Implikasi Etis dari Teknologi Informasi - SIM

MORAL, ETIKA DAN HUKUM

Dalam kehidupan sehari-hari, kita diarahkan oleh banyak pengaruh. Sebagai warga negara yang memiliki tanggung jawab sosial, kita ingin melakukan hal yang secara moral benar, berlaku etis, dan mematuhi hukum.

Ø  Moral

Moral adalah tradisi kepercayaan mengenai prilaku yang benar dan  yang salah, atau institusi sosial dengan sejarah dan seperangkat aturan.

Ø  Etika
Kata etika berasal dari bahasa Yunani ethos, yang berarti “karakter”. Etika (ethics) adalah sekumpulan kepercayaan, standar, atau teladan yang mengarahkan, yang merasuk ke dalam seseorang atau masyarakat.

Ø  Hukum

Hukum (law) adalah peraturan prilaku formal yang ditetapkan oleh otoritas yang berwenang, seperti pemerintah, terhadap subjek atau warga negaranya.

Undang-Undang komputer di Amerika Serikat

Setelah Undang-Undang komputer Amerika Serikat mulai diterapkan, Undang-Undang ini berfokus pada berbagai hak dan batasan yang berkaitan dengan akses data, khususnya data kredit dan data yang dipegang oleh pemerintah. Privasi, kejahatan komputer, dan peranti lunak merupakan fokus utama.

PRIVASI

Tidak lama setelah Undang-Undang kebebasan informasi (Freedom of Information Act) diterapkan, pemerintah federal merencanakan Undang-Undang Privasi Komunikasi Elektronik (Electronic Communication Privasi Act) tahun 1986. namun, Undang-Undang ini hanya mencakup komunikasi suara. Undang-Undang ini ditulis ulang tahun 1986 agar mencakup data digital, komunikasi video, dan surat elektronik.

KEJAHATAN KOMPUTER

Pada tahun 1984, Kongres Amerika Serikat  memperkuat Undang-Undang mengenai penggunaan komputer dengan mengeluarkan peraturan-peraturan yang secara khusus diterapkan pada kejahatan komputer :

•       Undang-Undang keamanan komputer Usaha Kecil dan pendidikan (The Small Business Computer Security and Education Act)

Undang-Undang Akses Palsu dan Kejahatan serta Penipuan  Melalui Komputer (Counterfeit Access Device and Computer Frand and Abu

PATEN PERANTI LUNAK

Pada bulan Juli 1988, Pengadilan Banding Federal Amerika Serikat (U.S.Court of Appeals for the Federal Circuit) memutuskan bahwa proses bisnis harus dipatenkan. Kasus ini kemudian dikenal dengan state street decision. Yang bermasalah pada saat itu adalah sebuah paket peranti lunak untuk mengolah reksa dana. Hingga saat itu, pengadilan selalu menetapkan bahwa peranti lunak tidak dapat dipatenkan karena 2 alasan :

(1)    Algoritma matematika tidak dapat dipatenkan.

(2)    Metode bisnis tidak dapat dipatenkan.

Undang-Undang Paten Peranti Lunak di Uni Eropa

Pada awal 2002, sebagai jawaban atas state street decision, yang telah mendorong banjirnya pendaftaran paten peranti lunak di Amerika Serikat dan akhirnya mempengaruhi perusahaan di Eropa, parlemen Uni Eropa (UE) mengusulkan agar standar paten peranti lunak yang lebih ketat dibandingkan standar di AS ditetapkan. Proposal ini mencetuskan berbagai diskusi dan tidak kesetujuan dan peraturan untuk patentabilitas penemuan yang diterapkan pada komputer akhirnya ditolak oleh parlemen EU pada bulan Juli 2005.

Undang-Undang Privasi Pribadi di Republik Rakyat Cina

Baik pemerintahan dan WN Cina semakin sadar akan kebutuhan untuk menentukan privasi pribadi. Salah satu masalah adalah istilah privasi seringkali memiliki konotasi yang negatif, karena di asosiasikan dengan seseorang yang menyembunyikan sesuatu. Para aktivis pribadi di Cina menuntut diadakannya peraturan yang akan melindungi data pribadi seperti tingkat pendapatan, pekerjaan, status pernikahan, sifat fisik dan bahkan alamat dan nomor telepon.

Pada saat ini, pemerintah RRC sedang berfokus untuk menetapkan peraturan penggunaan komputer dan internet. Peraturan-peraturan ini menyatakan bahwa penggunaan perangkat ini tidak boleh mengganggu “keamanan negara”, “kepentingan sosial”, “kepentingan WN yang berazaskan hukum” dan “privasi”. Namun hingga saat ini definisi dari istilah ini belum tersedia. Dalam menyusun argumen ini para aktivis mengidentifikasi UE dan AS sebagai model untuk Undang-Undang yang dibutuhkan.

Meletakan Moral, Etika dan Hukum pada tempatnya

Penggunaan komputer di dunia bisnis diarahkan oleh nilai moral dan etis manajer, spesialis informasi, dan pengguna, serta hukum yang berlaku. Hukum adalah yang termudah untuk diiterpretasikan karena bersifat tertulis. Tetapi etika tidak terdefinisi demikian tepat, dan mungkin bahkan tidak disetujui oleh semua anggota masyarakat. Wilayah etika komputer yang  kompleks inilah yang saat ini sangat banyak diperhatikan. Sisa bab ini akan berfokus pada penggunaan teknologi informasi secara etis.

Kebutuhan akan Budaya Etika

Opini yang dipegang secara luas di dunia bisnis adalah bahwa bisnis merefleksikan kepribadian dari pemimpinnnya. Sebagai contoh, pengaruh James Cash Penny pada JCPennyColonel John Patterson di national Cash Register (NCR), atau Thomas J Watson,Sr. di IBM menentukan kepribadiaan dari perusahaan-perusahaan tersebut. Di masa kini, CEO perusahaan seperti FedEx, Southwest Airlines, dan Microsoft memiliki pengaruh amat penting pada organisasinya sehingga masyarakat cenderung memandang perusahaan tersebut sebagai CEO-nya.

Keterkaiatan antara CEO dengan perusahaannya merupakan dasar untuk budaya etika. Jika perusahaan dituntut untuk berlaku etis, maka manajemen  tingkat tinggi harus bersikap etis dalam segala sesuatu yang dilakukan dan dikatakannya. Manajemen tingkat atas harus memimpin melalui contoh. Perilaku ini disebut dengan budaya etika (ethics culture).

Bagaimana Budaya Etika Diterapkan

Tugas dari manajemen tingkat atas adalah untuk meyakinkan bahwa konsep etikannya merasuk ke seluruh organisasi, dan turun ke jajaran bawah sehingga menyentuh setiap karyawan. Para eksekutif dapat mencapai implementasi ini melalui tiga tingkat, dalam bentuk kredo perusahaan, program etika, dan kode perusahaan yang telah disesuaikan.

•          Menetapkan Kredo Perusahaan

•          Menetapakan Program Etika

•          Menetapakan Kode Etik Perusahaan

Komitmen Terhadap Pelanggan, komitmen yang pertama adalah menyediakan  para pelanggan kami barang dan jasa berkualitas yang inovatif dan secara teknologi merespon kebutuhan mereka saat ini, pada harga yang disesuaikan.

Komitmen terhadap karyawan, komitmen yang kedua adalah menciptakan lingkungan untuk karyawan kami yang mendorong pertumbuhan profesional, mendorong masing-masing individu meraih potensi yang tertinggi, serta mendorong tanggung jawab dan kreativitas individu.

Komitmen karyawan terhadap Security Pacific, komitmen yang ketiga adalah sebagai karyawan kami berusaha memahami dan mematuhi kebijakan dan tujuan perusahaan, berlaku profesional, dan memberikan upaya terbaik kami untuk meningkatkan  Security Pacific.

Komitmen dari karyawan ke karyawan, komitmen yang keempat adalah kami harus berkomitmen untuk meningkatkan iklim saling menghormati, integritas, dan hubungan profesional yang dicirikan oleh komunikasi yang terbuka dan jujurdi dalam dan di semua tingkat organisasi.

Komiten terhadap masyarakat, komitmen yang kelima dari Security Pacific adalah terhadap masyarakat yang kami layani. Kami harus terus berusaha meningkatkan kualitas hidup melalui dukungan kami terhadap berbagai organisasi dan proyek masyarakat.

Komitmen terhadap pemegang saham, komitmen yang keenam dari south pacific adalh terhadap para pemegang saham. Kami akan berusaha untuk memberikan pertumbuhan yang konsisten dan tingkat keuntungan terhadap investasi yang superior, untuk menjaga reputasi dan lain-lain.

1)      Kredo Perusahaan

Pernyataan singkat mengenai nilai-nilai yang ingin dijunjung perusahaan, Tujuan kredo tersebut adalah untuk memberitahu individu dan organisasi, baik di dalam dan di luar perusahaan, akan nilai-nilai etis yang dianut perusahaan tersebut.

2)      Program Etika

Upaya yang terdiri atas berbagai aktivitas yang didesain untuk memberikan petunjuk kepada para karyawan untuk menjalankan kredo perusahaan.

Contoh dari program etika adalah audit etika.

»        Audit Etika

Pertemuan antara auditor internal dan manajer dengan tujuan untuk mempelajaribagaimana unit manajer tersebut melaksanakan perusahaan.

Contoh, auditor dapat bertanya kepada manajer penjualan, “Pernahkah terdapat kejadian di mana kita kehilangan kesempatan usaha karena kita tidak memberikan hadiah untuk penjualan?”.

3)      Kode Perusahaan Yang Disesuaikan

Banyak perusahaan yang merancang sendiri kode etik perusahaan mereka. Terkadang kode-kode etik ini merupakan adaptasi dari kode untuk industri atau profesi tertentu. Di bab yang akan datang kita akan mempelajari kode etik untuk profesi sistem informasi.

ALASAN DI BALIK ETIKA KOMPUTER

James H. Moor mendefinisikan etika komputer sebagai analisis sifat dan dampak sosial teknologi komputer serta perumusan dan justifikasi dari kebijakan-kebijakan yang terkait untuk penggunaan teknologi tersebut secara etis. Dengan demikian, etika komputer terdiri atas dua aktivitas utama. Orang di perusahaan yang merupakan pilihan yang logis untuk menerapakan program etika ini adalah CIO. Seorang CIO harus (1) menyadari dampak penggunaan komputer terhadap masyarakat dan (2) merumuskan kebijakan yang menjaga agar teknologi tersebut digunakan di seluruh perusahaan secara etis.

Satu hal amatlah penting : CIO tidak menanggung tanggung jawab manajerial untuk penggunaan komputer secara etis sendiriaan. Eksekutif-eksekutif lain juga harus memberikan konstribusi. Keterlibatan di seluruh perusahaan ini merupakan kebutuhan absolut dalam era komputasi pengguna akhir masa kini, di mana para manajer di semua wilayah bertanggung jawab untuk menggunakan komputer di wilayah mereka secara etis. Selain para manajer, seluruh karyawan bertanggung jawab untuk tindakan mereka yang berkaitan dengan komputer.

Alasan Pentingnya Etika Komputer

James Moor mengidentifikasikan tiga alasan utama di balik minat masyarakat yang tinggi akan etika komputer :

ü  Kelenturan secara logis

ü  Faktor transformasi

ü  Faktor ketidaktampakan

Kelenturan secara logis

Moor mengartikan kelenturan secara logis sebagai kemampuan untuk memprogram komputer untuk melakukan hampir apa saja yang ingin kita lakukan. Komputer akan melakukan tepat seperti apa yang diinstruksikan oleh si programer, dan hal ini bisa menjadi pikiran yang menakutkan. Tetapi, jika komputer digunakan untuk melakukan kegiatan yang tidak etis bahayanya bukan terletak pada komputer tersebut, melainkan orang-orang yang berada di balik komputer tersebutlah yang bersalah. Jadi, dari pada merasa khawatir bahwa komputer akan digunakan secara tidak etis, masyarakat harus lebih khawatir pada orang-orang yang mengatur komputer tersebut

Faktor Transformasi

Alasan atas etika komputer yang ini didasarkan pada fakta bahwa komputer dapat mengubah cara kita mengerjakan sesuatu dengan drastis. Salah satu contoh yang baik adalah email. Email tidak menggantikan surat biasa atau sambungan telepon melainkan menyediakan cara berkomunikasi yang benar-benar baru. transformasi yang sama juga dapat dilihat pada cara manajer melaksanakan pertemuan. Jika dulu para manajer harus berkumpul secara fisik di lokasi yang sama, kini mereka dapat mengadakan pertemuan dalam bentuk konferensi video.

Faktor Ketidaktampakan

Alasan ketiga untuk minat masyarakat atas etika komputer adalah karena masyarakat memandang komputer sebagai kotak hitam. Seluruh operasi internal komputer tersebut tersembunyi dari penglihatan. Ketidaktampakan operasi internal ini memberikan kesempatan terjadinya nilai-nilai pemprograman yang tidak tampak, perhitungan rumit yang tidak tampak dan penyalahgunaan yang tidak tampak.

Hak Sosial dan Komputer

Masyarakat tidak hanya mengarapkan pemerintah dan dunia usaha untuk menggunakan komputer secara etis, namun juga menuntut beberapa hak yang berhubungan dengan komputer. Klasifikasi hak-hak manusia dalam wilayah komputer yang paling banyak dipublikasikan adalah PAPA rancangan Richard O. Mason. Mason menciptakan akronim PAPA untuk merepresentasikan empat hak dasar masyarakat sehubungan dengan informasi : privasi (privacy), akurasi (accuracy), kepemilikan (property), aksesibilitas (accessibility).

Hak privasi

Hakim Mahkamah Agung Amerika Serikat, Louis Braindeis dikenal karena memperkenalkan “hak agar di biarkan sendiri”. Mason merasa bahwa hak ini terancam oleh dua hal. Yang pertama adalah meningkatnya kemampuan komputer untuk digunakan dalam kegiatan mata-mata. Yang kedua adalah meningkatkan nilai informasi dalam proses pengambilan keputusan. Pemerintah federal menjawab sebagian dari masalah ini dalam Undang-Undang privasi tahun 1974 namun, undang-undang ini hanya mencakup pelanggaran yang dilakukan pemerintah.

Menurut Mason, para pembuat keputusan menempatkan nilai yang amat tinggi pada informasi sehingga mereka sering kali melanggar hak privasi seseorang untuk mendapatkannya. Para peneliti pemasaran sering kali ditemukan menyelidiki tempat sampah orang lain untuk mempelajari produk apa yang mereka beli,dan penjabat pemerintahan sering kali menempatkan monitor di toilet untuk mengumpulkan data statistik lalu lintas yang akan digunakan untuk menjustifikasi perluasan fasilitas tersebut.

Hal ini merupakan contoh dari pengintaian  yang tidak menggunakan komputer dapat digunakan untuk tujuan ini, namun tidak sadar akan kemudahan di mana data pribadi dapat diakses khususnya menggunakan internet.

Hak untuk Mendapatkan Keakuratan

Komputer memungkinkan tingkat keakuratan yang tidak dapat dicapai dengan sistem nonkomputer. Potensi ini memang tersedia, namun  tidak selalu didapatkan. Beberapa sistem berbasiskan komputer berisiskan lebih banyak kesalahan dari pada yang diberikan sistem manual.

-          Hak Kepemilikan

Di sini yang dibahas adalah hak kepemilikan intelektual, biasanya dalam bentuk program komputer. Vendor peranti lunak dapat menghindari pencurian hak kepemilikan intelektual melalui Undang-Undang hak cipta, hak paten, dan persetujuan lisensi. Hingga tahun 1980-an, peranti lunak tidak dilindungi oleh hak cipta atau hukum paten. Sekarang, keduanya dapt digunakan  untuk memberikan pelindungan. Hak paten khusunya memberikan perlindungan yang kuat di negara-negara di mana hukum ini diterapkan, di man suatu tiruan yang sempurna akan versi yang asli tidak harus diperoleh untuk mendapatkan pengakuan perlindungan hak cipta ini.

-          Hak Mendapatkan Akses

Sebelum diperkenalkanya basis data yang terkomputerisasi, kebanyakan informasi tersedia untuk masyarakat umum dalam bentuk dokumen cetak atau gambar mikro format  yang disimpan di perpustakaan. Informasi ini berisikan berita, hasil penelitian ilmiah, statistik pemerintah  dan lain-lain. Sekarang, kebanyakan informasi ini telah di konversikan ke basis data komersial, sehingga membuat ketersediannya  untuk masyarakat berkurang. Untuk mengakases informasi ini, seseorang harus memiliki peranti keras dan peranti lunak komputer yang diharuskan dan membayar biaya akses. Mengigat komputer dapat mengakses data dari penyimpanan lebih cepat dan lebih mudah dibandingkan jenis teknologi lain, ironis bahwa hak mendapatkan akses menjadi isu etika era modern.

 

AUDIT INFORMASI

Saat menyusun etika penggunaan komputer, satu kelompok dapat memegang peranan yang amat penting. Mereka adalah para auditor internal.  Perusahaan dengan semua ukuran mengandalkan auditor eksternal (exsternal auditor) dari luar organisasi untuk memverifikasi keakuratan catatan akuntansi. Perusahaan-perusahaan yang lebih besar memiliki  staf tersendiri yang berfungsi sebagai auditor internal (internal auditor), yang melaksanakan analisis yang sama seperti auditor eksternal namun memiliki tanggung jawab yang lebih luas. Beberapa auditor eksternal juga melaksanakan beberapa jenis audit internal dan mengawasi pekerjaan para auditor internal, namun setelah peristiwa Enron praktik ini tidak berlanjut.

Pentingnya Objektivitas

Hal unik yang ditawarkan oleh auditor internal adalah objektivitas. Mereka beroperasi secara independen terhadap unit-unit bisnis perusahaan dan tidak memiliki hubungan dengan individu atau kelompok lain di dalam perusahaan. Keterlibatan mereka satu-satunya adalah dengan dewan komisaris, CEO, dan CFO.

Agar para auditor dapat menjaga objektivitas, mereka harus menyatakan bahwa mereka tidak mengiginkan tanggung jawab operasional sistem yang mereka bantu kembangkan. Mereka hanya bekerja dengan kapasitas ssebagai penasihat. Mereka membuat rekomendasi untuk manajemen, dan manajemen memutuskan apakah mereka akan menerapakan rekomendasi-rekomendasi tersebut.

Jenis Aktivitas Audit

Audit Finansial (Financial Audit), memverifikasi catatan-catatan perusahaan dan merupakan jenis aktivitas yang dilaksanakan auditor eksternal.

Audit Operasional (Operational Audit), tidak dilaksanakan untuk memverifikasi keakuratan catatan, melainkan untuk memvalidasi efektivitas produksi. Ketika para auditor internal melaksanakan audit operasional, mereka mencari tiga fitur sistem dasar :

a)      Kecukupan pengendalian

b)      Efisiensi

c)       Kepatuhan dengan kebijakan perusahaan

d)      Audit Berkelanjutan (Concurrent Audit), sama dengan audit operasional tetapi audit berkelanjutan berlangsung terus-menerus. Sebagai contoh, audit internal dapat memilih secara acak karyawan dan memberikan slip gaji kepada mereka tanpa menggunakan sistem  surat-menyurat perusahaan. Prosedur ini menjaga agar nama di catatan pembayaran gaji mewakili karyawan sungguhan dan bukanlah entri fiktif yang dibuat seorang penyelia (supervisor) curang yang ingin mendapatkan gaji lebih.

MENERAPKAN ETIKA  DALAM TEKNOLOGI INFORMASI

Perusahaan tidak harus mengusahakan semua pekerjaan sendiri. Bantuan dalam bentuk kode etik  dan program edukasi etika yang dapat memberikan  fondasi untuk budaya tersebut. Program edukasi dapat membantu menyusun kredo perusahaan dan meletakan program etika pada tempatnya. Kode etik dapat digunakan seperti apa adanya atau disesuaikan dengan perusahaan tersebut.

Kode etik

ACM (Association for Computting Machinery) yang didirikan pada tahun 1947, adalah sebuah organisasi komputer profesional tertua di dunia. ACM telah menyusun kode etik dan perilaku profesionaln yang diharapkan diikuti oleh 80.000 anggotanya. Selain itu, kode etik dan praktik profesional rekayasa peranti lunak  dibuat dengan tujuan agar bertindak sebagai panduan untuk mengajarkan dan mempraktikan rekayasa peranti lunak, yaitu penggunaan prinsip-prinsip rancangan dalam pengembangan peranti lunak.

Bentuk kode etik ACM yang ada saat ini diadopsi pada tahun 1992 dan berisikan “keharusan”, yang merupakan pernyataan tanggung jawab pribadi. Kode ini dibagi menjadi empat bagian yaitu :

1. Keharusan Moral Umum.
2. Tanggung Jawab Profesional yang Lebih Umum.
3. Keharusan Kepemimpinan Organisasi.
4. Kepatuhan terhadap Kode.

Kode Etik dan Praktik Profesional Rekayasa Peranti Lunak

Kode ini mencatat pengaruh penting yang dapat diterapkan para ahli peranti lunak pada sistem dan terdiri ekspektasi di delapan hal penting :

1. Masyarakat
2. Klien dan Atasan
3. Produk
4. Penilaian
5. Manajemen
6. Profesi
7. Kolega
8. Diri Sendiri

ETIKA DAN CIO

Sejak Tahun 2002, para CEO dan CFO diharuskan oleh hukum untuk menandatangani keakuratan laporan keuangan mereka. Persyaratan ini meletakan tanggung jawab di bahu para eksekutif serta unit pelayanan informasi perusahaan dan unit pelayanan informasi yang berkenaan dengan bisnis untuk memberikan informasi finansial yang dibutuhkan kepada para Eksekutif. Pelayanan informasi hanyalah merupakan satu unit di dalam struktur organisasi, namun berada pada posisi kunci yang memiliki pengaruh terbesar dalam memenuhi tuntutan pemerintah maupun masyarakat akan pelaporan keuangan yang akurat.

CIO dapat memenuhi ekspektasi pelaporan keuangan dengan cara mengikuti program yang mencakup hal-hal berikut :

•       Mencapai tingkat pemahaman yang lebih baik akan pemahaman prinsip-prinsip akuntansi.

•       Mempelajari sistem informasi yang menyelesaikan laporan keuangan dan mengambil tindakan perbaikan.

•       Mendidik eksekutif perusahaan mengenai sistem-sistem keuangan.

•       Mengintegrasikan ke dalam sistem informasi alarm yang memperingatkan eksekutif  terhadap aktivitas  yang membutuhkan perhatian.

•       Secara aktif berpartisipasi di dalm memberikan informasi keuangan kepada elemen lingkungan.

•       Mengendalikan dengan ketat keuangan yang dihabiskan oleh sumber daya informasi.

PENGARUH SARBANES-OXLEY

Jika dahulu sebelum tahun  2002 tidak ada alasan yang kuat mengapa CIO menjadi mercusuar integritas informasi di dalam perusahaan, sekarang alasan itu sudah ada. Untuk merespon skandal keuangan perusahaan di Enron, WorldCon (sekarang MCI), HealthSouth, dan Tyco, Kongres Amerika Serikat mengeluarkan Undang-Undang  Sarbanes-Oxley (secara resm dinamai Undang-Undang Perlindungan Investor dan Reformasi Akuntansi Perusahaan Publik tahun2002). Proposal undang-undang ini disetujui oleh DPR 423-3 dan Senat 99-0, dan disahkan oleh Presiden Bush pada tanggal 30 Juli 2002. Tujuan dari Sarbanes-Oxley, yang dikenal sebagai SOX, adalah untuk melindungi para investor dengan cara membuat eksekutif perusahaan bertanggung jawab secara pribadi atas informasi keuangan yang diberikan ke lingkungan perusahaan, khususnya pemegang saham dan komunitas keuangan.

SOX terdiri atas 10 pasal utama, 2 diantaranya secara langsung memenuhi unit pelayanan informasi perusahaan :

• CEO dan CFO  harus menandatangani laporan keuangan.
• Perusahaan-perusahaan Amerika Serikat diisyaratkan untuk memiliki unit audit internal. 

Sistem Informasi Manajemen : Bab 10 Keamanan Sistem Informasi

Pada zaman yang semakin modern sistem informasi selalu berada dalam kerentanan penyalahgunaan oleh pihak lain yang mampu menembus beberapa tingkatan pengamanan yang ada dalam sebuah sistem. Selalu saja ada kejahatan yang terjadi dalam penyalahgunaan sistem informasi. Dewasa ini seiring berkembangnya ilmu pengetahuan khususnya dalam teknologi informasi menyebabkan banyak cara yang muncul dalam membobol suatu sistem informasi milik orang lain.

Dalam hal ini dibutuhkan perlindungan dalam suatu sistem informasi. Laudon menuliskan bahwa pengamanan adalah merujuk kepada kebijakan, prosedur, dan pengukuran teknik yang digunakan untuk mencegah akses yang tidak sah, penggantian, pencurian, atau kerusakan fisik pada sistem informasi. Sedangkan pengendalian terdiri atas semua metode, kebijakan, dan prosedur organisasi yang menjamin keselamatan aset-aset organisasi, ketepatan, dan keandalan catatan rekeningnya serta kepatuhan operasional pada standar-standar manajemen.

Sistem informasi harus memiliki pengamanan dan pengendalian agar tidak terjadi pencurian dan penyalahgunaan terhadap data dari suatu sistem informasi yang dapat menyebabkan kerugian bagi seseorang. Dengan adanya pengamanan dan pengendalian tentu akan meminimalisir terjadinya penyalahgunaan yang dimiliki oleh seseorang.

Apa itu keamanan informasi?

Yaitu adanya suatu pencegahan dari virus, hacker, cracker, dan lain – lain. Kalau membicarakan ini biasanya ada resiko yang terjadi pada sistem tersebut. Menurut pengertian Para Ahli:

Menurut G. J. Simons, keamanan informasi adalah bagaimana kita dapat mencegah penipuan (cheating) atau, paling tidak, mendeteksi adanya penipuan di sebuah sistem yang berbasis informasi, dimana informasinya sendiri tidak memiliki arti fisik.

Dari penjelasan tentang sistem keamanan saya akan menjelaskan 2 masalah utama, yaitu:

1. Threat (ancaman) atas sistem

2. Vulnerability (kelemahan) atas sistem

Masalah tersebut pada gilirannya berdampak kepada 6 hal yang utama dalam sistem informasi, yaitu:

§ Efektifitas

§ Efisiensi

§ Kerahasiaan

§ Integritas

§ Keberadaan (availability)

§ Kepatuhan (compliance)

§ Keandalan (reability)

Untuk menjamin hal tersebut maka keamanan sistem informasi baru dapat terkriteriakan dengan baik. Adapun kriteria yag perlu di perhatikan dalam masalah keamanan sistem informasi membutuhkan 10 domain keamanan yang perlu di perhatikan yaitu :

1) Akses kontrol sistem yang digunakan.

2) Telekomunikasi dan jaringan yang dipakai.

3) Manajemen praktis yang di pakai.

4) Pengembangan sistem aplikasi yang digunakan.

5) Cryptographs yang diterapkan.

6) Arsitektur dari sistem informasi yang diterapkan.

7) Pengoperasian yang ada.

8) Busineess Continuity Plan (BCP) dan Disaster Recovery Plan (DRP).

9) Kebutuhan Hukum, bentuk investigasi dan kode etik yang diterapkan.

10) Tata letak fisik dari sistem yang ada.


Ancaman Sistem Keamanan Informasi

Ancaman adalah aksi yang terjadi baik dari dalam sistem maupun dari luar sistem yang dapat mengganggu keseimbangan sistem informasi. Ancaman yang mungkin timbul dari kegiatan pengolahan informasi berasal dari 3 hal utama, yaitu :

1. Ancaman Alam

2. Ancaman Manusia

3. Ancaman Lingkungan


Ancaman Alam

Yang termasuk dalam kategori ancaman alam terdiri atas :

• Ancaman air, seperti : Banjir, Stunami, Intrusi air laut, kelembaban tinggi, badai, pencairan

salju

• Ancaman Tanah, seperti : Longsor, Gempa bumi, gunung meletus

• Ancaman Alam lain, seperti : Kebakaran hutan, Petir, tornado, angin ribut

Ancaman Manusia

Yang dapat dikategorikan sebagai ancaman manusia, diantaranya adalah :

• Malicious code

• Virus, Logic bombs, Trojan horse, Worm, active contents, Countermeasures

• Social engineering

• Hacking, cracking, akses ke sistem oleh orang yang tidak berhak, DDOS, backdoor

• Kriminal

• Pencurian, penipuan, penyuapan, pengkopian tanpa ijin, perusakan

• Teroris

• Peledakan, Surat kaleng, perang informasi, perusakan


Ancaman Lingkungan

Yang dapat dikategorikan sebagai ancaman lingkungan seperti :

• Penurunan tegangan listrik atau kenaikan tegangan listrik secara tiba-tiba dan dalam jangka

waktu yang cukup lama.

• Polusi

• Efek bahan kimia seperti semprotan obat pembunuh serangga, semprotan anti api, dll.

• Kebocoran seperti A/C, atap bocor saat hujan.


Ancaman aktif mencakup kecurangan dan kejahatan terhadap komputer Ancaman pasif mencakup kegagalan sistem, kesalahan manusia, dan bencana alam. Tipe – tipe ancaman terhadap keamanan sistem dapat dimodelkan dengan memandang fungsi sistem komputer sebagai penyedia informasi.

Berdasarkan fungsi ini, ancaman terhadap sistem komputer dapat dikategorikan menjadi empat ancaman, yaitu :


Ø Interupsi (interuption)

Sumber daya sistem komputer dihancurkan atau menjadi tak tersedia atau tak berguna. Interupsi merupakan ancaman terhadap ketersediaan.

Contoh : penghancuran bagian perangkat keras, seperti harddisk, pemotongan kabel komunikasi.

Ø Intersepsi (interception)

Pihak tak diotorisasi dapat mengakses sumber daya. Interupsi merupakan ancaman terhadap kerahasiaan. Pihak tak diotorisasi dapat berupa orang atau program komputer.

Contoh : penyadapan untuk mengambil data rahasia, mengetahui file tanpa diotorisasi.

Ø Modifikasi (modification)

Pihak tak diotorisasi tidak hanya mengakses tapi juga merusak sumber daya. Modifikasi merupakan ancaman terhadap integritas.

Contoh : mengubah nilai-nilai file data, mengubah program sehingga bertindak secara berbeda, memodifikasi pesan-pesan yang ditransmisikan pada jaringan

Ø Fabrikasi (fabrication)

Pihak tak diotorisasi menyisipkan/memasukkan objek-objek palsu ke sistem. Fabrikasi merupakan ancaman terhadap integritas.

Contoh : memasukkan pesan-pesan palsu ke jaringan, penambahan record ke file.


Kejahatan Komputer dan Terorisme Maya.

Pencurian Identitas adalah pencurian bagian kuncul dari informasi pribadi atau kejahatan di mana seorang penipu mendapatkan informasi yang penting, seperti kartu kredit atau nomor jaminan sosial dengan tujuan mendapatkan layanan atas nama korban atau untuk mendapatkan data rahasia yang tidak tepat. Pencurian identitas telah berkembang pesat di internet. file kartu kredit adalah sasaran utama para hacker situs web. Situs e-commerce adalah sumber informasi pribadi yang luar biasa karena menyimpan nama, alamat, dan nomor telepon.

• Phising adalah bentuk penipuan melibatkan pembuatan halaman situs palsu atau pesan elektronik (e-mail) seolah-olah berasal dari pihak yang sah dan menanyakan data pribadi yang rahasia. Pharming adalah Teknik phising yang mengarahkan pengguna ke halaman situs web palsu, bahkan saat seseorang mengetikkan alamat halaman situs yang seharusnya.
  
• Click Fraud (penipuan lewat klik) adalah : mengklik dengan curang iklan online berbayar untuk mengahasilkan biaya per klik yang tak semestinya. Penipuan lewat klik terjadi seseorang atau program computer dengan curang mengeklik sebuah iklan online tanpa maksud mempelajari lebih lanjut tentang pemasangan iklannya atau melakukan pembelian.
  
• Terorisme maya dan perang maya , semakin besar perhatian difokuskan pada kerentanan internet arau jaringan lainnya yang dapat dimanfaatkan oleh teroris, badan intel luar negeri atau kelompok lain untuk menciptakan gangguan dan bahaya luas. Serangan maya seperti itu sasaranya mungkin berupa perantik lunak yang menjalankan pembagian listrik, mengendalikan lalu lintas udara atau jaringan bank-bank aatau institusi keunagan besar.

Besar kecilnya suatu ancaman dari sumber ancaman yang teridentifikasi atau belum teridentifikasi dengan jelas tersebut, perlu di klasifikasikan secara matriks ancaman sehingga kemungkinan yang timbul dari ancaman tersebut dapat di minimalisir dengan pasti. Setiap ancaman tersebut memiliki probabilitas serangan yang beragam baik dapat terprediksi maupun tidak dapat terprediksikan seperti terjadinya gempa bumi yang mengakibatkan sistem informasi mengalami mall function.


Kelemahan Sistem Keamanan Informasi

Adalah cacat atau kelemahan dari suatu sistem yang mungkin timbul pada saat mendesain, menetapkan prosedur, mengimplementasikan maupun kelemahan atas sistem kontrol yang ada sehingga memicu tindakan pelanggaran oleh pelaku yang mencoba menyusup terhadap sistem tersebut. Cacat sistem bisa terjadi pada prosedur, peralatan, maupun perangkat lunak yang dimiliki, contoh yang mungkin terjadi seperti : Seting firewall yang membuka telnet sehingga dapat diakses dari luar, atau Seting VPN yang tidak di ikuti oleh penerapan kerberos atau NAT.

Suatu pendekatan keamanan sistem informasi minimal menggunakan 3 pendekatan, yaitu :

1. Pendekatan preventif yang bersifat mencegah dari kemungkinan terjadikan ancaman dan

kelemahan.

2. Pendekatan detective yang bersifat mendeteksi dari adanya penyusupan dan proses yang

mengubah sistem dari keadaan normal menjadi keadaan abnormal.

3. Pendekatan Corrective yang bersifat mengkoreksi keadaan sistem yang sudah tidak

seimbang untuk dikembalikan dalam keadaan normal.

Tindakan tersebutlah menjadikan bahwa keamanan sistem informasi tidak dilihat hanya dari kacamata timbulnya serangan dari virus, mallware, spy ware dan masalah lain, akan tetapi dilihat dari berbagai segi sesuai dengan domain keamanan sistem itu sendiri.


Ancaman Virus Sistem Keamanan Informasi

Ancaman yang paling terkenal dalam keamanan sistem informasi adalah virus. Virus adalah sebuah program komputer yang dapat mereplikasi dirinya sendiri tanpa pengetahuan pengguna. Ancaman dalam sistem informasi merupakan serangan yang dapat muncul pada sistem yang digunakan. Serangan dapat diartikan sebagai “tindakan yang dilakukan dengan menggunakan metode dan teknik tertentu dengan berbagai tools yang diperlukansesuai dengan kebutuhan yang disesuaikan dengan objek serangan tertentu baikmenggunakan serangan terarah maupun acak“.

Serangan yang terjadi terhadap sebuah sistem jaringan dikalangan praktisi lazim sering disebut dengan penetration. Dalam materi keamanan sistem dikenal sangat banyak dan beragam teknik serangan terhadap sebuah sistem sesuai dengan sifat dan karakteristiknya. Teknik serangan semakin lama semakin canggih dan sangat sulit di prediksi dan dideteksi.Beberapa contoh serangan yang dapat mengancam sebuah sistem adalah sebagai berikut :

Virus

Virus dikenal sejak kemunculannya pertama kali pada pertengahan tahun 1980-an, virus berkembang pesat seiring dengan pesatnya perkembangan teknologi komputer. Virus selalu menemukan dan menyesuaikan diri untuk menyebarkan dirinya dengan berbagai macam cara. Pada dasarnya, virus merupakan program komputer yang bersifat “malicious” (memiliki tujuan merugikan maupun bersifat mengganggu pengguna sistem) yang dapat menginfeksi satu atau lebih sistem komputer melalui berbagai cara penularan yang dipicu oleh otorasisasi atau keterlibatan “user” sebagai pengguna komputer. Kerusakan yang dapat ditimbulkan pun bermacam-macam mulai dari yang mengesalkan sampai kepada jenis kerusakan yang bersifat merugikan dalam hal finansial. Dilihat dari cara kerjanya, virus dapat dikelompokkan sebagai berikut:

- Overwriting Virus.

- Prepending Virus.

- Appending Virus.

- File Infector Virus.

- Boot Sector Virus.

- Multipartite Virus.

- Macro Virus.


Pengendalian Sistem Informasi

Berkaitan dengan sistem informasi, maka diperlukan tindakan berupa pengendalian terhadap sistem informasi.

Kontrol-kontrol terhadap sistem Informasi antara lain :

Kontrol Administratif

Kontrol administratif dimaksudkan untuk menjamin bahwa seluruh kerangka control dilaksanakan sepenuhnya dalam organisasi berdasarkan prosedur-prosedur yang jelas.

Kontrol ini mencakup hal-hal berikut:

Mempublikasikan kebijakan control yang membuat semua pengendalian sistem informasi dapat dilaksanakan dengan jelas dan serius oleh semua pihak dalam organisasi.

Prosedur yang bersifat formal dan standar pengoperasian disosialisasikan dan dilaksanakan dengan tegas. Termasuk hal ini adalah proses pengembangan sistem, prosedur untuk backup, pemulihan data, dan manajemen pengarsipan data.

Perekrutan pegawai secara berhati-hati yang diikuti dengan orientasi pembinaan, dan pelatihan yang diperlukan.

Supervisi terhadap para pegawai. Termasuk pula cara melakukan control kalau pegawai melakukan penyimpangan terhadap yang diharapkan.

Pemisahan tugas-tugas dalam pekerjaan dengan tujuan agar tak seorangpun yang dapat menguasai suatu proses yang lengkap. Sebagai contoh, seorang pemrogram harus diusahakan tidak mempunyai akses terhadap data produksi (operasional) agar tidak memberikan kesempatan untuk melakukan kecurangan.

Kontrol Pengembangan dan Pengendalian Sistem

Untuk melindungi kontrol ini, peran auditor sangat sistem informasi sangatlah penting. Auditor system informasi harus dilibatkan dari masa pengembangan hingga pemeliharaan system, untuk memastikan bahwa system benar-benar terkendali, termasuk dalam hal otorisasi pemakai system. Aplikasi dilengkapi dengan audit trail sehingga kronologi transaksi mudah untuk ditelusuri.

Kontrol Operasi

Kontrol operasi dimaksudkan agar system beroperasi sesuai dengan yang diharapkan.

Termasuk dalam kontrol ini:

Pembatasan akan akses terhadap data

Akses terhadap ruangan yang menjadi pusat data dibatasi sesuai dengan wewenang yang telah ditentukan. Setiap orang yang memasuki ruangan ini harus diidentifikasi dengan benar. Terkadang ruangan ini dipasangi dengan CTV untuk merekam siapa saja yang pernah memilikinya

Kontrol terhadap personel pengoperasi

Dokumen yang berisi prosedur-prosedur harus disediakan dan berisi pesoman-pedoman untuk melakukan suatu pekerjaan. Pedoman-pedoman ini arus dijalankan dengan tegas. Selain itu, [ara [ersonel yang bertugas dalam pengawasan operasi sistem perlu memastikan bahwa catatan-catatan dalam sistem komputer (system log) benar-benar terpelihara.

Kontrol terhadap peralatan

Kontrol terhadap peralatan-peralatan perlu dilakukan secara berkala dengan tujuan agar kegagalan peralatan dapat diminimumkan.

Kontrol terhadap penyimpanan arsip

Kontrol ini untuk memastikan bahwa setiap pita magnetic yang digunakan untuk pengarsipan telah diberi label dengan benar dan disimpan dengan tata cara yang sesuai

Pengendalian terhadap virus

Untuk mengurangi terjangkitnya virus, administrator sistem harus melakukan tiga kontrol berupa preventif, detektif, dan korektif.

Proteksi fisik terhadap pusat data

Untuk menjaga hal-hal yangtidak diinginkan terhadap pusat data, factor lingkungan yang menyangkut suhu, kebersihan, kelembaban udara, bahaya banjir, dan keamanan fisik ruangan perlu diperhatikan dengan benar. Peralatan-peralatan yang berhubungan dengan faktor-faktor tersebut perlu dipantau dengan baik.

Untuk mengantisipasi segala kegagalan sumber daya listrik, biasa digunakan UPS. Dengan adanya peralatan ini, masih ada kesempatan beberapa menit sampai satu jam bagi personil yang bertanggung jawab untuk melakukan tindakan-tindakan seperti memberikan peringatan pada pemakai untuk segera menghentikan aktivitas yang berhubungan dengan sistem komputer. Sekiranya sistem memerlukan operasi yang tidak boleh diputus, misalnya pelayanan dalam rumah sakit, sistem harus dilengkapi generator listrik tersendiri.

Kontrol Perangkat Keras

Untuk mengatisipasi kegagalan sistem komputer, terkadang organisasi menerapkan sistem komputer yang berbasis fault-tolerant (toleran terhadap kegagalan). Sistem ini dapat berjalan sekalipun terdapat gangguan pada komponen-komponennya. Pada sistem ini, jika komponen dalam sistem mengalami kegagalan maka komponen cadangan atau kembarannya segera mengambil alih peran komponen yang rusak dan sistem dapat melanjutkan operasinya tanpa atau dengan sedikit interupsi.

Sistem fault-tolerant dapat diterapkan pada lima level, yaitu pada komunikasi jaringan, prosesor, penyimpan eksternal, catu daya, dan transaksi. Toleransi kegagalan terhadap jaringan dilakukan dengan menduplikasi jalur komunikasi dan prosesor komunikasi. Redundasi prosesor dilakukan antaralain dengan teknik watchdog processor, yang akan mengambil alih prosesor yang bermasalah.

Toleransi terhadap kegagalan pada penyimpan eksternal antara lain dilakukan melalui disk memoring atau disk shadowing, yang menggunakan teknik dengan menulis seluruh data ke dua disk secara pararel. Jika salah satu disk mengalami kegagalan, program aplikasi tetap bisa berjalan dengan menggunakan disk yang masih bai. Toleransi kegagalan pada catu daya diatasi melalui UPS. Toleransi kegagalan pada level transaksi ditanganimelalui mekanisme basis data yang disebut rollback, yang akan mengembalikan ke keadaan semula yaitu keadaan seperti sebelum transaksi dimulai sekiranya di pertengahan pemrosesan transaksi terjadi kegagalan.

Kontrol Akses Terhadap Sistem Komputer

Untuk melakukan pembatasan akses terhadap sistem, setiap pemakai sistem diberi otorisasi yang berbeda-beda. Setiap pemakai dilengkapi dengan nama pemakai dan password. Password bersifat rahasia sehingga diharapkan hanya pemiliknyalah yang tahu password-nya. Setelah pemakai berhasil masuk ke dalam sistem (login), pemakai akan mendapatkan hak akses sesuai dengan otoritas yang telah ditentukan. Terkadang, pemakai juga dibatasi oleh waktu. Kontrol akses juga bisa berbentuk kontrol akses berkas. Sebagai contoh, administrator basis data mengatur agar pemakai X bisa mengubah data A, tetapi pemakai Y hanya bisa membaca isi berkas tersebut.

Kontrol Terhadap Sistem Informasi

Ada kemungkinan bahwa seseorang yang tak berhak terhadap suatu informasi berhasil membaca informasi tersebut melalui jaringan (dengan menggunakan teknik sniffer). Untuk mengantisipasi keadaan seperti ini, alangkah lebih baik sekiranya informasi tersebut dikodekan dalam bentuk yang hanya bisa dibaca oleh yang berhak. Studi tentang cara mengubah suatu informasi ke dalam bentuk yang tak dapat dibaca oleh orang lain dikenal dengan istilah kriptografi