PROSES BISNIS PENGELOLAAN PESANAN PELANGGAN

PROSES BISNIS PENGELOLAAN PESANAN PELANGGAN

 A.           Proses bisnis pengelolaan pesanan pelanggan

Permintaan informasi dan pembuatan kontrak adalah aktivitas pilihan. Kadang kadang aktivitas ini terjadi atau diperlukan dalam proses bisnis pengelolaan pesanan pelanggan pada beberapa organisasi, tetapi ini tidak penting pada beberapa pelanggan atau organisasi. Pengisian pesanan adalah fungsi utama dari proses bisnis pengelolaan pesanan pelanggan. Pesan dibuat ketika seorang pelanggan meminta barang atau jasa dari suatu perusahaan.

            Permintaan informasi

                        Proses bisnis pengelolaan pesanan pelanggan sering dimulai dengan suatu permintaan dari pelanggan atau permintaan suatu quatation. QUATATION  adalah sebuah dokumen yang disiapkan dan dikirimkan ke pelanggan potensial guna memberikan informasi mengenai produk harga,ketersediaan produk dan informasi pengiriman. Quotation disiapkan ketika pelanggan potensial meminta secara khusus informasi secara rinci mengenai pesanan potensialnya. Suatu permintaan informasi mirip dengan Quatation, tetapi permintaan informasi tidak berisi informasi pengiriman.

            Pembuatan kontrak

                        Beberapa perusahaan memerlukan kontrak (perjanjian legal) yang disiapkan sebelum menjual kepada pelanggan sebagai suatu kebijakan perusahaan. Kadang kala perjanjian kontrak ini tidak diperlukan oleh perusahaan. Kontrak adalah suatu perjanjian untuk menyediakan barang dan jasa kepada pelanggan. Kontrak biasanya menyebutkan kuantitas dan jadwal waktu pengiriman. Kontak yang berisi perjanjian mengenai penyediaan suatu barang pada periode tertentu disebut Blanket Order.

            Memasukkan pesanan

                         Memasukkan pesanan atau order entry menyiapkan dokumen pesanan penjualan. Dokumen yang berbeda atau sama akan disiapkan ketika pelanggan meminta pengiriman barang yang sudah dirincikan dalam kontrak. Penerimaan pesanan biasanya berisi penentuan harga dan pemeriksaan ketersediaan barang. Sistem Informasi enterprise resource planning memungkinkan inplementasi prosedurr penentuan harga yang canggih dan fleksibel antara pelanggan dan barang spesifik.

             Pengiriman

                        Aktivitas pengiriman diawali dengan penyiapan dokumen pengiriman yang disebut delivery. Dokumen delivery dibuat untuk mengatur pengiriman barang ke pelanggan. Dokumen delivery diproses untuk menyaipak jadwal (daftar kerja) pengiriman. Jadwal didasarkan pada tanggal pengiriman yang diminta oleh pelanggan. Barang yang dikeluarkan dari persediaan pengiriman memerlukan dokumen pengambilan pesanan, pengepakan pesanan dan posting pengiriman. Pengambilan pesanan mencakup proses memilih barang dari pabrik atau gudang sesuai dengan pesanan. Pengepakan barang mencakup ,menyiapkan barang sampai ke kendaraan angkutan yang membawa sampai ke pelangggan.

             Penagihan

                        dokumen delivery dimasukkan dalam jadwal penagihan dan diifakturkan. ERP membuat banyak salinan data yang digunakan untuk penagihan dari dokumen pesanan penjualan pelanggan atau dokumen delivery pelanggan.

            Ilustrasi ERP

                        Sistem ERP mampu menyiapkan dan memproses sejumlah informasi yang sangat besar berkaitan dengan proses bisnis pengelolaan pelanggan.  Bagian ini akan membahas secara ringkas data yang disimpan dan diproses dalam proses bisnis pengelolaan pesanan pelanggan dengan menggunakan SAP R/3.

             Record master pelanggan

                        Record master pelanggan berisi semua informasi yang berkiatan dengan pelanggan. Record master pelanggan dibuat sebelum proses pesanan penjualan dalam R/3 karena informasi dalam record master pelanggan digunakan dalam proses pesanan penjualan.

SAP R/3 Membutuhkan 4 macam record master;

a.       Reccord penjualan ke pelanggan

b.      Record pengiriamn ke pelanggan

c.       Record penagihan ke pelanggan

d.      Record pembayaran pelanggan.

Field data

            Kebanyakan input dikodekan dengan angka. Pengguna menekan tombol return jika isi layar sudah dilengkapai dan untuk melihat layar.  Layar input create customer pada input fasilitas R/3 menggunakan list box dan fasilitas prncarian. List box digunakan oleh pengguna untuk memilih item dari daftar yang ada. Fasilitas pencarian yang memungkinkan pengguna memasukan kata atau frase R/3/ akan menemukan kode yang dibutuhkan.

Berikut ini beberapa data yang ada pada layar Create Customer :

a.       Initial Screen

b.      Customer address

c.       Control data

d.      Marketing

e.       Payment transaction

f.       Uploading points

g.      Foreign trade

h.      Contact person

i.        Account management

j.        Payment transaction

k.      Correspondence

l.        Incurance

m.    Sales

n.      Shipping

o.      Billing

p.      Taxes

q.      Output

r.        Partner function

Pelanggan satu-waktu

          Karena kompleks proses pembuatan record master pelanggan, R/3 memungkinkan untuk membuat record master tunggal secara dummy  untuk pelanggan satu-waktu (one-time customer) atau pelanggan yang tidak rutin. Semua pelanggan melalui record satu-waktu. Record master mempunyai informasi minimum. Hanya layar address,sales,shipping,billing,taxes,dan output create customer yang perlu dilengkapi. Untuk layar tersebut hanya field yang akan diaplikasikan untuk semua pelanggan yang menggunakan record ini yang perlu dimasukkan. Proses ini mengamankan masalah dalam pembuatan record rinci untuk pelanggan satu waktu.

STANDAR PEMROSESAN PESANAN PADA SAP R/3

          Standar pemrosesan pesanan adalah istilah yang menjelaskan proses bisnis pengelolaan pesanan yang pesanan pelanggan dimasukkan dari persediaan barang jadi. Standar pesanan umum diterima melalui telpon,fax,bagi penjualan atau voice mail. Pertama-tama diterbitkan sebuah quotation untuk pelanggan. Jika ada quotation maka pesanan akan dibuat jika pelanggan memerlukan pengiriman barang atau jasa. Standar pesanan penjualan berisi informasi mengenai harga, jumlah,dan tanggal (tanggal pengiriman yang diminta,tanggal penyerahan,dsb).

          Sesudah suatu pesanan dibuat dan diproses dokumen delivery dibuat R/3 menghitung tanggal pengiriman yang diharapkan menggunakan tanggal pengiriman dan waktu transit ke pelanggan. Data tersedia dalam record master pelanggan.

Membuat  pesanan penjualan

            Record master pelanggan harus ada sebelum pesanan penjualan dibuat. R/3 dapat menyalin informasi dari record master kedalam pesanan penjualan,jika diperlukan.

Create sales order ; layar awal.

            Layar ini digunakan untuk memasukkan informasi untuk wilayah penjualan. Ada 3 field yang harus ada.

1.      Field organisasi penjualan mengidentifikasikan unit yang bertanggung jawab terhadap penjualan.

2.      Field jalur distribusi mengklasifikasikan pesanan seperti penjualan langsung,eceran atau penjualan besar.

3.      Field kode divisi digunakan untuk mengidentifikasi satu subgroup dalam organisasi penjualan.

Layar create sales order.

            Layar ini punya dua bagian

1.      Header dokuman dan wilayah untuk data item,Header dokumen brisi field untuk item yang menjelaskan seluruh pesanan.

2.      Field sold to party mengumpulkan kode pelanggan. Nomer pesanan pembelian pelanggan dimasukkan ke dalam field nomor pesanan pembelian.

Fitur database

            Setiap aktifitas pada proses bisnis pengelolaan pesanan pelanggan-quatation,pesanan,pengiriman,faktur dan sebagainya-menghasilkan suattu dokumen. Fitur arus dokumen pada SAP R/3 memungkinkan untuk melihat dan melacak dokumen dokumen tersebut.

B.  Pengendalian siklus transaksi pada pemrosesan pesanan

Pengendalian siklus transaksi didasarkan pada fungsi yang dipisahkan dalam suatu proses bisnis.

Memasukkan pesanan

            Fungsi memasukkan pesanan (order entry) memulai proses pesanan pelanggan dengan menyiapkan dokumen pesanan penjualan. Pesanan penjualan berisi penjelasan mengenai produk yang dipesan,harganya dan data deskriptif mengenai pelanggan seperti nama,alamat pengiriman dan jika diperlukan alamat penagihan. Jika waktu antara penerimaan pesanan dengan pengiriman sesungguhnya signifikan, maka pemberitahuan akan dikirimkan kepadapelanggan untuk memberitahu bahwa pesanan telah diterima dan sedang dalam proses.

Kredit

             Kredit pelanggan yang masih ada sebaiknya di verifikasikan terlebih dahulu ke bagian pengiriman barang. Untuk pelanggan regular, pemeriksaan kredit meliputi menentukan jumlah total kredit yang disetujui tidak melebihi otorisasi dari manajemen secara umum atau khusus. Unuk pelanggan baru pemeriksaan kredit diperlukan untuk menentukan jangka waktu penjualan kepada pelanggan.

Barang jadi

            Barang jadi diambil sesuai dengan yang ada pada picking list. Picking list disiapkan dari dokumen pengiriman yang disiapkan dengan database pesanan untuk memproses pesanan yang telah disetujui.

Pengiriman

            Bagian pengiriman menerima perintah pengiriman setelah cocok dengan pesanan yang ada pada picking list bersama dengan barang yang dipesan seperti yang ada pada daftar pengepakan barang. Informasi pesanan yang ada pada daftar pengepakan disiapkan secara independen karena ia didasarkan pada pesanan yang disiapkan oleh fungsi order entry dan disetujui oleh fungsi kredit.

Penagihan

            Penagihan merupakan proses terakhir dari proses pesanan dengan menyiapkan faktur untuk pesanan yang tampak pada daftar penagihan. Bagian penagihan melakukan verifikasi pesanan dan kemudian menyiapkan faktur. Faktur berisi total pembayaran untuk jumlah kuantitas yang dikirimkan,biaya angkut(jika ada) dan pajak (jika ada) . faktur dikirim ke pelanggan.

 Piutang dagang dan buku besar

            Perbedaan antara penagihan dan piutang dagang penting untuk mempertahankan pemisahan fungsi . bagian penagihan bertanggung jawab untuk membuat faktur pesanan secara individual dan piutang dagang menangani informasi rekening pelanggan dan secara periodic mengirimkan laporan piutang dagang kepada pelanggan.

C.  Proses bisnis manajemen akun pelanggan

Proses bisnis pengelolaan pesanan pelanggan mencakup pemrosesan piutang dagang sampai pengumpulan pembayaran pelanggan pada rekening, bagian ini membahas secara singkat proses bisnis penjualan tunai karena kerap kali terintegrasi dengan proses pengumpulan pembayaran pelanggan.

Piutang dagang

            Piutang dagang mewakili uang yang dimiliki oleh pelanggan untuk barang dan jasa yang telah dijual yang dimasukkan dalam rekening,karena kebanyakan bisnis dilakukan secara kredit,pitang dagang sering kali mewakili sejumlah besar modal kerja organisasi yang sangat penting pada proses bisnis pengelolaan pesanan pelanggan.

            Ada dua pendekatan dasar pada aplikasi piutang dagang yaitu

1.      Proses open item dan

2.      Proses balance forward

Pada pemrosesan open item pencatatan terpisah dikelola pasa sistem piutang dagang untuk setiap faktur yang belum dibayar oleh pelanggan,jika pembayaran pelanggan diterima maka akan dibandingkan dengan faktur yang belum dibayarkan. Pada pemrosesan balance forward  pembayaran dari pelanggan dibandingkan dengan total saldo pelanggan yang masih ada dan bukan dibandingkan dengan faktur pelanggan secara individu. Banyak bisnis menggunakan siklus perencanaan penagihan (cycle billing plan.  Dimana rekening piutang dagang dibagi secara alphabet atau berdasarkan nomor rekening. Idenya adalah mendistibusikan laporan yang disiapkan selama hari kerja pada setiap bulan.

D.  Pengendalian transaksi pada proses bisnis piutang dagang

Penerimaan kas

            Slip pembayaran pelanggan dilanjutkan ke piutang dagang untuk diposting dari penerimaan kasir,piutang dagang tidak punya akses ke kas atau memeriksa pembayaran pelanggan.

Penagihan

            Faktur,memo kredit dan penyesuaian faktur yang lainnya di rutekan ke piutang dagang untuk diposting ke rekening pelanggan . hal ini menjaga pemisahan fungsi-fungsi yang ada. Penagihan tidak punya akses langsung ke pencatatan piutang dagang.

Piutang dagang

            Piutang dagang bertanggung jawab untuk mengelola buku pembantu piutang dagang, rekening control dikelola oleh departemen buku besar. Debit dan kredit dipostingkan ke rekening pelanggan dari bukti pembayaran,faktur,dan dokumen lain yang diterima dari penagihan dan penerimaan kas. Hal ini menjaga pemisahan fungsi-fungsi yang ada.

Kredit

            Fungsi departemen kredit meliputi menyetujui retur dan potongan penjualan dan penyesuaian lainnya untuk rekening pelanggan, dan memulai memo (dokumen) penghapusan untuk membebani rekening dengan kerugian piutang.

Buku besar

            Buku besar mengelola rekening pengendali piutang dagang. Debit dan kredit diposting ke rekening pengendali piutang dagang dari jurnal dan hasil pencocokan dengan total pengendali yang diterima dari penagihan dan penerimaan kas.

Retur dan potongan penjualan

            Retur dan potongan penjualan memerlukan pengendalian yang hati-hati. Potongan penjualan terjadi karena ada barang dagangan yang rusak,kekurangan dalam pengiriman,kesalahan klerikal atau adanya perjanjian antara pelanggan dengan penjual untuk mengurangi jumlah yang dipunyai pelanggan. Jumlah potongan di negosiasikan antara pelanggan dan departeman penerimaan pesanan penjualan(atau penjualnya).

Penghapusan pitutang dagang

            Hal pokok dalam penghapusan adalah analisis rekening yang telah jatuh tempo sebelumnya. Ini biasanya dilakukan dengan menggunakan laporan saldo umur piutang.

E.     Proses bisnis kas yang diterima pada rekening

Proses bisnis kas yang diterima pada rekening digunakan ketika pelanggan masih memiliki saldo. Penerimaan kas pada rekening biasanya berasal dari pengiriman surat atau dibayarkan seseorang ke kasir pusat atau cash window. Hal pokok yang  yang di ilustrasikan adalah pemisahan fungsi-fungsi berikut:

a.       Mailroom

b.      Penerimaan kas

c.       Piutang dagang

d.      Buku besar

e.       Bank

f.       Audit internal

F.     Proses bisnis penjualan tunai

Perbedaan  signifikan antara proses bisnis penjualan tunai dan proses bisnis kas yang diterima pada rekening adalah tidak adanya pencatatan asset sebelumnya (saldo rekening pelanggan) pada proses bisnis penjualan tunai. Audit pelanggan merupakan istilah umum yang digunakan untuk menjelaskan prosedur dimana tindakan pelanggan sebagai pengendalian pada dokumentasi awal transaksi. Supervise bertugas mengobservasi kinerja stafnya. Supervise langsung dari pekerjaan klerikal merupakan hal yang biasa dilakukan seperti dalam mailroom dimana penerimaan kas dibuka. Teknik supervise mencakup penggunaan profesional shooper,yaitu orang yang disewa untuk membeli barang pada perusahaan eceran dengan tujuan mengobservasi pencatatan transaksi.

Teknik imprest digunakan untuk menendalikan penerimaan kas dengan cara yang sama tetapi biasanya kurang akurat yang digunakan dalam pengendalian pengeluaran kas kecil.  Petugas klerikal diberi sejumlah tiket bernomor urut dan harus mempertanggung jawabkan nilai penjualannya atau tiket yang dimilikinya. Pemborong eceran harus mempertanggungjawabkan nilai eceran barang yang dimilikinya. Pengendalian persediaan pada penjualan ini diaplikasikan dengan mengunakan metode laba kotor atau metode analisis penjualan eceran untuk mengestimasi tingkat persediaan. Walaupun pengendalian seperti ini tidak begiru efektif untuk menghilangkan kemungkinan manipulasi namun cara ini dapat mengurangi kecurangan.

Keamanan Sistem Informasi

KEAMANAN SISTEM INFORMASI

A. KEBUTUHAN ORGANISASI AKAN KEAMANAN DAN PENGENDALIAN

          Dalam dunia masa kini, banyak organisasi semakin sadar akan pentingnya menjaga seluruh sumber daya mereka, baik yang bersifat virtual maupun fisik agar aman dari ancaman baik dari dalam atau dari luar. Sistem komputer yang pertama hanya memiliki sedikit perlindungan keamanan, namun hal ini berubah pada saat perang viaetnam ketika sejumlah instalasi keamanan komputer dirusak pemrotes. Pengalaman ini menginspirasi kalangan industri untuk meletakkan penjagaan keamanan yang bertujuan untuk menghilangkan atau mengurangi kemungkinan kerusakan atau penghancuran serta menyediakan organisasi dengnan kemampuan untuk melanjutkan kegiatan operasional setelah terjadi gangguan.

          Pendekatan-pendekatan yang dimulai di kalangan industri dicontoh dan diperluas. Ketika pencegahan federal ini diimplementasikan, dua isu penting harus diatasi yakni keamana versus hak-hak individu dan keamaan versus ketersediaan.

B.            KEAMANAN INFORMASI

          Saat pemerintah dan kalangan industri mulai menyadari kebutuhan untuk mengamankan sumber daya informasi mereka, perhatian nyaris terfokus secara eksklusif pada perlindunga peranti keras data maka istilah keamanan sistem digunakan. Istilah keamanan sistem digunakan untuk mengambarkan perlindungna baik peralatan komputer dan nonkomputer, fasilitas,data dan informasi dari penyalahgunaan pihak-pihak yang tidak berwenang.

Tujuan Keamanan Informasi

Keamanan informasi ditujuakn untuk mencapai tiga tujuan utama yakni:

a.    Kerahasiaan. Perusahaan berusaha untuk melindungi data dan informasinya dari pengungkapan orang-orang yang tidak berwenang.

b.    Ketersediaan. Tujuan dari infrastruktur informasi perusahaan adalah menyediakan data dan informasi bagi pihak-pihak yang memiliki wewenang untuk menggunakannya.

c.    Integritas. Semua sistem informasi harus memberikan representasi akurat atas sistem fisik yang direpresentasikannya.

C.           MANAJEMEN KEAMANAN INFORMASI

Pada bentuknya yang paling dasar, manajemen keamanan informasi terdiri atas empat tahap yakni:

a.    Mengidentifikasi ancaman yang dapat menyerang sumber daya informasi perusahaan

b.    Mendefenisikan risiko yang dapat disebabkan oleh ancaman-ancaman tersebut

c.    Menentukan kebijakan keamanan informasi

d.   Mengimplementasikan pengendalian untuk mengatasi risiko-risiko tersebut.

          Istilah manajemen risiko (risk management) dibuat untuk menggambarkan pendekatan ini dimana tingkat keamanan sumber daya informasi perusahaan dibandingkan dengan risiko yang dihadapinya.

          Tolak ukur (benchmark) adalah tingkat kinerja yag disarankan. Tolak ukur keamanan informasi (information security benchmark) adalah tingkat kemanan yang disarankan yang dalam keadaan normal harus menawarkan perlindungan yang cukup terhadap gangguan yang tidak terotorisasi.standar atau tolak ukur semacam ini ditentukan oleh pemerintah dan asosiasi industri serta mencerminkan komponen-komponen program keamanan informais yang baik menurut otoritas tersebut.

          Ketika perusahaan mengikuti pendekatan ini, yang disebut kepatuhan terhadap tolak ukur (benchmark compliance) dapat diasumsikan bahwa pemerintah dan otoritas industri telah melakukan pekerjaan yang baik dalam mempertimbangkan berbagai ancaman serta risiko dan tolak ukur tersebut menawarkan perlindungan yang baik.

B.            ANCAMAN

          Ancaman Keamanan Informasi (Information Security Threat) merupakan orang, organisasi, mekanisme, atauperistiwa yang memiliki potensi untuk membahayakan sumber daya informasi perusahaan. Pada kenyataannya, ancaman dapat bersifat internal serta eksternal dan bersifat disengaja dan tidak disengaja.

Ancaman Internal dan Eksternal

Ancaman internal bukan hanya mencakup karyawan perusahaan, tetapi juga pekerja temporer, konsultan, kontraktor, bahkan mitra bisnis perusahaan tersebut. Ancaman internal diperkirakan menghasilkan kerusakan yang secara potensi lebih serius jika dibandingkan denga ancaman eksternal, dikarenakan pengetahuan anccaman internal yang lebih mendalam akan sistem tersebut. Ancaman eksternal misalnya perusahaan lain yang memiliki produk yang sama dengan produk perusahaan atau disebut juga pesaing usaha.

Tindakan Kecelakaan dan disengaja

Tidak semua ancaman merupakan tindakan disengaja yang dilakukan dengan tujuan mencelakai. Beberapa merupakan kecelakaan yang disebabkan oelh orang-orang di dalam ataupun diluar perusahaan. sama halnya

Jenis- Jenis Ancaman:

Malicious software, atau malware terdiri atas program-program lengkap atau segmen-segmen kode yang dapat menyerang suatu system dan melakukan fungsi-fungsi yang tidak diharapkan oleh pemilik system. Fungsi-fungsi tersebut dapat menghapus file,atau menyebabkan sistem tersebut berhenti. Terdapat beberapa jensi peranti lunak yang berbahaya, yakni:

a.    Virus. Adalah program komputer yang dapat mereplikasi dirinya sendiri tanpa dapat diamati oleh si pengguna dan menempelkan salinan dirinya pada program-program dan boot sector lain

b.    Worm. Program yang tidak dapat mereplikasikan dirinya sendiri di dalam sistem, tetapi dapat menyebarkan salinannya melalui e-mail

c.    Trojan Horse. Program yang tidak dapat mereplikasi atau mendistribusikan dirinya sendiri, namun disebarkan sebagai perangkat

d.   Adware. Program yang memunculkan pesan-pesan iklan yang mengganggu

e.    Spyware. Program yang mengumpulkan data dari mesin pengguna

C.           RISIKO

Risiko Keamanan Informasi (Information Security Risk) didefinisikan sebagai potensi output yang tidak diharapkan dari pelanggaran keamanan informasi oleh Ancaman keamanan informasi. Semua risiko mewakili tindakan yang tidak terotorisasi. Risiko-risiko seperti ini dibagi menjadi empat jenis yaitu:

a.    Pengungkapan Informsi yang tidak terotoritasis dan pencurian. Ketika suatu basis data dan perpustakaan peranti lunak tersedia bagi orang-orang yang seharusnya tidak memiliki akses, hasilnya adalah hilangnya informasi atau uang.

b.    Penggunaan yang tidak terotorisasi. Penggunaan yang tidak terotorisasi terjadi ketika orang-orang yang biasanya tidak berhak menggunakan sumber daya perusahaan mampu melakukan hal tersebut.

c.    Penghancuran yang tidak terotorisasi dan penolakan layanan. Seseorang dapat merusak atau menghancurkan peranti keras atau peranti lunak, sehingga menyebabkan operasional komputer perusahaan tersebut tidak berfungsi.

d.   Modifikasi yang terotorisasi. Perubahan dapat dilakukan pada data, informasi, dan peranti lunak perusahaan yang dapat berlangsung tanpa disadari dan menyebabkan para pengguna output sistem tersebut mengambil keputusan yang salah.

D.           MANAJEMEN RISIKO (MANAGEMENT RISK) DAN KEBIJAKAN KEAMANAN INFORMASI

Manajemen Risiko merupakan satu dari dua strategi untuk mencapai keamanan informasi.Risiko dapat dikelola dengan cara mengendalikan atau menghilangkan risiko atau mengurangi dampaknya. Pendefenisian risiko terdiri atas empat langkah :

1.    Identifikasi aset-aset bisnis yang harus dilindungi dari risiko

2.    Menyadari risikonya

3.    Menentukan tingkatan dampak pada perusahaan jika risiko benar-benar terjadi

4.    Menganalisis kelemahan perusahaan tersebut

Tabel Tingkat Dampak dan Kelemahan

	Dampak Parah	Dampak Signifikan	Dampak Minor
Kelemahan Tingkat Tinggi	Melaksanakan analisis kelemahan. Harus meningkatkan pengendalian	Melaksanakan analisis kelemahan. Harus meningkatkan pengendalian	Analisis kelemahan tidak dibutuhkan
Kelemahan Tingkat Menengah	Melaksanakan analisis kelemahan. Sebaiknya meningkatkan pengendalian.	Melaksanakan analisis kelemahan. Sebaiknya meningkatkan pengendalian.	Analisis kelemahan tidak dibutuhkan
Kelemahan Tingkat Rendah	Melaksanakan analisis kelemahan.  Menjaga Pengendalian tetap ketat.	Melaksanakan analisis kelemahan.  Menjaga Pengendalian tetap ketat.	Analisis kelemahan tidak dibutuhkan

Tingkat keparahan dampak dapat diklasifikasikan menjadi:

1.    dampak yang parah (severe impact) yang membuat perusahaan bangkrut atau sangat membatasi kemampuan perusahaan tersebut untuk berfungsi

2.    dampak signifikan (significant impact) yang menyebabkan kerusakan dan biaya yang signifikan, tetapi perusahaan tersebut tetap selamat

3.    dampak minor (minor impact) yang menyebabkan kerusakan yang mirip dengan yang terjadi dalam operasional sehari-hari.

Setelah analisis risiko diselesaikan, hasil temuan sebaiknya didokumentasikan dalam laporan analisis risiko. Isi dari laporan ini sebaiknya mencakup informasi berikut ini, mengenai tiap-tiap risiko:

1.    diskripsi risiko

2.    sumber risiko

3.    tingginya tingkat risiko

4.    pengendalian yang diterapkan pada risiko tersebut

5.    para pemilik risiko tersebut

6.    tindakan yang direkomendasikan untuk mengatasi risiko

7.    jangka waktu yang direkomendasikan untuk mengatasi risiko

Jika perusahaan telah mengatasi risiko tersebut, laporan harus diselesaikan dengan cara menambahkan bagian akhir :

8.    apa yang telah dilaksanakan untuk mengatasi risiko tersebut

Suatu kebijakan keamanan harus diterapkan untuk mengarahkan keseluruhan program. Perusahaan dapat menerapkan keamanan dengan pendekatan yang bertahap, diantaranya:

a.    Fase 1, Inisiasi Proyek. Membentuk sebuah tim untuk mengawas proyek kebijakan keamanan tersebut.

b.    Fase 2, Penyusunan Kebijakan. Berkonsultasi dengan semua pihak yang berminat dan terpengaruh.

c.    Fase 3, Konsultasi dan persetujuan. Berkonsultasi dengan manajemen untuk mendapatkan pandangan mengenai berbagai persyaratan kebijakan.

d.   Fase 4, Kesadaran dan edukasi. Melaksanakan program pelatihan kesadaran dan edukasi dalam unit-unit organisasi.

e.    Fase 5, Penyebarluasan Kebijakan. Kebijakan ini disebarluaskan ke seluruh unit organisasi dimana kebijakan tersebut dapat diterapkan.

Kebijakan Keamanan yang Terpisah dikembangkan untuk

a.    Keamanan Sistem Informasi

b.    Pengendalian Akses Sistem

c.    Keamanan Personel

d.   Keamanan Lingkungan Fisik

e.    Keamanan Komunikasi data

f.     Klasifikasi Informasi

g.    Perencanaan Kelangsungan Usaha

h.    Akuntabilitas Manajemen

Kebijakan terpisah ini diberitahukan kepada karyawan, biasanya dalam bentuk tulisan, dan melalui program pelatihan dan edukasi. Setelah kebijakan ini ditetapkan, pengendalian dapat diimplementasikan.

E.            PENGENDALIAN

Pengendalian (control) adalah mekanisme yang diterapkan baik untuk melindungi perusahaan dari resiko atau untuk meminimalkan dampak resiko tersebut pada perusahaan jika resiko tersebut terjadi. Engendalian dibagi menjadi tiga kategori, yaitu :

1.     Pengendalian Teknis

Pengendalian teknis (technical control)  adalah pengendalian yang menjadi satu di dalam system dan dibuat oleh para penyusun system selam masa siklus penyusunan system. Didalam pengendalian teknis, jika melibatkan seorang auditor internal didalam tim proyek merupakan satu cara yang amat baik untuk menjaga agar pengendalian semacam ini menjadi bagian dari desain system. Kebanyakan pengendalian keamanan dibuat berdasarkan teknologi peranti keras dan lunak.

a.     Pengendalian Akses

Dasar untuk keamanan melawan ancaman yang dilakukan oleh orang-orang yang tidak diotorisasi adalah pengendalian akses. Alasannya sederhana: Jika orang yang tidak diotorisasi tidak diizinkan mendapatkan akses terhadap sumber daya informasi, maka pengrusakan tidak dapat dilakukan.

Pengendalian akses dilakukan melalui proses tiga tahap yang mencakup:

·           Identifikasi pengguna. Para pengguna pertama-tama mengidentifikasi diri mereka dengan cara memberikan sesuatu yang mereka ketahui, misalnya kata sandi. Identifikasi dapat pula mencakup lokasi pengguna, seperti nomor telepon atau titik masuk jaringan.

·           Autentifikasi pengguna. Setelah identifkasi awal telah dilakukan, para pengguna memverikasi hak akses dengan cara memberikan sesuatu yang mereka miliki, seperti smart card atau tanda tertentu atau chip identifikasi. Autentifikasi pengguna dapat juga dilaksanakan dengan cara memberikan sesuatau yang menjadi identitas diri, seperti tanda tangan atau suara atau pola suara.

·           Otorisasi pengguna. Setelah pemeriksaan identifikasi dan autentifikasi dilalui, seseorang kemudian dapat mendapatkan otorisasi untuk memasuki tingkat atau derajat penggunaan tertentu. Sebagai contoh, seorang pengguna dapat mendapatkan otorisasi hanya untuk membaca sebuah rekaman dari suatu file, sementara pengguna yang lain dapat saja memiliki otorisasi untuk melakukan perubahan pada file tersebut.

b.    System Deteksi Gangguan

Logika dasar dari system deteksi gangguan adalah mengenali upaya pelanggaran keamanan sebelum memiliki kesempatan untuk melakukan perusakan. Salah satu contoh yang baik adalah peranti lunak proteksi virus (virus protection software) yang telah terbukti efektif melawan virus yang terkirim melalui e-mail. Peranti lunak tersebut mengidentifikasi pesan pembawa virus dan memperingatkan si pengguna.

Contoh deteksi pengganggu yang lain adalah peranti lunak yang ditujukan untuk mengidentifikasikan calon pengganggu sebelum memiliki kesempatan untuk membahayakan. Peralatan prediksi ancaman dari dalam (insider threat prediction tool) telah disusun sedemikian rupa sehingga dapat mempertimbangkan karakteristik seperti posisi seseorang di dalam perusahaan, akses ke dalam data yang sensitive, kemampuan untuk mengubah komponen peranti keras, jenis aplikasi yang digunakan, file yang dimilki, dan penggunaan protocol jaringan tertentu. Hasil pembuatan profilan seperti ini, yang beberapa berbentuk kuantitatif, dapat mengklasifikasikan ancaman internal ke dalam kategori seperti ancaman yang disengaja, potensi ancaman kecelakaan, mencurigakan, dan tidak berbahaya.

c.    Firewall

Sumber daya komputer selalu berada dalam resiko jika terhubung ke jaringan. Salah satu pendekatan keamanan adalah secara fisik memisahkan situs Web perusahaan dengan jaringan internal perusahaan yang berisikan data sensitive dan system informasi. Cara lain adalah menyediakan kata sandi kepada mitra dagang yang memungkinkannya memasuki jaringan internal dari Internet.

Pendekatan ketiga adalah membangun dinding pelindung atau firewall. Firewall berfungsi sebagai penyaring dan penghalang yeng membatasi aliran data ked an dari perusahaan tersebut dan Internet. Konsep dibalik firewall adalah dibuatnya suatu pengaman untuk semua komputer pada jaringan perusahaan dan bukannya pengaman terpisah untuk masing-masing computer. Beberapa perusahaan yang menawarkan peranti lunak antivirus (seperti McAfee di www.mcafee.com dan www.norton.com ) sekarang memberikan peranti lunak firewall tanpa biaya ekstra dengan pembelian produk antivirus mereka. Ada tiga jenis firewall, yaitu:

·      Firewall Penyaring Paket. Router adalah alat jaringan yang mengarahkan aliran lalu lintas jaringan. Jika router diposisikan antara Internet dan jaringan internal, maka router dapat berlaku sebagai firewall. Router dilengkapi dengan table data dan alamat-alamat IP yang menggambarkan kebijakan penyaringan. Untuk masing-masing transmisi, router mengakses table-tabelnya dan memungkinkan hanya beberapa jenis pesan dari beberapa lokasi Internet (alamat IP) untuk lewat. Alamat IP (IP Address) adalah serangkaian empat angka (masing-masing dari 0 ke 255) yang secara unik mengidentifikasi masing-masing computer yang terhubung dengan Internet. Salah satu keterbasan router adalah router hanya merupakan titik tunggal keamanan, sehingga jika hacker dapat melampuinya perusahaan tersebut bisa mendapatkan masalah. “IP spoofing”, yaitu menipu table akses router, adalah dalah satu metode yang digunakan untuk pembajak untuk menipu router.

·      Firewall Tingkat Sirkuit. Salah satu peningkatan keamanan dari router adalah firewall tingkat sirkuit yang terpasang antara Internet dan jaringan perusahaan tapi lebih dekat dengan medium komunikasi (sirkuit) daripada router. Pendekatan ini memungkinkan tingkat autentifikasi dan penyaringan yang tinggi, jauh lebih tinggi dibandingkan router. Namun, keterbatasan dari titik tunggal keamanan tetap berlaku.

·      Firewall Tingkat Aplikasi. Firewall  ini berlokasi antara router dan computer yang menajlankan aplikasi tersebut. Kekuatan penuh pemeriksaan keamanan tambahan dapat dilakukan. Setelah permintaan diautentifikasi sebagai permintaan yang berasal dari jaringan yang diotorisasi (tingkat sirkuit) dan dari computer yang diotorisasi (penyaringan paket), aplikasi tersebut dapat memnita informasi autentifikasi yang lebih jauh seperti menanyakan kata sandi sekunder, mengonfirmasikan identitas, atau bahkan memeriksa  apakah permintaan tersebut berlangsung selama jam-jam kerja biasa. Meskipun merupakan jenis firewall yang paling efektif, firewall ini cenderung untuk mengurangi akses ke sumber daya. Masalah lain adalah seorang programmer jaringan harus penulis kode program yang spesifik untuk masing-masing aplikasi dan mengubah kode tersebut ketika aplikasi ditambahkan, dihapus, dimodifikasi.

d.   Pengendalian Kriptografis

Data dan informasi yang tersimpan dan ditransmisikan dapat dilindungi dari pengungkapan yang tidak terotorisasi dengan kriptografi, yaitu penggunaan kode yang menggunakan proses-proses matematika. Data dan informasi tersebut dapat dienkripsi dalam penyimpanan dan juga ditransmisikan kedalam jaringan. Jika seseorang yang tidak memiliki otorisasi memperoleh akses enkripsi tersebut akan membuat data dan informasi yang dimaksud tidak berarti apa-apa dan mencegah kesalahan penggunaan.

Popularitas kriptografis semakin meningkat karena e-commerce, dan produk khusus ditujukan untuk meningkatkan keamanan e-commerce telah dirancang. Salah satunya adalah SET (Secure Electronic Transactions), yang ,melakukan pemeriksaan keamanan menggunakan tanda tangan digital. Tanda tangan ini dikeluarkan kepada orang-orang yang dapat berpartisispasi dalam transaksi e-commerce – pelanggan, penjual, dan institusi keuangan. Dua tanda tangan biasanya digunakan menggantikan nomor kartu kredit.

e.    Pengendalian Fisik

Peringatan pertama terhadap gangguan yang tidak terotorisasi adalah mengunci pintu ruangan computer. Perkembangan seterusnya menghasilkan kunci-kunci yang lebih canggih yaitu dibuka dengan cetakan telapak tangan dan cetakan suara, serta kamera pengintai dan alat penjaga keamanan. Perusahaan dapat melaksanakan pengendalian fisik hingga pada tahap tertinggi dengan cara menempatkan pusat komputernya ditempat terpencil yang jauh dari kota dan jauh dari wilayah yang sensitive terhadap bencana alam seperti gempa bumi, banjir, dan badai.

f.     Meletakkan Pengendalian Teknis Pada Tempatnya

Anda dapat melihat dari daftar penjang pengendalian teknis ini (dan tidak semuanya dicantumkan), bahwa teknologi telah banyak digunakan untuk mengamankan informasi. Pengendalian teknis dikenal sebagai yang terbaik untuk keamanan. Perusahaan biasanya memilih dari daftar ini dan menerapkan kombinasi yang dianggap menawarkan pengaman yang paling realisitis.

2.    Pengendalian Formal

Pengendalian formal mencakup penentuan cara berperilaku, dokumentasi prosedur dan praktik yang diharapkan, dan pengawasan serta pencegahanperilaku yang berbeda dari panduan yang berlaku. Pengendalian ini bersifat formal karena manajemen menghabiskan banyak waktu untuk menyusunnya, mendokumentasikannya dalam bentuk tulisan, dan diharapkan dapat berlaku dalam jangka panjang.

3.    Pengendalian Informal

Pengendalian informal mencakup program-program pelatihan dan edukasi serta program pembangunan manajemen. Pengendalian ini ditujukan untuk menjaga agar para karyawan perusahaan memahami serta mendukung program keamanan tersebut.