Ini tentang sistem IT. Lebih spesifik lagi sistem IT untuk mendukung pembayaran atau electronic payment system. Mulanya saya agak bingung untuk membedakan vulnerability (kerawanan) dengan threat (ancaman). Kelihatannya mudah. Tapi ternyata agak mumet. Yang saya ceritakan di sini adalah garis besar tahap-tahap yang dilakukan untuk menentukan tindakan pengamanan terhadap sistem pembayaran elektronik.
Begini ceritanya. Di tahap awal saya membagi ancaman terhadap electronic payment system menjadi 3 :
- Fraud terhadap transaksi. Yaitu terjadinya transaksi tanpa sepengetahuan pihak-pihak yang berhak (pemilik account).
- Gangguan terhadap availability. Yaitu gangguan berupa kegagalan sistem, kelambatan layanan dll.
- Penyalahgunaan sistem. Yaitu penggunaan sistem pembayaran untuk tujuan-tujuan lain yang menyalahi hukum, misal : money laundering
Tiga ancaman tersebut saya anggap sebagai ancaman utama yang merupakan tujuan akhir dari berbagai agen yang melancarkan serangan terhadap sistem atau kerusakan akhir sistem yang disebabkan oleh hal-hal lain yang bersifat tidak disengaja/unintentional (misal: bencana alam, kelalaian dll).
Nah, kemudian saya menganggap hal-hal lain di luar ketiga hal di atas sebagai vulnerability (kerawanan). Misal:
- Kemungkinan tercurinya PIN
- Kurangnya pengamanan fisik terhadap core transaction system
- Tidak adanya enkripsi end-to-end
- Kemungkinan terjadinya man-in-the-middle-attack terhadap komunikasi data antara user dengan pusat layanan.
- dll
Jadi, serangan yang memanfaatkan (meng-exploit) satu atau gabungan vulnerability tersebut mungkin dapat merealisasikan threat (ancaman). Langkah selanjutnya, saya akan menghitung (kuantitatif kalau mungkin, jika tidak ya cukup kualitatif saja) risiko tiap-tiap vulnerability tersebut. Jika risikonya tinggi, maka prioritas tindakan pengamanan tinggi, jika rendah maka prioritasnya rendah. Semacam feasibility analysis terhadap tindakan pengamanan.
Di sinilah letak kebingungannya! Ternyata ada kesalahan yang saya lakukan ketika membuat daftar vulnerability (lihat contoh di atas…). Saya mencampuradukkan antara kerawanan dan subancaman. Subancaman? Maksudnya ancaman yang bukan ancaman utama, bukan tujuan akhir serangan. Ini membingungkan! Karena akan ada kesalahan klasifikasi, yaitu memasukkan subancaman ke dalam daftar kerawanan.
Setelah diskusi dgn P BR, saya memperoleh sudut pandang yg lebih tajam untuk membedakan vulnerability dan threat. Threat selalu melibatkan pihak luar atau agen di luar sistem sedangkan vulnerability merupakan sifat inheren sistem yang sedang dianalisa. Jadi lebih jelas! Kita kembali ke daftar kerawanan:
- No 1 seharusnya merupakan subancaman. Kerawanannya adalah: user sangat sering menyimpan PIN di perangkat handheld yang ia pergunakan untuk melakukan transaksi.
- No 2 sudah betul
- No 3 sudah betul
- No 4 merupakan subancaman. Kerawanannya, misal: tidak ada (atau tidak cukupnya) mekanisme otentikasi antara user dengan pusat layanan.
- dll
Ya, lumayan. Kebingungan berkurang.
