Security for IS @issecurity-blog - Tumblr Blog

Rendahnya Kesadaran Organisasi Terhadap Sistem Pemulihan IT dari Bencana

Symantec, perusahaan keamanan IT, mencatat selama tahun ini organisasi di tingkat global masih meremehkan ancaman bencana terhadap TI mereka. Berdasarkan data yang dimiliki Symantec, setengah dari usaha kecil menengah (UKM) tidak memiliki rencana pemulihan (recovery) dari bencana. Sebanyak 41 persen menyatakan tidak pernah berpikir atau memiliki rencana membangun sistem recovery. Sementara 40 persen menyatakan kesiapan dalam menghadapi bencana bukanlah prioritas mereka. Adapun perusahaan besar yang telah memiliki rencana, strategi pemulihan bencana sering dilewatkan saat anggaran dibutuhkan untuk kepentingan lain. "Besarnya dana yang dibutuhkan membuat perusahaan enggan menganggarkan untuk keperluan ini," ujar Raymond Goh, Regional Technical Director System Engineering Asian South Region Symantec, di Jakarta, Kamis, 15 Desember 2011. Padahal, menurut dia, IT merupakan tulang punggung dari bisnis yang beroperasi 24 jam dalam seminggu. Pemadaman yang tak direncanakan karena kegagalan sistem atau perencanaan yang tidak maksimal dapat mengakibatkan rusaknya reputasi perusahaan. Sementara itu, untuk tahun depan, Symantec memperkirakan bisnis back up akan lebih bergairah dibanding tahun ini. Hal ini didorong oleh ledakan data yang diperkirakan akan mencapai 7 ZetaBytes sebelum 2015 serta teknologi virtualisasi yang makin berkembang. "Bisnis back up akan kembali menjamur dan berkembang pesat, tapi tidak lagi dilakukan dengan pendekatan tradisional," ujar Goh. Menurut Symantec, jendela back up tradisional 24 jam atau akhir minggu tidak lagi memungkinkan bagi beberapa organisasi. Symantec juga menyebutkan bahwa organisasi tidak bisa sepenuhnya bergantung pada snapshot atau failover untuk menggantikan back upkarena pemulihan data tidak dapat dilakukan dengan mudah bila dibutuhkan. "Back Up, virtualisasi, dan cloud akan menjadi kunci di tahun 2012," ujar Goh.

referensi :

http://www.tempo.co/read/news/2011/12/16/072372016/Sistem-Pemulihan-IT-dari-Bencana-Masih-Rendah

Disaster Recovery Plan (DRP), Sebuah Rencana Kontingensi Penyelamat Perusahaan

Bencana dapat merugikan bahkan menghentikan aktivitas bisnis sebuah perusahaan karena fasilitas TI tidak dapat digunakan. Bencana meliputi kebakaran, banjir, gempa atau kejadian lain yang menimbulkan bahaya bagi manusia.

Ketika banjir besar di Jakarta Pebruari 2007 kemarin, sentral telepon Telkom di Semanggi sempat tenggelam dan tidak dapat digunakan selama beberapa hari. Bagaimana jika seandainya perusahaan memiliki server yang di-hosting di Telkom Semanggi? atau jaringan data antar kantor hanya mengandalkan jaringan dari Telkom yang kebetulan melewati sentral Semanggi? Berapa besar kerugian perusahaan karena tidak dapat menjalankan bisnisnya? atau Berapa besar kerugian karena perusahaan tidak dapat melakukan konsolidasi dengan cabang?

Untuk mengurangi kerugian yang diakibatkan oleh bencana perlu disusun sebuah rencana pemulihan dari bencana atau lebih dikenal dengan Disaster Recovery Plan(DRP). Dalam scope kecil, bagian TI dapat menyiapkan rencana DRP untuk layanan TI saja. Misalnya, kesiapan server backup, ketersediaan telepon cadangan jika jalur komunikasi utama mati. Dalam skala yang lebih besar perusahaan dapat menyiapkan DRP secara menyeluruh. Mulai dari ketersediaan personel, ruang kerja pengganti, hingga prosedur manual yang akan dikerjakan jika sistem otomatis tidak dapat berjalan.

Berikut beberapa hal yang harus dilakukan dalam penyusunan DRP:

Persiapan Lakukan persiapan dengan mengidentifikasi dan menyimpan seluruh data dan file yang diperlukan jika terjadi bencana.

- Lakukan Backup Lakukan backup baik file komputer maupun dokumen kertas. Seluruh divisi harus mempunyai daftar file dan dokumen yang dibackup.

- Pindahkan Backup Simpan hasil backup (elektronik maupun dokumen kertas) ditempat terpisah. Jangan simpan backup ditempat yang sama. Jika memungkinkan, simpan backup di 2 tempat berbeda.

- Tunjuk Orang Orangnya Pada saat bencana yang ada hanyalah kepanikan. Diperlukan organisasi yang jelas dalam penanganannya, siapa yang memegang kendali perusahaan, siapa yang akan memobilisasi personel, siapa yang menyiapkan fasilitas pengganti dan sebagainya.

- Buat Daftar Kontak Buat daftar yang memuat daftar nama, bagian, no telepon rumah, no telepon seluler setiap pejabat manajemen. Masukkan juga contact person dari vendor setiap aplikasi yang digunakan.

- Perbarui DRP Perbarui setiap perubahan prosedural, personel, dokumen, kontak. Lakukan pembaruan secara rutin/berkala, misalnya 2 kali setahun. DRP yang tidak update akan menyusahkan kita jika benar benar terjadi bencana, karena tidak mengacu pada kondisi paling mutahir.

Masa Tanggap Bencana Pada saat terjadi bencana prioritas paling utama adalah keselamatan seluruh personel, berikutnya menyiapkan operasional perusahaan.

Jika bencana terjadi pada jam kerja, evakuasi seluruh personel keluar dari gedung. Setelah berada ditempat aman, kelompokkan personel (bisa berdasarkan divisi atau berdasarkan lantai) untuk dihitung dan dipastikan semua sudah selamat.

Jika bencana terjadi diluar jam kerja, divisi pengelola gedung (satuan pengaman yang menjaga fasilitas 24jam) menghubungi pejabat yang ditunjuk bertanggung jawab atas DRP. Selanjutnya pejabat ini yang akan mengendalikan aktifitas berikutnya.

Pengumuman Atas Status Darurat Setelah dipastikan seluruh personel dalam kondisi baik, dan personel yang menjadi korban di evakuasi, penanggung jawab DRP mengumumkan status darurat. Seluruh personel diharapkan segera untuk mejalankan proses pemulihan dengan mengacu pada pedoman DRP perusahaan.

Seluruh personel mulai mendaftar seluruh kerusakan yang dialami, apa saja yang hilang, apa saja yang rusak, apakah diperlukan restorasi dari backup. Daftar kerusakan diberikan kepada atasan masing masing untuk dilihat seberapa besar kerusakan yang timbul lalu dihitung berapa lama waktu diperlukan untuk pulih seperti ke kondisi normal.

Lokasi Sementara Personel mulai menyiapkan segala sesuatu untuk mulai bekerja di lokasi sementara. Lokasi sementara bisa memilih gedung lain atau divisi lain yang tidak terimbas bencana. Fasilitas kerja juga harus disiapkan agar personel dapat segera memulai pekerjaannya.

Personel mulai me-restore file, dokumen, data yang sudah sempat disimpan sebelum kejadian. Setelah proses restore selesai, personel melapor ke atasannya bahwa dia sudah siap untuk bekerja kembali. Laporan ini penting, agar penanggungjawab DRP dapat memprediksi kapan perusahaan secara keseluruhan dapat memulai bisnis kembali.

Bekerja Dalam Kondisi Darurat Sebelum memulai bekerja dalam kondisi darurat, seluruh personel yang terimbas bencana sudah harus siap dengan data yang sudah di restore, lokasi kerja sementara dan pemahaman yang jelas tentang apa yang akan dilakukan. Selanjutnya para personel dapat memulai bekerja kembali dengan memprioritaskan pekerjaan pada jadwal yang sudah mendekati tenggat.

Manejemen sudah harus mulai memikirkan kelangsungan bisnis. Apakah cukup bertahan di lokasi sementara untuk beberapa waktu. Atau harus segera pindah ke lokasi permanen yang baru.

Kelangsungan Bisnis Meskipun perusahaan sudah berjalan, tapi dalam kondisi darurat, tapi menejemen sudah harus memikirkan untuk melanjutkan bisnis dilokasi yang baru. Apakah lokasi yang baru akan menempati lokasi yang lama, atau harus berpindah ke lokasi lain.

referensi :

http://indrariawan.wordpress.com/2007/04/24/rencana-pemulihan-dari-bencana-disaster-recovery-plan-drp/

Possible Threats of Information Security System

Sistem Informasi yang canggih sekalipun tidak akan menjamin bahwa akan selalu terhindar dari kerusakan atau masalah baik kecil maupun besar. Selain dapat mengoperasikannya dengan luwes, sebagai pengguna yang baik kita juga harus mengetahui ancaman - ancaman apa saja yang dapat timbul dalam sistem informasi. Mari kita simak artikel berikut.

Ancaman terhadap sistem informasi dibagi menjadi 2 macam, yaitu ancaman aktif dan ancaman pasif.

Ancaman aktif mencakup :

1. Pencurian data

Jika informasi penting yang terdapat dalam database dapat diakses oleh orang yang tidak berwenang maka hasilnya dapat kehilangan informasi atau uang. Misalnya, mata-mata industri dapat memperoleh informasi persaingan yang berharga, penjahat komputer dapat mencuri uang bank.

2. Penggunaan sistem secara ilegal

Orang yang tidak berhak mengakses informasi pada suatu sistem yang bukan menjadi hak-nya, dapat mengakses sistem tersebut. Penjahat komputer jenis ini umumnya adalah hacker yaitu orang yang suka menembus sistem

keamanan dengan tujuan mendapatkan data atau informasi penting yang diperlukan, memperoleh akses ke sistem telepon, dan membuat sambungan telepon jarak jauh secara tidak sah.

3. Penghancuran data secara ilegal

Orang yang dapat merusak atau menghancurkan data atau informasi dan membuat berhentinya suatu sistem operasi komputer. Penjahat komputer ini tidak perlu berada ditempat kejadian. Ia dapat masuk melalui jaringan komputer dari suatu terminal dan menyebabkan kerusakan pada semua sistem dan hilangnya data atau informasi penting. Penjahat komputer jenis ini umumnya disebut sebagai cracker yaitu penjebol sistem komputer yang bertujuan melakukan pencurian data atau merusak sistem.

4.Modifikasi secara ilegal

Perubahan-perubahan pada data atau informasi dan perangkat lunak secara tidak disadari. Jenis modifikasi yang membuat pemilik sistem menjadi bingung karena adanya perubahan pada data dan perangkat lunak disebabkan oleh progam aplikasi yang merusak (malicious software). Program aplikasi yang dapat merusak tersebut terdiri dari program lengkap atau segemen kode yang melaksanakan fungsi yang tidak dikehendaki oleh pemilik sistem.

Fungsi ini dapat menghapus file atau menyebabkan sistem terhenti. Jenis aplikasi yang dapat merusak data atau perangkat lunak yang paling populer adalah virus.

Ancaman pasif mencakup :

1. Kegagalan sistem

Kegagalan sistem atau kegagalan software dan hardware dapat menyebabkan data tidak konsisten, transaksi tidak berjalan dengan lancar sehingga data menjadi tidak lengkap atau bahkan data menjadi rusak. Selain itu, tegangan listrik yang tidak stabil dapat membuat peralatan-peralatan menjadi rusak dan terbakar.

2. Kesalahan manusia

Kesalahan pengoperasian sistem yang dilakukan oleh manusia dapat mengancam integritas sistem dan data.

3.Bencana alam

Bencana alam seperti gempa bumi, banjir, kebakaran, hujan badai merupakan faktor yang tidak terduga yang dapat mengancam sistem informasi sehingga mengakibatkan sumber daya pendukung sistem informasi menjadi luluh lantah dalam waktu yang singkat.

referensi :

http://repository.upnyk.ac.id/143/1/47_Keamanan_Sistem_Informasi.pdf

http://4.bp.blogspot.com/-7A_VSNJABXE/T-Eb5FNtosI/AAAAAAAAAA4/E-Jj04H5-H8/s1600/computer-data-security.jpg

Mengenal Lebih Jauh Tentang Cloud Computing

Akhir-akhir ini, cloud computing adalah topik yang selalu menjadi bahan pembicaraan di dunia Teknologi Informasi (TI).Hampir setiap hari selalu ada berita seputar cloud computing, baik secara teknologi maupun dari aspek bisnis. Apa sebenarnya Cloud Computing itu? Apakah hanya sekadar “hype”, atau memang sesuatu yang nyata? Dan apa dampaknya bagi kita semua?

Definisi Cloud Computing

Ketika kita membicarakan Cloud Computing, sebenarnya apakah kita membicarakan hal yang sama?

Banyak pihak memberikan definisi cloud computing dengan perbedaan di sana-sini.

Wikipedia mendefinisikan cloud computing sebagai “komputasi berbasis Internet, ketika banyak server digunakan bersama untuk menyediakan sumber daya, perangkat lunak dan data pada komputer atau perangkat lain pada saat dibutuhkan, sama seperti jaringan listrik”.

Gartner mendefinisikannya sebagai “sebuah cara komputasi ketika layanan berbasis TI yang mudah dikembangkan dan lentur disediakan sebagai sebuah layanan untuk pelanggan menggunakan teknologi Internet.”

Forester mendefinisikannya sebagai “standar kemampuan TI, seperti perangkat lunak, platform aplikasi, atau infrastruktur, yang disediakan menggunakan teknologi Internet dengan cara swalayan dan bayar-per-pemakaian.”

Secara sederhana, Cloud Computing dapat kita bayangkan seperti sebuah jaringan listrik. Apabila kita membutuhkan listrik, apakah kita harus punya pembangkit listrik sendiri? Tentu tidak. Kita tinggal menghubungi penyedia layanan (dalam hal ini, PLN), menyambungkan rumah kita dengan jaringan listrik, dan kita tinggal menikmati layanan tersebut. Pembayaran kita lakukan bulanan sesuai pemakaian.

Kalau listrik bisa seperti itu, mengapa layanan komputasi tidak bisa? Misalnya, apabila sebuah perusahaan membutuhkan aplikasi CRM (Customer Relationship Management). Kenapa perusahaan tersebut harus membeli aplikasi CRM, membeli hardware server, dan kemudian harus memiliki tim TI khusus untuk menjaga server dan aplikasi tersebut?

Di sinilah cloud computing berperan. Penyedia jasa cloud computing seperti Microsoft, telah menyediakan aplikasi CRM yang dapat digunakan langsung oleh perusahaan tadi. Mereka tinggal menghubungi penyedia layanan (dalam hal ini, Microsoft), “menyambungkan” perusahaannya dengan layanan tersebut (dalam hal ini, melalui Internet), dan tinggal menggunakannya. Pembayaran? Cukup dibayar per bulan (atau per tahun, tergantung kontrak) sesuai pemakaian. Tidak ada lagi investasi di awal yang harus dilakukan.

Karakteristik Cloud Computing

Dengan semakin maraknya pembicaraan seputar cloud computing, semakin banyak perusahaan yang mengumumkan bahwa mereka menyediakan layanan cloud computing.

Akan sangat membingungkan bagi kita para pengguna untuk memastikan bahwa layanan yang akan kita dapatkan adalah cloud computing atau bukan.

Untuk mudahnya, dari semua definisi yang ada, dapat diintisarikan bahwa cloud computing ideal adalah layanan yang memiliki 5 karakteristik berikut ini.

1. On-Demand Self-Services

Sebuah layanan cloud computing harus dapat dimanfaatkan oleh pengguna melalui mekanisme swalayan dan langsung tersedia pada saat dibutuhkan. Campur tangan penyedia layanan adalah sangat minim. Jadi, apabila kita saat ini membutuhkan layanan aplikasi CRM (sesuai contoh di awal), maka kita harus dapat mendaftar secara swalayan dan layanan tersebut langsung tersedia saat itu juga.

2. Broad Network Access

Sebuah layanan cloud computing harus dapat diakses dari mana saja, kapan saja, dengan alat apa pun, asalkan kita terhubung ke jaringan layanan. Dalam contoh layanan aplikasi CRM di atas, selama kita terhubung ke jaringan Internet, saya harus dapat mengakses layanan tersebut, baik itu melalui laptop, desktop, warnet, handphone, tablet, dan perangkat lain.

3. Resource Pooling

Sebuah layanan cloud computing harus tersedia secara terpusat dan dapat membagi sumber daya secara efisien. Karena cloud computing digunakan bersama-sama oleh berbagai pelanggan, penyedia layanan harus dapat membagi beban secara efisien, sehingga sistem dapat dimanfaatkan secara maksimal.

4. Rapid Elasticity

Sebuah layanan cloud computing harus dapat menaikkan (atau menurunkan) kapasitas sesuai kebutuhan. Misalnya, apabila pegawai di kantor bertambah, maka kita harus dapat menambah user untuk aplikasi CRM tersebut dengan mudah. Begitu juga jika pegawai berkurang. Atau, apabila kita menempatkan sebuah website berita dalam jaringan cloud computing, maka apabila terjadi peningkatkan traffic karena ada berita penting, maka kapasitas harus dapat dinaikkan dengan cepat.

5. Measured Service

Sebuah layanan cloud computing harus disediakan secara terukur, karena nantinya akan digunakan dalam proses pembayaran. Harap diingat bahwa layanan cloud computing dibayar sesuai penggunaan, sehingga harus terukur dengan baik.

Kelebihan Cloud Computing

Menghemat biaya investasi awal untuk pembelian sumber daya.

Bisa menghemat waktu sehingga perusahaan bisa langsung fokus ke profit dan berkembang dengan cepat.

Membuat operasional dan manajemen lebih mudah karena sistem pribadi/perusahaan yang tersambung dalam satu cloud dapat dimonitor dan diatur dengan mudah.

Menjadikan kolaborasi yang terpercaya dan lebih ramping.

Mengehemat biaya operasional pada saat realibilitas ingin ditingkatkan dan kritikal sistem informasi yang dibangun.

Kekurangan Cloud Computing

Komputer akan menjadi lambat atau tidak bisa dipakai sama sekali jika internet bermasalah atau kelebihan beban. Dan juga perusahaan yang menyewa layanan dari cloud computing tidak punya akses langsung ke sumber daya. Jadi, semua tergantung dari kondisi vendor/penyedia layanan cloud computing. Jika server vendor rusak atau punya layanan backup yang buruk, maka perusahaan akan mengalami kerugian besar.

referensi :

http://usi.feb.unair.ac.id/component/content/article/38-artikel-teknologi/209-cloud-computing-memahami-dan-penerapannya

http://ilhamsk.com/apa-itu-cloud-computing/#

#cloud computing #computer #college assignment #IS Security #infomation technology

Apple vs. Samsung : Paten Apa Saja yang Dilanggar Samsung?

Perang paten antara Samsung dan Apple memang telah dimenangkan Apple dengan konsekuensi Samsung harus membayar ganti rugi pada Apple senilai USD $1,05 miliar. Nah yang membuat penasaran, apa saja sih paten yang dilanggar?

Apple menuduh Samsung melanggar sekitar 7 paten yang digunakan pada pinch and zoom dan efek bounceback yang terdapat pada iDevices milik Apple.

Pinch and zoom adalah kemampuan untuk melakukan zoom gambar dengan cara mencubitnya, sedangkan bounceback adalah sebuah efek pada iDevices ketika pengguna melakukan scrolling.

Secara umum terdapat 2 jenis yang diperdebatkan oleh Apple dan Samsung, yang pertama adalah paten utilitas yang mengontrol fitur yang dimiliki smartphone maupun tablet dan paten desain fisik yang mencakup tampilan luar perangkat.

Samsung akhirnya dinyatakan bersalah karena terbukti melanggar 6 dari 7 paten yang di ajukan Apple. Satu dari tujuh paten yang diajukan Apple dinyatakan tidak dilanggar oleh Samsung.

Paten tersebut adalah paten mengenai desain fisik dari iPad yang diklaim Apple ditiru oleh Samsung. Sayangnya pengacara Apple tak mampu meyakinkan juri bahwa Samsung telah melanggar paten desain fisik iPad.

Juri memutuskan bahwa Samsung bersalah karena sengaja melakukan pelanggaran paten nomor 381, 915 dan 667. Paten 381 meliputi kemampuan layar touchscreen untuk melakukan pinch and zoom, drag n drop dokumen dan rotatedokumen.

Paten nomor 915 meliputi bagaimana pengguna dapat menelusuri dokumen menggunakan 1 jari. Paten 163 meliputi fungsi tap-to-zoom yang terdapat pada Google Maps dan aplikasi peta lainnya.

Sedangkan paten 667, 305 dan 087 adalah paten yang berkaitan dengan desain iPhone. Kemudian paten terakhir meliputi desain icon dan susunan grid icon pada layar iPhone.

Apple sendiri sebenarnya mengajukan klaim ganti rugi sebesar USD $2,5 miliar namun pengadilan hanya memutuskan ganti rugi yang harus dibayar Samsung hanya USD $1,05 miliar.

Seperti yang dilansir dari HuffingtonPost (25/08/2012), Samsung sendiri tidak puas dengan hasil putusan pengadilan yang dimenangkan Apple.

referensi :

http://sidomi.com/123365/apple-vs-samsung-paten-apa-saja-yang-dilanggar-samsung/

Computer Fraud

Definisi computer fraud

Secara singkat, Computer Fraud adalah kegiatan sengaja yang merusak atau mengganggu sistem informasi yang melanggar hukum dengan menggunakan teknologi komputer sebagai sarananya.

Jenis-jenis Computer Fraud

Pengkategorian Computer fraud melalui penggunaan model pemrosesan data (data processing model), dapat dirinci sbb :

* Cara yang paling sederhana dan umum untuk melaksanakan fraud adalah mengubah computer input.

* Computer fraud dapat dilakukan melalui penggunaan sistem (dalam hal ini Processor) oleh yang tidak berhak, termasuk pencurian waktu dan jasa komputer serta penggunaan komputer untuk keperluan diluar job deskripsi pegawai.

* Computer fraud dapat dicapai dengan mengganggu perangkat lunak (software) yang mengolah data perusahaan atau Computer istruction . Cara ini meliputi mengubah software, membuat copy ilegal atau menggunakannya tanpa otorisasi (unauothorized).

* Computer fraud dapat dilakukan dengan mengubah atau merusak data files organisasi / perusahaan atau membuat copy, menggunakan atau melakukan pencarian terhadap data tanpa otorisasi.

* Computer fraud dapat dilaksanakan dengan mencuri atau menggunakan secara tidak benar system output.

Jumlah kejahatan komputer (computer crime), terutama yang berhubungan dengan sistem informasi, akan terus meningkat dikarenakan beberapa hal, antara lain:

* Aplikasi bisnis yang menggunakan (berbasis) teknologi informasi dan jaringan komputer semakin meningkat. Sebagai contoh saat ini mulai bermunculan aplikasi bisnis seperti on-line banking, electronic commerce (e-commerce), Electronic Data Interchange (EDI), dan masih banyak lainnya.

* Desentralisasi server sehingga lebih banyak sistem yang harus ditangani dan membutuhkan lebih banyak operator dan administrator yang handal. Padahal mencari operator dan administrator yang handal adalah sangat sulit.

* Transisi dari single vendor ke multi-vendor sehingga lebih banyak yang harus dimengerti dan masalah interoperability antar vendor yang lebih sulit ditangani.

* Meningkatnya kemampuan pemakai di bidang komputer sehingga mulai banyak pemakai yang mencoba-coba bermain atau membongkar sistem yang digunakannya.

* Kesulitan dari penegak hukum untuk mengejar kemajuan dunia komputer dan telekomunikasi yang sangat cepat.

Bagaimana perusahaan mencegah Computer Fraud?

Berikut beberapa cara perlindungan yang dapat dilakukan oleh organisasi / perusahaan untuk melindungi / mencegah timbulnya computer fraud, yaitu:

* Personnel screening.

* Definisi pekerjaan (job defined).

* Pemisahan tugas (segregration of duties).

* Etika profesional (professional ethics)

* Lisensi (license)

* System design control

* Physical access security

* Electronic access security.

* Internal control and edit.

Apa yang harus dilakukan Internal Auditor dalam mendeteksi Computer Fraud?

Pada awalnya perhatian utama internal auditor adalah langsung mendeteksi terjadinya computer fraud. Namun fungsi internal auditor ternyata lebih bersifat protektif dan detektif daripada konstruktif. Berdasarkan Statement on Internal Auditing Standards (SIAS). Ada 4 (empat) fungsi dan tanggung jawab dari internal auditor dalam menghadapi fraud, yaitu :

Pencegahan computer fraud

Tanggung jawab utama pencegahan computer fraud berada pada pihak manajemen. Tanggung jawab internal auditor terletak pada audit dan evaluasi kelengkapan dan keefektifan tindakan yang dijalankan managemen untuk memenuhi kewajibannya

Pendeteksian computer fraud

Internal auditor harus memiliki pengetahuan yang cukup tentang computer fraud untuk dapat melakukan identifikasi indikasi computer fraud. Apabila pengendalian (control) terhadap kelemahan yang signifikan telah dideteksi, sebagai pengujian lanjutan (substantive test) internal auditor harus menambahkan pengujian langsung (direct test) terhadap identifikasi dan indikator computer fraud. Meskipun prosedur audit serta kemahiran jabatan professional (due professional care) dari internal auditor telah dilakukan dengan baik belum tentu dapat menjamin sepenuhnya computer fraud dapat dideteksi.

Penginvestigasian computer fraud

Investigasi terhadap computer fraud mungkin telah diarahkan atau telah ada partisipasi dari internal auditor, lawyer, investigators, security personnel, dan spesialis lainnya dari dalam maupun luar perusahaan. Internal auditor harus dapat mengakses fakta dari seluruh computer fraud investigation , sebagai berikut :

* Menjelaskan kebutuhan pengendalian (control) yang harus diimplementasikan.

* Merancang pengujian audit (design audit test) untuk membantu pengungkapan adanya computer fraud di masa yang akan datang.

* Membantu dokumentasi tanggung jawab internal auditor dalam pengembangan pengetahuan (knowledge) tentang computer fraud, sehingga dapat digunakan sebagai pedoman / acuan oleh para auditor berikutnya.

Pelaporan computer fraud

Pelaporan (report) tentang computer fraud harus dibuat berdasarkan kesimpulan dari setiap tahapan / fase investigasi. Selain itu, harus melaporkan seluruh temuan (finding), kesimpulan, rekomendasi, dan tindak lanjut (feed back) perbaikan yang telah diambil. Apabila internal auditor menemukan indikasidan mencurigai terjadinya computer fraud di perusahaan, maka ia harus segera memberitahukan hal tersebut kepada top manajemen. Apabila indikasi tersebut cukup kuat, manajemen akan menugaskan suatu tim audit untuk melakukan investigasi. Tim yang ditugaskan tersebut biasanya yang memiliki keahlian dibidang Sistem Informasi (computer skill). Sertifikat internasional bagi auditor yang lulus ujian sertifikasi spesialisasi bidang audit sistem informasi adalah Certified Information System Audit (CISA). Peran internal auditor untuk menemukan indikasi adanya computer fraud dan melakukan investigasi terhadap computer fraud adalah sangat besar. Walaupun internal auditor tidak dapat menjamin bahwa computer fraud tidak akan terjadi, namun ia harus menggunakan kemahiran jabatannya (due professional care) dan dapat memberikan saran / rekomendasi yang bermanfaat kepada manajemen untuk mencegah terjadinya computer fraud. Rekomendasi internal audit tersebut akan membantu manajemen dalam mengambil tindakan perbaikan sehingga kemungkinan terjadinya computer fraud dapat diperkecil.

The first and worst of all frauds is to cheat one's self. ― Philip James Bailey

referensi :

http://alexandermarpaung.blogspot.com/2009/10/tindak-kecurangan-dalam-it.html

http://www.mafiakartukredit.com/2012/04/early-detection-fraud-system.html

#IS Security #Computer Fraud #organizational problem #auditing #college assignment

Cyber Crime and its attacks

Apa itu Cyber Crime?

Cyber Crime atau kejahatan dunia maya adalah istilah yang mengacu kepada aktivitas kejahatan dengan komputer atau jaringan komputer menjadi alat, sasaran atau tempat terjadinya kejahatan. Termasuk ke dalam kejahatan dunia maya antara lain adalah penipuan lelang secara online, pemalsuan cek, penipuan kartu kredit/carding, confidence fraud, penipuan identitas, pornografi anak, dll.

Walaupun kejahatan dunia maya atau cybercrime umumnya mengacu kepada aktivitas kejahatan dengan komputer atau jaringan komputer sebagai unsur utamanya, istilah ini juga digunakan untuk kegiatan kejahatan tradisional di mana komputer atau jaringan komputer digunakan untuk mempermudah atau memungkinkan kejahatan itu terjadi.

Seperti apa Cyber Crime?

berikut adalah bentuk cyber crime yang sering terjadi :

1. Penyebaran virus secara sengaja

Penyebaran virus pada umumnya dilakukan dengan menggunakan email. Sering kali orang yang sistem emailnya terkena virus tidak menyadari hal ini. Virus ini kemudian dikirimkan ke tempat lain melalui emailnya.

Pasal terkait :

Bab VII Pasal 33

“Setiap Orang dengan sengaja dan tanpa hak atau melawan hukum melakukan tindakan apa pun yang berakibat terganggunya Sistem Elektronik dan/atau mengakibatkan Sistem Elektronik menjadi tidak bekerja sebagaimana mestinya.”

Dari pasal tersebut jelas dalam penyebaran virus yang sifatnya merugikan sangat di larang dalam UU Negara kita. kecuali jika penyebaran virus tersebut untuk kepentingan yang memang sifatnya positif.

Contoh kasus dimana penyebaran virus yang sifatnya merugikan ialah dimana suatu perusahaan yang salah satu pegawainya melakukan sabotase atau memasukan virus sehingga system perusahaan menjadi terganggu dan perusahaan mengalami kerugian maka orang tersebut bisa masuk kedalam pelanggaran pasal 33 UU ITE.

2. Illegal Contents

Merupakan kejahatn yang dilakukan dengan memasukkan data atau informasi ke internet tentang suatu hal yang tidak benar, tidak etis, dan dapat dianggap melanggar hukum atau menggangu ketertiban umum, contohnya adalah penyebaran pornografi.

Pasal terkait :

Bab VII Pasal 27 ayat 1

“Setiap Orang dengan sengaja dan tanpa hak mendistribusikan dan/atau mentransmisikan dan/atau membuat dapat diaksesnya Informasi Elektronik dan/atau Dokumen Elektronik yang memiliki muatan yang melanggar kesusilaan.”

Dari Pasal diatas menjelaskan bahwa tidak boleh mendistribusikan hal-hal yang melanggar asusila, etika atau yang di anggap tabu.

Salah satu contoh ialah dalam memasukan gambar atau video porno kedalam teknologi. Terlebih sekarang tidak sedikit orang yang menggunakan internet. dimana internet tersebut mempunyai banyak situs-situs porno yang dapat diakses oleh siapa saja.

3. Cyberstalking

Kejahatan jenis ini dilakukan untuk mengganggu atau melecehkan seseorang dengan memanfaatkan komputer, misalnya menggunakan e-mail dan dilakukan berulang-ulang. Kejahatan tersebut menyerupai teror yang ditujukan kepada seseorang dengan memanfaatkan media internet. Hal itu bisa terjadi karena kemudahan dalam membuat email dengan alamat tertentu tanpa harus menyertakan identitas diri yang sebenarnya.

Pasal terkait :

Bab VII Pasal 27 ayat 3

Isi kalimat diatas jelas bahwa dalam menggunakan atau mengakses suatu informasi yang bersifat elektronik atau yang sering kita gunakan yaitu e-mail, tidak dperkenankan untuk menggunakan kata-kata yang tidak baik, yang mengandung hinaan atau pencemaran nama baik.

Sebagai contoh, kasus yang belum lama kita dengar yaitu kasus ibu Prita. dimana beliau bercerita tentang buruknya system pelayanan pada sebuah Rumah Sakit di Jakarta kepada teman-temannya melalui e-mail. Sehingga pihak Rumah Sakit melaporkannya sebagai pencemaran nama baik.

Apakah hanya itu Cyber Crime?

Cyber crime masih memiliki bentuk lain yang tidak kalah merugikan. Kejahatan apa lagi? mari kita simak artikel berikut,

Pencurian dan penggunaan account Internet milik orang lain.

Salah satu kesulitan dari sebuah ISP (Internet Service Provider) adalah adanya account pelanggan mereka yang “dicuri” dan digunakan secara tidak sah. Berbeda dengan pencurian yang dilakukan secara fisik, “pencurian” account cukup menangkap “userid” dan “password” saja. Hanya informasi yang dicuri. Sementara itu orang yang kecurian tidak merasakan hilangnya “benda” yang dicuri. Pencurian baru terasa efeknya jika informasi ini digunakan oleh yang tidak berhak. Akibat dari pencurian ini, penggunan dibebani biaya penggunaan acocunt tersebut. Kasus ini banyak terjadi di ISP. Namun yang pernah diangkat adalah penggunaan account curian oleh dua Warnet di Bandung.

Denial of Service (DoS) dan Distributed DoS (DDos) attack

DoS attack merupakan serangan yang bertujuan untuk melumpuhkan target (hang, crash) sehingga dia tidak dapat memberikan layanan. Serangan ini tidak melakukan pencurian, penyadapan, ataupun pemalsuan data. Akan tetapi dengan hilangnya layanan maka target tidak dapat memberikan servis sehingga ada kerugian finansial. Bagaimana status dari DoS attack ini? Bayangkan bila seseorang dapat membuat ATM bank menjadi tidak berfungsi. Akibatnya nasabah bank tidak dapat melakukan transaksi dan bank (serta nasabah) dapat mengalami kerugian finansial. DoS attack dapat ditujukan kepada server (komputer) dan juga dapat ditargetkan kepada jaringan (menghabiskan bandwidth). Tools untuk melakukan hal ini banyak tersebar di Internet. DDoS attack meningkatkan serangan ini dengan melakukannya dari berberapa (puluhan, ratusan, dan bahkan ribuan) komputer secara serentak. Efek yang dihasilkan lebih dahsyat dari DoS attack saja.

Probing dan port scanning

Salah satu langkah yang dilakukan cracker sebelum masuk ke server yang ditargetkan adalah melakukan pengintaian. Cara yang dilakukan adalah dengan melakukan “port scanning” atau “probing” untuk melihat servis-servis apa saja yang tersedia di server target. Sebagai contoh, hasil scanning dapat menunjukkan bahwa server target menjalankan program web server Apache, mail server Sendmail, dan seterusnya. Analogi hal ini dengan dunia nyata adalah dengan melihat-lihat apakah pintu rumah anda terkunci, merek kunci yang digunakan, jendela mana yang terbuka, apakah pagar terkunci (menggunakan firewall atau tidak) dan seterusnya. Yang bersangkutan memang belum melakukan kegiatan pencurian atau penyerangan, akan tetapi kegiatan yang dilakukan sudah mencurigakan. Apakah hal ini dapat ditolerir (dikatakan sebagai tidak bersahabat atau unfriendly saja) ataukah sudah dalam batas yang tidak dapat dibenarkan sehingga dapat dianggap sebagai kejahatan?

Apakah ada solusi lain untuk memerangi Cyber Crime selain menggunakan UU?

IDCERT ( Indonesia Computer Emergency Response Team)

Salah satu cara untuk mempermudah penanganan masalah keamanan adalah dengan membuat sebuah unit untuk melaporkan kasus keamanan. Masalah keamanan ini di luar negeri mulai dikenali dengan munculnya “sendmail worm” (sekitar tahun 1988) yang menghentikan sistem email Internet kala itu. Kemudian dibentuk sebuah Computer Emergency Response Team (CERT). Semenjak itu di negara lain mulai juga dibentuk CERT untuk menjadi point of contact bagi orang untuk melaporkan masalah kemanan. IDCERT merupakan CERT Indonesia.

Sertifikasi perangkat security

Perangkat yang digunakan untuk menanggulangi keamanan semestinya memiliki peringkat kualitas. Perangkat yang digunakan untuk keperluan pribadi tentunya berbeda dengan perangkat yang digunakan untuk keperluan militer. Namun sampai saat ini belum ada institusi yang menangani masalah evaluasi perangkat keamanan di Indonesia.

Bagaimana dengan di luar negeri?

• Amerika Serikat memiliki Computer Crime and Intellectual Property Section (CCIPS) of the Criminal Division of the U.S. Departement of Justice. Institusi ini memiliki situs web <http://www.cybercrime.gov> yang memberikan informasi tentang cybercrime. Namun banyak informasi yang masih terfokus kepada computer crime.

• National Infrastructure Protection Center (NIPC) merupakan sebuah institusi pemerintah Amerika Serikat yang menangani masalah yang berhubungan dengan infrastruktur. Institusi ini mengidentifikasi bagian infrastruktur yang penting (critical) bagi negara (khususnya bagi Amerika Serikat).

Situs web: <http://www.nipc.gov>. Internet atau jaringan komputer sudah dianggap sebagai infrastruktur yang perlu mendapat perhatian khusus. Institusi ini memberikan advisory

• The National Information Infrastructure Protection Act of 1996

• CERT yang memberikan advisory tentang adanya lubang keamanan (Security holes).

• Korea memiliki Korea Information Security Agency yang bertugas untuk melakukan evaluasi perangkat keamanan komputer & Internet, khususnya yang akan digunakan oleh pemerintah.

“I need not pause to explain that crime is not a disease. It is criminology that is a disease.” ― G.K. Chesterton

referensi :

http://id.wikipedia.org/wiki/Kejahatan_dunia_maya

http://zikriimam.wordpress.com/2012/04/11/3-jenis-cyber-crime-berserta-contoh-dan-uu-terkait/

http://keamananinternet.tripod.com/pengertian-definisi-cybercrime.html

#IS Security #cyber crime #system #college assignment

Trending Blogs

Recently Viewed Blogs

Security for IS