Checklist Persiapan ISO 27001:2022 Sebelum Audit Sertifikasi

Checklist Persiapan ISO 27001:2022

1. Pastikan Ruang Lingkup SMKI Sudah Jelas

Periksa kembali apakah ruang lingkup SMKI sudah menetapkan:

• unit atau fungsi organisasi yang tercakup;

• lokasi yang termasuk dalam scope;

• proses bisnis terkait;

• sistem dan aset informasi yang relevan;

• pihak eksternal atau ketergantungan yang berpengaruh.

Scope juga harus konsisten dengan risk assessment, Statement of Applicability (SoA), dan implementasi kontrol.

2. Pastikan Peran dan Tanggung Jawab Sudah Ditetapkan

ISO 27001 bukan hanya tanggung jawab tim IT.

Pastikan penanggung jawab keamanan informasi, pemilik risiko, pemilik aset, manajemen, hingga personel operasional mengetahui peran masing-masing.

Bukti seperti surat penunjukan, job description, struktur organisasi, atau matriks tanggung jawab sebaiknya dapat ditunjukkan saat audit.

3. Review Dokumentasi SMKI

Pastikan informasi terdokumentasi yang dibutuhkan tersedia dan menggunakan versi terbaru, misalnya:

• kebijakan keamanan informasi;

• scope SMKI;

• tujuan keamanan informasi;

• metodologi dan hasil risk assessment;

• Risk Treatment Plan;

• Statement of Applicability;

• prosedur operasional;

• rekaman monitoring dan evaluasi.

Untuk memahami implementasi SMKI secara lebih lengkap, baca juga artikel Integra mengenai implementasi SMKI dengan ISO 27001.

4. Pastikan Risk Assessment Masih Aktual

Risk assessment tidak seharusnya dibuat hanya untuk memenuhi kebutuhan sertifikasi.

Periksa apakah:

• risiko sudah diidentifikasi;

• kriteria kemungkinan dan dampak konsisten;

• pemilik risiko ditentukan;

• treatment sudah dipilih;

• residual risk telah dievaluasi;

• persetujuan risiko tersedia.

Idealnya terdapat keterhubungan yang jelas:

Risk → Risk Treatment → Control → SoA → Evidence

5. Review Statement of Applicability

Pastikan SoA menggambarkan kondisi aktual organisasi.

Periksa apakah:

• kontrol yang diperlukan sudah ditentukan;

• alasan penerapan atau pengecualian dapat dijelaskan;

• status implementasi sesuai kondisi sebenarnya;

• kontrol selaras dengan risk treatment;

• bukti implementasinya tersedia.

6. Siapkan Bukti Implementasi Kontrol

Auditor akan membutuhkan objective evidence, bukan sekadar pernyataan bahwa kontrol sudah dilakukan.

Contohnya:

Prinsip sederhananya adalah:

Documented → Implemented → Evidenced

7. Pastikan Awareness Personel Sudah Berjalan

Personel dapat menjadi bagian dari wawancara auditor.

Mereka setidaknya harus memahami:

• kebijakan keamanan informasi;

• tanggung jawab masing-masing;

• cara melaporkan insiden;

• tindakan ketika menerima phishing;

• aturan terkait penggunaan informasi organisasi.

Hindari meminta karyawan menghafalkan jawaban. Yang lebih penting adalah memastikan proses benar-benar dipahami dan dijalankan.

8. Pastikan Audit Internal Sudah Dilakukan

Sebelum audit sertifikasi, lakukan audit internal untuk menemukan ketidaksesuaian lebih awal.

Pastikan:

• ruang lingkup relevan sudah diaudit;

• temuan terdokumentasi;

• root cause dianalisis;

• corrective action dilakukan;

• bukti penyelesaian tersedia.

Organisasi juga dapat menggunakan Audit Keamanan Informasi Integra untuk membantu mengidentifikasi risiko dan kesenjangan keamanan informasi.

9. Lakukan Management Review

Management review harus menunjukkan keterlibatan manajemen dalam mengevaluasi SMKI.

Pembahasan dapat mencakup:

• hasil audit;

• pencapaian tujuan keamanan informasi;

• perubahan risiko;

• hasil monitoring;

• insiden keamanan;

• corrective action;

• kebutuhan peningkatan.

Jangan menjadikan management review sekadar formalitas berupa notulen rapat.

10. Pastikan Temuan Sudah Ditindaklanjuti

Temuan dari audit internal atau assessment sebelumnya sebaiknya diselesaikan sebelum audit sertifikasi.

Gunakan alur:

Finding → Root Cause → Corrective Action → Verification → Closed

Pastikan bukti perbaikannya mudah ditelusuri.

Apakah Organisasi Sudah Siap Audit?

Gunakan pengecekan cepat berikut:

• ☐ Scope SMKI sudah jelas

• ☐ Risk assessment sudah diperbarui

• ☐ Risk Treatment Plan tersedia

• ☐ SoA sudah divalidasi

• ☐ Kontrol sudah diterapkan

• ☐ Evidence tersedia

• ☐ Awareness sudah dilakukan

• ☐ Audit internal selesai

• ☐ Management review dilakukan

• ☐ Corrective action sudah ditutup

• ☐ Personel siap menghadapi wawancara auditor

Jika masih banyak item yang belum terpenuhi, organisasi sebaiknya melakukan gap assessment atau readiness assessment sebelum audit sertifikasi.