Menulis Statement of Applicability yang lolos audit

Klausul 6.1.3(d) ISO/IEC 27001 mensyaratkan Statement of Applicability: dokumen yang mencantumkan kontrol yang Anda perlukan, alasan memasukkannya, apakah kontrol tersebut sudah diterapkan, dan alasan mengecualikan kontrol mana pun dari 93 kontrol Lampiran A. Kedengarannya administratif. Dalam praktiknya, dokumen ini menjadi jembatan antara penilaian risiko dan kontrol Anda, dan auditor sertifikasi membacanya dengan cermat, karena SoA yang lemah biasanya menandakan proses risiko yang juga lemah di baliknya.

Isi yang wajib ada

Untuk setiap kontrol di Lampiran A, dan setiap kontrol tambahan milik Anda:

1. Berlaku atau tidak.
2. Pembenaran untuk dimasukkan: biasanya risiko yang ditangani, persyaratan hukum atau kontrak, atau keputusan bisnis.
3. Status penerapan: sudah diterapkan, sebagian diterapkan, atau direncanakan.
4. Pembenaran untuk pengecualian, jika dikecualikan.

Kebanyakan SoA menambahkan deskripsi singkat tentang bagaimana setiap kontrol diterapkan serta rujukan ke kebijakan atau prosedur. Hal ini tidak secara ketat diwajibkan, tetapi membuat audit jauh lebih cepat.

Pembenaran untuk pemasukan

Kaitkan setiap kontrol dengan sesuatu yang konkret: risiko dalam daftar risiko Anda, persyaratan hukum (GDPR Pasal 32, NIS2, regulasi sektor), kontrak, atau persyaratan pelanggan. "Praktik terbaik" adalah pembenaran yang lemah; "menangani risiko R-12 dan R-17 serta diwajibkan oleh kewajiban NIS2 kami" adalah pembenaran yang kuat. Menautkan kontrol ke persyaratan hukum juga membantu ketika Anda harus memenuhi beberapa kerangka kerja: halaman persyaratan kami menunjukkan kerangka kerja lain yang dipetakan ke setiap kontrol Lampiran A, misalnya A.8.24 penggunaan kriptografi.

Pembenaran untuk pengecualian

Pengecualian diperbolehkan, tetapi setiap pengecualian memerlukan alasan yang dapat diuji oleh auditor. Alasan yang baik:

• Aktivitasnya tidak terjadi dalam ruang lingkup. Tidak ada pengembangan alih daya: A.8.30 dikecualikan.
• Risikonya tidak ada dalam ruang lingkup. Organisasi yang sepenuhnya bekerja jarak jauh tanpa kantor mungkin mengecualikan sebagian kontrol fisik A.7, tetapi tidak kontrol yang mencakup peralatan dan media di mana pun keberadaannya.

Alasan yang lemah: "tidak relevan", "ditangani oleh TI", "penyedia cloud yang melakukannya". Jika pemasok menjalankan kontrol, kontrol tersebut tetap berlaku; Anda mengelolanya melalui kontrol pemasok.

Temuan audit yang umum

• SoA tidak sesuai dengan rencana perlakuan risiko. Kontrol yang dipilih dalam perlakuan risiko harus muncul di SoA, dan sebaliknya.
• Kontrol yang sudah diterapkan tanpa bukti. Menandai kontrol sebagai sudah diterapkan mengundang permintaan bukti.
• Bahasa templat. Deskripsi yang disalin dari templat dan tidak sesuai dengan apa yang sebenarnya Anda lakukan.
• Versi usang. SoA yang masih mencantumkan penomoran Lampiran A 2013, atau tidak diperbarui setelah perubahan signifikan.

Struktur praktis

Satu baris per kontrol: ID dan judul, berlaku (ya/tidak), alasan (risiko, persyaratan hukum dan kontrak), status, deskripsi satu baris tentang cara pelaksanaannya, pemilik, dan rujukan ke bukti. Simpan dalam spreadsheet atau alat GRC Anda di bawah kendali dokumen, dan tinjau setiap kali penilaian risiko dilakukan.

Menjaga SoA tetap hidup

SoA yang ditulis untuk sertifikasi pertama dan tidak pernah disentuh lagi akan menjadi temuan pada audit berikutnya. Jaga agar tetap mutakhir dengan memperbaruinya setiap kali:

• penilaian risiko mengubah kontrol yang dipilih;
• ruang lingkup berubah (produk, kantor, atau penyedia cloud baru);
• status penerapan suatu kontrol berubah;
• persyaratan hukum atau kontrak baru berlaku (misalnya NIS2 atau kontrak pelanggan).

Catat versi, tanggal, dan pihak yang menyetujui setiap kali.

Poin-poin utama

• Setiap kontrol Lampiran A memerlukan keputusan dan alasan, termasuk pengecualian.
• Kaitkan pemasukan dengan risiko spesifik serta persyaratan hukum atau kontrak.
• Jaga SoA konsisten dengan rencana perlakuan risiko, dan tetap mutakhir.

Menjalankan beberapa kerangka kerja sekaligus

Jika Anda juga harus memenuhi SOC 2, NIS2, atau PCI DSS, tambahkan kolom untuk persyaratan yang sesuai di masing-masing kerangka kerja. SoA kemudian menjadi tulang punggung kumpulan kontrol bersama; artikel kami tentang satu kumpulan kontrol untuk SOC 2 dan ISO 27001 menjelaskan pendekatannya, dan analisis kesenjangan mencantumkan setiap kontrol Lampiran A terhadap kerangka kerja lain. Panduan ISO 27001 membahas sisa proses sertifikasi.

Pertanyaan

Apakah Anda boleh mengecualikan kontrol Lampiran A dalam ISO 27001?

Boleh, jika pengecualiannya dapat dibenarkan, biasanya karena risiko tidak ada dalam ruang lingkup Anda (misalnya pengembangan alih daya ketika Anda tidak mengalihdayakan pengembangan). Pengecualian harus dibenarkan dalam Statement of Applicability.

Apa saja yang harus ada dalam Statement of Applicability?

Klausul 6.1.3(d) ISO 27001 mensyaratkan kontrol yang diperlukan, pembenaran untuk memasukkannya, apakah kontrol tersebut sudah diterapkan, dan pembenaran untuk mengecualikan kontrol Lampiran A mana pun.

Apakah Statement of Applicability dibagikan kepada pelanggan?

Biasanya tidak secara lengkap; dokumen ini bersifat internal dan ditinjau oleh badan sertifikasi. Beberapa organisasi membagikan ringkasan kepada pelanggan di bawah NDA untuk menunjukkan kontrol mana yang berlaku.