Satu record, semua framework: menjalankan ISO 27001, ISO 27701, dan SOC 2 tanpa register ganda

Di mana framework saling tumpang tindih?

Sebagian besar pekerjaannya sama, hanya ditulis dengan istilah berbeda. Dalam istilah SOC 2, register berikut memikul sebagian besar Common Criteria:

• Register risiko: penilaian dan penanganan risiko ISO 27001; SOC 2 CC3.1 sampai CC3.4 dan CC9.1.
• Register supplier: hubungan dengan supplier di ISO 27001; SOC 2 CC9.2; dan di ISO 27701, register prosesor PII.
• Register insiden: manajemen insiden ISO 27001; SOC 2 CC7.3 sampai CC7.5.
• Kebijakan dan dokumen: informasi terdokumentasi ISO 27001; SOC 2 CC1.1, CC2.2, CC5.2, dan CC5.3.
• Access review: kendali akses ISO 27001; SOC 2 CC6.1 sampai CC6.3.
• Register perubahan: manajemen perubahan ISO 27001; SOC 2 CC8.1.

Apa masalahnya jika salinannya terpisah?

Saat setiap framework punya spreadsheet sendiri, salinannya mulai berbeda. Supplier dinilai ulang untuk SOC 2 tetapi tidak untuk ISO 27001. Risiko ditutup di satu register dan masih terbuka di register lain. Auditor menemukan selisihnya, dan temuan itu tentang record Anda, bukan kontrol Anda.

Salinan terpisah juga melipatgandakan kerja tinjauan. Setiap tinjauan kuartalan, persetujuan, dan pengingat terjadi tiga kali, oleh orang yang seharusnya bisa menutup celah.

Apa yang tetap butuh record sendiri?

Berbagi register tidak menyatukan framework. Masing-masing tetap butuh artefak yang diminta auditornya: Statement of Applicability ISO 27001, PIMS Statement of Applicability untuk ISO 27701, serta untuk SOC 2 system description, control matrix, pengujian Type II, dan exception. Maturitas Essential Eight dinilai dengan kriterianya sendiri, strategi demi strategi, sehingga ia berdampingan dengan register, bukan di dalamnya.

Cara beralih ke satu set register

• Pilih framework dengan record paling ketat untuk tiap register, biasanya ISO 27001 untuk risiko dan supplier, lalu jadikan itu induknya.
• Gabungkan duplikat secara manual sekali saja. Tentukan salinan mana yang benar, catat alasannya, lalu pensiunkan yang lain.
• Tandai setiap record dengan klausul dan kriteria yang dibuktikannya, agar setiap auditor bisa menyaring ke tampilannya sendiri.
• Beri setiap register satu pemilik dan satu siklus tinjauan.

Posisi Whitesec One

Whitesec One dibangun di atas gagasan ini. Setiap framework punya workspace sendiri yang disusun seperti standarnya, sementara risiko, supplier, insiden, kebijakan, access review, perubahan, dan bukti tersimpan di satu set register yang dipetakan ISO 27001, ISO 27701, dan SOC 2 ke klausul dan kriterianya masing-masing. Workspace Essential Eight menyimpan asesmen maturitas, patch register, dan bukti di sampingnya. Whitesec ID di Jakarta dan Whitesec AU di Perth memakainya bersama klien yang mereka dampingi.