Keamanan Informasi Umum

Dari tiga elemen keamanan informasi, manakah penjelasan yang paling tepat mengenai integritas?

1. Memastikan bahwa pengguna dan data benar-benar merupakan pihak/hal yang asli sesuai dengan yang diklaim
2. Menjaga agar hanya pihak yang berwenang dapat mengakses informasi, dan informasi tidak diungkapkan kepada pihak yang tidak berwenang
3. Pihak yang berwenang dapat menggunakan informasi atau sistem informasi kapan pun diperlukan, tanpa gangguan
4. Informasi akurat dan lengkap, serta tidak mengalami perubahan atau perusakan yang tidak sah

Halaman utama situs web perusahaan diubah oleh seseorang sehingga menampilkan teks yang sama sekali berbeda. Karakteristik apa yang paling tepat dikatakan telah dirugikan?

1. Ketersediaan
2. Nirsangkal
3. Integritas
4. Kerahasiaan

Sebuah situs pemesanan menerima serangan berupa lonjakan komunikasi dalam jumlah besar yang terpusat, sehingga tidak merespons selama setengah hari. Karakteristik apa yang paling tepat dikatakan telah dirugikan?

1. Kerahasiaan
2. Ketersediaan
3. Otentisitas
4. Integritas

Berkas daftar nama pelanggan dibawa keluar oleh pihak luar dan dipublikasikan di internet. Isi berkas itu sendiri tidak diubah, dan operasional internal perusahaan pun tidak terganggu. Karakteristik apa yang paling tepat dikatakan telah dirugikan?

1. Keandalan
2. Kerahasiaan
3. Ketersediaan
4. Integritas

Sebuah organisasi terinfeksi ransomware sehingga berkas kerjanya terenkripsi dan tidak bisa dibuka. Selain itu, penyerang memberi tahu bahwa "data telah dicuri sebelum dienkripsi, dan akan dipublikasikan jika tidak membayar". Manakah kombinasi karakteristik yang paling tepat dikatakan telah dirugikan (atau berisiko dirugikan) dalam kejadian ini?

1. Ketersediaan dan kerahasiaan
2. Keandalan dan nirsangkal
3. Kerahasiaan dan nirsangkal
4. Integritas dan akuntabilitas

Seorang staf melakukan kesalahan operasi saat mengedit tabel rekap dan menyimpan angka yang sudah final dengan menimpanya menggunakan nilai lain. Berkas masih bisa dibuka seperti biasa dan operasional tetap berjalan, tetapi isinya tidak sesuai fakta. Karakteristik apa yang paling tepat dikatakan telah dirugikan?

1. Akuntabilitas
2. Ketersediaan
3. Integritas
4. Kerahasiaan

Suatu departemen menjalankan sistem kerja dengan satu ID bersama untuk login, yang digunakan oleh semua orang. Karakteristik apa yang paling dirugikan oleh praktik ini?

1. Keandalan（reliability）
2. Integritas（integrity）
3. Akuntabilitas
4. Ketersediaan（availability）

Manakah kombinasi karakteristik dan cara yang paling tepat untuk mencegah mitra bisnis yang telah memesan secara elektronik kemudian menyangkal di kemudian hari dengan mengatakan "kami tidak pernah memesan itu"?

1. Ketersediaan － redundansi server dan jaringan
2. Keandalan － pemeriksaan validitas nilai masukan
3. Nirsangkal － pemberian tanda tangan digital
4. Kerahasiaan － enkripsi jalur komunikasi

Ingin memastikan bahwa kontak dari seseorang yang mengaku sebagai staf mitra bisnis benar-benar berasal dari staf tersebut. Karakteristik keamanan informasi apa yang sesuai dengan tujuan ini?

1. Otentisitas
2. Ketersediaan
3. Nirsangkal
4. Integritas

Dalam hubungan antara ancaman, kerentanan, dan risiko, manakah contoh kerentanan yang paling tepat?

1. Penyerang dari luar perusahaan mencoba melakukan akses tidak sah ke server perusahaan melalui internet
2. Ruang server terendam banjir akibat bencana seperti gempa bumi atau petir, sehingga perangkat tidak dapat digunakan
3. Kemungkinan terjadinya kerugian berupa tuntutan ganti rugi dan hilangnya kepercayaan akibat bocornya daftar nama pelanggan
4. Server yang digunakan untuk operasional dibiarkan tanpa penerapan program perbaikan

Ada cara pandang yang menangkap besarnya risiko sebagai "ancaman × kerentanan × nilai aset informasi". Sebagai pemimpin keamanan informasi di unit bisnis, manakah penjelasan yang paling tepat dalam memanfaatkan cara pandang ini?

1. Mengurangi jumlah kejadian ancaman itu sendiri melalui upaya perusahaan sendiri adalah cara paling realistis untuk menurunkan risiko
2. Karena nilai aset tidak dapat diubah dalam operasional bisnis, mengevaluasi besarnya risiko pun tidak ada kaitannya dengan langkah konkret
3. Jika salah satu dari ketiga elemen besar, risiko akan selalu menjadi maksimum terlepas dari besar kecilnya dua elemen lainnya
4. Yang paling mudah ditangani langsung oleh perusahaan sendiri adalah kerentanan; dengan menguranginya, risiko akan mengecil meskipun ancamannya sama

Ketika ancaman diklasifikasikan menjadi ancaman manusia, ancaman fisik, dan ancaman teknis, manakah yang termasuk ancaman fisik?

1. Server diakses secara tidak sah dari luar
2. Kata sandi berhasil digali melalui kontak palsu
3. Server berhenti karena pemadaman listrik akibat sambaran petir
4. Karyawan salah mengirim email

Diketahui bahwa penyebab kebocoran informasi yang paling banyak terjadi di perusahaan adalah salah kirim email akibat kekeliruan tujuan. Manakah tindakan pemimpin keamanan informasi yang paling tepat?

1. Memprioritaskan langkah terhadap serangan dari luar dengan memperkuat fungsi firewall dan memperketat pemantauan komunikasi dengan pihak luar
2. Mengumumkan nama dan jumlah kejadian karyawan yang salah kirim setiap kali terjadi di lingkungan internal untuk menumbuhkan kewaspadaan
3. Menyusun prosedur dan mekanisme pemeriksaan sebelum pengiriman, seperti konfirmasi ganda tujuan oleh beberapa orang dan enkripsi berkas lampiran
4. Melarang penggunaan email secara total, dan mengganti seluruh komunikasi dengan pihak luar menjadi telepon, surat pos, atau tatap muka

Manakah kombinasi tiga elemen yang benar dan menyusun "Segitiga Kecurangan (fraud triangle)" yang menjelaskan terjadinya kecurangan internal?

1. Manusia, teknologi, fisik
2. Peluang, motif/tekanan, rasionalisasi
3. Ancaman, kerentanan, nilai aset
4. Kerahasiaan, integritas, ketersediaan

Di antara tiga elemen segitiga kecurangan, manakah langkah pengendalian yang paling tepat untuk mengurangi "peluang"?

1. Menyediakan loket konsultasi bagi karyawan agar dapat berkonsultasi tentang masalah pribadi atau kesulitan keuangan
2. Menyampaikan berulang kali dalam pelatihan keamanan informasi bahwa kecurangan adalah tindak pidana, untuk menumbuhkan kesadaran karyawan
3. Membatasi hak akses ke data penting hanya kepada orang yang memerlukannya untuk pekerjaan, dan memeriksa log operasi secara berkala
4. Memperjelas kriteria penilaian kinerja, lalu memberikan perlakuan yang dapat diterima oleh yang bersangkutan agar tidak menumpuk ketidakpuasan

Seorang karyawan yang membawa keluar daftar nama pelanggan mengatakan, "karena dokumen ini saya yang buat, saya kira itu milik saya". Pernyataan ini termasuk elemen apa dalam segitiga kecurangan?

1. Peluang
2. Motif/tekanan
3. Ancaman
4. Rasionalisasi

Di antara modus social engineering, manakah penjelasan yang tepat mengenai trashing (scavenging)?

1. Mengintip langsung layar atau input keyboard dari belakang atau kursi sebelah pengguna
2. Mengumpulkan informasi dari dokumen, memo, atau media penyimpanan yang dibuang sebagai sampah
3. Menelepon dengan berpura-pura sebagai administrator sistem dan menggali kata sandi dari pengguna
4. Mengikuti langsung di belakang orang yang berwenang masuk agar diri sendiri dapat melewati pintu tanpa melalui otentikasi

Seorang staf penjualan sering membuka laptop di kafe saat bepergian untuk menangani informasi pelanggan. Manakah langkah yang paling tepat sebagai pengendalian shoulder hacking?

1. Menjaga file definisi antivirus tetap terbaru dan melakukan pemindaian menyeluruh secara berkala
2. Memasang filter anti-intip dan selalu mengunci layar saat meninggalkan tempat duduk
3. Mengenkripsi komunikasi sebelum mengirimkannya ke server di luar perusahaan
4. Mengganti kata sandi secara berkala dan berhenti menggunakan kata sandi yang sama di berbagai layanan

Diketahui bahwa karyawan menyimpan berkas kerja di layanan penyimpanan daring gratis yang tidak diketahui perusahaan, dan membagikannya di dalam departemen. Manakah masalah yang paling tepat dari kondisi ini?

1. Organisasi tidak dapat mengetahui maupun mengelola lokasi penyimpanan dan cakupan keterbukaan, sehingga tidak dapat mendeteksi atau menangani insiden jika terjadi
2. Biaya penyimpanan berkas menjadi beban anggaran departemen
3. Penggunaan pribadi selama jam kerja meningkat, sehingga perlu ditangani sebagai masalah manajemen ketenagakerjaan
4. Layanan gratis memiliki kecepatan komunikasi yang lebih lambat dibanding layanan berbayar, sehingga efisiensi kerja menurun saat berbagi berkas besar

Seorang staf akan mengundurkan diri mulai minggu depan. Manakah tindakan dengan prioritas tertinggi dalam menangani risiko terkait mantan karyawan?

1. Menghubungi yang bersangkutan setelah pengunduran diri dan meminta pelaporan mandiri apakah ada data yang dibawa keluar
2. Membiarkan akun tetap aktif untuk sementara setelah pengunduran diri, guna berjaga-jaga jika diperlukan untuk serah terima
3. Membiarkan penerus menggunakan ID dan kata sandi yang sama persis seperti sebelumnya
4. Menonaktifkan akun secara pasti pada hari pengunduran diri, serta menarik kembali perangkat pinjaman dan kartu akses masuk-keluar

Perusahaan sendiri telah memperkuat langkah pengendalian, tetapi komputer milik penyedia jasa yang menerima pekerjaan alih daya terinfeksi malware, sehingga data pelanggan perusahaan yang dititipkan di sana bocor. Manakah kombinasi sebutan ancaman semacam ini dengan cara penanganannya yang paling tepat?

1. Ancaman fisik － memperkuat pengelolaan keluar-masuk dan penguncian ruang server perusahaan sendiri
2. Kecurangan internal － meninjau ulang hak akses karyawan sendiri dan memperketat pemeriksaan log operasi
3. Shadow IT － melarang penggunaan layanan yang tidak disetujui perusahaan sendiri dan melakukan inventarisasi status penggunaan
4. Risiko rantai pasok － melakukan penetapan kriteria pemilihan pihak ketiga, kesepakatan dalam kontrak, dan pemeriksaan berkala

Manakah di antara berikut ini contoh kerentanan yang paling tepat disebabkan oleh kekurangan dalam operasional?

1. Lantai bawah tanah gedung terendam akibat hujan lebat sehingga perangkat yang dipasang di sana terendam air
2. Pengguna terus menggunakan kata sandi sederhana yang mudah ditebak tanpa menggantinya
3. Inventarisasi daftar aset informasi tidak dilakukan selama beberapa tahun sehingga tidak sesuai dengan kondisi saat ini
4. Karena kesalahan implementasi program, sistem berhenti secara tidak normal saat diberi input yang tidak terduga

Manakah penjelasan yang paling tepat mengenai kerentanan zero-day?

1. Kerentanan yang disebabkan oleh kelalaian pengelolaan kata sandi pengguna, dan dapat diselesaikan melalui edukasi
2. Kerentanan yang hanya ada pada produk yang dukungannya telah berakhir dan pembaruan tidak lagi disediakan
3. Kerentanan berdampak kecil yang program perbaikannya sudah tersedia dalam 30 hari sejak ditemukan
4. Kerentanan pada tahap sebelum program perbaikan tersedia, atau serangan yang memanfaatkan kondisi tersebut

Kerentanan serius diumumkan pada perangkat lunak yang digunakan untuk operasional, dan pengembang memberi tahu bahwa "program perbaikan masih diselidiki dan waktu penyediaannya belum ditentukan, tetapi langkah mitigasi sementara telah dipublikasikan". Manakah tindakan pemimpin keamanan informasi yang paling tepat?

1. Karena informasi kerentanan sudah menjadi publik, tidak memberitahukannya ke internal perusahaan dan diam-diam menunggu perkembangan untuk menghindari kebingungan
2. Karena tidak ada yang bisa dilakukan sampai program perbaikan tersedia, menunggu penyediaannya sambil melanjutkan operasional seperti biasa
3. Menggabungkan penerapan langkah mitigasi, penghentian publikasi eksternal atau isolasi perangkat terkait, penguatan pemantauan, dan persiapan pemulihan untuk menekan kerugian
4. Karena cukup dengan memperbarui file definisi, hanya melakukan pembaruan perangkat lunak antivirus lalu menunggu perkembangan

Banyak program perbaikan dipublikasikan untuk beberapa server yang menyusun sistem operasional. Manakah cara penerapan yang paling tepat?

1. Karena berisiko menghentikan operasional, menunda penerapan hingga waktu pembaruan sistem berikutnya dan tetap menjalankan operasional seperti kondisi saat ini
2. Segera menerapkan semua yang dipublikasikan ke lingkungan produksi tanpa verifikasi awal atau konfirmasi dampak bisnis
3. Setelah memahami cakupan objek melalui daftar aset, menentukan prioritas berdasarkan evaluasi tingkat bahaya dan dampak bisnis, lalu menerapkannya secara terencana setelah verifikasi
4. Menyerahkan keputusan penerapan kepada masing-masing pengguna, dan dilaksanakan oleh siapa pun yang merasa perlu pada waktu yang sesuai bagi mereka masing-masing

Manakah penjelasan yang paling tepat mengenai CVE?

1. Portal yang menyediakan informasi langkah pengendalian kerentanan dalam bahasa Jepang untuk pasar domestik Jepang
2. Standar bersama untuk menilai tingkat keparahan kerentanan dengan nilai numerik dari 0.0 hingga 10.0
3. Metode pengujian yang memverifikasi kemungkinan penyusupan dari sudut pandang penyerang
4. Nomor identifikasi yang berlaku secara global dan diberikan untuk setiap kerentanan individual

Nilai dasar CVSS dari suatu kerentanan yang diumumkan ternyata sangat tinggi. Manakah cara penanganan informasi ini yang paling tepat?

1. Kerentanan dengan nilai dasar tinggi harus selalu ditangani dengan prioritas tertinggi, terlepas dari tingkat kepentingan atau status keterpaparan perangkat yang terdampak
2. Nilai dasar adalah indikator yang ditentukan berdasarkan harga jual produk, sehingga tidak cocok digunakan untuk menentukan prioritas langkah pengendalian
3. Nilai dasar adalah acuan bersama, dan prioritas organisasi sendiri ditentukan dengan juga mempertimbangkan tingkat kepentingan perangkat yang terdampak serta status keterpaparannya ke luar
4. Semakin tinggi nilai dasar berarti serangan semakin sulit dilakukan, sehingga penerapan program perbaikan tidak diperlukan dan cukup dengan pemantauan saja

Manakah yang dioperasikan bersama oleh JPCERT/CC dan IPA, yang menyediakan informasi kerentanan dan langkah pengendalian dalam bahasa Jepang untuk produk yang digunakan di dalam negeri Jepang?

1. CVE
2. ISMS
3. CVSS
4. JVN

Manakah penjelasan yang paling tepat mengenai perbedaan antara diagnosis kerentanan (vulnerability assessment) dan penetration test?

1. Keduanya dapat dilaksanakan secara bebas dari luar tanpa izin administrator sistem yang menjadi objek
2. Keduanya melakukan hal yang sama persis, hanya berbeda sebutannya saja
3. Diagnosis kerentanan adalah aktivitas yang benar-benar mencoba melakukan penyusupan, sedangkan penetration test adalah aktivitas mengidentifikasi kelemahan yang sudah diketahui
4. Diagnosis kerentanan mengidentifikasi kelemahan yang sudah diketahui secara menyeluruh, sedangkan penetration test benar-benar mencoba melakukan penyusupan untuk memverifikasi apakah tujuan tertentu dapat dicapai

Beberapa komputer kerja yang digunakan di suatu departemen akan segera mencapai akhir dukungan (end of life/EOL) sistem operasinya. Operasinya stabil dan pihak lapangan meminta agar penggunaannya dilanjutkan. Manakah keputusan pemimpin keamanan informasi yang paling tepat?

1. Selama perangkat lunak antivirus dipasang dan file definisinya diperbarui, keamanan tetap terjaga meskipun setelah dukungan berakhir
2. Karena tidak ada masalah selama operasinya stabil, terus menggunakannya hingga perangkat rusak dan tidak bisa dipakai lagi
3. Karena kerentanan baru tidak lagi diperbaiki setelah dukungan berakhir, menyusun dan melaksanakan rencana pembaruan atau penggantian sebelum batas waktu
4. Jika tidak terhubung ke internet setelah dukungan berakhir, risiko kerentanan akan hilang

Manakah penjelasan yang paling tepat mengenai worm?

1. Mengenkripsi banyak berkas yang digunakan untuk operasional sehingga tidak dapat dibaca, dan meminta pembayaran uang sebagai imbalan pemulihan
2. Menyamar sebagai perangkat lunak yang berguna agar diinstal dan dijalankan oleh pengguna, lalu diam-diam melakukan proses tidak sah seperti pencurian informasi
3. Menumpang pada program atau berkas lain, dan berkembang biak ketika inangnya dijalankan oleh pengguna
4. Tidak memerlukan inang, dan berkembang biak sendiri sebagai program mandiri melalui jaringan

Manakah ciri virus dalam arti sempit yang paling tepat?

1. Tidak dapat berdiri sendiri, dan berkembang biak dengan menumpang pada program atau berkas lain
2. Mengumpulkan informasi di dalam perangkat tanpa disadari pengguna dan mengirimkannya ke penyerang di luar
3. Tidak berkembang biak sendiri, dan bekerja dengan menyamar sebagai sesuatu yang berguna agar dijalankan sendiri oleh pengguna
4. Membuat perangkat yang terinfeksi bekerja sesuai instruksi server komando eksternal, dan menjadikannya batu loncatan serangan

Seorang karyawan mengunduh dari internet perangkat lunak yang diperkenalkan sebagai alat kerja yang praktis lalu menjalankannya. Secara tampilan, perangkat lunak itu bekerja sesuai penjelasannya, tetapi di baliknya dokumen internal perusahaan dikirim ke luar. Tidak ditemukan jejak penyebaran sendiri ke perangkat lain. Manakah klasifikasi malware yang paling tepat untuk kasus ini?

1. Trojan horse
2. Worm
3. Virus makro
4. Ransomware

Manakah penjelasan yang paling tepat mengenai ransomware?

1. Mengenkripsi berkas atau sistem sehingga tidak dapat digunakan, dan meminta uang tebusan sebagai imbalan pemulihan
2. Memasang pintu belakang untuk masuk tanpa melalui otentikasi resmi, agar dapat keluar-masuk secara bebas selanjutnya
3. Mengendalikan perangkat yang terinfeksi dari jarak jauh melalui luar, mengumpulkannya, dan menjadikannya batu loncatan serangan DDoS
4. Diam-diam merekam isi input keyboard untuk mencuri informasi seperti ID atau kata sandi

Sedang dipertimbangkan kebijakan untuk mengantisipasi kerugian akibat ransomware. Manakah kebijakan yang paling tepat?

1. Karena membayar uang tebusan pasti dapat mendekripsi data dan juga mencegah kejadian berulang, menyiapkan anggaran terlebih dahulu dengan asumsi akan membayar
2. Saat terjadi infeksi, memprioritaskan inisialisasi perangkat secepatnya dan melanjutkan operasional tanpa menyisakan catatan
3. Karena kerugian tidak akan terjadi selama cadangan berada di jaringan yang sama dengan lingkungan produksi, pelatihan prosedur pemulihan dan persiapan pelaporan tidak diperlukan
4. Selain cadangan yang dipisahkan dari lingkungan produksi dan pelatihan prosedur pemulihan, juga menyiapkan pelaporan dan pemberitahuan dengan asumsi terjadinya pencurian dan publikasi data

Manakah penjelasan yang paling tepat mengenai spyware?

1. Mengumpulkan informasi atau isi operasi di dalam perangkat tanpa disadari pengguna, lalu mengirimkannya ke luar
2. Menumpang pada program atau berkas lain, dan berkembang biak setiap kali dijalankan
3. Mengenkripsi berkas sehingga tidak dapat digunakan, menghentikan operasional, dan meminta uang
4. Berkembang biak sendiri melalui jaringan, menekan jalur komunikasi dengan komunikasi dalam jumlah besar sehingga mengganggu seluruh operasional

Diketahui bahwa beberapa komputer di dalam perusahaan terus melakukan komunikasi berkala ke server eksternal yang tidak digunakan untuk operasional. Hasil penyelidikan menunjukkan perangkat-perangkat tersebut terinfeksi malware dan ikut menyerang perusahaan lain sesuai instruksi dari luar. Manakah kombinasi sebutan malware ini dan tujuan komunikasinya yang paling tepat?

1. Spyware － server proxy
2. Ransomware － server otentikasi
3. Bot － server C&C
4. Virus makro － server email

Manakah kombinasi penjelasan yang paling tepat mengenai keylogger dan backdoor?

1. Keylogger merekam input tombol untuk mencuri informasi, dan backdoor membuat pintu belakang untuk masuk tanpa melalui otentikasi resmi
2. Keylogger mengenkripsi berkas sehingga tidak dapat digunakan, dan backdoor adalah mekanisme yang menyediakan kunci dekripsinya
3. Keylogger adalah fungsi mengenkripsi komunikasi, dan backdoor adalah fungsi mendekripsi komunikasi yang terenkripsi
4. Keylogger berkembang biak sendiri dan menyebar ke seluruh jaringan, dan backdoor bekerja mendeteksi serta menghentikan penyebaran tersebut

Manakah alasan yang paling tepat mengapa malware fileless sulit ditemukan oleh langkah antimalware konvensional?

1. Karena hanya menggunakan fungsi makro pada berkas dokumen dan sama sekali tidak memiliki bentuk berkas eksekusi
2. Karena tidak meninggalkan berkas di disk, dan bekerja di memori atau dengan menyalahgunakan fungsi OS resmi
3. Karena tidak melakukan apa pun meski terinfeksi sehingga tidak menimbulkan kerugian nyata dan tidak perlu dideteksi
4. Karena bekerja sangat lambat sehingga berada di luar objek pemantauan dan tidak tertangkap jaring deteksi

Meskipun file definisi perangkat lunak antimalware selalu diperbarui ke versi terbaru, tetap terjadi kerugian akibat malware yang belum diketahui. Manakah pemahaman dan tindakan yang paling tepat terhadap situasi ini?

1. Karena metode pencocokan pola hanya dapat mendeteksi yang sudah diketahui, menggabungkan metode lain seperti deteksi perilaku atau sandbox, serta menyiapkan sistem deteksi-isolasi-pemulihan dengan asumsi terjadinya infeksi
2. Karena infeksi mustahil terjadi selama file definisi terbaru, kerugian kali ini dinilai sebagai kesalahan deteksi dari produk
3. Jika frekuensi pembaruan file definisi ditingkatkan hingga menerima distribusi berkali-kali sehari, definisi akan pasti menyusul malware yang belum diketahui sekalipun, sehingga pasti dapat dideteksi
4. Jika beberapa produk antimalware dipasang bertumpuk, file definisi masing-masing akan saling melengkapi sehingga malware yang belum diketahui pun dapat dicegah tanpa terlewat