DPLS 12 Rev. 2 PERSY ARAT AN T AMBAHAN BAGI LEMBAGA SERTIFIKASI SISTEM MANAJEMEN KEAMANAN INFORMASI. KomftelkredH..1 N..lonal

Transkripsi

1 KomftelkredH..1 N..lonal DPLS 12 Rev. 2 PERSY ARAT AN T AMBAHAN BAGI LEMBAGA SERTIFIKASI SISTEM MANAJEMEN KEAMANAN INFORMASI Komite Akreditasi Nasional National Accreditation Body of Indonesia Gedung I BPPT Lantai 14 Jalan M.H. Thamrin No. 6, Jakarta Tel. : Fax. : sertifikasi@bsn.go.id Website:

2

3 Kom/t. AkNdltul National DPLS 12 Revisi: 2 Tanggal: 30 Juni 2016 PERSYARATAN TAMBAHAN BAGI LEMBAGA SERTIFIKASI SISTEM MANAJEMEN KEAMANAN INFORMASI 1. RUANG LlNGKUP Dokumen ini dimaksudkan sebagai persyaratan akreditasi tambahan oleh Komite Akreditasi Nasional (KAN) terhadap lembaga yang melaksanakan audit dan sertifikasi Sistem Manajemen Keamanan lnformasi (SMKI) dan/atau Sistem Manajemen Pengamanan lnformasi (SMPI). 2. ISTILAH DAN DEFINISI 2.1. lstilah dan definisi yang digunakan dalam dokumen ini merujuk pada: a) SNI ISOIlEC 17000:2009 (Penilaian kesesuaian -- Kosakata dan prinsip umum); b) SNI ISOIlEC :2015 (Penilaian kesesuaian -- Persyaratan lembaga penyelenggara audit dan sertifikasi sistem manajemen - Bagian 1: Persyaratan); c) ISOIIEC (Information technology -- Security techniques -- Information security management systems -- Overview and vocabulary) ; d) ISO/IEC 27006:2015 (Information technology -- Security techniques - Requirements for bodies providing audit and certification of information security management systems); e) SNI ISOIIEC :2013 (Teknologi informasi -- Teknik keamanan -- Sistem manajemen keamanan informasi - Persyaratan); f) Peraturan Menteri Komunikasi dan Informatika RI nomor 4 Tahun 2016 tentang Sistem Manajemen Pengamanan lnformasi lstilah SMPI digunakan untuk SMKI khusus bagi penyelenggara sistem elektronik pelayanan pub/ik sebagaimana dimaksud pada butir f) SMPI adalah pengaturan kewajiban bagi Penyelenggara Sistem Elektronik dalam penerapan manajemen pengamanan informasi berdasarkan asas risiko. 3 PERSYARATAN AKREDITASI 3.1. Urnurn Lembaga Sertifikasi SMKI (LSSMKI) harus memenuhi seluruh persyaratan akreditasi yang ditetapkan oleh KAN. Persyaratan akreditasi bagi LSSMKI adalah: a) SNI ISOIlEC :2015 Penilaian kesesuaian Persyaratan lembaga penyelenggara audit dan sertifikasi sistem manajemen - Bagian 1: Persyaratan; 3 dari 7

4 DPLS 12 Revisi: 2 Tanggal: 30 Juni 2016 b) ISOIlEe 27006:2015 Information technology -- Security techniques -- Requirements for bodies providing audit and certification of information security management systems; c) DPUM 01 Terms and conditions for accreditation of conformity assessment body (CAB); d) IAF MD 2, IAF MD 3, IAF MD 4, IAF MD 11. IAF MD 15. e) Khusus SMPI harus memenuhi Peraturan Menteri Komunikasi dan Informatika RI Nomor 4 Tahun 2016 tentang Sistem Manajemen Pengamanan Informasi. Lembaga sertifikasi harus dapat membuktikan bahwa sertifikasi SMKI yang diterbitkannya dapat memberikan jaminan bahwa organisasi yang disertifikasi telah memenuhi kriteria SMKI dan juga memenuhi peraturan perundangan terkait Sistem Manajemen Keamanan Informasil Sistem Manajemen Pengamanan Informasi Ruang lingkup akreditasi Skema akreditasi LSSMKI tidak memiliki ruang lingkup sektor tertentu. 4. PRINSIP 5. PERSYARATAN UMUM 5.1. Masalah kontrak dan hukum LSSMKI harus berbadan hukum dan berlokasi di Indonesia. LSSMKI memiliki tanggung jawab secara hukum atas seluruh kegiatan sertifikasinya. Perjanjian sertifikasi harus mencakup ketentuan untuk mengeluarkan informasi rahasia pelanggan kepada otoritas kompeten LSSMKI (contoh Kementerian Komunikasi dan Informatika RI) jika diminta Manajemen ketidakberpihakan 5.3. Pertanggunggugatan dan keuangan 6. PERSYARATAN STRUKTURAL 4 dari 7

5 Komia AktecfIt..1Hal_I DPLS 12 Revisi: 2 Tanggal: 30 Juni PERSYARATAN SUMBERDAYA 7.1. Kompetensi personel 7.2. Personel yang terlibat dalam kegiatan sertifikasi Khusus SMPI harus memenuhi Peraturan Menteri Komunikasi dan Informatika RI Nomor 4 Tahun 2016 tentang Sistem Manajemen Pengamanan Informasi. Khusus untuk pemenuhan butir b) dan d) klausul ISO/IEG 27006:2015 dapat dipenuhi melalui pengakuan dari Menteri Kominfo sebagai auditor. Auditor dan tenaga ahli mengacu pada daftar yang diakui oleh Menteri Kominfo Penggunaan auditor eksternal dan tenaga ahli teknis eksternal individual 7.4. Rekaman personel Lembaga sertifikasi harus memelihara rekaman personel yang mutakhir mencakup kualifikasi, pelatihan, pengalaman, afiliasi, status profesional dan kompetensi setiap orang yang terlibat dalam aktivitas sertifikasi. Lembaga sertifikasi harus menetapkan dan mencatat proses penyeleksian auditor Alih daya (Outsourcing) 8. PERSYARATAN INFORMASI 8.1. Informasi publik Apabila diminta atau diwajibkan dalam regulasi, lembaga sertifikasi harus melaporkan sertifikat yang diterbitkannya kepada otoritas kompeten yang terkait Dokumen sertifikasi 8.3. Acuan sertifikasi dan penggunaan tanda 5 dari 7

6 Kaml. Akrediltasl Naelonal DPLS 12 Revisi: 2 Tanggal: 30 Juni Kerahasiaan 8.5. Pertukaran informasi antara lembaga sertifikasi dan kliennya 9. PERSYARATAN PROSES 9.1. Kegiatan pra sertifikasi 9.2. Perencanaan audit 9.3. Audit sertifikasi awal 9.4. Pelaksanaan audit 9.5. Keputusan sertifikasi 9.6. Pemeliharaan sertifikasi 9.7. Banding Tidak ada persyaratan lambahan Keluhan Tidak ada persyaralan lambahan Rekaman klien Tidak ada persyaralan lambahan. 6 dari 7

7 Komll_ Akredll_ Naelonal DPLS 12 Revisi : 2 Tanggal: 30 Juni PERSYARATAN SISTEM MANAJEMEN UNTUK LEMBAGA SERTIFIKASI Pilihan Pilihan A: Persyaratan sistem manajemen umum Pilihan B: Persyaratan sistem manajemen berdasarkan SNI ISO Penyaksian asesmen (witness) Witness dalam rangka akreditasi awal Witness dalam rangka akreditasi awal dilakukan 1 kali pada saat LSSMKI melakukan audit lapangan. Lembaga sertifikasi harus menyediakan informasi program audit SMKI yang akan dilaksanakan untuk dijadwalkan sebagai program witness. KAN dapat menambah atau mengurangi jumlah witness dengan mempertimbangkan jumlah klien yang disertifikasi SMKI atau jumlah auditor yang dimiliki oleh LSSMKI untuk memastikan konsistensi kompetensi auditor SMKI Witness dalam rangka survaifen Dalam rangka program survailen KAN lerhadap LSSMKI yang telah memperoleh akreditasi. LSSMKI harus menyediakan informasi program audit SMKI yang waktunya berdekalan untuk dijadwalkan sebagai program witness. Witness dalam rangka survailen dilaksanakan setidaknya 1 kali untuk setiap survailen. KAN dapat menambah atau mengurangi jumlah witness dengan mempertimbangkan jumlah klien yang disertifikasi SMKI atau jumlah auditor yang dimiliki oleh LSSMKI Witness dalam rangka akreditasi ulang Witness dalam rangka akreditasi ulang tidak perlu dilakukan jika lembaga sertifikasi telah memenuhi seluruh witness yang harus dilakukan selama satu siklus akreditasi (11.2. Witness dalam rangka survailen). Apabila witness pada satu siklus akreditasi sebelumnya belum terpenuhi. maka pad a saat akreditasi ulang KAN akan melakukan witness yang belum dilakukan tersebut. 7 dari 7