PENGENDALIAN PREVENTIF

By Nur Fadhila Amri, SE., Ak., M.Si Last updated 21 Nov 2024 2,639

Pengendalian preventif adalah tindakan yang diambil untuk mencegah terjadinya masalah sebelum masalah itu muncul. Dalam konteks keamanan informasi, pengendalian preventif bertujuan untuk melindungi aset organisasi dari ancaman seperti pencurian data, gangguan sistem, dan serangan siber.

Mengapa pengendalian preventif penting?

Mencegah kerugian: Dengan mencegah masalah sebelum terjadi, organisasi dapat menghindari kerugian finansial, reputasi, dan operasional yang signifikan.
Meningkatkan efisiensi: Dengan memiliki sistem yang aman dan handal, organisasi dapat meningkatkan efisiensi operasional dan produktivitas karyawan.
Memenuhi regulasi: Banyak regulasi yang mewajibkan organisasi untuk menerapkan pengendalian preventif tertentu untuk melindungi data pribadi dan informasi sensitif lainnya.

Contoh pengendalian preventif

Kebijakan keamanan: Organisasi harus memiliki kebijakan keamanan yang jelas dan komprehensif yang mencakup semua aspek keamanan informasi, mulai dari penggunaan kata sandi hingga penanganan insiden keamanan. Kebijakan ini harus dikomunikasikan kepada seluruh karyawan dan ditegakkan secara konsisten.
Pelatihan keamanan: Pelatihan keamanan sangat penting untuk memastikan bahwa karyawan memahami kebijakan keamanan dan tahu bagaimana menerapkannya dalam pekerjaan sehari-hari. Pelatihan harus dilakukan secara berkala dan disesuaikan dengan peran dan tanggung jawab masing-masing karyawan.
Kontrol akses: Kontrol akses digunakan untuk membatasi akses ke sistem dan data hanya untuk pengguna yang berwenang. Contoh kontrol akses meliputi otentikasi (verifikasi identitas pengguna) dan otorisasi (menentukan hak akses pengguna).
Enkripsi: Enkripsi adalah proses mengacak data sehingga hanya dapat dibaca oleh orang yang memiliki kunci dekripsi yang tepat. Enkripsi dapat digunakan untuk melindungi data yang sensitif saat sedang ditransmisikan atau disimpan.
Perangkat lunak keamanan: Perangkat lunak keamanan seperti antivirus, firewall, dan sistem deteksi intrusi dapat membantu melindungi sistem dari serangan siber.
Kontrol fisik: Kontrol fisik digunakan untuk melindungi aset fisik organisasi, seperti server, jaringan, dan perangkat lainnya. Contoh kontrol fisik meliputi kunci, alarm, dan kamera pengawas.

Contoh dalam praktik

Pembuatan budaya keamanan: Manajemen harus menjadi contoh dalam mematuhi kebijakan keamanan. Jika karyawan melihat manajer melanggar kebijakan, mereka cenderung mengikuti contoh yang buruk.
Kontrol akses pengguna: Setiap pengguna hanya diberikan akses ke data dan sistem yang diperlukan untuk menjalankan tugasnya. Hal ini akan membatasi potensi kerusakan jika terjadi pelanggaran keamanan.
Enkripsi email: Email yang berisi informasi sensitif harus dienkripsi untuk mencegah akses oleh pihak yang tidak berwenang.
Pembatasan akses fisik: Akses ke ruang server atau pusat data harus dibatasi hanya untuk personel yang berwenang.

Pengendalian preventif adalah komponen penting dalam program keamanan informasi yang komprehensif. Dengan menerapkan pengendalian preventif yang tepat, organisasi dapat mengurangi risiko terjadinya pelanggaran keamanan dan melindungi aset berharga mereka.

Romney and Steinbart (2015) mendefinisikan pengendalian preventif (Preventive Controls) sebagai :

“Controls that deter problems before they arise, such as hiring qualified accounting personnel, appropriately segregating employee duties, and effectively controlling physical access to assets, facilities, and information.”

Pengendalian preventif memiliki fungsi untuk mencegah masalah sebelum mereka muncul. Contohnya termasuk mempekerjakan personil yang berkualitas, memisahkan tugas karyawan, dan mengendalikan akses fisik ke aset dan informasi.

EXAMPLE	EXPLANATION
People : Creation Of A “Security – Conscious” Culture	Manajemen puncak tidak hanya harus berkomunikasi kebijakan keamanan organisasi, tetapi juga harus memimpin dengan contoh. Karyawan lebih mungkin untuk mematuhi kebijakan keamanan informasi ketika mereka melihat manajer mereka melakukannya. Sebaliknya, jika karyawan mengamati manajer melanggar kebijakan keamanan informasi, misalnya dengan menuliskan password dan membubuhkan ke pemantauan, mereka cenderung meniru perilaku itu. Gambar 1. Various Preventetive Controls : Pieces the Security Puzzle
People : Training	Pelatihan adalah kontrol preventif secara kritis. Investasi organisasi dalam pelatihan keamanan akan efektif hanya jika manajemen jelas menunjukkan bahwa ia mendukung karyawan yang mengikuti kebijakan keamanan yang ditentukan. Hal ini sangat penting untuk memerangi serangan rekayasa sosial, karena penanggulangan terkadang membuat konfrontasi memalukan dengan karyawan lainnya.
Process : User Access Controls	· Authentication Controls, adalah proses verifikasi identitas orang atau perangkat yang mencoba mengakses sistem. · Authorization Controls, adalah proses membatasi akses pengguna dikonfirmasi ke bagian tertentu dari sistem dan membatasi tindakan apa yang mereka diizinkan untuk melakukan.
IT Solutions : Antimalware Controls	COBIT 5 bagian DSS05.01 berisi perlindungan malware sebagai salah satu kunci untuk keamanan yang efektif.
IT Solutions : Network Access Controls	Kebanyakan organisasi menyediakan karyawan, pelanggan, dan pemasok dengan akses remote ke sistem informasi mereka. Biasanya akses ini terjadi melalui internet, tetapi beberapa organisasi masih menjaga jaringan milik mereka sendiri atau memberikan langsung akses dial-up oleh modem.
IT Solutions : Device and Software Hardening Controls	Sebuah organisasi dapat meningkatkan sistem keamanan informasi dengan menambah kontrol pencegahan pada perimeter jaringan dengan kontrol pencegahan tambahan pada workstation, server, printer, dan perangkat lain (secara kolektif disebut sebagai endpoint) yang terdiri jaringan organisasi.
IT Solutions : Encryption	Enkripsi memberikan lapisan akhir pertahanan untuk mencegah akses tidak sah ke informasi sensitif.
Physical Security : Access Controls	Kontrol akses fisik dimulai dengan entry point untuk bangunan itu sendiri. Idealnya, seharusnya hanya ada satu titik masuk reguler yang tetap tidak terkunci selama jam kerja normal. Akses fisik ke peralatan komputer kamar perumahan juga harus dibatasi. Beberapa akses upaya gagal harus memicu alarm. Akses ke kabel yang digunakan dalam rencana organisasi juga perlu dibatasi untuk mencegah penyadapan.
Change Controls and Change Management	Perubahan kontrol dan manajemen perubahan adalah proses formal yang digunakan untuk memastikan bahwa modifikasi perangkat keras, perangkat lunak, atau proses tidak mengurangi keandalan sistem.

Pengendalian preventif adalah jenis pengendalian yang dirancang untuk mencegah masalah atau ancaman sebelum mereka terjadi. Dalam konteks keamanan informasi, pengendalian preventif dapat diimplementasikan dalam berbagai cara, termasuk melalui proses, teknologi, dan fisik.

Misalnya, menciptakan budaya keamanan yang sadar akan membuat karyawan lebih mematuhi kebijakan keamanan informasi. Pelatihan keamanan juga penting untuk memerangi serangan rekayasa sosial. Selain itu, kontrol akses pengguna, seperti autentikasi dan autorisasi, dapat membantu membatasi akses ke sistem dan informasi.

Dalam hal teknologi, pengendalian preventif dapat melibatkan penggunaan antimalware, kontrol akses jaringan, pengerasan perangkat dan perangkat lunak, dan enkripsi. Enkripsi dapat memberikan lapisan akhir pertahanan untuk mencegah akses tidak sah ke informasi sensitif.

Dalam hal fisik, kontrol akses dapat dimulai dengan entry point untuk bangunan itu sendiri, dan akses fisik ke peralatan komputer kamar perumahan harus dibatasi. Perubahan kontrol dan manajemen perubahan juga penting untuk memastikan bahwa modifikasi perangkat keras, perangkat lunak, atau proses tidak mengurangi keandalan sistem.

Dengan demikian, pengendalian preventif dapat membantu mencegah ancaman dan masalah keamanan informasi sebelum mereka terjadi, dan memastikan keamanan dan keandalan sistem informasi.

Pengendalian preventif juga dapat membantu mengurangi risiko kegagalan sistem, kerusakan data, dan kehilangan informasi sensitif. Dengan memiliki kontrol akses yang efektif, organisasi dapat membatasi akses ke sistem dan informasi hanya untuk orang-orang yang berhak.