Template daftar risiko keamanan informasi

Cara menulis risiko yang bisa ditindaklanjuti

Mulai dari inventaris aset. Tulis satu skenario per catatan: apa yang bisa terjadi, mengapa bisa terjadi, serta dampaknya. “Keamanan kurang” terlalu umum; “akun admin lama masih aktif dan dapat membuka pesanan pelanggan” memberi petunjuk tindakan.

Periksa kontrol bersama pemilik sistem. Bedakan konfigurasi yang sudah diuji dari kebijakan yang baru tertulis. Jika buktinya belum ada, catat ketidakpastian itu saat menentukan prioritas.

Contoh terisi: akun lama masih aktif

Contoh fiktif; penetapan prioritas ini hanya berlaku pada keadaan yang dijelaskan.

Kolom	Isian contoh
Risiko dan aset	RSK-001; AST-001 aplikasi pesanan.
Skenario	Akun pegawai yang sudah keluar masih aktif karena aplikasi tidak terhubung ke proses penutupan akun kerja.
Dampak	Pesanan dapat diubah dan alamat pelanggan dapat dilihat tanpa kebutuhan kerja.
Kontrol saat ini	MFA aktif, tetapi akun belum dinonaktifkan; bukti pemeriksaan akses ada pada tiket AKS-017.
Prioritas	Tinggi: akses masih tersedia dan dapat membuka data pelanggan. Riwayat penggunaan akun belum selesai diperiksa.
Tindakan	IT menutup akses yang sudah tidak berwenang, memeriksa sesi dan log, lalu menghubungkan aplikasi ke prosedur pegawai keluar.
Pemilik dan target	Pemilik operasional menyetujui penutupan hari itu; IT melaksanakan dan melaporkan hasil.
Status dan risiko tersisa	Penutupan diperiksa; log masih ditelaah. Perubahan prosedur belum selesai, sehingga risiko belum dinyatakan tuntas.

Menentukan prioritas tanpa skor semu

Tim dapat memakai kategori rendah, sedang, dan tinggi bila artinya disepakati. Tuliskan alasan dan bukti di balik kategori tersebut. Risiko dengan ketidakpastian besar mungkin memerlukan pemeriksaan awal sebelum keputusan akhir.

Jangan menjumlahkan semua baris menjadi persentase “kepatuhan”. Daftar ini adalah alat keputusan, bukan sertifikasi atau pengganti penilaian yang diwajibkan pada situasi tertentu.

Kapan catatan boleh ditutup?

Selesainya tiket teknis belum selalu berarti risiko hilang. Periksa hasil tindakan, catat risiko yang masih tersisa, dan minta pemilik keputusan menyetujui langkah berikutnya. Jika risiko diterima, tulis alasan serta waktu peninjauannya. Masukkan tindak lanjut ke jadwal pemeriksaan.

Jika kejadian sudah berlangsung, buka catatan insiden sesuai prosedur tim; jangan hanya menyimpannya sebagai risiko masa depan.