Etika, Keamanan, dan Pengendalian

Materi Moral, Etika, dan Hukum Keamanan IT Governance Audit teknologi informasi

Moral, Etika, dan Hukum

Keamanan

IT Governance

Audit teknologi informasi

Moral, Etika, dan Hukum Moral : Tradisi kepercayaan menegnai perilaku benar atau salah. Etika : Satu set kepercayaan, standar pemikiran suatu individu, kelompok, dan masyarakat. Hukum : peraturan perilaku yang dipaksakan oleh otoritas berdaulat, seperti pemerintah pada rakyat atau warga negaranya.

Moral : Tradisi kepercayaan menegnai perilaku benar atau salah.

Etika : Satu set kepercayaan, standar pemikiran suatu individu, kelompok, dan masyarakat.

Hukum : peraturan perilaku yang dipaksakan oleh otoritas berdaulat, seperti pemerintah pada rakyat atau warga negaranya.

Etika dalam Sistem Informasi Etika dalam sistem informasi meliputi 4 hal, yaitu : Privasi Akurasi Properti Akses

Etika dalam sistem informasi meliputi 4 hal, yaitu :

Privasi

Akurasi

Properti

Akses

Privasi Hal yang menyangkut hak individu untuk mempertahankan informasi pribadi dari pengaksesan oleh orang lain yang tidak diberi ijin untuk melakukannya.

Hal yang menyangkut hak individu untuk mempertahankan informasi pribadi dari pengaksesan oleh orang lain yang tidak diberi ijin untuk melakukannya.

Privasi Privasi fisik : hak seseorang untuk mencegah seseorang yang tidak dikehendaki terhadap waktu, ruang, dan properti (hak milik). Privasi informasi : hak individu untuk menentukan kapan, bagaimana, dan apa saja informasi pribadi yang ingin dikomunikasikan dengan pihak lain.

Privasi fisik : hak seseorang untuk mencegah seseorang yang tidak dikehendaki terhadap waktu, ruang, dan properti (hak milik).

Privasi informasi : hak individu untuk menentukan kapan, bagaimana, dan apa saja informasi pribadi yang ingin dikomunikasikan dengan pihak lain.

Akurasi Ketepatan informasi dalam mewakili objek yang diwakilinya dan bebas dari kesalahan

Ketepatan informasi dalam mewakili objek yang diwakilinya dan bebas dari kesalahan

Properti Entity fisik maupun virtual yang dimiliki oleh individu atau kelompok. Perlindungan terhadap hak properti dikenal dengan HAKI (Hak Atas Kekayaan Intelektual) Kekayaan intelektual diatur melalui 3 mekanisme : Copyright Paten Trade secret

Entity fisik maupun virtual yang dimiliki oleh individu atau kelompok.

Perlindungan terhadap hak properti dikenal dengan HAKI (Hak Atas Kekayaan Intelektual)

Kekayaan intelektual diatur melalui 3 mekanisme :

Copyright

Paten

Trade secret

Hak cipta (Copyright) Hak yang dijamin oleh kekuatan hukum yang melarang penduplikasian kekayaan intelektual tanpa seijin pemegangnya. Hak seperti ini mudah didapatkan dan diberikan kepada pemegangnya selama masa hidup penciptanya plus 70 tahun.

Hak yang dijamin oleh kekuatan hukum yang melarang penduplikasian kekayaan intelektual tanpa seijin pemegangnya.

Hak seperti ini mudah didapatkan dan diberikan kepada pemegangnya selama masa hidup penciptanya plus 70 tahun.

Paten Sekumpulan hak eksklusif yang diberikan oleh negara kepada seorang penemu atau hasil temuannya untuk waktu yang terbatas. Perlindungan terhadap kekayaan intelektual yang paling sulit didapatkan karena hanya akan diberikan kepada penemuan-penemuan inovatif dan sangat berguna. Hukum paten memberikan perlindungan selama 20 tahun

Sekumpulan hak eksklusif yang diberikan oleh negara kepada seorang penemu atau hasil temuannya untuk waktu yang terbatas.

Perlindungan terhadap kekayaan intelektual yang paling sulit didapatkan karena hanya akan diberikan kepada penemuan-penemuan inovatif dan sangat berguna.

Hukum paten memberikan perlindungan selama 20 tahun

Rahasia perdagangan (trade secret) Formula, praktek, proses, desain, instrumen, atau kumpulan informasi dimana tidak semuanya boleh diketahui untuk kepentingan keuntungan bisnis atas konsumen dan kompetitor.

Formula, praktek, proses, desain, instrumen, atau kumpulan informasi dimana tidak semuanya boleh diketahui untuk kepentingan keuntungan bisnis atas konsumen dan kompetitor.

Rahasia perdagangan (trade secret) Hukum rahasia perdagangan melindungi kekayaan intelektual melalui lisensi atau kontrak. Pada lisensi perangkat lunak, seseorang yang menandatangani kontrak menyetujui untuk tidak menyalin perangkat lunak tersebut untuk diserahkan pada orang lain atau dijual.

Hukum rahasia perdagangan melindungi kekayaan intelektual melalui lisensi atau kontrak.

Pada lisensi perangkat lunak, seseorang yang menandatangani kontrak menyetujui untuk tidak menyalin perangkat lunak tersebut untuk diserahkan pada orang lain atau dijual.

Akses Fokus dari masalah akses adalah pada penyediaan akses untuk semua kalangan. Teknologi informasi diharapkan tidak menjadi halangan dalam melakukan pengaksesan terhadap informasi bagi kelompok orang tertentu.

Fokus dari masalah akses adalah pada penyediaan akses untuk semua kalangan.

Teknologi informasi diharapkan tidak menjadi halangan dalam melakukan pengaksesan terhadap informasi bagi kelompok orang tertentu.

Keamanan Perlindungan terhadap informasi dan sistem informasi dari akses, penggunaan, pengungkapan, kerusakan, gangguan, atau modifikasi yang tidak sah. Ancaman terhadap sistem informasi dibagi menjadi 2 yaitu : Ancaman aktif Ancaman pasif

Perlindungan terhadap informasi dan sistem informasi dari akses, penggunaan, pengungkapan, kerusakan, gangguan, atau modifikasi yang tidak sah.

Ancaman terhadap sistem informasi dibagi menjadi 2 yaitu :

Ancaman aktif

Ancaman pasif

Keamanan Ancaman aktif meliputi kecurangan, penipuan dan kejahatan terhadap komputer. Ancaman pasif meliputi kegagalan sistem, kesalahan manusia, dan bencana alam.

Ancaman aktif meliputi kecurangan, penipuan dan kejahatan terhadap komputer.

Ancaman pasif meliputi kegagalan sistem, kesalahan manusia, dan bencana alam.

Teknik hacking Denial of service Teknik ini dilakukan dengan cara membuat permintaan yang sangat banyak terhadap suatu situs sehingga sistem menjadi macet, dan kemudian dengan mencari kelemahan sistem, pelaku melakukan serangan terhadap sistem.

Denial of service

Teknik ini dilakukan dengan cara membuat permintaan yang sangat banyak terhadap suatu situs sehingga sistem menjadi macet, dan kemudian dengan mencari kelemahan sistem, pelaku melakukan serangan terhadap sistem.

Teknik hacking Sniffer Teknik ini dilakukan dengan membuat program yang dapat melacak paket data seseorang ketika paket tersebut melintasi internet, menangkap password atau isinya.

Sniffer

Teknik ini dilakukan dengan membuat program yang dapat melacak paket data seseorang ketika paket tersebut melintasi internet, menangkap password atau isinya.

Teknik hacking Spoofing Pemalsuan alamat email atau web dengan tujuan menjebak pemakai agar memasukkan informasi yang penting seperti password atau nomor kartu kredit.

Spoofing

Pemalsuan alamat email atau web dengan tujuan menjebak pemakai agar memasukkan informasi yang penting seperti password atau nomor kartu kredit.

Teknik hacking Virus Penggalan kode yang dapat menggandakan dirinya sendiri dengan cara menyalin kode dan menempelkan ke file program yang dieksekusi, kemudian salinan virus ini akan aktif ketika program yang terinfeksi dijalankan.

Virus

Penggalan kode yang dapat menggandakan dirinya sendiri dengan cara menyalin kode dan menempelkan ke file program yang dieksekusi, kemudian salinan virus ini akan aktif ketika program yang terinfeksi dijalankan.

Teknik hacking Worm Program yang dapat menggandakan dirinya sendiri dan menulari komputer-komputer dalam jaringan.

Worm

Program yang dapat menggandakan dirinya sendiri dan menulari komputer-komputer dalam jaringan.

Teknik hacking Logic bomb dan time bomb Program yang beraksi karena dipicu oleh suatu kejadian atau setelah selang waktu tertentu. Trojan horse Program yang dirancang agar dapat digunakan untuk menyusup ke dalam sistem.

Logic bomb dan time bomb

Program yang beraksi karena dipicu oleh suatu kejadian atau setelah selang waktu tertentu.

Trojan horse

Program yang dirancang agar dapat digunakan untuk menyusup ke dalam sistem.

IT Governance Tata kelola organisasi yang berfokus pada teknologi informasi dan kinerjanya, beserta manajemen risikonya. Sistem dengan penggunaan ICT yang diarahkan dan dikendalikan yang digunakan pada saat ini dan masa yang akan datang, yang melibatkan evaluasi dan pengarahan rencana pengguanaan ICT untuk mendukung dan memantau organisasi untuk mencapai apa yang sudah direncanakan.

Tata kelola organisasi yang berfokus pada teknologi informasi dan kinerjanya, beserta manajemen risikonya.

Sistem dengan penggunaan ICT yang diarahkan dan dikendalikan yang digunakan pada saat ini dan masa yang akan datang, yang melibatkan evaluasi dan pengarahan rencana pengguanaan ICT untuk mendukung dan memantau organisasi untuk mencapai apa yang sudah direncanakan.

Standar IT Governance CoBIT (Control Objective IT) adalah standar internasional dalam mengarahkan dan mengendalikan teknologi informasi dalam suatu perusahaan.

CoBIT (Control Objective IT) adalah standar internasional dalam mengarahkan dan mengendalikan teknologi informasi dalam suatu perusahaan.

Audit Teknologi Informasi Audit adalah : proses yang sistematis, independen, dan terdokumentasi untuk mendapatkan bukti audit dan mengevaluasi secara objektif untuk menentukan sejauh mana kirteria audit terpenuhi.

Audit adalah : proses yang sistematis, independen, dan terdokumentasi untuk mendapatkan bukti audit dan mengevaluasi secara objektif untuk menentukan sejauh mana kirteria audit terpenuhi.

Keuntungan Audit Menilai keefektifan aktivitas aktifitas dokumentasi dalam organisasi Memonitor kesesuaian dengan kebijakan, sistem, prosedur dan undang-undang perusahaan Mengukur tingkat efektifitas dari sistem

Menilai keefektifan aktivitas aktifitas dokumentasi dalam organisasi

Memonitor kesesuaian dengan kebijakan, sistem, prosedur dan undang-undang perusahaan

Mengukur tingkat efektifitas dari sistem

Keuntungan Audit Mengidentifikasi kelemahan di sistem yang mungkin mengakibatkan ketidaksesuaian di masa datang Menyediakan informasi untuk proses peningkatan Meningkatkan saling memahami antar departemen dan antar individu Melaporkan hasil tinjauan dan tindakan berdasarkan resiko ke Manajemen

Mengidentifikasi kelemahan di sistem yang mungkin mengakibatkan ketidaksesuaian di masa datang

Menyediakan informasi untuk proses peningkatan

Meningkatkan saling memahami antar departemen dan antar individu

Melaporkan hasil tinjauan dan tindakan berdasarkan resiko ke Manajemen

IT Audit Area Perencanaan Organisasi dan manajemen Kebijakan dan prosedur Keamanan Regulasi dan standar

Perencanaan

Organisasi dan manajemen

Kebijakan dan prosedur

Keamanan

Regulasi dan standar

Jenis Audit System Audit Audit terhadap sistem terdokumentasi untuk memastikan sudah memenuhi standar nasional atau internasional

System Audit

Audit terhadap sistem terdokumentasi untuk memastikan sudah memenuhi standar nasional atau internasional

Jenis Audit Compliance Audit Untuk menguji efektifitas implementasi dari kebijakan, prosedur, kontrol dan unsur hukum yang lain Product / Service Audit Untuk menguji suatu produk atau layanan telah sesuai seperti spesifikasi yang telah ditentukan dan cocok digunakan

Compliance Audit

Untuk menguji efektifitas implementasi dari kebijakan, prosedur, kontrol dan unsur hukum yang lain

Product / Service Audit

Untuk menguji suatu produk atau layanan telah sesuai seperti spesifikasi yang telah ditentukan dan cocok digunakan

Siapa yang Diaudit Management IT Manager IT Specialist (network, database, system analyst, programmer, dll.) User

Management

IT Manager

IT Specialist (network, database, system analyst, programmer, dll.)

User

Yang Melakukan Audit Tergantung Tujuan Audit Internal Audit (first party audit) Dilakukan oleh atau atas nama perusahaan sendiri Biasanya untuk management review atau tujuan internal perusahaan

Tergantung Tujuan Audit

Internal Audit (first party audit)

Dilakukan oleh atau atas nama perusahaan sendiri

Biasanya untuk management review atau tujuan internal perusahaan

Yang Melakukan Audit Lembaga independen di luar perusahaan Second party audit Dilakukan oleh pihak yang memiliki kepentingan terhadap perusahaan Third party audit Dilakukan oleh pihak independen dari luar perusahaan. Misalnya untuk sertifikasi (ISO 9001, BS7799 dll).

Lembaga independen di luar perusahaan

Second party audit

Dilakukan oleh pihak yang memiliki kepentingan terhadap perusahaan

Third party audit

Dilakukan oleh pihak independen dari luar perusahaan. Misalnya untuk sertifikasi (ISO 9001, BS7799 dll).

Tugas Auditor IT Memastikan sisi-sisi penerapan IT memiliki kontrol yang diperlukan Memastikan kontrol tersebut diterapkan dengan baik sesuai yang diharapkan

Memastikan sisi-sisi penerapan IT memiliki kontrol yang diperlukan

Memastikan kontrol tersebut diterapkan dengan baik sesuai yang diharapkan

Tahap-tahap Audit Persiapan Review Dokumen Persiapan kegiatan on-site audit Melakukan kegiatan on-site audit Persiapan, persetujuan dan distribusi laporan audit Tindak lanjut audit

Persiapan

Review Dokumen

Persiapan kegiatan on-site audit

Melakukan kegiatan on-site audit

Persiapan, persetujuan dan distribusi laporan audit

Tindak lanjut audit

Hasil kegiatan Audit Hasil akhir adalah berupa laporan yang berisi: Ruang Lingkup audit Metodologi Temuan-temuan

Hasil akhir adalah berupa laporan yang berisi:

Ruang Lingkup audit

Metodologi

Temuan-temuan

Hasil kegiatan Audit Ketidaksesuaian (sifat ketidaksesuaian, bukti-bukti pendukung, syarat yang tidak dipenuhi, lokasi, tingkat ketidaksesuaian) Kesimpulan (tingkat kesesuaian dengan kriteria audit, efektifitas implementasi, pemeliharaan dan pengembangan sistem manajemen, rekomendasi)

Ketidaksesuaian (sifat ketidaksesuaian, bukti-bukti pendukung, syarat yang tidak dipenuhi, lokasi, tingkat ketidaksesuaian)

Kesimpulan (tingkat kesesuaian dengan kriteria audit, efektifitas implementasi, pemeliharaan dan pengembangan sistem manajemen, rekomendasi)

Keterampilan yang dibutuhkan Audit skill : sampling, komunikasi, melakukan interview, mengajukan pertanyaan, mencatat Generic knowledge : pengetahuan mengenai prinsip-prinsip audit, prosedur dan teknik, sistem manajemen dan dokumen-dokumen referensi, organisasi, peraturan-peraturan yang berlaku

Audit skill : sampling, komunikasi, melakukan interview, mengajukan pertanyaan, mencatat

Generic knowledge : pengetahuan mengenai prinsip-prinsip audit, prosedur dan teknik, sistem manajemen dan dokumen-dokumen referensi, organisasi, peraturan-peraturan yang berlaku

Keterampilan yang dibutuhkan Specific knowledge : background IT/IS, bisnis, specialist technical skill, pengalaman audit sistem manajemen, perundangan

Specific knowledge : background IT/IS, bisnis, specialist technical skill, pengalaman audit sistem manajemen, perundangan

Peraturan dan Standar Yang Biasa Dipakai ISO / IEC 17799 and BS7799 Control Objectives for Information and related Technology (CobiT) ISO TR 13335 IT Baseline Protection Manual

ISO / IEC 17799 and BS7799

Control Objectives for Information and related Technology (CobiT)

ISO TR 13335

IT Baseline Protection Manual

Peraturan dan Standar Yang Biasa Dipakai ITSEC / Common Criteria Federal Information Processing Standard 140-1/2 (FIPS 140-1/2) The “Sicheres Internet” Task Force [Task Force Sicheres Internet] The quality seal and product audit scheme operated by the Schleswig-Holstein Independent State Centre for Data Privacy Protection (ULD) ISO 9000

ITSEC / Common Criteria

Federal Information Processing Standard 140-1/2 (FIPS 140-1/2)

The “Sicheres Internet” Task Force [Task Force Sicheres Internet]

The quality seal and product audit scheme operated by the Schleswig-Holstein Independent State Centre for Data Privacy Protection (ULD)

ISO 9000