Audit kontrol pengaksesan data

Manajemen-ti.com — Pada hampir setiap audit atau review yang dilakukan terhadap TI sebuah organisasi, baik yang dilakukan oleh internal auditor maupun auditor eksternal, kontrol akses data merupakan bagian yang vital. Hal ini wajar saja mengingat risiko yang inheren ada padanya terhadap baik aplikasi, data maupun sistem secara umum. Apalagi dalam perkembangannya volume data terus bertambah besar, sementara disisi lain aktifitas-aktifitas yang membahayakan keamanan juga semakin banyak dan inovatif. Mengevaluasi kontrol akses terhadap data mungkin memang bukan satu-satunya yang harus dilakukan dalam sebuah Audit TI tapi jelas semua sepakat bahwa ia adalah salah satu hal utama yang amat vital. Seperti kata Thomas E. Gault, “He, who has data, has knowledge and he, who has knowledge, has power.

OK, hal pertama yang mesti kita ketahui adalah bagaimana cara seseorang dapat mengakses data. Normalnya untuk mengakses sebuah data adalah melalui aplikasi yang mengelolanya, yaitu aplikasi yang meng-create data, edit, pemeliharaan dan pelaporan data. Tapi mesti diingat bahwa cara ini bukan satu-satunya jalan untuk bisa mengakses data. Masih ada jalan-jalan lain seperti melalui network operating system (NOS), melalui server utama, lewat database, dan sistem operasinya. Setiap komponen ini memiliki risiko serta perannya masing-masing dalam konteks keamanan data.

(Baca juga: Antara Membagi atau Merahasiakan Informasi)

Jika diibaratkan sebuah rumah, secara umum pengaksesan data itu dapat dilakukan melalui “pintu depan” dan “pintu belakang”. Akses melalui “pintu depan” adalah cara normal melalui aplikasi yang seharusnya dan fungsionalitas yang tersedia didalamnya. Misalnya untuk mengakses data SDM, maka yang dimaksud akses melalui “pintu depan” adalah akses melalui aplikasi manajemen SDM (HRIS, SIMPEG, atau apapun namanya) dan mungkin aplikasi lain yang memang memiliki fungsionalitas resmi yang menggunakan data SDM (misal: payroll, absensi, dll). Itulah yang dimaksud akses data melalui “pintu depan”.

Sedangkan akses melalui “pintu belakang” adalah cara untuk mengakses data melalui cara-cara selain lewat aplikasi resminya. Beberapa personil tertentu bisa saja memiliki akses langsung terhadap data dengan menggunakan alat bantu lain selain aplikasi resminya. Beberapa peran tertentu dalam organisasi TI seperti system administrator, server administrator, network administrator, DBA, dan OS administrator adalah diantara orang-orang yang dapat memiliki akses terhadap data melalui “pintu belakang” ini. Peran-peran ini jelas berisiko karena mereka memiliki kemudahan akses data tanpa kontrol yang memadai. Pada perusahaan kecil dan menengah, seringkali peran-peran tersebut dirangkap-rangkap oleh satu orang. Kondisi organisasi tanpa pemisahan tugas dan tanggung-jawab (segregation of duties) yang benar seperti ini jelas akan melipat-gandakan risiko terhadap keamanan data.

Untuk mengevaluasi kontrol terhadap pengaksesan terhadap data, selain cara aksesnya (“pintu depan” dan “pintu belakang”) juga perlu mempertimbangkan status kondisi dari data (data state) yang mungkin dialami data. Secara sederhana terdapat tiga status keberadaan setiap data, yaitu: data yang sedang dalam pemrosesan (in process), data yang sedang dalam perjalanan (in transit), dan data yang sedang tidak digunakan (at rest). Setiap data dengan ketiga kondisi ini dapat diakses melalui salah satu metode yang disebutkan sebelummya. Lebih jelasnya dapat dilihat pada tabel berikut ini:

Metode Status Data
In Process In Transit At Rest
Aplikasi
Network/NOS
Server
Database Management System (DBMS)
DBA
OS

Tabel di atas menunjukkan matriks risiko akses antara metode akses dengan status datanya. Jadi misalnya metode akses data melalui aplikasi, NOS, dan server memiliki risiko akses pada data yang berstatus “in-process” dan “in-transit”. Sedangkan pengaksesan melalui DBMS memiliki risiko akses pada semua status kondisi data, dan seterusnya seperti terlihat pada tabel tersebut.

Penerapan kontrol terhadap setiap risiko perlu mempertimbangkan status data dan metode akses yang mungkin terhadap data. Misalnya penggunaan teknik Enkripsi yang sering digunakan sebagai kontrol untuk data at rest dan in-transit. Penggunaan protokol dan konektifitas yang aman juga penting untuk data “in transit”, apalagi kalau data tersebut melalui jalur publik seperti Internet. Kontrol lain yang umum juga digunakan untuk pengamanan data “in-transit” ini adalah yang kita kenal dengan Secure Socket Layer (SSL) dan Virtual Private Network (VPN). Sedangkan untuk data dalam keadaan “in-process” tentu membutuhkan kontrol yang berasal dari aplikasi yang mengaksesnya untuk menjamin integritasnya. Metode-metode akses lainnya (NOS, server, OS dan DBMS) sebenarnya bisa meningkatkan atau bisa juga mengurangi tingkat risiko keamanan data.

Sejauh mana tingkat risiko keamanan data dan bagaimana kontrol yang diterapkan padanya merupakan tugas yang mesti dilakukan dalam mengevaluasi kontrol akses terhadap data. Walaupun tentunya mesti disesuaikan dengan obyektif dari auditnya. [manajemen-ti/picture:wireframe]

Oleh: Umar Alhabsyi, MT, CISA, CRISC.

Merupakan konsultan senior IT Management, pendiri sekaligus direktur iValueIT Consulting (PT IVIT Konsulindo).
twitter: @umaralhabsyi.