Kajian Enterprise Information Security Architecture sebagai Cara Pandang dalam Security Process Improvement

Ernst & Young dalam 10thAnnual Global Information Security Survey mendapat temuan berupa:

• fokus information security makin berkembang ke arah pemenuhan tujuan bisnis
• information security makin terintegrasi dengan risk management
• information security masih terisolasi dari manajemen eksekutif dan proses pengambilan keputusan strategis
• compliance menjadi pendorong utama bagi information security
• privacy dan proteksi data telah meningkat kepentingannya sebagai pendorong bagi information security
• organisasi bergantung kepada audit dan self-assessment untuk mengecaluasi efektivitas pengelolaan information security

Mempertimbangkan survey di atas, penulis tertarik untuk mengkaji bagaimana security dapat masuk ke dalam Arsitektur Enterprise (EA). Dengan memasukkan security ke dalam EA, penulis berharap information security tidak lagi terisolasi dari manajemen eksekutif dan proses pengambilan keputusan strategis. Dengan integrasi EA dengan security diharapkan pula information security menjadi bagian tak terpisahkan dari risk management.

Selanjutnya silakan download pdf di EISA untuk Security Process Improvement.

Urun Rembug Tugas P Budi Rahardjo

Ini sekedar urun rembug aja, buat kawan-kawan yang merasa ‘non technical’ atau ngaku ‘gaptek’ (saya gak ngaku gaptek, soalnya suka lotek). Di bawah ini saya ada ide judul untuk tugas IT Security dari pak Budi Rahardjo.

1. Desain Security Campaign di Perusahaan, kayaknya cocok untuk Pak Iwan, karena di sini bagaimana disiplin ilmu komunikasi dapat berperan dalam mengkomunikasikan masalah keamanan sistem informasi di dalam perusahaan. Kayak-kayak K3LH, GKM, dll, tapi ini khusus untuk IT Security. Mungkin baik juga dipertimbangkan kalau di Pemerintahan.
2. Peran CIO dalam membangun Security Culture di Pemerintahan, kayaknya ini cocok untuk bu Siti Zulaeha. Soal budaya korporasi di pemerintahan. Tapi khusus budaya korporasi untuk keamanan IT
3. Kajian keamanan pada e-Nota Intern di Perusahaan, ini untuk yg rada melek. Kalau sekarang nota intern itu kan masih pake kertas. Kalau mau pake elektronik, bagaimana model keamanan sistemnya.
4. Model Tupoksi KPDE dengan mempertimbangkan Keamanan Sistem Informasi, yang ini saya sediain buat kawan-2 pemkab. Ya sekedar mengkaji tupoksi di KPDE kalau IT Security mau diimplementasikan.
5. Kajian Security-as-a-Service sebagai model implementasi Keamanan TI di Pemerintahan, ini lebih serius lagi. Ingat Software-as-a-service? Nah ini Security-as-a-Service. Jadi gimana pemda/pemprov/pempus gak usah beli security cukup outsourcing atau multisourcing untuk penanganan securitynya. Kajian lebih kepada untung dan ruginya saya kira.
6. Penerapan reward & punishment dalam pelanggaran IT Security di Pemerintahan. Ini juga gak terlalu berat. Sering kita melihat, mendengar, atau bahkan melakukan sendiri bahwa org government suka membocorkan passwordnya ke orang lain gara-2 gaptek lah, cueklah, dll-lah. Nah, gimana kira-2 kalau diimplementasikan sistem reward dan punishment untuk tiap kasus pelanggaran IT security di pemerintahan.
7. Kajian keamanan pada Supply Chain Management, bagaimana model pengamanan sistem informasi dalam tiap rantai yang berkait
8. Kajian keamanan pada Customer Relationship Management
9. Model Autentikasi Phone Caller pada kasus Panggilan Telepon oleh Agen Kartu Kredit. Sering kita terima telepon ngakunya dari kartu kredit minta data ini itu. Gimana ya kita sebagai user minta autentikasi untuk memastikan bahwa itu memang agen kartu kredit yang bener.
10. Audit IT Security di Pemerintahan. Ini buat yg seneng membahas soal audit, tapi dibatasi pada masalah kebijakan IT Security.
11. Pengukuran kinerja Departemen IT dalam pengelolaan IT Security. Nah lho, kalau di pemerintahan diberlakukan performance based budgeting, gimana ngukur performance-nya?
12. Pengamanan Transfer Data Anter-Departemen, misalnya dari Ditjen Pajak ke Perbendaharaan, apakah dengen enkripsi? Terus autentikasinya, apa kah dengan Digital Signature? Terus siapa yang trust siapa?
13. Kajian Certificate Authority di Indonesia, siapa yang harus mengelola
14. Kajian Security Incident Management di Indonesia. Cenderungnya kalau site kena hack, si yg punya site gak mau ngaku. Padahal itu perlu untuk tujuan perbaikan semua. Kan lognya bisa dapat tuh, dari IP mana, model serangannya seperti apa. So, yang lain bisa belajar. Kalau gak mau public space, ya dibikinlah koordinator di government atau forum. Apa id-Cert bisa bantu?

Untuk yang suka teknis banget, ini saya ada usulan:

1. Botnet. Pak Budi pernah nulis soal ini di wp-nya.
2. Keamanan bluetooth
3. Bayar Toll/Tiket KA pake Bluetooth
4. Web Server Sansak, melatih pukulan terhadap web server
5. Web Server Attacker, melatih kemampuan Admin dalam mengamankan Web server
6. Kajian keamanan telepon umum berbasis VoIP
7. Kajian bagaimana botnet bisa masuk ke internal perimeter perusahaan
8. Proxy Security, mengamankan squid dari gangguan orang iseng (katanya dah banyak yg judulnya ini, so jangan ambil judul ini)
9. Hardening Linux dengan Bastion
10. Desain leksikal untuk Spam Asasin, gimana sih ngumpulin kata-2 yg sering dipake Spam supaya SpamAsasin kita efektif memfilter email yang masuk
11. Security Measure on Software Design Phase. Gimana ngukur tingkat keamanan sebuah software pada saat proses desain, atau bahkan sebelumnya yaitu pada saat requirement capture. Atau mungkin judul kerennya Mitigasi Kejadian Bencana Gangguan Keamanan pada Perangkat Lunak.
12. Pulsa Meter. Sekarang ini era Pelanggan adalah raja. Tapi tetep aja pelanggan gak punya alat ukur untuk ngukur kinerja operator langganannya. Pulsa Meter ini mungkin jawabannya. Thus, pelanggan telepon bisa compare antara pulsa meter dia dgn pulsa meter operator, sekedar memastikan bahwa emang bener-2 kita pake segitu, dan bukan dipake orang lain.