AUDIT TEKNOLOGI SISTEM INFORMASI

Rangkuman :

1.     Audit Teknologi Sistem Informasi

2.     Kasus COBIT

3.     IT Forensic

Audit Teknologi Sistem Informasi

A. Terminologi Audit Sistem Informasi

Audit Sistem Informasi adalah proses pengumpulan dan pengevaluasian bukti-bukti untuk membuktikan dan menentukan apakah sistem aplikasi komputerisasi yang digunakan telah menetapkan dan menerapkan sistem pengendalian intern yang memadai, apakah aset organisasi sudah dilindungi dengan baik dan tidak disalah gunakan, apakah  mampu menjaga integritas data, kehandalan serta efektifitas dan efisiensi penyelenggaraan sistem informasi berbasis komputer.

Jenis-jenis audit sistem informasi:

a)      Audit laporan keuangan (financial Statement Audit)

b)      Audit Operasional (Operational audit)

1)      Audit terhadap aflikasi komputer

2)      General audit

Yaitu evaluasi kinerja unit fungsional atau fungsi sistem informasi apakah sudah dikelola dengan baik.

Audit pada dasarnya adalah proses sistematis dan objektif dalam memperoleh dan mengevaluasi bukti-bukti tindakan ekonomi, guna memberikan asersi dan menilai seberapa jauh tindakan ekonomi sudahsesuai dengan kriteria berlaku, dan mengkomunikasikan hasilnya kepada pihak terkait.

Secara umum dikenal tiga jenis audit; Audit keuangan, audit operasional dan audit sistem informasi(teknologi informasi). Audit TI merupakan proses pengumpulan dan evaluasi bukti-bukti untukmenentukan apakah sistem komputer yang digunakan telah dapat melindungi aset milik organisasi,mampu menjaga integritas data, dapat membantu pencapaian tujuan organisasi secara efektif, sertamenggunakan sumber daya yang dimiliki secara efisien. Audit SI/TI relatif baru ditemukan dibanding auditkeuangan, seiring dengan meningkatnya penggunan TI untuk mensupport aktifitas bisnis.

DOMAIN : PO

KASUS     : PT. BHANDA GHARA REKSA

PENGERTIAN COBIT

Control Objective for Information & Related Technology (COBIT) 

COBIT, adalah sebuah kerangka kerja yang dibuat oleh ISACA untuk Information Technology (IT)management dan IT governance. COBIT adalah sebuah toolset pendukung yang memungkinkan manajer untuk menjembatani kesenjangan antara persyaratan kontrol, masalah teknis dan risiko bisnis.

Pedoman COBIT memungkinkan perusahaan untuk mengimplementasikan pengaturan TI secara efektif dan pada dasarnya dapat diterapkan di seluruh organisasi dan merupakan standar yang dinilai paling lengkap dan menyeluruh sebagai framework IT audit karena dikembangkan secara berkelanjutan oleh lembaga swadaya profesional auditor yang tersebar di hampir seluruh negara. Dimana di setiap negara dibangun chapter yang dapat mengelola para profesional tersebut.
 

Komponen COBIT

·           Framework: Mengatur tata kelola TI tujuan dan praktek yang baik oleh TI domain dan proses, dan menghubungkan mereka dengan kebutuhan bisnis. 

·           Process descriptions: Sebuah proses referensi model dan bahasa yang umum bagi semua orang dalam sebuah organisasi. Peta proses untuk wilayah tanggung jawab merencanakan, membangun, menjalankan dan memantau. 

·           Control objectives: Menyediakan satu set lengkap persyaratan tingkat tinggi untuk dipertimbangkan oleh manajemen untuk kontrol yang efektif dari setiap proses TI. 

·           Pedoman manajemen: Bantuan tanggung jawab menetapkan, menyepakati tujuan, mengukur kinerja, dan menggambarkan hubungan timbal balik dengan proses lainnya. 

·           Maturity models: Menilai kematangan dan kemampuan per proses dan membantu untuk mengatasi kesenjangan.

Kerangka Kerja COBIT

·           Control Objectives: Terdiri atas empat tujuan pengendalian tingkat-tinggi (high-level control objectives) yang terbagi dalam empat domain, yaitu: Planning & Organization, Acquisition & Implementation, Delivery & Support, dan Monitoring & Evaluation. 

·           Audit Guidelines: Berisi sebanyak 318 tujuan-tujuan pengendalian yang bersifat rinci (detailed control objectives) untuk membantu para auditor dalam memberikanmanagement assurance dan/atau saran perbaikan.

·           Management Guidelines: Berisi arahan, baik secara umum maupun spesifik, mengenai apa saja yang harus dilakukan.

IT FORENSICS

Digital forensic adalah sebuah cabang dalam ilmu komputer yang mempelajari mengenai investigasi, analisa, recovery, dan management data dari media digital yang biasanya setelah terjadi aksi kriminal cyber. Digital forensic memiliki sub cabang keilmuan lagi, yaitu komputer forensik, mobile device forensic, network forensic, dan database forensic.   IT Forensic adalah penggunaan sekumpulan prosedur untuk melakukan pengujian secara menyeluruh suatu sistem komputer dengan mempergunakan software atau tools untuk memelihara, mengamankan dan menganalisa barang bukti digital dari suatu tindakan kriminal yang telah diproses secara elektronik dan disimpan di media komputer.

Tujuan dari IT Forensic adalah mendapatkan fakta-fakta obyektif dari sebuah insiden / pelanggaran keamanan sistem informasi. Dari data yang diperoleh melalui survey oleh FBI dan The Computer Security Institute, pada tahun 1999 mengatakan bahwa 51% responden mengakui bahwa mereka telah menderita kerugian terutama dalam bidang finansial akibat kejahatan komputer. Kejahatan Komputer dibagi menjadi dua, yaitu :

1.      Komputer fraud.

Kejahatan atau pelanggaran dari segi sistem organisasi komputer.

2.      Komputer crime.

Merupakan kegiatan berbahaya dimana menggunakan media komputer dalam melakukan pelanggaran hukum.

Metodologi umum dalam proses pemeriksaan insiden sampai proses hukum:

1.Pengumpulan data/fakta dari sistem komputer (harddisk, usb-stick, log, memory-dump, internet, dll) – termasuk di dalamnya data yang sdh terhapus

2.Mendokumentasikan fakta-fakta yang ditemukan dan menjaga integritas data selama proses forensik dan hukum dengan proteksi fisik, penanganan khusus, pembuatan image, dan menggunakan algoritma HASH untuk pembuktian / verifikasi

3.Merunut kejadian (chain of events) berdasarkan waktu kejadian

4.Memvalidasi kejadian2 tersebut dengan metode “sebab-akibat”

5.Dokumentasi hasil yang diperoleh dan menyusun laporan

6.Proses hukum (pengajuan delik, proses persidangan, saksi ahli, dll)

            Investigasi kasus teknologi informasi yang di gunakan, yaitu :

1.      Prosedur forensik yang umum digunakan, antara lain :

a.      Membuat copies dari keseluruhan log data, file, dan lain-lain yang dianggap perlu pada suatu       media yang terpisah.

b.      Membuat copies secara matematis.

c.       Dokumentasi yang baik dari segala sesuatu yang dikerjakan.

2.      Bukti yang digunakan dalam IT Forensics berupa :

a.      Harddisk.

b.      Floopy disk atau media lain yang bersifat removeable.

c.      Network system.

3.      Beberapa metode yang umum digunakan untuk forensik pada komputer ada dua yaitu :

a.    Search dan seizure.

Dimulai dari perumusan suatu rencana.

b.    Pencarian informasi (discovery information).

Metode pencarian informasi yang dilakukan oleh investigator merupakn pencarian bukti tambahan dengan mengandalkan saksi baik secara langsung maupun tidak langsung terlibat dengan kasus ini.