KONSEP DASAR PENGENDALIAN INTERNAL. HUBUNGAN ANTARA
PENGENDALIAN INTERNAL, MANAJEMEN RISIKO, CORPORATE
GOVERNANCE DAN IT GOVERNANCE
Mata Kuliah : Sistem Informasi dan Pengendalian Internal
Oleh :
Hutria Angelina Mamentu, SE 55516120041
Dosen Pengampu :
Prof. Dr. Ir. Hapzi Ali, MM, CMA
Universitas Mercu Buana Jakarta
1. KERENTANAN DAN PENYALAHGUNAAN SISTEM
Setiap sistem pasti mempunyai kekurangan dan kelebihannya masing-masing. Sistem informasi dalam bentuk elektronika sangat rentan terhadap acaman yang akan timbul yang diakibatkan oleh faktor-faktor tertentu.
Kerentanan sistem merupakan kelemahan dalam suatu sistem, sedangkan hambatan (ancaman) merupakan bentuk eksploitasi potensial dari kerentanan. Ketika sejumlah data penting berada dalam bentuk digital, maka data tersebut rentan terhadap berbagai jenis ancaman, dari pada data yang tersimpan secara manual. Ancaman-ancaman tersebut bisa saja berasal dari faktor teknis, organisasi, dan lingkungan yang diperparah oleh akibat keputusan manajemen yang buruk.
Kemajuan dalam telekomunikasi dan perangkat lunak dan keras computer secara signifikan juga memberikan kontribusi atas meningkatnya kerentanan dan gangguan terhadap sistem informasi. Melalui jaringan telekomunikasi, informasi disebarkan atau dihubungkan ke berbagai lokasi. Kemungkinan adanya akses yang tidak sah, gangguan atau kecurangan dapat saja terjadi baik di satu atau beberapa lokasi yang terhubung. Semakin kompleksnya perangkat keras juga menciptakan kemungkinan terjadinya peluang untuk penetrasi dan manipulasi penggunaan sistem informasi.
Pertumbuhan dan penggunaan yang pesat internet dalam berbagai aktivitas juga mengundang timbulnya berbagai gangguan terhadap system informasi. Dua hal yang menjadi perhatian di sini adalah masalah hackers dan virus. Hacker adalah seseorang yang melakukan akses yang tidak sah ke jaringan komputer untuk tujuan mencari keuntungan, kriminal, atau hanya untuk sekedar kesenangannya. Sedangkan virus adalah program yang mengganggu dan merusak file yang ada dalam komputer, serta sulit untuk dideteksi. Virus ini dapat cepat sekali menyebar, menghancurkan file, dan mengganggu pemrosesan dan memory sistem informasi. Umumnya, untuk mencegah penyebaran virus yang menyerang, digunakan program khusus anti virus yang didesain untuk mengecek sistem computer dan file yang ada dari kemungkinan terinfeksi oleh virus komputer. Seringkali, anti virus ini mampu untuk mengeliminasi virus dari area yang terinfeksi. Namun, program antivirus ini hanya dapat untuk mengeliminasi atas virus-virus komputer yang sudah ada.
Beberapa ancaman dan gangguan yang mungkin terjadi dan berpengaruh terhadap sistem informasi, adalah sebagai berikut:
7. Permasalahan listrik.
8. Kesalahan-kesalahan pengguna. 9. Program berubah.
10. Permasalahan-permasalahan telekomunikasi.
Oleh karenanya, para pengguna komputer disarankan untuk secara berkala memperbarui program anti virus mereka. Semakin meningkatnya kerentanan dan gangguan terhadap teknologi informasi telah membuat para pengembang dan pengguna system informasi untuk menempatkan perhatian yang khusus, terutama terhadap permasalahan-permasalahan yang dapat menjadi kendala untuk penggunaan sistem informasi secara memadai.
Dalam multi-tier client / server lingkungan komputasi yang digambarkan di sini, kerentanan ada pada setiap lapisan dan dalam komunikasi antara lapisan. Pengguna pada lapisan klien dapat menyebabkan kerusakan dengan memperkenalkan kesalahan atau dengan mengakses sistem tanpa otorisasi. Hal ini dimungkinkan untuk mengakses data yang mengalir melalui jaringan, mencuri data berharga selama transmisi, atau mengubah pesan tanpa otorisasi. Radiasi dapat mengganggu jaringan di berbagai titik juga. Penyusup dapat memulai penolakan-serangan layanan atau perangkat lunak berbahaya untuk mengganggu pengoperasian situs web. Mereka mampu menembus sistem perusahaan dan dapat merusak atau mengubah data perusahaan yang disimpan dalam database atau file.
Ancaman paling umum sistem informasi kontemporer
A. Program Perangkat Lunak Berbahaya: virus, worms, trojan horse, dan spyware
program perangkat lunak atau file data untuk dieksekusi, biasanya tanpa sepengetahuan pengguna atau izin. Kebanyakan virus komputer memberikan “muatan.” Payload mungkin relatif jinak, seperti petunjuk untuk menampilkan pesan atau gambar, atau mungkin sangat merusak-merusak program atau data, menyumbat memori komputer, memformat hard drive komputer, atau program menyebabkan untuk menjalankan benar. Virus biasanya menyebar dari komputer ke komputer ketika manusia mengambil tindakan, seperti mengirim lampiran e-mail atau menyalin file yang terinfeksi. Kebanyakan serangan baru-baru ini datang dari worms, yang merupakan program komputer independen yang menyalin diri dari satu komputer ke komputer lain melalui jaringan. (Tidak seperti virus, mereka dapat beroperasi sendiri tanpa melampirkan file program komputer lain dan kurang mengandalkan perilaku manusia untuk menyebar dari komputer ke komputer. Hal ini menjelaskan mengapa worms komputer menyebar jauh lebih cepat daripada virus komputer.) Worms menghancurkan data dan program serta mengganggu atau bahkan menghentikan pengoperasian jaringan komputer.
Sebuah Trojan horse adalah program perangkat lunak yang tampaknya menjadi jinak tetapi kemudian melakukan sesuatu yang lain dari yang diharapkan, seperti Zeus Trojan yang dijelaskan dalam kasus bab pembukaan. Trojan horse tidak sendiri virus karena tidak meniru, tetapi sering merupakan cara untuk virus atau kode berbahaya lainnya yang akan dimasukkan ke dalam sistem komputer. Istilah Trojan horse didasarkan pada kuda kayu besar yang digunakan oleh orang Yunani untuk mengelabui Trojan untuk membuka gerbang ke kota mereka dibentengi selama Perang Troya. Setelah di dalam tembok kota, tentara Yunani yang tersembunyi di kuda mengungkapkan diri mereka sendiri dan merebut kota. Pada saat ini, serangan injeksi SQL adalah ancaman malware terbesar. Serangan injeksi SQL memanfaatkan kerentanan dalam kode buruk perangkat lunak aplikasi web untuk memperkenalkan kode program berbahaya ke dalam sistem perusahaan dan jaringan. Kerentanan ini terjadi ketika aplikasi Web gagal untuk benar memvalidasi atau data filter dimasukkan oleh pengguna pada halaman Web, yang mungkin terjadi ketika memesan sesuatu secara online. Penyerang menggunakan masukan ini kesalahan validasi untuk mengirim query SQL nakal ke database untuk mengakses database, tanaman kode berbahaya, atau akses sistem lain pada jaringan. Aplikasi Web besar memiliki ratusan tempat untuk memasukkan data pengguna, yang masing-masing menciptakan kesempatan bagi serangan injeksi SQL.
B. Hacker dan Kejahatan Komputer
sering mengambil keuntungan dari berbagai fitur Internet yang membuatnya sistem terbuka yang mudah digunakan.
Spoofing dan Sniffing
Hacker mencoba untuk menyembunyikan identitas mereka yang sebenarnya sering spoof, atau menggambarkan, diri mereka sendiri dengan menggunakan alamat e-mail palsu atau menyamar sebagai orang lain. Spoofing mungkin juga melibatkan mengarahkan link Web ke alamat yang berbeda dari yang dimaksudkan, dengan situs yang menyamar sebagai tujuan. Sebagai contoh, jika hacker mengarahkan pelanggan ke situs web palsu yang terlihat hampir persis seperti situs yang benar, mereka dapat kemudian mengumpulkan dan proses order, efektif mencuri bisnis serta informasi pelanggan yang sensitif dari situs yang benar. Sebuah sniffer adalah jenis program penyadapan yang memonitor informasi bepergian melalui jaringan. Ketika digunakan secara sah, sniffer membantu mengidentifikasi potensi titik masalah jaringan atau kegiatan kriminal pada jaringan, tetapi bila digunakan untuk tujuan kriminal, mereka dapat merusak dan sangat sulit untuk dideteksi. Sniffer memungkinkan hacker untuk mencuri informasi hak milik dari mana saja pada jaringan, termasuk pesan e-mail, file perusahaan, dan laporan rahasia.
Denial of Service Attack
Dalam denial-of-service (DoS) serangan, hacker banjir server jaringan atau server Web dengan ribuan komunikasi palsu atau permintaan untuk layanan untuk kecelakaan jaringan. Jaringan menerima begitu banyak permintaan yang tidak dapat bersaing dengan mereka dan dengan demikian tidak tersedia untuk melayani permintaan yang sah. Didistribusikannya denial-of-service (DDoS) serangan menggunakan banyak komputer untuk menggenangi dan membanjiri jaringan dari berbagai titik peluncuran.
Computer Crime
Identity Theft (Pencurian identitas)
Dengan pertumbuhan internet dan perdagangan elektronik, pencurian identitas telah menjadi sangat mengganggu. Pencurian identitas adalah kejahatan di mana seorang penipu memperoleh potongan kunci informasi pribadi, seperti nomor jaminan sosial identifikasi, nomor SIM, atau nomor kartu kredit, untuk menyamar orang lain. Informasi yang dapat digunakan untuk memperoleh kredit, barang, atau jasa atas nama korban atau untuk memberikan pencuri dengan mandat palsu. Menurut Javelin Strategy dan Penelitian, kerugian dari pencurian identitas naik menjadi $ 54 miliar pada tahun 2009, dan lebih dari 11 juta orang dewasa AS adalah korban penipuan identitas (Javelin Strategy & Research, 2010).
Click Fraud (klik Penipuan)
Ketika Anda mengklik pada iklan yang ditampilkan oleh mesin pencari, pengiklan biasanya membayar biaya untuk setiap klik, yang seharusnya mengarahkan calon pembeli untuk produk-produknya. Klik penipuan terjadi ketika program individu atau komputer curang mengklik iklan online tanpa niat belajar lebih banyak tentang pengiklan atau melakukan pembelian. Klik penipuan telah menjadi masalah serius di Google dan situs lainnya yang menampilkan bayar per-klik iklan online.
C. Ancaman Internal: Karyawan
Kita cenderung berpikir ancaman keamanan untuk bisnis berasal dari luar organisasi. Bahkan, orang dalam perusahaan menimbulkan masalah keamanan serius. Karyawan memiliki akses ke informasi rahasia, dan dengan adanya prosedur keamanan internal ceroboh, mereka sering mampu menjelajah seluruh sistem organisasi tanpa meninggalkan jejak. Studi telah menemukan bahwa kurangnya pengguna pengetahuan adalah penyebab tunggal terbesar dari pelanggaran keamanan jaringan. Banyak karyawan lupa password mereka untuk mengakses sistem komputer atau memungkinkan rekan kerja untuk menggunakannya, yang terdiri sistem. Penyusup berbahaya mencari akses sistem kadang-kadang menipu karyawan untuk mengungkapkan password mereka dengan berpura-pura menjadi anggota yang sah dari perusahaan yang membutuhkan informasi. Praktek ini disebut social engineering.
D. Kerentanan Software
NILAI BISNIS DARI PENGAMANAN DAN PENGENDALIAN
A. Persyaratan dan Peraturan untuk hukum Electronic Records Management
Peraturan pemerintah AS baru-baru ini memaksa perusahaan untuk mengambil keamanan dan kontrol yang lebih serius oleh mandat perlindungan data dari penyalahgunaan, paparan, dan akses yang tidak sah. Perusahaan menghadapi kewajiban hukum baru untuk retensi dan penyimpanan catatan elektronik serta untuk perlindungan privasi, yaitu:
ERM HIPAA
Gramm-Leach-Bliley Sarbanes-Oxley
B. Bukti Elektronik dan Forensik Komputer
Sebuah kebijakan retensi dokumen elektronik yang efektif memastikan bahwa dokumen elektronik, e-mail, dan catatan lainnya yang terorganisasi dengan baik, dapat diakses, dan tidak ditahan terlalu lama atau terlalu cepat dibuang. Hal ini juga mencerminkan kesadaran tentang bagaimana untuk menyimpan bukti potensi forensik komputer. Forensik komputer adalah koleksi ilmiah, pemeriksaan, otentikasi, pelestarian, dan analisis data dilaksanakan pada atau diambil dari media penyimpanan komputer sedemikian rupa bahwa informasi yang dapat digunakan sebagai bukti dalam pengadilan. Ini berkaitan dengan masalah berikut:
Memulihkan data dari komputer sambil menjaga integritas bukti Aman menyimpan dan penanganan data elektronik pulih
Mencari informasi yang signifikan dalam volume besar data elektronik Menyajikan informasi untuk pengadilan
Bukti elektronik mungkin berada pada media penyimpanan komputer dalam bentuk file komputer dan sebagai data ambien, yang tidak terlihat oleh pengguna rata-rata. Sebuah contoh mungkin file yang telah dihapus pada PC hard drive. Data yang pengguna komputer mungkin telah dihapus pada media penyimpanan komputer dapat dipulihkan melalui berbagai teknik. Ahli forensik komputer mencoba untuk memulihkan data tersembunyi seperti untuk presentasi sebagai bukti.
2. MENETAPKAN KERANGKA KERJA UNTUK PENGAMANAN DAN PENGENDALIAN
A. Pengendalian Sistem Informasi
umum seluruh infrastruktur teknologi informasi organisasi. Secara keseluruhan, kontrol umum berlaku untuk semua aplikasi komputerisasi dan terdiri dari kombinasi hardware, software, dan prosedur manual yang menciptakan lingkungan kontrol secara keseluruhan. Kontrol umum mencakup kontrol perangkat lunak, kontrol fisik perangkat keras, kontrol operasi komputer, kontrol keamanan data, kontrol atas pelaksanaan proses sistem, dan kontrol administratif. Kontrol aplikasi yaitu kontrol khusus yang unik untuk masing-masing aplikasi terkomputerisasi, seperti gaji atau perintah pengolahan. Mereka mencakup prosedur otomatis dan manual yang memastikan bahwa data hanya berwenang yang lengkap dan akurat diproses oleh aplikasi tersebut. Kontrol aplikasi dapat diklasifikasikan sebagai (1) kontrol input, (2) kontrol pengolahan, dan (3) kontrol output.
B. Perkiraan Resiko
Sebuah penilaian risiko menentukan tingkat risiko ke perusahaan jika kegiatan atau proses tertentu tidak terkontrol dengan baik. Tidak semua risiko bisa diantisipasi dan diukur, tetapi sebagian besar bisnis akan dapat memperoleh beberapa pemahaman tentang risiko yang mereka hadapi. Manajer bisnis bekerja dengan spesialis sistem informasi harus mencoba untuk menentukan nilai aset informasi, poin kerentanan, frekuensi kemungkinan masalah, dan potensi kerusakan.
C. Kebijakan Keamanan
Setelah Anda mengidentifikasi risiko utama untuk sistem Anda, perusahaan Anda akan perlu untuk mengembangkan kebijakan keamanan untuk melindungi aset perusahaan. Sebuah kebijakan keamanan terdiri dari laporan peringkat risiko informasi, mengidentifikasi tujuan keamanan diterima, dan mengidentifikasi mekanisme untuk mencapai tujuan-tujuan ini. Manajemen harus memperkirakan berapa banyak biaya untuk mencapai tingkat risiko yang dapat diterima.
D. Perencanaan Pemulihan Bencana dan Perencanaan Kontinuitas Usaha
Jika kita menjalankan bisnis, kita perlu merencanakan untuk acara, seperti listrik padam, banjir, gempa bumi, atau serangan teroris yang akan mencegah sistem informasi anda dan bisnis Anda dari operasi. Perangkat perencanaan pemulihan bencana berencana untuk pemulihan komputasi dan komunikasi jasa setelah mereka terganggu. Rencana pemulihan bencana fokus terutama pada masalah teknis yang terlibat dalam menjaga sistem dan berjalan, seperti yang file membuat cadangan dan pemeliharaan sistem komputer cadangan atau layanan pemulihan bencana.
E. Peran Audit
menggunakan, jika sesuai, perangkat lunak audit otomatis. Audit MIS juga dapat memeriksa kualitas data.
TEKNOLOGI DAN ALAT UNTUK MELINDUNGI SUMBER INFORMASI
A. Management Identitas dan Otentikasi
Perusahaan besar dan menengah memiliki infrastruktur TI yang kompleks dan sistem yang berbeda, masing-masing dengan mengatur sendiri pengguna. Perangkat lunak manajemen identitas mengotomatisasi proses melacak semua pengguna ini dan hak istimewa sistem mereka, menetapkan setiap pengguna identitas digital yang unik untuk mengakses setiap sistem. Hal ini juga mencakup perangkat untuk otentikasi pengguna, melindungi identitas pengguna, dan mengendalikan akses ke sumber daya sistem.
B. Firewall, Intrusion Detection Systems, dan Antivirus Software
Tanpa perlindungan terhadap malware dan penyusup, menghubungkan ke Internet akan sangat berbahaya. Firewall, sistem deteksi intrusi, dan perangkat lunak antivirus telah menjadi alat bisnis yang penting.
Firewall
Firewall mencegah pengguna yang tidak sah mengakses jaringan pribadi. Firewall adalah kombinasi dari hardware dan software yang mengontrol arus lalu lintas jaringan masuk dan keluar. Hal ini umumnya ditempatkan antara jaringan internal yang swasta organisasi dan jaringan eksternal tidak mempercayai, seperti Internet, meskipun firewall juga dapat digunakan untuk melindungi satu bagian dari jaringan perusahaan dari sisa jaringan.
Firewall ditempatkan antara perusahaan jaringan pribadi dan Internet publik atau jaringan lain tidak mempercayai untuk melindungi terhadap lalu lintas yang tidak sah.
Intrusion Detection Systems
Selain firewall, vendor keamanan komersial sekarang menyediakan alat-alat deteksi intrusi dan layanan untuk melindungi terhadap lalu lintas jaringan yang mencurigakan dan upaya untuk mengakses file dan database. Sistem deteksi intrusi fitur alat pemantauan penuh waktu ditempatkan pada titik-titik yang paling rentan
atau “hot spot” dari jaringan perusahaan untuk mendeteksi dan mencegah penyusup
terus. Sistem ini menghasilkan alarm jika menemukan peristiwa yang mencurigakan atau anomali. Scanning software mencari pola menunjukkan metode yang dikenal serangan komputer, seperti password yang buruk, memeriksa untuk melihat apakah file penting telah dihapus atau diubah, dan mengirimkan peringatan vandalisme atau sistem administrasi kesalahan. Pemantauan software meneliti peristiwa seperti yang terjadi untuk menemukan serangan keamanan berlangsung. Alat deteksi intrusi juga dapat disesuaikan untuk menutup bagian sangat sensitif dari jaringan jika menerima lalu lintas yang tidak sah.
Antivirus and Antispyware Software
Rencana teknologi defensif untuk kedua individu dan bisnis harus mencakup perlindungan antivirus untuk setiap komputer. Perangkat lunak antivirus dirancang untuk memeriksa sistem komputer dan drive untuk kehadiran virus komputer. Seringkali perangkat lunak menghilangkan virus dari daerah yang terinfeksi. Namun, perangkat lunak antivirus yang paling efektif hanya terhadap virus yang sudah dikenal ketika perangkat lunak ditulis. Untuk tetap efektif, perangkat lunak antivirus harus terus diperbarui. Produk antivirus yang tersedia untuk berbagai jenis perangkat mobile dan handheld selain server, workstation, dan PC desktop.
Unified Threat Management System
Untuk membantu bisnis mengurangi biaya dan meningkatkan pengelolaan, vendor keamanan telah digabungkan menjadi satu alat berbagai alat keamanan, termasuk firewall, jaringan pribadi virtual, sistem deteksi intrusi, dan konten Web penyaringan dan software antispam. Produk manajemen keamanan yang komprehensif ini disebut manajemen ancaman terpadu (UTM) sistem. Meskipun awalnya ditujukan untuk businesss kecil dan menengah, produk UTM tersedia untuk semua ukuran jaringan. Vendor terkemuka UTM termasuk palang, Fortinent, dan Check Point, dan vendor jaringan seperti Cisco Systems dan Juniper Networks menyediakan beberapa kemampuan UTM dalam peralatan mereka.
C. Mengamankan Jaringan Wireless
adalah untuk menetapkan nama unik untuk SSID jaringan Anda dan menginstruksikan router Anda tidak menyiarkannya. Perusahaan dapat lebih meningkatkan keamanan Wi-Fi dengan menggunakannya dalam hubungannya dengan virtual private network (VPN) teknologi saat mengakses data internal perusahaan.
D. Enkripsi dan Infrastruktur Kunci Publik
Banyak bisnis menggunakan enkripsi untuk melindungi informasi digital yang mereka menyimpan, mentransfer secara fisik, atau mengirim melalui Internet. Enkripsi adalah proses transformasi teks biasa atau data ke dalam teks cipher yang tidak dapat dibaca oleh orang lain selain pengirim dan penerima yang dimaksudkan. Data yang dienkripsi dengan menggunakan kode numerik rahasia, disebut kunci enkripsi, yang mengubah data biasa ke dalam teks cipher. Pesan harus didekripsi oleh penerima.
Dua metode untuk mengenkripsi lalu lintas jaringan di Web adalah SSL dan S-HTTP. Secure Socket Layer (SSL) dan Transport Layer Security penerus nya (TLS) memungkinkan klien dan server komputer untuk mengelola kegiatan enkripsi dan dekripsi karena mereka berkomunikasi satu sama lain selama sesi Web aman. Aman Hypertext Transfer Protocol (S-HTTP) adalah protokol lain yang digunakan untuk mengenkripsi data yang mengalir melalui Internet, tetapi terbatas untuk pesan individu, sedangkan SSL dan TLS dirancang untuk membuat sambungan aman antara dua komputer.
Enkripsi Kunci Publik
Sebuah sistem enkripsi kunci publik dapat dilihat sebagai rangkaian kunci publik dan swasta yang mengunci data ketika mereka ditransmisikan dan membuka data ketika mereka diterima. Pengirim menempatkan kunci publik penerima dalam sebuah direktori dan menggunakannya untuk mengenkripsi pesan. Pesan dikirim dalam bentuk terenkripsi melalui Internet atau jaringan pribadi. Ketika pesan terenkripsi tiba, penerima menggunakan kunci pribadi nya untuk mendekripsi data dan membaca pesan.
E. Memastikan Sistem Ketersediaan
F. Memastikan Kualitas Software
Selain menerapkan keamanan dan kontrol yang efektif, organisasi dapat meningkatkan kualitas dan keandalan sistem dengan menggunakan metrik perangkat lunak dan pengujian perangkat lunak yang ketat. Metrik perangkat lunak adalah penilaian obyektif dari sistem dalam bentuk pengukuran kuantitatif. Penggunaan berkelanjutan metrik memungkinkan pengguna sistem informasi departemen dan akhir untuk bersama-sama mengukur kinerja sistem dan mengidentifikasi masalah yang terjadi. Contoh metrik perangkat lunak meliputi jumlah transaksi yang dapat diproses di unit waktu tertentu, waktu respon online, jumlah cek gaji yang dicetak per jam, dan jumlah bug yang dikenal per seratus baris kode program. Untuk metrik menjadi sukses, mereka harus hati-hati dirancang, formal, objektif, dan digunakan secara konsisten.
Daftar pustaka :
Ali, H. (2017). “Sistem Informasi dan Pengendalian Internal”, Modul 9. Universitas
Mercu Buana. [Online]. Tersedia:
https://pasca-elearning.mercubuana.ac.id/mod/resource/view.php?id=2909.html. [03 Mei 2017]
Laudon, Kenneth C. dan Laudon, Jane P. 2012. MANAGEMENT INFORMATION SYSTEMS. New Jersey: Pearson Prentice Hall
Murfi, Sultan Ali. (2015). Chapter 8: Melindungi Sistem Informasi. [Online]. Tersedia:
http://sultanalimurfi.blog.upi.edu/2015/10/18/chapter-8-melindungi-sistem-informasi/.html. [3 Mei 2017].
Alkautsaroh. (2015). Chapter 8: Mengamankan Sistem Informasi. [Online]. Tersedia:
