TUGAS
AUDIT SISTEM INFORMASI PADA PT
IJS DENGAN MENGGUNAKAN
COBIT 4.1
Disusun Oleh:
Heru Siswanto (1461404978)
FAKULTAS TEKNIK INFORMATIKA
A.
Latar Belakang
Kemajuan teknologi informasi yang ada sangat berpengaruh terhadap peningkatan efisiensi serta efektivitas kegiatan bisnis dalam mengembangkan perusahaan. Kegiatan bisnis akan berhasil apabila teknologi informasi bisa diselaraskan dengan kegiatan perusahaan. Agar selaras, evaluasi perlu dilakukan sehingga perusahaan memiliki kemampuan untuk bersaing dalam dunia bisnis (Prasita dan Adi, 2007).
PT IJS adalah perusahaan depo container wilayah Surabaya yang bukan hanya menjual container ke pelanggan tetapi juga memberikan layanan service kepada konsumen. Dalam menjalani usaha ini, teknologi informasi digunakan dalam operasional perusahaan baik dalam penjualan, service maupun sistem HRD-nya. Teknologi informasi yang digunakan dalam perusahaan ini dibagi menjadi dua sektor utama yaitu TI pada sektor penjualan dan sektor service. Sektor penjualan digunakan untuk mengelola, menyimpan data pelanggan, menampilkan data spesifikasi kendaraan serta menunjukkan jumlah kendaraan yang tersedia melalui sistem sedangkan pada sektor service, TI digunakan untuk menyimpan history record service kendaraan dan menampilkan keluhan terakhir pelanggan. Selain itu teknologi informasi ini juga untuk menjelaskan mengenai kepegawaian para karyawan di Daihatsu. Dengan demikian teknologi informasi memudahkan kinerja perusahaan, dan dapat mengikuti perkembangan bisnis.
PT IJS sudah cukup lama menggunakan teknologi informasi ini sebagai alat bantu dalam memberikan layanan kepada konsumen. Agar bisnis berjalan dengan baik maka perusahaan ini diperlukan audit terhadap teknologi informasi untuk mengetahui apakah teknologi informasi yang telah berjalan sudah memenuhi standar kontrol umum atau belum.
Dalam penelitian ini, standar kontrol umum terhadap teknologi informasi yang digunakan yaitu COBIT 4.1. Penulis memilih COBIT 4.1 sebagai framework IT yang digunakan pada kerangka kerja untuk melakukan audit karena dapat membantu mengevaluasi kinerja teknologi informasi dan mengelola risiko perusahaan dengan tepat.
COBIT merupakan standar kontrol umum untuk pengendalian terhadap teknologi informasi. COBIT 4.1 menyediakan framework dan para meter yang membantu penilaian risiko suatu perusahaan dengan menggunakan maturity models. Maturity models sebagai alat ukur dalam mengetahui kondisi proses IT yang digunakan perusahaan saat ini. Maturity models dikelompokan dari level 0 (nol) atau non-existent (belum tersedia) hingga level 5 (lima) atau optimized (teroptimasi). Level maturity models dibuat dengan tujuan supaya pihak manajemen dapat dengan mudah memahami dan mengidentifikasi setiap proses teknologi informasi yang ada dalam suatu perusahaan.
Berdasarkan uraian dan latar belakang tersebut, maka penulis memutuskan untuk melakukan penelitian pada PT IJS dengan judul “Audit Teknologi Informasi pada PT IJS dengan Menggunakan Pendekatan COBIT 4.1“.
B.
Rumusan Masalah
Berdasarkan latar belakang di atas, adapun rumusan masalah dari penelitian ini adalah : 1. Bagaimana hasil analisa maturity level teknologi informasi pada PT IJS?
2. Rekomendasi apa yang dapat diberikan berdasarkan hasil analisa maturity level tersebut?
C.
Batasan Masalah
Dalam penelitian ini, penulis membatasi masalah-masalah yang diteliti sebagai berikut :
D. Teknik Audit Sistem Informasi
2.1 Tujuan Audit Sistem Informasi
Audit sistem informasi menurut Ron Weber (1999) adalah :
1. Mengamankan Aset
Dalam sebuah perusahaan aset informasi seperti hardware, software, sumber daya manusia , dan file data harus dijaga oleh suatu sistem pengendalian intern yang baik agar tidak terjadi penyalahgunaan aset.
2. Menjaga Integritas Data
Integritas data adalah salah satu konsep dasar sistem informasi. Data memiliki atribut-atribut tertentu seperti : kelengkapan, kebenaran, dan keakuratan.
3. Efektifitas
Sistem efektifitas sistem informasi perusahaan memiliki peranan penting dalam proses pengambilan keputusan. Suatu sistem informasi dapat dikatakan efektif bila sistem informasi tersebut telah sesuai dengan kebutuhan user.
4. Efisiensi
Sistem efisiensi menjadi hal yang sangat penting ketika suatu komputer tidak lagi memiliki kapasitas yang memadai.
5. Ekonomi
Ekonomis mencerminkan kalkulasi untuk rugi ekonomi (cost/benefit) yang lebih bersifat kuantifikasi nilai moneter (uang).
2.2 Tahapan Audit Sistem Informasi
1. Perencanaan audit (Planning The Audits)
Perencanaan merupakan tahapan pertama pertama dalam audit. Tahapan ini dapat berisi aktivitasaktivitas yang berbeda bagi auditor internal dan eksternal.
2. Pengujian Kendali (Test Of Controls)
Pengujian kendali dilakukan apabila pada saat penilaian resiko kendali diperoleh hasil dibawah tingkat maksimum. Tujuan dari pengujian kendali adalah mengevaluasi dan memastikan kendali tersebut benar-benar reliable.
3. Pengujian Transaksi (Test Of Transactions)
Pengujian transaksi untuk mengevaluasi apakah kekeliruan atau proses yang tidak menentu dari suatu transaksi telah membawa pokok pernyataan yang salah dari informasi finansial. Ciri pembuktian pengujian transaksi meliputi terjemahan catatan jurnal untuk sumber dokumen, pengujian file-file harga, dan menguji keakuratan perhitungan.
4. Pengujian Keseimbangan atau Keseluruhan Hasil
(Test Of Balances Or Overral Results) Pengujian keseimbangan atau keseluruhan hasil dalam mengadakan cukup bukti / fakta untuk membuat suatu keputusan final dari kehilangan atau pernyataan yang salah yang terjadi ketika fungsi sistem informasi gagal dalam menyelamatkan aset, pemeliharaan integritas data, dan sistem yang efektif dan efisien.
5. Penyelesaian Audit (Completions Of The Audits)
Penyelesaian merupakan tahapan terakhir dalam audit. Tahap ini berisi penyelesaian keseluruhan audit yang telah dilakukan agar didapatkan hasil yang sesuai dengan yang diharapkan.
2.3 COBIT
2.3.1 Prinsip COBIT 5
COBIT 5 memungkinkan teknologi informasi melakukan tata kelola dan manajemen secara holistik untuk keseluruhan enterprise, mengelola bisnis dari ujung ke ujung, bertanggung jawab pada keseluruhan area fungsi teknologi informasi. Selain itu juga dalam COBIT 5 menyediakan fasilitas dalam cakupan stakeholder internal dan eksternal. COBIT 5 bersikap global dan bermanfat untuk semua enterprise dengan berbagai skala, baik komersial, non profit, maupun sektor publik. COBIT 5 mempunyai lima prinsip (ISACA, 2012) :
Gambar 2.1 Prinsip COBIT 5 (ISACA, 2012)
COBIT 5 berdasarkan lima prinsip kunci pada gambar 2.1 untuk tata kelola dan manajemen TI (ISACA, 2012) adalah :
1. Prinsip 1 : Menemukan kebutuhan stakeholder
2. Prinsip 2 : Mencakup ujung ke ujung enterprise
4. Prinsip 4 : Mengaktifkan pendekatan holistik
5. Prinsip 5 : Memisahkan tata kelola dengan manajemen
2.3.2 COBIT 5 Process Reference Model
Gambar 2.2 Area Kunci Tata Kelola dan Manajemen COBIT 5 (ISACA, 2012)
Proses pada COBIT 5 terdiri dari dua proses yaitu proses tata kelola dan proses manajemen.
1. Tata kelola: berisi lima proses tata kelola; yang masing-masing proses dievaluasi, diarahkan, dimonitor (EDM)
2. Manajemen: berisi empat domain, selaras dengan area tanggung jawab untuk merencanakan, membangun, menjalankan, dan mengawasi (PBRM), dan menyediakan cakupan teknologi informasi dari ujung ke ujung. Domain ini merupakan evolusi dari domain
COBIT 4.1 dan struktur proses. Berikut nama domainnya:
a. Align, Plan, Organise (APO)
b. Build, Acquire, and Implement (BAI)
c. Deliver, Service, and Support (DSS)
d. Monitor, Evaluate, and Assess (MEA)
Menurut ISACA (2012;15) COBIT 5 merupakan panduan ISACA yang membahas tata kelola dan manajemen teknologi informasi. COBIT 5 dibuat berdasarkan best practice dan pengguna dari komunitas teknologi informasi, resiko, asuransi, dan keamanan. Ada
a. Management : Untuk membantu pihak manajemen, menyeimbangkan resiko dengan
investasi pengendalian dalam teknologi informasi yang sulit diprediksi.
b. User : Untuk memperoleh keyakinan atas layanan keamanan dan pengendalian disediakan pihak ketiga ataupun internal.
c. Auditor : Untuk mendukung / memperkuat opini yang dihasilkan untuk memberikan saran kepada manajemen atas pengendalian internal yang ada.
2.3.3 Proses Teknologi Informasi dalam domain
DSS (Deliver, Service, and Support) Domain ini menitikberatkan tentang bagaimana sebuah teknologi di transfer dengan maksimal pada sebuah organisasi dengan disertai oleh dukungan untuk implementasi dan integrasi TI yang efektif dan efisien dalam sebuah proses bisnis.domain ini terdiri dari 6 (enam) proses. Proses teknologi informasi dalam domain DSS (Deliver, Service, and Support) berdasarkan COBIT 5 adalah sebagai berikut :
1. DSS01 : Manage Operations (Mengelola Operasi)
2. DSS02 : Manage Sercvice Request and Incidents (Mengelola Permintaan Layanan dan Insiden)
3. DSS03 : Manage Problems (Mengelola Masalah)
4. DSS04 : Manage Continuity (Mengelola Kontinuitas)
5. DSS05 : Manage Security Services (Mengelola Layanan Keamanan)
6. DSS06 : Manage Business Process Controls (Mengelola Kontrol Proses bisnis
2.3.4 Model Proses Kapabilitas COBIT 5
Gambar 2.3 COBIT 5 Process Capability (ISACA,2012)
Terdapat 6 level kapabilitas dimana proses dapat dicapai, termasuk proses yang tidak lengkap:
1. 0 incomplete process : proses tidak diimplementasikan atau gagal untuk mencapai tujuan proses. Pada level ini terdapat sedikit atau tidk ada pencapaian sistematik untuk tujuan proses.
2. 1 performed process (one atribute) : proses yang diimplementasikan mencapai tujuan proses. sebelumnya, sekarang diimplementasikan menggunakan proses yang ditemukan yang tepat mencapai keluaran proses (process outcome).
5. 4 predictable process (two attributes) : proses yang telah yang digambarkan sebelumya, sekarang dioperasikan dengan mencapai tujuan keluaran proses yang masih terbatas.
6. 5 optimising process (two attributes) : proses yang telah diprediksikan yang digambarkan sebelumnya, sekarang secara berkelanjutan diperbaiki agar dapat bertemu dengan kondisi sekarang dan diproyeksikan ke tujuan bisnis.
2.3.5 Penilaian Proses Kapabilitas COBIT 5
Penilaian kapabilitas COBIT 5 diadopsi dari ISO/IEC 15504 yang menilai dengan tujuan (ISACA, 2012):
1. Memungkinkan “tubuh” tata kelola dan manajemen menjadi acuan kapabilitas proses.
2. Memungkinkan pengecekan level atas untuk kondisi “as-is” dan “to-be” enterprise agar dapat mendukung investasi tata kelola dan manajemen untuk membuat keputusan agar dapat melakukan perbaikan proses terus menerus.
3. Mempersiapkan analisis kesenjangan dan memperbaiki rencana informasi untuk mendukung proyek perbaikan.
4. Mempersiapkan tata kelola dan manajemen untuk mengukur dan mengawasi peringkat penilaian pada kapabilitas yang ada.
1. Meninjau hasil proses yang digambarkan dalam deskripsi proses rinci dengan menggunakan skala peringkat yang dimiliki ISO/IEC 15504 untuk mengetahui derajat tujuan dicapai. Skala tersebut berdasarkan peringkat:
N (Not achieved) : ada sedikit atau bahkan tidak ada bukti pencapaian atribut yang ditemukan dalam menilai proses.
P (Partially achieved) : ada beberapa bukti pencapaian yang ditemukan. Aspek pencapaian atribut tidak terprediksi (15% - 50 % pencapaian).
L (Largely achieved) : ada bukti pendekatan sistematis, pencapaian signifikan, atribut terdefinisi dalam proses penilaian. Beberapa kelemahan masih ada dalam proses penilain (50% - 85% pencapaian).
F (Fully achieved) : ada bukti pendekatan lengkap dan sistemtis, pencapaian penuh, atribut terdifinisi dalam proses penilaian. Tidak ada kelemahan yang signifikan dalam penilaian proses (85%-100% pencapaian)
2. Praktik proses (tata kelola maupun manajemen) dapat dinilai dengan menggunakan skala peringkat yang sama, mengungkapkan sejauh mana praktek dasar diterapkan.
3. Untuk lebih menyempurnakan nilai, work product dapat dipertimbangkan untuk menentukan sejauh mana atribut penilaian tetentu telah dicapai.
3. Analisis dan Pembahasan
3.1. Hasil Pencapaian Penilaian Capability
Model capability merupakan alat ukur untuk mengetahui proses teknologi informasi yang ada di PT. Grogol Sarana Transjaya. Proses pengukuran ini dilakukan untuk mengetahui tata kelola teknologi informasi dan dalam kegiatan pengukuran ini akan menghasilkan penilaian tentang kondisi sekarang dari proses DSS01.01 (Mengelola Prosedur Operasional), DSS02.03 (Memverifikasi, Menyetujui, dan Memenuhi Layanan), DSS02.07 (Melacak Status dan Memenuhi Laporan), DSS04.07 (Mengelola Pengaturan Backup), DSS05.06 (Mengelola Dokumen Sensitif dan Perangkat Output), dan DSS06.03 (Mengelola Peran dan Tanggung Jawab, dan Hak Akses).
4. Pengukuran Matury Level
Rekapitulasi dan rata-rata tingkat kedewasaan (maturity level) dari masing-masing proses TI dapat dilihat pada tabel berikut:
Agar dapat diketahui kontribusi masing-masing Proses TI dalam penentuan maturity level ini, maka digambarkan dalam spider chart berikut:
Spider Chart Maturity Level dari Masing-masing Proses TI
Berdasarkan perhitungan tingkat kematangan diatas, dapat dilihat bahwa perusahaan berada pada kisaran 3 hal ini berarti bahwa Sistem Informasi di PT. Grogol Sarana Transjaya masih belum mencapai tingkatan best practice. Hasil tingkat kematangan yang 3 berarti proses telah berkembang pada tahap dimana prosedur sejenis diikuti oleh orang berbeda yang melakukan tugas yang sama. Tidak ada pelatihan dan komunikasi formal dari prosedur standar, dan tanggung jawab diserahkan kepada individu. Terdapat suatu kepercayaan yang tinggi terhadap pengetahuan dari individu, oleh karena itu kesalahan sering terjadi. Proses tersebut telah mengarah pada pendokumentasian prosedur yang telah baku dan prosedur tersebut telah didokumentasikan melalui pelatihan bagi personil TI. Tetapi pelatihan tersebut belum bersifak baku. Dan penyimpangan akan sulit terdeteksi.
4.3.7 Pengujian Hasil Keseluruhan Perhitungan Jumlah Audit Sistem Informasi pada PT. Mejiku Tri Putra
No Keterangan Jmlh
Jumlah 36 10 46 78.26 21.74
TEMUAN AUDITOR
Temuan Audit yang telah dilakukan namum, dapat dioptimalisasikan aktivitasnya, bagi terciptanya Tata Kelola IT pada PT. Indra Jaya Swastika dengan lebih baik.
Adanya kebijakan keamanan yang jelas dan berkelanjutan.
Pemahaman pentingnya keamanan pada sebagian personil PT. Indra Jaya Swastika.
1. Adanya evaluasi sistem keamanan oleh pihak ketiga sekitar 4 per periode.
2. Bagian keamanan jaringan secara aktif melakukan deteksi atas penyalahgunaan akses.
3. Setiap transaksi tercatat dalam log file yang terkelola baik dan terpusat.
4. Telah ada mekanisme peringatan terhadap user yang terdeteksi melakukan percobaan akses di luar otoritasnya.
5. Telah dipasangnya aplikasi firewall yang melindungi jaringan lokal dengan jaringan publik
6. Telah diimplementasikannya sistem back-up keamanan yang memungkinkan recovery secara cepat ketika terjadi disaster.
7. Sistem manajemen IP jaringan sudah mengimplementasikan DHCP dengan host terdaftar (mac address terdaftar) yang menghindarkan koneksi hardware liar dalam jaringan.
8. Penanggung jawab keamnanan jaringan dan sistem aplikasi berbeda.
9. Data ditransaksikan dilengkapi atribut informasi user, waktu dan lokasi akses. 10. Penggunaan Software telah menggunakan software lisensi.
11. Mekanisme penambahan instalasi program harus seijin admin jaringan. 12. Mesin server berada pada suatu ruangan khusus dengan pengamanan cukup.
REKOMENDASI
Hasil temuan audit dan simpulan berdasarkan aspke-aspek sumber daya informasi yang terlibat, makan auditor dapat rekomendasi untuk perbaikan Sistem Keamanan Teknologi Informasi pada PT. Indra Jaya Swastika dengan skala kebutuhan sebagai berikut:
Rekomendasi Mempertahankan Aktifitas
1. Adanya evaluasi pihak ketiga atas arsitektur keamanan jaringan yang telah dilakukan secara periodik [4x dalam setahun ]
2. Adanya pengamanan khusus atas transaksi tertentu yag hanya dapat dilakukan pada terminal-terminal tertentu saja dengan sistem user yang telah dilakukan pengelolaan secara terpusat
3. Adanya upgrade berkala pada sistem keamanan yang digunakan.
Rekomendasi Meningkatkan Aktifitas Dengan Manajerial Yang Lebih Baik
1. Traning mengenai keamanan sistem untuk semua personil PT. Indra Jaya Swastika harus selalu ditingkatkan [Rekomensai Usulan Proyek Peningkatan SDM]
2. Sebaiknya dilakukan review dan validasi ulang secara berkala terhadap account user untuk meningkatkan integritas akses.
3. Transaksi-transaksi penting hendaknya dilengkapi dengan konsep/teknik digital signature. [Rekomendasi Usulan Proyek Infrastruktur dan Autorisasi Modern]
4. Perlunya peningkatan pengelolaan user jaringan sehingga seluruh komputer menggunakan otorisasi terpusat, sehingga tidak ada lagi istilah supporting komputer yang dapat di install bebas tanpa otorisasi dari admin jaringan.
5. Review atas hak akses user secara periodik untuk memastikan hak akses yang diberikan selalu sesuai dengan kebutuhan organisasi (tidak hanya bersifat insindental).
Rekomendasi yang Bersifat Investasi dan Pembernahan Infrastruktur
1. Peningkatan Sistem Keamanan Teknologi Informasi dengan memanfaatkan teknologi biometrik, dynamic passwaord maupun teknologi pengamanan terkini lainnya.
2. Sebaiknya pengamanan (password) sistem aplikasi menggunakan teknik enkripsi/kriptografi.
KESIMPULAN
Berdasarkan pada temuan audit diatas dan berkaitan dengan aspek pengelolaan sumber daya informasi yang terlibat, dapat ditarik sebuah kesimpulan berdasarkan aspek-aspek yang terkait dengan sumber daya.
1. Sumber Daya Manusia (SDM), pada PT. Grogol Sarana Transjaya kesadaran peronel mengenai keamanan sistem telah terbentuk, imlementasi dalam dinamika teknologi yang berkembang dengan cepat membutuhkan penambahan ketrampilan pada area keamanan sistem. Training perlu diintensifkan untuk mengoptimalkan staff yang terlibat dalam manajemen sistem keamanan pada PT. Grogol Sarana Transjaya. 2. Aplikasi, diterapkan pada PT. Grogol Sarana Transjaya telah diselengarakan dengan
perencanaan yang baik, dilakukan integrasi dengan penataan sistem yang bagus, namun kebutuhan jangka pendek diperlukan berupa pendefinisian aturan yang jelas dalam bentuk SOP pada semua area yang melibatkan aplikasi.
3. Teknologi telah diimplemntasikan, namun belum sesuai dengan strandar yang diterapkan COBIT, sehingga area ini dapat menjadikan pertimbangan kebutuhan pemanfaatan enkripsi kriptografi dan biometrik, yang skala waktunya dapat disesuaian dengan kebutuhan anggaran PT. Grogol Sarana Transjaya. Disimpulkan seperti ini mengingat area keamanan pada PT. Grogol Sarana Transjaya yang relatif aman dan tidak pernah mendapatkan serangan dari luar.
