Apa itu ISO 27001?
ISO 27001, atau secara resmi dikenal sebagai ISO/IEC 27001:2022, adalah sebuah standar keamanan informasi yang dibuat oleh International Organization for Standardization (ISO). Standar ini menyediakan kerangka kerja dan pedoman untuk membangun, menerapkan, dan mengelola sistem manajemen keamanan informasi (ISMS).
Menurut dokumentasinya, ISO 27001 dikembangkan untuk “menyediakan model dalam membangun, menerapkan, mengoperasikan, memantau, meninjau, memelihara, dan meningkatkan sistem manajemen keamanan informasi.”
Spesifikasi ini mencakup detail seperti dokumentasi, tanggung jawab manajemen, audit internal, perbaikan berkelanjutan, serta tindakan korektif dan pencegahan. Standar ini menuntut kerja sama dari seluruh bagian organisasi.
Tujuan dari ISO 27001 adalah untuk membantu organisasi melindungi aset informasi penting mereka dan mematuhi persyaratan hukum serta regulasi yang berlaku.
Organisasi harus menerapkan kontrol yang ditentukan dalam ISO 27001 sesuai dengan risiko spesifik yang mereka hadapi. Sertifikasi dari pihak ketiga yang diakreditasi memang direkomendasikan untuk menunjukkan kesesuaian dengan ISO 27001, tapi tidak wajib karena kontrol yang digunakan tergantung pada risiko masing-masing organisasi.
Pengenalan ISO 27001
ISO 27001 menggunakan pendekatan dari atas ke bawah (top-down) yang berbasis risiko, dan bersifat netral terhadap teknologi. Spesifikasi ini mendefinisikan serangkaian kontrol keamanan yang dibagi ke dalam 14 bagian, masing-masing dengan persyaratan spesifik.
ISO 27001 juga mencakup tujuan kontrol dan aktivitas yang membantu organisasi mengurangi risiko kebocoran data serta insiden keamanan lainnya. Organisasi dapat menggunakan ISO 27001 sebagai bagian dari strategi keamanan informasi secara keseluruhan, atau memilih untuk disertifikasi oleh lembaga sertifikasi yang diakreditasi ISO.
Sertifikasi ISO 27001 menunjukkan komitmen organisasi dalam melindungi data penting dan mematuhi hukum serta peraturan yang berlaku.
14 Tahapan ISO 27001
ISO 27001 saat ini adalah standar keamanan informasi internasional yang paling banyak digunakan dan telah diadopsi oleh organisasi di seluruh dunia. Dengan mengikuti ISO 27001, organisasi bisa memastikan bahwa ISMS mereka mutakhir dan mengikuti praktik terbaik terkini.
Untuk itu, ISO 27001 menyediakan kerangka kerja menyeluruh yang membantu organisasi mengembangkan dan mempertahankan ISMS yang aman. ISO 27001 dibagi ke dalam 14 tahapan berikut:
- Kebijakan Keamanan Informasi
- Organisasi Keamanan Informasi
- Penilaian dan Penanganan Risiko
- Manajemen Aset
- Kontrol Akses
- Kriptografi
- Keamanan Fisik
- Keamanan Operasional
- Keamanan Komunikasi
- Pengadaan, Pengembangan, dan Pemeliharaan Sistem
- Hubungan dengan Pemasok
- Kepatuhan terhadap Hukum dan Standar Industri
- Manajemen Kualitas Informasi
- Pemantauan dan Peninjauan Risiko
Praktik Terbaik Persiapan Sertifikasi ISO 27001
ISO 27001 adalah alat yang sangat berguna bagi organisasi dalam menciptakan ISMS yang aman, tapi perlu diingat bahwa ISO 27001 adalah kerangka kerja, bukan aturan kaku yang tidak bisa diubah.
Artinya, standar ini harus dipelajari, disesuaikan, dan diterapkan sesuai kebutuhan dan kondisi unik tiap organisasi. ISO 27001 menyediakan praktik terbaik dan panduan, tapi setiap organisasi bertanggung jawab mengembangkan sistem keamanan informasi yang sesuai dengan standar ini.
Organisasi sebaiknya mencari lembaga sertifikasi terakreditasi ISO untuk menilai kepatuhan terhadap ISO 27001 serta mendapatkan pelatihan tentang topik seperti penilaian risiko, kontrol akses, kriptografi, keamanan fisik, keamanan komunikasi, dan lainnya.
Organisasi juga harus memastikan bahwa mereka memiliki sumber daya yang cukup untuk merencanakan dan menerapkan proses serta kontrol yang sesuai dengan ISO 27001.
Langkah-langkah Persiapan Sertifikasi ISO 27001
Dengan mengikuti langkah-langkah di bawah ini, organisasi bisa memastikan bahwa mereka siap untuk proses sertifikasi ISO 27001. Hal ini membantu melindungi aset data penting dan mematuhi regulasi yang berlaku:
- Langkah 1. Bangun ISMS yang sesuai dengan ISO 27001.
- Langkah 2. Identifikasi risiko dan kembangkan strategi penanganannya.
- Langkah 3. Terapkan proses dan kontrol sesuai ISO 27001.
- Langkah 4. Lakukan penilaian kepatuhan oleh lembaga sertifikasi terakreditasi.
- Langkah 5. Pantau kepatuhan ISO 27001 secara rutin.
Dengan mengikuti ISO 27001, organisasi bisa mengurangi risiko kebocoran data dan insiden keamanan lainnya, melindungi aset informasi penting, serta mematuhi persyaratan hukum dan regulasi yang berlaku.
Standar Lain dalam Keluarga 27000
Ada beberapa standar lain yang termasuk dalam keluarga ISO 27000, antara lain:
- ISO/IEC 27003 — panduan implementasi;
- ISO/IEC 27031 — ketahanan sistem;
- ISO/IEC 27005 — panduan manajemen risiko;
- ISO/IEC 27032 — panduan keamanan siber;
- ISO/IEC 27033 — panduan keamanan jaringan;
- ISO/IEC 27034 — panduan keamanan aplikasi;
- ISO/IEC 27035 — panduan manajemen insiden;
- ISO/IEC 27036 — panduan perlindungan pertukaran informasi untuk layanan cloud dan outsourcing lainnya;
- ISO/IEC 27037 — panduan penanganan bukti digital.