Tugas Paper : Arround The Computer dan Through The Computer

Perbedaan Audit around the computer dan through the computer


Pengertian Audit
Audit atau pemeriksaan dalam arti luas bermakna evaluasi terhadap suatu organisasi, sistem, proses, atau produk. Audit dilaksanakan oleh pihak yang kompeten, objektif, dan tidak memihak, yang disebut auditor. Tujuannya adalah untuk melakukan verifikasi bahwa subjek dari audit telah diselesaikan atau berjalan sesuai dengan standar, regulasi, dan praktik yang telah disetujui dan diterima.

Auditing-through the computer
Yaitu audit terhadap suatu penyelenggaraan sistem informasi berbasis komputer dengan menggunakan fasilitas komputer yang sama dengan yang digunakan dalam pemrosesan data. pendekatan audit ini berorientasi computer yang secara langsung berfokus pada operasi pemrosesan dalam system computer dengan asumsi bila terdapat pengendalian yang memadai dalam pemrosesan, maka kesalahan dan penyalahgunaan dapat dideteksi. Pendekatan ini dapat menggunakan perangkat lunak dalam bentuk specialized audit software (SAS) dan generalized audit software (GAS).
Pendekatan Audit ini digunakan bila pendekatan Auditing Around the Computer tidak cocok atau tidak mencukupi. Pendekatan ini dapat diterapkan bersama-sama dengan pendekatan Auditing Around the Computer untuk memberikan kepastian yang lebih besar.

Definisi Audit Through the computer
Audit ini berbasis komputer, dimana dalam pendekatan ini auditor melakukan pemeriksaan langsung terhadap program-program dan file-file komputer pada audit sistem informasi berbasis komputer. Auditor menggunakan komputer (software bantu) atau dengan cek logika atau listing program untuk menguji logika program dalam rangka pengujian pengendalian yang ada dalam komputer.
Bagaimana caranya untuk pendekatan Audit Through the computer ? Dipenjelasan ini akan dijelaskan mengenai caranya atau tahapanya yaitu dilakukan dalam kondisi :

1. Sistem aplikasi komputer memproses input yang cukup besar dan menghasilkan output yang cukup besar pula, sehingga memperuas audit untuk meneliti keabsahannya. Maksudnya adalah dari suatu sistem aplikasi komputernya dapat memproses suatu hasil input & outputan yang besar sehingga dapat meneliti seteliti mungkin.

2. Bagian penting dari struktur pengendalian intern perusahaan terdapat di dalam komputerisasi yang digunakan. Maksudnya adalah suatu bagian yang sangat penting dari suatu struktur pengendalianya adalah dari pihak dalam perusahaan yang terdapat suatu komputer di dalamnya.


Dari kedua istilah diatas bisa disimpulkan bahwa, kedua audit jelas berbeda jika dilihat dari cara pengerjaannya. Dimana jika menggunakan cara Around The Computer sang auditor tidak hanya mengerjakannya melalui komputer saja, dan sebaliknya jika menggunakan cara Through The Computer sang auditor mengerjakan auditnya menggunakan komputer.

Contoh prosedur kerja IT Audit dan forensik
Dengan semakin berkembanganya dunia IT semakin banyak pula oknum-oknum yang tidak bertanggungjawab menyalahgunakan IT untuk kepentingan diri sendiri dan merugikan banyak pihak.
IT Forensic adalah bagian kepolisian yang menelusuri kejahatan-kejahatan dalam dunia computer/internet. Komputer forensik yang juga dikenal dengan nama digital forensik, adalah salah satu cabang ilmu foreksik yang berkaitan dengan bukti legal yang ditemui pada komputer dan media penyimpanan digital.Tujuan dari komputer forensik adalah untuk menjabarkan keadaan kini dari suatu artefak digital. Istilah artefak digital bisa mencakup sebuah sistem komputer, media penyimpanan (seperti flash disk, hard disk, atau CD-ROM), sebuah dokumen elektronik (misalnya sebuah pesan email atau gambar JPEG), atau bahkan sederetan paket yang berpindah dalam jaringan komputer.
IT forensic Bertujuan untuk mendapatkan fakta-fakta obyektif dari sebuah insiden / pelanggaran keamanan sistem informasi. Fakta-fakta tersebut setelah diverifikasi akan menjadi bukti-bukti (evidence) yang akan digunakan dalam proses hukum.

Contoh Prosedur dan Lembar Kerja Audit

PROSEDUR IT AUDIT: 
●Kontrol lingkungan:
1. Apakah kebijakan keamanan (security policy) memadai dan efektif ?
2. Jika data dipegang oleh vendor, periksa laporan ttg kebijakan dan prosedural yg terikini dr external auditor
3. Jika sistem dibeli dari vendor, periksa kestabilan finansial
4. Memeriksa persetujuan lisen (license agreement)

●Kontrol keamanan fisik
5. Periksa apakah keamanan fisik perangkat keras dan penyimpanan data memadai
6. Periksa apakah backup administrator keamanan sudah memadai (trained,tested)
7. Periksa apakah rencana kelanjutan bisnis memadai dan efektif
8. Periksa apakah asuransi perangkat-keras, OS, aplikasi, dan data memadai

●Kontrol keamanan logikal
9. Periksa apakah password memadai dan perubahannya dilakukan reguler
10.Apakah administrator keamanan memprint akses kontrol setiap user

CONTOH – CONTOH
– Internal IT Deparment Outputnya Solusi teknologi meningkat, menyeluruh & mendalam dan Fokus kepada global, menuju ke standard2 yang diakui.
– External IT Consultant Outputnya Rekrutmen staff, teknologi baru dan kompleksitasnya Outsourcing yang tepat dan Benchmark / Best-Practices

CONTOH METODOLOGI AUDIT IT
BSI (Bundesamt für Sicherheit in der Informationstechnik)
● IT Baseline Protection Manual (IT- Grundschutzhandbuch )
● Dikembangkan oleh GISA: German Information Security Agency
● Digunakan: evaluasi konsep keamanan & manual
● Metodologi evaluasi tidak dijelaskan
● Mudah digunakan dan sangat detail sekali
● Tidak cocok untuk analisis resiko
● Representasi tdk dalam grafik yg mudah dibaca
Tools yang digunakan untuk Audit IT dan Audit Forensik
● Hardware:
– Harddisk IDE & SCSI. kapasitas sangat besar, CD-R,DVR drives
– Memori yang besar (1-2GB RAM)
– Hub, Switch, keperluan LAN
– Legacy hardware (8088s, Amiga, …)
– Laptop forensic workstations
● Software
– Viewers (QVP http://www.avantstar.com dan http://www.thumbsplus.de
– Erase/Unerase tools: Diskscrub/Norton utilities)
– Hash utility (MD5, SHA1)
– Text search utilities (search di http://www.dtsearch.com/)
– Drive imaging utilities (Ghost, Snapback, Safeback,…)
– Forensic toolkits. Unix/Linux: TCT The Coroners Toolkit/ForensiX dan Windows: Forensic Toolkit 
 Disk editors (Winhex,…) 
– Forensic acquisition tools (DriveSpy, EnCase, Safeback, SnapCopy,…) 
– Write-blocking tools (FastBloc http://www.guidancesoftware.com) untuk memproteksi bukti bukti.



IT Audit Trail, Trail Time Audit, IT Forensik



v  Audit Trail
Audit trail sebagai “yang menunjukkan catatan yang telah mengakses sistem operasi komputer dan apa yang dia telah dilakukan selama periode waktu tertentu”. Dalam telekomunikasi, istilah ini berarti catatan baik akses selesai dan berusaha dan jasa, atau data membentuk suatu alur yang logis menghubungkan urutan peristiwa, yang digunakan untuk melacak transaksi  yang  telah  mempengaruhi  isi  record.  Dalam  informasi  atau  keamanan  komunikasi,  audit informasi berarti catatan kronologis kegiatan sistem untuk memungkinkan rekonstruksi dan pemeriksaan dari urutan peristiwa dan / atau perubahan dalam suatu acara.

Dalam penelitian keperawatan, itu mengacu pada tindakan mempertahankan log berjalan atau jurnal dari keputusan yang berkaitan dengan sebuah proyek penelitian, sehingga membuat jelas langkah-langkah yang diambil dan perubahan yang dibuat pada protokol asli. Dalam  akuntansi,   mengacu  pada  dokumentasi  transaksi  rinci  mendukung   entri  ringkasan  buku. Dokumentasi ini mungkin pada catatan kertas atau elektronik. Proses yang menciptakan jejak audit harus selalu berjalan dalam mode istimewa, sehingga dapat mengakses dan mengawasi semua tindakan dari semua pengguna, dan user normal tidak bisa berhenti / mengubahnya.  Selanjutnya,  untuk alasan yang sama, berkas jejak atau tabel database dengan jejak tidak boleh diakses oleh pengguna normal. Dalam apa yang berhubungan dengan audit trail, itu juga sangat penting untuk mempertimbangkan isu- isu tanggung jawab dari jejak audit Anda, sebanyak dalam kasus sengketa, jejak audit ini dapat dijadikan sebagai bukti atas kejadian beberapa.

Perangkat lunak ini dapat beroperasi dengan kontrol tertutup dilingkarkan, atau sebagai sebuah ‘sistem tertutup,  ”seperti  yang  disyaratkan  oleh banyak  perusahaan  ketika  menggunakan  sistem  Audit  Trail.

v  Real Time Audit
Dari beberapa sumber yang didapat yang dimaksud dengan Real Time Audit (RTA) adalah suatu sistem untuk mengawasi teknis dan keuangan sehingga dapat memberikan penilaian yang transparan status saat ini dari semua kegiatan dengan mengkombinasikan prosedur sederhana atau logis untuk merencanakan dan melakukan dana kegiatan, siklus proyek pendekatan untuk memantau kegiatan yang sedang berlangsung, dan penilaian termasuk cara mencegah pengeluaran yang tidak sesuai. Audit IT lebih dikenal dengan istilah EDP Auditing (Electronic Data Processing) yang digunakan untuk menguraikan dua jenis aktifitas yang berkaitan dengan komputer. Salah satu penggunaan istilah tersebut adalah untuk menjelaskan proses penelahan dan evaluasi pengendalian-pengendalian internal dalam EDP. Pada audit IT sendiri berhubungan dengan berbagai macam-macam ilmu, antara lain Traditional Audit, Manajemen Sistem Informasi, Sistem Informasi Akuntansi, Ilmu Komputer, dan Behavioral Science. Tujuan dari audit IT adalah untuk meninjau dan mengevaluasi faktor-faktor ketersediaan (availability), kerahasiaan (confidentiality), dan keutuhan (integrity) dari sistem informasi organisasi yang bersifat online atau real time. Pada Real Time Audit (RTA) dapat juga menyediakan teknik ideal untuk memungkinkan mereka yang bertanggung jawab untuk meningkatkan kinerja karena sistem ini tidak mengganggu atau investor dapat memperoleh informasi yang mereka butuhkan tanpa menuntut waktu manajer.

v  IT Forensics
IT Forensik adalah cabang dari ilmu komputer tetapi menjurus ke bagian forensik yaitu berkaitan dengan bukti hukum yang ditemukan di komputer dan media penyimpanan digital. Komputer forensik juga dikenal sebagai Digital Forensik yang terdiri dari aplikasi dari ilmu pengetahuan kepada indetifikasi, koleksi, analisa, dan pengujian dari bukti digital.

 IT Forensik adalah penggunaan sekumpulan prosedur untuk melakukan pengujian secara menyeluruh suatu sistem komputer dengan mempergunakan software dan tool untuk memelihara barang bukti tindakan kriminal. IT forensik dapat menjelaskan keadaan artefak digital terkini. Artefak Digital dapat mencakup sistem komputer, media penyimpanan (seperti hard disk atau CD-ROM, dokumen elektronik (misalnya pesan email atau gambar JPEG) atau bahkan paket-paket yang secara berurutan bergerak melalui jaringan. Bidang IT Forensik juga memiliki cabang-cabang di dalamnya seperti firewall forensik, forensik jaringan , database forensik, dan forensik perangkat mobile.

Tujuan IT Forensik
*      Mendapatkan fakta-fakta obyektif dari sebuah insiden / pelanggaran keamanan sistem informasi. Fakta-fakta tersebut setelah diverifikasi akan menjadi bukti-bukti (evidence) yang akan digunakan dalam proses hukum.
*      Mengamankan dan menganalisa bukti digital. Dari data yang diperoleh melalui survey oleh FBI dan The Computer Security Institute, pada tahun 1999 mengatakan bahwa 51% responden mengakui bahwa mereka telah menderita kerugian terutama dalam bidang finansial akibat kejahatan komputer. Kejahatan Komputer dibagi menjadi dua, yaitu :
1.    Komputer fraud : kejahatan atau pelanggaran dari segi sistem organisasi komputer.
2.    Komputer crime: kegiatan berbahaya dimana menggunakan media komputer dalam melakukan pelanggaran hukum
   
Alasan Penggunaan IT Forensik
ü  Dalam kasus hukum, teknik komputer forensik sering digunakan untuk menganalisis sistem komputer milik terdakwa (dalam kasus pidana) atau milik penggugat (dalam kasus perdata).
ü  Untuk memulihkan data jika terjadi kegagalan atau kesalahanhardware atau software.
ü  Untuk menganalisa sebuah sistem komputer setelah terjadi perampokan, misalnya untuk menentukan bagaimana penyerang memperoleh akses dan apa yang penyerang itu lakukan.
ü  Untuk mengumpulkan bukti untuk melawan seorang karyawan yang ingin diberhentikan oleh organisasi.
ü  Untuk mendapatkan informasi tentang bagaimana sistem komputer bekerja untuk tujuan debugging, optimasi kinerja, ataureverse-engineering.



Sumber :

Jenis-Jenis Ancaman (Threats) Melalui IT dan Kasus-Kasus Cyber Crime Lainnya



Berikut ini jenis-jenis ancaman di bidang IT dan kasus computer crime/cyber crime :
Ø  Kasus Cybercrime yang sering Terjadi di Indonesia (As’ad Yusuf):
1.    Pencurian nomor kartu kredit
2.    Pengambilalihan situs web milik orang lain
3.    Pencurian akses internet yang sering dialami oleh ISP
4.    Kejahatan nama domain
5.    Persaingan bisnis dengan menimbulkan gangguan bagi situs saingannya.

Ø  Bentuk kejahatan yang berhubungan erat Modus Kejahatan Cybercrime dengan penggunaan TI Indonesia (Roy Suryo):
1.    Unauthorized Access to Computer System
ü  Pencurian nomor kredit and Service
ü  Memasuki, memodifikasi, atau merusak
2.    Illegal Contents; homepage (hacking)
3.    Data Forgery
ü  Penyerangan situs atau e-mail melalui
4.    Cyber Espionage;virus atau spamming
5.    Cyber Sabotage and Extortion
6.    Offense Against Intellectual Property
7.    Infringement of Privacy

Sistem keamanan yang berkaitan dengan Tipenya cybercrime menurut Philip masalah keuangan dan e-commerce:
1.    Joy computing, yaitu pemakaian komputer orang lain tanpa izin
2.    Data keuangan dapat dicuri atau diubah oleh
3.    Hacking, yaitu mengakses secara tidak sah atau tanpa izin dengan alat suatu terminal intruder atau hacker
4.    The trojan horse, yaitu manipulasi data atau program dengan jalan mengubah data atau intsruksi pada sebuah program
5.    Dana atau kas disalahgunakan oleh petugas menambah, menjadikan tidak terjangkau, dengan tujuan yang memegangnya kepentingan pribadi atau orang lain
6.    Data leakage, yaitu menyangkut pembocoran data ke luar terutama
7.    Pemalsuan uang, mengenai data yang harus dirahasiakan
8.    Data diddling, yaitu suatu perbuatan yang mengubah data valid atau
9.    Seseorang dapat berpura-pura sebagai orang sah dengan cara tidak sah, mengubah input data atau output data.
10. To frustate data communication atau penyia-nyiaan data komputer lain dan melakukan transaksi keuangan atas
11. Software piracy, yaitu pembajakan software terhadap hak cipta yang nama orang lain tersebut. dilindungi Hak atas Kekayaan Intelektual (HaKI)

Pages