Hanya kebijakan keamanan informasi yang secara eksplisit wajib terdokumentasi pada klausa ini. Bukti kepemimpinan (5.1) dan pembagian peran (5.3) tetap perlu dapat ditunjukkan saat audit, meskipun bentuknya tidak ditentukan standar.
5.1 Kepemimpinan dan komitmen
Manajemen puncak harus menunjukkan kepemimpinan dan komitmen terhadap SMKI — bukan sekadar menandatangani dokumen, melainkan memastikan sistem berjalan, tersedia sumber dayanya, dan terintegrasi dengan proses bisnis.
Apa yang diminta standar
- NORMATIFMemastikan kebijakan dan sasaran keamanan informasi ditetapkan dan selaras dengan arah strategis organisasi.
- NORMATIFMemastikan persyaratan SMKI terintegrasi ke dalam proses bisnis organisasi, bukan berdiri sebagai sistem terpisah.
- NORMATIFMemastikan sumber daya yang dibutuhkan SMKI tersedia.
- NORMATIFMengomunikasikan pentingnya keamanan informasi yang efektif dan pentingnya memenuhi persyaratan SMKI.
- NORMATIFMemastikan SMKI mencapai hasil yang diharapkan, mengarahkan dan mendukung personel untuk berkontribusi, serta mendorong perbaikan berkelanjutan.
- NORMATIFMendukung peran manajerial lain untuk menunjukkan kepemimpinan pada area tanggung jawab masing-masing.
- PRAKTIK BAIKMenjadwalkan agenda keamanan informasi secara tetap pada rapat manajemen, sehingga jejak keterlibatan pimpinan terekam rutin.
- CATATANStandar tidak menentukan format bukti kepemimpinan; risalah rapat, keputusan anggaran, dan penetapan sasaran umumnya sudah memadai.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Risalah rapat tinjauan manajemen | Notulen rapat direksi yang membahas status risiko dan sasaran SMKI | Tidak eksplisit (bukti kepemimpinan) |
| Keputusan alokasi sumber daya | Persetujuan anggaran pelatihan, perangkat keamanan, atau penambahan personel | Tidak eksplisit (bukti kepemimpinan) |
| Komunikasi internal dari pimpinan | Surat edaran atau pengumuman direksi tentang penerapan SMKI | Tidak eksplisit (bukti kepemimpinan) |
Yang ditanyakan auditor
Auditor menguji keterlibatan nyata pimpinan, bukan pernyataan formal. Yang dicari adalah jejak keputusan: apa yang diputuskan, kapan, dan konsekuensinya pada SMKI.
“Bagaimana manajemen puncak memantau kinerja SMKI?”
Mengapa ditanya: Menguji apakah pemantauan berjalan rutin atau hanya menjelang audit.
“Sumber daya apa yang disetujui untuk SMKI dalam setahun terakhir?”
Mengapa ditanya: Ketersediaan sumber daya adalah bukti komitmen yang paling sulit dipalsukan.
“Bagaimana sasaran keamanan informasi selaras dengan rencana bisnis?”
Mengapa ditanya: Menguji integrasi SMKI dengan arah strategis, bukan sekadar dokumen paralel.
Kesalahan yang sering terjadi
Kepemimpinan didelegasikan penuh
Seluruh urusan SMKI diserahkan ke tim TI atau konsultan, sementara pimpinan tidak pernah membahasnya. Standar menempatkan tanggung jawab ini pada manajemen puncak.
Komitmen hanya di atas kertas
Ada pernyataan komitmen bertanda tangan, tetapi tidak ada rapat, keputusan, atau anggaran yang menopangnya.
5.2 Kebijakan keamanan informasi
Manajemen puncak harus menetapkan kebijakan keamanan informasi. Ini satu-satunya informasi terdokumentasi yang secara eksplisit diwajibkan pada Klausa 5.
Apa yang diminta standar
- NORMATIFKebijakan sesuai dengan tujuan organisasi.
- NORMATIFKebijakan memuat sasaran keamanan informasi, atau menyediakan kerangka untuk menetapkan sasaran tersebut.
- NORMATIFKebijakan memuat komitmen untuk memenuhi persyaratan yang berlaku terkait keamanan informasi.
- NORMATIFKebijakan memuat komitmen untuk perbaikan berkelanjutan SMKI.
- NORMATIFKebijakan tersedia sebagai informasi terdokumentasi, dikomunikasikan di dalam organisasi, dan tersedia bagi pihak berkepentingan yang relevan bila sesuai.
- PRAKTIK BAIKMenyertakan kendali dokumen: nomor versi, tanggal berlaku, pemilik dokumen, dan siklus tinjauan berkala.
- PRAKTIK BAIKMenjaga kebijakan tetap ringkas dan dapat dibaca semua karyawan; detail teknis dipindahkan ke kebijakan turunan atau prosedur.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Dokumen kebijakan keamanan informasi | Kebijakan yang disahkan pimpinan, berversi, dengan tanggal berlaku | Ya — wajib terdokumentasi |
| Bukti komunikasi kebijakan | Publikasi di portal internal, email pengumuman, atau tanda terima sosialisasi | Ya — wajib dikomunikasikan |
| Bukti ketersediaan bagi pihak berkepentingan | Ringkasan kebijakan pada halaman publik atau lampiran kontrak pelanggan | Bila sesuai |
Yang ditanyakan auditor
Auditor tidak hanya membaca kebijakan; ia menguji apakah isinya lengkap sesuai persyaratan dan apakah karyawan mengetahuinya.
“Siapa yang mengesahkan kebijakan ini dan kapan terakhir ditinjau?”
Mengapa ditanya: Menguji kepemilikan pimpinan dan siklus pemeliharaan dokumen.
“Bagaimana kebijakan ini sampai ke karyawan baru?”
Mengapa ditanya: Kebijakan yang tidak dikomunikasikan tidak memenuhi persyaratan 5.2.
“Di bagian mana kebijakan menyebut komitmen perbaikan berkelanjutan?”
Mengapa ditanya: Butir ini sering hilang pada kebijakan yang disalin dari templat.
Kesalahan yang sering terjadi
Templat disalin tanpa penyesuaian
Kebijakan menyebut aktivitas atau unit yang tidak ada di organisasi, sehingga tidak sesuai dengan tujuan organisasi.
Kebijakan tidak pernah dibaca karyawan
Dokumen tersimpan di folder tim TI saja. Persyaratan komunikasi internal tidak terpenuhi.
5.3 Peran, tanggung jawab, dan wewenang organisasi
Manajemen puncak harus memastikan tanggung jawab dan wewenang untuk peran yang relevan dengan keamanan informasi ditetapkan dan dikomunikasikan.
Apa yang diminta standar
- NORMATIFTanggung jawab dan wewenang untuk peran yang relevan ditetapkan dan dikomunikasikan di dalam organisasi.
- NORMATIFDitetapkan tanggung jawab dan wewenang untuk memastikan SMKI sesuai dengan persyaratan standar.
- NORMATIFDitetapkan tanggung jawab dan wewenang untuk melaporkan kinerja SMKI kepada manajemen puncak.
- PRAKTIK BAIKMenuangkan pembagian peran dalam struktur organisasi SMKI atau matriks RACI agar batas wewenang tidak ambigu.
- CATATANStandar tidak mewajibkan jabatan tertentu; peran dapat dirangkap selama tanggung jawab dan wewenangnya jelas dan dikomunikasikan.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Struktur organisasi SMKI | Bagan peran SMKI beserta garis pelaporan ke manajemen puncak | Tidak eksplisit (bukti penetapan peran) |
| Surat penunjukan peran | SK penunjukan koordinator SMKI dan pemilik risiko | Tidak eksplisit (bukti penetapan peran) |
| Matriks tanggung jawab | Matriks RACI untuk proses SMKI dan kontrol utama | Tidak eksplisit (praktik baik) |
Yang ditanyakan auditor
Auditor akan menanyai pemegang peran langsung. Bila jawaban personel berbeda dengan dokumen, temuan diarahkan ke komunikasi peran, bukan ke dokumennya.
“Siapa yang melaporkan kinerja SMKI ke manajemen puncak, dan seberapa sering?”
Mengapa ditanya: Persyaratan pelaporan disebut eksplisit pada 5.3.
“Apa wewenang Anda bila menemukan pelanggaran kebijakan?”
Mengapa ditanya: Menguji apakah wewenang benar-benar dipahami pemegang peran.
“Bagaimana peran ini dikomunikasikan saat terjadi rotasi personel?”
Mengapa ditanya: Peran yang tidak diperbarui membuat tanggung jawab menggantung.
Kesalahan yang sering terjadi
Peran hanya nama di bagan
Nama tercantum, tetapi orangnya tidak tahu tanggung jawab dan wewenangnya. Komunikasi peran belum terpenuhi.
Jalur pelaporan tidak sampai ke pimpinan
Kinerja SMKI berhenti di tingkat manajer, tidak pernah dilaporkan ke manajemen puncak.
Checklist kesiapan
Daftar periksa cepat sebelum audit — bersifat panduan, tidak tersimpan.
- Manajemen puncak terlibat rutin dan jejaknya terekam (risalah, keputusan, anggaran).
- Kebijakan keamanan informasi ditetapkan, berversi, dan disahkan pimpinan.
- Kebijakan memuat sasaran atau kerangka sasaran, komitmen pemenuhan persyaratan, dan perbaikan berkelanjutan.
- Kebijakan dikomunikasikan ke seluruh personel dan tersedia bagi pihak berkepentingan bila sesuai.
- Peran SMKI beserta tanggung jawab dan wewenangnya ditetapkan dan dikomunikasikan.
- Jalur pelaporan kinerja SMKI ke manajemen puncak jelas dan berjalan.
- Sasaran keamanan informasi selaras dengan arah strategis organisasi.