Internal Audit

Internal Audit adalah evaluasi independen dan objektif terhadap sistem keamanan informasi organisasi. Tujuannya adalah memastikan bahwa kontrol keamanan berfungsi efektif, kebijakan dipatuhi, dan risiko dikelola sesuai dengan kerangka yang ditetapkan.

Tahapan Internal Audit:

1. Audit Planning - Menentukan scope, objectives, kriteria audit (ISO 27001, NIST CSF, atau kebijakan internal), dan timeline. Membentuk audit team dan mengumpulkan dokumentasi awal.

2. Audit Preparation - Menyusun audit checklist berdasarkan kriteria yang dipilih. Mereview dokumen kebijakan, prosedur, dan evidence sebelumnya. Membuat audit plan yang detail.

3. Audit Execution - Melaksanakan audit melalui: wawancara dengan pemilik proses, observasi langsung, review dokumen, dan pengujian kontrol teknis. Semua temuan dicatat sebagai non-conformity (NC), observation, atau opportunity for improvement (OFI).

4. Audit Reporting - Menyusun audit report yang mencakup: executive summary, scope, methodology, findings (NC, observation, OFI), dan rekomendasi. Laporan disampaikan ke manajemen.

5. Follow-up - Memastikan corrective action diimplementasikan. Verifikasi efektivitas perbaikan pada audit berikutnya.

Internal audit harus dilakukan secara terjadwal (minimal tahunan) dan juga saat terjadi perubahan signifikan. Hasil audit menjadi input penting untuk management review.