ISO 27001 Annex A Access Control Guide: Kendali Akses yang Dapat Diaudit

Ruang Lingkup dan Perubahan Struktur Annex A

ISO/IEC 27001:2022 mengubah Annex A secara mendasar. Dari 114 kendali dalam 14 domain pada versi 2013, kini menjadi 93 kendali yang dikelompokkan ke dalam empat tema: organisasi (37 kendali), manusia (8 kendali), fisik (34 kendali), dan teknologi (14 kendali). Kendali akses yang sebelumnya terkonsentrasi di klausul A.9 kini tersebar: kebijakan dan hak akses berada di tema organisasi (A.5.15–A.5.18), sedangkan mekanisme teknisnya berada di tema teknologi (A.8.2, A.8.3, A.8.5, A.8.24).

Bagi organisasi yang bertransisi dari ISO/IEC 27001:2013, pemetaan ulang ini menuntut penyesuaian Statement of Applicability (SoA) dan penataan ulang bukti audit. Panduan ISO 27001 annex a access control guide ini membantu tim kepatuhan menyusun kendali akses yang dapat diuji, bukan sekadar kumpulan kebijakan.

Perlu dicatat bahwa ISO/IEC 27002:2022 berperan sebagai panduan penerapan, bukan dokumen sertifikasi. Auditor menilai kepatuhan terhadap ISO/IEC 27001:2022, sementara ISO/IEC 27002:2022 dipakai untuk memilih cara implementasi yang proporsional dengan risiko.

Kendali Akses Inti di Tema Organisasi

Empat kendali di klausul 5 menjadi tulang punggung tata kelola akses.

A.5.15 sampai A.5.18 secara ringkas

• A.5.15 Kendali akses — menetapkan aturan akses berdasarkan kebutuhan bisnis dan keamanan informasi, mencakup prinsip need-to-know dan need-to-use.
• A.5.16 Manajemen identitas — mengelola siklus hidup identitas: pembuatan, perubahan, penonaktifan, hingga penghapusan, termasuk akun pihak ketiga dan akun layanan.
• A.5.17 Informasi otentikasi — mengatur alokasi dan pengelolaan kata sandi, token, serta kunci kriptografi, disertai kewajiban menjaga kerahasiaan.
• A.5.18 Hak akses — mengatur pemberian, peninjauan, dan pencabutan hak akses, dengan frekuensi peninjauan yang ditentukan oleh hasil penilaian risiko.

Setiap kendali memerlukan bukti berupa dokumen atau catatan. Klausul 7.5 mewajibkan pengendalian dokumentasi: identifikasi, format, tinjauan, persetujuan, dan retensi. Pola dokumentasi ini berlaku lintas standar; lihat panduan persyaratan dokumentasi ISO 9001 untuk kerangka yang dapat diadaptasi.

Mekanisme Teknis dan Pemisahan Tugas

Tema teknologi melengkapi kendali organisasi dengan pengamanan yang dapat diuji secara teknis.

• A.8.2 Hak akses istimewa — membatasi dan mengelola akun administrator, root, dan akun layanan berhak tinggi.
• A.8.3 Pembatasan akses informasi — membatasi akses ke informasi dan fungsi sistem sesuai kebijakan kendali akses.
• A.8.5 Otentikasi aman — menerapkan mekanisme otentikasi yang tahan terhadap penyalahgunaan, misalnya autentikasi multifaktor (MFA).
• A.8.24 Penggunaan kriptografi — menetapkan aturan penggunaan enkripsi dan pengelolaan kunci.

Kendali A.5.3 tentang pemisahan tugas (segregation of duties) melengkapi rangkaian ini dengan mencegah satu orang memegang kendali penuh atas satu proses kritikal. Dalam praktik, kombinasi A.5.3 dan A.8.2 paling sering menjadi temuan audit karena akun istimewa jarang ditinjau ulang.

Pola yang lazim diterapkan adalah akses istimewa berbasis waktu (just-in-time) melalui alat Privileged Access Management (PAM), sehingga hak administrator hanya aktif selama sesi kerja yang disetujui. Pendekatan ini memudahkan pembuktian karena setiap aktivasi akun tercatat lengkap dengan pemohon, penyetuju, dan durasi.

Bukti Audit dan Peninjauan Berkala

Auditor jarang puas dengan pernyataan "sudah diterapkan". Mereka meminta artefak konkret:

1. Matriks hak akses per peran dan per sistem.
2. Catatan peninjauan hak akses dengan tanggal, nama peninjau, dan keputusan.
3. Tiket provisioning dan de-provisioning, termasuk bukti pencabutan akses saat karyawan keluar.
4. Kebijakan kata sandi dan konfigurasi MFA pada sistem kritikal.
5. Log aktivitas akun istimewa beserta hasil tinjauannya.

Frekuensi peninjauan tidak ditetapkan secara kaku oleh standar. Umumnya organisasi memilih siklus 6 bulan untuk sistem kritikal dan 12 bulan untuk sistem pendukung, lalu menyesuaikannya dengan hasil penilaian risiko. Sertifikasi ISO/IEC 27001 berlaku tiga tahun dengan audit surveillance tahunan, sehingga bukti peninjauan harus tersedia setiap tahun.

Auditor juga melakukan pengambilan sampel. Jika populasi akun mencapai ratusan, siapkan populasi lengkap dan bukti bahwa sampel yang diuji mewakili seluruh siklus, bukan hanya akun yang kebetulan rapi. Format daftar periksa yang konsisten memudahkan proses ini; contohnya dapat dilihat pada daftar periksa persyaratan dokumentasi ISO 9001.

Menyelaraskan dengan Sistem Manajemen Lain

Banyak organisasi menjalankan beberapa standar sekaligus. Struktur Annex SL yang sama pada ISO 9001, ISO 14001, ISO 45001, dan ISO/IEC 27001 memungkinkan audit terintegrasi. Dokumentasi kendali akses dapat memakai kerangka identifikasi–tinjauan–retensi yang sama dengan register aspek lingkungan; lihat daftar periksa register aspek lingkungan ISO 14001 sebagai perbandingan struktur register.

Yang perlu dijaga adalah konsistensi rujukan klausul. Jangan mencampur penomoran A.9 (versi 2013) dengan A.5.15–A.5.18 (versi 2022) dalam satu dokumen. Jika organisasi masih memegang sertifikat ISO/IEC 27001:2013, pemetaan silang ke klausul 2022 sebaiknya disiapkan sebelum masa transisi berakhir.

Langkah Implementasi Praktis

Urutan berikut dapat dijalankan dalam satu siklus perencanaan:

1. Inventarisasi identitas dan akun. Data pengguna, akun layanan, akun pihak ketiga, dan akun istimewa.
2. Tetapkan aturan akses tertulis sesuai A.5.15, disetujui pemilik risiko.
3. Terapkan otentikasi aman (A.8.5) dan kebijakan kriptografi (A.8.24) pada sistem kritikal.
4. Jadwalkan peninjauan hak akses (A.5.18) dengan pemilik sistem sebagai penanggung jawab.
5. Simpan bukti dalam repositori terkendali dan perbarui SoA.
6. Uji kesiapan melalui audit internal sebelum audit sertifikasi.

Panduan ISO 27001 annex a access control guide ini menegaskan satu hal: kendali akses bukan proyek sekali jalan. Ia adalah siklus pemberian, peninjauan, dan pencabutan yang harus berjalan konsisten sepanjang siklus sertifikasi, dengan bukti yang selalu siap ditunjukkan kapan pun auditor memintanya.