BAB 7 PENGENDALIAN DAN SISTEM INFORMASI AKUNTANSI

MENGAPA ANCAMAN TERHADAP SISTEM INFORMASI AKUNTANSI MENINGKAT

Lebih dari 60% organisasi mengalami kegagalan utama dalam mengendalikan keamanan dan integritas sistem komputer. Alasan untuk kegagalan tersebut meliputi:

• Informasi tersedia untuk sejumlah pekerja yang tidak pernah ada. Sebagai contoh, Chevron memiliki 35.000 PC.
• Informasi pada jaringan komputer distribusi sulit dikendalikan.
• Pelanggan serta pemasok memiliki akses ke sistem dan data satu sama lain.

Organisasi belum melindungi data dengan baik karena:

• Beberapa perusahaan memandang kehilangan atas informasi penting sebagai sebuah ancaman yang tidak mungkin terjadi.
• Implikasi pengendalian atas pemindahan dari sistem komputer tersentralisasi ke sistem berbasis internet tidak sepenuhnya dipahami.
• Banyak perusahaan tidak menyadari bahwa informasi adalah sebuah sumber daya strategi dan melindungi informasi harus menjadi sebuah ketentuan strategis.
• Produktivitas dan penekanan biaya memotivasi manajemen untuk mengabaikan ukuran-ukuran pengendalian yang memakan waktu.

Ancaman/kejadian (threat/event): segala potensi kejadian yang merugikan atau kejadian tidak diinginkan yang dapat merusak SIA atau organisasi.

Paparan/dampak (exposure/impact): kerugian uang yang potensial dari sebuah ancaman tertentu yang akan menjadi kenyataan.

Kemungkinan (likelihood): probabilitas bahwa suatu ancaman akan terjadi.

IKHTISAR KONSEP PENGENDALIAN

Pengendalian internal (internal control): proses dan prosedur yang dijalankan untuk menyediakan jaminan memadai bahwa tujuan pengendalian dipenuhi. Tujuan-tujuan tersebut sebagai berikut:

• Mengamankan aset - mencegah atau mendeteksi perolehan, penggunaan, atau penempatan yang tidak sah.
• Mengelola catatan dengan detail yang baik untuk melaporkan aset perusahaan secara akurat dan wajar.
• Memberikan informasi yang akurat dan reliabel.
• Menyiapkan laporan keuangan yang sesuai dengan kriteria yang telah ditetapkan.
• Mendorong dan memperbaiki efisiensi operasional.
• Mendorong ketaatan terhadap kebijakan manajerial yang telah ditentukan.
• Mematuhi hukum dan peraturan yang berlaku.

Pengendalian internal menjalankan tiga fungsi penting sebagai berikut:

1. Pengendalian preventif (preventive control): pengendalian yang mencegah masalah sebelum timbul. Contoh: merekrut personel berkualifikasi, memisahkan tugas pegawai, dan mengendalian akses fisik atas aset dan informasi.
2. Pengendalian detektif (detective control): pengendalian yang didesain untuk menemukan masalah pengendalian yang tidak terelakkan. Contoh: menduplikasi pengecekan kalkulasi dan menyiapkan rekonsiliasi bank serta neraca saldo tahunan.
3. Pengendalian korektif (corrective control): pengendalian yang mengidentifikasi dan memperbaiki masalah serta memperbaiki dan memulihkan dari kesalahan yang dihasilkan. Contoh: menjaga salinan backup pada file, perbaikan kesalahan entri data, dan pengumpulan ulang transaksi-transaksi untuk pemrosesan selanjutnya.

Pengendalian internal sering kali dipisahkan dalam dua kategori sebagai berikut:

1. Pengendalian umum (deneral control): pengendalian yang didesain untuk memastikan sistem informasi organisasi serta pengendalian lingkungan stabil dan dikelola dengan baik. Contoh: keamanan; infrastruktur TI; dan pengendalian pembelian perangkat lunak, pengembanagan, dan pemeliharaan.
2. Pengendalian aplikasi (application control): pengendalian yang mencegah, mendeteksi, dan mengoreksi kesalahan transaksi dan penipuan dalam program aplikasi. Pengendalian ini fokus terhadap ketepatan, kelengkapan, validitas, serta otorisasi data yang didapat, dimasukkan, diproses, disimpan, ditransmisikan ke sistem lain, dan dilaporkan.

Robert Simons, seorang profesor bisnis Harvard, telah menganut empat kaitan pengendalian untuk membantu manajemen menyelesaikan konflik di antara kreativitas dan pengendalian.

1. Sistem kepercayaan (belief system): sistem yang menjelaskan cara sebuah perusahaan menciptakan nilai, membantu pegawai memahami visi perusahaan, mengomunikasikan nilai-nilai dasar perusahaan, dan menginspirasi pegawai untuk bekerja berdasarkan nilai-nilai tersebut.
2. Sistem batas (boundary system):  sistem yang membantu pegawai bertindak secara etis dengan membangun batas pada perilaku kepegawaian.
3. Sistem pengendalian diagnostik (diagnostic control system): sistem yang mengukur, mengawasi, dan membandingkan perkembangan perusahaan aktual dengan anggaran dan tujuan kinerja.
4. Sistem pengendalian interaktif (interactive control system): sistem yang membantu manajer untuk memfokuskan perhatian bawahan pada isu-isu strategis utama dan lebih terlibat di dalam keputusan mereka.

PRAKTIK KORUPSI ASING DAN SARBANES-OXLEY ACTS

Foreign Corrupt Practices Act (FCPA): undang-undang yang dikeluarkan untuk mencegah perusahaan menyuap pejabat asing agar mendapatkan bisnis; juga mengharuskan semua perusahaan milik publik untuk memelihara sebuah sistem pengendalian akuntansi internal.

Sarbanes-Oxley Act (SOX): undang-undang yang dimaksudkan untuk mencegah kejahatan laporan keuangan, membuat laporan keuangan lebih transparan, memberikan perlindungan pada investor, memperkuat pengendalian internal pada perusahaan publik, dan menghukum eksekutif yang melakukan kejahatan. Berikut beberapa aspek terpenting SOX:

• Public Company Accounting Oversight Board (PCAOB): dewan yang dibuat oleh SOX yang mengatur profesi pengauditan; dibuat sebagai bagian dari SOX.
• Aturan-aturan baru bagi para auditor.
• Peran baru bagi komite audit.
• Aturan baru bagi manajemen.
• Ketentuan baru pengendalian internal.

Setelah SOX dikeluarkan, Securities and Exchange Comission (SEC) memerintahkan bahwa manajemen haru:

• mendasarkan evaluasinya pada sebuah kerangka pengendalian yang berlaku.
• mengungkapkan semua kelemahan pengendalian internal material.
• menyimpulkan bahwa sebuah perusahaan tidak memiliki pengendalian internal pelaporan keuangan yang efektif jika terdapat kelemahan material.

KERANGKA PENGENDALIAN

Pada pembahasan ini, ada tiga kerangka yang digunakan untuk mengembangkan sistem pengendalian internal.

KERANGKA COBIT

Control Objective for Information and Related Technology (COBIT): sebuah kerangka keamanan dan pengendalian yang memungkinkan 1) manajemen untuk membuat tolok ukur praktik-praktik keamanan dan pengendalian lingkungan TI; 2) para pengguna layanan TI dijamin dengan adanya keamanan dan pengendalian yang memadai; 3) para auditor memperkuat opini pengendalian internal dan mempertimbangkan masalah keamanan TI dan pengendalian yang dilakukan.

Beberapa prinsip yang memungkinkan dalam membantu organisasi membangun sebuah tata kelola yang efektif dan kerangka manajemen yang melindungi investasi pemangku kepentingan dan menghasilkan sistem informasi terbaik:

• memenuhi keperluan pemangku kepentingan.
• mencakup perusahaan dari ujung ke ujung.
• mengajukan sebuah kerangka terintegrasi dan tunggal.
• memungkinkan pendekatan holistik.
• memisahkan tata kelola dari manajemen. Tata kelola menciptakan nilai dengan mengoptimalkan penggunaan sumber daya organisasi untuk menghasilkan manfaat yang diinginkan dengan cara yang secara efektif mengatasi risiko.

COBIT 5: sebuah kerangka komprehensif yang membantu perusahaan mencapai tujuan tata kelola dan manajemen TI. 

Model COBIT 5 tentang referensi proses mengidentifikasi lima proses tata kelola (merujuk pada mengevaluasi, mengarahkan, mengawasi- evaluate, direct, dan monitor atau EDM) dan 32 proses manajemen. Tiga puluh dua proses manajemen dibagi ke dalam empat domain sebagai berikut:

1. menyelaraskan, merencanakan, dan mengatur (align, plan, dan organize - APO)
2. membangun, mengakuisisi, menerapkan (build, acquire, dan implement - BAI)
3. mengantar, melayani, mendukung (deliver, service, dan support - DSS)
4. mengawasi, mengevaluasi, menilai (monitor, evaluate, dan assess - MEA)

KERANGKA PENGENDALIAN INTERNAL COSO

Committee of Sponsoring Organizations (COSO): sebuah kelompok sektor swasta yang terdiri atas Asosiasi Akuntansi Amerika (American Accounting Association), AICPA, Ikatan Auditor Internal(Institute of Management Accountans), dan Ikatan Eksekutif Keuangan (Financial Executives Institute).

Pengendalian Internal (Internal Control)-Kerangka Terintegrasi-IC: sebuah kerangka COSO yang menjelaskan pengendalian internal dan memberikan panduan untuk mengevaluasi dan meningkatkan sistem pengendalian internal.

KERANGKA MANAJEMEN RISIKO PERUSAHAAN COSO

Manajemen Risiko Perusahaan (Enterprise Risk Management)-Kerangka Terintegrasi(Integrated Framework)-ERM: sebuah kerangka COSO yang memperbaiki proses manajemen risiko dengan memperluan (menambahkan tiga elemen tambahan) Pengendalian Internal COSO-Terintegrasi. Prinsip-prinsip dasar dibalik ERM:

• perusahaan dibentuk untuk menciptakan nilai bagi para pemiliknya.
• manajemen harus memutuskan seberapa banyak ketidakpastian yang akan ia terima saat menciptakan nilai.
• ketidakpastian menghasilkan risiko, yang merupakan kemungkinan bahwa sesuatu secara negatif memengaruhi kemampuan perusahaan untuk menghasilkan atau mempertahankan nilai.
• ketidakpastian menghasilkan peluang, yang merupakan kemungkinan bahwa sesuatu secara postifi memengaruhi kemampuan perusahaan untuk menghasilkan atau mempertahankan nilai.
• kerangka ERM dapat mengelola ketidakpastian serta menciptakan dan mempertahankan nilai.

KERANGKA MANAJEMEN RISIKO PERUSAHAAN VERSUS KERANGKA PENGENDALIAN

Kerangka IC telah mengadopsi secara luas sebagai cara untuk mengevaluasi pengendalian internal, seperti yang ditentukan oleh SOX. Kerangka ERM yang lebih komprehensif menggunakan pendekatan berbasis risiko daripada berbasis pengendalian. ERM menambah tiga elemen tambahan ke kerangka IC COSO: penetapan tujuan, pengidentifikasian kejadian yang mungkin memengaruhi perusahaan, dan pengembangan sebuah respons utuk risiko yang dinilai. Hasilnya, pengendalian bersifat fleksibel dan relevan karena mereka ditautkan dengan tujuan organisasi terkini. Model ERM juga mengakui bahwa risiko, selain dikendalikan, dapat pula diterima, dihindari, dibuat berjenis-jenis, dibagi, atau ditransfer.

LINGKUNGAN INTERNAL

Lingkungan internal (internal environment): budaya perusahaan yang merupakan fondasi dari seluruh elemen ERM lainnya karena ini memengaruhi cara organisasi menetapkan strategi dan tujuannya; membuat struktur aktivitas; dan mengidentifikasi, menilai, serta merespons risiko. Sebuah lingkungan internal mencakup:

1. filosofi manajemen, gaya pengoperasian, dan selera risiko.
2. komitmen terhadap integritas, nilai-nilai etis, dan kompentensi.
3. pengawasan pengendalian internal oleh dewan direksi.
4. struktur organisasi. 
5. metode penetapan wewenang dan tanggung jawab.
6. standar-standar sumber daya manusia yang menarik, mengembangkan, dan mempertahankan individu yang kompeten.
7. pengaruh eksternal.

FILOSOFI MANAJEMEN, GAYA PENGOPERASIAN, DAN SELERA RISIKO

Selera risiko (risk appetite): jumlah risiko yang sebuah perusahaan ingin terima untuk mencapai tujuan dan tujuannya. Untuk menghindari risiko yang tidak semestinya, selera risiko harus selaras dengan strategi perusahaan.

KOMITMEN TERHADAP INTEGRITAS, NILAI ETIS, DAN KOMPETENSI

Perusahaan mendukung integritas dengan:

• mengajarkan dan mensyaratkannya secara aktif.
• menghindari pengharapan atau insentif yang tidak realistis.
• memberikan penghargaan atas kejujuran serta memberikan label verbal pada perilaku jujur dan tidak jujur secara konsisten.
• mengembangkan sebuah kode etik tertulis yang menjelaskan secara eksplisit perilaku-perilaku jujur dan tidak jujur.
• mewajibkan pegawai untuk melaporkan tindakan tidak jujur atau ilegal dan mendisiplinkan pegawai yang diketahui tidak melaporkannya.
• membuat sebuah komitmen untuk kompetensi.

PENGAWASAN PENGENDALIAN INTERNAL OLEH DEWAN DIREKSI

Komite audit (audit committee): sejumlah anggota dewan direksi yang berasal dari luar dan independen yang bertanggung jawab untuk pelaporan keuangan, kepatuhan terhadap peraturan, pengendalian internal, serta perekrutan dan pengawasan auditor internal dan eksternal.

STRUKTUR ORGANISASI

Aspek-apek penting dari struktur organisasi menyertakan hal-hal berikut:

• sentralisasi atau desentralisasi wewenang.
• hubungan pengarahan atau matriks pelaporan.
• organisasi berdasarkan industri, lini produk, lokasi, atau jaringan pemasaran.
• bagaimana alokasi tanggung jawab memengaruhi ketentuan informasi.
• organisasi dan garis wewenang untuk akuntansi, pengauditan, dan fungsi sistem informasi.
• ukuran dan jenis aktivitas perusahaan.

METODE PENETAPAN WEWENANG DAN TANGGUNG JAWAB

Kebijakan dan prosedur manual (policy and procedures manual): sebuah dokumen yang menjelaskan praktik bisnis yang sesuai, mendeskripsikan pengetahuan dan pengalaman yang dibutuhkan, menjelaskan cara menangani transaksi serta mendata sumber daya yang tersedia untuk melaksanakan tugas-tugas tertentu.

STANDAR SUMBER DAYA MANUSIA YANG MENARIK, MENGEMBANGKAN, DAN MEMPERTAHANKAN INDIVIDU YANG KOMPETEN

Kekuatan pengendalian terbesar adalah kejujuran pegawai; dan salah satu kelemahan pengendalian terbesar adalah ketidakjujuran pegawai. Adanya kebijakan dan praktik-praktik yang mengatur kondisi kerja, insentif pekerjaan, dan kemajuan karier dapat menjadi kekuatan untuk mendorong kejujuran, efisiensi, dan layanan yang loyal.

PEREKRUTAN

Pengecekan latar belakang (background check): sebuah investigasi para pegawai atau calon pegawai yang memasukkan verifikasi pendidikan dan pengalaman kerja mereka, berbicara berdasarkan referensi, pengecekan catatan kriminal atau masalah kredit, dan pemeriksaan informasi lain yang tersedia secara publik.

MENGOMPENSASI, MENGEVALUASI, DAN MEMPROMOSIKAN

Pembayaran yang wajar dan insentif bonus yang sesuai membantu memotivasi dan memperkuat kinerja pegawai yang hebat. Para pegawai seharusnya diberi penilaian kinerja periodik untuk membantu mereka memahami kekuatan dan kelemahan mereka.

PELATIHAN

Pelatihan mengajarkan pegawai baru akan tanggung jawab mereka.

PENGELOLAAN PARA PEGAWAI YANG TIDAK PUAS

Perusahaan membutuhkan prosedur untuk mengidentifikasi pegawai yang tidak puas dan membantu mereka mengatasi perasaan itu untuk memindahkan mereka dari pekerjaan yang sensitif.

PEMBERHENTIAN

Pegawai yang diberhentikan harus segera dipindahkan dari pekerjaan yang sensitif dan ditolak aksesnya ke sistem informasi.

LIBURAN DAN ROTASI KERJA

Melakukan rotasi tugas pegawai secara periodik dan membuat pegawai mengambil liburan dapat mencapai hasil yang sama.

PERJANJIAN KERAHASIAAN DAN ASURANSI IKATAN KESETIAAN

Seluruh pegawai, pemasok, dan kontraktor menandatangani dan mematuhi sebuah perjanjian kerahasiaan. Asuransi ikatan kesetiaan melingkupi para pegawai kunci yang melindungi perusahaan terhadap kerugian yang timbul dari tindakan penipuan yang disengaja.

MENUNTUT DAN MEMENJARAKAN PELAKA

Sebagian besar penipuan tidak dilaporkan karena:

1. perusahaan segan untuk melaporkan penipuan karena dapat menjadi sebuah bencana hubungan publik.
2. penegak hukum dan pengadilan sibuk dengan kriminal kekerasan dibandingkan dengan penipuan.
3. menyelidiki dan menuntut penipuan itu sulit, membutuhkan biaya, dan memakan waktu.
4. banyak petugas penegak hukum, pengacaram dan hakim kurang memiliki kecapakan komputer yang diperlukan untuk menyelidiki dan menuntut kejahatan komputer.
5. hukuman untuk penipuan biasanya ringan.

PENGARUH EKSTERNAL

Pengaruh eksternal meliputi persyaratan-persyaratan yang diajukan oleh bursa efek, Financial Accounting Standars Board (FASB), PCAOB, dan SEC.

PENETAPAN TUJUAN

Tujuan strategis (strategic objective): tujuan tingkat tinggi yang disejajarkan dan mendukung misi perusahaan serta menciptakan nilai pemegang saham.

Tujuan operasi (operation objective): tujuan yang berhubungan dengan efektivitas dan efisiensi operasi perusahaan serta menentukan cara mengalokasikan sumber daya.

Tujuan pelaporan (reporting objective): tujuan yang membantu memastikan ketelitian, kelengkapan, dan keterandalan laporan perusahaan; meningkatkan perbuatan keputusan; dan mengawasi aktivitas serta kinerja perusahaan.

Tujuan kepatuhan (compliance objective): tujuan yang membantu perusahaan mematuhi seluruh hukum dan peraturan yang berlaku.

IDENTIFIKASI KEJADIAN

Kejadian (event): sebuah insiden atau peristiwa positif atau negatif dari sumber-sumber internal dan eksternal yang memengaruhi implementasi strategi atau pencapaian tujuan.

PENILAIAN RISIKO DAN RESPONS RISIKO

Risiko bawaan (inherent risk): kelemahan dari sebuah penetapan akun atau transaksi pada masalah pengendalian yang signifikan tanpa adanya pengendalian internal.

Risiko residual (residual risk): risiko yang tersisa setelah manajemen mengimplementasikan pengendalian internal atau beberapa respons lainnya terhadap risiko. Manajemen dapat merespon risiko dengan salah satu dari empat cara berikut:

1. mengurangi kemungkinan dan dampak risiko.
2. menerima kemungkinan dan dampak risiko.
3. membagikan risiko.
4. menghindari risiko.

Berikut pendekatan penilaian risiko untuk perancangan pengendalian internal:

MEMPERKIRAKAN KEMUNGKINAN DAN DAMPAK

Setiap kejadian memiliki risiko, sehingga harus ada perkiraan kemungkinan risiko dan dampak dari risiko itu sendiri.

MENGIDENTIFIKASI PENGENDALIAN

Manajemen harus mengidentifikasi pengendalian yang melindungi perusahaan dari setiap kejadian.

MEMPERKIRAKAN BIAYA DAN MANFAAT

Kerugian yang diperkirakan (expexted loss): hasil matematis dari kerugian finansial potensial yang akan terjadi jika sebuah ancaman menjadi kenyataan (disebut dampak atau paparan) dan risiko atau probabilitas bahwa ancaman akan terjadi (disebut kemungkinan). 

Rumusnya: Kerugian yang diperkirakan = Dampak x Kemungkinan

MENENTUKAN EFEKTIVITAS BIAYA/MANFAAT

MENGIMPLEMENTASIKAN PENGENDALIAN ATAU MENERIMA, PMEMBAGI, ATAU MENGHINDARI RISIKO

Pengendalian biaya efektif harus diimplementasikan untuk mengurangi risiko. Risiko yang tidak dikurangi harus diterima, dibagi, atau dihindari.

AKTIVITAS PENGENDALIAN

Aktivitas pengendalian (control activities): kebijakan, prosedur, dan aturan yang memberikan jaminan memadai bahwa tujuan pengendalian telah dicapai dan respons risiko dilakukan. Manajemen harus memastikan bahwa:

1. pengendalian dipilih dan dikembangkan untuk membantu mengurangi risiko hingga level yang dapat diterima,
2. pengendalian umum yang sesuai dipilih dan dikembangkan melalui teknologi,
3. aktivitas pengendalian diimplementasikan dan dijalankan sesuai dengan kebijakan dan prosedur perusahaan yang telah ditentukan.

Prosedur pengendalian dilakukan dalam kategori-kategori berikut:

1. Otorisasi transaksi dan aktivitas yang layak.
2. Pemisahan tugas.
3. Pengembangan proyek dan pengendalian akuisisi (perolehan).
4. Mengubah pengendalian manajemen.
5. Mendesain dan menggunakan dokumen serta cararan.
6. Pengamanan aset, catatan, dan data.
7. Pengecekan kinerja yang independen.

OTORISASI TRANSAKSI DAN AKTIVITAS YANG TEPAT

Otorisasi (authorization): penetapan kebijakan bagi para pegawai untuk diikuti dan kemudian memberdayakan mereka guna melakukan fungsi organisasi tertentu. Otorisasi sering didokumentasikan dengan penandatanganan, penginisialisasian, atau pemasukan kode pengotorisasian pada sebuah dokumen atau catatan.

Tanda tangan digital (digital signature): cara penandatanganan sebuah dokumen secara elektronik dengan data yang tidak dapat dipalsukan.

Otorisasi khusus (specific authorization): persetujuan khusus yang dibutuhkan oleh seorang pegawai agar diizinkan untuk menangani sebuah transaksi.

Otorisasi umum (general authorization): otorisasi yang diberikan kepada pegawai untuk menangani transaksi rutin tanpa persetujuan khusus.

PEMISAHAN TUGAS

Pemisahan tugas terdiri dari beberapa pemisahan yang akan dibahas berikut ini.

PEMISAHAN TUGAS AKUNTANSI 

Pemisahan tugas akuntansi (segregation of accounting duties): pemisahan fungsi akuntansi otorisasi, penyimpanan, dan pencatatan guna meminimalkan kemampuan pegawai untuk melakukan penipuan. Pemisahan tugas akuntansi akan efektif jika fungsi-fungsi berikut dipisahkan:

• Otorisasi - menyetujui transasksi dan keputusan.
• Pencatatan - mempersiapkan dokumen sumber; memasukkan data ke dalam sistem komputer, memelihara jurnal, buku besar, file, atau database; dan mempersiapkan rekonsiliasi dan laporan kinerja.
• Penyimpanan - menangani kas, peralatan, persediaan, atau aktiva tetap; menerima cek pelanggan yang datang; menulis cek.

Berikut pemisahan tugas:

Kolusi (collusion): kerja sama antara dua orang atau lebih dalam sebuah upaya untuk menggagalkan pengendalian internal.

PEMISAHAN TUGAS SISTEM

Pemisahan tugas sistem (segregation of system duties): penerapan prosedur-prosedur pengendalian untuk membagi wewenang dan tanggung jawab secara jelas di dalam fungsi sistem informasi. Wewenang dan tanggung jawab harus dibagi dengan jelas menurut fungsi-fungsi berikut:

1. Administrator sistem (system administrator): orang yang bertanggung jawab untuk memastikan bahwa sistem beroperasi dengan lancar dan efisien.
2. Manajemen jaring (network manager): orang yang bertanggung jawab untuk memastikan bahwa perangkat yang berlaku ditautkan ke jaringan perusahaan dan memastikan pula bahwa jaringan beroperasi dengan baik.
3. Manajemen keamanan (security management): orang yang bertanggung jawab untuk memastikan bahwa sistem yang ada aman dan terlindungi baik dari ancaman internal maupun eksternal.
4. Manajemen perubahan (change management): proses untuk memastikan perubahan dibuat dengan lancar dan efisien serta tidak memengaruhi keterandalan, keamanan, kerahasiaan, integritas, dan ketersediaan sistem secara negatif.
5. Pengguna (users): orang yang mencatat transaksi, melakukan otorisasi data untuk diprosesm dan menggunakan output sistem.
6. Analisis sistem (system analysis): orang yang membantu pengguna menentukan kebutuhan informasi mereka dan mendesai sistem agar sesuai dengan kebutuhan tersebut.
7. Pemrograman (programmer): orang yang membuat desain analisis dan mengembangkan, mengodekan, serta menguji program komputer.
8. Operasi komputer (computer operator): orang yang mengoperasikan komputer perusahaan.
9. Perpustakaan sistem informasi (information system library): sebuah koleksi database, file,dan program perusahaan yang disimpan di dalam sebuah area penyimpanan terpisah dan dikelola oleh pustakawan sistem.
10. Kelompok pengendalian data (data control group): orang yang memastikan bahwa data sumber telah disetujui dengan semestinya, mengawasi alur kerja melalui komputer, merekonsiliasi input dan output, memelihara catatan input untuk memastikan kebenaran dan kepatuhannya kembali, serta mendistribusikan output sistem.

PENGEMBANGAN PROYEK DAN PENGENDALIAN AKUISISI (PEROLEHAN)

1. Komite pengarah (steering committee): sebuah komite tingkat eksekutif untuk merencanakan dan mengawasi fungsi sistem informasi.
2. Rencana induk strategis (strategic master plan): sebuah rencana multitahunan yang menjabarkan proyek perusahaan yang harus terselesaikan untuk mencapai tujuan jangka panjangnya dan sumber daya yang dibutuhkan untuk mencapai rencana tersebut.
3. Rencana pengembangan proyek (project development plan): sebuah dokumen yang menunjukkan cara sebuah proyek akan diselesaikan. Tonggak proyek (project milestones):poin-poin kemajuan ditinjau dan waktu penyelesaian aktual serta perkiraan dibandingkan.
4. Jadwal pengolahan data (data processing schedule): sebuah jadwal yang menunjukkan kapan tiap-tiap tugas pengolahan data seharusnya dilakukan.
5. Pengukuran kinerja sistem (system performance measurement): cara-cara untuk mengevaluasi dan menilai sebuah sistem. Output per unit waktu (throughtput): jumlah pekerjaan yang dilakukan oleh sebuah sistem selama periode waktu tertentu. Pemanfaatan(utilization): persentase waktu penggunaan sebuah sistem. Waktu respons (response time):lama waktu yang diperlukan sebuah sistem untuk merespon.
6. Tinjauan pasca-implementasi (postimplementation review): tinjauan yang dilakukan setelah sistem baru beroperasi untuk periode yang singkat, guna memastikan hal itu sesuai dengan tujuan yang telah ditencanakan.

Sistem integrator (system integrator): pihak luar yang dipekerjakan untuk mengelola usaha pengembangan sistem perusahaan.

Perusahaan juga harus melakukan:

• mengembangkan spesifikasi yang jelas.
• mengawasi proyek.

MENGUBAH PENGENDALIAN MANAJEMEN

Organisasi memodifikasi sistem yang berjalan untuk merefleksikan praktik-praktik bisnis baru dan untuk memanfaatkan penggunaan TI.

MENDESAIN DAN MENGGUNAKAN DOKUMEN DAN CATATAN

Desain dan penggunaan dokumen elektronik dan kertas yang sesuai dapat membantu memastikan pencatatan yang akurat serta lengkap dari seluruh data transaksi yang relevan.

PENGAMANAN ASET, CATATAN, DAN DATA

Sebuah perusahaan harus melindungi kas dan aset fisik beserta informasinya.

Selain itu juga penting melakukan:

• menciptakan dan menegakkan kebijakan dan prosedur yang tepat.
• memelihara catatan akurat dari seluruh aset.
• membatasi akses terhadap aset.
• melindungi catatan dan dokumen.

PENGECEKAN KINERJA YANG INDEPENDEN

• Tinjauan tingkat atas.
• Tinjauan analitis
• Rekonsiliasi catatan-catatan yang dikelola secara independen.
• Perbandingan terhadap kuantitas aktual dengan jumlah dicatat.
• Akuntansi double-entry.
• Tinjauan independen.

INFORMASI DAN KOMUNIKASI

Jejak audit (audit trail): sebuah jalur yang memungkinkan transaksi untuk ditelusuri melalui sistem pengolahhan data dari titik asal ke output atau sebaliknya dari output ke titik awal. 

PENGAWASAN MENJALANKAN EVALUASI PENGENDALIAN INTERNAL Efektivitas pengendalian internal diukur dengan menggunakan evaluasi formal atau evaluasi penilaian diri. 

IMPLEMENTASI PENGAWASAN YANG EFEKTIF Pengawasan yang efektif meliputi melatih dan mendampingi pegawai, mengawasi kinerja pegawai, mengoreksi kesalahan, dan mengawasi pegawai yang memiliki akses terhadap aset. 

MENGGUNAKAN SISTEM AKUNTANSI PERTANGGUNGJAWABAN Sistem akuntansi pertanggungjawaban meliputi anggaran, kuota, jadwal, biaya standar, dan standar kualitas; perbandingan laporan kinerja aktual dan yang direncanakan; dan prosedur untuk menyelidiki serta mengoreksi varians yang signifikan. 

MENGAWASI AKTIVITAS SISTEM Seluruh transaksi dan aktivitas sistem harus direkam di dalam sebuah log yang mengindikasikan siapa mengakses data apa, kapan, dan dari perangkat online yang mana. 

MELACAK PERANGKAT LUNAK DAN PERANGKAT BERGERAK YANG DIBELI Untuk mematuhi hak cipta dan melindungi dirinya dari gugatan pembajakan perangkat lunak, perusahaan harus melakukan audit perangkat lunak secara periodik. 

MENJALANKAN AUDIT BERKALA Audit keamanan eksternal, internal, dan jaringan dapat menilai dan mengawasi risiko maupun mendeteksi penipuan dan kesalahan.

MEMPEKERJAKAN PETUGAS KEAMANAN KOMPUTER DAN CHIEF COMPLIANCE OFFICER

Computer Security Officer (CSO): seorang pegawai yang independen dari fungsi sistem informasi yang mengawasi sistem, menyebarkan informasi mengenai penggunaan sistem yang tidak sesuai dan konsekuensinya, serta melaporkan kepada manajemen puncak.

Chief Compliance Officer (CCO): seorang pegawai yang bertanggung jawab atas semua tugas kepatuhan yang terkait SOX serta pengaturan hukum dan peraturan.

MENYEWA SPESIALIS FORENSIK

Penyelidik forensik (computer forensics specialist): individu yang memiliki spesialisasi dalam penipuan, sebagian besar dari mereka memiliki pelatihan khusus dari agen-agen penegak hukum lainnya, seperti FBI atau IRS atau memiliki sertifikasi profesional seperti Certified Fraud Examiner(CFE).

MEMASANG PERANGKAT LUNAK DETEKSI PENIPUAN

Jaringan saraf (neural network): sistem komputasi yang meniru proses pembelajaran otak dengan menggunakan jaringan prosesor yang terhubung satu sama lain dengan menjalankan berbagai operasi secara serentak dan berinteraksi dengan dinamis.

MENGIMPLEMENTASIKAN HOTLINE PENIPUAN

Hotline peniputan (fraud hotline): nomor telepon yang dapat dihubungi oleh para pegawai untuk melaporkan penipuan dan penyalahgunaan secara anonim (tanpa nama).

BAB 6 TEKNIK PENIPUAN DAN PENYALAHGUNAAN KOMPUTER

Pada pembahasan berikut akan dibahas mengenai beberapa teknik penipuan dan penyalahgunaan komputer yang lebih umum ke dalam tiga bagian: serangan dan penyalahgunaan komputer, rekayasa sosial, dan malware.

SERANGAN DAN PENYALAHGUNAAN KOMPUTER

Hacking: akses, modifikasi, atau penggunaan yang tidak sah atas perangkat elektronik atau beberapa elemen dalam sistem komputer. Beberapa contoh ilustrasi serangan-serangan hacking dan dampak yang ditimbulkannya adalah sebagai berikut:

• Seorang hacker Rusia menerobos ke dalam sistem Citibank dan mencuri $10 juta dari rekening nasabah.
• Acxiom mengelola informasi nasabah untuk penerbitan kartu kredit, bank, perusahaan otomotif, dan para pengecer (retailer). Seorang administrator sistem untuk sebuah perusahaan yang berbisnis dengan Acxiom melebihi batas akses yang diijinkan, ia mengundul file yang memiliki kata sandi yang sudah dienkripsi, dan menggunakan program pemecah sandi untuk mengakses ID rahasia. Penerobosan ini merugikan Acxiom lebih dari $5,8 juta.
• Selama perang Irak, para hacker Belanda mencuri informasi rahasia, termasuk informasi pergerakan pasukan dan senjatanya pada 34 wilayah militer. Tawaran mereka untuk menjual informasi kepada Irak ditolak, kemungkinan karena Irak mengira tawaran tersbeut adalah sebuah jebakan.
• Seorang hacker berusia 17 tahun menerobos ke dalam jaringan Bell Laboratories, menghancurkan sejumlah file, menyalin 52 program perangkat lunak hak milik, dan mempublikasikan informasi rahasia di bulletin board (forum percakapan online) terselubung. Banyak hacker yang berusia muda, beberapa diantaranya berusia 12 tahunan.
• Seorang hacker memasuki komputer pemasok perangkat lunak dan menggunakan "saluran terbuka (open pipe)" miliknya ke nasabah bank untuk memasang program Trojan horse yang kuat pada komputer bank.
• Pada pelanggaran keamanan terburuk sepanjang sejarah, 101 juta ajun Sony PlayStation di-hack, sehingga merusak jaringan selama lebih dari sebulan. Lebih dari 12 juta nomor kartu kredit, alamat e-mail, kata sandi, alamat rumah, dan data lain dicuri.

Hijacking (pembajakan): pengambilan kendali atas komputer orang lain untuk melakukan aktivitas terlarang tanpa sepengetahuan pengguna komputer yang sebenarnya.

Botnet: sebuah jaringan komputer terbajak yang kuat dan berbahaya yang digunakan untuk menyerang sistem atau menyebarkan malware.

Zombie: sebuah komputer yang dibajak, biasanya merupakan bagian dari botnet yang dipergunakan untuk melakukan berbagai serangan internet.

Bot herder: seseorang yang menciptakan botnet dengan memasangkan perangkat lunak pada PC yang merespons instruksi elektronik milik bot herder.

Serangan denial-of-service (DoS): sebuah serangan komputer di mana penyerang mengirimkan sejumah bom e-mail atau permintaan halaman web, biasanya dari alamat salah yang diperoleh secara acak, agar server e-mail atau web server yaitu penyedia layanan internet kelebihan beban dan ditutup.

Berikut adalah contoh mengilustrasikan serangan-serangan DoS dan kerusakan yang ditimbulkannya:

• Suatu serangan DoS menutup 3.000 situs selama 40 jam pada akhir pekan belanja tersibuk dalam setahun.
• CloudNine, sebuah penyedia layanan internet, bangkrut setelah serangan DoS menghalangi pelanggan dan konsumennya untuk berkomunikasi.
• Diperkirakan 1 dari 12 e-mail memuat virus MyDoom saat virus tersebut mengubah hostmenjadi zombie yang menyerang Microsoft. Perusahaan-perusahaan lainnya, seperti Amazon, Yahoo, CNN, dan eBay, juga telah mengalami serangan DoS yang serupa.

Spamming: secara bersamaan mengirimkan pesan yang tak diminta kepada banyak orang pada saat yang sama, biasanya dalam bentuk sebuah upaya untuk menjual sesuatu.

Serangan kamus (dictionary attack): menggunakan perangkat lunak khusus untuk menebak alamate-mail perusahaan dan mengirimkan pesan e-mail kosong. Pesan yang tidak kembali biasanya merupakan alamat e-mail yang valid, sehingga dapat ditambahkan pada daftar alamat e-mail pelakuspamming.

Splog: spam blog yang diciptakan untuk meningkatkan situs Google PageRank, yang merupakan intensitas sebuah halaman situs yang direferensikan oleh halaman situs lainnya.

Spoofing: mengubah beberapa bagian dari komunikasi elektronik untuk membuat seolah-olah yang lain yang mengirimkannya agar mendapatkan kepercayaan dari penerima.Spoofing memiliki berbagai bentuk sebagai berikut:

• E-mail spoofing: membuat sebuah alamat pengirim dan bagian-bagian lain dari sebuah header e-mail agar tampak seperti e-mail tersebut berasal dari sumber lain.
• Caller ID spoofing: menampilkan nomor yang salah pada tampilan ID penelepon di handphonesi penerima untuk menyembunyikan identitas si penelepon.
• IP address spoofing: menciptakan paket internet Protocol dengan alamat IP palsu untuk menyembunyikan identitas si pengirim atau untuk menirukan sistem komputer lain.
• Address Resolution Protocol (ARP) spoofing: pengiriman pesan ARP palsu ke sebuah Ethernet LAN. ARP adalah sebuah protokol jaringan komputer untuk menentukan alamat perangkat keras milik host jaringan ketika hanya alamat IP atau jaringan yang diketahui. Mac Address (Media Access Control Address): sebuah alamat perangkat keras yang mengidentifikasi secara khusus setiap node pada sebuah jaringan.
• SMS spoofing: menggunakan layanan pesan singkat (SMS) untuk mengubah nama atau nomor dari mana pesan teks berasal.
• Web-page spoofing: phising.
• DND spoofing: melacak ID dari Domain Name System (DNS, sebuah "buku telepon" internet yang mengubah sebuah domain atau nama jaringan menjadi sebuah alamat IP) meminta dan membalas sebelum server DNS yang asli melakukannya.

Serangan zero day (zero-day attack): sebuah serangan di antara waktu kerentanan sebuah perangkat lunak baru ditemykan dan "merilisnya sembarangan" dan saat sebuah pengembang perangkat lunak merilis patch untuk memperbaiki masalah.

Patch: kode yang dirilis pengembang perangkat lunak yang memperbaiki kerentanan perangkat lunak tertentu.

Cross-site scripting (XSS): sebuah kerentanan di halaman situs dinamis yang memungkinkan penyerang menerobos mekanisme keamanan browser dan memerintahkan browser korban untuk mengeksekusi kode, mengira bahwa itu berasal dari situs yang dikehendaki.

Serangan limpahan buffer (buffer overflow attack): ketika jumlah data yang dimasukkkan ke dalam sebuah program lebih banyak daripada jumlah dari input buffer. Limpahan input menimpa instruksi komputer berikutnya, menyebabkan sistem rusak. Para hacker memanfaatkannya dengan merangkaiinput sehingga limpahan memuat kode yang menyatakan ke komputer apa yang dilakukan selanjutnya. Kode ini dapat membuka sebuah pintu belakang di dalam sistem.

Serangan injeksi (insersi) SQL (SQL injection (insertion) attack): menyisipkan query SQL berbahaya pada input sehingga query tersebut lolos dan dijalankan oleh sebuah program aplikasi. Hal ini memungkinakan seorang hacker meyakinkan agar aplikasi menjalankan kode SQL yang tidak dikehendaki untuk dijalankan.

Serangan man-in-the-middle (MITM attack): seorang hacker menempatkan dirinya di antara seorang klien dan host untuk memotong komunikasi di antara mereka.

Berikut ini serangan dunia maya man-in-the-middle:

Maquerading/impersonation: mendapatkan akses ke sebuah sistem dengan berpura-pura menjadi pengguna yang sah. Pelaku perlu mengetahui ID dan kata sandi pengguna yang sah.

Piggybacking: 1) menyadap ke dalam sebuah jalur komunikasi dan mengunci secara elektronik pengguna yang sah sehingga tanpa sepengetahuannya membawa pelaku ke dalam sistem, 2) penggunaaan secara diam-diam atas jaringan Wi-Fi tetanggan, 3) seseorang yang tidak berwenang mengikuti seseorang yang berwenang memasuki pintu yang aman, menembus pengendalian keamanan fisik.

Pemecahan kata sandi (password cracking): ketika seorang penyusup memasuki pertahanan sebuah sistem, mencuri file yang berisikan kata sandi yang valid, mendeskripsinya, dan menggunakannya untuk mendapatkan akses atas program, file, dan data.

War dialing: memrogram sebuh komputer untuk menghubungi ribuan sambungan telepon untuk mencari dial-up modem lines. Hacker menerobos ke dalam PC yang tersambung dengan modem dan mengakses jaringan yang terhubung.

War driving: berkendara mencari jaringan nirkabel rumah atau perusahaan yang tidak terlindungi.

War rocketing: menggunakan roket untuk melepaskan titik akses nirkabel yang terhubung pada parasut yang mendeteksi jaringan nirkabel tidak aman.

Phreaking: menyerang sistem telepon untuk mendapatkan akses sambungan telepon gratis, menggunakan sambungan telepon untuk mengirimkan malware, mengakses, mencuri, serta menghancurkan data.

Data diddling: mengubah data sebelum atau selama entri ke dalam sebuah sistem komputer untuk menghapus, mengubah, menambah, atau memperbarui data sistem kunci yang salah.

Kebocoran data (data leakage): menyalin data perusahaan tanpa izin, sering kali tanpa meninggalkan indikasi bahwa ia telah disalin.

Podslurping: menggunakan sebuah perangkat kecil dengan kapasitas penyimpanan (iPod, flash drive) untuk mengunduh data tanpa izin dari sebuah komputer.

Teknik salami (salami technique): pencurian sebagian kecil uang dari beberapa rekening yang berbeda.

Penipuan round-down (run-down fraud): memerintahkan komputer untuk membulatkan seluruh perhitungan bunga menjadi dua tempat desimal. Pecahan dari sen yang dibulatkan pada setiap perhitungan dimasukkan ke dalam rekening pemrogram.

Spionase ekonomi (economic espionage): mencuri informasi, rahasia dagang, dan kekayaan intelektual.

Pemerasan dunia maya (cyber-extirtion): ancaman untuk membahayakan sebuah perusahaan atau seseorang jika sejumlah uang tertentu tidak dibayarkan.

Cyber-bullying: menggunakan teknologi komputer untuk mendukung perilaku yang disengaja, berulang, dan bermusuhan yang menyiksa, mengancam, mengusik, menghina, mempermalukan, atau membahayakan orang lain.

Sexting: tukar menukar pesan teks dan gambar yang terang-terangan bersifat seksual dengan orang lain, biasanya menggunakan perantara telepon.

Terorisme interbet (internet terrorism): menggunakan internet untuk mengganggu perdagangan elektronik serta membahayakan komputer dan komunikasi.

Misinformasi internet (internet misinformation): menggunakan internet untuk menyebarkan informasi palsu atau menyesatkan.

Ancaman e-mail (e-mail threats): ancaman dikirimkan kepada korban melalui e-mail. Ancaman biasanya memerlukan beberapa tindakan follow-up, seringnya mengakibatkan kerugian besar bagi korban.

Penipuan lelang internet (internet auction fraud): menggunakan situs lelang internet untuk menipu orang lain.

Penipuan pump-and-dump internet (internet pump-and-dump fraud): menggunakan internet untuk menaikkan harga saham kemudian menjualnya.

Penipuan klik (click fraud): memanipulasi jumlah waktu iklan yang di klik untuk meningkatkan tagihan periklanan.

Penjejalan situs (web cramming): menawarkan situs gratis selama sebulan, mengembangkan situs tidak berharga, dan membebankan tagihan tekepon dari orang-orang yang menerima tawaran untuk waktu berbulan-bulan, terlepas mereka ingin melanjutkan menggunakan situs tersebut atau tidak.

Pembajakan perangkat lunak (software piracy): menyalin atau mendistribusikan perangkat lunak berhak cipta tanpa izin.

REKAYASA SOSIAL

Rekayasa sosial (social engineering): teknik atau trik psikologis yang digunakan agar orang-orang mematuhi keinginan pelaku dalam rangka untuk mendapatkan akses fisik atau logis ke sebuah bangunan, komputer, server, atau jaringan. Biasanya untuk mendapatkan informasi yang dibutuhkan untuk mendapatkan data rahasia.

Cisco melaporlam bahwa para pelaku memanfaatkan tujuh sifat manusia untuk menarik seseorang agar mengungkapkan informasi atau melakukan tindakan tertentu:

1. Belas kasihan.
2. Keserakahan.
3. Data tarik.
4. Kemalasan.
5. Kepercayaan.
6. Urgensi.
7. Kesombongan.

Menetapkan prosedur dan kebijakan berikut dan melatih orang untu mengikutinya dapat membantu meminimalkan rekayasa sosial:

1. Jangan pernah membiarkan orang-orang mengikuti anda ke bangunan yang terlarang.
2. Jangan log-in ke komputer lain, terutama jika anda memiliki akses administratif.
3. Jangan pernah memberikan informasi sensitif melalui telepon atau e-mail.
4. Jangan pernah membagikan kata sandi atau ID pengguna.
5. Waspadalah bila orang yang tidak anda kenal berusaha mendapatkan akses melalui anda.

Pencurian identitas (identity theft): mengambil identitas seseorang, biasanya untuk keuntungan ekonomi dengan mendapatkan dan menggunakan informasi rahasia secara ilegal, seperti nomor Social Security, nomor rekening bank atau kartu kredit.

Pretexting: menggunakan skenario ciptaan (dalih) yang menciptakan legitimasi (pernyataan sah) dalam pikiran target guna meningkatkan kecenderungan bahwa si korban akan membocorkan informasi atau melakukan sesuatu.

Posing: menciptakan bisnis yang terlihat sah, mengumpulkan informasi pribadi sambil melakukan penjualan, tetapi tidak pernah mengirim barang.

Phishing: mengirimkan sebuah pesan elektronik seolah dari sebuah perusahaan yang sah, biasanya institusi keuangan, dan meminta informasi atau verifikasi dari informasi serta sering memberi peringatan mengenai konsekuensi negatif bila permintaan tersebut tidak dipenuhi. Permintaannya palsu dan informasi yang dikumpulkan digunakan untuk melakukan pencurian identitas atau untuk mencuri dana dari rekening korban.

Vishing: phising suara; seperti phising hanya saja korban memasukkan data rahasia melalui telepon.

Carding: kegiatan yang dilakukan pada kartu kredit curian, termasuk melakukan pembelian kecil secara online untuk memastikan apakah kartu masih valid serta membeli dan menjual nomor kartu kredit curian.

Pharming: mengarahkan lalu lintas situs web ke situs web palsu.

Evil twin: sebuah jaringan nirkabel dengan nama yang sama (disebut Server Set Identifier) seolah menjadi sebuah titik akses nirkabel yang sah. Pengguna tersambung dengannya karena ia memiliki sinyal nirkabel yang lebih kuat atau evil twin mengganggu atau menonaktifkan titik akses yang sah. Para pengguna tidak menyadari bahwa mereka tersambug ke evil twin dan si pelaku mengawasi lalu lintas untuk mencari informasi rahasia.

Typosquatting/pembajakan URL (URL hijacking): menyiapkan situs web dengan nama sama sehingga pengguna membuat kekeliruan tipografis ketika memasukkan nama situs web yang akan dikirim ke situs yang tidak valid.

Pengganti kode batang QR (QR barcode replacements): pelaku penipuan menyamarkan kode Quick Response valid dengan stiker yang mengandung kode QR pengganti untuk mengecoh orang-orang ke dalam situs yang tidak diinginkan yang menginfeksi teleponnya dengan malware.

Tabnapping: secara diam-diam mengubah tab dari browser yang dibuka untuk mendapatkan ID dan kata sandi pengguna ketika korban masuk kembali ke dalam situs.

Scavenging/dumpster diving: mencari dokumen dan catatan untuk mendapatkan akses ke informasi rahasia. Metodenya meliputi pencarian kaleng sampah, kotak sampah komunal, dan tempat pembuangan sampah kota.

Bahu berselancar (shoulder surfing): ketika pelaku mengintip melalui bahu seseorang di tempat umum untuk mendapatkan informasi seperti nomor PIN ATM atau ID pengguna dan kata sandi.

Loop Lebanon (Lebanese looping): menyisipkan lengan baju ke dalam ATM yang mencegah ATM mengeluarkan kartu. Pelaku berpura-pura menawarkan bantuan, mengecoh korban dengan memasukkan PIN lagi. Sekalinya korban menyerah, pencuri mengambil kartu dan menggunakan kartu serta PIN untuk melakukan penarikan.

Skimming: penggesekan ganda kartu kredit pada terminal yang sah atau menggesekkan kartu secara diam-diam pada pembaca kartu yang kecil dan tersembunyi untuk merekam data kartu kredit untuk penggunaan berikutnya.

Chipping: berpura-pura sebagai seorang jasa ahli dan menanamkan chip kecil yang merekam data transaksi pada sebuah pembaca kartu yang sah. Chip tersebut kemudian dipindahkan untuk mengakses data yang terekam di dalamnya.

Menguping (eavesdropping): mendengarkan komunikasi pribadi atau menyadap ke dalam transmisi data yang ditunjukan kepada orang lain. Salah satu cara untuk memotong sinyal adalah dengan menyiapkan penyadapan.

MALWARE

Malware: segala perangkat lunak yang digunakan untuk membahayakan.

Spyware: perangkat lunak yang secara diam-diam mengawasi dan mengumpulkan informasi pribdai mengenai pengguna dan mengirimkannya kepada orang lain, biasanya tanpa izin pengguna komputer.

Infeksi spyware, yang biasnya tidak disadari pengguna disesbabkan oleh:

• mengunduh program file-sharing, peralatan sistem, permainan, wallpaper, screen saver, musik, dan video.
• sejumlah situs yang secara diam-diam mengunduh spyware. Hal ini disebut dengan drive-by downloading.
• Seorang hacker menggunakan celah keamanan di situs browser dan perangkat lunak lainnya.
• Malware berpura-pura menjadi perangkat lunak keamanan antispyware.
• Sebuah worm atau virus.
• Jaringan nirkabel publik (public wireless network).

Adware: spyware yang menyebabkan iklan banner pada monitor, mengumpulkan infromasi mengenai penjelajahan situs dan kebiasaan pengguna, dan mengirimkannya kepada pencipta adware, biasanya sebuah organisasi periklanan atau media. Adware biasanya terkait dengan freeware dan sharewareyang diunduh dari internet.

Perangkat lunak torpedo (torpedo software): perangkat lunak yang menghancurkan malwaresaingan. Terkadang mengakibatkan "peperangan malware" di antara pengembang yang bersaing.

Scareware: perangkat lunak berbahaya tidak ada manfaat yang dijual menggunakan taktik menakut-nakuti.

Ransomware: perangkat lunak yang mengenkripsi program dan data sampai sebuah tebusan dibayarkan untuk menghilangkannya.

Keylogger: perangkat lunak yang merekam akivitas komputer, seperti keystroke pengguna e-mail dikirim dan diterima, situs web yang dikunjungi, dan partisipasi pada sesi obrolan.

Trojan horse: satu set instruksi komputer yang tidak diotorisasi dalam sebuah program yang sah dan berfungsi dengan semestinya.

Bom waktu (time bombs)/bom logika (logic bombs): sebuah program yang tidak aktif hungga beberapa keadaan atau suatu waktu tertentu memicunya. Setelah dipicu, program akan menyabotase sistem dengan menghancurkan program atau data.

Pintu jebakan (trap door)/pintu belakang (back door): sebuah set instruksi komputer yang memungkinkan pengguna untuk memotong kendali normal sistem.

Packet sniffer: program yang menangkap data dari paket-paket informasi saat mereka melintasi jaringan internet atau perusahaan. Data tangkapan disaring untuk menemukan informasi rahasia atau hak milik.

Program steganografi (steganography program): sebuah program yang dapat menggabungkan informasi rahasia dengan sebuah file yang terlihat tidak berbahaya, kata sandi melindungi file,mengirimnya ke mana pun di dunia, di mana file dibuka dan informasi rahasia disusun ulang. Host filemasih dapat didengar atau dilihat karena indra penglihatan dan pendengaran menusia tidak cukup sensitif untuk mendapati sedikit penurunan kualitas gambar atau suara.

Rootkit: sebuah cara penyamaran komponen sistem dan malware dari sistem pengoperasian dan program lain, dapat juga memodifikasi sistem pengoperasian.

Superzapping: penggunaan tanpa izin atas program sistem khusus untuk memotong pengendalian sistem reguler dan melakukan tindakan ilegal. Utilitas Superzap awalnya dibuat untuk menangani kondisi darurat, seperti pemulihan sebuah sistem yang rusak.

Virus: sebuah segmen dari kode yang dapat dieksekusi yang melekatkan dirinya ke sebuah file,program, atau beberapa komponen sistem lainnya yang dapat dieksekusi. Ketika program tersembunyi terpicu, virus membuat perubahan tanpa izin agar sebuah sistem beroperasi.

Worm: serupa dengan virus, kecuali jika ia adalah sebuah program bukan sebuah segmen kode yang tersembunyi dakam sebuah program host. Worm juga menggandakan dirinya sendiri secara otomatis dan secara aktif mengirimkan dirinya langsung ke sistem lain.

Bluesnarfing: mencuri daftar kontak, gambar, dan data lain dengan menggunakan cacat dalam aplikasi Bluetooth.

Bluebugging: mengambil kendali atas telepon orang lain untuk membuat atau mendengarkan panggilan, mengirim atau membaca pesan teks, menghubungkan ke internet, meneruskan panggilan korban, dan menghubungi nomor yang membebankan tarif.

Berikut ini teknik-teknik penipuan dan penyalahgunan komputer:

BAB 5 PENIPUAN KOMPUTER

Ketika sistem informasi akuntansi (SIA) tumbuh semakin kompleks dalam memenuhi peningkatan kebutuhan informasi, perusahaan menghadapi risiko pertumbuhan bahwa sistem mereka mungkin dikompromikan. Survei terbaru menunjukkan bahwa 67% perusahaan memiliki cabang keamanan, lebih dari 45 % ditargetkan berdasarkan kejahatan yang terorganisasi, dan 60% dilaporkan merugi secara finansial.

Berikut empat jenis ancaman SIA yang dihadapi perusahaan:

ANCAMAN SIA

Bencana alam dan politik seperti kebakaran, banjir, topan, tornado, badai salju, perang, dan serangan teroris dapat menghancurkan sistem informasi dan menyebabkan kegagalan bagi perusahaan. Contohnya:

1. Serangan teroris di World Trade Centre di New York City dan Federal Building di Oklahoma City menghancurkan dan merusak semua sistem dalam bangunan tersebut.
2. Banjir di Chicago menghancurkan atau membahayakan 400 pusat pengolahan data. Banjir di Des Moines, Iowa, membakar komputer kota dibawah air enam kaki. Topan dan gempa bumi telah menghancurkan beberapa sistem komputer dan memotong jalur komunikasi. Sistem lain juga dihancurkan oleh puing reruntuhan, air dari sistem pemancar air dan debu.
3. Kekhawatiran semestinya yang terjadi pada setiap orang ketika serangan cyber dimilitarisasi: yaitu, dari serangan disruptif ke serangan destruktif.

Kesalahan perangkat lunak, benturan sistem operasi, kegagalan perangkat keras, pemadaman listrik dan flukuasi, dan kesalahan transmisi data yang tidak terdeteksi merupakan ancaman kedua. Contoh kesalahan tersebut antara lain:

1. Lebih dari 50 juta orang di Northeast ditinggalkan tanpa daya ketika sistem pengendalian industri sebagian dari jaringan listrik yang gagal. Beberapa area benar-benar tanpa daya selama empat hari, dan kerusakan yang dihasilkan mendekati $10 juta.
2. Di Facebook, sistem otomotis untuk memverifikasi kesalahan nilai konfigurasi bisa menjadi bumerang, membuat setiap klien mencoba untuk mencocokan data yang akurat jika dirasa tidak valid. Sejak pencocokan yang terlibat dalam melakukan query sekumpulan (kluster) database,kluster tersebut segera diselimuti oleh ratusan atau ribuan pertanyaan dalam satu detik. Benturan yang dihasilkan membuat sistem Facebook menjadi offline untuk dua setengah jam.
3. Sebagai hasil bug sistem pajak, California gagal untuk mengumpulkan $635 juta pajak bisnis.
4. Sebuah bug di perangkat lunak Burger King mengakibatkan biaya kartu kredit $4.334,33 untuk empat hamburger. Kasir tiba-tiba mengetikkan $4,33 dua kali, yang menyebabkan harga yang terlalu mahal.

Ancaman ketiga adalah tindakan yang tidak disengaja, yaitu tindakan karena kecerobohan manusia, kegagalan untuk mengikuti prosedur yang telah ditetapkan, dan personel yang kurang dilatih dan diawasi dengan baik. Contoh tindakan yang tidak disengaja termasuk berikut ini:

1. Petugas entri data pada Mizuho Securities secara salah mengetikkan penjualan untuk 610.000 saham J-Com pada 1 yen dan bukan mengetikkan 1 saham untuk 610.000 yen. Kesalahan tersebut menyebabkan perusahaan mengalami kerugian sebesar $250 juta.
2. Pemrogram membuat salah satu lini kode kesalahan, sehingga membebankan semua barang di Zappos, pengecer online, seharga $49,95 bahkan beberapa barang yang terjual bernilai ribuan dolar. Perubahan ini terjadi pada tengah malam dan saat terdeteksi adalah pukul 6 pagi, perusahaan telah merugi $1,6 juta atas barang yang dijual jauh di bawah biaya.
3. Pemrogram bank salah menghitung bunga untuk setiap bulan menggunakan 31 hari. Sebuah kesalahan ditemukan, lebih dari $100.000 kelebihan bunga dibayarkan.
4. Sebuah spreadsheet Fannie Mae salah menyajikan laba sebesar $1,2 miliar.
5. UPS kehilangan sekotak pita komputer yang berisi informasi yang sensitif atas $3,9 juta pelanggan Citi grup.
6. Jefferson County, West Vurginia, mengeluarkan alat pencarian online baru yang menampilkan informasi personal dari 1,6 juta orang.
7. McAfee, vendor perangkat lunak antivirus, salah mengidentifikasi scvhost.exe, bagian penting dalam sistem operasi Windows, salah satu program terbarunya yang berbahaya. Ratusan ribu PC diseluruh dunia harus di reboot secara manual-proses yang memerlukan 30 menit per mesin. Rumah sakit terbesar ketiga di Rhode Island lumpuh karena kesalahan tersebut. Salah satu perusahaan melaporkan bahwa kesalahan telah membuat mereka merugi $2,5 juta.

Ancaman keempat adalah tindakan yang disengaja seperti kejahatan komputer, penipuan atausabotase (tindakan yang disengaja di mana tunjuannya adalah untuk menghancurkan sistem atau beberapa komponennya). Contoh tindakan yang disengaja mencakup:

1. Dalam periode tiga tahun terakhir, jumlah jaringan yang mencurigakan meningkatk 700%.
2. Virus Sobig menimbulkan kerusakan bagi jutaan komputer, termasuk matinya sistem kereta api selama enam jam.
3. Di Australia, karyawan yang tidak puas dengan perusahaan yang membayak sistem limbah sebanyak 46 kali selama dua bulan.
4. Pemrogram mampu mengunduh database OpenTable karena cookie (sebuah file teks yang diciptakan oleh situs dan disimpan pada hard drive pengunjung. Cookies menyimpan informasi tentang siapa pengguna dan apa yang telah dilakukan di situs) yang didesain tidak sesuai.
5. Hacker mencuri 1,5 juta kartu kredit dan debit dari Global Payments, yang mengakibatkan kerugian sebesar $84 juta dan 90% mengalami penurunan laba pada pengungkapan kuartal selanjutnya.
6. Grup hacker aktivis yang disebut Anonymous memainkan Santa Clause pada suatu hari Natal, mengidentifikasikan mereka "memberikan harapan bagi orang yang kurang beruntung". Mereka dibanjiri permintaan akan iPad, iPhone, piza dan ratusan hal lainnya. Mereka membajak ke dalam bank dan mengirimkan kartu kredit virtual senilai lebih dari $1 juta ke orang-orang.

PENDAHULUAN untuk PENIPUAN

Penipuan (fraud): beberapa dan semua sarana yang digunakan seseorang untuk memperoleh keuntungan yang tidak adil dari orang lain. Secara legal, untuk tindakan dikatakan curang, maka harus ada: 

1. pernyataan, representasi, atau pengungkapan yang salah,
2. fakta material, yaitu sesuatu yang menstimulasi seseorang untuk bertindak,
3. niat untuk menipu,
4. kepercayaan yang dapat dijustifikasi (dibenarkan); dimana seseorang bergantung pada misrepresentasi untuk mengambil tindakan,
5. pencederaan atau kerugian yang diderita oleh korban.

Krimal kerah putih (white-collar criminals): para pelaku bisnis yang melakukan penipuan. Kejahatan kerah putih biasanya digunakan untuk menipu atau memperdaya, dan kejahatan mereka biasanya melibatkan pelanggaran kepercayaan atau keyakinan.

Korupsi (corruption): perilaku tidak jujur yang sering kali melibatkan tindakan yang tidak terlegitimasi, tidak bermoral, atau tidak kompatibel dengan standar etis. Contohnya termasuk penyuapan dan persekongkolan tender.

Penipuan investasi (investment fraud): misrepresentasi atau meninggalkan fakta-fakta untuk mempromosikan investasi yang menjanjikan laba fantastik dengan hanya sedikit atau tidak ada risiko. Contohnya termasuk skema Ponzi dan penipuan sekuritas.

PENYALAHGUNAAN ASET

Penyalahgunaan aset (misappropriation of asset): pencurian aset perusahaan oleh karyawan. Contohnya mencakup sebagai berikut:

1. Albert Milano, manajer Reader's Digest yang bertanggung jawab untuk pemrosesan tagihan, menggelapkan $1 juta selama periode lima tahun.
2. Wakil presiden sebuah bank menyetujui pinjaman bermasalah senilai $1 miliar sebagai pertukaran untuk $585.000 dalam kickback.
3. Manajer di surat kabar Florida bekerja untuk kompetitor setelah ia dipecat. Pemberi kerja pertama menyadari bahwa reporternya dimonitor. Investigasi mengungkapkan bahwa manajer tersebut masih memiliki rekening aktif dan kata sandi serta secara reguler mencari filekomputernya untuk informasi dan cerita eksklusif.
4. Dalam surveri baru-baru ini pada 3.500 orang dewasa, separuhnya mengatakan bahwa mereka akan mengambil properti perusahaan ketika mereka keluar dan mungkin akan mencuri e-datadibandingkan aset. 

Penyalahgunaan umumnya memiliki elemen dan karakteristik yang penting. Para pelaku:

1. memperoleh kepercayaan atau keyakinan dari entitas yang ditipu,
2. menggunakan informasi yang penuh dengan tipu muslihat, licik, atau menyesatkan untuk melakukan penipuan,
3. menyembunyikan penipuan dengan memalsukan catatan atau informasi lainnya,
4. jarang menghentikan penipuan secara sukarela,
5. melihat begitu mudah untuk mendapatkan uang ekstra, kebutuhan atau ketamakan akan mendorong orang untuk melanjutkannya. Beberapa penipuan yang mengabadikan diri; jika pelaku berhenti, tindakan mereka akan diketemukan,
6. menghabiskan uang yang didapatnya secara tidak benar,
7. menjadi tamak dan mengambil sejumlah uang yang lebih besar pada jangka waktu yang lebih sering akan membuat risiko terungkapnya penipuan meningkat,
8. tumbuhnya kecerobohan dan terlalu percaya diri selama berlalunya waktu.

KECURANGAN PELAPORAN KEUANGAN

Kecurangan pelaporan keuangan (fraudulent financial reporting): perilaku yang disengaja atau ceroboh, apakah dengan tindakan atau kelalaian, yang menghasilkan laporan keuangan menyesatkan secara material.

SAS NO.99: TANGGUNG JAWAB AUDITOR UNTUK MENDETEKSI PENIPUAN

Statement on Auditing Standards (SAS) No.99, Consideration of Fraud in a Financial Statement Audit, yang efektif pada Desember 2002. SAS No.99 mensyaratkan auditor untuk:

1. memahami penipuan.
2. mendiskusikan risiko salah saji kecurangan yang material.
3. memperoleh informasi.
4. mengidetifikasi, menilai, dan merespons risiko.
5. mengevaluasi hasil pengujian audit mereka.
6. mendokumentasikan dan mengomunikasikan temuan.
7. menggabungkan fokus teknologi.

SIAPA YANG MELAKUKAN PENIUAN DAN MENGAPA

SEGITIGA PENIPUAN

Untuk sebagian besar pelaku penipuan, semua kebutuhan pelaku adalah kesempatan dan cara pandang kriminal yang memungkinkan mereka melakukan penipuan. Berikut merupakan tiga kondisi ketika penipuan terjadi atau yang disebut segitiga penipuan:

TEKANAN

Tekanan (pressure): dorongan atau motivasi seseorang untuk melakukan penipuan. 

Berikut tekanan yang dapat menyebabkan penipuan karyawan:

Beikut tekanan yang dapat menyebabkan penipuan laporan keuangan:

KESEMPATAN

Kesempatan (opportunity): kondisi atau situasi yang memungkinkan seseorang atau organisasi untuk melakukan dan menyembunyikan tindakan yang tidak jujur dan mengubahnya menjadi keuntungan pribadi. Kesempatan memungkinkan orang untuk melakukan tiga hal berikut ini:

1. melakukan penipuan.
2. menyembunyikan penipuan. Lapping: menyembunyikan pencurian uang tunai melalui serangkaian penundaan dalam posting koleksi untuk piutang. Cek kiting (chech kiting):membuat kas dengan menggunakan jeda antara waktu cek didepositokan dengan waktu dicairkan di bank.
3. mengonversikan pencurian atau misrepresentasi untuk keuntungan personal.

Berikut kesempatan yang memungkinkan penipuan karyawan dan laporan keuangan:

RASIONALISASI

Rasionalisasi (rationalization): alasan yang digunakan para pelaku penipuan untuk membenarkan perilaku ilegal mereka. Rasionalisasi yang paling sering mencakup hal-hal berikut:

1. saya hanya "meminjam" itu, dan saya akan membayar kembali "pinjaman saya".
2. anda akan memahami jika anda tahu seberapa besar saya menginginkannya.
3. apa yang saya lakukan tidak serius.
4. ini merupakan sebab yang baik (sindrom Robin Hood: mencuri kepada yang kaya untuk memberi kepada yang miskin).
5. kepercayaan merupakan posisi saya yang penting di atas peraturan.
6. orang lain melakukannya.
7. tidak ada yang akan pernah tahu.
8. perusahaan berutang pada saya; saya tidak akan mengambil selain yang menjadi hak saya.

PENIPUAN KOMPUTER

Penipuan komputer (computer fraud): setiap penipuan yang mensyaratkan teknologi komputer untuk melakukan penipuan. Contohnya:

1. pencurian, penggunaan, akses, modifikasi, penyalinan, atau penghancuran yang tidak sah pada perangkat lunak, perangkat keras, atau data.
2. pencurian aset yang ditutupi dengan mengganti catatan komputer.
3. memperoleh informasi atau properti tak berwujud secara ilegal dengan menggunakan komputer.

MENINGKATNYA PENIPUAN KOMPUTER

Sistem komputer secara khusus rentan terhadap alasan berikut ini:

1. orang yang masuk dalam database perusahaan dapat mencuri, menghancurkan, atau mengganti sejumlah besar data dalam waktu yang sangat singkat, dan meninggalkan sedikit bukti.
2. penipu komputer dapat lebih sulit dideteksi dibandingkan jenis penipuan lain.
3. beberapa organisasi memberikan akses kepada karyawan, pelanggan, dan pemasok ke sistem mereka.
4. program komputer perlu dimodifikasi secara ilegal hanya sekali untuk mengoperasikan program yang tidak sesuai selama program tersebut dapat digunakan.
5. komputer pribadi (personal computer - PC) sangat rentan.
6. sistem komputer menghadapi sejumlah tantangn unik: kendala, kegagalan peralatan, ketergantungan pada daya, kerusakan dari air atau api, kerentanan terhadap interferensi elektromagnetik dan interupsi, serta mendengarkan pembicaraan yang tidak seharusnya didengar.

Sejumlah insiden, nilai dolar mengalami penurunan, serta kecanggihan pelaku dan skema yang digunakan untuk melakukan penippuan komputer meningkat dengan cepat karena beberapa alasan berikut:

1. tidak semua orang sependapat dengan apa yang termasuk penipuan komputer.
2. banyak contoh penipuan komputer tidak terdeteksi.
3. persentase penipuan yang tinggi tidak dilaporkan.
4. banyak jaringan yang tidak aman.
5. situs internet menawarkan instruksi langkah demi langkah pada bagaimana melakukan penipuan komputer dan penyalahgunaan.
6. penegak hukum tidak dapat menjaga pertumbuhan penipuan komputer.
7. mengjitung kerugian sangat sulit.

KLASIFIKASI PENIPUAN KOMPUTER

INPUT PENIPUAN

Contoh:

1. seorang pria membuka rekening bank di New York dan memiliki cetakan slip setoran bank kosong yang sama dengan yang tersedia di lobi bank, kecuali nomor rekeningnya yang berbeda. Ia mengganti slip setoran di lobi bank dengan yang ia palsukan. Selama tiga hari, simpanan di bank menggunakan slip yang dipalsukan masuk ke rekeningnya. Pelaku mengambil uang dan menghilang. Pelaku tidak pernah ditemukan.
2. seorang pria menggunakan desktop untuk mempersiapkan tagihan perlengkapan kantor yang tidak pernah dipesan atau dikirim dan dikirimkan mereka ke perusahaan lokal. Fakturnya kurang dari $300, jumlah yang sering kali tidak membutuhkan persetujuan pesanan pembelian. Persentase tagihan yang tinggi harus dibayar oleh perusahaan.
3. Karyawan pada Veteran's Memorial Coliseum menjual tikel pelanggan berharga penuh, memasukkannya sebagai tiket separuh harga dan mengantongi selisihnya.
4. Karyawan jalur kereta api memasukkan data untuk menghilangkan data lebih dari 200 mobil jalur kereta api.
5. Perusahaan memberikan dukungan teknis membuat duplikat persis dari cek yang digunakan untuk membayarnya, menggunakan pemindai off-the-shell, perangkat lunak grafis, dan printer.

PENIPUAN PROSESOR

Penipuan prosesor merupakan penggunaan sistem yang tidak sah, termasuk pencurian waktu dan layanan komputer.

Contohnya:

Perusahaan asuransi mengintal perangkat lunak untuk mendeteksi aktivitas sistem yang abnormal dan menemukan bahwa karyawan menggunakan komputer perusahaan untuk menjalankan situs judi ilegal.

Dua akuntan tanpa hak akses yang sesuai menyusup ke dalam sistem opsi saham Cisco, mentransfer lebih dari $6,3 juta saham Cisco untuk rekening broker mereka, dan menjual saham.

PENIPUAN INSTRUKSI KOMPUTER

Penipuan instruksi komputer termasuk merusak perangkat lunak perusahaan, menyalin perangkat lunak secara ilegal, menggunakan perangkat lunak dengan cara yang tidak sah, dan mengembangkan perangkat lunak untuk aktivitas yang tidak sah.

PENIPUAN DATA

Secara ilegal dengan menggunakan, menyalin, mencari, atau membahayakan data perusahaan merupakan penipu data.

Berikut beberapa contoh pencurian data:

1. Manajer kantor biro hukum Wall Street menjual informasi ke temen dan kerabat mengenai merger dan akuisisi prospektif yang ditemukan dalam file Word.
2. Pria Kazakhtan berusia 22 tahun masuk ke dalam jaringan Bloomberg dan mencuri informasi rekening, termasuk milik Michael Bloomberg, Wali Kota New York dan pendiri perusahaan berita keuangan.
3. Seorang insinyur perangkat lunak mencoba untuk mencuri rencana mikroprosesor Intel yang baru.
4. Kriminal cyber menggunakan hacking canggih dan teknik pencurian identitas untuk membajak tujuh rekening pada perusahaan broker online besar.
5. Departement of Veterans Affairs Amerika Serikat dituntut karena laptop karyawan yang berisi catatan 26,5 juta veteran dicuri, mengeksposnya ke pencurian identitas.

OUTPUT PENIPUAN

Tampilan atau cetakan output dapat dicuri, disalin, atau disalahgunakan.

MENCEGAH DAN MENDETEKSI PENIPUAN DAN PENYALAHGUNAAN

Berikut ini beberapa cara untuk mencegah dan mendeteksi penipuan: