Statement of Applicability ISO/IEC 27001:2022

Statement of Applicability (SoA) adalah informasi terdokumentasi yang digunakan organisasi untuk mencatat kontrol keamanan informasi yang diperlukan, alasan kontrol tersebut diperlukan, status penerapannya, serta alasan apabila suatu kontrol referensi Annex A dinilai tidak diperlukan.

SoA menjadi penghubung antara proses penilaian risiko dengan kontrol keamanan informasi yang benar-benar diterapkan organisasi. Secara sederhana:

Risk Assessment → Risk Treatment → Necessary → Controls Annex A → Statement of Applicability → Implementation

Statement of Applicability atau SoA menjelaskan kontrol keamanan informasi yang dibutuhkan organisasi dalam ruang lingkup Information Security Management System (ISMS).

ISO/IEC 27001 mengharuskan organisasi menentukan kontrol yang diperlukan untuk menangani risiko keamanan informasi, kemudian membandingkannya dengan kontrol referensi dalam Annex A untuk memastikan tidak ada kontrol penting yang terlewat.

Karena itu, SoA bukan sekadar daftar 93 kontrol Annex A yang diberi tanda “Ya” atau “Tidak”. SoA harus mencerminkan kondisi nyata organisasi.

SoA membantu organisasi menjawab beberapa pertanyaan dasar:

• Kontrol keamanan apa yang diperlukan?
• Mengapa kontrol tersebut diperlukan
• Apakah kontrol sudah diterapkan?
• Mengapa kontrol Annex A tertentu tidak diperlukan?
• Bagaimana kontrol organisasi dipetakan terhadap Annex A?

Menurut panduan ISO/IEC 27001 Auditing Practices Group, Annex A digunakan sebagai Reference Set of Controls, sedangkan SoA menjadi tempat untuk mendokumentasikan seluruh necessary controls organisasi.

Statement of Applicability sebaiknya tidak dibuat sebelum organisasi memahami risikonya.

Prosesnya dimulai dari Information Security Risk Assesssment. Contoh:

• Risiko: Pihak yang tidak berwenang memperoleh akses ke sistem.
• Risk Treatment: Mengurangi Risiko
• Necessary Controls: Authentication, Access Restriction, Privileged access management dan logging.
• Annex A Comparation: Kontrol dibandingkan dengan kontrol referensi Annex A.
• Statement of Applicability: Kontrol, alasan dan status implementasi dicatat.

Dengan cara ini, SoA mempunyai dasar yang dapat dijelaskan kepada auditor. Pelajari lebih lanjut terkait Risk Assessment ISO/IEC 27001

Annex A berfungsi sebagai kumpulan referensi kontrol.

Organisasi terlebih dahulu menentukan Necessary Controls berdasarkan risiko dan kebutuhan organisasi. Setelah itu necessary controls dibandingkan dengan Annex A untuk memastikan tidak ada kontrol yang semestinya diperlukan tetapi terlewat.

ISO/IEC 27001:2022 Annex A terdiri dari empat kelompok kontrol:

• Organizational Controls;
• People Controls;
• Physical Controls;
• Technological Controls.

Pelajari lebih lanjut terkait Kontral Annex A