Menilai kontrol keamanan dengan NIST SP 800-53 dan 800-53A
Peta kontrol menjelaskan apa yang perlu dilakukan. Penilaian memeriksa apakah pengamanan itu bekerja pada sistem, kondisi dan sampel yang disebutkan. Simpan bukti serta batas kesimpulannya.
Di halaman ini
Apa yang dinilai?
NIST SP 800-53 memuat katalog kontrol keamanan dan privasi; SP 800-53A menyediakan cara menilainya. Kontrol adalah aturan, proses atau pengaturan untuk mencapai tujuan pengamanan. Kedua publikasi dapat membantu tim Indonesia, tetapi penggunaannya tidak otomatis menjadi kewajiban hukum, sertifikasi NIST atau bukti semua sistem aman.
Halaman penerbit mencatat release 5.2.0 untuk keduanya. Catat versi sumber, ID kontrol dan bagian tujuan yang dipilih. Nomor AC-3 pada katalog tampil sebagai AC-03 pada prosedur penilaian PDF Rev. 5. Jangan menganggap contoh satu kontrol sebagai penilaian seluruh katalog atau baseline.
Baca alur NIST RMF untuk keputusan penggunaan sistem. Halaman ini berfokus pada rencana, pelaksanaan dan catatan hasil satu penilaian.
Tetapkan pertanyaan dan batasnya
Mulai dari peta persyaratan dan kontrol. Pilih tujuan yang bisa diperiksa, bukan pertanyaan luas seperti “apakah keamanan sudah baik?”.
Sebagai contoh, tim ingin mengetahui apakah pengguna biasa dapat mengunduh laporan milik tim lain. Tuliskan aplikasi, versi, lingkungan, jenis akun, jalur ekspor dan periode yang akan diperiksa. Sebutkan bagian yang belum dicakup, seperti aplikasi lama atau akses operator vendor.
Sepakati penanggung jawab, pemeriksa dan izin pengujian. Gunakan akun serta laporan buatan pada lingkungan yang diizinkan. Jangan mengubah hak akses pelanggan atau menjalankan pengujian pada sistem pihak lain tanpa kewenangan.
Pilih metode yang menghasilkan bukti
SP 800-53A membedakan examine (memeriksa objek/bukti), interview (wawancara) dan test (menguji perilaku). Pemilihannya mengikuti tujuan serta kedalaman dan cakupan penilaian. Tidak setiap tujuan harus memakai ketiganya.
Contoh rancangan Kompli untuk sebagian tujuan akses AC-3:
| Metode | Pekerjaan yang direncanakan |
|---|---|
| Pemeriksaan | Cocokkan matriks izin yang disetujui dengan konfigurasi dan jalur aplikasi yang dipakai. |
| Wawancara | Tanyakan kepada pemilik layanan siapa menyetujui perubahan izin dan bagaimana akses salah diketahui. |
| Pengujian | Pakai akun buatan untuk mencoba laporan sendiri, laporan tim lain dan akun yang dinonaktifkan. |
Wawancara “semua sudah dibatasi” tidak menggantikan hasil uji. Sebaliknya, satu respons ditolak belum membuktikan seluruh API, ekspor dan jalur unduhan memakai pengaturan yang sama.
Catat sampel sebelum menyimpulkan hasil
Tuliskan seluruh kelompok yang relevan, misalnya peran pengguna, jenis laporan dan jalur akses. Dari sana, jelaskan kasus yang dipilih dan alasan pilihannya. Jika tim hanya memeriksa panel web, hasilnya jangan ditulis mencakup API.
Tidak ada jumlah sampel universal yang ditetapkan halaman ini. Luas pemeriksaan bergantung pada tujuan, risiko, variasi sistem dan kebutuhan pihak yang memakai hasilnya. Perubahan aplikasi dapat memerlukan sampel baru.
Contoh hasil: panel menolak, ekspor masih terbuka
Skenario fiktif, bukan hasil audit layanan nyata. Tim menilai aplikasi laporan demo versi 1.0 dengan dua kelompok dan akun buatan. Matriks izin menyebut pengguna hanya boleh membaca laporan kelompoknya.
| Kasus | Hasil contoh dan kesimpulan terbatas |
|---|---|
| Pengguna A membuka laporan A | Diizinkan sesuai matriks. |
| Pengguna A membuka laporan B melalui panel | Ditolak. |
| Pengguna A meminta ekspor laporan B melalui API | Diizinkan; tujuan pembatasan belum terpenuhi pada jalur ekspor. |
| Akun dinonaktifkan mencoba membaca laporan | Belum diuji; tidak boleh dihitung berhasil. |
NIST memakai hasil satisfied dan other than satisfied untuk pernyataan penilaian. Bukti yang tidak cukup juga dapat menghasilkan kategori kedua. Status kerja “belum diuji” di tabel adalah penanda Kompli, bukan kategori hasil resmi tambahan.
Pisahkan bukti dari dugaan. Akses ekspor yang salah tidak dengan sendirinya membuktikan telah terjadi kebocoran. Catat respons, kondisi uji, referensi bukti dan bagian tujuan yang belum terpenuhi.
Perbaiki, uji ulang, dan simpan batas kesimpulan
Tetapkan pemilik perbaikan pada jalur ekspor, target kerja dan kasus uji ulang. Setelah perubahan, periksa penolakan lintas kelompok sekaligus akses yang sah. Simpan hasil baru sebagai versi lanjutan; jangan menghapus temuan awal.
Gunakan catatan penilaian kontrol untuk rencana dan hasil. Temuan yang memerlukan pekerjaan lanjutan masuk ke tindak lanjut temuan audit. Kesimpulan akhirnya menyebut kontrol, versi, sampel dan keterbatasan, bukan persentase “patuh NIST” dari beberapa centang.
Sumber rujukan
- NIST SP 800-53 Rev. 5 — naskah katalog ↗NIST; AC-3 Access Enforcement pada PDF Rev. 5, bukan baseline lengkap · AC-3 pada PDF Rev. 5: sebagian tujuan penegakan izin; contoh tidak menilai semua kontrol atau enhancement.
- NIST SP 800-53 Rev. 5 — katalog dan catatan release ↗NIST CSRC; release 5.2.0 tercatat pada pemeriksaan · Identitas Rev. 5 dan catatan release 5.2.0; bukan kewajiban umum Indonesia.
- NIST SP 800-53A Rev. 5 — penilaian kontrol ↗NIST CSRC; metode dan catatan release 5.2.0 · Identitas dan perubahan release 5.2.0; pilih prosedur sesuai versi kontrol.
- NIST SP 800-53A Rev. 5 — Assessing Security and Privacy Controls ↗NIST; metode penilaian kontrol, bukan hukum Indonesia · Bagian 2.4, 3.1–3.4 dan prosedur AC-03: metode, rencana, hasil serta tindak lanjut; contoh Kompli hanya sebagian tujuan akses.
Baca naskah lengkap untuk melihat syarat dan pengecualiannya. Sesuaikan dengan layanan dan bidang usaha Anda.
Perlu membahas kebutuhan tim Anda?
Ceritakan standar atau bukti yang diminta pelanggan dan kesiapan tim Anda saat ini.
Konsultasikan kebutuhan Anda