AUDIT TEKNOLOGI SISTEM INFORMASI
ADHE YUDHA PRATAMA C
1B116801
4KA18
Jurusan Sistem Informasi
Fakultas Ilmu Komputer dan Teknologi Informasi
UNIVERSITAS GUNADARMA
2017
Pendahuluan IT Auditor
Audit
sendiri merupakan proses dalam memperoleh dan mengevaluasi bukti-bukti tindakan
ekonomi, guna memberikan asersi dan menilaiseberapa jauh tindakan ekonomi sudah
sesuai dengan kriteria berlaku, dan mengkomunikasikan hasilnya kepada pihak
terkait.
IT
Auditor sendiri merupakan proses pengumpulan dan evaluasi bukti-bukti untuk
menentukan apakah sistem komputer yang digunakan telah dapat melindungi aset
milik organisasi, mampu menjaga integritas data, dapat membantu pencapaian
tujuan organisasi secara efektif, serta menggunakan sumber daya yang dimiliki
secara efisien (Weber, 2000).
Jadi secara garis besar IT Auditor
akan mendatangi client, memeriksa pengelolaan TI di client tersebut, dari
program changes, logical access, OS,DB,security review. Maka IT auditor akan
banyak bertanya-tanya seputar bagaimana sih client tersebut menjalankan TI-nya.
IT auditor akan berfungsi sebagai pihak ketiga yang menilai, memberi masukan,
mengarahkan sebaiknya bagaimanakah pelaksanaan TI ditempat tersebut. Point dari
penejelasan diatas dapat kita ketahui bahwa tugas seorang IT Auditor hanya
bertanya, mengecek dan membuat laporan.
Ruang lingkup pekerjaan it auditor
Dari penjelasan diatas dapat disimpulkan bahwa ruang lingkup pekerjaan seorang IT Auditor adalah bertanya kepada client seputar pengelolaan TI yang ada pada client, mengeceknya dan membuat laporan tentang pengelolaan IT pada client.
Tools apa saja yang sering digunakan it auditor?
- ACL (Audit Command Language) merupakan sebuah software CAAT (Computer Assisted AuditTechniques) yang sudah sangat populer untuk melakukan analisa terhadap data dari berbagai macam.
Gambar 1. ACL
- Powertech Compliance Assessment merupakan automated audit tool yang dapat dipergunakan untuk mengaudit dan mem-benchmark user access to data, public authority to libraries, user security, system security, system auditing dan administrator rights (special authority) sebuah server AS/400.
Gambar 2. Powertech Compliance Assessment
- Nipper merupakan audit
automation software yang dapat dipergunakan untuk mengaudit dan
membenchmark.
Gambar 3. Nipper
4. Nessus merupakan sebuah vulnerability assessment
software.
Gambar 4. Nessus
5. Metasploit Framework merupakan sebuah penetration testing
tool.
Gambar 5. Metasploit Framework
6. NMAP merupakan open source utility untuk melakukan
security auditing.
Gambar 6. NMAP
7. Wireshark merupakan network utility yang dapat
dipergunakan untuk meng-capture paket data yang ada di dalam jaringan komputer.
Gambar 7. Wireshark
Manfaat
Audit IT.
A.
Manfaat pada saat Implementasi (Pre-Implementation Review)
- Institusi dapat mengetahui apakah sistem yang telah dibuat sesuai dengan kebutuhan ataupun memenuhi acceptance criteria.
- Mengetahui apakah pemakai telah siap menggunakan sistem tersebut.
- Mengetahui apakah outcome sesuai dengan harapan manajemen.
B.
Manfaat setelah sistem live (Post-Implementation Review)
- Institusi mendapat masukan atas risiko-risiko yang masih yang masih ada dan saran untuk penanganannya..
- Masukan-masukan tersebut dimasukkan dalam agenda penyempurnaan sistem, perencanaan strategis, dan anggaran pada periode berikutnya.
- Bahan untuk perencanaan strategis dan rencana anggaran di masa mendatang.
- Memberikan reasonable assurance bahwa sistem informasi telah sesuai dengan kebijakan atau prosedur yang telah ditetapkan.
- Membantu memastikan bahwa jejak pemeriksaan (audit trail) telah diaktifkan dan dapat digunakan oleh manajemen, auditor maupun pihak lain yang berwewenang melakukan pemeriksaan.
- Membantu dalam penilaian apakah initial proposed values telah terealisasi dan saran tindak lanjutnya.
Audit Sistem Informasi pada Perusahaan
Audit sistem informasi diperlukan oleh perusahaan
dalam pencapaian tujuan perusahaan, oleh karena itu perusahaan harus membuat
prosedur pengendalian dalam menjaga aset perusahaan dan memeriksa pengendalian
tersebut dengan menguji pengendalian. Menguji pengendalian digunakan untuk
mengevaluasi apakah telah berjalan sesuai dengan prosedur atau tidak .
Dibawah ini merupakan contoh kasus yang terjadi
di sebuah perusahaan yang bernama PT ADEM SARI. Perusahaan ini sudah
berjalan selama kurang lebih sepuluh tahun yang kegiatannya menjual jus buah
yang terdiri dari beberapa buah-buahan. Suatu ketika perusahaan ini mendapatkan
masalah yang sangat rumit dan kompleks. Sebelumnya perusahaan ini telah
menyediakan pemberdayaan karyawan internal perusahaan, yang bernama Januar Purnomo untuk mempelajari cara menggunakan software audit untuk komputer. Januar Purnomo langsung mencari masalah-masalahnya lalu mengatasi masalah tersebut,
membuat prosedur pengendalian dan dibuat pengujian pengendaliannya.
Masalah-masalah tersebut diantaranya yaitu akses yang tidak sah pada program
komputer, sehingga website pada perusahaan yang digunakan untuk berhubungan
dengan pihak eksternal perusahaan, seperti customers dan masyarakat
tidak dapat dibuka. Departemen penjualan perusahaan menggunakan program
komputer yang baru untuk mencatat transaksi keuangan dengan menggunakan software
akuntansi keuangan dan mengubahnya untuk cara menghitung komisi penjualan. Ada
kesalahan dalam pemodifikasian program ini karena hasil hitungnya lebih kecil
dari biasanya. Salah seorang karyawan bagian departemen produksi yang
mempunyai wewenang penuh atas pemesanan pembelian pada pemasok dan menerima
laporan, melakukan pemesanan palsu untuk kepentingan pribadinya. Karena
banyaknya masalah yang terjadi diperusahaan tentang audit sistem informasi maka Januar Purnomo juga mencoba memeriksa pemrosesan komputer perusahaan, apakah
prosedur edit pada komputer telah mendeteksi in put yang salah atau
tidak. Untuk mengatasi berbagai masalah yang ada di perusahaan Segar Dingin tersebut Januar Purnomo melakukan audit sistem informasi pada komputer. Di bawah ini
merupakan cara mengatasi masalah perusahaan,pengendalian masalah dan menguji
pengendalian terbut yang dilakukan oleh auditor internal perusahaan Adem Sari.
Pemeriksaan pada
Komputer
Masalah website yang tidak dapat dibuka karena
dirusak oleh cracker. Cracker adalah sebutan untuk orang yang mencari kelemahan
sistem dan memasukinya untuk kepentingan pribadi dan mencari keuntungan dari
sistem yang di masuki seperti: pencurian data, penghapusan, dan banyak yang
lainnya. Cracker mempunyai kemampuan menganalisa kelemahan suatu sistem atau
situs. Jika suatu sistem dapat dianalisa kelemahannya maka kerusakan dapat
terjadi pada hardware atau file,selain itu dapat kehilangan file
data dan sumber daya sistem lainnya.
Januar Purnomo mengambil keputusan untuk membuat
website baru dan kemudian di beritahukan kepada masyarakat melalui media massa.
Kemudian tindak lanjutnya yaitu dengan membuat mengaudit keamanan komputer, membuat
prosedur pengendalian pada perusahaan dengan menggunakan beberapa pengamanan
komputer diantaranya yaitu:
.
Membuat prosedur Log-On pada sistem komputer yang pada saat pemakai
memulai proses ,komputer akan menampilkan sebuah kotak dialog yang meminta
nomor identitas dan kata sandinya. nomor identitas dan kata sandinya cocok maka
proses log on berhasil tapi jika tidak cocok maka proses log on
tidak berhasil. Fungsi prosedur log-on ini sebagai pertahanan pertama
pada sistem operasi terhadap akses-akses tidak memiliki otoritasasi pada
perusahaan. Membuat kartu akses setelah proses log on. Kartu akses ini
memberikan informasi berupa persetujuan dalam penggunaan komputer selama sesi
tersebut. Daftar kontrol Akses ini berisiskan hak-hak istimewa akses untuk
semua pemakai sumber daya yang sah. Akses kesumber daya sistem seperti
direktori-direktori,file-file,program dan printer, dikontrol oleh
daftar kontrol akses ini.
Menggunakan Firewall pada komputer. Firewall
berfungsi sebagai “penjaga gerbang” sistem yang melindungi intranet
perusahaan dan jaringan lain perusahaan dari penerobosan, dengan menyediakan
saringan dan poin transfer yang aman untuk akses ke dan dari Internet serta
jaringan lainnya. Firewall menyaring semua lalu lintas jaringan untuk password
yang tepat atau kode keamanan lainnya, dan hanya mengizinkan transmisi sah
untuk masuk serta keluar dari jaringan. Software firewall juga telah
menjadi komponen sistem komputer yang penting untuk para individu yang
terhubung dengan Internet melalui DSL atau modem kabel, karena status koneksi
mereka yang rentan dan “selalu menyala”.
Enkripsi merupakan konversi data menjadi kode
rahasia untuk disimpan dalam database dan ditransmisikan melalui jaringan.
Pengiriman berupa alogaritma enkripsi yang mengkonversikan pesan orisinal. Enkripsi
data telah menjadi yang penting untuk melindungi data dan sumber daya
jaringan komputer perusahaan terutama di Internet, intranet, dan ekstranet. Password,
pesan, file, dan data lainnya dapat ditransmisikan dalam bentuk acak
serta dibentuk kembali oleh sistem komputer untuk para pemakai yang berhak
saja. Dua pendekatan umum enkripsi yaitu enkripsi kunci privat dan kunci
publik. Enkripsi privat menggunakan sebuah kunci tunggal sedangkan enkripsi
publik menggunakan dua kunci yang berbeda. Metode enkripsi yang digunakan
oleh perusahaan ini adalah menggunakan sepasang kunci publik (public key) dan
kunci pribadi (private key) yang berbeda untuk setiap orang. Misalnya
email karyawan dapat diacak dan di-enkode-kan dengan menggunakan kunci publik
khusus bagi penerima yang dikenal oleh pengirim. Setelah email ditransmisikan,
hanya kunci pribadi penerima yang rahasia tersebut dapat membentuk kembali
pesan tersebut.
Pengendalian terhadap virus. Virus akan
menghancurkan data, salah satunya adalah Logic bomb merupakan program
komputer untuk diaktifkan pada waktu tertentu. Logic bomb merupakan
metode tertua yang digunakan untuk tujuan sabotase. Perusahaan tidak mau
mengambil resiko seperti apa yang terjadi pada perusahaan di Amerika yang dilakukan
oleh Donald Burleson. Perusahaan tidak ingin karyawannya melakukan hal seperti
itu, maka perusahaan membuat antivirus.
Kontrol pendukung dalam lingkungan
database. Database mempunyai sistem pendukung (backup) sebagai prosedur
otomatis yang harus dilakukan sedikitnya satu kali dalam sehari. Salinan
pendukung ini kemudian harus disimpan dalam area yang terpisah dan aman. Untuk
mencegah kehilangan data maka perusahaan menggunakan back up.
Setelah itu perusahaan membuat prosedur audit
keamanan komputer dengan:
Kode Keamanan.
Sistem password
bertingkat digunakan untuk manajemen keamanan. Pertama, pemakai akhir log on
ke sistem komputer dengan memasukkan kode identifikasi khususnya, atau ID
pemakai. Pemakai akhir tersebut kemudian diminta untuk memasukkan password
agar dapat memperoleh akses ke sistem. Password harus sering diubah (
pengubahan password dilakukan setiap periode tertentu) dan terdiri dari
kombinasi aneh antara huruf besar, huruf kecil, dan angka. Kemudian, untuk
mengakses sebuah file, nama file khusus harus dimasukkan. Di
dalam beberapa sistem, password untuk membaca sistem file berbeda
dari yang diminta untuk menulis ke sebuah file. Fitur ini menambahkan
tingkat perlindungan untuk sumber daya data yang disimpan. Akan tetapi, untuk
keamanan yang lebih keras, password dapat diacak, atau dienkripsi, untuk
menghindari pencurian atau penyalahgunaannya. Selain itu Smart Card, yaitu
kartu berisi mikrprosesossor yang menghasilkan angka acak untuk ditambahkan ke password
pemakai akhir, digunakan dalam beberapa sistem terbatas.
Pembuatan Cadangan File.
Backup
File (pembuatan cadangan file) yang menduplikasi berbagai file data
atau program, adalah alat keamanan penting lainnya. File juga dapat
dilindungi dengan alat file retention yang melibatkan penyimpanan
berbagai copy file dari periode sebelumnya.
Pemonitor Keadaaan.
System Security
Monitor (pemonitor keamanan sistem). Pemonitor keamanan adalah program yang
memonitor penggunaan sistem komputer dan jaringan serta melindungi mereka dari
penggunaan tidak sah, penipuan, dan kehancuran. Program semacam itu menyediakan
alat keamanan yang dibutuhkan untuk memungkinkan hanya para pemakai sah yang
dapat mengakses jaringan. Contohnya, kode indetifikasi dan password sering
kali digunakan untuk tujuan ini. Pemonitor keamanan juga mengendalikan
penggunaan hardware, software, dan sumber daya data dari sistem
komputer.
Keamanan Biometris.
Biometris Security adalah
bidang keamanan komputer yang mengalami pertumbuhan pesat. Ini adalah alat
keamanan yang disediakan oleh peralatan komputer, yang mengukur ciri khas fisik
yang membedakan setiap undividu. Hal ini meliputi verifikasi suara, sidik jari,
geometri tangan, dinamika tanda tangan, analisis penekanan tombol, pemindai
retina mata, pengenalan wajah, serta analisis pola genetik. Peralatan
pengendalian biometris menggunakan sensor untuk tujuan khusus agar dapat
mengukur dan mendigitalkan profil biometris dari sidik jari, suara, atau ciri
khas fisik seseorang.
Sistem Toleransi Kegagalan.
Perusahaan
menggunakan sistem komputer Fault Tolerant (pentoleransi kegagalan) yang
memiliki banyak prosesor, periferal, dan software yang memberikan
kemampuan fail-over untuk mendukung berbagai komponen ketika terjadi
kegagalan sistem. Sistem ini dapat memberikan kemampuan fail-safe dengan
sistem komputer tetap beroperasi di tingkat yang sama bahkan jika terdapat
kegagalan besar pada hardware atau software. Akan tetapi, banyak
sistem komputer pentoleransi kegagalan menawarkan kemampuan fail-soft yang
memungkinkan sistem komputer terus beroperasi dalam tingkat yang lebih rendah
tetapi dapat diterima jika ada kegagalan sistem besar.
Pengembangan Sistem
Januar Purnomo meneliti masalah penggunaan program baru tersebut dan
memverifikasi program baru tersebut. diadakan pengujian dengan perbandingan
kode sumber. Perbandingan kode sumber merupakan program yang akan melaksanakan
suatu perbandingan terperinci mengenai versi program aplikasi yang berjalan
dengan sebelumnya. Pemeriksa atau auditor harus menguji secara menyeluruh versi
sebelumnya atau mempunyai alsan baik lainnya untuk mendapatkan keyakinan
dalam integritasnya. Lalu mengidentifikasi perbedaan-perbedaan diantara dua
program.
Dan membuat pengendalian pengembangan sistem pada
komputer perusahaan agar kesalahan terebut tidak terulang kembali.
Pengendaliannya yaitu dengan cara meminta otorisasi serta persetujuan dari
pihak manajemen dan pemakai, dokumentasi yang memadai dan pengujian program.
Setelah itu Januar Purnomo menguji pengendalian pengembangan sistem perusahaan
dengan Januar Purnomo dan staf-sataf audit internal yang independen lainnya
menguji pengendalian sistem dengan basis yang berkala dan continue. Aktivitas
audit dapat dibangun dalam berbagai titik pemeriksaan dalam pengembangan
sistem.
Dengan memilki perwakilan audit internal pada tim-tim proyek, setiap
departemen perusahaan diperiksa,apakah sesuai dengan kebijakan manajemen atau
tidak, secara menyeluruh melalui semua tahap pengendalian pengembangan sistem.
Kesalahan-kesalahan yang tidak normal sejak awal dapat diperbaiki. Kemudian
memeriksa dokumentasi secara menyeluruh, wawancara dengan pemakai mengenai
keterlibatan karyawan dalam pengembangan serta implementasi sistem, tinjauan
atas spesifikasi pengujian,data uji, dan hasil pengujian sistem.
Perubahan Program
Penggunaan program yang baru dan pemodifikasian
yang salah, kesalahan tersebut ditindak lanjuti oleh Januar Purnomo mengadakan
pengujian dengan perbandingan kode sumber. Perbandingan kode sumber merupakan
program yang akan melaksanakan suatu perbandingan terperinci mengenai versi
program aplikasi yang berjalan dengan sebelumnya. Januar Purnomo menguji secara
menyeluruh versi sebelumnya atau mempunyai alasan baik lainnya untuk
mendapatkan keyakinan dalam integritasnya. Lalu mengidentifikasi
perbedaan-perbedaan diantara dua program.
Dia mengetahui kesalahan pada program yang baru
tersebut, lalu Januar Purnomo membuat beberapa prosedur pengendalian, yaitu:
dengan mengurutkan berbagai komponen yang akan dimodifikasi,otorisas dan
persetujuan pihak manajemen atas modifikasi,persetujuan pemakai atas perubahan
program, pengujian keseluruhan atas perubahan program termasuk uji penerimaan
pemakai,dokumentasi penerimaan program yang lengkap termasuk perihal
persetujuan,perubahan yang diimplementasikan oleh yang pegawai independen serta
programmer, dan pengendalian akses logika. Setelah itu dia menguji pengendalian
perubahan program dengan memverifikasi semua prosedur pengendalian apakah telah
sesuai dengan prosedur dan standar. Menguji perubahan yang tidak sah atau
salah, gunakan program perbandingan kode sumber,pemrosesan ulang dan simulasi
paralel.
Pemrosesan Komputer
Januar Purnomo memeriksa pemrosesan komputer dan
menemukan kesalahan pada prosedur edit. Selama pemrosesan berlangsung ternyata
prosuder edit gagal untuk mendeteksi input data yang salah, tidak lengkap, dan
tidak sah. Oleh karena itu perusahaan mengambil keputusan untuk membuat
pengendalian pada pemrosesan komputer, yaitu dengan rutinitas edit data yang
salah pada komputer, penggunaan dengan benar label file eksternal dan internal,
dokumentasi dan serangkaian buku petunjuk operasional yang mudah dipahami,
supervisi atas yang kompeten operasional komputer, penanganan yang efektif atas
input dan output data oleh personil pengendalian data, daftar dan ringkasan
perubahan file yang disiapkan untuk tinjauan atas departemen pemakai.
Menggunakan kontrol run to run yang
dalam penggunaannya dengan angka-angka batch yang berfungsi untuk
mengawasi batch seakan-akan dia bergerak dari satu prosedur yang
terprogram (run) ke prosedur program lainnya. Kontrol ini memastikan run
memproses batch secara benar dan lengkap. Kontrol run to run
ini digunakan untuk menghitung kembali total kontrol,kode-kode transaskis, dan
pemeriksaan urutan.
Menggunakan Kontrol Intervensi Operator untuk
memasukan total control untuk sebuah batch record,menyediakan
nilai-nilai parameter untuk operasi logis, dan mengaktifkan sebuah program dari
titik yang berbeda ketika memasukkan kembali record yang salah yang
setengah diproses.
Lalu Januar Purnomo menguji pengendalian tersebut
apakah telah sesuai prosedur atau tidak.Uji pengendalian pemrosesan komputer
itu dengan: memverifikasi kepatuhan pada prosedur pengendalian pemrosesan
dengan cara mengamati operasional komputer dan fungsi pengendalian.
Memverifikasi bahwa output sistem aplikasi yang dipilih telah distribusi dengan
benar. Merekonsiliasi sampel total batch dan menindak lanjuti
penyimpangan. Menelusuri pengaturan sampel kesalahan yang ditandai oleh
rutinitas edit data untuk memastikan adanya penanganan yang tepat. Memeriksa
akurasi dan kelengkapan pengendalian pemrosesan dengan menggunakan data uji.
Memverifikasi akurasi transaksi pilihan yang dihasilkan komputer.
Dokumen Sumber
Masalah salah seorang karyawan bagian
departemen produksi yang mempunyai wewenang penuh atas pemesanan pembelian pada
pemasok dan menerima laporan, melakukan pemesanan palsu untuk kepentingan
pribadinya.
Hal ini diketahui oleh Januar Purnomo ketika
memeriksa laporan-laporan yang tidak sesuai dengan daftar-daftar laporan.
diketahui pemesanan bahan baku dan sebuah faktur pemasok rekaan, dalam
menginput suatu data kedalam komputer juga terdapat kesalahan yaitu ketidak
akuratan dokumen sumber. Hal ini terjadi karena kurangnya pengawasan internal
perusahaan maka untuk itu perusahaan membuat prosedur pengendalian dengan:
Menggunakan dokumen sumber yang sebelumnya telah
diberi nomor urut. Dokumen-dokumen sumber harus diberi nomor urut melalui
printer dengan nomor urut yang unik untuk setiap dokumen. Nomor dokumen sumber
memungkinkan perhitungan secara akurat dan tepat dan sebagai jejak audit.
Menggunakan dokumen secara berurutan. Dokumen
sumber harus di distribusikan ke pamakai dan digunakan secara berurutan. Hal
ini memerlukan pengamanan fisik,ketika dokumen sumber ini tidak digunakan maka
disimpan di tempat yang terkunci. Akses ke dokumen sumber ini hanya orang-orang
yang mempunyai otoritas saja.
Mengaudit dokumen sumber secara berkala.
Hilangnya dokumen sumber harus direkonsiliasi nomor-nomor urut dokumen sumber.
Secara berkala auditor membandingkan nomor tersebut. Semua dokumen sumber harus
dibandingkan dari yang digunakan saat ini,yang tersisa di tempat penyimpanan
ataupun dokumen sumber yang salah atau sudah jatuh tempo. Dokumen-dokumen yang
tidak dihitung harus dilaporkan ke manajeme
Kesimpulan
Audit Sistem Informasi merupakan suatu kegiatan
pemeriksaan yang dilakukan oleh seorang audit internal perusahaan dalam
pengumpulan bukti-bukti dan pengevaluasian pengendalian perusahaan untuk
mencapai tujuan perusahaan dan sesuai dengan kriteria yang ditentukan.
Audit sistem informasi dibutuhkan dalam suatu
organisasi perusahaan untuk mengetahui apakah suatu pengendalian dalam sistem
informasi di sebuah organisasi tersebut tujuannya sudah tercapai atau belum. Audit internal dalam melakukan audit sistem informasi diperlukan prosedur
pengendalian dan lalu di ujikan,untuk pencapaian tujuan pengendalian tersebut.
Saran
Audit sistem informasi sangat penting bagi
perusahaan karena dengan adanya audit sistem informasi disebuah perusahaan,
maka perusahaan tersebut akan mengetahui tercapainya tujuan prosedur
pengendalian internal perusahaan atau tidak. Oleh karena itu, sangat dianjurkan
pada perusahaan untuk melakukan audit sistem informasi diperusahaannya.
Sumber :
https://may9946.wordpress.com/2013/03/02/pentingnya-audit-sistem-informasi-bagi-perusahaan/
http://patrianovita.blogspot.co.id/2016/04/it-audit.html
Tidak ada komentar:
Posting Komentar