Acting as a Liaison to Help Develop Secure Web Applications

http://www.isaca.org/Knowledge-Center/Blog/Lists/Posts/Post.aspx?ID=561

- Idham Azhari

Global Privacy Study: How Does Your Organization Compare?

http://www.isaca.org/Knowledge-Center/Blog/Lists/Posts/Post.aspx?ID=560

- Idham Azhari

Coconut Water Empire to Bust: A Data-Breach Case Study

Think hackers are interested in attacking only large enterprises? Get with it. http://www.entrepreneur.com/article/250837

- Idham Azhari

The Risk of Mobile Pivoting in the Enterprise

http://www.isaca.org/Knowledge-Center/Blog/Lists/Posts/Post.aspx?ID=548

- Idham Azhari

8 Tips To Prepare Your Business for an Inevitable Cyber Attack

It's not 'if' but 'when' that your business will fall prey. http://www.entrepreneur.com/article/250979

- Idham Azhari

In Government Hack, the Number of Fingerprints Stolen Has Jumped to 5.6 Million

Hackers who stole security clearance data on millions of Defense Department and other U.S. government employees got away with about 5.6 million fingerprint records, some 4.5 million more than initially reported, the government states. http://www.entrepreneur.com/article/250964

- Idham Azhari

Using Cyber Risk Intelligence to Identify the Controls You Should Focus On

http://www.isaca.org/Knowledge-Center/Blog/Lists/Posts/Post.aspx?ID=544

- Idham Azhari

Customized Malware-The Game Changer

http://www.isaca.org/Knowledge-Center/Blog/Lists/Posts/Post.aspx?ID=543

- Idham Azhari

Attacks are Effectively Unstoppable

http://www.isaca.org/Knowledge-Center/Blog/Lists/Posts/Post.aspx?ID=541

- Muhammad Idham Azhari

From the Top-Keys to Cyber Risk Management for the Executive

http://www.isaca.org/Knowledge-Center/Blog/Lists/Posts/Post.aspx?ID=540

- Muhammad Idham Azhari

People Are The Heart Of Security

- Muhammad Idham Azhari

MyDesign: Electronic Security System III

- Muhammad Idham Azhari

MyDesign: Electronic Security System II

- Muhammad Idham Azhari

MyDesign: Electronic Security System

- Muhammad Idham Azhari

BlackBerry 10 Dapat Label Aman dari NATO

Kamis, 3 Oktober 2013 | 10.32 WIB

KOMPAS.com - Setelah dirundung oleh begitu banyak berita negatif belakangan ini, BlackBerry akhirnya bisa sedikit bernafas lega. Perusahaan asal Kanada ini baru saja mendengar sebuah kabar baik dari badan keamanan internasional NATO (North Atlantic Treaty Organization).

Melalui situs resminya, BlackBerry mengumumkan bahwa ponsel pintar berbasis BlackBerry 10 dan BlackBerry Enterprise Service 10 telah mendapatkan sertifikat keamanan dari NATO. BlackBerry mengklaim, BlackBerry 10 merupakan ponsel pertama yang mendapatkan sertifikat ini.

Sertifikat keamanan ini tampaknya tidak sembarangan dikeluarkan. Pihak NATO hanya memberikannya kepada perusahaan yang dinilai mampu menyediakan fitur komunikasi rahasia atau restricted.

Dengan adanya sertifikat ini, seperti dikutip dari The Next Web, Rabu (2/10/2013), karyawan NATO, dari level terendah hingga tertinggi, di ke-28 negara anggota dapat menggunakan perangkat BlackBerry 10 untuk kegiatan pekerjaan.

"Kami membangun platform BlackBerry 10 dari awal dengan kebutuhan keamanan tertinggi untuk pemerintah dan konsumen enterprise. Fakta bahwa BlackBerry Enterprise Service 10 dan ponsel BlackBerry 10 telah disetujui untuk komunikasi rahasia setelah satu bulan debutnya, adalah bukti ketelitian dari desain dan komitmen kami untuk pelanggan pemerintah," tulis Scott Totzke, Senior Vice President of Security, BlackBerry.

Berita mengenai sertifikasi dari NATO ini tentu menghadirkan sedikit angin segar bagi BlackBerry. Beberapa waktu belakangan ini, BlackBerry memang seperti tidak henti-hentinya "diserang" oleh berbagai masalah.

BBM untuk iPhone dan Android yang sejatinya sudah bisa dirilis pada 21 dan 22 September 2013 yang lalu harus mengalami kemunduran tanggal rilis akibat file tak resmi BBM untuk Android. Saking banyaknya pengguna yang menggunakan file tersebut, yaitu sekitar 1,1 juta pengguna, server BBM mengalami masalah yang cukup serius.

Tak lama setelah adanya masalah ini, BlackBerry kembali dihampiri berita kurang baik. Perusahaan mengalami kerugian yang cukup besar pada kuartal II tahun fiskal 2013. BlackBerry merugi cukup besar, yaitu 965 juta dollar AS atau sekitar Rp 10 triliun.

Jumlah perangkat yang terjual di kuartal tersebut pun kurang menggembirakan. Jumlahnya hanya sekitar 3,7 juta perangkat, sebagian besar masih menjalankan sistem operasi BlackBerry 7.

Quoted by Muhammad Idham Azhari from Kompas.com

CISSP (Certified Information Systems Security Professional) Domains

Berikut 10 Domain yang ada dalam CISSP.

1. Access Control - a collection of mechanisms that work together to create security architecture to protect the assets of the information system.

• Concepts/methodologies/techniques
• Effectiveness
• Attacks

2. Telecommunications and Network Security - discusses network structures, transmission methods, transport formats and security measures used to provide availability, integrity and confidentiality.

• Network architecture and design
• Communications channels
• Network components
• Network attacks

3. Information Security Governance and Risk Management - the identification of an organization's information assets and the development, documentation and implementation of policies, standards, procedures and guidelines.

• Security governance and policy
• Information classification/ownership
• Contractual agreements and procurement processes
• Risk management concepts
• Personal security
• Security education, training and awareness
• Certification and accreditation

4. Software Development Security - refers to the controls that are included within systems and applications software and the steps used in their development.

• Systems development life cycle (SDLC)
• Application environment and security controls
• Effectiveness of application security

5. Cryptography - the principles, means and methods of disguising information to ensure its integrity, confidentiality and autheticity.

• Encryption concepts
• Digital signatures
• Cryptanalytic attacks
• Public Key Infrastructure (PKI)
• Information hiding alternatives

6. Security Architecture and Design - contains the concepts, principles, structures and standards used to design, implement, monitor, and secure, operating systems, equipment, networks, applications, and those controls used to enforce various levels of confidentiality, integrity and availability.

• Fundamental concepts of security models
• Capabilities of information systems (e.g. memory protection, virtualization)
• Countermeasure principles
• Vulnerabilities and threats (e.g. cloud computing, aggregation, data flow control)

7. Operations Security - used to identify the controls over hardware, media and the operators with access privileges to any of these resources.

• Resource protection
• Incident response
• Attack prevention and response
• Patch and vulnerability management

8. Business Continuity and Disaster Recovery Planning - addresses the preservation of the business in the face of major disruptions to normal business operations.

• Business impact analysis
• Recovery strategy
• Disaster recovery process
• Provide training

9. Legal, Regulations, Investigations and Compliance - addresses computer crime laws and regulations; the ivestigative measures and techniques which can be used to determine if a crime has been committed and methods to gather evidence.

• Legal issues
• Investigations
• Forensic procedures
• Compliance requirements/procedures

10. Physical (Environmental) Security - addresses the threats, vulnerabilities and countermeasures that can be utilized to physically protect an enterprise's resources and sensitive information.

• Site/facility design considerations
• Perimeter security
• Internal security
• Facilities security

Quoted by Muhammad Idham Azhari from isc2.org

Indonesia Butuh Investigator Forensik Digital

Kamis, 25 Oktober 2012 | 14:37 WIB

KOMPAS.com — Tenaga profesional investigator forensik digital diperlukan untuk menangani kasus cyber crime atau kejahatan di dunia maya, khususnya di Indonesia.

Hal ini dikemukakan oleh pakar forensik digital dari Universitas Islam Indonesia Yogyakarta, Yudi Prayudi.

"Penanganan kasus cyber crime membutuhkan perpaduan antara keahlian sebagai penyidik serta kemahiran dan dukungan teknologi komputer yang modern," katanya pada kuliah umum di Fakultas Teknologi Industri Universitas Islam Indonesia Yogyakarta (FTI UII Yogyakarta), Selasa (23/10/2012).

Namun, menurut dia, hingga saat ini jumlah investigator forensik digital masih terbatas. Di kalangan penegak hukum, penyidik yang memiliki kemampuan sebagai investigator forensik digital masih di bawah 10 persen.

"Di kalangan umum, investigator forensik digital belum dipandang sebagai profesi yang menjanjikan. Padahal, sejalan dengan kesadaran para pelaku bisnis mengenai pentingnya keamanan komputer dan potensi besar cyber crime yang dihadapi, kebutuhan terhadap profesi itu akan semakin meningkat," paparnya.

Ia mengatakan, cyber crime dapat menyerang siapa saja, baik individu, masyarakat, maupun institusi. Oleh karena itu, diperlukan investigator forensik digital, tidak hanya untuk kepentingan penegakan hukum, tetapi juga untuk berbagai keperluan lain.

Berbagai keperluan itu di antara lain agar organisasi atau perusahaan dapat selalu siap dan tanggap jika ada tuntutan hukum, terutama dalam menyiapkan bukti pendukung yang dibutuhkan, membantu organisasi atau perusahaan melakukan mitigasi risiko teknologi informasi yang dimiliki.

Keperluan lainnya adalah, jika terjadi peristiwa kejahatan yang membutuhkan investigasi lebih lanjut, maka dampak gangguan terhadap organisasi atau perusahaan dapat diminimalkan.

"Selain itu, para pelaku kejahatan akan berpikir dua kali sebelum menjalankan aksi kriminalnya terhadap organisasi atau perusahaan tertentu yang memiliki kapabilitas forensik komputer," kata Yudi.

Quoted by Muhammad Idham Azhari from Kompas.com

Data Loss Prevention

“Information that resides on laptops, on shared file servers, on portals, or in document management systems may be putting organizations at risk. Huge volumes of information—terabytes and even petabytes today—must be protected. This is especially difficult because sensitive information isn’t always properly labeled. Additionally, in most organizations, there is no way to know or verify whether sensitive data may be at risk or to know where it has proliferated to—even with access controls in place. Making matters more complicated, sensitive data typically consists of intellectual property assets that are harder to define than fixed data like credit card or Social Security numbers”

Penggalan paragraf diatas diambil dari salah satu penyedia layanan solusi ‘Information Security’, yaitu McAfee.

Solusi yang diharapkan adalah menggunakan suatu layanan produk yang biasanya disebut sebagai ‘Data Loss Protection’. Data Loss Protection merupakan suatu solusi produk untuk ‘Data Loss Prevention’.

Jadi apa itu Data Loss Prevention. Data Loss Prevention is:

1. to control how users send, access, and print sensitive data at the endpoint, through applications, and onto storage devices: email, webmail, peer-to-peer applications, IM, Skype, HTTP, HTTPS, FTP, WiFi, USB, CD, DVD, printers, fax, and removable storage.
2. to stop confidential data loss initiated by Trojans, worms, and file-sharing applications that hijack employee credentials.
3. to protect all data, formats, and derivatives, even when data is modified, copied, pasted, compressed, or encrypted – without disrupting day-to-day activities.

 -muhammad idham azhari-

Ini Dia 25 "Password" Terburuk 2012

Kamis, 25 Oktober 2012 | 13:40 WIB



KOMPAS.com - Dunia teknologi informasi selalu berubah, tapi ada satu hal yang tak ikut berubah: banyak orang yang menggunakan password yang lemah.

Password yang lemah ini adalah kata kunci yang terlalu mudah ditebak atau dipecahkan.

Splashdata, pengembang software keamanan, telah merilis daftar tahunan yang berisi peringkat password "terlemah" di internet. Tiga besar terburuk masih tetap dipegang oleh “password,” “123456,” dan “12345678”. Daftar password terburuk ini dibuat berdasarkan file dumps dari para peretas online.

Splashdata juga memberi catatan bahwa pada tahun 2012 ini telah terjadi peretasan terhadap situs yang tingkat keamanannya tinggi, termasuk Yahoo, LinkedIn, eHarmony, dan Last.fm.

Perusahaan keamanan ini selalu merilis daftar tahunan password terburuk untuk meningkatkan kepedulian user atas kekuatan password-nya—dan tentu saja untuk mempromosikan software manajemen password SplashID buatan mereka.

Selain kata-kata kunci yang memang “menyedihkan” karena tidak kreatif, seperti “abc123′”dan “qwerty,” pada daftar yang dirilis juga terdapat beberapa password yang agak tak terduga: “jesus,” “ninja,” dan “mustang”.

Kata kunci “password1” juga mulai masuk ke dalam daftar yang menunjukkan bahwa user sebenarnya sudah tahu bahwa kombinasi huruf dan angka bisa membentuk password yang kuat. Sayangnya, mereka masih memilih kombinasi yang salah dan sama sekali gak kreatif.

Berikut adalah daftar ke-25 password terburuk dan posisinya tahun lalu.

1. password (tetap)
2. 123456 (tetap)
3. 12345678 (tetap)
4. abc123 (naik 1)
5. qwerty (turun 1)
6. monkey (tetap)
7. letmein (naik 1)
8. dragon (naik 2)
9. 111111 (naik 3)
10. baseball (naik 1)
11. iloveyou (naik 2)
12. trustno1 (turun 3)
13. 1234567 (turun 6)
14. sunshine (naik 1)
15. master (turun 1)
16. 123123 (naik 4)
17. welcome (baru masuk daftar)
18. shadow (naik 1)
19. ashley (turun 3)
20. football (naik 5)
21. jesus (baru masuk daftar)
22. michael (naik 2)
23. ninja (baru masuk daftar)
24. mustang (baru masuk daftar)
25. password1 (baru masuk daftar)

Password untuk akun pribadi Anda termasuk dalam daftar di atas? Segera ganti sebelum menyesal nanti.

Quoted by Muhammad Idham Azhari from Kompas.com

"Hacker" Senang Pengguna Pakai "Password" Lemah

Aditya Panji | Reza Wahyudi | Kamis, 17 Mei 2012 | 13:15 WIB

JAKARTA, KOMPAS.com — Pelaku kejahatan cyber atau hacker kini mulai melirik media sosial, seperti Facebook atau Twitter, sebagai media untuk melakukan kejahatan cyber.

Hal ini tak lain disebabkan karena kurangnya kesadaran pengguna menjaga keamanan akun miliknya.

"Penjahat cyber memanfaatkan password yang lemah dari sebuah akun jejaring sosial," ujar Raymond Goh, Senior Director Systems Engineering Symantec South East Asia, saat jumpa pers di Jakarta pada Selasa (15/5/2012).

Hacker akan dengan mudah membobol sebuah akun jika password-nya mudah ditebak, misalnya tanggal kelahiran atau hanya "1234".

Raymond menyarankan agar pengguna situs jejaring sosial membuat password yang kuat, jika perlu menggantinya secara rutin.

Selain itu, jika menemukan link atau konten yang mencurigakan dan tidak relevan, ada baiknya tidak di-klik dan laporkan penyalahgunaan.

Bila hacker berhasil membobol sebuah akun, maka mereka bisa saja mengirim konten atau link yang membawa teman lain ke sebuah situs palsu yang kemungkinan besar akan mencuri data pribadi.

Sifat pertemanan di antara pengguna jejaring sosial membuat pengguna percaya begitu saja dengan link atau konten yang dikirim oleh teman mereka. Unsur kepercayaan ini juga yang dimanfaatkan para penjahat cyber.

Menurut Raymond, maraknya kejahatan cyber juga disebabkan meroketnya jumlah pengguna situs jejaring sosial.

Menurutnya, jumlah serangan kejahatan yang dilancarkan melalui blog dan web communication sebesar 25.022 percobaan pada tahun 2011.

Quoted by Muhammad Idham Azhari from Kompas.com