Organisasi dapat memiliki firewall, antivirus, sistem backup, kebijakan akses, hingga prosedur penanganan insiden. Namun, keberadaan berbagai kontrol tersebut belum otomatis menunjukkan bahwa keamanan informasi sudah berjalan efektif.
Di sinilah information security audit dibutuhkan. Audit membantu organisasi menilai apakah kontrol keamanan telah dirancang dengan tepat, diterapkan secara konsisten, memiliki bukti pelaksanaan, dan benar-benar mampu mengurangi risiko.
Bagi pemerintahan, BUMN/BUMD, perbankan, dan perusahaan dengan sistem kritikal, evaluasi ini juga penting untuk mendukung tata kelola, kepatuhan, serta ketahanan terhadap ancaman siber.
Apa Itu Information Security Audit?
Information security audit adalah proses pemeriksaan sistematis terhadap kebijakan, prosedur, proses, teknologi, dan kontrol keamanan informasi untuk mengetahui apakah pengamanan yang diterapkan telah memadai dan berjalan efektif.
Audit tidak hanya mencari jawaban atas pertanyaan “apakah kontrol tersedia?”, tetapi juga:
apakah kontrol sesuai dengan risiko;
apakah kontrol benar-benar diterapkan;
apakah terdapat bukti pelaksanaan;
apakah kontrol bekerja secara konsisten; dan
apakah kelemahan yang ditemukan sudah ditindaklanjuti.
ISO/IEC 27001:2022 sendiri menggunakan pendekatan sistematis dalam pengelolaan risiko keamanan informasi melalui Information Security Management System (ISMS). ISO menekankan perlindungan terhadap kerahasiaan, integritas, dan ketersediaan informasi melalui proses manajemen risiko. ISO/IEC 27001:2022
Baca juga: Apa Itu Keamanan Informasi dan Contohnya?
Mengapa Efektivitas Kontrol Keamanan Perlu Diaudit?
Masalah keamanan sering kali bukan disebabkan tidak adanya kontrol, tetapi karena kontrol tidak berjalan sebagaimana direncanakan.
Contohnya, perusahaan sudah memiliki kebijakan access control, tetapi akun pegawai yang sudah keluar masih aktif. Backup dilakukan setiap hari, tetapi proses pemulihannya belum pernah diuji. Log aktivitas tersedia, tetapi tidak ada tim yang memantaunya secara rutin.
Kondisi tersebut menunjukkan adanya kesenjangan antara desain kontrol dan implementasi aktual.
Audit keamanan informasi membantu menemukan kesenjangan tersebut sebelum berkembang menjadi insiden yang memberikan dampak lebih besar bagi organisasi.
Apa Saja yang Diperiksa dalam Information Security Audit?
Ruang lingkup audit keamanan informasi dapat disesuaikan dengan profil risiko dan kebutuhan organisasi.
Tata Kelola dan Manajemen Risiko
Auditor dapat menilai kebijakan keamanan, pembagian tanggung jawab, manajemen risiko TI, program awareness, hingga mekanisme pengawasan keamanan oleh manajemen.
Identity and Access Management
Pemeriksaan mencakup pemberian akses pengguna, hak akses istimewa, MFA, periodic access review, serta penghentian akses pegawai yang berpindah atau keluar.
Keamanan Infrastruktur dan Sistem
Area ini dapat meliputi keamanan jaringan, konfigurasi server, endpoint protection, system hardening, vulnerability management, dan patch management.
Perlindungan Data dan Backup
Auditor menilai klasifikasi informasi, enkripsi, transfer data, retensi, mekanisme backup, serta pengujian proses restore.
Monitoring dan Incident Response
Kontrol seperti audit log, security monitoring, prosedur eskalasi, respons insiden, dan pemulihan juga perlu diuji efektivitasnya.
Bagaimana Auditor Menilai Efektivitas Kontrol Keamanan?
Penilaian umumnya tidak berhenti pada pemeriksaan checklist. Auditor perlu menghubungkan risiko, kontrol, bukti, hasil pengujian, dan rekomendasi.
1. Menilai Desain Kontrol
Pertama, auditor menentukan apakah kontrol yang dirancang sesuai dengan risiko.
Misalnya, untuk mengurangi risiko pengambilalihan akun, organisasi dapat menerapkan MFA, pembatasan akses, serta monitoring aktivitas autentikasi.
2. Memeriksa Implementasi
Selanjutnya auditor memastikan bahwa ketentuan dalam kebijakan dan SOP benar-benar diterapkan pada sistem maupun proses operasional.
3. Menguji Efektivitas Operasional
Auditor dapat menggunakan wawancara, observasi, walkthrough, sampling dokumen, pemeriksaan konfigurasi, serta analisis log.
Contohnya:
| Kontrol | Bukti yang Diperiksa | Indikasi Efektif |
|---|---|---|
| Review hak akses | Laporan access review | Hak akses tidak sesuai ditindaklanjuti |
| Patch management | Patch report | Patch kritis dipasang sesuai target |
| Backup | Backup dan restore log | Data berhasil dipulihkan |
| Incident response | Laporan/simulasi insiden | Insiden dieskalasikan dan ditangani |
| Monitoring | SIEM atau security log | Anomali terdeteksi dan ditindaklanjuti |
4. Mengevaluasi Risiko Setelah Kontrol
Auditor kemudian menilai apakah kontrol telah menurunkan risiko ke tingkat yang dapat diterima atau masih terdapat residual risk yang membutuhkan tindakan tambahan.
NIST Cybersecurity Framework 2.0 juga dapat digunakan untuk membantu organisasi memahami dan menilai postur keamanan melalui enam fungsi utama: Govern, Identify, Protect, Detect, Respond, dan Recover. NIST Cybersecurity Framework 2.0
Information Security Audit Berbeda dengan Penetration Testing
Information security audit memiliki cakupan yang lebih luas dibandingkan pengujian teknis.
Information security audit: menilai governance, proses, kontrol, implementasi, dan kepatuhan.
Vulnerability assessment: mencari kerentanan teknis pada sistem.
Penetration testing: menguji apakah kelemahan tertentu dapat dieksploitasi.
Risk assessment: mengidentifikasi dan mengevaluasi risiko.
Keempat pendekatan tersebut dapat saling melengkapi sesuai kebutuhan organisasi.
Information Security Audit dan Kebutuhan Audit KKS
Bagi organisasi yang termasuk dalam ruang lingkup pengaturan Bank Indonesia, keamanan tidak hanya menjadi persoalan teknis.
PBI Nomor 2 Tahun 2024 mengatur Keamanan Sistem Informasi dan Ketahanan Siber (KKS) bagi penyelenggara sistem pembayaran, pelaku pasar uang dan pasar valuta asing, serta pihak lain yang diatur dan diawasi Bank Indonesia. Kerangkanya menekankan tata kelola, pencegahan, penanganan, pengawasan, dan kolaborasi.
Bank Indonesia juga menggunakan tujuh domain dalam pengukuran maturitas KKS, yaitu strategi dan kebijakan, audit dan budaya, identifikasi, proteksi, deteksi, respons, serta pemulihan. Hasil pengukuran yang dipublikasikan BI menunjukkan masih terdapat ruang penguatan pada sejumlah domain tersebut.
Karena itu, audit KKS dapat menjadi bagian penting untuk mengevaluasi kesiapan keamanan dan ketahanan siber secara lebih menyeluruh.
Apa Hasil dari Information Security Audit?
Hasil audit biasanya dapat digunakan sebagai dasar untuk:
mengidentifikasi gap kontrol;
menentukan tingkat risiko temuan;
menemukan akar permasalahan;
menyusun rekomendasi perbaikan;
menentukan prioritas tindakan; dan
membangun roadmap peningkatan keamanan.
Audit juga memberikan gambaran yang lebih objektif kepada manajemen mengenai kondisi keamanan organisasi.
Tingkatkan Efektivitas Kontrol dengan Cyber Security Services
Memiliki berbagai perangkat keamanan belum cukup jika efektivitasnya tidak pernah diuji.
Melalui Cyber Security Services, organisasi dapat melakukan assessment dan audit security services secara terstruktur untuk mengevaluasi kontrol, mengidentifikasi gap, menilai risiko, serta menentukan prioritas perbaikan.
Bagi organisasi dengan kewajiban KKS, ruang lingkup assessment juga dapat disesuaikan untuk mendukung kesiapan menghadapi audit KKS dan pemenuhan ketentuan keamanan serta ketahanan siber.
Pelajari layanan audit dan konsultasi keamanan informasi PT Integra Teknologi Solusi
Konsultasikan kebutuhan information security audit organisasi Anda bersama PT Integra Teknologi Solusi untuk mengetahui kontrol mana yang sudah efektif dan area mana yang masih perlu diperkuat.
