IT AUDIT & FORENSIC

IT AUDIT & FORENSIC

            Semakin pesatnya perkembangan dunia IT  maka semakin banyak pula pihak-pihak yang tidak bertanggungjawab menyalahgunakan IT untuk kepentingan pribadi sehingga merugikan banyak pihak.

Secara umum IT Audit adalah suatu proses kontrol pengujian terhadap infrastruktur teknologi informasi dimana berhubungan dengan masalah audit finansial dan audit internal. Audit IT lebih dikenal dengan istilah EDP Auditing (Electronic Data Processing), biasanya digunakan untuk menguraikan dua jenis aktifitas yang berkaitan dengan komputer. Salah satu penggunaan istilah tersebut adalah untuk menjelaskan proses penelaahan dan evaluasi pengendalian-pengendalian internal dalam EDP.

Jenis aktivitas ini disebut sebagai auditing melalui komputer. Penggunaan istilah lainnya adalah untuk menjelaskan pemanfaatan komputer oleh auditor untuk melaksanakan beberapa pekerjaan audit yang tidak dapat dilakukan secara manual. Jenis aktivitas ini disebut audit dengan komputer. Audit IT sendiri merupakan gabungan dari berbagai macam ilmu, antara lain Traditional Audit, Manajemen Sistem Informasi, Sistem Informasi Akuntansi, Ilmu Komputer, dan Behavioral Science. Audit IT bertujuan untuk meninjau dan mengevaluasi faktor-faktor ketersediaan (availability), kerahasiaan (confidentiality), dan keutuhan (integrity) dari sistem informasi organisasi.

IT Forensic merupakan bagian dari kepolisian yang menelusuri kejahatan-kejahatan dalam dunia komputer/internet. Komputer forensic/digital forensik, adalah salah satu cabang ilmu forensik yang berkaitan dengan bukti legal yang ditemukan pada komputer dan media penyimpanan digital lainnya. Tujuan dari komputer forensik yaitu untuk menjabarkan keadaan kini dari suatu alat digital yang mencakup sebuah sistem komputer, media penyimpanan (seperti flash disk, hard disk, atau CD-ROM), sebuah dokumen elektronik (misalnya sebuah pesan email atau gambar JPEG), atau bahkan sederetan paket yang berpindah dalam jaringan komputer. IT forensic bertujuan untuk mendapatkan fakta-fakta obyektif dari sebuah insiden/pelanggaran keamanan sistem informasi. Fakta-fakta tersebut setelah diverifikasi akan menjadi bukti-bukti (evidence) yang akan digunakan dalam proses hukum.

Berikut ini merupakan contoh prosedur & lembar kerja IT audit :

Proses IT Audit:

·         Mengumpulkan dan mengevaluasi bukti-bukti bagaimana system informasi dikembangkan, dioperasikan, diorganisasikan, serta bagaimana praktek dilaksanakan:

• Apakah IS melindungi aset institusi: asset protection, availability
• Apakah integritas data dan sistem diproteksi secara cukup (security, onfidentiality )?
• Apakah operasi sistem efektif dan efisien dalam mencapai tujuan organisasi, dan lain-lain

LANGKAH-LANGKAH PROSEDUR IT AUDIT: 

• Kontrol lingkungan:

1.      Apakah kebijakan keamanan (security policy) memadai dan efektif ?

2.      Jika data dipegang oleh vendor, periksa laporan ttg kebijakan dan prosedural yg terikini dari external auditor.

3.      Jika sistem dibeli dari vendor, periksa kestabilan financial.

4.      Memeriksa persetujuan lisen (license agreement)

• Kontrol keamanan fisik

1.      Periksa apakah keamanan fisik perangkat keras dan penyimpanan data memadai.

2.      Periksa apakah backup administrator keamanan sudah memadai (trained,tested).

3.      Periksa apakah rencana kelanjutan bisnis memadai dan efektif.

4.      Periksa apakah asuransi perangkat-keras, OS, aplikasi, dan data memadai.

• Kontrol keamanan logical

1.      Periksa apakah password memadai dan perubahannya dilakukan reguler.

2.      Apakah administrator keamanan memprint akses kontrol setiap user.

3.      Memeriksa dan mendokumentasikan parameter keamanan default.

4.      Menguji fungsionalitas system keamanan (password, suspend userID, etc).

5.      Memeriksa apakah password file / database disimpan dalam bentuk tersandi dan tidak dapat dibuka oleh pengguna umum.

6.      Memeriksa apakah data sensitif tersandi dalam setiap phase dalam prosesnya.

7.      Memeriksa apakah prosedur memeriksa dan menganalisa log memadai.

8.      Memeriksa apakah akses kontrol remote (dari tempat yang lain) memadai: (VPN, CryptoCard, SecureID, etc).

• Menguji Kontrol Operasi

1.      Memeriksa apakah tugas dan job description memadai dalam semua tugas dalam operasi tsb.

2.      Memeriksa apakah ada problem yang signifikan.

3.      Memeriksa apakah control yang menjamin fungsionalitas sistem informasi telah memadai.

Lembar Kerja Audit IT

• Stakeholders:

-          Internal IT Deparment

-           External IT Consultant

-           Board of Commision

-           Management

-          Internal IT Auditor

-          External IT Auditor

• Kualifikasi Auditor:

-          Certified Information Systems Auditor (CISA)

-           Certified Internal Auditor (CIA)

-          Certified Information Systems Security Professional (CISSP)

-          Dll

• Output Internal IT:

-          Solusi teknologi meningkat, menyeluruh & mendalam

-          Fokus kepada global, menuju ke standard2 yang diakui

• Output External IT:

-          Rekrutmen staff, teknologi baru dan kompleksitasnya

-          Outsourcing yang tepat

-          Benchmark / Best-Practices

• Output Internal Audit & Business:

-          Menjamin keseluruhan audit

-           Budget & Alokasi sumber daya

-          Reporting

Metodologi & Framework

-          Framework Besar:

1. IT Audit
2. Analisis Resiko berdasarkan hasil audit
3. Memeriksa “kesehatan” system & security benchmarking terhadap sistem yang lain / standard
4. Hasil dari ketiganya (1,2,3) melahirkan konsep keamanan sistem Informasi
5. Hasil dari konsep keamanan: panduan keamanan sistem (handbook of system security)

• Metodologi IT Audit:
• CobiT : www.isaca.org
• BS 7799 – Code of Practice (CoP) : www.bsi.org.uk/disc/
• BSI -IT baseline protection manual : www.bsi.bund.de/gshb/english/menue.htm
• ITSEC: www.itsec.gov.uk
• Common Criteria (CC) : csrc.nist.gov/cc/

COBIT

• Dikembangkan oleh ISACA
• Membantu dalam implementasi sistem kontrol di sistem IT
• (mungkin) cocok untuk self-assesement tapi kurang cocok untuk mengembangkan buku petunjuk keamanan system
• Dokumentasi detail kurang
• Tidak begitu user-friendly

BS 7799 – Code of Practice

·         Code of Practice for Inform. Security Management

·         Dikembangkan oleh UK, BSI: British Standard

·         Security baseline controls:

o   10 control categories

o   32 control groups

o   109 security controls

o   10 security key controls

·         Kategori kontrol:

o   System access control

o   Systems development & maintenance

o   Business continuity planning

o   Compliance

o   Information security policy

o   Security organization

o   Assets classification & control

o   Personnel security

o   Physical & environmental security

o   Computer & network management

• Digunakan untuk self-assasement: konsep keamanan dan kesehatan sistem
• Tidak ada metodologi evaluasi dan tidak diterangkan bagaimana assemen thd keamanan sistem
• Sangat user-friendly sangat mudah digunakan (menurut yang sudah menggunakan)

BSI (Bundesamt für Sicherheit in der Informationstechnik)

·         IT Baseline Protection Manual (IT- Grundschutzhandbuch )

·         Dikembangkan oleh GISA: German Information Security Agency

·         Digunakan: evaluasi konsep keamanan & manual

·         Metodologi evaluasi tidak dijelaskan

·         Mudah digunakan dan sangat detail sekali

·         Tidak cocok untuk analisis resiko

·         Representasi tdk dalam grafik yg mudah dibaca

ITSEC, Common Criteria

• ITSEC: IT Security Evaluation Criteria
• Developed by UK, Germany, France, Netherl. and based primarily on USA TCSEC (Orange Book)
• Based on systematic, documented approach for security evaluations of systems & products

Common Criteria (CC)

• Developed by USA, EC: based on ITSEC
• ISO International Standard
• Evaluation steps:
• Definition of functionality
• Assurance: confidence in functionality

Komparasi Metodologi

• Standardisation
• Ease of use
• Independence
• Update frequency
• CobiT
• Certifyability
• BS 7799
• BSI
• ITSEC
• Applicability in practice
• Efficiency
• Presentation of results
• Adaptability

Tools dalam audit IT dan IT forensic

Ø  Hardware:

-           Harddisk IDE & SCSI kapasitas sangat besar, CD-R, DVR drives

-          Memori yang besar (1-2GB RAM)

-          Hub, Switch, keperluan LAN

-          Laptop forensic workstations

Ø  Software :

-          Erase/Unerase tools: Diskscrub/Norton utilities)

-          Hash utility (MD5, SHA1)

-           Text search utilities (dtsearch http://www.dtsearch.com/)

-           Drive imaging utilities (Ghost, Snapback, Safeback,…)

Ø  Unix/Linux: TCT The Coroners Toolkit/ForensiX

Ø  Windows: Forensic Toolkit – Disk editors (Winhex,…)

-          Forensic acquisition tools (DriveSpy, EnCase, Safeback, SnapCopy,…)

-          Write-blocking tools (FastBloc http://www.guidancesoftware.com ) untuk memproteksi buktibukti

8 Contoh Kasus Cybercrime #4

g. Infringements of Privacy

Kejahatan ini biasanya ditujukan terhadap keterangan pribadi seseorang yang tersimpan pada formulir data pribadi yang tersimpan secara computerized, yang apabila diketahui oleh orang lain maka dapat merugikan korban secara materil maupun immateril, seperti nomor kartu kredit, nomor PIN ATM, cacat atau penyakit tersembunyi dan sebagainya.

h. Kejahatan yang berhubungan dengan nama domain .

Nama domain (domain name) digunakan untuk mengidentifikasi perusahaan dan merek dagang. Namun banyak orang yang mencoba menarik keuntungan dengan mendaftarkan domain nama perusahaan orang lain dan kemudian berusaha menjualnya dengan harga yang lebih mahal. Pekerjaan ini mirip dengan calo karcis. Istilah yang sering digunakan adalah cybersquatting. Masalah lain adalah menggunakan nama domain saingan perusahaan untuk merugikan perusahaan lain. (Kasus: mustika-ratu.com) Kejahatan lain yang berhubungan dengan nama domain adalah membuat “domain plesetan”, yaitu domain yang mirip dengan nama domain orang lain. (Seperti kasus klikbca.com) Istilah yang digunakan saat ini adalah typosquatting.

UPAYA YANG DILAKUKAN

Untuk meningkatkan penanganan kejahatan cyber yang semakin hari semakin berkembang seiring dengan kemajuan teknologi maka Polri melakukan beberapa tindakan, yaitu:

a. Personil

Terbatasnya sumber daya manusia merupakan suatu masalah yang tidak dapat diabaikan, untuk itu Polri mengirimkan anggotanya untuk mengikuti berbagai macam kursus di negara–negara maju agar dapat diterapkan dan diaplikasikan di Indonesia, antara lain: CETS di Canada, Internet Investigator di Hongkong, Virtual Undercover di Washington, Computer Forensic di Jepang.

b. Sarana Prasarana

Perkembangan tehnologi yang cepat juga tidak dapat dihindari sehingga Polri berusaha semaksimal mungkin untuk meng-up date dan up grade sarana dan prasarana yang dimiliki, antara lain Encase Versi 4, CETS, COFE, GSM Interceptor, GI 2.

c. Kerjasama dan koordinasi

Melakukan kerjasama dalam melakukan penyidikan kasus kejahatan cyber karena sifatnya yang borderless dan tidak mengenal batas wilayah, sehingga kerjasama dan koordinasi dengan aparat penegak hukum negara lain merupakan hal yang sangat penting untuk

dilakukan.

d. Sosialisasi dan Pelatihan

Memberikan sosialisasi mengenai kejahatan cyber dan cara penanganannya kepada satuan di kewilayahan (Polda) serta pelatihan dan ceramah kepada aparat penegak hukum lain (jaksa dan hakim) mengenai cybercrime agar memiliki kesamaan persepsi dan pengertian yang sama dalam melakukan penanganan terhadap kejahatan cyber terutama dalam pembuktian dan alat bukti yang digunakan.

Untuk menanggulangi kejahatan internet yang semakin meluas maka diperlukan suatu kesadaran dari masing-masing negara akan bahaya penyalahgunaan internet. maka berikut adalah langkah ataupun cara penanggulangan secara global :

1. Modernisasi hukum pidana nasional berserta hukum acaranya diselaraskan dengan konvensi internasional yang terkait dengan kejahatan tersebut.
2. Peningkatan standar pengamanan system jaringan computer nasional sesuai dengan standar internasional.
3. Meningkatkan pemahaman serta keahlian aparat hukum mengenai upaya pencegahan, inventigasi, dan penuntutan perkara-perkara yang berhubungan dengan cybercrime.
4. Meningkatkan kesadaran warga Negara mengenai bahaya cybercrime dan pentingnya pencegahan kejahatan tersebut.
5. Meningkatkan kerja sama antar Negara dibidang teknologi mengenai hukum pelanggaran cybercrime.

Jadi Secara garis besar untuk penanggulangan secara global diperlukan kerja sama antara negara dan penerapan standarisasi undang-undang Internasional untuk penanggulangan Cybercrime.

8 Contoh Kasus Cybercrime #3

e. Cyber Sabotage and Extortion

Kejahatan ini dilakukan dengan membuat gangguan, perusakan atau penghancuran terhadap suatu data, program komputer atau system jaringan komputer yang terhubung dengan Internet. Biasanya kejahatan ini dilakukan dengan menyusupkan suatu logic bomb, virus komputer ataupun suatu program tertentu, sehingga data, program komputer atau sistem jaringan komputer tidak dapat digunakan, tidak berjalan sebagaimana mestinya, atau berjalan sebagaimana yang dikehendaki oleh pelaku. Seperti halnya di tempat lain, virus komputer pun menyebar di Indonesia . Penyebaran umumnya dilakukan dengan menggunakan email. Seringkali orang yang sistem emailnya terkena virus tidak sadar akan hal ini. Virus ini kemudian dikirimkan ke tempat lain melalui emailnya. Kasus virus ini sudah cukup banyak seperti virus Mellisa, I love you, dan SirCam. Untuk orang yang terkena virus, kemungkinan tidak banyak yang dapat kita lakukan. Akan tetapi, bagaimana jika ada orang Indonesia yang membuat virus (seperti kasus di Filipina)? Apakah diperbolehkan membuat virus komputer?

f. Offense against Intellectual Property

Kejahatan ini ditujukan terhadap hak atas kekayaan intelektual yang dimiliki pihak lain di Internet. Sebagai contoh, peniruan tampilan pada web page suatu situs milik orang lain secara ilegal, penyiaran suatu informasi di Internet yang ternyata merupakan rahasia dagang orang lain, dan sebagainya.

8 Contoh Kasus Cybercrime #2

c. Data Forgery

Merupakan kejahatan dengan memalsukan data pada dokumendokumen penting yang tersimpan sebagai scripless document melalui Internet. Kejahatan ini biasanya ditujukan pada dokumen-dokumen e-commerce dengan membuat seolah-olah terjadi "salah ketik" yang pada akhirnya akan menguntungkan pelaku karena korban akan memasukkan data pribadi dan nomor kartu kredit yang dapat saja disalah gunakan.

d. Cyber Espionage

Merupakan kejahatan yang memanfaatkan jaringan Internet untuk melakukan kegiatan mata-mata terhadap pihak lain, dengan memasuki sistem jaringan komputer (computer network system) pihak sasaran. Kejahatan ini biasanya ditujukan terhadap saingan bisnis yang dokumen ataupun data pentingnya (data base) tersimpan dalam suatu sistem yang computerized (tersambung dalam jaringan komputer).

8 Contoh Kasus Cybercrime #1

PENGERTIAN CYBERCRIME

Dalam beberapa literature, cybercrime sering diidentikkan sebagai computer crime.

The U.S. Department of Justice

memberikan pengertian computer crime sebagai:"…any illegal act requiring knowledge of Computer technology for its perpetration, investigation, or prosecution".

Pengertian lainnya diberikan oleh Organization of European Community Development, yaitu:

"any illegal, unethical or unauthorized behavior relating to the automatic processing and/or the transmission of data".

Selain itu Andi Hamzah dalam bukunya “Aspek-aspek Pidana di Bidang Komputer” (1989) mengartikan cybercrime sebagai kejahatan di bidang komputer secara umum dapat diartikan sebagai penggunaan komputer secara ilegal.

Dari beberapa pengertian di atas, cybercrime dirumuskan sebagai perbuatan melawan hukum yang dilakukan dengan memakai jaringan komputer sebagai sarana/ alat atau komputer sebagai objek, baik untuk memperoleh keuntungan ataupun tidak, dengan merugikan pihak lain.

MODUS OPERANDI CYBERCRIME

Kejahatan yang berhubungan erat dengan penggunaan teknologi yang berbasis komputer dan jaringan telekomunikasi ini dikelompokkan dalam beberapa bentuk sesuai modus operandi yang ada, antara lain:

a. Unauthorized Access to Computer System and Service

Kejahatan yang dilakukan dengan memasuki/menyusup ke dalam suatu sistem jaringan komputer secara tidak sah, tanpa izin atau tanpa sepengetahuan dari pemilik system jaringan komputer yang dimasukinya. Biasanya pelaku kejahatan (hacker) melakukannya dengan maksud sabotase ataupun pencurian informasi penting dan rahasia. Namun begitu, ada juga yang melakukannya hanya karena merasa tertantang untuk mencoba keahliannya menembus suatu system yang memiliki tingkat proteksi tinggi. Kejahatan ini semakin marak dengan berkembangnya teknologi Internet/intranet. Kita tentu belum lupa ketika masalah Timor Timur sedang hangat-hangatnya dibicarakan di tingkat internasional, beberapa website milik pemerintah RI dirusak oleh hacker (Kompas, 11/08/1999).

Beberapa waktu lalu, hacker juga telah berhasil menembus masuk ke dalam data base berisi data para pengguna jasa America Online (AOL), sebuah perusahaan Amerika Serikat yang bergerak dibidang ecommerce yang memiliki tingkat kerahasiaan tinggi (Indonesian Observer, 26/06/2000). Situs Federal Bureau of Investigation (FBI) juga tidak luput dari serangan para hacker, yang mengakibatkan tidak berfungsinya situs ini beberapa waktu lamanya

b. Illegal Contents

Merupakan kejahatan dengan memasukkan data atau informasi ke Internet tentang sesuatu hal yang tidak benar, tidak etis, dan dapat dianggap melanggar hukum atau mengganggu ketertiban umum. Sebagai contohnya, pemuatan suatu berita bohong atau fitnah yang akan menghancurkan martabat atau harga diri pihak lain, hal-hal yang berhubungan dengan pornografi atau pemuatan suatu informasi yang merupakan rahasia negara, agitasi dan propaganda untuk melawan pemerintahan yang sah dan sebagainya.

Semester 6 Bersama Teman-teman

                 Semester 6 Bersama Teman-teman

                Kegiatan saya diluar kuliah pada semester 6 ini terbilang  biasa saja. Biasanya saya hangout bersama teman-teman, mengunjungi kost-an teman bersama dengan teman lainnya, berdiskusi tentang banyak hal seperti  curhat masalah pribadi, bercanda kadang juga berdiskusi tentang kuliah.

                Menurut teman-teman kelemahan saya yaitu tidak terlalu pandai mengatur emosi, mudah “bête”  dan terkadang tidak tepat waktu. Jika ada kelemahan pasti juga ada kebaikan, menurut mereka kebaikan saya yaitu banyak ide-ide cemerlang yang saya ciptakan, dan mereka bilang saya adalah orang yang baik, cantik dan tidak pelit memberikan atau mengajarkan apa yang saya bisa kepada mereka.

                Jika saya dusuruh untuk mendeskripsikan seberapa baik saya mengatur waktu, maka saya bilang saya adalah orang yang kurang baik, karena selama ini saya masih merasa sering terlambat masuk kelas, saya juga terkadang mengulur-ulur waktu untuk mengerjakan tugas, saya rasa selama ini banyak waktu yang saya buang sia-sia untuk melakukan hal yang tidak terlalu penting.

                Ketika saya mendapat kritikan, tidak ada ekspresi berlebihan dari saya. Saya hanya mengiyakanya saja sambil tersenyum kecil dan menyikapinya dengan bijak, saya akan merenungkannya  pada waktu luang.

                Jika saya ingin mengkritik orang, saya akan melihat siapa orang itu terlabih dahulu. Jika orang itu lebih tua dari saya atau orang yang saya hormati, saya akan menyampaikanya dengan bahasa yang sopan tetapi jika itu adalah orang yang dekat dengan saya seperti misalnya adik atau teman saya, saya akan menyamapikan dengan jujur dan dengan nada bercanbda.