KONTROL UNTUK MEMBANGUN SEBUAH KEMANAN TI YANG EFEKTIF LINGKUNGAN HIDUP

BAB 19

KONTROL UNTUK MEMBANGUN SEBUAH KEMANAN TI YANG EFEKTIF LINGKUNGAN HIDUP

KEKHAWATIRAN mengenai keamanan teknologi informasi (TI) mungkin merupakan masalah utama yang berdampak pada auditor TI. risiko dan insiden keamanan TI adalah topik yang membuat berita utama.  Risiko keamanan TI ini merupakan keprihatinan yang lebih besar di dunia saat ini dari koneksi internet yang luas dan meningkatkan ketergantungan pada strategi komputasi awan. Komite Audit Enter-prise dan manajemen senior seringkali merupakan pihak yang membaca tentang pelanggaran keamanan TI di tempat lain dan sering mempertanyakan eksekutif kepala audit (CAE) dan auditor TI tentang keamanan TI perusahaan.

Untuk mendapatkan jaminan tentang keamanan TI yang efektif, perusahaan harus membangun dan membangun lingkungan keamanan TI yang efektif. Auditor TI dapat membantu proses ini dengan menggunakan pengetahuan mereka tentang kontrol internal yang efektif untuk meninjau kontrol keamanan TI yang ada dan bertindak sebagai konsultan internal untuk membantu memperbaikinya.

Bab ini akan berfokus pada pembangunan lingkungan keamanan TI yang efektif dari tiga perspektif. Sebagai topik kedua, kita akan mengeksplorasi cara-cara untuk membangun keamanan perimeter TI yang efektif. Sementara pusat operasi komputer yang terkunci dari hari mainframe adalah kurang dari risiko hari ini, risiko keamanan jauh lebih besar di saat ini berbasis Internet e-commerce lingkungan di mana kontrol jaringan menentukan perimeter keamanan.

Sebagai topik ketiga untuk bab ini, kami akan mendiskusikan pentingnya membangun strategi keamanan yang efektif di seluruh perusahaan.  Sama seperti kode etik karyawan menetapkan beberapa aturan tingkat tinggi untuk semua pemangku kepentingan perusahaan, strategi keamanan TI yang efektif menetapkan beberapa aturan terkait keamanan TI. Auditor TI harus menyadari praktik terbaik yang efektif atau baik di bidang ini dan harus menggunakan ini untuk membuat rekomendasi keamanan TI yang efektif dalam ulasan audit mereka.

STANDAR keamanan yang diterima secara umum baik melalui pekerjaan mereka sendiri, kontak dengan auditor internal keuangan, atau auditor eksternal mereka, banyak auditor TI yang menyadari apa yang disebut prinsip akuntansi dan standar audit yang umum diterima (GAAP dan GAAS, masing-masing). Mereka tidak Point-by-Point aturan tertentu tetapi set umum praktik yang baik auditor eksternal telah digunakan selama bertahun-tahun.

Dengan pendekatan yang mirip dengan GAAP dan GAAS, auditor IT dan manajemen TI perusahaan memiliki GSSP sebagai seperangkat praktik terbaik untuk mengembangkan praktik dan standar keamanan TI yang efektif.  GASSP adalah seperangkat konsensus prinsip, standar, Konvensi, dan mekanisme terkait keamanan TI yang harus mempekerjakan praktisi keamanan TI, bahwa produk pengolahan informasi harus menyediakan, dan pemilik informasi harus mengakui untuk memastikan keamanan informasi dan sistem TI mereka. GASSP berhubungan dengan keamanan informasi fisik, teknis, dan administratif serta mencakup prinsip keamanan yang luas dan fungsional dan terperinci.

Asal-usul GASSPs kembali ke 1990 ketika Dewan riset Nasional AS menerbitkan komputer beresiko (mobil), 1 dalam apa yang menjadi buku tengara yang menekankan kebutuhan mendesak bagi Amerika Serikat untuk lebih memfokuskan perhatian pada keamanan informasi. Dokumen GASSP adalah hasil langsung dari rekomendasi kunci dari laporan mobil yang menyerukan pengembangan seperangkat prinsip keamanan sistem yang secara umum diterima yang akan memberikan definisi yang jelas tentang fitur penting keamanan TI, seperti dan praktik.

Yayasan keamanan informasi internasional (I2SF), sebuah unit dari sistem informasi internasional Sertifikasi keamanan konsorsium (ISC) 2 yang juga mensponsori sertifikasi CISSP dibahas dalam bab 30, meluncurkan Komite profesional untuk mengembangkan GASSP. Prinsip dalam studi GASSP tidak baru untuk profesi keamanan. Mereka didasarkan pada premis bahwa (hampir) setiap orang harus menerapkannya ketika mengembangkan atau memelihara sistem keamanan IT.

Prinsip GASSP

GASSP didasarkan pada delapan prinsip tingkat tinggi bahwa manajemen, spesialis keamanan TI, dan auditor TI dapat digunakan sebagai jangkar untuk membangun dan program keamanan TI mereka. Prinsip ini dimaksudkan untuk menjadi panduan keamanan saat membuat sistem, praktik, atau kebijakan baru. Mereka tidak dirancang untuk menghasilkan jawaban tertentu, dan harus diterapkan secara keseluruhan, pragmatis dan cukup.  Masing-masing dari delapan prinsip ini dinyatakan sebagai judul bagian satu baris dan dijelaskan dalam daftar berikut:

1. keamanan TI mendukung misi perusahaan. Tujuan keamanan TI adalah melindungi sumber daya perusahaan yang berharga, seperti informasi, perangkat keras, dan perangkat lunak. Sayangnya, keamanan terkadang dipandang sebagai menggagalkan misi perusahaan dengan memaksakan aturan dan prosedur yang kurang dipilih, mengganggu pengguna, manajer, dan sistem. Akibatnya, auditor TI harus menyadari bahwa aturan keamanan yang dipilih dengan baik dan prosedur tidak ada untuk kepentingan mereka sendiri-mereka diletakkan di tempat untuk melindungi aset penting dan mendukung misi organisasi secara keseluruhan.

Keamanan, oleh karena itu, adalah sarana untuk mengakhiri dan bukan akhir dalam dirinya sendiri. Misalnya, praktik keamanan perusahaan yang baik biasanya sekunder dengan kebutuhan mereka untuk menghasilkan keuntungan. Keamanan, kemudian, harus meningkatkan kemampuan perusahaan untuk membuat keuntungan. Setelah peran sistem ini telah didefinisikan, persyaratan keamanan ini kemudian dapat secara eksplisit dinyatakan dalam hal misi perusahaan.

2. keamanan TI adalah elemen integral dari manajemen suara. Sistem TI seringkali merupakan aset penting yang mendukung misi suatu perusahaan. Melindungi aset ini dapat sama pentingnya dengan melindungi sumber daya lain, seperti uang tunai, aset fisik, atau karyawan. Pada akhirnya, manajemen harus memutuskan tingkat risiko apa yang bersedia mereka terima, dengan memperhitungkan biaya kontrol keamanan.

Seperti halnya sumber daya lainnya, pengelolaan informasi dan sistem TI dapat melampaui batas organisasi.  Ketika informasi perusahaan dan sistem TI dihubungkan dengan sistem eksternal, keamanan yang dipekerjakan pada mereka eksternal   sistem dan harus mencari kepastian bahwa sistem eksternal menyediakan keamanan yang memadai untuk kebutuhan perusahaan mereka.

3. keamanan IT harus hemat biaya. Biaya dan manfaat keamanan harus diperiksa dengan cermat baik dalam hal moneter maupun non-moneter untuk memastikan bahwa biaya kontrol tidak melebihi manfaat yang diharapkan. Keamanan harus sesuai dan proporsional dengan nilai dan tingkat ketergantungan pada sistem TI dan keparahan, probabilitas, dan tingkat potensi kerugian. Persyaratan untuk keamanan bervariasi, tergantung pada sistem TI tertentu.

Secara umum, keamanan TI adalah praktik bisnis yang cerdas, dan dengan berinvestasi secara tepat dalam tindakan keamanan, perusahaan dapat mengurangi frekuensi dan tingkat keparahan kerugian terkait keamanan TI. Tindakan pengamanan, seperti sistem kontrol akses yang ditingkatkan, dapat mengurangi kerugian ini secara signifikan. Selain itu, program keamanan suara dapat menggagalkan hacker dan mengurangi frekuensi virus.

Manfaat keamanan memiliki biaya langsung dan tidak langsung. Selain itu, tindakan keamanan terkadang dapat memengaruhi kinerja sistem, semangat karyawan, atau bahkan persyaratan pelatihan ulang. Semua solusi untuk masalah keamanan tidak boleh dipilih jika mereka lebih mahal, dalam hal moneter atau non moneter, secara langsung atau tidak langsung, bukan sekadar toleransi masalah.

4. pemilik sistem memiliki tanggung jawab keamanan di luar organisasi mereka sendiri. Jika sistem memiliki pengguna eksternal, pemiliknya memiliki tanggung jawab untuk berbagi pengetahuan yang tepat tentang keberadaan dan tingkat umum tindakan keamanan sehingga pengguna lain dapat yakin bahwa sistem mereka cukup aman, tetapi tidak menyiratkan bahwa pemilik sistem harus menginformasikan klien atau pengguna mereka tentang sifat keamanan.

Perbedaan antara tanggung jawab dan akuntabilitas untuk keamanan TI tidak selalu jelas. Secara umum, tanggung jawab adalah istilah yang lebih luas, mendefinisikan kewajiban dan perilaku yang diharapkan.  Oleh karena itu, orang bisa bertanggung jawab atas tindakan mereka tetapi mungkin tidak bertanggung jawab.  Misalnya, pengguna anonim pada sistem bertanggung jawab untuk berperilaku sesuai dengan norma yang diterima tetapi tidak dapat dianggap bertanggung jawab jika kompromi terjadi karena tindakan tidak dapat ditelusuri ke individu.

Prinsip ini secara implisit menyatakan bahwa orang dan organisasi memiliki tanggung jawab dan akuntabilitas bersama untuk sistem TI mereka yang dapat dibagikan.  Selain berbagi informasi tentang keamanan, manajer perusahaan harus bertindak dengan cara yang tepat waktu dan terkoordinasi untuk mencegah dan menanggapi pelanggaran keamanan untuk membantu mencegah kerusakan pada orang lain. Namun, mengambil tindakan tersebut seharusnya tidak membahayakan keamanan sistem.

5. tanggung jawab keamanan TI dan akuntabilitas harus dibuat eksplisit. Tanggung jawab yang terkait dengan keamanan dan akuntabilitas pemilik, penyedia, dan pengguna sistem TI dan pihak lain yang berkaitan dengan keamanan sistem TI harus eksplisit. Namun, elemen ini tidak berarti bahwa akuntabilitas individu harus disediakan untuk semua sistem. Sebagai contoh, banyak sistem penyebaran informasi tidak memerlukan identifikasi pengguna atau menggunakan sarana teknis lainnya identifikasi pengguna dan, oleh karena itu, tidak dapat menahan pengguna bertanggung jawab.

6. keamanan TI memerlukan pendekatan yang komprehensif dan terintegrasi. Menyediakan keamanan TI yang efektif memerlukan pendekatan komprehensif yang mempertimbangkan berbagai bidang di dalam dan di luar bidang keamanan TI serta memperluas seluruh siklus hidup informasi. Untuk bekerja secara efektif, kontrol keamanan sering tergantung pada fungsi yang tepat dari kontrol lain. Banyak ketergantungan seperti itu ada. Namun, tanpa pemahaman yang kuat tentang ketergantungan kontrol keamanan, mereka sebenarnya dapat merusak satu sama lain. Akibatnya, pengguna mungkin keliru percaya bahwa jika sistem mereka telah diperiksa sekali, itu akan selalu bebas virus dan mungkin secara tidak sengaja menyebarkan virus. Pada kenyataannya, saling ketergantungan ini biasanya lebih rumit dan sulit untuk memastikan.

Efektivitas kontrol keamanan juga tergantung pada faktor seperti manajemen sistem, masalah hukum, jaminan kualitas, dan kontrol internal dan manajemen. Banyak saling ketergantungan penting ada yang sering unik untuk lingkungan perusahaan atau sistem.  Manajer harus mengenali bagaimana keamanan IT berhubungan dengan bidang lain dari sistem dan manajemen perusahaan.

7. keamanan IT harus secara periodik reassessed. Sistem IT dan lingkungan di mana mereka beroperasi yang dinamis. Sistem teknologi dan pengguna, data dan informasi dalam sistem, risiko yang terkait dengan sistem, dan keamanan memerlukan-ments yang selalu berubah. Perubahan dalam sistem TI atau lingkungannya dapat membuat kerentanan baru.  Kepatuhan yang ketat terhadap prosedur keamanan jarang terjadi, dan prosedur menjadi usang seiring waktu sehingga perlu untuk menilai kembali keamanan sistem TI secara berkala.

8. keamanan TI dibatasi oleh faktor sosial. Kemampuan keamanan untuk mendukung misi perusahaan mungkin dibatasi oleh faktor seperti itu, karena masalah sosial di mana privasi keamanan dan tempat kerja dapat bertentangan.  Selain itu, kontrol keamanan dapat dimandatkan oleh hukum dalam beberapa kasus. Meskipun privasi adalah masalah sosial yang sangat penting, itu bukan satu-satunya. Arus informasi, terutama antara pemerintah dan warganya, adalah situasi lain di mana keamanan mungkin perlu dimodifikasi untuk mendukung tujuan sosial. Selain itu, beberapa tindakan autentikasi dapat dianggap invasif di beberapa lingkungan dan budaya.

Tindakan pengamanan harus dipilih dan diimplementasikan dengan pengakuan hak dan kepentingan sah orang lain. Ini mungkin melibatkan menyeimbangkan kebutuhan keamanan pemilik informasi dan pengguna dengan tujuan kemasyarakatan. Keamanan dapat meningkatkan akses dan aliran data dan informasi dengan menyediakan informasi yang lebih akurat dan dapat diandalkan dan ketersediaan yang lebih besar dari sistem. Keamanan juga dapat meningkatkan privasi yang diberikan kepada individu atau membantu mencapai tujuan lain yang ditetapkan oleh masyarakat.

Sebagai auditor TI yang dapat diamati, delapan prinsip GASSP ini tidak definitif tetapi menguraikan kerangka kerja umum yang harus menjadi dasar bagi banyak aspek keamanan TI yang baik. Sebaliknya, delapan prinsip ini harus digunakan untuk membentuk dasar untuk menilai kekuatan dan kelemahan dari setiap sistem keamanan IT atau lingkungan sedang ditinjau.

GASSP sangat dipromosikan melalui materi ISACA dan dirujuk sebagai sumber daya luar melalui situs web Institute of internal auditor. GASSP dapat memberikan dasar untuk lingkungan keamanan TI yang efektif di suatu perusahaan.

Peran GASSP di organisasi TI

Bergerak melampaui delapan prinsip GASSP sebelumnya, sebuah perusahaan, fungsi keamanan IT, dan audit IT yang pasti harus memikirkan kembali dan menata kembali beberapa praktek untuk merangkul GASSP. Prinsip ini meluas alamat sifat informasi keamanan IT kerahasiaan, integritas, dan ketersediaan. Mereka memberikan bimbingan umum untuk membangun dan menjaga keamanan informasi.

Masing-masing bidang ini mungkin berbeda, berdasarkan perusahaan, ukurannya, dan domisili. Kami mulai di pusat pameran ini dengan standar keamanan dan lainnya.

mekanisme, bergerak ke atas tubuh pengetahuan, dan kemudian searah jarum jam ke faktor lain yang diperlukan untuk membentuk lingkungan keamanan yang efektif menggunakan GASSP.

& Standar keamanan, mekanisme, praktik, dan konvensi. Inti dari setiap lingkungan keamanan yang efektif adalah seperangkat standar keamanan perusahaan-spesifik yang kuat, mekanisme, praktek, dan konvensi.  Ini adalah jenis masalah yang harus ditinjau oleh auditor TI dan mudah-mudahan dapat ditemukan efektif dalam peninjauan kontrol umum TI. & Tubuh pengetahuan. Idenya adalah bahwa jika ada pertanyaan tentang beberapa praktik keamanan TI, perusahaan harus kembali ke prinsip yang luas ini untuk menafsirkan dan menyelesaikan masalah apapun.

& Hukum dan peraturan arahan. Setiap perusahaan tunduk pada berbagai dan sering berbeda seperangkat hukum dan peraturan.  Sebuah contoh yang baik di sini dapat ditemukan dalam hukum privasi pribadi yang berbeda jauh dari satu negara ke yang lain. GASSP harus selalu ditafsirkan berdasarkan aturan yang berbeda dan terkadang sering berubah.

& Sumber daya organisasi profesional. Organisasi profesional seperti ISACA atau IIA secara teratur menerbitkan pedoman dan standar yang menambahkan persyaratan baru untuk pendekatan keamanan IT atau perubahan pendekatan.

& Infrastruktur IT dan keamanan produk. Ada berbagai macam aplikasi IT dan infrastruktur produk yang dapat membantu mengarahkan atau memodifikasi pendekatan untuk keamanan TI. Sementara perusahaan tidak harus menginstal produk yang kekurangan prinsip keamanan ini, selalu perlu untuk menyadari setiap karakteristik unik dari setiap hasil yang diinstal dan untuk membuat penyesuaian yang sesuai untuk praktik keamanan TI lainnya.

& Prinsip keamanan GASSP Dewan. Ketika sebuah perusahaan merangkul GASSP, perlu menginstal beberapa orang otoritatif di perusahaan untuk menafsirkan aplikasinya dari GASSP dengan benar. Idenya adalah untuk menunjuk orang yang masuk akal yang memahami prinsip GASSP, dapat menginterpretasikan mereka berdasarkan pertanyaan yang diajukan, dan dapat menjadi Wasit atau wasit saat dibutuhkan.

& Otoritatif dan sumber daya penasehat. Meskipun mereka biasanya tidak menjual jasa konsultasi, perusahaan harus terikat erat dengan ISACA atau (ISC) 2 publikasi dan sumber daya untuk setiap pembaruan dan materi interpretatif lainnya tentang GASSP.

& Pelatihan dan kesadaran. GASSP kurang bernilai bagi suatu perusahaan kecuali para pemangku kepentingan utama dilatih pada prinsipnya. Pengembang sistem khususnya, auditor TI harus mempelajari dan menggunakan kerangka kerja GASSP dalam kontrol internalnya.

& Sertifikasi dan pengujian. Tidak ada sertifikasi GASSP atau pengujian Pro-gram di tempat saat ini, tetapi upaya tersebut akan diperbarui jika ada update signifikan atau perubahan GASSP di masa depan. Namun, dengan dunia yang selalu berubah dan berteknologi maju saat ini serta kekhawatiran keamanan TI yang terus bertambah, GASSP memberikan dasar yang efektif atau kerangka kerja untuk melihat dan menilai keamanan TI.

EFEKTIF KEAMANAN PERIMETER TI

Keamanan perimeter TI sekali disebut lebih sedikit daripada kunci pada pintu ruang komputer dan pintu masuk bangunan kembali pada hari mainframe sistem komputer terpusat. Dinding dan pintu yang mainframe pusat komputer tua mewakili perimeter atau perusahaan operasi TI. Konsep dari perimeter keamanan sekitar sumber daya IT perusahaan sudah pasti berubah, tapi masih ada kebutuhan-bahkan kebutuhan yang lebih besar-untuk yang efektif IT perimeter di lingkungan saat ini.

IT auditor harus memahami dan fokus baik Umum dan aplikasi kontrol ulasan pada konsep IT perimeter keamanan.

MEMBANGUN STRATEGI KEAMANAN WIDE- ENTERPRISE YANG EFEKTIF

Perimeter keamanan dalam IT-Centric dan komunikasi nirkabel dunia saat ini melibatkan arsitektur kompleks dan terus muncul dalam perkembang teknologi. Untuk memastikan sebuah perusahaan memiliki sistem parameter TI eksternal yang aman, semua teknologi yang tepat harus dievaluasi. Dengan mengikuti konsep dasar desain, seperti menggunakan top-down security model mengidentifikasi dan mengevaluasi asset keamanan, menggunakan model connec-tion trust untuk koneksi eksternal dan mengimplementasikan arsitektur zona multiple trust yang sesuai untuk organisasi, sebagaimana parameter arsitektur seharusnya. Pendekatan keamanan top-down adalah dimana senior manager dapat memahami keseriusan dan inisiasi proses, seperti dalam keamanan IT, yang mana secara sistematis turun melalui ranks ke level bawah operation staff. Ini berbeda dengan pendekatan bottom-up, dimana less-senior staff (junior staff) operation menginisiasi proses lalu mereka menemukan rekomendasi usulan persetujuan. Sebagaimana manajemen tidak memiliki informasi tentang apa yang berhubungan dengan anacaman dan implikasinya pada alokasi sumber daya, kemungkinan dampaknya dan metode implementasi keamanan-pendekatan ini memungkinkan kegagalan. Auditor IT bisa saja mengepalai dalam memulai pendekatan top-down dengan mengamankan inisiasi dari komite audit melalui rekomendai audit.  

Parameter keamanan memerlukan implementasi arsitektur yang mempergunakan IT sebelumnya. komponen, berdasarkan pendekatan defense-in-depth untuk keamanan parameter eksternal jaringan, untuk memastikan parameter keamanan jaringan terjaga dengan baik. Sebelum menangani desain dan implementasi jaringan enterprise dan komponenya, arsitektur keamanan harus dikembangkan.

Kenyataannya kebanyakan enterprise saat menyadari kebutuhan akan keamanan, seringkali mengabaikan parameter keamanan IT yanag dibutukan. Sebuaha perusahaan harus mendesain dan mengimplementasikan strategi infrastruktur keamanan dan pendekatannya untuk membantu kebutuhan komunikasi perusahaan dan menjamin keamanan transaksi bisnis di era elektroni ini. Gambar 19.2 Sistem keamanan top-down

Gambar 19.2 Sistem keamanan top-down

Infrastruktur keamanan harus menerapkan sama rata prakoneksi yang sebelumnya dengan yang baru untuk inisiasi koneksi, dan organisasi jaringan harus terlindungi berdasarkan resiko yang mewakili perusahaan.

Level paling atas gambar 19.2 merupakan keamanan kebijakan yang efektif. Auditor IT harus memahami kebijakan keamanan yang ditetapkan sebelumnya. Walaupun kadang-kadang hanya dalam level tertinggi semua kebijakan harus memiliki semua aspek yag dibutuhkan dalam keamanan IT. Keamanan It perusahaan harus berdasarkan prinsip ISO27002, as discussed in Chapter 18, dan juga CobiT from Chapter 2.

Strategi ini harus didukung dengan detail standar keamanan yang mencakup monitoring performa system, menkonfigurasi system sebagai aplikasi dan web server atau mengatur firewall unutk menjaga system tetap dalam zona yang di inginkan. Standarnya harus dalam aplikasi dan os yang spesifik, dan cukup jelas untuk membuat user untuk melakukan aktivitas dalam standar ataupun mengatur system aplikasi.

Keamaanan operasi IT dan auditor IT harus memikirkan tentang parameter keamanan berdasarkan urutan zona kepercayaan. Operation IT harus mengidentifikasi dan mengelompokkan semua koneksi dan system kedalam zona logical security-related. Kunci utama dari klasifikasi keamanan ini adalah untuk mengakses ke internet dan jaringan lainyya seperti pada system vendor. Berikut empat potensi klasifikasi interconnected system:

1.Trusted Systems and Processes. Sistem ini berada persis dibawah control dari organisasi IT. User yang dipercaya dan potensi system mempunyai akses penuh ke system internal.

2.Semi Trusted Systems and Processes. Ini biasanya merupakan vemdor support dan partner bisnis yang memerlukan autentikasi untuk menjaga system yang tidak bisa diakses public

3.Untrusted Systems and Processes. Merupakan sitsem pada konsumen dan proses harus melalui autentikasi akses untuk informasi spesifik dalam system yang public. Sistem ini tidak sepenuhnya aman.

4.Hostile Systems and Process Threats. Merupakan akses yang sangat terbatas dan akses yang tak dikenal mencoba melakukan akses akan terdeteksi secara real time.

Berdasarkan klasifikasi ini, koneksi seperti vendor support, kostumer, anak perusahaan dan partner bisnis, harus di riview dan dikelompokkan dalam level kepercayaan berdasarkan control level yang dapat dijaga. Mengidentifikasikan hal ini dalam organisasi yang besar akan sangat susah. Cara paling efektifnya adalah dengan mengklasifikasikan staff dengan workshop, range pengetahuan akan konsep dan yang familiar dengan projek dalam operasi IT perusahaan.  Walaupun tidak mungkin suatu workshop dapat mengenali semua koneksi, latihan ini akan membantu mengenali mayoritas koneksi dan staff perusahaan yang bertanggung jawab untuk mengenali koneksi ini dan koneksi lainnya.

Koneksi ini dan protocol jaringan koneksinya harus didokumentasikan dan digunakan untuk memgembangkan detail control untuk akses yang dizinkan ke tempat yang seharusnya. Hasilnya, perusahaan harus membagi bagian menjadi beberapa zona kepercayaan.

Klasifikasi system dan proses dalam pemisahaanya harus berdasarkan kategori kepercayaan. Seorang internal IT perusahaan harus mempunyai segmen koneksinya sendiri, termasuk web, mail, domain name, dan server lainnya. Ini akan menghasilkan setiap layanan ini terbagi dalam zona yang berbeda. Desain final dari arsitektur parameter keamanan ini akan bergantung kepada klasifikasi system dan service, tetapi desain dari zona keamanan dan klsifikasi ini merupakan komponen penting parameter keamanan IT.

LATIHAN TERBAIK UNTUK IT AUDIT DAN SECURITY

Berdasarkan studi IT Policy Governance Group sebuah grup IT beranggotakan IIA, ISACA, dan perusahaan seperti ORACLE dan lainnya. Beberapa kunci patokan studi ini adalah:

•1 dari 10 dari organisasi yang di survey (12%) merasakan manfaat terbaik information security dan IT audit dengan level terendah kehilangan data atau pencurian data, gangguan bisnis dan lebih sedikit masalah dalam audit.  Ini membuktikan bahwa audit IT dipandang efektif untuk minoritas perusahaan pada saat sekarang ini, dan masih dibutuhkan banyak perbaikan.

•Mayoritas organisasi meninjau, 7 dari 10(69%) organisasi mengalami lebih banyak kehilangan data atau pencurian data, lebih banyak gangguan bisnis dari kegagalan IT dan lebih sulit untuk melewati regulasi/aturan audit IT. Ini membuktikan bahwa perusahaan terus mengalami kehilangan data dan resiko lainnya.

•Hampir 2 dari 10 organisasi (19%) mengalami hasil terburuk dengan tingginya angka kehilangan data /pencurian data, tingginya gangguan bisnis dan kesulitan dalam audit.

Ini membuktikan bahwa banyak perusahaan mengalami banyak masalah keamanan IT, tapi bermasalah dengan proses audit IT nya sekarang. 

Studi ini menekankan akan pentingnya penggunaan CobiT, sebagaiman di bahas di bagian 2, ITIL dari bagian7, dan ISO security standar, yang diperkenalakan di bagian 18 dan 25. Berdasarkan patokan studi antar banyak perusahaan dan dilakukan secara bertahap oleh organisasi professional IT dan vendor, studi kebijakan IT ini memiliki informasi yang berguna bagi berbagai tema buku ini, dengan penekanan dibeberapa keamanan IT. IT auditor yang tertarik tentang isu ini dapat mengexplor IT Policy Institute di www.itpolicycompliance.com.

NOTES

1. Marjory Blumenthal, Computers at Risk: Safe Computing in the Information Age, National Research Council, System Security Study Committee, DEC, 1990.

2. www.ul.com/global/eng/pages/.

3. Generally Accepted System Security Principles (GASSP), Version 2.0, June 1999, www.isaca.org.

4. Guidance for Best Practices in Information Security and IT Audit, 2009, www                  itpolicycompliance.com.