Ilmu Sosial Dasar, tugas 2&3

MASYARAKAT PERKOTAAN
Masyarakat perkotaan atau lebih enak dipanggil urban community lebih dikaitkan pada sifat kehidupannya serta ciri-ciri kehidupannya yang sangat berbanding terbalik dengan masyarakat pedesaan.
Berikut ini perbedaan antara masyarakat kota dengan masyarakat pedesaan :
-Jumlah dan kepadatan penduduk
-Lingkungan hidup
-Mata pencaharian
-Corak kehidupan social
-Stratifikasi social
-Mobilitas social
-Pola interaksi social
-Solidaritas social
Kedudukan dalam hierarki administrasi nasional
MASYARAKAT PEDESAAN
Desa adalah kesatuan hukum dimana bertempat tinggal suatu masyarakat pemerintahan sendiri. Masyarakat pedesaan ditandai dengan pemilikan ikatan perasaan batin yang kuat sesama warga desa, yaitu perasaan setiap warga Negara atau anggota masyarakat yang sangat kuat dan mempunyai hakikat didalam dirinya.
Berikut ciri-ciri masyarakat pedesaan :
Didala lingkungan pedesaan antara warganya mempunyai hubungan yang lebih mendalam dan erat  bila dibandingkan degan masyarakat kota atau urban community bahkan diluar batas dari wilayahnya.
System kehidupan  dipedesaan cenderung berkelompok  dengan memperhatikan asas kekeluargaan.
Sebagian besar masyarakatnya berprofesi sebagai petani.


Demikian penjelasaan tentang perbedaan antara masyarakat perkotaan dengan masyarakat pedesaan, selanjutnya saya akan menjelaskan tentang beberapa pertentangan social dan integrasi masyarakat. Selamat menyimak..
Masyarakat pedesaan dan perkotaan bukanlah dua komisi yang terpisah sama sekali satu dengan yang lainnya. Bahkan dalam  keadaan yang sangat wajar sekalipun diantara keduanya terdapat hubungan yang sangat erat cenderung memiliki ketergantungan satu sama lainnya, karena diantara mereka saling membutuhkan. Seiring perkembangan zaman jumlah penduduk masyarakat semakin meningkat tidak terkecuali  dipedesaan sekalipun. Perkembangan kota merupakan manifestasi dari pola-pola kehidupan bersosial, ekonomi, kebudayaan dan juga politik. Namun secara umum dapat dikenal bahwa suatu lingkungan perkotaan sepantasnya mengandung 5 unsur yang meliputi:
Wisma : unsur wisma merupakan bagian dari ruang kota yang dipergunakan untuk tempat berlindung terhadap alam dan sekelilingnya, serta untuk melangsungkan kegiatan-kegiatan  social dalam keluarga.
Karya : terdapat syarat yang utama bagi eksitensi dari suatu kota, karena unsur karya merupakan jaminan bagi kehidupan bermasyarakat.
Marga : unsur marga merupakan ruang dari perkotaan yang berfungsi sebagai penyelengara hubungan antara suatu tempat dengan tempat yang lainnya didalam kota.
Suka : pengertian ini merupakan bagian dari ruang perkotaan untuk memenuhi kebutuhan  penduduk  akan fasilitas hiburan dan sebagainya.
Penyempurna : unsur penyempurna ini  merupakan bagian terpenting bagi suatu kota.
Namun kota juga mempunyai peranan dan fungsi eksternal, yaitu seberapa jauh fungsi dan peranan kota dalam wilayah pokok yang mencakup  beberapa daerah.

Analisis berita pemuda ditahun 2016

- Banda Aceh, (Analisa). Perubahan sosial di kalangan masyarakat bisa dilakukan oleh pemuda serta remaja masjid.
Namun, perubahan tidak boleh dilakukan dengan cara-cara radikalisme maupun ekstremisme.
“Pemuda dan remaja masjid diharapkan melakukan perubahan sosial di masyarakat, tidak melakukan radikalisme, karena perubahan tidak boleh dilakukan dengan cara-cara radikal,” kata Anggota Komisi III Dewan Perwakilan Rakyat (DPR) RI asal Aceh, M Nasir Djamil, dalam Dialog Pemuda Remaja Masjid (DPR Masjid) yang digelar Badan Koordinasi Pemuda Remaja Masjid Indonesia (BKPRMI) Kota Banda Aceh di Masjid Syeh Abdurrauf Blang Oi, Banda aceh, baru-ba­ru ini.
Dialog yang mengangkat tema tentang peran pemuda dan remaja masjid dalam menangkal paham radikalisme dan ekstremisme di tengah masyarakat itu, merupakan rangkaian dari kegiatan Pekan Remaja Cinta Masjid (Pertama) di Banda Aceh.
Nasir Djamil mengatakan ada tiga komponen masyarakat yang mampu melakukan perubahan, yakni perguruan tinggi, pesantren dan masjid dengan remaja masjidnya. Perubahan harus dilakukan dengan cara-cara reformis.
Radikalisme tidak identik dengan agama, apalagi sampai mempersepsikan radika­lisme sebagai bagian dari ajaran agama.
“Jadi orang-orang yang menghubungkan radikalisme dengan Islam adalah orang yang keliru,” sebutnya.
Menurutnya, adanya segelintir umat Islam yang ikut-ikutan mengatakan Islam me­nyuburkan radikalisme. Ini patut di­sesalkan.
Padahal Islam, adalah pedoman hidup yang tidak mungkin mengajarkan radika­lisme.
“Radikalisme bisa terjadi kalau adanya kesenjangan, seperti kesenjangan ekonomi, sosial dan kesenjangan politik. Di sinilah peran pemuda dan remaja untuk memahami realita di masyarakat sehingga bisa mela­kukan klarifikasi, termasuk menjelaskan bahwa masjid tidak mengajarkan radika­lisme,” ungkap politisi PKS itu.
Nasir mengajak pemuda dan remaja un­tuk benar-benar memakmurkan masjid dengan kegiatan-kegiatan keagamaan dan salat berjemaah.

“Jangan biarkan masjid kosong tanpa ak­tivitas. Tugas kita untuk mengisinya,” pungkasnya. (rfl)

- Pekanbaru, (Analisa). Gubernur Riau (Gubri), Arsyadjuliandi Rachman, mengapresiasi kegiatan pa­meran pendidikan dan ilmu pengetahuan dan teknologi, yang digelar Dinas Pen­didikan dan Kebudayaan Provinsi Riau, selama dua hari, di Gedung Budaya Sang Nila Utama, Pekanbaru.
Menurut Gubri, pameran ini sesuai dengan tagline hari jadi Provinsi Riau ke-59, yakni Riau GO.IT. Ia berharap, jangan sam­pai terputus adanya pe­ngembangan IT di sekolah dan perguruan tinggi.
Dengan banyaknya karya kreasi teknologi dari pelajar dan mahasiswa Riau yang di­tampilkan di pameran ini, sehingga Dinas Pendidikan Provinsi Riau bisa me­netapkan satu unggulan daerah yang akan di­per­lombakan ke tingkat Na­sional.
Sementara itu, Kepala Dinas Pendidikan dan ke­budayaan Pro­vinsi Riau, Kamsol, mengatakan, pa­meran pendidikan dan Iptek ini tidak hanya diikuti pelajar SD, SMP, SMA sederajat, Per­guruan Tinggi,juga dari Dinas Pemuda dan Olah­raga,  be­berapa SKPD seperti Balitbang, ESDM dan ke­tahanan pangan.
Untuk jumlah stan pada pameran ini berjumlah 29 unit. Selain pameran, Dis­dikbud Riau juga menggelar seminar kebudayaan yang menghadirkan narasumber dari tokoh budaya Riau. Di antaranya, Ketua Harian LAM Al Azhar, Ketua Komisi E DPRD Riau yang membidangi Kebudayaan, dan Prof Dr Muktar Achmad,
Usai membuka acara pameran ini, Gubri di­dampingi Kadisdikbu Riau, Kamsol, Kepala Badan Perpustakaan dan arsip Daerah, Yoserizal Zein melakukan peninjauan stan pameran. (pbn)

Sumber: http://harian.analisadaily.com/news?r=235283

Tugas 1 ,Ilmu Sosial Dasar #

1.Ilmu Sosial Dasar
Perngertian Ilmu Sosial Dasar adalah ilmu pengetahuan yang mempelajari/menelaah tentang masalah-masalah sosial di dalam sebuah masyarakat yang diharapkan dapat memberikan pengetahuan dasar dan pengertian umum tentang konsep-konsep yang diekembangkan untuk mengkaji masalah manusia .

Maka dari itu pelajaran ilmu sosial dasar diberikan kepada mahasiswa sebagai suatu bahan program studi atau mata kuliah umum. Mata kuliah umum sosial dasar diberikan dalam rangka usaha untuk memberikan pengetahuan dasar dan pengertian umum tentang konsep-konsep yang dikembangkan guna mengkaji gejala-gejala sosial agar daya tanggap, presepsi, dan penalaran mahasiswa dalam menghadapi lingkungan sosialnya .

Tujuan
Tujuan Ilmu Sosial Dasar

a. Tujuan umum diselenggarakannya mata kuliah Ilmu Sosial Dasar ialah pembentukan dan pengembangan kepribadian serta perluasan wawasan perhatian, pengetahuan, dan pemikiran mengenai berbagai gejala yang ada dan timbul dalam lingkungannya, khususnya gejala berkenaan dengan masyarakat dengan orang lain, agar daya tanggap, presepsi, dan penalaran berkenaan dengan lingkungan social dapat dipertajam.

b. Tujuan khusus:

Memahami dan menyadari adanya kenyataan-kenyataan sosial dan masalah-maslah sosial yang ada dalam masyarakat.
Peka terhadap masalah-masalah sosial dan tanggap untuk ikut serta dalam usaha-usaha menanggulanginya.
Menyadari bahwa setiap masalah sosial yang timbul dalam masyarakat selalu bersifat kompleks dan hanya dapat mendekatinya (mempelajarinya).
Memahami jalan pikiran para ahli dalalm bidang ilmu pengetahuan lalin dan dapat berkomunikasi dengan mereka dalalm rangka penanggulangan maslah sosial yang timbul dalam masyarakat.

Perbedaan antara ISD dan IPS
1.Ilmu sosial dasar diberikan di Perguruaan Tinggi, Ilmu Pengetahuan Sosial diberikan di sekolah dasar dan sekolah lanjutan.
2.Ilmu sosial dasar merupakan mata kuliah tunggal sedangkan ilmu pengetahuan sosial dasar merupakan kelompok dari sejumlah mata pelajaran(untuk sekolah lanjutan).
3.Ilmu Sosial dasar diarahkan kepada pembentukan sikap dan kepribadian, sedang ilmu pengetahuan social diarahkan kepada pembentukan pengetahuan dan keterampilan intelektual.

Persamaan antara ISD dan IPS
1.Kedua-duanya merupakan bahan studi untuk kepentingan program pendidikan.
2.Keduanya bukan disiplin ilmu yang berdiri sendiri.
3.Keduanya mempunyai materi yang terdiri dari kenyataan sosial dan masalah sosial.

Ruang Lingkup Sosial Dasar
Ilmu sosial dasar mencakup masalah-masalah sosial yang timbul didalam sebuah masyarakat. Untuk menelaah masalah-masalah sosial tersebut hendaknya terlebih dahulu dapat mengidentifikasi kenyataan-kenyataan sosial dan memahami sejumlah konsep sosial tersebut. Sehingga ilmu sosial dasar dapat dibedakan atas tiga golongan beasar yaitu :
Kenyataan-kenyataan sosial yang ada didalam masyarakat, yang secara bersama-sama merupakan masalah sosial tertentu.
Konsep-konsep sosial atau pengertian-pengertian tentang kenyataan-kenyataan sosial dibatasi pada konsep dasar atau elementer saja yang sangat diperlukan untuk mempelajari masalah-masalah sosial yang dibahas pada ilmu sosial.
Masalah-masalah sosial yang timbul dalam masyarakat, biasanya terlibat dalam berbagai kenyataan-kenyataan sosial yang satu dengan yang lainnya saling berkaitan satu sama lain.

2.Pengertian Penduduk

Penduduk adalah orang-orang yang berada di dalam suatu wilayah yang terikat oleh aturan-aturan yang berlaku dan salingberinteraksi satu sama lain secara terus menerus / kontinu. Dalamsosiologi, penduduk adalah kumpulan manusia yang menempatiwilayah geografi dan ruang tertentu.

Penduduk suatu negara atau daerah bisa didefinisikan menjadi dua:

1.      Orang yang tinggal di daerah tersebut

2.      Orang yang secara hukum berhak tinggal di daerah tersebut.

Individu

Individu merupakan kesatuan yang terbatas yaitu sebagai manusia perseorangan bukan sebagai manusia keseluruhan. Maka dapat disimpulkan bahwa individu adalah manusia yang memiliki peranan khas atau spesifik dalam kepribadiannya.

Keluarga

keluarga adalah unit terkecil dari masyarakat yang tersusun atas kepala keluarga (berperan sebagai suami dan ayah) dan beberapa orang yang terkumpul dan tinggal bersama pada suatau tempat di bawah satu atap dalam kondisi yang saling membutuhkan / ketergantungan.

Masyarakat

adalah sekumpulan individu-individu yang hidup bersama, bekerja sama untuk memperoleh kepentingan bersama yang telah memiliki tatanan kehidupan, norma-norma, dan adat istiadat yang ditaati dalam lingkungannya.

Hubungan antara individu, keluarga,dan masyarakat

Aspek individu, keluarga, dan masyarakat adalah aspek-aspek sosial yang tidak bisa dipisahkan. Keempatnya mempunyai keterkaitan yang sangat erat. Tidak akan pernah ada keluarga, masyarakat maupun kebudayaan apabila tidak ada individu. Sementara di pihak lain untuk mengembangkan eksistensinya sebagai manusia, maka individu membutuhkan keluarga dan masyarakat, yaitu media di mana individu dapat mengekspresikan aspek sosialnya. Di samping itu, individu juga membutuhkan kebudayaan yakni wahana bagi individu untuk mengembangkan dan mencapai potensinya sebagai manusia.

Lingkungan sosial yang pertama kali dijumpai individu dalam hidupnya adalah lingkungan keluarga. Di dalam keluargalah individu mengembangkan kapasitas pribadinya. Di samping itu, melalui keluarga pula individu bersentuhan dengan berbagai gejala sosial dalam rangka mengembangkan kapasitasnya sebagai anggota keluarga. Sementara itu, masyarakat merupakan lingkungan sosial individu yang lebih luas. Di dalam masyarakat, individu mengejewantahkan apa-apa yang sudah dipelajari dari keluarganya. Mengenai hubungan antara individu dan masyarakat ini, terdapat berbagai pendapat tentang mana yang lebih dominan.

Urbanisasi dan urbanisme

Urbanisasi adalah perpindahan penduduk dari desa ke kota atau dapat pula dikatakan bahwa urbanisasi merupakan proses terjadinya masyarakat perkotaan. Sedangkan definisi dari urbanisme ialah sikap dan cara hidup orang kota, perkembangan daerah perkotaan dan ilmu tentang kehidupan kota

3.rangkaian perjalanan hidup dimulai dari lahir sampai dengan sekarang, masa2 pertumbuhan, aktualsisasi diri, pubertas, dan cita2.
Asalammualaikum Wr.Wb.
Saya akan menceritakan hidup saya di awal lahir ,jadi saat saya lahir di hari selasa malam ,saya keluar dari perut ibu saya dan anak ketiga dari tiga bersaudara maka hidup itu adalah sebuah rangkaian untuk mencapai Cita-Cita. Ya klise emang kedengerannya tapi itulah hidup kita harus punya sebuah cita-cita. Cita-cita itulah yang membuat hidup kita menjadi lebih berwarna. Cita-cita itu juga yang membuat kita tahu dimana posisi kita sekarang dan bagaimana kita menempuh sisa jarak untuk mencapai cita-cita tersebut. Cita-cita juga sebagai pengingat kalau kita lagi melenceng dari jalur hidup.
Ada beberapa cerita yg penuh inspirasi soal bagaimana mencapai cita-cita. Kisahnya Andrea Hirata di tetralogi Laskar Pelangi, atau kisahnya Chris Gardner di The Pursuit of Happyness, dan masih banyak lagi.

Cita-cita saya menjadikan orang sukses dengan tidak mengeluh dan tidak ketergantungan dengan orang lain maka disitu saya suka namanya berbisnis untuk menjadikan saya orang sukses dan membantu untuk sesama manusia mengurangi tingkat pengangguran di negeri kita ini.

4.laporan ttg perkembangan kehidupan di wilayah RT di rumahmu terkait kegiatan sosial kemasyarakatan.

Dalam era kehidupan sekarang seseorang atau sekelompok golongan tertentu telah mengalami pengaruh perkembangan ilmu pengetahuan dan teknologi yang tidak mudah untuk di hindari bahkan seolah-olah telah melekat dalam hidup dan kehidupan masyarakat sekarang ini. Hal tersebut terlihat adanya perubahan sosial yang sedemikian cepatnya dimana perubahan tersebut bisa di lihat dari aktivitas individu, keluarga dan masyarakat lingkungan kita.
–          Dahulu masyarakat senang bergotong-royong dalam melakukan kegiatan sosial antara lain bapak-bapaknya dan remaja putra bekerja bakti, membersihkan lingkungan, sementara ibu-ibunya dan remaja putrinya mempersiapkan konsumsinya.

Sekarang sudah terlihat kebersamaan tersebut mulai berkurang karena pengaruh pola hidup individu masyarakat tersebut, terutama di lingkungan perumahan golongan masyarakat ekonomi menengah ke atas.
–          Dahulu pola masyarakat berdagang dengan cara menawarkan dagangannya sambil berjalan kaki atau bersepeda, sekarang kita melihat orang berdagang di lingkungan masyarakat kita dengan cara menawarkan dagangannya menggunakan fasilitas yang lebih efektif yaitu dengan menggunakan sepeda motor bahkan kita melihat sudah ada yang menggunakan kendaraan beroda empat ( mobil ).
–          Kita melihat perubahan pola bermain anak-anak yang dahulu dengan cara bersama-sama dengan menggunakan fasilitas secara alamiah seperti bermain mobil-mobilan yang dibuat dari kulit jeruk bali dari papan dari kardus dan dibuat secara bersama-sama. Sekarang pola bermain anak-anak sudah berubah dan lebih pada sifat individu antara lain anak-anak sekarang lebih senang bermain game online di warnet.
Kita melihat perubahan anak-anak yang sedemikian pesatnya karena pengaruh teknologi dan perubahan sosial kehidupan masyarakat. Perubahan tersebut tidak bisa dihindari namun perlu penanganan yang cukup serius dari orangtua di lingkungan keluarga dan lembaga pendidikan dilingkungan dimana anak-anak tersebut menuntut ilmu.
–          Perubahan sosial lainnya yang terjadi di lingkungan masyarakat antara lain dalam merayakan sesuatu acara tertentu misalkan acara ulang tahun anak-anak dahulu di rayakan di rumah masing-masing dengan cara sederhana sekarang ke cendurungan orangtua ingin merayakan ulang tahun anak-anaknya di restoran-restoran terkenal.
Juga dalam acara pernikahan dahulu keluarga dalam merayakan pernikahan putra putrinya di rumah masing-masing sekarang lebih banyak menyelenggarakan acara pernikahan di gedung-gedung tertentu.

–          Waktu piala dunia satu RT pada berkumpul untuk menonton piala dunia di layar lebar sekarang sudah punya televisi sendiri jadi tidak nonton di layar lebar
–          Pada malam bulan suci ramadhan dahulu masyarakat banyak yang bertadarus membaca al-qur’an bersama-sama di masjid, di mushola tapi sekarang terlihat sudah mulai berkurang karena faktor kesibukan dunia yang lebih mempengaruhi pola kehidupannya dengan alasan kebutuhan ekonomi.
–          Sholat  tarawih pada bulan suci ramadhan dahulu di masjid atau musholla di lingkungan masyarakat tertentu  sangat ramai sampai tidak kedapatan tempat tapi sekarang sudah berkurang karena sebahagian melaksanakan sholat tarawih di kantor-kantor, di rumah, dan di tempat-tempat lain yang di selenggarakan oleh kelompok-kelompok tertentu
–          Remaja  jaman sekarang lebih suka pada musik-musik luar negeri daripada musik indonesia, hal tersebut terjadi karena pengaruh perkembangan teknologi yang sering terlihat di layar televisi maupun di berita online lainnya.
–          Dahulu para pejabat atau pimpinan suatu lembaga pemerintahan menunjukan pola hidup yang lebih bermasyarakat tapi sekarang para pejabat dan pemimpin tersebut lebih mementingkan kepentingan individunya di bandingkan kepentingan di masyarakat lingkungannya.
–          Kita sering mendengar dan membaca dari berita-berita elektronik maupun berita tercetak kehidupan para anggota dewan perwakilan rakyat yang sudah tidak terlihat memperjuangkan rakyat bahkan terkesan menghabiskan uang rakyat, hal ini terjadi karena pola hidup yang lebih mementingkan kepentingan individunya dibandingkan dengan kepentingan rakyat yang di wakilinya.
–          Komunikasi di era globalisasi yang kita lihat sekarang ini, jarak komunikasi sejauh apapun sudah tidak menjadi hambatan. Semua sudah lebih mudah setiap individu untuk berkomunikasi dengan berbagai fasilitas antarlain  handphone yang bisa telpon dan sms ( short message service ) dan mudah di bawa kemana-mana, internet yang memudahkan komunikasi secara multimedia. Padahal dahulu komunikasi itu sebagian besar lewat kantor pos yang relatif lebih lama.
–          Dahulu seorang pekerja penjahit pakaian tidak menggunakan alat atau mesin untuk menjahit yaitu menggunakan tangan. Tetapi sekarang para penjahit di sekitar lingkungan sudah memakai mesin jahit untuk memudahkan pekerjaan.
–          Dulu orang susah mencari air sekarang sudah ada pompa air

–          Waktu dulu banyak sekali pohon-pohon yang besar tetapi sekarang sudah dibuat untuk perumahan mewah, jalan tol, tempat rekreasi , dll

Audit Teknologi Sistem Informasi Tugas Softskill 1

SOFTSKILL
AUDIT TEKNOLOGI SISTEM INFORMASI


oleh :

Anggi Yolanda Faradila
Dimas Agus Setiawan
Dwi Fernando
Julianti
Wahyuni

Kelas : 4KA35

A.     KONSEP AUDIT

Membangun Efektif 1 Fungsi Audit Internal

Dalam bab ini kita akan membahas tujuan departemen audit internal, yaitu:

·         Misi sebenarnya departemen audit

·         Konsep kebebasan dan cara menghindari penyalahgunaan itu

·         Bagaimana menambahkan nilai di luar audit formal melalui konsultasi dan keterlibatan awal

·         Bagaimana meningkatkan efektivitas dengan membangun hubungan

·         Peran audit teknologi informasi (TI) dan bagaimana memilih fokus yang benar

·         Bagaimana membangun dan memelihara tim audit TI yang efektif

               Meskipun bab pertama ini ditulis dari auditor internal Perspektif, konsep dan filosofi yang disajikan di sini dapat disesuaikan untuk memberi fungsi audit eksternal juga. Pada dasarnya adalah auditor eksternal internal / eksternal.

Sebagian besar departemen audit dibentuk oleh komite audit perusahaan (subset dari PT dewan direksi) untuk memberi panitia jaminan independen bahwa internal kontrol berada di tempat dan berfungsi secara efektif. Dengan kata lain, komite audit menginginkan sebuah kelompok obyektif yang akan menceritakan apa yang sebenarnya "terjadi" di perusahaan tersebut. Hal ini penting bagi panitia untuk berfungsi dan melayani perusahaan pemegang saham. Selain itu, sebagian besar departemen audit perusahaan juga melapor ke eksekutif di dalam perusahaan, seperti chief executive officer (CEO) atau chief financial petugas (CFO).

Hanya masalah pelaporan yang tidak menghasilkan apa-apa, kecuali membuat orang terlihat buruk mereka dipecat, dan menimbulkan kebencian terhadap auditor. Nilai sebenarnya muncul saat isu ditangani dan masalah dipecahkan.

Dengan kata lain, melaporkan masalah tersebut adalah sarana untuk akhir. Dalam konteks ini, hasil akhirnya memperbaiki keadaan pengendalian internal di perusahaan. Melaporkannya menyediakan mekanisme dimana isu-isu tersebut terungkap dan karena itu dapat menerima sumber daya dan perhatian yang dibutuhkan untuk memperbaikinya.

Singkatnya, misi departemen audit internal ada dua:

·         Memberikan jaminan independen kepada komite audit (dan senior manajemen) bahwa pengendalian internal berada di tempat di perusahaan dan berfungsi secara efektif.

·         Untuk memperbaiki keadaan pengendalian internal di perusahaan dengan mempromosikan pengendalian internal dan dengan membantu perusahaan mengidentifikasi kelemahan pengendalian dan mengembangkan solusi hemat biaya untuk mengatasi kelemahan tersebut. Bagian selanjutnya dari bab ini akan membahas bagaimana misi ini dapat dicapai paling banyak efektif, khusus untuk fungsi audit TI.

Jika auditor TI berencana untuk pindah ke organisasi TI, Harus jelas sekarang bahwa departemen audit internal tidak benar-benar independen. Namun demikian, konsep inti dibalik peran auditor independen itu valid dan penting. Auditor tidak boleh merasakan tekanan yang tidak semestinya untuk mengubur isu dan harus percaya bahwa dia akan diizinkan untuk "melakukan hal yang benar”. Tampaknya tujuan itu mungkin kata yang lebih tepat daripada saat independen menggambarkan perilaku auditor internal. Objektivitas mengharuskan auditor bersikap tidak biasa dan bahwa dia tidak terpengaruh oleh perasaan atau prasangka pribadi. Meskipun auditor internal, menurut definisinya, tidak benar-benar independen.

Konsultasi dan Keterlibatan Awal ada lebih untuk menjadi auditor daripada audit. Meski melakukan audit formal tersebut fungsi kritis dan penting dari departemen audit, biaya mengoreksi masalah dan menambahkan kontrol pasca implementasi secara signifikan lebih tinggi daripada biaya melakukan itu benar pertama kalinya Dari segi independensi, tidak ada perbedaan antara penyediaan penilaian sistem atau solusi sebelum pelaksanaan dan penilaian setelah implementasi. Ada perbedaan, bagaimanapun, seberapa besar nilai auditor adalah menambah perusahaan.

Banyak auditor menggunakan independensi sebagai alasan untuk tidak menambah nilai dan bukan untuk memberikan pendapat bisa mandiri dan tetap bekerja berdampingan dengan rekan kerja untuk membantu mereka saat mereka mengembangkan solusi untuk masalah pengendalian internal. Menjadi independen tidak berarti tidak dapat memberikan penilaian terhadap kontrol dalam sistem sebelum penempatan. Berkali-kali, akan melihat audit internal departemen yang menolak memberikan bimbingan dan masukan kepada tim yang sedang berkembang sistem atau proses baru Mereka mengatakan bahwa mereka tidak dapat memberikan masukan tentang kontrol di dalamnya sistem karena untuk melakukannya berarti mereka tidak lagi mandiri.

Empat Metode untuk Konsultasi dan BAGIAN I

Keterlibatan awal Sekarang kita sudah menetapkan bahwa tidak apa-apa untuk berbicara dengan rekan kerja Anda tentang internal Kontrol bahkan saat Anda tidak mengauditnya, mari kita bicarakan beberapa cara terbaik untuk melakukan ini. Kami akan membahas empat metode untuk mempromosikan pengendalian internal di perusahaan di luar audit formal :

·         Keterlibatan awal

Setiap perusahaan manufaktur akan memberi tahu Anda bahwa lebih murah untuk membangun kualitas menjadi produk daripada mencoba menambahkannya setelah kejadian. Kontrol internal adalah cara yang sama: Setelah membuat sebuah sistem, mengujinya, dan menerapkannya, jauh lebih mahal untuk kembali dan ubah saja jika telah melakukannya dengan benar pada kali pertama. Sebagai auditor, juga banyak lebih mungkin untuk menghadapi resistensi setelah implementasi. Semua orang telah pindah proyek lain, dan tidak satupun dari mereka termotivasi untuk kembali dan melakukan perubahan yang selesai proyek. Di sisi lain, jika Anda bisa memberikan persyaratan pengendalian internal

Pada awal proses, mereka menjadi bagian lain dari ruang lingkup proyek kepada pelaksana, dan mereka tidak terlalu memikirkannya (asalkan persyaratan pengendaliannya adalah masuk akal). Bagaimana melakukannya berbeda dengan perusahaan, tapi setiap perusahaan harus memilikinya semacam persetujuan proyek atau proses review. Berbagai tahapan sebuah proyek sebelum bisa diimplementasikan, mintalah untuk menjadi bagian dari sign-off kelompok. Hanya jelaskan bahwa peran Anda adalah memberi masukan pada pengendalian internal sistem atau teknologi dan tidak ada yang lain. Tentu saja ada kemungkinan Anda akan membuat kesalahan dan menandatangani proyek; Meskipun sistem memiliki kelemahan pengendalian internal.

·         Audit informal

Salah satu masalah yang dihadapi hampir setiap departemen di hampir setiap perusahaan adalah sumber daya kendala. Tidak pernah ada cukup waktu untuk melakukan semua hal yang ingin dilakukan, dan sebagian besar departemen tidak punya waktu untuk mengatasi semua risiko di luar sana. Selalu ada permintaan untuk audit yang tidak dapat dipenuhi. Sadarilah bahwa jika audit harus menyeluruh, pasti memilikinya waktu untuk mengaudit hanya segelintir daerah setiap tahun. menjadi usaha besar yang tidak perlu. Audit informal adalah mekanisme untuk digunakan.

Membahas proses potensial untuk membentuk rencana audit Anda (yaitu daftarnya audit yang akan dilakukan).

Proses evaluasi risiko yang membantu menyusun rencana audit setiap tahun. Bahkan dengan rencana akan melihat dua celah utama dalam apa yang bisa diliput:

o   Jika prosesnya berbasis risiko, Anda tidak akan pernah sampai ke beberapa daerah.

o   Kadang-kadang manajemen meminta audit (setelah Anda mengembangkan hak

Apresiasi yang ditunjukkan oleh orang yang Anda diaudit. Anda juga akan kagum pada berapa banyak auditor dapat melakukannya dalam waktu singkat ketika dilepaskan dari belenggu dari proses audit normal (yang penting untuk audit formal). Tentu saja, penting juga untuk menambahkan peringatan pada pekerjaan dan hasilnya. Membuat yakin bahwa orang yang Anda informasikan secara informal mengerti bahwa ini tidak akan seperti adanya teliti sebagai audit formal, bahwa Anda tidak mengklaim bahwa Anda akan menemukan semua masalah dan bahwa Anda tidak menguji sampel statistik. Langkah-langkah dasar proses audit:

1.      Bagian audit harus menyetujui waktu dan ruang lingkup informal tinjau ulang dengan orang-orang yang akan diaudit.

2.      Auditor yang akan melakukan review harus membuat daftar periksa dasar dari area yang akan diperiksa. (Daftar periksa di seluruh buku ini berikan titik awal yang bagus.)

3.      Auditor menjalankan langkah-langkah tersebut, menyimpan catatan sesuai kebutuhan namun tidak menciptakannya kertas kerja untuk ditinjau Catatan tidak perlu disimpan setelah audit lengkap

4.      Pada akhir proyek, auditor mengumpulkan semua masalah dari tinjauan.  

5.      Auditor mengadakan rapat briefing dengan orang-orang yang diaudit diskusikan isu dan konsultasikan tentang seberapa serius isu dan potensinya berarti untuk mengatasinya

6.      Auditor mendokumentasikan daftar akhir masalah, beserta pemikiran yang relevan untuk menyelesaikannya, dalam sebuah memo. Memo ini tidak perlu disertakan tanggal dan bisa termasuk peringatan yang disebutkan sebelumnya (misalnya, ini tidak audit formal, kami tidak akan melacak masalah, dan sebagainya). Memo itu juga harus menunjukkan kesediaan auditor untuk terus berkonsultasi dengan tim karena menangani item ini.

7.      Auditor mengeluarkan memo dan arsipnya secara elektronik untuk referensi di kemudian hari.

o   Berbagi pengetahuan

Sebagai auditor internal, harus memiliki perpaduan unik antara pengetahuan perusahaan dan keahlian dalam kontrol internal Bagian audit internal harus kreatif dalam menemukan cara baru untuk berbagi pengetahuan unik dengan seluruh perusahaan. Tentu saja banyak dari berbagi pengetahuan harus terjadi saat kita melakukan audit, saat kita melakukan konsultasi ulasan, dan saat kita memberikan masukan sebagai bagian dari aktivitas keterlibatan awal kita.

o   Penilaian diri

Untuk teknologi umum dan topik, meskipun, sangat membantu untuk memberikan panduan kontrol menggambarkan hal-hal yang biasanya Anda tinjau selama audit.

A.           Proses Audit

         Dalam bab ini, kita akan membahas tahap dasar proses audit, bagaimana cara melakukan masing-masing satu secara efektif, dan berikut ini:

·         Berbagai jenis kontrol internal

·         Bagaimana Anda harus memilih apa yang harus di audit

·         Bagaimana melakukan tahap dasar audit

·         Perencanaan

·         Kerja lapangan dan dokumentasi

·         Mengeluarkan penemuan dan validasi masalah

·         Solusi pengembangan

·         Melaporkan penyusunan dan penerbitan

·         Pelacakan masalah

Kontrol Internal

Kontrol internal, dinyatakan dalam istilah yang paling sederhana, adalah mekanisme yang memastikan tepat berfungsinya proses dalam perusahaan. Setiap sistem dan proses dalam perusahaan ada untuk beberapa tujuan bisnis tertentu. Auditor harus mencari keberadaannya risiko terhadap tujuan tersebut dan kemudian memastikan bahwa pengendalian internal diterapkan untuk mengurangi risiko tersebut.

Jenis Pengendalian Internal

Kontrol bisa bersifat preventif, detektif, atau reaktif, dan bisa bersifat administratif, teknis, dan implementasi fisik. Contoh implementasi administratif termasuk item seperti kebijakan dan proses. Implementasi teknis adalah alatnya dan perangkat lunak yang secara logis menerapkan kontrol (seperti kata sandi).

Kontrol Pencegahan

Kontrol pencegahan menghentikan kejadian buruk terjadi. Misalnya, membutuhkan user ID dan password untuk akses ke sistem adalah kontrol preventif. Ini mencegah (secara teoritis) orang yang tidak berhak mengakses sistem Dari sudut pandang teoritis, preventif kontrol selalu disukai, untuk alasan yang jelas. Namun, saat Anda tampil audit, ingat bahwa kontrol preventif tidak selalu merupakan biaya yang paling efektif solusi, dan jenis kontrol lainnya mungkin lebih masuk akal dari sudut pandang biaya / manfaat.

Kontrol Detektif

Kontrol detektif merekam kejadian buruk setelah kejadian itu terjadi. Misalnya, logging semua kegiatan yang dilakukan pada sistem akan memungkinkan Anda untuk meninjau log untuk mencari yang tidak sesuai kegiatan setelah acara.

Kontrol Reaktif (alias Kontrol Korektif)

Kontrol reaktif turun antara kontrol preventif dan detektif. Mereka tidak mencegah Kejadian buruk terjadi, namun memberikan cara sistematis untuk mendeteksi kapan mereka yang buruk peristiwa telah terjadi dan memperbaiki situasi, itulah sebabnya mereka terkadang dipanggil kontrol korektif  misalnya, Anda mungkin memiliki sistem antivirus pusat yang dapat mendeteksi

Contoh Pengendalian Internal

Misalnya, Anda meninjau sistem piutang perusahaan Anda. Sistem itu ada untuk memastikan bahwa Anda melacak siapa yang berutang uang perusahaan Anda sehingga Anda bisa mengomel deadbeats yang tidak membayar Anda, dan sehingga Anda benar merekam pembayaran dari mereka yang melakukannya Auditor keuangan akan mengkhawatirkan risiko di dalam proses piutang sendiri, namun auditor TI perlu memikirkan risikonya sistem yang mencapai tujuan bisnisnya.

Berikut adalah beberapa contoh dasar yang dimaksudkan untuk menggambarkan konsep tersebut. Kontrol internal Auditor harus memahami tujuan bisnis dari apa yang dia atau dia sedang mengaudit, memikirkan risiko untuk mencapai tujuan itu, dan kemudian mengidentifikasi kontrol internal yang ada yang mengurangi risiko tersebut.

Kontrol Perubahan Perangkat Lunak

Jika perubahan pada kode sistem itu sendiri tidak disetujui dan diuji dengan benar, Anda mungkin menemukan bahwa logika yang dieksekusi oleh kode itu keliru. Ini mungkin berarti Anda kehilangan kepercayaan diri Anda terhadap integritas data di dalam sistem, yang mengakibatkan ketidakmampuan untuk mengetahui dengan pasti siapa yang telah membayar perusahaan Anda dan siapa yang tidak. Jadi apa saja beberapa kontrol internal yang akan mengurangi risiko ini?

·         Jangan biarkan akses logis pemrogram untuk memperbarui kode produksi.

·         Orang yang memiliki akses logis untuk memperbarui kode produksi mungkin tidak melakukannya jadi tanpa bukti pengujian dan persetujuan.

Kontrol Akses

Jika akses ke sistem diberikan kepada orang-orang yang tidak memiliki kebutuhan akan akses tersebut, data sistem bisa diubah, ditambah, atau dihapus secara tidak tepat. Apa saja beberapa kontrol internal yang akan mengurangi risiko ini?

·         Mengharuskan user ID dan password untuk mengakses sistem.

·         Memiliki sejumlah administrator keamanan aplikasi yang mengendalikan kemampuan untuk menambahkan akun pengguna baru ke sistem.

·         Pastikan administrator keamanan aplikasi mengetahui individu yang tahu pengguna mana yang benar-benar membutuhkan akses ke sistem.

Fungsi TI terpusat

Pertama, tentukan fungsi TI apa yang terpusat, dan letakkan masing-masing fungsi terpusat pada daftar audit TI potensial Anda (lihat Tabel 2-1). Misalnya, jika fungsi pusat mengelola lingkungan server Unix dan Linux Anda, salah satu audit potensial Anda mungkin merupakan tinjauan pengelolaan lingkungan itu. Ini bisa mencakup proses administrasi seperti manajemen akun, manajemen perubahan, manajemen masalah, manajemen patch, pemantauan keamanan, dan proses lainnya yang akan berlaku untuk keseluruhan lingkungan.

Fungsi TI yang terdesentralisasi

Setelah membuat daftar semua proses TI terpusat perusahaan, Anda dapat menentukan keseluruhan jagad audit Anda. Mungkin Anda bisa membuat satu potensi audit per lokasi perusahaan. Audit ini dapat terdiri dari peninjauan kembali kontrol TI terdesentralisasi yang dimiliki oleh masing-masing lokasi, seperti keamanan fisik data center dan pengendalian lingkungan. Dukungan server dan PC juga mungkin terdesentralisasi di perusahaan Anda. Kuncinya adalah memahami kontrol TI yang dimiliki di tingkat situs dan mengulasnya. Mungkin perlu lebih terperinci dari ini dan memiliki banyak audit potensial di setiap lokasi. Semuanya tergantung pada kompleksitas lingkungan, hirarki organisasi, dan tingkat kepegawaian Anda. Anda harus menentukan apa yang paling efektif di lingkungan Anda.

Aplikasi bisnis

Anda juga bisa membuat potensi audit untuk setiap aplikasi bisnis. Anda harus melakukannya tentukan apakah lebih efektif melakukan audit ini di audit IT universe atau di alam audit finansial. Dalam banyak hal, sangat masuk akal jika audit ini didorong oleh auditor keuangan, yang mungkin berada pada posisi terbaik untuk menentukan kapan saatnya melakukan audit terhadap proses pengadaan. Jika mereka membuat keputusan itu, mereka dapat meminta Anda untuk menentukan aspek sistem yang relevan yang harus disertakan dalam audit pengadaan (seperti peninjauan server tempat aplikasi pengadaan berada, kontrol perubahan perangkat lunak sistem, pemulihan bencana sistem rencana, dan sebagainya).

Kepatuhan terhadap peraturan

Bergantung pada layanan atau barang yang disediakan bisnis Anda, Anda mungkin bertanggung jawab untuk memastikan kepatuhan terhadap peraturan tertentu. Contoh umum termasuk kepatuhan auditing dengan peraturan Sarbanes-Oxley, Peraturan Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPPA), dan peraturan dan standar Industri Kartu Pembayaran (PCI). Anda mungkin memiliki audit terpisah di alam audit Anda untuk menguji kepatuhan terhadap setiap peraturan yang relevan.

Tahapan Audit

Setelah memahami proses memilih apa yang harus di audit, Dalam bahasan ini  berbagai tahap untuk melaksanakan setiap audit dalam rencana audit. Kita akan membahas enam fase audit utama berikut :

1.      Perencanaan

2.      Kerja lapangan dan dokumentasi

3.      Terbitkan penemuan dan validasi

4.      Solusi pengembangan

5.      Melaporkan penyusunan dan penerbitan

6.      Pelacakan masalah

Planning

Sebelum mulai mengerjakan audit, harus menentukan apa yang akan tinjau. Jika Proses perencanaan dilaksanakan secara efektif, maka tim audit akan sukses. Sebaliknya, jika dilakukan dengan buruk dan pekerjaan dimulai tanpa rencana dan tanpa jelas arah, upaya tim audit bisa berakibat pada kegagalan.

Tujuan dari proses perencanaan adalah untuk menentukan tujuan dan ruang lingkup audit. Perlu menentukan apa yang ingin Anda capai dengan ulasannya. Sebagai bagian dari proses ini, harus mengembangkan serangkaian langkah yang harus dijalankan untuk mencapai tujuan audit. Proses perencanaan ini memerlukan penelitian, pemikiran, dan pertimbangan yang cermat untuk setiap audit. Berikut adalah beberapa sumber dasar yang harus dirujuk sebagai bagian dari setiap proses perencanaan audit:

·         Hand-off dari manajer audit

·         Survei pendahuluan

·         Permintaan pelanggan

·         Daftar periksa standar

·         Penelitian

Hand-off dari Manajer Audit

Jika audit termasuk dalam rencana audit, pasti ada beberapa alasan. Manajer audit harus menyampaikan kepada tim audit informasi tersebut yang menyebabkan audit dijadwalkan. Ini mungkin termasuk komentar dari manajemen TI dan / atau masalah yang diketahui di wilayah ini. Faktor-faktor yang menyebabkan audit dijadwalkan perlu dicakup dalam rencana audit. Selain itu, manajer audit harus dapat memberikan tim audit kontak kunci untuk audit tersebut.

Survei Awal

Tim audit harus meluangkan waktu sebelum setiap audit melakukan survei pendahuluan di wilayah tersebut untuk diaudit untuk memahami apa yang akan dilakukan audit. Kemungkinan ini akan mencakup wawancara dengan pelanggan audit untuk memahami fungsi sistem atau proses yang sedang ditinjau, dan juga meninjau dokumentasi terkait. Tujuannya adalah untuk mendapatkan latar belakang dasar dan pemahaman daerah yang akan ditinjau. Hal ini diperlukan untuk melakukan penilaian awal terhadap risiko di daerah tersebut.

Permintaan Pelanggan

Bab 1 membahas pentingnya melakukan audit akolaboratif, proses kooperatif. Sebagai bagian dari pencapaian tujuan ini, pelanggan audit harus merasa memiliki beberapa kepemilikan dalam audit. Tim audit harus menanyakan kepada pelanggan area mana yang mereka pikir harus ditinjau dan area mana yang menjadi perhatian. Masukan ini harus sesuai dengan hasil penilaian risiko objektif auditor untuk menentukan ruang lingkup audit. Tentu, terkadang auditor tidak akan menggunakan input pelanggan. Misalnya, terkadang pelanggan audit akan memperhatikan daerah yang lebih operasional dan tidak memiliki dampak pengendalian internal. Dalam kasus tersebut, sangat sah bagi tim audit untuk menjaga area tersebut tidak berada dalam lingkup audit, dengan penjelasan kepada pelanggan mengapa tim audit tidak diposisikan untuk melaksanakan permintaan tersebut. Penting juga untuk tidak membiarkan pelanggan mengarahkan auditor menjauh dari meninjau area penting. Auditor akhirnya harus menerapkan penilaian terbaik mereka. Namun, mendapatkan masukan dari pelanggan dan memasukkannya ke dalam rencana audit jika memungkinkan membuat pelanggan merasa memiliki kepemilikan dalam proyek audit dan mengoptimalkan komunikasi terbuka dan jujur.

Daftar Standar

Daftar periksa audit standar untuk area yang sedang diperiksa adalah sering tersedia Daftar periksa di Bagian II buku ini dapat menjadi awal yang baik titik untuk banyak audit Selain itu, departemen audit mungkin memiliki daftar periksa sendiri untuk sistem dan proses standar di perusahaan. Memiliki daftar periksa audit yang standar dan berulang untuk area umum dapat memberikan awal yang berguna untuk banyak audit. Daftar periksa tersebut, bagaimanapun, harus dievaluasi dan diubah seperlunya untuk setiap audit tertentu. Memiliki daftar periksa standar tidak menghilangkan persyaratan bagi auditor untuk melakukan penilaian risiko sebelum setiap audit.

Penilitian

Setelah sumber daya ini direferensikan, auditor harus melakukan ssessment terhadap risiko di area yang akan ditinjau untuk mengidentifikasi langkah-langkah yang harus dilakukan selama audit berlangsung. Konsep ini diilustrasikan di bagian "Kontrol Internal" di awal bab ini. Seperti disebutkan, auditor harus memahami tujuan bisnis dari area yang akan diaudit, mempertimbangkan risiko terhadap tujuan tersebut, dan kemudian mengidentifikasi pengendalian internal yang ada yang mengurangi risiko tersebut. Jika sebuah proses sedang ditinjau, auditor perlu menyusun proses itu sampai akhir dan memikirkan kemana hal itu dapat dipecah. Jika sebuah sistem atau teknologi sedang ditinjau, auditor perlu memikirkan risiko terhadap sistem atau teknologi yang berfungsi sebagaimana dimaksud. Hasil dari latihan sebelumnya harus menjadi penentuan ruang lingkup audit, termasuk menentukan dan mengkomunikasikan apa saja yang berada di luar jangkauan dan menyusun daftar langkah-langkah yang harus dilakukan untuk mencapai cakupan tersebut. Langkah-langkah ini harus didokumentasikan dengan rincian yang cukup untuk memungkinkan auditor melakukan audit untuk memahami risiko yang ditangani oleh setiap langkah. Ini membantu menghindari pemeriksaan "checklist", di mana tim audit secara mekanis menjalankan daftar langkah audit, dan sebaliknya menempatkan fokus untuk memastikan bahwa risikonya ditangani, dengan langkah-langkah audit hanya berfungsi sebagai pedoman. Penting juga agar Anda mendokumentasikan langkah-langkah audit sehingga dapat berulang dan mudah digunakan oleh orang berikutnya yang melakukan audit serupa, sehingga berfungsi sebagai alat pelatihan dan memungkinkan pelaksanaan audit ulang yang lebih efisien. Salah satu cara untuk mencapai tujuan ini. adalah melengkapi setiap langkah audit dengan rincian terdokumentasi mengenai mengapa langkah audit tersebut dilakukan (yaitu, risiko ditangani) beserta bagaimana hal itu dapat dilakukan. Langkah-langkah audit pada Bagian II buku ini mengikuti format ini dan dapat digunakan sebagai pedoman.

Penjadwalan

Elemen penting dari proses perencanaan adalah penjadwalan audit (yaitu menentukan kapan audit akan berlangsung). Daripada mendikte kapan audit akan terjadi semata-mata berdasarkan kenyamanan tim audit, maka penjadwalan audit harus dilakukan bekerjasama dengan nasabah audit. Ini akan memungkinkan tim audit untuk melakukannya pertimbangkan absensi personil dan waktu aktivitas tinggi, di mana tim audit mungkin tidak bisa mendapatkan waktu dan perhatian yang tepat dari organisasi mereka audit Audit penjadwalan bekerja sama dengan pelanggan audit tidak hanya memungkinkan untuk audit yang lebih efektif, tapi juga memulai audit off di kaki kanan, menetapkan suasana fleksibilitas dan kerja sama. Pelanggan audit akan menghargai kenyataan tersebut bahwa kendala dan jadwal mereka dipertimbangkan dan akan memiliki rasa saling kepemilikan atas jadwal.

A.        TEKNIK AUDIT

Auditing Entity-Level 3

Kontrol

Langkah Uji untuk Audit Entity-Level Controls

·         Tinjau struktur organisasi TI secara keseluruhan untuk memastikannya menyediakan penugasan wewenang dan tanggung jawab yang jelas atas operasi TI dan menyediakan segregasi tugas yang memadai.

Struktur organisasi TI yang kurang jelas dapat menyebabkan kebingungan mengenai tanggung jawab, sehingga fungsi pendukung TI dapat dilakukan secara tidak efisien atau tidak efektif. Misalnya, fungsi kritis mungkin terbengkalai atau dilakukan secara berlebihan.

Juga, jika garis wewenang tidak jelas, maka dapat menyebabkan ketidaksepakatan sebagai kepada siapa yang memiliki kemampuan tertinggi untuk membuat keputusan akhir. Akhirnya, jika tugas IT tidak dipisahkan secara tepat, bisa mengakibatkan aktivitas penipuan dan mempengaruhi integritas informasi dan proses perusahaan.

·         Tinjau proses perencanaan strategis TI dan pastikan itu selaras dengan strategi bisnis. Evaluasi organisasi TI proses untuk memantau kemajuan terhadap rencana strategis. 

Untuk memberikan efektivitas jangka panjang, organisasi TI harus memiliki semacam strategi tentang di mana ia berencana untuk pergi, sebagai lawan untuk berada dalam mode reaktif terus-menerus, dimana isu dan krisis sehari-hari adalah satu-satunya pertimbangan. Organisasi IT Harus sadar akan kebutuhan bisnis dan perubahan lingkungan yang akan datang dapat merencanakan dan bereaksi sesuai dengan itu. Penting agar prioritas TI selaras dengan bisnis prioritas. Terlalu banyak organisasi IT melupakan fakta bahwa satu-satunya alasan mereka Keberadaannya adalah untuk mendukung perusahaan dalam memenuhi tujuan bisnisnya. Sebagai gantinya, IT ini organisasi fokus untuk menjadi "toko TI kelas dunia", bahkan saat tujuan ini tidak secara langsung mendukung keseluruhan tujuan perusahaan. Sangat penting bagi organisasi TI untuk tinggal berdasarkan tujuan mereka untuk mencapai tujuan perusahaan.

·         Tentukan apakah teknologi dan strategi aplikasi dan roadmap ada, dan mengevaluasi proses untuk teknis jarak jauh perencanaan

TI adalah lingkungan yang berubah dengan cepat, dan penting bagi organisasi TI untuk mengerti dan merencanakan perubahan. Jika tidak, lingkungan TI perusahaan berisiko menjadi usang dan / atau tidak sepenuhnya memanfaatkan teknologi untuk menguntungkan perusahaan.

TEKNIK AUDIT WEB SERVER DAN APLIKASI WEB

Web Auditing Essentials

Laporan Insiden Data Pelanggaran Data Verizon 2010 mengidentifikasi web sebagai yang paling umum vektor serangan untuk pelanggaran perusahaan yang sukses, terhitung 54 persen dari keseluruhan serangan. Serangan web ini selanjutnya menyumbang 92 persen dari semua rekaman yang dikompromikan di semua kategori serangan Web server adalah target umum. Mereka sulit dilakukan dengan benar aman, dan mereka sering mengandung rahasia perusahaan, informasi pribadi, atau pemegang kartu data.

Ingat bahwa audit, sebanyak yang ingin kita percayai sebaliknya, bukanlah sebuah sains yang tepat, dan audit server web adalah salah satu area di mana hal ini terlihat. Prosedur audit dalam bab ini mencoba menggunakan subset dari alat dan teknologi yang tersedia untuk mengidentifikasi risiko umum di sistem atau proses di sekitar sistem. Ada puluhan alat dan sumber daya yang tersedia untuk membantu Anda dalam melakukan audit aplikasi spesifik Anda yang lebih kuat. Hindari menjadi tidak efektif karena Anda berusaha menutupi terlalu banyak dengan terlalu sedikit sumber daya dan pengetahuan. Sebagai kata peringatan terakhir, langkah-langkah berikut harus dianggap sebagai titik awal audit Anda. Alat pengujian penetrasi aplikasi web harus digunakan bersamaan dengan pelatihan yang tepat. Kontrol berlapis tambahan, seperti Web Application Firewall (WAF), sangat disarankan.

Satu Audit dengan Beberapa Komponen

Audit web yang lengkap benar-benar merupakan audit terhadap tiga komponen utama, termasuk sistem operasi server, server web, dan aplikasi web.

1. Komponen tambahan seperti database pendukung atau infrastruktur jaringan yang relevan mungkin juga sesuai untuk dipertimbangkan sebagai bagian dari audit Anda. Komponen pertama yang kami diskusikan adalah platform atau sistem operasi yang mendasari server dan aplikasi web yang terpasang dan beroperasi. Selanjutnya adalah web server itu sendiri, seperti Internet Information Services (IIS) atau Apache, yang digunakan untuk meng-host aplikasi web. Akhirnya, kami meliput audit aplikasi web. Aplikasi web untuk tujuan kita mencakup kerangka kerja pengembangan terkait seperti ASP.NET, Java, Python, atau PHP dan sistem pengelolaan konten yang sesuai (CMS) seperti Drupal, Joomla, atau WordPress. Kesulitan utama dalam meninjau aplikasi web berkaitan dengan jumlah komponen interaksi yang mungkin ada yang ada dalam kerangka situs web. Volume dapat ditulis tentang setiap server web dan kerangka aplikasi web yang ada dan pengaturan masing-masing untuk masing-masing. Kami akan membahas konsep, menunjukkan beberapa contoh, dan menyerahkannya kepada Anda untuk memahami bagaimana menerapkan konsep ke situasi unik Anda. Banyak bahasa dan struktur tersedia untuk pengembangan aplikasi web, yang mempersulit proses audit. Namun, beberapa alat dan metode juga tersedia untuk membantu kita menentukan apa yang perlu diperhatikan. Langkah-langkah berikut ini mencakup alat dan metode ini. Ingatlah bahwa jika langkah-langkah berikut tidak sesuai dengan niat Anda, Anda harus meninjau Bab 13, yang mencakup aplikasi audit. Bab 13 itu sengaja diarahkan untuk secara konseptual melanggar audit kompleks atau jarang

 Masalah Kunci Komponen Audit Web

·         Platform Web Keamanan sistem operasi, perlindungan fisik dan jaringan ke tuan rumah

·         Server Web Pengaturan default, kode contoh, misconfigurations umum, logging.

·         Web application Development framework pengaturan keamanan, aplikasi default pengaturan, validasi masukan, salah melayani data, akses ke data rahasia perusahaan, misconfigurations umum.

Bagian 1: Langkah Uji untuk Mengaudit Host

Sistem operasi

Audit sistem operasi host harus dilakukan bersamaan dengan audit web server dan aplikasi web (s). Silakan lihat Bab 6 dan 7 di Windows atau Unix yang sesuai untuk audit platform.

Bagian 2: Langkah Uji untuk Mengaudit Server Web

Setiap langkah mungkin atau mungkin tidak berlaku untuk server web Anda, namun Anda perlu meluangkan waktu untuk melakukannya

tentukan ini Kami memeriksa aplikasi yang berjalan di server web di a

audit terpisah yang mengikuti yang satu ini.

        Alat dan Teknologi

Ada beberapa alasan mengapa produk otomatis gagal mengaudit semua komponen server web Anda, namun bukan berarti produk ini harus diabaikan. Review kode sebenarnya bisa berjalan sangat cepat untuk coders berpengalaman, tapi ini tergantung pada banyak variabel. Misalnya, bagaimana berpengalaman adalah coder? Seberapa baik resensi memahami aplikasi web? Seberapa baik resensi memahami konstruksi bahasa pemrograman yang digunakan untuk aplikasi? Seberapa kompleks aplikasi itu? Antarmuka eksternal apa yang ada, dan seberapa baik peninjau memahami antarmuka eksternal ini? Jika Anda tinggal dan bermain di dunia ini, ulasan kode mungkin mudah bagi Anda. Jika Anda tinggal dan bermain di banyak dunia, Anda mungkin ingin mempertimbangkan untuk menambah pencarian Anda dengan alat otomatis, terutama jika Anda tidak memiliki anggaran untuk mendapatkan bantuan yang Anda tahu yang Anda butuhkan. Bagian dari perbedaan antara insinyur yang baik dan insinyur hebat adalah akal. Hanya karena Anda tidak punya uang tidak berarti Anda tidak bisa memanfaatkannya alat dan komunitas di sekitar Anda

B.        Regulasi

Komunitas bisnis global terus mendukung peraturan dan undang-undang baru yang berlaku mempengaruhi dan meningkatkan tanggung jawab perusahaan untuk pengendalian internal. Bab ini mengulas pengembangan peraturan yang terkait dengan pengendalian internal sehubungan dengan penggunaan informasi dan teknologi. Secara khusus, bab ini membahas hal berikut:

·         Pengantar undang-undang yang terkait dengan pengendalian internal

·         The Sarbanes-Oxley Act of 2002

·         The Gramm-Leach-Bliley Act

·         Peraturan privasi seperti California SB1386

·         Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan tahun 1996

·         Komisi UE dan Basel II

·         Standar Keamanan Data Kartu Pembayaran (PCI)

·         Tren peraturan lainnya

Pengantar Legislasi Terkait dengan Kontrol Internal

Sifat global bisnis dan teknologi mendorong kebutuhan akan standar dan peraturan yang mengatur bagaimana perusahaan bekerja sama dan bagaimana informasi dibagi. Kemitraan strategis dan kolaboratif telah berevolusi dengan badan-badan seperti International Organization of Standardization (ISO), International Electrotechnical Commission (IEC), International Telecommunication Union (ITU), dan Organisasi Perdagangan Dunia (WTO). Partisipasi dalam badan standar ini bersifat sukarela, dengan tujuan bersama untuk mempromosikan perdagangan global untuk semua negara. Masing-masing negara telah melangkah lebih jauh untuk membentuk kontrol pemerintah atas aktivitas bisnis perusahaan beroperasi di dalam batas-batas mereka.

Motivasi untuk pembuatan dan adopsi legislasi jauh lebih kompleks dari yang terlihat. Kepentingan nasional, perhatian industri, dan corporate jockeying membuat supir politik yang kuat. Politik bisa memiliki konotasi negatif, namun dalam konteks ini, "Politik" hanya mengacu pada pemahaman bahwa peraturan umumnya menguntungkan atau melindungi sekelompok orang yang representatif. Bangsa, industri, dan perusahaan memiliki kekhawatiran tentang kerahasiaan, integritas, dan ketersediaan informasinya. Standar dan Perundang-undangan adalah dua metode yang memastikan kekhawatiran ini terpenuhi.

Dampak Regulatory terhadap Audit TI

Peraturan dampak terhadap audit TI berkembang seiring bisnis menyesuaikan diri dengan kompleksitas kepatuhan terhadap beberapa otoritas. Selama dekade terakhir, pemerintah A.S. telah melewati banyak tindakan privasi khusus industri dan peraturan lainnya. Masing-masing telah disahkan dengan maksud melindungi konsumen bisnis. Akibatnya, internal dan kelompok audit eksternal ditugaskan untuk meninjau proses dan prosedur bisnis pastikan kontrol yang tepat ada yang melindungi kepentingan bisnis dan konsumen.

Pertimbangkan Rantai Nilai Porter yang ditunjukkan pada Gambar 17-1. Masing-masing       komponen fungsional bisnis saat ini terus menarik tuntutan kemitraan yang lebih tinggi pada organisasi TI untuk mendukung proses bisnis. Hubungan saling terkait antara IT kontrol dan fungsi bisnis pendukungnya telah menciptakan usaha yang besar dasi kontrol TI spesifik untuk proses bisnis yang ada dan baru. Upaya tersebut dilakukan pembuat undang-undang yang berusaha melindungi konsumen, layanan keuangan yang berusaha melindungi aset mereka, membantu vendor mencoba menjual lebih banyak produk, dan bisnis berusaha mematuhi persyaratan yang tampaknya berkembang dan tidak konsisten.

Asosiasi Internasional Auditor Internal (IIA) dan Asosiasi Audit dan Pengawasan Sistem Informasi Internasional (ISACA) menerbitkan panduan untuk membantu anggota kelompok audit internal dan eksternal ini dalam membangun kontrol bersama dan proses audit. Teknologi dapat mempengaruhi setiap bagian bisnis. Dengan tekad, terkendali, dan efisien, yang terbaik, teknologi menawarkan keunggulan kompetitif. Yang terburuk, Teknologi adalah keunggulan pesaing Anda saat Anda tidak memiliki aktivitas dan proses yang sesuai untuk memastikan tata kelola, manajemen risiko, atau kepatuhan pengelolaan teknologi dan organisasi.

Sejarah Peraturan Keuangan Perusahaan

Pada tahun 1970an, perhatian terhadap pengendalian internal terkait dengan pelaporan keuangan mulai dilakukan terbentuk sebagai akibat dari pertumbuhan kebangkrutan dan keruntuhan keuangan seperti Penn Central Railroad pada tahun 1970, kebangkrutan terbesar dalam sejarah A.S. pada saat itu waktu. Pada tahun 1976, sebuah investigasi kongres oleh komite Moss dan Metcalf merekomendasikan peraturan federal yang meningkat di bidang akuntansi dan auditing. Di 1977, Foreign Corrupt Practices Act membuat sogokan perusahaan ilegal dan wajib untuk menyimpan catatan transaksi yang ekstensif untuk tujuan pengungkapan.

Menjelang pertengahan 1980an, industri simpan pinjam telah ambruk. Kongres melihat apakah pemerintah harus mengambil alih penerbitan standar akuntansi dan pengawasan auditor Pada tahun 1986, Komite Sponsoring Organizations (COSO) memeriksa bagaimana manajemen keuangan yang curang dapat dibatasi dan bagaimana auditor dapat mengurangi kesenjangan yang diketahui antara apa yang auditor lakukan dan apa yang diharapkan publik. COSO menerbitkan panduan formal untuk pengendalian internal yang dikenal sebagai Kerangka Kerja Integrasi Internal-Kontrol, dijelaskan lebih rinci pada Bab 16. Industri sukarela ini dimaksudkan untuk membantu perusahaan publik melakukan selfregulating dan dengan demikian menghindari kebutuhan akan peraturan pemerintah.

Pada tahun 1991, Federal Deposit Insurance Corporation Improvement Act (FDICIA) diberlakukan untuk industri perbankan sebagai respon terhadap keruntuhan tabungan dan pinjaman. Ini memperkenalkan akuntabilitas manajemen atas dengan menggunakan tanda-tanda.

Namun, ketika Enron dan perusahaan besar lainnya gagal pada tahun 2001 dan 2002, Pemerintah A.S. bergerak cepat untuk menerapkan reformasi korporat yang paling luas dalam upaya memulihkan kepercayaan publik terhadap operasi bisnis A.S. Sarbanes-Oxley Act tahun 2002 dan revisi berikutnya memiliki dampak luas terhadap semua perusahaan (asing dan domestik) yang melakukan bisnis dengan Amerika Serikat dan pada kelompok teknologi yang mendukung bisnis tersebut. Bab ini akan merangkum dampak Sarbanes-Oxley dan peraturan pemerintah dan industri lainnya yang berlaku di departemen layanan informasi.

The Sarbanes-Oxley Act of 2002

Undang-undang Sarbanes-Oxley (SOX) tahun 2002 (yang secara formal dikenal sebagai Akuntan Publik dan Undang-Undang Perlindungan Investor) merupakan tanggapan dari pemerintah AS terhadap ruam skandal korporat yang terkenal yang dimulai dengan Enron dan Arthur Andersen, diikuti oleh Tyco , Adelphia Communications, WorldCom, HealthSouth, dan banyak lainnya.

Sarbanes-Oxley Act dan Dewan Pengawas Akuntansi Perusahaan Publik (PCAOB) diciptakan untuk memulihkan kepercayaan investor di pasar umum A.S. Tujuan utamanya adalah untuk meningkatkan tanggung jawab perusahaan, meningkatkan pengungkapan keuangan, dan mencegah kecurangan perusahaan dan akuntansi. Dengan demikian, kontrol yang diperlukan untuk kepatuhan terhadap fokus SOX pada kontrol kunci penting untuk memastikan kerahasiaan, integritas, dan ketersediaan data keuangan.

Gramm-Leach-Bliley Act

Judul resmi undang-undang ini adalah Undang-Undang Modernisasi Jasa Keuangan. Tindakannya, yang lebih dikenal dengan Gramm-Leach-Bliley Act (GLBA), diarahkan terutama untuk memungkinkan fungsi dan hubungan yang diperluas di antara institusi keuangan. Undang-undang tersebut mencakup bagaimana dan dalam keadaan apa perusahaan induk bank dapat melakukan afiliasi baru dan terlibat dalam kegiatan yang sebelumnya dibatasi.

Peraturan privasi

Meringkas karya bagus yang dilakukan oleh Thomas Karol dalam Panduan untuk Penilaian Dampak Privasi Cross-Border, informasi pribadi pernah dipandang sebagai konten bisnis eksklusif dengan sedikit memperhatikan hak pribadi individu yang informasi yang dimiliki perusahaan. Organisasi pemerintah dan kelompok aktivis privasi telah bertugas untuk menciptakan sejumlah undang-undang yang melindungi informasi pribadi.

Persyaratan nasional dan negara mengatur bagaimana informasi kesehatan, keuangan, dan identitas pribadi dapat digunakan dan disimpan. Sayangnya, berbagai kepentingan dan batasan kenyamanan (kepentingan politik) telah menciptakan persyaratan yang berbeda, dan kurangnya keseragaman memberikan tantangan terhadap penanganan informasi pribadi yang sesuai.

Kunjungi situs web di tip terlampir untuk menemukan sumber dokumen otoritas. Lakukan pencarian untuk kata "privacy" dan mulailah melihat melalui belasan hasil. Ini tidak secara meyakinkan menggambarkan setiap otoritas yang terkait dengan privasi, namun ini menunjukkan sejumlah besar dokumen dan undang-undang khusus privasi. Jika Anda menginginkan daftar dokumen otoritas yang menakjubkan dan menakjubkan, temukan spreadsheet di unifiedcompliance.com, cari setiap spreadsheet untuk kontrol khusus yang terkait dengan privasi, dan kemudian kunjungi ID kontrol. Latihan ini akan lebih masuk akal saat Anda menemukan spreadsheet dan mulai berjalan melewatinya.

Tabungan dan Akuntabilitas Asuransi Kesehatan tahun 1996

Pada tahun 1996, Kongres A.S. melewati Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA). Tindakan tersebut mencakup dua bagian. Judul I memberikan jaminan kesehatan setelah karyawan kehilangan pekerjaan. Judul II membahas tindakan administratif yang dimaksudkan untuk menyederhanakan dan membakukan informasi kesehatan. Komponen IT dari Judul II menangani keamanan dan penanganan informasi kesehatan di era elektronik. Ketika topik HIPAA muncul, terutama di kalangan staf TI, implikasi dari bagian ini paling lazim.  

Komponen TI dari tindakan tersebut meresepkan metodologi standar untuk keamanan. Selanjutnya, format standarisasi HIPAA untuk informasi terkait kesehatan. Standar tersebut mencakup metode yang memastikan kerahasiaan dan integritas data pasien untuk setiap informasi yang dapat dikaitkan dengan pasien individual.

Komponen tindakan yang paling sering diidentifikasi adalah kumpulan data yang secara kolektif dikenal sebagai Informasi Kesehatan Terlindungi (PHI) atau Informasi Kesehatan Pelindung Elektronik (EPHI) yang mencakup Informasi Kesehatan Identifikasi Individu (IIHI). IIHI berkaitan dengan kondisi medis seseorang, perawatan, atau pembayaran untuk perawatan. Setiap entitas yang mengelola dan menggunakan PHI individual dapat dikenai tindakan. Lingkup efektif HIPAA mencakup entitas dari rumah sakit, asuransi, dokter (semua jenis), laboratorium, dan perusahaan yang beroperasi atau berpartisipasi dalam rencana kesehatan. Organisasi yang terkena dampak HIPAA dirujuk oleh undang-undang tersebut sebagai entitas yang tercakup.

Tren Peraturan Lainnya

Seiring komputer berkembang biak pada masa kejayaan tahun 1980an dan 1990an, kontrol internal atas TI gagal mengimbangi arsitektur infrastruktur yang berubah dengan cepat. Namun, tindakan keras terhadap pengendalian internal yang dimulai atas pelaporan keuangan telah diperluas untuk mencakup TI, dan memang seharusnya demikian.

Kini, selain SOX, GLBA, California SB 1386, HIPAA, dan peraturan lainnya, persyaratan lebih lanjut akan datang Dengan pencurian identitas yang mendekati proporsi krisis, perlindungan data dan privasi merupakan topik yang sangat mendesak bagi legislator.

Meningkatnya persyaratan peraturan meningkatkan kesadaran di kalangan manajemen perusahaan senior. Keamanan informasi mendapatkan visibilitas yang semakin serius. Sebagian besar perusahaan sekarang menyadari bahwa mereka sebelumnya hanya memiliki sedikit pemahaman tentang eksposur mereka dan mengakui bahwa mereka perlu melakukan upaya sadar untuk mengidentifikasi risiko mereka dan mengambil langkah-langkah yang semakin pasti untuk mengatasinya.

A.        Standar dan Kerangka Kerja Audit

Seiring teknologi informasi standar (I) jatuh tempo pada akhir abad ke-20, departemen TI di dalam setiap organisasi biasanya mengembangkan metode sendiri untuk mengelola operasi. Akhirnya, kerangka kerja dan standar muncul untuk memberikan panduan bagi manajemen dan evaluasi proses TI. Dalam bab ini kita akan melihat beberapa kerangka kerja dan standar paling menonjol saat ini yang berkaitan dengan penggunaan teknologi. Pembahasan kami akan mencakup hal-hal berikut:

·         Pengantar pengendalian internal, kerangka kerja, dan standar

·         Komite Kompensasi Organisasi Cadangan (COSO)

·         Tujuan Pengendalian untuk Informasi dan Teknologi Terkait (COBIT)

·         IT Infrastructure Library (ITIL)

·         ISO 27001

·         Metodologi Penilaian Badan Keamanan Nasional (NSA)

·         Gaya Standar dan Kerangka Kerja Audit

Pengantar Kontrol, Kerangka, dan Standar TI Internal

Pada 1970-an, kekhawatiran akan meningkatnya kebangkrutan perusahaan dan keruntuhan keuangan mulai meningkatkan permintaan akan pertanggungjawaban dan transparansi di antara perusahaan publik. Foreign Cornupt Practices Act of 1977 (FCPA) mengkriminalisasi penyuapan di luar negeri dan merupakan peraturan pertama yang mengharuskan perusahaan untuk menerapkan program pengendalian internal untuk menyimpan catatan transaksi yang ekstensif untuk tujuan pengungkapan.

Ketika industri simpan pinjam ambruk pada pertengahan tahun 1980an, ada seruan untuk mengawasi standar akuntansi dan profesi auditing pemerintah. Dalam upaya untuk mencegah intervensi pemerintah, inisiatif sektor swasta independen, yang kemudian disebut Komite Sponsoring Organizations (COSO), dimulai pada tahun 1985 untuk menilai bagaimana cara terbaik untuk meningkatkan kualitas pelaporan keuangan. COSO meresmikan konsep pengendalian internal dan kerangka kerja pada tahun 1992 saat menerbitkan publikasi penting Kerangka Pengendalian Internal.

Sejak saat itu, asosiasi profesional lainnya terus mengembangkan kerangka kerja dan standar tambahan untuk memberikan panduan dan praktik terbaik kepada konstituen mereka dan komunitas TI secara umum. Bagian berikut menyoroti COSO dan beberapa kerangka kerja dan standar TI paling menonjol yang digunakan saat ini.

Gaya standard dan Kerangka Kerja

Persyaratan dan praktik bisnis sangat bervariasi di seluruh dunia, seperti juga kepentingan politik dari banyak organisasi yang menciptakan standar. Kemungkinan besar kerangka kerja dan standar tunggal akan muncul dalam waktu dekat untuk memenuhi kebutuhan setiap orang. Kompleksitas pemetaan ratusan dokumen otoritas dari peraturan (internasional, nasional, lokal / negara bagian, dan sebagainya) dan standar (ISO, industri spesifik, vendor, dan sebagainya) menciptakan peluang dan ceruk pasar. Vendor teknologi dengan tepat mengidentifikasi ceruk pasar yang penting ini, atau pembeda, untuk meningkatkan penjualan produk dengan mengidentifikasi bagaimana cara mendapatkan produk mereka untuk memenuhi persyaratan otoritas. Vendor melompat pada kesempatan untuk memetakan kemampuan mereka untuk menangani kontrol spesifik dari beberapa peraturan dan standar.

Jaringan Frontiers mungkin adalah perusahaan yang paling terkenal yang mencoba hal yang tidak mungkin: membuat pemetaan umum kontrol TI di setiap peraturan, standar, dan praktik terbaik yang ada. Hasilnya disebut IT Unified Compliance Kerangka, dan bisa ditemukan di www.unifiedcompliance.com. Selanjutnya, ini pemetaan diadopsi oleh Archer Technologies, Microsoft, Computer Associates, McAfee, dan beberapa vendor lainnya untuk membantu menjembatani penyelarasan kontrol yang dikelola atau dilacak oleh vendor dengan persyaratan dokumen otoritas individual.

Satu sudut pandang menunjukkan kerangka adopsi tunggal akan menyederhanakan teknologi pengembangan produk, struktur organisasi, dan tujuan pengendalian. Yang lain sudut pandang menunjukkan bahwa kompleksitas kepentingan regional, politik, bisnis, budaya, dan kepentingan yang berbeda memastikan kerangka kontrol yang diterima secara universal tidak akan pernah tercipta. Kebenaran mungkin terletak di suatu tempat di tengahnya. Meskipun satu set standar internasional tidak dapat dipastikan, alat yang dijelaskan dalam bab ini tetap berfungsi untuk menciptakan infrastruktur teknologi yang andal, aman, dan berkelanjutan yang pada akhirnya menguntungkan para peserta.

B.        Manajemen Resiko

Beberapa tahun yang lalu, firewall dan perangkat lunak antivirus adalah sebagian besar organisasi digunakan untuk mengurangi risiko TI. Namun, dalam beberapa tahun terakhir, lanskap ancaman telah berubah sangat. Saat ini, ancaman orang dalam lebih terasa, ribuan variannya malware didistribusikan, dan pemerintah telah memberlakukan undang-undang yang mewajibkan implementasi berbagai kontrol. Akibatnya, proses manajemen risiko formal sekarang harus menjadi bagian dari setiap program audit TI. Pertanyaan juta dolar hari ini adalah: Apa itu program manajemen risiko formal? Didalam Bab kita akan mengeksplorasi proses analisis risiko, siklus manajemen risiko, dan metode untuk mengidentifikasi dan menangani risiko secara efektif. Pada akhir bab ini adalah ringkasan dari rumus yang kita gunakan dalam teks.

Manfaat Manajemen Risiko

Potensi pengelolaan risiko TI masih dirahasiakan. Beberapa tahun, banyak organisasi telah meningkatkan efektivitas pengendalian TI mereka atau mengurangi biaya mereka dengan menggunakan analisis risiko dan praktik manajemen risiko yang baik. Ketika manajemen memiliki pandangan perwakilan tentang eksposur TI organisasi, ia dapat melakukannya mengarahkan sumber daya yang tepat untuk mengurangi area risiko tertinggi daripada pengeluaran sumber daya langka di daerah yang memberikan sedikit atau tidak ada pengembalian investasi (ROI). Jaring Hasilnya adalah tingkat pengurangan risiko yang lebih tinggi untuk setiap dolar yang dikeluarkan.

Manajemen Risiko dari Perspektif Eksekutif

Bisnis adalah semua tentang risiko dan penghargaan. Eksekutif diharuskan menimbang manfaat investasi dengan risiko yang terkait dengannya. Akibatnya, sebagian besar telah menjadi cukup mahir mengukur risiko melalui analisis ROI, indikator kinerja utama, dan segudang alat analisis keuangan dan operasional lainnya. Sukses dalam mengelola. Risiko TI organisasi, Anda harus memahami bahwa eksekutif melihat risiko finansial istilah. Akibatnya, semacam analisis keuangan biasanya diperlukan untuk berbisnis kasus untuk investasi di kontrol tambahan.

Mengatasi Resiko

Resiko dapat diatasi dengan tiga cara: menerimanya, mengurangi, atau mentransfernya. Yang sepantasnya metode sepenuhnya tergantung pada nilai finansial dari risiko versus investasi diperlukan untuk menguranginya ke tingkat yang dapat diterima atau mentransfernya ke pihak ketiga. Sebagai tambahannya Kontrol preskriptif, peraturan seperti HIPAA / HITECH dan PCI mengharuskan organisasi tersebut menilai risiko terhadap informasi yang dilindungi dan menerapkan pengendalian yang wajar mengurangi risiko ke tingkat yang dapat diterima.

Penerimaan Risiko

Nilai finansial suatu risiko seringkali lebih kecil daripada biaya mitigasi atau transfer. Dalam hal ini, pilihan yang paling masuk akal adalah menerima risiko. Namun, jika organisasi memilih untuk menerima risiko, itu harus menunjukkan bahwa risiko memang dinilai dan mendokumentasikan alasan di balik keputusan tersebut.

Transfer Resiko

Industri asuransi didasarkan pada transferensi risiko. Organisasi sering membeli asuransi untuk menutupi biaya pelanggaran keamanan atau bencana sistem outage. Ini penting untuk perhatikan bahwa perusahaan asuransi yang menawarkan jenis kebijakan ini sering mewajibkan kebijakan tersebut pemegang menerapkan kontrol tertentu. Gagal mematuhi persyaratan control dapat membatalkan kebijakan Bila pengelolaan sistem TI dialihkan ke pihak ketiga, tingkat tertentu risiko dapat ditransfer secara kontrak ke pihak ketiga juga. Dalam kasus ini, itu adalah tanggung jawab organisasi meng-outsource sistemnya untuk memverifikasi bahwa risiko TI berkurang ke tingkat yang dapat diterima dan bahwa perusahaan yang mengelola sistemnya memiliki keuangan Kekuatan untuk menutupi kerugian harus terjadi.

Analisis Risiko Kuantitatif vs Kualitatif

Risiko dapat dianalisis dengan dua cara: kuantitatif dan kualitatif. Seperti hal lainnya, masing memiliki kelebihan dan kekurangan. Dimana pendekatan kuantitatif lebih banyak obyektif dan mengungkapkan risiko secara finansial sehingga pengambil keputusan bisa lebih mudah membenarkan, juga lebih menyita waktu. Pendekatan kualitatif lebih cocok untuk ditampilkan pandangan berlapis risiko, tapi bisa lebih subjektif dan karena itu sulit untuk dibuktikan.

Organisasi dengan program manajemen risiko yang lebih sukses cenderung mengandalkan lebih banyak pada analisis risiko kualitatif untuk mengidentifikasi area fokus dan kemudian menggunakan kuantitatif teknik analisis risiko untuk membenarkan pengeluaran mitigasi risiko.