Jenis dan Metode Security Testing yang digunakan dalam Pengujian Keamanan Sistem Informasi

security testing adalah, security testing tools, metode security testing, metode keamanan sistem informasi

PENGERTIAN KEAMANAN SISTEM INFORMASI

Keamanan sistem informasi adalah perlindungan terhadap semua jenis sumber daya dari penyalahgunaan sistem. Yang dimaksud dengan penyalahgunaan adalah akses yang dilakukan oleh pihak yang tidak memiliki wewenang dalam pengelolaan sistem. Keamanan informasi terbentuk dengan diberikannya hak pengelolaan kepada pihak-pihak tertentu.

“Keamanan sistem informasi adalah salah satu faktor penting dalam menjaga perusahaan dari kerugian akibat adanya kebocoran informasi.”

Untuk mendukung keamanan informasi sebuah sistem diperlukan penyediaan struktur organisasi, kebijakan keamanan, serta prosedur dan proses pengamanan yang tepat. Terdapat sebuah standar yang dikenal dengan ISO (International for Standardization Organization) yang dapat digunakan sebagai acuan dalam mengimplementasikan sistem manajemen. Sistem ISO yang berkaitan dengan pengendalian keamanan sistem informasi adalah ISO 27001 tentang Sistem Manajemen Keamanan Informasi (SMKI).

TUJUAN KEAMANAN SISTEM INFORMASI

Keamanan informasi memiliki beberapa tujuan mendasar diantaranya:

1. Kerahasiaan (Confidentiality).

Untuk memastikan Informasi pada sistem terjamin kerahasiaannya, hanya dapat diakses oleh pihak-pihak yang diotorisasi, dan keutuhan serta konsistensi data pada sistem tetap terjaga.

2. Ketersediaan (Availability).

Untuk menjamin pengguna yang sah selalu dapat mengakses informasi dan sumberdaya yang diotorisasi. Selain itu, memastikan para pihak dapat mengakses informasi yang memang menjadi haknya.

3. Integritas (Integrity)

Untuk menjamin   konsistensi   dan   menjamin   data   yang diakses sesuai dengan  aslinya, sehingga  apabila terdapat pihak yang berusaha merubah data tersebut akan lebih cepat dan mudah diketahui.

4. Penggunaan yang sah (Legitimate Use).

Untuk menjamin bahwa sumberdaya tidak dapat digunakan oleh orang yang tidak berhak.

APA ITU SECURITY TESTING?

Security testing adalah jenis pengujian perangkat lunak yang dilakukan untuk mengidentifikasi kerentanan serta memastikan bahwa data dan sumber daya sistem di dalamnya sudah terlindungi dengan baik dari para penyusup/peretas. Pengujian keamanan sistem dilakukan dengan tujuan untuk menemukan semua celah dan kelemahan sistem yang dapat mengakibatkan hilangnya informasi atau reputasi perusahaan.

“Security Testing adalah salah satu strategi yang dapat digunakan perusahaan dalam penjaminan keamanan sistem informasi.”

Pada dasarnya, memang benar Security Testing tidak bisa menjamin bahwa sebuah sistem aman sepenuhnya, tetapi pengujian ini sangat penting dilakukan untuk meningkatkan keamanan sistem itu sendiri. Dalam security testing khususnya pada situs website dan aplikasi, terdapat 4 area utama yang perlu diperhatikan, yaitu:

1. Network security: mencari kerentanan dalam infrastruktur jaringan.
2. System software security: menilai tingkat kelemahan berbagai perangkat lunak tempat aplikasi bekerja, seperti operating system, database system, dan lain-lain.
3. Client-side application security: untuk mendeteksi kerentanan dan mengukur tingkat keamanan pada sistem komputer klien/pengguna.
4. Server-side application security: memastikan bahwa server memiliki keamanan yang kuat dan dapat memblokir beragam gangguan dan ancaman keamanan.

JENIS-JENIS DAN METODE SECURITY TESTING

Penetration Testing

Proses pengujian dengan melakukan simulasi serangan cyber terhadap sistem yang akan diuji. Pengujian dilakukan secara manual oleh pentester profesional dan bersertifikat menggunakan beragam pentest tools dan teknik. Penetration Testing harus dilakukan secara rutin untuk mencegah penembusan sistem keamanan yang disebabkan adanya celah atau kerentanan keamanan pada sistem.

Proses Penestration Testing (Pentest)

Vulnerability Assesment

Proses identifikasi, evaluasi, dan klasifikasi tingkat keparahan pada kerentanan keamanan yang ada pada sebuah jaringan komputer, sistem, aplikasi, atau bagian lainnya berdasarkan risiko yang dapat ditimbulkan di perusahaan. Pada implementasinya, proses ini memberikan informasi mengenai kerentanan apa saja yang mudah dieksploitasi oleh peretas.

Proses Vulnerability Assesment (VA)

Security scanning

Jenis pengujian dengan pemindaian yang dilakukan untuk menemukan kerentanan dan mengidentifikasi serta memodifikasi file yang tidak diinginkan dalam aplikasi berbasis web, situs web, jaringan, dan sistem file. Pemindaian ini akan memberikan suatu insight yang mendalam dan menyediakan suatu rekomendasi untuk memperbaiki masalah yang ditemukan.

 Risk Assessment

Dilakukan dengan menklasifikasikan atau mengelompokkan risiko yang akan dihadapi oleh aplikasi, software, dan jaringan. Melalui analisa dan identifikasi risiko, perusahaan/organisasi akan mengetahui risiko mana yang dapat mengancam keamanan sistem. Risk Assessment umumnya dilakukan oleh tim IT Audit internal. Tim tersebut harus benar-benar memahami infrastruktur digital dan jaringan agar identifikasi dan analisa risiko keamanan dapat dilakukan secara maksimal.

Security Auditing

Metode terstruktur yang digunakan untuk menilai dan mengevaluasi langkah-langkah keamanan yang telah diterapkan. Dengan melakukan audit secara rutin, perusahaan  dapat mengetahui dimana titik lemah dan kerentanan dalam infrastruktur IT, menverifikasi tingkat kesesuaian kontrol keamanan dengan standar dan peraturan yang berlaku, memastikan kepatuhan terhadap peraturan dan persyaratan keamanan yang telah ditetapkan, dan lain-lain.

Ethical hacking

Pengujian keamanan yang dilakukan dengan menggunakan teknik dan metode peretasan serta teknik serangan komputer yang tersedia. Proses ini dilakukan oleh seorang ethical hacker yang memiliki izin untuk menjelajahi IT perusahaan secara luas. Pengujian ini bertujuan untuk menguji seberapa baik dan tahannya tingkat keamanan yang diterapkan terhadap gangguan sistem yang dilakukan dengan berbagai vector, jenis, dan teknik serangan.

Posture Assessment

Pengajuan yang dilakukan untuk meningkatkan kemampuan manajemen risiko pada perusahaan. Penilaian ini merupakan langkah yang sangat penting dalam mengetahui kondisi keamanan pada perusahaan dan mengidentifikasi ancaman keamanan yang mungkin terjadi.

 

Baca Juga: Manfaat Sistem Manajemen Keamanan Informasi Untuk Perusahaan IT