IT Audit dan Forensic

IT Audit dan Forensic  (Prosedur dan Lembar Kerja serta Tools yang digunakan)

IT Audit dan Forensic

            Sebelum membahas lebih jauh tentang metode-metode IT Audit, posedur dan lembar kerja serta alat-alat (Tools) apa saja yang digunakan dalam It Audit saya akan menjelaskan pengertian serta sejarah singkat dari IT audit.

Berikut Penjelasannya :

Pengertian Singkat Audit IT.

Audit IT merupakan suatu proses kontrol pengujian terhadap infrastruktur teknologi informasi dimana berhubungan dengan masalah audit finansial dan audit internal. Audit IT lebih dikenal dengan istilah EDP. Biasanya digunakan untuk menguraikan dua jenis aktifitas yang berkaitan dengan komputer. Jenis aktivitas ini disebut sebagai auditing melalui komputer. Penggunaan istilah lainnya adalah untuk menjelaskan pemanfaatan komputer oleh auditor untuk melaksanakan beberapa pekerjaan audit yang tidak dapat dilakukan secara manual. Jenis aktivitas ini disebut audit dengan komputer.

Audit IT merupakan gabungan dari berbagai macam ilmu, antara lain Traditional Audit, Manajemen Sistem Informasi, Sistem Informasi Akuntansi, Ilmu Komputer, dan Behavioral Science. Audit IT bertujuan untuk meninjau dan mengevaluasi faktor-faktor ketersediaan (availability), kerahasiaan (confidentiality), dan keutuhan (integrity) dari sistem informasi organisasi.

Sejarah Audit IT

IT Audit awalnya lebih dikenal sebagai EDP  telah mengalami perkembangan yang pesat. Perkembangan Audit IT ini didorong oleh kemajuan teknologi dalam sistem keuangan, meningkatnya kebutuhan akan kontrol IT, dan pengaruh dari komputer itu sendiri untuk menyelesaikan tugas-tugas penting. Pemanfaatan teknologi komputer ke dalam sistem keuangan telah mengubah cara kerja sistem keuangan, yaitu dalam penyimpanan data, pengambilan kembali data, dan pengendalian. Sistem keuangan pertama yang menggunakan teknologi komputer muncul pertama kali tahun 1954. Selama periode 1954 sampai dengan 1960-an profesi audit masih menggunakan komputer. Pada pertengahan 1960-an terjadi perubahan pada mesin komputer, dari mainframe menjadi komputer yang lebih kecil dan murah. Pada tahun 1968, American Institute of Certified Public Accountants (AICPA) ikut mendukung pengembangan EDP auditing. Sekitar periode ini pula para auditor bersama-sama mendirikan Electronic Data Processing Auditors Association (EDPAA). Tujuan lembaga ini adalah untuk membuat suatu tuntunan, prosedur, dan standar bagi audit EDP. Pada tahun 1977, edisi pertama Control Objectives diluncurkan. Publikasi ini kemudian dikenal sebagai Control Objectives for Information and Related Technology (CobiT). Tahun 1994, EDPAA mengubah namanya menjadi Information System Audit (ISACA). Selama periode akhir 1960-an sampai saat ini teknologi TI telah berubah dengan cepat dari mikrokomputer dan jaringan ke internet

Jenis Audit IT.    

1. Sistem dan aplikasi.

Audit yang berfungsi untuk memeriksa apakah sistem dan aplikasi sesuai dengan kebutuhan organisasi, berdayaguna, dan memiliki kontrol yang cukup baik untuk menjamin keabsahan, kehandalan, tepat waktu, dan keamanan pada input, proses, output pada semua tingkat kegiatan sistem.

2. Fasilitas pemrosesan informasi.

Audit yang berfungsi untuk memeriksa apakah fasilitas pemrosesan terkendali untuk menjamin ketepatan waktu, ketelitian, dan pemrosesan aplikasi yang efisien dalam keadaan normal dan buruk.

3. Pengembangan sistem.

Audit yang berfungsi untuk memeriksa apakah sistem yang dikembangkan mencakup kebutuhan obyektif organisasi.

4. Arsitektur perusahaan dan manajemen TI.

Audit yang berfungsi untuk memeriksa apakah manajemen TI dapat mengembangkan struktur organisasi dan prosedur yang menjamin kontrol dan lingkungan yang berdaya guna untuk pemrosesan informasi.

5. Client/Server, telekomunikasi, intranet, dan ekstranet.

Suatu audit yang berfungsi untuk memeriksa apakah kontrol-kontrol berfungsi pada client, server, dan jaringan yang menghubungkan client dan server.

Metodologi Audit IT.

Dalam praktiknya, tahapan-tahapan dalam audit IT tidak berbeda dengan audit pada umumnya, sebagai berikut :

1.       Tahapan Perencanaan.

Sebagai suatu pendahuluan mutlak perlu dilakukan agar auditor mengenal benar obyek yang akan diperiksa sehingga menghasilkan suatu program audit yang didesain sedemikian rupa agar pelaksanaannya akan berjalan efektif dan efisien.

2.      Mengidentifikasikan reiko dan kendali.

Untuk memastikan bahwa qualified resource sudah dimiliki, dalam hal ini aspek SDM yang berpengalaman dan juga referensi praktik-praktik terbaik.

3.      Mengevaluasi kendali dan mengumpulkan bukti-bukti.

Melalui berbagai teknik termasuk survei, interview, observasi, dan review dokumentasi.

4.      Mendokumentasikan.

Mengumpulkan temuan-temuan dan mengidentifikasikan dengan auditee.

5.      Menyusun laporan.

Mencakup tujuan pemeriksaan, sifat, dan kedalaman pemeriksaan yang dilakukan.

Prosedur Audit IT:

Berikut adalah beberapa prosedur yang biasa digunakan dalam melakukan IT Audit, yaitu :

Mengumpulkan dan mengevaluasi bukti-bukti bagaimana sistem informasi dikembangkan, dioperasikan, diorganisasikan, serta bagaimana praktek dilaksanakan:

1.        Apakah IS melindungi aset institusi: asset protection, availability

2.       Apakah integritas data dan sistem diproteksi secara cukup (security,confidentiality )?

3.       Apakah operasi sistem efektif dan efisien dalam mencapai tujuan organisasi, dan lain-lain (coba cari pertanyaan2 lain)

Lembar Kerja Audit IT

● Stakeholders:

– Internal IT Deparment

– External IT Consultant

– Board of Commision

– Management

– Internal IT Auditor

– External IT Auditor

● Kualifikasi Auditor:

– Certified Information Systems Auditor (CISA)

– Certified Internal Auditor (CIA)

– Certified Information Systems Security Professional (CISSP)

– dll

● Output Internal IT:

– Solusi teknologi meningkat, menyeluruh & mendalam

– Fokus kepada global, menuju ke standard2 yang diakui

● Output External IT:

– Rekrutmen staff, teknologi baru dan kompleksitasnya

– Outsourcing yang tepat

– Benchmark / Best-Practices

● Output Internal Audit & Business:

– Menjamin keseluruhan audit

– Budget & Alokasi sumber daya

– Reporting

Tools dalam audit IT dan IT forensic
● Hardware:

– Harddisk IDE & SCSI kapasitas sangat besar, CD-R, DVR drives
– Memori yang besar (1-2GB RAM)
– Hub, Switch, keperluan LAN
– Laptop forensic workstations

● Software

– Erase/Unerase tools: Diskscrub/Norton utilities)
– Hash utility (MD5, SHA1)
– Text search utilities (dtsearch http://www.dtsearch.com/)
– Drive imaging utilities (Ghost, Snapback, Safeback,…)



● Unix/Linux: TCT The Coroners Toolkit/ForensiX

● Windows: Forensic Toolkit – Disk editors (Winhex,…)
– Forensic acquisition tools (DriveSpy, EnCase, Safeback, SnapCopy,…)
– Write-blocking tools (FastBloc http://www.guidancesoftware.com ) untuk memproteksi buktibukti