10 Checklist Audit Internal ISO/IEC 27001:2022 Terbaru untuk Menghindari Sanksi Keamanan Data
Audit internal sering kali baru terasa penting ketika jadwal audit sertifikasi sudah semakin dekat. Tim kemudian sibuk mencari dokumen, mengecek bukti backup, menanyakan status akses pengguna, sampai mencoba mengingat kapan terakhir kali evaluasi risiko dilakukan.
Padahal, audit internal seharusnya tidak menjadi pekerjaan dadakan. Dalam ISO/IEC 27001:2022, organisasi perlu menjalankan audit internal secara terencana untuk memperoleh informasi apakah ISMS telah memenuhi persyaratan organisasi dan standar serta diterapkan dan dipelihara secara efektif.
Karena itu, checklist audit internal ISO 27001 sebaiknya digunakan sebagai alat untuk menemukan celah sebelum celah tersebut ditemukan oleh auditor eksternal. Audit juga tidak hanya berbicara tentang dokumen keamanan, tetapi menyentuh proses, risiko, kontrol, bukti penerapan, dan tindak lanjut perbaikan.
Menariknya, ISO/IEC 27001:2022 bukan sekadar daftar kontrol teknis. Standar ini menggunakan pendekatan manajemen risiko, sehingga kontrol yang diterapkan harus memiliki kaitan dengan kebutuhan dan risiko organisasi.
10 Checklist Audit Internal ISO 27001 yang Perlu Diperiksa
Checklist yang baik membantu auditor internal bergerak secara sistematis. Namun, jangan memperlakukannya sebagai formulir centang semata karena setiap organisasi memiliki konteks dan risiko yang berbeda.
1. Periksa ruang lingkup ISMS
Mulailah dengan pertanyaan sederhana: “Apa sebenarnya yang masuk dalam scope?”
Periksa apakah ruang lingkup ISMS masih sesuai dengan kondisi perusahaan saat ini. Perubahan aplikasi, lokasi, layanan, struktur organisasi, penggunaan cloud, atau proses bisnis dapat membuat scope perlu ditinjau kembali.
Misalnya, perusahaan awalnya hanya memasukkan satu platform SaaS ke dalam ISMS. Setahun kemudian perusahaan menambah layanan baru yang menggunakan data pelanggan yang sama. Auditor internal perlu memastikan perubahan tersebut sudah dipertimbangkan.
2. Evaluasi kebijakan dan tujuan keamanan informasi
Kebijakan keamanan informasi jangan hanya tersimpan sebagai file PDF.
Periksa apakah kebijakan sudah ditetapkan, dikomunikasikan kepada pihak yang relevan, dipahami oleh karyawan, dan masih sesuai dengan arah organisasi.
Kemudian lihat tujuan keamanan informasi yang ditetapkan perusahaan. Apakah target tersebut dapat diukur dan apakah hasilnya benar-benar dipantau?
3. Tinjau risk assessment dan risk treatment
Ini salah satu bagian paling penting dalam audit internal.
Periksa apakah perusahaan sudah mengidentifikasi risiko informasi yang relevan, menilai risikonya dengan metode yang konsisten, dan menentukan perlakuan terhadap risiko tersebut.
Jangan lupa melihat apakah risk register masih aktual. Risiko yang dibuat dua tahun lalu belum tentu menggambarkan kondisi perusahaan hari ini.
4. Cocokkan Statement of Applicability
Statement of Applicability atau SoA perlu diperiksa bukan hanya keberadaannya, tetapi juga logikanya.
ISO/IEC 27001:2022 mengharuskan organisasi membandingkan kontrol yang ditentukan melalui proses risk treatment dengan kontrol dalam Annex A untuk memastikan tidak ada kontrol yang diperlukan terlewat. SoA juga perlu memuat justifikasi untuk kontrol yang dinyatakan applicable maupun alasan exclusion sesuai konteks organisasi.
Jadi, jangan menggunakan Annex A seperti checklist “semua harus dicentang”. ISO menjelaskan bahwa kontrol Annex A merupakan reference set dan kebutuhan kontrol tetap ditentukan berdasarkan risiko serta konteks organisasi.
5. Cek pengendalian akses pengguna
Akses yang diberikan kepada karyawan seharusnya sesuai dengan kebutuhan pekerjaannya.
Audit internal dapat memeriksa proses pemberian akses, perubahan hak akses, pencabutan akses ketika karyawan keluar, serta mekanisme review akses secara berkala.
Coba ambil beberapa sampel akun. Apakah orang tersebut masih membutuhkan semua akses yang dimilikinya?
Pertanyaan sederhana seperti ini terkadang menemukan masalah yang tidak terlihat dari dokumen kebijakan.
6. Periksa pengelolaan insiden keamanan informasi
Tidak semua perusahaan mengalami insiden besar, tetapi perusahaan tetap perlu memiliki proses untuk menangani kejadian keamanan informasi.
Periksa apakah prosedur pelaporan, klasifikasi, eskalasi, investigasi, dan penyelesaian insiden telah ditetapkan.
Jika perusahaan pernah mengalami insiden, jangan hanya memeriksa apakah tiketnya sudah ditutup. Lihat juga apakah organisasi mengambil pembelajaran dan melakukan perbaikan agar kejadian serupa tidak berulang.
7. Evaluasi backup dan pemulihan informasi
Backup sering dianggap sebagai aktivitas teknis biasa.
Dalam audit, pertanyaan yang lebih penting adalah apakah proses backup sesuai kebutuhan bisnis dan apakah data benar-benar dapat dipulihkan ketika dibutuhkan.
Periksa bukti pelaksanaan backup, monitoring kegagalan backup, pengelolaan media atau penyimpanan backup, serta hasil pengujian restore jika memang ditetapkan dalam proses organisasi.
Database yang “sudah dibackup” belum tentu berarti perusahaan siap menghadapi kehilangan data.
8. Periksa pengelolaan pihak ketiga
Vendor dapat menjadi bagian penting dari rantai keamanan informasi.
Cek bagaimana perusahaan memilih, mengevaluasi, memonitor, dan meninjau pemasok atau penyedia layanan yang memiliki akses terhadap informasi atau sistem perusahaan.
Misalnya, perusahaan menggunakan cloud service provider untuk menyimpan data pelanggan. Audit internal perlu melihat apakah risiko terkait layanan tersebut sudah dipertimbangkan dan apakah persyaratan keamanan yang relevan telah ditetapkan.
9. Periksa audit internal dan management review
Audit internal sendiri perlu dikelola sebagai sebuah proses, bukan kegiatan satu kali.
Periksa program audit, hasil audit, kompetensi auditor, independensi atau objektivitas proses audit, serta tindak lanjut temuan. ISO juga menempatkan audit internal dan management review sebagai bagian dari evaluasi kinerja ISMS.
Setelah itu, lihat apakah hasil audit benar-benar dibawa ke management review dan menghasilkan keputusan atau tindakan yang relevan.
10. Pastikan temuan memiliki corrective action
Audit yang menghasilkan daftar masalah tetapi tidak pernah diselesaikan belum memberikan manfaat maksimal.
Setiap ketidaksesuaian perlu ditangani secara sistematis. Perusahaan perlu memahami penyebabnya, menentukan tindakan korektif, menetapkan tanggung jawab, dan mengevaluasi apakah tindakan tersebut efektif.
Dalam dokumentasi ISO/IEC 27001:2022, informasi mengenai ketidaksesuaian, tindakan yang diambil, dan hasil tindakan korektif menjadi bagian dari informasi terdokumentasi yang relevan.
Cara Menggunakan Checklist Agar Audit Tidak Sekadar Formalitas
Checklist memang membantu, tetapi cara menggunakannya jauh lebih penting daripada jumlah pertanyaannya.
1. Jangan hanya mencari dokumen
Kesalahan umum adalah menganggap “dokumen tersedia” berarti “persyaratan sudah dipenuhi”.
Padahal auditor perlu melihat bukti objektif bahwa proses berjalan.
Jika kebijakan menyatakan akses pengguna direview setiap enam bulan, cari bukti review tersebut. Jika prosedur menyatakan insiden harus dicatat, periksa apakah catatan insiden tersedia dan ditangani sesuai proses.
2. Gunakan metode sampling
Tidak semua transaksi atau akun harus diperiksa satu per satu.
Auditor internal dapat mengambil sampel yang relevan dan menguji apakah proses berjalan sebagaimana mestinya. Misalnya, pilih beberapa akun karyawan yang baru bergabung, beberapa karyawan yang berpindah posisi, dan beberapa akun yang sudah ditutup.
Dari sampel tersebut, auditor dapat menemukan pola masalah yang mungkin terjadi dalam proses yang lebih luas.
3. Hubungkan temuan dengan risiko
Temuan audit sebaiknya tidak berhenti pada kalimat “prosedur belum diperbarui”.
Tanyakan mengapa hal tersebut penting.
Jika prosedur tidak diperbarui karena ada perubahan sistem, apakah ada risiko kontrol yang ikut tertinggal? Jika review akses terlambat, apakah ada kemungkinan seseorang mempertahankan hak akses yang sudah tidak dibutuhkan?
Dengan menghubungkan temuan dengan risiko, manajemen lebih mudah menentukan prioritas perbaikan.
FAQ Audit Internal ISO/IEC 27001:2022
1. Apa tujuan audit internal ISO 27001?
Tujuannya adalah memberikan informasi kepada organisasi mengenai kesesuaian dan efektivitas ISMS. Audit internal membantu perusahaan menemukan kelemahan sebelum menjadi masalah yang lebih besar atau muncul sebagai temuan dalam audit eksternal.
2. Apakah audit internal ISO 27001 wajib dilakukan?
Untuk organisasi yang menerapkan persyaratan ISO/IEC 27001:2022, audit internal merupakan bagian dari persyaratan evaluasi kinerja ISMS. Audit perlu direncanakan dengan mempertimbangkan pentingnya proses dan hasil audit sebelumnya.
3. Apakah auditor internal harus berasal dari departemen IT?
Tidak harus. Yang lebih penting adalah auditor memiliki kompetensi yang sesuai dan proses audit dilakukan secara objektif serta tidak menimbulkan konflik kepentingan. Untuk area teknis, auditor juga perlu memahami aspek yang relevan dengan ruang lingkup audit.
4. Apakah semua kontrol Annex A harus diterapkan?
Tidak otomatis. Kontrol ditentukan berdasarkan kebutuhan dan risiko organisasi. Annex A berfungsi sebagai reference set untuk membantu organisasi memastikan tidak ada kontrol yang diperlukan terlewat, bukan sebagai daftar yang wajib diterapkan seluruhnya tanpa mempertimbangkan konteks.
5. Apa bukti yang perlu disiapkan saat audit internal?
Bukti dapat berbeda sesuai scope dan proses organisasi. Contohnya risk assessment, risk treatment, SoA, catatan monitoring, bukti review akses, catatan insiden, hasil audit, management review, serta bukti tindakan korektif.
6. Apakah audit internal menjamin perusahaan lolos sertifikasi?
Tidak. Audit internal membantu menemukan dan memperbaiki kelemahan, tetapi hasil audit sertifikasi ditentukan berdasarkan proses penilaian oleh lembaga sertifikasi terhadap kriteria yang berlaku.
Kesimpulan
Menggunakan checklist audit internal ISO 27001 membantu perusahaan memeriksa ISMS secara lebih terstruktur, mulai dari scope, kebijakan, risk assessment, SoA, akses, insiden, backup, vendor, hingga corrective action.
Namun, checklist bukan tujuan akhirnya. Yang jauh lebih penting adalah memastikan setiap proses memiliki bukti penerapan dan benar-benar membantu perusahaan mengelola risiko keamanan informasi.
ISO/IEC 27001:2022 menggunakan pendekatan berbasis risiko, sehingga perusahaan tidak cukup hanya menunjukkan bahwa dokumen tersedia. Organisasi perlu mampu menjelaskan mengapa kontrol tertentu dibutuhkan, bagaimana kontrol diterapkan, dan bagaimana efektivitasnya dievaluasi.
Jadi, sebelum auditor eksternal datang, coba lakukan satu hal sederhana: audit sistem Anda seolah-olah Anda adalah orang yang belum pernah melihat proses perusahaan sebelumnya. Dari sana, biasanya celah yang selama ini dianggap kecil mulai terlihat.
Ingin mengurus sertifikasi ISO resmi tanpa ribet dan penuh kepastian?
Konsultasikan kebutuhan ISO perusahaan Anda sekarang dan dapatkan pendampingan profesional hingga sertifikat resmi terbit!
—
KONSULTASIKAN KEBUTUHAN ANDA,
HUBUNGI KAMI UNTUK INFORMASI & PEMESANAN
Website : PT Taf Multi Global
Telp kantor : +6282112139439
Google Maps : ANNEX BUILDING (Bina Sentra, MENARA BIDAKARA 2, Lantai 4) Kota Jakarta Selatan, Daerah Khusus Ibukota Jakarta 12870
