Statement of Applicability (SoA) ISO 27001

Statement of Applicability (SoA) ISO 27001

Dalam penerapan ISO 27001, organisasi tidak hanya dituntut memiliki kebijakan keamanan informasi, tetapi juga mampu menunjukkan bagaimana setiap kontrol keamanan dipilih dan diterapkan. Salah satu dokumen yang berperan penting dalam proses tersebut adalah Statement of Applicability (SoA).

Statement of Applicability menjadi acuan yang menjelaskan kontrol keamanan informasi yang diterapkan oleh organisasi berdasarkan hasil identifikasi dan analisis risiko. Dokumen ini juga menjadi salah satu bukti utama yang akan ditinjau auditor saat proses sertifikasi ISO 27001 berlangsung.

Lalu, apa sebenarnya Statement of Applicability dan mengapa keberadaannya sangat penting dalam sistem manajemen keamanan informasi?

Apa Itu Statement of Applicability (SoA)?

Statement of Applicability (SoA) adalah dokumen yang menjelaskan daftar kontrol keamanan informasi yang dipilih oleh organisasi berdasarkan hasil risk assessment sesuai persyaratan ISO 27001.

Dokumen ini berfungsi untuk menunjukkan apakah suatu kontrol keamanan diterapkan, tidak diterapkan, atau dikecualikan beserta alasan yang mendasarinya. Dengan demikian, setiap keputusan mengenai penerapan kontrol keamanan dapat dipertanggungjawabkan dan selaras dengan tingkat risiko yang dimiliki organisasi.

Dalam ISO 27001:2022, Statement of Applicability mengacu pada kontrol keamanan yang terdapat pada Annex A, sehingga organisasi dapat memastikan bahwa seluruh risiko telah dipertimbangkan secara sistematis.

Mengapa SoA Penting dalam ISO 27001?

Beberapa alasan mengapa SoA penting antara lain:

• Menunjukkan kontrol keamanan yang dipilih berdasarkan hasil analisis risiko.
• Menjadi bukti bahwa organisasi telah mengevaluasi seluruh kontrol yang relevan dalam ISO 27001.
• Memudahkan auditor dalam menilai kesesuaian implementasi sistem manajemen keamanan informasi.
• Membantu organisasi memastikan bahwa seluruh kontrol keamanan telah terdokumentasi dengan baik.
• Menjadi dasar dalam proses pemantauan dan peningkatan berkelanjutan terhadap ISMS (Information Security Management System).

Tanpa Statement of Applicability yang lengkap, organisasi akan kesulitan membuktikan bahwa kontrol keamanan yang diterapkan benar-benar didasarkan pada kebutuhan bisnis dan tingkat risiko yang dihadapi.

Hubungan SoA dengan Risk Assessment

Statement of Applicability tidak dapat disusun tanpa melalui proses risk assessment.

Pada tahap penilaian risiko, organisasi akan mengidentifikasi aset informasi, ancaman, kerentanan, serta dampak yang mungkin terjadi. Hasil analisis tersebut kemudian digunakan untuk menentukan kontrol keamanan yang paling sesuai dalam mengurangi risiko.

Dengan kata lain, alur implementasinya adalah sebagai berikut:

1. Identifikasi aset informasi.
2. Melakukan risk assessment.
3. Menentukan perlakuan risiko (risk treatment).
4. Memilih kontrol keamanan yang sesuai.
5. Mendokumentasikan kontrol tersebut ke dalam Statement of Applicability.

Oleh karena itu, SoA merupakan hasil akhir dari proses pengelolaan risiko yang telah dilakukan organisasi.

Isi Statement of Applicability

Meskipun formatnya dapat berbeda pada setiap organisasi, secara umum Statement of Applicability memuat beberapa informasi berikut:

• Daftar kontrol keamanan berdasarkan Annex A ISO 27001.
• Status penerapan setiap kontrol (diterapkan atau tidak diterapkan).
• Alasan penerapan maupun pengecualian suatu kontrol.
• Referensi terhadap kebijakan, prosedur, atau dokumen pendukung lainnya.
• Penanggung jawab implementasi kontrol.
• Catatan tambahan apabila diperlukan.

Dokumen ini harus selalu diperbarui apabila terdapat perubahan risiko, perubahan proses bisnis, maupun perubahan persyaratan keamanan informasi.

Cara Menyusun SoA ISO 27001

Penyusunan Statement of Applicability sebaiknya dilakukan secara sistematis agar sesuai dengan persyaratan ISO 27001. Berikut langkah-langkah yang dapat dilakukan:

1. Melakukan Risk Assessment

Identifikasi seluruh risiko keamanan informasi yang dapat memengaruhi organisasi.

2. Menentukan Risk Treatment

Pilih strategi penanganan risiko, seperti mengurangi, menerima, menghindari, atau mengalihkan risiko.

3. Memilih Kontrol yang Relevan

Tentukan kontrol keamanan yang sesuai berdasarkan Annex A ISO 27001 dan kebutuhan organisasi.

4. Memberikan Justifikasi

Setiap kontrol yang diterapkan maupun tidak diterapkan harus memiliki alasan yang jelas dan terdokumentasi.

5. Meninjau dan Memperbarui Secara Berkala

Statement of Applicability bukan dokumen sekali jadi. Organisasi perlu melakukan peninjauan secara berkala agar tetap sesuai dengan kondisi bisnis dan ancaman keamanan informasi yang terus berkembang.

Kesalahan Umum Saat Membuat SoA

Masih banyak organisasi yang melakukan kesalahan dalam menyusun Statement of Applicability, sehingga dapat menjadi temuan saat audit sertifikasi.

Beberapa kesalahan yang sering terjadi antara lain:

• Menyalin template tanpa menyesuaikan kondisi organisasi.
• Tidak menghubungkan SoA dengan hasil risk assessment.
• Tidak memberikan alasan atas kontrol yang tidak diterapkan.
• Tidak memperbarui dokumen setelah terjadi perubahan proses bisnis.
• Referensi dokumen pendukung tidak lengkap atau sudah tidak berlaku.

Kesalahan-kesalahan tersebut dapat mengurangi efektivitas implementasi ISMS sekaligus memengaruhi hasil audit ISO 27001.

Tips Menyiapkan SoA untuk Audit Sertifikasi

Agar Statement of Applicability siap diperiksa auditor, organisasi dapat menerapkan beberapa langkah berikut:

• Pastikan seluruh kontrol yang dipilih memiliki dasar dari hasil risk assessment.
• Lengkapi setiap kontrol dengan referensi kebijakan atau prosedur yang relevan.
• Perbarui SoA setiap kali terdapat perubahan risiko atau kontrol keamanan.
• Libatkan tim keamanan informasi dan pemilik proses dalam proses penyusunan.
• Lakukan internal audit untuk memastikan isi Statement of Applicability telah sesuai dengan implementasi di lapangan.

Dengan persiapan yang baik, SoA tidak hanya membantu memenuhi persyaratan ISO 27001, tetapi juga menjadi bukti bahwa organisasi telah menerapkan sistem manajemen keamanan informasi secara efektif.

Kesimpulan

Statement of Applicability merupakan salah satu dokumen terpenting dalam implementasi ISO 27001 karena menjadi penghubung antara hasil risk assessment dengan kontrol keamanan informasi yang diterapkan organisasi. Melalui dokumen ini, organisasi dapat menunjukkan bahwa setiap kontrol dipilih berdasarkan analisis risiko yang objektif dan terdokumentasi.

Selain mendukung proses sertifikasi, Statement of Applicability juga membantu organisasi menjaga konsistensi penerapan keamanan informasi, memudahkan proses audit, serta mendukung peningkatan berkelanjutan dalam sistem manajemen keamanan informasi. Oleh karena itu, penyusunan SoA sebaiknya dilakukan secara cermat, diperbarui secara berkala, dan disesuaikan dengan kebutuhan serta risiko yang dihadapi organisasi.

Penyusunan Statement of Applicability (SoA) memerlukan pemahaman yang baik terhadap hasil risk assessment, pemilihan kontrol keamanan, serta persyaratan ISO 27001. Kesalahan dalam menyusun dokumen ini dapat menjadi temuan saat proses audit sertifikasi.

MSI Consulting menyediakan Training ISO 27001, pendampingan implementasi, serta konsultasi sertifikasi untuk membantu organisasi membangun Information Security Management System (ISMS) yang sesuai standar internasional.

Hubungi Kami

Online Marketing:
Ahmad: 0812-9709-1643 (WhatsApp)
Email: info.msi.consulting@gmail.com
Website: www.msi-consulting.co.id

Instagram : msiconsulting.co.id
Facebook: msiconsulting.co.id