Apa itu ISO 27001?

ISMS adalah seperangkat kebijakan, prosedur, dan kontrol yang mengatur cara organisasi mengelola risiko keamanan informasinya, serta mencakup persyaratan seperti penilaian risiko, manajemen aset, kontrol akses, kriptografi, manajemen insiden, dan berbagai aspek lainnya.

ISMS bertujuan melindungi:

• Kerahasiaan informasi, melalui pencegahan pengungkapan informasi yang tidak sah
• Integritas informasi, melalui jaminan informasi yang akurat dan lengkap
• Ketersediaan informasi, melalui jaminan informasi dapat diakses saat dibutuhkan

ISMS membantu perusahaan menerapkan kontrol keamanan yang konsisten dan dapat beradaptasi dengan lingkungan risiko yang berubah-ubah.

ISO 27001 menguraikan proses komprehensif yang harus dijalani organisasi ketika membuat dan menerapkan ISMS:

• Penilaian risiko — mengidentifikasi dan menilai potensi insiden keamanan informasi yang dapat terjadi serta melibatkan informasi dan data perusahaan
• Proses manajemen risiko — menerapkan kontrol keamanan informasi yang relevan sebagai perlindungan terhadap insiden keamanan tersebut dan mengurangi risiko keamanan informasi
• Penanganan risiko — memitigasi risiko seiring waktu serta memantau dan meninjau efektivitas kontrol tersebut secara berkelanjutan untuk membantu mendorong peningkatan perlindungan data dan keamanan informasi secara berkelanjutan di dalam suatu organisasi

Selain itu, ISO 27001 membantu organisasi melindungi keaslian informasi — yang berarti bahwa identitas pengguna dan sistem dapat diverifikasi di sepanjang siklus hidup informasi — dan membantu memastikan non-repudiation, yang berarti bahwa setiap transaksi yang terkait dengan informasi dapat dilacak dan diverifikasi.

Singkatnya, ISO 27001 mewajibkan organisasi untuk:

• secara sistematis memeriksa risiko keamanan, termasuk ancaman, kerentanan, dan potensi dampak
• merancang dan menerapkan rangkaian kontrol keamanan informasi yang komprehensif serta bentuk lain dari penanganan risiko untuk mengatasi risiko yang dianggap tidak dapat diterima
• mengadopsi proses manajemen menyeluruh untuk memastikan kontrol keamanan informasi terus memenuhi kebutuhan perusahaan dan tujuan keamanan secara berkelanjutan

ISO 27001 juga mewajibkan perusahaan membuat ISMS yang disesuaikan dengan kebutuhan dan risiko bisnis spesifiknya.

Standar ISO 27001 itu sendiri terdiri atas dua bagian:

• Sebelas klausul wajib (0 hingga 10) yang menguraikan persyaratan pada bidang tertentu ← “Sebelas (11)” redundancy removed
• Lampiran A, yang memberikan pedoman bagi 93 kontrol, yang masing-masing merupakan praktik spesifik yang dapat diimplementasikan untuk mengurangi risiko hingga tingkat yang dapat diterima

Klausul wajib

Bagian utama ISO 27001 — 11 klausul pertama — memperkenalkan terlebih dahulu dasar-dasar standar dalam klausul 0–3, yang memberikan definisi dan ringkasan persyaratan. Klausul 4–10 mencantumkan persyaratan khusus yang wajib dipatuhi pada ISO 27001: 

Klausul 4 — Konteks organisasi adalah persyaratan holistik bagi manajemen untuk menemukan, meninjau, dan memahami isu eksternal dan internal yang relevan, yang dapat mencakup tantangan regulasi, serta mengidentifikasi dan mempertimbangkan pihak yang berkepentingan.

Klausul 5 — Kepemimpinan memerinci persyaratan bagi kepemimpinan yang memadai, termasuk kewajiban komitmen manajemen puncak dengan peran dan tanggung jawab yang didefinisikan secara jelas. Klausul 5 menetapkan bahwa manajemen harus:

• Menetapkan tujuan keamanan yang selaras dengan arah strategis dan tujuan organisasi
• Menyediakan sumber daya yang tepat dan diperlukan untuk mendukung ISMS serta kontribusi personel terhadapnya
• Menetapkan kebijakan keamanan informasi ISO 27001 utama yang didokumentasikan dan dikomunikasikan di seluruh organisasi serta kepada seluruh stakeholder dan pihak yang berkepentingan, dari karyawan, pemegang saham, hingga badan regulasi pemerintah dan lainnya

Klausul 6 — Perencanaan adalah persyaratan untuk mengidentifikasi dan memperhitungkan risiko serta peluang keamanan informasi (penilaian risiko keamanan informasi), menetapkan tujuan keamanan dan kontrol informasi berdasarkan penilaian tersebut, serta membuat rencana penanganan risiko yang menggabungkan kontrol yang relevan dari Lampiran A.

Klausul 7 — Dukungan menguraikan cara mendukung ISMS dan kerangka kerja keamanan yang kuat melalui penyediaan sumber daya yang tepat, jaminan karyawan memahami manajemen keamanan informasi, dan komunikasi yang baik di dalam maupun di luar organisasi. Manajemen harus memperbarui dan menerapkan dokumentasi tertentu, termasuk rencana komunikasi.

Klausul 8 — Operasi mewajibkan proses keamanan informasi tertentu untuk direncanakan, dilaksanakan, dan dikendalikan. Pada tahap inilah penilaian risiko dan penanganan risiko dilakukan.

Klausul 9 — Evaluasi kinerja adalah persyaratan yang mengharuskan organisasi memantau, mengukur, menganalisis, dan mengevaluasi ISMS, memeriksa KPI secara berkala, dan melakukan audit internal. Pada interval yang ditentukan, manajemen puncak harus meninjau ISMS dan KPI yang terkait dengan ISO 27001 untuk memastikan keduanya masih relevan.

Klausul 10 — Perbaikan: Setelah melakukan evaluasi kinerja, organisasi harus mengambil tindakan korektif yang diperlukan, yang disebut perbaikan. Hal ini berarti manajemen harus bertindak untuk menghilangkan penyebab “ketidaksesuaian”. Selain itu, manajemen harus menerapkan proses perbaikan secara berkelanjutan.

Kontrol Lampiran A

Lampiran A dari ISO 27001:2022 mencantumkan 93 perlindungan atau kontrol yang dapat digunakan organisasi untuk mengurangi risiko dan mematuhi persyaratan keamanan dari pihak yang berkepentingan, seperti badan regulasi dan mitra. Bagian dari dokumentasi yang diwajibkan ISO 27001 adalah Pernyataan Penerapan, yang menetapkan kontrol Lampiran A mana yang diterapkan beserta justifikasinya.

ISO 27001:2022 juga menetapkan empat domain bagi 93 kontrol tersebut:

Lampiran A.5 — Kontrol organisasi mencakup 37 kontrol yang harus diterapkan melalui pendefinisian aturan yang harus diikuti, serta perilaku yang diharapkan dari pengguna, peralatan, perangkat lunak, dan sistem (misalnya, Kebijakan Kontrol Akses).

Lampiran A.6 — Kontrol orang mencakup 8 kontrol yang diterapkan melalui berbagi pengetahuan, edukasi, keterampilan, dan/atau pengalaman dengan personel untuk memberdayakan mereka agar melakukan kegiatannya masing-masing dengan cara yang melindungi keamanan informasi (misalnya, pelatihan ISO 27001).

Lampiran A.7 — Kontrol fisik mencakup 14 kontrol yang diterapkan melalui perlindungan dan pengamanan peralatan atau perangkat yang berinteraksi secara fisik dengan orang dan objek (misalnya, kamera CCTV atau sistem alarm).

Lampiran A.8 — Kontrol teknologi mencakup 34 kontrol yang berfokus pada TI dan komunikasi, yang diimplementasikan terutama di dalam sistem informasi dengan perangkat lunak, perangkat keras, dan firmware (misalnya, pencadangan atau perangkat lunak antivirus).

Sebagai catatan, Lampiran A pada ISO 27001:2022 memiliki 21 kontrol lebih sedikit dibandingkan versi sebelumnya, ISO 27001:2013. Jumlah kontrol tersebut berkurang karena terjadi penggabungan 57 kontrol, penghapusan 3 kontrol, 35 kontrol dipertahankan tanpa perubahan, dan penambahan 11 kontrol baru. Kontrol baru tersebut berfokus pada layanan cloud, kesiapan keberlangsungan bisnis (business continuity readiness), threat intelligence, pengawasan keamanan fisik, data masking, penghapusan informasi, pencegahan kebocoran data, kegiatan pemantauan, penyaringan web, dan secure coding.

Perusahaan dapat menerapkan ISO 27001 untuk memanfaatkan praktik terbaik yang ditawarkannya. Perusahaan juga dapat memilih untuk menjalani proses sertifikasi formal, yang membuktikan kepada pelanggan dan stakeholder lainnya bahwa perusahaan tersebut berkomitmen dan mampu mengelola informasi secara aman dan terlindungi.

Sebelum proses sertifikasi dimulai, perusahaan harus menerapkan ISMS yang sesuai, dan tim manajemen perusahaan harus menentukan ruang lingkup ISMS bagi tujuan sertifikasi secara khusus (misalnya, organisasi dapat membatasi ruang lingkup pada satu unit bisnis atau lokasi). Sertifikasi yang dihasilkan hanya berlaku bagi ruang lingkup yang telah dibatasi tersebut.

Selanjutnya, ISMS harus menjalani audit sertifikasi eksternal multilangkah oleh lembaga sertifikasi terakreditasi untuk memverifikasi kepatuhan.

Proses audit eksternal ini terdiri atas tiga tahap.

• Tahap 1: Tinjauan awal ISMS. Lembaga sertifikasi mengonfirmasi bahwa dokumentasi utama tersedia dan lengkap (misalnya, Kebijakan Keamanan Informasi (Information Security Policy), Pernyataan Penerapan (Statement of Applicability, SoA), dan Rencana Penanganan Risiko (Risk Treatment Plan, RTP)).
• Tahap 2: Audit kepatuhan formal. Lembaga sertifikasi melakukan audit yang lebih terperinci melalui pengujian ISMS organisasi secara independen demi memastikan kepatuhannya terhadap persyaratan ISO 27001. Setelah lolos Tahap 2, organisasi akan tersertifikasi patuh ISO 27001.
• Tahap 3: Tinjauan berkelanjutan. Setelah tersertifikasi patuh ISO 27001, organisasi harus melakukan tinjauan tindak lanjut dan audit internal secara berkelanjutan untuk mengonfirmasi kepatuhannya seiring waktu.

Organisasi yang sudah memiliki sertifikasi ISO 27001 harus beralih ke versi 2022 yang baru paling lambat 31 Oktober 2025 dengan memastikan mereka memiliki ISMS yang diperbarui dan sesuai dengan standar tersebut.

Menurut laporan dari tahun 2022, ada lebih dari 70.000 sertifikat ISO 27001 di 150 negara. Meskipun sebagian besar difokuskan pada teknologi informasi (TI), sertifikat ini juga mencakup organisasi di semua sektor ekonomi.

Melalui penetapan ISMS yang tertata dengan baik berdasarkan kepatuhan dan sertifikasi ISO 27001, organisasi dapat:

• Mengurangi kerentanan terhadap ancaman serangan siber yang terus berkembang
• Merespons lebih cepat dan efektif terhadap risiko keamanan informasi yang terus berkembang
• Membantu memastikan bahwa aset seperti laporan keuangan, intellectual property (IP), data karyawan, dan informasi yang dipercayakan kepada organisasi oleh pihak ketiga selalu utuh, rahasia, dan tersedia sesuai kebutuhan
• Menyediakan kerangka kerja keamanan informasi yang dikelola secara terpusat guna mengamankan informasi dari satu titik kontrol
• Mempersiapkan personel, proses, dan teknologi di seluruh organisasi untuk menghadapi risiko berbasis teknologi dan ancaman lainnya
• Mengamankan informasi dalam segala bentuk, baik berbasis kertas, berbasis cloud, maupun digital
• Menurunkan biaya melalui peningkatan efisiensi dan pengurangan pengeluaran yang tidak perlu bagi teknologi keamanan siber yang tidak efektif
• Mematuhi persyaratan hukum dan regulasi
• Meningkatkan reputasi dan kepercayaan pelanggan