IT FORENSIC
Pengertian Ilmu Forensik
Forensik (berasal dari
bahasa Yunani ’Forensis’ yang berarti debat atau perdebatan) adalah bidang ilmu
pengetahuan yang digunakan untuk membantu proses penegakan keadilan melalui
proses penerapan ilmu (sains).
Ilmu forensik (biasa
disingkat forensik) adalah sebuah penerapan dari berbagai ilmu pengetahuan
untuk menjawab pertanyaan-pertanyaan yang penting untuk sebuah sistem hukum
yang mana hal ini mungkin terkait dengan tindak pidana. Namun disamping
keterkaitannya dengan sistem hukum, forensik umumnya lebih meliputi sesuatu
atau metode-metode yang bersifat ilmiah (bersifat ilmu) dan juga aturan-aturan
yang dibentuk dari fakta-fakta berbagai kejadian, untuk melakukan pengenalan
terhadap bukti-bukti fisik (contohnya mayat, bangkai, dan sebagainya). Atau
untuk pengertian yang lebih mudahnya, Ilmu Forensik adalah ilmu untuk melakukan
pemeriksaan dan pengumpulan bukti-bukti fisik yang ditemukan di tempat kejadian
perkara dan kemudian dihadirkan di dalam sidang pengadilan.
Dalam kelompok ilmu-ilmu
forensik ini dikenal antara lain ilmu fisika forensik, ilmu kimia forensik,
ilmu psikologi forensik, ilmu kedokteran forensik, ilmu toksikologi forensik,
komputer forensik, ilmu balistik forensik, ilmu metalurgi forensik dan sebagainya.
Dari
pengertian-pengertian forensik maupun kriminalistik terdapat beberapa unsur
yang sama yaitu :
1. Ada satu metode,
peralatan, proses dan pekerjaan.
2. Dengan mendayagunakan
ilmu pengetahuan dengan teknologi terapan
3. Dilakukannya terhadap
suatu benda yang berhubungan dengan suatu tindakan pidana.
4. Bertujuan untuk
membuat jelas suatu perkara sehingga hasilnya dapat digunakan sebagai bukti di
pengadilan.
Forensik IT
Istilah Komputer Forensik
, forensik komputer atau benda forensik digital (Komputer Forensik, Forensik
Digital, Forensik IT) telah berlaku dalam beberapa tahun terakhir untuk deteksi
dan penyidikan tindak pidana di bidang kejahatan komputer. Setelah penjelasan
umum dari kata Latin forensik, forensik komputer adalah cabang yang berhubungan
dengan deteksi dan penyidikan tindak pidana seperti dengan analisis jejak
digital. Isu-isu seperti pendidikan setelah serangan oleh hacker atau cracker
hanya sebagai relevan sebagai deteksi anak data material pornografi atau
ilegal.
Tujuan dari analisis
forensik setelah serangan hacker atau kasus sabotase komputer, pencurian data,
spionase industri atau insiden keamanan yang berpotensi serius lainnya
biasanya:
identifikasi penyerang atau pelaku,
deteksi metode atau kerentanan yang bisa
mengakibatkan intrusi sistem atau kejahatan,
penentuan kerusakan setelah intrusi sistem
atau tindak pidana lain dan
mengamankan bukti untuk tindakan hukum
lebih lanjut.
setelah mengetahui
tentang komputer forensik kita akan menjelaskan Apa itu IT Forensik.
IT Forensic adalah
penggunaan sekumpulan prosedur untuk melakukan pengujian secara menyeluruh
suatu sistem komputer dengan mempergunakan software atau tools untuk memelihara,
mengamankan dan menganalisa barang bukti digital dari suatu tindakan kriminal
yang telah diproses secara elektronik dan disimpan di media komputer.
Bukti tersebut yang akan di gunakan dalam proses hukum,
selain itu juga memerlukan keahlian dibidang IT (termasuk diantaranya hacking)
dan alat bantu (tools) baik hardware maupun software.
Contoh barang bukti dalam
bentuk elektronik atau data seperti :
Komputer
Hardisk
MMC
CD
Flashdisk
Camera Digital
Simcard/hp
Prinsip IT Forensik:
Forensik bukan proses
hackingData yang diperoleh harus dijaga dan jangan berubah Membuat image dari
HD/Floppy/USB-Stick/Memory-dump adalah prioritas tanpa merubah isi dan
terkadang menggunakan hardware khusus Image tersebut yang diolah (hacking) dan
dianalisis – bukan yang asli
Data yang sudah terhapus
membutuhkan tools khusus untuk merekonstruksi kembali
Pencarian bukti dengan
tools pencarian teks khusus atau mencari satu persatu dalam image
Undang – Undang IT Forensik:
Secara umum, materi
Undang-Undang Informasi dan Transaksi Elektronik (UUITE) dibagi menjadi dua
bagian besar, yaitu pengaturan mengenai informasi dan transaksi elektronik dan
pengaturan mengenai perbuatan yang dilarang.
Pengaturan mengenai
informasi dan transaksi elektronik mengacu pada beberapa instrumen
internasional, seperti UNCITRAL Model Law on eCommerce dan UNCITRAL Model Law
on eSignature. Bagian ini dimaksudkan untuk mengakomodir kebutuhan para pelaku
bisnis di internet dan masyarakat umumnya guna mendapatkan kepastian hukum
dalam melakukan transaksi elektronik. Beberapa materi yang diatur, antara lain:
1. pengakuan
informasi/dokumen elektronik sebagai alat bukti hukum yang sah (Pasal 5 &
Pasal 6 UU ITE);
2. tanda tangan
elektronik (Pasal 11 & Pasal 12 UU ITE);
3. penyelenggaraan
sertifikasi elektronik (certification authority, Pasal 13 & Pasal 14 UU
ITE);
4. penyelenggaraan sistem
elektronik (Pasal 15 & Pasal 16 UU ITE);
Beberapa materi perbuatan
yang dilarang (cybercrimes) yang diatur dalam UU ITE, antara lain:
1. konten ilegal, yang
terdiri dari, antara lain: kesusilaan, perjudian, penghinaan/pencemaran nama
baik, pengancaman dan pemerasan (Pasal 27, Pasal 28, dan Pasal 29 UU ITE);
2. akses ilegal (Pasal
30);
3. intersepsi ilegal
(Pasal 31);
4. gangguan terhadap data
(data interference, Pasal 32 UU ITE);
5. gangguan terhadap
sistem (system interference, Pasal 33 UU ITE);
6. penyalahgunaan alat
dan perangkat (misuse of device, Pasal 34 UU ITE);
IT Forensics merupakan
Ilmu yang berhubungan dengan pengumpulan fakta dan bukti pelanggaran keamanan
sistem informasi serta validasinya menurut metode yang digunakan (Misalnya
Metode sebab akibat).
Tujuan IT Forensics
adalah untuk mendapatkan fakta - fakta objektif dari sistem informasi, karena
semakin berkembangnya teknologi komputer dapat digunakan sebagai alat bagi para
pelaku kejahatan komputer.
Fakta - fakta tersebut
setelah di verifikasi akan menjadi bukti - bukti (Evidence) yang akan digunakan
dalam proses hukum, selain itu juga memerlukan keahlian dibidang IT (Termasuk
diantara Hacking dan alat bantu (Tools) baik hardware maupun software).
CONTOH KASUS
Contoh kasus IT Forensik
yang ditangani oleh Ruby Alamsyah yang saat ini telah menjadi salah seorang
ahli IT Forensik yang terkenal di Indonesia. Kebetulan kasus ini menjadi kasus
pertama yang ia tangani yaitu kasus artis Alda, yang dibunuh di sebuah hotel di
Jakarta Timur. Untuk tahap awal ia menganalisa video CCTV yang terekam di
sebuah server. Server itu memiliki hard disc. Kemudian ia memeriksanya untuk
mengetahui siapa yang datang dan ke luar hotel. Sayangnya, saat itu kepedulian
terhadap digital forensik dapat dikatakan belum ada sama sekali. Jadi pada hari
kedua setelah kejadian pembunuhan, Ruby ditelepon untuk diminta bantuan
menangani digital forensik. Sayangnya, kepolisian tidak mempersiapkan barang
bukti yang asli dengan baik. Barang bukti itu seharusnya dikarantina sejak
awal, dapat diserahkan kepada Ruby bisa kapan saja asalkan sudah dikarantina.
Dua minggu setelah peristiwa, alat tersebut diserahkan kepada Ruby, tapi saat
diperiksa alat tersebut ternyata sejak hari kedua kejadian sampai diterima
masih berjalan merekam. Akhirnya tertimpalah data yang penting karena CCTV di
masing-masing tempat/hotel berbeda settingnya. Akibat tidak waspada, barang
bukti pertama tertimpa sehingga tidak berhasil diambil datanya.
YANG DI BUTUHKAN DALAM IT
FORENSIK :
Hardware:
1. Harddisk IDE &
SCSI kapasitas sangat besar, CD-R, DVR drives
2. Memori yang besar
(1-2GB RAM)
3. Hub, Switch, keperluan
LAN
4. Legacy hardware
(8088s, Amiga, …)
5. Laptop forensic
workstations
Software
1. Viewers (QVP
http://www.avantstar.com/, http://www.thumbsplus.de/)
2. Erase/Unerase tools:
Diskscrub/Norton utilities
3. Hash utility (MD5,
SHA1)
4. Text search utilities
(dtsearch http://www.dtsearch.com/)
5. Drive imaging
utilities (Ghost, Snapback, Safeback,…)
6. Forensic toolkits
Unix/Linux: TCT The
Coroners Toolkit/ForensiX
Windows: Forensic Toolkit
1. Disk editors
(Winhex,…)
2. Forensic acquisition
tools (DriveSpy, EnCase, Safeback, SnapCopy,…)
3. Write-blocking tools
(FastBloc http://www.guidancesoftware.com/)
Beberapa software yang di
gunakan untuk IT Audit :
1. Partition Table Doctor
2. HD Doctor Suite
3. Simple Carver Suite (
http://www.simplecarver.com/ )
4. wvWare (
http://wvware.sourceforge.net/)
5. Firewire (http://www.storm.net.nz/projects/16)
SUMBER:
================================= ======================================
Audit
Audit Sistem
Informasi
Audit teknologi informasi
adalah bentuk pengawasan dan pengendalian dari infrastruktur teknologi
informasi secara menyeluruh. Audit teknologi informasi ini dapat berjalan
bersama-sama dengan audit finansial dan audit internal, atau dengan kegiatan
pengawasan dan evaluasi lain yang sejenis. Istilah lain dari audit teknologi
informasi adalah audit komputer yang banyak dipakai untuk menentukan apakah
aset sistem informasi perusahaan itu telah bekerja secara efektif, dan
integratif dalam mencapai target organisasinya.
Jenis-jenis Audit Sistem
Informasi
Audit sistem informasi
dapat digolongkan dalam tipe atau jenis-jenis audit sebagai berikut.
Audit
Laporan Keuangan (Financial Statement Audofit)
Adalah audit yang
dilakukan untuk mengetahui tingkat kewajaran laporan keuangan yang disajikan oleh
perusahaan (apakah sesuai dengan standar akuntansi keuangan serta tidak
menyalahi uji materialitas). Apabila sistem akuntansi organisasi yang diaudit
merupakan sistem akuntansi berbasis komputer, maka dilakukan audit terhadap
sistem informasi akuntansi apakah proses/mekanisme sistem dan program komputer
telah sesuai, pengendalian umum sistem memadai dan data telah substantif.
Audit Operasional (Operational Audit)
Audit terhadap aplikasi
komputer terbagi menjadi tiga jenis, antara lain:
Post implementation Audit(Audit setelah
implementasi)
Auditor memeriksa apakah sistem-sistem aplikasi komputer yang telah
diimplementasikan pada suatu organisasi/perusahaan telah sesuai dengan
kebutuhan penggunanya (efektif) dan telah dijalankan dengan sumber daya optimal
(efisien). Auditor mengevaluasi apakah sistem aplikasi tertentu dapat terus
dilanjutkan karena sudah berjalan baik dan sesuai dengan kebutuhan usernya atau
perlu dimodifikasi dan bahkan perlu dihentikan.
Pelaksanaan audit ini dilakukan oleh auditor dengan menerapkan pengalamannya
dalam pengembangan sistem aplikasi, sehingga auditor dapat mengevaluasi apakah
sistem yang sudah diimplementasikan perlu dimutakhirkan atau diperbaiki atau
bahkan dihentikan apabila sudah tidak sesuai kebutuhan atau mengandung
kesalahan.
Concurrent
audit(audit secara bersama)
Auditor menjadi anggota dalam tim pengembangan sistem (system development
team). Mereka membantu tim untuk meningkatkan kualitas pengembangan sistem yang
dibangun oleh para sistem analis, designer dan programmer dan akan
diimplementasikan. Dalam hal ini auditor mewakili pimpinan proyek dan manajemen
sebagai quality assurance.
Concurrent Audits(audit secara bersama-sama)
Auditor mengevaluasi kinerja unit fngsional atau fungsi sistem informasi
(pusat/instalasi komputer) apakah telah dikelola dengan baik, apakah kontrol
dalam pengembangan sistem secara keseluruhan sudah dilakukan dengan baik,
apakah sistem komputer telah dikelola dan dioperasikan dengan baik.
Dalam
mengaudit sistem komputerisasi yang ada, audit ini dilakukan dengan
mengevaluasi pengendalian umum dari sistem-sistem komputerisasi yang sudah
diimplementasikan pada perusahaan tersebut secara keseluruhan.
Saat
melakuan pengujian-pengujian digunakan bukti untuk menarik kesimpulan dan
memberikan rekomendasi kepada manajemen tentang hal-hal yang berhubungan dengan
efektifitas, efisiensi, dan ekonomisnya sistem.
Tujuan Audit Sistem informasi
Mengamankan Asset
Aset
(aktiva) yang berhubungan dengan instalasi sistem informasi mencakup: perangkat
keras (hardware), perangkat lunak (software), manusia (people), file data,
dokumentasi sistem, dan peralatan pendukung lainnya.
2.
Menjaga Integritas Data
Integritas
data berarti data memiliki atribut:
kelengkapan, baik dan
dipercaya, kemurnian, dan ketelitian. Tanpa menjaga integritas data, organisasi
tidak dapat memperlihatkan potret dirinya dengan benar atau kejadian yang ada
tidak terungkap seperti apa adanya.
Keputusan maupun langkah-langkah penting di organisasi salah sasaran karena
tidak didukung dengan data yang benar. Oleh karena itu, upaya untuk menjaga
integritas data, dengan konsekuensi akan ada biaya prosedur pengendalian yang
dikeluarkan harus sepadan dengan manfaat yang diharapkan.
3.
Menjaga Efektifitas Sistem
Sistem
informasi dikatakan efektif hanya jika sistem tersebut dapat mencapai
tujuannya.
perlu
upaya untuk mengetahui kebutuhan pengguna sistem tersebut (user), apakah sistem
menghasilkan laporan atau informasi yang bermanfaat bagi user. Auditor perlu
mengetahui karakteristik user berikut proses pengambilan keputusannya.
Biasanya audit efektivitas sistem dilakukan setelah suatu sistem berjalan
beberapa waktu.
Manajemen
dapat meminta auditor untuk melakukan post audit guna menentukan sejauh mana
sistem telah mencapai tujuan.
4.
Efisiensi
Dikatakan efisien jika ia menggunakan sumberdaya seminimal mungkin untuk
menghasilkan output yang dibutuhkan. Pada kenyataannya, sistem informasi
menggunakan berbagai sumberdaya, seperti mesin, dan segala perlengkapannya,
perangkat lunak, sarana komunikasi dan tenaga kerja yang mengoperasikan sistem
tersebut.
Audit sistem informasi
awalnya dikenal dengan nama audit EDP (Electronic Data Processing). Audit EDP
muncul ketika para akuntan public tersertifikasi menyadari pentingnya adanya
audit untuk sistem informasi perusahaan. Lembaga audit EDP pertama kali muncul
pada tahun 1968. Tuntunan, prosedur, dan standar yang dibuat oleh lembaga
tersebut saat ini dikenal sebagai Control Objectives for Information and
Related Technology (COBIT).
Pengertian audit Sistem
Informasi menurutRon Weber (2003) adalah proses pengumpulan dan evaluasi
bukti-bukti untuk menentukan apakah sistem komputer yang digunakan telah dapat
melindungi aset milik organisasi, mampu menjaga integritas data, dapat membantu
pencapaian tujuan organisasi secara efektif, serta menggunakan sumber daya yang
dimiliki secara efisien. Ron Weber dalam salah satu bukunya “Information System
Control and Audit (Prentice-Hall, 2000)” menyatakan beberapa alasan penting
mengapa audit Sistem Informasi perlu dilakukan dalam suatu perusahaan:
1.Mencegah kerugian
akibat kehilangan data
2.Menghindari kesalahan
dalam pengambilan keputusan
3.Mencegah timbulnya
masalah yang disebabkan oleh kesalahan pemrosesan computer
4.Mencegah penyalahgunaan
komputer / sistem
5.Mencegah kesalahan pada
proses perhitungan
6.Mengurangi biaya
investasi untuk perangkat keras dan perangkat lunak komputer pendukung sistem
informasi
Dalam lingkup perusahaan,
audit sistem informasi dapat ditujukan untuk :
mengamankan aset-aset perusahaan,
menjaga integritas data,
menjaga efektivitas sistem,
dan
mencapai efisiensi sumber daya.
Mengamankan aset yang
berhubungan dengan instalasi sistem informasi mencakup: perangkat keras
(hardware), perangkat lunak (software), manusia (people), file data,
dokumentasi sistem, dan peralatan pendukung lainnya.
Integritas data merupakan
data yang memenuhi aspek kelengkapan, baik dan dipercaya, kemurnian, dan
ketelitian.
Data yang berintegritas
merupakan langkah awal yang penting untuk mendapatkan hasil yang akurat.
Risiko dalam Audit
Kontrol berikut pendekatan
evaluasi internal yang disebut pendekatan audit berbasis risiko, menyediakan
kerangka kerja untuk melakukan audit sistem informasi:
1. Tentukan ancaman
(penipuan dan kesalahan) yang dihadapi perusahaan. Ini adalah daftar dari
penyalahgunaan disengaja atau tidak disengaja dan kerusakan yang sistem
terkena.
2. Mengidentifikasi
prosedur kontrol yang mencegah, mendeteksi, atau mengoreksi ancaman. Ini semua
adalah kontrol yang manajemen telah dimasukkan ke dalam tempat dan bahwa
auditor harus meninjau dan menguji, untuk meminimalkan ancaman.
3. Evaluasi prosedur
pengendalian. Kontrol dievaluasi dua cara:
· Sebuah
tinjauan sistem menentukan apakah prosedur pengendalian sebenarnya di tempat.
· Pengujian
pengendalian dilakukan untuk menentukan apakah kontrol yang ada bekerja
sebagaimana dimaksud.
4. Mengevaluasi kelemahan
kontrol untuk mengetahui efeknya pada waktu, sifat, atau luasnya prosedur
audit. Jika auditor menentukan risiko pengendalian yang terlalu tinggi karena
sistem kontrol memadai, auditor mungkin harus mengumpulkan lebih banyak bukti,
bukti yang lebih baik, atau bukti lebih tepat waktu. Kontrol kelemahan dalam
satu bidang mungkin dapat diterima jika ada kontrol kompensasi di daerah lain.
Pendekatan berbasis risiko menyediakan auditor dengan pemahaman yang lebih
jelas dari penipuan dan kesalahan yang dapat terjadi dan risiko terkait dan
eksposur. Hal ini juga membantu mereka merencanakan bagaimana untuk menguji dan
mengevaluasi pengendalian internal, serta bagaimana merencanakan prosedur
audit.
Alasan Mengapa
Audit TI Diperlukan
Tidak dapat dipungkiri
bahwa, saat ini, tingkat ketergantungan dunia usaha dan sektor usaha lainnya,
termasuk badan-badan pemerintahan, terhadap teknologi informasi (TI) semakin
lama semakin tinggi. Pemanfaatan TI di satu sisi dapat meningkatkan keunggulan
kompetitif suatu organisasi, akan tetapi di sisi lain juga memungkinkan
timbulnya risiko-risiko yang sebelumnya tidak pernah ada. Besarnya risiko yang
mungkin muncul akibat penerapan TI di suatu perusahaan membuat audit TI sangat
penting untuk dilakukan.
Ron Weber, Dekan Fakultas
Teknologi Informasi, Monash University , dalam salah satu bukunya: Information
System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan
penting mengapa audit TI perlu dilakukan, antara lain:
1. Kerugian akibat
kehilangan data
2. Kesalahan dalam
pengambilan keputusan
3. Risiko kebocoran data
4. Penyalahgunaan
Komputer
5. Kerugian akibat
kesalahan proses perhitungan
6. Tingginya nilai
investasi perangkat keras dan perangkat lunak computer
KESIMPULAN
Audit IT merupakan urutan
kronologis catatan audit, yang masing-masing berisikan bukti langsung yang
berkaitan dengan yang dihasilkan dari pelaksanaan suatu proses bisnis atau
fungsi sistem. Catatan audit biasanya hasil kerja dari kegiatan seperti
transaksi atau komunikasi oleh orang-orang individu, sistem, rekening atau
badan lainnya. Audit adalah proses mengumpulkan dan mengevaluasi fakta
untuk memutuskan apakah sistem komputer yang merupakan aset bagi perusahaan
terlindungi, integritas data terpelihara, sesuai dengan tujuan organisasi untuk
mencapai efektifitas, dan efisiensi dalam penggunaan sumber daya
SUMBER:
http://audit-si-untag.blogspot.co.id/2015/04/audit-sistem-informasi.htmlhttp://auditsi-imam.blogspot.co.id/2015/04/s.html https://kurniawanbudi04.wordpress.com/2013/01/14/perencanaan-audit/
=======================================================================
COBIT
COBIT
Control Objective for
Information & Related Technology (COBIT) adalah sekumpulan dokumentasi best
practice untuk IT Governance yang dapat membantu auditor, pengguna (user), dan
manajemen, untuk menjembatani gap antara resiko bisnis, kebutuhan kontrol dan
masalah-masalah teknis IT (Sasongko, 2009).
COBIT mendukung tata
kelola TI dengan menyediakan kerangka kerja untuk mengatur keselarasan TI
dengan bisnis. Selain itu, kerangka kerja juga memastikan bahwa TI memungkinkan
bisnis, memaksimalkan keuntungan, resiko TI dikelola secara tepat, dan sumber daya
TI digunakan secara bertanggung jawab (Tanuwijaya dan Sarno, 2010).
COBIT merupakan standar
yang dinilai paling lengkap dan menyeluruh sebagai framework IT audit karena
dikembangkan secara berkelanjutan oleh lembaga swadaya profesional auditor yang
tersebar di hampir seluruh negara. Dimana di setiap negara dibangun chapter
yang dapat mengelola para profesional tersebut.
Sejarah COBIT
COBIT pertama kali
diterbitkan pada tahun 1996, kemudian edisi kedua dari COBIT diterbitkan pada
tahun 1998. Pada tahun 2000 dirilis COBIT 3.0 dan COBIT 4.0 pada tahun 2005.
Kemudian COBIT 4.1 dirilis pada tahun 2007 dan saat ini COBIT yang terakhir
dirilis adalah COBIT 5.0 yang dirilis pada tahun 2012.
COBIT merupakan kombinasi
dari prinsip-prinsip yang telah ditanamkan yang dilengkapi dengan balance
scorecard dan dapat digunakan sebagai acuan model (seperti COSO) dan
disejajarkan dengan standar industri, seperti ITIL, CMM, BS779, ISO 9000.
Kerangka Kerja
COBIT
Kerangka kerja COBIT
terdiri atas beberapa arahan/pedoman, yakni:
Control Objectives
Terdiri atas 4 tujuan
pengendalian tingkat-tinggi (high-level control objectives) yang terbagi dalam
4 domain, yaitu : Planning & Organization , Acquisition &
Implementation , Delivery & Support , dan Monitoring & Evaluation.
Audit Guidelines
Berisi sebanyak 318
tujuan-tujuan pengendalian yang bersifat rinci (detailed control objectives)
untuk membantu para auditor dalam memberikan management assurance dan/atau
saran perbaikan.
Management Guidelines
Berisi arahan, baik secara
umum maupun spesifik, mengenai apa saja yang mesti dilakukan, terutama agar
dapat menjawab pertanyaan-pertanyaan berikut :
v Sejauh mana TI
harus bergerak atau digunakan, dan apakah biaya TI yang dikeluarkan sesuai
dengan manfaat yang dihasilkannya.
v Apa saja
indikator untuk suatu kinerja yang bagus.
v Apa saja faktor
atau kondisi yang harus diciptakan agar dapat mencapai sukses ( critical
success factors ).
v Apa saja
risiko-risiko yang timbul, apabila kita tidak mencapai sasaran yang ditentukan.
v Bagaimana dengan
perusahaan lainnya, apa yang mereka lakukan.
v Bagaimana
mengukur keberhasilan dan bagaimana pula membandingkannya.
Manfaat dan Pengguna
COBIT
Secara manajerial target
pengguna COBIT dan manfaatnya adalah :
Direktur dan Eksekutif
Untuk memastikan
manajemen mengikuti dan mengimplementasikan strategi searah dan sejalan dengan
TI.
Manajemen
v Untuk mengambil
keputusan investasi TI.
v Untuk
keseimbangan resiko dan kontrol investasi.
v Untuk benchmark
lingkungan TI sekarang dan masa depan.
Pengguna
Untuk memperoleh jaminan
keamanan dan control produk dan jasa yang dibutuhkan secara internal maupun
eksternal.
Auditors
v Untuk memperkuat
opini untuk manajemen dalam control internal.
v Untuk memberikan
saran pada control minimum yang diperlukan.
Kriteria
Informasi berdasarkan COBIT
Untuk memenuhi tujuan
bisnis, informasi perlu memenuhi kriteria tertentu, adapun 7 kriteria informasi
yang menjadi perhatian COBIT, yaitu sebagai berikut:
Effectiveness
(Efektivitas). Informasi yang diperoleh harus relevan dan berkaitan dengan
proses bisnis, konsisten dapat dipercaya, dan tepat waktu.
Effeciency (Efisiensi).
Penyediaan informasi melalui penggunaan sumber daya (yang paling produktif dan
ekonomis) yang optimal.
Confidentially
(Kerahasiaan). Berkaitan dengan proteksi pada informasi penting dari
pihak-pihak yang tidak memiliki hak otorisasi/tidak berwenang.
Intergrity (Integritas).
Berkaitan dengan keakuratan dan kelengkapan data/informasi dan tingkat
validitas yang sesuai dengan ekspetasi dan nilai bisnis.
Availability
(Ketersediaan). Fokus terhadap ketersediaan data/informasi ketika diperlukan
dalam proses bisnis, baik sekarang maupun dimasa yang akan datang. Ini juga
terkait dengan pengamanan atas sumber daya yang diperlukan dan terkait.
Compliance (Kepatuhan).
Pemenuhan data/informasi yang sesuai dengan ketentuan hukum, peraturan, dan
rencana perjanjian/kontrak untuk proses bisnis.
Reliability (Handal).
Fokus pada pemberian informasi yang tepat bagi manajemen untuk mengoperasikan
perusahaan dan pemenuhan kewajiban mereka untuk membuat laporan keuangan
Misi Cobit
Melakukan penelitian,
pengembangan, publikasi dan promosi terhadap control objective dari teknologi
informasi yang secara umum diterima di lingkungan internasional untuk pemakaian
sehari-hari oleh manager dan auditor.
Komponen COBIT
Framework: Mengatur tata
kelola TI tujuan dan praktek yang baik oleh TI domain dan proses, dan
menghubungkan mereka dengan kebutuhan bisnis.
Process descriptions:
Sebuah proses referensi model dan bahasa yang umum bagi semua orang dalam
sebuah organisasi. Peta proses untuk wilayah tanggung jawab merencanakan,
membangun, menjalankan dan memantau.
Control objectives:
Menyediakan satu set lengkap persyaratan tingkat tinggi untuk dipertimbangkan
oleh manajemen untuk kontrol yang efektif dari setiap proses TI.
Pedoman manajemen:
Bantuan tanggung jawab menetapkan, menyepakati tujuan, mengukur kinerja, dan
menggambarkan hubungan timbal balik dengan proses lainnya.
Maturity models: Menilai
kematangan dan kemampuan per proses dan membantu untuk mengatasi kesenjangan.
Skala maturity
dari Framework COBIT
Maturity model adalah
suatu metode untuk mengukur level pengembangan manajemen proses, yang berarti
adalah mengukur sejauh mana kapabilitas manajemen tersebut. Seberapa bagusnya
pengembangan atau kapabilitas manajemen tergantung pada tercapainya
tujuan-tujuan COBIT yang. Sebagai contoh adalah ada beberapa proses dan sistem
kritikal yang membutuhkan manajemen keamanan yang lebih ketat dibanding proses
dan sistem lain yang tidak begitu kritikal. Di sisi lain, derajat dan kepuasan
pengendalian yang dibutuhkan untuk diaplikasikan pada suatu proses adalah
didorong pada selera resiko Enterprise dan kebutuhan kepatuhan yang diterapkan.
Penerapan yang tepat pada
tata kelola TI di suatu lingkungan Enterprise, tergantung pada pencapaian tiga
aspek maturity (kemampuan, jangkauan dan kontrol). Peningkatan maturity akan
mengurangi resiko dan meningkatkan efisiensi, mendorong berkurangnya kesalahan
dan meningkatkan kuantitas proses yang dapat diperkirakan kualitasnya dan
mendorong efisiensi biaya terkait dengan penggunaan sumber daya TI.
Maturity model dapat
digunakan untuk memetakan :
1. Status pengelolaan TI
perusahaan pada saat itu.
2. Status standart
industri dalam bidang TI saat ini (sebagai pembanding)
3. Status standart internasional
dalam bidang TI saat ini (sebagai pembanding)
4. Strategi pengelolaan
TI perusahaan (ekspetasi perusahaan terhadap posisi pengelolaan TI perusahaan)
Tingkat kemampuan
pengelolaan TI pada skala maturity dibagi menjadi 6 level :
1. Level 0
(Non-existent)
Perusahaan tidak
mengetahui sama sekali proses teknologi informasi di perusahaannya.
2. Level 1
(Initial Level)
Pada level ini,
organisasi pada umumnya tidak menyediakan lingkungan yang stabil untuk
mengembangkan suatu produk baru. Ketika suatu organisasi kelihatannya mengalami
kekurangan pengalaman manajemen, keuntungan dari mengintegrasikan pengembangan
produk tidak dapat ditentukan dengan perencanaan yang tidak efektif, respon
sistem. Proses pengembangan tidak dapat diprediksi dan tidak stabil, karena
proses secara teratur berubah atau dimodifikasi selama pengerjaan berjalan
beberapa form dari satu proyek ke proyek lain. Kinerja tergantung pada
kemampuan individual atau term dan variasi dengan keahlian yang dimilikinya.
3. Level 2
(Repeatable Level)
Pada level ini, kebijakan
untuk mengatur pengembangan suatu proyek dan prosedur dalam mengimplementasikan
kebijakan tersebut ditetapkan. Tingkat efektif suatu proses manajemen dalam
mengembangankan proyek adalah institutionalized, dengan memungkinkan organisasi
untuk mengulangi pengalaman yang berhasil dalam mengembangkan proyek
sebelumnya, walaupun terdapat proses tertentu yang tidak sama. Tingkat efektif
suatu proses mempunyai karakteristik seperti; practiced, dokumentasi, enforced,
trained, measured, dan dapat ditingkatkan. Product requirement dan dokumentasi
perancangan selalu dijaga agar dapat mencegah perubahan yang tidak diinginkan.
4. Level 3
(Defined Level)
Pada level ini, proses
standar dalam pengembangan suatu produk baru didokumentasikan, proses ini
didasari pada proses pengembangan produk yang telah diintegrasikan.
Proses-proses ini digunakan untuk membantu manejer, ketua tim dan anggota tim
pengembangan sehingga bekerja dengan lebih efektif. Suatu proses yang telah
didefenisikan dengan baik mempunyai karakteristik; readiness criteria, inputs,
standar dan prosedur dalam mengerjakan suatu proyek, mekanisme verifikasi,
output dan kriteria selesainya suatu proyek. Aturan dan tanggung jawab yang
didefinisikan jelas dan dimengerti. Karena proses perangkat lunak didefinisikan
dengan jelas, maka manajemen mempunyai pengatahuan yang baik mengenai kemajuan
proyek tersebut. Biaya, jadwal dan kebutuhan proyek dalam pengawasan dan
kualitas produk yang diawasi.
5. Level 4
(Managed Level)
Pada level ini,
organisasi membuat suatu matrik untuk suatu produk, proses dan pengukuran
hasil. Proyek mempunyai kontrol terhadap produk dan proses untuk mengurangi
variasi kinerja proses sehingga terdapat batasan yang dapat diterima. Resiko
perpindahan teknologi produk, prores manufaktur, dan pasar harus diketahui dan
diatur secara hati-hati. Proses pengembangan dapat ditentukan karena proses
diukur dan dijalankan dengan limit yang dapat diukur.
6. Level 5
(Optimized Level)
Pada level ini, seluruh
organisasi difokuskan pada proses peningkatan secara terus-menerus. Teknologi
informasi sudah digunakan terintegrasi untuk otomatisasi proses kerja dalam
perusahaan, meningkatkan kualitas, efektifitas, serta kemampuan beradaptasi
perusahaan. Tim pengembangan produk menganalisis kesalahan dan defects untuk
menentukan penyebab kesalahannya. Proses pengembangan melakukan evaluasi untuk
mencegah kesalahan yang telah diketahui dan defects agar tidak terjadi lagi.
Manfaat dan
Pengguna COBIT
Secara manajerial
target pengguna COBIT dan manfaatnya adalah :
Direktur dan Eksekutif
Untuk memastikan
manajemen mengikuti dan mengimplementasikan strategi searah dan sejalan dengan
TI.
Manajemen
1. Untuk mengambil
keputusan investasi TI.
2. Untuk keseimbangan
resiko dan kontrol investasi.
3. Untuk benchmark
lingkungan TI sekarang dan masa depan.
Pengguna
Untuk memperoleh jaminan
keamanan dan control produk dan jasa yang dibutuhkan secara internal maupun
eksternal.
Auditors
1. Untuk memperkuat opini
untuk manajemen dalam control internal.
2. Untuk memberikan saran
pada control minimum yang diperlukan.
CONTOH KASUS
PADA PT TRANSINDO JAYA KOMARA,MENGGUNAKAN METODE DELIVER &SUPPORT DOMAIN DS
Dalam memanage investasi
didalam teknologinya, PT Freeport telah mengimplementasikan Good Mining
Practice dalam melakukan penambangan dimana PT Freeport mengadopsi ketujuh
aspek dari good mining practice yaitu: penerapan teknologi penambangan yang
tepat, peduli lingkungan, penerapan prinsip konservasi, punya nilai tambah
pengembangan wilayah dan masyarakat sekitar, optimalisasi pemanfaatan logam dan
mineral bagi masyarakat, dan standarisasi pertambangan. Dalam pengelolaannya PT
Freeport sangat baik dalam mengelola teknologinya, hal ini dikarenakan
teknologi merupakan hal yang terpenting dalam PT Freeport untuk mengembangkan
bisnisnya serta membantu bisnisnya agar mendapatkan hasil yang maksimal.
Dalam memanage investasi didalam teknologinya, PT Freeport telah mengimplementasikan Good Mining Practice dalam melakukan penambangan dimana PT freeport mengadopsi ketujuh aspek dari good mining practice yaitu: penerapan teknologi penambangan yang tepat, peduli lingkungan, penerapan prinsip konservasi, punya nilai tambah pengembangan wilayah dan masyarakat sekitar, optimalisasi pemanfaatan logam dan mineral bagi masyarakat, dan standarisasi pertambangan.
Dalam memanage investasi didalam teknologinya, PT Freeport telah mengimplementasikan Good Mining Practice dalam melakukan penambangan dimana PT freeport mengadopsi ketujuh aspek dari good mining practice yaitu: penerapan teknologi penambangan yang tepat, peduli lingkungan, penerapan prinsip konservasi, punya nilai tambah pengembangan wilayah dan masyarakat sekitar, optimalisasi pemanfaatan logam dan mineral bagi masyarakat, dan standarisasi pertambangan.
DS13 Manage Operations
Kerangka Kerja ICMM untuk
Pembangunan Berkelanjutan
Melaksanakan Praktik
Pertambangan Yang Baik (Good Mining Practices) sesuai dengan komitmen kami
dalam pencapaian tujuan pembangunan berkelanjutan. Melalui good mining
practices, kami berupaya melakukan aktivitas pertambangan yang menaati aturan,
terencana dengan baik, menerapkan teknologi yang sesuai yang berlandaskan pada
efektifitas dan efisiensi, melaksanakan konservasi bahan galian, mengendalikan
dan memelihara fungsi lingkungan, menjamin keselamatan kerja, mengakomodir
keinginan dan partisipasi masyarakat, menghasilkan nilai tambah, meningkatkan
kemampuan dan kesejahteraan masyarakat sekitar.
SUMBER:
