1. PERBEDAAN AUDITING AROUND THE COMPUTER DAN THROUGH THECOMPUTER
Auditing-around the computer
Auditing around the computer adalah auditing tanpa menguji pengendalian EDP klien, sehingga audit hanya dilakukan pada sumber masukan dan hasil keluaran dari proses EDP itu sendiri. Audit ini dapat diterima bila:
a. Sumber dokumen tersedia dalam bentuk yang dapat dibaca manusiab. Dokumen difilekan secara baik yang memungkinkan melokalisasi mereka untuk keperluan audit.
Keluaran terdaftar secara detail yang memungkinkan auditor melacak transaksi individual dari dokumen sumber ke keluaran dan sebaliknya. Tahap-tahap dalam EDP audit dapat diuraikan sebagai berikut:
A. Tahap awal,
Terdiri dari telaahan dan evaluasi awal terhadap area yang akan diaudit sertapenyiapan rencana audit. Pada telaahan awal ditentukan tindakan-tindakan yang akandilakukan dalam audit dan mencakup keputusan-keputusan yang berkaitan dengan area-area tertentu yang akan diinvestigasi, penugasan bagi staf audit, teknologi audit yang akandigunakan, dan pembuatan anggaran waktu/biaya untuk audit.
B. Tahap kedua,
merupakan telaahan evaluasi rinci atas pengendalian. Sasaran difokuskan padatemuan-temuan dalam area yang dipilih dalam audit. Dokumentasi area aplikasi ditelaah dandata yang berkaitan dengan operasi sistem dikumpulkan melalui wawancara, kuisionerpengendalian intern, dan observasi langsung. File-file transaksi, buku-buku harianpengendalian, daftar program, dan data lain ditelaah sesuai kebutuhan untuk menentukanlingkup audit yang dicakup dalam program audit dan merancang prosedur-prosedurpengujian yang akan digunakan kemudian.
C. Tahap terakhir,
mencakup pengujian ketaatan yang diikuti dengan analisis dan pelaporan hasil-hasil.Tahap pengujian menghasilkan bukti ketaatan terhadap prosedur-prosedur. Pengujianketaatan dilakukan untuk memberikan jaminan memadai bahwa pengendalian intern adadan bekerja sesuai dengan yang dinyatakan dalam dokumentasi sistem.Pendekatan audit dengan memperlakukan komputer sebagai kotak hitam, teknik initidak menguji langkah langkah proses secara langsung, hanya berfokus pada input danoutput dari sistem computer. Kelemahannya:
1. Umumnya data base mencakup jumlah data yang banyak dan sulit untuk ditelusurisecara manual
2. Tidak membuat auditor memahami sistem computer lebih baik
3. Mengabaikan pengendalian sistem, sehingga rawan terhadap kesalahan dankelemahan potensial dalam system.
4. Lebih berkenaan dengan hal yang lalu dari pada audit yang preventif
5. Kemampuan computer sebagai fasilitas penunjang audit mubazir
6. Tidak mencakup keseluruhan maksud dan tujuan audit
Auditing-through the computer
Auditing through the computer adalah proses penelaahan dan evaluasi pengendalianintern dalam sistem EDP, meliputi pengendalian aplikasi dan pengendalian umum. Secara ringkas audit ini merupakan suatu metode audit sedangkan Auditing with the computeradalah pemanfaatan komputer oleh auditor untuk melakukan sejumlah pekerjaan audit yang juga dapat dilakukan secara manual. Secara ringkas audit ini merupakan suatu alat bantu audit.
Pendekatan audit yang berorientasi komputer yang secara langsung berfokus pada operasi pemrosesan dalam sistem komputer dengan asumsi bila terdapat pengendalian yang memadai dalam pemrosesan, maka kesalahan dan penyalahgunaan dapat dideteksi.
2. Contoh prosedur dan lembar kerja IT audit + tools yang digunakan untuk IT audit dan forensik
IT AUDIT DAN FORENSIK
Dengan semakin berkembanganya dunia IT semakin banyak pula oknum-oknum yang tidak bertanggungjawab menyalahgunakan IT untuk kepentingan diri sendiri dan merugikan banyak pihak.
IT Forensic adalah bagian kepolisian yang menelusuri kejahatan-kejahatan dalam dunia computer/internet. Komputer forensik yang juga dikenal dengan nama digital forensik, adalah salah satu cabang ilmu foreksik yang berkaitan dengan bukti legal yang ditemui pada komputer dan media penyimpanan digital. Tujuan dari komputer forensik adalah untuk menjabarkan keadaan kini dari suatu artefak digital. Istilah artefak digital bisa mencakup sebuah sistem komputer, media penyimpanan (seperti flash disk, hard disk, atau CD-ROM), sebuah dokumen elektronik (misalnya sebuah pesan email atau gambar JPEG), atau bahkan sederetan paket yang berpindah dalam jaringan komputer.
IT forensic Bertujuan untuk mendapatkan fakta-fakta obyektif dari sebuah insiden / pelanggaran keamanan sistem informasi. Fakta-fakta tersebut setelah diverifikasi akan menjadi bukti-bukti (evidence) yang akan digunakan dalam proses hukum.
Contoh Prosedur dan Lembar Kerja Audit
PROSEDUR IT AUDIT:
● Kontrol lingkungan:
1. Apakah kebijakan keamanan (security policy) memadai dan efektif ?
2. Jika data dipegang oleh vendor, periksa laporan ttg kebijakan dan prosedural yg terikini dr external auditor
3. Jika sistem dibeli dari vendor, periksa kestabilan finansial
4. Memeriksa persetujuan lisen (license agreement)
● Kontrol keamanan fisik
5. Periksa apakah keamanan fisik perangkat keras dan penyimpanan data memadai
6. Periksa apakah backup administrator keamanan sudah memadai (trained,tested)
7. Periksa apakah rencana kelanjutan bisnis memadai dan efektif
8. Periksa apakah asuransi perangkat-keras, OS, aplikasi, dan data memadai
● Kontrol keamanan logikal
9. Periksa apakah password memadai dan perubahannya dilakukan reguler
10.Apakah administrator keamanan memprint akses kontrol setiap user
CONTOH – CONTOH
– Internal IT Deparment Outputnya Solusi teknologi meningkat, menyeluruh & mendalam dan Fokus kepada global, menuju ke standard2 yang diakui.
– External IT Consultant Outputnya Rekrutmen staff, teknologi baru dan kompleksitasnya Outsourcing yang tepat dan Benchmark / Best-Practices
CONTOH METODOLOGI AUDIT IT
BSI (Bundesamt für Sicherheit in der Informationstechnik)
● IT Baseline Protection Manual (IT- Grundschutzhandbuch )
● Dikembangkan oleh GISA: German Information Security Agency
● Digunakan: evaluasi konsep keamanan & manual
● Metodologi evaluasi tidak dijelaskan
● Mudah digunakan dan sangat detail sekali
● Tidak cocok untuk analisis resiko
● Representasi tdk dalam grafik yg mudah dibaca
Tools yang digunakan untuk Audit IT dan Audit Forensik
● Hardware:
– Harddisk IDE & SCSI. kapasitas sangat besar, CD-R, DVR drives
– Memori yang besar (1-2GB RAM)
– Hub, Switch, keperluan LAN
– Legacy hardware (8088s, Amiga, …)
– Laptop forensic workstations
● Software
– Viewers (QVP http://www.avantstar.com dan http://www.thumbsplus.de
– Erase/Unerase tools: Diskscrub/Norton utilities)
– Hash utility (MD5, SHA1)
– Text search utilities (search di http://www.dtsearch.com/)
– Drive imaging utilities (Ghost, Snapback, Safeback,…)
– Forensic toolkits. Unix/Linux: TCT The Coroners Toolkit/ForensiX dan Windows: Forensic Toolkit
– Disk editors (Winhex,…)
– Forensic acquisition tools (DriveSpy, EnCase, Safeback, SnapCopy,…)
– Write-blocking tools (FastBloc http://www.guidancesoftware.com) untuk memproteksi bukti bukti.
Sumber :
http://id.scribd.com/doc/94287041/MAKALAH-sistem-informasi-akuntansi
http://gunrave.blogspot.com/2011/03/contoh-prosedur-dan-lembar-kerja-it.html
