Program Studi Manajemen • FEB

Sistem Informasi Manajemen

Pertemuan 8 — Pengamanan Sistem Informasi

Membangun pertahanan tangguh di era Cloud, Big Data, dan AI. Mengelola risiko dari kerentanan ERP hingga ancaman Shadow AI.

RPS MINGGU 8 • SUB-CPMK 8 • DURASI 2 × 50 MENIT

Tujuan Pembelajaran Hari Ini

Setelah pertemuan ini, Anda diharapkan mampu memahami dan merancang kerangka kerja Keamanan Informasi Modern.

CAPAIAN 1 — KONSEP DASAR

PRINSIP KEAMANAN

Memahami konsep kerentanan dan ancaman terhadap sistem informasi (malware, peretas, social engineering) serta segitiga keamanan CIA.

CAPAIAN 2 — ANCAMAN MODERN

CLOUD, AI & ERP

Menganalisis studi kasus nyata di era Big Data dan Cloud (Shadow AI, kebocoran ERP, dan OAuth Abuse di CRM).

CAPAIAN 3 — PENGENDALIAN

MITIGASI RISIKO

Merancang strategi pengendalian IS (General & Application Controls), Zero Trust, serta manajemen identitas.

CAPAIAN 4 — TATA KELOLA

ASPEK HUKUM & ETIKA

Memahami kepatuhan global dan pentingnya membangun budaya keamanan di seluruh level organisasi.

Mengapa Keamanan Semakin Kompleks?

Paradigma keamanan telah bergeser. Dulu, kita hanya perlu membangun "tembok tebal" di sekeliling jaringan (perimeter-based). Kini, perimeter itu sudah tidak ada.

CLOUD COMPUTING

DATA DI MANA-MANA

Organisasi menggunakan SaaS (CRM, ERP). Data sensitif berada di server vendor pihak ketiga yang diakses melalui internet.

INTEGRASI PIHAK KETIGA

OAUTH & API

Sistem saling terhubung secara otomatis via API. Kelemahan satu layanan kecil bisa membuka akses ke sistem inti perusahaan.

ARTIFICIAL INTELLIGENCE

KECEPATAN & OTONOMI

Karyawan memasukkan data perusahaan ke AI publik, atau serangan siber otomatis dengan Deepfake yang menyamarkan penipuan.

Dalam sistem modern, Identitas adalah perimeter baru. Serangan tidak lagi mendobrak masuk, melainkan sekadar "log in" dengan mandat yang dicuri.

Bagian 1 dari 4

Konsep Dasar & Ancaman Klasik

Memahami fondasi keamanan dan celah mendasar sebelum menghadapi ancaman yang lebih modern.

CIA Triad Malware Social Engineering

Segitiga Keamanan: CIA Triad

Dasar dari semua program keamanan informasi adalah menjaga tiga elemen ini agar tetap seimbang dan tak tertembus.

CONFIDENTIALITY

KERAHASIAAN

Memastikan data hanya dapat diakses oleh pihak yang berwenang. Contoh: Enkripsi data gaji, otentikasi kata sandi.

INTEGRITY

INTEGRITAS

Memastikan data akurat dan tidak diubah secara tidak sah. Contoh: Log audit transaksi bank, checksum file.

AVAILABILITY

KETERSEDIAAN

Sistem dan data tersedia saat dibutuhkan tanpa gangguan. Contoh: Server cadangan, perlindungan anti-DDoS.

Serangan siber selalu menargetkan setidaknya satu dari tiga pilar ini. Ransomware misalnya, menyerang ketersediaan dan kerahasiaan.

Kerentanan Perangkat Lunak & Jaringan

Sistem menjadi rentan karena beberapa titik lemah, baik secara teknis maupun manusiawi.

JENIS-JENIS ANCAMAN UTAMA

Malware & Ransomware: Perangkat lunak berbahaya yang menyusup (virus, trojan) atau menyandera data dengan enkripsi sampai tebusan dibayar.
Zero-Day Vulnerability: Celah keamanan pada perangkat lunak yang belum diketahui oleh pembuatnya sehingga belum ada patch/perbaikannya.
Denial of Service (DoS/DDoS): Membanjiri server dengan lalu lintas palsu sehingga sistem lumpuh dan pengguna asli tidak bisa mengakses (menyerang Availability).
Social Engineering: Memanipulasi psikologis manusia untuk memberikan informasi rahasia. Kini makin canggih lewat Vishing (Voice Phishing) dan Deepfake AI.

Bagian 2 dari 4

Lanskap Ancaman Modern (2024-2025)

Studi kasus nyata tentang bagaimana penyerang mengeksploitasi sistem Cloud, ERP korporat, dan penggunaan AI tanpa pengawasan.

Shadow AI SaaS Supply Chain ERP Exploitation

Risiko Baru: Shadow AI

Shadow AI merujuk pada penggunaan aplikasi atau model AI oleh karyawan secara diam-diam tanpa persetujuan tim IT (mis. ChatGPT publik untuk data kerja).

BAGAIMANA TERJADINYA?

PRODUKTIVITAS INSTAN

Karyawan menyalin kode sumber perusahaan atau data klien rahasia ke AI publik untuk dirangkum/diperbaiki. Data tersebut langsung keluar dari perimeter perusahaan.

DAMPAK (IBM RESEARCH 2025)

KEBOCORAN DATA MASIF

Data rahasia ini dapat digunakan oleh penyedia AI untuk melatih model mereka, sehingga kompetitor berpotensi "bertanya" dan mendapat rahasia bisnis Anda.

Studi 2025 menemukan 1 dari 5 organisasi mengalami pelanggaran akibat Shadow AI. Mitigasinya memerlukan Kebijakan AI yang tegas dan lisensi Enterprise AI tertutup.

Agent-Inflicted Damage (Kerusakan oleh AI Otonom)

Seiring adopsi Autonomous AI Agents yang bisa mengeksekusi aksi dalam sistem ERP/CRM, muncul risiko kerusakan operasional tak disengaja.

SUDUT PANDANG MANAJEMEN RISIKO (2025-2026)

Apa itu Agen AI? AI yang dihubungkan ke sistem inti. Contoh: AI otomatis menghapus tiket pelanggan atau melakukan refund tanpa campur tangan manusia.
Risiko: Jika model mengalami halusinasi atau logika prompt dieksploitasi pihak luar (Prompt Injection), agen AI dapat mengeksekusi transfer uang tanpa izin.
Ancaman Manipulasi Data: Penyerang tidak mencuri data, tetapi meracuni data pelatihan (data poisoning) agar AI mengambil keputusan bisnis yang merugikan.

Pengendalian wajib: Human-in-the-loop (HITL). Keputusan finansial/kritis oleh AI harus butuh satu klik persetujuan dari manusia.

SaaS Supply Chain & OAuth Abuse

Perusahaan kini memakai puluhan aplikasi cloud. Serangan paling mematikan tidak mengincar sistem inti langsung, tetapi menyusup melalui aplikasi pihak ketiga yang terhubung (OAuth Abuse).

CARA KERJA OAUTH

"LOGIN WITH..."

OAuth adalah tiket (token) agar aplikasi B bisa membaca data Anda di aplikasi A, tanpa memberikan password. (Contoh: Aplikasi analitik membaca isi Google Drive).

MEKANISME EKSPLOITASI

1. Hacker meretas aplikasi pihak ketiga yang keamanannya lemah.

2. Hacker mencuri Token OAuth sah milik perusahaan Anda.

3. Hacker masuk ke CRM atau ERP utama Anda menggunakan token tersebut tanpa memicu alarm login mencurigakan.

Studi Kasus 1: Kebocoran CRM Salesforce (2025)

Salah satu serangan terbesar yang menunjukkan rapuhnya integrasi antar-aplikasi.

KRONOLOGI OAUTH ABUSE PIHAK KETIGA

Korban Utama: Ratusan perusahaan besar yang menggunakan sistem CRM dari Salesforce.
Vektor Serangan: Hacker tidak meretas server Salesforce langsung. Mereka meretas aplikasi chatbot pemasaran (seperti Drift) yang terhubung sah secara API ke lingkungan CRM.
Insiden: Token OAuth dicuri, memberi akses langsung ke basis data pelanggan (nama, kontrak, email) bagi penyerang, yang mengunduh data tanpa perlu password admin.
Dampak: Potensi kompromi atas data sensitif bisnis di 700+ organisasi, memicu krisis PR dan gugatan kerahasiaan.

Pelajaran: Keamanan sistem Anda hanya sekuat aplikasi pihak ketiga terlemah yang Anda beri izin akses (Vendor Risk).

Eksploitasi Target Bernilai Tinggi: ERP

Sistem Enterprise Resource Planning (ERP) adalah "jantung" keuangan & operasional perusahaan. Jika ERP jatuh, bisnis berhenti.

MENGAPA ERP DIINCAR?

DATA PALING BERHARGA

Menyimpan rahasia dagang, rekening bank, slip gaji, dan data rekrutmen. Sangat rawan dijadikan target pemerasan finansial.

METODE SERANGAN

ZERO-DAY & SQL INJECTION

Hacker memanfaatkan cacat Zero-Day dalam software ERP untuk menyuntikkan perintah (SQL Injection) yang menguras database keuangan secara diam-diam.

Studi Kasus 2: Pelanggaran ERP University of Phoenix (2025)

Kasus eksploitasi celah tak dikenal pada modul inti sumber daya manusia.

ZERO-DAY PADA ORACLE E-BUSINESS SUITE (CVE-2025-61882)

Titik Serangan: Sistem Oracle E-Business Suite yang dipakai untuk mengatur data karyawan dan finansial institusi.
Metode: Hacker mengeksploitasi Zero-Day Vulnerability (CVE-2025-61882) untuk menjalankan kode dan mengekstraksi data secara sewenang-wenang tanpa terautentikasi.
Eksfiltrasi: Akses masuk ke rekam jejak keuangan staf, riwayat pajak, dan identitas mahasiswa/staf.
Dampak: Pelanggaran kerahasiaan masif yang menuntut biaya perbaikan (patching darurat) yang sangat besar serta penalti regulasi kepatuhan.

Pelajaran: Membutuhkan Patch Management yang reaktif, arsitektur pemisahan jaringan, dan pemantauan anomali di dalam database.

Bagian 3 dari 4

Strategi Pengendalian & Mitigasi

Membangun arsitektur keamanan yang tahan banting dengan Pengendalian Umum, Pengendalian Aplikasi, dan filosofi Zero Trust.

General Controls Zero Trust Non-Human Identity

Pengendalian Umum vs Pengendalian Aplikasi

Untuk menjamin keamanan dan keandalan sistem, perusahaan menggunakan dua lapis pengendalian sistem informasi.

PENGENDALIAN UMUM (GENERAL CONTROLS)

LINDUNGI SELURUH INFRASTRUKTUR

Kebijakan dan prosedur yang mengamankan seluruh area TI (pusat data, jaringan server).

Contoh: Penggunaan firewall, pembatasan akses fisik ke server room, kebijakan password perusahaan.

PENGENDALIAN APLIKASI (APPLICATION CONTROLS)

LINDUNGI PROSES TRANSAKSI SPESIFIK

Mekanisme dalam aplikasi spesifik untuk memastikan input, proses, dan output berjalan benar.

Contoh: Validasi nomor KTP wajib 16 digit, sistem menolak input saldo negatif di aplikasi akuntansi.

Arsitektur Zero Trust & Multi-Factor Auth

Filosofi Zero Trust: "Never trust, always verify" (Jangan percaya siapapun, selalu verifikasi setiap akses, meskipun dari dalam jaringan kantor).

IMPLEMENTASI UTAMA

Multi-Factor Authentication (MFA): Wajib menggunakan 2 faktor untuk login. Kombinasi Sesuatu yang Anda tahu (Password) + Sesuatu yang Anda miliki (HP/Token) + Sesuatu berupa fisik Anda (Sidik Jari/Biometrik).
Pemisahan Akses (Least Privilege): Karyawan hanya diberi hak akses ke data yang benar-benar ia butuhkan untuk pekerjaannya.
Non-Human Identity Management: Mengaudit ketat kunci API, token OAuth, dan service accounts bot AI, sama ketatnya dengan mengawasi identitas manusia.

Menyikapi kasus OAuth di 2025, mengelola "Non-Human Identity" kini menjadi prioritas nomor 1 bagi para praktisi keamanan cloud.

Disaster Recovery Plan (DRP)

Bagaimana jika sistem berhasil dilumpuhkan (mis. gempa bumi, kebakaran, atau serangan Ransomware)? Operasional harus tetap berjalan melalui DRP.

RTO & RPO

METRIK PEMULIHAN

RTO = Berapa lama sistem boleh mati.
RPO = Berapa banyak data (waktu) yang rela hilang (frekuensi backup).

HOT SITE vs COLD SITE

FASILITAS CADANGAN

Hot site = Ruang server identik yang langsung bisa mengambil alih beban seketika. Mahal tapi sangat cepat.

BUSINESS CONTINUITY

KEBERLANJUTAN BISNIS

Bukan sekadar IT hidup lagi, tetapi bagaimana operasional melayani pelanggan tanpa jeda panjang.

Cloud Computing sangat mempermudah DRP, memungkinkan replikasi database instan ke lokasi geografis lain.

Coba Sendiri: Berapa Rugi Perusahaan Kalau Server Mati?

Atur target RTO/RPO dan estimasi kerugian per jam downtime, lalu lihat total kerugian finansial jika skenario bencana benar-benar terjadi.

Bagian 4 dari 4

Aspek Hukum, Kepatuhan & Kesimpulan

Mengapa keamanan bukan hanya masalah tim IT, tetapi masalah legal dan budaya seluruh perusahaan.

ISO 27001 GDPR / PDP Budaya Keamanan

Kepatuhan Hukum & Standar Global

Kebocoran data berujung pada gugatan hukum besar-besaran. Manajemen wajib memastikan perusahaan patuh terhadap regulasi keamanan data privasi.

STANDAR REGULASI YANG HARUS DIPENUHI

Regulasi / Standar	Fokus Utama	Penerapan
UU PDP (Indonesia)	Perlindungan Data Pribadi masyarakat	Mengatur sanksi kebocoran data konsumen & kewajiban notifikasi
GDPR (Uni Eropa)	Hak privasi data digital	Denda luar biasa besar untuk kelalaian menjaga data
ISO 27001	Sistem Manajemen Keamanan Informasi (ISMS)	Sertifikasi internasional tata kelola keamanan TI perusahaan
PCI-DSS	Keamanan Kartu Kredit	Wajib bagi e-commerce yang memproses pembayaran kartu kredit

Kesimpulan: Membangun Budaya Keamanan

Teknologi keamanan secanggih apa pun akan runtuh oleh satu klik sembarangan dari karyawan. Keamanan adalah tanggung jawab semua orang.

SECURITY AWARENESS

PELATIHAN KARYAWAN

Rutinkan pelatihan anti-Phishing dan simulasi penipuan (Social Engineering) untuk meningkatkan kewaspadaan staf non-IT.

TATA KELOLA AI

KEBIJAKAN KORPORAT

Terapkan kebijakan yang jelas tentang aplikasi Cloud dan alat AI generatif apa saja yang legal digunakan di lingkungan kerja.

Sistem Informasi Manajemen yang baik tidak hanya efisien, tetapi tangguh (resilient) dalam menghadapi lanskap ancaman modern. Keamanan bukanlah biaya, melainkan fondasi kelangsungan bisnis.