Dari laporan kesenjangan ke rencana proyek: pemilik, bukti, dan jadwal

Menjalankan analisis kesenjangan adalah bagian yang paling mudah. Panduan langkah demi langkah kami membantu Anda sampai ke tracker yang mencantumkan setiap persyaratan yang belum terpenuhi. Yang terjadi selanjutnya menentukan apakah program ini berhasil: terlalu banyak tracker yang berakhir sebagai spreadsheet panjang berisi baris bertanda "tidak terpenuhi" yang tidak dimiliki siapa pun.

Langkah 1: kelompokkan baris ke dalam alur kerja

Persyaratan diberi nomor berdasarkan logika kerangka kerja, bukan logika Anda. Kelompokkan ulang baris yang belum terpenuhi berdasarkan apa yang akan memperbaikinya:

• Tata kelola dan kebijakan (ruang lingkup, peran, kebijakan, persetujuan manajemen)
• Identitas dan akses
• Manajemen kerentanan dan patch
• Pencatatan dan pemantauan
• Respons dan pelaporan insiden
• Manajemen pemasok
• Kelangsungan usaha dan pencadangan
• Pengembangan aman
• Keamanan fisik

Satu alur kerja sering menutup sepuluh hingga dua puluh baris. Misalnya, memasukkan ketentuan keamanan pemasok ke dalam kontrak dapat memenuhi persyaratan ISO 27001, PCI DSS, GDPR, dan NIS2 sekaligus.

Langkah 2: urutkan berdasarkan ketergantungan dan risiko

1. Penghambat dulu: ruang lingkup, tata kelola, kebijakan, dan penilaian risiko. Pekerjaan teknis tanpa itu harus dikerjakan ulang.
2. Kesenjangan berisiko tinggi berikutnya: sistem terpapar tanpa MFA, layanan yang menghadap internet dan belum di-patch, cadangan yang belum diuji.
3. Lalu sisanya, dengan pengumpulan dokumentasi dan bukti berjalan bersamaan, bukan di akhir.

Langkah 3: perkirakan secara jujur

Untuk setiap alur kerja: pekerjaannya, siapa yang mengerjakan, berapa lama, dan berapa biayanya (SDM, alat, bantuan eksternal). Biaya tersembunyi biasanya ada pada menjalankan kontrol setelahnya (tinjauan triwulanan berarti empat rapat setahun, selamanya), bukan pada saat membangunnya.

Langkah 4: tetapkan pemilik yang akan menjalankan kontrol

Pemilik tugas remediasi sebaiknya orang yang akan mengoperasikan kontrol setelahnya: manajer TI untuk patching, bagian pengadaan untuk kontrak pemasok, HR untuk penyaringan. Pimpinan kepatuhan mengoordinasikan, memeriksa bukti, dan melaporkan kemajuan, tetapi tidak bisa memiliki semuanya.

Langkah 5: definisikan "selesai" sebagai bukti

Tugas dianggap selesai ketika kontrol beroperasi dan menghasilkan bukti: tinjauan akses pertama yang sudah disetujui, uji pemulihan pertama yang tercatat, kebijakan yang disetujui dan dikomunikasikan. Cantumkan referensi bukti di tracker selagi bekerja; saat audit, tracker menjadi indeks bukti Anda.

Contoh kasus

Misalkan sebuah perusahaan bersertifikat ISO 27001 perlu memenuhi NIS2. Laporan kesenjangan ISO 27001 → NIS2 memetakan setiap poin NIS2 ke sesuatu dalam ISO, tetapi validasi terhadap kondisi nyata menemukan belasan poin yang hanya terpenuhi sebagian. Dikelompokkan berdasarkan perbaikannya, poin-poin tersebut menyatu menjadi empat alur kerja:

• Tata kelola: persetujuan manajemen atas langkah-langkah dan pelatihan manajemen (satu sesi dewan, satu kursus pelatihan, tercatat).
• Pelaporan: prosedur insiden signifikan dengan tenggat 24 dan 72 jam, templat, serta latihan.
• Pemasok: kriteria seleksi, klausul kontrak, dan peninjauan dua puluh pemasok teratas.
• Kedalaman teknis: pengungkapan kerentanan, kebijakan kriptografi, dan metrik efektivitas.

Empat pemilik, empat rencana, masing-masing dengan tanggal dan daftar bukti, alih-alih belasan baris yang tidak saling terkait. Tata kelola dan pelaporan dikerjakan lebih dulu karena pengawas akan menanyakannya lebih dulu; kedalaman teknis menyusul dalam kuartal berikutnya.

Poin kunci

• Kelompokkan persyaratan yang belum terpenuhi berdasarkan apa yang akan memperbaikinya, bukan berdasarkan nomor persyaratan.
• Kerjakan tata kelola, ruang lingkup, dan kebijakan terlebih dahulu; hal ini membuka jalan bagi semua pekerjaan lainnya.
• Berikan setiap alur kerja pemilik yang akan menjalankan kontrol setelahnya.
• Definisikan selesai sebagai kontrol yang beroperasi dan menghasilkan bukti.

Langkah 6: laporkan kemajuan dengan sederhana

Pimpinan membutuhkan tiga angka: persyaratan yang terpenuhi, sedang dikerjakan, dan belum dimulai, per alur kerja, ditambah risiko yang terlambat. Jalankan ulang analisis kesenjangan secara berkala; ketika dihitung dari data langsung, seperti yang kami lakukan, angka cakupan akan berubah seiring Anda menutup kesenjangan dan ketika kerangka kerja berubah.

Sebagai titik awal, jalankan analisis kesenjangan antara kerangka kerja yang Anda miliki dan yang Anda butuhkan, lalu ekspor hasilnya. Perbandingan menunjukkan pasangan yang paling umum di kedua arah.

Pertanyaan

Bagaimana kesenjangan kepatuhan sebaiknya diprioritaskan?

Berdasarkan risiko dan ketergantungan: pertama kesenjangan yang menghambat yang lain (tata kelola, ruang lingkup, kebijakan), lalu kesenjangan teknis berisiko tinggi, kemudian dokumentasi dan bukti. Penomoran persyaratan adalah panduan yang buruk untuk urutan.

Siapa yang sebaiknya memiliki tugas remediasi kepatuhan?

Orang yang akan menjalankan kontrol setelahnya, bukan tim kepatuhan. Tim kepatuhan mengoordinasikan dan memeriksa bukti; pemilik kontrol yang mengeksekusi.

Seberapa rinci sebaiknya rencana proyek kepatuhan?

Cukup rinci agar setiap alur kerja memiliki pemilik, hasil yang diserahkan, tanggal, dan daftar bukti. Detail tingkat persyaratan termasuk dalam tracker; rencana sebaiknya cukup untuk satu atau dua halaman.