Audit Keamanan

Audit keamanan adalah penilaian sistematis terhadap seberapa baik organisasi memenuhi kontrol dan kebijakan keamanannya. Audit membandingkan kondisi aktual dengan standar yang ditetapkan dan mendokumentasikan kesenjangannya.

Audit menilai kontrol; audit itu sendiri tidak memperbaiki masalah.

Istilah-istilah ini saling tumpang tindih, tetapi memiliki perbedaan:

• Audit: memeriksa kontrol berdasarkan standar, dengan bukti.
• Pengujian penetrasi: secara aktif mengeksploitasi kelemahan untuk membuktikan dampaknya.
• Penilaian risiko: memperkirakan kemungkinan dan dampak ancaman.

Audit berasal dari dua sumber:

• Internal: dilakukan oleh tim Anda sendiri untuk memastikan dan mempersiapkan diri secara berkelanjutan.
• Eksternal: dilakukan oleh auditor independen, diperlukan untuk sertifikasi dan untuk memberikan keyakinan kepada pemangku kepentingan.

Audit biasanya mengikuti tahapan yang jelas:

• Perencanaan: tentukan cakupan dan tujuan.
• Pekerjaan lapangan: kumpulkan dan uji bukti.
• Pelaporan: dokumentasikan temuan dan tingkat keparahannya.
• Perbaikan: perbaiki kesenjangan dan verifikasi hasilnya.

Cakupan menjaga audit tetap terfokus dan memiliki batas yang jelas. Tentukan sistem, lokasi, proses, dan periode waktu yang disertakan.

Tujuan yang jelas, misalnya memvalidasi kontrol Lampiran A ISO 27001, memberi tahu auditor bukti apa yang harus dikumpulkan dan seperti apa kondisi yang baik.

Auditor mengumpulkan bukti bahwa kontrol ada dan berfungsi:

• Hasil ekspor konfigurasi dan tangkapan layar.
• Log dan tinjauan access.
• Kebijakan dan persetujuan bertanda tangan.
• Wawancara dengan penanggung jawab kontrol.

Auditor melakukan pengujian dengan dua cara:

• Desain: apakah kontrol mampu memenuhi tujuannya?
• Efektivitas operasional: apakah kontrol benar-benar berfungsi selama periode tersebut?

Pengambilan sampel adalah hal yang umum: periksa bagian catatan yang mewakili, bukan semuanya.

Setiap kesenjangan menjadi temuan yang dinilai berdasarkan risiko. Skala yang konsisten membantu menentukan prioritas.

• Kritis / Tinggi: mendesak, dapat disalahgunakan, atau menghambat kepatuhan.
• Sedang: harus segera diperbaiki.
• Rendah / Observasi: masalah kecil atau saran penguatan.

Temuan harus ditindaklanjuti. Lacak setiap temuan dengan penanggung jawab, rencana, dan tenggat dalam daftar perbaikan.

• Tetapkan akuntabilitas.
• Tentukan tenggat yang realistis berdasarkan tingkat keparahan.
• Verifikasi perbaikan melalui pengujian ulang sebelum menutup temuan.

Auditor sebaiknya tidak menilai pekerjaan yang mereka lakukan sendiri untuk menghindari konflik kepentingan. Independensi, terutama dalam audit eksternal, membuat hasilnya kredibel bagi pelanggan dan regulator.

Program modern melengkapi audit berkala dengan pemantauan berkelanjutan: pemeriksaan otomatis yang menandai penyimpangan dari dasar keamanan secara hampir waktu nyata, sehingga mengurangi kejutan saat audit formal.

Bedakan audit dari pengujian penetrasi.

Audit keamanan menilai seberapa baik kontrol memenuhi suatu standar:

• Audit berbeda dari pengujian penetrasi dan penilaian risiko.
• Ikuti siklus hidupnya: rencanakan, lakukan pekerjaan lapangan, laporkan, dan perbaiki.
• Kumpulkan bukti, uji desain dan pengoperasian, lalu nilai temuan.
• Lacak perbaikan dan pertahankan independensi auditor.