Server Bank Mandiri Dibobol

Saya tersentak saat membaca berita bahwa ada pembobolan server Bank Mandiri. Bagaimana tidak, sebuah bank besar yang seharusnya sisi keamanannya sangat mature kenapa bisa bobol juga. Apakah Tata Kelola Keamanan Informasi nya tidak terimplementasi dengan baik? Dan ternyata penyebabnya sangat sepele. Walaupun sebabnya ada beberapa namun yang paling menggelitik adalah penggunaan password yang umun, tidak secure, unhardened password, yaitu angka "123456" dan itu digunakan untuk Remote Desktop. What the hell..!!! Memang yang membobol orang dalam. Dan terbukti bahwa penyebab kebobolan paling rawan adalah internal user.

Penyebab kebobolan tersebut memang paling sering terjadi, seperti yang banyak disebutkan dalam CISA (Certified Information Systems Auditor) ataupun CISSP (Certified Information Systems Security Professional) yaitu :
1. Employees Dissatisfied
2. Default Password
3. Segregation of Duties
4. Access Control

Yang masih membuat saya penasaran adalah bagaimana digital forensik nya? Kereeen... sepertinya itu ilmu yang mahal. Berikut ini beritanya, dan bisa digunakan untuk pelajaran, case study dan latihan analisa ;)

-- 2 Pegawai Bank Mandiri Didakwa Bobol Rekening Rp 5,9 M --

Jakarta - Dua pegawai Bank Mandiri nekat membobol sistem bank dan mengambil uang Rp 5 miliar. Mereka kini harus duduk di kursi terdakwa Pengadilan Tipikor Jakarta.
Kedua terdakwa adalah Syofrigo, pegawai Bank Mandiri Pusat Regional Network Grup sebagai sign officer management information system dan Mohammad Fajar Junaedi, pegawai Bank Mandiri cabang Bogor Juanda sebagai verifikator.

Dalam dakwaan dijelaskan, Syofrigo bertemu Fajar pada November 2011. Mereka membicarakan cara mencari tambahan penghasilan. Alasan kekecewaan terhadap manajemen juga melatarbelakangi rencana membobol duit bank.

"Terdakwa I juga menceritakan mengenai kekecewaannya dengan perlakuan pihak manajemen di Regional Network Group di kantor pusat. Ternyata terdakwa juga mengalami kekecewaan dengan perlakuan manajemennya," kata jaksa penuntut umum, Immanuel Richendry Hot di Pengadilan Tipikor, Jalan HR Rasuna Said, Jaksel, Rabu (24/10/2012).

Pada bulan Januari 2012, Syofrigo bertemu dengan Fajar dan menceritakan cara mendapatkan tambahan penghasilan dengan cara memanfaatkan kelemahan sistem transaksi di Bank Mandiri.
"Terdakwa I (Syofrigo) memberikan gambaran cara untuk membobol sistem transaksi di Bank Mandiri yaitu masuk ke server dan melakukan posting dengan kode transaksi. Dengan cara itu bisa mengambil uang dari rekening Bank Mandiri," terang Immanuel.

Keduanya membagi tugas. Syofrigo melakukan pemindahbukuan dari rekening Mandiri dan Fajar menentukan target, jumlah uang yang akan diambil dan mencari nomor rekening yang akan dijadikan untuk menampung uang.

Pada 8 Februari 2012, Syofirgo mencoba masuk ke server back up Mandiri cabang Jambi. Syofirgo masuk ke program Remote Dekstop dengan menggunakan komputer di kantor Bank Mandiri pusat. Setelah muncul tampilan login Branch Delivery System, Syofirgo memasukan kode cabang ditambah nomor 50 dengan 60 pada kolom user name dan mengetikkan 123456 pada kolom password untuk pengetikan kode cabang pada kolom user name.

"Ternyata berhasil masuk ke BDS Bank Mandiri cabang Jambi. Terdakwa I kemudian mencari nomor rekening yang akan digunakan untuk menampung pemindahbukuan dana dari Mandiri Jambi dengan melakukan pemantauan rekening," terang jaksa.

Syofirgo menemukan rekening atas nama Joni di Bank Mandiri cabang Probolinggo yang dijadikan penampung uang. "Selanjutnya dengan melawan hukum, terdakwa I (Syofirgo) memindahbukukan dana Rp 5.922.500.000," sebut Immanuel.

Uang di rekening Joni kemudian dipindahbukukan lagi ke rekening Donny Cahyadi Foeng. Terdakwa Fajar langsung membelikan 115 emas batangan atau seberat 11,5 kg dari uang tersebut.

Syofirgo mendapat bagian 52 keping emas atau seberat 5,2 kg, sementara Fajar mendapat 57 keping seberat 5,7 kg. Sisanya tiga keping emas lebih dulu dijual dan 3 lainnya diberikan kepada orang lain.
Dalam dakwaan primer, kedua terdakwa dijerat Pasal 2 ayat 1 UU Pemberantasan Tipikor. Dakwaan subsisder Pasal 3 jo Pasal 18 ayat 1 UU Pemberantasan Tipikor dan subsider kedua, Pasal 3 jo Pasal 10 UU Pencegahan dan Pemberantasan Tindak Pidana Pencucian Uang.

Usai persidangan jaksa Immanuel menjelaskan perkara ini disidang di Pengadilan Tipikor karena Bank Mandiri adalah BUMN. "Kerugian Bank Mandiri akibat pembobolan harus diganti menggunakan uang negara," katanya.

*Sumber berita : Ferdinan / detikcom (Rabu, 24/10/2012 20:09 WIB)
*Certified Information Systems Auditor

Indonesia Perlu Tingkatkan Keamanan Informasi

Indonesia perlu meningkatkan keamanan transaksi elektronik sesuai standar internasional. Hal ini dilakukan agar dapat dipercaya dalam transaksi elektronik secara global.

"Zaman telah berubah, dari sistem transaksi tradisional ke transaksi elektronik. Namun sistem ini membutuhkan jaminan keamanan yang tinggi," kata Ketua Umum Ikatan Auditor Teknologi Indonesia (IATI) Marzan A Iskandar pada acara lokakarya bertema "Audit Keamanan Teknologi Informasi untuk Kemandirian dan Daya Saing Bangsa" di Jakarta, Rabu (30/5).

Dia lantas memberi contoh perusahaan penyedia layanan transaksi elektronik Amazon yang tidak bersedia melayani transaksi dari Indonesia. Pihak Amazon menganggap Indonesia tidak memiliki jaminan keamanan yang baik dalam transaksi elektronik.

Faktor keamanan informasi merupakan aspek yang sangat penting. Ini mengingat kinerja tata kelola teknologi informasi dan komunikasi (TIK) akan terganggu jika mengalami masalah keamanan. Terutama yang terkait dengan kerahasiaan (confidentiality), keutuhan (integrity), dan ketersediaan (availability).

Oleh karena itu, menurut Marzan yang juga Kepala Badan Pengkajian dan Penerapan Teknologi (BPPT) ini, audit TIK penting untuk menjamin keamanan suatu sistem. Misalnya kemungkinan penyalahgunaan pusat data center e-KTP di Kementerian Dalam Negeri atau sistem pemilihan secara elektronik (e-voting).

Dia menjelaskan, Indonesia sudah memiliki Undang-Undang (UU) Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (ITE). UU ini mengharuskan diterapkannya tata kelola keamanan informasi secara andal dan aman serta bertanggung jawab. Selain itu ada pula standar Sistem Manajemen Keamanan Informasi (SMKI), yaitu SNI ISO/IEC 27001:2009. Ini yang menjadi pedoman dari pelaksanaan audit TIK.

Audit TIK, lanjut Marzan, diperlukan untuk menghindari kerugian akibat kehilangan data, kebocoran data, dan penyalahgunaan data. Selain itu juga untuk menghindari kesalahan proses perhitungan, kesalahan pengambilan keputusan serta pemborosan investasi perangkat keras dan lunak.
Sementara itu, Staf Ahli Menteri Komunikasi dan Informatika Bidang Teknologi, Kalamullah Ramli mengatakan, pemerintah sudah menyelesaikan rancangan Peraturan Pemerintah (RPP) tentang Penyelenggraan Sistem dan Transaksi Elektronik. Dengan ketentuan ini diharapkan bisa menciptakan rasa aman di kalangan masyarakat. Ruang lingkup RPP ini meliputi penyelenggaraan sertifikasi elektronik, penyelenggaraan agen elektronik, dan penyelenggaraan transaksi elektronik. Di samping itu penyelenggaraan sistem elektronik, tandatangan elektronik hingga lembaga sertifikasi keandalan serta nama domain.

Pemanfaatan internet kini makin menunjukkan pertumbuhan yang signifikan. Di dunia pada Desember 2011, ada 2,2 miliar lebih pengguna internet dan di Indonesia sendiri sudah ada 55 juta pengguna internet dengan penetrasi 22,4 persen dari jumlah penduduk. Saat ini di Indonesia terdapat 5 miliar perangkat yang didukung jaringan internet dan diprediksi di masa mendatang bisa mencapai 50 miliar perangkat.


Sumber : Indra - Suara Karya 31/5/2012 [TRANSAKSI ELEKTRONIK Indonesia Perlu Tingkatkan Keamanan]

Pentingnya Audit Keamanan Teknologi Informasi

"Kemajuan Teknologi Informasi dan Komunikasi (TIK) berlangsung sedemikian cepat. Secara langsung dan tidak langsung sangat mempengaruhi percepatan pembangunan bangsa. Oleh karena itu, kita semua harus mengantisipasi dan memanfaatkan pesatnya kemajuan TIK demi kemajuan Indonesia," ungkap Kepala BPPT Marzan A Iskandar saat Workshop Audit Keamanan Teknologi Informasi untuk Kemandirian dan Daya Saing Bangsa & Raker Ikatan Auditor Teknologi Indonesia (IATI) Tahun 2012 di auditorium BPPT (30/5).

Audit TIK, lanjutnya, sangat diperlukan agar terhindar dari kerugian akibat kehilangan data, kesalahan dalam pengambilan keputusan, resiko kebocoran data, penyalahgunaan komputer, kerugian akibat kesalahan proses perhitungan dan pemborosan dalam investasi. "Peran masyarakat, terutama peran para auditor teknologi informasi yang tergabung di dalam IATI sangatlah penting, untuk mengendalikan dan mengaudit perkembangan teknologi informasi agar dapat menciptakan value yang optimal dan menjamin keamanan informasi bagi pengguna teknologi informasi di tanah air" jelasnya.

Selanjutnya, Marzan yang juga merupakan Ketua Umum IATI menyampaikan bahwa audit keamanan TIK yang selama ini sudah dilakukan dalam audit e-KTP, e-Pemilu, dan Cyber Security dalam transaksi elektronik. Selain itu juga audit Sistem Informasi Pertahanan Negara (Sisfohaneg) yang meliputi IT Security Architecture, Cyber Defence dalam konteks C4ISR, mengatasi serangan keamanan  dengan spektrum luas, mulai cyber crime, cyber terrorism, dan cyber warfare urainya.

Senada dengan Kepala BPPT, Kallamulah Ramli, Staf Ahli Menteri Bidang Teknologi Kementerian Komunikasi dan Informatika turut menyampaikan bahwa pembangunan TIK dapat mendorong pertumbuhan ekonomi dan secara tidak langsung dapat menciptakan kemandirian dan daya saing bangsa Indonesia.

Kallamulah menerangkan berdasarkan data secara umum di seluruh dunia per Desember 2011 mencapai 2 miliar lebih dimana pengguna internet di Indonesia sekitar 55 juta per Desember 2011 dengan penetrasi sebesar 22,4% dari jumlah populasi penunduk. "Hal demikian menandakan kemajuan TIK khususnya pemanfaatan internet semakin menunjukkan pertumbuhan signifikan" katanya.

Saat ini, sambungnya Indonesia terdapat 5 miliar perangkat yang mendukung jaringan internet. Pada masa-masa mendatang diprediksi akan mencapai 50 miliar perangkat. "Dengan jumlah yang semakin membesar, kebutuhan rasa aman merupakan kebutuhan utama bagi setiap pengguna yang mencakup keamanan, keselamatan dan kepastian hukum" ungkapnya.

Sebagai upaya mempertahankan keamanan di dunia cyber, menurutnya terdapat tiga pendekatan yaitu pendekatan hukum, pendekatan security teknologi dan pendekatan sosial budaya. "Ketiga pendekatan tersebut akan memberikan solusi yang komprehensif yang mencakup faktor people, process dan technology" tambahnya.

Pada kesempatan yang sama, Deputi Bidang Infrastruktur dan Wilayah Kemenkoperekonomian, Lucky Eko Wuryanto mengungkapkan bahwa TIK merupakan teknologi yang mewakili dari suatu kemajuan teknologi yang pesat. Dengan TIK, kita dapat menshare dengan jutaan orang sehingga segala sesuatunya menjadi transparan. "Dengan demikian, sisi lain yang  harus diperhatikan adalah keamanan informasi. Karena di sisi itulah kita dapat memperoleh suatu manfaat secara langsung maupun tidak langsung dari segi ekonomi" ucapnya.

Ia juga turut memberikan dorongan dan dukungan positif terkait dengan perkembangan audit keamanan informasi. "Dewasa ini, jika kita ingin masuk dalam lingkup yang berdaya saing tinggi dan menjadi pemain ekonomi global, maka kita tidak bisa hidup dalam dunia yang tidak berhubungan antara satu negara dengan negara lainnya. Intinya, diperlukan Teknologi Informasi dan Komunikasi" tegasnya.

Workshop tersebut menurut Kepala BPPT diadakan dengan tujuan untuk memaparkan masalah-masalah di tingkat nasional terkait dengan perlunya audit keamanan teknologi informasi serta mendiskusikan solusi-solusi yang ada. Selain itu juga untuk memberikan kesadaran (awareness) akan pentingnya audit keamanan teknologi informasi, terutama bagi anggota IATI (Ikatan Auditor Teknologi Indonesia. "Diharapkan di akhir workshop nanti dapat memberi rekomendasi kepada pihak-pihak terkait baik pemerintah maupun swasta agar menerapkan audit keamanan teknologi informasi secara periodik untuk menciptakan tatakelola teknologi informasi (IT Governance) yang baik dan berkesinambungan" tutupnya.

Sumber : KYRAS/humas - BPPT 31/05/2012 [Audit Keamanan Teknologi Informasi Untuk Kemandirian Dan Daya Saing Bangsa]

Indonesia Bentuk Tim Khusus Cyber Security

Kementerian Pendidikan dan Kebudayaan (Kemdikbud) bersama Institut Teknologi Bandung (ITB) akan meningkatkan keamanan internet di Indonesia. Sebuah program dan tim khusus dibentuk untuk tujuan ini.

Sebagai langkah awal, akan diseleksi 50 orang untuk digembleng agar memiliki keahlian tingkat dunia di bidang keamanan internet. Penanggung jawab program, Yusep Rohmansyah, mengatakan,cyber security merupakan isu serius di banyak negara, baik dalam sektor pemerintahan maupun sektor swasta.

Tak main-main, biaya proyek ini mencapai 5,5 juta dollar AS yang didapat dari hibah Korea International Cooperation Agency (KOICA).

"Kurangnya tenaga profesional membuat Indonesia mengalami banyak kerugian atas serangan cyber. Itulah kenapa program ini dirancang," kata Yusep, di Gedung Kemdikbud, Jakarta, Selasa (17/7/2012) malam.

Dosen ITB ini menjelaskan, proyek ini sudah dimulai bulan ini dan akan selesai pada Juni 2014. Nantinya akan ada tiga modul di dalamnya, yaitu pembangunan pusat cyber security, pendidikan program cyber security, serta R & D program.

Gedung pusat cyber security rencananya akan dibangun di Kampus ITB Jatinangor. Melalui program ini, 25 sarjana akan dilatih untuk mencapai tingkat dunia dalam keterampilan praktis cyber security, seperti teknologi kriptografi dan teknik hacking.

Sementara 25 orang lainnya merupakan staf senior bidang informasi yang akan dilatih sebagai konsultan atau petugas keamanan di lembaga-lembaga pemerintahan dan sektor swasta.
"Seleksi ini terbuka untuk umum. Dosen dan mahasiswa ITB juga akan terlibat dalam beberapa bidang," ujarnya. Untuk mencapai tujuan optimal, kata dia, Kemdikbud juga dilibatkan untuk membantu semua prosedur yang diperlukan. Seperti penyediaan lahan, pengiriman peralatan, dan pekerjaan administrasi lainnya.

Kemdikbud akan banyak terlibat dalam pemantauan, kemajuan, dan keberlanjutan proyek tersebut. "Pelatihan di luar negeri juga akan dilaksanakan, dan Pemerintah Korea akan membantu mengirimkan tenaga ahli untuk membuat rencana induk, desain arsitektur, dan saran teknis," paparnya.

Sumber : Indra Akuntono - Kompas 18/7/2012 [Dicari! 50 Orang untuk Jadi "Polisi" Internet Indonesia]

Kominfo Akan Bentuk Tim Penanganan Insiden Keamanan Informasi

Kementerian Komunikasi dan Informatika (Kominfo) melontarkan wacana pembentukan tim penanganan insiden keamanan informasi. Proses penggodokan tim ini sendiri melibatkan Academic CSIRT, Id-CERT, Id-SIRTII, Banking CERT, Telko-CERT serta Direktorat Keamanan Informasi sebagai penyelenggara.

Beberapa isu terkait keamanan informasi dilontarkan dalam pertemuan tersebut. Seperti terkait defacement, DDOS, theft, malware dan segudang istilah penyerangan keamanan informasi.
Acara dibuka oleh Aswin Sasongko, Dirjen Aplikasi dan Telematika yang melontarkan beberapa kejadian insiden keamanan informasi di dunia penerbangan, serangan ke web pemerintahan, serta bagaimana pemerintah mengatasi berbagai serangan tersebut.

Para panelis mengemukakan berbagai pengalamannya di dalam mengelola CSIRT. Seperti Id-SIRTII disampaikan oleh ketua barunya Rudy Lumanto yang memberikan ilustrasi melindungi informasi layaknya melindungi sebuah benteng dan aset yang ada di dalamnya.

Panelis berikutnya Academic CSIRT yang diwakili oleh sang ketua IGN Mantra. Ia mengemukakan bahwa memberikan kesadaran informasi tidak bisa secepat kilat, pendidikan merupakan cikal bakal bagi anak-anak untuk belajar berbagai hal termasuk mengamankan informasi. Seyogyanya, mendidik dalam mengamankan informasi itu harus dilakukan sejak dini.

Academic CSIRT merupakan wadah bagi perguruan tinggi yang sedang menerapkan keamanan informasi dan menjadi contact point bila terjadi insiden keamanan informasi.
Panelis terakhir adalah Telko-CERT yang diwakili oleh Yusril Sini. Ia mengemukakan tentang grand scenario cyber security, ada beberapa domain yang saling terkait untuk melindungi keamanan informasi seperti mengamankan operation & maintenance, new services & application, optimize existing, dan lainnya.

Kesimpulan dari pertemuan itu adalah informasi memang milik bersama tetapi informasi tersebut harus dijaga keamanannya. Ada berbagai cara untuk melumpuhkan dan mengambil informasi kritis tersebut dan banyak pula cara untuk melindunginya.

"Yang paling penting dari semuanya adalah nasionalisme, siapa lagi yang melindungi informasi negara kita bila tidak kita sendiri sebagai warga negara republik Indonesia," pungkas IGN Mantra.

Sumber: Ardhi Suryadhi - detikinet - 24/02/2012 [Kominfo Godok Tim Penanganan Insiden Keamanan Informasi]

Panduan Tata Kelola Keamanan Informasi

Penerapan tata kelola Teknologi Informasi dan Komunikasi (TIK) saat ini sudah menjadi kebutuhan dan tuntutan di setiap instansi penyelenggara pelayanan publik mengingat peran TIK yang semakin penting bagi upaya peningkatan kualitas layanan sebagai salah satu realisasi dari tata kelola pemerintahan yang baik (Good Corporate Governance/GCG). Pemerintah telah menetapkan peraturan terkait dengan Tata Kelola TIK yaitu melalui Peraturan Menteri Komunikasi Dan Informatika Nomor: 41/PER/MEN.KOMINFO/11/2007 Tentang PANDUAN UMUM TATA KELOLA TEKNOLOGI INFORMASI DAN KOMUNIKASI NASIONAL.

Namun di dalam Permen tersebut tidak mencakup keamanan infromasi secara mendalam. Sedangkan dalam penyelenggaraan tata kelola TIK, faktor keamanan informasi merupakan aspek yang sangat penting diperhatikan mengingat kinerja tata kelola TIK akan terganggu jika informasi sebagai salah satu objek utama tata kelola TIK mengalami masalah keamanan informasi yang menyangkut kerahasiaan (confidentiality), keutuhan (integrity) dan ketersediaan (availability).

Untuk itu Republik Indonesia melalui Kementrian Komunikasi dan Informatika RI telah membuat suatu panduan untuk penerapan tata kelola keamanan informasi, panduan itu dikeluarkan oleh Direktorat Keamanan Informasi Kementrian Komunikasi dan Informatika RI dan diberi nama Panduan Penerapan Tata Kelola Keamanan Informasi bagi Penyelenggara Pelayanan Publik

Hal ini menunjukkan bahwa negara peduli terhadap keaman informasi sehingga memberikan panduan kepada penyelenggara pelayanan publik. Tujuan dari panduan ini adalah agar instansi/lembaga penyelenggara pelayanan publik:
* Mampu menerapkan tatakelola keamanan informasi secara efektif, efisien, dan konsisten dengan pendekatan berbasis risiko.
*Mampu melakukan penilaian mandiri (self-assesment) secara objektif dengan menggunakan Indeks Keamanan Informasi (Indeks KAMI)
*Mampu menyusun sistem dokumentasi minimum yang diperlukan untuk menerapkan tata kelola keamanan informasi
*Memahami roadmap penerapan tata kelola keamanan informasi

Panduan ini direkomendasikan untuk diterapkan di lingkungan penyelenggaran pelayanan publik yang meliputi: Instansi pemerintah pusat dan daerah, BUMN, BUMD dan penyelenggara pelayanan publik lainnya. Dalam panduan tersebut terdapat lima area evaluasi yang merupakan kontrol-kontrol keamanan sebagaimana dijelaskan dalam ISO/ISO 27001:2005 dengan mempertimbangkan karakteristik kondisi penerapan sistem manajemen keamanan informasi, khususnya instansi/lembaga penyelenggara pelayanan publik di Indonesia. 5 (lima) area tersebut adalah:
1. Tata Kelola Keamanan Informasi
2. Manajemen Risiko Keamanan Informasi
3. Kerangka Kerja Pengelolaan Keamanan Informasi
4. Pengelolaan Aset Informasi
5. Teknologi Keamanan Informasi

Buku panduan tersebut dapat dilihat di Repositori Digital Kominfo