Apa itu ISO 27001?

ISMS adalah seperangkat kebijakan, prosedur, dan kontrol yang mengatur cara organisasi mengelola risiko keamanan informasinya dan mencakup persyaratan seperti penilaian risiko, manajemen aset, kontrol akses, kriptografi, manajemen insiden, dan banyak lagi.

ISMS bertujuan melindungi:

• Kerahasiaan informasi, dengan mencegah pengungkapan informasi yang tidak sah;
  
  
• Integritas informasi, dengan memastikan informasi akurat dan lengkap; dan
  
  
• Ketersediaan informasi, dengan memastikan informasi dapat diakses saat dibutuhkan.

ISMS membantu perusahaan menerapkan kontrol keamanan yang konsisten dan dapat beradaptasi dengan lingkungan risiko yang berubah-ubah.

ISO 27001 menguraikan proses komprehensif yang harus dijalani organisasi ketika membuat dan menerapkan ISMS:

• Penilaian risiko—mengidentifikasi dan menilai potensi insiden keamanan informasi yang dapat terjadi dan melibatkan informasi serta data perusahaan;
  
  
• Proses manajemen risiko—menerapkan kontrol keamanan informasi yang relevan sebagai perlindungan terhadap insiden keamanan tersebut dan mengurangi risiko keamanan informasi; dan
  
  
• Penanganan risiko—memitigasi risiko dari waktu ke waktu serta memantau dan meninjau efektivitas pengendalian tersebut secara berkelanjutan untuk membantu mendorong peningkatan perlindungan data dan keamanan informasi secara berkelanjutan dalam suatu organisasi.

Selain itu, ISO 27001 membantu organisasi melindungi keaslian informasi—yang berarti bahwa identitas pengguna dan sistem dapat diverifikasi di sepanjang siklus proses informasi, dan membantu memastikan nirpenolakan, yang berarti bahwa setiap transaksi yang terkait dengan informasi dapat dilacak dan diverifikasi.

Singkatnya, ISO 27001 mewajibkan organisasi untuk:

• secara sistematis memeriksa risiko keamanan, termasuk ancaman, kerentanan, dan potensi dampak;
  
  
• merancang dan menerapkan rangkaian kontrol keamanan informasi yang komprehensif dan bentuk-bentuk lain dari penanganan risiko untuk mengatasi risiko yang dianggap tidak dapat diterima; dan
  
  
• mengadopsi proses manajemen menyeluruh untuk memastikan kontrol keamanan informasi terus memenuhi kebutuhan perusahaan dan tujuan keamanan secara berkelanjutan.

ISO 27001 juga mewajibkan perusahaan untuk membuat ISMS yang disesuaikan dengan kebutuhan dan risiko bisnis spesifik mereka.

Standar ISO 27001 itu sendiri terdiri dari dua bagian:

• Sebelas (11) klausul wajib (0 hingga 10) yang menguraikan persyaratan pada bidang tertentu, dan
  
  
• Lampiran A, yang memberikan pedoman bagi 93 tujuan pengendalian, yang masing-masing merupakan praktik spesifik yang dapat diimplementasikan untuk mengurangi risiko hingga tingkat yang dapat diterima.
   

Klausul wajib

Bagian utama ISO 27001—11 klausul pertama—memperkenalkan terlebih dahulu dasar-dasar standar dalam klausul 0—3, yang memberikan definisi dan ringkasan persyaratan. Klausul 4—10 mencantumkan persyaratan khusus yang wajib dipatuhi pada ISO 27001:

Klausul 4—Konteks organisasi adalah persyaratan holistik bagi manajemen untuk menemukan, meninjau, dan memahami isu-isu eksternal dan internal yang relevan, yang mungkin mencakup tantangan regulasi, serta mengidentifikasi dan mempertimbangkan pihak-pihak yang berkepentingan.

Klausul 5—Kepemimpinan memerinci persyaratan untuk kepemimpinan yang memadai, termasuk mewajibkan komitmen manajemen puncak, dengan peran dan tanggung jawab yang didefinisikan dengan jelas. Klausul 5 menetapkan bahwa manajemen harus:

• Menetapkan tujuan keamanan yang selaras dengan arah strategis dan tujuan organisasi;
  
  
• Menyediakan sumber daya yang tepat yang diperlukan untuk mendukung ISMS dan kontribusi masyarakat terhadapnya; dan
  
  
• Menetapkan kebijakan keamanan informasi ISO 27001 utama yang didokumentasikan dan dikomunikasikan di seluruh organisasi serta kepada semua pemangku kepentingan dan pihak yang berkepentingan, dari karyawan hingga pemegang saham hingga badan regulasi pemerintah dan lainnya.

Klausul 6—Perencanaan adalah persyaratan untuk mengidentifikasi dan memperhitungkan risiko dan peluang keamanan informasi (penilaian risiko keamanan informasi), menetapkan tujuan keamanan dan pengendalian informasi berdasarkan penilaian ini, dan membuat rencana penanganan risiko yang menggabungkan kontrol-kontrol yang relevan dari Lampiran A.

Klausul 7—Dukungan menguraikan cara mendukung ISMS dan kerangka kerja keamanan yang kuat dengan menyediakan sumber daya yang tepat, memastikan karyawan memahami manajemen keamanan informasi, dan berkomunikasi dengan baik di dalam dan di luar organisasi. Manajemen harus memperbarui dan menerapkan dokumentasi tertentu, termasuk rencana komunikasi.

Klausul 8—Operasi mewajibkan proses keamanan informasi tertentu yang harus direncanakan, dilaksanakan, dan dikendalikan. Di sinilah penilaian risiko dan penanganan risiko dilakukan.

Klausul 9—Evaluasi Kinerja adalah persyaratan yang mengharuskan organisasi untuk memantau, mengukur, menganalisis, dan mengevaluasi ISMS, memeriksa KPI secara teratur, dan melakukan audit internal. Pada interval yang ditentukan, manajemen puncak harus meninjau ISMS dan KPI yang terkait dengan ISO 27001 untuk memastikan bahwa dokumen tersebut masih relevan.

Klausul 10—Perbaikan: Setelah melakukan evaluasi kinerja, organisasi harus mengambil tindakan korektif yang diperlukan yang disebut perbaikan. Ini berarti manajemen harus bertindak untuk menghilangkan penyebab dari “ketidaksesuaian”. Selain itu, manajemen harus menerapkan proses perbaikan secara berkelanjutan.

Kontrol Lampiran A

Lampiran A dari ISO 27001:2022 mencantumkan 93 perlindungan, atau kontrol yang dapat digunakan organisasi untuk mengurangi risiko dan mematuhi persyaratan keamanan dari pihak yang berkepentingan, seperti badan regulasi dan mitra. Bagian dari dokumentasi yang diwajibkan oleh ISO 27001 adalah Pernyataan Penerapan, di mana organisasi memerinci kontrol Lampiran A spesifik yang akan diterapkan dengan menandainya sebagai “diterapkan”.

ISO 27001:2022 juga menetapkan empat domain untuk 93 kontrol tersebut:

Lampiran A.5—Kontrol organisasi mencakup 37 kontrol yang harus diterapkan dengan mendefinisikan aturan yang harus diikuti, serta perilaku yang diharapkan dari pengguna, peralatan, perangkat lunak, dan sistem (misalnya, Kebijakan Kontrol Akses).

Lampiran A.6—Kontrol orang mencakup 8 kontrol yang diterapkan dengan berbagi pengetahuan, pendidikan, keterampilan, dan/atau pengalaman dengan orang-orang untuk memberdayakan mereka agar melakukan kegiatannya masing-masing dengan cara yang melindungi keamanan informasi (misalnya, pelatihan ISO 27001).

Lampiran A.7—Kontrol fisik mencakup 14 kontrol yang diterapkan dengan melindungi dan mengamankan peralatan atau perangkat yang berinteraksi secara fisik dengan orang dan objek (misalnya, kamera CCTV atau sistem alarm).

Lampiran A.8—Kontrol teknologi mencakup 34 kontrol yang berfokus pada TI dan komunikasi, yang diimplementasikan terutama dalam sistem informasi dengan perangkat lunak, perangkat keras, dan firmware (misalnya, pencadangan atau perangkat lunak antivirus).

Sebagai catatan, Annex A pada ISO 27001:2022 memiliki 21 kontrol lebih sedikit dibandingkan versi sebelumnya, ISO 27001:2013. Jumlah kontrol ini berkurang karena terjadi penggabungan 57 kontrol, penghapusan 3 kontrol, pemertahanan 35 kontrol tanpa perubahan, dan penambahan 11 kontrol baru. Kontrol baru tersebut berfokus pada layanan cloud, kesiapan untuk keberlangsungan bisnis, intelijen ancaman, pengawasan keamanan fisik, penyembunyian data (data masking), penghapusan informasi, pencegahan kebocoran data, kegiatan pemantauan, penyaringan web, dan pengodean aman.

Perusahaan dapat menerapkan ISO 27001 untuk memanfaatkan praktik terbaik yang ditawarkannya. Mereka juga dapat memilih untuk menjalani proses sertifikasi formal, yang membuktikan kepada pelanggan dan pemangku kepentingan lainnya bahwa mereka berkomitmen dan mampu mengelola informasi secara aman dan terlindungi.

Sebelum proses sertifikasi dimulai, perusahaan harus menerapkan ISMS yang sesuai, dan tim manajemen perusahaan harus menentukan ruang lingkup ISMS untuk tujuan sertifikasi secara khusus (misalnya, mereka dapat membatasi ruang lingkup untuk satu unit bisnis atau lokasi). Sertifikasi yang dihasilkan hanya akan berlaku untuk ruang lingkup yang telah dibatasi tersebut.

Selanjutnya, ISMS harus menjalani audit sertifikasi eksternal multi-langkah oleh lembaga sertifikasi terakreditasi untuk memverifikasi kepatuhan.

Proses audit eksternal ini terdiri dari tiga tahap.

• Tahap 1: Tinjauan awal ISMS. Lembaga sertifikasi akan mengonfirmasi bahwa dokumentasi utama ada dan lengkap (misalnya, untuk Kebijakan Keamanan Informasi (Information Security Policy), Pernyataan Penerapan (Statement of Applicability, SOA), dan Rencana Penanganan Risiko (Risk Treatment Plan, RTP).
  
  
• Tahap 2: Audit kepatuhan formal. Lembaga sertifikasi melakukan audit yang lebih terperinci dengan menguji ISMS organisasi secara independen demi memastikan kepatuhannya terhadap persyaratan ISO 27001. Setelah lolos Tahap 2, organisasi akan tersertifikasi patuh ISO 27001.
  
  
• Tahap 3: Tinjauan berkelanjutan. Setelah tersertifikasi patuh ISO 27001, organisasi harus melakukan tinjauan tindak lanjut dan audit internal secara berkelanjutan untuk mengonfirmasi kepatuhannya dari waktu ke waktu.

Organisasi yang sudah memiliki sertifikasi ISO 27001 harus beralih ke versi 2022 yang baru paling lambat 31 Oktober 2025 dengan memastikan mereka memiliki ISMS yang diperbarui dan sesuai dengan standar tersebut.

Menurut laporan dari tahun 2022, ada lebih dari 70.000 sertifikat ISO 27001 di 150 negara. Meskipun sebagian besar difokuskan pada teknologi informasi (TI), sertifikat ini juga mencakup organisasi di semua sektor ekonomi.

Dengan menetapkan ISMS yang tertata dengan baik berdasarkan kepatuhan dan sertifikasi ISO 27001, organisasi dapat:

• Mengurangi kerentanan terhadap ancaman serangan siber yang terus berkembang
  
  
• Merespons lebih cepat dan efektif terhadap risiko keamanan informasi yang terus berkembang
  
  
• Membantu memastikan bahwa aset seperti laporan keuangan, kekayaan intelektual (IP), data karyawan, dan informasi yang dipercayakan kepada organisasi oleh pihak ketiga selalu utuh, rahasia, dan tersedia sesuai kebutuhan
  
  
• Menyediakan kerangka kerja keamanan informasi yang dikelola secara terpusat guna mengamankan informasi dari satu titik kontrol
  
  
• Mempersiapkan personel, proses, dan teknologi di seluruh organisasi untuk menghadapi risiko berbasis teknologi dan ancaman lainnya
  
  
• Mengamankan informasi dalam segala bentuk, baik berbasis kertas, berbasis cloud, maupun digital
  
  
• Menurunkan biaya dengan meningkatkan efisiensi dan mengurangi pengeluaran yang tidak perlu untuk teknologi keamanan siber yang tidak efektif
  
  
• Mematuhi persyaratan hukum dan regulasi
  
  
• Meningkatkan reputasi dan kepercayaan pelanggan