Pelatihan Risk Assessment ISO 27001: Kuasai Alur Logis RA -> RTP -> SoA

Stuck di Klausul 6.1 (Perencanaan)? Anda tidak salah. Penilaian Risiko (Risk Assessment / RA) adalah bagian paling krusial, paling teknis, dan paling sering menyebabkan kegagalan audit ISO 27001.

Auditor eksternal selalu menemukan gap fatal di sini: alur logis antara Risk Assessment Report (RAR), Risk Treatment Plan (RTP), dan Statement of Applicability (SoA) terputus.

Banyak tim teknis membuat SoA hanya dengan mencentang 93 kontrol Annex A tanpa justifikasi. Ini adalah kesalahan fatal. Pelatihan teknis ini dirancang untuk “menjahit” ketiga dokumen tersebut menjadi satu alur yang logis dan siap diaudit.

Mengapa Kegagalan Alur RA -> RTP -> SoA Sangat Fatal?

ISO 27001 adalah standar berbasis risiko. Inti dari standar ini bukan menerapkan 93 kontrol Annex A, tetapi mengidentifikasi risiko Anda (RA), lalu memutuskan cara menanganinya (RTP), dan menggunakan Annex A sebagai menu kontrol untuk justifikasi (SoA).

Kegagalan alur ini berakibat:

1. Temuan Major Non-Conformity (NC) Otomatis: Auditor akan langsung memberi temuan Major jika justifikasi kontrol di SoA (Klausul 6.1.3.d) tidak dapat ditelusuri kembali ke hasil risk treatment (RTP) (Klausul 6.1.3.c), yang bersumber dari risk assessment (RA) (Klausul 6.1.2). Ini otomatis menggagalkan sertifikasi Anda.
2. Pemborosan Sumber Daya: Tanpa RA yang baik, Anda mungkin menerapkan kontrol yang mahal (misal: DLP) padahal risikonya rendah, sementara mengabaikan risiko tinggi yang kontrolnya murah.
3. Gagal Mendapat Buy-In Manajemen: Anda tidak bisa meminta Risk Appetite (Pain Point #6) dari manajemen puncak jika Anda tidak bisa menyajikan data risiko (risk register) yang jelas dan terukur.

Mekanisme Solusi Pelatihan Risk Assessment ISO 27001: Metodologi Teknis Sesuai ISO 27005

Kami tidak mengajar teori filosofis. Ini adalah workshop teknis yang mengacu pada standar panduan ISO/IEC 27005:2022 (Guidance on managing information security risks).

Kami mengajarkan alur logis yang sistematis:

1. Tahap 1: Identifikasi Aset & Konteks (Menjawab “Mulai dari mana?”)
   • Workshop mengidentifikasi Aset Informasi (server, data, SDM) dan menilainya (Valuasi Aset berdasarkan C-I-A: Confidentiality, Integrity, Availability).
2. Tahap 2: Proses Penilaian Risiko (RA)
   • Workshop mengidentifikasi Threats (Ancaman) dan Vulnerabilities (Kerentanan) untuk tiap aset.
   • Memilih metodologi (Kualitatif/Kuantitatif) dan menilai risiko (Likelihood x Impact) untuk menghasilkan Risk Register.
3. Tahap 3: Proses Perlakuan Risiko (RTP)
   • Mempresentasikan risiko ke manajemen untuk menentukan Risk Appetite.
   • Memilih 4 opsi treatment: Treat, Tolerate (Accept), Transfer, Terminate (Avoid).
   • Menyusun Risk Treatment Plan (RTP) untuk risiko yang “di-Treat”.
4. Tahap 4: Penentuan Kontrol (SoA)
   • Ini adalah bagian kuncinya. Kami ajarkan cara menautkan setiap treatment di RTP ke 93 kontrol di Annex A (2022).
   • Menyusun Statement of Applicability (SoA) yang berisi justifikasi (dipakai/tidak dipakai) untuk setiap kontrol berdasarkan hasil RTP.

Hasil Konkret yang Akan Anda Capai

Setelah mengikuti workshop teknis ini, tim Anda akan mampu:

• Memilih dan menerapkan metodologi risk assessment (RA) yang praktis, efektif, dan sesuai standar (mengacu ISO 27005).
• Mengidentifikasi Aset Informasi, Ancaman (Threats), dan Kerentanan (Vulnerabilities) secara sistematis.
• Memahami dan menguasai alur logis yang tidak terputus: RA -> RTP -> SoA.
• Membuat template Risk Register dan Risk Assessment Report (RAR) yang komprehensif dan siap diaudit.
• Menyusun Statement of Applicability (SoA) yang memiliki justifikasi kuat dan logis untuk setiap kontrol.
• Percaya diri memfasilitasi penentuan Risk Appetite dengan manajemen puncak.

Kurikulum Teknis & Silabus Pelatihan

Ini adalah workshop teknis intensif. Peserta wajib membawa laptop.

Hari 1: Fondasi, Aset, dan Penilaian Risiko (RA)

• Sesi 1: Konteks & Metodologi (ISO 27001 Klausul 6.1 & ISO 27005)
  • Memahami Klausul 6.1.2 (RA) & 6.1.3 (RTP).
  • Memilih Metodologi: Kualitatif vs. Kuantitatif. Kapan pakai NIST? (Menjawab Pain Point #2).
• Sesi 2: Workshop 1: Identifikasi & Valuasi Aset Informasi
  • Praktik membuat Asset Register (server, data, aplikasi, SDM).
  • Praktik menilai aset berdasarkan Confidentiality, Integrity, Availability (C-I-A).
• Sesi 3: Workshop 2: Identifikasi Ancaman & Kerentanan
  • Praktik mengidentifikasi Threats (misal: ransomware, gempa) & Vulnerabilities (misal: unpatched OS).
• Sesi 4: Workshop 3: Penilaian Risiko & Risk Register
  • Praktik menilai Likelihood (Kemungkinan) & Impact (Dampak).
  • Praktik membuat Risk Register (Daftar Risiko) yang terstruktur.

Hari 2: Treatment (RTP), Kontrol, dan Dokumen (SoA)

• Sesi 5: Menentukan Risk Appetite & Opsi Perlakuan Risiko (RTP)
  • Cara mempresentasikan risiko ke manajemen untuk menentukan “selera risiko”.
  • Memilih 4T: Treat, Tolerate, Transfer, Terminate.
• Sesi 6: Workshop 4: Membuat Risk Treatment Plan (RTP)
  • Praktik menyusun RTP untuk risiko yang “di-Treat”.
• Sesi 7: Sesi Kritis: Menautkan RTP ke 93 Kontrol Annex A (2022)
  • Mempelajari 4 Tema & 11 Kontrol Baru (Cloud, DLP, Secure Coding, dll).
  • Praktik memetakan RTP ke kontrol Annex A yang relevan.
• Sesi 8: Workshop 5: Menyusun Statement of Applicability (SoA)
  • Praktik menyusun dokumen SoA yang siap diaudit: berisi 93 kontrol, justifikasi (diterapkan/tidak), dan tautan referensi ke RTP/RA.

Siapa Saja yang Wajib Mengikuti Pelatihan Ini?

Ini adalah workshop teknis yang tidak cocok untuk level awareness umum. Ini dirancang khusus untuk:

• Tim Implementasi Inti ISO 27001.
• Manajer Risiko IT / Analis Keamanan Informasi.
• Tim GRC (Governance, Risk, Compliance).
• Konsultan Internal atau Management Representative (MR) ISMS.
• Auditor Internal IT (yang perlu memahami cara mengaudit RA).

Jawaban Atas Keraguan Anda (FAQ)

T: Apa bedanya SoA, RA, dan RTP? Ini membingungkan. J: Sederhananya:

1. RA (Risk Assessment): Adalah proses identifikasi masalah. (Daftar semua risiko Anda).
2. RTP (Risk Treatment Plan): Adalah rencana aksi. (Keputusan Anda atas risiko itu: diperbaiki, diterima, dll).
3. SoA (Statement of Applicability): Adalah justifikasi kontrol. (Daftar 93 kontrol Annex A dan alasan mengapa kontrol itu dipakai/tidak, berdasarkan keputusan Anda di RTP). Pelatihan ini mengajarkan cara menjahit ketiganya secara logis.

T: Apakah kami harus pakai metodologi canggih seperti NIST atau OCTAVE? J: Standar ISO 27001 tidak mewajibkan metodologi spesifik. Metode canggih (NIST, EBIOS) itu bagus, tapi seringkali overkill dan terlalu rumit untuk sertifikasi awal. Pelatihan kami mengajarkan pendekatan semi-kuantitatif yang praktis, proven, dan 100% diterima oleh auditor sertifikasi.

T: Jujur, kami tidak punya SDM untuk melakukan ini. Terlalu rumit. J: Kami paham. Risk Assessment adalah 80% “pekerjaan berat” dalam implementasi ISO 27001. Jika Anda merasa stuck atau kekurangan SDM kompeten (Pain Point #5), SAINSTARA juga menyediakan Jasa Konsultasi & Pendampingan Risk Assessment di mana konsultan Lead Auditor kami akan turun tangan memfasilitasi dan memandu tim Anda menyusun RA, RTP, dan SoA.

Kredensial & Pengalaman Instruktur Kami

Instruktur kami adalah praktisi senior dan Lead Auditor ISO 27001 serta pemegang sertifikasi ISO 27005 (Certified Risk Manager). Mereka bukan hanya pengajar teori, tapi praktisi yang telah puluhan kali menyusun dan diaudit (serta mengaudit) dokumen RAR, RTP, dan SoA di sektor perbankan, fintech, pemerintahan, dan data center.

Untuk mendapatkan informasi lebih lengkap mengenai berbagai pilihan pelatihan/training lainnya yang kami selenggarakan, silakan kunjungi website resmi Sainstara. Melalui website tersebut, Anda dapat menemukan daftar program pelatihan terbaru, jadwal kegiatan, serta detail materi yang dirancang untuk mendukung peningkatan kompetensi dan profesionalisme Anda.