Dinas Komunikasi dan Informatika Kabupaten Badung · Bidang Layanan e-Government ISO/IEC 27001:2022 · ISO 19011:2018 · 10–11 November 2026
Logo Diskominfo Kabupaten Badung Audit Internal ISO 27001 Diskominfo Badung
Rangkuman materi

Konsep audit ISO/IEC 27001:2022

Ringkasan Pertemuan 1 dan 2 — dari klausul 4–10, Annex A, prinsip ISO 19011, proses audit lima tahap, teknik pengumpulan bukti, sampai cara menulis dan mengklasifikasikan temuan.

7 klausul wajib 93 kontrol · 4 tema 7 prinsip audit 5 tahap proses audit

ISO/IEC 27001:2022 dalam angka

7
klausul wajib (4–10)
93
kontrol Annex A
4
tema kontrol
11
kontrol baru
Fokus pelatihan: klausul 9.2 Audit Internal, yaitu fase Check dalam siklus PDCA.

Klausul 4–10 mengikuti siklus PDCA

PLAN · Klausul 4–7
Konteks & pihak berkepentingan (4), kepemimpinan & kebijakan (5), risiko, SoA, sasaran (6), sumber daya & dokumen (7).
DO · Klausul 8
Perencanaan dan kendali operasional; penilaian risiko berkala; penanganan risiko dijalankan.
CHECK · Klausul 9
Pemantauan & pengukuran (9.1), audit internal (9.2), tinjauan manajemen (9.3).
ACT · Klausul 10
Ketidaksesuaian dan tindakan korektif; perbaikan berkelanjutan.

Annex A: 93 kontrol dalam 4 tema

TemaJumlahCakupan
A.5 Organisasi37Kebijakan, peran, manajemen akses, pemasok, insiden
A.6 Manusia8Screening, kesadaran, tanggung jawab, kerja jarak jauh
A.7 Fisik14Perimeter, area aman, perangkat, clear desk
A.8 Teknologi34Hak istimewa, kriptografi, backup, logging, secure coding

11 kontrol baru yang wajib diperiksa auditor

A.5.7 Threat intelligence A.5.23 Layanan cloud A.5.30 Kesiapan TIK A.7.4 Pemantauan fisik A.8.9 Manajemen konfigurasi A.8.10 Penghapusan informasi A.8.11 Data masking A.8.12 DLP A.8.16 Aktivitas pemantauan A.8.23 Web filtering A.8.28 Secure coding
Tips auditor: minta bukti penerapan, bukan hanya prosedur.

7 prinsip audit (ISO 19011)

1. Integritas
Jujur, tekun, bertanggung jawab
2. Penyajian adil
Temuan dan laporan benar serta akurat
3. Kecermatan profesional
Berhati-hati dan menilai dengan kompeten
4. Kerahasiaan
Melindungi informasi auditee
5. Independensi
Imparsial; tidak mengaudit pekerjaan sendiri
6. Berbasis bukti
Kesimpulan dari bukti yang dapat diverifikasi
7. Berbasis risiko
Fokus pada hal paling signifikan

Proses audit dalam 5 tahap

Inisiasi

Tetapkan tujuan, ruang lingkup, dan tim audit.

Persiapan

Susun rencana audit, kriteria, dan jadwal.

Pelaksanaan

Opening meeting, kumpulkan bukti, evaluasi, closing meeting.

Pelaporan

Terbitkan laporan audit kepada pimpinan terkait.

Tindak lanjut

Verifikasi tindakan korektif dan efektivitasnya.

Rekam hasil tiap tahap sebagai informasi terdokumentasi (klausul 9.2.2).

Empat cara mengumpulkan bukti

Wawancara
Tanyakan “bagaimana” dan minta “tunjukkan”.
Observasi
Lihat praktik langsung: ruang server, clear desk, akses.
Tinjauan dokumen
Kebijakan, SoA, rekaman, log, notulen, laporan insiden.
Uji teknis & sampling
Konfigurasi, daftar akses, sampel acak representatif.

Bukti yang baik: relevan, cukup (sampel mewakili populasi), dan dapat diverifikasi (sumber, tanggal, pemilik).

Klasifikasi dan struktur temuan

Mayor
Kegagalan sistemik atau persyaratan tidak dipenuhi sama sekali; berdampak pada hasil SMKI.
Minor
Kelalaian sebagian atau kasus terisolasi; tidak mengurangi kemampuan SMKI mencapai hasil.
Observasi
Potensi risiko atau peluang perbaikan; bukan ketidaksesuaian.
UnsurIsi
KriteriaPersyaratan yang dilanggar: klausul ISO, kebijakan, atau regulasi.
KondisiApa yang ditemukan: fakta, bukan opini.
BuktiDokumen, rekaman, nama dan jabatan, tanggal, sampel.
DampakRisiko atau konsekuensi bagi SMKI.
Contoh. Kriteria: klausul 9.2. Kondisi: dari 12 unit dalam program audit 2026, baru 5 unit diaudit. Bukti: PAI 2026 rev.1, 5 laporan audit, konfirmasi Manajer SMKI. Dampak: kelemahan kontrol di 7 unit berisiko tidak terdeteksi.

Studi kasus: PT Nusantara Digital Pay

PT Nusantara Digital Pay adalah penyedia aplikasi pembayaran digital fiktif dengan infrastruktur di layanan cloud. SMKI sudah berjalan 2 tahun dan kini diaudit internal untuk pertama kali oleh tim auditor internal yang baru dibentuk.

KasusKlausul/kontrolSoal
Audit internal tidak terlaksana sesuai program Klausul 9.2 4
Akun karyawan resign masih aktif A.5.18 · A.8.2 4
Backup berjalan, tetapi restore belum pernah diuji A.8.13 4

Pembahasan tiap soal muncul setelah peserta mengirim jawaban, lengkap dengan rujukan slide.