Bagaimana sih mengaudit IT itu

Hari ini ada email yang masuk inbox saya menanyakan seputar IT audit. Saya coba jawab dibawah. Dan apabila rekan-rekan yang mengunjungi blog saya tertarik atau masih ada pertanyaan lain seputar IT audit saya akan coba jawab, sesuai kemampuan saya tentunya, selamat membaca.

On 8/11/06, xxxxx@yahoocom wrote:
/> Ada hal yang saya ingin tanyakan terkait mungkin
/> dengan pengalaman Bapak sebagai IS Auditor. Saat ini
/> saya ada rencana untuk melakukan audit di IT tentang
/> berbagai hal yang ada di perusahaan saya seperti
/> parameter-parameter yang digunakan, bagaimana security
/> system dan levelnya, back up data, hub swicth, network
/> dsb. Saya memiliki keterbatasan dalan hal itu,
/> sehingga saya menemukan suatu kesulitan dalam
/> melakukan audit.

Jawaban:

Halo Pak xxxx,
Salam kenal, saya coba jawab ya pak. Pada dasarnya sebelum melakukan audit IT kita harus membuat skup/batasan audit itu sampai dimana. Misalnya audit ini dilakukan untuk:

1. Audit support, hanya mendukung audit keuangan. Jadi yang diperiksa hanya komponen-komponen IT yang terkait dengan transaksi keuangan. Misalnya sistem bapak menggunakan ERP, nah berarti yang perlu di periksa terkait dengan server dimana ERP itu berada, database yang digunakan ERP. Umumnya pekerjaan seperti ini ditangani oleh KAP

2. IT Assesment, misalnya bapak ingin mengukur bagaimana kinerja network bapak (network assesment), bagaimana mengukur tingkat security governance? bagaimana mengukur resiko keamanan (vulnerability assesment) atau sekedar quality control bagaimana penyelenggaraan kegiatan IT selama ini ditempat bapak.

3. Special project, biasanya ini terkait dengan keinginan perusahaan untuk memenuhi suatu standard tertentu semisal IT governance, SOX, cobit, BS7799. Nah tentunya sistem IT-nya perlu di audit agar memenuhi standard tersebut. Asumsinya sama persis seperti di industri ada penerapan ISO9001 untuk QA atau 14000 untuk lingkungan.

Nah kalau kita sudah menentukan skupnya dimana barulah kita melakukan field work. Tentunya penentuan skup ini harus disesuaikan dengan kemampuan ‘si auditor’ yang dalam hal ini bisa bapak sendiri, tim kerja, atau pihak ketiga, karena kalau melebar kemana-manapun belum tentu kita mendapatkan hasil yang kita inginkan.

Apa yang harus kita siapkan
Secara umum yang harus kita siapkan adalah terkait dengan:
1. Prosedural Control
Seperti peraturan-peraturan dalam pengelolaan IT ditempat bapak, standard, dokumentasi. Mirip ISO, ‘melakukan apa yang kita tulis dan menuliskan apa yang kita lakukan’

2. Technical Control
Nah ini mungkin lebih tepat menjawab pertanyaan bapak. Tentunya masing-masing komponen yang bapak sampaikan (switch, firewall, server) memiliki standard-standard tersendiri bagaimana best practicesnya. Di KAP, umumnya memiliki jaringan informasi bagaimana seharusnya best practices pada pengelolaan device tersebut.

Namun bagi non KAP sendiri, sebenarnya informasi mengenai bagaimana seharusnya penerapan standard security yang bener sudah bisa didapatkan dari vendor system tersebut. Namun biasanya user dan bahkan vendor sendiri tidak aware

Apa yang harus kita lakukan
Saya kurang tahu bapak bergerak dalam industri apa dan kompleksitas IT-nya seperti apa, namun saran saya sesuaikan lagi dengan kebutuhan bapak seperti apa. IT audit sebenarnya suatu hal yang harus disadari oleh pelaku kegiatan IT itu sendiri, mungkin ga perlu muluk-muluk dengan proses IT audit yang standar, tapi bisa dimulai dengan kesadaran pentingnya IT audit itu sendiri.