Hanya ruang lingkup (4.3) yang secara eksplisit wajib terdokumentasi. Hasil analisis isu (4.1) dan daftar pihak berkepentingan (4.2) tidak diwajibkan berbentuk dokumen, tetapi hampir selalu diminta sebagai bukti bahwa penentuannya benar-benar dilakukan. Amandemen 1:2024 menambahkan bahwa relevansi perubahan iklim harus ditentukan pada 4.1, dan pada 4.2 dicatat bahwa pihak berkepentingan dapat memiliki persyaratan terkait perubahan iklim.
4.1 Memahami organisasi dan konteksnya
Organisasi menentukan isu eksternal dan internal yang relevan dengan tujuannya dan yang memengaruhi kemampuan SMKI mencapai hasil yang diharapkan.
Apa yang diminta standar
- NORMATIFMenentukan isu eksternal dan internal yang relevan dengan tujuan organisasi dan yang memengaruhi kemampuan SMKI mencapai hasil yang diharapkan.
- NORMATIFMenentukan apakah perubahan iklim merupakan isu yang relevan (Amandemen 1:2024). Hasil penentuan ini — relevan maupun tidak relevan — harus dapat ditunjukkan.
- PRAKTIK BAIKMemisahkan isu menjadi eksternal (regulasi, pelanggan, pemasok, ancaman siber, kondisi pasar) dan internal (struktur, kompetensi, budaya, teknologi warisan, anggaran).
- PRAKTIK BAIKMeninjau ulang daftar isu secara berkala dan setiap kali terjadi perubahan signifikan, lalu menautkannya ke penilaian risiko pada Klausa 6.
- CATATANStandar tidak mewajibkan format tertentu; tabel isu dengan kategori, dampak, dan tautan ke risiko sudah memadai.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Daftar isu internal dan eksternal | Tabel isu dengan kategori, deskripsi dampak, dan pemilik isu | Tidak eksplisit (bukti penentuan) |
| Penentuan relevansi perubahan iklim | Entri isu iklim, atau pernyataan bahwa iklim dinilai tidak relevan beserta alasannya | Wajib ditentukan (Amd 1:2024) |
| Catatan tinjauan konteks | Risalah tinjauan manajemen yang membahas perubahan konteks | Tidak eksplisit |
Yang ditanyakan auditor
Auditor menguji apakah isu yang didaftar benar-benar milik organisasi ini, bukan salinan contoh umum, dan apakah isu tersebut terhubung ke risiko dan sasaran.
“Bagaimana daftar isu ini disusun dan siapa yang terlibat?”
Mengapa ditanya: Menguji apakah penentuan konteks melibatkan pemilik proses, bukan disusun satu orang.
“Isu mana yang berubah setahun terakhir dan apa akibatnya pada SMKI?”
Mengapa ditanya: Konteks yang tidak pernah berubah biasanya tandanya tidak pernah ditinjau.
“Apakah perubahan iklim relevan bagi organisasi Anda, dan atas dasar apa?”
Mengapa ditanya: Amandemen 1:2024 mewajibkan penentuan ini, termasuk bila kesimpulannya tidak relevan.
Kesalahan yang sering terjadi
Isu generik hasil salin-tempel
Daftar berisi isu umum yang berlaku bagi organisasi mana pun sehingga tidak menjelaskan apa pun tentang organisasi ini.
Iklim dilewati diam-diam
Tidak ada entri iklim dan tidak ada pernyataan bahwa iklim dinilai tidak relevan — penentuan yang diwajibkan tidak dapat dibuktikan.
Isu tidak terhubung ke risiko
Daftar isu berdiri sendiri dan tidak pernah muncul kembali dalam penilaian risiko atau sasaran keamanan informasi.
4.2 Memahami kebutuhan dan harapan pihak berkepentingan
Organisasi menentukan pihak berkepentingan yang relevan bagi SMKI, persyaratan mereka, dan mana di antara persyaratan itu yang akan dipenuhi melalui SMKI.
Apa yang diminta standar
- NORMATIFMenentukan pihak berkepentingan yang relevan dengan SMKI.
- NORMATIFMenentukan persyaratan yang relevan dari pihak berkepentingan tersebut.
- NORMATIFMenentukan persyaratan mana yang akan dipenuhi melalui SMKI, termasuk persyaratan hukum, regulasi, dan kontraktual.
- PRAKTIK BAIKMenautkan tiap persyaratan ke kendali atau proses yang memenuhinya, sehingga pemenuhan dapat ditelusuri saat audit.
- CATATANAmandemen 1:2024 mencatat bahwa pihak berkepentingan dapat memiliki persyaratan terkait perubahan iklim. Ini catatan, bukan kewajiban tersendiri.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Daftar pihak berkepentingan | Tabel pihak, jenis kepentingan, persyaratan, dan cara pemenuhannya | Tidak eksplisit (bukti penentuan) |
| Daftar persyaratan hukum dan kontraktual | Register regulasi dan klausul keamanan pada kontrak pelanggan | Tidak eksplisit, namun umum diminta |
Yang ditanyakan auditor
Auditor memeriksa apakah persyaratan yang dicatat memang bersumber dari pihaknya — kontrak, regulasi, atau permintaan tertulis — dan apakah pemenuhannya nyata.
“Dari mana persyaratan pelanggan ini berasal?”
Mengapa ditanya: Menguji sumber persyaratan: kontrak nyata atau asumsi internal.
“Persyaratan mana yang Anda putuskan tidak dipenuhi melalui SMKI, dan mengapa?”
Mengapa ditanya: Standar menuntut keputusan sadar, bukan daftar tanpa keputusan.
“Bagaimana Anda memantau perubahan regulasi yang berlaku?”
Mengapa ditanya: Register yang tidak pernah diperbarui cepat menjadi tidak akurat.
Kesalahan yang sering terjadi
Daftar pihak tanpa persyaratan
Pihak berkepentingan didaftar, tetapi kolom persyaratannya kosong atau sangat umum.
Regulasi tidak lengkap
Hanya menyebut satu regulasi populer, sementara kewajiban sektoral atau kontraktual yang mengikat tidak tercatat.
4.3 Menentukan ruang lingkup SMKI
Organisasi menetapkan batas dan keberlakuan SMKI. Ruang lingkup wajib tersedia sebagai informasi terdokumentasi.
Apa yang diminta standar
- NORMATIFMenentukan batas dan keberlakuan SMKI untuk menetapkan ruang lingkupnya.
- NORMATIFMempertimbangkan isu pada 4.1, persyaratan pada 4.2, serta antarmuka dan ketergantungan dengan pihak lain.
- NORMATIFRuang lingkup tersedia sebagai informasi terdokumentasi.
- PRAKTIK BAIKMenyatakan lingkup pada tiga dimensi: lokasi/fisik, sistem dan layanan/logis, serta unit organisasi — beserta pengecualian dan justifikasinya.
- PRAKTIK BAIKMemetakan antarmuka dan ketergantungan pada pihak ketiga (pusat data, penyedia awan, induk perusahaan) secara eksplisit.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Pernyataan ruang lingkup SMKI | Dokumen lingkup berversi yang disahkan manajemen puncak | WAJIB terdokumentasi |
| Daftar pengecualian dan justifikasi | Unit atau layanan di luar lingkup beserta alasan yang dapat dipertanggungjawabkan | Bagian dari dokumen lingkup |
| Peta antarmuka dan ketergantungan | Daftar layanan pihak ketiga dan batas tanggung jawab masing-masing | Tidak eksplisit, kuat sebagai bukti |
Yang ditanyakan auditor
Auditor mengejar batas: apa yang masuk, apa yang keluar, dan apakah pengecualian tidak dipakai untuk menyembunyikan area berisiko.
“Mengapa unit atau layanan ini dikecualikan dari lingkup?”
Mengapa ditanya: Pengecualian tanpa justifikasi kuat adalah temuan yang sering muncul.
“Siapa yang bertanggung jawab atas keamanan pada antarmuka dengan penyedia awan Anda?”
Mengapa ditanya: Batas tanggung jawab yang kabur membuat kendali menggantung di antara dua pihak.
“Kapan pernyataan lingkup terakhir diperbarui?”
Mengapa ditanya: Lingkup usang tidak lagi mencerminkan organisasi yang diaudit.
Kesalahan yang sering terjadi
Lingkup terlalu kabur
Pernyataan lingkup hanya menyebut nama perusahaan tanpa lokasi, sistem, atau layanan sehingga batasnya tidak dapat diuji.
Pengecualian tanpa alasan
Area berisiko dikeluarkan dari lingkup tanpa justifikasi yang dapat dipertahankan.
Ketergantungan tidak dicatat
Layanan kritis dijalankan pihak ketiga, tetapi antarmuka dan batas tanggung jawabnya tidak muncul dalam lingkup.
4.4 Sistem manajemen keamanan informasi
Organisasi menetapkan, menerapkan, memelihara, dan memperbaiki SMKI secara berkelanjutan, termasuk proses-proses yang dibutuhkan dan interaksinya.
Apa yang diminta standar
- NORMATIFMenetapkan, menerapkan, memelihara, dan memperbaiki SMKI secara berkelanjutan sesuai persyaratan standar.
- NORMATIFMenentukan proses-proses yang dibutuhkan SMKI beserta interaksinya.
- PRAKTIK BAIKMenyusun peta proses SMKI berdasarkan siklus PDCA dengan pemilik proses, masukan, dan keluaran tiap proses.
- PRAKTIK BAIKMenautkan tiap proses ke klausa yang relevan sehingga cakupan sistem dapat diperiksa cepat.
- CATATANPeta proses bukan dokumen wajib, tetapi merupakan cara paling ringkas menunjukkan bahwa SMKI berjalan sebagai sistem, bukan kumpulan dokumen.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Peta proses SMKI | Daftar proses dengan fase PDCA, pemilik proses, masukan, dan keluaran | Tidak eksplisit |
| Bukti pemeliharaan sistem | Jadwal audit internal, tinjauan manajemen, dan siklus perbaikan yang berjalan | Tidak eksplisit di 4.4 (diuji di Klausa 9 dan 10) |
Yang ditanyakan auditor
Auditor menilai apakah proses SMKI benar-benar berjalan dan saling terhubung, atau hanya digambarkan di atas kertas.
“Proses SMKI apa saja yang Anda jalankan dan siapa pemiliknya?”
Mengapa ditanya: Proses tanpa pemilik biasanya tidak pernah dijalankan.
“Bagaimana keluaran penilaian risiko masuk ke proses berikutnya?”
Mengapa ditanya: Menguji interaksi antar-proses, bukan sekadar keberadaannya.
“Bagaimana Anda memastikan sistem ini diperbaiki, bukan hanya dipelihara?”
Mengapa ditanya: Perbaikan berkelanjutan adalah persyaratan, bukan pilihan.
Kesalahan yang sering terjadi
Peta proses tanpa pemilik
Proses tercantum, tetapi tidak ada peran yang bertanggung jawab menjalankannya.
Proses berhenti setelah sertifikasi
Siklus PDCA hanya berjalan menjelang audit sertifikasi, lalu tidak ada aktivitas hingga audit berikutnya.
Checklist kesiapan
Daftar periksa cepat sebelum audit — bersifat panduan, tidak tersimpan.
- Isu internal dan eksternal ditentukan, spesifik bagi organisasi, dan ditinjau berkala.
- Relevansi perubahan iklim ditentukan dan hasilnya dapat ditunjukkan (Amd 1:2024).
- Pihak berkepentingan beserta persyaratannya ditentukan, termasuk persyaratan hukum dan kontraktual.
- Diputuskan persyaratan mana yang dipenuhi melalui SMKI.
- Ruang lingkup ditetapkan pada dimensi fisik, logis, dan organisasi, serta tersedia sebagai informasi terdokumentasi.
- Pengecualian lingkup disertai justifikasi yang dapat dipertahankan.
- Antarmuka dan ketergantungan dengan pihak ketiga tercatat.
- Proses SMKI dan interaksinya ditentukan, masing-masing punya pemilik.