Arya Dwi Pramudita's Corner: January 2019

Wednesday, January 16, 2019

Tulisan 1 Audit Teknologi Sistem Informasi - Framework dan Auditor

Framework yang digunakan sebagai IT Auditor:
NIST 800-14

Framework NIST 800-14 adalah sebuah framework buatan NIST (The National Institute of Standard and Technology) yang didesain untuk memberikan panduan dasar terhadap berbagai lembaga maupun perusahaan untuk melakukan penyusunan dan peninjauan strategi keamanan sistem TI milik lembaga dan perusahaan tersebut. Isi dari framework ini meliputi berbagai persyaratan keamanan khusus yang wajib untuk dipatuhi oleh semua lembaga dan perusahaan dalam rangka mengamankan sumber daya TI secara benar.

Berikut ini adalah beberapa persyaratan kunci dari NIST 800-14 yang wajib dipatuhi oleh lembaga dan perusahaan:

1) Akuntabilitas perorangan dengan melacak tindakan pengguna
Berdasarkan peraturan yang diberikan oleh NIST, setiap pengguna dalam suatu sistem memiliki tanggungjawab atas seluruh tindakan yang mereka lakukan dalam penggunaan sumber daya yang terdapat pada sistem tersebut.
2) Rekonstruksi tindakan pengguna dengan investigasi pasca kejadian
NIST mewajibkan bagi setiap perusahaan atau lembaga untuk merekam setiap aktivitas yang terjadi dalam sistem, dengan setiap rekam jejak tersebut memiliki informasi yang cukup untuk mengetahui kejadian apa saja yang terjadi serta siapa atau apa yang menjadi penyebab dari kejadian tersebut, termasuk dalam hal ini kejadian pembobolan data dalam sistem.
3) Deteksi intrusi saat terjadi kejadian atau pasca kejadian
Rekam jejak aktivitas dari seorang penguna dalam suatu sistem akan berguna pada proses untuk mendeteksi terjadinya intrusi pada sistem tersebut. Kecepatan dan ketepatan dalam mendeteksi dan menghapus intrusi tersebut akan mencegah data yang terdapat di dalam sistem dari bahaya terkena masalah akibat intrusi tersebut. Jika gagal, maka ini akan menimbulkan kerusakan pada data yang bahkan berdampak pada masalah dari lembaga atau perusahaan itu sendiri.
4) Identifikasi masalah melalui audit dan pengawasan
Perangkat keamanan yang dipergunakan dalam melindungi sistem dari masalah seperti pembobolan data dan serangan-serangan siber dapat pula dipergunakan untuk membantu proses audit dan pengawasan yang berfungsi untuk melakukan identifikasi masalah pada sistem seperti tidak berjalannya integrasi dengan baik dan perubahan pada kode.

Framework NIST 800-14 ini dipilih oleh penulis sebagai framework audit TI jika penulis berada di posisi sebagai auditor TI, dengan alasan utama yaitu framework ini memberikan persyaratan serta contoh dari praktik terbaik dalam penerapan keamanan sistem TI secara menyeluruh. Praktik terbaik penerapan keamanan sistem TI yang diberikan di framework NIST 800-14 meliputi hal-hal sebagai berikut:

1) Kebijakan
2) Pengelolaan program
3) Pengelolaan risiko
4) Perencanaan siklus hidup
5) Masalah pengguna
6) Persiapan terhadap hal tak terprediksi dan bencana
7) Penanganan insiden keamanan komputer
8) Kewaspadaan dan pelatihan
9) Pertimbangan keamanan dalam dukungan komputer dan operasi
10) Keamanan fisik dan lingkungan
11) Identifikasi dan otentikasi
12) Kendali akses logis
13) Jejak audit
14) Kriptografi

Selain itu, berbagai persyaratan dan praktik terbaik yang dijelaskan di dalam framework NIST 800-14 juga mempertimbangkan dampak jangka panjang dari segala macam masalah keamanan yang dapat saja menyerang sistem TI setiap saat, seperti pembobolan data, perusakan sistem secara jarak jauh dan sebagainya. Ini dikarenakan apabila masalah tersebut terjadi maka dampaknya akan membuat perusahaan atau lembaga yang memiliki sistem tersebut akan kehilangan berbagai aset data penting yang umumnya merupakan data rahasia yang tidak boleh diketahui oleh pihak di luar perusahaan atau lembaga tersebut, atau bahkan harus mengeluarkan uang lebih untuk memulihkan sistem TI milik mereka dalam jangka waktu yang cukup panjang.

Tugas 4 Audit Teknologi Sistem Informasi - RedHat IT Certificate

AUDIT TEKNOLOGI SISTEM INFORMASI

DISUSUN OLEH

ARYA DWI PRAMUDITA             (11115069)
MOHAMMAD FAISAL .H             (14115280)
RIZKI APRILIA DWIJAYANTI   (16115138)

SISTEM INFORMASI
UNIVERSITAS GUNADARMA
PTA 2018/2019

==========================================================================

BAB 1 - PENDAHULUAN

1.1 Sejarah Red Hat

Red Hat adalah salah satu perusahaan terbesar dan dikenal untuk dedikasinya atas perangkat lunak sumber bebas. Red Hat didirikan pada 1993 dan bermarkas di Raleigh, North Carolina, Amerika Serikat. Red Hat terkenal karena produk Redhat Linux yang merupakan salah satu distro Linux utama yang mendominasi persebaran distro Linux.

Pada tahun 1993 Bob Young mendirikan ACC Corporation, bisnis katalog yang menjual aksesori perangkat lunak Linux dan UNIX. Sementara pada tahun 1994 Marc Ewing membuat distribusi Linux sendiri, yang dinamai Red Hat Linux. Ewing merilisnya pada Oktober tahun tersebut, dan dikenal sebagai rilis Halloween. Young membeli bisnis Ewing pada tahun 1995, dan keduanya bergabung menjadi Red Hat Software, dengan Young menjabat sebagai CEO.

Saham Red Hat masuk pasar modal pada 11 Agustus 1999, dan menjadi salah satu perusahaan pencetak laba terbesar pada penjualan hari pertama dalam sejarah Wall Street. Matius Szulik menggantikan Bob Young sebagai CEO pada bulan November tahun tersebut.

Pada tanggal 15 November 1999, Red Hat mengakuisisi Cygnus Solutions. Cygnus adalah perusahaan penjual jasa dukungan atas perangkat lunak bebas dan pengelola perangkat lunak GNU seperti GNU Debugger dan GNU Binutils. Salah satu pendiri Cygnus, Michael Tiemann, menjabat sebagai Chief Technical Officer Red Hat dan mulai 2008 menjabat sebagai Vice President untuk urusan Open Source. Red Hat kemudian juga mengakuisisi WireSpeed, C2Net dan Hell's Kitchen Systems. Red Hat juga membeli Planning Technologies, Inc pada tahun 2001 dan pada tahun 2004 direktori dan perangkat lunak server-sertifikat AOL iPlanet. Pada bulan Februari 2000, InfoWorld memberikan Red Hat penghargaan "Operating System Product of the Year" (Produk Sistem Operasi Terbaik Tahun Ini) bagi Red Hat Linux 6.1.

Red Hat memindahkan kantor pusatnya dari Durham, NC, ke Centennial Campus NC State University di Raleigh, North Carolina pada Februari 2002. Pada bulan Maret berikutnya, Red Hat pertama kalinya memperkenalkan sistem operasi Linux untuk perusahaan besar. Red Hat Advanced Server, yang kemudian diganti namanya menjadi Red Hat Enterprise Linux (RHEL). Dell, IBM, HP dan Oracle Corporation mengumumkan dukungan mereka atas platform tersebut.

Pada bulan Desember 2005 majalah CIO Insight melakukan survei nilai peusahaan tahunannya, dan menaruh Red Hat di peringkat #1 dalam nilai untuk tahun kedua berturut-turut.

Saham Red Hat menjadi bagian dari NASDAQ-100 pada 19 Desember 2005. Red Hat menmbeli JBoss perusahaan penyedia perangkat lunak sumber terbuka untuk jaringan pada 5 Juni 5 2006 dan JBoss menjadi bagian dari Red Hat. Pada tahun 2007 Red Hat membeliMetaMatrix dan membuat kesepakatan dengan Exadel untuk mendistribusikan perangkat lunaknya.

Pada tanggal 18 September 2006, Red Hat merilis Red Hat Application Stack, proses pengolahan struktur data berdasarkan teknologi JBoss.
Pada tanggal 12 Desember 2006, Red Hat pindah dari NASDAQ (RHAT) ke New York Stock Exchange (RHT).

Pada 15 Maret 2007 Red Hat merilis Red Hat Enterprise Linux 5, dan pada bulan Juni, mereka membeli Mobicents.

Pada 13 Maret 2008 Red Hat mengakuisisi Amentra, sebuah penyedia layanan integrasi sistem untuk Service-oriented architecture (SOA), bagi manajemen proses bisnis, pengembangan sistem dan solusi data perusahaan. Amentra beroperasi sebagai perusahaan mandiri dari Red Hat.

1.2 Pengertian Red Hat Linux

Red Hat adalah salah satu sistem operasi workstation yang bisa dijalankan dengan mode dhcp server. Adapun untuk mengkonfigurasi dhcp pada RedHat, kita membutuhkan file yang namanya dhcpd.conf. untuk mendapatkan file ini, bisa kita copy dari CD ke-2 RedHat atau kita bisa buat sendiri. Cara membuatnya adalah dengan perintah “touch” dan diletakkan pada direktory /etc/dhcpd.

1.3 Kelebihan dan Kekurangan

Kelebihan :

a. Dapat mengubah alamat IP menjadi domain pada web.
b. Domain juga digunakan sebagai virtual host dalam dunia maya.
c. Domain Lebih mudah di ingat dibandingkan dengan no IP Address.

Kekurangan :

a. Membutuhkan waktu untuk mengkonfigurasinya.
b. Jika kita koneksi terputus domain tidak dapat di akses lagi.

1.4 Sruktur Kernel RedHat

Ada 4 kategori kernel:

1. Monolithic kernel.
Kernel yang menyediakan abstraksi perangkat keras yang kaya dan tangguh.

2. Microkernel.
Kernel yang menyediakan hanya sekumpulan kecil abstraki perangkat keras sederhana, dan menggunakan aplikasi-aplikasi yang di sebut sebagai server untuk menyediakan fungsi-fungsi lainnya.

3. Hybrid (modifikasi dari microkernel)
Kernel yang mirip microkernel, tetapi juga memasukkan beberapa kode tambahan di kernel agar ia menjadi lebih cepat.

4. Exokernel.
Kernel yang tidak menyediakan sama sekali abstraksi hardware, tetapi ia menyediakan sekumpulan pustaka yang menyediakan fungsi-fungsi akses ke perangkat keras secara langsung/ hampir langsung.

1.5 Struktur File RedHat.

Ext2 : merupakan system file yang mendukung standard UNIX (regular files, directories, symbolic, links, dll), system file ini memungkinkan untuk membuat nama file yang legth-nya mencapai 255 karakter.

Ext3 : merupakan system file pengembangan dari ext2 yang sangat efektif. Keuntungan dari system file ini adalah apabila terjadi Crash, tidak perlu melakukan ‘fsck’ system files.

Software RAID

Swap : partisi yang digunakan untuk menyimpan temporary. Berbeda dengan format partisi lainnya, dengan partisi swap tidak perlu membuat mount pont, tetapi cukup menentukan ssize dari partisi swap yang akan dibuat.
Vfat : merupakan system Linux file yang compatible dengan Microsoft windows.

Secara default terdapat tiga jenis file, yaitu file untuk interface configuration, script untuk interface control dan file untuk network function.

1.6 Sejarah Red Hat IT Certification

1.6.1 Red Hat Certified System Administrator (RHCSA)

RHCSA adalah sertifikasi IT Red Hat tingkat awal (entry-level) yang berfokus pada system administrator, termasuk instalasi dan konfigurasi Red Hat Enterprise Linux system lalu menjalankannya pada live network services. Untuk mendapatkan sertifikat ini, peserta harus lulus ujian EX200, dimana ujian tersebut merupakan praktek secara langsung selama 2.5 jam. Nilai minimal yang harus didapatkan untuk lulus adalah 210 dari 300 (70%). Ujian ini tidak perlu persyaratan apapun, tetapi Red Hat menyarankan untuk mengikuti pelatihan Red Hat System Administration (RH124 atau RH134) jika peserta tidak memiliki pengalaman apapun.

RHCSA diluncurkan pada tahun 2002 sebagai Red Hat Tichnician (RHCT). Pada Juli 2009 terdapat 30.000 RHCT yang akhirnya diubah menjadi RHCSA pada November 2010.

1.6.2 Red Hat Certified Engineer (RHCE)

RHCE merupakan sertifikasi IT Red Hat tingkat menengah (mid to advance level) yang berfokus pada materi lebih lanjut dari sertifikat RHCSA yang diantara lain sekuritas dan insatalasi common enterprise networking (IP) services. Untuk mendapatkan sertifikat ini, peserta harus lulus ujian RHCSA (EX200) dan EX300, dimana ujian tersebut merupakan praktek secara langsung selama 3.5 jam. Red Hat menyarankan untuk mengikuti latihan Linux essentials (RH124), Linux administrator (RH134), dan Linux Linux Networking and Security (RH254) Red Hat juga menyarankan untuk mempunyai pengalaman terlebih dahulu.

1.6.3 Red Hat Certified Architect (RHCA)

RHCA merupakan sertifikat paling lengkap dari semua sertifikat yang ada. Pada RHCA terdapat beberapa materi yang dapat dipilih untuk dijadikan keahlian tetapi hal ini tidak disarankan. Materi tersebut diantara lain:

DataCenter: keahlian pada bidang datacenter
Cloud: keahlian umum pada cloud infrastructure
Devops: keahlian dan pengetahuan dalam teknologi dan prakter yang dapat mempercepat perbaharuan dan pemindahan aplikasi dengan membangun dan menguji serangkaian proses dan produksi.
Application Development: keahlian dalam pengembangan, integrasi, dan arsitektur aplikasi enterprise.
Application Platform: keahlian umum untuk membangun dan mengatur alat dan aplikasi.

Adapun RHCA diluncurkan pada tahun 2005

1.6.4 Red Hat Certified Virtualization Administrator (RHCVA)

RHCVA merupakan sertifikat yang berfikus pada Virtualization administrator. Untuk Mendapatkan sertifikat ini, peserta harus lulus ujian EX318, dimana ujian tersebut merupakan praktek secara langsung selama 3 jam. Ujian ini tidak memerlukan persyaratan apapun, tetapi Red Hat menyarankan untuk mengikuti pelatihan RH138, dan mempunyai sertifikat RHCSA. Ujian ini juga memerlukan pengetahuan tentang menggunakan dan insatalasi operasi sistem Windows. Sertifikasi ini diluncurkan pada tahun 2009.

1.6.5 JBoss Certified Application Administrator (JBCAA)

JBCAA merupakan sertifikat yang berfokus pada pengelolaan JBoss Enterprise Application Platform. Untuk mendapatkan sertifikat ini, peserta harus lulus ujian EX248, dimana ujian tersebut merupakan prakter secara langsung selama 4 jam. Ujian ini tidak memerlukan persyaratan apapun, tetapi Red Hat menyarankan untuk mengikuti latihan JB248. Sertifikasi JBCAA diluncurkan pada tahun 2009.

==========================================================================

BAB 2 - PEMBAHASAN

Secara garis besar sertifikasi IT adalah "Sebuah bentuk penghargaan yang diberikan kepada seorang individu yang dianggap memiliki keahlian dalam bidang IT tertentu / spesifik". Bentuk penghargaan ini berupa sertifikat khusus yang umumnya disertai dengan judul tertentu. Jika pernah mendengar istilah semacam CCNA, MCTS, CEH, dan OCP, itulah contoh judul bagi seorang pemegang sertifikat IT.

Sertifikat IT ini berlaku Internasional dan dirilis / diterbitkan oleh vendor atau organisasi khusus yang tentunya sudah diakui secara Internasional juga. Bidangnya sendiri beragam, mulai dari sistem operasi, aplikasi, networking, programming, database, hingga IT management.

Pada dasarnya sertifikasi IT dibagi kedalam 2 kelompok, yaitu Vendor Based dan Vendor Neutral.

1. Vendor Based

Sertifikasi vendor based adalah sertifikasi IT yang dikeluarkan oleh vendor tertentu dan materi ujiannya jelas mengacu pada produk atau teknologi yang menyediakan sertifikasi tersebut. Contoh vendor yang merilis sertifikasi ini diantaranya Microsoft, Cisco, Oracle, Red Hat, Symantec, HP, Huawei, dst. Contoh title sertifikasinya misalnya MCTS, MCITP, OCP, CCNA, dst.

2. Vendor Neutral

Sertifikasi ini dirilis oleh suatu badan atau organisasi yang tidak terikat ke vendor manapun, dengan kata lain, cakupannya global. Materi ujian untuk sertifikasi ini jelas sangat luas dan tentunya kita juga harus mengetahui produk dan teknologi dari banyak vendor. Dan karena cakupannya global maka sertifikasi Vendor Neutral umumnya memiliki rating yang lebih tinggi dibandingkan sertifikasi Vendor Based. Contoh organisasi yang merilis sertifikasi ini misalnya CompTIA serta EC-Council, dan contoh title sertifikasinya misalnya A+, Network+, CEP, CEH, dst.

Sertifikasi IT Red Hat termasuk dalam kategori Vendor Based. Red Hat menyediakan berbagai macam sertifikasi IT, diantaranya adalah:

1. Red Hat Certified System Administrator (RHCSA)
2. Red Hat Certified Engineer (RHCE)
3. Red Hat Certified Architect (RHCA)
4. Red Hat Certified Virtualization Administrator (RHCVA)
5. JBoss Certified Application Administrator (JBCAA)

Gambar 1. Daftar Sertifikasi Red Hat

Sertifikasi Red Hat adalah sertifikat yang dikeluarkan oleh vendor Red Hat secara resmi. Sertifikasi Linux dibagi menjadi 2 yaitu RHCE (enginer) dan RHCSA (Administator) masing-masing harus menyelesaikan training Red Hat System Administration mulai dari dasar hingga kelanjutannya.

Pada tahun 2010, OpenStack diluncurkan oleh Rackspace dan NASA, sebuah kerjasama di bidang open source berupa rancangan inisiatif cloud software yang memberikan perusahaan kemampuan melakukan cloud computing yang mampu berjalan pada hardware standar. Bermulai dari situlah banyak perusahaan besar IT menjadi sponsor atas inisiatif ini.
Red Hat merupakan kontributor utama pada proyek OpenStack. Dengan menggunakan Openstack perkembangan IT yang sangat cepat dapat dipenuhi baik di bidang performa, skalabilitas, dan standar keamanan. Tetapi tidak semua OpenStack mampu memenuhi kebutuhan perusahaan tetapi dengan Red Hat OpenStack Platform mampu memenuhi harapan anda.

Kendala yang banyak diterima oleh para perusahaan untuk pengembangan atau implementasi OpenStack ke dalam perusahaan mereka adalah kurangnya kemampuan di bidang tersebut. Dan selain penyedia solusi berupa Red Hat OpenStack Platform, Red Hat juga memberikan solusi training di bidang ini.

Dengan ujian yang semua hands-on, tidak ada essay, pilihan ganda ataupun pilihan benar atau salah. Seseorang dinyatakan lulus ujian Red Hat apabila memenuhi kriteria yang harus dipenuhi. Dengan memiliki sertifikat Red Hat sudah memberikan jaminan bahwa orang tersebut tidak hanya mengetahui, tetapi sudah mengerjakannya secara langsung.

Tapi sebelum mengikuti Training OpenStack terdapat beberapa requirement yang perlu dipenuhi yakni mempunyai kemampuan dasar di bidang linux atau sudah mempunyai sertifikat RHCSA (Red Hat Certified System Administration). Setelah memenuhi persyaratan tersebut, berikut ini list training yang bisa diambil berserta sertifikasinya:

1. Red Hat OpenStack Administrator I ( CL110 )
Materi yang diajarkan pada training ini adalah bagaimana cara menginstall, mengkonfigurasi, menggunakan dan memelihara Red Hat OpenStack Platform.

2. Red Hat OpenStack Administrator II ( CL210 )
Materi yang diajarkan pada training ini adalah bagaimana cara menginstall, mengkonfigurasi, dan memelihara environment dari Cloud Computing menggunakan Red Hat OpenStack Platform.
Dan setelah mengikuti training Red Hat OpenStack Administration I serta II dapat mengikuti sertifikasi ujian Red Hat Certified System Administrator (RHCSA) di Red Hat Openstack (EX210).

3. Red Hat OpenStack Administrator III (CL310)
Materi yang diajarkan pada training ini adalah penggunaan distribusi storage dari Red Hat Ceph Storage dan kapabilitas storage serta jaringan dari OpenStack Neuron. Dan juga mengkonfigurasi Red Hat Ceph Storage sebagai back end dari Red Hat OpenStack Platform.
Setelah mengikuti training ini anda dapat memperoleh sertifikasi Red Hat Certified Engineer (RHCE) di Red Hat OpenStack dengan mengikuti ujian EX310.

4. Red Hat Certified Engineer

Sebuah system harus lah dikelola oleh system administrator yang kredibel, dimana selain mampu melakukan konfigurasi juga harus bisa melakukan troubleshoot saat terjadinya insiden pada sistem yang dikelolanya. Namun pada era sekarang ini banyak dari system administrator yang kurang pengetahuan dan pengalaman dalam menangani insiden yang lebih kompleks. Hal ini tentunya berdampak pada system tersebut, salah satunya pada tingkat efisiensinya dikarenakan penanganan yang kurang tepat oleh system administrator. Solusi inilah yang coba ditawarkan Red Hat dengan menyediakan Red Hat Certified Engineer (RHCE), dimana seorang system administrator mendapatkan pengetahuan yang lebih kompleks dan pembuktian berupa sertifikat Red Hat Certified Engineer.
Seorang system administrator bisa mendapatkan sertifikat Red Hat Certified Engineer setelah terlebih dahulu mendapat sertifikat Red Hat Certified System Administrator (RHCSA) dan disarankan mengikuti kelas Red Hat Enterprise Linux System Administration III, karena banyak sekali lab–lab yang sangat berguna kedepannya bagi system administrator. Course pada Red Hat Enterprise Linux System Administration III memang dirancang untuk system administrator yang membutuhkan pengetahuan yang lebih komplek terkait system kususnya pada system Red Hat Enterprise Linux.

Pada course Red Hat Enterprise Linux System Administration III akan dipelajari hal–hal berikut:
1. Melakukan manage dan troubleshoot system services
2. Konfigurasi jaringan dan troubleshoot
3. Melakukan manage local storage, membuat dan menggunakan file systems
4. Firewall management menggunakan firewalld
5. Melakukan manage konfigurasi pada Selinux
6. Menggunakan NFS dan Samba sebagai media file sharing
7. Konfigurasi pada iSCSI initiator dan target
8. Troubleshoot pada DNS dan caching name server
9. Apache HTTPD web server management
10. Konfigurasi MariaDB SQL database
11. Postfix Simple Mail Transfer Protocol (SMTP) nullclient pada servers
12. Bash scripting

Beberapa materi diatas yang nantinya dibahas saat di kelas maupun ujian sertifikasi Red Hat Certified Engineer (RHCE) dan kedepannya diharapkan mampu menyelesaikan masalah yang lebih kompleks terkait system pada Red Hat Enterprise Linux. Dengan mengikuti sertifikasi Red Hat Certified Engineer, nantinya peserta akan mendapatkan sertifikat Red Hat Certified Engineer yang merupakan sertifikat lanjutan dari Red Hat Certified System Administrator.

Terdapat beberapa cara untuk mengikuti training Openstack seperti:

1. Classroom
Materi akan diajarkan secara tradisional, dengan pengajaran dilakukan di lokasi training center.
2. Red Hat Online Learning
Training dilakukan secara online, dengan self-paced training selama 90 hari akses untuk materi dan hingga 80 jam di lab.
3. Virtual classroom
Training dilakukan secara online dengan diarahkan instruktur dengan materi dan lab yang sama dengan kelas tradisional.
4. On-site team training
Training dilakukan dilakukan secara tradisional dengan lokasi sesuai permintaan pelanggan.

==========================================================================

BAB 3 - CONTOH KASUS

3.1 Studi Kasus

Lotte Data Comunication Company (LDCC) merupakan penyedia jasa IT di Korea Selatan dengan banyak cabang di Asia. LDCC berencana untuk mengembangkan bisnisnya dengan membangun cloud platform, resource IT yang terintegrasi, dan meningkatkan efisiensi. LDCC juga ingin mengembangkan menjadi penyedia jasa External Cloud, sebuah cloud umum untuk bisnis. LDCC ingin membuat sebuah cloud platform berbasis OpenStack untuk menyelesaikan permasalahan mereka. Mereka berharap dengan melakukan ini akan mengurangi biaya sebanyak 30% selama 5 tahun kedepan, tempat fisik dan listrik sebanyak 80%.

3.2 Pembahasan

LDCC paham bahwa jika mereka ingin mengembangkan dan meningkatkan efisiensi perusahaan mereka, serta menawarkan jasa baru kepada kustomer mereka, mereka harus pindah ke cloud platform. Dengan memindahkan sistem bisnis mereka ke cloud, mereka dapat mengintegrasikan berbagai sistem yang berbeda dan menciptakan peluang bisnis baru untuk menjual cloud services secara publik.

Dengan taktik ini, LDCC memutuskan untuk membuat cloud berbasis OpenStack, seperti software-defined storage dan networking, dan juga Kernel-based Virtual Machine (KVM). Tetapi LDCC tidak memiliki personil yang ahli dalam bidang OpenStack. ”OpenStack tidak akan berhasil karena kami tidak memiliki para ahli di bidang ini”, kata Yoon-soo Kim, manajer cloud service di LDCC.

Karena LDCC tidak punya para ahli di bidang OpenStack, mereka akan mencari pekerja yang ahli yang memiliki kemampuan pada RedHat, terutama OpenStack dan LDCC pastinya akan memprioritaskan mereka yang memiliki sertifikat IT pada bidang RedHat.

Red Hat Certified System Administrator (RHCSA) merupakan entry-level sertifikat pada Red Hat. Para pemilik RHCSA memiliki keahlian yang berkaitan dengan local storage, mempartisi (partitioning), serta memulai dan memberhentikan services, sistem file, dan user. Walaupun RHCSA hanya sertifikat pada entry-level, LDCC akan merekrut mereka karena mereka sudah memiliki keahlian dalam menggunakan Red Hat.

Red Hat Certified Engineer (RHCE) merupakan sertifikasi IT pada level menengah. Jika kita membicarakan keahlian, pemilik RHCE ini sudah melebihi pemilik RHCSA karena untuk mendapatkan sertifikat ini calon pemilik RHCE harus sudah memiliki sertifikat RHCSA. Pemilik RHCE memiliki keahlian dalam sistem administrator pada level senior, termasuk konfigurasi remote storage, shell scripting, konfigurasi kernel run-time parameter, dan konfigurasi network services seperti file sharing, web, ssh, dan ftp. Walaupun para pemilik RHCE ini tidak memiliki keahlian pada berfokus pada bidang OpenStack tetapi mereka memiliki keahlian umum lainnya yang sangat dibutuhkan jika suatu perusahaan ingin menggunakan cloud platform.

Red Hat Certified Engineer in Red Hat OpenStack (RHCE OpenStack) merupakan sertifikat yang paling dicari oleh LDCC karena mereka yang memiliki sertifikat ini sudah pasti sangat ahli dalam menggunakan OpenStack. Pemilik sertifikat ini akan diharapkan dapat melakukan tugas seperti:

Membuat dan menggunakan perangkat virtual network
Mengelola OpenStack networking agents
Menggunakan jaringan IPv6 pada OpenStack
Menyediakan jaringan OpenStack
Implementasi virtual routing secara terdistribusi
Implementasi NFV datapath
Membuat software jaringan dengan OpenDaylight

Dengan keahlian diatas sudah pasti LDCC akan merekrut mereka karena mereka dapat mengelola OpenStack sesuai dengan kebutuhan LDCC.

==========================================================================

DAFTAR PUSTAKA

[1] https://www.i-3.co.id/2016/11/10/panduan-mengambil-training-dan-sertifikasi-red-hat-openstack/

[2] https://www.i-3.co.id/2017/09/30/tertarik-mengikuti-sertifikasi-red-hat-certified-engineer-simak-informasi-dan-tips-berikut/
[3] https://dotcampus.net/sertifikasi/sertifikasi-red-hat-linux/
[4] https://www.redhat.com/en/success-stories/lotte-data-communication-company

==========================================================================

TUGAS TAMBAHAN

Soal: pilih framework dari tugas 3 yang terbaik dan bandingkan dengan trend audit TI zaman sekarang.

Jawaban: Diantara framework FIPS 200, ISO/IEC 19770-1 dan NIST 800-14, framework yang terbaik adalah NIST 800-14. Ini dikarenakan NIST 800-14 merupakan framework standar untuk persyaratan dan praktik keamanan sistem TI, dengan konten dari framework tersebut menjelaskan tentang 4 syarat dan 14 pedoman standar praktik keamanan, yang tentunya ini membuktikan bahwa NIST 800-14 memberikan syarat - syarat serta praktek terbaik dalam penerapan keamanan sistem TI pada tingkat yang minimal.

Pada tabel berikut ini NIST 800-14 akan dibandingkan dengan NIST 800-53 revisi ke-5 (2018).

Tabel 1. Perbandingan NIST 800-53 dengan NIST 800-14

Tugas 3 Audit Teknologi Sistem Informasi - Perbandingan 3 Framework

AUDIT TEKNOLOGI SISTEM INFORMASI

DISUSUN OLEH

ARYA DWI PRAMUDITA             (11115069)
MOHAMMAD FAISAL .H             (14115280)
RIZKI APRILIA DWIJAYANTI   (16115138)

SISTEM INFORMASI
UNIVERSITAS GUNADARMA
PTA 2018/2019

==========================================================================

BAB 1 - PENDAHULUAN

(Post ini bertujuan sebagai revisi dari tugas 3 yang memuat kesalahan fatal dalam pemilihan materi. Penulis memohon maaf sebesar-besarnya atas kesalahan fatal tersebut)

1.1. FIPS 200

Federal Information Processing Standard (atau dapat disebut sebagai FIPS) adalah sebuah framework yang pertama kali diterbitkan pada Maret 2006, dengan pengembang dan penerbit dari standar ini adalah organisasi bernama The National Institute of Standard and Technology (atau disingkat sebagai NIST). Framework ini dirancang sebagai framework audit teknologi informasi (TI) di lembaga-lembaga milik pemerintah Amerika Serikat, yang artinya adalah penerapan framework ini hanya dapat dilakukan di dalam wilayah Amerika Serikat itu sendiri.

Salah satu framework FIPS yang diterbitkan oleh NIST adalah FIPS Publication 200 (sering disebut sebagai FIPS PUB 200 atau FIPS 200 saja), dengan standar yang didefinisikan merupakan standar audit TI untuk kategori keamanan yang diaplikasikan dalam proses pengembangan, penerapan serta pengoperasian dari sistem TI yang aman. Cakupan dari FIPS 200 meliputi 17 area berikut ini:

1) Kendali terhadap akses (Access Control)
2) Kewaspadaan dan pelatihan (Awareness and Training)
3) Audit dan akuntabilitas (Audit and Accountability)
4) Sertifikasi, akreditasi dan penilaian keamanan (Certification, Accreditation and Security Assessments)
5) Pengelolaan konfigurasi (Configuration Management)
6) Perencanaan hal tak terprediksi (Contingency Planning)
7) Identifikasi dan otentikasi (Identification and Authentication)
8) Respon terhadap insiden (Incident Response)
9) Perawatan (Maintenance)
10) Perlindungan media (Media Protection)
11) Perlindungan fisik dan lingkungan (Physical and Environmental Protection)
12) Perencanaan (Planning)
13) Keamanan personil (Personnel Security)
14) Penilaian risiko (Risk Assessment)
15) Akuisisi sistem dan pelayanan (Systems and Services Acquisition)
16) Perlindungan sistem dan komunikasi (System and Communications Protection)
17) Integritas sistem dan informasi (System and Information Integrity)

Meskipun begitu, FIPS 200 memberikan syarat bahwa semua lembaga yang ingin menerapkan standar ini harus mengacu kepada NIST Special Publication 800-53 (seringkali disebut sebagai NIST 800-53) sebagai kendali minimum yang wajib diterapkan dalam proses penerapan standar yang diberikan oleh FIPS 200. Ini dikarenakan NIST 800-53 memiliki fungsi sebagai standar dan panduan praktik keamanan dalam penerapan keamanan dunia siber yang bersesuaian dengan peraturan hukum. Ini menjadikan FIPS 200 (bersama dengan NIST 800-53) sebagai framework audit TI yang disarankan dalam dunia industri maupun lembaga pemerintahan di Amerika Serikat.

1.2. ISO/IEC 19770-1

Framework ISO/IEC 19770-1 adalah salah satu dari sekian banyak framework yang didefinisikan oleh ISO untuk bidang TI. Secara dasar framework ini menjelaskan tentang persyaratan untuk pembentukan, penerapan, perawatan dan perbaikan dari sistem pengelolaan terhadap aset TI. Dalam versi terbarunya yang dirilis pada Desember 2017 (umumnya disebut sebagai ISO/IEC 19770-1:2017), framework ISO/IEC 19770-1 membutuhkan penerapan dari framework ISO 55001 versi 2014 (dikenal sebagai ISO 55001:2014) yang menjelaskan persyaratan terhadap sebuah sistem pengelolaan aset dan berbagai persyaratan lainnya yang dianggap perlu untuk melakukan pengelolaan terhadap aset TI. Hanya saja yang menjadi pembeda dari ISO/IEC 19770-1 dengan ISO 55001:2014 adalah adanya persyaratan untuk melakukan pengelolaan aset perangkat lunak dengan karakteristik masing-masing yang terperinci.

Dalam framework ini dijelaskan bahwa sistem pengelolaan aset TI harus dapat menangani hal-hal berikut:

1) Kendali atas perubahan, penggandaan dan penyebaran dari perangkat lunak dengan penekanan khusus terhadap kendali akses dan integritas
2) Jejak dari audit terhadap otorisasi dan perubahan yang dilakukan kepada aset TI
3) Kendali atas lisensi (berikut dengan underlicensing dan overlicensing) serta kepatuhan terhadap persyaratan dan ketentuan dari lisensi tersebut
4) Kendali atas situasi yang melibatkan kepemilikan campuran dan tanggungjawab
5) Rekonsiliasi dari data pengelolaan aset IT dengan data dari sistem informasi lainnya saat dicocokkan oleh nilai bisnis, terutama dengan sistem informasi bisnis yang merekam aset dan pengeluaran

Umumnya framework ISO/IEC 19770-1 ditujukan untuk penggunaan oleh mereka yang terlibat dalam hal-hal berikut:

1) Pembentukan, penerapan, perawatan dan perbaikan dari sistem pengelolaan aset TI
2) Aktivitas yang berkaitan dengan pengelolaan aset TI, termasuk pula mereka yang bertugas sebagai penyedia layanan
3) Pihak dalam dan luar yang ingin melakukan penilaian terhadap kemampuan dari sebuah organisasi dalam memenuhi persyaratan yang diberikan oleh organisasi tersebut maupun persyaratan hukum, peraturan dan kontrak yang berlaku.

1.3. NIST 800-14

Framework NIST 800-14 adalah sebuah framework buatan NIST yang didesain untuk memberikan panduan dasar terhadap berbagai lembaga maupun perusahaan untuk melakukan penyusunan dan peninjauan strategi keamanan sistem TI milik lembaga dan perusahaan tersebut. Isi dari framework ini meliputi berbagai persyaratan keamanan khusus yang wajib untuk dipatuhi oleh semua lembaga dan perusahaan dalam rangka mengamankan sumber daya TI secara benar.

Berikut ini adalah beberapa persyaratan kunci dari NIST 800-14 yang wajib dipatuhi oleh lembaga dan perusahaan:

1) Akuntabilitas perorangan dengan melacak tindakan pengguna
Berdasarkan peraturan yang diberikan oleh NIST, setiap pengguna dalam suatu sistem memiliki tanggungjawab atas seluruh tindakan yang mereka lakukan dalam penggunaan sumber daya yang terdapat pada sistem tersebut.
2) Rekonstruksi tindakan pengguna dengan investigasi pasca kejadian
NIST mewajibkan bagi setiap perusahaan atau lembaga untuk merekam setiap aktivitas yang terjadi dalam sistem, dengan setiap rekam jejak tersebut memiliki informasi yang cukup untuk mengetahui kejadian apa saja yang terjadi serta siapa atau apa yang menjadi penyebab dari kejadian tersebut, termasuk dalam hal ini kejadian pembobolan data dalam sistem.
3) Deteksi intrusi saat terjadi kejadian atau pasca kejadian
Rekam jejak aktivitas dari seorang penguna dalam suatu sistem akan berguna pada proses untuk mendeteksi terjadinya intrusi pada sistem tersebut. Kecepatan dan ketepatan dalam mendeteksi dan menghapus intrusi tersebut akan mencegah data yang terdapat di dalam sistem dari bahaya terkena masalah akibat intrusi tersebut. Jika gagal, maka ini akan menimbulkan kerusakan pada data yang bahkan berdampak pada masalah dari lembaga atau perusahaan itu sendiri.
4) Identifikasi masalah melalui audit dan pengawasan
Perangkat keamanan yang dipergunakan dalam melindungi sistem dari masalah seperti pembobolan data dan serangan-serangan siber dapat pula dipergunakan untuk membantu proses audit dan pengawasan yang berfungsi untuk melakukan identifikasi masalah pada sistem seperti tidak berjalannya integrasi dengan baik dan perubahan pada kode.

Dalam framework ini dijelaskan berbagai praktik yang umumnya dipergunakan dalam rangka mewujudkan keamanan dalam sistem TI. Tujuan dari berbagai praktik tersebut adalah untuk memberikan standar minimum dari program keamanan sistem TI yang efektif untuk diaplikasikan dalam sistem yang telah ada di dalam sebuah lembaga atau perusahaan. Berikut ini adalah daftar dari praktik keamanan sistem TI yang dijadikan sebagai standar minimum oleh NIST dalam framework NIST 800-14:

==========================================================================

BAB 2 - PERBANDINGAN

Berikut ini adalah tabel berisi perbandingan dari ketiga framework yang telah dibahas di bab 1, dengan masing-masing framework tersebut memiliki cakupan standar tersendiri.

Tabel 1. Perbandingan antara ketiga framework

==========================================================================

BAB 3 - CONTOH KASUS

Software Assets Management: A Cost Saving Factor

Software Assets Management (SAM) adalah sebuah praktek yang mengatur dan mengelola aset software pada suatu perusahaan secara efisien. Lisensi software saat ini sudah memakan 20% dari biaya IT pada suatu perusahaan, dan akan terus meningkat di masa yang akan datang. SAM merupakan kunci untuk kesuksesan pada pengelolaan aset software suatu perusahaan. SAM membantu untuk mengelola pengeluaran biaya software, diskon, kontrak lisensi, dan peluncuran software secara efisien.

Tujuan dari SAM adalah untuk mengurangi biaya IT dan operasionalnya, finansial, dan resiko terhadap lisensi suatu software. Tidak perlu diingatkan lagi bahwa implementasi SAM yang baik dapat memberikan keuntungan kepada perusahaan. Keuntungan – keuntungan ini harus melebihi biaya implementasi.

SAM mengacu pada framework ISO/IEC 19770-1, sehingga kategori aset software SAM sama seperti ISO/IEC 19770-1, yaitu:

1) Software yang memiliki mempunyai hak (rights).
2) Software yang memiliki the intellectual property value of sotware.
3) Media yang memegang software sejenis yang digunakan untuk kepentingan media.

Saat suatu perusahaan atau organisasi membuat baru SAM, ada perlunya SAM yang baru ini di audisi terlebih dahulu untuk memastikan keefektivitas dan maturitas yang dimiliki SAM yang baru. Salah satu SAM yang sudah ada adalah Microsoft Software Assets Managment (SAM) Optimization Model. Microsoft mendesain SAM Optimization Model dengan menggunakan standar ISO/IEC 19770-1. Microsoft SAM Optimization Model membantu sebuah perusahaan atau organisasi mengevaluasi SAM mereka tanpa harus mengintepretasi dan mengadaptasi ISO 19770-1 secara langsung. Setelah SAM lolos dari audisi Microsoft SAM Optimization Model, suatu organisasi atau perusahaan dapat mengimplementasikan SAM mereka untuk mengelola aset software mereka.

Gambar dibawah menunjukkan hasil dari penggunaan SAM untuk mengontrol penggunaan aset software dalam organisasi.

Gambar (a) menunjukkan catatan untuk aset software yang dibeli, sedangkan Gambar (b) menunjukkan catatan untuk software yang digunakan pada organisasi.

Gambar (c) dan (d) menunjukkan laporan untuk software yang tidak terlisensi dan date expiration.

Gambar (e) memberikan laporan untuk total biaya yang dikeluarkan untuk aset software yang dibeli. Laporan – laporan diatas akan membantu untuk memilih keputusan dalam pembelian aset software. Sedangkan Gambar (f) menampilkan rangkuman dari penggunaan software dan rangkuman ini membantu untuk mengidentifikasi redundansi software.

==========================================================================

DAFTAR PUSTAKA

[1] The National Institute of Standards and Technology, 2006. Minimum Security Requirements for Federal Information and Information Systems (FIPS 200), Department of Commerce, USA.
[2] Anonim, 2017. ISO/IEC 19770-1:2017(en) Information Technology – IT asset management, [online], (https://www.iso.org/obp/ui/#iso:std:iso-iec:19770:-1:ed-3:v1:en, diakses tanggal 14 Januari 2019)
[3] Friedlander, Gaby, 2015. NIST 800-14–Principles and Practices for Securing IT Systems, [online], (https://www.observeit.com/blog/nist-800-14-principles-and-practices-securing-it-systems/, diakses tanggal 14 Januari 2019)
[4] Guttman, M., Swanson, M., National Institute of Standards and Technology; Technology Administration; U.S. Department of Commerce., Generally Accepted Principles and Practices for Securing Information Technology Systems (800-14). (September 1996)
[5] Okide, Samuel. Dkk. 2017. Software Assest Management: A Cost Saving Factor. International Journal of Innovative Research in Science, Engineering and Technology.