PENGENDALIAN SISTEM INFORMASI

BERBASIS KOMPUTER

(BAGIAN II)

Sub Pokok Bahasan :

- Pengendalian Internet dan Intranet

- Pengendalian Pertukaran Data Elektonik

- Pengendalian Komputer Pribadi

- Pengendalian Aplikasi

Rangkuman Eksposur dan kontrol SBIK

Wilayah Risiko Sifat Eksposur Teknik Kontrol

1. Internet dan Intranet

2.Pertukaran Data

Elektonik

3. Komputer Pribadi

Kerugian, penghancuran, dan

korupsi data karena kegagalan

peralatan dan tindakan subversif

dari dalam organisasi melalui

internet.

Pemrosesan yang tidak salah,

tidak memiliki otoritas, dan

transaksi yang illegal.

Kerugian keutungan karena

kesalahan program dan penipuan

karena pemisahan fungsi-fungsi

yang tidak memadai.

Peralatan pengendalian kegagalan..

Subversive pengendalian ancaman.

Pengendalian pesan.

Kontrol otorisasi dan validasi,

kontrol akses, Kontrol jejak audit

yang diimplementasikan pada

berbagai titik dalam sistem mitra

usaha dan pada VAN

Kontrol organisasi, kontrol akses,

kontrol cadangan, kontrol pemilihan

sistem dan akuisisi, penguncian

disket, enskripsi, kata sandi

multilevel.

1. Pengendalian Internet dan Intranet

1

Pada bab sebelumnya telah dibahas karakteristik operasional dari beberapa topologi

jaringan yang digunakan dalam internet dan komunikasi intranet. Topologi jaringan ini terdiri

atas berbagai konfigurasi, yaitu: (1) garis komunikasi (kabel-kabel twisted-pair, kabel

koaksial, gelombang mikro, dan serat optik), (2) komponen perangkat keras (modem,

multiplexer, server, dan prosesor front-end), serta (3) perangkat lunak (protokol dan sistem

kontrol jaringan).

Teknologi komunikasi jaringan terbuka mengekspos sistem komputer organisasi pada

dua kategori risiko umum, yaitu:

1. Risiko dari ancaman subversif. Termasuk tindakan criminal computer yang

menyisipkan sebuah pesan yang dikirim antara pengirim dan penerima, pembajak

computer yang mendapatkan akses yang tidak sah ke jaringan organisasi, dan

serangan penyangkalan jasa computer dari alokasi internet yang jauh.

2. Risiko dari kegagalan peralatan. Misalnya , transmisi diantara pengirim dan penerima

dapat dikacaukan , dirusak , atau dikorupsi oleh kegagalan peralatan dan system

komunikasi.

I.I Pengendalian Risiko dari Ancaman Subversif

a. Firewall

Firewall merupakan sistem yang menjaga kontrol akses di antara dua jaringan.

Untuk mewujudkan hal ini:

semua lalu lintas antara jaringan luar dan intranet organisasi harus melalui

firewall tersebut,

hanya lalu lintas yang sah antara organisasi dan pihak luar, yang ditentukan

oleh kebijakan keamanan formal, yang diizinkan melalui firewall,

Firewall harus kebal dari penyusup, baik dari dalam maupun luar organisasi.

Selain melindungi jaringan organisasi dari jaringan eksternal, firewall juga

dapat digunakan untuk melindungi bagian-bagian intra-net organisasi dari akses

internal.

Firewall tingkat jaringan (network-level firewalls) memerlukan biaya yang

sedikit dan kontrol akses keamanan yang rendah. Firewall ini menerima atau menolak

2

permintaan akses berdasarkan peraturan penyaringan (filtering rules) yang telah

diprogramkan di dalamnya.

Firewall tingkat aplikasi (application-level firewalls) menyediakan keamanan

jaringan pesanan tingkat tinggi, sangat mahal biayanya. Sistem ini dikonfigurasikan

untuk menjalankan aplikasi-aplikasi keamanan yang disebut proxies yang

memungkinkan layanan rutin seperti e-mail untuk dapat menembus firewall, tetapi

tetap dapat menjalankan fungsi-fungsi yang canggih seperti logging atau menentukan

otentisitas pemakai untuk tugas-tugas tertentu.

b. Pengontrolan Penolakan terhadap Serangan Pelayanan

Ketika seorang pemakai sistem terkoneksi dengan internet melalui TCP/IP,

sebuah hubungan server penerima kemudian mengenal permintaan tersebut dengan

mengembalikan sebuah paket SYN/ACK. Akhirnya mesin tuan rumah yang melakukan

inisiatif menanggapinya dengan sebuah kode paket ACK. Para pembajak dan

penyusup komputer telah melakukan tindakan kriminal yang disebut menolak

serangan pelayanan (denial of service attack), dimana penyerang mengirim ratusan

paket SYN kepada penerima yang ditargetkan tetapi tidak pernah menanggapinya

dengan sebuah SCK untuk menyelesaikan hubungan tersebut. Akibatnya, server

penerima dimacetkan oleh permintaan komunikasi yang tidak selesai, yang

menghambat penerimaan dan pemrosesan transaksi sah. Organisasi yang diserang

telah dihalangi untuk menerima pesan internet selama berhari-hari.

Terdapat dua tindakan yang dapat dilakukan oleh pihak manajemen dan

akuntan untuk membatasi eksposur, yaitu:

1. Pertama, situs-situs internet yang dilengkapi dengan firewall harus terlibat

dalam kebijakan tanggung jawab sosial.

2. Kedua, keamanan perangkat lunak tersedia untuk situs-situs yang menjadi

sasaran, yang dapat menyaring hubungan-hubungan yang setengah terbuka

(half-open connections).

c. Enkripsi

Enkripsi adalah konversi data menjadi kode rahasia untuk disimpan dalam

database dan ditransmisikan melalui jaringan. Pengirim menggunakan algoritma

enkripsi yang mengkonversi pesan original yang disebut cleartext ke kode yang

ekuivalen yang disebut ciphertext. Pada akhir penerimaan, ciphertext dibalikkan

3

(didekripsikan) lagi menjadi clear-text. Algoritma enkripsi ini menggunakan sebuah

kunci, berupa nomor biner yang panjangnya 56 sampai 128 bit. Semakin banyak bit-

nya dalam kunci tersebut, semakin kuat metode enkripsinya.

Enkripsi Kunci Privat. Standar enkripsi data atau Data Encryption Standar

(DES) menggunakan sebuah kunci tunggal yang dikenal pengirim dan

penerima pesan. Gambar berikut mengilustrasikan teknik ini.

Masalah utama dalam pendekatan DES adalah seorang penyusup dapat

menemukan kunci tersebut, kemudian menahan dan berhasil menerjemahkan kode

tersebut. Semakin banyak individu yang mengetahui kunci tersebut, semakin besar

kemungkinan kunci tersebut jatuh di tangan yang salah.

Enkripsi DES-lipat tiga (triple-DES encryption) merupakan kemajuan dalam

standar DES yang tingkat keamanannya lebih tinggi. Dua bentuk enkripsi

DES-lipat tiga adalah EEE3 dan EDE3. EEE3 menggunakan tiga kunci yang

berbeda untuk mengenkripsikan pesan sebanyak tiga kali. EDE3

menggunakan sebuah kunci untuk mengenkripsikan pesan. Kunci yang kedua

digunakan untuk menguraikan kode tersebut. Pesan yang diterima

membingungkan karena kunci yang digunakan untuk memecahkan kode

rahasia berbeda dengan kunci yang membuatnya. Akhirnya, kunci ketiga

digunakan untuk menguraikan pesan yang membingungkan tersebut.

Penggunaan banyak kunci ini sangat mengurangi kemungkinan dipecahkannya

cipher-text oleh orang-orang yang tidak berkepentingan.

4

Enkripsi Kunci Publik. Teknik enkripsi kunci publik menggunakan dua kunci

yang berbeda: satu kunci untuk mengkodekan pesan-pesan dan kunci lainnya

untuk membuka kode pesan-pesan. Setiap penerima pesan memiliki satu kunci

pribadi dan satu kunci publik yang dipublikasikan. Pengirim pesan

menggunakan kunci publik penerima untuk mengenkripsikan pesan.

Kemudian, penerima menggunakan kunci pribadinya untuk mendekripsikan

pesan tersebut. Pemakai tidak perlu memberikan kunci-kunci pribadi mereka

untuk mendekripsikan pesan sehingga mengurangi kemungkinan jatuhnya

kunci-kunci itu di tangan orang-orang yang berniat jahat.

d. Tanda Tangan Digital

Tanda tangan digital merupakan otentikasi elektronika yang tidak dapat dipalsukan.

Teknik ini memastikan bahwa pesan atau dokumen yang dikirim berasal dari

pengirim yang sah dan bahwa pesan itu tidak bisa diubah-ubah setelah dokumen itu

ditandatangani. Tandatangan digital diambil dari ringkasan perhitungan yang telah

dienkripsikan dengan kunci pribadi pemakai.

e. Sertifikat Digital

Untuk memverifikasi identitas pengirim diperlukan sebuah sertifikat digital, yang

dikeluarkan oleh pihak ketiga yang dipercaya, yang disebut otoritas sertifikasi

(certification authority-CA). sebuah sertifikat digital digunakan dalam hubungannya

dengan sebuah sistem enkripsi kunci public untuk membuktikan keaslian (otentikasi)

pengirim pesan. Proses sertifikasi ini bervariasi bergantung pada tingkat sertifikasi

yang diinginkan.

f. Pesan dengan Penomoran Berurutan

Seorang penyusup dalam saluran komunikasi mungkin berusaha menghapus pesan

dari arus pesan-pesan yang ada, mengubah urutan pesan yang diterima, atau

menjiplak pesan. Melalui pemberian nomor pesan yang berurutan (message sequence

numbering), sebuah nomor yang berurutan disisipkan dalam setiap pesan, dan setiap

usaha seperti itu akan menjadi jelas pada akhir penerimaan.

g. Catatan Harian Pesan

Seorang penyusup mungkin berhasil menyusup ke dalam sistem dengan

menggunakan kata sandi yang berbeda dan kombinasi Nomor Pengenal (ID) pemakai.

Oleh karena itu, semua pesan yang masuk dan keluar, juga setiap usaha akses (gagal),

akan dicatat dala sebuah catatan harian transaksi pesan (message transaction log).

5

Catatan ini harus mencatat ID pemakai, waktu akses, dan likasi terminal atau nomor

telepon, tempat akses berasal.

h. Teknik Permintaan – Tanggapan

Seorang penyusup mungkin berusaha untuk megabite atau menunda penerimaan

pesan dari pengirim pesan. Ketika pengirim dan penerima tidak melakukan kontak

secara kontinu, penerima mungkin tidak mengetahui bahwa saluran komunikasi telah

diinterupsi dan bahwa pesan itu telah diubah. Dengan teknik permintaan-tanggapan

(request-response technique), sebuah pesan control dari pengirim pesan dan

tanggapan dari pihak penerima akan dikirimkan secara berkala, dengan jangka waktu

yang sama. Waktu pengiriman pesan harus mengikuti pola acak yang akan sulit

dipecahkan dan diubah oleh penyusup teersebut.

i. Perangkat Menelpon – Kembali

Sebuah perangkat menelepon-kembali (call-back device) mensyaratkan pemakain

untuk memasukkan kata sandi dan diidentifikasi. Sistem ini kemudian menguraikan

untuk memproses keaslian pemakai. Jika sudah diotorisasi, perangkat menelepon-

kembali memutar nomor penelepon untuk membentuk hubungan baru. Ini akan

membatasi akses hanya dari terminal atau nomor telepon yang sah dan mencegah

penyusup menyamar sebagai pemakai yang sah.

I.2 Pengendalian Rsiko Dari Kegagalan Peralatan

a. Kesalahan Saluran

Masalah yang paling umum dalam komunikasi data adalah hilangnya data karena

kesalahan saluran. Sebagian kecil dari struktur pesan dapat dikorupsi melalui suara-

suara ribut dalam saluran komunikasi. Suara ribut ini merupakan tanda-tanda acak

yang dapat mencampuri tanda-tanda pesan ketika mereka mencapai tingkat tertentu.

Tanda-tanda acak ini dapat disebabkan oleh motor listrik, kondisi atmosfir, kesalahan

pemaangan kabel dan komponen-komponen peralatan yang rusak, atau suara-suara

rebut yang berasal dari saluran-saluran komunikasi yang berdekatan. Jika tidak

terdeteksi, sedikit perubahan strukur pada data yang dikirim dapat mengacaukan

perusahaan.

Pemeriksaan Echo. Pemeriksaan echo melibatkan keterlibatan penerima pesan

untuk mengembalikan pesan ke pengirim. Pengirim tersebut membandingkan

pesan yang diterima dengan salinan pesan asli yang disimpan. Jika ada

perbedaan antara pesan yang dikembalikan dan pesan aslinya, berarti

6

kemungkinan terjadi kesalahan dalam pengiriman, dan pesan dikirim ulang.

Teknik ini mengurangi, setengahnya, output dalam saluran-saluran

komunikasi . output ini dapat ditingkatkan dengan mengunakan saluran

dupleks-penuh (full-dulpex), yang memungkinkan kedua pihak mengirimkan

dan menerima pesan pada waktu yang bersamaan.

Pemeriksaan Paritas. Pemeriksaan paritas (kesamaan) menggunakan lebih

banyak bit (bit paritas atau parity bit) dalam struktur barisan bit ketika bit-bit

itu dibuat atau dikirimkan. Paritas dapat berbentuk vertikal atau horizontal

(longitudinal).

b. Kontrol Backup untuk Jaringan

Backup data dalam jaringan dapat diwujudkan melalui beberapa cara yang berbeda,

bergantung pada tingkat kompleksitas jaringan. Dalam jaringan yang kecil, sebuah

stasiun kerja tunggal dapat memiliki backup dan memulihkan fungsi-fungsi untuk

simpul-simpul (node) lainnya. Ketika jaringan semakin bertambah besar dan

melibatkan banyak simpul dan meningkatkan kuantitas pemakaian data secara

bersama-sama, backup biasanya ditetapkan pada jaringan tingkat server.jaringan

tingkat-perusahaan dapat sangat besar dan mencakup berbagai macam server.

Lingkungan jaringan ini akan mengontrol data-data misi-yang-penting, dan adanya

kegagalan sebuah server bisa menunjukkan tanda-tanda kehancuran organisasi.

Karena banyaknya jumah pemakai, jaringan tingkat-perusahaan terus mengalami

perubahan agar dapat mengakomodasi pergeseran dari kebutuhan-kebutuhan tersebut.

Dalam lingkungan dinamis seperti itu, pihak manajemen organisasi harus mampu

mengawasi dan mengontrol prosedur-prosedur backup secara terpusat

2. Pengendalian Pertukaran Data Elektronik (EDI)

Pengertian EDI (Electronic Data Interchange) sendiri adalah salah satu metode

pertukaran bisnis yang mengacu pada bidang bisnis yang sangat komersial dengan

menggunakan standar format yang telah ditentukan serta disepakati bersama oleh sebagian

besar organisasi-organisasi yang ada. EDI sangat bergantung kepada pengembangan format

standar untuk dokumen-dokumen bisnis seperti faktur, pesanan pembelian, dan surat tanda

terima, dan juga harus ada persetujuan dari pelaku-pelaku busnis yang terkait dan pengakuan

di tingkat nasional maupun internasional untuk dapat menggunakan format-format standar ini

7

dan mentransmisikan data secara elektronik. Tujuan diberlakukan EDI adalah agar dapat

membantu para pelaku bisnis untuk mengolah suatu dokumen dengan pihak lain dengan

akurat,cepat serta efisien dalam penyelesaiannya. Apabila proses tersebut dilaksanakan

dengan sebaik mungkin, maka akan terjalin komunikasi yang sangat baik antar sesama pelaku

kegiatan bisnis baik secara internal maupun eksternal. Pengiriman atau transmisi pesan ini

dapat mengubah hubungan langsung di antara mitra-mitra dagang atau berupa hubungan

tidak langsung melalui sebuah jaringan yang bernilai tambah yang disebut VAN (value-

added network).

Pengendalian transmisi data memberikan nilai tambah bagi organisasi yang

menggunakan electronic data interchange (EDI) atau electronic funds transfer (EFT) dalam

mengurangi risiko akses yang tidak memiliki otorisasi terhadap data perusahaan. Risiko-

risiko yang berhubungan dengan pertukaran data elektronik (electronic data interchange)

menyangkut transaksi dan akses yang tidak sah ke berbagai arsip data serta kurangnya

informasi transaksi yang cukup. Dalam lingkungan seperti ini, pengendalian internal yang

baik dapat dicapai dengan menggunakan sejumlah prosedur pengendalian. Akses fisik ke

fasilitas network harus dikendalikan secara ketat. Identifikasi elektronik harus diwajibkan

untuk semua terminal network yang memiliki otorisasi. Prosedur pengendalian akses logis

yang ketat merupakan hal yang penting, dengan password dan nomor telepon penghubung

diubah secara berkala. Enkripsi harus digunakan untuk mengamankan data yang disimpan

serta data yang dikirim. Rincian semua transaksi harus dicatat yang ditinjau ulang secara

berkala untuk mengetahui jika ada transaksi yang tidak valid. Teknik-teknik untuk mengatasi

masalah ini adalah sebagai berikut.

2.1 Otorisasi dan Validasi Transaksi

Baik pelanggan maupun pemasok harus memastikan bahwa transaksi yang sedang

diproses adalah untuk atau/dan mitra dagang yang sah dan telah diotorisasi. Hal ini dapat

diwujudkan dengan 3 hal dalam proses.

Sebagian VAN memiliki kapabilitas untuk memvalidasi kata-kata sandi dan

kode-kode pengenal memakai untuk pemasok dengan mencocokan kata sandi

dan kode pengenal tersebut dengan pelanggan yang sah. Setiap transaksi yang

berasal dari mitra dagang yang tidak sah akan ditolak oleh VAN sebelum

transaksi itu mencapai sistem pemasok.

8

Sebelum dikonversi, perangkat lunak translasi dapat memvalidasi tanda

pengenal mitra dagang dan kata-kata sandinya dengan sebuah file validasi

yang terdapat dalam database.

Sebelum diproses, perangkat lunak aplikasi mitra dagang dapat

memvalidasikan transaksi dengan mengacu ke file-file pelanggan dan

pemasok

yang sah.

9

2.2 Pengendalian Akses

Tingkat kontrol akses dalam sebuah sistem ditetapkan oleh perjanjian dagang di

antara mitra-mitra dagang. Agar EDI berfungsi dengan baik,mitra dagang harus

mengizinkan tingkat akses tertentu ke file-file data privat yang akan dilarang dalam

lingkungan tradisonal. Misalnya, sebelum menempatkan pesanan, sistem pelanggan

mungkin perlu mengakses file-file persedian pemasok, untuk menentukan apakah

persediaannya ada atau tidak. Juga, agar pemasok tidak harus menyiapkan faktur dan supaya

pelanggan tidak harus mencocokannya dengan pesanan pembelian, masing-masing pihak

dapat mengadakan persetujuan bahwa harga pada pesanan pembelian akan mengikat kedua

belah pihak.

Untuk menjaga sistem dari akses-akses yang tidak memiliki otorisasi, setiap perusahaan

harus memiliki file pelanggan dan file pemasok yang sah sehingga pertanyaan-pertanyaan

terhadap database dapat divalidasi dan usaha-usaha akses yang tidak sah dapat ditolak.

10

Pengendalian Akses

2.3 Jejak Audit EDI

Tidak adanya dokumen sumber dalam transaksi EDI mengacaukan jejak audit

tradisonal dan membatasi kemampuan akuntan untuk memverifikasi validitas, kelengkapan,

penetapan waktu, dan keakuratan transaksi. Salah satu teknik yang digunakan untuk

memperbaiki jejak audit adalah dengan mempertahankan sebuah catatan harian kontrol,

yang mencatat arus transaksi melalui setiap tahap sistem EDI. Berikut gambaran pendekatan

jejak audit diterapkan.

11

Sistem EDI dengan Menggunakan Catatan Harian Kontrol Transaksi untuk

Jejak Audit

3. Pengendalian Komputer Pribadi

Teknologi maju dan daya sistem komputer pribadi (PC) modern sangat berbeda dengan

lingkungan operasional yang relatif tidak canggih di tempatnya berada. Terdapat beberapa

risiko yang lebih signifikan dan kemungkinan teknik pengendalian, yaitu :

Kelemahan control akses

Operasi ini melayani lingkungan multipengguna, dan didesain untuk mempertahankan

pemisahan antara pengguna akhir dan memiliki pengendalian tertanam (built-in)

untuk mengizinkan pengguna yang memiliki otorisasi saja yang dapat mengakses data

dan program. Kelemahan pengendalian ini terdapat secara alami di dalam filosofi di

balik desain sistem operasi PC. Pada awalnya, PC dibuat untuk sistem tunggal,

12

sehingga desainnya memudahkan akses, bukan membatasinya. Filosofi ini, meskipun

perlu untuk mendorong komputasi pengguna akhir, kurang sesuai dengan tujuan

pengendalian internal.

Pemisahan Tugas Yang Tidak Memadai

Di dalam lingkungan PC, khususnya yang melibatkan perusahaan-perusahaan kecil,

seorang karyawan dapat mengakses ke banyak aplikasi yang memproses transaksi

yang saling bertentangan. Tingkat otorisasinya serupa, seperti dalam sebuah sistem

manual, yaitu penetapan tugas untuk menjalankan transaksi piutang usaha, utang

usaha, penerimaan kas, pengeluaran kas, dan tanggung jawab buku besar umum,

terletak pada orang yang sama. Dalam kegiatan operasi perusahaan kecil, hanya

sedikit yang dapat dilakukan untuk menghilangkan konflik yang melekat pada tugas-

tugas tersebut.

Prosedur Backup Yang Tidak Memadai

Untuk memelihara integritas data dan program dengan misi yang penting, perusahan

memerlukan prosedur cadangan formal. Cadangan yang memadai untuk file penting

pada kenyataannya lebih sulit untuk diwujudkan dalam lingkungan sederhana

daripada dalam lingkungan yang canggih. Sering kali, karena kurangnya pengalaman

dan pelatihan dengan komputer, pengguna gagal mengapresiasi pentingnya prosedur

pembuatan cadangan sampai akhirnya sudah terlambat untuk itu. Terdapat beberapa

pendekatan pembuatan cadangan, yaitu :

Pengembangan System dan Prosedur Pemeliharaan Yang Tidak Memadai

Lingkungan mikrokomputer tidak memiliki fitur-fitur sistem operasi dan pemisahan

tugas yang diperlukan untuk menyediakan tingkat pengendalian yang diperlukan.

Oleh karenanya, pihak manajemen harus mengompensasi eksposur-eksposur yang

inheren dengan teknik pengendalian yang lebih konvensional. Berikut ini adalah

contoh yang dapat membantu mengurangi risiko tersebut :

1. Menggunakan Peranti Lunak Komerisal

Sampai pada batas tertentu yang mungkin, para pengguna harus membeli peranti

lunak komersial dari pemasok yang kompeten untuk aplikasi akuntansi bagi PC

mereka. Peranti lunak komersial yang dibeli dari pemasok yang kompeten biasanya

akan diuji secara menyeluruh dan sangat bisa diandalkan.

2. Prosedur Pemilihan Peranti Lunak

13

Perusahaan-perusahaan kecil harus menggunakan prosedur pemilihan peranti lunak

yang menjalankan langkah-langkah berikut ini :

Melakukan analisis formal terhadap masalah dan kebutuhan pengguna.

Mengumpulkan penawaran dari beberapa pemasok.

Mengevaluasi produk-produk yang saling bersaing dalam hal

kemampuan mereka untuk memenuhi kebutuhan yang telah

diidentifikasi.

Menghubungi pihak-pihak yang pernah memakai paket peranti lunak

potensial untuk mendapatkan opini mereka tentang produk tersebut.

Melakukan seleksi.

4 . Pengendalian Sistem Aplikasi

Pengendalian aplikasi berkenaan dengan eksposur – eksposur dalam aplikasi

tertentu, seperti system pembayran gaji, pembelian , dan system pengeluaran kas.kontrol

control aplikasi , yang dapat berupa tidakan atau prosedur manual yang di program dalam

sebuah aplikasi, dikelompokan dalam 3 kategori besar : pengendalian input, pengendalian

pemrosesan, dan pengendalian control .

1. Pengendalian input

Komponen pengumpulan data dari system informasi bertanggung jawab untuk

membawa data kedalam system untuk diperoses. Pengendalian input pada tahap

ini berusaha untuk memastikan bahwa transaksi – transaksi tersebut sah , akurat,

dan lengkap. Prosedur input data dapat berupa input yang digerakan oleh

dokumen sumber (batch) atau input langsung (real time).

a. Kelas pengendalian input

Untuk kenyamana penyajian dan menyediakan struktur bagi diskusi ini,

control control input dibagi dalam kelas kelas berikut ini :

Control dokumen sumber

Control pengkodean data

Control batch

Control validasi

Koreksi kesalahan input

System input data yang bersifat umum.

14

Kelompok – kelompok control ini bukan merupaka pembagian yang sama

sekali eksklusif. Sebagian teknik control ini secara logika dapat dimasukan pada

lebih dari satu kelas.

b. Pengendalian dokumen sumber

Dalam system yang menggunakan dokumen sumber untuk memulai transaksi,

harus dilakukan tindakan control yang cermat terhadap instrument –

instrument ini. Misalnya seorang individu yang memiliki akses untuk membeli

pesanan dan menerima laporan dapat membuat sebuahtransaksi pembelian ke

pemasok yang sebeneranya tidak pernah ada . jika dokumen ini dimasukan

dalam arus pemrosesan data,bersama dalam sebuah faktur pemasok rekaan,

system dapat memproses dokumen – dokumen ini seakan akan transaksi itu

merupaka transaksi yang telah terjadi dan sah.

Untuk mengendalikan eksposur jenis ini , organisasi harus

mengimplementasikan prosedur control dokumen- dokumen sumber untuk

memperhatikan setiap dokumen,seperti yang dijelaskan dibawah ini.

Menggunakan dokumen sumber yang sebelumnya telah diberi nomor

urut.

Menggunakan dokumen sumber secara berurutan.

Mengaudit dokumen sumber secara berkala.

c. Pengendalian Pengkodean Data

Pengendalian atau control pengkodean merupakan pemerikasaan terhadap

integritas kode kode data yang digunakan dalam pemrosesan. Sebuah nomor

akun pelanggan, nomor item persediaan, dan sebuah bagan nomor akun adalah

contoh contoh dari kode data. Ada 3 jenis kesalahan yang dapat mengkorupsi

kode data mengerjakan kesalahan menyebabkan kesalahan dalam pemrosesan,

yaitu transkip, transpose tunggal dan transpose jamak.

1. Kesalahan transcript dibagi dalam 3 kelas :

Kesalahan tambahan yang terjadi ketika sebuah digit atau karakter

ekstra ditambahkan pada kode tersebut. Misalya, nomor item

persediaan 83276 dicatat sebagai 832766.

Kesalahan pembulatan terjadi ketika sebuah digit atau karakter

dipindahkan dari akhir kode.

15

Kesalahan subsitusi adalah penggantian satu digit dalam sebuah kode

dengan digit lainnya.

2. Kesalahan transpose tunggal terjadi ketika dua digit yang letaknya

berdampingan dicatat secara terbalik.

3. Kesalahan transpose jamak terjadi ketika digit digit yang letaknya tidak

berdampingan ditukar posisinya.

d. Kendali Batch

Kendali batch merupakan sebuah metode efektif untuk menangani data

transaksi yang jumlahnya sangat banyak melalui sebuah system. Tujuan

kendali atau control batch adalah untuk merekonsiliasi output yang dihasilkan

oleh system dengan input yang pada awalnya dimasukan kedalam system.

Teknik ini menyediakan kepastian bahwa:

Semua record di dalam batch telah diproses.

Tidak ada record yang diproses lebih dari sekali.

Sebuah jejak audit transaksi diciptakan dari data-data input melalui

pemrosesan ke tahap output dari sistem tersebut.

Kontrol batch tidak semata-mata merupaka teknik control input. Pengendalian

batch dilakukan pada semua tahap dalam sistem. Topik ini didiskusikan di

bagian ini karena control batch dimulai pada tahap input.

Mewujudkan tujuan control batch memerlukan pengelompokan transaksi yang

jenisnya sama (seperti misalnya pesanan penjualan) bersama sama dalam

bathces dan kemudian mengontrolnya selama pemrosesan dara. Dua dokumen

digunakan untuk melakukan tugas ini terdiri atas sebuah lembar kerja

transmisi batch (batch transmittal sheet) dan sebuah catatan harian control

batch (batch control log)

1. Lembar kerja transmisi batch (batch transmittal sheet)

Lembar kerja transmisi batch menangkap informasi yang relevan dengan

batch, misalnya:

Sebuah nomor batch yang unik.

Tanggal batch.

16

Sebuah kode transaksi ( menunjukan jenis transaksi, seperti pesanan

penjualan atau penerimaan kas).

Nomor record dalam batch ( perhitungan record).

Total nilai dolar dalam sebuah field keuangan (total control batch)

Total field non-keuangan yang unik (total hash)

2. Catatan Harian Kontrol Batch (batch control log)

Setelah pemrosesan, hasil output dikirimkan ke petugas control data untuk

direkosilasikan dan didistribusikan ke pemakai.petugas tersebut memperbarui

catatan harian control batch untuk mencatat bahwa pemrosesan batch telah

berhasil diselesaikan dengan baik.

e. Kontrol Validasi

Kontrol validasi bertujuan untuk mendeteksi kealahan dalam data transaksi

sebuah data tersebut diproses. Prosedur validasi menjdai prosedur yang paling

efektif ketika mereka dilakukansedekat mungkin dengan sumber transaksi.

Namun demikian, bergantung pada jenis SIBK yang digunakan validasi input

dapat timbul pada berbagai titik dalam sistem. Terdapat tiga tingkat control

validasi input:

Interogasi field

Introgasi Field melibatkan prosedur yang terprogram yang memeriksa

karakteristik data dalam sebuah field. Berikut ini adalah beberapa tipe

umum dari introgasi field.

Pemeriksaan data yang hilang (missing data checks) digunakan

untuk memeriksa isi ada tidaknya bentuk data yang benar

dalam suatu field.

Pemeriksaan data numeric-alfabetis (numeric-alphabetic data

checks) menentukan ada tidaknya bentuk data yang benar

dalam suatu field.

Pemeriksaan nilai-nol (zero-value checks) digunakan untuk

memverifikasi bahwa field-field tertentu dipenuhi dengan

angka-angka nol.

Pemeriksaan batas (limit checks) menentukan apakah nilai

dalam field melampaui batasan yang sudah ditetapkan.

17

Pemerikasaan kisaran (range checks) menetapkan batas atas

dan bawah untuk nilai-nilai data yang dapat diterima.

Pemeriksaan validitas (validity checks) membandingkan nilai-

nilai actual dalam sebuah field dengan nilai-nilai yang dapat

diterima dan diketahui.

Interogasi record

Prosedur introgasi record mensahkan seluruh record dengan

memeriksa relasi diantara nilai-nilai field. Sebagian pengujian yang

biasa dilakukan oleh control ini didiskusikan dalam bagian berikut ini.

Pemeriksaan keadaan yang masuk akal (reasonalbleness

checks) menentukan keadaan masuk akalnya sebuah nilai

dalam suatu field yang telah melewati pemeriksaan batas dan

pemeriksaan kisaran, ketika dinilai bersama dengans fields data

lainnya dalam record tersebut.

Pemeriksan tanda (sign checks) adalah tes-tes untuk melihat

apakah tanda dalam sebuah field benar untuk jenis record yang

sedang diproses.

Pemeriksaan urutan (sequence checks) digunakan untuk

memastikan apakah ada record yang tidak pada tempatnya.

Interogasi file

Tujuan interogasi file adalah untuk memastikan bahwa file yang benar

sedang diproses oleh sistem.

Pemeriksaan label internal (internal label check) memverifikasi

bahwa file yang diproses adalah file yang memang dipanggil

oleh program.

Pemeriksaan versi (version check) digunakan untuk

memverifikasi bahwa versi file yang sedang diproses adalah

benar.

Pemeriksaan masa jatuh tempo (expiration date check)

mencegah dihapusnya sebuah file sebelum masa berlakunya

habis.

18

f. Perbaikan Kesalahan Input

Ketika dideteksi terdapat kesalahan dalam sebuah batch, mereka harus

dikoreksi dan record dimasukkan kembali untuk diproses ulang. Terdapat tiga

teknik penanganan kesalahan yang umum digunakan, yaitu :

Perbaikan Segera. Ketika mendeteksi adanya kesalahan keystroke dan

relasi yang tidak logis, sistem dapat menghentikan prosedur entri data

sampai pemakai sistem memperbaiki kesalahan tersebut.

Menciptakan File Kesalahan. Ketika yang digunakan adalah teknik

validasi yang ditunda, kesalahan-kesalahan individual dapat diberi

tanda bendera, menandakan bahwa pemrosesan mereka ditunda. Pada

akhir prosedur validasi, record yang diberi tanda bendera sebagai

record yang salah, dipindahkan dari batch dan ditempatkan dalam

sebuah file penyimpan kesalahan sementara sampai kesalahan tersebut

dapat diperiksa.

Menolak Batch. Sebagian bentuk kesalahan berkaitan dengan

keseluruhan batch dan tidak secara jelas terkait dengan record

individual. Salah satu jenis kesalahan ini adalah tidak seimbangnya

total pengendalian batch.

2. Pengendalian Pemrosesan

Pengendalian pemrosesan dibagi menjadi tiga kategori, yaitu :

a) Pengendalian Run-to-Run

Pengendalian run-to-run menggunakan angka-angka batch untuk

mengawasi batch seakan-akan ia bergerak dari satu prosedur yang

terprogram (run) ke prosedur terprogram lainnya. Pengendalian ini

memastikan bahwa setiap run dalam sistem ini memproses setiap batch

dengan benar dan lengkap. Penggunaan tertentu dari angka-angka

pengendalian run-to-run, yaitu :

Menghitung Kembali Total Pengendalian. Setelah setiap operasi

besar dalam suatu proses dan setelah setiap run, field jumlah dolar,

19

total hash, dan perhitungan record diakumulasi dan dibandingkan

dengan nilai-nilai korespondensinya yang disimpan dalam record

pengendalian.

Kode Transaksi. Kode transaksi dari setiap record dalam sebuah

batch dibandingkan dengan kode transaksi yang terdapat dalam

record pengendalian.

Pemeriksaan Urutan. Pengendalian pemeriksaan urutan

membandingkan urutan setiap record dalam batch dengan record

sebelumnya untuk memastikan telah dilakukannya proses

penyortiran yang benar.

b) Pengendalian Intervensi Operator

Kadang-kadang sebuah sistem memerlukan intervensi operator untuk

memulai tindakan tertentu, seperti misalnya memasukkan total

pengendalian untuk sebuah batch record, menyediakan nilai parameter

untuk operasi logis, dan mengaktifkan sebuah program dari titik yang

berbeda ketika memasukkan kembali record kesalahan yang setengah

diproses.

3. Pengendalian Jejak Audit

Dalam suatu lingkungan CBIS, jejak audit bisa terpecah-pecah dan sulit diikuti.

Oleh karena itu, menjadi hal yang penting bahwa setiap operasi utama yang

diterapkan pada transaksi didokumentasikan dengan baik. Berikut ini adalah

contoh-contoh teknik yang digunakan untuk melestarikan jejak audit dalam CBIS,

yaitu :

Catatan Harian Transaksi. Setiap transaksi yang berhasil diproses oleh

sistem harus dicatat pada sebuah catatan harian transaksi, yang fungsinya

sama seperti halnya sebuah jurnal. Terdapat dua alasan untuk menciptakan

sebuah catatan harian transaksi, yaitu :

1. Catatan harian transaksi merupakan sebuah record permanen dari

transaksi-transaksi.

2. Tidak semua record dalam file transaksi yang divalidasi dapat berhasil

diproses.

20

Membuat Daftar Transaksi. Sistem harus menghasilkan sebuah daftar

transaksi (hard copy) dari semua transaksi yang berhasil.

Catatan Harian dari Transaksi Otomatis. Beberapa transaksi dipicu

secara internal oleh sistem. Untuk mempertahankan sebuah jejak audit dari

aktivitas-aktivitas ini, semua transaksi yang dihasilkan dari sistem harus

ditempatkan dalam sebuah catatan harian transaksi.

Pembuatan Daftar Transaksi Otomatis. Untuk memelihara pengendalian

atas transaksi otomatis yang diproses oleh sistem, pemakai akhir yang

bertanggung jawab harus menerima sebuah daftar terinci dari semua

transaksi yang dihasilkan dari dalam.

Pengidentifikasi Transaksi Unit. Setiap transaksi yang diproses oleh

sistem harus diidentifikasi secara unik dengan sebuah nomor transaksi. Ini

adalah satu-satunya cara yang praktis untuk melakukan pelacakan

transaksi tertentu dibasis data yang berisi ribuan bahkan jutaan record.

Pembuatan Daftar Kesalahan. Daftar dari semua record yang salah harus

diberikan ke pengguna yang sesuai untuk dapat mendukung koreksi

kesalahan dan penyerahan kembali data-data.

4. Pengendalian Output

Pengendalian output memastikan bahwa output sistem tidak hilang, tidak salah arah, dan

tidak dilanggar. Eksposur untuk jenis ini dapat menimbulkan gangguan serius bagi

kegiatan operasi dan membuat perusahaan merugi dari sisi keuangan. Hal-hal ini dapat

merusak rating kredit perusahaan dan menghasilkan hilangnya diskon, bunga, atau

biaya-biaya penalti. Pilihan-pilihan kontrol yang digunakan untuk melindungi output

sistem dipengaruhi oleh jenis metode pemrosesan yang digunakan. Pada umumnya,

sistem batch lebih sensitif terhadap ekposur dan memerlukan tingkat kontrol yang lebih

besar dibandingkan dengan real-time. Bagian ini akan menjelaskan ekposur-ekposur

output sekaligus kontrolnya untuk kedua metode.

a. Pengendalian Output Sistem Batch

Sistem batch biasanya menghasilkan output dalam bentuk hardcopy, yang

biasanya memerlukan keterlibatan perantaran dalam kegiatan produksi dan

distribusinya. Setiap tahap dalam proses ini rentan terhadap eksposur, dimana

21

setiap output bisa diambil, dicuri, disalin, atau disalahgunakan. Sebuah eksposur

tambahan terjadi ketika ada kesalahan dalam pemrosesan dan pencetakan dan

menghasilkan output yang tidak bisa diterima oleh pemakai akhir. Laporan yang

sebagian mengalami kerusakan atau dikorupsi sering kali dibuang .

Gulungan Output. Dalam operasi pemrosesan data skala besar, perangkat output

seperti saluran printer dapat dipenuhi oleh tumpukan banyak program pada waktu

yang bersamaan menuntutsumber daya yang terbatas yang dapat menimbulkan

situasi bottleneck (mempengaruhi output yang dihasilkan sistem). Untuk

mengurangi dan meringankan beban yang memenuhi memori komputer, aplikasi-

aplikasi sering kali didesain untuk mengarahkan output mereka ke sebuah kaset

file magnetis daripada langsung ke printer, hal ini disebut spooling

(penggulungan). Penciptaan sebuah file output sebagai langkah perantara dalam

proses pencetakan membuka peluang bagi ekposur tembahan. Seorang kriminal

komputer dapat menggunakan kesempatan ini untuk melakukan tindakan yang

ilegal berikut :

1. Mengakses file output dan mengubah nilai-nilai data penting

2. Mengakses file dan mengubahjumlah salinan output yang akan dicetak

3. Membuat satu salinan dari file output untuk menghasilkan laporan-laporan

output yang ilegal

4. Menghancurkan file output sebelum tahap pencetakan dimulai

Auditor harus selalu waspada terhadap eksposur potensial ini dan memastikan

bahwa prosedur akses dan backup yang benartelah dilakukan untuk melindungi

file output.

Program Pencetakan. Program-program pencetakan sering kali merupakan

sistem yang kompleks dan memerlukan intervensi operator. Empat tindakan yang

biasa dilakukan oleh opertaor adalah :

1. Menunda program pencetakan untuk memalsukan jenis dokumen output

yang benar.

2. Memasukkan parameter yang diperlukan oleh print-run

3. Memulai kembali print-run pada titik pemeriksaan sebelumnya

4. Memindahkan output yang sudah dicetak dari printer untuk diperiksa dan

dibagikan

22

Kontrol program pencetakan didesain untuk menangani dua jenis eksposur yang

disajikan oleh lingkungan ini : (1) produksi salinan output yangsecara tidak sah,

dan (2)karyawan yang melihat-lihat ke data-data yang sensitif. Untuk mencegah

operator melihat yang sensitif, kertas khusus yang memiliki banyak bagian

dengan lembar atas kertas diberi warna hitam agar tidak dapat terbaca, contoh

seperti ini sering kali digunakan untuk slip pembayaran gaji. Salah satu kontrol

privasi alternatif lainnya adalah dengan mengarahkan output ke sebuah printer

khusus yang letaknya terpisah dan dapat diawasai dengan lebih teliti.

Meluap. Ketika laporan output dipindahkan dari printer , mereka memasuki tahap

peluapan yaitu dipenuhi oleh banyak dokumen hasilpencetakan yang perlu

dipisah-pisahkandan disusun.

Sampah. Sampah output dari komputer mewakili salah satu eksposur potensial,

penting untuk membuang laporan-laporan yang tidak terpakai secara benar

Kontrol Data. Kelompok kontrol data bertanggung jawab untuk memverifikasi

akurasi output komputer sebelum data tersebut didistribusikan kepada pemakai.

Distribusi Laporan resiko utama yang berkaitan antara lain resiko hilang atau

dicurinya dokumen atau kesalahan dalam pengiriman laporanke pemakai. Untuk

laporan-laporan yang sangat sensitif, teknis distribusi berikut ini dapat digunakan :

1. Laporan tersebut bisa diletakkan dalam sebuah kotak surat yang aman di

mana hanya pemakainya saja yang memiliki kunci kotak surat tersebut

2. Penetapan bahwa pemakaianya secara pribadi harus datang

kepusatdistribusi dan mendtanda-tangani laporan tersebut

3. Laporan tersebut dikirimkan oleh seorang tugas keamanan atau kurir

khusus

Kontrol Pemakai Akhir. Ketika sudah berada ditangan pemakai, laporan tersebut

harusdiperiksa kembali untuk melihat jika ada kesalahan yang mungkin terlewati

oleh petugas kontrol. Ketika laporan tersebut memenuhi fungsinya, laporan

23

tersebut harus ditempatkan dalam lokasi yang aman sampai periode penahanannya

berakhir. Faktor-faktor yang mempengaruhi lamanya sebuah laporan hardcopy

dipertahankan antara lain :

1. Persyaratan hukum yang diminta oleh agen-agen pemerintah

2. Jumlah salinan laporan yang ada

3. Adanya laporan dalam bentuk kaset magnetis atau gambar-gambar optikal

dapat menjadi backup permanen

Ketika tanggal retensi (penahanan laporan) tersebut telah berlalu, laporan tersebut

harus dihancurkan dengan cara yang konsisten, sesuai dengan tingkat sensitivitas

dari laporan tersebut.

b. Mengendalikan Sistem Real-Time

Sistem real-time mengarahkan output langsung ke layar komputer pemakai,

terminal, atau printer. Metode ini banyak menghapus perantara dalam

perjalanan data dari pusat komputer ke pemakai dan karenanya mengurangi

banyak eksposur. Ancaman terbesar bagi output real-time adalah tindakan

penghentian , gangguan, penghancuran, atau korupsi terhadap pesan-pesan

output ketika mereka melewatii aliran komunikasi. Ancaman ini bersumber

dari dua eksposur :

1. Eksposur dari kegagalan peralatan

2. Eksposur dari tindakan subversif

24