tugas kuliah

KOMPONEN AUDIT IT

Menetapkan ruang lingkup audit IT

Prasyarat utama untuk program audit organisasi adalah menentukan jenis audit apa yang diperlukan dan mengidentifikasi apa yang harus atau bisa diaudit. Potensi audit yg di kembangkan oleh inventaris disebut dengan Ruang Lingkup. manajemen aset, arsitektur perusahaan, kerangka tata kelola, atau pendekatan lain apa pun yang membantu mengidentifikasi elemen-elemen penyusun organisasi. Organisasi kemudian melakukan penilaian risiko pada setiap item yang termasuk dalam ruang lingkup audit untuk memberikan prioritas pada subyek audit, Dengan mempertimbangkan faktor-faktor untuk setiap item seperti, besarnya relatif risiko pentingnya bagi organisasi, atau potensi manfaat bagi organisasi dari melakukan audit. Prioritasi mencerminkan efisiensi sumber daya organisasi yang tersedia untuk mendukung audit, Aspek organisasi dapat di audit secara memadai Tata kelola formal dan manajemen resiko, kedua domain organisasi ini menekankan identifikasi dan penilaian asset sebagai dasar untuk menyusun kegiatan manajemen dan mengalokasikan sumber daya organisasi, sumber daya kontrol lainnya pada area organisasi yang terkait dengan sumber risiko terbesar.

Mengembangkan dan mempertahankan ruang lingkup audit

Audit di setiap organisasi biasanya mencerminkan cara organisasi itu sendiri terstruktur dan dikelola. Semesta audit dapat diatur atau dikategorikan berdasarkan hierarki unit bisnis, arsitektur perusahaan, model proses bisnis, kerangka kerja tata kelola, katalog layanan, atau dekomposisi fungsional lainnya yang paling sesuai dengan cara organisasi memandang operasi dan aset mereka. ada beberapa level kontrol atau tingkat entitas umum yang menyeluruh yang dapat diaudit. audit kontrol tingkat entitas sering kali memerlukan beberapa pendekatan audit karena biasanya mencakup berbagai jenis kontrol internal. Ruang lingkup audit ini penerapannya di semua tingkat organisasi juga berarti bahwa laporan audit tingkat entitas memiliki khalayak yang lebih luas daripada yang dihasilkan dalam jenis audit lainnya. Auditor yang melakukan audit pada level apa pun di bawah seluruh organisasi perlu memastikan bahwa ruang lingkup audit mereka mencakup level entitas dan kontrol bersama lainnya, serta yang diterapkan secara khusus untuk komponen yang diperiksa oleh audit.

Unsur-unsur organisasi yang biasanya dimasukkan dalam ruang lingkup meliputi:

· unit struktur organisasi seperti unit bisnis, divisi operasi, fasilitas, atau anak perusahaan

· struktur akuntansi seperti pusat biaya, lini bisnis, atau area proses

· sasaran, sasaran, dan hasil strategis, yang dievaluasi sebagian dengan mengaudit sumber daya yang dialokasikan untuk pencapaiannya;

· misi dan proses bisnis, layanan, dan fungsi operasional yang dijalankan oleh organisasi

· aset termasuk aset TI organisasi memiliki, mengoperasikan, mengelola, atau mengendalikan;

· program, proyek, dan investasi di mana organisasi melakukan pendanaan atau sumber daya lainnya;

· kontrol internal dan eksternal yang dilaksanakan oleh organisasi atau atas namanya;

· fungsi atau program manajemen seperti tata kelola, manajemen risiko, jaminan kualitas, sertifikasi, dan kepatuhan serta audit internal.

Penggerak tata kelola, risiko, dan kepatuhan

organisasi menetapkan dan memelihara program di bidang ini, kebutuhan untuk menilai efektivitasnya dan mengukur pencapaian tujuan program mempengaruhi ruang lingkup dan frekuensi audit TI dan prosedur, standar, dan kriteria yang digunakan dalam audit TI internal.

Meskipun kerangka kerja dan tata kelola manajemen risiko jarang menentukan elemen yang cukup, untuk menyediakan inventaris subjek potensial audit, mereka menawarkan fondasi yang kuat, khususnya untuk komponen dan kontrol terkait-TI di dunia audit.

Program kepatuhan memiliki pengaruh, di mana kebutuhan untuk memenuhi tujuan atau persyaratan kepatuhan, adalah faktor utama dalam penentuan prioritas dan kriteria yang digunakan sebagai dasar untuk menunjukkan kepatuhan menetapkan ruang lingkup minimum untuk audit dilakukan untuk mendukung kepatuhan.

Misalnya, versi yang dipakai secara luas 4.1 dari tujuan pengendalian untuk informasi dan teknologi (COBIT) mencakup 34 proses dalam 4 domain tata kelola utama dan mendefinisikan lebih dari 200 tujuan pengendalian yang terkait dengan proses tersebut. COBIT 5 memperluas proses model referensi ke 37 proses di antara 5 domain, menggantikan tujuan kontrol dengan tata kelola dan praktek manajemen yang disarankan dan kriteria audit pada tujuh faktor, mirip dengan kategori ruang lingkup audit : prinsip, kebijakan, dan kerangka kerja, struktur organisasi; Kebudayaan, etika, dan perilaku. Informasi; Layanan, infrastruktur, dan aplikasi.

Enterprise risk management menggunakan ruang lingkup audit development dan IT untuk mengaudit ruang lingkup dengan memberikan identifikasi aset organisasi yang berisiko dan menetapkan jenis risiko-risiko yang berlaku pada komponen atau aspek operasional organisasi. Sementara risiko yang terkait dengan mata pelajaran audit yang berbeda membantu meningkatkan sumber daya yang seharusnya, mempertimbangkan semua jenis risiko yang ada dan dapat memengaruhi cakupan audit.

Strategi dan prioritas audit

Pada bab 3 sudah dijelaskan pentingnya strategi audit terhadap sebuah organisasi dan program audit internalnya. Strategi audit adalah sebuah kunci utama yang menentukan jenis, lingkup, dan frekuensi audit sebuah organisasi memimpin dan mendefinisikan kriteria yang digunakan oleh organisasi untuk memprioritaskan materi di alam semesta audit. Organisasi mengikuti prosedur dalam strategi audit untuk membentuk prioritas audit dan menggunakan determinasi untuk pengalokasikan sumber-sumber audit internal. Rencana pada audit yang terkait untuk menguraikan sumber-sumber yang harus dialokasikan untuk dapat menjawab persyaratan wajib dan tujuan serta persyaratan audit tambahan apa pun. Banyak suatu organisasi menetapkan peringkat prioritas tinggi untuk mengaudit kegiatan yang mendukung kepatuhan hukum atau peraturan, semacam laporan kontrol internal yang diwajibkan dari perusahaan yang diperdagangkan pada bawah pasal 404 dari undang-undang Sarbanes-Oxley [5]. Kegagalan untuk mematuhi persyaratan wajib adalah salah satu dari beberapa jenis risiko organisasi yang dihadapi yang dapat mengakibatkan dampak negatif yang diukur secara langsung dalam istilah keuangan atau tidak langsung dari kerusakan reputasi, publisitas negatif, sanksi hukuman, atau hasil potensial lainnya.

Jenis kontrol

Jenis kontrol adalah sebuah elemen yang berbeda-beda yang ada pada audit, operasi bisnis, aset-asetnya, dan sumber-sumber pendukung yang membentuk kemampuan fungsional suatu organisasi, sementara kontrol pada kemampuan-kemampuan tersebut mencakup struktur manajemen, proses dan protokol, serta langkah-langkah teknis yang menyediakan efisiensi dan keefektifan operasional, kepatuhan, keandalan, dan jaminan operasional. Seperangkat kontrol individu (baik secara internal maupun eksternal) dijalankan oleh sebuah organisasi bertentangan dengan proses pemerintahan pengendalian internal, yang ada untuk membantu organisasi mencapai tujuan manajemen yang berkaitan dengan strategi, operasi, suatu kepatuhan manajemen yang sah atau peraturan, kualitas, keamanan, atau manajemen risiko. Kontrol terutama kontrol internal adalah fokus dari banyak jenis audit, baik dilakukan oleh auditor internal ataupun eksternal. Satu jenis kontrol atau lebih biasanya berlaku untuk semua benda dalam ruang lingkup organisasi. Organisasi dan auditor perlu memiliki pemahaman yang luas tentang berbagai jenis kontrol dan penerapan tujuan dan fungsinya untuk dapat merencanakan dan melaksanakan sebuah audit dengan benar dari kontrol sebuah organisasi dan untuk menyelaraskan jenis kontrol yang digunakan dengan cara kompetensi, keterampilan, dan pengalaman sebelumnya kepada para auditor.

Kontrol Kategorisasi

Kontrol Kategorisasi adalah Kontrol yang luas dan memilih kontrol tersebut dari susunan kontrol yang sama luas atau lebih luas yang disusun untuk implementasi. Seperti halnya item-item dalam ruang lingkup audit dapat diatur atau dikategorikan dalam banyak cara, banyak pendekatan kategorisasi kontrol yang berbeda-beda digunakan dalam kerangka kerja yang tersedia, metodologi, dan panduan. Skema pengukuran umum untuk kontrol termasuk yang didasarkan pada tujuan, sasaran, fungsi, sifat implementasi, dan tingkat penerapan dalam organisasi. Tabel 6.1 memberikan sebuah daftar pendekatan kategorisasi kontrol yang representatif dengan menggunakan basis kategorisasi yang berbeda.

Kategorisasi kontrol terutama dimaksudkan untuk memperkenalkan konsisten dengan cara kontrol dirujuk dan diterapkan dalam konteks yang berbeda-beda dan untuk tujuan berbeda. Seperti yang ditunjukkan oleh Tabel 6.1, tidak ada standar tunggal yang dapat diterima untuk mengkategorikan kontrol, sehingga organisasi dapat memilih atau mengadaptasi pendekatan yang ditentukan dalam susunan kerangka kerja atau metodologi eksternal, mengembangkan kategorisasi mereka sendiri, atau mengikuti standar yang ditetapkan dalam aturan hukum, peraturan, atau kebijakan sebuah organisasi. harus memuaskan. Peraturan keamanan yang diundangkan di bawah Undang-undang Portabilitas dan Akuntabilitas Asuransi Kesehatan tahun 1996 (dikenal secara kolektif sebagai Peraturan Keamanan HIPAA) misalnya, memisahkan persyaratan menjadi pengamanan administratif, teknis, dan fisik, sehingga organisasi yang dicakup oleh hukum mungkin menemukan bahwa menggunakan kategorisasi yang sama pendekatan untuk kontrol internal memfasilitasi kepatuhan.

Tabel 6.1

Basis	Kategorisasi Representatif
Tujuan kontrol	Pencegahan, detektif, korektif
Kontrol objektif	Operasi, pelaporan, kepatuhan Tata kelola, manajemen risiko, kepatuhan
Fungsi kontrol	Administratif, teknis, fisik Manajemen, operasional, teknis
Sifat implementasi	Terpusat, dibagikan, didesentralisasi
Tingkat penerapan	Organisasi, divisi, unit bisnis, fungsi Program, proyek, sistem, komponen

Kontrol Organisasi

Kontrol organisasi adalah control yang ditingkat entitas penting sebagai area fokus untuk audit internal dan eksternal karena mereka memberikan dasar untuk bagaimana organisasi mengelola fungsi yang didukung oleh sebuah kontrol. Kontrol pada level entitas juga disertakan dengan referensi ke dalam banyak jenis audit dilakukan di tingkat organisasi lainnya, sebagai unit bisnis, program dan proyek, dan aset teknologi semuanya yang memanfaatkan jenis-jenis kontrol tingkat entitas. Gambar 6.2 menunjukkan berbagai kategori utama dari entitas level dan jenis kontrol dalam setiap kategori Itu mungkin diterapkan dan akan tunduk pada audit dalam organisasi yang berbeda.

Audit dari kontrol tingkat entitas berbeda pada tingkat tertentu dari pemeriksaan yang difokuskan pada unsur-unsur yang sempit di dalam organisasi. Efektivitas kontrol tingkat entitas sebagian bergantung pada sejauh mana organisasi yang membentuk otoritas kontrol dan menerapkan setiap kontrol dengan cara yang meliputi seluruh organisasi. Dari perspektif ini, audit dari kontrol tingkat entitas pada dasarnya memeriksa kemampuan manajemen dan tata kelola organisasi, termasuk struktur organisasi, penyelarasan bisnis dan tujuannya, keberadaan serta penggunaan kegiatan perencanaan strategis dan operasional. Unsur-unsur pada kontrol ini membantu memastikan bahwa control yang di tentukan organisasi kebijakan sebenarnya diimplementasikan dan digunakan untuk mendukung pencapaian tujuan kontrol organisasi. Tata kelola terkemuka dan kerangka manajemen risiko menekankan bahwa pentingnya menetapkan kontrol tingkat entitas dan tampaknya mengasumsikan bahwa hampir semua organisasi mengenali nilai dari menerapkan jenis-jenis pada kontrol ini [2,8,9]. Asumsi seperti itu sebagian berasal dari proporsi besar perusahaan atau organisasi yang saling tukar di industri atau lingkungan operasi yang diatur untuk membentuk sebuah audit yang diinginkan tentang tata kelola, manajemen risiko, kepatuhan, dan audit.

Mengaudit aset yang berbeda

Auditing aset yang berbeda adalah untuk melakukan pengecekan asset dan kontrol teknis yang terkait, baik sebagai focus utama dalam audit sentris atau dalam konteks seperti fungsi manajemen audit dan proses bisnis yang didukung oleh aset-asetnya.

Untuk melakukan pengecekan asset-aset para auditor yang bertugas perlu untuk memilih prosedur audit yang tepat, sesuai dengan jenis audit yang akan diadakan dan membutuhkan pemahaman cukup tentang konteks asset yang dipakai sebagai bukti yang relevan untuk mendukung temuan audit. Auditors memeriksa beberapa komponen-komponen dalam ruang lingkup sebuah audit tunggal yang memiliki kriteria dan prosedur audit dengan kebutuhan dengan pendekatan konsisten untuk mengumpulkan dan menganalisis sebuah informasi serta melaporkan temuan audit. Di sebagian besar aset TI, ada bidang-bidang umum atau prosedur audit yang dapat membantu menyediakan konsistensi ini, seperti yang dirangkum pada tabel 6.2. Secara kolektif, prosedur-prosedur ini menyoroti penggunaan terpadu dari dokumentasi, penyelidikan, pengamatan, dan uji coba langsung untuk menyediakan bukti yang diperlukan untuk mendukung temuan audit.

Fokus Audit TI	Audit Prosedur
Configuration	Memindai atau menganalisis konfigurasi aset dan membandingkan konfigurasi aktual dengan kebijakan, baseline, dan standar yang disetujui
Logging and monitoring	Konfirmasi logging diaktifkan pada tingkat detail yang sesuai dan output log dipantau dan ditinjau atau dianalisis secara teratur
Access control	Tinjau kebijakan, prosedur, dan mekanisme untuk mengontrol akses ke subjek audit, termasuk pemberian dan pencabutan hak akses dan otentikasi dan otorisasi akses

Dekomposisi Komponen IT

Dekomposisi Komponen IT adalah komponen yang di gunakan untuk kinerja audit untuk lebih efisien dan membantu menentukan ruang lingkup yang lebih akurat untuk menyelesaikan proses audit. menentukan lingkup audit, seperangkat keterampilan dan kompetensi yang diperlukan oleh audit, dan tingkat sumber yang diperlukan untuk menyelesaikan proses audit. Sistem pengaudit ini mencerminkan jenis audit dan tujuannya dimaksudkan, komponen-komponennya akan diperiksa, dan prosedur, protokol, standar, atau auditor kriteria yang akan digunakan.

Tidak ada metode standar tunggal atau "terbaik" untuk mengevaluasi sistem lingkungan teknis. Salah satu caranya adalah menguraikan suatu sistem ke dalam bagian-bagian penyusunnya dan mengaudit setiap komponen secara individu, menerapkan protokol audit yang serupa di semua unsur utama, tetapi juga menggunakan prosedur atau daftar periksa yang spesifik dalam hal teknologi jika perlu

Kategori umum atau komponen yang mewakili bidang audit mencakup delapan unsur yang diperlihatkan pada Gambar 6.1. Beberapa contoh audit istimewa Pertimbangan juga berlaku pada jenis-jenis tertentu dari lingkungan operasi seperti komputasi awan atau penggunaan lainnya dari teknologi virtualisasi server, dan sistem atau akses aplikasi menggunakan peramban web, perangkat seluler, atau jenis aplikasi dan antarmuka klien lainnya. Bagian berikut menjelaskan secara singkat dan pertimbangan audit yang berlaku untuk berbagai komponen-komponennya.

Sistem dan aplikasi

Sistem dan aplikasi memiliki beragam karakteristik seperti arsitektur teknis, sistem operasi, bahasa pemrograman, titik-titik integrasi, dan fungsi yang diinginkan. Pilihan prosedur audit yang sesuai untuk sistem dan aplikasi tergantung pada arsitekturnya dan berbagai jenis komponen teknis yang digunakan untuk pemeriksaan setiap sistem atau subjek aplikasi. Auditor aplikasi sistem fokus pada kemampuan dan kontrol non-fungsional. Masalah fungsional mencakup memastikan bahwa apa yang organisasi lakukan untuk menjalankan fungsinya memenuhi persyaratan yang ditentukan. Aspek yang tidak fungsional mencakup kinerja, kegunaan, keandalan, dan keamanan, di mana para auditor sering menguji atau meninjau bukti yang memperlihatkan penerapan kontrol yang sesuai dengan penggunaan sistem atau penerapan yang diharapkan dan cara pengguna berinteraksi dengannya. Misalnya, audit aplikasi berbasis web sering kali memeriksa penggunaan kendali terhadap kerentanan yang diketahui, kesalahan konfigurasi, dan pengungkapan informasi sensitif yang tidak sah.

Database

Istilah database umumnya berarti setiap kumpulan atau repositori informasi yang disimpan oleh suatu organisasi, tetapi dalam praktik paling sering menyiratkan jenis teknologi spesifik yang menyimpan dan menyediakan akses ke data dalam mendukung satu atau lebih aplikasi dan proses bisnis. Basis data mewakili sebuah jenis perangkat lunak aplikasi khusus, yang tunduk pada banyak prosedur audit dan kriteria pemeriksaan yang sama sebagai aplikasi dan sistem. Sifat dan kepekaan data yang disimpan dalam basis data organisasi mempengaruhi kriteria yang digunakan untuk mengaudit mereka, khususnya sehubungan dengan memeriksa kontrol keamanan atau privasi seperti enkripsi data, pengawasan akses, dan backup data serta pemulihan.

Sistem Operasi

Organisasi Modern sering menggunakan berbagai sistem operasi untuk mendukung berbagai kebutuhan sistem dan komputer, yang paling umum termasuk Microsoft Windows, berbagai versi Unix atau Linux, serta alternatif - dan platform-spesifik seperti z/OS untuk komputer mainframe IBM. Sistem operasi sangat dapat disesuaikan dan dapat diterapkan secara berbeda di seluruh organisasi atau dalam organisasi yang sama. Untuk meningkatkan ketahanan, administrasi, keamanan, dan dukungan, berbagai organisasi sering kali melakukan konfigurasi sistem operasi untuk server, komputer desktop dan laptop, dan perangkat seluler. Banyak pemasok sistem operasi menawarkan rekomendasi konfigurasi yang dimaksudkan untuk mengoptimalkan keamanan atau kesesuaian untuk penggunaan yang berbeda. Audits sistem operasi mengkonfirmasikan penggunaan dan konfigurasi yang sesuai dari sistem operasi pada platform komputasi yang berbeda yang diluncurkan dalam organisasi.

Perangkat Keras

Perangkat keras terdiri dari perangkat fisik yang digunakan untuk membangun jaringan, infrastruktur telekomunikasi, sistem komputer, pelanggan komputasi akhir, dan banyak komponen keamanan fisik. Dalam banyak penguraian arsitektur teknis, perangkat keras menghubungkan server, komputer desktop dan laptop, serta berbagai organisasi perangkat seluler yang digunakan serta router, switch, firewall, dan komponen-komponen lain yang digunakan dalam jaringan. Audit aset perangkat keras itu biasanya berfokus pada konfigurasi yang konsisten dan benar serta kepatuhan terhadap kebijakan dan standar internal. Dibandingkan dengan perangkat lunak, proporsi yang lebih besar dari suatu perangkat keras organisasi ini kemungkinan besar akan dibeli secara komersial, jadi auditor perangkat keras juga mempertimbangkan vendor dan proses-proses internal yang digunakan untuk memperoleh perangkat keras.

Jaringan

Jaringan menyediakan konektivitas dan memungkinkan pertukaran komunikasi dan informasi untuk sebagian besar, jika bukan dari aset-aset organisasi IT. Jaringan meliputi aset-aset perangkat keras seperti router dan firewall yang memungkinkan aliran informasi antara komponen dan komunikasi dan kontrol keamanan yang melindungi kualitas layanan dalam komunikasi jaringan dan informasi rahasia, integritas, dan ketersediaan data melintasi infrastruktur jaringan. Audit jaringan memeriksa implementasi dan konfigurasi perangkat keras, layanan, dan protokol yang dijalankan pada jaringan tersebut, dan kontrol keamanan seperti firewall dan sistem deteksi jaringan. Audit ini juga mempertimbangkan sifat komunikasi di dalam jaringan sehingga auditor dapat memilih prosedur audit yang sesuai untuk menggunakan nirkabel, satelit, seluler dan teknologi jaringan lainnya. Prosedur audit khusus yang digunakan untuk memeriksa jaringan tergantung pada jenis perangkat keras, layanan, kontrol keamanan, dan infrastruktur telekomunikasi yang diterapkan oleh suatu organisasi dan pada skala jaringan dalam ukuran geografisnya serta jumlah dan berbagai sistem dan fasilitas yang terhubung dengannya. Sementara sebagian besar teknologi yang mendasarkannya sangat mirip terlepas dari skala jaringan, ada perbedaan praktis dalam mengaudit konvensional atau virtual jaringan area lokal yang digunakan dalam satu lokasi dengan jaringan luas area mencakup berbagai situs.

Tempat Penyimpanan

Meskipun organisasi menyimpan sejumlah besar data dalam basis data antarnegara, konten dan dokumen sistem manajemen, dan komponen-komponennya yang serupa, penggunaan teknologi penyimpanan yang mutakhir membuat tempat, jaringan, dan infrastruktur merupakan bagian yang unik dari program ini yang digunakan pada audit. Solusi penyimpanan menggunakan perangkat keras, perangkat lunak, protokol komunikasi, dan metode penyimpanan data serta akses, meskipun bidang penekanannya untuk audit penyimpanan tumpang tindih secara substansial dengan bidang-bidang yang ada pada basis data. Prosedur Audit dan kriteria penyimpanan bergantung pada jenis spesifik teknologi penyimpanan yang digunakan suatu organisasi dan sifat serta kepekaan data yang ditampung di lingkungan penyimpanan. Penyimpanan dapat diaudit secara terpisah atau dalam teknologi operasional yang lebih luas seperti ini biasanya ditetapkan sebagai komponen pendukung dari pusat data atau lingkungan operasi teknis lainnya, di mana sebuah infrastruktur penyimpanan tunggal dapat menerima data dari berbagai sistem.

Pusat Data

Sebagai fasilitas yang digunakan sistem, perangkat keras, infrastruktur jaringan, dan teknologi terkait, pusat data menyediakan fondasi yang penting bagi cara kerjanya. Selain berfungsi sebagai lokasi fisik bagi banyak komponen teknologi, pusat data juga menjadi titik pelaksanaan bagi banyak proses, prosedur, dan fungsinya yang mendukung proses tersebut. Audit fasilitas pusat data berfokus pada kontrol jenis khusus ini dan proses dukungan operasional, sumber, dan personil yang memastikan bahwa komponen yang berasal di pusat data beroperasi secara normal untuk mendukung proses dan fungsi bisnis yang bergantung padanya. Apakah dimiliki dan dikelola oleh suatu organisasi atau pihak ketiga, pusat data sering dianggap penyedia jasa dan oleh karena itu digunakan pada standar eksplisit yang ditetapkan untuk audit organisasi layanan.

Lingkungan tervirtualisasi

Teknologi virtualisasi menyediakan sebuah pendekatan teknis alternatif untuk menyediakan infrastruktur, platform dan sistem operasi, server, perangkat lunak, serta sistem dan aplikasi. Kebanyakan lingkungan komputasi yang berkualitas memiliki banyak kesamaan dengan pusat data konvensional, Pendekatan ini meningkatkan pemanfaatan kapasitas dan di dalamnya layanan model berbasis cloud seperti komputasi cloud, memungkinkan organisasi untuk menggunakan sumber daya teknologi ini lebih efisien dengan naik atau turun sebagai surat perintah kebutuhan bisnis. Audit lingkungan komputasi berkualitas menggunakan banyak prosedur dan kriteria yang sama yang digunakan untuk audit pusat data, dengan penekanan tambahan pada server penyedia, deprovisioning, manajemen, pemeliharaan berbagai server virtual yang berbagi komputasi, jaringan, dan sumber daya infrastruktur.

Penggunaan komputasi cloud dan penyedia layanan pihak ketiga menjadi cukup umum sehingga para audits mungkin menanggapi layanan demikian yang berbeda dengan komponen audit lainnya. Perbedaan yang ditekankan oleh para penyedia layanan cloud antara lain penyedia layanan termasuk akses jaringan, akses sumber daya, sumber daya pooling, kemampuan dan jasa yang fleksibel, dan penggunaan yang bermebel serta model pembayaran dan pembayaran yang terkait. Pertumbuhan yang diharapkan dalam komputasi cloud adalah salah satu faktor yang mendorong kerangka kerja kontrol yang spesifik di awan, Kerangka kerja yang tersedia termasuk matriks kontrol awan yang dikembangkan oleh aliansi keamanan cloud dan risiko Federal dan Program manajemen wewenang yang dikelola oleh administrasi layanan umum untuk digunakan oleh penyedia layanan awan yang melayani instansi pemerintah as.

Antarmuka

interface adalah titik integrasi atau koneksi antara dua komponen atau lebih, yang memungkinkan transmisi informasi antara sistem atau mengekspos layanan atau kemampuan fungsional dari satu sistem atau aplikasi pada orang lain. Auditor sering kali menekankan langkah-langkah keamanan yang diimplementasikan untuk melindungi informasi dalam perjalanan melintasi antarmuka dan untuk mengendalikan akses ke antarmuka yang terpapar oleh setiap sistem. Audit antarmuka mengandalkan pada kedua dokumentasi seperti spesifikasi antarmuka formal dan tes yang menunjukkan fungsi yang benar dari tiap antarmuka, mempertimbangkan tujuan yang dimaksudkan, aliran informasi, mekanisme akses teknis, dan proses oketifikasi dan otorisasi tingkat mesin.

Kontrol atau proses prosedural audit

Ruang lingkup audit teknologi informasi sangat luas dan beragam seperti yang dimiliki oleh organisasi sendiri, yang meliputi berbagai macam teknologi, kemampuan teknis, dan kontrol serta kebijakan, proses, dan prosedur yang berkaitan dengan fungsi operasional dan tata kelola. Bergantung pada jenis dan lingkup audit yang direncanakan oleh suatu organisasi, auditor bisa saja memeriksa basis proses atau kontrol prosedural yang berkaitan dengan asetnya dan komponen IT yang mendukung mereka, atau secara terpisah dengan audit yang spesifik dalam proses. Penekanan relatif yang menempatkan suatu organisasi pada audit proses-proses itu dipengaruhi hingga batas tertentu oleh tata kelola, risiko, kepatuhan, dan kerangka manajemen yang dipilih untuk dijalankan. Banyak jenis audit eksternal termasuk yang dimaksudkan untuk memperoleh sertifikasi atau menunjukkan keterlibatan peraturan yang mengharuskan auditor untuk mempertimbangkan pengawasan administratif, teknis, dan fisik dalam lingkup audit yang sama. Organisasi biasanya memiliki lebih banyak kebijaksanaan untuk merencanakan, mendefinisikan ruang lingkup, dan melakukan audit internal dengan cara yang memisahkan audit proses dan kontrol prosedural dari audit aset, sistem, dan teknologi IT. Ada banyak alasan untuk mengejar pendekatan seperti itu, termasuk kemampuan untuk meningkatkan keterampilan dan kompetensi para auditor terhadap masalah audit yang mereka lakukan.

Operasi IT

Operasional IT audits berfokus pada proses dan prosedur yang dilaksanakan oleh suatu organisasi dan penyelarasan kegiatan-kegiatan tersebut dengan sumber sistem, infrastruktur, dan teknologi informasi lainnya. Untuk berhasil melakukan jenis audit ini, organisasi perlu mengembangkan inventarisasi dari proses dan kontrol prosedural yang digunakannyan (atau mengidentifikasi informasi ini dalam dokumentasi yang ada di dalam sistem audit di ruang lingkup audit) dan menyiapkan strategi audit serta rencana audit yang sesuai dengan rencana audit yang digunakan pada jenis audit lain. Proses pemeriksaan yang relevan mencakup mereka dalam bidang bisnis yang lebih spesifik maupun umum, termasuk :

· Perencanaan strategis dan taktis

· Manajemen Resiko

· Manajemen kualitas

· Pengelolaan keuangan

· Pengelolaan sumber daya manusia

· Akuisisi atau pengadaan

· Pengelolaan rantai pasokan

· Program dan manajemen proyek

· Manajemen perubaham

· Manajemen pelayanan

· Dukungan pelanggan dan teknis

· Manajemen keamanan

· Manajemen fasilitas

· Manajemen vendor

Proses operasional dan kontrol prosedural juga digunakan pada prioritas sehingga sumber audit dapat dialokasikan dengan efektif. Prioritas dalam konteks ini mempertimbangkan kriteria seperti tingkat sumber daya yang terlibat, kompleksitas, hubungan ketergantungan dengan proses lain, dan kritik setiap proses terhadap organisasi secara keseluruhan atau pada fungsi misi atau bisnis yang didukung.

Program dan manajemen proyek

Program atau proyek sering digunakan secara bergantian, standar dan bimbingan untuk mengelola kegiatan-kegiatan yang berbeda, durasi, dan hasilnya, di mana program terdiri dari satu proyek atau lebih, memiliki jangka waktu yang kurang jelas, dan dimaksudkan untuk mencapai satu atau lebih hasil jangka panjang, proyek lebih terfokus secara sempit, usaha sementara dengan poin awal dan akhir yang jelas dimaksudkan untuk menghasilkan produk atau jasa tertentu. Program dan proyek dapat dikenakan pada audit operasional; Audit yang dikaitkan dengan sertifikasi, kepatuhan, atau jaminan kualitas; Audit yang spesifik berfokus pada teknologi, sistem, infrastruktur, atau proses yang mendukung program atau pelaksanaan proyek yang efektif. Para auditor melakukan audit jenis ini biasanya karena kriteria audit dasar setidaknya sebagian dari apa yang ditetapkan dalam metodologi atau standar siklus yang didefinisikan atau diterapkan oleh organisasi. Audit proyek dan Program, sebaliknya, berpusat pada proses, kontrol, dan artefak yang dihasilkan dalam pelaksanaan Program atau kegiatan proyek serta penyelarasan kegiatan tersebut dengan kebijakan, standar, dan persyaratan organisasi. Auditor yang memfokuskan pada audit jenis ini cenderung mengandalkan pemeriksaan bukti dokumenter, pengamatan langsung, dan wawancara dengan staf program atau proyek, karena metode pengujian kurang bisa diterapkan pada kegiatan manajemen. Beberapa pemeriksaan terhadap program dan kemampuan manajemen proyek sering kali disertakan dalam audit operasional atau kepatuhan, atau dalam audit sertifikasi menangani standar-standar untuk kualitas, manajemen pelayanan, atau proses kedewasaan.

Siklus kehidupan pengembangan system

Proyek-proyek ini dilakukan di banyak organisasi yang digunakan pada serangkaian proses dan kegiatan yang dikenal sebagai suatu sistem (atau perangkat lunak) siklus kehidupan pembangunan (SDLC). Saat proyek ini berjalan melalui fase berbeda dari SDG, tim proyek ini menjalankan berbagai kegiatan, menghasilkan keluaran yang berbeda, dan memenuhi persyaratan atau kriteria yang diperlukan untuk menyelesaikan satu fase dan beralih ke fase berikutnya. metodologi SDLC tidak mempunyai kesamaan untuk berbagai organisasi degan variasi luas sae siklus hidup dan durasi fase yang di harapkan standar SDLC, Dari prespektif holistik model SDLC memiliki kegiatan dan tujuan yang sama. Organisasi hanya menggunakan 4 fase atau 10 SDLC, pada dasarnya SDLC mencakup kegiatan yang berhubungan dengan inisiasi proyek, desain, operasi dan penghentian proyek. Organisasi hanya menerapkan satu SDLC standar. Audit proyek ini dapat dilaksanakan di setiap titik dalam kehidupan siklus atau potensi rentang siklus hidup beberapa fase siklus kehidupan untuk proyek besar atau kompleks atau mereka yang menggunakan metodologis-artinya auditor harus menyesuaikan kriteria pemeriksaan mereka untuk mencerminkan kegiatan, hasil, dan pencapaian yang berbeda dalam setiap fase. Bagian-bagian berikut mengikuti nama fase kehidupan sistem siklus kehidupan yang diperinci.

Konsep

Setiap proyek IT dimulai dengan ide, saran, persyaratan, atau kebutuhan organisasi lain yang diakui. Konsep proyek atau tahap inisiasi dimulai ketika suatu organisasi mengidentifikasi kebutuhan akan kemampuan baru atau yang ditingkatkan dan mulai menentukan bagaimana konsep dapat memenuhi kebutuhan itu. Selama fase konsep, organisasi dapat mengidentifikasi dan mengevaluasi beberapa alternatif, mempertimbangkan karakteristik teknis dan nonteknis seperti biaya, kompleksitas, strategi akuisisi, dan kelayakan. Audit proyek IT dalam fase konsep biasanya memeriksa proses manajemen proyek, standar, dan metodologi untuk memastikan mereka sesuai dengan kebijakan dan standar organisasi dan memverifikasi kelengkapan dan persetujuan (jika diperlukan) dokumentasi proyek yang diperlukan seperti rencana proyek proyek manajemen piagam, kasus bisnis, analisis alternatif, dan jadwal proyek. Fase konsep juga dapat menghasilkan spesifikasi persyaratan fungsional dan teknis, desain solusi tingkat tinggi, pemilihan kontrol awal, dan rancangan artefak proyek yang harus diselesaikan pada fase selanjutnya seperti rencana keamanan, rencana manajemen risiko, rencana darurat, atau jaminan kualitas. rencana. Organisasi mungkin memerlukan audit pada fase konsep sebagai prasyarat untuk menyetujui transisi proyek ke fase pengembangan.

Pengembangan

Fase pengembangan mencakup berbagai kegiatan yang dimaksudkan untuk memenuhi set lengkap persyaratan yang ditentukan untuk sistem, aplikasi perangkat lunak, atau solusi lainnya. Banyak metodologi SLDC membagi fase pengembangan tunggal yang didefinisikan dalam ISO / IEC 15288 menjadi beberapa fase yang lebih kecil untuk analisis persyaratan dan desain selain pengembangan. Fase pengembangan meliputi spesifikasi persyaratan fungsional dan nonfungsional yang lengkap, dokumentasi desain terperinci yang membahas semua komponen dalam ruang lingkup proyek, rencana pengujian, dan pengiriman kode perangkat lunak, teknologi yang diperoleh, atau elemen solusi lain yang siap untuk diintegrasikan, pengujian, dan evaluasi kontrol. Selama pengembangan, tim proyek juga mengidentifikasi kebutuhan operasional yang diharapkan dalam hal infrastruktur, perangkat keras dan kapasitas jaringan, platform komputasi, dan operasi, pemeliharaan, dan kebutuhan dukungan. Audit proyek IT dalam fase pengembangan fokus pada keakuratan dan kelengkapan dokumentasi dan artefak utama, memastikan bahwa desain yang disetujui memenuhi semua persyaratan, termasuk kontrol internal yang memadai, dan mematuhi standar dan kriteria internal dan eksternal yang berlaku. Untuk melakukan proyek yang melibatkan pengembangan perangkat lunak khusus, ruang lingkup audit proyek IT dapat mencakup tinjauan atau proses kontrol kualitas perangkat lunak lainnya. Terlepas dari sumber atau jenis teknologi yang digunakan dalam proyek, pada akhir fase pengembangan, semua dokumentasi desain, antarmuka integrasi, dan spesifikasi teknis harus lengkap dan komponen sistem atau aplikasi perangkat lunak harus siap untuk evaluasi dan persetujuan sebelum penyebaran penuh.

Produksi

Istilah produksi seperti yang digunakan dalam ISO / IEC 15288 berhubungan dengan serangkaian kegiatan yang dimaksudkan untuk menguji solusi teknis atau mengkonfirmasi kemampuan organisasi untuk mengirimkan produk atau layanan yang dihasilkan dari proyek. Untuk proyek yang menggunakan sistem atau aplikasi perangkat lunak, ruang lingkup fase produksi terdiri dari unit kerja, integrasi, dan pengujian penerimaan untuk mengonfirmasi bahwa teknologi memenuhi persyaratan fungsional; memverifikasi implementasi dan konfigurasi kontrol internal yang tepat; dan menilai langkah-langkah perlindungan keamanan dan privasi yang diperlukan untuk menerima persetujuan untuk sistem atau perangkat lunak agar dapat beroperasi penuh. Audit proyek TI selama fase produksi memeriksa rencana pengujian dan prosedur untuk memastikan bahwa kegiatan pengujian cukup untuk menentukan kepuasan persyaratan. Karena produksi adalah fase terakhir sebelum sistem atau aplikasi perangkat lunak digunakan untuk digunakan, auditor juga memeriksa bahwa proyek telah menerima semua persetujuan yang diperlukan, berpotensi termasuk hasil uji fungsional, penerimaan pengguna, integrasi sistem, kesiapan lingkungan, penerimaan risiko, dan otorisasi untuk beroperasi.

Pemanfaatan

Dalam fase pemanfaatan, sistem atau layanan yang ingin disampaikan oleh proyek yang siap untuk di gunakan, di mana fokus proyek berpindah dari mempersiapkan penempatan untuk secara aktif mengoperasikan dan memelihara sistem dengan cara yang terus-menerus memenuhi kebutuhan pengguna. Suatu sistem dalam tahap pemanfaatan biasanya digunakan pada audit operasional rutin untuk mengevaluasi efisiensi dan efektivitas sistem yang sedang berlangsung dan proses bisnis yang didukungnya. Organisasi juga dapat melakukan berbagai audit khusus IT yang membahas sistem secara keseluruhan atau komponen-komponennya. Sebaliknya, audit proyek IT dalam fase pemanfaatan fokus pada memverifikasi bahwa sistem ketika digunakan akan memberikan fungsionalitas yang dimaksud dan memenuhi persyaratan teknis dan standar yang berlaku, mengandalkan bukti yang didokumentasikan seperti hasil pengujian, penilaian kontrol, dan persetujuan dari personel yang berwenang. dalam organisasi. Audit proyek pada fase ini juga berusaha untuk memastikan bahwa sumber daya yang ditentukan dan disediakan untuk sistem operasional sudah benar dan memadai.

Bantuan

Untuk sistem operasional, dukungan terdiri atas pemantauan, administrasi teknis, pemecahan masalah dan penyelesaian masalah, dan kegiatan pemeliharaan rutin seperti backup, konfigurasi control, patch management, dan upgrade dan pelepasan manajemen untuk perangkat lunak atau komponen teknis lainnya. Bergantung pada kebijakan, prosedur, dan standar organisasi, dukungan dapat juga mencakup kegiatan manajemen keamanan informasi seperti analisis kerentanan, verifikasi otomatis atau manual terhadap pengaturan konfigurasi, serta informasi keamanan dan manajemen peristiwa. Fase dukungan dari proyek IT biasanya berjalan sejajar dengan pemanfaatan; Fase-fase serupa dengan dukungan dalam berbagai metodologi SDLC disebut pemeliharaan, dengan kombinasi pemanfaatan dan dukungan yang dikenal secara kolektif sebagai operasi dan pemeliharaan. Kemampuan dukungan teknis suatu organisasi memiliki dampak langsung pada efektivitas operasional sistemnya, jadi meskipun kegiatan fase dukungan-dukungan dapat diaudit dalam isolasi, cakupan audit pada fase pemanfaatan sering kali mencakup fungsi dukungan.

Pensiun

Proyek menurut definisi memiliki titik akhir yang terdefinisi dengan baik, biasanya bertepatan dengan keputusan organisasi untuk menonaktifkan atau mengganti sistem atau layanan. Fase pensiun dari siklus hidup proyek melibatkan kegiatan yang diperlukan untuk menghilangkan kemampuan operasional dan untuk memastikan disposisi peralatan, perangkat keras dan perangkat lunak, data, dan sumber daya lainnya yang sebelumnya dialokasikan untuk mengoperasikan dan mendukung system proyek baru. Prioritas utama untuk fase pensiun selaras langsung dengan bidang-bidang yang ditekankan untuk audit proyek-proyek IT yang mencapai fase akhir ini: membuang atau menggunakan kembali aset teknologi, melepaskan sumber daya yang berkomitmen pada sistem sehingga dapat diterapkan di tempat lain dalam organisasi yang baru dan membersihkan media penyimpanan yang tetap dan dapat dilepas untuk memastikan bahwa tidak ada data yang tersisa pada komponen yang dinonaktifkan. Auditor IT yang memeriksa proyek dalam fase pensiun mencari dokumentasi menyeluruh yang merinci disposisi sumber daya proyek dan aset IT dan untuk persetujuan resmi atas dokumentasi tersebut yang biasanya merupakan prasyaratan untuk secara resmi menutup proyek.

NAMA : AGENG BAGUS PRATOMO

NPM : 10116294

KELAS : 4KA34

No comments

Pages

tugas kuliah

recent posts

social media

Popular Posts

About me

Report Abuse