## EVALUASI RESIKO KEAMANAN MENGGUNAKAN MODEL DREAD TERHADAP SISTEM INFORMASI AKADEMIK UNIVERSITAS XYZ
Dina Dalilah 1* , Dedy Syamsuar 2 , Yesi Novaria Kunang 3
Program Studi Informatika, Universitas Bina Darma, Palembang 1,2,3 e-mail: dalilahdina4@gmail.com 1 , dedysyamsyar@binadarma.ac.id, 2 yesinoviakunang@binadarma.ac.id 3

## Abstrak
Saat  ini  sistem  informasi  akademik  pada  Universitas  XYZ  terdapat  kelemahan  terhadap keamanan  aset  berupa  data  dan  handware,  dari  permasalahan  tersebut  maka  penting  untuk dilakukannya analisis ancaman risiko dalam mengukur potensi kerenatan yang terjadi pada sistem sistem  informasi  akademik  tersebut.  Kegiatan  penilaian  risiko  di  sistem  informasi  akadekmik hanya berdasarkan pada pengalaman dan pengetahuan yang sebatas pada pengenalan teknologi informasi, belum dilaksanakan secara khusus. Semakin besar aset informasi maka semakin besar sumber ancaman yang akan mengganggu kelancaran sistem informasi  tersebut. Pada penelitian ini  pentingnya  evaluasi  resiko  dilakukan  untuk  membuat  keputusan  tindakan  kedepan,  seperti resiko mana yang perlu ditangani serta prioritaskan. Dalam aktifitas ini perlu dilakukan penilaian untuk  mengetahui  level  risiko  dari  risiko  tinggi,  sedang,  dan  rendah.  Hasil  evaluasi  pada keamanan  sistem  informasi  akademik  pada  Universitas  XYZ.  Dengan  menggunakan  model DREAD yang telah dilakukan dapat diketahui tingkat resiko pada keamanannya, yaitu potensial kerusakan (D) dari web yang dibangun tinggi (tidak aman) dengan nilai 12, reproduktifitas (R) yaitu  kemampuan  ancaman  untuk  mereproduksi  serangan  adalah  sedang  dengan  nilai  10, Eksploitasi  (E)  ancaman  sedang  untuk  menyerang  web  dengan  nilai  11,  pengaruh  terhadap pengguna  (A)  dengan  tingkat  ancaman  sedang  dengan  nilai  11  artinya  serangan  yang  terjadi mempengahui  tidak  terlalu  besar  (sedang),  tingkat  ancaman  disciverability  (D)  adalah  sedang dengan nilai 11 artinya untuk menemukan ancaman pada web adalah tidak sulit / sedang.
Kata Kunci : Sistem Informasi Akademik; Penilian Risiko; Model-DREAD

## Abstract
Currently the academic information system at XYZ University has weaknesses in asset security in the form of data and handware, from these problems, it is important to carry out a risk threat analysis in measuring the potential vulnerabilities that occur in the academic information system. Risk  assessment  activities  in  academic  information  systems  are  only  based  on  experience  and knowledge that is limited to the introduction of information technology, has not been specifically implemented.  The  greater  the  information  assets,  the  greater  the  source  of  threats  that  will interfere with the smooth operation of the information system. In this study, the importance of risk evaluation is carried out to make future action decisions, such as which risks need to be addressed and prioritized. In this activity, it is necessary to carry out an assessment to determine the level of  risk  from  high.  Evaluation  results  on  the  security  of  academic  information  systems  at  XYZ University. By using the DREAD model that has been carried out, it can be seen the level of risk to its security, namely the potential damage (D) of the web that is built high (unsafe) with a value of 12, reproducibility (R), namely the ability of threats to reproduce attacks is moderate with a value of 10, Exploitation (E) moderate threat to attack the web with a value of 11, influence on users (A) with a moderate threat level with a value of 11 meaning that the attack that occurs is not  too  large  (medium),  the  threat  level  of  disciverability  (D)  is  moderate  with  a  value  of  11 meaning to finding threats on the web is not difficult / moderate.
Keywords : Academic Information System; Risk Assessment; Model-DREAD

## I. PENDAHULUAN
Teknologi  komputer  telah  menjadi bagian  integral  dari  suatu  organisasi memperbolehkan  karyawan  maupun  orang lain  untuk mengakses sistem informasi dari mana-mana,  dengan  kecanggihan  ancaman keamanan yang semakin meningkat, kebutuhan  untuk  memberikan  keamanan dianggap  lebih  penting.  Sehingga  aspek keamanan system informasi menjadi penting untuk  dijaga  dan  lindungi.  Keamanan informasi  merupakan  salah  satu  asset penting  yang  harus  diperhatikan  oleh organisasi  dan  perusahaan[1].  Informasi baik  berupa  teks,  gambar,  audio,  maupun video  yang  menyimpan  asset  penting  bagi perusahaan, wajib dilindungi dengan sistem manajemen keamanan informasi [2]. Kebocoran, kerusakan atau hilangnya  suatu informasi dapat menimbulkan kerugian baik secara  finansial  maupun  produktivitas  bagi organisasi dan perusahaan [3].
Universitas  XYZ  telah  menerapkan sistem informasi akademik yaitu  Academic Management  System  (AMS).  AMS  adalah sistem  informasi  akademik  yang  dalam kegiatan  administrasi  akademik  kampus secara  online,  Sistem  itu  sendiri  terbentuk dari  sistem-sistem  lainnya    seperti  sistem proses Penerimaan Mahasiswa Baru (PMB), pembuatan  jadwal  kuliah,  pengisian  Kartu Rencana  Studi  (KRS),  pengisian  nilai, pengelolaan  data  dosen  &  mahasiswa. Sistem  ini  juga  dapat  berfungsi  sebagai pendukung  untuk  analisis  data  dalam menentukan keputusan Kampus.
Penggunaan  sistem  informasi  akademik termaksud mahasiswa, dosen, dan admin..
Sistem  Informasi  Akademik  pada
Universitas  XYZ yang  digunakan  sebagai kegiatan  kampus  yang  terjadi  saat  ini kelemahan terhadap keamanan yang terdampak  pada  aset  berupa  data  dan handware  pada  SIA,  contoh  incident pencurian  data  maupun  pengambil  alihan akses secara ilegal dari serangan [4]. melalui
risk assessmen pihak petugas dapat terbantu dalam  mengetahui  risiko-risiko  apa  saja yang  dapat  terjadi  dan  dampak  kerentanan pada  sistem  AMS,  mengukur  seberapa mungkin risiko tersebut diulang , kemudian ditunjukkan hasil perhitungan risiko manakah yang menjadi prioritas yang dalam hal ini butuh penangan segera dan manakah risiko  yang  dapat  menemukan  penangan berikutnya.
Dari  permasalahan  diatas  penting dilakukannya evaluasi resiko pada keamanan  dan  mengukur  dampak  potensi dari kerentanan yang terjadi pada sistem IT, tahapan  analisis  risiko  dapat  meniminalisir dan  mengendalikan  risiko  sesuai  peringkat nilai level risiko atau tingkat insiden  sistem yang  dialamin  di  institusi  perguruan  tinggi dari  ancaman  keamanan  risiko  Universitas XYZ [5]. Kegiatan penilaian risiko di sistem informasi  akadekmin  hanya  berdasarkan pada  pengalaman  dan  pengetahuan  yang sebatas pada pengenalan teknologi informasi,  belum  dilaksanakan secara khusus.  Semakin  besar  aset  informasi  yang dilayankan kepada petugas melalui teknologi  web,  semakin  besar  sumber ancaman yang akan mengganggu kelancaran sistem informasi akademik.
Kejadian ( incident ), atau vulnerability yang  terjadi  diatas  merupakan  risiko  yang dapat  mengganggu  proses  bisnis  contoh incident. Misalnya    siber  attack    berpura- pura    sebagai    pemakai    yang  lupa passwordnya dan minta agar diganti menjadi kata lain [6], dengan pertimbangan incident, dan  v ulnerability yang  sering  terjadi  maka diperlukan penanganan risiko, dan penilaian risiko  dilakukan  dalam  proses  manajemen risiko  keamanan  informasi  sehingga  risiko yang  ada  bisa  ditangani  dan  dikendalikan. Manajemen  risiko  keamanan  informasi adalah metode untuk penilaian dan mitigasi risiko  terhadap  aspek  kebutuhan  keamanan informasi  yang  memuat  3  unsur  penting yaitu: Confidentiality (kerahasiaan),
Integrity (integritas), dan Availability
(ketersediaan).  Tiga  unsur  penting  dari aspek  keamanan  tersebut  sangat  rawan terhadap  ancaman  serangan-serangan  yang mengancam  keberadaanya  baik  serangan terhadap  sumber-sumber  informasi  baik secara  fisik  dan  melalui  akses  secara jaringan [7].
Pada penelitian ini. pentingnya evaluasi  resiko  dilakukan  untuk  membuntu proses pengambilan  keputusan berdasarkan hasil  analisis  risiko,  proses  evaluasi  resiko akan menemukan seberapa besar kerusakan resiko  yang  menjadi  kelemahan  sistem informasi  akademik[8],  dan  bagaimana prioritas perlakuan atas resiko-risiko tersebut    seperti  dalam  aktifitas  ini  perlu dilakukan penilaian  untuk mengetahui level risiko dari risiko tinggi, sedang, dan rendah yang  dapat  membantu  mengidentifikasi risiko,    menggurangi  dampak  ancaman risiko dengan level metode yang digunakan yaitu  penilaian  model-DREAD  ( Damege Potential,  Reproducibility,  Exploitability, Affected  User,  Discoverability )  merupakan model  yang  digunakan  untuk  menghitung resiko  yang  dapat  menghasilkan  informasi peringkat resiko untuk sebuah ancaman yang terjadi [9].
Pada penelitian sebelumnya  DREAD dipilih sebagai acuan penilaian risiko dalam penggunaan sistem dan teknologi informasi di  perguruan  tinggi  untuk  mengetahui  level atau  peringkat  risiko  tersebut  [9].  Untuk membantu mengatasi masalah ini dan untuk menambah  dimensi  baru  dalam  menetukan dampak, tentang apakah ancaman keamanan web  itu  benar  berarti,  maka  masalah  ini dapat  dilakukan  proses  penilaian  risiko dengan model DREAD .
II. TINJAUAN PUSTAKA
2.1 Proses Pemodelan Ancaman
Metode  penelitian  ini  menggunakan tahapan  proses  model-DREAD.  model- DREAD  merupakan  suatu  metode  yang digunakan untuk mengenali atau mengetahui ancaman  (Vulnerability),  serangan  (attack), dan kelemahan (vulnerabilities) yang berhubungan dengan aplikasi web [9]. Dapat dilihat pada gambar dibawah ini
Gambar 1 Proses Pemodelan Ancaman Sumber : Hasil Penelitian 2021
Pada gambar di atas dapat dijelaskan tahapan  -  tahapan  proses  pemodelan ancaman sebagai berikut:

## 1. Identifikasi Aset
Tahap ke-1 : Identifikasi aset dilakukan untuk  mengetahui  aset  yang  perlu dilindungi  dari  pengguna  yang  tidak sah, Aset dapat berupa fisik atau data
2. Desaian Arsitektur Tahap ke-2: Desain arsitektur dilakukan untuk mengetahui karakteristik  dan  aktor  pada  aplikasi web, hal ini digunakan untuk membantu  mengenali  ancaman  yang ada.
3. Penguraian Aplikasi Tahap  ke-3  :  Penguraian  Aplikasi, dilakukan untuk mengetahui mekanisme  aplikasi  web  secara  detail. Tahap  ini  juga  mengidentifikasi  batas- batas  kepercayaan,  aliran  data,  titik masuk, dan kode istimewa.

## 4. Identifikasi Ancaman
Tahap  ke-4  :  Identifikasi  Ancaman, mengidentifikasi ancaman adalah mengklasifikasikan ancaman menggunakan model-STRIDE dan jenis serangan
5. Dokumentasi Ancaman
Tahap  ke-5  :  Dokumentasikan  setiap ancaman  menggunakan  templat  ancaman umum  yang  menetapkan  serangkaian atribut  yang  digunakan  yaitu  profil keamanan untuk aplikasi.

## 6. Peringkatan Ancaman
Tahap ke-6 : Peringkat ancaman dilakukan untuk  mengetahui  nilai  ancaman  untuk memprioritaskan  dan  mengatasi  ancaman paling signifikan terlebih dahulu. Ancaman ini  menghadirkan  risiko  terbesar.  Pada proses  peringkat  ancaman  menggunakan model  DREAD  untuk  memberikan  dan solusi pada ancaman risiko yang ada.

## 2.2 Model DREAD
Model  DREAD  merupakan  suatu  model dari Microsoft yang digunakan untuk menghitung  risiko  yang  dapat  menghasilkan informasi peringkat risiko untuk sebuah ancaman yang  terjadi  [9].  Kepanjangan  DREAD  adalah singkatan dari Damage Potential,
Reproducibilty,  Exploitability,  Affected  User,
Discoverability. Untuk  mengetahui  peringkat risiko dengan model DREAD, beberapa hal yang perlu diperhatikan berhubungan dengan kepanjangan  dari  DREAD  dan dapat  dilihat juga  hubungan  dengan  skala  level  rating resiko  tinggi,  sedang  dan  rendah  pada ancaman  yang  terjadi  pada website sebagai berikut :
1. D  ( Damage  pontensial) yaitu  seberapa besar kerusakan jika kelemahan tersebut  dieksploitasi.  ?  Ini  membantu untuk menentukan dampak keseluruhan dari  penyerang  terhadap  kerentanan yang  menidentifikasi  jika  berhasil diluncurkan  .  DREAD  memiliki  skala level  rating  resiko dengan    kategori resiko tinggi dengan nilai (3) memiliki pontesi  kerusakan  yaitu  penyerang dapat  meruntuhkan  sistem  keamanan,
jika kategori resiko sedang dengan nilai (2)  memiliki  pontesi  kerusakan  yaitu bocornya  informasi  sensitif  dan  jika dengan  kategori  resiko  rendah  dengan nilai  (1)  memiliki  pontesi  kerusakan yaitu bocornya informasi sepele.
2. R (Reproduksibilitas) yaitu  seberapa mudah  untuk  reproduktifitas  serangan itu?  Ini  membantu  mengidentifikasi apakah serangan dapat diulang.
DREAD  memiliki  skala  level  rating resiko  dengan  kategori  resiko  tinggi dengan  nilai  (3)  memiliki  pontesi kerusakan yaitu serangan dapat direproduksi  setiap  waktu  dan  tidak memerlukan jendela waktu, jika kategori resiko sedang dengan nilai (2) memiliki  pontesi  kerusakan  yaitu serangan  dapat  direproduksi,  tetapi hanya dengan jendela waktu dan situasi tertentu dan jika dengan kategori resiko rendah  dengan  nilai  (1)  memiliki pontesi  kerusakan  yaitu  serangan sangat sulit untuk direproduksi, bahkan dengan  pengetahuan  tentang  lubang keamanan
3. E (eksploitibiliti) ,  seberapa  mudah untuk  memulai  serangan  ?  Faktor  ini membahas masalah pada tingkat keahlian  atau  sumber  daya  yang dibutuhkan untuk mengeksploit sebuah kerentanan  yang  ditemukan.  DREAD memiliki  skala  level  rating  resiko dengan    kategori  resiko  tinggi  dengan nilai  (3)  memiliki  pontesi  kerusakan yaitu seorang programmer pemula bisa melakukan  serangan  dalam  waktu singkat,  jika  kategori  resiko  sedang dengan  nilai  (2)  memiliki  pontesi kerusakan  yaitu  seorang  programmer yang terampil dapat melakukan serangan,  kemudian  ulangi  langkah- langkahnya  dan  jika  dengan  kategori resiko rendah dengan nilai (1) memiliki pontesi  kerusakan  yaitu  serangan  itu membutuhkan  orang  yang  sangat
terampil dan pengetahuan yang mendalam setiap saat untuk mengeksploitasi 4. A (Affected  User) Pengguna  yang Terkena  Dampak,  (terkena  pengguna) yaitu  seberapa  besar  persentase  kasar, berapa banyak pengguna yang
terpengaruh  ?  Menjawab  pertayaan prediksi dampak pada bisnis pengguna melalui  aset  informasi  mereka  atau lingkungan aplikasi yang dimanfaatkan beberapa pengguna. DREAD memiliki skala  level  rating  resiko    dengan kategori  resiko  tinggi  dengan  nilai  (3) memiliki  pontesi  kerusakan  yaitu semua  pengguna,  konfigurasi  default, pelanggan  utama,  jika  kategori  resiko sedang  dengan  nilai  (2)  memiliki pontesi  kerusakan  yaitu  Beberapa pengguna,  konfigurasi  tanpa  cacat  dan jika  dengan  kategori  resiko  rendah dengan  nilai  (1)  memiliki  pontesi kerusakan  yaitu  persentase  pengguna yang  sangat  kecil,  fitur  tidak  jelas;
memengaruhi
penggunaD
( Discoverability ) yaitu seberapa mudah untuk  menemukan  kerentanan?  Ini membantu  mengidentifikasi  seberapa mudah  sebuah  kerentanan  terdekteksi untuk  lingkungan  aplikasi  tertentu. Informasi itu membuat mengidentifikasi seberpa mudah kerentanan  dapat  ditemukan  utuk  di ekploitasi.  DREAD  memiliki  skala level  rating  resiko    dengan memiliki
kategori  resiko  tinggi  dengan  nilai  (3) memiliki  pontesi  kerusakan  yaitu informasi yang
dipublikasikan
menjelaskan  serangan  itu.  Kerentanan ditemukan  dalam  fitur  yang  paling umum  digunakan  dan  sangat  terlihat, jika kategori resiko sedang dengan nilai (2)  memiliki  pontesi  kerusakan  yaitu kerentanan  berada  di  bagian  produk yang  jarang  digunakan,  dan  hanya beberapa pengguna yang akan
menemukannya dan jika dengan kategori resiko rendah dengan nilai (1) memiliki pontesi kerusakan yaitu perlu beberapa  pemikiran  untuk  melihat penggunaan  berbahaya.Bugnya  tidak jelas,  dan  tidak  mungkin  pengguna akan menemukan potensi kerusakan

## 2.3 Peringkat Ancaman
Tahap  terakhir  mengenai  peringkat ancaman  didapatkan  dengan  memberikan insurnent  penilaian  model  DREAD  pada responden  tempat  penelitian,  pada  bagian kepala ICT dan staf bagaian ICT menggunakan  parameter  pertanyaan  model DREAD yang diajukan selanjutnya dijawab dengan  skala  yang  telah  ditentukan,  proses menghitung dengan memberikan nilai skala 1-3  proses  perhitungan  peringkat  dengan DREAD  score  calculated  skala  penilaian yang  diberikan  nilai  tinggi  (3),  sedang  (2), dan  rendah  (1)  untuk  ancaman  hasil  dari penilaian  berkisaran  5-15  .kemudian  dibagi menjadi  3  skala,  yaitu  dengan  level peringkat  jika  nilai  keseluruhan  12-15 sebagai level risiko tinggi, 8-11 sebagai level risiko  sedang,  dan  5-7  sebagai  level    risiko rendah.  ini  mengetahui  hasil  kalkulasi (D+R+E+A+D/5) perhitungan DREAD

## III. METODOLOGI PENELITIAN

## 3.1. Desain Penelitian
Metode  Pengumpulan  Data  Untuk memperoleh data yang berhubungan dengan penelitian  ini  maka  metode  pengumpulan data  dilakukan  dengan  cara  mengambil langsung  data  ditempat  penelitian  dengan cara :
1. Studi pustaka dalam penelitian ini studi pustaka dilakukan yaitu untuk memperoleh  data  mengenai  hal  –  hal yang  berhubungan  dengan  evaluasi resiko keamanan, model DREAD
2. Wawancara ( interview ) dilakukan untuk mendapatkan data yang berkaitan dengan penelitian yaitu meliputi kelemahan  sistem  informasi  akademik penerimaan  mahasiswa  baru  (PMB) dan  ancaman  dan  resiko  yang  pernah
terjadi pada sistem informasi akademik peneriman  mahasiswa  baru  (PMB).
Pada  penelitian  ini  pihak  yang  di wawancara adalah kepala ICT .Universitas XYZ  dan staf bagian ICT . Universitas XYZ

## 3.2. Teknik Sampling
Teknik    sampling  yang  digunakan pada  penelitian  ini  adalah  simple  random sampling.  Teknik  simple  random  sampling digunakan teknik  untuk  mendapatkan sampel  dilakukan  pada  secara  random. Dengan  demikian  setiap  unit  sampling sebagai  unsur  populasi  yang  terpencil memperoleh  peluang  yang  sama  untuk menjadi  sampel  atau  untuk  mewakili, populasi.yang  terpilih  adalah  5  (lima  ) sampel pada bagian ICT Universitas XYZ

## 3.3. Teknik Pengumpulan Data
Teknik  pengumpulan  data  yang digunakan pada penelitian ini adalah dengan menggunkan  metode  survey,  yaitu  dengan menyebarkan  kuesioner  kepada  responden. Responden  pada  penelitian  ini  adalah masyarakat kota Lubuklinggau yang menggunakan  media  social  Facebook. Kuesioner    dibagikan  secara online dengan menggunakan Google Form.

## 3.4. Teknik Analisa Data
Teknik analisa data yang digunakan pada penelitian ini adalah Selain melakukan wawancara,  juga  diperlukan  survey  metode ini  menggunakan    instrument  angket penilaian  sebagai  alat  penelitian  yang dilakukan  dari  sampel  yang  diambil  dari populasi  terkecil  dengan  sampel  5  (lima) pada bagian ICT Universitas XYZ. pertayaan diajukan menggunakan instrument  angket  penilaian  dan  dijawab dengan  skala    yang  telah  ditentukan  untuk mengetahui  rating  resiko  menggunakan model DREAD,.

## IV. HASIL DAN PEMBAHASAN

## 4.1 Identifikasi Aset
Asset  adalah  kekayaan  (sumber  daya) yang  dimiliki  oleh  entitas  bisnis  yang  bisa diukur  secara  jelas  dapat  berupa  fisik maupun  non  fisik,  asset  disini  adalah berbagai macam alat pendukung agar sistem informasi akademik.
SIA  merupakan  sebuah  bagian  dari Akademik    yang  bertugas  untuk  mengelola berbagai  macam  Sistem  informasi  yang berada  di  Universitas  XYZ.  Dari  data  hasil wawancara  yang  telah  dilakukan  pada bagian  tim  IT  maka  di  identifikasilah  asset yang  mendukung  kegiatan  dari  SIA Universitas  XYZ  agar  tetap  berjalan.  Asset yang ada dibagi menjadi 3 bagian, yaitu asset Informasi  atau  data,  Asset  Hardware  yang mendukung berjalanya Sistem informasi dan aset  Sumber  daya  Manusia  (SDM)  dapat dilihat  pada  dibawah  ini  dengan  jenis  dan keterangannya:
a. Aset Data terdiri ada 3 aset data yaitu : Website  sistem  informasi,Data  calon mahasiswa  danTransaksi  Informasi pembayaran
b. Asset Hardware terdiri  ada  2  aset hardware  yaitu  :  Web  server  (apache) Server  untuk  sistem  informasi  dan Server  databases  layanan  pengelolaan basis data dan melayani komputer atau program  aplikasi  basis  data  yang menggunakan model klien/server.
c. Asset  Sumber  daya  manusia  (SMD) Pengguna  sebagai  mengakses  sistem informasi akademik.
4.2 Arsitektur SIA Penerima Mahasiswa Baru.
Buat  diagram  arsitektur  fisik  yang menggambarkan  komposisi  dan  struktur sistem  dan  subsistemnya  serta  karakteristik penyebaran  fisiknya,  seperti  diagram  pada Gambar 2
Gambar 2 Aristektur Fisik Sistem Informasi

## Akademik Penerimaan Mahsiswa Baru
Sumber : Hasil Penelitian 2021
Pada gambar diatas dapat di jelaskan pengguna  aplikasi  web  menggunakan  web browser  sebagai  interface  untik  dapat mengakses fungsi dari aplikasi web. Sebuah browser  mengirimkan  permitaan  ( request ) keweb server, mengirim-nya dengan menggunakan protocol HTTP,  sebuah server memberikan permintaan tersebut jika permintaan dapat dipenuhi secara langsung. Dengan  melibatkan  proses  yang  terdapat pada  aplikasi  server,  seperti  yang  terlihat pada gambar diatas, apabila pengguna ingin mengambil  data  yang  terdapat  pada databases, maka aplikasi server harus telibat. Dan akhirnya web server dengan hasil yang telah diperoleh dari aplikasi server menghasilakan  HTML  dan  mengembalikan pengguna aplikasi web

## 4.3 Penguraian Aplikasi
Pada  penguraian  aplikasi  melakukan tahap mengidentifikasi batas-batas kepercayaan,  aliran  data,  titik  masuk,  dan kode istimewa. Dapat mengetahui mekanisme sistem informasi akademik. a. Aliran Data Saat login, sisfo menghasilkan alamat mulai dari indeks 0
hingga  indeks  alamat  yang  belum digunakan  terakhir.  Itu  sebabnya  butuh waktu  lama  untuk  masuk.  Namun,  sisfo itu stateful. Saat masuk, ia menggunakan data yang disimpan secara lokal .
b. Titik Masuk, Titik masuk untuk pengguna  adalah  kata  sandi  saja. Pengguna  hanya  dapat  mengakses  sitem informasi  akademik,  jika  memiliki  kata sandi  yang  valid.  Titik  masuk  bagi pengguna  juga  dapat  bertindak  sebagai titik  masuk  untuk  serangan.  Penyerang hanya  dapat  mengakses  seed  pengguna, jika hanya memiliki kata sandi yang valid keamanan  di  sekitar  titik  masuk  dengan menawarkan otentikasi dua faktor
c. Kode  istimewa  menggunakan  username dan  password  untuk  mengakses  sistem informasi akademik.

## 4.4 Identifikasi Ancaman
Penelitian  ini  mengadopsi  Model- STRIDE untuk klasifikasi jenis ancaman dan jenis  serangan  yang  terjadi  pada  keamanan SIA  prosedur  STRIDE  yang  dikenali  oleh
Microsoft digunakan untuk mengkarakterisasi  kerentanan  ini..  Metode
Stride (Spoofing,  Tampering,  Repudiation, Information  Disclosure,  Denial  of  Service, and  Elevation  of  Prvilege adalah  sebuah metode yang digunakan untuk mengklasifikasikan jenis kejahatan di dalam sebuah    jaringan  dan website berdasarkan jenis  serangannya  ada  8  (delapan)  yaitu
Menebak Akun Pengguna, Session Hijacking, Session Replay, Insecure Backup, Eavesdropping,  Sniffing,  Web  Defacement, dan Logic Flow Attacks http://www.owasp.org 4.5 Hasil Identifikasi Ancaman Website Sistem Informasi Akademik PMB.
Dari  hasil  investigasi  pada  gambar  3
dapat  disimpulkan  jenis  serangan  yang  ada
Client
SIA Databases Webserver           Aplikasi Server Browser
di  sistem  informasi  akademik  pmb  di Univesitas  XYZ  terdapat  8  jenis  serangan yang  diketahui.  Grafik  DREAD    di  bawah dapat mengertahui tingat resiko pada sistem informasi  akademik  pmb,    dilihat  pada gambar dibawah ini sebagai berikut:
1. Damage Potensial
Gambar 3 Grafik Demaga Potensial Sumber : Hasil Penelitian, 2021 Berdasarkan grafik diatas dapat
disimpulkan  ada  8  jenis  serangan  pada damage  pontesial (D)  kerusakan  yang dieksploitasin  menjadi  kelemahan  yaitu menembak  akun  pengguna  dengan  teknik ancaman  menembak  akun  pengguna  secara manual dengan cara mengumpulkan password  yang  berkumungkinkan  user  di web,  pada  grafik  diatas  terdapat  nilai menembak  akun  pengguna  paling  tinggi, dimana  nilai  tersebut  merupakan  jumlah keseluruhan responden dengan skala penilaian  15,  artinya  bahwa  web  yang dikembangakan mempunyai
dampak kerusakan  pontesial  yang  tingakat  level resiko yang tinggi atau dikembangkan tidak aman,  sedangkan jenis serangan logic flow attacks dengan  teknik  ancaman mencuri informasi login  pengguna seperti username dan  password  yang  dikirim  pengguna, namun  informasi  tersebut  tidak  terenkripsi ke  server, dilihat  dengan  nilai  tersebut  dari keseluruhan  responden  didapatkan  skala penilaian  keseluruhan  9  artinya  bahwa  web yang  dikembangakan  mempunyai  dampak
kerusakan pontesial yang tingkat level resiko sedang atau dikembangkan cukup aman .

## 2. Reproduksibilita s
Gambar 4 Grafik Reproduksilitas Sumber : Hasil Penelitian, 2021
Berdasarkan    grafik  diatas  dapat disimpulkan reproduksibilitas (R)    jenis serangan yang mudah untuk mereproduksinya  adalah eavesdropping dengan  teknik  ancaman  mencuri  data  yang dikirim  melalui  jaringan  tanpa  dienkripsi terlebih  dahulu,  nilai  yang  didapatkan  dari jumlah keseluruhan responden dengan skala penilaian  13,  artinya  bahwa  web  yang dikembangakan mempunyai dampak reproduksi  serangan  yang  tingkat  level resiko yang tinggi atau dikembangkan tidak aman    sedangkan  jenis  serangan web defacement dengan teknik ancamann melakukan  penyadap  dengan  tujuan  untuk mengambil/mencuri data-data penting ataupun  akun  pribadi  seseorang,  nilai  yang didapatkan  dari  keseluruhan  responden dengan skala penilaian 9 artinya bahwa web yang  dikembangakan  mempunyai  dampak reproduksi  serengan  yang  tingkat  level resiko  sedang  atau  dikembangkan  cukup aman.
3. Eploitability
Gambar 5 Grafik Eksploitability Sumber : Hasil Penelitian, 2021
Berdasarkan    grafik  diatas  dapat disimpulkan eksploitability (E)  sebuah kerentanan  yang  ditemukan  dari  8  jenis srengan yang paling tinggi adalah
menembak akun pengguna memiliki kerentanan teknik ancaman menembak akun pengguna  secara  manual  dengan  cara mengumpulkan password yang berkumungkinkan user di web PMB, dimana nilai  tersebut  didapatkan  dari  jumlah keseluruhan responden dengan skala penilaian  14,  artinya  bahwa  web  yang dikembangakan
mempunyai dampak
reproduksi  serangan  yang  tingkat  level resiko yang tinggi atau dikembangkan tidak aman    sedangkan  jenis  serangan web
defacement dimana nilai tersebut
merupakan nilai dari keseluruhan responden didapatkan  skala  penilaian  keseluruhan  9 artinya  bahwa  web  yang  dikembangakan mempunyai  dampak  reproduksi  serengan yang  tingkat  level  resiko  sedang  atau dikembangkan cukup aman
4. Affected User
Gambar 6 Grafik Affected User
Sumber : Hasil Penelitian, 2021 Berdasarkan    grafik  diatas  dapat
disimpulkan affected  user (A)  berdampak
berapa banyak yang pengaruh pada
pengguna,  yaitu  jenis  serangan sniffing dan eavesdropping teknik  anacaman  mencuri data  yang  dikirim  melalui  jaringan  tanpa dienkripsi  terlebih  dahulu.  nilai  tersebut yang  didapatkan  dari  jumlah  keseluruhan responden dengan skala penilaian 13, artinya bahwa web yang dikembangakan mempunyai  dampak  terpengaruh  pada pengguna serangan yang tingkat level resiko yang  tinggi  atau  dikembangkan  tidak  aman sedangkan  jenis  serangan web  defacement dimana  nilai  tersebut  merupakan  nilai  dari keseluruhan  responden  didapatkan  skala penilaian  keseluruhan  9  artinya  bahwa  web yang  dikembangakan  mempunyai  dampak reproduksi  serengan  yang  tingkat  level resiko  sedang  atau  dikembangkan  cukup aman
5. Discoverability
Gambar. 7 . Grafik Discoverability Sumber : Hasil Penelitian, 2021 Berdasarkan    grafik  diatas  dapat disimpulkan model penilaian discoverability
(D) terdapat jenis serangan session hijacking yang terdekteksi menjadi kerentanan ancaman  pada  sistem  informasi  akademik pmb,  teknik  ancamanan session  hijacking yaitu  mengambil sesi ID pengguna lain agar bias mendapatkan hak akses utuk masuk ke rosoures,  pesentasi  pada  grafik  diatas didapatkan dari jumlah keseluruhan responden dengan skala penilaian 14, artinya bahwa web yang dikembangakan mempunyai  dampak  terpengaruh  pada pengguna serangan yang tingkat level resiko yang tinggi atau dikembangkan tidak  aman sedangkan  jenis  serangan session  hijacking dimana  nilai  tersebut  merupakan  nilai  dari keseluruhan  responden  didapatkan  skala penilaian  keseluruhan  6  artinya  bahwa  web yang  dikembangakan  mempunyai  dampak kerentaan  serengan  dengan    tingkat  level resiko  sedang  atau  dikembangkan  cukup aman
4.6 Dokumentasi Ancaman
1. Hasil Identifikasi Keamanan Website

## Sistem Informasi Akademik PMB.
Hasil  identifikasi  keamanan website untuk mengidentifikasi serangan berdasakan klasifikasi  dari  proses  pemodelan  ancaman digunakan  untuk  merujuk  pada  identifikasi keamanan website sistem informasi akademikyang di buat OWSAP (Wichers 2013), tujuan  dari  model  pengujian  OWSAP  untuk mengidentifikasi  jenis  serangan  “apa  saja  yang mungkin terjadi“ pada sistem akademik informasi  PMB  pada  Universitas  XYZ.  Proses identifikasi dilakukan dengan menginterview tim
IT Universitas Univesitas  XYZ untuk mengetahui  kerentanan  di  Sistem  Informasi Akademik PMB
2. Hasil  Peringkat  Ancaman Website Sistem Informasi Akademik PMB.
Dari  hasil  analasis  diketahui  ada  8 (delapan)  jenis  serangan  pada  Sistem Informasi  Akademik  PMB,  dilakukan dengan  cara  survey  dengan  5  responden pada  bagaian  ICT  Univesitas  XYZ,  dalam parameter pertayaan DREAD , Setiap pertanyaan  yang  diajukan  dan  dijawab dengan  skala  yang  telah  ditentukan  proses perhitungan dengan memberi nilai skala 1-3. Untuk  3  jenis  skala  level  ada  3  tingkatan rating  dengan  kententuan  level  rating  yaitu tertinggi (3), sedang (2), dan rendah (1).
Skala  penilaian  pada  DREAD  dengan nilai  keseruluhan  berkisar  skala  5-15, kemudian  nilai  tersebut  di  pecah  menjadi  3 skala penilaian yaitu:
a) Skala  penilaian  keseluruhan  12-15 dapat  mengetahui  tingkat  ancaman dengan level resiko tinggi.
b) Skala penilaian keseluruhan 8-11 dapat mengetahui  tingkat  ancaman  dengan tingkat level resiko sedang
c) Skala  penilaian  keseluruhan  5-7  dapat mengetahui  tingkat  ancaman  dengan tingkat level rendah Mengetahui hasil kalkulasi (D+R+E+A+D/5  )  perhitungan  model DREAD    dapat  dilihat  pada  tabel  dibawah ini Tabel 1. Tingkat Ancaman dengan Model DREAD
Jenis Serangan D R E A D Total Rata” Rating Menebak Akun Pengguna 15 10 14 11
13 63 12.6 Tinggi Session Hijacking 12 11 13 11 14 61 12.2 Tinggi Session Replay 13 9 10 10 6 47 9.4 Sedang Insecure Backup 15 10 10 6 9 50 10 Sedang Eavesdropping 10 13 13 13 11 60 12 Tinggi Sniffing 14 12 12 13 13 64 12.8 Tinggi Web Defacement 10 8 9 10 11 48 9.6 Sedang Logic Flow Attacks 9 9 10 9 9 46 9.2 Sedang Total 97 82 91 83
86
Data diatas didapatkan dari menjawab pertayaan dengan model DREAD yang  di  ketahui  ada  8  jenis  serangan    pada Sistem Informasi Akademik PMB, dari hasil menjawab kemudian ditabulasikan kedalam tabel  sesuai  dengan  atribut  masing-masing pada model DREAD setiap pertanyaan yang diajukan  dan  dijawab  dengan  skala  yang telah  ditentukan  proses  perhitungan  dengan memberi nilai skala 1-3, kemudian dijumlahkan  untuk  mengetahui  nilai  rata- rata untuk setiap jenis ssrangan jumlah dari point  pertanyaan  dibagi  dengan  banyaknya atribut pada model DREAD adalah 5. Nilai rata-rata  tersebut  untuk  mengetahui  hasil menentukan  skala  peringkat  level  tinggi, sedang dan rendah.
Dari hasil tersebut dapat ditemukan hasil  kelompok    4  jenis  serangan  menebak
akun pengguna, session hijacking,
eavesdropping dan sniffing yang  dengan skala  rata–rata  penilaian  =12,8  dan  tingkat ancaman level tinggi dengan cara menjumlahkan  seluruh  jawaban  dengan respoden  sesuai  dengan  atribut  kemudian dibagi  5  dengan  parameter  pertanyaan DREAD,    dari  hasil  perhitungan  seluruh responden  didapatkan  nilai  rata-rata  64/5 =12,8  (dibulatkan  13)  dianggap  lebih  aman sehingga  web  tidak  aman  atau  mempunyai peringkat  rating  tinggi.  Teknik  pecegahan dari serangan menebak akun pengguna yaitu menghindari  penggunaan  akun  secara default username dan password strength dan membuat  password  lebih  aman  sedangkan teknik pecegahan pada serangan eavesdropping dan sniffing yaitu mengenkripsikan seluruh data yang sensitive seperti  username  dan  password,  memasang SSL  agar  website    Sedang  resiko  tingkat level sedang ada 4 jenis serangan logic flow attack , web defacement , session replay dan
insecure backup yang mudah untuk mereproduksi serangan kerusakannya dengan  skala  rata–rata  penilaian  =12,2  dan tingat  ancaman  level  tinggi Diman  nilai tersebut  merupakan  nilai  keseluruhan  dari ancaman,  untuk  mengentahui  rating  dari potensial  kerusakan  dari  web  maka  nilai keseluruhan pada potensial kerusakan dibagi banyaknya  ancaman  yaitu  97/8  =12,2 (dibulatkan  12),  artinya    bahwa  web  yang dikembangkan mempunyai dampak kerusakan resiko tinggi atau dapat dikatakan bahwa web tidak aman, Teknik pencegahan pada  serangan logic  flow  attack yaitu memberikan fungsi enkripsi pada setiap data yang  sensitive  seperti  password,  username, dan lain-lain
Gambar 7 Grafik DREAD
Dari  grafik  diatas  dapat  diketahui bahwa peringakat penilaian potensial kerusakan  (D)  yang  terjadi  dengan  dengan nilai  rata-  rata  =12,1,  dimana  nilai  tersebut merupakan nilai keseluruhan dari 8
(delapan)  jenis  serangan  pada website , artinya    bahwa  web  yang  dikembangkan mempunyai dampak kerusakan resiko tinggi atau dapat dikatakan bahwa web tidak aman atau  mempunyai  potesial  kerusakan  tinggi.
Reproduksibilitas (R) didapatkan
12,125 10,25 11,375 10,375 10,75 Damage potensial Reproduksibi litas Eksploitibiliti Affected User Discoverabili ty GRAFIK DREAD
Rata - rata 12,2 10.2 11.4 10.4 10.8 Rating Tinggi sedang Sedang Sedang sedang
keseluruhan nilai rata-rata sebesar10,2  nilai tersebut  merupakan  nilai  keseluruhan  dari kerusakan mereproduksi serangan dari web. Artinya  bahwa  web  yang  dikembangkan mempunyai  reproduktifitas  yang  sedang atau  cukup  mudah  dalam  mereproduksi serangan  terhadap  web  yang  dibuat.  Pada terkena  pengguna  (A)  diketahui  nilai  rata- rata  keseluruhan  sebesar  10,3  (dibulatkan 10), artinya bahwa web yang dikembangkan mempunyai  dampak  kepada  pengguna adalah  sedang  atau  dapat  dikatakan  bahwa ancaman  yang  ada  mempengaruhi  terhadap banyaknya  pengguna  bernilai  sedang.  atau ancaman  yang  ada  cukup  mudah/  sedang untuk  dieksploitasi  menjadi  suatu  serangan terhadap  web.  Pada discoverability (D) diketahui nilai rata-rata keseluruhan sebesar =10,7 (dibulatkan 11), artinya bahwa rating untuk  discoverability  adalah  sedang  atau ancaman  yang  ada  mempengaruhi  terhadap banyaknya pengguna
menemukan kerentanan  pada  web  yang  dibuat  adalah cukup mudah.

## V. KESIMPULAN
Hasil  dari  penelitian  dapat  di  diberi kesimpulan yang diperoleh setelah
dilakukan  pengujian  keamanan  terhadap website sisten  informasi  akademik  PMB yaitu :
1. Hasil  evaluasi  pada  keamanan  sistem informasi  akademik  pada  Univesitas
XYZ.  dari  data  penilaian  dengan  model
DREAD  yang  telah  dilakukan  dapat diketahui tingkat resiko pada
keamanannya, yaitu tingkat resiko tinggi pada    termasuk  dalam    kategori  tidak aman    dengan    nilai  14  dengan  jenis serangan  menebak  akun  pengguna, session  hijacking,  eavaersdropping  dan sniffing.  Sedangkan tingkat resiko pada keamanannya, yaitu tingkat resiko sedang  pada    termasuk  dalam    kategori kurang    aman    dengan    nilai  8  dengan jenis  serangan  session  replay,  insecure
backup,  web  defacement,  logic  flow attacks.
2. Berdasarkan  analisis  dari  ancaman authenticantion merupakan  ancaman yang perlu menjadi prioritas utama untuk seraga  diperbaiki,  Dengan  terdapat  4 jenis  ancaman  yang  bias  di  eksploitasi yaitu menembak akun pengguna, sniffing ,  eavesdropping dan session  hijacking dari  4  jenis  ancaman  terbesar  pada penilaian  ancaman websie sistem informasi akademik PMB.
3. Hasil  akhir  dari  pengujian  ini  yaitu berupa security  report yang  berisi tentang deskripsi ancaman, tingkat risiko ancaman, target ancaman, jenis serangan yang terjadi, serta pencegahanya.

## VI. SARAN
Saran  untuk  penelitian  selanjutnya dapat melakukan analisis keamanan informasi  dengan  interasi  yang  berulang berpriode  sehingga  akan  diperoleh  hasil yang lebih lengkap

## VII. DAFTAR PUSTAKA
[1] A.  B.  Setiawan,  “KAJIAN  KESIAPAN KEAMANAN INFORMASI INSTANSI PEMERINTAH DALAM PENERAPAN  E-GOVERNMENT,” J. Masy. Telemat. dan Inf. , vol. 4, no. 2, pp. 109–126, 2013.
[2] Raniyah,  “Risk  analysis  of  insan university  system  using  iso  27001,” J. TAM  (Technology  Accept.  Model.  Vol. 11, Nomor 2, Desember 2020 Hal. 100- 104  p-ISSN    2339-1103  e-ISSN    2579- 4221 , vol. 11, pp. 100–104, 2020.
[3] Rudiyanto  and  Jamaludin,  “Rancang
Bangun Program Aplikasi Penyimpanan Dokumen Berbasis Desktop Studi Kasus Pada  Pt  Mecosuprin  Grafia  Jakarta,” J. CKI  SPOT ,  vol.  9,  no.  2,  pp.  85–88, 2016.
[4] J. J. B. H. Yum Thurfah Afifa Rosaliah, “Pengujian  Celah  Keamanan  Website
Menggunakan Teknik Penetration
Testing  dan  Metode  OWASP  TOP  10 pada  Website  SIM,” Senamika ,  vol.  2,
no. September, pp. 752–761, 2021.
[5] Ghika  Smarandana,  Ade  Momon,  and
Jauhari  Arifin,  “Penilaian  Risiko  K3 pada  Proses  Pabrikasi  Menggunakan Metode  Hazard  Identification,  Risk Assessment and Risk Control
(HIRARC),” J. INTECH Tek. Ind. Univ.
Serang  Raya ,  vol.  7,  no.  1,  pp.  56–62, 2021, doi: 10.30656/intech.v7i1.2709.
[6] P.  M.  Herlambang,  S.  Anjani,  H.
Wijayanto,  and  M.  Murni,  “MODEL PERILAKU KEAMANAN SIBER PADA PENGGUNA SISTEM INFORMASI  KESEHATAN  PADA MASA  PANDEMI  COVID-19,” Cyber Secur. dan Forensik Digit. , vol. 3, no. 2, pp. 27–33, 2020, doi: 10.14421/csecurity.2020.3.2.2152.
[7] F.  Mahardika,  “Manajemen  Risiko Keamanan Informasi Menggunakan
Framework  NIST  SP  800-30  Revisi  1 (Studi Kasus: STMIK Sumedang),” vol.
2, no. 2, pp. 1–8, 2017.
[8] D.  A.  Jakaria,  R.  T.  Dirgahayu,  and Hendrik,  “Manajemen  Risiko  Sistem
Informasi  Akademik  pada  Perguruan Tinggi  Menggunakan  Metoda  Octave
Allegro,” Fak.  Huk.  UII ,  pp.  37–42,
2013.
[9] D.  Suprihanto,  T.  Prahasto,  and  A. Sugiharto,  “Penilaian  Risiko  Aplikasi Web Menggunakan Model DREAD,” J. Sist. Inf. Bisnis , vol. 3, no. 2, 2013, doi: 10.21456/vol3iss2pp59-66.