2 Perusahaan menggunakan sumber daya manusia karyawan, prosedur,
perangkat lunak software, data, dan infrastruktur untuk mencapai setiap prinsip keandalan dengan berdasarkan pada peraturan dan standar yang telah
ditetapkan. 3
Perusahaan melakukan pengawasan sistem dan mengambil tindakan agar tercapai kesesuaian sistem dengan tujuan, kebijakan, dan standar; untuk setiap
prinsip keandalan.
b. Pengendalian Utama atas Prinsip Keandalan Sistem
Setelah melihat prinsip-prinsip keandalan sistem dan kriteria yang dikembangkan untuk mengevaluasi pencapaiannya, berikut adalah pengendalian
utama atas keandalan sistem dimana sistem yang ada dalam perusahaan harus mendukung pengendalian ini dalam rangka mencapai keandalan sistem.
1 Pengendalian Utama atas Ketersediaan
Hal-hal yang menyebabkan mengapa sistem dapat tidak tersedia bagi para pemakai adalah adanya kegagalan pada hardware dan software, bencana alam,
serta tindakan sabotase yang disengaja. Demi memastikan ketersediaan sistem informasi, berikut pengendalian utama yang dilakukan:
a Meminimalkan waktu kegagalan sistem system downtime
b Rencana pemulihan dari bencana disaster recovery plan
Pengendalian-pengendalian ini dirinci melalui tabel yang disajikan berikut:
Universitas Sumatera Utara
Tabel 2.1 Pengendalian Utama atas Ketersediaan
Kategori Pengendalian
Ancaman Risiko
Pengendalian
1. Meminimalkan waktu
kegagalan sistem
Hilangnya tenaga
listrikkegagalan sistem yang
mengganggu operasi bisnis
penting; Kehilangan
kerusakan data 1. Terdapat kebijakan atau prosedur untuk menangani
kehilangan tenaga listrik, kesalahan, kehilangan, atau kerusakan data
2. Jaminan atas bencana dan gangguan 3. Pemeliharaan rutin
4. Sistem pasokan tenaga listrik yang stabil UPS 5. Batas toleransi kesalahan terdapat komponen
duplikat yang akan mengambil alih sistem ketika terjadi kegagalan
2. Rencana pemulihan dari
bencana Perpanjangan
gangguan atas pemrosesan data
serta operasi bisnis karena
kebakaran, bencana alam,
sabotase atau vandalism
1. Implementasi rencana, menetapkan prioritas pemulihan, menunjuk penanggungjawab pemulihan,
mendokumentasikan dan menguji rencana, terus- menerus meninjau dan merevisi rencana;
2. Penyimpanan jarak jauh data dan file cadangan 3. Prosedur untuk pulih dari kerugian atau kehancuran
file 4. Jaminan asuransi
5. Komputer cadangan serta fasilitas komunikasi data
Sumber: Marshall dan Romney, 2006
2 Pengendalian Utama atas Keamanan
Kondisi sistem informasi yang sangat terintegrasi saat ini menyebabkan prosedur-prosedur yang dahulu dilakukan oleh beberapa orangindividu kini dapat
digabungkan. Karena itu, siapa pun yang memiliki akses tak terbatas ke komputer, program komputer, dan data, memiliki kesempatan untuk melakukan kejahatan
dan menyembunyikan penipuan. Untuk memerangi ancaman ini, organisasi harus mengimplementasikan prosedur pengendalian yang sesuai, seperti pemisahan
tugas yang efektif dalam fungsi sistem informasi. a
Pemisahan Tugas dalam Fungsi Sistem b
Pengendalian atas Akses Secara Fisik c
Pengendalian atas Akses Secara Logis
Universitas Sumatera Utara
Pengendalian-pengendalian ini dirinci melalui tabel yang disajikan berikut:
Tabel 2.2 Pengendalian Utama atas Keamanan
Kategori Pengendalian
Ancaman Risiko
Pengendalian
1. Pemisahan tugas dalam
fungsi sistem Penipuan
komputer a.
Pembagian yang jelas mengenai otoritas dan tanggung jawab fungsi-fungsi terkait
2. Pengendalian atas akses
secara fisik Kerusakan
komputer dan file; akses
yang tidak memiliki
otorisasi ke data rahasia
1. Komputer diletakkan dalam ruang terkunci
2. ID pegawai tetap diminta setiap melakukan akses
3. Jalan masuk ke akses terkunci dengan aman; diawasi
dengan baik 4.
Pengunjung harus menandatangani daftar tamu setiap masuk dan meninggalkan lokasi
5. Menggunakan sistem alarm untuk mendeteksi akses di luar
jam kerja 6.
Batasi akses atas saluran telepon pribadi yang tidak terdeteksi
7. Menginstal pengunci pada PC dan peralatan komputer
lainnya 8.
Batasi akses ke program, data, serta perlengkapan off-line 9.
Menyimpan komponen sistem yang penting jauh dari bahan berbahaya atau mudah terbakar
10. Memasang detektor asap dan api serta pemadam api 3. Pengendalian
atas akses secara logis
Akses yang tidak
memiliki otorisasi ke
software sistem,
program aplikasi, serta
sumber daya sistem
lainnya 1.
Klasifikasi pengamanan data: tidak ada batasan, hanya untuk pegawai, hanya untuk pemilik dan manajemen
puncak, dan lain-lain.
2. Tetapkan hak akses pegawai dan pihak luar secara jelas
3. Kenali pemakai melalui hal-hal yang mereka ketahui
password, PIN, jawaban atas pertanyaan pribadi; atau yang mereka miliki kartu identitas, kartu pegawai aktif,
atau melalui karakteristik personal mereka sidik jari, pola suara, pemindai retina, bentuk wajah, tanda tangan, dan
lain-lain
4. Uji kesesuaian compability test untuk menetapkan
apakah pemakai memiliki otorisasi untuk melaksanakan tindakan yang akan dilakukannya
Sumber: Marshall dan Romney, 2006
3 Pengendalian Utama atas Keterpeliharaan
Berikut adalah dua kategori pengendalian yang membantu memastikan keterpeliharaan sistem:
Universitas Sumatera Utara
a Pengembangan Proyek dan Pengendalian Akuisisi
Dalam rangka meminimalisasi kegagalan sistem, prinsip-prinsip dasar akuntansi pertanggungjawaban perlu diterapkan pada pengembangan atau akuisisi
sistem informasi. Ketaatan pada prinsip ini akan sangat mengurangi kemungkinan pembengkakan biaya dan kegagalan proyek, bahkan akan sangat memperbaiki
efisiensi dan efektivitas sistem informasi. b
Perubahan Pengendalian Manajemen Dalam rangka mengendalikan perubahan sistem informasi, perusahaan
membutuhkan kebijakan, prosedur, dan pengendalian manajemen perubahan dalam sistem secara formal.
Pengendalian-pengendalian ini dirinci melalui tabel yang disajikan berikut:
Tabel 2.3 Pengendalian Utama atas Keterpeliharaan
Kategori Pengendalian
Ancaman Risiko
Pengendalian
1. Pengembangan proyek dan
pengendalian akuisisi
Proyek pengembangan
sistem mengkonsumsi
sumber daya yang sangat
banyak 1.
Rencana utama strategis jangka panjang 2.
Pengendalian proyek rencana pengembangan proyek, kejadian penting dalam proyek, penugasan
pertanggungjawaban tiap proyek kepada seorang manajer atau tim, evaluasi kinerja tim proyek
3. Penjadwalan pemrosesan data
4. Pengukuran kinerja sistem: pemasukan data keluaran
per unit waktu; penggunaan persentase waktu ketika sistem digunakan secara produktif; waktu respons
berapa waktu yang dibutuhkan oleh sistem untuk merespons
5. Peninjauan pascaimplementasi: apakah keuntungan
yang diantisipasi tercapai atau tidak 2. Perubahan
pengendalian manajemen
Proyek pengembangan
sistem mengkonsumsi
sumber daya yang sangat
banyak; 1.
Peninjauan berkala semua sistem untuk mengetahui perubahan yang dibutuhkan
2. Semua permintaan diserahkan dalam format baku
3. Pencatatan dan peninjauan permintaan perubahan dan
penambahan sistem dari pemakai yang diotorisasi 4.
Penilaian dampak perubahan terhadap keandalan sistem 5.
Pengkategorian dan penyusunan semua perubahan
Universitas Sumatera Utara
Perubahan sistem yang
tidak diotorisasi
6. Prosedur untuk mengatasi hal-hal yang mendadak
7. Pengkomunikasian perubahan ke manajemen dan
pemakai dan persetujuan manajemen atas perubahan 8.
Penugasan tanggung jawab khusus bagi semua yang terlibat dalam perubahan dan awasi kinerja mereka
9. Pengontrolan hak akses sistem
10. Pemastian bahwa perubahan melewati langkah yang
sesuai 11.
Pengujian semua perubahan 12.
Pengembangan rencana untuk melindungi perubahan sistem yang kritis
13. Implementasi fungsi kepastian kualitas
14. Pembaruan dokumentasi dan prosedur
Sumber: Marshall dan Romney, 2006
4 Pengendalian Utama atas Integritas
Enam pengendalian utama atas integritas sistem adalah pengendalian sumber data, rutinitas validasi input, pengendalian entri data on-line, pengendalian
pemrosesan dan penyimpanan data, pengendalian output, dan pengendalian transmisi data. Pengendalian-pengendalian ini dirinci melalui tabel yang disajikan
berikut:
Tabel 2.4 Pengendalian Utama atas Integritas
Kategori Pengendalian
Ancaman Risiko
Pengendalian
1. Pengendalian sumber data
Input data yang tidak
valid, tidak lengkap, tidak
akurat Desain formulir; formulir yang diberi nomor berurutan;
dokumen berputar; pembatalan dan penyimpanan dokumen; peninjauan otorisasi yang sesuai; otorisasi dan kumpulan
tugas; pemindaian visual; verifikasi digit pemeriksaan; dan verifikasi login
2. Rutinitas validasi input
Data yang tidak valid atau
tidak lengkap dalam file
transaksi yang diproses oleh
komputer Pada saat file transaksi diproses, program edit memeriksa
field data utama yang menggunakan pemeriksaan edit tersebut: urutan, field, tanda, validitas, batas, jangkauan,
kelogisan, data yang berlebihan, dan pemeriksaan kapasitas. Masukkan pengecualian ke dalam catatan kesalahan;
selidiki, koreksi, dan masukkan kembali secara tepat waktu; edit kembali; dan siapkan ringkasan laporan kesalahan
Universitas Sumatera Utara
3. Pengendalian entri data
on-line Input transaksi
tidak valid atau tidak lengkap
yang dimasukkan
melalui terminal on-
line Pemeriksaan field, batasan, jangkauan, kelogisan, tanda,
validitas, dan data yang redundan; ID pemakai dan password; pengujian kompatibilitas; sistem entri data secara
otomatis; pemberitahuan ke operator selama entri data; prapemformatan; pengujian kelengkapan; verifikasi closed-
loop; catatan transaksi yang dipertahankan oleh sistem; pesan kesalahan yang jelas; dan penyimpanan data yang
cukup untuk memenuhi persyaratan legal.
4. Pengendalian pemrosesan
dan penyimpanan
data Data yang
tidak akurat atau tidak
lengkap dalam file utamayang
diproses oleh komputer
Kebijakan dan prosedur menentukan aktivitas pemrosesan data dan personil bagian penyimpananannya; pengamanan
dan kerahasiaan data; pengawasan entri data; rekonsiliasi pembaruan sistem dengan akun pengendali atau laporan,
rekonsiliasi jumlah total dalam database dengan jumlah total yang dibuat terpisah; pelaporan penyimpangan, pemeriksaan
sirkulasi data, penggunaan label nama file serta mekanisme perlindungan penulisan; mekanisme perlindungan database,
pengendalian konversi data;
5. Pengendalian output
Output komputer yang
tidak akurat dan tidak
lengkap Prosedur untuk memastikan bahwa output sistem sesuai
dengan tujuan integritas, kebijakan, dan standar organisasi; peninjauan visual output komputer, rekonsiliasi jumlah total
batch; distribusi output secara tepat; output rahasia yang dikirim telah dilindungi dari akses dan modifikasi yang tidak
diotorisasi, serta kesalahan pengiriman; Output rahasia atau sensitif disimpan dalam area yang aman; pemakai meninjau
kelengkapan dan akurasi output komputer; menyobek output rahasia yang tidak lagi dibutuhkan; laporan kesalahan dan
penyimpangan
6. Pengendalian transmisi data
Akses yang tidak memiliki
otorisasi terhadap data
yang ditransmisi
Awasi jaringan untuk mendeteksi poin-poin yang lemah, back-up komponen, desain jaringan untuk mengatasi
pemrosesan puncak; pemeliharaan pencegahan; enkripsi data, verifikasi routing label judul, skema pembuktian
keaslian bersama, sistem pemanggilan kembali, pemeriksaan kesamaan, dan prosedur pengenalan pesan
Sumber: Marshall dan Romney, 2006
3. Sistem Penggajian Karyawan
