Audit Keamanan dan Tinjauan Kepatuhan

Audit keamanan mencakup berbagai jenis, mulai dari penilaian mandiri internal (menggunakan kerangka kerja sebagai daftar periksa) hingga audit eksternal yang dilakukan oleh pihak ketiga independen. Audit kepatuhan memverifikasi kepatuhan terhadap standar tertentu (PCI-DSS, ISO 27001, HIPAA). Pengujian penetrasi memberikan jaminan teknis. Masing-masing memiliki tujuan yang berbeda.

Tentukan ruang lingkup audit secara tepat: sistem, proses, dan kontrol mana yang termasuk dalam ruang lingkup; periode penilaian; kerangka kerja kontrol yang berlaku; serta target audiens (manajemen internal atau badan sertifikasi eksternal). Perubahan ruang lingkup memengaruhi biaya, jadwal, dan keberlakuan temuan.

Auditor mengumpulkan tiga jenis bukti: dokumentasi (kebijakan, prosedur, panduan konfigurasi), observasi (konfigurasi sistem, penelusuran proses), dan pengujian (mencoba kontrol, meninjau catatan). Bukti harus memadai, andal, dan relevan untuk setiap kontrol yang dinilai.

Kebijakan keamanan menetapkan maksud; prosedur menetapkan cara kebijakan diterapkan. Auditor memverifikasi bahwa kebijakan tersedia dan telah disetujui, prosedur masih berlaku dan diikuti, catatan pelatihan menunjukkan kesadaran staf, serta proses pengecualian mendokumentasikan penyimpangan yang telah disetujui.

Kontrol teknis diverifikasi melalui pemeriksaan langsung: tinjau rangkaian aturan firewall, uji upaya melewati MFA, tinjau tingkat patch, audit keanggotaan grup direktori aktif, periksa konfigurasi enkripsi, dan verifikasi bahwa pemulihan cadangan berfungsi. Dokumentasi kontrol saja tidak memadai — kontrol tersebut harus diuji.

SOC 2 adalah audit Kriteria Layanan Kepercayaan yang dilakukan oleh firma CPA. Tipe I menilai desain kontrol pada satu waktu tertentu. Tipe II menilai desain dan efektivitas operasional selama periode 6–12 bulan. Perusahaan SaaS membuat laporan SOC 2 Tipe II untuk uji tuntas pelanggan.

PCI-DSS mewajibkan penilaian tahunan bagi pedagang dan penyedia layanan. Para QSA melakukan penilaian di lokasi terhadap seluruh 12 persyaratan. Pengurangan ruang lingkup melalui segmentasi jaringan memperkecil lingkungan data pemegang kartu dan kompleksitas penilaian.

Temuan adalah kegagalan kontrol yang memerlukan remediasi. Observasi adalah peluang peningkatan tanpa kegagalan kontrol saat ini. Setiap temuan mencakup: kondisi (apa yang terjadi), kriteria (apa yang seharusnya terjadi), penyebab (mengapa), dampak (pengaruh), dan rekomendasi (cara memperbaikinya).

Buat Rencana Tindakan dan Tonggak Pencapaian (POA&M) untuk setiap temuan, yang mencakup pemilik, tanggal target, kontrol kompensasi sementara, dan status. Lacak kemajuan remediasi setiap bulan. Auditor meninjau status POA&M dalam penilaian tindak lanjut atau peninjauan tahunan berikutnya.

Audit tahunan tidak memadai untuk lingkungan yang dinamis. Pemantauan kepatuhan berkelanjutan dengan AWS Config, Azure Policy, atau alat CSPM komersial menyediakan kondisi kepatuhan secara waktu nyata. Masukkan temuan ke SIEM untuk memberikan peringatan atas penyimpangan kepatuhan di antara siklus audit.

Persiapan sebelum audit: lakukan penilaian kesiapan internal, atur bukti dalam platform manajemen audit, beri pengarahan kepada pemilik kontrol tentang proses penilaian, atasi kesenjangan yang telah diketahui sebelum auditor datang, dan tunjuk satu narahubung untuk mengoordinasikan permintaan bukti secara efisien.

Apa perbedaan antara laporan SOC 2 Tipe I dan Tipe II?

Audit keamanan memberikan jaminan independen bahwa kontrol telah dirancang dan beroperasi secara efektif. Pengumpulan bukti, pengujian kontrol teknis, pelacakan remediasi, dan pemantauan kepatuhan berkelanjutan di antara audit tahunan secara bersama-sama membentuk program kepatuhan yang kuat untuk memenuhi kebutuhan pelanggan, regulator, dan manajemen risiko internal.