Tulisan 1 Audit Teknologi Sistem Informasi - Framework dan Auditor

Framework yang digunakan sebagai IT Auditor:
NIST 800-14

Framework NIST 800-14 adalah sebuah framework buatan NIST (The National Institute of Standard and Technology) yang didesain untuk memberikan panduan dasar terhadap berbagai lembaga maupun perusahaan untuk melakukan penyusunan dan peninjauan strategi keamanan sistem TI milik lembaga dan perusahaan tersebut. Isi dari framework ini meliputi berbagai persyaratan keamanan khusus yang wajib untuk dipatuhi oleh semua lembaga dan perusahaan dalam rangka mengamankan sumber daya TI secara benar.

Berikut ini adalah beberapa persyaratan kunci dari NIST 800-14 yang wajib dipatuhi oleh lembaga dan perusahaan:

1) Akuntabilitas perorangan dengan melacak tindakan pengguna
Berdasarkan peraturan yang diberikan oleh NIST, setiap pengguna dalam suatu sistem memiliki tanggungjawab atas seluruh tindakan yang mereka lakukan dalam penggunaan sumber daya yang terdapat pada sistem tersebut.
2) Rekonstruksi tindakan pengguna dengan investigasi pasca kejadian
NIST mewajibkan bagi setiap perusahaan atau lembaga untuk merekam setiap aktivitas yang terjadi dalam sistem, dengan setiap rekam jejak tersebut memiliki informasi yang cukup untuk mengetahui kejadian apa saja yang terjadi serta siapa atau apa yang menjadi penyebab dari kejadian tersebut, termasuk dalam hal ini kejadian pembobolan data dalam sistem.
3) Deteksi intrusi saat terjadi kejadian atau pasca kejadian
Rekam jejak aktivitas dari seorang penguna dalam suatu sistem akan berguna pada proses untuk mendeteksi terjadinya intrusi pada sistem tersebut. Kecepatan dan ketepatan dalam mendeteksi dan menghapus intrusi tersebut akan mencegah data yang terdapat di dalam sistem dari bahaya terkena masalah akibat intrusi tersebut. Jika gagal, maka ini akan menimbulkan kerusakan pada data yang bahkan berdampak pada masalah dari lembaga atau perusahaan itu sendiri.
4) Identifikasi masalah melalui audit dan pengawasan
Perangkat keamanan yang dipergunakan dalam melindungi sistem dari masalah seperti pembobolan data dan serangan-serangan siber dapat pula dipergunakan untuk membantu proses audit dan pengawasan yang berfungsi untuk melakukan identifikasi masalah pada sistem seperti tidak berjalannya integrasi dengan baik dan perubahan pada kode.

Framework NIST 800-14 ini dipilih oleh penulis sebagai framework audit TI jika penulis berada di posisi sebagai auditor TI, dengan alasan utama yaitu framework ini memberikan persyaratan serta contoh dari praktik terbaik dalam penerapan keamanan sistem TI secara menyeluruh. Praktik terbaik penerapan keamanan sistem TI yang diberikan di framework NIST 800-14 meliputi hal-hal sebagai berikut:

1) Kebijakan
2) Pengelolaan program
3) Pengelolaan risiko
4) Perencanaan siklus hidup
5) Masalah pengguna
6) Persiapan terhadap hal tak terprediksi dan bencana
7) Penanganan insiden keamanan komputer
8) Kewaspadaan dan pelatihan
9) Pertimbangan keamanan dalam dukungan komputer dan operasi
10) Keamanan fisik dan lingkungan
11) Identifikasi dan otentikasi
12) Kendali akses logis
13) Jejak audit
14) Kriptografi

Selain itu, berbagai persyaratan dan praktik terbaik yang dijelaskan di dalam framework NIST 800-14 juga mempertimbangkan dampak jangka panjang dari segala macam masalah keamanan yang dapat saja menyerang sistem TI setiap saat, seperti pembobolan data, perusakan sistem secara jarak jauh dan sebagainya. Ini dikarenakan apabila masalah tersebut terjadi maka dampaknya akan membuat perusahaan atau lembaga yang memiliki sistem tersebut akan kehilangan berbagai aset data penting yang umumnya merupakan data rahasia yang tidak boleh diketahui oleh pihak di luar perusahaan atau lembaga tersebut, atau bahkan harus mengeluarkan uang lebih untuk memulihkan sistem TI milik mereka dalam jangka waktu yang cukup panjang.