Ketiga sub-klausa mewajibkan informasi terdokumentasi: bukti bahwa proses berjalan sesuai rencana (8.1), hasil asesmen risiko (8.2), dan hasil penanganan risiko (8.3). Perhatikan kata 'hasil' — Klausa 6 meminta Anda mendokumentasikan PROSESNYA, Klausa 8 meminta HASIL dari menjalankan proses itu. Dua hal berbeda, dan auditor memeriksa keduanya.
8.1 Perencanaan dan pengendalian operasional
Empat kewajiban yang sering dibaca sekilas: menetapkan kriteria proses, mengendalikannya, mengelola perubahan, dan mengendalikan pihak eksternal. Butir terakhir itu yang paling sering terlupa — padahal di situlah risiko terbesar kebanyakan organisasi.
Apa yang diminta standar
- NORMATIFMerencanakan, menerapkan, dan mengendalikan proses yang dibutuhkan untuk memenuhi persyaratan dan menerapkan tindakan yang ditentukan dalam Klausa 6.
- NORMATIFMenetapkan kriteria untuk proses tersebut.
- NORMATIFMenerapkan pengendalian atas proses berdasarkan kriteria itu.
- NORMATIFMenyimpan informasi terdokumentasi sejauh yang diperlukan untuk memiliki keyakinan bahwa proses telah dilakukan seperti direncanakan.
- NORMATIFMengendalikan perubahan yang direncanakan, dan meninjau konsekuensi dari perubahan yang tidak diinginkan serta mengambil tindakan untuk memitigasi efek buruknya.
- NORMATIFMemastikan bahwa proses, produk, atau layanan yang disediakan pihak eksternal dan relevan terhadap SMKI telah dikendalikan.
- PRAKTIK BAIKMenautkan tiap proses operasional ke tindakan Klausa 6 yang melahirkannya, agar jejaknya terlihat saat audit.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Kriteria proses | Ambang, parameter, atau standar kerja per proses SMKI | Wajib ditentukan |
| Bukti proses berjalan | Log, tiket, checklist, catatan pelaksanaan, laporan berkala | Ya — normatif |
| Catatan pengendalian perubahan | Perubahan yang direncanakan, dampaknya, dan persetujuannya | Wajib |
| Tinjauan perubahan tak terduga | Catatan konsekuensi dan tindakan mitigasi | Wajib |
| Pengendalian pihak eksternal | Daftar penyedia yang relevan SMKI + bentuk pengendaliannya (kontrak, SLA, klausul keamanan, tinjauan berkala) | Wajib |
Yang ditanyakan auditor
8.1 adalah tempat auditor memeriksa apakah yang tertulis di Klausa 6 benar-benar terjadi. Pertanyaannya selalu meminta bukti, bukan penjelasan.
“Kontrol ini dinyatakan sudah diterapkan di SoA. Tunjukkan buktinya bulan lalu.”
Mengapa ditanya: Menguji butir dokumentasi keyakinan proses berjalan — bukti berkala, bukan sekali saat implementasi.
“Kriteria apa yang menentukan proses ini berjalan dengan benar?”
Mengapa ditanya: Butir kriteria proses. Tanpa kriteria, tidak ada dasar menyatakan proses terkendali.
“Layanan cloud dan pemasok TI Anda — bagaimana dikendalikan?”
Mengapa ditanya: Butir pihak eksternal, yang paling sering tidak disiapkan sama sekali.
“Ada perubahan sistem besar tahun ini. Bagaimana dampaknya terhadap keamanan informasi ditinjau?”
Mengapa ditanya: Menguji pengendalian perubahan.
Kesalahan yang sering terjadi
Bukti hanya dari masa implementasi
Log dan catatan berhenti setelah sertifikasi; auditor surveillance memeriksa periode berjalan.
Pihak eksternal tidak dikendalikan
Penyedia cloud, vendor TI, dan outsourcing yang menyentuh informasi tidak masuk cakupan pengendalian apa pun.
Kriteria proses tidak pernah ditetapkan
Proses berjalan berdasarkan kebiasaan, sehingga tidak ada dasar menilai apakah terkendali.
Perubahan tidak ditinjau dampaknya
Migrasi sistem atau perubahan vendor dijalankan tanpa meninjau ulang risiko dan kontrol.
8.2 Asesmen risiko keamanan informasi
Bukan pengulangan 6.1.2. Di 6.1.2 Anda mendefinisikan prosesnya; di sini Anda menjalankannya — secara berkala, dan setiap kali ada perubahan signifikan.
Apa yang diminta standar
- NORMATIFMelakukan asesmen risiko keamanan informasi pada interval yang direncanakan.
- NORMATIFMelakukan asesmen juga ketika perubahan signifikan diusulkan atau terjadi.
- NORMATIFMempertimbangkan kriteria yang ditetapkan dalam 6.1.2 huruf a saat melakukannya.
- NORMATIFMenyimpan informasi terdokumentasi berupa hasil asesmen risiko keamanan informasi.
- PRAKTIK BAIKMenetapkan lebih dulu apa yang dianggap "perubahan signifikan" bagi organisasi Anda, agar pemicunya tidak diperdebatkan saat audit.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Jadwal asesmen berkala | Interval yang direncanakan beserta dasar penetapannya | Wajib ditentukan |
| Hasil asesmen risiko | Register risiko bertanggal, terisi lengkap, dengan level dan prioritas | Ya — normatif |
| Riwayat asesmen | Bukti bahwa asesmen dilakukan lebih dari sekali, dengan hasil yang dapat dibandingkan | Wajib |
| Definisi perubahan signifikan | Kriteria yang memicu asesmen di luar jadwal | Praktik baik |
| Asesmen atas perubahan | Bukti asesmen yang dipicu perubahan nyata | Wajib bila ada perubahan |
Yang ditanyakan auditor
Uji paling tajam di 8.2 adalah membandingkan dua asesmen berturut-turut. Kalau hasilnya identik atau tanggalnya hanya diganti, itu terlihat.
“Kapan asesmen risiko terakhir dilakukan, dan kapan sebelumnya?”
Mengapa ditanya: Menguji butir interval terencana. Satu asesmen saja sejak sertifikasi adalah temuan.
“Apa yang Anda anggap perubahan signifikan, dan pernahkah memicu asesmen?”
Mengapa ditanya: Butir kedua. Organisasi yang mengalami migrasi besar tanpa asesmen ulang akan dipertanyakan.
“Bandingkan hasil asesmen tahun ini dengan tahun lalu. Apa yang berubah dan mengapa?”
Mengapa ditanya: Menguji apakah asesmen benar-benar dijalankan, bukan disalin.
Kesalahan yang sering terjadi
Menyalin isi 6.1.2
8.2 diisi dengan metodologi, padahal yang diminta adalah hasil menjalankannya.
Asesmen hanya sekali
Dilakukan menjelang sertifikasi, lalu tidak pernah diulang sampai audit berikutnya.
Perubahan signifikan tidak didefinisikan
Tidak ada yang tahu kapan asesmen di luar jadwal seharusnya dipicu.
Hasil tidak bertanggal
Register risiko tanpa tanggal pelaksanaan tidak bisa membuktikan interval apa pun.
8.3 Penanganan risiko keamanan informasi
Sub-klausa terpendek dalam standar — dua kalimat. Isinya sederhana: jalankan rencana penanganan risiko yang sudah Anda susun di 6.1.3, dan simpan hasilnya.
Apa yang diminta standar
- NORMATIFMenerapkan rencana penanganan risiko keamanan informasi.
- NORMATIFMenyimpan informasi terdokumentasi berupa hasil penanganan risiko keamanan informasi.
- PRAKTIK BAIKMemutakhirkan status tiap butir rencana penanganan beserta risiko residual setelah kontrol berjalan, sehingga hasilnya terlihat, bukan hanya rencananya.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Status pelaksanaan RTP | Tiap butir rencana dengan status, tanggal selesai, dan penanggung jawab | Ya — normatif |
| Bukti kontrol berjalan | Bukti nyata penerapan tiap kontrol yang dipilih | Wajib |
| Risiko residual terkini | Level risiko setelah kontrol diterapkan | Wajib |
| Tindak lanjut butir yang tertunda | Alasan keterlambatan dan rencana penyelesaian | Praktik baik |
Yang ditanyakan auditor
8.3 diuji dengan mencocokkan tiga dokumen: RTP, SoA, dan bukti di lapangan. Ketiganya harus bercerita hal yang sama.
“Rencana penanganan risiko ini tenggatnya enam bulan lalu. Apa statusnya sekarang?”
Mengapa ditanya: Menguji penerapan nyata. Rencana yang tidak pernah dijalankan adalah temuan langsung.
“SoA menyatakan kontrol ini diterapkan, dan RTP menugaskannya ke unit ini. Tunjukkan buktinya.”
Mengapa ditanya: Mencocokkan tiga sumber sekaligus.
“Setelah kontrol berjalan, berapa risiko residualnya sekarang?”
Mengapa ditanya: Menguji apakah hasil penanganan benar-benar dinilai ulang, bukan berhenti di rencana.
Kesalahan yang sering terjadi
Rencana ada, pelaksanaan tidak
RTP tersusun rapi tetapi tidak ada bukti satu pun butir dijalankan.
Status tidak pernah dimutakhirkan
Seluruh butir masih berstatus rencana padahal sebagian sudah selesai.
Risiko residual tidak dinilai ulang
Kontrol diterapkan, tetapi level risiko setelahnya tidak pernah dihitung.
RTP dan SoA tidak sinkron
Kontrol yang dinyatakan diterapkan di SoA tidak muncul di rencana penanganan, atau sebaliknya.
Checklist kesiapan
Daftar periksa cepat sebelum audit — bersifat panduan, tidak tersimpan.
- Kriteria untuk tiap proses SMKI ditetapkan, bukan dijalankan berdasarkan kebiasaan.
- Ada bukti berkala bahwa proses berjalan sesuai rencana — bukan hanya bukti dari masa implementasi.
- Perubahan yang direncanakan dikendalikan, dan perubahan tak terduga ditinjau konsekuensinya.
- Penyedia eksternal yang relevan terhadap SMKI teridentifikasi dan dikendalikan.
- Asesmen risiko dijalankan pada interval yang direncanakan, dan hasilnya bertanggal.
- Definisi "perubahan signifikan" ditetapkan sebagai pemicu asesmen di luar jadwal.
- Hasil asesmen tahun ini dapat dibandingkan dengan tahun sebelumnya.
- Rencana penanganan risiko benar-benar dijalankan, dengan status per butir yang mutakhir.
- Risiko residual dinilai ulang setelah kontrol diterapkan.
- RTP, SoA, dan bukti di lapangan menceritakan hal yang sama.