Inilah 10 Hal untuk Melindungi Aset TI Perusahaan (Bagian 1)

Physical security merupakan garda depan atau layer pertama untuk keamanan aset TI perusahaan. Sebagian perusahaan, institusi pemerintahan, militer, universitas dan critical infrastructure dijaga sangat ketat oleh pemiliknya.

Mengapa sedemikian penting layer pertama ini diselamatkan, karena begitu banyak aset TI yang sangat mahal dan penting untuk dapat menjalankan aktivitas operasional harian TI di dalam organisasi. Bila hal ini terganggu, akan mengganggu dan membahayakan institusi tersebut dalam melakukan pengelolaan Tl-nya (good corporate governance). Kali ini, penulis mengajak pembaca untuk lebih mengenal physical security. Ada sepuluh hal penting yang harus dijaga ketat dan dimonitor terus menerus selama 24 jam dan 365 hari setahun.

Physical Security

Apa yang dimaksud dengan physical security? Menurut para ahli IT security, physical security adalah perlindungan terhadap personel, hardware, software, jaringan komputer dan data/informasi dari aneka keadaan/lingkungan fisik dan berbagai peristiwa yang dapat menyebabkan kerugian serius dan kerusakan bagi institusi/lembaga. Perlindungan ini meliputi perlindungan dari gangguan alam seperti gempa, badai, tsunami, banjir, longsor, salju, panas dan sebagainya, dan gangguan dari manusia seperti pencurian, perampokan,vandalisme, terorisme, pemogokan, dan sabotase (akan dideskripsikan lebih lanjut).

Gangguan terhadap physical security banyak sekali. Karena itu, perlu dicermati mana yang harus didahulukan untuk melakukan pencegahan terhadap pembobolan/penembusan keamanan (security breach) tersebut. Seringkali institusi menimbang-nimbang investasi untuk keperluan anggaran dan implementasinya. Sebagai contoh, apakah menambah SDM satuan pengamanan ataukah makin memperbanyak kamera CCTV? Dua hal ini sama-sama penting untuk meningkatkan physical security.

Berikut ini adalah sepuluh ulasan penting dari physical security yang dapat dilihat pada URL: http://www.techrepublic.com/blog/10-things/10-physical-security-measures-every-organization-should-take/

Berbagai informasi dikumpulkan dan diulas lebih detail oleh penulis untuk memperkuat physical security di setiap institusi tempat kita bekerja.1.

1. Mengunci ruang server dengan baik.

Ruang server biasanya penuh dengan peralatan penting perusahaan seperti hardware, software, firewall, router, switch, tape backup, distribution cable, sensor-sensor, dan masih banyak lagi.

Ancaman yang dapat terjadi di ruang server adalah kehilangan hardware, software di dalam hardware tersebut, peralatan jaringan dirusak/ sabotase, temperatur ruangan tidak memenuhi syarat sehingga suhu naik dan dapat menimbulkan kebakaran atau shutdown, ruang server terlalu lembab akan dihuni oleh hama seperti, jamur, karatan, tikus, kutu dan binatang yang lain, yang tentu akan mengganggu kinerja server tersebut.

Bagaimana bila shutdown? Tentu akan menimbulkan kerugian yang sangat besar. Sebagai contoh perusahaan saham, tidak boleh shutdown saat sedang beroperasi. Bila hal ini terjadi, bursa efek akan kehilangan kepercayaan publik. Investor lokal dan asing akan mulai memindahkan investasi mereka keluar dari bursa dan mencari infrastruktur bursa yang andal.

Countermeasure: setiap kali kita setup ruang server, harus dipastikan lingkungan pendukung ruang tersebut aman dan sehat. Kebijakan keamanan harus ditegakkan dengan benar, ruangan server harus terus menerus terkunci. Ruang server harus menaati kebijakan tertutup rapat dan terkunci, dan siapa saja yang dapat keluar masuk ruangan server. Pasalnya merekalah orang yang dapat membuka dan menutup ruang server dan membolehkan akses sangat terbatas. Tanpa orang-orang ini, mustahil orang dapat masuk ruang server.

Ruang server adalah jantung pengolahan Tl perusahaan. Siapa yang dapat mengakses ruang server tersebut, akan ‘apat melakukan perusakan dan mengambil alih semua peralatan di ruang server seperti tersebut di atas. Dengan kata lain, bila ruang server sudah dibajak/disabotase, jantung dan nyawa Tl perusahaan sudah berpindah ke tangan pembajak tersebut. Apa saja dapat dilakukan bila sudah diambil alih oleh ereka.

2. Pasang peralatan surveillance.

Langkah pertama dengan mengunci ruang server adalah langkah yang terbaik. Tetapi bila orang bisa masuk dan memiliki wewenang toritas) untuk masuk, orang yang memiliki otoritas dapat enyalahgunakan wewenang tersebut untuk melakukan segala macam yang dia inginkan. Catatan log orang masuk dan keluar ruang server sebaiknya dilakukan dengan akses elektronik, sehingga bila mereka melakukan akses ke pintu ang server akan selalu tercatat dengan baik. Masuk dan luar kapan saja tercatat dalam log. Tetapi perlu diingat log japat memiliki beberapa kelemahan. Seorang ahli keamanan “ringan dengan niat jahat akan dapat memotong dan mengelabui catatan log tersebut, bahkan menghapusnya (covering the tracks).

Countermeasure: saat ini access code ke pintu-pintu mangan server dan catatan log elektronik sangat sulit untuk dikelabui karena menggunakan peralatan berbasis authentication yang kuat seperti smart card, pemindai iometric (seperti sidik jari), retina dan iris, pengenal wajah, pengenal suara bahkan sampai dengan pengenal bentuk dan ukuran tubuh. Tentu seluruh data pembanding untuk melakukan otorisasi harus di-input terlebih dahulu. Hanya karyawan yang memiliki akses ke ruangan server saja yang dapat masuk dan melakukan pekerjaan di ruangan tersebut. Karyawan dan keluarganya yang tidak berkepentingan akan ditolak (access control).

Kamera dan beberapa sensor yang diletakkan di ruang dan sudut-sudut server akan mempersulit gerakan orang asing tersebut untuk melakukan akses yang tidak diinginkan. Kamera dan hard disk akan merekam segala perbuatan detik per detik (terus-menerus) tanpa terlewatkan. Bahkan sensor yang canggih akan merekam adanya pergerakan di ruangan server tersebut dan mengirimkan gambar/video termasuk e-mall ke pusat control physical security (yang diawasi 24 jam oleh satpam perusahaan). Kamera video surveillance ditempatkan di lokasi yang sulit dijangkau, biasanya di tempat tinggi. Kamera ini bisa melakukan auto zoom in/out/vertical/ horlzonta. Kamera ini bahkan bisa dipasang di balik tembok/ kaca yang tidak diketahui oleh para penyusup.

3. Pastikan tidak ada celah (vulnerability) di peralatan yang sudah      terkunci.

Berbagai peralatan yang diletakkan di ruang server cenderung meyakinkan para user/admin bahwa semua peralatan aman dan tidak ada gangguan sama sekali. Namun, berhati-hatilah terhadap berbagai peralatan tersebut, karena setiap hardware dan software yang terletak di ruang server memiliki kemampuan untuk terhubung keluar ruangan, sebagai contoh: port USB dan port UTP (network). Belum lagi peralatan Wi-Fi dan Bluetooth, termasuk di dalamnya aktivitas file sharing, printer sharing dan lainnya yang dapat menjadi celah bagi intruder untuk melakukan eksploitasi ke server dan peralatan lainnya. Bila peralatan ini bocor maka efeknya seperti tangki air, pelan dan pasti air akan mencari jalan keluar. Kalau celah ini sudah tereksploitasi, hacker/intruder dapat masuk ke server untuk mengakses database dan aplikasi lainnya. Hacker yang smart/cerdik akan melakukan eksploitasi bertahun-tahun tanpa dapat diketahui oleh pemilik jaringan.

Countermeasure: admin dan para engineer jaringan komputer di ruang server sebaiknya berhati-hati terhadap segala peralatan yang dapat terhubung ke luar ruang server. Sebaiknya tutup port USB dan port ke storage server seperti NAS (network access server), termasuk SAN (storage area network), Wi-Fi, Bluetooth, cable modem fiber optic, satellite, dan lainnya. Paling tidak, lakukan pengawasan traffic yang keluar dari segala macam peralatan tersebut.

Di beberapa perusahaan, ada teguran terhadap karyawan menggunakan SP (surat peringatan) bila karyawan tersebut ketahuan dengan sengaja membawa peralatan seperti USB flashdlsk/thumbdrive, termasuk peralatan berbasis memori internal seperti HD eksternal, mobile phone dan pocket camera. Solusi selanjutnya adalah adanya locker untuk menampung BYOD (bring your own device) tersebut di ruang server.

(Bersambung ke edisi berikut)

Sumber : Info Komputer Juni 2016