Apa itu Statement of Applicability dan bagaimana menyiapkannya?

Apa fungsi SoA?

Statement of Applicability (SoA), sering disebut pernyataan penerapan, menjelaskan pilihan pengamanan, alasannya, dan keadaan penerapannya. Dalam sistem manajemen keamanan informasi (SMKI), catatan ini membantu pembaca menelusuri hubungan risiko dengan kontrol yang dipilih.

Kontrol berarti langkah pengamanan: aturan, proses, atau pengaturan teknis. SoA berbeda dari daftar risiko yang mencatat skenario dan keputusan penanganan, serta berbeda dari folder bukti yang menyimpan hasil pelaksanaan.

Panduan pemerintah Australia menjelaskan hubungan tersebut dalam program RFFR. Itu rujukan konsep, bukan aturan Indonesia atau naskah ISO 27001:2022. Format di sini adalah bantuan orisinal; kelengkapan dokumen untuk kesesuaian tetap diperiksa terhadap standar yang digunakan tim.

Siapkan rujukan sebelum mengisi

Gunakan lingkup SMKI, hasil penilaian risiko, kebutuhan kontrak/hukum yang relevan, dan naskah standar yang diperoleh secara sah. Catat edisi rujukan agar nomor kontrol tidak tercampur dengan edisi lain.

Lembar kosong Kompli tidak memuat daftar Annex A. Pembaca perlu mengisi referensi kontrol dari sumber yang berhak digunakan. Jangan menganggap beberapa baris latihan di bawah sebagai SoA lengkap atau daftar semua persyaratan.

Hubungkan keputusan dengan keadaan layanan

Mulai dari pertanyaan yang bisa ditelusuri: risiko atau kebutuhan mana yang hendak ditangani? Jelaskan alasan penerapan, pelaksanaan, status serta bukti pendukung. Untuk keputusan tidak berlaku, tulis kondisi lingkup yang mendasarinya dan siapa yang memeriksa alasan tersebut.

Pisahkan berlaku dari sudah diterapkan. Kontrol yang diperlukan tetapi belum berjalan tetap merupakan pekerjaan terbuka. Biaya atau kesulitan penerapan tidak dengan sendirinya membuat kebutuhan pengamanan hilang.

Contoh satu catatan kerja

Contoh fiktif aplikasi penggajian. K-01 adalah ID latihan internal, bukan nomor atau teks kontrol Annex A.

Bagian	Isi contoh
ID dan rujukan	K-01; pengamanan pencabutan akses pegawai keluar. Referensi standar perlu dipetakan tim dari naskah yang digunakan.
Alasan	Risiko R-01: akses lama masih dapat membuka data gaji.
Keputusan	Diperlukan untuk aplikasi dan akun dukungan yang masuk lingkup.
Pelaksanaan	HR memberi pemberitahuan; IT mencabut akun/sesi; pemilik aplikasi memeriksa hasil.
Status	Proses dijalankan pada aplikasi utama; satu akun integrasi masih dalam pemeriksaan.
Bukti	Tiket dan hasil uji penolakan; bukti lengkap disimpan di lokasi terkendali.
Pemilik	Pemilik aplikasi; perubahan status ditinjau setelah pemeriksaan akun integrasi.

Catatan ini tidak boleh diringkas menjadi “selesai” selama bagian yang disebut masih terbuka. ID bersama memungkinkan pembaca menelusuri R-01 → K-01 → bukti, tanpa menyalin seluruh bukti ke SoA.

Bagaimana menulis alasan tidak berlaku?

Hindari alasan seperti “belum dibuat” atau “vendor mengurusnya” tanpa memeriksa lingkup dan tanggung jawab. Pemakaian cloud, misalnya, tetap dapat menyisakan pekerjaan pengelolaan akun, konfigurasi, dan pemeriksaan penyedia pada organisasi.

Untuk latihan, bayangkan proses arsip kertas yang tidak ada dalam layanan penggajian fiktif. Tim mencatat fakta tidak adanya proses itu, lalu memeriksa apakah ada dokumen kertas pada dukungan atau kegiatan lain dalam lingkup. Ini latihan menulis alasan, bukan keputusan mengecualikan suatu kontrol Annex A.

Jaga satu versi yang dapat ditelusuri

Catat versi, tanggal, lingkup, pemilik, dan pemeriksa dokumen. Perbarui keputusan ketika risiko, kebutuhan atau penerapan berubah. Tautan bukti harus menunjukkan sistem/periode yang dimaksud; tangkapan layar tanpa konteks sering tidak menjawab pertanyaan.

Bagikan sesuai kebutuhan pemeriksa. Jangan menaruh kredensial, data gaji, atau rincian kelemahan terbuka pada dokumen publik. Gunakan peta bukti audit untuk mengatur versi yang aman dibagikan.

Mulai dengan lembar SoA, lalu periksa penerapan pada audit internal.

Contoh tambahan: diterapkan sebagian tetap perlu dijelaskan

Skenario fiktif: K-01 diterapkan pada panel aplikasi penggajian, tetapi API ekspor baru belum masuk pemeriksaan izin. Pertahankan alasan bahwa pengamanan diperlukan; ubah catatan pelaksanaan agar pembaca mengetahui bagian yang sudah dan belum diperiksa.

Hubungkan R-01 ke K-01, catatan penilaian PEN-01 dan temuan API yang masih terbuka. Setelah perbaikan, simpan versi aplikasi serta hasil uji ulang sebagai bukti baru. Jangan mengganti seluruh status menjadi selesai hanya karena tiket pengembang ditutup.

Tabel ini tetap memakai ID latihan internal, bukan pemetaan Annex A. Catatan penilaian kontrol menyimpan metode dan hasil; SoA mempertahankan keputusan penerapan serta referensinya. Cocokkan kelengkapan SoA dengan naskah standar yang sah digunakan tim.