Case Study Question: WHEN ANTIVIRUS SOFTWARE CRIPPLES YOUR COMPUTERS

1.      What management, organization, and technologyfactors were responsible for McAfee’s software problem?

-          Management: McAfee conducted a more thorough investigation into its mistake and published a FAQ sheet thatexplained more completely why they had madesuch a big mistake and which customers wereaffected.

-          Organization: The only way tech support staffs working in organizations could fix the problem was to go from computerto computer manually.

-          Technology: McAfee released a utilitycalled “SuperDAT Remediation Tool,” which hadto be downloaded to an unaffected machine, placedon a flash drive, and run in Windows Safe Mode on affected machines.

2.      What was the business impact of this software problem, both for McAfee and for its customers?

The impact of this software problem:

The customers were angry because their computers were crippled or totally non-functional. The updates mistakenly targeted a critical Windows file, svchost.exe, which hosts other services used by various programs on PCs. And it automatically damages the file of the costumers’ files.

The impact for McAfee, its reputation becomes worse and McAfee was criticized for its slow response to the crisis and for its initial attempts to downplay the issue’s impact on its customers. The company released a statement claiming that only a small fraction of its customers were affected, but this was soon shown to be false. Two days after the update was released, McAfee executive Barry McPherson finally apologized to customers on the company’s blog. Soon after, CEO David DeWalt recorded a video for customers, still available via McAfee’s Web site, in which he apologized for and explained the incident.

3.      If you were a McAfee enterprise customer, would you consider McAfee’s response to the problem be acceptable? Why or why not?

No, because the service McAfee is so slow, and mistakes are made computers defective or completely not working

4.      What should McAfee do in the future to avoid similar problems?

McAfee was criticized for its fast response to the crisis and for its initial attempts to downplay the issue’s impact on its customers. Which is the only way of fixing affected computers with VirusScan users applied the update, tried rebooting theirsystems, their network capabilities to detect USB drives.

MIS In Action

After read the responses of McAfee’s customers, I think, the apology didn’t inflame or helped the situation. The customers looked very angry and feel so disadvantaged because that incident. They loose their files, data, and their money which couldn’t get back.

“A false positive remediation” is a misidentified key Windows file called svcgost.exe as a virus, causing a PCs to crash or keep rebooting. In response, McAfee staffers have been working around the clock to help customers get their systems back online, McPherson said. The tool has been successful at remediating the problem caused by the faulty DAT update for multiple customers. The faulty DAT made it past the quality assurance checks because the problems arose during the testing process for this DAT file.

Disusun oleh:

Yeni Yunita Sari C1C011063

Ajeng Anugraheni C1C011083

Amellya Ganesha C1C011085

Dwi Saptya Rini     C1C010105

Sekilas Tentang COSO dan COBIT

COSO

COSO adalah singkatan dari Committee of Sponsoring Organizations of the Treadway Commission. COSO memiliki kaitan dengan FCPA yang dikeluarkan oleh SEC dan US Congress pada tahun 1977 untuk melawan fraud dan korupsi yang marak di Amerika tahun 70-an. Perbedaannya,  FCPA adalah inisiatif dari eksekutif-legislatif, sedangkan COSO ini lebih merupakan inisiatif dari sektor swasta.

Sektor swasta ini membentuk ‘National Commission on Fraudulent Financial Reporting’ atau dikenal juga dengan ‘The Treadway Commission’ di tahun 1985. Komisi ini disponsori oleh 5 professional association yaitu: AICPA, AAA, FEI, IIA, IMA. Tujuan komisi ini adalah melakukan riset mengenai fraud dalam pelaporan keuangan (fraudulent on financial reporting) dan membuat rekomendasi2 yang terkait dengannya untuk perusahaan publik, auditor independen, SEC, dan institusi pendidikan.

Walaupun disponsori oleh 5 professional association, tapi pada dasarnya komisi ini bersifat independen dan orang-orang yang duduk di dalamnya berasal dari beragam kalangan: industri, akuntan publik, Bursa Efek, dan investor. Nama ‘Treadway’ sendiri berasal dari nama ketua pertamanya yaitu James C. Treadway, Jr.

Komisi ini mengeluarkan report pertamanya pada 1987. Isi reportnya di antaranya adalah merekomendasikan dibuatnya report komprehensif tentang pengendalian internal (integrated guidance on internal control). Oleh karena itu dibentuk COSO, yang kemudian bekerjasama dengan Coopers & Lybrand untuk membuat report itu.

Coopers & Lybrand mengeluarkan report itu pada 1992, dengan perubahan minor pada 1994, dengan judul ‘Internal Control – Integrated Framework’. Report ini berisi definisi umum internal control dan membuat framework untuk melakukan penilaian (assessment) dan perbaikan (improvement) atas internal control. Fungsi report ini salah satunya adalah untuk mengevaluasi FCPA compliance di suatu perusahaan.

Poin penting dalam report COSO ‘Internal Control – Integrated Framework’ (1992): Definisi internal control menurut COSO, yaitu suatu proses yang dijalankan oleh dewan direksi, manajemen, dan staff, untuk membuat reasonable assurance mengenai:

Efektifitas dan efisiensi operasional

Reliabilitas pelaporan keuangan
            Kepatuhan atas hukum dan peraturan yang berlaku

Menurut COSO framework, Internal control terdiri dari 5 komponen yang saling terkait, yaitu:
1. Control Environment
2. Risk Assessment
3. Control Activities
4. Information and communication
5. Monitoring

Di tahun 2004, COSO mengeluarkan report ‘Enterprise Risk Management – Integrated Framework’, sebagai pengembangan COSO framework di atas. Dijelaskan ada 8 komponen dalam Enterprise Risk Management, yaitu:
1. Internal Environment
2. Objective Setting
3. Event Identification
4. Risk Assessment
5. Risk Response
6. Control Activities
7. Information and Communication
8. Monitoring

COBIT

COBIT (Control Objectives for Information and Related Technology) adalah sebuah proses model yang dikembangkan untuk membantu perusahaan dalam pengelolaan sumber daya teknologi informasi (IT). Proses model ini difokuskan pada pengendalian terhadap masing-masing dari 34 proses IT, meningkatkan tingkatan kemapanan proses dalam IT dan memenuhi ekspektasi bisnis dari IT.

COBIT adalah perantara antara manajemen TI dan para eksekutif bisnis. COBIT mampu menyediakan bahasa yang umum sehingga dapat dipahami oleh semua pihak. Adopsi yang cepat dari COBIT di seluruh dunia dapat dikaitkan dengan semakin besarnya perhatian yang diberikan terhadap corporate governance dan kebutuhan perusahaan agar mampu berbuat lebih dengan sumber daya yang sedikit meskipun ketika terjadi kondisi ekonomi yang sulit.

Fokus utama dari COBIT ini adalah harapan bahwa melaui adopsi COBIT ini, perusahaan akan mampu meningkatkan nilai tambah melalui penggunaan TI dan mengurangi resiko-resiko inheren yang teridentifikasi didalamnya.

COBIT dikembangkan oleh IT Governance Institute (ITGI), yang merupakan bagian dari Information Systems Audit and Control Association (ISACA). Saat ini pengembangan terbaru dari standar ini adalah COBIT Edisi 4.1.

COBIT memiliki komponen-komponen sebagai berikut :

a. Executive Summary
b. Framework
c. Control Objective
d. Audit Guidelines
e. Management Guidelines
f. Control Practices

COBIT mengadopsi definisi pengendalian dari COSO yaitu : “Kebijakan, prosedur, dan praktik, dan struktur organisasi yang dirancang untuk memberikan keyakinan yang wajar bahwa tujuan organisasi dapat dicapai dan hal-hal yang tidak diinginkan dapat dicegah atau dideteksi dan diperbaiki”.

Sedangkan COBIT mengadaptasi definisi tujuan pengendalian (control objective) dari SAC yaitu : “Suatu pernyataan atas hasil yang diinginkan atau tujuan yang ingin dicapai dengan mengimplementasikan prosedur pengendalian dalam aktivitas IT tertentu”.

Komponen tujuan pengendalian (control objectives) COBIT ini terdiri atas 4 tujuan pengendalian tingkat-tinggi ( high-level control objectives ) yang tercermin dalam 4 domain, yaitu : planning & organization , acquisition & implementation ,delivery & support , dan monitoring.

COBIT di rancang untuk digunakan oleh tiga pengguna yang berbeda yaitu :

·         Manajemen : untuk membantu mereka menyeimbangkan antara resiko dan investasi pengendalian dalam sebuah lingkungan IT yang sering tidak dapat diprediksi.

·         User : untuk memperoleh keyakinan atas layanan keamanan dan pengendalian IT  yang disediakan oleh pihak internal atau pihak ketiga.

·         Auditor : untuk medukung/memperkuat opini yang dihasilkan dan/atau untuk memberikan saran kepada manajemen atas pengendalian internal yang ada.

Keterkaitan antara Siatem Informasi Akuntansi dengan UU Nomor 11 Tahun 2008 dan Peraturan Pemerintah Nomor 82 Tahun 2012

Saat ini kemajuan teknologi dan informasi berjalan dengan sangat cepat. Tentunya, kemajuan teknologi dan informasi tersebut memiliki dampak positif dan negatif. Namun Pemerintah Republik Indonesia bersama dengan DPR rupanya telah mengantisipasi kemungkinan-kemungkinan buruk yang dapat ditimbulkan oleh internet. Maka setelah melalui proses pertimbangan, pada 21 April 2008, diundangkanlah Undang-Undang No. 11 Tahun 2008 Tentang Informasi dan Transaksi Elektronik yang lebih dikenal dengan UU ITE. Lalu, sesuai amanat Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik, Presiden Susilo Bambang Yudhoyono pada tanggal 12 Oktober 2012 telah menandatangani terbitnya Peraturan Pemerintah Nomor 82 Tahun 2012 tentang Penyelenggaraan Sistem dan Transaksi Elektronik. Peraturan Pemerintah ini mengatur kewajiban Penyelenggara Sistem Elektronik pada umumnya dan Penyelenggara Sistem Elektronik untuk pelayanan publik. Penyelenggara Sistem Elektronik untuk pelayanan publik, antara lain diwajibkan untuk menempatkan pusat data dan pusat pemulihan bencana di wilayah Indonesia, wajib memperoleh Sertifikasi Kelaikan Sistem Elektronik dari Menteri, dan wajib terdaftar pada kementerian yang menyelenggarakan urusan pemerintahan di bidang komunikasi dan informatika.

Lalu, apa hubungan kedua peraturan tersebut dengan Sistem Informasi Akuntansi?

Menurut Baridwan  sistem informasi akuntansi adalah suatu komponen organisasi yang mengumpulkan, menggolongkan, mengolah, menganalisa dan komunikasikan informasi keuangan yang relevan untuk pengambilan keputusan kepada pihak-pihak luar (seperti inspeksi pajak, investor dan kreditur ) dan pihak-pihak dalam (terutama manajemen ). Berdasarkan pengertian diatas, dapat diketahui bahwa sistem informasi akuntansi (SIA) sangat mempunyai hubungan yang erat dengan kedua peraturan diatas.

Keterkaitan SIA dengan UU Nomor 11 Tahun 2000 adalah :

·         Dalam pasal 1 dijelaskan bahwa, “(1) Informasi elektronik adalah satu atau sekumpulan data elektronik, termasuk tetapi tidak terbatas pada tulisan, suara, gambar, peta, rancangan, foto, electronic data interchange (EDI), surat elektronik (electronic mail), telegram, teleks, telecopy atau sejenisnya, huruf, tanda, angka, kode akses, symbol, atau perforasi yang telah diolah yang memiliki arti atau dapat dipahami oleh orang yang mampu memahaminya. (2) Transaksi Elektronik adalah perbuatan hukum yang dilakukan dengan menggunakan komputer, jaringan komputer, dan/atau media elektronik lainnya.”

·         Dilihat dari tujannya, dalam pasal tersebut disebutkan bahwa “Pemanfaatan Teknologi Informasi dan Transaksi Elektronik dilaksanakan berdasarkan asas kepastian hukum, manfaat, kehati-hatian, iktikad baik, dan kebebasan memilih teknologi atau netral teknologi”

·         Dalam pasal 6, terdapat ketentuan lain selain yang diatur dalam Pasal 5 ayat (4) yang mensyaratkan bahwa suatu informasi harus berbentuk tertulis atau asli, Informasi Elektronik dan/atau Dokumen Elektronik dianggap sah sepanjang informasi yang tercantum di dalamnya dapat diakses, ditampilkan, dija­min keutuhannya, dan dapat dipertanggungjawabkan sehingga menerangkan suatu keadaan.

·         Tentang perbuatan yang dilarang, dalam UU tersebut disebutkan diantaranya dalam pasal 28 “Setiap orang dengan sengaja dan tanpa hak menyebarkan berita bohong dan menyesatkan yang mengakibatkan kerugian konsumen dalam Transaksi Elektronik” pada pasal 35 “Setiap orang dengan sengaja dan tanpa hak atau melawan hukum melakukan manipulasi, penciptaan, perubahan, penghilangan, pengrusakan Informasi Elektronik dan/atau Dokumen Elektronik dengan tujuan agar Informasi Elektronik dan/atau Dokumen Elektronik tersebut dianggap seolah-olah data yang otentik”

·         Tentang penyelesaian sengketa, Pada pasal 38 (1) Setiap orang dapat mengajukan gugatan terhadap pihak yang menyelenggarakan Sistem Elektronik dan/atau menggunakan Teknologi Informasi yang menimbulkan kerugian. Dan di ayat (2) Masyarakat dapat mengajukan gugatan secara perwakilan terhadap pihak yang menyelenggarakan Sistem Elektronik dan/atau menggunakan Teknologi Informasi yang berakibat merugikan masyarakat, sesuai dengan ketentuan Peraturan Perundang-undangan.

·         Tentang hukuman pelanggar dengan pidana penjara dan/atau denda yang masing-masing sudah ditentukan lama dan besarnya.

Sementara itu, kaitan SIA dengan Peraturan Pemerintah Nomor 82 Tahun 2012 adalah sebagai berikut:

                Peraturan pemerintah tersebut mengatur antara lain: a. Penyelenggaraan Sistem Elektronik; b. Penyelenggaraan Transkasi Elektronik; c. Tanda Tangan Elektronik; d. Penyelenggaraan Sertfikasi Elektronik; e. Lembaga Sertifikasi Kendalan; dan f. Pengelolaan Nama Domain.

Contohnya dalam ‘Penyelenggara Sistem Elektronik’ wajib: a. Menjaga rahasia, keutuhan, dan ketersediaan Data Pribadi yang dikelolanya; b. Menjamin bahwa perolehan, penggunaan, dan pemanfaatan Data Pribadi berdasarkan persetujuan pemilik Data Pribadi; dan c. Menjamin penggunaan atau pengungkapan data dilakukan berdasarkan persetujuan dari pemilik Data Pribadi tersebut,” bunyi Pasal 15 Ayat (2) Peraturan Pemerintah Nomor 82 Tahun 2012 itu.

Dan penjelasan lainnya yang dapat dilihat Peraturan Pemerintah Nomor 82 Tahun 2012 secara lebih detail.

Maka dapat ditarik kesimpulan bahwa dengan adanya UU No 11 tahun 2008 tentang Informasi dan Transaksi Elektronik dan dengan lebih diperjelasnya lagi dengan terbitnya Peraturan Pemerintah No 82 tahun 2012 tentang Penyelenggaraan Sistem dan Transaksi Elektronik kaitannya dengan Sistem Informasi Akuntansi adalah tersedianya sarana, wadah serta hukum yang diberikan oleh pemerintah untuk menjaga dan melindungi pemberi dan pengguna informasi elektronik, dengan menyebutkan perbuatan yang dilarang serta pidana yang akan diterima oleh pelanggar diharapkan pemberi dan pengguna dapat merasa aman dan jika merasa dirugikan pihak yang bersangkutan dapat melakukan gugatan untuk mendapatkan haknya kembali.