Akhir-akhir ini serangan cyber terus terjadi yang tentunya mengancam keamanan informasi milik perusahaan-perusahaan hingga pemerintah di Indonesia. Seperti yang kita ketahui, saat ini hampir seluruh orang sudah beralih memakai platform digital dalam melakukan berbagai aktivitas mereka. Terlebih pada masa pandemi sewaktu itu dimana masyarakat dihimbau agar tetap tinggal di dalam rumah yang mendorong mereka lebih sering menggunakan platform digital untuk melakukan berbagai hal seperti transaksi online, bekerja (work from home), belajar dan lainnya.

Di sisi lain, para hacker memanfaatkan kondisi tersebut untuk melakukan serangkaian tindakan kejahatan cyber. Di tahun 2024 saja, salah satu penyedia layanan keamanan siber menemukan tren serangan siber di Indonesia terus meningkat mencapai enam kali lipat pada semester pertama tahun ini. Serangan-serangan cyber yang dapat terjadi tersebut dapat berupa trojan, malware, phishing, serta lainnya.

Oleh sebab itu, pada masa kemajuan teknologi ini, pemerintah mengimbau untuk para pemilik perusahaan agar selalu membenahi kebijakan keamana informasi guna mencegah terjadinya serangan cyber dimana dengan melakukan persiapan yang matang mengenai keamanan informasi yang baik, maka perusahaan dapat meminimalisir terjadinya insiden cyber atau pencurian informasi. Lalu, apa sesungguhnya pengertian dari keamanan informasi tersebut?

Pengertian Keamanan Informasi

Keamanan informasi merupakan sekumpulan praktik, metodologi, ataupun proses yang dirancang sedemikian rupa serta diterapkan guna melindungi data pribadi atau informasi dari penggunaan, akses, penyalahgunaan, modifikasi, ataupun gangguan yang tidak sah. Keamanan informasi ini bertujuan untuk melindungi data pada berbagai tahapan baik dalam proses menyimpan, menggunakannya maupun mentransfer.

Suatu perusahaan pastinya harus mengembangkan kebijakan keamanan informasi dalam menangani serta melindungi informasi ataupun data penting yang perusahaan miliki. Kebijakan yang telah dikembangkan tersebut akan berlaku untuk seluruh struktur teknologi informasi. Di samping itu, kebijakan keamanan informasi ini juga berguna dalam menentukan siapa saja yang mempunyai akses ke berbagai jenis data tertentu, metode apa yang akan digunakan untuk mengamankan informasi, bagaimana identitas akan diautentikasikan dan banyak hal lainnya. Kebijakan tersebut akan sangat membantu perusahaan dalam mencegah bahaya akan modifikasi, pencurian ataupun kehilangan informasi atau data penting.

Perlu diketahui bahwa sebagian besar kebijakan keamanan informasi akan mempunyai tujuan atau fokus yang mengacu pada aspek CIA triad. Aspek CIA triad ini meliputi confidentiality, integrity, dan availability. Setiap serangan cyber di berbagai dunia maya biasanya akan mencoba melanggar setidaknya salah satu atribut atau aspek dari CIA triad ini. Sehingga, dengan mempunyai pemahaman yang baik mengenai model keamanan informasi ini, akan lebih membantu kalian untuk meminimalisit risiko serangan atau kesahalahan sistem yang terjadi dengan lebih baik. Dengan menggunakan kebijakan keamanan yang tepat, kalian bisa melindungi data atau informasi penting dari kegiatan-kegiatan yang tidak sah.

Tiga Aspek dalam Keamanan Informasi (CIA Triad)

CIA triad merupakan model standar dalam keamanan informasi yang telah dirancang guna mengevaluasi dan mengatur bagaimana sebuah perusahaan atau organisasi saat data disimpan, di proses maupun dikirim. Setiap aspek yang terdapat dalam CIA Triad ini (Confidentiality – Integrity – Availability) akan menjadi komponen yang penting dalam keamanan informasi.

1. Confidentiality (Kerahasiaan Informasi)

Saat kita membahas mengenai aspek confidentiality atau kerahasiaan informasi, maka kita akan berbicara tentang serangkaian upaya-upaya perlindungan sehingga informasi tidak akan terakses oleh pihak yang tidak berwenang ataupun pihak yang tidak bertanggung jawab. Informasi rahasia memang dianggap sebagai data yang memiliki nilai atau value oleh para cyber hacker.

Pada umumnya, informasi yang diincarnya biasanya meliputi informasi data karyawan, pelanggan, kekayaan intelektual ataupun informasi mengenai rahasia usaha. Oleh sebab itu, para cyber hacker akan terus berusaha mencari kerentanan yang terdapat pada sistem bagian dalam agar mereka dapat mengakses informasi-informasi yang penting tersebut. Biasanya, informasi rahasia dapat jatuh ke tangan yang tidak bertanggung jawab sebab data breach atau ancaman dari orang dalam.

Beberapa contoh serangan yang biasanya digunakan dalam mengakses informasi rahasia tersebut seperti serangan man in the middle, pembobolan enskripsi, serta serangan eavesdropping. Dalam rangka melindunginya, ada beberapa cara yang dapat digunakan seperrti dengan menggunakan password yang kuat, menerapkan autentikasi dua faktor, enskripsi, dan lain sebagainya.

Di samping itu, kalian juga perlu mengetahui bahwa informasi rahasia tersbeut juga dapat diakses oleh pihak yang tidak sah karena kesalahan atau kecerobohan pengguna dan juga kontrol keamanan yang tidak memadai. Misalnya seperti penggunaan password yang lemah atau mudah ditebak, sering berbagi akun, ataupun sebab social engineering, karena security awareness yang kurang memadai. Oleh sebab itu, pelatihan user atau karyawan perlu dilakukan sebagai langkah preventif tambahan agar informasi rahasia dapat tetap terjaga dan terlindungi dengan baik. Jadi dapat disimpulkan, bahwa aspek kerahasiaan informasi atau confidentiality ini mempunyai tujuan untuk melindungi dan menjaga informasi atau data dari akses dan penyalahgunaan informasi yang tidak sah.

2. Integrity (Integritas) 

Pada keamanan informasi, integrity atau integritas informasi merujuk pada suatu langkah-langkah ataupun metode untuk menjaga supaya informasi atau data tidak dapat diubah, diedit, atau bahkan dimanipulasi oleh pihak yang tidak sah atau tidak berwenang. Langkah-langkah tersebut memberikan jaminan atas kelengkapan dan keakuratan informasi. Sama halnya dengan perlindungan informasi rahasia (confidentiality), perlindungan terhadap integritas juga wajib untuk dilakukan.

Bayangkan saja apabila kalian mempunyai sebuah website e-commerce yang telah diretas oleh hacker, sehingga mereka dapat mengubah harga produk kalian menjadi jauh lebih murah. Contoh lainnya tentang kegagalan perlindungan integritas, misalnya saat pengguna website mengunjungi halaman web kalian, tetapi peretas mampu mengalihkan traffic tersebut ke website palsu yang telah dibuatnya.

Contoh serangan-serangan tersebut tentunya akan membawa dampak kerugian yang besar bagi suatu perusahaan. Perlu dipahami pula, aspek perlindungan integritas (integrity) ini tak hanya akan mampu melindungi keakuratan informasi dari serangan hacker, tetapi juga untuk mencegah perubahan informasi yang tidak disengaja. Misalnya seperti kesalahan sistem ataupun kesalahan pengguna.

Dalam mencegah modifikasi atau manipulasi informasi yang tak diinginkan serta untuk memastikan bahwa informasi dapat dipulihkan kembali apabila diubah oleh pihak yang tidak berwenang, maka terdapat beberapa langkah preventif yang bisa dilakukan seperti mengontrol akses pengguna, melakukan autentikasu yang ketat, melakukan enskripsi, melakukan prosedur backup dan recovery, input validation, dan juga version control.

3. Availability (Ketersediaan)

Aspek terakhir dalam CIA triad yakni availability atau ketersediaan yang mengandung maksud bahwa dalam konteks keamanan informasi, upaya dalam menjaga agar sebuah sistem tetap dapat digunakan merupakan suatu hal penting yang perlu dipahami dan dilakukan.

Dengan memberikan perlindungan availability, kalian wajib memberikan jaminan bahwa data dan sistem dapat diakses oleh pengguna yang diautentukasi kapanpun dan dimanapun informasi tersebut diperlukan. Kelangsungan sebuah bisnis akan sangat tergantung pada pemeliharaan performa perangkat lunak, perangkat keras, serta saluran komunikasi yang digunakan untuk menyimpan serta memproses informasi.

Ketika suatu situs website perusahaan tidak dapat diakses atau terganggu, maka perusahaan bisa kehilangan banyak income. Di samping itu, pelanggan juga akan merasa tidak puas dengan performa web yang sangat mempengaruhi reputasi suatu perusahaan itu sendiri.

Para cyber hacker umumnya menyerang availability website dengan menggunakan bebrapa jenis serangan, salah satu contohnya yakni DDOS attack. Serangan tersebut dilakukan dengan cara membanjiri lalu lintas server, sistem, atau serangan dalam rangka mengganggu lalu lintas normal. Apabila cyber hacker ini berhasil melakukannya, maka akses website bisa menghilang atau bekerja dengan sangat lambat.

Di samping itu, ketidaktersediaan informasi juga bisa terjadi sebab beberapa hal lainnya misalnya, karena adanya kode berbahaya di dalam sistem atau karena menggunakan bandwidth yang tidak mencukupi. Dalam rangka menjaga aspek availability ini, ada beberapa upaya yang dapat dilakukan seperti menggunakan redundancy, firewall, dan proxy servers, menggunakan access controls, memastikan bahwa bandwidths yang digunakan mencukupi, dan menggunakan layanan pelindung DDoS.