Dasar Keamanan Siber

1.1 Apa itu keamanan siber dan mengapa manusia penting Dasar

Keamanan siber adalah upaya melindungi perangkat, akun, jaringan, dan data dari akses, pencurian, atau perusakan oleh pihak yang tidak berhak. Sering kali kita membayangkannya sebagai urusan peretas dan firewall, padahal banyak insiden dimulai dari keputusan kecil seorang pengguna: mengeklik tautan, membagikan kode OTP, atau memakai password yang sama di mana-mana.

Karena itu manusia disebut sebagai lapisan pertahanan pertama sekaligus mata rantai yang paling sering diincar. Penyerang tahu bahwa membujuk satu orang biasanya lebih murah dan lebih cepat daripada membobol sistem yang dijaga ketat. Teknik membujuk ini disebut social engineering.

• Teknologi melindungi sistem, kebiasaan melindungi akun
• Satu klik salah bisa membuka jalan ke seluruh akun
• Penyerang menyasar emosi: takut, senang, buru-buru, dan rasa ingin menolong
• Kebiasaan aman bisa dilatih, tidak perlu jadi ahli IT

Contoh: Seorang mahasiswa menerima pesan 'KRS Anda bermasalah, login di sini'. Sistem kampus aman, tetapi halaman login palsu berhasil mengambil password karena ia tidak memeriksa alamatnya.

1.2 Segitiga CIA: Confidentiality, Integrity, Availability Dasar

Hampir semua konsep keamanan bisa dikembalikan ke tiga tujuan. Confidentiality (kerahasiaan) berarti hanya orang berhak yang bisa melihat data. Integrity (keutuhan) berarti data tidak diubah tanpa izin, misalnya nilai di portal tidak bisa diedit sembarang orang. Availability (ketersediaan) berarti data dan layanan bisa diakses saat dibutuhkan.

Satu serangan bisa mengenai lebih dari satu tujuan. Phishing yang mencuri password melanggar kerahasiaan, ransomware yang mengunci file melanggar ketersediaan, dan pengubahan nominal pada transfer melanggar keutuhan.

• Confidentiality: password, OTP, dan data pribadi harus tetap rahasia
• Integrity: file unduhan dan data harus asli dan tidak dimodifikasi (contohnya dicek lewat hash)
• Availability: backup dan update menjaga layanan tetap bisa dipakai
• Saat menilai risiko, tanyakan: tujuan CIA mana yang terancam?

1.3 Aset, ancaman, kerentanan, dan risiko Menengah

Aset adalah sesuatu yang berharga dan perlu dilindungi: akun email, foto, data KTM, uang di e-wallet, bahkan reputasimu. Ancaman (threat) adalah hal yang bisa menimbulkan kerugian pada aset, misalnya penipu atau malware. Kerentanan (vulnerability) adalah kelemahan yang bisa dimanfaatkan ancaman, misalnya password lemah atau aplikasi yang belum diperbarui.

Risiko muncul ketika ada ancaman yang bisa memanfaatkan kerentanan pada aset, dan kita menilainya dari kemungkinan terjadi dan besar dampaknya. Pola pikir ini membantu menentukan mana yang perlu diprioritaskan: kerentanan yang mudah dimanfaatkan dengan dampak besar harus ditangani lebih dulu.

• Aset: apa yang dilindungi
• Ancaman: siapa atau apa yang bisa merugikan
• Kerentanan: celah yang membuat ancaman berhasil
• Risiko = kemungkinan x dampak
• Dampak bisa berupa kerugian uang, privasi, waktu, atau nama baik

Contoh: Aset: akun e-wallet. Ancaman: penipu yang meminta OTP. Kerentanan: kebiasaan percaya pada pesan yang mengatasnamakan bank. Risiko: saldo terkuras, dampaknya besar dan kemungkinannya tinggi jika tidak waspada.

1.4 Kontrol keamanan dan defense in depth Pendalaman

Kontrol keamanan adalah tindakan untuk menurunkan risiko. Ada tiga jenis: pencegahan (mencegah kejadian, seperti MFA dan update), pendeteksian (mengetahui kejadian, seperti notifikasi login baru), dan pemulihan (memperbaiki setelah kejadian, seperti backup). Kontrol juga bisa bersifat teknis, administratif (aturan dan pelatihan), maupun fisik (kunci ruangan).

Prinsip defense in depth berarti tidak bergantung pada satu lapisan. Jika satu lapisan gagal, lapisan lain masih melindungi. Contohnya, kamu tetap aman walau tertipu membuka tautan palsu bila akunmu memakai MFA dan password yang unik. Prinsip lain yang penting adalah least privilege: beri akses seperlunya saja.

• Pencegahan, pendeteksian, pemulihan
• Gunakan banyak lapisan: password unik, MFA, update, backup
• Least privilege: akses sesuai kebutuhan, tidak lebih
• Keamanan adalah proses berkelanjutan, bukan sekali pasang