Statement of Applicability (SoA) ISO 27001

Statement of Applicability (SoA) ISO 27001

Dalam penerapan ISO 27001, organisasi tidak hanya perlu memiliki kebijakan keamanan informasi, tetapi juga harus dapat menunjukkan kontrol keamanan yang diterapkan dan alasan pemilihannya. Salah satu dokumen penting yang menjelaskan hal tersebut adalah Statement of Applicability (SoA).

Statement of Applicability (SoA) merupakan dokumen yang menjelaskan kontrol keamanan informasi yang dipilih dan diterapkan organisasi berdasarkan hasil identifikasi serta analisis risiko. Dokumen ini juga menjadi salah satu hal yang dapat diperiksa auditor untuk memastikan kontrol keamanan telah ditentukan sesuai dengan kebutuhan dan risiko organisasi.

Apa Itu Statement of Applicability (SoA)?

Statement of Applicability (SoA) adalah dokumen yang menjelaskan kontrol keamanan informasi yang dipilih dan diterapkan organisasi berdasarkan hasil risk assessment serta persyaratan ISO 27001.

Dokumen ini menunjukkan kontrol mana yang diterapkan, tidak diterapkan, atau dikecualikan, beserta alasan yang mendasarinya. Dengan begitu, setiap keputusan terkait penerapan kontrol keamanan dapat dijelaskan dan disesuaikan dengan risiko serta kebutuhan organisasi.

Dalam ISO 27001:2022, Statement of Applicability mengacu pada kontrol keamanan yang terdapat pada Annex A, sehingga organisasi dapat memastikan bahwa seluruh risiko telah dipertimbangkan secara sistematis.

Mengapa SoA Penting dalam ISO 27001?

Beberapa alasan mengapa SoA penting antara lain:

• Menunjukkan kontrol keamanan yang dipilih berdasarkan hasil analisis risiko.
• Menjadi bukti bahwa organisasi telah mengevaluasi seluruh kontrol yang relevan dalam ISO 27001.
• Memudahkan auditor dalam menilai kesesuaian implementasi sistem manajemen keamanan informasi.
• Membantu organisasi memastikan bahwa seluruh kontrol keamanan telah terdokumentasi dengan baik.
• Menjadi dasar dalam proses pemantauan dan peningkatan berkelanjutan terhadap ISMS (Information Security Management System).

Tanpa SOA yang lengkap, organisasi akan kesulitan membuktikan bahwa kontrol keamanan yang diterapkan benar-benar didasarkan pada kebutuhan bisnis dan tingkat risiko yang dihadapi.

Hubungan SoA dengan Risk Assessment

Statement of Applicability tidak dapat disusun tanpa melalui proses risk assessment.

Pada tahap penilaian risiko, organisasi akan mengidentifikasi aset informasi, ancaman, kerentanan, serta dampak yang mungkin terjadi. Hasil analisis tersebut kemudian digunakan untuk menentukan kontrol keamanan yang paling sesuai dalam mengurangi risiko.

Dengan kata lain, alur implementasinya adalah sebagai berikut:

1. Identifikasi aset informasi.
2. Melakukan risk assessment.
3. Menentukan perlakuan risiko (risk treatment).
4. Memilih kontrol keamanan yang sesuai.
5. Mendokumentasikan kontrol tersebut ke dalam Statement of Applicability.

Oleh karena itu, SoA merupakan hasil akhir dari proses pengelolaan risiko yang telah dilakukan organisasi.

Isi Statement of Applicability

Meskipun formatnya dapat berbeda pada setiap organisasi, secara umum SOA memuat beberapa informasi berikut:

• Daftar kontrol keamanan berdasarkan Annex A ISO 27001.
• Status penerapan setiap kontrol (diterapkan atau tidak diterapkan).
• Alasan penerapan maupun pengecualian suatu kontrol.
• Referensi terhadap kebijakan, prosedur, atau dokumen pendukung lainnya.
• Penanggung jawab implementasi kontrol.
• Catatan tambahan apabila diperlukan.

Dokumen ini harus selalu diperbarui apabila terdapat perubahan risiko, perubahan proses bisnis, maupun perubahan persyaratan keamanan informasi.

Cara Menyusun SoA ISO 27001

Penyusunan Statement of Applicability sebaiknya dilakukan secara sistematis agar sesuai dengan persyaratan ISO 27001. Berikut langkah-langkah yang dapat dilakukan:

1. Melakukan Risk Assessment

Identifikasi seluruh risiko keamanan informasi yang dapat memengaruhi organisasi.

2. Menentukan Risk Treatment

Pilih strategi penanganan risiko, seperti mengurangi, menerima, menghindari, atau mengalihkan risiko.

3. Memilih Kontrol yang Relevan

Tentukan kontrol keamanan yang sesuai berdasarkan Annex A ISO 27001 dan kebutuhan organisasi.

4. Memberikan Justifikasi

Setiap kontrol yang diterapkan maupun tidak diterapkan harus memiliki alasan yang jelas dan terdokumentasi.

5. Meninjau dan Memperbarui Secara Berkala

Statement of Applicability bukan dokumen sekali jadi. Organisasi perlu melakukan peninjauan secara berkala agar tetap sesuai dengan kondisi bisnis dan ancaman keamanan informasi yang terus berkembang.

Kesalahan Umum Saat Membuat SoA

Masih banyak organisasi yang melakukan kesalahan dalam menyusun Statement of Applicability, sehingga dapat menjadi temuan saat audit sertifikasi.

Beberapa kesalahan yang sering terjadi antara lain:

• Menyalin template tanpa menyesuaikan kondisi organisasi.
• Tidak menghubungkan SoA dengan hasil risk assessment.
• Tidak memberikan alasan atas kontrol yang tidak diterapkan.
• Tidak memperbarui dokumen setelah terjadi perubahan proses bisnis.
• Referensi dokumen pendukung tidak lengkap atau sudah tidak berlaku.

Kesalahan-kesalahan tersebut dapat mengurangi efektivitas implementasi ISMS sekaligus memengaruhi hasil audit ISO 27001.

Tips Menyiapkan SoA untuk Audit Sertifikasi

Agar Statement of Applicability siap diperiksa auditor, organisasi dapat menerapkan beberapa langkah berikut:

• Pastikan seluruh kontrol yang dipilih memiliki dasar dari hasil risk assessment.
• Lengkapi setiap kontrol dengan referensi kebijakan atau prosedur yang relevan.
• Perbarui SoA setiap kali terdapat perubahan risiko atau kontrol keamanan.
• Libatkan tim keamanan informasi dan pemilik proses dalam proses penyusunan.
• Lakukan internal audit untuk memastikan isi Statement of Applicability telah sesuai dengan implementasi di lapangan.

Dengan persiapan yang baik, SoA tidak hanya membantu memenuhi persyaratan ISO 27001, tetapi juga menjadi bukti bahwa organisasi telah menerapkan sistem manajemen keamanan informasi secara efektif.

Kesimpulan

Statement of Applicability (SoA) merupakan salah satu dokumen penting dalam implementasi ISO 27001 karena menghubungkan hasil risk assessment dengan kontrol keamanan informasi yang dipilih dan diterapkan organisasi. Melalui SoA, organisasi dapat menjelaskan alasan pemilihan setiap kontrol berdasarkan hasil analisis risiko.

Selain mendukung proses sertifikasi, SoA juga membantu organisasi menjaga penerapan kontrol keamanan secara konsisten dan memudahkan proses audit. Karena itu, SoA perlu disusun dengan baik, diperbarui secara berkala, serta disesuaikan dengan perubahan risiko dan kebutuhan organisasi.

Penyusunan Statement of Applicability (SoA) memerlukan pemahaman yang baik terhadap hasil risk assessment, pemilihan kontrol keamanan, serta persyaratan ISO 27001. Kesalahan dalam menyusun dokumen ini dapat menjadi temuan saat proses audit sertifikasi.

MSI Consulting menyediakan Training ISO 27001, pendampingan implementasi, serta konsultasi sertifikasi untuk membantu organisasi membangun Information Security Management System (ISMS) yang sesuai standar internasional.

Hubungi Kami

Online Marketing:
Aas: 0812-9709-1643 (WhatsApp)
Email: info.msi.consulting@gmail.com
Website: www.msi-consulting.co.id

Instagram : msiconsulting.co.id
Facebook: msiconsulting.co.id