Kelebihan dan Kelemahan EAM(Embedded Audit Modul), GAS(Generalized audit software), ACL(Audit Command Laguage)

Modul audit terpasang (Embedded Audit Modul)
Kelebihan:
1.Simulasi lebih dekat dgn transaksi sesungguhnya
2.Cocok untuk sistem online
3.Data sesungguhnya tidak terkontaminasi
4.Memungkinkan pengujian secara komprehensif
5.Hasil evaluasi sistem lebih baik

Kelemahan:
1.Biaya perencanaan relatif tinggi
2.Kode program dapat disalahgunakan oleh karyawan programmer


Program Pemeriksaan Umum(Generalized audit software-GAS)
Kelebihan Program Pemeriksaan Umum (Generalized audit software-GAS):
1. Mudah digunakan ( user friendly )
2. Menghemat waktu , lebih singkat dibandingkan dengan manual
3. Dapat mengakses berbagai file, sehingga lebih murah lebih cepat dalam melaksanakan pekerjaan
4. Meningkatkan keandalan beberapa aspek pemeriksaan, misal : penjumlahan, jumlah sampel dsb.

Kelemahan Program Pemeriksaan umum(Generalized audit software-GAS):
1.Tidak dapat digunakan untuk seluruh perangkat keras
2.Sangat mahal, karena organisasi yang diperiksa sifatnya unik.
3.Pemakaiannya relatif sulit
4.Harga relatif mahal
5.Jangkauan terbatas
6.Hanya dapat baca file secara serentak
7.Sulit membaca data over network


Audit Command Laguage(ACL)
Kelebihan ACL:
Mudah dalam penggunaan.
Built-in audit dan analisis data secara fungsional.
Kemampuan menangani ukuran file yang tidak terbatas.
Kemampuan mengekspor hasil audit
Pembuatan Laporan berkualitas tinggi.

Kelemahan ACL:
Teknik ACL hanya mengandalkan filtering dari 2 sisi.
1. Yakni blokir berdasarkan url
2. Blokir berdasarkan keyword yang terkandung dalam url.
Disinilah kelemahan utamanya. Cukup dengan memodifikasi keyword atau url suatu website, kita dapat dengan mudah mengelabui dan menipu aplikasi filtering. (Lihat ilustrasi dibawah ini)

Issue-Specific Security Policy (Isu-kebijakan keamanan sistem khusus)

Definisi Dasar Isu Kebijakan Khusus

Kebijakan arti yang berbeda untuk orang yang berbeda. The "Kebijakan" digunakan dalam bab ini secara luas untuk merujuk kepada keputusan-keputusan penting komputer yang berhubungan dengan keamanan.

Kebijakan jangka keamanan komputer didefinisikan sebagai "dokumentasi keputusan keamanan komputer"-yang mencakup semua jenis kebijakan. Dalam mengambil keputusan ini, manajer menghadapi pilihan sulit menyangkut alokasi sumber daya, tujuan bersaing, dan strategi organisasi terkait untuk melindungi kedua sumber daya teknis dan informasi serta pedoman perilaku karyawan. Manajer di semua tingkatan membuat pilihan yang dapat menghasilkan kebijakan, dengan lingkup penerapan kebijakan itu bervariasi sesuai dengan lingkup kewenangan manajer. keputusan manajerial tentang isu-isu keamanan komputer sangat bervariasi. Untuk membedakan antara berbagai macam kebijakan, bab ini mengkategorikan mereka ke dalam tiga tipe dasar:

* Kebijakan Program digunakan untuk membuat program komputer keamanan organisasi.
Isu-kebijakan khusus * isu-isu khusus yang menjadi perhatian organisasi.
* Sistem-spesifik kebijakan fokus pada keputusan yang diambil oleh manajemen
untuk melindungi system.

Prosedur, standar, dan pedoman yang digunakan untuk menggambarkan bagaimana kebijakan ini akan diimplementasikan dalam sebuah organisasi. Alat untuk Menerapkan Kebijakan:
Standar, Pedoman, dan Prosedur

Kebijakan dan pelaksanaannya. Hal ini dapat membantu dalam mempromosikan fleksibilitas dan efektivitas biaya dengan menawarkan alternatif pendekatan implementasi untuk mencapai tujuan kebijakan.
Secara umum, kebijakan masalah-spesifik dan sistem-spesifik, penerbit adalah seorang pejabat senior; itu, lebih global, kontroversial, atau sumber daya intensif yang lebih senior penerbit



Elemen Dasar Isu Kebijakan Khusus

Elemen-elemen organisasi dan pejabat yang bertanggung jawab untuk implementasi dan kesinambungan keamanan komputer policy.

Kepatuhan. Program kebijakan biasanya akan membahas dua isu kepatuhan:

1. kepatuhan Umum untuk memastikan memenuhi persyaratan untuk membentuk program dan tanggung jawab yang ditugaskan di dalamnya untuk komponen berbagai organisasi. Seringkali kantor pengawasan (misalnya, Inspektur Jenderal) diberikan tanggung jawab untuk pemantauan kepatuhan, termasuk seberapa baik organisasi menerapkan manajemen prioritas untuk program tersebut.

2. Penggunaan hukuman yang ditetapkan dan tindakan disipliner. Karena kebijakan keamanan adalah dokumen tingkat tinggi, hukuman yang spesifik untuk berbagai pelanggaran biasanya tidak rinci di sini, melainkan kebijakan dapat memberikan wewenang pembentukan struktur kepatuhan yang termasuk pelanggaran dan tindakan disiplin tertentu .

Mereka kebijakan kepatuhan berkembang harus ingat bahwa pelanggaran kebijakan bisa tidak disengaja pada bagian dari karyawan. Sebagai contoh, nonconformance sering bisa karena kurangnya pengetahuan atau pelatihan.

-Isu Kebijakan Khusus

Sedangkan kebijakan program ini dimaksudkan untuk mengatasi program komputer keamanan yang luas organizationwide, mengeluarkan kebijakan khusus dikembangkan untuk fokus pada bidang relevansi saat ini dan kepedulian (dan kadang-kadang kontroversi) untuk organisasi. Manajemen mungkin perlu, misalnya, untuk mengeluarkan kebijakan tentang bagaimana organisasi akan pendekatan perencanaan kontinjensi (sentralisasi vs desentralisasi) atau penggunaan metodologi tertentu untuk mengelola risiko sistem. Suatu kebijakan juga bisa dikeluarkan, misalnya, pada penggunaan yang tepat atas suatu teknologi mutakhir (kerentanan keamanan yang sebagian besar masih tidak diketahui) dalam organisasi. Isu kebijakan khusus juga mungkin tepat ketika isu baru muncul, seperti ketika mengimplementasikan undang-undang yang baru saja disahkan membutuhkan perlindungan tambahan informasi tertentu. Program kebijakan biasanya cukup luas yang tidak memerlukan banyak modifikasi dari waktu ke waktu, sedangkan mengeluarkan kebijakan spesifik cenderung memerlukan revisi lebih sering sebagai perubahan teknologi dan faktor yang berhubungan berlangsung.

.
- Contoh Topik untuk Policy Edisi Khusus
Kedua teknologi baru dan munculnya ancaman baru sering membutuhkan penciptaan mengeluarkan kebijakan khusus.
Akses internet. Banyak organisasi mencari di internet sebagai sarana untuk memperluas riset mereka peluang dan komunikasi. Tidak diragukan lagi, menghubungkan ke Internet menghasilkan banyak manfaat - dan beberapa kekurangan. Beberapa isu kebijakan akses Internet dapat alamat termasuk yang akan memiliki akses, yang jenis sistem dapat dihubungkan ke jaringan, apa jenis informasi dapat dikirim melalui jaringan, persyaratan untuk otentikasi pengguna untuk sistem yang tersambung ke Internet, dan penggunaan firewall dan gateway aman.

.

Komponen Dasar Isu Kebijakan Khusus

Seperti yang diusulkan untuk kebijakan program, struktur berguna untuk kebijakan isu-spesifik adalah memecah kebijakan tersebut ke dalam komponen dasar.
Program menetapkan arah kebijakan strategis organisasi untuk keamanan dan memberikan sumber daya untuk pelaksanaannya

1. Komponen Dasar Kebijakan Program
Komponen kebijakan program harus alamat:
Tujuan. Program kebijakan biasanya mencakup pernyataan yang menjelaskan
mengapa
program ini sedang dibangun. Ini mungkin termasuk mendefinisikan tujuan
program.
kebutuhan Keamanan-terkait, seperti integritas, ketersediaan, dan kerahasiaan,
dapat
membentuk dasar dari tujuan organisasi didirikan pada kebijakan

Ruang Lingkup. Program kebijakan harus jelas sebagai mana sumber daya-termasuk fasilitas, perangkat keras, dan perangkat lunak, informasi, dan personil - program keamanan komputer mencakup.

Tanggung Jawab. Setelah program keamanan komputer didirikan, manajemen biasanya ditugaskan untuk baik yang baru diciptakan atau yang sudah ada office.
Program kebijakan menetapkan program keamanan dan memberikan manajemen program dan tanggung jawab yang mendukung

Penerapan. Isu-kebijakan khusus juga perlu untuk memasukkan laporan penerapan. Ini berarti mengklarifikasi di mana, bagaimana, kapan, kepada siapa, dan apa kebijakan tertentu berlaku. Sebagai contoh, bisa saja bahwa kebijakan hipotetis pada perangkat lunak tidak resmi dimaksudkan untuk hanya berlaku untuk sumber daya sendiri organisasi on-situs dan karyawan dan tidak kepada kontraktor dengan kantor-kantor di lokasi lain. Selain itu, penerapan kebijakan untuk karyawan perjalanan antara lokasi yang berbeda dan / atau bekerja di rumah yang perlu untuk mengangkut dan menggunakan disk di beberapa situs mungkin perlu diperjelas.

Poin dari Kontak dan Informasi Tambahan. Untuk setiap kebijakan isu-spesifik, individu-individu yang sesuai dalam organisasi untuk menghubungi untuk informasi lebih lanjut, bimbingan, dan kepatuhan harus ditunjukkan. Karena posisi cenderung berubah lebih sering daripada orang-orang yang menduduki mereka, posisi tertentu mungkin lebih disukai sebagai titik kontak. Sebagai contoh, untuk beberapa masalah titik kontak mungkin manajer lini, untuk masalah lain mungkin manajer fasilitas, dukungan orang teknis, administrator sistem, atau perwakilan program keamanan. Menggunakan contoh di atas sekali lagi, karyawan perlu mengetahui apakah titik kontak untuk pertanyaan dan informasi prosedural akan atasan langsung mereka, seorang administrator sistem, atau pejabat keamanan komputer.

Pedoman dan prosedur sering menyertai kebijakan. Kebijakan isu-spesifik pada perangkat lunak tidak resmi, misalnya, mungkin termasuk panduan prosedural untuk memeriksa disk dibawa ke pekerjaan yang telah digunakan oleh karyawan di lokasi lain.

- Sistem Kebijakan Khusus
Untuk mengembangkan seperangkat kohesif dan komprehensif kebijakan keamanan, para pejabat dapat menggunakan proses manajemen yang berasal aturan-aturan keamanan dari tujuan keamanan. Hal ini membantu untuk mempertimbangkan model dua-tingkat kebijakan sistem keamanan: tujuan keamanan dan aturan keamanan operasional, yang bersama-sama terdiri dari kebijakan sistem-spesifik. Berhubungan erat dan sering sulit untuk membedakan, bagaimanapun, adalah penerapan kebijakan dalam teknologi.
Contoh Keamanan Tujuan
Langkah pertama dalam proses manajemen untuk menentukan tujuan keamanan untuk sistem tertentu. Meskipun, proses ini bisa dimulai dengan analisis kebutuhan integritas, ketersediaan, dan kerahasiaan, seharusnya tidak berhenti di situ. Tujuan keamanan perlu lebih spesifik, melainkan harus konkret dan terdefinisi dengan baik. Hal ini juga harus dinyatakan sedemikian rupa sehingga jelas bahwa tujuan dapat dicapai. Proses ini juga akan memanfaatkan kebijakan organisasi lainnya yang berlaku.

Tujuan Keamanan terdiri dari serangkaian pernyataan yang menjelaskan tindakan yang berarti tentang sumber daya eksplisit. Tujuan ini harus didasarkan pada kebutuhan sistem fungsional atau misi, tapi harus menyatakan tindakan keamanan yang mendukung persyaratan.


http://csrc.nist.gov/publications/nistpubs/800-12/800-12-html/chapter5-printable.html

Layanan Pemerintahan Berbasis Web Berupaya Membangun Suatu Sistem Online(Dalam Tahap Pembangunan)

SISTEM JASA KONSULTASI BOTANI ONLINE
(Dengan Menggunakan Pendekatan System Development Life Cycle (SDLC))

Visi Pemerintahan Untuk KRB yaitu menjadi kebun raya terbaik kelas dunia dalam bidang konservasi dan penelitian tumbuhan tropika, pendidikan lingkungan, dan pariwisata. Misi KRB yaitu melestarikan, mendayagunakan, dan mengembangkan potensi tumbuhan melalui kegiatan konservasi, penelitian, pendidikan, rekreasi, serta peningkatan apresiasi masyarakat terhadap kebun raya, tumbuhan, dan lingkungan dalam upaya pemanfaatan yang berkelanjutanuntuk kesejahteraan masyarakat.
Kebun Raya Bogor merupakan institusi konservasi ex situ tertua di Indonesia, berdiri sejak 18 Mei 1817.
KRB memiliki nilai sejarah tinggi sebagai tonggak dalam perkembangan institusi dan penelitian pertanian di Indonesia, dan merupakan pilar utama bagi usahapenyelamatan jenis-jenis tumbuhan dari kepunahan.

Sistem jasa konsultasi Botani Online dibangun untuk mengeksplorasi sumber daya informasi yang dimiliki KRB, baik yang berbentuk pengetahuan eksplisit maupun implisit. Untuk menyebarkan informasi tentang kekayaan pengetahuan
tersebut, perpustakaan KRB berupaya membangun
suatu sistem jasa konsultasi botani online dengan memanfaatkan internet sebagai sarana pendukung, dan fasilitas web yang memungkinkan informasi dapat diakses banyak orang dan dalam cakupan geografi yang luas. Kegiatan ini bertujuan untuk membangun
sistem jasa konsultasi botani online dengan menggunakan media komunikasi berbasis web.


METODE
Jasa konsultasi botani online yang akan diberikan kepada
pengguna berupa informasi yang telah dikemas dalam
bentuk yang sesuai dengan permintaan pengguna.
Kegiatan yang akan dilakukan dimulai dari menyeleksi
informasi dari berbagai sumber, mendata informasi yang
relevan, dan menyajikan informasi yang sesuai dengan
kebutuhan pengguna dengan dilengkapi jawaban dari
para peneliti pakar KRB dalam bentuk informasi elektronis
Perpustakaan selain bertugas sebagai fasilitator untuk menghubungkan para ahli di lingkungan KRB dan
pengguna yang membutuhkannya, juga bertugas mengumpulkan
informasi yang relevan dari berbagai sumber,
mengirimkan jawaban dalam bentuk informasi elektronis
ke alamat e-mail pengguna atau melalui pos ke alamat
tinggal mereka. Diharapkan dengan terbentuknya sistem
ini, penyebarluasan informasi lebih efisien, mudah dan
cepat, sehingga dapat meningkatkan layanan perpustakaan
dan kinerja lembaga KRB.Beberapa tahapan pembangunan botani online
adalah persiapan dengan mengumpulkan materi untuk
pembuatan proposal, dilanjutkan dengan pengumpulan
data melalui studi literatur dan wawancara dengan para
peneliti. Setelah proposal disetujui, dilanjutkan dengan
diagnosis masalah dan penentuan tujuan, melakukan
perbandingan perkembangan web jasa konsultasi, dan pengumpulan data. Proses selanjutnya adalah pengembangan jasa konsultasi dengan membuat prototipe dan mengujinya, dilanjutkan dengan penyusunan laporan dan dokumentasi.Pendekatan yang digunakan dalam pengembangan
sistem informasi botani online adalah System Development Life Cycle (SDLC) yang sudah dimodifikasi. Fasefase pada SDLC terdiri atas fase investigasi, analisissistem, desain sistem, dan implementasi sistem.


http://wartawarga.gunadarma.ac.id/2010/02/implementasi-sistem-informasi-sdlc-system-development-life-cycle/
(sumber: http://www.pustaka-deptan.go.id/publikasi/pp172084.pdf)

Tujuan & prosedur pengendalian keseluruhan sistem dalam audit

 Tujuan pengendalian keseluruhan sistem
Pengendalian audit sistem informasi dikembangkan dengan mempehatikan tujuan
spesifik pengolahan informasi, sehingga tidakada informasi yang sifatnya bias dan jauh darikeputusan yang semestinya.Pengendaliam sistem dapat dikatakan sebagai
suatu fungsi manajemen yang bertujuan untuk mengusahakan agar aktivitas sistem informasi dapat berjalan sesuai dengan perencanaan Keterkaitan antara audit sistem informasi terhadap kegiatan usaha manajemen dalam rangka mencapai tujuan menyadarkan pentingnya bahwa tidak ada suatu sistem yang benar-benar sempurna
dan bebas dari penyimpangan sehingga tidak diperlukan suatu pengendalian.
Oleh karena itu, audit sistem informasi berorientasi pada 3 lingkungan manajemen, dari
level pencak, menengah dan terbawah. Adapun data yang dikelola menyangkut prosedur sistem berbasis keuangan dan non keuangan

pengendalian interen mengarahkan aktivitas organisasi usaha untuk mencapai tujuan.
Sistem ini terdiri dari kebijakan dan prosedurprosedur untuk menyediakan jaminan yang memadai bahwa tujuan perusahaan dapat tercapi tanpa hambatan. Konsep struktur pengendalian interen dasarkan dua premis utama, yakni tanggung jawab manajemen dan jaminan yang memadai. Tujuan audit sistem informasi adalah untuk meninjau ulang (review) dan mengevaluasi pengawasan internal yang diaplikasikan untuk
menjaga keamanan, memeriksa tingkat kepercayaansistem informasi dan mereview operasional sistem aplikasi.



 Prosedur Pengendalian keseluruhan Sistem
Pada dasarnya Alat dari sistem pengendalian yang umum dilakukan adalah dibagi dua yaitu pengendalian Umum (General Control) dan Pengendalian Aplikasi (Application Control) yang mengacu pada tiga komponen atau elemen sebagai struktur pengendalian intern berupa Lingkungan pengendalian, Sistem Akuntansi dan Prosedur-prosedur Pengendalian.
a. Lingkungan pengendalian (Control Environment) yakni, suatu batasan dalam
organisasi yang memberikan pengaruh kolektif dari berbagai faktor untuk menetapkan,
menigkatkan atau memperbaiki efektivitas kebijakan dan prosedur-prosedur tertentu.
Faktor-faktor ini antara lain: Filosofi dan gaya operasional manajemen, Struktur
organisasi,Fungsi dewan komisaris dan anggota-anggota, Metode pembebanan otoritas
dan tanggung jawab, Metode-metode pengendalian manajemen, Fungsi audit interen,
Kebijakan dan praktek-praktek kepegawaian, Pengaruh dari luar yang berkaitan dengan
Perusahaan

b. Sistem Akuntansi (Accounting Systems)
yakni, suatu organisasi yang terdiri dari metode
dan catatan-catatan yang dibuat untuk mengidentifika-sikan, mengumpulkan,
menganalisis, mencatat dan melaporkan transaksi-transaksi organisasi serta
menyelenggarakan pertanggungjawaban bagi aktiva dan kewajiban berkaitan.

c. Prosedur Pengendalian (Control Procedure)
yakni, kebijakan dan prosedur–prosedur yang
tercakup dalam lingkungan pengendalian dan sistem akuntansi yang diterapkan oleh
manajemen untuk memberikan jaminan yang memadai bahwa tujuan tertentu akan dapat
dicapai. Metode dan catatan-catatan yang dibuat untuk identifikasi, mengumpulkan, menganalisa, mencatat dan melaporkan transaksi-transaksi organisasi dan menyelenggarakan pertanggungjawaban dan kewajiban yang berkaitan meliputi Otorisasi dan kegiatan yang Memadai, Pemisahan Tugas, Desain dan Penggunaan Dokumen serta Catatan yang Memadai, Penjagaan Asset dan Pencatatannya yang Memadai, Pemeriksaan Independen Atas Kinerja.
Pengendalian yang memadai merupakan tali pengikat yang kuat diantara 4 fungsi manajemen lainnya yakni:
1. Pengendalian memerlukan penetapan standar dan metode pengukuran prestasi.
2. Pengendalian pada dasarnya adalah mengukur
prestasi kerja.
3. Pengendalian membandingkan prestasi kerja dengan standar ukur yang telah ditetapkan.
4. Pengendalian merupakan tindakan yang sifatnya korektif, yakni suatu perbaikan terhadap hasil yang dicapai agar mencapai standar yang
diinginkan manajemen.

Kebijakan Biometrics,Computer Forensics,Computer Security dan Networking

Biometrics
Salah satu kebijakan Biometric:

*Biometric Consortium Conference 2008 Will Be Held Sept. 23-25/Biometric Konsorsium Conference 2008 Akan Dimiliki 23-25 September

Biometric Konsorsium Conference 2008, yang akan diadakan di Tampa, Florida, 23-25 September, akan berfokus pada teknologi biometrik untuk keamanan tanah air, manajemen identitas, perbatasan, perdagangan elektronik dan aplikasi lainnya. Ini akan mencakup dua setengah hari presentasi, seminar dan diskusi panel dengan partisipasi para ahli yang diakui secara internasional dalam teknologi biometrik, sistem dan pengembang aplikasi, TI strategi bisnis, dan pemerintahan dan petugas komersial.

Lokakarya, diskusi panel sesi dan menampilkan lebih dari 100 pembicara akan fokus pada peran penting bahwa biometrik bisa bermain di identifikasi dan verifikasi individu di pemerintahan dan aplikasi komersial di seluruh dunia.

Lebih dari 1000 peserta diharapkan untuk hadir, termasuk perwakilan dari 60 lembaga federal, negara bagian dan lokal, 25 universitas, industri biometrik, system integrator dan pengguna. Topik akan menyertakan laporan baru-baru ini diterbitkan dari Sains dan Teknologi Nasional Dewan Task Force on Identity Management. Duane Blackburn, analis kebijakan dari Gedung Putih Kantor Sains dan Teknologi, akan moderat diskusi panel tentang laporan tersebut dan menyampaikan pidato pembukaan pada kebijakan pemerintah biometrik.

Konferensi ini sedang disponsori oleh Institut Nasional Standar dan Teknologi, Badan Keamanan Nasional, Departemen Keamanan Dalam Negeri, Departemen Pertahanan Biometric Task Force, National Institute of Justice, Kantor Teknologi Strategi Layanan Umum Administrasi, Departemen Pusat Volpe Transportasi dan Angkatan Bersenjata Komunikasi dan Asosiasi Electronics.

http://www.nist.gov/itl/csd/biometric_090308.cfm - 19k - 2010-10-05


Computer Forensics
Salah satu kebijakan Computer Forensics :

*Computer Forensics Tool Testing (CFTT)/ Forensik Komputer Alat Testing
Ada kebutuhan kritis dalam komunitas penegakan hukum untuk menjamin kehandalan alat komputer forensik. Tujuan dari proyek (CFTT) Komputer Forensik Alat Pengujian di Institut Nasional Standar dan Teknologi (NIST) adalah untuk menetapkan metodologi untuk pengujian perangkat lunak komputer forensik dengan pengembangan spesifikasi alat umum, prosedur pengujian, kriteria uji, set uji, dan uji perangkat keras. Hasil menyediakan informasi yang diperlukan untuk toolmakers untuk meningkatkan alat, bagi pengguna untuk membuat pilihan informasi tentang mendapatkan dan menggunakan alat komputer forensik, dan bagi pihak yang berkepentingan untuk memahami kemampuan alat. kemampuan A diperlukan untuk memastikan bahwa perangkat lunak forensik secara konsisten menghasilkan hasil tes yang akurat dan obyektif. Pendekatan kami untuk pengujian alat komputer forensik didasarkan pada metodologi internasional yang diakui untuk menguji kesesuaian dan pengujian kualitas.

http://www.nist.gov/itl/ssd/cs/forensics-tool-testing.cfm - 19k - 2010-10-05



Computer Security Division
Salah satu kebijakan Computer Forensics :

*Access Control Policy Tool/Access Control Kebijakan Tool (ACPT)

Kontrol akses (AC) sistem adalah yang paling penting komponen keamanan informasi. kebijakan yang salah, misconfigurations, atau kelemahan dalam implementasi perangkat lunak dapat mengakibatkan kerentanan serius. Spesifikasi kebijakan kontrol akses sering menjadi masalah yang menantang. Adalah umum bahwa privasi dan keamanan sistem terganggu karena misconfiguration kebijakan kontrol akses bukan kegagalan primitif kriptografi atau protokol. Masalah ini menjadi semakin parah sebagai sistem perangkat lunak menjadi lebih dan lebih kompleks, dan dikerahkan untuk mengelola sejumlah besar informasi sensitif dan sumber daya yang disusun dalam struktur yang canggih. Mengidentifikasi perbedaan antara spesifikasi kebijakan dan sifat mereka (fungsi dimaksud) adalah penting karena pelaksanaan yang benar dan penegakan kebijakan oleh aplikasi ini didasarkan pada premis bahwa spesifikasi kebijakan sudah benar. Akibatnya, spesifikasi kebijakan harus menjalani verifikasi dan validasi yang ketat melalui pengujian sistematis untuk memastikan bahwa spesifikasi kebijakan yang benar-benar merangkum keinginan penulis kebijakan. Untuk memberikan keyakinan tersebut, proyek ini akan mengembangkan generasi baru Access Control Kebijakan Pengujian (ACPT) alat. ACPT ini memungkinkan penulis kebijakan untuk mudah menentukan model kontrol akses (seperti RBAC dan model Multi-Level) dan aturan serta sifat akses kontrol. Dari model tertentu dan aturan, ACPT otomatis mensintesis kebijakan deployable dan komprehensif tes dan memverifikasi kebijakan terhadap sifat-sifat tertentu, kemudian melaporkan ke penulis kebijakan tentang masalah terdeteksi dalam kebijakan untuk mencegah meninggalkan lubang keamanan dalam kebijakan sebelum penyebaran. ACPT ini akan tersedia untuk penulis kebijakan nasional dalam memberikan tingkat keamanan keyakinan tinggi untuk kebijakan mereka.
Dalam prakteknya, kebijakan kontrol akses yang sama dapat menyatakan model kontrol akses ganda berbeda atau mengekspresikan model tunggal di samping keterbatasan akses kontrol tambahan di luar model. Memastikan kesesuaian model kontrol akses dan kebijakan merupakan tugas non-sepele dan kritis. Namun, spesifikasi yang sesuai kebijakan kontrol akses adalah masalah yang sangat menantang. Masalah ini menjadi semakin parah sebagai suatu sistem menjadi lebih dan lebih kompleks, dan dikerahkan untuk mengelola sejumlah besar informasi yang sensitif atau pribadi dan sumber daya.
ACPT adalah implementasi referensi proyek penelitian NIST: "Verifikasi Generik Access Control Model" dengan kemampuan lebih diperpanjang.
Gambar berikut menunjukkan arsitek ACPT tersebut.












kebijakan kontrol akses alat diagram

http://www.nist.gov/itl/csd/set/acpt.cfm - 27k - 2010-10-05


Networking
Salah satu kebijakan Networking :

*Cyber and Network Security/Cyber dan Keamanan Jaringan
Cyber dan keamanan jaringan difokuskan pada tujuan memastikan keamanan tiga sistem teknologi informasi: kerahasiaan, integritas, dan ketersediaan. Cyber dan Jaringan Program Jaminan alamat tanggung jawab hukum NIST dalam domain dan isu-isu ilmiah dekat dan jangka panjang dalam beberapa blok bangunan TI dan keamanan jaringan - kriptografi, keamanan pengujian dan evaluasi, kontrol akses, internetworking layanan dan protokol ( Domain Name System, Border Gateway Protocol, IPv6, Wi-Max, dll), keamanan metrik, analisis kerentanan, otomatisasi keamanan, dan sifat keamanan. Upaya ini akan memberikan landasan yang lebih ilmiah untuk cybersecurity, tetap menjaga fokus pada isu-isu keamanan jangka dekat dalam teknologi muncul.

http://www.nist.gov/itl/cns/index.cfm - 20k - 2010-10-05