RINGKASAN MATERI AUDIT TEKNOLOGI SISTEM INFORMASI

 RINGKASAN MATERI AUDIT TEKNOLOGI SISTEM INFORMASI

Audit Sistem Informasi menurut Ron Weber (1999, p.10) adalah proses pengumpulan dan pengevaluasian bukti-bukti untuk menentukan apakah suatu sistem aplikasi komputerisasi telah menetapkan  dan  menerapkan  sistem  pengendalian intern yang memadai. Semua aktiva dilindungi dengan baik atau tidak disalah gunakan serta terjaminnya integritas data, keandalan serta efektifitas dan efisiensi penyelenggaraan sistem informasi berbasis komputer.

Ron Webber, Dekan Fakultas Teknologi Informasi, monash University, dalam salah satu bukunya Information System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan penting mengapa Audit IT perlu dilakukan yaitu : kerugian akibat kehilangan data, kesalahan dalam pengambilan keputusan, resiko kebocoran data, penyalahgunaan komputer, kerugian akibat kesalahan proses perhitungan dan tingginya nilai investasi perangkat keras dan perangkat lunak komputer.

 

Tujuan Audit IT yaitu mengamankan asset, menjaga integritas data, menjaga efektifitas sistem dan efisiensi. Selain mempunyai tujuan, Audit IT juga mempunyai peran penting yaitu Audit IT memastikan bahwa mekanisme sistem informasi yang berjalan, tetap berada di koridor integritas. Hal ini terjadi sebab mekanisme sistem informasi sangat terkait dengan perekonomian secara global. Jenis Audit IT yaitu sistem dan aplikasi, fasilitas pemrosesan informasi, pengembangan sistem, arsitektur perusahaan dan manajemen TI dan client/server, telekomunikasi, intranet, dan ekstranet. Dan juga Audit IT mempunyai metodologi yaitu tahapan perencanaan, mengidentifikasikan resiko dan kendali, mengevaluasi kendali dan mengumpulkan bukti-bukti, mendokumentasikan dan menyusun laporan.

COBIT (Control Objective for Information Related Tecnology) adalah kerangka tata kelola TI (IT governance) yang ditujukan kepada manajemen, staf pelayanan TI, control departemen, fungsi audit dan lebih penting lagi bagi pemilik proses bisnis (business process owner’s), untuk memastikan confidenciality, integrity and availability data serta informasi sensitive dan kritikal. COBIT didesign terdiri dari 34 high level control objectives yang menggambarkan proses TI yang terdiri dari 4 domain yaitu: Plannig and Organization, Acquisition and Implementation, Delivery and Support, dan Monitoring and Evaluation. Dengan melakukan control terhadap ke 34 objektif tersebut, organisasi dapat memperoleh keyakinan akan kelayakan tata kelola dan kontrol yang diperlukan untuk lingkungan TI. 

Salah satu Contoh kasus dari COBIT yaitu dari domain Delivery and Support adalah AUDIT sistem informasi untuk menilai proses penyampaian dan dukungan (delivery and support) dalam pelayanan informasi dengan menggunakan framework COBIT studi kasus : PT. Telekomunikasi Indonesia, TBK. R & D center. Tesis ini mengembangkan model audit yang dapat digunakan untuk menilai proses penyampaian dan dukungan pelayanan informasi pada PT. Telekomunikasi Indonesia, Tbk. R and D Center. Penilaian tersebut dilakukan melalui kendali dan indikator kinerja yang merupakan hasil ekstraksi dari COBIT domain DS (delivery and support), disesuaikan dengan kondisi sistem informasi PT. Telekomunikasi Indonesia,Tbk R and D Center. Berdasarkan model tersebut, sebuah kuesioner akan dibentuk untuk mengidentifikasi tingkat maturity PT. Telekomunikasi Indonesia,Tbk R and D Center.

Beberapa definisi IT Forensics antara lain: Definisi sederhana, yaitu penggunaan sekumpulan prosedur untuk melakukan pengujian secara menyeluruh suatu sistem komputer dengan mempergunakan software dan tool untuk memelihara barang bukti tindakan kriminal, sedangkan menurut Noblett, yaitu berperan untuk mengambil, menjaga, mengembalikan, dan menyajikan data yang telah diproses secara elektronik dan disimpan di media komputer dan menurut Judd Robin, yaitu penerapan secara sederhana dari penyidikan komputer dan teknik analisisnya untuk menentukan bukti-bukti hukum yang mungkin.

Tujuan IT Forensics adalah untuk mengamankan dan menganalisa bukti digital. Dari data yang diperoleh melalui survey oleh FBI dan The Computer Security Institute, pada tahun 1999 mengatakan bahwa 51% responden mengakui bahwa mereka telah menderita kerugian terutama dalam bidang finansial akibat kejahatan komputer. Kejahatan Komputer dibagi menjadi dua, yaitu : komputer fraud (Kejahatan atau pelanggaran dari segi sistem organisasi komputer) dan komputer crime (Merupakan kegiatan berbahaya dimana menggunakan media komputer dalam melakukan pelanggaran hukum).

Contoh kasus IT Forensik salah satunya adalah membongkar korupsi dan fraud. Keistimewaan IT Forensik, dengan hardware atau software khusus, data yang diambil untuk dianalisa akan benar-benar otentik atau persis sama sesuai dengan aslinya. Lebih istimewa lagi, software IT Forensik juga dapat memeriksa data atau file bahkan yang sudah terhapus sekalipun (biasanya pelaku korupsi atau fraud berupaya menghilangkan jejak kejahatannya dengan menghapus file-file tertentu). 

 

Referensi :

https://intannovitasari409.blogspot.co.id/2017/10/audit-teknologi-sistem-informasi_19.html

https://intannovitasari409.blogspot.co.id/2017/10/cobit_78.html

https://intannovitasari409.blogspot.co.id/2017/11/it-forensics.html

IT FORENSICS

       Nama  : Intan Novitasari

       Npm   : 1C114803

       Kelas  : 4KA32

       Tugas  : Sofskill (IT FORENSICS)

IT Forensics

IT Forensics

1. Beberapa definisi IT Forensics

1. Definisi sederhana, yaitu penggunaan sekumpulan prosedur untuk melakukan pengujian secara menyeluruh suatu sistem komputer dengan mempergunakan software dan tool untuk memelihara barang bukti tindakan kriminal.
2. Menurut Noblett, yaitu berperan untuk mengambil, menjaga, mengembalikan, dan menyajikan data yang telah diproses secara elektronik dan disimpan di media komputer.
3. Menurut Judd Robin, yaitu penerapan secara sederhana dari penyidikan komputer dan teknik analisisnya untuk menentukan bukti-bukti hukum yang mungkin.

2. Tujuan IT Forensics 

   Adalah untuk mengamankan dan menganalisa bukti digital. Dari data yang diperoleh melalui survey oleh FBI dan The Computer Security Institute, pada tahun 1999 mengatakan bahwa 51% responden mengakui bahwa mereka telah menderita kerugian terutama dalam bidang finansial akibat kejahatan komputer. Kejahatan Komputer dibagi menjadi dua, yaitu :

1. Komputer fraud.
   Kejahatan atau pelanggaran dari segi sistem organisasi komputer.

2. Komputer crime.
   Merupakan kegiatan berbahaya dimana menggunakan media komputer dalam melakukan pelanggaran hukum. 

      3. Terminologi IT Forensics

1. Bukti digital (digital evidence).
   adalah informasi yang didapat dalam bentuk atau format digital, contohnya e-mail.

2. Empat elemen kunci forensik dalam teknologi informasi, antara lain :

1. Identifikasi dari bukti digital.
   Merupakan tahapan paling awal forensik dalam teknologi informasi. Pada tahapan ini dilakukan identifikasi dimana bukti itu berada, dimana bukti itu disimpan dan bagaimana penyimpanannya untuk mempermudah tahapan selanjutnya.

2. Penyimpanan bukti digital.
   Termasuk tahapan yang paling kritis dalam forensik. Bukti digital dapat saja hilang karena penyimpanannya yang kurang baik.

3. Analisa bukti digital.
   Pengambilan, pemrosesan, dan interpretasi dari bukti digital merupakan bagian penting dalam analisa bukti digital.

4. Presentasi bukti digital.
   Proses persidangan dimana bukti digital akan diuji dengan kasus yang ada. Presentasi disini berupa penunjukkan bukti digital yang berhubungan dengan kasus yang disidangkan.

4. Investigasi kasus teknologi informasi

1. Prosedur forensik yang umum digunakan, antara lain :

1. Membuat copies dari keseluruhan log data, file, dan lain-lain yang dianggap perlu pada suatu media yang terpisah.
2. Membuat copies secara matematis.
3. Dokumentasi yang baik dari segala sesuatu yang dikerjakan.

2. Bukti yang digunakan dalam IT Forensics berupa :

1. Harddisk.
2. Floopy disk atau media lain yang bersifat removeable.
3. Network system.

3. Beberapa metode yang umum digunakan untuk forensik pada komputer ada dua yaitu :

1. Search dan seizure.
   Dimulai dari perumusan suatu rencana.

2. Pencarian informasi (discovery information).
   Metode pencarian informasi yang dilakukan oleh investigator merupakn pencarian bukti tambahan dengan mengandalkan saksi baik secara langsung maupun tidak langsung terlibat dengan kasus ini.

5. Prinsip IT Forensics

1. Forensik bukan proses Hacking.
2. Data yang didapat harus dijaga jangan berubah.
3. Membuat image dari HD / Floppy / USB-Stick / Memory-dump adalah prioritas tanpa merubah isi, kadang digunakan hardware khusus.
4. Image tsb yang diotak-atik (hacking) dan dianalisis – bukan yang asli.
5. Data yang sudah terhapus membutuhkan tools khusus untuk merekonstruksi.
6. Pencarian bukti dengan: tools pencarian teks khusus, atau mencari satu persatu dalam image.

6. Undang – Undang IT Forensics

Secara umum, materi Undang-Undang Informasi dan Transaksi Elektronik (UUITE) dibagi menjadi dua bagian besar, yaitu pengaturan mengenai informasi dan transaksi elektronik dan pengaturan mengenai perbuatan yang dilarang. Pengaturan mengenai informasi dan transaksi elektronik mengacu pada beberapa instrumen internasional, seperti UNCITRAL Model Law on eCommerce dan UNCITRAL Model Law on eSignature. Bagian ini dimaksudkan untuk mengakomodir kebutuhan para pelaku bisnis di internet dan masyarakat umumnya guna mendapatkan kepastian hukum dalam melakukan transaksi elektronik. Beberapa materi yang diatur, antara lain:

1. Pengakuan informasi/dokumen elektronik sebagai alat bukti hukum yang sah (Pasal 5 & Pasal 6 UU ITE);
2. Tanda tangan elektronik (Pasal 11 & Pasal 12 UU ITE);
3. Penyelenggaraan sertifikasi elektronik (certification authority, Pasal 13 & Pasal 14 UU ITE);
4. Penyelenggaraan sistem elektronik (Pasal 15 & Pasal 16 UU ITE);

Beberapa materi perbuatan yang dilarang (cybercrimes) yang diatur dalam UU ITE, antara lain:

1. Konten ilegal, yang terdiri dari, antara lain: kesusilaan, perjudian, penghinaan/pencemaran nama baik, pengancaman dan pemerasan (Pasal 27, Pasal 28, dan Pasal 29 UU ITE);
2. Akses ilegal (Pasal 30);
3. Intersepsi ilegal (Pasal 31);
4. Gangguan terhadap data (data interference, Pasal 32 UU ITE);
5. Gangguan terhadap sistem (system interference, Pasal 33 UU ITE);
6. Penyalahgunaan alat dan perangkat (misuse of device, Pasal 34 UU ITE);

7. Pengetahuan yang diperlukan IT Forensics :

• Dasar-dasar hardware dan pemahaman bagaimana umumnya sistem operasi bekerja.
• Bagaimana partisi drive, hidden partition, dan di mana tabel partisi bisa ditemukan pada sistem operasi yang berbeda.
• Bagaimana umumnya master boot record tersebut dan bagaimana drive geometry.
• Pemahaman untuk hide, delete, recover file dan directory bisa mempercepat pemahaman pada bagaimana tool forensik dan sistem operasi yang berbeda bekerja.
• Familiar dengan header dan ekstension file yang bisa jadi berkaitan dengan file tertentu. 

8. Forensics Komputer

Forensics Komputer dapat didefinisikan sebagai penggunaan prosedur untuk melakukan pengujian secara menyeluruh suatu system komputer dengan mempergunakan software dan tool untuk mengekstrak dan memelihara barang bukti tindakan criminal. Tujuan dari Forensics Komputer yaitu untuk mendapatkan fakta-fakta obyektif dari sebuah insiden/pelanggaran keamanan system informasi. Fakta-fakta tersebut setelah diverifikasi akan menjadi bukti yang akan digunakan dalam proses hukum selanjutnya. IT Forensics adalah ilmu yang berhubungan dengan pengumpulan fakta dan bukti pelanggaran keamanan sistem informasi serta validasinya menurut metode yang digunakan (misalnya metode sebab-akibat). IT Forensics memerlukan keahlian dibidang IT ( termasuk diantaranya hacking) dan alat bantu (tools) baik hardware maupun software.

Prosedur Forensics yang umum digunakan antara lain :

1. Membuat copies dari keseluruhan log data, files, dan lain-lain yang dianggap perlu pada suatu media yang terpisah
2. Membuat finger print dari data secara matematis (contoh hashing algorithm, MD5)
3. Membuat finger print dari copies secara matematis
4. Membuat hashes masterlist

Metodologi umum yang digunakan dalam proses pemeriksaan insiden sampai proses hukum :

1. Pengumpulan data/fakta dari sistem komputer (harddisk, usb-stick, log, memory-dump, internet, dll.) termasuk di dalamnya data yang sudah terhapus.
2. Mendokumentasikan fakta-fakta yang ditemukan dan menjaga integritas data selama proses forensik dan hukum dengan proteksi fisik, penanganan khusus, pembuatan image, dan menggunakan algoritma HASH untuk pembuktian/verifikasi.
3. Merunut kejadian (chain of events) berdasarkan waktu kejadian.
4. Melakukan validasi kejadian-kejadian tersebut dengan metode “sebab-akibat”.
5. Membuat dokumentasi hasil yang diperoleh dan menyusun laporan.
6. Menjalankan proses hukum (pengajuan delik, proses persidangan, saksi ahli, dll.)      
   
   
   9. Tools yang digunakan untuk IT Forensics : 
   Tools atau perangkat forensic adalah perangkat lunak yang dibuat untuk mengakses data. Perangkat ini digunakan untuk mencari berbagai informasi dalam hard drive, serta menjebol password dengan memecahkan enkripsi. Yang digunakan pada IT forensic dibedakan menjadi 2 yaitu hardware dan software.

Dilihat dari sisi hardware, spsifikasi yang digunakan harus mempunyai kapasitas yang mumpuni seperti :

• Hardisk atau storage yang mempunya kapasitas penyimpanan yang besar,
• memory RAM antara (1-2 GB),
• hub.sitch atau LAN, serta
• Laptop khusus untuk forensic workstations.

Jika dilihat dari sisi software yang digunakan harus khusus dan memiliki kemampuan yang memadai untuk melakukan IT forensic seperti :

• Write-Blocking Tools untuk memproses bukti-bukti
• Text Search Utilities (dtsearch) berfungsi sebagai alat untuk mencari koleksi dokumen yang besar.
• Hash Utility ( MD5sum) berfungsi untuk menghitung dan memverifikasi 128-bit md5 hash, untuk sidik jari file digital.
• Forensic Acqusition tools (encase) digunakan oleh banyak penegak hukum untuk investigasi criminal, investigasi jaringan, data kepatuhan, dan penemuan elektronik.
• Spy Anytime PC Spy digunakan untuk memonitoring berbagai aktifitas computer, seperti : seperti: website logs,keystroke logs, application logs, dan screenshot logs.

Ada 4 tahap dalam Komputer Forensics menurut Majalah CHIP

1. Pengumpulan data
   Pengumpulan data bertujuan untuk mengidentifikasi berbagai sumber daya yang dianggap penting dan bagaimana semua data dapat terhimpun dengan baik.

2. Pengujian
   Pengujian mencakup proses penilaian dan meng-ekstrak berbagai informasi yang relevan dari semua data yang dikumpulkan. Tahap ini juga mencakup bypassing proses atau meminimalisasi berbagai feature sistem operasi dan aplikasi yang dapat menghilangkan data, seperti kompresi, enkripsi, dan akses mekanisme kontrol. Cakupan lainnya adalah meng alokasi file, mengekstrak file, pemeriksanan meta data, dan lain sebagainya.
3. Analisis
   Analisis dapat dilakukan dengan menggunakan pendekatan sejumlah metode. Untuk memberikan kesimpulan yang berkualitas harus didasarkan pada ketersediaan sejumlah data atau bahkan sebaliknya, dengan menyimpulkan bahwa “tidak ada kesimpulan”. Hal tersebut sa ngat dimungkinan kan. Tugas analisis ini mencakup berbagai kegia tan, seperti identifikasi user atau orang di luar pengguna yang terlibat secara tidak langsung, lokasi, perangkat, kejadiaan, dan mempertimbangkan bagaimana semua komponen tersebut saling terhubung hingga mendapat kesimpulan akhir.
4. Dokumentasi dan laporan
   Mengingat semakin banyak kasus-kasus yang terindikasi sebagai cybercrime, maka selain aspek hukum maka secara teknis juga perlu disiapkan berbagai upaya preventif terhadap penangulangan kasus cybercrime. Komputer forensik, sebagai sebuah bidang ilmu baru kiranya dapat dijadikan sebagai dukungan dari aspek ilmiah dan teknis dalam penanganan kasus-kasus cybercrime. Kedepan profesi sebagai investigator komputer forensik adalah sebuah profesi baru yang sangat dibutuhkan untuk mendukung implementasi hukum pada penanganan cybercrime. Berbagai produk hukum yang disiapkan untuk mengantisipasi aktivitas kejahatan berbantuan komputer tidak akan dapat berjalan kecuali didukung pula dengan komponen hukum yang lain. Dalam hal ini computer forensik memiliki peran yang sangat penting sebagai bagian dari upaya penyiapan bukti-bukti digital di persidangan.

10. Contoh Kasus IT Forensik

MEMBOKANGKAR KORUPSI DAN FRAUD

Coba copy satu file microsoft word anda dari satu folder ke folder yang lain. Kemudian klik kanan dan bandingkan ‘properties’ di masing-masing file.

Kalau kita sekedar ‘copy’ dan ‘paste’, di masing-masing file itu akan terdapat perbedaan dalam informasi file ‘created’, ‘modified’, dan ‘accessed’ (lihat bagian yang ditandai kotak warna merah). Itu berarti file tidak dianggap ‘otentik’ lagi karena sudah ada perubahan/perbedaan dari kondisi awal.

Di situlah letak keistimewaan IT forensik, dengan hardware atau software khusus, data yang diambil untuk dianalisa akan benar-benar otentik atau persis sama sesuai dengan aslinya. Lebih istimewa lagi, software IT forensik juga dapat memeriksa data atau file bahkan yang sudah terhapus sekalipun (biasanya pelaku korupsi atau fraud berupaya menghilangkan jejak kejahatannya dengan menghapus file-file tertentu).

Beberapa vendor yang menyediakan teknologi IT forensik misalnya Paraben, Guidance (EnCase), GetData (Mount Image), dll.

Referensi :

http://irmarr.staff.gunadarma.ac.id/Downloads/folder/0.0

https://intannovitasari409.blogspot.co.id/2017/10/audit-teknologi-sistem-informasi_19.html

http://pabloexcel.blogspot.co.id/2010/07/manfaat-it-audit-dan-forensics.html

http://deluthus.blogspot.co.id/2011/03/it-audit-forensik.html

http://dimaz-polosan.blogspot.co.id/2017/04/jurnal-audit-it-dan-forensik.html

https://thekicker96.wordpress.com/definisi-it-forensik/

https://ba9uez.wordpress.com/it-forensik/

AUDIT TEKNOLOGI SISTEM INFORMASI

Nama : Intan Novitasari

Npm   : 1C114803

Kelas  : 4KA32

 

AUDIT TEKNOLOGI SISTEM INFORMASI

A.                 Pengertian Audit IT

Audit pada dasarnya adalah proses sistematis dan objektif dalam memperoleh dan mengevaluasi bukti-bukti tindakan ekonomi, guna memberikan asersi dan menilai seberapa jauh tindakan ekonomi sudah sesuai dengan kriteria berlaku, dan mengkomunikasikan hasilnya kepada pihak terkait. Sedangkan Audit Sistem Informasi menurut Ron Weber (1999, p.10 ) adalah proses pengumpulan dan pengevaluasian bukti-bukti untuk menentukan apakah suatu sistem aplikasi komputerisasi  telah menetapkan  dan  menerapkan  sistem  pengendalian intern yang memadai. Semua aktiva dilindungi dengan baik atau tidak disalah gunakan serta terjaminnya integritas data, keandalan serta efektifitas dan efisiensi penyelenggaraan sistem informasi berbasis komputer.

Secara umum Audit IT adalah suatu proses kontrol pengujian terhadap infrastruktur teknologi informasi dimana berhubungan dengan masalah audit finansial dan audit internal. Audit IT lebih dikenal dengan istilah EDP Auditing (Electronic Data Processing), biasanya digunakan untuk menguraikan dua jenis aktifitas yang berkaitan dengan komputer. Salah satu penggunaan istilah tersebut adalah untuk menjelaskan proses penelahan dan evaluasi pengendalian-pengendalian internal dalam EDP. Jenis aktivitas ini disebut sebagai auditing melalui komputer. Penggunaan istilah lainnya adalah untuk menjelaskan pemanfaatan komputer oleh auditor untuk melaksanakan beberapa pekerjaan audit yang tidak dapat dilakukan secara manual. Jenis aktivitas ini disebut audit dengan komputer.

Secara umum dikenal tiga jenis audit : Audit keuangan, audit operasional dan audit sistem informasi (Teknologi Informasi). Audit TI merupakan proses pengumpulan dan evaluasi bukti-bukti untuk menentukan apakah sistem komputer yang digunakan telah dapat melindungi aset milik organisasi, mampu menjaga integritas data, dapat membantu pencapain tujuan organisasi secara efektif, serta menggunakan sumber daya yang dimiliki secara efisien. Audit SI/TI relatif baru ditemukan dibanding audit keuangan, seiring dengan meningkatnya pengguna TI untuk mensupport aktifitas bisnis.

Ada beberapa aspek yang diperiksa pada audit sistem teknologi informasi: Audit secara keseluruhan menyangkut efektifitas, efisiensi, availability system, reliability, confidentialy, dan integrity, serta aspek security. Selanjutnya adalah audit atas proses, modifikasi program, audit atas sumber data, dan data file. Audit TI sendiri merupakan gabungan dari berbagai macam ilmu, antara lain: Traditional Audit, Manajemen Sistem Informasi, Sistem Informasi Akuntasi, Ilmu Komputer, dan Behavioral Science.

B.                 Tujuan Audit IT

1.                   Mengamankan Asset

Aset (aktiva) yang berhubungan dengan instalasi sistem informasi mencakup perangkat keras (hardware), perangkat lunak (software), manusia (people), file data, dokumentasi sistem, dan peralatan pendukung lainnya.

2.                   Menjaga Integritas Data

Integritas data berarti data memiliki atribut: kelengkapan, baik dan dipercaya, kemurnian, dan ketelitian. Tanpa menjaga integritas data, organisasi tidak dapat memperlihatkan potret dirinya dengan benar atau kejadian yang ada tidak terungkap seperti apa adanya. Keputusan maupun langkah-langkah penting diorganisasi salah sasaran karena tidak didukung dengan data yang benar. Oleh karena itu, upaya untuk menjaga integritas data, dengan konsekuensi akan ada biaya prosedur pengendalian yang dikeluarkan harus sepadan dengan manfaat yang diharapkan.

3.                   Menjaga Efektifitas Sistem

Sistem informasi dikatakan efektif hanya jika sistem tersebut dapat mencapai tujuannya perlu upaya untuk mengetahui kebutuhan pengguna sistem tersebut (user), apakah sistem menghasilkan laporan atau informasi yang bermanfaat bagi user. Auditor perlu mengetahui karakteristik user berikut proses pengambilan keputusannya. Biasanya audit efektifitas sistem dilakukan setelah suatu sistem berjalan beberapa waktu. Manajemen dapat meminta auditor untuk melakukan post audit guna menentukan sejauh mana sistem telah mencapai tujuan.

4.                   Efisiensi

Dikatakan efisien jika ia menggunakan sumber daya seminimal mungkin untuk menghasilkan output yang dibutuhkan. Pada kenyataannya sistem informasi menggunakan berbagai sumber daya seperti mesin dan segala perlengkapannya, perangkat lunak, sarana komunikasi dan tenaga kerja yang mengoperasikan sistem tersebut.

C.                 Pentingnya Audit IT

Peran kontrol dan audit teknologi informasi (TI) menjadi semakin krusial dari hari ke hari. Menurut A Statement of Basic Auditing Concept ( ASOBAC) audit adalah suatu proses sistematis untuk menghimpun dan mengevaluasi bukti-bukti secara obyektif mengenai asersi tentang berbagai tindakan dan kejadian ekonomi untuk memutuskan tingkat kesesuaian antara asersi- asersi tersebut dengan kriteria yang telah ditentukan dan menyampaikan hasilnya kepada para pemakai yang berkepentingan.

Sementara audit TI terkait dengan proses menghimpun kebutuhan teknologi informasi dan mengevaluasi infrastruktur IT. Audit IT memastikan bahwa mekanisme sistem informasi yang berjalan, tetap berada di koridor integritas. Hal ini terjadi sebab mekanisme sistem informasi sangat terkait dengan perekonomian secara global.

Semuanya menjadi sangat dependen satu dengan lainnya, sangat berbeda dengan sebelumnya ketika belum ada sistem terintegrasi. Implikasi terdekat, gejolak geopolitik bisa berimbas ke semua pihak. Contoh yang paling terlihat adalah operasional infrastruktur elektronik serta  e-commerce atau sistem yang terintegrasi. Layanan ini memproses layanan kebutuhan data di seluruh dunia. Kondisi tersebut memaksa adanya kontrol dan audit TI yang luar biasa. Jika ada satu saja kesalahan yang tidak terdeteksi, bisa berakibat fatal terhadap proses bisnis dan layanan yang dijanjikan.

Pentingnya Audit IT di Perusahaan

Saat ini perusahaan dan organisasi banyak menghabiskan dana untuk investasi dibidang IT. Manfaat IT dalam peningkatan layanan dan proses kerja sebuah organisasi sangat terasa. Dengan investasi yang cukup besar organisasi perlu memastikan kehandalan dan keamanan dari sistem IT yang akan digunakan. Sistem IT juga harus mampu memenui kebutuhan proses kerja, mampu mengurangi resiko data di sabotasi, kehilangan data, gangguan layanan dan manajemen yang buruk dari sistem IT.

Audit TI atau yang pernah disebut sebagai audit electronic data processing, computer information system, dan IS, pada awalnya merupakan pelebaran dari audit konvensional. Dulu, kebutuhan atas fungsi audit TI hanya berasal dari beberapa departemen.

Kemudian auditor sadar bahwa komputer telah mempengaruhi kinerja mereka terkait fungsi utama. Perusahaan dan manajemen pemrosesan informasi pun sadar bahwa komputer adalah jalan keluar terkait permasalahan sumber daya untuk semakin bersaing dalam lingkungan bisnis bahkan antar departemen. Oleh karenanya, muncullah urgensi untuk melakukan kontrol dan audit atas proses yang berjalan. Saat itulah para profesional menyadari tentang kebutuhan audit TI. Audit TI menjadi bagian integral dalam fungsi audit umum, sebab hal itu akan menentukan kualitas dari informasi yang diproses oleh sistem komputer.

Pada mulanya, auditor dengan kemampuan audit TI dilihat sekadar sebagai staf sumber daya teknologi biasa, bahkan sering dilihat hanya sebagai asisten teknikal. Padahal dewasa ini, audit IT merupakan pekerjaan yang tindakan, tujuan, serta kualitasnya telah diatur dalam standar global; ada aturan etiknya; dan tuntutan profesional. Tentu saja hal ini memerlukan pengetahuan khusus dan kemampuan praktis, yang sebelumnya juga didahului oleh persiapan secara intensif.

D.                 Sejarah Singkat Audit IT

Audit IT yang pada awalnya lebih dikenal sebagai EDP Audit  (Electronic Data Processing) telah mengalami perkembangan yang pesat. Perkembangan Audit IT ini didorong oleh kemajuan teknologi dalam sistem keuangan, meningkatnya kebutuhan akan kontrol IT, dan pengaruh dari komputer itu sendiri untuk menyelesaikan tugas-tugas penting. Pemanfaatan teknologi komputer ke dalam sistem keuangan telah mengubah cara kerja sistem keuangan, yaitu dalam penyimpanan data, pengambilan kembali data, dan pengendalian. Sistem keuangan pertama yang menggunakan teknologi komputer muncul pertama kali tahun 1954.

Selama periode 1954 sampai dengan 1960-an profesi audit masih menggunakan komputer. Pada pertengahan 1960-an terjadi perubahan pada mesin komputer, dari mainframe menjadi komputer yang lebih kecil dan murah. Pada tahun 1968, American Institute of Certified Public Accountants (AICPA) ikut mendukung pengembangan EDP auditing. Sekitar periode ini pula para auditor bersama-sama mendirikan Electronic Data Processing Auditors Association (EDPAA). Tujuan lembaga ini adalah untuk membuat suatu tuntunan, prosedur, dan standar bagi audit EDP. Pada tahun 1977, edisi pertama Control Objectives diluncurkan. Publikasi ini kemudian dikenal sebagai Control Objectives for Information and Related Technology (CobiT). Tahun 1994, EDPAA mengubah namanya menjadi Information System Audit (ISACA). Selama periode akhir 1960-an sampai saat ini teknologi TI telah berubah dengan cepat dari mikrokomputer dan jaringan ke internet. Pada akhirnya perubahan-perubahan tersebut ikut pula menentukan perubahan pada audit IT.

E.                 Standar yang digunakan Dalam Audit IT

Standar yang digunakan dalam mengaudit teknologi informasi adalah standar yang diterbitkan oleh ISACA yaitu ISACA IS Auditing Standard. Selain itu ISACA juga menerbitkan IS Auditing Guidance dan IS Auditing Procedure. Standar adalah sesuatu yang harus dipenuhi oleh IS Auditor. Guidelines memberikan penjelasan bagaimana auditor dapat memenuhi standar dalam berbagai penugasan audit, dan prosedur memberikan contoh langkah-langkah yang perlu dilalui auditor dalam penugasan audit tertentu sehingga sesuai dengan standar.Bagaimanapun IS auditor harus bisa menggunakan judgement profesional ketika menggunakan guidance dan procedure.

Standar yang applicable untuk audit TI adalah terdiri dari 11 standar yaitu;

1. S1.Audit charter.
2. S2. Audit Independent.
3. S3. Profesional Ethic and standard.
4. S4. Profesional competence.
5. S5. Planning. 
6. S6. Performance of Audit Work.
7. S7.Reporting.
8. S8.Follow-Up Activity.
9. F9. Irregularities and Irregular Act.
10. S10.IT Governance.
11. S11.Use of Risk Assestment in Audit Planning.

IS Auditing Guideline terdiri dari 32 guidance dalam mengaudit TI yang mengcover petunjuk mengaudit area-area penting. IS Audit Procedure terdiri dari 9 prosedur yang menunjukan langkah-langkah yang dilakukan auditor dalam penugasan audit yang spesifik seperti prosedur melakukan bagaimana melakukan risk assestment, mengetesintrution detection system, menganalisis firewall dan sebagainya. Jika dibandingkan dengan audit keuangan, maka standar dari Isacaini adalah setara dengan Standar Profesional Akuntan Publik (SPAP) yaitu menyangkut tata cara bagaimana audit dilakukan. Sedangkan bagaimana kondisi apa yang diaudit diberikan penilaian berdasarkan standar tersendiri yaitu Cobit.

F. COBIT (Control Objective for Information Related Tecnology)

COBIT (Control Objective for Information Related Tecnology) adalah kerangka tata kelola TI (IT governance) yang ditujukan kepada manajemen, staf pelayanan TI, control departemen, fungsi audit dan lebih penting lagi bagi pemilik proses bisnis (business process owner’s), untuk memastikan confidenciality, integrity and availability data serta informasi sensitive dan kritikal. COBIT didesign terdiri dari 34 high level control objectives yang menggambarkan proses TI yang terdiri dari 4 domain yaitu: Plan and Organise, Acquire and Implement, Deliver and Support dan Monitor and Evaluate. Dengan melakukan control terhadap ke 34 objektif tersebut, organisasi dapat memperoleh keyakinan akan kelayakan tata kelola dan kontrol yang diperlukan untuk lingkungan TI. Untuk mendukung IT process tersebut tersedia lagi sekitar 215 tujuan control yang lebih detil untuk menjamin kelengkapan dan efektifitas implementasi. Saat ini sudah terbit Cobit 4.1.

The COBIT Framework juga memasukkan hal berikut Maturity Models – Untuk memetakan status maturity proses-proses TI (dalam skala 0 – 5) dibandingkan dengan “the best in the class in the Industry” dan juga International best practices. Critical Success Factors (CSFs) – Arahan implementasi bagi manajemen agar dapat melakukan control atas proses TI. Key Goal Indicators (KGIs) – Kinerja proses-proses TI sehubungan dengan kebutuhan bisnis dan Key Performance Indicators (KPIs) – Kinerja proses-proses TI sehubungan dengan process goals COBIT dikembangkan sebagai suatu generally applicable and accepted standard for good Information Technology (IT) security and control practices . Istilah ” generally applicable and accepted ” digunakan secara eksplisit dalam pengertian yang sama seperti Generally Accepted Accounting Principles (GAAP). Suatu perencanaan audit TI dapat dimulai dengan menentukan area-area yang relevan dan berisiko paling tinggi, melalui analisa atas ke-34 proses tersebut. Sementara untuk kebutuhan penugasan tertentu, misalnya audit atasproyek TI, dapat dimulai dengan memilih proses yang relevan dari proses-proses tersebut.

G.                Jenis Audit IT

·                     Sistem dan aplikasi.

Audit yang berfungsi untuk memeriksa apakah sistem dan aplikasi sesuai dengan kebutuhan organisasi, berdayaguna, dan memiliki kontrol yang cukup baik untuk menjamin keabsahan, kehandalan, tepat waktu, dan keamanan pada input, proses, output pada semua tingkat kegiatan sistem.

·                     Fasilitas pemrosesan informasi.

Audit yang berfungsi untuk memeriksa apakah fasilitas pemrosesan terkendali untuk menjamin ketepatan waktu, ketelitian, dan pemrosesan aplikasi yang efisien dalam keadaan normal dan buruk.

·                     Pengembangan sistem.

Audit yang berfungsi untuk memeriksa apa kah sistem yang dikembangkan mencakup kebutuhan obyektif organisasi.

·                     Arsitektur perusahaan dan manajemen TI.

Audit yang berfungsi untuk memeriksa apakah manajemen TI dapat mengembangkan struktur organisasi dan prosedur yang menjamin kontrol dan lingkungan yang berdaya guna untuk pemrosesan informasi.

·                     Client/Server, telekomunikasi, intranet, dan ekstranet.

Suatu audit yang berfungsi untuk memeriksa apakah kontrol-kontrol berfungsi pada client, server, dan jaringan yang menghubungkan client dan server.

H.                 Metodologi Audit IT

Dalam praktiknya, tahapan-tahapan dalam audit IT tidak berbeda dengan audit pada umumnya, sebagai berikut :

1.                   Tahapan Perencanaan.

Sebagai suatu pendahuluan mutlak perlu dilakukan agar auditor mengenal benar obyek yang akan diperiksa sehingga menghasilkan suatu program audit yang didesain sedemikian rupa agar pelaksanaannya akan berjalan efektif dan efisien.

2.                   Mengidentifikasikan resiko dan kendali.

Untuk memastikan bahwa qualified resource sudah dimiliki, dalam hal ini aspek SDM yang berpengalaman dan juga referensi praktik-praktik terbaik.

3.                   Mengevaluasi kendali dan mengumpulkan bukti-bukti.

Melalui berbagai teknik termasuk survei, interview, observasi, dan review dokumentasi.

4.                   Mendokumentasikan.

Mengumpulkan temuan-temuan dan mengidentifikasikan dengan auditee.

5.                   Menyusun laporan.

Mencakup tujuan pemeriksaan, sifat, dan kedalaman pemeriksaan yang dilakukan.

I.                    Alasan dilakukannya Audit IT

Ron Webber, Dekan Fakultas Teknologi Informasi, monash University, dalam salah satu bukunya Information System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan penting mengapa Audit IT perlu dilakukan, antara lain :

1. Kerugian akibat kehilangan data.
2. Kesalahan dalam pengambilan keputusan. 
3. Resiko kebocoran data.
4. Penyalahgunaan komputer.
5. Kerugian akibat kesalahan proses perhitungan.
6. Tingginya nilai investasi perangkat keras dan perangkat lunak komputer

J. Manfaat Audit IT

A. Manfaat pada saat Implementasi (Pre-Implementation Review)

• Institusi dapat mengetahui apakah sistem yang telah dibuat sesuai dengan   kebutuhan ataupun memenuhi acceptance criteria.
• Mengetahui apakah pemakai telah siap menggunakan sistem tersebut.
• Mengetahui apakah outcome sesuai dengan harapan manajemen.

B. Manfaat setelah sistem live (Post-Implementation Review)

• Institusi mendapat masukan atas risiko-risiko yang masih yang masih ada dan saran untuk penanganannya.
• Masukan-masukan tersebut dimasukkan dalam agenda penyempurnaan sistem, perencanaan strategis, dan anggaran pada periode berikutnya.
• Bahan untuk perencanaan strategis dan rencana anggaran di masa mendatang.
• Memberikan reasonable assurance bahwa sistem informasi telah sesuai  dengan kebijakan atau prosedur yang telah ditetapkan.
• Membantu memastikan bahwa jejak pemeriksaan (audit trail) telah diaktifkan dan dapat digunakan oleh manajemen, auditor maupun pihak lain yang berwewenang melakukan pemeriksaan.
• Membantu dalam penilaian apakah initial proposed values telah terealisasi  dan saran tindak lanjutnya.

K.                IT Forensics

Beberapa definisi IT Forensics

• Definisi sederhana, yaitu penggunaan sekumpulan prosedur untuk melakukan pengujian secara menyeluruh suatu sistem komputer dengan mempergunakan software dan tool untuk memelihara barang bukti tindakan kriminal.
• Menurut Noblett, yaitu berperan untuk mengambil, menjaga, mengembalikan, dan menyajikan data yang telah diproses secara elektronik dan disimpan di media komputer.
• Menurut Judd Robin, yaitu penerapan secara sederhana dari penyidikan komputer dan teknik analisisnya untuk menentukan bukti-bukti hukum yang mungkin.

L.                 Tujuan IT Forensics

Adalah untuk mengamankan dan menganalisa bukti digital. Dari data yang diperoleh melalui survey oleh FBI dan The Computer Security Institute, pada tahun 1999 mengatakan bahwa 51% responden mengakui bahwa mereka telah menderita kerugian terutama dalam bidang finansial akibat kejahatan komputer. Kejahatan Komputer dibagi menjadi dua, yaitu :

1.                   Komputer fraud.

Kejahatan atau pelanggaran dari segi sistem organisasi komputer.

2.                   Komputer crime.

Merupakan kegiatan berbahaya dimana menggunakan media komputer dalam melakukan pelanggaran hukum.

M.               Terminologi IT Forensics

A.                 Bukti digital (digital evidence).

 Adalah informasi yang didapat dalam bentuk atau format digital, contohnya e-mail.

B.                 Empat elemen kunci forensik dalam teknologi informasi, antara lain :

1.                   Identifikasi dari bukti digital.

Merupakan tahapan paling awal forensik dalam teknologi informasi. Pada tahapan ini dilakukan identifikasi dimana bukti itu berada, dimana bukti itu disimpan dan bagaimana penyimpanannya untuk mempermudah tahapan selanjutnya.

2.                   Penyimpanan bukti digital.

Termasuk tahapan yang paling kritis dalam forensik. Bukti digital dapat saja hilang karena penyimpanannya yang kurang baik.

3.                   Analisa bukti digital.

Pengambilan, pemrosesan, dan interpretasi dari bukti digital merupakan bagian penting dalam analisa bukti digital.

4.                   Presentasi bukti digital.

Proses persidangan dimana bukti digital akan diuji dengan kasus yang ada. Presentasi disini berupa penunjukkan bukti digital yang berhubungan dengan kasus yang disidangkan.  

N.                 Investigasi Kasus Teknologi Informasi

1.                   Prosedur forensik yang umum digunakan, antara lain :

•  Membuat copies dari keseluruhan log data, file, dan lain-lain yang dianggap perlu pada suatu media yang terpisah.
• Membuat copies secara matematis.
•  Dokumentasi yang baik dari segala sesuatu yang dikerjakan.

2.                   Bukti yang digunakan dalam IT Forensics berupa :

• Harddisk.
• Floopy disk atau media lain yang bersifat removeable.
• Network system.

3.                   Beberapa metode yang umum digunakan untuk forensik pada komputer ada dua yaitu :

a.                   Search dan seizure.

Dimulai dari perumusan suatu rencana.

b.                   Pencarian informasi (discovery information).

Metode pencarian informasi yang dilakukan oleh investigator merupakn pencarian bukti tambahan dengan mengandalkan saksi baik secara langsung maupun tidak langsung terlibat dengan kasus ini.

 

Tata Kelola IT

A.                 Pengertian Tata Kelola IT

Tata kelola adalah suatu cabang dari tata kelola perusahaan yang terfokus pada Sistem/Teknologi informasi  serta manajemen Kinerja  dan risikonya. Tata kelola TI adalah struktur kebijakan atau prosedur dan kumpulan proses yang bertujuan untuk memastikan kesesuaian penerapan TI dengan dukungannya terhadap pencapaian tujuan institusi, dengan cara mengoptimalkan keuntungan dan kesempatan yang ditawarkan TI, mengendalikan penggunaan terhadap sumber daya TI dan mengelola resiko-resiko terkait TI.

Tata kelola teknologi informasi bukan bidang yang terpisah dari pengelolaan perusahan, melainkan merupakan komponen pengelolaan perusahaan secara keseluruhan, dengan tanggung jawab utama sebagai berikut:

1.  Memastikan kepentingan stakeholder diikutsertakan dalam penyusunan strategi perusahaan.
2. Memberikan arahan kepada proses-proses yang menerap kan strategi perusahaan.
3. Memastikan proses-proses tersebut menghasilkan keluaran yang terukur.
4. Memastikan adanya informasi mengenai hasil yang dipero leh dan mengukurnya.
5. Memastikan keluaran yg dihasilkan sesuai dgn yg diharap

B.                 Tujuan Tata Kelola IT

Salah satu tujuan tata kelola TI adalah untuk menyelaraskan setiap proses-proses bisnis yang ada dengan teknologi informasi. Artinya adalah dengan adanya struktur dan proses yang diperlukan dalam investasi teknologi informasi, pihak manajemen dapat memastikan teknologi informasi yang dilakukan sesuai dengan strategi bisnis yang ada.  Selain itu terdapat tujuan tata kelola TI lainnya adalah sebagai berikut :

1.  Menyelaraskan teknologi informasi dengan strategi perusahaan serta realisasi dari keuntungan-keuntungan yang telah  dijanjikan dari penerapan TI.
2. Penggunaan teknologi informasi memungkinkan perusahaan mengambil peluang-peluang yang ada, serta memaksimalkan pemanfaatan TI dalam memaksimalkan keuntungan dari penerapan TI tersebut.
3. Bertanggungjawab terhadap penggunaan sumber daya TI.
4.  Manajemen resiko-resiko yang ada terkait teknologi informasi secara tepat.

C.                 Pentingnya Tata Kelola IT

Di lingkungan yang sudah memanfaatkan Teknologi Informasi (TI), tata kelola TI menjadi hal penting yang harus diperhatikan. Hal ini dikarenakan ekspektasi dan realitas seringkali tidak sesuai. Pihak shareholder perusahaan selalu berharap agar perusahaan dapat :

1. Memberikan solusi TI dengan kualitas yang bagus, tepat waktu, dan sesuai dengan anggaran. 
2. Menguasai dan menggunakan TI untuk mendatangkan keuntungan. 
3. Menerapkan TI untuk meningkatkan efisiensi dan produktifitas sambil menangani risiko TI.

D.                 Fokus Utama Area Tata Kelola IT

Pada tata kelola teknologi informasi terdapat 5 area yang menjadi fokus yaitu:

• Keselarasan strategis (strategic alignment). Memastikan adanya hubungan perencanaan organisasi dan TI dengan cara menetapkan, memelihara, serta menyesuaikan operasional TI dengan operasional organisasi
• Penyampaian nilai (value delivery). Fokus dengan melaksanakan proses TI agar supaya proses tersebut sesuai dengan siklusnya, mulai dari menjalankan rencana, memastikan TI dapat memberikan manfaat yang diharapkan, mengoptimalkan penggunaan biaya sehingga pada akhirnya TI dapat mencapai hasil yang diinginkan.
• Manajemen sumber daya (resource management). Fokus  pada  kegiatan  yang  dapat mengoptimal kan  dan  mengelola sumber daya TI, yang terdiri dari aplikasi, informasi, infrastruktur, dan sumber daya manusia 
• Manajemen risiko (risk management). Untuk  melaksanakan pengelolaan  terhadap  risiko,  dibutuhkan kesadaran  anggota  organisasi dalam  memahami adanya  risiko, kebutuhan organisasi, dan risiko – risiko signifikan yang dapat terjadi, serta menanamkan tanggung  jawab dalam  mengelola  risiko  yang  ada di organisasi.
• Pengukuran kinerja (performance measurement). Mengikuti  dan  mengawasi  jalannya  pelaksanaan  rencana, pelaksanaan  proyek,  pemanfaaatan sumber  daya,  kinerja poses, penyampaian layanan sampai  dengan pencapaian hasil TI

E.                 Alasan dilakukannya Tata Kelola IT

Yang menjadi alasan diperlukannya tata kelola TI adalah TI saat ini sudah menjadi kebutuhan yan sangat penting bagi hampir semua organisasi perusahaan karena dipercaya dapat membantu meningkatkan efektifitas dan efisiensi proses bisnis perusahaan. Untuk mencapai hal tersebut, diperlukan suatu pengelolaan TI yang baik dan benar agar keberadaan TI mampu untuk menunjang kesuksesan organisasi dalam  pencapaian tujuannya. Kesuksesan tata kelola perusahaan tersebut tergantung terhadap seberapa jauh tata kelola TI dilakukan.

Tata kelola TI diperlukan karena TI tidak lagi hanya dipandang sebagai unsur pendukung proses bisnis, tetapi sudah dipandang sebagai  bagian dari strategi bisnis, tata kelola TI juga mengontrol semua tahapan dalam siklus hidup solusi TI untuk menjaga keselarasan antara TI dengan tujuan dan strategi organisasi agar mencapai kesuksesan. Penerapan tata kelola pemerintahan dan percepatan penerapan TI pada pemerintahan membuat institusi-institusi pemerintah harus meningkatkan fungsi TI nya. Dengan meningkatnya peran TI maka investasi di bidang TI semaki besar dan semakin kompleks dalam pengelolaannya. Oleh karenanya itu yang menjadi alasan dibutuhkannya suatu tata kelola TI yang baik agar investasi teknologi informasinya dapat berjalan dengan baik.

Referensi :

http://audit-si-untag.blogspot.co.id/2015/04/audit-sistem-informasi.html

https://blog.gamatechno.com/mengenal-pentingnya-audit-teknologi-informasi/

http://irmarr.staff.gunadarma.ac.id/Downloads/folder/0.0

http://fti.uajm.ac.id/ajar/Audit%20Sistem%20Informasi/01%20Konsep%20Tata%20Kelola.pdf

http://bungaridhoelditaa.blogspot.co.id/2015/12/1-tata-kelola-ti-alasan-definisi-tujuan.html

https://www.academia.edu/4742018/Audit_Sistem_Informasi_Apa_itu_Audit_Sistem_Informasi_Teknologi_Informasi?auto=download