Keamanan dan Kontrol Sistem Informasi

Keamanan dan Kontrol Sistem Informasi

A. Pentingnya pengendalian Sistem Informasi.
Definisi Audit Sistem Informasi adalah suatu proses pengumpulan dan pengevalusian bukti-bukti yang dilakukan oleh pihak yang independen dan kompeten untuk mengetahui apakah suatu sistem informasi dan sumber daya terkait, secara memadai telah dapat :
untuk melindungi aset,
1. menjaga integritas dan ketersediaan sistem dan data,
2. menyediakan informasi yang relevan dan handal,
3. mencapai tujuan organisasi dengan efektif,
4. menggunakan sumber daya dengan efisien,

Proses Audit Sistem Informasi
Proses audit sistem informasi yang berbasis risiko serta sesuai dengan standar audit dapat digambarkan secara singkat sebagai berikut :
Pada tahap survei pendahuluan, auditor akan berusaha untuk memperoleh gambaran umum dari lingkungan TIK yang akan diaudit. Kemudian dilanjutkan dengan pemahaman yang lebih mendalam dari seluruh sumber daya TIK – infrastruktur, aplikasi, informasi, personil – yang termasuk ke dalam lingkup audit, serta pemahaman atas sistem pengendalian intern TIK yang ada seperti struktur organisasi, kebijakan, prosedur, standar, parameter, dan alat bantu kendali lainnya.

Selanjutnya auditor akan melakukan analisis risiko pendahuluan untuk mengidentifikasi berbagai risiko yang mungkin timbul di lingkungan TIK yang diaudit serta kelayakan rancangan pengendalian intern TIK yang telah ada. Jika rancangan pengendalian intern TIK dipandang memadai maka auditor selanjutnya akan melakukan pengujian dari pelaksanaan kendali-kendali tersebut, namun jika dipandang tidak layak maka auditor akan langsung melakukan pengujian terinci terhadap risiko TIK secara mendalam (dengan jumlah sampel yang cukup besar).
Setelah melakukan pengujian pengendalian intern TIK dan auditor telah memperoleh bukti yang memadai bahwa pengendalian intern TIK telah dilaksanakan sesuai rancangannya maka selanjutnya auditor akan melakukan pengujian terinci atas risiko TIK secara terbatas (dengan jumlah sampel yang terbatas). Namun jika hasil pengujian pengendalian intern TIK menunjukkan bahwa pelaksanaan pengendalian intern TIK tidak sesuai dengan rancangannya maka auditor akan melakukan pengujian terinci risiko TIK secara mendalam.
Bukti-bukti yang diperoleh auditor dari hasil analisis risiko dan rancangan kendali serta pengujian pengendalian intern TIK dan pengujian terinci risiko TIK selanjutnya akan digunakan oleh auditor untuk menyusun laporan audit sistem informasi yang memuat kesimpulan audit beserta tanggapan dari pihak yang diaudit atas rekomendasi yang disampaikan oleh auditor dalam rangka peningkatan pengendalian intern TIK.

B. Tujuan dan Lingkup Audit Sistem Informasi
Tujuan Audit Sistem Informasi dapat dikelompokkan ke dalam dua aspek utama dari ketatakelolaan TIK, yaitu :
1. Conformance (Kesesuaian) – Pada kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas aspek kesesuaian, yaitu : Confidentiality (Kerahasiaan), Integrity (Integritas), Availability (Ketersediaan) dan Compliance (Kepatuhan).
2. Performance (Kinerja) – Pada kelompok tujuan ini audit sistem informasi difokuskan untuk memperoleh kesimpulan atas aspek kinerja, yaitu : Effectiveness (Efektifitas), Efficiency (Efisiensi), Reliability (Kehandalan).
Lingkup Audit Sistem Informasi pada umumnya difokuskan kepada seluruh sumber daya TIK yang ada, yaitu Aplikasi, Informasi, Infrastruktur dan Personil.

Untuk lebih praktisnya, berikut ini adalah beberapa tujuan audit sistem informasi yang pernah dilakukan, antara lain :
a. Evaluasi atas kesesuaian (strategic alignment) antara rencana strategis dan rencana tahunan organisasi dengan rencana strategis TIK, rencana tahunan TIK dan rencana proyek/program TIK.
b. Evaluasi atas kelayakan struktur organisasi TIK, termasuk pemisahan fungsi (segregation of duties) dan kelayakan pelimpahan wewenang dan otoritas (delegation of authority).
c. Evaluasi atas pengelolaan personil TIK, termasuk perencanaan kebutuhan, rekrutmen dan seleksi, pelatihan dan pendidikan, promosi/demosi/mutasi, serta terminasi personil TIK.
d. Evaluasi atas pengembangan TIK, termasuk analisis kebutuhan, perancangan, pengembangan, pengujian, implementasi dan migrasi, pelatihan dan dokumentasi TIK, serta manajemen perubahaan.
e. Evaluasi atas kegiatan operasional TIK, termasuk pengelolaan keamanan dan kinerja pengelolaan pusat data (data center), pengelolaan keamanan dan kinerja jaringan data, dan pengelolaan masalah dan insiden TIK serta dukungan pengguna (helpdesk).
f. Evaluasi atas kontinuitas layanan TIK, termasuk pengelolaan backup & recovery, pengelolaan prosedur darurat TIK (IT emergency plan), pengelolaan rencana pemulihan layanan TIK (IT recovery plan), serta pengujian rencana kontijensi operasional (business contigency/continuity plan).
g. Evaluasi atas kualitas pengendalian aplikasi, termasuk pengendalian input, pengendalian proses dan pengendalian output.
h. Evaluasi atas kualitas data/informasi, termasuk pengujian atas kelengkapan dan akurasi data yang dimasukkan, diproses, dan dihasilkan oleh sistem informasi.

C. Kontrol Proses Pengembangan Sistem Informasi
Proses audit sistem informasi yang berbasis risiko serta sesuai dengan standar audit dapat digambarkan secara singkat sebagai berikut :
Pada tahap survei pendahuluan, auditor akan berusaha untuk memperoleh gambaran umum dari lingkungan TIK yang akan diaudit. Kemudian dilanjutkan dengan pemahaman yang lebih mendalam dari seluruh sumber daya TIK – infrastruktur, aplikasi, informasi, personil – yang termasuk ke dalam lingkup audit, serta pemahaman atas sistem pengendalian intern TIK yang ada seperti struktur organisasi, kebijakan, prosedur, standar, parameter, dan alat bantu kendali lainnya.

Selanjutnya auditor akan melakukan analisis risiko pendahuluan untuk mengidentifikasi berbagai risiko yang mungkin timbul di lingkungan TIK yang diaudit serta kelayakan rancangan pengendalian intern TIK yang telah ada. Jika rancangan pengendalian intern TIK dipandang memadai maka auditor selanjutnya akan melakukan pengujian dari pelaksanaan kendali-kendali tersebut, namun jika dipandang tidak layak maka auditor akan langsung melakukan pengujian terinci terhadap risiko TIK secara mendalam (dengan jumlah sampel yang cukup besar).Setelah melakukan pengujian pengendalian intern TIK dan auditor telah memperoleh bukti yang memadai bahwa pengendalian intern TIK telah dilaksanakan sesuai rancangannya maka selanjutnya auditor akan melakukan pengujian terinci atas risiko TIK secara terbatas (dengan jumlah sampel yang terbatas). Namun jika hasil pengujian pengendalian intern TIK menunjukkan bahwa pelaksanaan pengendalian intern TIK tidak sesuai dengan rancangannya maka auditor akan melakukan pengujian terinci risiko TIK secara mendalam.
Bukti-bukti yang diperoleh auditor dari hasil analisis risiko dan rancangan kendali serta pengujian pengendalian intern TIK dan pengujian terinci risiko TIK selanjutnya akan digunakan oleh auditor untuk menyusun laporan audit sistem informasi yang memuat kesimpulan audit beserta tanggapan dari pihak yang diaudit atas rekomendasi yang disampaikan oleh auditor dalam rangka peningkatan pengendalian intern TIK.

D. Kontrol Desain Sistem
1. Subsistem Perangkat Keras ; menyiapkan output informasi yang menjelaskan sumber daya perangkat keras. Perangkat Lunak yang digunakan dalam subsistem ini dapat berupa query language, pembuatan laporan dan model matematika.
2. Subsistem Perangkat Lunak ; menyiapkan output informasi yang menjelaskan sumber daya perangkat lunak. Output informasi terutama berbentuk jawaban atas database query dan laporan periodik.
3. Subsistem Sumber Daya Manusia ; menyediakan informasi tentang para spesialis informasi perusahaan.
4. Subsistem Data dan Informasi ; menyiapkan output yang menjelaskan sumber daya data dan informasi yang berada di database pusat.
5. Subsistem Sumber Daya Terintegrasi ; menyatukan informasi yang menjelaskan sumber daya hardware, software, SDM serta data dan informasi.

E. Kontrol Pengoperasian Sistem
• Struktur organisasional
• Kontrol perpustakaan
• Pemeliharaan peralatan
• Kontrol lingkungan dan kemanan fasilitas
• Perencanaan disaster, meliputi area :
• Rencana keadaan darurat (emergency plan)
• Rencana back-up
• Rencana record penting (vital record plan)
• Rencana recovery (recovery plan)