan Kontrol

Sebuah sistem informasi akademik menyimpan data nilai mahasiswa. Hanya dosen tertentu yang diperbolehkan mengubah nilai, sedangkan mahasiswa hanya dapat melihat nilai milik sendiri.

Kebutuhan Keamanan	Kontrol	Tujuan
Membatasi akses berdasarkan peran.	Role-based access control.	Melindungi kerahasiaan dan mencegah akses yang tidak sesuai.
Mencegah perubahan nilai tanpa izin.	Approval dan audit log.	Menjaga integritas dan menyediakan bukti aktivitas.
Memulihkan data apabila terjadi kerusakan.	Backup berkala dan pengujian restore.	Menjamin ketersediaan dan pemulihan data.
Mendeteksi aktivitas mencurigakan.	Monitoring dan notifikasi keamanan.	Mempercepat deteksi dan penanganan insiden.

Evaluasi Efektivitas Kontrol

Evaluasi dilakukan untuk memastikan kontrol keamanan berjalan sesuai tujuan dan mampu mengurangi risiko yang telah ditetapkan.

Apakah kontrol telah diterapkan sesuai kebijakan?
Apakah kontrol masih sesuai dengan risiko terbaru?
Apakah pengguna menjalankan prosedur dengan benar?

Apakah log dan bukti penerapan tersedia?
Apakah kontrol dapat mendeteksi atau mencegah insiden?
Apakah diperlukan perbaikan atau kontrol tambahan?

Tugas Pembelajaran

Berdasarkan hasil identifikasi ancaman dan kerentanan pada tugas sebelumnya, tentukan kontrol keamanan yang sesuai untuk setiap risiko.

Ketentuan Tugas

Tuliskan aset dan risiko yang telah diidentifikasi.
Tentukan tujuan kontrol untuk setiap risiko.
Pilih kontrol administratif, teknis, fisik, atau operasional.
Tentukan fungsi kontrol: preventif, detektif, korektif, atau pemulihan.
Jelaskan alasan pemilihan kontrol.
Jelaskan cara mengevaluasi efektivitas kontrol tersebut.

Catatan Etika: Penerapan kontrol dan pengujian hanya dilakukan pada lingkungan praktikum atau sistem yang telah memperoleh izin resmi.

Rangkuman Kontrol Keamanan

Kontrol keamanan digunakan untuk mencegah, mendeteksi, memperbaiki, dan memulihkan gangguan keamanan.
Kontrol dapat berupa kontrol administratif, teknis, fisik, dan operasional.
Kontrol harus dipilih berdasarkan aset, ancaman, kerentanan, tingkat risiko, dan kebutuhan organisasi.
Penerapan kontrol yang baik harus didukung dokumentasi, monitoring, pelatihan, dan evaluasi berkala.
Tidak ada satu kontrol yang dapat melindungi seluruh sistem. Perlindungan yang efektif menggunakan kombinasi kontrol secara berlapis.

Pertemuan 3: Model Ancaman dan Serangan

Keamanan SI

Menentukan aset, pelaku, permukaan serangan, dan dampak
Menyusun skenario ancaman secara aman dan etis

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Malware

Keamanan SI

Virus, worm, trojan, ransomware, dan spyware
Indikator kompromi dan prinsip pertahanan endpoint
Backup, pembaruan, dan edukasi pengguna

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Serangan Jaringan

Keamanan SI

Penyadapan, spoofing, pemindaian, dan gangguan layanan
Segmentasi, enkripsi, firewall, dan monitoring sebagai pertahanan

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Insider Threat

Keamanan SI

Ancaman dari pengguna berwenang atau pihak internal
Least privilege, pemisahan tugas, logging, dan offboarding

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Pertemuan 4: Autentikasi dan Pengendalian Akses

Keamanan SI

Siklus identitas dan akses
Authentication, authorization, dan accounting
Pengelolaan akun sepanjang siklus hidup

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Identifikasi

Keamanan SI

Akun unik untuk setiap pengguna
Inventaris identitas dan pemilik akun
Larangan berbagi akun

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Autentikasi

Keamanan SI

Faktor pengetahuan, kepemilikan, dan inheren
Password manager dan kredensial kuat
MFA untuk akses berisiko tinggi

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Otorisasi

Keamanan SI

RBAC dan least privilege
Pemisahan tugas
Peninjauan hak akses secara berkala

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

MFA dan RBAC

Keamanan SI

MFA menambah lapisan verifikasi
RBAC menetapkan izin berdasarkan peran
Evaluasi akses berdasarkan kebutuhan kerja

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Pertemuan 5: Kriptografi

Keamanan SI

Tujuan kriptografi: kerahasiaan, integritas, autentikasi, dan non-repudiation
Pentingnya manajemen kunci

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Enkripsi dan Dekripsi

Keamanan SI

Enkripsi mengubah plaintext menjadi ciphertext
Dekripsi mengembalikan ciphertext dengan kunci yang sesuai
Gunakan algoritma dan pustaka tepercaya

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Kriptografi Simetris

Keamanan SI

Satu kunci digunakan untuk enkripsi dan dekripsi
Efisien untuk data berukuran besar
Distribusi kunci perlu dilindungi

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Kriptografi Asimetris

Keamanan SI

Pasangan kunci publik dan privat
Mendukung pertukaran kunci dan tanda tangan digital
Kunci privat wajib dijaga kerahasiaannya

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Hash dan Digital Signature

Keamanan SI

Hash menghasilkan ringkasan data
Tanda tangan digital membantu verifikasi asal dan integritas
Hash tidak sama dengan enkripsi

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Pertemuan 6: Keamanan Jaringan

Keamanan SI

Arsitektur jaringan aman
Defense in depth
Monitoring lalu lintas secara legal dan terkontrol

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Firewall

Keamanan SI

Menyaring lalu lintas berdasarkan aturan
Default deny untuk layanan yang tidak diperlukan
Dokumentasikan perubahan konfigurasi

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Segmentasi Jaringan

Keamanan SI

Memisahkan zona pengguna, server, tamu, dan administrasi
Mengurangi pergerakan lateral
Gunakan VLAN dan aturan antar-zona

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

VPN

Keamanan SI

Membuat kanal komunikasi terenkripsi
Autentikasi pengguna dan perangkat
Kelola endpoint dan masa berlaku akses

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

IDS dan IPS

Keamanan SI

IDS mendeteksi aktivitas mencurigakan
IPS dapat mencegah lalu lintas berdasarkan aturan
Alert perlu divalidasi untuk mengurangi false positive

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Wi-Fi Security

Keamanan SI

Gunakan enkripsi modern dan password kuat
Pisahkan jaringan tamu
Nonaktifkan konfigurasi dan layanan yang tidak diperlukan

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Pertemuan 7: Keamanan Server

Keamanan SI

Baseline konfigurasi aman
Patching, logging, backup, dan pengelolaan administrator

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

System Hardening

Keamanan SI

Hapus layanan tidak perlu
Batasi port dan hak administrator
Gunakan konfigurasi standar yang terdokumentasi

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Patch Management

Keamanan SI

Inventaris versi dan aset
Prioritaskan patch berdasarkan risiko
Uji, jadwalkan, dan verifikasi hasil patching

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Keamanan SSH

Keamanan SI

Gunakan autentikasi kunci dan batasi akun
Batasi sumber akses administrasi
Audit log akses secara berkala

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Logging dan Monitoring

Keamanan SI

Kumpulkan event penting secara terpusat
Lindungi integritas dan retensi log
Gunakan indikator untuk mendeteksi anomali

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Backup dan Endpoint Security

Keamanan SI

Backup berkala dan uji pemulihan
Proteksi endpoint dan pembaruan otomatis
Simpan salinan terisolasi dari jaringan produksi

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Review Materi UTS

Keamanan SI

Review konsep CIA, ancaman, risiko, akses, kriptografi, jaringan, dan server

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.

Ujian Tengah Semester

Keamanan SI

Ujian berbasis kasus untuk mengukur pemahaman dan kemampuan analisis mahasiswa.

Aktivitas: diskusi studi kasus, latihan identifikasi kontrol, dan refleksi penerapan pada organisasi sederhana.