ATSI

AUDIT TEKNOLOGI SISTEM INFORMASI

Disusun oleh :

Kelas 4KA19

Rizky Octaviani                                                                       (16115193)

JURUSAN SISTEM INFORMASI

FAKULTAS ILMU KOMPUTER DAN TEKNOLOGI INFORMASI

UNIVERSITAS GUNADARMA

2018/2019

v  Obyek Garapan

Ø  Audit Through the Computer

Dalam pendekatan audit ke sistem komputer (audit through the computer) auditor melakukan pemeriksaan langsung terhadap program-program dan file-file komputer pada audit SI berbasis TI. Auditor menggunakan komputer (software) atau dengan cek logika atau listing program (desk test on logic or programs source code) untuk menguji logika program dalam rangka prngujian pengendalianyang ada pada komputer. Selain itu auditor juga dapat meminta penjelasan dari para teknisi komputer mengenai spefikasi sistem dan/atau program yang diaudit.

Audit around computer dilakukan pada saat :

1.    Dokumen sumber tersedia dalam bentuk kertas ( bahasa non-mesin), artinya masih kasat mata dan dilihat secara visual.

2.    Dokumen-dokumen disimpan dalam file dengan cara yang mudah ditemukan

3. Keluaran dapat diperoleh dari daftar yang terinci dan auditor mudah menelusuri setiap transaksi dari dokumen sumber kepada keluaran dan sebaliknya.

Keunggulan pendekatan audit dengan pemeriksaan sistem komputerisasi, ialah:

(a)  Auditor memperoleh kemampuan yang besar dan efektif dalam melakukan pengujian terhadap sistem komputer.

(b)  Auditor akan merasa lebih yakin terhadap kebenaran hasil kerjanya.

(c)  Auditor dapat menilai kemampuan sistem komputer tersebut untuk menghadapi perubahan lingkungan.

Sebetulnya mungkin tidak dapat dikatakan sebagai suatu kelemahan dalam pendekatan audit ini, namun jelas bahwa audit through the computer memerlukan tenaga ahli auditor yang terampil dalam pengetahuan teknologi informasi dan mungkin perlu biaya yang besar pula

Ø  Audit Arround the Computer

Dalam pendekatan audit di sekitar komputer, auditor (dalam hal ini harus akuntan yang registered, dan bersertifikasi akuntan publik) dapat mengambil kesimpulan dan merumuskan opini dengan hanya menelaah struktur pengendalian dan melaksanakan pengujian transaksi dan prosedur verifikasi saldo perkiraan dengan cara sama seperti pada sistem akuntansi manual.

Pendekatan Audit Through the computer dilakukan dalam kondisi :

1.    Sistem aplikasi komputer memroses input yang cukup besar dan menghasilkan output yang cukup besar pula, sehingga memperuas audit untuk meneliti keabsahannya.

2.    Bagian penting dari struktur pengendalian intern perusahaan terdapat di dalam komputerisasi yang digunakan.

Kunci pendekatan audit ini ialah pada penelusuran transaksi terpilih mulai dari dokumen sumber sampai ke bagan-perkiraan (akun) dan laporannya. Keunggulan metode audit di sekitar komputer adalah:

·         Pelaksanaan audit lebih sederhana.

·         Auditor yang memiliki pengetahuan minimal di bidang komputer dapat dilatih dengan mudah untuk melaksanakan audit.

Kelemahannya adalah jika kondisi (user requirements) berubah, mungkin sistem itupun perlu diredesain dan perlu penyesuaian (update) program-program, bahkan mungkin struktur data/file, sehingga auditor perlu menilai/menelaah ulang apakah sistem masih berjalan dengan baik

Ø  Objek Audit

                Teknologi informasi memiliki cakupan yang luas; ada banyak objek teknologi informasi yang dapat diaudit. Untuk dapat melihatnya secara keseluruhan, lengkap dan sistematis, dapat dipilih satu dari berbagai macam kerangka kerja. Setelah terpilih satu kerangka kerja, auditor dapat memfokuskan cakupan audit dengan memilih area-area yang akan diaudit, sesuai dengan tujuan audit. Kerangka kerja yang dipilih juga akan digunakans secara konsisten dalam laporan hasil audit. Temuan-temuan atau hasil-hasil penilaian akan dikelompokkan sesuai dengan area-area menurut kerangka kerja yang dipilih.

Misalnya seorang auditor teknologi informasi memilih menggunakan pembagian area audit sebagai berikut :

1.      Manajemen, temuan-temuan terkait dengan manajemen, organisasi, finansial, SDM, dan proses-proses akan dicantumkan di bawah judul ini

2.      Perangkat keras, temuan-temuan terkait perangkat keras dan jaringan dicantumkan di sini

3.      Perangkat lunak, temuan-temuan terkait sistem operasi, aplikasi, dan tools/utilities dicantumkan di sini. 

Ø  Rencana Audit

1.    Review atas laporan audit, program audit, dan kertas kerja audit periode sebelumnya, serta dokumen lain dari audit sebelumnya termasuk hal-hal yang masih memerlukan tindak lanjut audit. Hal tersebut bermanfaat sebagai dasar untuk menentukan ruang lingkup audit yang akan dilaksanakan.

2.       Melaksanakan survey pendahuluan untuk mengetahui tujuan dan pelaksanaan dari operasi/ kegiatan, tingkat risiko (aktual dan atau potensi), serta pengendaliannya.

3.       Review atas kebijakan dan prosedur dari fungsi yang diaudit guna menentukan area/ bidang yang memungkinkan dapat diukur dan dinilai, dan menentukan apakah fungsi tersebut berjalan/ beroperasi sesuai dengan yang diharapkan oleh manajemen.

4.       Review atas literatur audit internal  yang berkenaan dengan area yang diaudit. Hal tersebut dilakukan untuk memperoleh informasi terbaru mengenai teknik pengujian yang dapat diterapkan pada aktivitas yang diaudit.

5.       Menyusun bagan arus dari operasi/ aktivitas yang diaudit untuk mengidentifikasi kelemahan sistem, dan untuk melakukan analisis visual atas proses transaksi.

6.    Review atas standar kinerja (internal atau eksternal/ industri bila ada) untuk memperoleh tolok ukur guna menguji dan mengevaluasi efisiensi dan efektivitas operasi yang diaudit dan menentukan apakah operasi yang dimaksud mengacu kepada standar yang telah ditetapkan.

7.    Melakukan interview dengan auditee dan menyampaikan tujuan dan ruang lingkup audit untuk memperoleh kesepahaman (menghindari kesalahpahaman) dengan auditee

8.    Menyusun anggaran yang merinci sumber daya yang diperlukan, guna menggambarkan estimasi mengenai jumlah staf dan waktu yang diperlukan untuk melaksanakan audit.

9.    Melakukan interview dengan pihak-pihak tertentu yang berhubungan dengan fungsi yang diaudit untuk memperoleh pengetahuan yang lebih baik mengenai operasi dan mengidentifikasi masalah yang mungkin ada, serta untuk menjalin koordinasi dengan pihak-pihak yang berhubungan dengan fungsi yang diaudit

10.  Membuat daftar mengenai risiko yang material yang harus dipertimbangkan untuk memastikan bahwa bidang/ area yang paling rentan terhadap ancaman (terjadinya kesalahan/penyimpangan) mendapat perhatian yang tepat/ khusus

11.  Untuk setiap resiko yang teridentifikasi, ditetapkan pengendaliannya dan dipastikan apakah pengendalian yang dimaksud memadai. Hal tersebut dilakukan untuk mengetahui apakah pengendalian yang ada dapat mengurangi/ menekan risiko yang teridentifikasi tersebut atau tidak.

12.  Menentukan substansi dari masalah untuk mengidentifikasi tingkat kesulitan dalam pelaksanaan audit.

Ø  Susunan Instrumen

a)    Perencanaan audit (Audit Planning)

Langkah pertama dalam perencanaa audit adalah untuk menetapkan ruang lingkup dan tujuan pemeriksaan. Pada audit laoran keuangan, pemeriksaan dilakukan oleh editor (akuntan) ekstern dan independen terhadap laporan keuangan perusahaan, ditujukan kepada para pemegang saham pihak lain terkait. Tujuan audit untuk menilai kelayakan atau kewajaran (fairness) laporan keuangan yang disajikan oleh perusahaan.

b)    Pemahaman sistem dan struktur pengendalian internnya

Pada tahap ini yang dilakukan adalah pemahaman terhadap sasaran yang akan ddiaudit, pengumpulan informasi awal, dan identifikasi resiko, antara lain:

·         Pemahaman sistem informasi untuk pelaksanaan transaksi

·         Penentuan kemungkinan salah saji dalam tiap tahap pelaksanaan transaksi

·         Penentuan aktivitas pengendalaian untuk deteksi salah saji

·         Penentuan prosedur audit untuk deteksi efektivitas aktiviasi pengendalian

·         Penyusunan program audit pengendalian

c)    Pengumpulan bukti audit

Bukti audit dikumpulkan dengan sejumlah instrumen audit, pengujian, dan prosedur yang bermacam-macam

d)    Evaluasi bukti pemeriksaan

Setelah bukti-bukti audit dikumpulkan, auditor mengevaluasi bukti audit tersebut sesuai dengan tujuan dari audit dan kemudian:

·         Dilakukan tests of controls yang bertujuan untuk mengetahui apakah pengendalian yang ada telah dilakukan dengan prosedur yang telah ditetapkan.

·         Dilakukan substantive test, yang terdiri dari:

a.    Tests of transactions yang bertujuan untuk mengevaluasi apakah terdapat kekeliruan atau kesalahan

b.    Tests of balances or overall results yang bertujuan untuk menjamin laporan keuangan yang dihasilkan adalah benar dan akurat

e)    Komunikasi hasil pemeriksaan

Segera setelah pekerjaan pemeriksaan diselesaikan dan diperoleh kesimpulan pendapat auditor, perlu disiapkan laporan hasil audit mengenai temuan-temuan dan rekomendasi-rekomendasinya. Dalam penyelesaian audit (completion of the audit) dibuat kesimpulan dan rekomendasi untuk dikomunikasikan pada manajemen.

Ø  Petunjuk penggunaan instrument audit

Perusahaan telah banyak berinvestasi dalam meningkatkan kualitas pengendalian internal mereka; Namun, COSO mencatat bahwa banyak organisasi tidak sepenuhnya memahami pentingnya komponen pemantauan kerangka kerja COSO dan peran yang dimainkannya dalam merampingkan proses penilaian. Pada bulan Januari 2009, COSO menerbitkan Pedoman Pengawasan Sistem Pengendalian Intern untuk mengklarifikasi komponen pemantauan pengendalian internal.

Pemantauan waktu yang efektif dapat menyebabkan efisiensi organisasi dan mengurangi biaya yang terkait dengan pelaporan publik mengenai pengendalian internal karena masalah diidentifikasi dan ditangani secara proaktif, bukan reaktif.

Panduan Monitoring COSO dibangun berdasarkan dua prinsip dasar yang ditetapkan dalam COSO’s 2006 Guidance:

·         Evaluasi berkelanjutan dan / atau terpisah memungkinkan manajemen untuk menentukan apakah komponen lain dari pengendalian internal terus berfungsi dari waktu ke waktu, dan

·         Kekurangan pengendalian internal diidentifikasi dan dikomunikasikan secara tepat waktu kepada pihak-pihak yang bertanggung jawab untuk melakukan tindakan korektif dan manajemen serta dewan direksi sebagaimana mestinya.

Panduan pemantauan lebih lanjut menunjukkan bahwa prinsip-prinsip ini paling baik dicapai melalui pemantauan yang didasarkan pada tiga elemen luas:

·         Menetapkan landasan untuk pemantauan, termasuk (a) nada yang tepat di bagian atas; (b) struktur organisasi yang efektif yang memberikan peran pemantauan kepada orang-orang dengan kemampuan, objektivitas dan kewenangan yang sesuai; dan (c) titik awal atau “dasar” pengendalian internal efektif yang diketahui dari mana pemantauan dan evaluasi terpisah dapat dilaksanakan;

·         Merancang dan melaksanakan prosedur pemantauan yang berfokus pada informasi persuasif tentang pengoperasian kontrol kunci yang menangani risiko yang berarti terhadap tujuan organisasi; dan

·         Menilai dan melaporkan hasil, yang mencakup evaluasi tingkat keparahan kekurangan yang teridentifikasi dan melaporkan hasil pemantauan kepada personil dan dewan terkait untuk tindakan dan tindak lanjut yang tepat waktu jika diperlukan.

Ø  Daftar Pustaka

http://fitharikhadir.blogspot.com/2016/01/audit-sistem-informasi-dan-prosedur.html

http://arumsasi21.blogspot.com/2017/10/audit-teknologi-sistem-informasi.html

            https://andrewhormatmsitumeang.wordpress.com/2016/04/09/perbedaan-audit-around-the-computer-dengan-through-the-computer-beserta-contoh-procedure-dan-lembar-kerja-it-nya/

https://afrannafarsani.wordpress.com/2018/02/18/tugas-2-softskill-audit-sistem-informasi/

AUDIT TEKNOLOGI INFORMASI

AUDIT TEKNOLOGI SISTEM INFORMASI

Disusun oleh :

Kelas 4KA19

Rizky Octaviani                                                                       (16115193)

JURUSAN SISTEM INFORMASI

FAKULTAS ILMU KOMPUTER DAN TEKNOLOGI INFORMASI

UNIVERSITAS GUNADARMA

2018/2019

Ø Konsep Audit

Audit dan kontrol teknologi informasi menjadi penting karena organisasi membutuhkan acuan, parameter dan kontrol untuk memastikan semua sumber daya perusahaan menuju pada pencapaian tujuan organisasi secara terintegratif dan komprehensif. IT Audit dan Kontrol menjelaskan sebuah proses untuk mereview dan memposisikan IT sebagai instrument penting dalam pencapaian usaha/bisnis korporasi. Audit IT dan control melakukan proses sistematik, terencana, dan menggunakan keahlian IT untuk mengetahui tingkat kepatuhan, kinerja, nilai, dan resiko dari implementasi teknologi. Kemampuan mengetahui pengetahuan dan skill pada IT Audit dan control selain juga menunjukkan jenjang professional tertentu dalam professional, juga membuat seseorang akan menganalisa, merancang, membangun, mengimplementasikan, memonitor dan melakukan pengembangan berkelanjutan TIK tidak sekedar beroperasi tetapi juga mengikuti kaidah industri dan standar internasional.

Penerapan IT audit sendiri dibentuk pada pertengahan 1960-an dan sejak saat itu telah berubah spesifikasi nya berkali-kali karena perkembangan pesat teknologi dan penggabungan ke dalam bisnis. Audit teknologi selalu mengacu pada pemeriksaan kontrol dalam infrastruktur TI. Praktek Audit menjamin kelangsungan bisnis dengan mengidentifikasi integritas data organisasi, operasi efektivitas dan tindakan perlindungan untuk melindungi 36 aset IT.

IT Audit and Control menggambarkan sebuah proses untuk meninjau dan memposisikan TI sebagai instrumen penting dalam mencapai bisnis / bisnis perusahaan. TI mengaudit dan mengendalikan proses yang sistematis, terencana, dan menggunakan keahlian IT untuk mengetahui tingkat kepatuhan, kinerja, nilai, dan risiko penerapan teknologi. Kemampuan untuk mengetahui pengetahuan dan keterampilan dalam Audit dan pengendalian TI serta menunjukkan tingkat profesional tertentu secara profesional, juga membuat seseorang akan menganalisa, merancang, membangun, menyebarkan, memantau dan pengembangan TIK yang berkelanjutan tidak hanya beroperasi tetapi juga mengikuti aturan industri dan standar internasional.

Ø Proses Audit

Proses Audit dalam konteks teknologi informasi adalah memeriksa apakah sistem informasi berjalan semestinya. Tujuh langkah proses audit sistem informasi yaitu:

 Implementasikan sebuah strategi audit berbasis manajemen resiko serta control practice yang dapat disepakati oleh semua pihak :

·        Tetapkan langkah-langkah audit yang rinci

·        Gunakan fakta atau bahan bukti yang cukup, handal, relevan, serta bermanfaat

·        Buat laporan beserta kesimpulan berdasarkan fakta yang dikumpulkan

·        Telah apakah tujuan audit tercapai

·        Sampaikan laporan kepada pihak yang berkepentingan

·        Pastikan bahwa organisasi mengimplementasikan managemen resiko serta control practice.

Perencanaan sebelum menjalankan proses audit dengan metodologi audit yaitu:

·        Audit subject

·        Audit objective

·        Audit Scope

·        Preaudit planning

·        Audit procedures and Steps for data gathering

·        Evaluasi hasil pengujian dan pemeriksaan

·        Audit report preparation

Berikut struktur isi laporan audit secara umumnya(tidak baku):

a)      Pendahuluan

b)      Kesimpulan umum auditor

c)      Hasil audit

d)     Rekomendasi

e)      Exit interview

Ø Teknik Audit

1.    Auditing Entity-Level Kontrol

Auditing Entity-Level Kontrol membahas bagaimana mengaudit kontrol tingkat entitas, yang meresap di seluruh organisasi. Karena kontrol tingkat entitas sangat luas di seluruh organisasi, dan dapat mengauditnya berikut ini pembahasan audit teknologi informasi (TI) area seperti:

a.    Perencanaan strategis dan peta jalan teknologi

b.    Indikator kinerja dan metric

c.    Proses persetujuan dan pemantauan proyek

d.    Kebijakan, standar, dan prosedur

e.    Manajemen karyawan

f.     Pengelolaan aset dan kapasitas

g.    Manajemen perubahan konfigurasi system

2.    Pusat Data Audit dan Pemulihan bencana

Fasilitas pengolahan teknologi informasi (TI), biasanya disebut sebagai pusat data, merupakan inti dari sebagian besar operasi organisasi modern, yang mendukung hampir semua hal yang kritis aktivitas bisnis. Berikut ini merupakan langkah-langkah untuk mengaudit pusat data kontrol, termasuk bidang berikut:

a.    Keamanan fisik dan pengendalian lingkungan

            Pusat data menggabungkan beberapa jenis kontrol berbasis fasilitas, yang biasa disebutsebagai keamanan fisik dan kontrol lingkungan, termasuk sistem kontrol akses fasilitas, sistem alarm, dan sistem pencegah kebakaran. Sistem ini dirancang untuk mencegah intrusi tanpa izin, mendeteksi masalah sebelum menyebabkan kerusakan, dan mencegah penyebaran api.

b.    Operasi pusat data

Meskipun pusat data dirancang untuk menjadi otomatis, mereka memang membutuhkan staf untuk beroperasi. Akibatnya, operasi pusat data harus diatur oleh kebijakan, rencana, dan prosedur.Auditor harus berharap untuk menemukan bidang-bidang berikut yang dicakup oleh kebijakan, rencana, dan prosedur:

·         Kontrol akses fisik

·         Pemantauan sistem dan fasilitas

·         Perencanaan fasilitas, peralatan, pelacakan, dan pemeliharaan

·         Prosedur respons untuk pemadaman, keadaan darurat, dan kondisi alarm

c.    Sistem dan ketahanan situs

            Karena sistem komputer yang berada di pusat data dimanfaatkan untuk diotomatisasi fungsi bisnis, mereka harus tersedia setiap saat bisnis beroperasi. Karena itu, pusat data menggabungkan berbagai jenis kontrol untuk memastikan bahwa sistem tetap tersedia untuk melakukan operasi bisnis yang penting. Kontrol ini dirancang untuk melindungi daya, lingkungan komputasi, dan jaringan area luas (WAN).

d.    Kesiapsiagaan bencana

            Semua pusat data rentan terhadap bencana alam dan buatan manusia. Sejarah menunjukkan hal itu ketika bencana melanda suatu pusat data, organisasi fasilitas-fasilitas seperti itu mulai berhenti berdecit. Tugas auditor adalah mengidentifikasi dan mengukur fisik dan administratif kontrol di fasilitas yang mengurangi risiko gangguan pemrosesan data, termasuk pengikut:

·         Ketahanan sistem

·         Cadangan dan pemulihan data

·         Perencanaan pemulihan bencanaMengaudit Router, Switch, dan Firewall

3.    Mengaudit Router, Switch, dan Firewall

Jaringan adalah latar belakang mendasar dari infrastruktur operasi TI , yang memungkinkan data melintang antara pengguna, penyimpanan data, dan pengolahan data. Router, switch, dan firewall bekerja sama untuk memungkinkan transfer data sekaligus melindungi jaringan, data, dan pengguna akhir. Berikut ini membahas bagaimana meninjau potongan-potongan kritis, infrastruktur sambil membantu untuk melakukannya sebagai berikut :

a.    Mengungkap kompleksitas peralatan jaringan.

b.    Memahami kontrol jaringan kritis.

c.    Tinjau kontrol khusus untuk router, switch, dan firewall.

4.    Mengaudit Windows

Sistem operasi Sistem operasi Windows telah berkembang dari awal yang sederhana dan berkembang menjadi salah satu sistem operasi paling umum di dunia untuk server dan klien, untuk mencakup komponen dasar dari audit server Windows dan mencakup audit cepat untuk Klien Windows, berikut pembahasan Audit server dan klien windows:

a.    Sejarah singkat pengembangan Windows

            Microsoft dan IBM bekerja bersama untuk mengembangkan OS / 2 pada awal 1990-an, tetapi hubungan itu berubah menjadi suram. Microsoft dan IBM berpisah dan pergi arah terpisah, dengan Microsoft kemudian merilis Windows NT pada Juli 1993. Pasar server berevolusi dari Windows NT ke Windows Server 2000, Windows Server 2003, dan kemudian Windows Server 2008.

b.    Windows essentials: belajar tentang host target

c.    Bagaimana mengaudit server Windows

d.    Bagaimana mengaudit klien Windows

e.    Alat dan sumber daya untuk meningkatkan audit Windows Anda

5.    Mengaudit Unix dan Linux

Sistem operasi membahas langkah-langkah yang diperlukan untuk mengaudit operasi berbasis Unix dan Linux sistem (juga disebut sebagai sistem nix) dan mencakup hal-hal berikut:

a.    Sejarah Unix dan Linux

            Unix tanggal kembali ke 1969, ketika dikembangkan oleh karyawan di AT & T untuk tujuan menyediakan lingkungan di mana beberapa pengguna dapat menjalankan program. Keamanan yang kuat bukanlah salah satu tujuan pengembangannya. Pada akhir tahun 1970-an, mahasiswa di University of California, Berkeley, melakukan modifikasi ekstensif pada sistem AT & T Unix, menghasilkan varian Unified Software Distribution (BSD) Unix, yang menjadi sangat populer di kalangan akademis. Sekitar waktu yang sama, AT & T mulai mendorong untuk mengembangkan sistem operasi Unix menjadi produk komersial yang sah yang disebut AT & T System V (atau hanya System V). Selama tahun 1980-an, karena minat komersial terhadap sistem operasi Unix meningkat, perusahaan menghadapi dilema dalam memutuskan versi mana dari dua versi Unix yang akan diadopsi. Ultrix SunOS dan Digital Equipment Corporation Sun Microsystems didasarkan pada BSD.

            Dari awal yang sederhana, hobiis pada tahun 1991, Linux tumbuh menjadi rilis 1.0 di 1994. Tetapi bahkan sebelum rilis 1.0, sejumlah "distribusi" Linux dikembangkan, menggabungkan kernel Linux dengan aplikasi dan utilitas sistem. Beberapa contoh distribusi populer saat ini adalah Red Hat, Ubuntu, Debian, SUSE, dan Gentoo.

b.    Perintah dasar untuk berkeliling di lingkungan * nix

c.    Bagaimana mengaudit sistem Unix dan Linux, dengan fokus pada bidang utama berikut:

·         Manajemen akun dan kontrol kata sandi

·         File keamanan dan control

·         Keamanan dan kontrol jaringan

·         Audit log

·         Monitoring keamanan dan kontrol umum

·         Alat dan sumber daya untuk meningkatkan audit

6.    Mengaudit Web Server dan Aplikasi Web

Pertumbuhan eksplosif di Internet juga mendorong pertumbuhan eksplosif alat pengembangan, bahasa pemrograman, web browser, database, dan berbeda model client-server. Hasil yang tidak menguntungkan adalah model kompleks yang sering dibutuhkan kontrol tambahan untuk mengamankan model. Berikut ini mencakup minimum mutlak seperangkat kontrol yang harus ditinjau ulang. Bab ini mencakup hal-hal berikut:

a.    Bagaimana mengaudit server web

b.    Bagaimana mengaudit aplikasi web

7.    Mengaudit Database

Mengaudit Database membahas tentang audit lockbox informasi perusahaan.untuk melakukan audit pada komponen berikut yang mempengaruhi operasional keamanan penyimpanan data:

a.    Perizinan database

b.    Keamanan sistem operasi

c.    Fitur kekuatan dan manajemen kata sandi

d.    Aktivitas pemantauan

e.    Database enkripsi

f.     Database kerentanan, integritas, dan proses patching

8.    Penyimpanan Audit

Penyimpanan audit dan dimulai dengan ikhtisar penyimpanan umum teknologi. Audit penyimpanan menggabungkan kekhawatiran platform dan datanya. Platform memiliki persyaratan kontrol yang sama seperti yang ditemukan di server. Data memiliki keunikan persyaratan kontrol karena perlunya menjaga kontrol yang sesuai dengan kelas data yang berbeda, dibawah ini mencakup hal-hal berikut:

a.    Ikhtisar teknis singkat tentang penyimpanan

b.    Bagaimana mengaudit lingkungan penyimpanan

c.    Alat dan sumber daya untuk meningkatkan audit penyimpanan Anda

9.    Mengaudit Virtualized Lingkungan

Inovasi dalam virtualisasi sistem operasi dan perangkat keras server diubah secara permanen jejak, arsitektur, dan operasi pusat data. Mengaudit lingkungan virtualisasi, dan dimulai dengan ikhtisar tentang virtualisasi umum teknologi dan kontrol tombol. Audit virtualisasi menggabungkan kekhawatiran hypervisor dan sistem operasi tamu. Meski fokus adalah hypervisor dan virtualisasi server, bisa menerapkan banyak langkah dan konsep yang sama untuk virtualisasi desktop ,membuat asumsi bahwa komponen sistem ini adalah di bawah kendali , "Mengaudit Komputasi Awan dan Operasi Outsourcing "untuk panduan bagaimana memastikan virtualisasi dari luar lingkungan dikelola dan diamankan dengan benar. Dibawah ini mencakup hal-hal berikut:

a.    Sekilas singkat teknis virtualisasi

b.    Bagaimana mengaudit lingkungan virtualisasi

c.    Alat dan sumber daya untuk meningkatkan audit virtualisasi Anda

10.  Mengaudit WLAN dan Telepon genggam

Mengaudit WLAN dan Telepon genggam yaitu dua audit terpisah, yang dimulai dengan jaringan area lokal nirkabel(WLAN) dan kemudian mencakup perangkat seluler yang mendukung data. Audit WLAN meliputi klien, komunikasi, jalur akses, dan faktor operasional yang memungkinkan WLAN aktif, jaringan Audit perangkat mobile data-enabled meliputi Blackberry, iPhone, Droid, dan perangkat data-enabled serupa dan infrastruktur yang mendukungnya. Pengikuttopik yang dibahas adalah:

a.    Latar belakang teknologi WLAN dan perangkat mobile

            Pada tahun 1990, Institute of Electrical and Electronic Engineers (IEEE) membentuk kelompok untuk mengembangkan standar untuk peralatan nirkabel. Standar 802.11 lahir pada 26 Juni 1997, dibangun di atas lapisan fisik dan data-link dari model OSI untuk memungkinkan perangkat mobile untuk berkomunikasi secara nirkabel dengan jaringan kabel.

            Anda mungkin mendengar Wi-Fi digunakan di tempat WLAN. Wi-Fi adalah merek yang awalnya dilisensikan oleh Aliansi Wi-Fi untuk menggambarkan teknologi yang mendasari berdasarkan spesifikasi IEEE 802.11. Istilah Wi-Fi digunakan secara luas, dan merek tidak lagi terlindungi. Aliansi Wi-Fi awalnya dimulai sebagai inisiatif untuk membantu membawa interoperabilitas ke semakin banyak perangkat yang menggunakan implementasi yang berbeda dari teknologi 802.11. Tabel 11-1 referensi teknologi nirkabel yang paling umum digunakan dalam lingkungan perusahaan. Ketahuilah bahwa beberapa standar lain dalam keluarga 802.11 ada, dan yang tercantum di sini adalah yang paling sering dirujuk untuk penggunaan komersial.

b.    Masalah audit penting untuk teknologi ini

c.    Langkah dan saran teknis utama mengenai bagaimana mendekati teknologi.

d.    Langkah operasional yang diperlukan agar teknologi ini beroperasi secara efisien di jaringan anda.

11.  Permohonan Audit

Setiap aplikasi unik, apakah mendukung fungsi keuangan atau operasional, dan oleh karena itu masing-masing memiliki seperangkat persyaratan kontrol tersendiri. Tidak mungkin dokumen persyaratan kontrol spesifik yang akan berlaku untuk setiap aplikasi. Namun, akan menjelaskan beberapa pedoman pengendalian umum yang seharusnya berkenaan dengan aplikasi apapun terlepas dari fungsinya, bahasa pemrogramannya, dan platform teknologi. Topik-topik berikut dibahas dalam bab ini:

a.    Komponen penting dari audit aplikasi

b.    Bagaimana menelusuri kemungkinan masalah dengan kerangka kerja dan konsep kunci

c.    Langkah terperinci untuk mengaudit aplikasi, termasuk yang berikut ini:

·         Kontrol input

·         Kontrol antarmuka

·         Jejak audit

·         Kontrol akses

·         Kontrol perubahan perangkat lunak

·         Backup dan pemulihan

·         Retensi data dan klasifikasi dan keterlibatan pengguna

12.  Mengaudit Komputasi Awan dan Outsource Operasi

Mengaudit Komputasi Awan dan Outsource Operasi adalah kunci yang harus dicari saat mengaudit TI operasi yang telah dialihkan ke perusahaan eksternal, termasuk yang berikut ini:

a.    Definisi komputasi awan dan bentuk lain dari outsourcing TI

            Institut Nasional Standar dan Teknologi (NIST) mendefinisikan komputasi awan sebagai "model untuk memungkinkan akses jaringan on-demand yang nyaman ke kumpulan sumber daya komputasi yang dapat dikonfigurasi (misalnya, jaringan, server, penyimpanan, aplikasi, dan layanan) yang dapat dengan cepat ditetapkan dan dirilis dengan upaya manajemen minimal atau interaksi penyedia layanan. ”

b.    SAS 70 melaporkan

            Ketika mengaudit vendor, Anda perlu memahami SAS (Pernyataan tentang Standar Auditing) 70 laporan. SAS 70 adalah standar audit yang dikembangkan oleh American Institute of Certified Public Accountants (AICPA) untuk menangani organisasi layanan. Ini pada dasarnya memberikan standar di mana organisasi layanan (seperti yang menyediakan layanan TI) dapat menunjukkan efektivitas kontrol internal mereka tanpa harus membiarkan setiap pelanggan mereka untuk datang dan melakukan audit mereka sendiri.

            Tanpa standar ini, organisasi jasa akan mengeluarkan volume sumber daya yang berlebihan yang menanggapi permintaan audit dari setiap pelanggan. Dengan standar ini, organisasi layanan dapat menyewa auditor layanan independen bersertifikat (seperti Ernst & Young) untuk melakukan audit SAS 70 dan mengeluarkan laporan. Laporan ini dapat disajikan kepada setiap pelanggan yang membutuhkan bukti efektivitas pengendalian internal organisasi layanan.

c.    Kontrol seleksi vendor

d.    Item untuk disertakan dalam kontrak vendor

e.    Persyaratan keamanan data

f.     Masalah operasional

g.    Masalah hukum dan kepatuhan peraturan

13.  Proyek Perusahaan Audit

Proyek Perusahaan Audit adalah kontrol kunci yang harus dicari saat mengaudit proses yang digunakan untuk mengelola proyek perusahaan, termasuk memahami hal-hal berikut yang berkaitan dengan manajemen proyek audit teknologi informasi:

a.    Kunci keberhasilan manajemen proyek

            Audit proyek dilakukan untuk mengidentifikasi risiko terhadap keberhasilan proyek-proyek perusahaan. Bab ini khusus membahas proyek-proyek TI (seperti pengembangan perangkat lunak, penyebaran infrastruktur, dan penerapan aplikasi bisnis), tetapi konsep-konsepnya bisa berlaku untuk segala jenis proyek.

b.    Kebutuhan pengumpulan dan desain awal

c.    Desain dan pengembangan system

d.    Pengujian

e.    Implementasi

f.     Pelatihan

g.    Membungkus proyek

Ø Regulasi Audit

Uji kepatutan (compliance test) dilakukan dengan menguji kepatutan Prooses TI dengan melihat kepatutan proses yang berlangsung terhadap standard dan regulasi yang berlaku. Kepatutan tersebut dapat diketahui dari hasil pengumpulan bukti. Adapun langkah-langkah yang dilakukan dalam uji tersebut antara lain akan dipaparkan sebagaimana berikut :

1)      Tahapan Pengidentifikasian

Objek yang Diaudit Tujuan dari langkah ini agar pengaudit mengenal lebih jauh terkait dengan hal-hal yang harus dipenuhi dalam objektif kontrol yang membawa kepada penugasan kepada pihak-pihak yang bertanggung jawab. Aktivitas yang berlangsung juga termasuk pengidentifikasian perihal pengelolaan aktivitas yang didukung TI memenuhi objektif kontrol terkait.

2)      Tahapan Evaluasi audit Tujuan dari tahapan ini adalah untuk mendapatkan prosedur tertulis dan memperkirakan jika prosedur yang ada telah menghasilkan struktur kontrol yang efektif. Uji kepatutan yang dilakukan pada tahapan ini yaitu mengevaluasi pemisahan tanggung jawab yang terkait dengan pengelolaan SI/TI. Dari hasil evaluasi ditemukan terdapat pemisahan terhadap tugas dan tanggung jawab yang harus dilakukan oleh masing-masing pihak yang bersangkutan.

Ø Standar dan Kerangka Kerja Audit

Seiring teknologi informasi standar (I) jatuh tempo pada akhir abad ke-20, departemen TI di dalam setiap organisasi biasanya mengembangkan metode sendiri untuk mengelola operasi. Akhirnya, kerangka kerja dan standar muncul untuk memberikan panduan bagi manajemen dan evaluasi proses TI. Dalam bab ini kita akan melihat beberapa kerangka kerja dan standar paling menonjol saat ini yang berkaitan dengan penggunaan teknologi. Pembahasan kami akan mencakup hal-hal berikut:

·         Pengantar pengendalian internal, kerangka kerja, dan standar

·         Komite Kompensasi Organisasi Cadangan (COSO)

·         Tujuan Pengendalian untuk Informasi dan Teknologi Terkait (COBIT)

·         IT Infrastructure Library (ITIL)

·         ISO 27001

·         Metodologi Penilaian Badan Keamanan Nasional (NSA)

·         Gaya Standar dan Kerangka Kerja Audit

Pengantar Kontrol, Kerangka, dan Standar TI Internal

Pada 1970-an, kekhawatiran akan meningkatnya kebangkrutan perusahaan dan keruntuhan keuangan mulai meningkatkan permintaan akan pertanggungjawaban dan transparansi di antara perusahaan publik. Foreign Cornupt Practices Act of 1977 (FCPA) mengkriminalisasi penyuapan di luar negeri dan merupakan peraturan pertama yang mengharuskan perusahaan untuk menerapkan program pengendalian internal untuk menyimpan catatan transaksi yang ekstensif untuk tujuan pengungkapan.

Ketika industri simpan pinjam ambruk pada pertengahan tahun 1980an, ada seruan untuk mengawasi standar akuntansi dan profesi auditing pemerintah. Dalam upaya untuk mencegah intervensi pemerintah, inisiatif sektor swasta independen, yang kemudian disebut Komite Sponsoring Organizations (COSO), dimulai pada tahun 1985 untuk menilai bagaimana cara terbaik untuk meningkatkan kualitas pelaporan keuangan. COSO meresmikan konsep pengendalian internal dan kerangka kerja pada tahun 1992 saat menerbitkan publikasi penting Kerangka Pengendalian Internal.

Sejak saat itu, asosiasi profesional lainnya terus mengembangkan kerangka kerja dan standar tambahan untuk memberikan panduan dan praktik terbaik kepada konstituen mereka dan komunitas TI secara umum. Bagian berikut menyoroti COSO dan beberapa kerangka kerja dan standar TI paling menonjol yang digunakan saat ini.

Gaya standard dan Kerangka Kerja

Persyaratan dan praktik bisnis sangat bervariasi di seluruh dunia, seperti juga kepentingan politik dari banyak organisasi yang menciptakan standar. Kemungkinan besar kerangka kerja dan standar tunggal akan muncul dalam waktu dekat untuk memenuhi kebutuhan setiap orang. Kompleksitas pemetaan ratusan dokumen otoritas dari peraturan (internasional, nasional, lokal / negara bagian, dan sebagainya) dan standar (ISO, industri spesifik, vendor, dan sebagainya) menciptakan peluang dan ceruk pasar. Vendor teknologi dengan tepat mengidentifikasi ceruk pasar yang penting ini, atau pembeda, untuk meningkatkan penjualan produk dengan mengidentifikasi bagaimana cara mendapatkan produk mereka untuk memenuhi persyaratan otoritas. Vendor melompat pada kesempatan untuk memetakan kemampuan mereka untuk menangani kontrol spesifik dari beberapa peraturan dan standar.

Jaringan Frontiers mungkin adalah perusahaan yang paling terkenal yang mencoba hal yang tidak mungkin: membuat pemetaan umum kontrol TI di setiap peraturan, standar, dan praktik terbaik yang ada. Hasilnya disebut IT Unified Compliance Kerangka, dan bisa ditemukan di www.unifiedcompliance.com. Selanjutnya, ini pemetaan diadopsi oleh Archer Technologies, Microsoft, Computer Associates, McAfee, dan beberapa vendor lainnya untuk membantu menjembatani penyelarasan kontrol yang dikelola atau dilacak oleh vendor dengan persyaratan dokumen otoritas individual.

Satu sudut pandang menunjukkan kerangka adopsi tunggal akan menyederhanakan teknologi pengembangan produk, struktur organisasi, dan tujuan pengendalian. Yang lain sudut pandang menunjukkan bahwa kompleksitas kepentingan regional, politik, bisnis, budaya, dan kepentingan yang berbeda memastikan kerangka kontrol yang diterima secara universal tidak akan pernah tercipta. Kebenaran mungkin terletak di suatu tempat di tengahnya. Meskipun satu set standar internasional tidak dapat dipastikan, alat yang dijelaskan dalam bab ini tetap berfungsi untuk menciptakan infrastruktur teknologi yang andal, aman, dan berkelanjutan yang pada akhirnya menguntungkan para peserta.

Ø Manajemen Resiko

Manajemen risiko adalah sebuah proses yang diaplikasikan dalam perumusan strategi dan dirancang untuk mengidentifikasi kejadian potensial yang mungkin akan berdampak pada keseluruhan organisasi, dan pengelolaan risiko. Kategori sasaran dalam manajemen risiko : 

·        Strategis : tujuan tingkat tinggi, selaras dengan dan mendukung misi

·        Operasional : penggunaan sumberdaya secara efektif dan efisien

·        Pelaporan : keandalan pelaporan

·        Pemenuhan : pemenuhan hukum dan peraturan yang berlaku

FALSAFAH COSO

Bagi COSO, pengukuran-penetapan risiko adalah kegiatan penting bagi manajemen dan auditor internal korporasi, sehingga auditor internal harus paham proses dan sarana untuk identifikasi, penilaian, pengukuran dan penetapan tingkat risiko (risk assessment) sebagai dasar menyusun prosedur audit internal. COSO menyatakan bahwa setiap entitas menghadapi risiko internal dari luar, bahwa risiko-risiko tersebut harus didentifikasi dan dinilai-diukur terfokus pada pengamanan sasaran strategis korporasi. Perubahan sosial-politik-ekonomi-industri-hukum dan perubahan kondisi operasional perusahaan teraudit mengandung risiko, manajemen perusahaan harus membentuk mekanisme untuk mengenali & menghadapi perubahan tersebut. Basis utama manajemen risiko adalah asesmen risiko. Untuk keberlangsungan usaha, asesmen risiko merupakan tanggungjawab manajemen yang bersifat integral dan terus menerus, karena manajemen tak dapat memformulasikan sasaran dengan asumsi sasaran akan tercapai tanpa risiko atau hambatan.Contoh risiko, bahaya, ancaman, atau hambatan mencapai sasaran korporasi adalah :

·        Pesaing meluncurkan produk baru

·        Perubahan teknologi menyebabkan jasa atau produk tidak laku

·        Manajer andalan tiba-tiba mengundurkan diri sebagai karyawan

·        Formula rahasia dicuri dan dijual oleh karyawan kepada pesaing

·        KKN menggerus laba dan membuat perusahaan keropos

Ø Referensi

1. IT Auditing : Using Controls To Protect Information Assets, Chris Davis, 2011

2. Audit & Kontrol Teknologi Informasi, Mardhani Riasetiawan, 2016 

3. http://nissaeko10.blogspot.com/2017/10/aspek-aspke-audit-sistem-informasi.html

4. http://anggiyolandaf.blogspot.com/2017/10/audit-teknologi-sistem-informasi.html