MODEL DREAD TERMODIFIKASI UNTUK MENENTUKAN TINGKAT RISIKO KEAMANAN PERANGKAT LUNAK

DIDIT SUPRIHANTO, Drs. Retantyo Wardoyo, M.Sc., Ph.D.; Dr. Techn. Khabib Mustofa, S.Si., M.Kom.

2019 | Disertasi | DOKTOR ILMU KOMPUTER

Pengembang perangkat lunak berbasis web seringkali kurang memahami ancaman keamanan yang dapat terjadi pada aplikasi yang dibangun, sedangkan ancaman keamanan dapat menimbulkan permasalahan yang lebih komplek. Ancaman-ancaman keamanan tersebut akan menimbulkan risiko dan bahkan dapat mengakibatkan kerugian yang besar. Penentuan peringkat risiko pada satu tim pengembangan perangkat lunak berbasis web masih mengalami permasalahan perbedaan pendapat. Permasalahan yang terjadi adalah bahwa anggota tim tidak seluruhnya menyetujui dalam proses penilaian peringkat risiko ancaman. Permasalahan ini dikarenakan anggota tim dapat mempunyai pendapat dan asumsi yang berbeda-beda tentang ancaman dan dalam hal penilai memiliki jenis kepakaran yang berbeda, model DREAD (D (Damage Potential), R (Reproducibility), E (Exploitability), A (Affected User), dan D (Discoverability)) menempatkan setiap pakar dalam posisi yang sama, dalam arti tidak ada perbedaan bobot pada saat penilaian. Penelitian ini mengembangkan model DREAD yang dapat mengatasi perbedaan pendapat dalam proses penilaian tingkat risiko. Model yang dikembangkan dengan menambahkan 2 tahap yaitu memberikan pembobotan pada penilai dengan menggunakan Profile Matching (PM) dan memberikan pembobotan pada unsur model DREAD menggunakan Analytic Hierarchy Process (AHP). Hasil pengujian memberikan bobot pada penilai dengan menggunakan metode Profile Matching untuk menghasilkan penilaian yang melibatkan penilai dengan jenis kepakaran yang berbeda pada masing-masing kategori menunjukkan kedekatan kompetensi yang dimiliki masing-masing penilai terhadap target yang dinilai. Sedangkan hasil pembobotan unsur model DREAD didapatkan nilai yang berbeda-beda di setiap unsur yang menunjukkan tingkat kepentingan atau keberpengaruhan setiap unsur berpasangan terhadap kategori. Perbandingan hasil model DREAD dengan model DREAD termodifikasi dimungkinkan adanya perbedaan. Perbedaan ini menunjukkan skala prioritas perbaikan pada masing-masing kategori yang dinilai. Perbedaan nilai dilihat dari rata-rata, menunjukkan tingkat risiko perangkat lunak berbasis web, sehingga skala prioritas dalam tindakan perbaikan dapat segera diambil keputusan oleh pemangku kepentingan. Selain itu DREAD termodifikasi mengakomodasi setiap penilai yang memiliki jenis kepakaran berbeda sesuai tingkat relevansi terhadap aspek yang dinilai.

There are some web-based software developers often do not understand the security threats that can occur in applications which are built, while security threats can cause more complex problems. These security threats will pose risks and can even result in large losses. The determination of risk rating on a web-based software development team still has problems of dissent. The problem which occurs that is not all of the team members agree in the threat risk assessment process. This problem is caused by the fact that team members can have different opinions and assumptions about threats and in the case of assessors having different types of expertise, DREAD (D (Damage Potential), R (Reproducibility), E (Exploitability), A (Affected User), dan D (Discoverability)) places each expert in the same position, and it means that there is no difference in weight at the time of assessment. This research develops DREAD model that can solve the differences of opinion in the risk level assessment process. The model was developed by adding 2 stages, namely giving weight to the evaluator by using Profile Matching (PM) and giving weighting to the elements of DREAD model by using Analytic Hierarchy Process (AHP). The test results give weight to the assessors by using Profile Matching method to produce an assessment which involves evaluators with different types of expertise in each category showing the closeness of the competencies of each assessor to the assessed target. While, the results of weighting elements of DREAD model obtained different values in each element that indicates the level of importance or influence of each element in pairs with the category. The comparison of the results between DREAD model and the modified DREAD model can be possibly allowing differences. This difference shows the scale of priority improvements in each of the categories assessed. The difference in value which is seen from the average, shows the level of risk of web-based software, so that the scale of priorities in corrective actions can be taken immediately by the stakeholders. In addition, the modified DREAD accommodates each assessor who has a different type of expertise according to the level of relevance to the aspect being assessed.

Kata Kunci : DREAD, modified, weighting, risk, security, level of expertise, Profile Matching, AHP