Catatan penilaian kontrol keamanan

Gunakan setelah tujuan kontrol ditentukan

Worksheet ini menampung rencana dan hasil penilaian. Baca cara menilai kontrol dengan NIST sebelum mengisinya. Format Kompli ini bukan formulir resmi NIST, checklist semua kontrol atau laporan audit sertifikasi.

Peta bukti audit menjelaskan hubungan kebutuhan, kontrol dan lokasi bukti. Catatan ini menambahkan pertanyaan pemeriksaan, metode, sampel, hasil dan uji ulang. Gunakan ID penghubung agar keduanya tidak menjadi dua salinan inventaris.

Contoh terisi: izin ekspor laporan

Contoh fiktif untuk sebagian tujuan akses, bukan pelaksanaan audit nyata atau penilaian seluruh AC-3.

Bagian	Isian contoh
Rujukan	PEN-01; NIST SP 800-53 Rev. 5 AC-3 dan prosedur AC-03 pada 800-53A; matriks izin internal v1.
Tujuan	Pengguna kelompok A tidak boleh membaca atau mengekspor laporan kelompok B.
Lingkup	Aplikasi demo v1.0; panel dan API ekspor; akun serta laporan buatan; lingkungan uji yang diizinkan.
Metode	Cocokkan matriks/config; wawancara pemilik; uji akses yang sah dan lintas kelompok.
Sampel	Dua kelompok, satu laporan masing-masing; jalur panel dan ekspor. Akun dinonaktifkan belum diuji.
Bukti	Panel menolak lintas kelompok, API mengizinkan; referensi log uji DEMO-01 dan DEMO-02.
Hasil	Pembatasan belum terpenuhi pada API. Tidak menyimpulkan kebocoran nyata atau semua jalur gagal.
Tindakan	Pemilik API memperbaiki izin, menguji akses sah/terlarang dan menambahkan kasus akun dinonaktifkan.

ID bukti di atas adalah penanda latihan, bukan tautan ke log nyata. Lembar unduhan tidak memuat baris contoh ini.

Pisahkan hasil dari status pekerjaan

“Menunggu uji” berarti pemeriksaan belum selesai. Jangan mengubahnya menjadi “memenuhi” karena prosedur tersedia. Jika memakai kategori hasil NIST, perhatikan bahwa informasi yang tidak cukup juga dapat menghasilkan other than satisfied; jelaskan alasannya.

Simpan temuan awal dan hasil uji ulang sebagai versi yang terhubung. Perbaikan pada satu jalur belum menjawab jalur yang tidak diuji. Pengambil keputusan perlu mengetahui batas ini ketika menilai risiko tersisa.

Periksa sebelum dibagikan

Pastikan sumber dan versi jelas, bukti dapat dibuka pemeriksa berwenang, serta kesimpulan sesuai kasus yang dicakup. Samarkan data yang tidak dibutuhkan; jangan menghapus konteks yang menentukan hasil.

Simpan catatan terisi dengan akses terbatas. Untuk tindakan yang belum selesai, lanjutkan ke panduan tindak lanjut temuan. Unduhan publik hanya struktur kosong, bukan bukti kepatuhan.