Auditing It Governance Controls

AUDITING IT GOVERNANCE CONTROLS

A.

Informatio Infor mation n Techno echnology logy Gove Governance rnance  Tujuan  T ujuan utama dari tata kelola kelola TI TI adalah untuk untuk :

mengurangi risiko memastikan bahwa investasi dalam sumber daya TI menambah nilai bagi perusahaan. Sebelum Sebe lum SOX Act praktek praktek umum mengenai mengenai inve investas stasii pada

TI adalah adalah men menyera yerahka hkan n semu semua a

keputusan keputu san kepada pro!esional pro!esional TI. Sekara Sekarang ng semua elemen organisasi dituntut akti! berpartisipasi berpartisipasi dalam perencanaan s.d pengembangan TI. a.IT Governance Control "ased on SOX dan #OSO ada $ isu tata kelola IT: •

tr!ct!re o! Organi%ational tr!ct!re  o! the IT !unction

•

center operations #omputer center  operations

•

recovery planning &isaster recovery  planning

".

Str!ct!re Str!ct !re of the Infor Informatio mation n Techno echnology logy

a. Central Centrali#e$ i#e$ Data %roceing %roc eing "erdasarkan model pengolahan data terpusat semua pemrosesan data dilakukan oleh satu atau lebih lebi h ko komput mputer er yang lebih besar bert bertempa empatt di situ situs s pusa pusatt yang melayani melayani peng pengguna guna di selu seluruh ruh organisasi. •

&"A: #entral 'ocation Shared. &"A n teamnya responsible pada keamanan dan integritas database.

•

(emrosesan &ata mengelola S&IT terdiri dari:



)onversi &ata: *ard#opy to So!t#opy +inputable to computer,



Operasi )omputer: memproses hasil konversi melalui suatu aplikasi



&ata 'ibrary: Storage o-ine data/ 0eal Time data (rocesing dan direct acces mengurangi peran &'

•

Sys &ev and 1aintenis: Analisis kebutuhan partisipasi dalam desain sistem baru +(ro!esional 2nd 3sers 3ser s dan Stakehold Stakeholder,. er,. 1enjaga 1enjaga sist sistem em ber berope operasi rasi sesuai kebutuh kebutuhan an 45657 cost

dalam dal am IT

biasanya ada pada maintanance +tidak hanya soal merawat8membersihkan *9 namun lebih kepada tambal sulam SI. 1asalah control yang harus diperhatikan dalam proses data tersentralisasi adalah pengamanan &". )arena jika accesnya lemah maka seluruh in!ormasi dapat terpapar resiko bentuk topologi jaringan  juga mempengaruhi mempengaruhi keandalan keandalan data in!ormasi. in!ormasi. *al ini ini akan akan lebih jelas jelas di appendi. appendi. &.Segregation of Incom'ati&le IT (!nction

(emisahan antara suatu !ungsi tertentu demi menjaga I# yang baik:  Sys

&ev pisahkan dengan Operasional

 &"A  Sys 

;sahkan dari unit lain

&ev pisahkan dengan 1aintanance +merupakan superior structure, karena adanya resiko: Inade


(rogram =raud: unauthori%ed change karena programer !aham seluk beluk operasi normal.

c. The &istributed 1odel Small power!ul and inepensive systems. &is&ata(roc +&&(, melibatkan reorganisasi !ungsi IT pusat ke IT unit kecil yang ditempatkan di bawah kendali pengguna akhir +2nd 3sers,. 3nit IT dapat didistribusikan menurut !ungsi bisnis lokasi geogra;s atau keduanya. •

0esikonya mnggunakan model &&(:

tidak e;siennya penggunaan sumber daya perusakan jejak

audit pemisahan tugas kurang memadai meningkatkan potensi kesalahan pemrograman dan kegagalan sistem serta kurangnya standarisasi. •

)euntungannya termasuk pengurangan biaya peningkatan kontrol biaya meningkatkan kepuasan pengguna dan adanya >eksibilitas dalam backup sistem.

d. #ontrolling the &&( 2nvironment •

#entral Testing o! #ommercial So!tware and *ardware diuji dipusat

•

3ser Services/ ada #hat room =A? Intranet support dll

•

StandardSetting "ody / untuk improve keseragaman prog and doc

•

(ersonnel 0eview/ ada assesment. Audit O&)ective: Tujuan auditor adalah untuk memastikan bahwa struktur !ungsi TI adalah sedemikian rupa sehingga individu di daerah yang tidak kompatibel dipisahkan sesuai dengan tingkat potensi risiko dan dengan suatu cara yang mempromosikan lingkungan kerja yang kondusi!. Audit %roce$!re: #entrali%ed

•

 Tinjau dokumentasi yang relevan untuk menentukan apakah individu atau kelompok yang melakukan !ungsi!ungsi yang tidak kompatibel.

•

0eview catatan pemeliharaanveri;kasi bahwa programmer pemeliharaan tertentu tidakmerangkap programer desain.

•

(astikan bahwa operator komputer tidak memiliki akses ke logic sistem dokumentasi seperti sistem diagram alur logika diagram alur dan da!tar kode program.

•

0eview akses programer untuk alasan selain kegagalan sistem &istributed

•

 Tinjau bagan organisasi saat ini  pernyataan misi  dan uraian tugas

 incompatible duties .



@ (astikan bahwa desain sistem dokumentasihardware dan perangkat lunak hasil akuisisi diterbitkan dan diberikan to unit TI. @ (astikan kontrol kompensasi /supervisi monitoring @ &okumentasi sistem aplikasi  prosedur  dan databasesare dirancang dan ber!ungsi sesuai dengan standar perusahaan .

&alam sistem terdistribusi pemrosesan dan pengamanan data disebar ke berbagai titik pengamanan menjadi di banyak pintu namun tersebar resikonya tidak seluruh titik memiliki pengamanan yang sama. &alam topologi STA0 lebih aman karena kalo satu mati yg lain relati! tidak terganggu sedang pada Topologi "3S jika satu titik mati akan menggangu yang lain meskipun secara umum keunggulanya dia lebih cepat dan murah. Sayangnya sistem "us akan rentan tabrakan data +lebih lengkap di appendi, !okus auditor adalah kepada seringnya sistem down atau kerusakan jaringan maupun so!tware yang mengakibatkan gangguan komunikasi dan pada database resiko ini berbeda dalam masing topologi jaringan. C.The Com'!ter Center a. (hysical 'ocation : Antisipasi bencana alam maupun manusia cari lokasi yang aman. b. #onstruction : kontruksi !asilitas IT/ tunggal acces terbatas dan ;ltrasi bagus. c. Access : 'I1IT2& d. Air #onditioning : Ade
0edundant arrays o! independent disks +0AI&,/data

•

3(S/'istrik

g. Audit O&)ective  Tujuan auditor adalah untuk mengevaluasi kontrol yang mengatur keamanan pusat komputer . Secara khusus  auditor harus memastikan bahwa : kontrol keamanan ;sik yang memadai untuk cukup melindungi organisasi dari eksposur ;sik &AB cakupan asuransi pada peralatan memadai untuk mengkompensasi kerusakan pusat komputernya h. Audit %roce$!re •

 Tests o! (hysical #onstruction. =isik bangunan server lokasi dan keamanan terhadap *ACA0& 2D2BT.

•

 Tests o! the =ire &etection System.

•

 Tests o! Access #ontrol.

•

 Tests o! 0aid "3 *&

•

 Tests o! the 3ninterruptible (ower Supply.

•

 Tests !or Insurance #overage.

D.

Diater Recovery %lanning

&engan perencanaan kontinjensi yang hatihati dampak dari bencana dapat diredam dan organisasi dapat pulih dengan cepat. 3ntuk bertahan hidup dari peristiwa darurat seperti itu perusahaan harus mengembangkan prosedur pemulihan dan meresmikan mereka ke dalam suatu rencana pemulihan bencana +&0(, suatu skema dalam menghadapi keadaan darurat.(rosesnya adalah sbb: a. Identi!y #ritical Applications/"uat da!tar aplikasi yang paling penting b. #reating a &isaster 0ecovery Team /buat Tim..langgar I# boleh c. (roviding Second Site "ackup buat lokasi data cadangan +duplikasi, •

mutual aid pact/dua atau lebih join S& IT pas bencana

•

empty shell or

cold siteE

/sewa tempat pada penyedia backup

hot siteE

•

recovery operations center or

/sewa !ull e
•

internally provided backup/buat sendiri +mirroring di tmpt lain, Audit Objective: The auditor should veri!y that managementFs disaster recovery plan is a$e*!ate and feai&le !or dealing with a catastrophe that could deprive the organi%ation o! its computing resources. Audit (rocedures memastikan hal dibawah ini ber!ungsi dengan baik

•

Site "ackupGlokasi *9 IT dll

•

&a!tar Aplikasi penting oke

•

So!tware "ackup.

•

&ata dan &okumentasi "ackup.

•

"ackup Supplies dan Source &ocuments.

•

&isaster 0ecovery Team di test

E.O!to!rcing the IT (!nction Outsourcing IT kadangkala meningkatkan kinerja bisnis inti meningkatkan )inerja IT +karena keahlian vendor, dan mengurangi biaya TI. 'ogika yang mendasari outsourcing TI dari teori +om'eteni inti yang berpendapat bahwa organisasi harus !okus secara eksklusi! pada kompetensi bisnis intinya saja sementara outsourcing vendor memungkinkan untuk secara e;sien mengelola daerah noninti seperti !ungsi TI +IT dianggap supporting,. (remis ini bagaimanapun mengabaikan perbedaan penting antara komoditas dan aset

TI yang

spesi;k. Commo$ity IT aet are not uniict with the core competency school by suggesting that ;rms should retain certain speci;c nonHcore IT assets inhouse. adi disarankan boleh outsource pada Sumber&aya IT yang bisa digantikan +S98*9, atau tidak terlalu kritikal..S& IT yang penting dan unggulan bagi organisasi jangan. a. 0isks Inherent to IT Outsourcing •

=ailure to (er!orm

•

Dendor 2ploitation

•

Outsourcing #osts 2ceed "ene;t

•

0educed Security

•

'oss o! Strategic Advantage

b. Audit Implications o! IT Outsourcing 1anajemen boleh saja mengalihdayakan !ungsi ITnya namun tidak dapat mengalihkan tanggungjawab manajemen pada penyediaan (engendalian Intern yang memadai. SAS J5 merupakan standar yang mende;nisikan perlunya auditor mengetahui kontrol jika IT dilaksanakan oleh vendor pihak ketiga. Dendornya sendiri tentu diaudit oleh auditornya sehingga supaya praktis dan murah.

IT review

dilaksanakan satu kali saja