Klausa 7 hanya mensyaratkan satu informasi terdokumentasi miliknya sendiri — bukti kompetensi (7.2). Tetapi 7.5 menetapkan aturan main bagi SELURUH dokumen SMKI Anda: bagaimana dibuat, ditinjau, disetujui, didistribusikan, dilindungi, diversikan, dan dimusnahkan. Itulah sebabnya klausa ini berdampak jauh melampaui ukurannya.
7.1 Sumber daya
Satu kalimat di standar, tapi diuji lewat semua klausa lain. Sumber daya yang dimaksud bukan hanya anggaran — juga orang, waktu, dan alat.
Apa yang diminta standar
- NORMATIFMenentukan dan menyediakan sumber daya yang dibutuhkan untuk penetapan, penerapan, pemeliharaan, dan peningkatan berkelanjutan SMKI.
- PRAKTIK BAIKMemisahkan sumber daya yang dibutuhkan per tahap — membangun, menjalankan, dan memelihara — karena kebutuhannya berbeda.
- PRAKTIK BAIKMeninjau kecukupan sumber daya saat tinjauan manajemen (Klausa 9.3), sehingga kekurangan terdeteksi sebelum menjadi temuan.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Bukti alokasi sumber daya | Anggaran SMKI, penugasan personel, alokasi waktu kerja | Tidak eksplisit — tetapi wajib bisa ditunjukkan |
| Kebutuhan yang teridentifikasi | Daftar sumber daya yang diperlukan beserta status pemenuhannya | Praktik baik |
| Pembahasan di tinjauan manajemen | Notulen yang memuat kecukupan sumber daya | Via 9.3 |
Yang ditanyakan auditor
7.1 jarang diuji sendirian. Auditor menyimpulkannya dari gejala di klausa lain — pekerjaan yang tertunda, peran yang kosong, pelatihan yang tidak pernah terlaksana.
“Sumber daya apa yang dibutuhkan SMKI Anda, dan apakah semuanya sudah tersedia?”
Mengapa ditanya: Menguji apakah kebutuhan pernah ditentukan secara sadar, bukan sekadar dipenuhi sekenanya.
“Rencana ini tenggatnya tiga bulan lalu dan belum selesai. Apa penyebabnya?”
Mengapa ditanya: Pekerjaan yang macet hampir selalu berujung pada sumber daya yang tidak cukup — dan itu temuan 7.1.
“Berapa banyak waktu kerja yang dialokasikan untuk PIC SMKI?”
Mengapa ditanya: Peran SMKI yang ditumpuk di atas pekerjaan penuh tanpa pengurangan beban adalah pola kegagalan yang umum.
Kesalahan yang sering terjadi
Menganggap sumber daya berarti anggaran saja
Orang dan waktu justru yang paling sering kurang, dan itu tidak terlihat di laporan keuangan.
Peran SMKI tanpa alokasi waktu
Ditunjuk sebagai tugas tambahan tanpa pengurangan beban kerja yang ada.
Tidak pernah ditinjau ulang
Kebutuhan sumber daya ditetapkan sekali di awal dan tidak pernah disesuaikan saat ruang lingkup berkembang.
7.2 Kompetensi
Satu-satunya sub-klausa di Klausa 7 yang secara eksplisit mewajibkan informasi terdokumentasi. Dan perhatikan kata 'mengevaluasi efektivitas' — mengirim orang ke pelatihan saja belum memenuhi.
Apa yang diminta standar
- NORMATIFMenentukan kompetensi yang diperlukan bagi orang yang melakukan pekerjaan di bawah kendali organisasi yang memengaruhi kinerja keamanan informasi.
- NORMATIFMemastikan orang tersebut kompeten berdasarkan pendidikan, pelatihan, atau pengalaman yang tepat.
- NORMATIFBila dapat diterapkan, mengambil tindakan untuk memperoleh kompetensi yang diperlukan, dan mengevaluasi efektivitas tindakan tersebut.
- NORMATIFMenyimpan informasi terdokumentasi yang tepat sebagai bukti kompetensi.
- CATATANTindakan yang dapat diterapkan misalnya menyediakan pelatihan, mentoring, atau penugasan ulang karyawan yang ada; atau merekrut maupun mengontrak orang yang kompeten.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Matriks kompetensi | Peran terkait keamanan informasi + kompetensi yang diperlukan per peran | Tidak eksplisit — tetapi cara termudah membuktikan butir (a) |
| Bukti kompetensi | Ijazah, sertifikat pelatihan, catatan pengalaman kerja | Ya — normatif |
| Catatan tindakan pemenuhan | Pelatihan yang dijalankan, mentoring, atau rekrutmen | Wajib bila ada kesenjangan |
| Evaluasi efektivitas | Hasil uji, penilaian atasan, atau perubahan kinerja setelah tindakan | Wajib ada |
Yang ditanyakan auditor
Butir (c) bagian kedua — mengevaluasi efektivitas — adalah yang paling sering kosong. Sertifikat pelatihan membuktikan kehadiran, bukan kompetensi.
“Kompetensi apa yang diperlukan untuk peran ini, dan bagaimana Anda menentukannya?”
Mengapa ditanya: Menguji butir (a). Jawaban yang baik merujuk tugas nyata peran itu, bukan daftar generik.
“Tunjukkan bukti bahwa orang ini kompeten.”
Mengapa ditanya: Bukti bisa pendidikan, pelatihan, atau pengalaman — ketiganya sah, tetapi harus ada.
“Anda mengirim tim ke pelatihan. Bagaimana Anda tahu pelatihan itu berhasil?”
Mengapa ditanya: Inilah evaluasi efektivitas. Tanpa jawaban, butir (c) belum terpenuhi.
Kesalahan yang sering terjadi
Sertifikat dianggap cukup
Kehadiran di pelatihan bukan bukti kompetensi; efektivitasnya tetap harus dinilai.
Kompetensi hanya untuk tim IT
Standar menyebut siapa pun yang pekerjaannya memengaruhi kinerja keamanan informasi — termasuk HR, pengadaan, dan resepsionis.
Matriks dibuat lalu ditinggalkan
Tidak diperbarui saat ada orang baru atau peran berubah.
Tidak ada tindakan atas kesenjangan
Kesenjangan kompetensi teridentifikasi tetapi tidak ditindaklanjuti.
7.3 Kesadaran
Sub-klausa yang paling sering menjatuhkan organisasi saat audit — bukan karena sulit, tetapi karena diuji dengan cara yang tidak bisa disiapkan: auditor menanyai karyawan acak.
Apa yang diminta standar
- NORMATIFOrang yang bekerja di bawah kendali organisasi harus menyadari kebijakan keamanan informasi.
- NORMATIFMenyadari kontribusi mereka terhadap efektivitas SMKI, termasuk manfaat dari peningkatan kinerja keamanan informasi.
- NORMATIFMenyadari implikasi bila tidak memenuhi persyaratan SMKI.
- PRAKTIK BAIKMenyampaikan kesadaran secara berulang dan beragam bentuk — induksi karyawan baru, pengingat berkala, simulasi — bukan sekali setahun.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Program kepedulian | Rencana penyampaian, materi, dan jadwal | Tidak eksplisit — tetapi wajib bisa ditunjukkan |
| Bukti pelaksanaan | Daftar hadir, rekaman sesi, tanda terima materi | Wajib bisa ditunjukkan |
| Bukti pemahaman | Hasil kuis, survei, atau simulasi phishing | Praktik baik yang sangat membantu saat audit |
| Materi induksi karyawan baru | Bukti bahwa karyawan baru menerima pembekalan | Praktik baik |
Yang ditanyakan auditor
7.3 diuji langsung ke lapangan. Auditor akan memanggil karyawan yang tidak Anda siapkan, dan menanyakan tiga hal di atas.
“Apakah Anda tahu organisasi ini punya kebijakan keamanan informasi? Di mana Anda bisa membacanya?”
Mengapa ditanya: Butir (a) diuji ke orang biasa, bukan ke PIC SMKI.
“Apa kontribusi pekerjaan Anda terhadap keamanan informasi di sini?”
Mengapa ditanya: Butir (b). Jawaban 'tidak tahu' dari beberapa karyawan sudah cukup jadi temuan.
“Apa yang terjadi kalau aturan keamanan informasi tidak dipatuhi?”
Mengapa ditanya: Butir (c) — implikasi ketidaksesuaian, yang paling sering tidak pernah disampaikan.
Kesalahan yang sering terjadi
Pelatihan sekali lalu selesai
Kesadaran memudar; auditor menguji kondisi hari ini, bukan sesi setahun lalu.
Hanya menyampaikan kebijakan
Butir (b) dan (c) — kontribusi dan implikasi — sering terlewat dari materi.
Karyawan baru terlewat
Orang yang masuk setelah sesi pelatihan tidak pernah menerima pembekalan apa pun.
Menyasar karyawan tetap saja
Kontraktor, magang, dan pihak ketiga yang bekerja di bawah kendali organisasi juga termasuk.
7.4 Komunikasi
Empat pertanyaan sederhana yang harus dijawab: apa, kapan, dengan siapa, dan bagaimana. Sub-klausa terpendek yang paling mudah dipenuhi — dan paling sering diabaikan justru karena itu.
Apa yang diminta standar
- NORMATIFMenentukan kebutuhan komunikasi internal dan eksternal yang relevan dengan SMKI.
- NORMATIFMenentukan apa yang dikomunikasikan.
- NORMATIFMenentukan kapan dikomunikasikan.
- NORMATIFMenentukan dengan siapa dikomunikasikan.
- NORMATIFMenentukan bagaimana mengomunikasikannya.
- PRAKTIK BAIKMenuangkannya sebagai matriks komunikasi agar keempat unsur terlihat lengkap per jenis komunikasi.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Matriks komunikasi | Kolom: apa · kapan · kepada siapa · melalui apa · penanggung jawab | Tidak eksplisit — tetapi cara termudah membuktikan |
| Komunikasi internal | Sosialisasi kebijakan, pengumuman perubahan, pelaporan kinerja SMKI | Wajib ditentukan |
| Komunikasi eksternal | Pemberitahuan ke pelanggan, regulator, atau pemasok bila diperlukan | Wajib ditentukan |
| Jalur pelaporan insiden | Cara karyawan melaporkan insiden keamanan informasi | Praktik baik yang hampir selalu ditanyakan |
Yang ditanyakan auditor
Auditor memeriksa apakah keempat unsur — apa, kapan, siapa, bagaimana — benar-benar ditentukan, bukan sekadar terjadi begitu saja.
“Bagaimana Anda mengomunikasikan hal-hal terkait keamanan informasi, dan kepada siapa?”
Mengapa ditanya: Menguji apakah komunikasi direncanakan atau kebetulan.
“Bagaimana karyawan melaporkan insiden keamanan informasi?”
Mengapa ditanya: Pertanyaan favorit — dan jawabannya harus sama dari PIC maupun karyawan biasa.
“Siapa yang berwenang berkomunikasi dengan pihak eksternal saat terjadi insiden?”
Mengapa ditanya: Komunikasi eksternal yang tidak diatur berisiko besar saat insiden nyata.
Kesalahan yang sering terjadi
Tidak ada yang ditentukan
Komunikasi terjadi secara alami, tetapi tidak pernah direncanakan — dan itu yang diminta standar.
Hanya internal
Komunikasi eksternal ke regulator, pelanggan, atau pemasok tidak dipertimbangkan.
Unsur 'kapan' kosong
Apa dan kepada siapa jelas, tetapi tidak ada frekuensi atau pemicunya.
Jalur pelaporan insiden tidak diketahui karyawan
Ada di dokumen, tetapi tidak sampai ke orang yang membutuhkannya.
7.5 Informasi terdokumentasi
Sub-klausa yang mengatur seluruh dokumen SMKI Anda — bukan hanya dokumen Klausa 7. Tiga tahap: menentukan apa yang perlu ada, membuatnya dengan benar, lalu mengendalikannya sepanjang umur pakai.
Apa yang diminta standar
persyaratan normatif
+ 1 catatan
Menentukan apa yang diperlukan
- Dokumen yang disyaratkan standarNORMATIF
SMKI harus mencakup informasi terdokumentasi yang disyaratkan oleh standar ini.
- Dokumen yang Anda tentukan sendiriNORMATIF
Serta informasi terdokumentasi yang ditentukan organisasi sebagai diperlukan bagi efektivitas SMKI.
- Keluasan bervariasiCATATAN
Keluasan informasi terdokumentasi dapat berbeda antar-organisasi karena ukuran dan jenis aktivitas, kompleksitas proses dan interaksinya, serta kompetensi orang.
Membuat dan memutakhirkan
- Identifikasi dan deskripsiNORMATIF
Saat membuat dan memutakhirkan, memastikan ketepatan identifikasi dan deskripsi — misalnya judul, tanggal, penulis, atau nomor acuan.
- Format dan mediaNORMATIF
Memastikan ketepatan format (bahasa, versi perangkat lunak, grafis) dan media (kertas, elektronik).
- Tinjauan dan persetujuanNORMATIF
Memastikan adanya tinjauan dan persetujuan untuk kecocokan dan kecukupan.
Mengendalikan
- Tersedia saat dibutuhkanNORMATIF
Dokumen harus tersedia dan cocok untuk digunakan, di mana dan kapan dibutuhkan.
- TerlindungiNORMATIF
Dokumen harus cukup terlindungi — misalnya dari hilangnya kerahasiaan, penggunaan yang tidak layak, atau hilangnya integritas.
- Distribusi dan aksesNORMATIF
Menangani distribusi, akses, pengambilan, dan penggunaan.
- Penyimpanan dan versiNORMATIF
Menangani penyimpanan dan preservasi termasuk keterbacaan, serta pengendalian perubahan seperti kontrol versi.
- Retensi dan pemusnahanNORMATIF
Menangani retensi dan disposisi. Dokumen dari sumber eksternal yang diperlukan bagi SMKI harus diidentifikasi dengan tepat dan dikendalikan.
Urutan ini adalah siklus hidup dokumen. Banyak organisasi kuat di tahap membuat dan lemah di tahap mengendalikan — dan justru tahap ketiga yang paling sering diperiksa auditor, karena di situlah dokumen kehilangan versi, bocor, atau tidak bisa ditemukan saat dibutuhkan.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Daftar induk dokumen | Seluruh dokumen SMKI + nomor + versi + pemilik + status | Tidak eksplisit — tetapi hampir mustahil membuktikan 7.5.3 tanpanya |
| Prosedur pengendalian dokumen | Aturan penomoran, tinjauan, persetujuan, distribusi, retensi | Praktik baik yang sangat kuat |
| Bukti kontrol versi | Riwayat versi pada dokumen yang berlaku | Wajib |
| Aturan retensi dan pemusnahan | Berapa lama disimpan, bagaimana dimusnahkan | Wajib ditentukan |
| Kendali dokumen eksternal | Identifikasi dokumen dari luar yang dipakai SMKI (standar, kontrak, regulasi) | Wajib |
Yang ditanyakan auditor
7.5 diuji dengan cara paling sederhana: auditor meminta satu dokumen, lalu memeriksa apakah versinya benar, siapa yang menyetujui, dan siapa saja yang bisa mengaksesnya.
“Tunjukkan versi terbaru kebijakan ini. Bagaimana Anda tahu ini yang berlaku?”
Mengapa ditanya: Menguji kontrol versi. Dua versi beredar bersamaan adalah temuan klasik.
“Siapa yang menyetujui dokumen ini, dan kapan?”
Mengapa ditanya: Butir tinjauan dan persetujuan pada 7.5.2.
“Siapa saja yang bisa mengakses dokumen ini, dan siapa yang bisa mengubahnya?”
Mengapa ditanya: Menguji butir distribusi dan akses — dan perlindungan kerahasiaan.
“Berapa lama dokumen ini disimpan, dan bagaimana dimusnahkan?”
Mengapa ditanya: Retensi dan disposisi, bagian yang paling sering tidak pernah ditentukan.
Kesalahan yang sering terjadi
Tidak ada daftar induk
Dokumen tersebar tanpa satu tempat yang menyatakan mana yang berlaku.
Versi ganda beredar
Karyawan memakai salinan lama yang sudah tidak berlaku.
Dokumen eksternal terlupa
Standar, kontrak, dan regulasi yang dipakai SMKI tidak pernah diidentifikasi atau dikendalikan.
Retensi tidak ditentukan
Dokumen disimpan selamanya, atau dihapus tanpa aturan — keduanya bermasalah.
Terlindungi tetapi tidak tersedia
Akses dikunci terlalu ketat sehingga orang yang membutuhkannya tidak bisa memakainya. Butir (a) dan (b) harus seimbang.
Checklist kesiapan
Daftar periksa cepat sebelum audit — bersifat panduan, tidak tersimpan.
- Kebutuhan sumber daya SMKI ditentukan secara sadar, mencakup orang dan waktu, bukan hanya anggaran.
- Ada matriks kompetensi yang mencantumkan kompetensi yang diperlukan per peran terkait keamanan informasi.
- Bukti kompetensi tersimpan untuk tiap peran — pendidikan, pelatihan, atau pengalaman.
- Efektivitas tindakan pemenuhan kompetensi dievaluasi, bukan sekadar dicatat kehadirannya.
- Program kepedulian menyampaikan ketiganya: kebijakan, kontribusi, dan implikasi ketidaksesuaian.
- Karyawan baru, kontraktor, dan pihak ketiga ikut menerima pembekalan.
- Karyawan acak dapat menyebutkan keberadaan kebijakan keamanan informasi dan cara melaporkan insiden.
- Kebutuhan komunikasi ditentukan lengkap: apa, kapan, dengan siapa, dan bagaimana — internal maupun eksternal.
- Ada daftar induk dokumen yang menyatakan versi berlaku dan pemiliknya.
- Setiap dokumen SMKI punya identifikasi, tanggal, dan bukti persetujuan.
- Aturan retensi dan pemusnahan dokumen ditentukan.
- Dokumen dari sumber eksternal diidentifikasi dan dikendalikan.