Apa Itu ISO 27001 dan Manfaatnya bagi Organisasi

ISO 27001 adalah standar internasional yang menetapkan persyaratan untuk membangun, menjalankan, memelihara, dan terus memperbaiki sistem manajemen keamanan informasi (SMKI, atau ISMS dalam bahasa Inggris). Artikel ini menjelaskan isi standar tersebut, struktur kontrolnya, manfaatnya bagi organisasi, dan gambaran proses sertifikasinya.

Apa Itu ISO 27001?

ISO 27001 diterbitkan oleh International Organization for Standardization bersama IEC dengan nama resmi ISO/IEC 27001. Standar ini berlaku untuk organisasi dari jenis dan ukuran apa pun, mulai dari perusahaan rintisan hingga instansi besar. Yang diatur bukan produk teknis tertentu, melainkan sistem manajemennya: bagaimana organisasi menilai risiko, memilih kontrol, menjalankannya, mengukurnya, lalu memperbaikinya.

Tujuannya adalah menjaga kerahasiaan, integritas, dan ketersediaan informasi melalui proses manajemen risiko, serta memberi keyakinan kepada pihak berkepentingan bahwa risiko tersebut dikelola dengan baik. Ketiga tujuan itu dikenal sebagai CIA triad, dan konsep dasar disiplinnya dijelaskan dalam artikel pengertian cyber security. Ringkasan standar ini dapat dibaca di halaman ensiklopedia tentang ISO/IEC 27001.

Versi ISO 27001 yang berlaku

Edisi ketiga standar ini terbit pada Oktober 2022 dan menggantikan edisi 2013. Edisi tersebut diselaraskan dengan struktur standar sistem manajemen ISO yang seragam dan dengan ISO/IEC 27002:2022, yaitu panduan penerapan kontrolnya. Pada Februari 2024 terbit amendemen ISO/IEC 27001:2022/Amd 1:2024 tentang tindakan terkait perubahan iklim, yang menambahkan persyaratan agar organisasi menentukan apakah perubahan iklim menjadi isu yang relevan.

Lembaga sertifikasi terakreditasi diwajibkan memindahkan klien bersertifikat ke edisi 2022 paling lambat 31 Oktober 2025. Artinya, organisasi yang kini mengejar sertifikasi perlu menggunakan edisi 2022. Selalu pastikan versi terbaru bersama lembaga sertifikasi yang Anda pilih.

Bagaimana ISO 27001 Bekerja?

Persyaratan inti ada pada klausul 4 sampai 10, yang kira-kira mencakup:

• Konteks organisasi: memahami isu internal dan eksternal serta kebutuhan pihak berkepentingan, lalu menentukan ruang lingkup.
• Kepemimpinan: komitmen pimpinan, kebijakan keamanan informasi, dan pembagian peran.
• Perencanaan: penilaian dan penanganan risiko serta sasaran keamanan.
• Dukungan: sumber daya, kompetensi, kesadaran, komunikasi, dan dokumentasi.
• Operasi: menjalankan rencana penanganan risiko.
• Evaluasi kinerja: pemantauan, audit internal, dan tinjauan manajemen.
• Perbaikan: menangani ketidaksesuaian dan terus meningkatkan sistem.

Annex A: kumpulan kontrol referensi

Edisi 2022 memuat 93 kontrol dalam Annex A, dikelompokkan menjadi empat tema: organisasi, manusia, fisik, dan teknologi. Edisi 2013 sebelumnya memuat 114 kontrol dalam 14 klausul. Annex A berfungsi sebagai rujukan, bukan daftar centang yang wajib dipenuhi seluruhnya. Organisasi menyusun Statement of Applicability (SoA) yang menjelaskan kontrol mana yang dipakai atau dikecualikan beserta alasannya, berdasarkan hasil penilaian risiko.

Manfaat ISO 27001 bagi Organisasi

• Manajemen risiko yang terstruktur: risiko keamanan informasi diidentifikasi, dinilai, dan ditangani secara sistematis.
• Kepercayaan pelanggan dan mitra: sertifikat dari lembaga independen menunjukkan komitmen yang dapat diperiksa, dan sering diminta dalam tender serta kerja sama bisnis.
• Pemenuhan kewajiban: kerangka ini membantu organisasi menata kontrol yang mendukung kepatuhan, misalnya terhadap UU PDP. Kewajibannya dijelaskan di artikel UU PDP bagi perusahaan.
• Tanggung jawab yang jelas: peran, kebijakan, dan prosedur terdokumentasi sehingga keamanan tidak bergantung pada satu orang.
• Perbaikan berkelanjutan: audit internal dan tinjauan manajemen menjaga sistem tetap relevan.

Perlu dicatat bahwa sertifikat tidak menjamin organisasi tidak akan diretas. Ia membuktikan sistem manajemen berjalan sesuai standar dalam ruang lingkup yang tertera, bukan bahwa setiap sistem bebas celah.

Proses Sertifikasi ISO 27001

Sertifikasi bersifat opsional kecuali diwajibkan oleh hukum, kontrak, atau skema tertentu. Prosesnya dijalankan lembaga sertifikasi independen melalui audit dua tahap: tahap 1 memeriksa kesiapan dokumentasi, tahap 2 menguji penerapan secara rinci. Setelah sertifikat terbit, audit pengawasan dilakukan berkala, dengan yang pertama dalam dua belas bulan, dan resertifikasi umumnya dilakukan setiap tiga tahun. Sertifikat hanya berlaku pada ruang lingkup yang tertulis di dalamnya. Biaya bergantung pada ukuran organisasi, ruang lingkup, dan lembaga sertifikasi, sehingga sebaiknya Anda meminta penawaran langsung.

Kesalahan umum saat menerapkan ISO 27001

Beberapa jebakan yang sering terjadi: menetapkan ruang lingkup terlalu luas sehingga proyek tidak terkendali, menyalin dokumen kebijakan dari templat tanpa menyesuaikannya dengan praktik nyata, menyerahkan seluruh pekerjaan kepada satu orang, dan menganggap sertifikat sebagai garis akhir. Auditor menilai apakah organisasi benar-benar menjalankan apa yang tertulis, sehingga dokumen yang tidak dipraktikkan justru menjadi temuan.

Langkah persiapan yang umum

1. Tentukan ruang lingkup dan dukungan pimpinan.
2. Inventarisasi aset informasi dan lakukan penilaian risiko.
3. Susun rencana penanganan risiko dan SoA.
4. Terapkan kontrol, termasuk pelatihan seperti security awareness training bagi karyawan.
5. Lakukan audit internal dan tinjauan manajemen.
6. Jalani audit sertifikasi dan tindak lanjuti temuan.

Hubungan dengan pengujian keamanan teknis

Standar ini mengatur sistem manajemen, bukan teknik pengujian. Namun profesional yang menjalankan uji penetrasi atau penilaian kerentanan akan lebih efektif bila memahami bahasa ISO 27001, karena temuan teknis dapat dihubungkan dengan risiko, kontrol, dan tanggung jawab di organisasi klien. Pengujian ini harus selalu dilakukan dengan izin tertulis. Untuk memahami kapan organisasi membutuhkannya, lihat jasa penetration testing.

Baca juga: Masalah Keamanan Data pada Cloud Computing.

Pertanyaan yang Sering Diajukan

Apakah ISO 27001 wajib?

Tidak secara umum. Sertifikasi bersifat sukarela, kecuali diwajibkan oleh regulasi sektor, kontrak pelanggan, atau tender tertentu.

Apa bedanya ISO 27001 dan ISO 27002?

ISO 27001 memuat persyaratan sistem manajemen yang dapat diaudit untuk sertifikasi. ISO 27002 adalah panduan penerapan kontrol keamanan, dan edisi 2022-nya selaras dengan Annex A pada ISO 27001:2022.

Berapa lama masa berlaku sertifikatnya?

Siklus sertifikasi umumnya tiga tahun, dengan audit pengawasan di antaranya, lalu resertifikasi.

Apakah standar ini hanya untuk perusahaan teknologi?

Tidak. Standar ini dirancang untuk organisasi apa pun yang mengelola informasi penting, termasuk bank, rumah sakit, sekolah, dan instansi pemerintah.

Kesimpulan

ISO 27001 memberi kerangka yang terukur untuk mengelola keamanan informasi: nilai risikonya, pilih kontrolnya, jalankan, ukur, dan perbaiki. Manfaatnya terasa paling besar ketika standar ini dijalankan sebagai kebiasaan organisasi, bukan sekadar mengejar sertifikat. Bila organisasi Anda membutuhkan penilaian keamanan teknis sebagai bagian dari persiapan, Linuxhackingid menyediakan jasa keamanan untuk organisasi yang dapat Anda tinjau langsung.