1. Pengenalan ISO 27001
ISO/IEC 27001 adalah standar internasional untuk Information Security Management System (ISMS) — yaitu kerangka kerja sistematis untuk mengelola keamanan informasi dalam suatu organisasi. Standar ini dikembangkan bersama oleh International Organization for Standardization (ISO) dan International Electrotechnical Commission (IEC).
Versi terbaru yang berlaku adalah ISO/IEC 27001:2022 yang dirilis pada Oktober 2022, menggantikan versi 2013. Versi baru ini mengalami perubahan signifikan terutama pada Annex A yang direstrukturisasi dari 114 kontrol menjadi 93 kontrol yang dikelompokkan dalam 4 tema utama.
Mengapa ISO 27001 Penting?
| Manfaat | Penjelasan |
|---|---|
| Perlindungan Data | Melindungi data sensitif organisasi dari ancaman internal dan eksternal |
| Kepercayaan Pelanggan | Menunjukkan komitmen terhadap keamanan informasi — meningkatkan kepercayaan |
| Kepatuhan Regulasi | Membantu memenuhi persyaratan GDPR, UU PDP, PCI DSS, dan regulasi lainnya |
| Pengurangan Risiko | Pendekatan terstruktur untuk mengidentifikasi dan mengelola risiko keamanan |
| Daya Saing | Sertifikasi ISO 27001 menjadi persyaratan dalam tender bisnis B2B |
| Kultur Keamanan | Membangun kultur keamanan informasi di seluruh organisasi |
| Bisnis Continuity | Memastikan kelangsungan bisnis melalui manajemen risiko yang efektif |
ISO 27001 dalam Keluarga Standar ISO 27000
| Standar | Fokus |
|---|---|
| ISO 27000 | Overview dan vocabulary — definisi istilah |
| ISO 27001 | ISMS Requirements — persyaratan sertifikasi |
| ISO 27002 | Code of practice — panduan implementasi kontrol |
| ISO 27005 | Information security risk management |
| ISO 27017 | Cloud security controls |
| ISO 27018 | Protection of PII in cloud |
| ISO 27701 | Privacy information management (GDPR) |
| ISO 22301 | Business continuity management |
2. ISMS — Information Security Management System
ISMS adalah kerangka kerja yang terdiri dari kebijakan, prosedur, pedoman, dan sumber daya terkait yang digunakan untuk mengelola risiko keamanan informasi. ISMS bukan sekadar tools teknologi, tetapi merupakan pendekatan holistik yang mencakup people, process, dan technology.
2.1 Tiga Pilar Keamanan Informasi (CIA Triad)
| Pilar | Deskripsi | Contoh |
|---|---|---|
| Confidentiality (Kerahasiaan) | Informasi hanya dapat diakses oleh pihak yang berwenang | Enkripsi data, access control, classification data |
| Integrity (Integritas) | Informasi akurat, lengkap, dan tidak dimodifikasi tanpa izin | Hash verification, digital signatures, audit trails |
| Availability (Ketersediaan) | Informasi tersedia saat dibutuhkan oleh pihak berwenang | Backup, redundancy, disaster recovery, DDoS protection |
2.2 Komponen ISMS
3.2 Clause 4: Context of the Organization
8.2 Estimasi Biaya & Timeline
| Item | Organisasi Kecil (<50 karyawan) |
Organisasi Menengah (50-500) |
Organisasi Besar (>500) |
|---|---|---|---|
| Gap Analysis | Rp 50-100 juta | Rp 100-250 juta | Rp 250-500 juta |
| Implementasi | 6-9 bulan | 9-15 bulan | 12-18 bulan |
| Sertifikasi Audit | Rp 80-150 juta | Rp 150-400 juta | Rp 400-800 juta |
| Surveillance (annual) | Rp 40-80 juta | Rp 80-200 juta | Rp 200-400 juta |
| Konsultan | Rp 100-300 juta | Rp 300-800 juta | Rp 800-2000 juta |
9. Best Practices Implementasi
- Dapatkan buy-in top management — Tanpa komitmen pimpinan, proyek akan gagal
- Mulai dari gap analysis — Pahami posisi saat ini sebelum memulai implementasi
- Gunakan konsultan berpengalaman — Investasi yang menghemat waktu dan uang
- Jangan over-engineer — Implementasi bertahap, fokus pada risiko tinggi dulu
- Otomasi dokumentasi — Gunakan tools GRC untuk mengelola dokumen dan audit
- Training berkelanjutan — Awareness bukan sekadar training tahunan
- Internal audit rutin — Minimal 1 kali setahun, sebelum surveillance audit
- Measurement & KPIs — Ukur efektivitas kontrol dengan metrik yang jelas
- Libatkan seluruh departemen — Keamanan tanggung jawab semua orang
- Dokumentasi yang cukup — Tidak berlebihan, tapi memenuhi persyaratan standar
10. Quiz Pemahaman
Uji pemahaman Anda tentang ISO 27001: