Apa itu ISO/IEC 27001?
ISO 27001 adalah standar internasional yang berfokus pada keamanan informasi. ISO/IEC 27001 adalah standar internasional yang diakui, diterbitkan oleh Organisasi Internasional untuk Standardisasi (ISO) dan Komisi Elektroteknika Internasional (IEC), yang dikembangkan untuk membantu organisasi dari berbagai ukuran dan industri melindungi informasi mereka secara sistematis dan hemat biaya melalui penerapan Sistem Manajemen Keamanan Informasi (ISMS). Standar ini menetapkan persyaratan untuk menerapkan dan memelihara ISMS yang efektif guna melindungi dari risiko keamanan informasi. Organisasi yang memperoleh sertifikasi ISO/IEC 27001 memperkuat kemampuannya untuk melindungi diri dari serangan siber dan mencegah akses yang tidak diinginkan ke informasi sensitif dan rahasia.
Apa itu ISO 27002?
ISO 27002 adalah standar pelengkap yang berfokus pada pengendalian keamanan informasi yang mungkin dipilih oleh organisasi untuk diterapkan. Terdaftar dalam Lampiran A ISO 27001, pengendalian-pengendalian inilah yang sering dirujuk oleh para ahli keamanan informasi saat membahas pengendalian keamanan informasi. Namun, sementara Lampiran A menguraikan setiap pengendalian dalam satu atau dua kalimat, ISO 27002 mendedikasikan rata-rata satu halaman per pengendalian. Standar ini menjelaskan cara kerja setiap pengendalian, tujuannya, dan cara menerapkannya.
Apa perbedaan antara ISO 27001 dan ISO 27002?
ISO 27001 adalah standar manajemen keamanan informasi internasional, sedangkan ISO 27002 adalah standar pendukung yang memandu cara menerapkan pengendalian keamanan informasi. Perlu dicatat bahwa sertifikasi hanya dapat diperoleh untuk standar ISO yang berakhiran “1”.
Bagaimana cara kerja ISO 27001?
Tugas utama ISO 27001 adalah melindungi kerahasiaan, integritas, dan informasi perusahaan. Dengan melakukan penilaian risiko, Anda dapat menentukan langkah-langkah yang perlu diambil untuk mencegah masalah tersebut (misalnya, mitigasi risiko atau penanganan risiko). Oleh karena itu, filosofi utama ISO 27001 adalah mengelola risiko, mengidentifikasi di mana risiko tersebut berada, dan kemudian menanganinya melalui penerapan kontrol keamanan (atau pengamanan).
Mengapa ISO 27001 penting?
Standar ini memberikan informasi yang diperlukan kepada perusahaan untuk melindungi informasi paling berharga mereka. Perusahaan juga dapat memperoleh sertifikasi ISO 27001. Individu dapat memperoleh sertifikasi ISO 27001 dengan mengikuti kursus, lulus ujian, dan membuktikan keterampilan mereka. ISO 27001 mudah dikenali di seluruh dunia, sehingga meningkatkan peluang bisnis bagi organisasi dan profesional.
Kapan Anda sebaiknya menggunakan masing-masing standar?
ISO 27001 dan ISO 27002 memiliki tujuan yang berbeda. Jika Anda baru memulai dengan standar ini atau merencanakan kerangka kerja implementasi ISMS, maka ISO 27001 adalah pilihan yang ideal. Setelah Anda mengidentifikasi kontrol yang akan diterapkan, Anda sebaiknya merujuk ke ISO 27002 untuk mempelajari lebih lanjut tentang cara kerja masing-masing kontrol tersebut.
Apa itu ISMS?
Sistem Manajemen Keamanan Informasi (ISMS) adalah seperangkat aturan yang perlu ditetapkan oleh perusahaan:
- Mengidentifikasi pemangku kepentingan dan harapan mereka terhadap perusahaan terkait keamanan informasi.
- Mengidentifikasi risiko apa saja yang ada.
- Menentukan kontrol untuk memenuhi harapan tersebut dan menangani risiko.
- Menetapkan tujuan yang jelas mengenai apa yang perlu dilakukan terkait keamanan informasi.
- Menerapkan semua pengendalian dan metode penanganan risiko lainnya.
- Ukur secara berkelanjutan pengendalian yang telah diterapkan dan pastikan pengendalian tersebut berfungsi sesuai harapan.
- Lakukan perbaikan berkelanjutan agar seluruh Sistem Manajemen Keamanan Informasi (ISMS) berfungsi lebih baik.
Hal ini dapat dituangkan dalam bentuk kebijakan, prosedur, dan dokumen lainnya, atau dalam bentuk proses dan teknologi yang telah ditetapkan namun tidak didokumentasikan.
Mengapa kita membutuhkan ISMS?
Ada empat manfaat bisnis utama yang dapat diraih perusahaan dengan penerapan standar ini:
- Mematuhi persyaratan hukum – terdapat banyak undang-undang, peraturan, dan persyaratan kontrak yang berkaitan dengan keamanan informasi. Kabar baiknya adalah sebagian besar persyaratan tersebut dapat dipenuhi dengan menerapkan ISO 27001.
- Mendapatkan keunggulan kompetitif – jika perusahaan Anda mendapatkan sertifikasi, Anda mungkin memiliki keunggulan dibandingkan pesaing di mata pelanggan yang sangat memperhatikan keamanan informasi mereka.
- Mengurangi biaya – filosofi utama ISO 27001 adalah mencegah insiden keamanan. Setiap insiden, baik besar maupun kecil, menimbulkan biaya. Dengan mencegahnya, perusahaan Anda akan menghemat biaya.
- Organisasi yang lebih baik – Perusahaan yang berkembang pesat tidak memiliki waktu untuk berhenti sejenak dan mendefinisikan proses serta prosedur mereka; oleh karena itu, karyawan sering kali tidak mengetahui apa yang perlu dilakukan, kapan, dan oleh siapa. Penerapan ISO 27001 membantu mengatasi situasi tersebut dengan mendorong perusahaan untuk mendokumentasikan proses utama mereka.
Apa saja manfaat sertifikasi ISO/IEC 27001?
Organisasi yang mensertifikasi ISMS mereka sesuai dengan persyaratan ISO/IEC 27001 memperoleh beberapa manfaat signifikan, termasuk kepatuhan terhadap peraturan, pendekatan sistematis, pengurangan risiko, pengurangan biaya, dan keunggulan di pasar.
Bagaimana cara menerapkan pengendalian ISO 27001?
Pengendalian teknis - Terutama diterapkan dalam sistem informasi, menggunakan komponen perangkat lunak, perangkat keras, dan firmware.
Pengendalian organisasi - Diterapkan dengan menetapkan aturan yang harus dipatuhi oleh pengguna, peralatan, perangkat lunak, dan sistem.
Kontrol hukum - Diterapkan dengan memastikan bahwa aturan-aturan tersebut mengikuti dan menegakkan undang-undang, peraturan, kontrak, dan instrumen hukum serupa lainnya yang harus dipatuhi oleh organisasi.
Pengendalian fisik - Diterapkan dengan menggunakan peralatan atau perangkat yang berinteraksi secara fisik dengan orang dan benda.
Pengendalian sumber daya manusia - Dilaksanakan dengan memberikan pengetahuan, pendidikan, keterampilan, atau pengalaman kepada orang-orang agar mereka dapat melaksanakan aktivitasnya dengan aman.
Apakah ISO 27001 wajib?
Di sebagian besar negara, penerapan ISO 27001 tidak wajib, tetapi beberapa negara telah menerbitkan peraturan yang mewajibkan beberapa industri untuk menerapkan ISO 27001. Untuk menentukan apakah ISO 27001 wajib bagi perusahaan Anda, Anda sebaiknya mencari nasihat hukum dari ahli di negara tempat Anda beroperasi.
Apakah ISO 27001 merupakan persyaratan hukum?
Organisasi publik dan swasta dapat menetapkan kepatuhan terhadap ISO 27001 sebagai persyaratan hukum dalam kontrak dan perjanjian layanan mereka. Negara-negara dapat menetapkan undang-undang atau peraturan terkait ISO 27001 sebagai persyaratan hukum yang harus dipenuhi oleh organisasi yang beroperasi di wilayah mereka.
Bagaimana ISO 27002:2022 yang baru akan memengaruhi ISO 27001?
Perubahan pada serangkaian pengendalian yang diterbitkan dalam ISO 27002:2022 akan tercermin dalam Lampiran A dari ISO 27001:2022. Organisasi yang menerapkan ISO 27001 atau mengelola ISMS yang sudah ada harus mencerminkan perubahan pada serangkaian pengendalian tersebut dalam kerangka kerja manajemen mereka. Anda tidak perlu segera melakukan perubahan, karena akan ada masa transisi.
Kapan organisasi harus beralih ke daftar pengendalian yang baru?
Saat ini, hanya ISO 27002:2022 yang telah diterbitkan, sedangkan ISO 27001:2022 diperkirakan akan diterbitkan pada akhir tahun ini. Setelah standar baru diterbitkan, kami memperkirakan akan ada masa transisi sekitar 2 tahun untuk memungkinkan penerapan perubahan tersebut. Kemungkinan besar, lembaga sertifikasi juga akan membutuhkan waktu untuk menafsirkan dan mengadopsi standar baru serta perubahan pada rangkaian pengendaliannya.
