ISO 27001: gambaran singkat dan langkah awal sertifikasi
ISO 27001 bukan daftar perangkat yang harus dibeli, melainkan cara mengelola risiko informasi secara teratur.
Intinya: tetapkan ruang lingkup, nilai risiko, pilih kontrol, lalu tinjau dan perbaiki terus-menerus.
Edisi 2022 memuat 93 kontrol acuan dalam empat tema.
Mulai dari ruang lingkup yang kecil dan dukungan nyata dari manajemen.
ISO/IEC 27001 menetapkan persyaratan untuk membangun, menjalankan, dan memperbaiki sistem manajemen keamanan informasi. Sertifikatnya sering diminta dalam tender dan oleh pelanggan korporat sebagai bukti bahwa keamanan dikelola secara sistematis.
Isi standar secara ringkas
Standar ini terdiri atas dua bagian. Klausul 4 sampai 10 berisi persyaratan sistem manajemen: konteks organisasi, kepemimpinan, perencanaan, dukungan, operasi, evaluasi kinerja, dan perbaikan. Annex A berisi daftar kontrol acuan. Pada edisi 2022 jumlahnya 93 kontrol dalam empat tema:
- Organisasi: kebijakan, pengelolaan aset, pemasok, penanganan insiden.
- Orang: penyaringan, pelatihan, kewajiban kerahasiaan.
- Fisik: akses ruangan, perlindungan perangkat.
- Teknologi: kontrol akses, kriptografi, backup, logging, pengembangan aman.
Tidak semua kontrol wajib diterapkan. Organisasi memilih berdasarkan hasil penilaian risiko dan mencatat alasannya dalam Statement of Applicability (SoA).
Langkah awal
- Dapatkan komitmen manajemen. Tanpa anggaran dan penanggung jawab yang jelas, proyek akan berhenti di dokumen.
- Tetapkan ruang lingkup. Mulai dari satu layanan atau satu unit, bukan seluruh perusahaan.
- Lakukan analisis kesenjangan antara kondisi sekarang dan persyaratan standar.
- Nilai risiko. Daftar aset informasi, ancamannya, dampak, dan kemungkinan terjadi.
- Susun rencana penanganan risiko dan SoA.
- Terapkan kontrol dan kumpulkan bukti bahwa kontrol itu berjalan.
- Audit internal dan tinjauan manajemen.
- Audit sertifikasi oleh lembaga sertifikasi terakreditasi, biasanya dalam dua tahap.
Kesalahan umum
- Menyalin templat kebijakan tanpa menyesuaikannya dengan cara kerja nyata.
- Ruang lingkup terlalu luas pada percobaan pertama.
- Menganggapnya proyek tim TI saja, padahal HR, legal, dan operasional ikut terlibat.
- Berhenti setelah sertifikat terbit. Ada audit pengawasan tiap tahun dan sertifikasi ulang tiap tiga tahun.
Kaitannya dengan regulasi
SMKI yang berjalan baik membantu memenuhi kewajiban lain, seperti perlindungan data pribadi dan ketentuan sektor keuangan. Namun sertifikat ISO 27001 tidak otomatis berarti patuh pada regulasi tertentu; pemetaannya tetap perlu dilakukan.