Archive | March, 2011

UU ITE

21 Mar

UU ITE (Undang-Undang Informasi dan Transaksi Elekronik) yang disahkan DPR pada 25 Maret 2008 menjadi bukti bahwa Indonesia tak lagi ketinggalan dari negara lain dalam membuat peranti hukum di bidang cyberspace law. UU ini merupakan cyberlaw di Indonesia, karena muatan dan cakupannya yang luas dalam membahas pengaturan di dunia maya.

UU ITE ini mengatur berbagai perlindungan hukum atas kegiatan yang memanfaatkan internet sebagai medianya,baik transaksi maupun pemanfaatan informasinya.  Pada UU ITE ini juga diatur berbagai ancaman hukuman bagi kejahatan yang dialkuakn melalui internet. UU ITE juga mengakomodir kebutuhan para pelaku bisnis di internet dan masyarakat pada umumnya guna mendapatkan kepastian hukum, dengan diakuinya bukti elektronik dan tanda tangan digital sebagai bukti yang sah di pengadilan.

Beberapa terobosan penting yang dimiliki UU ITE adalah tanda tangan elektronik yang diakui memiliki kekuatan hukum sama dengan tanda tangan konvensional (tinta basah dan materai); alat bukti elektronik yang diakui seperti  alat bukti lainnya yang diatur dalam KUHAP. UU ITE ini berlaku untuk tiap orang yang melakukan perbuatan hukum, baik di wilayah Indonesia maupun di luar Indonesia, yang memiliki keterkaitan hukum di Indonesia. Penyelesaian sengketa dapat diselesaikan dengan metode sengketa alternative atau arbitrase.

Manfaat UU ITE

Beberapa manfaat dari UU. No 11 Tahun 2008 tentang (ITE), diantaranya:

  • Menjamin kepastian hukum bagi masyarakat yang melakukan transaksi secara elektronik.
  • Mendorong pertumbuhan ekonomi Indonesia
  • Sebagai salah satu upaya mencegah terjadinya kejahatan berbasis teknologi informasi
  • Melindungi masyarakat pengguna jasa dengan memanfaatkan teknologi informasi.

Dengan adanya UU ITE ini, maka:

  • Transaksi dan sistem elektronik beserta perangkat pendukungnyamendapat perlindungan hukum. Masyarakat harus memaksimalkanmanfaat potensi ekonomi digital dan kesempatan untuk menjadipenyelenggara Sertifikasi Elektronik dan Lembaga Sertifikasi Keandalan.
  • E-tourism mendapat perlindungan hukum. Masyarakat harusmemaksimalkan potensi pariwisata indonesia dengan mempermudahlayanan menggunakan ICT.
  • Trafik internet Indonesia benar-benar dimanfaatkan untuk kemajuan bangsa. Masyarakat harus memaksimalkan potensi akses internet indonesia dengan  konten sehat dan sesuai konteks budaya Indonesia.
  • Produk ekspor indonesia dapat diterima tepat waktu sama dengan produk negara kompetitor. Masyarakat harus memaksimalkan manfaat potensikreatif bangsa untuk bersaing dengan bangsa lain

Alasan Pelaksaan UU ITE

Salah satu alasan pembuatan UU ITE adalah bahwa pengaruh globalisasi dan perkembangan teknologi telekomunikasi yang sangat cepat telah mengakibatkan perubahan yang mendasar dalam penyelenggaraan dan cara pandang terhadap telekomunikasi. Kemunculan UU ITE membuat beberapa  perubahan yang signifikan, khususnya dalam dunia telekomunikasi, seperti:

  • Telekomunikasi merupakan salah satu infrastruktur penting dalam kehidupan berbangsa dan bernegara.
  • Perkembangan teknologi yang sangat pesat tidak hanya terbatas pada lingkup telekomunikasi itu saja, maleinkan sudah berkembang pada TI.
  • Perkembangan teknologi telekomunikasi di tuntut untuk mengikuti norma dan  kebijaksanaan yang ada di Indonesia.

UU ITE sudah cukup komprehensif dalam mengatur informasi elektronik dan transaksi elektronik. Hal ini dapat dilihat dari beberapa cakupan materi UU ITE yang merupakan terobosan baru yang sudah dijelaskan sebelumnya. Beberapa hal yang belum diatur secara spesifik diatur dalam UU ITE, akan diatur dalam Peraturan Pemeritanh dan peraturan perundang-undangan lainnya.

Yang Terlewatkan Dan Perlu Persiapan dari UU ITE

Beberapa yang masih terlewat, kurang lugas dan perlu didetailkan dengan peraturan dalam tingkat lebih rendah dari UU ITE (Peraturan Menteri, dsb) adalah masalah:

  1. Spamming, baik untuk email spamming maupun masalah penjualan data pribadi oleh perbankan, asuransi, dsb.
  2. Virus dan worm komputer (masih implisit di Pasal 33), terutama untuk pengembangan dan penyebarannya
  3. Kemudian juga tentang kesiapan aparat dalam implementasi UU ITE. Amerika, China dan Singapore melengkapi implementasi cyberlaw dengan kesiapan aparat. Child Pornography di Amerika bahkan diberantas dengan memberi jebakan ke para pedofili dan pengembang situs porno anak-anak
  4. Pada bagian penjelasan UU ITE, isinya terlihat sama dengan bab I buku karya Prof. Dr. Ahmad Ramli, SH, MH berjudul Cyberlaw dan HAKI dalam Sistem Hukum Indonesia. Seandainya pak Ahmad Ramli ikut menjadi staf ahli penyusun UU ITE tersebut, tetapi sebaiknya jangan langsung melakukan copy paste buku bab 1 tersebut untuk bagian Penjelasan UU ITE, karena nanti yang tanda tangan adalah Presiden Republik Indonesia.

Cakupan Materi UU ITE

  • Informasi elektronlik dan/atau dokumen elektronik.

Informasi elektronik adalah salah satu atau sekumpulan data elektronik, termasuk tetapi tidak terbatas pada tulisan, suara, gambar, peta, rancangan, foto, EDI, e-mail, telegram, teleteks, telecopy, atau sejenisnya yang telah diolah memiliki arti atau dapat dipahami oleh orang yang mampu memahaminya.

Dokumen elektronik adalah setiap informasi elektronik yang dibuat, diteruskan, dikirimkan, diterima, atau disimpan dalam bentuk analog, digital, elektromangnetik, optikal, atau sejenisya yang dapat dilihat, ditampilkan, dan/atau didengar melalui komputer atau system elektronik.

  • Transaksi elektronik : perbuatan hukum yang dilakukan dengan menggunakan computer, jaringan komputer, dan/atau media elektronik lainnya.
  • Tanda tangan elektronik:  tanda tangan yang terdiri atas informasi elektronik yang dilekatkan, terasosiasi atau terikat dengan informasi elektronik lainnya yang digunakan sebagai alat verifikasi dan autentifikasi.
  • Penyelenggaran sertifikasi elektronik (certification authority) : badan hukum yang berfungsi sebagai pihak yang layak dipercaya dalam memberikan dan mengaudit Sertifikasi Elektronik.
  • Nama domain: alamat internet dari penyelenggara Negara, orang, badan usaha, dan/atau masyarakat, yang dapat digunakan dalam berkomunikasi melalui internet. Alamat ini berupa kode atau susunan karakter yang bersifat unik untuk menunjukkan lokasi tertentu dalam internet.
  • HaKI:  Informasi elektronik dan/atau dokumen elektronik yang disusun menjadi karya intelektual, situs internet, dan karya intelektual  yang di dilindungi sebagai Hak Kekayaan Intelektual berdasarkan Peraturan Perundang-undangan (Pasal 25 UU ITE).
  • Data Pribadi (privasi): penggunaan tiap informasi melalui media elektronik yang menyangkut data pribadi seseorang harus dilakukan atas persetujuan orang yang bersangkutam, kecuali ditentukan lain oleh Perundangan-undangan.
  • Perbuatan Dilarang dan Ketentuan Pidana:
  1. Indecent Materials/Ilegal Content (Konten Ilegal). Sangsi: Pidana penjara  paling lama 6-12 tahun dan/atau denda antara RP. 1 M – Rp. 2 M (Pasal 45 UU ITE).
  2. Ilegal Access (Akses Ilegal). Sangsi:  Pidana penjara paling lama 6-8 tahun dan/atau denda antara Rp. 600 juta – Rp. 700 juta (pasal 46 UU ITE).
  3. Ilegal Intercedption (Penyadapan Ilegal). Sangsi: Pidana penjara paling lama 10 tahun dan/atau denda paling besar Rp. 800 jt (Pasal 47 UU ITE).
  4. Data Interference (Gangguan Data). Sangsi: Pidana penjara max 8-10 Tahun dan/atau denda antara Rp. 1 M – Rp. 5 M (pasal 48 UU ITE).
  5. System Interference (Sistem Interference). Sanksi: pidana penjara paling lama 10 tahun dan/ atau denda paling besar RP. 10 M (pasal 49 UU ITE).
  6. Missue of devices (Penyalahgunaan Perangkat). Sanksi: pidana penjara paling lama 10 tahun dan/atau denda paling besar Rp. 10 M (pasal 50 UU ITE).
  7. Computer related fraud dan forgery (Penipuan dan Pemalsuan yang berkaitan dengan komputer). Sanksi: Pidana penjara paling lama, 12 tahun dan/atau denda paling besar 12 M (pasal 51 UU ITE).

Daftar Pustaka:


Advertisements

IT Audit Dan IT Forensik-2

20 Mar

<<< (…klik di sini) IT Audit

IT Forensik

IT Forensik adalah cabang dari ilmu komputer tetapi menjurus ke bagian forensik yaitu berkaitan dengan bukti hukum yang ditemukan di komputer dan media penyimpanan digital. Komputer forensik juga dikenal sebagai Digital Forensik yang terdiri dari aplikasi dari ilmu pengetahuan kepada indetifikasi, koleksi, analisa, dan pengujian dari bukti digital.

IT Forensik adalah penggunaan sekumpulan prosedur untuk melakukan pengujian secara menyeluruh suatu sistem komputer dengan mempergunakan software dan tool untuk memelihara barang bukti tindakan kriminal. IT forensik dapat menjelaskan keadaan artefak digital terkini. Artefak Digital dapat mencakup sistem komputer, media penyimpanan (seperti hard disk atau CD-ROM, dokumen elektronik (misalnya pesan email atau gambar JPEG) atau bahkan paket-paket yang secara berurutan bergerak melalui jaringan. Bidang IT Forensik juga memiliki cabang-cabang di dalamnya seperti firewall forensik, forensik jaringan , database forensik, dan forensik perangkat mobile.

Tujuan IT Forensik

  • Mendapatkan fakta-fakta obyektif dari sebuah insiden / pelanggaran keamanan sistem informasi. Fakta-fakta tersebut setelah diverifikasi akan menjadi bukti-bukti (evidence) yang akan digunakan dalam proses hukum.
  • Mengamankan dan menganalisa bukti digital. Dari data yang diperoleh melalui survey oleh FBI dan The Computer Security Institute, pada tahun 1999 mengatakan bahwa 51% responden mengakui bahwa mereka telah menderita kerugian terutama dalam bidang finansial akibat kejahatan komputer. Kejahatan Komputer dibagi menjadi dua, yaitu :
    1. Komputer fraud : kejahatan atau pelanggaran dari segi sistem organisasi komputer.
    2. Komputer crime: kegiatan berbahaya dimana menggunakan media komputer dalam melakukan pelanggaran hukum.

Alasan Penggunaan IT Forensik

  • Dalam kasus hukum, teknik komputer forensik sering digunakan untuk menganalisis sistem komputer milik terdakwa (dalam kasus pidana) atau milik penggugat (dalam kasus perdata).
  • Untuk memulihkan data jika terjadi kegagalan atau kesalahan hardware atau software.
  • Untuk menganalisa sebuah sistem komputer setelah terjadi perampokan, misalnya untuk menentukan bagaimana penyerang memperoleh akses dan apa yang penyerang itu lakukan.
  • Untuk mengumpulkan bukti untuk melawan seorang karyawan yang ingin diberhentikan oleh organisasi.
  • Untuk mendapatkan informasi tentang bagaimana sistem komputer bekerja untuk tujuan debugging, optimasi kinerja, atau reverse-engineering.

Terminologi IT Forensik

A.    Bukti digital (digital evidence) adalah informasi yang didapat dalam bentuk atau format digital, contohnya e-mail.

B.     Elemen kunci forensik dalam teknologi informasi, antara lain :

  1. Identifikasi dari bukti digital. Tahapan paling awal forensik dalam teknologi informasi. Pada tahapan ini dilakukan identifikasi dimana bukti itu berada, dimana bukti itu disimpan dan bagaimana penyimpanannya untuk mempermudah tahapan selanjutnya.
  2. Penyimpanan bukti digital. Ttahapan yang paling kritis dalam forensik. Bukti digital dapat saja hilang karena penyimpanannya yang kurang baik.
  3. Analisa bukti digital. Tahapan pengambilan, pemrosesan, dan interpretasi dari bukti digital merupakan bagian penting dalam analisa bukti digital.
  4. Presentasi bukti digital. Proses persidangan dimana bukti digital akan diuji dengan kasus yang ada. Presentasi disini berupa penunjukkan bukti digital yang berhubungan dengan kasus yang disidangkan.

Investigasi Kasus Teknologi Informasi

  1. Prosedur forensik yang umum digunakan, antara lain :Membuat copies dari keseluruhan log data, file, dan lain-lain yang dianggap perlu pada suatu media yang terpisah. Membuat copies secara matematis.Dokumentasi yang baik dari segala sesuatu yang dikerjakan.
  2. Bukti yang digunakan dalam IT Forensics berupa :Harddisk.Floopy disk atau media lain yang bersifat removeable.Network system.
  3. Metode/prosedure IT Forensik yang umum digunakan pada komputer ada dua jenis yaitu :
  • Search dan seizure : dimulai dari perumusan suatu rencana.
    1. Identifikasi dengan penelitian permasalahan.
    2. Membuat hipotesis.
    3. Uji hipotesa secara konsep dan empiris.
    4. Evaluasi hipotesa berdasarkan hasil pengujian dan pengujian ulang jika hipotesa tersebut jauh dari apa yang diharapkan.
    5. Evaluasi hipotesa terhadap dampak yang lain jika hipotesa tersebut dapat diterima.

  • Pencarian informasi (discovery information). Ini dilakukan oleh investigator dan merupakan pencarian bukti tambahan dengan mengendalikan saksi secara langsung maupun tidak langsung.
    1. Membuat copies dari keseluruhan log data, files, dan lain-lain yang dianggap perlu pada media terpisah.
    2. Membuat fingerprint dari data secara matematis.
    3. Membuat fingerprint dari copies secara otomatis.
    4. Membuat suatu hashes masterlist
    5. Dokumentasi yang baik dari segala sesuatu yang telah dikerjakan.

Tools IT Forensik

  1. Antiword. Aplikasi untuk menampilkan teks dan gambar dokumen Microsoft Word. Antiword hanya mendukung dokumen yang dibuat oleh MS Word versi 2 dan versi 6 atau yang lebih baru.
  2. Autopsy.  The Autopsy Forensic Browser merupakan antarmuka grafis untuk tool analisis investigasi diginal perintah baris The Sleuth Kit. Bersama, mereka dapat menganalisis disk dan filesistem Windows dan UNIX (NTFS, FAT, UFS1/2, Ext2/3).
  3. Binhash. Program sederhana untuk melakukan hashing terhadap berbagai bagian file ELF dan PE untuk perbandingan. Saat ini ia melakukan hash terhadap segmen header dari bagian header segmen obyek ELF dan bagian segmen header obyekPE.
  4. Sigtool. Tool untuk manajemen signature dan database ClamAV. sigtool dapat digunakan untuk rnenghasilkan checksum MD5, konversi data ke dalam format heksadesimal, menampilkan daftar signature virus dan build/unpack/test/verify database CVD dan skrip update.
  5. ChaosReader. Tool freeware untuk melacak sesi TCP/UDP/… dan mengambil data aplikasi dari log tcpdump. la akan mengambil sesi telnet, file FTP, transfer HTTP (HTML, GIF, JPEG,…), email SMTP, dan sebagainya, dari data yang ditangkap oleh log lalu lintas jaringan. Sebuah file index html akan tercipta yang berisikan link ke seluruh detil sesi, termasuk program replay realtime untuk sesi telnet, rlogin, IRC, X11 atau VNC; dan membuat laporan seperti laporan image dan laporan isi HTTP GET/POST.
  6. Chkrootkit. Tool untuk memeriksa tanda-tanda adanya rootkit secara lokal. la akan memeriksa utilitas utama apakah terinfeksi, dan saat ini memeriksa sekitar 60 rootkit dan variasinya.
  7. Dcfldd. Tool ini mulanya dikembangkan di Department of Defense Computer Forensics Lab (DCFL). Meskipun saat ini Nick Harbour tidak lagi berafiliasi dengan DCFL, ia tetap memelihara tool ini.
  8. GNU Ddrescue. Tool penyelamat data, la menyalinkan data dari satu file atau device blok (hard disc, cdrom, dsb.) ke yang lain, berusaha keras menyelamatkan data dalam hal kegagalan pembacaan. Ddrescue tidak memotong file output bila tidak diminta. Sehingga setiap kali anda menjalankannya kefile output yang sama, ia berusaha mengisi kekosongan.
  9. Foremost. Tool yang dapat digunakan untuk me-recover file berdasarkan header, footer, atau struktur data file tersebut. la mulanya dikembangkan oleh Jesse Kornblum dan Kris Kendall dari the United States Air Force Office of Special Investigations and The Center for Information Systems Security Studies and Research. Saat ini foremost dipelihara oleh Nick Mikus seorang Peneliti di the Naval Postgraduate School Center for Information Systems Security Studies and Research.
  10. Gqview. Program untuk melihat gambar berbasis GTK la mendukung beragam format gambar, zooming, panning, thumbnails, dan pengurutan gambar.
  11. Galleta. Tool yang ditulis oleh Keith J Jones untuk melakukan analisis forensic terhadap cookie Internet Explorer.
  12. Ishw (Hardware Lister). Tool kecil yang memberikan informasi detil mengenai konfigurasi hardware dalam mesin. la dapat melaporkan konfigurasi memori dengan tepat, versi firmware, konfigurasi mainboard, versi dan kecepatan CPU, konfigurasi cache, kecepatan bus, dsb. pada sistem t>MI-capable x86 atau sistem EFI.
  13. Pasco. Banyak penyelidikan kejahatan komputer membutuhkan rekonstruksi aktivitas Internet tersangka. Karena teknik analisis ini dilakukan secara teratur, Keith menyelidiki struktur data yang ditemukan dalam file aktivitas Internet Explorer (file index.dat). Pasco, yang berasal dari bahasa Latin dan berarti “browse”, dikembangkan untuk menguji isi file cache Internet Explorer. Pasco akan memeriksa informasi dalam file index.dat dan mengeluarkan hasil dalam field delimited sehingga dapat diimpor ke program spreadsheet favorit Anda.
  14. Scalpel. Tool forensik yang dirancang untuk mengidentifikasikan, mengisolasi dan merecover data dari media komputer selama proses investigasi forensik. Scalpel mencari hard drive, bit-stream image, unallocated space file, atau sembarang file komputer untuk karakteristik, isi atau atribut tertentu, dan menghasilkan laporan mengenai lokasi dan isi artifak yang ditemukan selama proses pencarian elektronik. Scalpel juga menghasilkan (carves) artifak yang ditemukan sebagai file individual.

Daftar Pustaka:

IT Audit Dan IT Forensik-1

20 Mar

IT Audit

Audit menurut Arens, et al. (2003) yang diterjemahkan oleh kanto Santoso Setiawan dan Tumbur Pasaribu adalah proses pengumpulan dan pengevaluasian bukti-bukti tentang informasi ekonomi untuk menentukan tingkat kesesuaian informasi tersebut dengan criteria-kriteria yang telah ditetapkan, dan melaporkan hasil pemeriksaan tersebut. IT Audit adalah suatu proses kontrol pengujian terhadap infrastruktur teknologi informasi dimana berhubungan dengan masalah audit finansial dan audit internal.IT audit lebih dikenal dengan istilah EDP Auditing (Electronic Data Processing), biasanya digunakan untuk menguraikan dua jenis aktifitas yang berkaitan dengan komputer. IT Audit merupakan gabungan dari berbagai macam ilmu, antara lain Traditional Audit, Manajemen Sistem Informasi, Sistem Informasi Akuntansi, Ilmu Komputer, dan Behavioral Science. IT Audit bertujuan untuk meninjau dan mengevaluasi faktor-faktor ketersediaan (availability), kerahasiaan (confidentiality), dan kebutuhan (integrity) dari sistem informasi organisasi.

Jenis IT Audit

  1. Sistem dan aplikasi:  untuk memeriksa apakah sistem dan aplikasi sesuai dengan kebutuhan organisasi, berdayaguna, dan memiliki kontrol yang cukup baik untuk menjamin keabsahan, kehandalan, tepat waktu, dan keamanan pada input, proses, output pada semua tingkat kegiatan sistem.
  2. Fasilitas pemrosesan informasi: untuk memeriksa apakah fasilitas pemrosesan terkendali untuk menjamin ketepatan waktu, ketelitian, dan pemrosesan aplikasi yang efisien dalam keadaan normal dan buruk.
  3. Pengembangan sistem: untuk memeriksa apakah sistem yang dikembangkan mencakup kebutuhan obyektif organisasi.
  4. Arsitektur perusahaan dan manajemen TI: untuk memeriksa apakah manajemen TI dapat mengembangkan struktur organisasi dan prosedur yang menjamin kontrol dan lingkungan yang berdaya guna untuk pemrosesan informasi.
  5. Client/Server, telekomunikasi, intranet, dan ekstranet:  untuk memeriksa apakah kontrol-kontrol berfungsi pada client, server, dan jaringan yang menghubungkan client dan server.

Alasan Penggunakan IT Audit

Ron Webber (Dekan Fakultas Teknologi Informasi, Monash University) dalam bukunya Information System Controls and Audit (Prentice-Hall, 2000) menyatakan beberapa alasan penting mengapa Audit IT perlu dilakukan, antara lain :

  1. Kerugian akibat kehilangan data.
  2. Kesalahan dalam pengambilan keputusan.
  3. Resiko kebocoran data.
  4. Penyalahgunaan komputer.
  5. Kerugian akibat kesalahan proses perhitungan.
  6. Tingginya nilai investasi perangkat keras dan perangkat lunak komputer.

Manfaat IT Audit

Manfaat penggunaan IT Audit dapat dikelompokkan menjadi 2 yaitu:

A. Manfaat pada saat Implementasi (Pre-Implementation Review)

  1. Institusi dapat mengetahui apakah sistem yang telah dibuat sesuai dengan kebutuhan ataupun memenuhi acceptance criteria.
  2. Mengetahui apakah pemakai telah siap menggunakan sistem tersebut.
  3. Mengetahui apakah outcome sesuai dengan harapan manajemen.

B. Manfaat setelah sistem live (Post-Implementation Review)

  1. Institusi mendapat masukan atas risiko-risiko yang masih yang masih ada dan saran untuk penanganannya.
  2. Masukan-masukan tersebut dimasukkan dalam agenda penyempurnaan sistem, perencanaan strategis, dan anggaran pada periode berikutnya.
  3. Bahan untuk perencanaan strategis dan rencana anggaran di masa mendatang.
  4. Memberikan reasonable assurance bahwa sistem informasi telah sesuai  dengan kebijakan atau prosedur yang telah ditetapkan.
  5. Membantu memastikan bahwa jejak pemeriksaan (audit trail) telah diaktifkan dan dapat digunakan oleh manajemen, auditor maupun pihak lain yang berwewenang melakukan pemeriksaan.
  6. Membantu dalam penilaian apakah initial proposed values telah terealisasi  dan saran tindak lanjutnya.

Tahapan/Prosedur IT Audit

  1. Tahapan Perencanaan. Sebagai suatu pendahuluan mutlak perlu dilakukan agar auditor mengenal benar obyek yang akan diperiksa sehingga menghasilkan suatu program audit yang didesain sedemikian rupa agar pelaksanaannya akan berjalan efektif dan efisien.
  2. Mengidentifikasikan resiko dan kendali. Tahap ini untuk memastikan bahwa qualified resource sudah dimiliki, dalam hal ini aspek SDM yang berpengalaman dan juga referensi praktik-praktik terbaik.
  3. Mengevaluasi kendali dan mengumpulkan bukti-bukti melalui berbagai teknik termasuk survei, interview, observasi, dan review dokumentasi.
  4. Mendokumentasikan dan mengumpulkan temuan-temuan dan mengidentifikasikan dengan audit.
  5. Menyusun laporan.Hal ini mencakup tujuan pemeriksaan, sifat, dan kedalaman pemeriksaan yang dilakukan.

Lembar Kerja IT AUDIT

Stakeholders: Internal IT Deparment, External IT Consultant, Board of Commision, Management, Internal IT Auditor, External IT Auditor
Kualifikasi Auditor: Certified Information Systems Auditor (CISA), Certified Internal Auditor (CIA), Certified Information Systems Security Professional (CISSP), dll.
Output Internal IT: Solusi teknologi meningkat, menyeluruh & mendalam,  Fokus kepada global, menuju ke standard-standard yang diakui.
Output External IT: Rekrutmen staff, teknologi baru dan kompleksitasnya,  Outsourcing yang tepat, Benchmark / Best-Practices.
Output Internal Audit & Business: Menjamin keseluruhan audit, Budget & Alokasi sumber daya, Reporting.

Contoh Lembar Kerja IT Audit:

Gambar berikut ini merupakan contoh lembar kerja pemeriksaan IT Audit. Gambar A untuk contoh yang masih ‘arround the computer‘, sedangkan B contoh ‘through the computer‘.


Contoh Metodologi IT Audit:

BSI (Bundesamt for Sicherheit in der Informationstechnik):

● IT Baseline Protection Manual (IT- Grundschutzhandbuch )
● Dikembangkan oleh GISA: German Information Security Agency
● Digunakan: evaluasi konsep keamanan & manual
● Metodologi evaluasi tidak dijelaskan
● Mudah digunakan dan sangat detail sekali
● Tidak cocok untuk analisis resiko
● Representasi tidak dalam grafik yg mudah dibaca

IT Audit Tools
Beberapa tool yang dipergunakan dalam IT Audit adalah:

  1. ACL  (Audit Command Language): software CAAT (Computer Assisted Audit Techniques) yang sudah sangat populer untuk melakukan analisa terhadap data dari berbagai macam sumber.
  2. Picalo : software CAAT (Computer Assisted Audit Techniques) seperti halnya ACL yang dapat dipergunakan untuk menganalisa data dari berbagai macam sumber.
  3. Powertech Compliance Assessment Powertech:  automated audit tool yang dapat dipergunakan untuk mengaudit dan mem-benchmark user access to data, public authority to libraries, user security, system security, system auditing dan administrator rights (special authority) sebuah serverAS/400.
  4. Nipper : audit automation software yang dapat dipergunakan untuk mengaudit dan mem-benchmark konfigurasi sebuah router.
  5. Nessus: sebuah vulnerability assessment software.
  6. Metasploit Framework : sebuah penetration testing tool.
  7. NMAP:  utility untuk melakukan security auditing.
  8. Wireshark: network utility yang dapat dipergunakan untuk meng-capture paket data yang ada di dalam jaringan komputer.

Peraturan dan Standar Yang Biasa Dipakai

  • ISO / IEC 17799 and BS7799
  • Control Objectives for Information and related Technology (CobiT)
  • ISO TR 13335
  • IT Baseline Protection Manual
  • ITSEC / Common Criteria
  • Federal Information Processing Standard 140-1/2 (FIPS 140-1/2)
  • The “Sicheres Internet” Task Force [Task Force Sicheres Internet]
  • The quality seal and product audit scheme operated by the Schleswig-Holstein Independent State Centre for Data Privacy Protection (ULD)
  • ISO 9000, ISO 27002
  • NIST, ITIL, NERC, HIPAA, PCI, BASEL II, FISMA, GLBA , SOX, FFIEC, dll.

IT Forensik (klik di sini..) >>>

Daftar Pustaka:

Cyberlaw

20 Mar

Cyberlaw meliputi setiap aspek yang berhubungan dengan subjek hukum yang memanfaatkan teknologi Internet yang dimulai pada saat mulai “online” dan seterusnya. Ruang lingkup dari cyberlaw adalah hak cipta, hak merek, pencemaran nama baik, hate speech (fitnah, penistaan dan dusta), serangan terhadap fasilitas computer, pengaturan sumber daya internet, privacy, transaksi elektronika dan tanda tangan digital, pornografi, dll.

Setiap negara memiliki cyberlaw masing-masing. Berikut ini perbandingan cyberlaw yang dimiliki oleh 4 Negara ASEAN:

Cyberlaw di Indonesia

Undang-undang informasi dan transaksi elektronik (UU ITE) atau yang disebut cyberlaw, digunakan untuk mengatur berbagai perlindungan hukum atas kegiatan yang memanfaatkan internet sebagai medianya,baik transaksi maupun pemanfaatan informasinya. Pada UU ITE ini juga diatur berbagai macam hukuman bagi kejahatan melalui internet.

UU ITE mengakomodir kebutuhan para pelaku bisnis diinternet dan masyarakat pada umumnya untuk mendapat kepastian hukum dengan diakuinya bukti elektronik dan tanda tangan elektronik digital sebagai bukti yang sah dipengadilan.UU ITE sendiri baru ada diIndonesia dan telah disahkan oleh DPR pada tanggal 25 Maret 2008. UU ITE terdiri dari 13 Bab dan 54 Pasal yang mengupas secara mendetail bagaimana aturan hidup di dunia maya dan transaksi yang terjadi didalamnya.Perbuatan yang dilarang (cybercrime) dijelaskan pada Bab VII (pasal 27-37), yaitu:

  • Pasal 27: Asusila, Perjudian, Penghinaan, Pemerasan.
  • Pasal 28: Berita Bohong dan Menyesatkan, Berita Kebencian dan Permusuhan.
  • Pasal 29: Ancaman Kekerasan dan Menakut-nakuti.
  • Pasal 30: Akses Komputer Pihak Lain Tanpa Izin, Cracking.
  • Pasal 31: Penyadapan, Perubahan, Penghilangan Informasi.
  • Pasal 32: Pemindahan, Perusakan dan Membuka Informasi Rahasia.
  • Pasal 33: Virus?, Membuat Sistem Tidak Bekerja (DOS?).
  • Pasal 35: Menjadikan Seolah Dokumen Otentik (phising?).

Pelanggaran UU ITE ini akan dikenakan denda 1 Milliar rupiah. Di Indonesia, masalah tentang perlindungan konsumen,privasi,cybercrime,muatan online,digital copyright,penggunaan nama domain dan kontrak elektronik sudah ditetapkan oleh pemerintah Indonesia. Namun, masalah spam dan online dispute resolution belum mendapat tanggapan dari pemerintah sehingga belum ada rancangannya.

Cyberlaw di Malaysia

Pada tahun 1997 Malaysia telah mengesahkan dan mengimplementasikan beberapa perundang-undangan yang mengatur berbagai aspek dalam cyberlaw seperti The Computer Crime Act (1997), UU Tandatangan Digital, Communication And Multimedia Act (1998), Digital Signature Act (1997). Selain itu, ada juga perlindungan hak cipta dalam internet melalui amandemen UU Hak Ciptanya.

The Computer Crime Act mencakup mengenai kejahatan yang dilakukan melalui komputer, karena cybercrime di negara Malaysia tidak hanya mencakup segala aspek kejahatan/pelanggaran yang berhubungan dengan internet. Akses secara tak terotorisasi pada material computer juga termasuk cybercrime. Jadi, jika kita menggunakan komputer orang lain tanpa izin dari pemiliknya maka termasuk di dalam cybercrime walaupun tidak terhubung dengan internet.

Isi dari The Computer Crime Act mencakup hal-hal berikut ini:

  • Mengakses material komputer tanpa ijin.
  • Menggunakan komputer untuk fungsi yang lain.
  • Memasuki program rahasia orang lain melalui komputernya.
  • Mengubah / menghapus program atau data orang lain.
  • Menyalahgunakan program / data orang lain demi kepentingan pribadi.

Hukuman atas pelanggaran UU ini adalah denda sebesar lima puluh ribu ringgit (RM50,000) atau sekurang-kurangnya 5 tahun hukuman kurungan/penjara sesuai dengan hukum yang berlaku di negara tersebut (Malaysia). Di Malaysia masalah perlindungan konsumen,cybercrime,muatan online,digital copyright, penggunaan nama domain,kontrak elektronik sudah ditetapkan oleh pemerintahan Malaysia. Namun, masalah privasi,spam dan online dispute resolution masih dalam tahap rancangan.

Cyberlaw di Singapore

Beberapa cyberlaw di Singapura adalah The Electronic Act (UU Elektrinik) 1998 dan Electronic Communication Privacy Act (UU Privasi Komunikasi Elektronik) 1996. The Electronic Transactions Act telah ada sejak 10 Juli 1998 untuk menciptakan kerangka yang sah tentang undang-undang untuk transaksi perdagangan elektronik di Singapore yang memungkinkan bagi Menteri Komunikasi Informasi dan Kesenian untuk membuat peraturan mengenai perijinan dan peraturan otoritas sertifikasi di Singapura. UU ini dibuat dengan tujuan:

  • Memudahkan komunikasi elektronik atas pertolongan arsip elektronik yang dapat dipercaya.
  • Memudahkan perdagangan elektronik, yaitu menghapuskan penghalang perdagangan elektronik yang tidak sah atas penulisan dan persyaratan tandatangan, dan untuk mempromosikan pengembangan dari undang-undang dan infrastruktur bisnis diperlukan untuk menerapkan menjamin / mengamankan perdagangan elektronik.
  • Memudahkan penyimpanan secara elektronik tentang dokumen pemerintah dan perusahaan.
  • Meminimalkan timbulnya arsip alektronik yang sama (double), perubahan yang tidak disengaja dan disengaja tentang arsip, dan penipuan dalam perdagangan elektronik, dll.
  • Membantu menuju keseragaman aturan, peraturan dan mengenai pengesahan dan integritas dari arsip elektronik.
  • Mempromosikan kepercayaan, integritas dan keandalan dari arsip elektronik dan perdagangan elektronik, dan untuk membantu perkembangan dan pengembangan dari perdagangan elektronik melalui penggunaan tandatangan yang elektronik untuk menjamin keaslian dan integritas surat menyurat yang menggunakan media elektronik.

Isi The Electronic Transactions Act mencakup hal-hal berikut:

  • Kontrak Elektronik: didasarkan pada hukum dagang online yang dilakukan secara wajar dan cepat serta untuk memastikan bahwa kontrak elektronik memiliki kepastian hukum.
  • Kewajiban Penyedia Jasa Jaringan: mengatur mengenai potensi / kesempatan yang dimiliki oleh network service provider untuk melakukan hal-hal yang tidak diinginkan, seperti mengambil, membawa, menghancurkan material atau informasi pihak ketiga yang menggunakan jasa jaringan tersebut. Pemerintah Singapore merasa perlu untuk mewaspadai hal tersebut.
  • Tandatangan dan Arsip elektronik: Hukum memerlukan arsip/bukti arsip elektronik untuk menangani kasus-kasus elektronik, karena itu tandatangan dan arsip elektronik tersebut harus sah menurut hukum.

Di Singapore masalah tentang privasi,cyber crime,spam,muatan online,copyright,kontrak elektronik sudah ditetapkan. Namun, masalah perlindungan konsumen dan penggunaan nama domain belum ada rancangannya tetapi online dispute resolution sudah terdapat rancangannya.

Cyberlaw di Thailand

Pemerintah Negara Thailand sudah menentapkan hokum kontrak elektronik dan cybercrime. Hukum privasi, spam, digital copyright dan ODR sudah dalam tahap rancangan. Cybercrime dan kontrak elektronik di Negara Thailand sudah ditetapkan oleh pemerintahnya,walaupun yang sudah ditetapkannya hanya 2 tetapi yang lainnya seperti privasi,spam,digital copyright dan ODR sudah dalalm tahap rancangan.

Daftar Pustaka:

Keuntungan Dan Kerugian Penggunaan Open Source

18 Mar

1.  Pengertian Open Source

Dalam Bahasa Indonesia, open source adalah kode terbuka. Kode yang dimaksud adalah kode program (perintah-perintah) yang diketikkan berdasarkan logika yang benar).  Suatu program dengan lisensi open source, berarti program tersebut membuka kode programnya bagi siapa saja yang ingin mempelajarinya. Caranya dengan menyertakan kode program bersama dengan distribusi paket program yang sudajh jadi (hasil kompilasi).

Open source berdasarkan kebebasan user dalam menggunakan pendistribusian dan  lainnya serta software gratis (tanpa biaya). Feature utama dari karakteristik open source adalah kebebasan user untuk:

  • Menggunakan software sesuai keinginannya
  • Memiliki software yang tersedia sesuai kebutuhan
  • Mendistribusikan software kepada user lainnya.

Open source merupakan implementasi software dalam bentuk source code yang dapat dibaca. Beberapa contohnya adalah web server (apache), Bahasa pemrograman (perl, PHP), sistem operasi (Linux, OpenBSD), pembuat portal (phpnuke, postnuke, mambo), e-learning management system (Moddle, Claroline), dll.

2. Keuntungan Dan Kerugian Open Source

Penggunaan open source belakangan ini semakin popular saja. Namun, open source ini memliki keuntungan dan kerugian.

Beberapa keuntungan :

  1. Adanya hak untuk mendistribusikan modifikasi dan perbaikan pada code.
  2. Ketersediaan source code dan hak untuk memodifikasi
  3. Tidak disandera vendor.
    Open source menggunakan format data terbuka, sehingga data menjadi transparan dan bisa dengan bebas diproses di sistem komputer yang berbeda-beda, sambil tetap menjaga keamananya. Dengan demikian, konsumen tidak lagi terikat pada kemauan vendor untuk dapat menggunakan data-datanya.
  4. Banyaknya tenaga (SDM) untuk mengerjakan proyek.
    Proyek open source biasanya menarik banyak developer, misalnya: pengembangan web server Apache menarik ribuan orang untuk ikut mengembangkan dan memantau.
  5. Kesalahan (bugs, error) lebih cepat ditemukan dan diperbaiki.
    Hal ini dikarenakan jumlah developer-nya sangat banyak dan tidak dibatasi. Visual inspection (eye-balling) merupakan salah satu metodologi pencarian bugs yang paling efektif. Selain itu, source code tersedia membuat setiap orang dapat mengusulkan perbaikan tanpa harus menunggu dari vendor.
  6. Kualitas produk lebih terjamin.
    Hal ini dikarenakan evaluasi dapat dilakukan oleh banyak orang, sehingga kualitas produk dapat lebih baik. Namun, hal ini hanya berlaku untuk produk open source yang ramai dikembangkan orang. Tidak selamanya open source dikembangkan oleh banyak orang, karena bisa juga dilakukan oleh individual.
  7. Lebih aman (secure).
    Sifatnya yang terbuka membuat produk open source dapat dievaluasi oleh siapa pun. Public scrutinity merupakan salah satu komponen penting dalam bidang keamanan. Secara umum, open source memiliki potensi untuk lebih aman meskipun dia tidak terkendali secara otomatis. Namun, hal ini dapat tercapai, jika security by obscurity bukan tujuan utamanya.
  8. Hemat biaya.Sebagian besar developer ini tidak dibayar/digaji.
    Dengan demikian, biaya dapat dihemat dan digunakan untuk pengeluaran yang tidak dapat ditunda, misal membeli server untuk hosting web.
  9. Tidak mengulangi development.
    Pengulangan (re-inventing the wheel) merupakan pemborosan. Adanya source code yang terbuka membuka jalan bagi seseorang programmer untuk melihat solusi-solusi yang pernah dikerjakan oleh orang lain. Namun, pada kenyataannya tetap banyak pengulangan.
  10. User dapat membuat salinan tak terbatas, menjual atau memberikan bebas hasil lisensi.
  11. User dapat memodifikasi dan mengunci agar hanya kalangan terbatas yang dapat membaca kode dan memodifikasinya.
  12. Mencegah software privacy yang melanggar hukum.

Beberapa kerugian :

  1. Kurangnya SDM yang dapat memanfaatkan open source.
    Ketersediaan source code yang diberikan dapat menjadi sia-sia, jika SDM yang ada tidak dapat menggunakannya. SDM yang ada ternyata hanya mampu menggunakan produk saja, Jika demikian, maka tidak ada bedanya produk open source dan yang propriertary dan tertutup.
  2. Tidak adanya proteksi terhadap HaKI.
    Kebanyakan orang masih menganggap bahwa open source merupakan aset yang harus dijaga kerahasiannya. Hal ini dikaitkan dengan besarnya usaha yang sudah dikeluarkan untuk membuat produk tersebut. Karena sifatnya dapat di-abuse oleh orang-orang untuk mencuri ide dan karya orang lain.
  3. Kesulitan dalam mengetahui status project.
  4. Tidak ada garansi dari pengembangan.
  5. Limitasi modifikasi oleh orang – orang tertentu yang membuat atau memodifikasi sebelumnya.
  6. Untuk beberapa platform, contohnya JAVA yang memiliki prinsip satu tulis dan bisa dijalankan dimana saja, akan tetapi ada beberapa hal dari JAVA yang tidak competible dengan platform lainnya. Contohnya J2SE yang  SWT – AWT bridgenya belum bisa dijalankan di platform Mac OS.
  7. Open Source digunakan secara sharing, dapat menimbulkan resiko kurangnya diferensiasi antara satu software dengan yang lain, apabila kebetulan menggunakan beberapa Open Source yang sama.

Daftar pustaka: