WBS

kategori

1. Teknik Perencanaan Dan Pengendalian Proyek.

Pengendalian sebuah proyek bermula dari rencana proyek itu sendiri. Hal ini berlaku apabila rencana proyek ( project plan ) berlaku sebagai kunci utama dalam pengembangan mekanisme serta prosedur pengendalian atas proyek
WBS (Work Breakdown Structure)
WBS adalah suatu metode pengorganisaian proyek menjadi struktur pelaporan hierarakis. WBS digunakan untuk melakukan Breakdown atau memecahkan tiap proses pekerjaan menjadi lebih detail.hal ini dimaksudkan agar proses perencanaan proyek memiliki tingkat yang lebih baik.
WBS disusun bedasarkan dasar pembelajaran seluuuh dokumen proyek yang meliputi kontrak, gambar-gambar, dan spesifikasi. Proyek kemudian diuraikan menjadi bagian-bagian dengan mengikuti pola struktur dan hirarki tertentu menjadi item-item pekerjaan yang cukup terperinci, yang disebut sebagai Wok Breakdown Structure.
Pada prinsipnya Work Breakdown Structure (WBS) adalah pemecahan atau pembagian pekerjaan ke dalam bagian yang lebih kecil (sub-kegiatan), alasan perlunya WBS adalah :

1. Pengembangan WBS di awal Project Life Cycle memungkinkan diperolehnya pengertian cakupan proyek dengan jelas, dan proses pengembangan WBS ini membantu semua anggota untuk lebih mengerti tentang proyek selama tahap awal.

1. WBS membantu dalam pengawasan dan peramalan biaya, jadwal, dan informasi mengenai produktifitas yang meyakinkan anggota manajemen proyek sebagai dasar untuk membuat perundingan.

WBS merupakan elemen penting, karena memberikan kerangka yang membantu, antara lain dalam :
1. Penggambaran program sebagai ringkasan dari bagian-bagian yang kecil.
2. Pembuatan perencanaan
3. Pembuatan network dan perencanaan pengawasan.
4. Pembagian tanggung jawab.
5. Penggunaan WBS ini memungkinkan bagian-bagian proyek terdefinisi dengan jelas.
Adapun 3 manfaat utama WBS dalam proses perencanaan dan pengendalian proyak sebagai berikut :

1. Analisa WBS yang melibatkan manajer fungsional dan personel yang lain dapat membantu meningkatkan akurasi dan kelangkapan pendefinisian proyek.
2. Menjadi dasar anggaran dan penjadwalan.
3. Menjadi alat control pelaksanaan proyek, karena panyyimpanan biaya dan jadwal paket kerja tertentu dapat dibandingkan dengan WBS.

PENTINGNYA MANAJEMEN KONTROL KEAMANAN

Informasi adalah salah suatu asset penting dan sangat berharga bagi kelangsungan hidup  bisnis dan disajikan dalam berbagai format berupa : catatan, lisan, elektronik, pos, dan audio visual. Oleh karena itu, manajemen informasi penting bagi  meningkatkan kesuksusesan yang kompetitif dalam  semua sektor ekonomi.
Sebuah sistem manajemen keamanan informasi (SMKI) adalah seperangkat kebijakan berkaitan dengan keamanan informasi manajemen atau TI resiko terkait. Prinsip yang mengatur di belakang SMKI adalah bahwa organisasi harus merancang, menerapkan dan memelihara seperangkat kebijakan, proses dan sistem untuk mengelola risiko aset informasi perusahaan, sehingga menjamin tingkat risiko yang dapat diterima informasi keamanan. SMKI yang paling terkenal adalah yang diuraikan dalam ISO / IEC 27001 dan ISO / IEC 27002 dan standar terkait yang diterbitkan bersama oleh ISO dan IEC . ISMS lain bersaing adalah Keamanan Informasi Forum ‘s Standar Praktek yang Baik (SOGP). Hal ini lebih baik praktik berbasis datang dari industri pengalaman’s ISF. Kerangka lain seperti COBIT dan ITIL menyentuh isu-isu keamanan, namun terutama diarahkan untuk menciptakan kerangka tata kelola untuk informasi dan IT secara umum.
Organisasi besar atau organisasi seperti bank dan lembaga keuangan, operator telekomunikasi, rumah sakit dan lembaga kesehatan dan badan publik atau pemerintah memiliki banyak alasan untuk mengatasi keamanan informasi dengan sangat serius. Hukum dan peraturan persyaratan yang bertujuan untuk melindungi atau personal data sensitif serta persyaratan umum keamanan umum mendorong mereka untuk mencurahkan perhatian sepenuhnya dan prioritas risiko keamanan informasi.
Dalam keadaan ini pengembangan dan pelaksanaan proses manajemen yang independen dan terpisah yakni suatu Sistem Manajemen Keamanan Informasi adalah satu-satunya alternatif. Pengembangan suatu kerangka SMKI mencakup langkah-langkah berikut:
1. Definisi Kebijakan Keamanan,
2. Definisi Ruang Lingkup SMKI,
3. Penilaian Risiko (sebagai bagian dari Manajemen Risiko),
4. Manajemen Risiko,
5. Pemilihan yang tepat dan Kontrol
6. Pernyataan Berlakunya.
Agar SMKI efektif diperlukan:
# Mendapatkan dukungan terus menerus, teguh dan terlihat dan komitmen manajemen puncak organisasi;
# Dikelola terpusat, berdasarkan strategi umum dan kebijakan di seluruh organisasi;
# Menjadi bagian tak terpisahkan dari keseluruhan manajemen organisasi yang berkaitan dengan dan merefleksikan pendekatan organisasi untuk Manajemen Risiko, tujuan kontrol dan kontrol dan tingkat keyakinan yang diperlukan;
# Memiliki tujuan keamanan dan kegiatan didasarkan pada tujuan bisnis dan persyaratan dan dipimpin oleh manajemen bisnis;
# Hanya melakukan tugas-tugas yang diperlukan dan menghindari over-DNS dan pemborosan sumber daya yang berharga;
# Sepenuhnya sesuai dengan filosofi organisasi dan pola pikir dengan menyediakan sistem yang bukan mencegah orang dari melakukan apa yang mereka digunakan untuk melakukannya, itu akan memungkinkan mereka untuk melakukannya di kontrol dan menunjukkan akuntabilitas mereka terpenuhi;
# Didasarkan pada pelatihan yang berkesinambungan dan kesadaran staf dan menghindari penggunaan tindakan disiplin dan “polisi” atau “militer” praktek;
# Menjadi proses yang tidak pernah berakhir.
Tujuan manajemen informasi adalah untuk melindungi kerahasiaan, integritas dan ketersediaan informasi. Dengan tumbuhnya berbagai  penipuan, spionase, virus, dan hackers sudah mengancam informasi bisnis  manajemen oleh karena meningkatnya keterbukaan informasi dan lebih sedikit kendali/control yang dilakukan melalui teknologi informasi modern. Sebagai konsekuensinya , meningkatkan harapan dari para manajer bisnis, mitra usaha, auditor,dan stakeholders lainnya menuntut adanya manajemen informasi yang efektif untuk memastikan informasi yang menjamin kesinambungan bisnis dan meminimise kerusakan bisnis dengan pencegahan dan memimise dampak peristiwa keamanan.
TUJUAN pengontrolan adalah untuk memastikan bahwa CBIS telah diimplementasikan seperti yang direncanakan, system beroperasi seperti yang dikehendaki, dan operasi tetap dalam keadaan aman dari penyalahgunaan atau gangguan. Properti Sistem Yang Memberikan Keamanan.
Sebuah system harus mempunyai tiga property (sifat), yaitu :

• Integritas, system akan mempunyai integritas bila ia berjalan menurut spesifikasinya. Perancang system berusaha untuk mengembangkan system yang mempunyai integritas fungsional, yaitu kemampuan untuk melanjutkan operasi, apabila salah satu atau lebih dari komponennya tidak berjalan.
• Audibilitas, ia akan bersifat audible jika ia memiliki visibilitas dan accountability (daya perhitungan). Bila system memiliki audibilitas maka mudah bagi seseorang untuk memeriksa, memverifikasi atau menunjukkan penampilannya.
• Daya kontrol, daya kontrol memungkinan manajer untuk menangani pengerahan atau penghambatan pengaruh terhadap system. Teknik yang efektif untuk mendapatkan daya kontrol system ini adalah dengan membagi system menjadi subsistem yang menangani transaksi secara terpisah.

A. PENTINGNYA KONTROL
* untuk memastikan bahwa CBIS telah diimplementasikan seperti yang direncanakan, system beroperasi seperti yang dikehendaki, dan operasi tetap dalam keadaan aman dari penyalahgunaan atau gangguan.
* untuk memberi dukungan kepada manajer dalam mengontrol area operasinya.

B. TUGAS KONTROL CBIS
Mencakup semua fase siklus hidup, selama siklus hidup dibagi menjadi kontrol-kontrol yang berhubungan dengan pengembangan sistem, desain dan operasi.
Metode Untuk Mendapatkan dan Memelihara Kontrol CBIS:
1. Manajemen dapat melakukan kontrol langsung
2. Manajemen mengontrol CBIS secara tidak langsung dengan terus menerus melalui CIO.
3. Manajemen mengontrol CBIS secara tidak langsung berkenaan dengan proyeknya melalui     pihak ketiga
AREA PENGONTROLAN CBIS
KONTROL PROSES PENGEMBANGAN
Untuk memastikan bahwa CBIS yg diimplementasikan dapat memenuhi kebutuhan pemakai atau berjalan sesuai rencana harus menjalani tahapan/fase yang antara lain :
* Fase Perencanaan
Mendefinisikan tujuan dan kendala

* Fase Analisis & Disain
> Mengidentifikasi kebutuhan informasi
> Menentukan kriteria penampilan
> Menyusun disain dan standar operasi CBIS
* Fase Implementasi
> Mendefinisikan program pengujian yang dapat diterima
> Memastikan apakah memenuhi criteria penampilan
> Menetapkan prosedur utk memelihara CBIS
* Fase Operasi & Kontrol
> Mengontrol CBIS selagi berevolusi selama fase SLC
> Memastikan bahwa CBIS yang diimplementasikan dapat memenuhi kebutuhan
Yang termasuk dalam kontrol proses pengembangan, yaitu :
1. Manajemen puncak menetapkan kontrol proyek secara keseluruhan selama fase perencanaan dengan cara membentuk komite MIS
2. Manajemen memberitahu pemakai mengenai orientasi CBIS
3. Manajemen menentukan kriteria penampilan yang digunakan dalam mengevaluasi operasi CBIS.
4. Manajemen dan bagian pelayanan informasi menyusun disain dan standar CBIS
5. Manajemen dan pelayanan informasi secara bersama-sama mendefinisikan program pengujian yang dapat diterima
6. Manajemen melakukan peninjauan sebelum instalasi yang dilakukan tepat setelah penggantian dan secara berkala meninjau CBIS untuk memastikan apakah ia memenuhi kriteria penampilan.
7. Bagian pelayanan informasi menetapkan prosedur untuk memelihara dan memodifikasi CBIS dan prosedur yang disetujui oleh manajemen.
* KONTROL DISAIN SISTEM
* Tujuan untuk memastikan bahwa disainnya bisa meminimalkan kesalahan, mendeteksi kesalahan dan mengoreksinya.
* Kontrol tidak boleh diterapkan jika biayanya lebih besar dari manfaatnya. Nilai atau manfaat adalah tingkat pengurangan resiko.
* Selama fase disain dan analisis dari siklus hidup system, Analis System, DBA dan Manajer Jaringan membangun fasilitas kontrol tertentu dalam disain system. Selama fase implementasi, programmer menggabungkan kontrol tersebut ke dalam system. Disain system dikontrol dengan cara menggabungkan kontrol software menjadi lima bagian pokok, yaitu :
I. Permulaan Transaksi (Transaction Origination)
* Tahap-tahap yang harus dilakukan pada permulaan transaksi :
1. Permulaan Dokumentasi Sumber
> Perancangan dokumentasi
> Pemerolehan dokumentasi
> Kepastian keamanan dokumen
2. Kewenangan
Bagaimana entry data akan dibuat menjadi dokumen dan oleh siapa
3. Pembuatan Input Komputer
Mengidentifikasi record input yang salah dan memastikan semua data input
diproses
4. Penanganan Kesalahan
Mengoreksi kesalahan yang telah dideteksi dan menggabungkan record yg telah dikoreksi ke record entry
5. Penyimpanan Dokumen Sumber
Menentukan bagaimana dokumen akan disimpan dan dalam kondisi
bagaimana dapat dikeluarkan
II. Entri Transaksi
Entri transaksi mengubah data dokumen sumber menjadi bentuk yang dapat dibaca oleh komputer. Kontrol ini berusaha untuk menjaga keakuratan data yang akan ditransmisikan ke jaringan komunikasi atau yang akan dimasukkan secara langsung ke dalam komputer. Area kontrolnya meliputi atas :
1. Entri Data
Kontrol dalam bentuk prosedur tertulis dan dalam bentuk peralatan inputnya sendiri. Dapat dilakukan dengan proses offline/online
2. Verifikasi Data
> Key Verification (Verifikasi Pemasukan)
Data dimasukkan ke sistem sebanyak 2 kali
> Sight Verification (Verifikasi Penglihatan)
Melihat pada layar sebelum memasukkan data ke system
3. Penanganan Kesalahan
Merotasi record yang telah dideteksi ke permulaan transaksi untuk pengoreksian
4. Penyeimbangan Batch
Mengakumulasikan total setiap batch untuk dibandingkan dengan total yang sama yang dibuat selama permulaan transaksi
III. Komunikasi Data
* Tanggungjawab manajer jaringan dengan menggabungkan ukuran keamanan ke dalam sistem dan memonitor penampilan untuk memastikan keamanan telah dilakukan dgn baik.
* Komputer yang ada dalam jaringan memberikan peluang risiko keamanan yang lebih besar dari pada komputer yang ada di dalam suatu ruangan. Area kontrol ini terdiri dari :
1. Kontrol Pengiriman Data
2. Kontrol Channel Komunikasi
3. Kontrol Penerimaan Pesan
4. Rencana Pengamanan Datacom Secara Keseluruhan
IV. Pemrosesan Komputer
* Pada umumnya semua elemen kontrol pada disain system selalu dikaitkan dengan pemasukan data ke dalam komputer. Area kontrol pada pemrosesan komputer terdiri dari :
1. Penanganan Data
2. Penanganan Kesalahan
3. Database dan Perpustakaan Software
* Sebagian besar kontrol database dapat diperoleh melalui penggunaan Sistem Manajemen Database (Database Management System/DBMS)
* Tingkat keamanan dalam DBMS terdiri dari :
1. Kata kunci (Password)
2. Direktori pemakai (User Directory)
3. Direktori elemen data (Field Directory)
4. Enkripsi (Encryption)
V. Output Komputer
Komponen subsistem ini bertanggung jawab untuk mengirimkan produk (output) kepada pemakai (user). Yang termasuk dalam area ini adalah :
1. Distribusi
Kontrol pada distribusi laporan berusaha untuk memastikan ketepatan orang yang menerima   output.
2. Penyeimbangan Departemen Pemakai
Bila departemen pemakai menerima output dari komputer, maka keseluruhan kontrol dari output dibandingkan dengan total yang sama yang telah ditetapkan pada waktu pertama kali data input dibuat.
3. Penanganan Kesalahan
Kelompok kontrol tertentu dapat ditetapkan didalam area pemakai dengan menjalankan prosedur formal untuk mengoreksi kesalahan.
4. Penyimpangan Record
Tujuan komponen kontrol yang terakhir ini adalah untuk memelihara keamanan yang tepat terhadap output komputer dan untuk mengontrol penyelesaian yang sia-sia.
5. Penyeimbangan Operasi Komputer
Kontrol ini memungkinkan pelayanan informasi untuk memverifikasi bahwa semua batch dan transaksi yang diterima dari departemen pemakai telah diproses.
* Kontrol Terhadap Pengoperasian Sistem
Kontrol pengoperasian sistem dimaksudkan untuk mencapai efisiensi dan keamanan.
Kontrol yang memberikan kontribusi terhadap tujuan ini dapat diklasifikasikan menjadi 5 area :

1. Struktur organisasional
   Staf pelayanan informasi diorganisir menurut bidang spesialisasi. Analisis, Programmer dan Personel operasi biasanya dipisahkan dan hanya mengembangkan ketrampilan yang diperlukan untuk area pekerjaannya sendiri.
2.  Kontrol perpustakaan
   Perpustakaan komputer adalah sama dengan perpustakaan buku, dimana didalamnya ada pustakawan, pengumpulan media, area tempat penyimpanan media dan prosedur untuk menggunakan media tersebut. Yang boleh mengakses perpustakaan media hanyalah pustakawannya.
3.  Pemeliharaan Peralatan
   Orang yang tugasnya memperbaiki computer yang disebut Customer Engineer (CE) / Field Engineer (FE) / Teknisi Lapangan menjalankan pemeliharaan yang terjadwal / yang tak terjadwal.
4. Kontrol lingkungan dan keamanan fasilitas
   Untuk menjaga investasi dibutuhkan kondisi lingkungan yang khusus seperti ruang computer harus bersih keamanan fasilitas yang harus dilakukan dengan penguncian ruang peralatan dan komputer.
5. Perencanaan disaster

* Rencana Keadaan darurat
Prioritas utamanya adalah keselamatan tenaga kerja perusahaan
* Rencana Backup
Menjelaskan bagaimana perusahaan dapat melanjutkan operasinya dari ketika terjadi bencana sampai ia kembali beroperasi secara normal.
* Rencana Record Penting
Rencana ini mengidentifikasi file data penting & menentukan tempat penyimpanan kopi duplikat.
* Rencana Recovery
Rencana ini mengidentifikasi sumber-sumber peralatan pengganti, fasilitas komunikasi dan      pasokan-pasokan
SUMBER:

• edysoewanto.wordpress.com
• jigokushoujoblog.wordpress.com
• mycandybaby.wordpress.com

kategori

SOFTWARE OPEN SOURCE

 SOFTWARE OPEN SOURCE

Open source software adalah istilah yang digunakan untuk software yang membuka/membebaskan source codenya untuk dilihat oleh  orang  lain   dan  membiarkan  orang  lain   mengetahui  cara kerja software tersebut dan sekaligus memperbaiki kelemahan-kelemahan yang ada pada software tersebut. OSS   identik dengan   Free  Software.   Perlu   digarisbawahi, definisi free disini bukan berarti gratis, namun free disini berarti bebas. Bebas ini dijabarkan menjadi empat buah, yaitu:

1. Kebebasan untuk menjalankan programnya untuk tujuan apa saja.
2. Kebebasan untuk mempelajari bagaimana program itu bekerja serta dapat disesuaikan dengan kebutuhan anda. Akses pada kode program merupakan suatu persyarat.
3. Kebebasan   untuk   menyebarluaskan   kembali   hasil  salinan perangkat lunak tersebut sehingga dapat membantu sesama.
4. Kebebasan untuk meningkatkan kinerja program, dan dapat menyebarkannya ke khalayak umum sehingga semua menikmati keuntungannya. Akses pada kode program merupakan suatu persyarat juga.
Beberapa contoh Open Source :
•  Apache, web server
•  Programming language: perl, PHP
•  Operating system: Linux, FreeBSD, OpenBSD.

KEUNTUNGAN MENGGUNAKAN SOFTWARE OPEN SOURCE
Produk    open   source   dianggap   selalu   membawa   keuntungan, khususnya oleh para promotor dari gerakan open source ini. Motivasi dari penggunaan dan pengembangan open source software beraneka ragam, mulai dari filosofi dan alasan etika sampai pada masalah praktis. Biasanya, keuntungan yang dirasa pertama dari model open source adalah fakta bahwa ketersediaan open source diciptakan secara gratis atau dengan biaya yang rendah. Bagi dunia bisnis, dengan memanfaatkan program-program open source, dunia bisnis akan memperoleh manfaat yaitu rendahnya biaya instalasi program, reliabilitas yang tinggi, keamanan yang  tinggi,    sehingga   total  cost   of  ownership-nya    menjadi rendah.    Dunia     bisnis    sangat memerlukan    program    yang bereliabilitas tinggi, karena kegiatan-kegiatan dunia bisnis telah amat tergantung pada komputer dan kesalahan kecil akan mengakibatkan kerugian yang sangat besar. Bagaimana jadinya jika server yang digunakan untuk menangani web page harus di- reboot  satu    minggu   sekali? Selain   itu   dengan  menggunakan program-program     open   source   maka   perusahaan    tidak   perlu terikat   pada    satu   vendor,    baik   vendor    hardware   maupun software.    Jika   perusahaan  menemui permasalahan,   ia   dapat menghubungi    pembuat    program    ataupun    mencari   perusahaan-perusahaan jasa untuk menangani masalah tersebut. Bagi pemerintah, seiring dengan makin berkibarnya tuntutan akan otonomi    daerah,   maka   penggunaan   program-program    open source  patut    menjadi  pertimbangan dalam   perencanaan   sistem informasi    pemerintahan.    Dengan   menggunakan    program-program open source, anggaran yang dibutuhkan relatif lebih rendah dibandingkan    dengan   program-program closed source    dengan tingkat reliabilitas dan keamanan yang lebih tinggi. Selain itu dengan memanfaatkan program-program open source pemerintah dapat mendukung perkembangan teknologi informasi di daerahnya dan juga dapat memberikan kesempatan kerja pada masyarakat. Dengan   tersedianya     kode    sumber maka pemerintah     dapat memastikan   bahwa   program   yang    digunakannya     tidak   memiliki suatu backdoor ataupun trojan horse yang dapat membahayakan  pemanfaatannya    dalam  bidang    yang    sensitif, seperti bidang pertahanan keamanan. Berikut    beberapa     keuntungan      menggunakan      open    source software:
1. Legal
Indonesia    berada  pada    posisi    nomor   4  negara   pembajak terbesar    di  dunia.   Hal   ini menyebabkan posisi   tawar-menawar Indonesia   melemah didunia perdagangan, dan menjadikan    Indonesia   menuai    kecaman   dari    negara-negara lainnya. Open Source, dengan berbagai kelebihannya, juga legal.   Penggunaan software Open Source diseluruh Indonesia akan menyebabkan tingkat pembajakan software di Indonesia menjadi turun drastis, dari 88% menjadi 0%.
2. Keamanan negara/perusahaan
Di tahun 1982, terjadi ledakan dahsyat di jalur pipa gas Uni Sovyet di Siberia. Kekuatan ledakan tersebut sekitar 3 kiloton, atau 25% dari kekuatan bom nuklir Hiroshima. 16   tahun   kemudian   baru    diketahui oleh    publik   bahwa ledakan    tersebut    disebabkan      oleh    software    komputer proprietary/tertutup yang telah diubah oleh CIA. Software open source bebas dari bahaya ini, karena bisa dilakukan audit terhadap kode programnya.
3. Hemat biaya
Sebagian besar developer ini tidak dibayar/digaji. Biaya dapat dihemat dan digunakan untuk pengeluaran yang tidak dapat   ditunda,   seperti    misalnya    membeli    server  untuk hosting web.
4. Kesalahan     (bugs,   error)    lebih    cepat    ditemukan   dan diperbaiki Karena    jumlah  developernya     sangat    banyak    dan  tidak dibatasi, maka kemungkinan untuk mendeteksi bugs lebih besar.   Visual   inspection   (eye-balling)     merupakan   salah satu   metodologi    pencarian    bugs   yang paling   efektif. Selain   itu,   karena   source   code   tersedia,    maka  setiap orang dapat mengusulkan perbaikan tanpa harus menunggu dari vendor.
5. Kualitas hasil lebih terjamin
Karena banyaknya orang yang melakukan evaluasi, kualitas produk dapat lebih baik. Sebagai contoh, Apache merupakan web server open source yang paling banyak digunakan orang di dunia. Namun hal ini hanya berlaku untuk produk open source   yang   ramai  dikembangkan     orang.   Tidak   selamanya produk open source dikembangkan oleh banyak orang. Ada banyak    produk    open    source    yang    dikembangkan    oleh individual saja.
6. Tidak mengulangi development
Pengulangan      (re-inventing       the     wheel)      merupakan pemborosan. Adanya code yang terbuka membuka jalan bagi seseorang    programmer    untuk   melihat   solusi-solusi    yang pernah     dikerjakan oleh    orang     lain.     Namun   pada kenyataannya tetap banyak pengulangan.
7. Banyaknya tenaga (SDM) untuk mengerjakan proyek
Sumber  daya   manusia   merupakan  salah   satu   unsur  pokok dalam  software    development.    Proyek biasanya    menarik banyak developer. Sebagai contoh, pengembangan server web Apache menarik ribuan orang untuk ikut mengembangan dan memantau.

KERUGIAN MENGGUNAKAN SOFTWARE OPEN SOURCE
1. Tidak ada garansi dari pengembangan
Biasanya   terjadi    ketika   sebuah   project    dimulai   tanpa dukungan yang kuat dari satu atau beberapa perusahaan, memunculkan    celah awal ketika sumber code masih mentah dan pengembangan dasar masih dalam pembangunan.
2. Kurangnya SDM yang dapat memanfaatkan
Salah satu keuntungan utama dari gerakan adalah adanya ketersediaan code. Namun ketersediaan ini menjadi sia-sia apabila SDM yang ada tidak dapat menggunakannya, tidak dapat mengerti code tersebut. SDM yang ada ternyata hanya mampu produk saja. Jika demikian, maka tidak ada bedanya produk dan yang proprietary dan tertutup.
3. Kesulitan dalam mengetahui status project
Tidak banyak iklan bagi open source software, biasanya beberapa  project   secara   tidak  langsung   ditangani   oleh perusahaan   yang     mampu    berinvestasi    dan    melakukan merketing.
4. Tidak   adanya    proteksi    terhadap   Hak   atas    Kekayaan Intelektual (HaKI)
Kebanyakan orang masih menganggap bahwa code merupakan aset yang harus dijaga kerahasiannya. Hal ini dikaitkan dengan  besarnya  usaha yang   sudah  dikeluarkan untuk membuat produk tersebut. Karena sifatnya yang terbuka, dapat di-abuse oleh orang-orang untuk mencuri ide dan karya orang lain.

Peraturan dan Regulasi IT

Peraturan dan Regulasi IT

            Telah lahir suatu rezim hukum baru yang dikenal dengan hukum cyber atau hukum telematika. Cyberlaw, secara internasional digunakan untuk istilah hukum yang terkait dengan pemanfaatan teknologi informasi dan komunikasi. Demikian pula, hukum telematika yang merupakan perwujudan dari konvergensi hukum telekomunikasi, hukum media, dan hukum informatika. Istilah lain yang juga digunakan adalah hukum teknologi informasi (law of information technology), hukum dunia maya (virtual world law), dan hukum mayantara.

            Yang kita ketahui di Indonesia terdapat UU ITE, UU No. 11 tahun 2008, terdiri dari XIII bab dan 54 Pasal. Ini adalah undang-undang yang membahas tentang informasi dan transaksi elektronik.

            Undang-Undang tersebut memiliki jangkauan yurisdiksi tidak semata-mata untuk perbuatan hukum yang berlaku di Indonesia dan/atau dilakukan oleh warga negara Indonesia, tetapi juga berlaku untuk perbuatan hukum yang dilakukan di luar wilayah hukum (yurisdiksi) Indonesia baik oleh warga negara Indonesia maupun warga negara asing atau badan hukum Indonesia maupun badan hukum asing yang memiliki akibat hukum di Indonesia, mengingat pemanfaatan Teknologi Informasi untuk Informasi Elektronik dan Transaksi Elektronik dapat bersifat lintas teritorial atau universal.

            Menanggapi keprihatinan konsumen akan perlunya perlindungan information privacynya, ada baiknya dilakukan penelusuran terhadap berbagai inisiatif internasional dalam mengembangkan prinsip-prinsip perlindungan data (data protection). Selama ini terdapat 3 (tiga) instrument internasional utama yang mengatur mengenai prinsip-prinsip perlindungan data, yaitu:

·         The Council of European Convention for the Protection of Individuals with Regard to the Processing of Personal Data Dalam Konvensi ini dijabarkan prinsip-prinsip bagi data protection yang meliputi :

1.      Data harus diperoleh secara fair dan sah menurut hukum (lawful).

2.      Data disimpan untuk tujuan tertentu dan sah serta tidak digunakan dengan cara yang tidak sesuai dengan peruntukannya.

3.      Penggunaan data secara layak, relevan dan tidak berlebihan dalam mencapai tujuan dari penyimpanan data tersebut.

4.      Pengelolaan data secara akurat dan membuatnya tetap actual.

5.      Pemeliharaan data dalam suatu format yang memungkinkan identifikasi terhadap data subject untuk jangka waktu yang tidak lebih lama dari yang diperlukan untuk maksud penyimpanan data tersebut.

Perbedaan cyberlaw diberbagai Negara :

Cyberlaw di Indonesia

            Inisiatif untuk membuat “cyberlaw” di Indonesia sudah dimulai sebelum tahun 1999. Fokus utama waktu itu adalah pada “payung hukum” yang generik dan sedikit mengenai transaksi elektronik. Pendekatan “payung” ini dilakukan agar ada sebuah basis yang dapat digunakan oleh undang-undang dan peraturan lainnya. Karena sifatnya yang generik, diharapkan rancangan undang-undang tersebut cepat diresmikan dan kita bisa maju ke yang lebih spesifik. Namun pada kenyataannya hal ini tidak terlaksana.

Untuk hal yang terkait dengan transaksi elektronik, pengakuan digital signature sama seperti tanda tangan konvensional merupakan target. Jika digital signature dapat diakui, maka hal ini akan mempermudah banyak hal seperti electronic commerce (e-commerce), electronic procurement (e-procurement), dan berbagai transaksi elektronik lainnya.

Namun ternyata dalam perjalanannya ada beberapa masukan sehingga hal-hal lain pun masuk ke dalam rancangan “cyberlaw” Indonesia. Beberapa hal yang mungkin masuk antara lain adalah hal-hal yang terkait dengan kejahatan di dunia maya (cybercrime), penyalahgunaan penggunaan komputer, hacking, membocorkan password, electronic banking, pemanfaatan internet untuk pemerintahan (e-government) dan kesehatan, masalah HaKI, penyalahgunaan nama domain, dan masalah privasi. Penambahan isi disebabkan karena belum ada undang-undang lain yang mengatur hal ini di Indonesia sehingga ada ide untuk memasukkan semuanya ke dalam satu rancangan. Nama dari RUU ini pun berubah dari Pemanfaatan Teknologi Informasi, ke Transaksi Elektronik, dan akhirnya menjadi RUU Informasi dan Transaksi Elektronik. Di luar negeri umumnya materi ini dipecah-pecah menjadi beberapa undang-undang.

Ada satu hal yang menarik mengenai rancangan cyberlaw ini yang terkait dengan teritori. Misalkan seorang cracker dari sebuah negara Eropa melakukan pengrusakan terhadap sebuah situs di Indonesia. Dapatkah hukum kita menjangkau sang penyusup ini? Salah satu pendekatan yang diambil adalah jika akibat dari aktivitas crackingnya terasa di Indonesia, maka Indonesia berhak mengadili yang bersangkutan. Apakah kita akan mengejar cracker ini ke luar negeri? Nampaknya hal ini akan sulit dilakukan mengingat keterbatasan sumber daya yang dimiliki oleh kita. Yang dapat kita lakukan adalah menangkap cracker ini jika dia mengunjungi Indonesia. Dengan kata lain, dia kehilangan kesempatan / hak untuk mengunjungi sebuah tempat di dunia. Pendekatan ini dilakukan oleh Amerika Serikat.

Cyber Law di Malaysia

            Lima cyberlaws telah berlaku pada tahun 1997 tercatat di kronologis ketertiban. Digital Signature Act 1997 merupakan Cyberlaw pertama yang disahkan oleh parlemen Malaysia. Tujuan Cyberlaw ini, adalah untuk memungkinkan perusahaan dan konsumen untuk menggunakan tanda tangan elektronik (bukan tanda tangan tulisan tangan) dalam hukum dan transaksi bisnis. Computer Crimes Act 1997 menyediakan penegakan hukum dengan kerangka hukum yang mencakup akses yang tidak sah dan penggunaan komputer dan informasi dan menyatakan berbagai hukuman untuk pelanggaran yang berbeda komitmen. Para Cyberlaw berikutnya yang akan berlaku adalah Telemedicine Act 1997. Cyberlaw ini praktisi medis untuk memberdayakan memberikan pelayanan medis / konsultasi dari lokasi jauh melalui menggunakan fasilitas komunikasi elektronik seperti konferensi video. Berikut pada adalah Undang-Undang Komunikasi dan Multimedia 1998 yang mengatur konvergensi komunikasi dan industri multimedia dan untuk mendukung kebijakan nasional ditetapkan untuk tujuan komunikasi dan multimedia industri. The Malaysia Komunikasi dan Undang-Undang Komisi Multimedia 1998 kemudian disahkan oleh parlemen untuk membentuk Malaysia Komisi Komunikasi dan Multimedia yang merupakan peraturan dan badan pengawas untuk mengawasi pembangunan dan hal-hal terkait dengan komunikasi dan industri multimedia.

Departemen Energi, Komunikasi dan Multimedia sedang dalam proses penyusunan baru undang-undang tentang Perlindungan Data Pribadi untuk mengatur pengumpulan, kepemilikan, pengolahan dan penggunaan data pribadi oleh organisasi apapun untuk memberikan perlindungan untuk data pribadi seseorang dan dengan demikian melindungi hak-hak privasinya. Ini to be undang yang berlaku didasarkan pada sembilan prinsip-prinsip perlindungan data yaitu :

• Cara pengumpulan data pribadi
• Tujuan pengumpulan data pribadi
• Penggunaan data pribadi
• Pengungkapan data pribadi
• Akurasi dari data pribadi
• Jangka waktu penyimpanan data pribadi
• Akses ke dan koreksi data pribadi
• Keamanan data pribadi
• Informasi yang tersedia secara umum.

Council of Europe Convention on Cyber crime (Eropa)

            Saat ini berbagai upaya telah dipersiapkan untuk memerangi cybercrime. The Organization for Economic Co-operation and Development (OECD) telah membuat guidelines bagi para pembuat kebijakan yang berhubungan dengan computer-related crime, di mana pada tahun 1986 OECD telah mempublikasikan laporannya yang berjudul Computer-Related Crime: Analysis of Legal Policy. Laporan ini berisi hasil survey terhadap peraturan perundang-undangan Negara-negara Anggota beserta rekomendasi perubahannya dalam menanggulangi computer-related crime tersebut, yang mana diakui bahwa sistem telekomunikasi juga memiliki peran penting dalam kejahatan tersebut.
Melengkapi laporan OECD, The Council of Europe (CE) berinisiatif melakukan studi mengenai kejahatan tersebut. Studi ini memberikan guidelines lanjutan bagi para pengambil kebijakan untuk menentukan tindakan-tindakan apa yang seharusnya dilarang berdasarkan hukum pidana Negara-negara Anggota, dengan tetap memperhatikan keseimbangan antara hak-hak sipil warga negara dan kebutuhan untuk melakukan proteksi terhadap computer-related crime tersebut. Pada perkembangannya, CE membentuk Committee of Experts on Crime in Cyberspace of the Committee on Crime Problems, yang pada tanggal 25 April 2000 telah mempublikasikan Draft Convention on Cyber-crime sebagai hasil kerjanya , yang menurut Prof. Susan Brenner dari University of  Daytona School of Law, merupakan perjanjian internasional pertama yang mengatur hukum pidana dan aspek proseduralnya untuk berbagai tipe tindak pidana yang berkaitan erat dengan penggunaan komputer, jaringan atau data, serta berbagai penyalahgunaan sejenis.
Dari berbagai upaya yang dilakukan tersebut, telah jelas bahwa cybercrime membutuhkan global action dalam penanggulangannya mengingat kejahatan tersebut seringkali bersifat transnasional. Beberapa langkah penting yang harus dilakukan setiap negara dalam penanggulangan cybercrime adalah:

1. Melakukan modernisasi hukum pidana nasional beserta hukum acaranya, yang diselaraskan dengan konvensi internasional yang terkait dengan kejahatan tersebut
2. Meningkatkan sistem pengamanan jaringan komputer nasional sesuai standar internasional
3. Meningkatkan pemahaman serta keahlian aparatur penegak hukum mengenai upaya pencegahan, investigasi dan penuntutan perkara-perkara yang berhubungan dengan cybercrime
4. Meningkatkan kesadaran warga negara mengenai masalah cybercrime serta pentingnya mencegah kejahatan tersebut terjadi
5. Meningkatkan kerjasama antar negara, baik bilateral, regional maupun multilateral, dalam upaya penanganan cybercrime, antara lain melalui perjanjian ekstradisi dan mutual assistance treaties

Keterbatasan UU Telekomunikasi Dalam Mengatur Penggunaan Teknologi Informasi

Di negara kita banyak sekali UU yang kita sendiri  tidak mengetahui persis apa isinya tetapi di sini akan di jelaskan salah satunya yaitu UU NO.36.

Keterbatasan UU Telekomunikasi Dalam Mengatur Penggunaan Teknologi Informasi.

Didalam UU No. 36 telekomunikasi berisikan sembilan bab yang mengatur hal-hal berikut ini ; Azas dan tujuan telekomunikasi, pembinaaan, penyelenggaraan telekomunikasi, penyidikan, sanksi administrasi, ketentuan pidana, ketentuan peralihan dan ketentuan penutup. Undang-Undang ini dibuat untuk menggantikan UU No.3 Tahun 1989 tentang Telekomunikasi, karena diperlukan penataan dan pengaturan kembali penyelenggaraan telekomunikasi nasional yang dimana semua ketentuan itu telah di setujuin oleh DPRRI.

UU ini dibuat karena ada beberapa alasan, salah satunya adalah bahwa pengaruh globalisasi dan perkembangan teknologi telekomunikasi yang sangat cepat telah mengakibatkan perubahan yang mendasar dalam penyelenggaraan dan cara pandang terhadap telekomunikasi.

Dengan munculnya undang-undang tersebut membuat banyak terjadinya perubahan dalam dunia telekomunikasi, antara lain :

1.Telekomunikasi  merupakan salah satu infrastruktur penting dalam kehidupan berbangsa dan bernegara.

2.Perkembangan teknologi yang sangat pesat tidak hanya terbatas pada lingkup telekomunikasi itu saja, maleinkan sudah berkembang pada TI.

3.Perkembangan teknologi telekomunikasi di tuntut untuk mengikuti norma dan kebijaksanaan yang ada di Indonesia.

Apakah ada keterbatasan yang dituangkan dalam UU no.36 Telekomunikasi tersebut dalam hal mengatur penggunaan teknologi Informasi. Maka berdasarkan isi dari UU tersebut tidak ada penjelasan mengenai batasan-batasan yang mengatur secara spesifik dalam penggunaan teknologi informasi tersebut, artinya dalan UU tersebut tidak ada peraturan yang secara resmi dapat membatasi penggunaan teknologi komunikasi ini. Namun akan lain ceritanya jika kita mencoba mencari batasan-batasan dalam penggunaan teknologi informasi berbasis sistem komputer yang merupakan sistem elektronik yang dapat dilihat secara virtual, maka hal tersebut diatur dalam UU No.11 Tahun 2008 tentang Informasi dan Transaksi Elektronik terutama BAB VII tentang Perbuatan yang Dilarang. Untuk itu kita sebagai pengguna teknologi informasi dan komunikasi harus lebih bijak dan berhati-hati lagi dalam memanfaatkan teknologi ini dengan memperhatikan peraturan dan norma yang ada.

Perbandingan UU ITE dilingkup Negara ASEAN

Beberapa hal penting yang menjadi perhatian dalam setiap cyberlaw di negara ASEAN, khususnya yang berhubungan dengan e-commerce antara lain;

1.      Perlindungan hukum terhadap konsumen.

• Indonesia

UU ITE menerangkan bahwa konsumen berhak untuk mendapatkan informasi yang lengkap berkaitan dengan detail produk, produsen dan syarat kontrak.

• Malaysia

Communications and Multimedia Act 1998 menyebutkan bahwa setiap penyedia jasa layanan harus menerima dan menanggapi keluhan konsumen. Sedangkan pada negara ASEAN lainnya, hal tersebut belum diatur.

2.      Perlindungan terhadap data pribadi serta privasi.

·         Singapura

Sebagai pelopor negara ASEAN yang memberlakukan cyberlaw yang mengatur e-commerce code untuk melindungi data pribadi dan komunikasi konsumen dalam perniagaan di internet.

·         Indonesia

Sudah diatur dalam UU ITE.

·         Malaysia & Thailand

Masih berupa rancangan,

Sedangkan pada negara ASEAN lainnya, hal tersebut belum diatur.

3.      Cybercrime

Sampai dengan saat ini ada delapan negara ASEAN yang telah memiliki cyberlaw yang mengatur tentang cybercrime atau kejahatan di internet yaitu Malaysia,Singapura, Thailand, Vietnam dan termasuk Indonesia melalui UU ITE yang disahkan Maret 2008 lalu.

4.      Spam

Spam dapat diartikan sebagai pengiriman informasi atau iklan suatu produk yang tidak pada tempatnya dan hal ini sangat mengganggu.

·         Singapura

Merupakan satu-satunya negara di ASEAN yang memberlakukan hukum secara tegas terhadap spammers (Spam Control Act 2007)

·         Malaysia & Thailand

Masih berupa rancangan.

·         Indonesia

UU ITE belum menyinggung masalah spam.

Sementara di negara ASEAN lainnya masih belum ada.

5.      Peraturan Materi Online / Muatan dalam suatu situs

Lima negara ASEAN yaitu Brunei, Malaysia, Myanmar, Singapura serta Indonesia telah menetapkan cyberlaw yang mengatur pemuatan materi online yang mengontrol publikasi online berdasarkan norma sosial, politik, moral, dan keagamaan yang berlaku di negara masing-masing.

6.      Hak Cipta Intelektual atau Digital Copyright

Di ASEAN saat ini ada enam negara yaitu Brunei, Kamboja, Indonesia, Filipina, Malaysia dan Singapura yang telah mengatur regulasi tentang hak cipta intelektual.
Sementara negara lainnya masih berupa rancangan.

7.      Penggunaan Nama Domain

Saat ini ada lima negara yaitu Brunei, Kamboja, Malayasia, Vietnam termasuk Indonesia yang telah memiliki hukum yang mengatur penggunaan nama domain. Detail aturan dalam setiap negara berbeda-beda dan hanya Kamboja yang secara khusus menetapkan aturan tentang penggunaan nama domain dalam Regulation on Registration of Domain Names for Internet under the Top Level ‘kh’ 1999.

8.      Electronic Contracting

Saat ini hampir semua negara ASEAN telah memiliki regulasi mengenai Electronic contracting dan tanda tangan elektronik atau electronik signatures termasuk Indonesia melalui UU ITE.

Sementara Laos dan Kamboja masih berupa rancangan.
ASEAN sendiri memberi deadline Desember 2009 sebagai batas waktu bagi setiap negara untuk memfasilitasi penggunaan kontrak elektronik dan tanda tangan elektonik untuk mengembangkan perniagaan intenet atau e-commerce di ASEAN.

9.      Online Dispute resolution (ODR)

ODR adalah resolusi yang mengatur perselisihan di internet.

·         Filipina

Merupakan satu-satunya negara ASEAN yang telah memiliki aturan tersebut dengan adanya Philippines Multi Door Courthouse.

·         Singapura

Mulai mendirikan ODR facilities.

·         Thailand

Masih dalam bentuk rancangan.

·         Malaysia

Masih dalam tahap rancangan mendirikan International Cybercourt of Justice.

·         Indonesia

Dalam UU ITE belum ada aturan yang khusus mengatur mengenai perselisihan di internet.
Sementara di negara ASEAN lainnya masih belum ada. ODR sangat penting menyangkut implementasinya dalam perkembangan teknologi informasi dan e-commerce.

IT AUDIT & FORENSIC

IT AUDIT & FORENSIC

            Semakin pesatnya perkembangan dunia IT  maka semakin banyak pula pihak-pihak yang tidak bertanggungjawab menyalahgunakan IT untuk kepentingan pribadi sehingga merugikan banyak pihak.

Secara umum IT Audit adalah suatu proses kontrol pengujian terhadap infrastruktur teknologi informasi dimana berhubungan dengan masalah audit finansial dan audit internal. Audit IT lebih dikenal dengan istilah EDP Auditing (Electronic Data Processing), biasanya digunakan untuk menguraikan dua jenis aktifitas yang berkaitan dengan komputer. Salah satu penggunaan istilah tersebut adalah untuk menjelaskan proses penelaahan dan evaluasi pengendalian-pengendalian internal dalam EDP.

Jenis aktivitas ini disebut sebagai auditing melalui komputer. Penggunaan istilah lainnya adalah untuk menjelaskan pemanfaatan komputer oleh auditor untuk melaksanakan beberapa pekerjaan audit yang tidak dapat dilakukan secara manual. Jenis aktivitas ini disebut audit dengan komputer. Audit IT sendiri merupakan gabungan dari berbagai macam ilmu, antara lain Traditional Audit, Manajemen Sistem Informasi, Sistem Informasi Akuntansi, Ilmu Komputer, dan Behavioral Science. Audit IT bertujuan untuk meninjau dan mengevaluasi faktor-faktor ketersediaan (availability), kerahasiaan (confidentiality), dan keutuhan (integrity) dari sistem informasi organisasi.

IT Forensic merupakan bagian dari kepolisian yang menelusuri kejahatan-kejahatan dalam dunia komputer/internet. Komputer forensic/digital forensik, adalah salah satu cabang ilmu forensik yang berkaitan dengan bukti legal yang ditemukan pada komputer dan media penyimpanan digital lainnya. Tujuan dari komputer forensik yaitu untuk menjabarkan keadaan kini dari suatu alat digital yang mencakup sebuah sistem komputer, media penyimpanan (seperti flash disk, hard disk, atau CD-ROM), sebuah dokumen elektronik (misalnya sebuah pesan email atau gambar JPEG), atau bahkan sederetan paket yang berpindah dalam jaringan komputer. IT forensic bertujuan untuk mendapatkan fakta-fakta obyektif dari sebuah insiden/pelanggaran keamanan sistem informasi. Fakta-fakta tersebut setelah diverifikasi akan menjadi bukti-bukti (evidence) yang akan digunakan dalam proses hukum.

Berikut ini merupakan contoh prosedur & lembar kerja IT audit :

Proses IT Audit:

·         Mengumpulkan dan mengevaluasi bukti-bukti bagaimana system informasi dikembangkan, dioperasikan, diorganisasikan, serta bagaimana praktek dilaksanakan:

• Apakah IS melindungi aset institusi: asset protection, availability
• Apakah integritas data dan sistem diproteksi secara cukup (security, onfidentiality )?
• Apakah operasi sistem efektif dan efisien dalam mencapai tujuan organisasi, dan lain-lain

LANGKAH-LANGKAH PROSEDUR IT AUDIT: 

• Kontrol lingkungan:

1.      Apakah kebijakan keamanan (security policy) memadai dan efektif ?

2.      Jika data dipegang oleh vendor, periksa laporan ttg kebijakan dan prosedural yg terikini dari external auditor.

3.      Jika sistem dibeli dari vendor, periksa kestabilan financial.

4.      Memeriksa persetujuan lisen (license agreement)

• Kontrol keamanan fisik

1.      Periksa apakah keamanan fisik perangkat keras dan penyimpanan data memadai.

2.      Periksa apakah backup administrator keamanan sudah memadai (trained,tested).

3.      Periksa apakah rencana kelanjutan bisnis memadai dan efektif.

4.      Periksa apakah asuransi perangkat-keras, OS, aplikasi, dan data memadai.

• Kontrol keamanan logical

1.      Periksa apakah password memadai dan perubahannya dilakukan reguler.

2.      Apakah administrator keamanan memprint akses kontrol setiap user.

3.      Memeriksa dan mendokumentasikan parameter keamanan default.

4.      Menguji fungsionalitas system keamanan (password, suspend userID, etc).

5.      Memeriksa apakah password file / database disimpan dalam bentuk tersandi dan tidak dapat dibuka oleh pengguna umum.

6.      Memeriksa apakah data sensitif tersandi dalam setiap phase dalam prosesnya.

7.      Memeriksa apakah prosedur memeriksa dan menganalisa log memadai.

8.      Memeriksa apakah akses kontrol remote (dari tempat yang lain) memadai: (VPN, CryptoCard, SecureID, etc).

• Menguji Kontrol Operasi

1.      Memeriksa apakah tugas dan job description memadai dalam semua tugas dalam operasi tsb.

2.      Memeriksa apakah ada problem yang signifikan.

3.      Memeriksa apakah control yang menjamin fungsionalitas sistem informasi telah memadai.

Lembar Kerja Audit IT

• Stakeholders:

-          Internal IT Deparment

-           External IT Consultant

-           Board of Commision

-           Management

-          Internal IT Auditor

-          External IT Auditor

• Kualifikasi Auditor:

-          Certified Information Systems Auditor (CISA)

-           Certified Internal Auditor (CIA)

-          Certified Information Systems Security Professional (CISSP)

-          Dll

• Output Internal IT:

-          Solusi teknologi meningkat, menyeluruh & mendalam

-          Fokus kepada global, menuju ke standard2 yang diakui

• Output External IT:

-          Rekrutmen staff, teknologi baru dan kompleksitasnya

-          Outsourcing yang tepat

-          Benchmark / Best-Practices

• Output Internal Audit & Business:

-          Menjamin keseluruhan audit

-           Budget & Alokasi sumber daya

-          Reporting

Metodologi & Framework

-          Framework Besar:

1. IT Audit
2. Analisis Resiko berdasarkan hasil audit
3. Memeriksa “kesehatan” system & security benchmarking terhadap sistem yang lain / standard
4. Hasil dari ketiganya (1,2,3) melahirkan konsep keamanan sistem Informasi
5. Hasil dari konsep keamanan: panduan keamanan sistem (handbook of system security)

• Metodologi IT Audit:
• CobiT : www.isaca.org
• BS 7799 – Code of Practice (CoP) : www.bsi.org.uk/disc/
• BSI -IT baseline protection manual : www.bsi.bund.de/gshb/english/menue.htm
• ITSEC: www.itsec.gov.uk
• Common Criteria (CC) : csrc.nist.gov/cc/

COBIT

• Dikembangkan oleh ISACA
• Membantu dalam implementasi sistem kontrol di sistem IT
• (mungkin) cocok untuk self-assesement tapi kurang cocok untuk mengembangkan buku petunjuk keamanan system
• Dokumentasi detail kurang
• Tidak begitu user-friendly

BS 7799 – Code of Practice

·         Code of Practice for Inform. Security Management

·         Dikembangkan oleh UK, BSI: British Standard

·         Security baseline controls:

o   10 control categories

o   32 control groups

o   109 security controls

o   10 security key controls

·         Kategori kontrol:

o   System access control

o   Systems development & maintenance

o   Business continuity planning

o   Compliance

o   Information security policy

o   Security organization

o   Assets classification & control

o   Personnel security

o   Physical & environmental security

o   Computer & network management

• Digunakan untuk self-assasement: konsep keamanan dan kesehatan sistem
• Tidak ada metodologi evaluasi dan tidak diterangkan bagaimana assemen thd keamanan sistem
• Sangat user-friendly sangat mudah digunakan (menurut yang sudah menggunakan)

BSI (Bundesamt für Sicherheit in der Informationstechnik)

·         IT Baseline Protection Manual (IT- Grundschutzhandbuch )

·         Dikembangkan oleh GISA: German Information Security Agency

·         Digunakan: evaluasi konsep keamanan & manual

·         Metodologi evaluasi tidak dijelaskan

·         Mudah digunakan dan sangat detail sekali

·         Tidak cocok untuk analisis resiko

·         Representasi tdk dalam grafik yg mudah dibaca

ITSEC, Common Criteria

• ITSEC: IT Security Evaluation Criteria
• Developed by UK, Germany, France, Netherl. and based primarily on USA TCSEC (Orange Book)
• Based on systematic, documented approach for security evaluations of systems & products

Common Criteria (CC)

• Developed by USA, EC: based on ITSEC
• ISO International Standard
• Evaluation steps:
• Definition of functionality
• Assurance: confidence in functionality

Komparasi Metodologi

• Standardisation
• Ease of use
• Independence
• Update frequency
• CobiT
• Certifyability
• BS 7799
• BSI
• ITSEC
• Applicability in practice
• Efficiency
• Presentation of results
• Adaptability

Tools dalam audit IT dan IT forensic

Ø  Hardware:

-           Harddisk IDE & SCSI kapasitas sangat besar, CD-R, DVR drives

-          Memori yang besar (1-2GB RAM)

-          Hub, Switch, keperluan LAN

-          Laptop forensic workstations

Ø  Software :

-          Erase/Unerase tools: Diskscrub/Norton utilities)

-          Hash utility (MD5, SHA1)

-           Text search utilities (dtsearch http://www.dtsearch.com/)

-           Drive imaging utilities (Ghost, Snapback, Safeback,…)

Ø  Unix/Linux: TCT The Coroners Toolkit/ForensiX

Ø  Windows: Forensic Toolkit – Disk editors (Winhex,…)

-          Forensic acquisition tools (DriveSpy, EnCase, Safeback, SnapCopy,…)

-          Write-blocking tools (FastBloc http://www.guidancesoftware.com ) untuk memproteksi buktibukti