Security Audit & Compliance

SECURITY AUDIT CONTROL ASSESSMENT CHECKLIST
=============================================

1. GOVERNANCE & POLICY
   ☐ Information Security Policy — ada, up-to-date, disetujui manajemen
   ☐ Security roles & responsibilities — terdefinisi dengan jelas
   ☐ Risk management framework — proses identifikasi dan mitigasi risiko
   ☐ Security awareness program — training karyawan rutin
   ☐ Acceptable use policy — pedoman penggunaan aset IT
   ☐ Data classification policy — klasifikasi data (public, internal, confidential)

2. ACCESS CONTROL
   ☐ Principle of least privilege — akses minimal yang diperlukan
   ☐ Multi-factor authentication (MFA) — aktif untuk akses kritis
   ☐ Password policy — minimal 12 karakter, kompleksitas, rotasi
   ☐ Account lifecycle management — provisioning & deprovisioning
   ☐ Privileged access management (PAM) — akses admin terkontrol
   ☐ Review akses berkala — quarterly access review
   ☐ Separation of duties — tidak ada satu orang kontrol semua

3. NETWORK SECURITY
   ☐ Firewall rules — reviewed, documented, least privilege
   ☐ Network segmentation — isolasi segment kritis
   ☐ Intrusion Detection/Prevention (IDS/IPS) — aktif dan dimonitor
   ☐ VPN untuk remote access — enkripsi semua koneksi remote
   ☐ Wireless security — WPA3, guest network terpisah
   ☐ DNS security — DNSSEC, DNS filtering
   ☐ DDoS protection — mitigation strategy

4. DATA PROTECTION
   ☐ Encryption at rest — data sensitif dienkripsi di storage
   ☐ Encryption in transit — TLS 1.2+ untuk semua komunikasi
   ☐ Key management — prosedur generate, store, rotate keys
   ☐ Data loss prevention (DLP) — monitor data exfiltration
   ☐ Backup & recovery — 3-2-1 rule, tested restoration
   ☐ Data retention & disposal — policy penghapusan data

5. ENDPOINT SECURITY
   ☐ Endpoint Detection & Response (EDR) — deployed di semua endpoint
   ☐ Patch management — OS dan aplikasi up-to-date
   ☐ Anti-malware — terinstall dan terupdate
   ☐ Device encryption — full disk encryption (BitLocker/FileVault)
   ☐ Mobile device management (MDM) — kontrol perangkat mobile
   ☐ USB/removable media control — pembatasan penggunaan

6. APPLICATION SECURITY
   ☐ Secure SDLC — security di setiap tahap development
   ☐ Code review — static analysis (SAST), dynamic analysis (DAST)
   ☐ Dependency scanning — cek vulnerability di library/package
   ☐ Input validation — semua input user divalidasi
   ☐ Error handling — tidak ekspos informasi internal
   ☐ API security — authentication, rate limiting, input validation

7. INCIDENT RESPONSE
   ☐ IR plan — didokumentasikan, di-test, up-to-date
   ☐ IR team — terbentuk dengan peran jelas
   ☐ Communication plan — siapa yang dihubungi, kapan, bagaimana
   ☐ Logging & monitoring — SIEM aktif, log di-retention minimal 1 tahun
   ☐ Forensic readiness — tools dan prosedur siap
   ☐ Tabletop exercise — dilakukan minimal 2x setahun

8. BUSINESS CONTINUITY
   ☐ Business Continuity Plan (BCP) — didokumentasikan
   ☐ Disaster Recovery Plan (DRP) — prosedur pemulihan
   ☐ RTO/RPO — Recovery Time/Point Objective terdefinisi
   ☐ Backup testing — restore test dilakukan berkala
   ☐ Failover testing — test switching ke DR site

# =============================================
# VULNERABILITY ASSESSMENT WORKFLOW
# =============================================

# STEP 1: Asset Discovery — Temukan semua aset di jaringan
nmap -sn 192.168.1.0/24 -oN network_discovery.txt
# Hasil: daftar semua host aktif di jaringan

# STEP 2: Port Scanning — Identifikasi service yang berjalan
nmap -sV -sC -O -p- 192.168.1.0/24 -oA full_port_scan
# Hasil: port terbuka, versi service, OS detection

# STEP 3: Vulnerability Scanning dengan Nmap NSE
nmap --script vuln 192.168.1.0/24 -oA vuln_scan
# Scripts: vuln, exploit, auth, brute

# STEP 4: Vulnerability Scanning dengan Nuclei
# Install nuclei: go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
nuclei -l targets.txt -t cves/ -t vulnerabilities/ -t misconfiguration/ \
  -severity critical,high,medium -o nuclei_results.txt

# STEP 5: Web Application Scanning dengan Nikto
nikto -h https://webapp.target.com -output nikto_report.html
# Mengecek: outdated software, dangerous files, misconfigurations

# STEP 6: SSL/TLS Assessment
testssl.sh https://webapp.target.com
# Cek: cipher suites, certificate validity, protocol support

# STEP 7: Configuration Audit
# CIS Benchmark — Automated dengan Lynis (Linux)
sudo lynis audit system
# Hasil: hardening suggestions berdasarkan CIS benchmarks

# STEP 8: Dependency Scanning (Software Composition Analysis)
# Untuk Node.js project:
npm audit
# Untuk Python:
pip-audit
# Untuk Java (Maven):
dependency-check --project "MyApp" --scan ./src

# STEP 9: Container Security Scanning
trivy image myapp:latest
grype myapp:latest
# Scan Docker image untuk known vulnerabilities

# STEP 10: Cloud Security Posture
# AWS:
prowler aws --compliance cis_2.0
# Azure:
az ad sp create-for-rbac --name security-audit
# Multi-cloud: ScoutSuite
scout aws  # atau scout azure, scout gcp

ISO 27001 IMPLEMENTATION ROADMAP
==================================

PHASE 1: PREPARATION (Bulan 1-2)
─────────────────────────────────
☐ Dapatkan commitment manajemen (top management support)
☐ Tentukan scope ISMS — unit bisnis mana yang dicakup
☐ Bentuk tim implementasi ISMS
☐ Gap analysis — bandingkan kondisi saat ini dengan ISO 27001
☐ Buat project plan dengan timeline dan milestone

PHASE 2: RISK ASSESSMENT (Bulan 2-4)
────────────────────────────────────
☐ Buat asset inventory — identifikasi semua aset informasi
☐ Identifikasi ancaman dan kerentanan untuk setiap aset
☐ Hitung risiko: Risk = Likelihood × Impact
☐ Tentukan risk treatment plan: mitigate, accept, transfer, avoid
☐ Buat Statement of Applicability (SoA) — kontrol mana yang diterapkan

PHASE 3: IMPLEMENTATION (Bulan 4-8)
──────────────────────────────────
☐ Kembangkan kebijakan keamanan informasi
☐ Implementasikan kontrol dari Annex A yang dipilih:
  - A.5: Organizational controls (policies, roles, segregation)
  - A.6: People controls (training, screening, NDAs)
  - A.7: Physical controls (physical security, equipment)
  - A.8: Technology controls (access control, crypto, logging)
☐ Bangun awareness program untuk semua karyawan
☐ Implementasikan incident management process
☐ Setup monitoring, logging, dan internal audit process

PHASE 4: INTERNAL AUDIT & REVIEW (Bulan 8-10)
──────────────────────────────────────────────
☐ Lakukan internal audit — apakah kontrol berjalan efektif?
☐ Management review — evaluasi efektivitas ISMS
☐ Perbaiki temuan dari internal audit (corrective actions)
☐ Pastikan semua dokumentasi lengkap dan up-to-date

PHASE 5: CERTIFICATION AUDIT (Bulan 10-12)
──────────────────────────────────────────
☐ Pilih certification body (accredited registrar)
☐ Stage 1 Audit (Documentation Review):
   - Auditor meninjau dokumentasi ISMS
   - Identifikasi area yang perlu perbaikan
☐ Stage 2 Audit (Implementation Audit):
   - Auditor memverifikasi implementasi di lapangan
   - Wawancara karyawan, cek evidence
   - Temukan ketidaksesuaian (non-conformities)
☐ Corrective actions untuk temuan auditor
☐ Sertifikasi diterbitkan! 🎉

PHASE 6: CONTINUOUS IMPROVEMENT (Ongoing)
────────────────────────────────────────
☐ Surveillance audit tahunan (setiap 12 bulan)
☐ Perbaikan berkelanjutan (PDCA cycle)
☐ Re-certification audit di tahun ke-3
☐ Update ISMS sesuai perubahan bisnis dan ancaman

LAPORAN SECURITY AUDIT
=======================

BAGIAN 1: EXECUTIVE SUMMARY (Untuk Manajemen C-Level)
─────────────────────────────────────────────────────

Ringkasan Eksekutif:
  - Total area yang diaudit: 8 kontrol domain
  - Total temuan: 47 finding
  - Status keseluruhan: PERLU PERBAIKAN SIGNIFIKAN

Temuan per Severity:
  🔴 Critical: 3  (harus diselesaikan dalam 30 hari)
  🟠 High:     8  (harus diselesaikan dalam 60 hari)
  🟡 Medium:  15  (harus diselesaikan dalam 90 hari)
  🟢 Low:     12  (rekomendasi perbaikan)
  ⚪ Info:     9  (observasi dan best practices)

Top 3 Risiko:
  1. [CRITICAL] Tidak ada MFA untuk akses VPN — risiko credential theft
  2. [CRITICAL] Backup tidak pernah di-test — risiko data loss
  3. [HIGH] Tidak ada security awareness training — risiko phishing success

BAGIAN 2: SCOPE & METHODOLOGY
──────────────────────────────
  - Ruang lingkup: Divisi IT, infrastruktur jaringan, aplikasi web
  - Framework acuan: ISO 27001:2022 Annex A, CIS Controls v8
  - Metode: Document review, interview, technical testing, configuration audit
  - Tanggal audit: 1-15 Juli 2026
  - Auditor: Tim Security BeebaneLabs

BAGIAN 3: DETAILED FINDINGS
──────────────────────────

Finding #001: Tidak Ada Multi-Factor Authentication (MFA) pada VPN
  Severity   : CRITICAL
  Control    : A.8.5 — Secure Authentication
  Status     : NON-COMPLIANT

  Deskripsi:
    Saat ini, akses VPN ke jaringan perusahaan hanya menggunakan
    username dan password. Tidak ada faktor autentikasi kedua.

  Evidence:
    - Screenshot konfigurasi VPN (FortiGate) — MFA tidak aktif
    - Interview dengan IT Manager — mengkonfirmasi belum ada MFA
    - Log VPN menunjukkan 100% login hanya password-based

  Risiko:
    Jika credential karyawan bocor (phishing, credential stuffing),
    attacker bisa langsung masuk ke jaringan internal perusahaan.

  Rekomendasi:
    1. Implementasikan MFA untuk semua akses VPN (prioritas: admin)
    2. Gunakan authenticator app (Google Authenticator, Microsoft Auth)
    3. Hindari SMS-based MFA (vulnerable ke SIM swapping)
    4. Target: selesai dalam 30 hari

Finding #002: Backup Tidak Pernah Di-test Restore
  Severity   : CRITICAL
  Control    : A.8.13 — Information Backup
  Status     : NON-COMPLIANT
  ... (dst)

BAGIAN 4: COMPLIANCE GAP ANALYSIS
────────────────────────────────
  ┌────────────────┬────────────┬───────────┬───────────┐
  │ ISO 27001 Ctrl │ Description│ Status    │ Gap       │
  ├────────────────┼────────────┼───────────┼───────────┤
  │ A.5.1          │ Policies   │ ✅ Comply │ -         │
  │ A.5.23         │ Cloud      │ ⚠️ Partial│ Missing   │
  │ A.8.5          │ MFA        │ ❌ Gap    │ No MFA    │
  │ A.8.13         │ Backup     │ ❌ Gap    │ Untested  │
  └────────────────┴────────────┴───────────┴───────────┘

BAGIAN 5: REMEDIATION ROADMAP
─────────────────────────────
  ┌────────────┬────────────────────────────────────────┐
  │ Timeline   │ Actions                                │
  ├────────────┼────────────────────────────────────────┤
  │ 30 hari    │ Implement MFA, Test backup, Patch CVSS │
  │            │ ≥9.0 vulnerabilities                   │
  │ 60 hari    │ Implement SIEM, Security awareness     │
  │            │ training, Network segmentation         │
  │ 90 hari    │ Update all policies, Implement PAM,    │
  │            │ DLP deployment, Code review process    │
  └────────────┴────────────────────────────────────────┘

REMEDIATION TRACKER
===================

┌─────┬────────────────┬──────────┬────────┬───────────┬──────────┬───────────┐
│ ID  │ Finding        │ Severity │ Owner  │ Deadline  │ Status   │ Evidence  │
├─────┼────────────────┼──────────┼────────┼───────────┼──────────┼───────────┤
│ R01 │ VPN MFA        │ Critical │ IT Ops │ 30 Jul    │ 🟡 In    │ Ticket    │
│     │                │          │        │           │ Progress │ #1234     │
├─────┼────────────────┼──────────┼────────┼───────────┼──────────┼───────────┤
│ R02 │ Backup Testing │ Critical │ DBA    │ 30 Jul    │ 🔴 Not   │ -         │
│     │                │          │        │           │ Started  │           │
├─────┼────────────────┼──────────┼────────┼───────────┼──────────┼───────────┤
│ R03 │ Security       │ High     │ HR +   │ 15 Aug    │ 🟡 In    │ LMS       │
│     │ Training       │          │ InfoSec│           │ Progress │ setup     │
├─────┼────────────────┼──────────┼────────┼───────────┼──────────┼───────────┤
│ R04 │ SIEM Deploy    │ High     │ SOC    │ 30 Aug    │ 🔴 Not   │ -         │
│     │                │          │        │           │ Started  │           │
├─────┼────────────────┼──────────┼────────┼───────────┼──────────┼───────────┤
│ R05 │ Patch MS17-010 │ Critical │ IT Ops │ 30 Jul    │ ✅ Done  │ Scan      │
│     │                │          │        │           │          │ report    │
└─────┴────────────────┴──────────┴────────┴───────────┴──────────┴───────────┘

Status Legend:
  🔴 Not Started — Belum ada aksi
  🟡 In Progress — Sedang dikerjakan
  🟢 Done — Selesai, menunggu verifikasi
  ✅ Verified — Sudah di-verify oleh auditor
  ⚫ Accepted — Risiko diterima oleh manajemen (dengan dokumentasi)