Bukti dan Pelaporan

Menyatakan bahwa Anda aman tidaklah cukup; Anda harus membuktikannya. Bukti dan pelaporan menunjukkan kepada auditor, pelanggan, dan regulator bahwa kontrol tersedia dan beroperasi sebagaimana dinyatakan.

Kontrol yang tidak didokumentasikan pada dasarnya dianggap tidak ada dalam audit.

Bukti adalah segala sesuatu yang secara objektif menunjukkan bahwa suatu kontrol berfungsi:

• Ekspor konfigurasi dan pengaturan sistem.
• Catatan peninjauan akses dan persetujuan.
• Catatan aktivitas (masuk, perubahan, audit).
• Tangkapan layar dengan penanda waktu.
• Tiket, kebijakan, dan notulen rapat.

Bukti yang kuat memiliki beberapa ciri:

• Relevan dengan kontrol yang diuji.
• Memadai secara kuantitas (mencakup periode tersebut).
• Dapat diandalkan dan mudah menunjukkan perubahan tidak sah (bukti yang dibuat sistem lebih kuat daripada pernyataan sepihak).
• Tepat waktu, dalam rentang waktu audit.

Audit yang berbeda memerlukan kedalaman bukti yang berbeda:

• Satu titik waktu (SOC 2 Tipe I): kontrol tersedia saat ini.
• Selama suatu periode (SOC 2 Tipe II): kontrol beroperasi selama berbulan-bulan, sehingga Anda memerlukan bukti berkala seperti peninjauan akses bulanan.

Untuk bukti insiden dan forensik, peliharalah rantai penguasaan bukti: catatan terdokumentasi mengenai siapa yang mengumpulkan, menangani, dan menyimpan setiap barang bukti. Rantai penguasaan yang terputus dapat membuat bukti tidak dapat diterima atau tidak dapat dipercaya.

Auditor jarang meninjau setiap catatan. Mereka mengambil sampel yang mewakili keseluruhan data. Tugas Anda adalah menyediakan data populasi yang lengkap agar sampel tersebut valid (misalnya, daftar lengkap karyawan baru saat menguji kontrol orientasi awal).

Tangkapan layar manual tidak dapat diterapkan dalam skala besar. Alat otomatisasi kepatuhan mengambil bukti secara terus-menerus dari sistem komputasi awan dan identitas, sehingga bukti tetap terkini dan mengurangi tekanan menjelang audit.

Laporan yang baik menyampaikan informasi dengan jelas kepada pembaca teknis maupun eksekutif:

• Ringkasan eksekutif: postur keseluruhan dan risiko utama.
• Cakupan dan metodologi.
• Temuan beserta tingkat keparahan dan bukti.
• Rekomendasi dan status perbaikan.

Sesuaikan pesan dengan audiens. Eksekutif memerlukan informasi tentang risiko dan dampak bisnis; teknisi memerlukan perincian dan langkah untuk mengulangi masalah. Hindari jargon dalam ringkasan dan hindari ketidakjelasan dalam perincian teknis.

Simpan bukti selama yang diwajibkan oleh kerangka kerja dan kebijakan Anda, sering kali selama satu tahun atau lebih. Simpan bukti dengan aman menggunakan kontrol akses, karena bukti itu sendiri dapat memuat konfigurasi sensitif dan data pribadi.

Laporan adalah titik awal, bukan akhir. Masukkan temuan ke dalam pelacak perbaikan, perbaiki akar masalah, dan terapkan pembelajaran pada siklus berikutnya. Program yang matang menunjukkan penurunan jumlah temuan berulang seiring waktu.

Nilai kekuatan bukti.

Bukti dan pelaporan membuktikan kepatuhan:

• Kumpulkan bukti yang relevan, memadai, dapat diandalkan, dan tepat waktu.
• Sesuaikan kedalaman bukti dengan audit satu titik waktu atau selama periode.
• Pelihara rantai penguasaan bukti dan dukung pengambilan sampel yang valid.
• Tulis laporan yang jelas dan masukkan temuan ke dalam proses perbaikan.