Audit IT Security

Audit IT security dilakukan untuk melindungi sistem yang ada dari ancaman keamanan yang mungkin terjadi, termasuk;

1. Akses ke data rahasia
2. Akses yang tidak sah ke komputer departemen
3. Pemakaian password
4. Serangan virus
5. Open ports

Audit juga dilakukan untuk memastikan;

1. Memastikan integrity, confidentiality dan availability dari informasi
2. Pengawasan terhadap semua ukuran keamanan berdasarkan IT Security policy
3. Menyelidiki gangguan keamanan yang tercatat dalam buku log

Contoh pertanyaan yang sering diajukan oleh IT Audit;

A. Umum

1. Apakah perusahaan / departemen mempunyai kebijakan keamanan IT, standar atau prosedur?
2. Apakah kebijakan, standar atau prosedur tersebut disimpan ditempat yang mudah diakses? dismpan dalam media apa?

B. Hardware

1. Apakah perusahaan / departemen mempunyai standar sistem perawatan dan prosedur?
2. Apakah sistem administrator sudah memastikan semua data-data penting sudah dihilangkan sebelum hardware dikirim keluar untuk perbaikan atau penggantian?

C. Software

1. Apakah mempunyai disks asli untuk install ulang jika software di hard disk bermasalah?
2. Apakah ada panduan atau prosedur untuk melanjutkan operasional jika pusat pelayanan software bermasalah?

D. Environmental

1. Apakah lingkungan kerja aman dan bebas dari kemungkinan bahaya? (seperti, atap bocor, kecukupan listrik, dll)
2. Apakah UPS bisa membantu server dan PC jika ada masalah listrik?

E. User login dan Password

1. Apakah ada kebijakan untuk memilih password ?
2. Apakah password diganti? berapa lama?

F. Physical Security

1. Apakah ada prosedur untuk mengunci ruang komputer?
2. Apakah ada sistem alarm?
3. Apakah PC bisa dikunci untuk menghindari akses orang lain ke dalam komputer?

G. Network dan Configuration Security

1. Apakah perusahaan mempunyai diagram network?
2. Apakah perusahaan bisa melanjutkan operasional ketika ada masalah dengan network?

H. Web Server

1. Apakah web server ditentukan hanya untuk port 80?
2. Apakah contoh file, script dan file development sudah dihapus?

I. FTP

1. Apakah semua FTP server sudah diatur hanya untuk pengguna yang berhak?
2. Apakah traffic di encrypted / aman?

J. Email

1. Apakah email server bisa untuk scan mail dan lampiran dari serangan virus?
2. Apakah akses web ke email aman?

K. Disaster Planning

1. Apakah ada contigency plan jika PC tidak bisa jalan?
2. Apakah contigency plan sudah dicoba secara berkala?

L. Backup dan Recovery

1. Apakah file / data backup disimpan ditempat yang aman?
2. Apakah file-file yang penting di backup secara berkala?

M. Change Management

1. Apakah perusahaan mempunyai version control untuk produk software atau aplikasi?
2. Apakah hanya orang yang sudah terlatih d\yang diizinkan untuk install software?

N. Training

1. Apakah pegawai baru membaca dan mengerti tentang keamanan IT?
2. Apakah ada workshop untuk pegawai tentang keamanan IT?

O. Firewall

1. Seberapa sering log dilihat?
2. Apakah perusahaan mempunyai teknikal staff untuk menjalankan network firewall?

P. Antivirus

1. Apakah PC menggunakan antivirus versi terbaru?
2. Seberapa sering anti virus diganti / update?