ISO 27001 dan ISMS

ISO/IEC 27001 adalah standar internasional untuk manajemen keamanan informasi. Berbeda dari kerangka kerja yang fleksibel, standar ini merupakan spesifikasi formal yang dapat Anda gunakan untuk memperoleh sertifikasi dari lembaga terakreditasi.

Konsep utamanya adalah ISMS, yaitu Sistem Manajemen Keamanan Informasi. ISO 27001 bukan sekadar daftar pengendalian teknis, melainkan sistem untuk mengelola keamanan sebagai proses yang dikelola secara berkelanjutan.

ISMS adalah kumpulan kebijakan, proses, peran, dan pengendalian yang digunakan organisasi untuk mengelola risiko keamanan informasi secara sistematis.

ISMS merupakan sebuah sistem manajemen, seperti sistem manajemen mutu atau lingkungan. Tujuannya bukan sekadar lulus satu kali audit, melainkan memiliki mekanisme yang terus berjalan untuk:

• Menilai risiko secara berkelanjutan.
• Menerapkan dan memelihara pengendalian.
• Mengukur efektivitas.
• Melakukan perbaikan dari waktu ke waktu.

ISMS berjalan dengan siklus peningkatan berkelanjutan PDCA:

• Rencanakan — tetapkan ruang lingkup ISMS, kebijakan, penilaian risiko, dan penanganannya.
• Laksanakan — terapkan pengendalian dan proses yang telah dipilih.
• Periksa — pantau, audit, dan ukur kinerja.
• Tindak lanjuti — perbaiki ketidaksesuaian dan lakukan peningkatan.

Itulah sebabnya sertifikasi bukan peristiwa satu kali; auditor mengharapkan bukti bahwa siklus tersebut benar-benar berjalan.

ISO 27001 pada dasarnya berbasis risiko. Anda mengidentifikasi risiko terhadap kerahasiaan, integritas, dan ketersediaan, lalu menentukan cara menangani masing-masing risiko.

Empat pilihan standar untuk menangani risiko:

Salah satu artefak penting ISO 27001 adalah Pernyataan Keberlakuan. Dokumen ini mencantumkan setiap pengendalian dari kumpulan referensi standar dan mencatat:

• Apakah pengendalian tersebut berlaku.
• Apakah pengendalian tersebut telah diterapkan.
• Alasan untuk memasukkan atau mengecualikannya.

Pernyataan Keberlakuan menghubungkan penilaian risiko Anda dengan pengendalian dan merupakan salah satu dokumen pertama yang diperiksa auditor. Mengecualikan suatu pengendalian diperbolehkan, tetapi Anda harus menjelaskan alasannya.

ISO 27001 merujuk pada katalog pengendalian dalam Lampiran A, yang dijelaskan secara terperinci dalam panduan pendamping ISO 27002. Revisi tahun 2022 mengelompokkannya ke dalam empat tema:

• Organisasi (kebijakan, pengelolaan pemasok).
• Personel (pemeriksaan latar belakang, kesadaran).
• Fisik (area aman, peralatan).
• Teknologi (akses, kriptografi, pencatatan).

Anda memilih pengendalian yang berlaku berdasarkan penilaian risiko, lalu mencatatnya dalam Pernyataan Keberlakuan.

Pada tahap awal membangun ISMS, Anda menetapkan ruang lingkupnya: bagian organisasi, sistem, dan informasi mana yang dicakup oleh ISMS.

Ruang lingkup sangat penting. Ruang lingkup yang sempit (satu lini produk) lebih cepat untuk disertifikasi, tetapi terbatas; ruang lingkup yang luas (seluruh perusahaan) lebih kredibel, tetapi memerlukan lebih banyak pekerjaan. Sertifikat mencantumkan ruang lingkup tersebut dan pelanggan akan mencermatinya, jadi tetapkan ruang lingkup secara jujur sesuai kemampuan Anda untuk mempertahankannya.

ISO 27001 mewajibkan komitmen manajemen puncak. Pimpinan harus menetapkan kebijakan keamanan, menetapkan peran, menyediakan sumber daya, dan meninjau ISMS.

Standar ini juga sejak awal memang menuntut banyak dokumentasi: kebijakan, penilaian risiko, Pernyataan Keberlakuan, prosedur, dan catatan pemantauan. Auditor berpegang pada ungkapan jika tidak didokumentasikan, berarti tidak terjadi. Bukti merupakan dasar sertifikasi.

Selain pengendalian Lampiran A, sertifikasi mengharuskan pemenuhan klausul wajib 4 hingga 10, yang menjelaskan sistem manajemen itu sendiri:

• 4 Konteks, 5 Kepemimpinan, 6 Perencanaan, 7 Dukungan.
• 8 Operasi, 9 Evaluasi kinerja, 10 Peningkatan.

Klausul-klausul ini bukan pilihan. Anda dapat menyesuaikan pengendalian Lampiran A, tetapi semua klausul sistem manajemen harus dipenuhi agar dapat disertifikasi.

Keduanya saling melengkapi, bukan bersaing:

• ISO 27001 dapat disertifikasi, diakui secara internasional, dan menekankan sistem manajemen serta tata kelola.
• NIST CSF bersifat sukarela dan fleksibel, serta menekankan hasil risiko praktis di berbagai fungsi.

Banyak organisasi menggunakan CSF untuk menyusun kemampuan operasional dan ISO 27001 untuk memformalkan serta mensertifikasi program tersebut. Kumpulan pengendalian keduanya dapat dipetakan satu sama lain secara luas.

ISMS memiliki dua pemeriksaan berkala yang menjaga siklus PDCA tetap benar-benar berjalan:

• Audit internal — tinjauan independen berkala atas ISMS berdasarkan ISO 27001 dan kebijakan internal Anda, untuk menemukan ketidaksesuaian sebelum ditemukan oleh lembaga sertifikasi.
• Tinjauan manajemen — pimpinan secara formal meninjau kinerja ISMS, hasil audit, insiden, dan perubahan risiko, lalu memutuskan perbaikan serta sumber daya yang diperlukan.

Keduanya wajib. Keduanya membuktikan bahwa sistem manajemen benar-benar hidup, bukan sekadar kumpulan dokumen statis.

Uji pemahaman Anda tentang artefak inti ISO 27001.

ISO 27001 dan ISMS:

• ISO 27001 adalah standar internasional yang dapat disertifikasi dan berpusat pada ISMS, yaitu sistem terkelola untuk menangani risiko keamanan informasi.
• ISMS berjalan dengan siklus PDCA (Rencanakan, Laksanakan, Periksa, Tindak lanjuti) untuk melakukan peningkatan berkelanjutan.
• ISMS berbasis risiko: nilai risiko, lalu kurangi, alihkan, hindari, atau terima masing-masing risiko.
• Pernyataan Keberlakuan menghubungkan risiko dengan pengendalian Lampiran A (organisasi, personel, fisik, teknologi) beserta alasannya.
• Klausul wajib 4–10 mengatur sistem manajemen; komitmen pimpinan dan dokumentasi diwajibkan. ISO 27001 melengkapi NIST CSF.