Kerangka Kerja Kepatuhan

Kepatuhan berarti memenuhi persyaratan keamanan yang ditetapkan oleh hukum, peraturan, atau standar industri. Kerangka kerja memberikan serangkaian kontrol yang terstruktur dan diakui untuk diterapkan serta dibuktikan oleh organisasi.

Kepatuhan tidak sama dengan keamanan, tetapi kerangka kerja yang baik mendorong peningkatan nyata.

ISO/IEC 27001 adalah standar internasional untuk ISMS (Sistem Manajemen Keamanan Informasi). Standar ini berbasis risiko: Anda mengidentifikasi risiko, memilih kontrol dari Lampiran A, dan terus melakukan perbaikan.

• Sertifikasi diterbitkan oleh auditor yang terakreditasi.
• Penekanannya pada proses manajemen, bukan hanya teknologi.

SOC 2 (Sistem dan Kontrol Organisasi) adalah laporan atestasi yang umum digunakan penyedia SaaS, berdasarkan Kriteria Layanan Kepercayaan AICPA: keamanan, ketersediaan, integritas pemrosesan, kerahasiaan, dan privasi.

• Tipe I: kontrol dirancang pada suatu titik waktu.
• Tipe II: kontrol beroperasi secara efektif selama suatu periode.

PCI DSS (Standar Keamanan Data Industri Kartu Pembayaran) berlaku bagi organisasi mana pun yang menyimpan, memproses, atau mengirimkan data pemegang kartu. Standar ini bersifat preskriptif, dengan persyaratan yang konkret.

• Enkripsi data pemegang kartu dan gunakan segmentasi jaringan.
• Batasi access berdasarkan kebutuhan untuk mengetahui.
• Lakukan pengujian dan pemantauan secara berkala.

Anda juga akan menjumpai:

• GDPR: perlindungan dan privasi data EU.
• HIPAA: data layanan kesehatan US.
• NIST CSF / 800-53: kerangka kerja dan katalog kontrol US.

Banyak di antaranya saling tumpang tindih, sehingga kontrol dapat dipetakan ke berbagai kerangka kerja.

Kerangka kerja berada pada suatu spektrum:

• Berbasis risiko (ISO 27001): Anda memilih kontrol yang sebanding dengan risiko Anda.
• Preskriptif (PCI DSS): persyaratan wajib yang spesifik tanpa memandang konteks.

Mengetahui jenisnya membantu Anda memahami seberapa besar ruang untuk menyesuaikan kontrol.

Menentukan cakupan adalah langkah praktis pertama. Cakupan menetapkan sistem, data, dan proses yang tercakup oleh kerangka kerja.

Untuk PCI DSS, segmentasi dapat memperkecil cakupan dan biaya dengan mengisolasi sistem pemegang kartu dari bagian jaringan lainnya.

Kerangka kerja mengatur persyaratan ke dalam kontrol, yang sering dikelompokkan ke dalam keluarga seperti kontrol access, kriptografi, pencatatan, dan respons insiden.

Setiap kontrol memerlukan penanggung jawab, penerapan, dan bukti bahwa kontrol tersebut berfungsi.

Hasilnya berbeda-beda menurut kerangka kerja:

• Sertifikasi (ISO 27001): sertifikat lulus/gagal dari lembaga terakreditasi.
• Atestasi (SOC 2): laporan opini auditor yang dibagikan berdasarkan NDA.
• Validasi (PCI DSS): AOC dan/atau ROC dari QSA.

Kepatuhan bukanlah peristiwa sekali saja. Standar mengharapkan penerapan berkelanjutan, penilaian ulang berkala, dan perbaikan.

• ISO 27001 mewajibkan audit pengawasan.
• SOC 2 Tipe II mencakup periode selama beberapa bulan.
• PCI DSS mewajibkan pemindaian triwulanan dan penilaian tahunan.

Sebagian besar organisasi menghadapi beberapa kerangka kerja sekaligus. Buat pemetaan kontrol agar satu kontrol yang diterapkan dengan baik, misalnya MFA, memenuhi persyaratan yang sesuai di ISO 27001, SOC 2, dan PCI DSS secara bersamaan, sehingga pekerjaan duplikat dapat dihindari.

Padankan kerangka kerja dengan sifatnya.

Kerangka kerja kepatuhan menyusun dan membuktikan keamanan:

• ISO 27001 = sertifikasi ISMS berbasis risiko.
• SOC 2 = atestasi Kriteria Layanan Kepercayaan untuk penyedia layanan.
• PCI DSS = standar preskriptif untuk data pemegang kartu.
• Tentukan cakupan, tetapkan penanggung jawab kontrol, dan petakan kontrol yang tumpang tindih demi efisiensi.