Ketiganya mewajibkan informasi terdokumentasi: bukti hasil pemantauan dan pengukuran (9.1), bukti pelaksanaan program audit beserta hasilnya (9.2), dan bukti hasil tinjauan manajemen (9.3). Ketiganya saling memberi makan — hasil 9.1 dan 9.2 menjadi masukan wajib bagi 9.3.
9.1 Pemantauan, pengukuran, analisis, dan evaluasi
Enam hal yang harus ditentukan, dan tiga di antaranya soal siapa dan kapan. Banyak organisasi menentukan apa yang diukur, lalu berhenti di situ — padahal tanpa penanggung jawab dan jadwal, pengukuran tidak pernah terjadi.
Apa yang diminta standar
- NORMATIFMenentukan apa yang perlu dipantau dan diukur, termasuk proses dan kontrol keamanan informasi.
- NORMATIFMenentukan metode pemantauan, pengukuran, analisis, dan evaluasi yang memastikan hasil yang valid. Metode yang dipilih sebaiknya memberikan hasil yang dapat dibandingkan dan direproduksi agar dapat dianggap valid.
- NORMATIFMenentukan kapan pemantauan dan pengukuran dilakukan.
- NORMATIFMenentukan siapa yang melakukan pemantauan dan pengukuran.
- NORMATIFMenentukan kapan hasilnya dianalisis dan dievaluasi.
- NORMATIFMenentukan siapa yang menganalisis dan mengevaluasi hasil tersebut.
- NORMATIFMenyediakan informasi terdokumentasi sebagai bukti hasil tersebut.
- NORMATIFMengevaluasi kinerja keamanan informasi dan efektivitas SMKI.
- PRAKTIK BAIKMenautkan tiap metrik ke sasaran keamanan informasi (6.2) atau kontrol tertentu, agar terlihat mengapa hal itu diukur.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Rencana pengukuran | Daftar metrik + metode + frekuensi + pengukur + penganalisis | Wajib ditentukan |
| Hasil pengukuran | Catatan berkala bernilai nyata, bertanggal | Ya — normatif |
| Analisis dan evaluasi | Kesimpulan atas hasil, bukan sekadar angka mentah | Ya — normatif |
| Evaluasi efektivitas SMKI | Penilaian menyeluruh apakah SMKI bekerja, bukan hanya apakah kontrol berjalan | Wajib |
Yang ditanyakan auditor
Perbedaan antara mengukur dan mengevaluasi adalah tempat paling banyak temuan di 9.1. Angka tanpa kesimpulan belum memenuhi butir evaluasi.
“Apa saja yang Anda ukur, dan mengapa hal itu yang dipilih?”
Mengapa ditanya: Metrik yang tidak terhubung ke sasaran maupun kontrol akan dipertanyakan relevansinya.
“Siapa yang mengukur, dan siapa yang menganalisis hasilnya?”
Mengapa ditanya: Butir (d) dan (f) sering diisi orang yang sama tanpa disadari — itu boleh, tetapi harus ditentukan.
“Angka ini menunjukkan apa? Apa kesimpulan Anda?”
Mengapa ditanya: Menguji butir analisis dan evaluasi. Dashboard penuh angka tanpa kesimpulan adalah temuan umum.
“Bagaimana Anda menyimpulkan SMKI ini efektif?”
Mengapa ditanya: Butir terakhir — evaluasi efektivitas SMKI secara keseluruhan, bukan per kontrol.
Kesalahan yang sering terjadi
Mengukur tanpa mengevaluasi
Data terkumpul rapi, tetapi tidak ada yang menyimpulkan artinya.
Metrik tidak terhubung ke apa pun
Diukur karena mudah diukur, bukan karena penting.
Penanggung jawab tidak ditentukan
Pengukuran bergantung inisiatif, sehingga berhenti saat orangnya sibuk.
Metode tidak konsisten
Cara menghitung berubah antar-periode, sehingga hasil tidak dapat dibandingkan.
9.2 Audit internal
Bukan hanya menjalankan audit, tetapi memiliki program audit. Dan satu kata yang menentukan segalanya: objektivitas — auditor tidak boleh mengaudit pekerjaannya sendiri.
Apa yang diminta standar
- NORMATIFMelakukan audit internal pada interval yang direncanakan untuk menyediakan informasi apakah SMKI sesuai dengan persyaratan organisasi sendiri dan persyaratan standar ini.
- NORMATIFSerta apakah SMKI diterapkan dan dipelihara secara efektif.
- NORMATIFMerencanakan, menetapkan, menerapkan, dan memelihara program audit yang mencakup frekuensi, metode, tanggung jawab, persyaratan perencanaan, dan pelaporan.
- NORMATIFMempertimbangkan pentingnya proses yang bersangkutan dan hasil audit sebelumnya saat menetapkan program audit.
- NORMATIFMendefinisikan kriteria audit dan ruang lingkup untuk setiap audit.
- NORMATIFMemilih auditor dan melaksanakan audit yang menjamin objektivitas dan imparsialitas proses audit.
- NORMATIFMemastikan hasil audit dilaporkan kepada manajemen yang relevan.
- NORMATIFMenyediakan informasi terdokumentasi sebagai bukti pelaksanaan program audit dan hasil audit.
- PRAKTIK BAIKMembekali auditor internal dengan pelatihan audit, sehingga kompetensinya dapat dibuktikan saat diminta (bertemu 7.2).
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Program audit internal | Rencana tahunan: apa diaudit, kapan, oleh siapa, dengan metode apa | Ya — normatif |
| Rencana audit per pelaksanaan | Kriteria dan ruang lingkup tiap audit | Wajib |
| Laporan audit | Temuan, ketidaksesuaian, observasi, kesimpulan | Ya — normatif |
| Bukti pelaporan ke manajemen | Notulen atau tanda terima laporan | Wajib |
| Bukti kompetensi auditor | Sertifikat atau catatan pelatihan audit | Via 7.2 |
| Bukti independensi | Penugasan yang menunjukkan auditor tidak mengaudit area kerjanya sendiri | Wajib |
Yang ditanyakan auditor
Auditor eksternal memeriksa audit internal Anda dengan standar yang sama seperti ia memeriksa dirinya sendiri: apakah objektif, terencana, dan berbasis bukti.
“Tunjukkan program audit internal Anda. Bagaimana Anda menentukan area mana yang diaudit dan kapan?”
Mengapa ditanya: Butir pertimbangan pentingnya proses dan hasil audit sebelumnya.
“Siapa yang mengaudit area ini, dan apa pekerjaan sehari-harinya?”
Mengapa ditanya: Menguji objektivitas. Auditor yang mengaudit unitnya sendiri adalah temuan langsung.
“Audit ini tidak menemukan satu pun ketidaksesuaian. Bagaimana Anda meyakinkan saya bahwa audit ini sungguh-sungguh?”
Mengapa ditanya: Audit tanpa temuan sama sekali justru mencurigakan.
“Kepada siapa hasil audit dilaporkan, dan apa tindak lanjutnya?”
Mengapa ditanya: Butir pelaporan ke manajemen relevan, yang sering berhenti di laci.
Kesalahan yang sering terjadi
Mengaudit pekerjaan sendiri
PIC SMKI mengaudit dokumen yang ia susun sendiri — pelanggaran objektivitas yang paling umum.
Audit tanpa program
Audit dilakukan sekali menjelang sertifikasi, tanpa rencana yang menyeluruh dan berulang.
Semua area diaudit dengan bobot sama
Tidak mempertimbangkan pentingnya proses maupun hasil audit sebelumnya.
Laporan tidak sampai ke manajemen
Temuan ada, tetapi tidak pernah dilaporkan secara resmi sehingga tidak ada tindak lanjut.
Nol temuan
Audit yang tidak pernah menemukan apa pun menandakan audit formalitas, bukan audit sungguhan.
9.3 Tinjauan manajemen
Rapat yang tidak bisa diwakilkan. Manajemen puncak harus meninjau SMKI sendiri, dengan tujuh masukan wajib yang harus benar-benar dibahas — dan menghasilkan keputusan, bukan sekadar notulen.
Apa yang diminta standar
persyaratan normatif
Menetapkan tinjauan
- Interval terencanaNORMATIF
Manajemen puncak harus meninjau SMKI organisasi pada interval yang direncanakan untuk memastikan kecocokan, kecukupan, dan efektivitasnya yang berkelanjutan.
Membahas tujuh masukan wajib
- Tindakan tinjauan sebelumnyaNORMATIF
Membahas status tindakan dari tinjauan manajemen sebelumnya.
- Perubahan isu 4.1NORMATIF
Membahas perubahan isu eksternal dan internal yang relevan dengan SMKI.
- Perubahan pihak berkepentinganNORMATIF
Membahas perubahan kebutuhan dan harapan pihak berkepentingan yang relevan dengan SMKI.
- Umpan balik kinerjaNORMATIF
Membahas umpan balik kinerja keamanan informasi, termasuk tren dalam ketidaksesuaian dan tindakan korektif, hasil pemantauan dan pengukuran, hasil audit, serta pemenuhan sasaran keamanan informasi.
- Umpan balik pihak berkepentinganNORMATIF
Membahas umpan balik dari pihak berkepentingan.
- Hasil asesmen & status RTPNORMATIF
Membahas hasil asesmen risiko dan status rencana penanganan risiko.
- Peluang peningkatanNORMATIF
Membahas peluang untuk peningkatan berkelanjutan.
Menghasilkan keputusan
- Keputusan peningkatanNORMATIF
Hasil tinjauan harus mencakup keputusan yang berkaitan dengan peluang peningkatan berkelanjutan.
- Keputusan perubahan SMKINORMATIF
Serta keputusan atas setiap kebutuhan perubahan terhadap SMKI.
- Simpan buktinyaNORMATIF
Menyimpan informasi terdokumentasi sebagai bukti hasil tinjauan manajemen.
Tujuh masukan di tengah bersifat wajib seluruhnya — bukan daftar pilihan. Notulen yang hanya membahas sebagian akan dinilai belum memenuhi, dan inilah bentuk temuan 9.3 yang paling sering muncul.
Keluaran & bukti
| Bentuk bukti | Contoh nyata | Wajib terdokumentasi |
|---|---|---|
| Jadwal tinjauan manajemen | Interval yang direncanakan beserta dasarnya | Wajib ditentukan |
| Materi tinjauan | Paparan yang memuat ketujuh masukan wajib | Wajib |
| Notulen tinjauan | Pembahasan tiap masukan, bukan hanya daftar hadir | Ya — normatif |
| Daftar keputusan | Keputusan peningkatan dan perubahan SMKI, dengan penanggung jawab dan tenggat | Ya — normatif |
| Bukti kehadiran manajemen puncak | Daftar hadir yang menunjukkan pimpinan benar-benar hadir | Wajib |
Yang ditanyakan auditor
Auditor membuka notulen tinjauan manajemen lalu mencari ketujuh masukan satu per satu. Yang tidak terbahas menjadi temuan.
“Kapan tinjauan manajemen terakhir, dan siapa saja yang hadir?”
Mengapa ditanya: Menguji interval dan keterlibatan manajemen puncak. Tinjauan tanpa pimpinan tidak memenuhi.
“Tunjukkan di notulen bagian yang membahas hasil asesmen risiko dan status rencana penanganan.”
Mengapa ditanya: Salah satu masukan wajib yang paling sering hilang.
“Apa keputusan yang dihasilkan tinjauan ini, dan bagaimana tindak lanjutnya?”
Mengapa ditanya: Butir hasil tinjauan. Notulen tanpa keputusan berarti tinjauan belum menghasilkan apa pun.
“Tindakan dari tinjauan sebelumnya — apa statusnya sekarang?”
Mengapa ditanya: Butir pertama masukan, yang menguji apakah tinjauan berupa siklus atau kejadian terpisah.
Kesalahan yang sering terjadi
Diwakilkan ke tim teknis
Standar menyebut manajemen puncak; tinjauan tanpa pimpinan tidak memenuhi persyaratan.
Masukan tidak lengkap
Notulen membahas empat atau lima dari tujuh masukan wajib.
Notulen tanpa keputusan
Berisi ringkasan pembahasan, tetapi tidak ada keputusan, penanggung jawab, maupun tenggat.
Tindakan sebelumnya tidak ditinjau
Tiap tinjauan dimulai dari nol, sehingga tidak ada kesinambungan.
Digabung ke rapat lain tanpa jejak
Dibahas sekilas dalam rapat direksi rutin, tetapi tidak ada agenda maupun notulen khusus SMKI.
Checklist kesiapan
Daftar periksa cepat sebelum audit — bersifat panduan, tidak tersimpan.
- Metrik yang dipantau ditentukan lengkap: apa, metode, kapan diukur, siapa mengukur, kapan dievaluasi, siapa mengevaluasi.
- Hasil pengukuran punya kesimpulan, bukan sekadar angka.
- Ada penilaian menyeluruh apakah SMKI efektif, bukan hanya per kontrol.
- Ada program audit internal, bukan hanya satu audit menjelang sertifikasi.
- Program audit mempertimbangkan pentingnya proses dan hasil audit sebelumnya.
- Auditor internal tidak mengaudit area kerjanya sendiri.
- Kompetensi auditor internal dapat dibuktikan.
- Hasil audit dilaporkan secara resmi kepada manajemen yang relevan.
- Tinjauan manajemen dihadiri manajemen puncak, pada interval yang direncanakan.
- Notulen tinjauan membahas ketujuh masukan wajib, seluruhnya.
- Tinjauan menghasilkan keputusan dengan penanggung jawab dan tenggat.
- Status tindakan dari tinjauan sebelumnya ditinjau di tinjauan berikutnya.