Pretest COBIT

Apa yang Anda ketahui mengenai COBIT (Control Ojective for Information and Related Technology)?

Jawaban :

Control Objectives for Information anda related Technology (COBIT, edisi ke-3) ialah sekumpulan dokumentasi best practices untuk tata kelola TI yang dapat membantu auditor, manajemen dan pengguna (user) untuk menjembatani gap antara resiko bisnis kebutuhan kontrol untuk permasalahan teknis.

COBIT bisa diartikan sebagai tujuan pengendalian informasi dan teknologi terkait dan merupakan standar pengendalian terhadap teknologi informasi yang dikembangkan dan dipromosikan oleh IT Governance Istetute.

Pedoman COBIT memungkinkan perusahaan untuk mengimplementasikan pengelolah TI secara efektif dan pada dasarnya dapat diterapkan di seluruh organisasi. Khususnya, komponen manajemen COBIT yang berisi sebuah respon kerangka kerja untuk kebutuhan manajemen bagi pengukuran dan pengendalian TI dengan menyediakan alat-alat untuk menilai dan mengukur kemampuan TI perusahaan untuk 34 proses TI.

Kerangka Kerja COBIT

COBIT menyediakan referensi best business practices yang mencakup keseluruhan proses bisnis perusahaan dan memaparkannya dalam struktur aktivitas-aktivitas logis yang dapat dikelola serta dikendalikan secara efektif.

Secara keseluruhan konsep framework COBIT dapat dilihat dari 3 sudut pandang, yaitu:

Kriteria informasi
Sumber daya TI
Proses TI.

1. Kriteria Informasi

COBIT menkan Information Risk Criteria menjadi 7 bagian kriteria informasi yaitu sebagai berikut:

Effectiveness
Efficiency
Confidentiality
Integrity
Availability
Compliance
Realibility

2. Sumber Daya TI

Sumber daya TI ialah sumber daya yang berkaitan dengan teknologi informasi. Adapaun sumber daya yang terdapat dalam COBIT meliputi:

Organizations – People
Application Sistems
Technologies
Facilities
Data

Domain COBIT

Kerangka kerja COBIT terdiri dari pengendalian tingkat tinggi pada sasaran hasil keseluruhan struktur klasifikasinya. Dasar teori untuk klasifikasi adalah 3 tingkatan usaha pengaturan TI yang menyangkut manajemen sumber daya TI. Mulai dari dasar adalah aktivitas dan tugas yang diperluaskan untuk mencapai hasil yang terukur.

Kemudian proses adalah menggambarkan 1 lapisan atas serangkaian tugas atau aktivitas yang dihubungkan dengan perubahan (pengendalian). Ditingkatan yang paling tinggi, proses secara alami dikelompokkan bersama-sama ke dalam domain.

Pengelompokkan ini sering ditetapkan sebagai tanggung jawab dalam struktur organisasi dan sejalan dengan siklus manajemen atau siklus hidup yang digunakan pada proses TI,

Agar supaya informasi yang tersedia memenuhi tujuan dari organisasi, sumber daya TI memerlukan pengaturan untuk proses TI menjadi beberapa group proses. Masing-masing group proses diberi nama Domain. Setiap domain terdiri dari beberapa proses. Secara garis besar, COBIT framework terdiri atas 4 domain utama, yaitu

1. Planning dan Organisation

Menggabungkan prosedur dan strategi diidentifikasi dengan bagaimana IT terbaik dapat menambah pencapaian tujuan bisnis asosiasi, membentuk hubungan yang layak dengan dasar inovasi besar.

Support

PO1 Tentukan rencana teknologi informasi strategis
PO2 Tentukan arsitektur informasi
PO3 Tentukan arah teknologi
PO4 Tentukan organisasi TI dan hubungan
PO5 Mengelola investasi di bidang teknologi informasi
PO6 Berkomunikasi tujuan manajemen dan arah
PO7 Mengelola sumber daya manusia
PO8 Memastikan kepatuhan dengan persyaratan eksternal
PO9 Menilai risiko
PO10 Mengelola proyek
PO11 Mengelola kualitas

2. Acquire and Implement

Ranah ini meliputi pengidentifikasian kebutuhan TI, kepemiliian teknologi dan implementasi ke dalam proses bisnis perusahaan saat ini. Ranah ini juga ditujukan untuk pengembang rencana perawatan yang perusahaan harus miliki dengan tujuan memperpanjang sistem TI dan komponen-komponennya.

Support

AI1 Mengidentifikasi solusi otomatis
AI2 Memperoleh dan memelihara perangkat lunak aplikasi
AI3 Memperoleh dan memelihara infrastruktur teknologi
AI4 Mengembangkan dan memelihara prosedur IT
AI5 Memenuhi Sumber Data TI
AI6 Mengelola perubahan

AI7 Instalasi dan mengakreditasi sistem beserta perubahannya

3. Delivery and Support

Pada ranah ini berfokus pada aspek hasil keluaran dari IT. Ranah ini meliputi area seperti pengeksekusian aplikasi disala sistem IT dan hasilnya dan juga proses dukungan yang memungkinkan eksekusi sistem TI yang efektif dan efisien. Proses dukungan ini meliputi pelatihan dan issu keamanan.

Support

DS1 mendefinisikan dan mengelola tingkat layanan
DS2 Mengelola layanan pihak ketiga
DS3 Mengelola kinerja dan kapasitas
DS4 Memastikan layanan yang berkelanjutan
DS5 Pastikan sistem keamanan
DS6 Mengidentifikasi dan mengalokasikan biaya
DS7 Mendidik dan melatih pengguna
DS8 Mengelola service dan insiden
DS9 Mengelola konfigurasi
DS10 Mengelola permasalahan
DS11 Mengelola Data
DS12 Mengelola Fasilitas
DS13 Mengelola operasi

4. Monitoring and Evaluate

Ranah ini berhubungan dengan strategi perusahaan dalam mengacces kebutuhan perusahaan dan apakah sistem TI yang ada saat ini masih memenuhi tujuan desainnya dan control yang dibutuhkan terhadap kebutuhan relugasi.

Support

M1 Mengawasi dan mengevaluasi kinerja TI
M2 Mengawasi dan mengevaluasi control internal
M3 Memastikan pemenuhan terhadap kebutuhan eksternal
M4 Menyediakan tata kelola TI

0 Comments

Posttest Kendali dan Audit Sistem Informasi (KASI)

Pengendalian TI didefinisikan sebagai suatu pernyataan hasil yang diinginkan atau maksud yang dicapai oleh prosedur pengendalian implementasi dalam kegiatan TI khusus. Terdapat 15 area pengendalian, sebut dan jelaskan!

Jawab:

Integritas Sistem adalah sebuah sistem yang di dalamnya terdiri atas pilar-pilar yang mana di dalamnya terdapat pelaksanaan yang menjunjung tinggi integritas demi institusi tersebut.
Manajemen Sumber Daya adalah suatu proses menangani berbagai masalah pada ruang lingkup karyawan, pegawai, buruh, manajer dan tenaga kerja lainnya untuk dapat menunjang aktivitas organisasi atau perusahaan demi mencapai tujuan yang telah ditentukan.

Pengendalian Perubahan Software Aplikasi dan Software Sistem

Menentukan adanya keterlibatan dan persetujuan user dalam hal adanya perubahan terhadap software aplikasi dan software sistem
Setiap pengembangan dan perbaikan aplikasi harus melalui proses formal dan di dokumentasi serta telah melalui tahapan-tahapan pengembangan sistem yang dibakukan dan disetujui.

Backup dan Recovery

Demi kelangsungan usaha, harus tersedia data processing disaster recovery planning (rencana pemulihan data dan pusat sistem informasi apabila terjadi kehancuran),
Baik berupa backup dan pemulihan normal, maupun rencana contingency untuk kerusakan pusat SI (lokasi gedung, peralatanya, SDM-nya maupun manualnya).

Contigency Planning

Perencanaan yang komprehenshif di dalam mengantisipasi terjadinya ancaman terhadap fasilitas pemrosesan SI
Dimana sebagian besar komponen utama dari disaster recovery plan telah dirumuskan dengan jelas, telah di koordinasikan dan disetujui, seperti critical application systems, identifikasi peralatan dan fasilitas penunjang H/W, sistem software dan sebagainya.

System Software Support

Pengukuran pengendalian dalam pengembangan, penggunaan, dan pemeliharaan dari software sistem operasi, biasanya lebih canggih dan lebih cepat perputarannya dibandingkan dengan software aplikasi dengan ketergantungan yang lebih besar kepada staf teknik untuk integritas fungsionalnya.
Pengukuran kendali pengamanan aplikasi individu maupun pengamanan logika sistem secara menyeluruh (systemwide logical security).

Dokumentasi

Integritas dan ketersediaan dokumen operasi, pengembangan aplikasi, user dan software sistem.
Diantaranya dokumentasi program dan sistem, buku pedoman operasi dan schedule operasi.
Untuk setiap aplikasi sebaiknya tersedia dokumentasi untuk tiap jenjang user.

Pelatihan atau Training

Adanya penjenjagan berdasarkan kemampuan untuk seluruh lapisan manajemen dan staf, dalam hal penguasaannya atas aplikasi-aplikasi dan kemampuan teknisnya.
Serta rencana pelatihan yang berkesinambungan.

Administrasi

Struktur organisasi dan bagannya, rencana strategis, tanggungjawab fungsional, job description, sejalan dengan metoda job accounting dan/atau charge out yang digunakan.
Termasuk didalamnya pengukuran atas proses pengadaan dan persetujuan untuk semua sumber daya SI.

Pengendalian Lingkungan dan Keamanan Fisik

Listrik, peyejuk udara, penerang ruangan, pengaturan kelembaban, serta kendali akses ke sumber daya informasi.
Pencegahan kebakaran, ketersediaan sumber listrik cadangan,
Juga pengendalian dan backup sarana telekomunikasi.

Operasi

Diprogram untuk merespon permintaan/keperluan SO.
Review atas kelompok SO berdasarkan job schedulling, review yang terus-menerus terhadap operator, retensi terhadap console log message, dokumentasi untuk run/restore/backup atas seluruh aplikasi.
Daftar personel, dan nomor telepon yang harus dihubungi jika muncul masalah SO, penerapan sistem sift dan rotasi serta pengambilan cuti untuk setiap operator.

Telekomunikasi

Review terhadap logical and physical access controls,
Metodologi pengacakan (encryption) terhadap aplikasi electronic data interchange (EDI).
Adanya supervisi yang berkesinambungan terhadap jaringan komputer dan komitmen untuk ketersediaan jaringan tersebut dan juga redundansi saluran telekomunikasi.

Program Libraries

Terdapat pemisahan dan prosedur pengendalian formal untuk application source code dan compiled production program code dengan yang disimpan di application test libraries development.
Terdapat review atas prosedur quality assurance.

Application Support

Bahwa proses tetap dapat berlangsung walaupun terjadi kegagalan sistem.
Sejalan dengan kesinambungan proses untuk inisiasi sistem baru, manajemen proyek, proses pengujian yang menyeluruh antara user dan staf SI.
Adanya review baik formal maupun informal terhadap tingkat kepuasan atas SDLC yang digunakan.

Microcomputer Controls

· Pembatasan yang ketat dalam pengadaan, pengembangan aplikasi, dokumentasi atas aplikasi, produksi maupun aplikasi dengan misi yang kritis, sekuriti logika, dan fisik terhadap microcomputer yang dimiliki,

· Serta pembuatan daftar inventaris atas hardware, software, serta legalitas dari software untuk menghindari tuntutan pelanggaran hak cipta.

Referensi :

http://liapsa.staff.gunadarma.ac.id/Downloads/folder/0.5

0 Comments

Pretest Kendali dan Audit Sistem Informasi (KASI)

Pengendalian internal telah mengalami perubahan dari konsep 'ketersediaan pengendalian' ke konsep 'proses pencapaian tujuan'. Apakah maksud dari konsep 'Proses Pencapaian Tujuan' tersebut?

Jawab:

Pengendalian internal telah mengalami perubahan dari konsep “ketersediaan pengendalian” ke konsep “proses pencapaian tujuan”. Berikut ini penjelasannya.

Pada pokok permasalahannya, proses pencapaian tujuan ini melibatkan pengendalian TI khusus. Pengendalian TI ini bisa didefinisikan sebagai pernyataan hasil yang diinginkan atau maksud yang ingin dicapai sesuai dengan prosedur pengendalian TI khusus.

Adapun tujuan pengendalian internal adalah:

1. Memeriksa ketelitian dan kebenaran data yang menghasilkan laporan-laporan yang dapat diandalkan.

2. Efektivitas dan efesiensi dalam operasi, yaitu efektif dalam mencapai tujuan organisasi secara keseluruhan dan efisien dalam pemakaian sumber daya yang tersedia.

3. Membantu agar tidak terjadi penyimpangan terhadap hokum dan peraturan yang berlaku.

4. Mengamankan harta milik organisasi atau perusahaan termasuk data yang tersedia.

Pengendalian internal memiliki dua macam pendekatan;

A. Pendekatan Statis

1. Berdasarkan pertimbangan pada pembagian wewenang didalam pengelolaan perusahaan atau entitas pada masa lalu yang bersifat sentralisasi.

2. Metoda sentralisasi artinya bahwa intelektualitas berada pada pucuk pimpinan perusahaan. Semakin rendah posisi seseorang, maka semakin sedikit pengetahuannya tentang pencapaian tujuan perusahaan atau hanya sekedar menjalankan perintahnya saja.

3. Pendekatan statis ini akan berorientasi pada sistem yang dapat dengan mudah ditelusuri keberadaannya.

B. Pendekatan Dinamis

1. Pengendalian internal sebagai sebuah proses.

2. Konsep ini terkait dengan perubahan metoda pengelolaan sumber daya pada organisasi yang bersangkutan.

3. Perubahan metoda pengelolaan tersebut adalah metoda pengelolaan manajemen melalui kekuasaan ke metoda pengelolaan manajemen melalui tujuan.

4. Hal tersebut didorong oleh:

- Peningkatan kualitas SDM, sehingga intensitas (penggunaan berlebihan) pengendalian intern dapat dikurangi.

- Spesialisasi, dapat meningkatkan kinerja seseorang.

- Kepuasan kerja dapat meningkatkan produktivitas.

- Persaingan yang ketat membutuhkan pengembilan keputusan yang cepat.

Berdasarkan perkembangan di bidang SDM tersebut, konsep pengendalian intern mengalami perubahan dari konsep ketersediaan pengendalian intern beralih ke konsep proses pencapaian tujuan.

Dari konsep baru tersebut, intelektualitas tidak lagi terletak pada pucuk pimpinan, melainkan terletak di lapisan bawah. Mereka yang dekat dengan konsumenlah yang paling mengerti kebutuhan pasar. Peran manager diperlukan sebagai konduktor untuk menjaga keseimbangan permintaan dari konsumen dan juga kegiatan yang dilakukan oleh bagian operasional. Manager tersebut harus memiliki pengetahuan teknis seperti pegawai biasanya, untuk mengatur aktivitas operasional agar berjalan dengan seharusnya.

Sumber : farida.staff.gunadarma.ac.id/Downloads/files/16724/Bab-7-Kendali-dan-Audit-SI-_KASI_.pdf

0 Comments

Tugas Audit TI dan Keamanan Komputer

1. Jelaskan apa kaitannya antara audit TI dan keamanan komputer!

· Audit mungkin dilakukan dalam suatu jenis operasional perusahaan, compliance, pengembangan sistem, pengawasan intern, keuangan, dan audit kecurangan. Beberapa tipe dari audit yaitu :

· Audit operasional mempunyai kaitan dengan efisiensi dan efektivitas dengan mana semua sumber daya yang digunakan untuk memenuhi tugas, seperti halnya tingkat untuk praktek dan memeriksa prosedur sesuai dengan kebijakan yang ditetapkan.

· Audit complience mempunyai kaitan dengan tingkat hukum, peraturan bidang pemerintah, kendali, dan kewajiban lain ke badan eksternal yang telah diikuti.

· Audit manajemen proyek dan audit kontrol mempunyai kaitan dengan efisiensi dan dengan mana berbagai tahap dari jalan kehidupan pengembangan sistem sedang diselenggarakan.

· Audit internal control mempunyai kaitan dengan mengevaluasi struktur pengendalian intern.

· Audit keuangan mempunyai kaitan dengan kewajaran laporan keuangan yang menyajikan posisi keuangan perusahaan, hasil operasi, dan arus kas.

· Audit penipuan (fraud) adalah suatu audit non-recurring yang diselenggarakan untuk mengumpulkan bukti, untuk menentukan jika penipuan sedang terjadi, telah terjadi, atau akan terjadi, dan untuk memecahkan perihal dengan tanggung jawab penyematan.

2. Apa yang dimaksud dengan aspek availability, integrity, dan confidentiality!

Ø Availability

Availability merupakan aspek yang menjamin bahwa data tersedia ketika dibutuhkan. Dapat dibayangkan efek yang terjadi ketika proses penawaran sedang dilangsungkan ternyata sistem tidak dapat diakses sehingga penawaran tidak dapat diterima. Ada kemungkinan pihak-pihak yang dirugikan karena tidak dapat mengirimkan penawaran, misalnya.Hilangnya layanan dapat disebabkan oleh berbagai hal, mulai dari benca alam (kebakaran, banjir, gempa bumi), ke kesalahan sistem (server rusak, disk rusak, jaringan putus), sampai ke upaya pengrusakan yang dilakukan secara sadar (attack). Pengamanan terhadap ancaman ini dapat dilakukan dengan menggunakan sistem backup dan menyediakan disaster recovery center (DRC) yang dilengkapi dengan panduan untuk melakukan pemulihan (disaster recovery plan).

Ø Integrity

Integrity merupakan aspek yang menjamin bahwa data tidak boleh berubah tanpa ijin pihak yang berwenang (authorized). Untuk aplikasi e-procurement, aspek integrity ini sangat penting. Data yang telah dikirimkan tidak dapat diubah oleh pihak yang berwenang. Pelanggaran terhadap hal ini akan berakibat tidak berfungsinya sistem e-procurement.Secara teknis ada banyak cara untuk menjamin aspek integrity ini, seperi misalnya dengan menggunakan messange authentication code, hash function, digital signature.

Ø Confidentiality

Confidentiality merupakan aspek yang menjamin kerahasiaan data atau informasi. Sistem yang digunakan untuk mengimplementasikan e-procurement harus dapat menjamin kerahasiaan data yang dikirim, diterima dan disimpan. Bocornya informasi dapat berakibat batalnya proses pengadaan.Kerahasiaan ini dapat diimplementasikan dengan berbagai cara, seperti misalnya menggunakan teknologi kriptografi dengan melakukan proses enkripsi (penyandian, pengkodean) pada transmisi data, pengolahan data (aplikasi dan database), dan penyimpanan data (storage). Teknologi kriptografi dapat mempersulit pembacaan data tersebut bagi pihak yang tidak berhak.Seringkali perancang dan implementor dari sistem informasi atau sistem transaksi elektronik lalai dalam menerapkan pengamanan. Umumnya pengamanan ini baru diperhatikan pada tahap akhir saja sehingga pengamanan lebih sulit diintegrasikan dengan sistem yang ada. Penambahan pada tahap akhir ini menyebabkan sistem menjadi tambal sulam. Akibat lain dari hal ini adalah adanya biaya yang lebih mahal daripada jika pengamanan sudah dipikirkan dan diimplementasikan sejak awal.Akses terhadap informasi juga harus dilakukan dengan melalui mekanisme otorisasi (authorization) yang ketat. Tingkat keamanan dari mekanisme otorisasi bergantung kepada tingkat kerahasiaan data yang diinginkan.

3. Berikan contoh audit TI yang berkaitan dengan aspek availability!

Hilangnya layanan dapat disebabkan oleh berbagai hal, mulai dari benca alam (kebakaran, banjir, gempa bumi), ke kesalahan sistem (server rusak, disk rusak, jaringan putus), sampai ke upaya pengrusakan yang dilakukan secara sadar (attack). Pengamanan terhadap ancaman ini dapat dilakukan dengan menggunakan sistem backup dan menyediakan disaster recovery center (DRC) yang dilengkapi dengan panduan untuk melakukan pemulihan (disaster recovery plan).

Sumber ;http://budi.paume.itb.ac.id/articles/e-procurement-security.doc

0 Comments