> ## Content Index
> Fetch the complete content index at: https://blog.awansiber.co.id/llms.txt
> Use this file to discover other available public pages before exploring further.

# ISO 27001: gambaran singkat dan langkah awal sertifikasi
- URL: https://blog.awansiber.co.id/iso-27001-langkah-awal/
- Published: 2026-10-29T02:00:00.000Z
- Updated: 2026-10-29T02:00:00.000Z
- Description: ISO 27001 bukan daftar perangkat yang harus dibeli, melainkan cara mengelola risiko informasi secara teratur.
- Author: Awan Siber
- Tags: Kepatuhan & Regulasi

ISO/IEC 27001 adalah standar sistem manajemen keamanan informasi (SMKI).  
Intinya: tetapkan ruang lingkup, nilai risiko, pilih kontrol, lalu tinjau dan perbaiki terus-menerus.  
Edisi 2022 memuat 93 kontrol acuan dalam empat tema.  
Mulai dari ruang lingkup yang kecil dan dukungan nyata dari manajemen.

ISO/IEC 27001 menetapkan persyaratan untuk membangun, menjalankan, dan memperbaiki sistem manajemen keamanan informasi. Sertifikatnya sering diminta dalam tender dan oleh pelanggan korporat sebagai bukti bahwa keamanan dikelola secara sistematis.

## Isi standar secara ringkas

Standar ini terdiri atas dua bagian. Klausul 4 sampai 10 berisi persyaratan sistem manajemen: konteks organisasi, kepemimpinan, perencanaan, dukungan, operasi, evaluasi kinerja, dan perbaikan. Annex A berisi daftar kontrol acuan. Pada edisi 2022 jumlahnya 93 kontrol dalam empat tema:

- **Organisasi**: kebijakan, pengelolaan aset, pemasok, penanganan insiden.
- **Orang**: penyaringan, pelatihan, kewajiban kerahasiaan.
- **Fisik**: akses ruangan, perlindungan perangkat.
- **Teknologi**: kontrol akses, kriptografi, backup, logging, pengembangan aman.

Tidak semua kontrol wajib diterapkan. Organisasi memilih berdasarkan hasil penilaian risiko dan mencatat alasannya dalam *Statement of Applicability* (SoA).

## Langkah awal

1. **Dapatkan komitmen manajemen.** Tanpa anggaran dan penanggung jawab yang jelas, proyek akan berhenti di dokumen.
2. **Tetapkan ruang lingkup.** Mulai dari satu layanan atau satu unit, bukan seluruh perusahaan.
3. **Lakukan analisis kesenjangan** antara kondisi sekarang dan persyaratan standar.
4. **Nilai risiko.** Daftar aset informasi, ancamannya, dampak, dan kemungkinan terjadi.
5. **Susun rencana penanganan risiko dan SoA.**
6. **Terapkan kontrol dan kumpulkan bukti** bahwa kontrol itu berjalan.
7. **Audit internal dan tinjauan manajemen.**
8. **Audit sertifikasi** oleh lembaga sertifikasi terakreditasi, biasanya dalam dua tahap.

## Kesalahan umum

- Menyalin templat kebijakan tanpa menyesuaikannya dengan cara kerja nyata.
- Ruang lingkup terlalu luas pada percobaan pertama.
- Menganggapnya proyek tim TI saja, padahal HR, legal, dan operasional ikut terlibat.
- Berhenti setelah sertifikat terbit. Ada audit pengawasan tiap tahun dan sertifikasi ulang tiap tiga tahun.

## Kaitannya dengan regulasi

SMKI yang berjalan baik membantu memenuhi kewajiban lain, seperti perlindungan data pribadi dan ketentuan sektor keuangan. Namun sertifikat ISO 27001 tidak otomatis berarti patuh pada regulasi tertentu; pemetaannya tetap perlu dilakukan.