Mencegah ancaman keamanan suatu jejaring TI suatu perusahaan telah menjadi agenda penting banyak perusahaan, belakangan ini. Namun, ancaman itu tak semuanya bermuara dari ancaman pihak luar, pihak internal pun sangat potensial menjadi ancaman, terutama jika hal itu tidak disadari secara baik.

Karenanya, ada banyak hal yang harus dicermati secara sungguh-sungguh, baik itu teknologi, kebijakan, prosedur dan kedisiplinan dari seluruh jajaran suatu perusahaan maupun tanggungjawab yang semestinya dari para CEO. Berikut ini, Cisco (lihat situs web www.cisco.com ) memaparkan setidaknya ada enam hal yang perlu diperhatikan secara sungguh-sungguh terhadap masalah keamanan sistem informasi ini, yakni:

1. Karyawan garda depan, seperti resepsionis dan operator telepon, tanpa sengaja justru menjadi fasilitator terjadinya pencurian data atau intrusi:

Hal ini biasanya dilakukan melalui apa yang disebut "social engineering," yakni bagaimana pihak luar mempengaruhi karyawan garda depan ini untuk mendapatkan identitas tertentu bagi kepentingannya, misalnya dapat menipu si operator melalui pengalihan panggilan telepon langsung ke call center TI internal. Call center melihat adanya internal extension (seolah-olah keperluan internal) dan memenuhi permintaan si pemanggil untuk mengubah password , mengirim file atau mengakses jaringan dari jarak jauh.

2. Administrator jaringan yang rendah kemampuannya dan kurang terlatih membuat kesalahan konfigurasi: Kurangnya pelatihan lintas karyawan (antar beberapa bagian) seringkali dianggap menjadi penyebab kurangnya kemampuan menjaga keamanan system informasi suatu perusahaan. Misalnya saja, terjadinya kesalahan dalam mengonfigurasi system TI.

3. Kurangnya perlindungan dari karyawan-karyawan yang telah berhenti kerja: Kalangan akhli security menyarankan manajer departemen SDM untuk meneliti semua dokumen pribadi karyawan-karyawan yang telah meninggalkan perusahaan (baik behenti, meninggal atau lainnya) guna membersihkan semua informasi rahasia atau milik pribadi. Mereka harus memastikan bahwa kebijakan merahasiakan semua data yang terdapat pada laptop atau komputer milik perusahaan, sehingga karyawan juga menyadari sepenuhnya bahwa data itu benar-benar perlu dirahasiakan dan dilindungi.

4. Gagal melindungi computer dan perangkat para pekerja jarak jauh (remote workers): Infrastruktur security perusahaan, termasuk firewalls , intrusion detection systems, URL filtering , dan virtual private networks —umumnya berfungsi untuk melindungi koneksi internet dari invasi pihak luar. Namun, ketika perusahaan mengamankan koneksi internetnya, seringkali mereka tak yakin bahwa computer sendiri telah di”bajak” ( hacked ). Karyawan jarak jauh yang menghubung ke internet tanpa menggunakan infrastruktur perusahaan yang aman, berarti terhubungan ke koneksi public, mereka sesungguhnya masuk ke jaringan yang tak aman.

5. Memperkenalkan teknologi baru: "Kapan saja Anda menambah cara baru untuk mengakses jejaring, misalnya koneksi nirkabel, itu berarti Anda menambah cara baru yang mungkin di terobos ( hacked ). Misalnya saja, laptop yang dilengkapi kartu antarmuka untuk jejaring nirkabel (built-in) itu memungkinkan pengguna yang tak sah ( nonauthorized ) menempel ke koneksi ketika pengguna menghidupkan komputernya atau setelah memasuki infrastuktur nirkabel yang diaksesnya. Para penerobos, dengan begitu, dapat masuk ke dalam jejaring perusahaan dan tak terdeteksi.

6. T idak mendorong penyesuaian (compliance) terhadap kebijakan TI korporat terpusat: Dorongan yang kuta untuk compliance terhadap kebijakan TI akan mengurangi terjadinya masalah keamanan data. Bagian TI suatu perusahaan harus mendorong hal itu dengan menolak akses ke jejaring oleh para pengguna yang tak memenuhi standar tertentu, seperti apakah telah memperbarui piranti lunak anti virus di computer pengguna. Bagian SDM dan manajemen dapat bekerjasama untuk membuat suatu kebijakan keamanan system informasi perusahaan yang lebih baik.

Jessica S. Davis/Insa

Foto-foto: Muflihun.