Documentation

Dokumentasi adalah komponen penting dalam GRC yang menyediakan bukti (evidence) bahwa organisasi memiliki, mengimplementasikan, dan memelihara sistem manajemen keamanan informasi yang efektif. Dokumentasi yang baik juga memudahkan audit, onboarding, dan transfer knowledge.

Piramida Dokumentasi (ISO 27001):

• Tier 1 - Policy - Dokumen strategis: kebijakan keamanan informasi (ISMS Policy), scope ISMS, dan risk assessment methodology. Disetujui oleh manajemen puncak.

• Tier 2 - Procedure - Dokumen operasional: prosedur risk assessment, prosedur incident response, prosedur backup, prosedur access control. Menjelaskan "siapa melakukan apa, kapan, dan bagaimana".

• Tier 3 - Work Instruction - Dokumen teknis: step-by-step untuk tugas spesifik seperti konfigurasi firewall, setup VPN, atau patch server.

• Tier 4 - Records - Bukti pelaksanaan: log audit, log akses, training records, risk register, incident reports. Records tidak bisa diubah setelah dibuat (immutable).

Prinsip Dokumentasi:

• Consistent - Format, struktur, dan terminologi seragam
• Controlled - Version control, approval workflow, dan access control
• Accessible - Tersedia bagi yang membutuhkan, aman dari yang tidak berhak
• Maintained - Direview dan diperbarui secara berkala
• Retained - Disimpan sesuai retention schedule dan dihapus secara aman setelah masa berlaku habis