Kontrol, Audit, dan Sertifikasi

Memilih kerangka kerja adalah bagian yang mudah. Pekerjaan sulitnya adalah menerapkan pengendalian, lalu membuktikan bahwa pengendalian tersebut berfungsi melalui audit dan, jika diwajibkan, memperoleh sertifikasi.

Pelajaran ini membahas perjalanan praktis tersebut: seperti apa pengendalian dalam praktik, jenis bukti yang diharapkan auditor, bagaimana proses audit berlangsung, serta hal-hal yang dibuktikan dan tidak dibuktikan oleh sertifikat.

Pengendalian dibagi ke dalam tiga kategori klasik berdasarkan cara pengendalian tersebut mengurangi risiko:

• Preventif — mencegah terjadinya insiden (MFA, tembok api, hak akses minimum).
• Detektif — mengungkap insiden yang sedang berlangsung atau yang telah terjadi (pencatatan, peringatan SIEM, pemantauan integritas berkas).
• Korektif — memulihkan kondisi dan membatasi kerusakan setelah insiden (cadangan, penambalan, respons insiden).

Program yang kuat menerapkan ketiganya secara berlapis; hanya mengandalkan pencegahan membuat Anda tidak siap ketika pencegahan gagal.

Pengendalian juga diklasifikasikan berdasarkan sifatnya:

• Administratif — kebijakan, prosedur, pelatihan, peninjauan akses.
• Teknis — diterapkan dalam teknologi: enkripsi, pengendalian akses, pencatatan.
• Fisik — kunci, pembaca kartu identitas, fasilitas aman.

Auditor mencari cakupan di ketiga jenis tersebut. Pengendalian teknis yang sempurna tetapi dirusak oleh kebijakan yang tidak dipatuhi siapa pun bukanlah pengendalian yang nyata.

Auditor mengevaluasi pengendalian berdasarkan dua dimensi:

• Efektivitas rancangan — jika bekerja sesuai rancangan, apakah pengendalian tersebut mampu menangani risiko?
• Efektivitas operasional — apakah pengendalian tersebut benar-benar berfungsi secara konsisten selama jangka waktu tertentu?

Pengendalian dapat dirancang dengan baik di atas kertas, tetapi gagal dalam pelaksanaannya (misalnya, peninjauan catatan yang tidak pernah dilakukan siapa pun). Bukti harus membuktikan keduanya.

Audit bergantung pada bukti. Untuk setiap pengendalian, Anda harus menunjukkan bahwa pengendalian tersebut berjalan. Artefak yang umum meliputi:

• Catatan peninjauan akses yang menunjukkan sertifikasi ulang triwulanan.
• Catatan dan tiket yang membuktikan bahwa peringatan telah diselidiki.
• Hasil ekspor konfigurasi yang menunjukkan bahwa enkripsi atau MFA diwajibkan.
• Catatan penyelesaian pelatihan.

Auditor mengambil sampel. Mereka memilih suatu pengendalian, meminta bukti selama jangka waktu tertentu, lalu menelusurinya secara menyeluruh dari awal hingga akhir.

Ada dua lapisan audit:

• Audit internal — Anda (atau auditor internal yang disewa) meninjau ISMS Anda sendiri untuk menemukan kesenjangan sebelum audit eksternal. Audit ini diwajibkan oleh ISO 27001.
• Audit eksternal / sertifikasi — lembaga independen yang terakreditasi menilai Anda untuk memperoleh sertifikat.

Audit internal merupakan simulasi. Menemukan sendiri ketidaksesuaian terlebih dahulu jauh lebih murah daripada membiarkan lembaga sertifikasi menemukannya.

Sertifikasi ISO 27001 dilakukan dalam dua tahap:

• Tahap 1 — peninjauan dokumentasi. Auditor memeriksa apakah dokumen ISMS, ruang lingkup, kebijakan, penilaian risiko, dan Pernyataan Keberlakuan Anda tersedia dan konsisten.
• Tahap 2 — audit penerapan. Auditor memverifikasi bahwa pengendalian benar-benar berjalan melalui wawancara, pengambilan sampel bukti, dan observasi.

Setelah lulus kedua tahap, Anda menerima sertifikat yang biasanya berlaku selama tiga tahun dengan audit pengawasan berkelanjutan.

Audit menghasilkan temuan yang diklasifikasikan berdasarkan tingkat keparahan:

• Ketidaksesuaian mayor — pengendalian tidak ada atau gagal secara mendasar; hal ini menghalangi sertifikasi sampai diperbaiki.
• Ketidaksesuaian minor — penyimpangan yang tidak melemahkan keseluruhan sistem; memerlukan rencana tindakan korektif.
• Observasi / peluang perbaikan — bersifat saran, bukan kegagalan.

Anda menindaklanjutinya dengan rencana tindakan korektif: akar penyebab, perbaikan, dan pencegahan agar tidak terulang.

Sertifikasi tidak permanen. Sertifikat ISO 27001 berlaku dalam suatu siklus:

• Audit pengawasan — biasanya setiap tahun, berupa pemeriksaan yang lebih ringan untuk memastikan ISMS masih berjalan.
• Audit sertifikasi ulang — penilaian ulang secara menyeluruh, biasanya setiap tiga tahun.

Siklus ini memastikan ISMS terus berjalan. Jika pengendalian terhenti di antara audit, Anda berisiko kehilangan sertifikat pada kunjungan audit pengawasan berikutnya.

Tim yang matang menghindari kesibukan mendadak menjelang audit dengan menerapkan kepatuhan berkelanjutan: kumpulkan bukti secara otomatis dan jaga agar kontrol selalu siap diaudit.

• Otomatiskan pengumpulan bukti (tinjauan akses, cuplikan konfigurasi) sesuai jadwal.
• Pantau perubahan pada kontrol, misalnya bucket S3 yang dibuat menjadi publik, secara waktu nyata.
• Perlakukan kepatuhan sebagai kondisi berkelanjutan, bukan proyek tahunan.

Di sinilah alat SOAR dan otomasi kepatuhan juga memberikan manfaat, dengan mengubah audit pada titik waktu tertentu menjadi jaminan berkelanjutan.

Terkadang kontrol yang diwajibkan benar-benar tidak dapat diterapkan sesuai ketentuannya, misalnya sistem lama tidak mendukung MFA. Kerangka kerja mengizinkan kontrol kompensasi: alternatif yang memenuhi sasaran risiko yang sama.

• Dokumentasikan alasan kontrol asli tidak dapat diterapkan.
• Jelaskan alternatifnya (misalnya isolasi jaringan yang ketat ditambah pemantauan yang lebih baik terhadap sistem lama).
• Tunjukkan bahwa alternatif tersebut mengurangi risiko hingga tingkat yang setara.

Auditor menerima kontrol kompensasi jika alasan dan pengurangan risiko yang setara dibuktikan dengan jelas, bukan sekadar dinyatakan.

Analisis efektivitas kontrol dari sudut pandang auditor.

Kontrol, audit, dan sertifikasi:

• Kontrol bersifat preventif, detektif, atau korektif berdasarkan fungsinya, serta administratif, teknis, atau fisik berdasarkan sifatnya; terapkan semuanya secara berlapis.
• Auditor menilai efektivitas rancangan dan efektivitas operasional, dan pelaksanaan operasional memerlukan bukti selama suatu periode.
• Audit internal menemukan celah sebelum audit sertifikasi eksternal, yang berlangsung dalam Tahap 1 (dokumentasi) dan Tahap 2 (penerapan).
• Temuan berkisar dari ketidaksesuaian mayor dan minor hingga observasi; tanggapi dengan rencana tindakan korektif.
• Sertifikat memerlukan audit pengawasan dan audit sertifikasi ulang; terapkan kepatuhan berkelanjutan agar selalu siap diaudit.