BAB 17 - Menggunakan Alat dan Teknik dalam IT Ulasan Operasi

Pada buku "Information Technology Control and Audit", di bab 17 meneliti banyak alat pendukung yang tersedia untuk TI auditor, yang membantunya dalam mengaudit operasi TI. Seperti bab ini sarankan, kit alat auditor adalah komponen penting dalam mengendalikan proses audit melalui lingkungan yang kompleks hari ini. Bab ini akan menyediakan contoh penggunaan Alat dan Teknik Audit Berbantuan Komputer (CAATT) dan pelajaran yang dipetik karena berkaitan dengan audit operasidan masalah efisiensi dan efektivitas.

Bab ini berfokus pada penggunaan alat dan teknik audit selama sistem ulasan pemeliharaan dan sistem operasi. Karena pemeliharaan sistem adalah salah satu fungsi yang paling tidak menguntungkan di departemen TI, juga salah satu yang paling diabaikan dan seringkali merupakan area di mana mengendalikan kelemahan dapat ditemukan.

Pemeliharaan Sistem

Pemeliharaan sistem, salah satu pekerjaan paling tanpa disadari dan tanpa pamrih dilakukan dalam fasilitas IT, membawa salah satu risiko eksposur tertinggi. Pemeliharaan jarang diakui ketika dilakukan dengan benar tetapi selalu perhatikan ketika terjadi kesalahan. Untuk sistem yang baru diinstal, pekerjaan grup pemeliharaan adalah untuk melacak dan menghilangkan bug yang tersisa di sistem. Setelah sistem operasional, grup pemeliharaan bertanggung jawab untuk membuat perubahan yang diminta oleh pengguna sampai seluruh sistem diganti dan siklus pengembangan dimulai dari awal lagi. Semua sistem membutuhkan perawatan, tetapi waktu dan biaya terkait dengan pemeliharaan dapat dikurangi jika sistem dikembangkan dan diimplementasikan dalam lingkungan yang terkendali menurut pengguna tertentu Persyaratan. Kami fokus pada pemeliharaan pasca implementasi untuk diinstal, sistem operasional.

Definisi Pemeliharaan Sistem

Pemeliharaan sistem dapat didefinisikan hanya sebagai perubahan yang dilakukan pada sistem atau aplikasi perangkat lunak untuk mempertahankan yang efektif, efisien, operasional, dan sistem terkini. Perubahan-perubahan ini, yang umumnya diminta oleh pengguna sistem atau disediakan oleh vendor atau pemrogram, adalah dibuat untuk memenuhi persyaratan pengguna atau memperbaiki kesalahan sistem kecil sebelumnya mereka menjadi masalah besar. Pemeliharaan dapat diterapkan ke beberapa area dalam fasilitas IT, termasuk:

•         Sistem perangkat keras

•         Perangkat lunak sistem

•         Perangkat lunak basis data

•         Perangkat lunak aplikasi

•         Area lingkungan

•         Perangkat lunak jaringan

•         Perangkat keras jaringan

Bagian bab ini membahas pemeliharaan untuk sistem, aplikasi, dan perangkat lunak jaringan. (Karena sistem dan perangkat lunak jaringan pemeliharaan umumnya dilakukan oleh kelompok pemrograman sistem, tidak ada perbedaan yang dibuat antara kedua jenis perangkat lunak dalam artikel ini, keduanya diklasifikasikan sebagai perangkat lunak sistem.) Perbedaan utama antara pemeliharaan sistem dan aplikasi perangkat lunak adalah perubahan pada sistem perangkat lunak dapat memengaruhi seluruh kemampuan pemrosesan data organisasi, sedangkan perubahan pada sistem aplikasi atau program dalam fasilitas miliki efek lebih terbatas. Akibatnya, perubahan perangkat lunak sistem menghadirkan tingkat risiko yang lebih tinggi daripada perubahan aplikasi perangkat lunak. Perangkat lunak sistem sangat rentan karena mendukung dan berinteraksi dengan sistem basis data. Salah mengubah atau menghubungkan tautan yang salah ke sistem basis data atau perangkat lunak sistem pendukungnya dapat merusak informasi di seluruh organisasi. Karena itu pemeliharaan perubahan yang mempengaruhi sistem tersebut harus ditinjau dengan cermat. Fokus utama audit pemeliharaan sistem adalah perubahan kontrol proses, atau bagaimana personel TI mengelola perubahan. Kontrol yang memadai harus siap untuk meminimalkan, mendeteksi, dan memperbaiki kesalahan dan kelalaian yang tidak disengaja dan perubahan berbahaya atau penipuan pada sistem perangkat lunak. Pengikut bagian menggambarkan perubahan manajemen dalam organisasi TI dan merinci langkah-langkah yang diperlukan untuk mengaudit pemeliharaan sistem.

Mengontrol Akses ke Perangkat Lunak Sistem

Untuk menjaga pemisahan tugas, manajemen harus menjaga tanggung jawab untuk mengendalikan dan memelihara perangkat lunak sistem terpisah dari tanggung jawab untuk aplikasi; yaitu, perbedaan harus dibuat antara sistem dan pemrogram aplikasi. Tugas pemrogram sistem adalah memastikan bahwa perangkat lunak sistem terus berfungsi secara akurat dan andal. Pemrogram sistem biasanya memiliki akses ke semua perangkat lunak sistem. Konsentrasi fungsi ini, bagaimanapun, menyebabkan masalah kontrol karena pemrogram sistem dapat mengontrol seluruh operasi komputer organisasi. Akibatnya, kegiatan pemrogram sistem harus dikontrol untuk mengurangi kemampuan pemrogram untuk melakukan tindakan tidak sah atau merusak yang dapat merusak akurasi dan keandalan sistem. Kontrol utama adalah pengawasan yang kuat.

Prosedur pengawasan yang memadai harus ditetapkan, meskipun pengawas mungkin tidak memiliki kemampuan teknis yang diperlukan untuk memastikan pengawasan terperinci. Selain itu, penyelidikan latar belakang keamanan harus dilakukan secara berkala. Dalam lingkungan basis data, administrator basis data biasanya memiliki akses dan kontrol penuh atas DBMS. Administrator ini biasanya bertanggung jawab untuk menjaga integritas basis data, mempertahankan definisi data, dan mencegah penggunaan atau perubahan yang tidak sah ke dalam basis data. Administrator basis data, seperti pemrogram sistem, harus diawasi dengan cermat dan pemeriksaan ulang dengan pengguna basis data harus dilakukan. Misalnya, administrator basis data dapat melakukan perubahan DBMS yang diterapkan oleh pemrogram sistem. Administrator database, bagaimanapun, harus menjadi satu-satunya orang dengan akses lengkap ke seluruh database dan satu-satunya yang mengubah level akses untuk pengguna database lainnya. Mengontrol Perubahan pada Perangkat Lunak Sistem Prosedur pengendalian atas perubahan pada perangkat lunak sistem harus ditetapkan dan diikuti. Kontrol semacam itu membantu menjaga integritas perangkat lunak dan mencegah perubahan perangkat lunak yang tidak sah atau tidak akurat. Meskipun sebagian besar perubahan dimulai sebagai perubahan pemeliharaan yang dijelaskan oleh vendor perangkat lunak, organisasi harus mengontrol perubahan perangkat lunak sistem dengan:

•         Menetapkan prosedur dan formulir perubahan formal yang memerlukan otorisasi pengawasan sebelum implementasi

•         Memastikan bahwa semua perubahan diuji secara menyeluruh

•         Menghapus file-file penting dan program aplikasi dari area komputer ketika programmer sistem membuat perubahan

Implementasi dan Masalah Kontrol SAP

Sistem perencanaan sumber daya perusahaan (ERPS) seperti sistem terintegrasi seluruh usaha SAP R / 3 dapat menjadi jawaban untuk kebutuhan banyak organisasi. Setelah mengenali ancaman, secara akurat menilai percabangannya, dan mengembangkan cara untuk mengurangi risiko yang terkait dengan R / 3, auditor akan siap untuk memulai implementasi. Implementasi R / 3 harus dilakukan dengan karakteristik uniknya. Bagian ini akan membahas pedoman implementasi umum dan pedoman khusus yang unik untuk lingkungan R / 3. Memahami Budaya Perusahaan Faktor pertama adalah memahami budaya perusahaan di perusahaan Anda terkait dengan kesiapan dan kemampuan perusahaan untuk berubah. Ada perbedaan antara melihat perlunya perubahan dan benar-benar membuat perubahan. ERP seperti SAP adalah implementasi seluruh perusahaan yang akan mempengaruhi banyak jika tidak semua departemen. Dengan demikian, memahami setiap departemen dan masalah-masalahnya adalah penting. Banyak organisasi yang terdesentralisasi mungkin menemukan bahwa divisi mereka mungkin tidak menerima perubahan yang mempengaruhi wilayah mereka. Jadi, resistensi terhadap perubahan adalah hal biasa. Tim pelaksana perlu “mencairkan organisasi” atau mempersiapkan organisasi untuk perubahan. Dengan mendidik pengguna tentang sistem R / 3 dan melibatkan departemen pengguna dalam proses pengambilan keputusan, tim proyek dapat mengembangkan penerimaan yang lebih kuat terhadap perubahan sistem.

Mengontrol Perubahan pada Perangkat Lunak Sistem

Prosedur kontrol atas perubahan pada perangkat lunak sistem harus ditetapkan dan diikuti. Kontrol semacam itu membantu menjaga integritas perangkat lunak dan mencegah perubahan perangkat lunak yang tidak sah atau tidak akurat. Meskipun sebagian besar perubahan dimulai sebagai perubahan pemeliharaan yang dijelaskan oleh vendor perangkat lunak, organisasi harus mengontrol perubahan perangkat lunak sistem dengan:

·           Menetapkan prosedur dan formulir perubahan formal yang memerlukan otorisasi pengawasan sebelum implementasi

·           Memastikan bahwa semua perubahan diuji secara menyeluruh

·           Menghapus file penting dan program aplikasi dari computer area sementara programmer sistem membuat perubahan

Implementasi dan Masalah Kontrol SAP

            Sistem perencanaan sumber daya perusahaan (ERPS) seperti sistem terpadu perusahaan yang dijalankan oleh SAP R / 3 dapat menjadi jawaban untuk kebutuhan banyak organisasi. Setelah mengenali ancaman, secara akurat menilai percabangannya, dan mengembangkan cara untuk mengurangi risiko yang terkait dengan R / 3, auditor akan siap untuk memulai implementasi. Implementasi R / 3 harus dilakukan dengan karakteristik uniknya. Bagian ini akan membahas pedoman implementasi umum dan pedoman khusus yang unik untuk lingkungan R / 3.

Confidentiality, Integrity, and Security Management

            Kontrol lingkungan dalam SAP dapat dikompromikan jika akses atau perubahan pada program SAP dan data dari aplikasi dan utilitas lain tidak dibatasi dengan baik. Dengan demikian, masalah-masalah berikut harus ditinjau untuk memastikan bahwa sistem keamanan tidak dinegasikan:

1. Kemampuan untuk mengubah sistem dan profil pengaktifan seharusnya dibatasi dengan tepat.
2. Catatan master pengguna SAP tidak boleh dihapus dan pengguna harus tidak dapat menghapus catatan ini.
3. Perubahan DYNPRO harus dilarang di lingkungan produksi dan harus dibatasi untuk pengguna yang sesuai dan berwenang.
4. Pemeriksaan otorisasi tambahan untuk kemungkinan transaksi berbahaya harus didefinisikan dalam TSTC dan tidak boleh diubah atau dihapus.
5. Tinjau pengguna yang diberi akses sebagaimana seharusnya administrator batch dilakukan secara berkala karena pengguna ini dapat melakukan operasi pada semua pekerjaan latar belakang dalam sistem R / 3.
6. File sesi input batch yang telah dibuat oleh antarmuka program atau program SAP internal tidak boleh dimodifikasi sebelumnya ke tahap rilis.
7. Perubahan pada Kamus ABAP / 4 harus diuji secara memadai dan resmi.
8. Entri tabel standar harus dihapus ketika tidak dimaksudkan digunakan untuk instalasi tertentu.
9. ABAP harus ditugaskan ke grup otorisasi yang sesuai demikian bahwa pengguna tidak dapat menjalankan ABAP yang tidak relevan dengan pekerjaan mereka fungsi.

EDI and Internet Security

            SAP R / 3 tidak kebal terhadap intrusi dan eksploitasi dari orang luar. R / 3 mendukung EDI dan baru-baru ini merilis kemampuan Internet untuk proses R / 3 mereka. EDI dan Internet membuat masalah keamanan menjadi lebih penting karena pengganggu eksternal dapat menurunkan integritas sistem dan membahayakan aset perusahaan. Dengan demikian, kebijakan keamanan harus mengakomodasi kebutuhan unik EDI dan Internet.