CIA Triad — Pondasi dasar Keamanan Informasi

Di tengah masifnya transformasi digital saat ini, keamanan informasi telah menjadi aspek fundamental yang wajib diprioritaskan. Kemudahan dalam mengakses data tanpa batas ruang dan waktu dapat menimbulkan risiko yang signifikan apabila tidak diimbangi dengan protokol keamanan yang memadai. Lantas, bagaimana sebenarnya standar penerapan keamanan informasi yang tepat? Disini, saya akan membahasnya.

Konsep CIA Triad

Pada dasarnya, keamanan informasi itu menggunakan prinsip yang menekankan pada 3 hal yaitu kerahasiaan (confidentiallity), integritas (integrity) dan ketersediaan data (availability). CIA Triad memberikan ceklis sederhana untuk mengevaluasi keamanan prosedur dan tools yang kita gunakan.

Confidentiality** (Kerahasiaan)** Confidentiality atau kerahasiaan berbicara mengenai bagaimana menjaga informasi sensitif tetap bersifat privat. Hal ini berarti memastikan data atau informasi hanya dapat diakses oleh pihak yang berwenang saja. Contoh dari data atau informasi yang harus dijaga kerahasiannya adalah catatan keuangan, catatan kesehatan atau rencana bisnis internal.

Banyak cara confidentiality bisa compromised, baik karena serangan langsung yang memang bertujuan untuk mendapatkan aksses, maupun menyusup melalui sebuah celah aplikasi. Serangan langsung biasanya menggunkaan teknik semacam man in the middle attack (MITM), dimana penyerang menempatkan dirinya pada stream informasi dengan tujuan melakukan intercept data untuk kemudian mencuri data dalam proses transfer informasi.

Untuk menjaga kerahasiaan, hal yang dapat dilakukan adalah mengklasifikasikan dan membatasi akses data, mengaktifkan kontrol akses, enkripsi data dan penggunakan Multi-factor authentication (MFA). Selain itu, training security awareness pada setiap user juga dibutuhkan untuk mencegah kebocoran data dari sisi user.

Integrity** (Integritas)** Integrity atau integritas berbicara mengenai bagaimana data terpercaya dan bebas dari gangguan. Integritas data terjaga jika data asli, akurat, dan tidak berubah oleh pihak yang tidak diijinkan.

Untuk melindungi integritas data, dapat dilakukan beberapa hal seperti menerapkan hashing, enkripsi, sertifikat atau tanda tangan digital.

Availability** (Ketersediaan)** Availability berarti memastikan informasi atau data selalu tersedia saat dibutuhkan oleh pengguna yang sah. Meski data tetap terjaga kerahasian dan integritasnya, akan tidak berguna apabila data tidak tersedia ketika dibutuhkan. Ketersediaan ini mencakup secara keseluruhan mulai dari sistem, jaringan, dan aplikasi yang harus tetap berfungsi.

Salah satu contoh serangan yang biasa dilakukan untuk menghentikan availability adalah DOS (Denial of Service) Attack yang mana serangan secara massive dalam waktu yang bersamaan yang mengakibatkan sistem atau jaringan terbanjiri traffic sehingga tidak dapat melayani permintaan.

Untuk memastikan availability data, hal yang dapat dilakukan adalah menghapus semua single point of failure dengan menyediakan backup atau redudansi pada setiap titik mulai dari networks, server, hingga aplikasi.