Bagian
Referensi: ISO/IEC 27001:2022 (diterbitkan Oktober 2022, transisi selesai Oktober 2025)
Penerbit: International Organization for Standardization (ISO) & International Electrotechnical Commission (IEC)
Status 2025: Seluruh sertifikasi ISO 27001:2013 telah kedaluwarsa per 31 Oktober 2025. Satu-satunya versi yang berlaku saat ini adalah ISO/IEC 27001:2022
Di antara berbagai framework dan standar keamanan informasi, ISO 27001 memiliki satu keistimewaan yang tidak dimiliki yang lain: sertifikasi yang diakui secara internasional.
NIST CSF memberikan panduan tentang bagaimana mengelola risiko. CIS Controls memberikan tindakan teknis yang spesifik. Namun ketika sebuah perusahaan fintech Indonesia ingin bermitra dengan bank di Singapura, ketika startup SaaS ingin masuk ke pasar enterprise Eropa, atau ketika vendor pemerintah perlu membuktikan standar keamanannya kepada regulator — mereka membutuhkan sesuatu yang dapat diverifikasi oleh pihak ketiga independen. Di sinilah ISO 27001 berdiri sendiri.
ISO/IEC 27001 adalah standar internasional untuk Information Security Management System (ISMS) — sistem manajemen yang mendefinisikan persyaratan untuk menetapkan, mengimplementasikan, memelihara, dan terus meningkatkan keamanan informasi dalam konteks organisasi.
Dalam bahasa bisnis: ISO 27001 bukan sekadar daftar kontrol teknis. Ini adalah sistem manajemen — seperti ISO 9001 untuk quality management — yang memastikan keamanan informasi dikelola secara sistematis, terukur, dan dapat diaudit oleh pihak ketiga yang terakreditasi.
Periode transisi tiga tahun dari ISO 27001:2013 ke ISO 27001:2022 berakhir pada 31 Oktober 2025. Seluruh sertifikasi ISO 27001:2013 kini telah kedaluwarsa.
Implikasi yang perlu dipahami:
Organisasi yang baru mengajukan sertifikasi harus menggunakan versi 2022
Organisasi yang sudah tersertifikasi 2013 dan belum bertransisi kini dianggap tidak tersertifikasi
Audit transisi harus diselesaikan sebelum 31 Oktober 2025
Standar 2022 juga mengalami amandemen 2024 yang memperkenalkan pertimbangan lingkungan, mewajibkan organisasi untuk menilai dampak cuaca ekstrem terhadap keamanan informasi
ISO 27001:2022 terdiri dari dua komponen yang sama pentingnya:
Ini adalah "management system" dari ISO 27001 — persyaratan yang wajib dipenuhi untuk mendapatkan sertifikasi. Tidak ada pilihan untuk mengecualikan bagian mana pun.
Ini adalah katalog 93 kontrol keamanan yang dapat dipilih berdasarkan hasil risk assessment. Annex A bergerak dari 114 kontrol menjadi 93 kontrol dan kini diorganisasi dalam 4 tema sebagai pengganti 14 kategori sebelumnya.
Memahami organisasi dan konteksnya: siapa pemangku kepentingan, apa kebutuhan dan ekspektasi mereka, dan apa ruang lingkup ISMS. Ini adalah titik awal yang menentukan segalanya — ISMS yang dibangun tanpa pemahaman konteks yang baik akan selalu tidak relevan.
Perubahan di 2022: Klausul 4.2 menambahkan persyaratan bahwa organisasi harus menentukan kebutuhan mana dari pemangku kepentingan yang akan ditangani melalui ISMS.
Komitmen manajemen puncak terhadap ISMS bukan sekadar formalitas — ini adalah persyaratan standar yang harus dapat dibuktikan. Top management harus:
Menetapkan kebijakan keamanan informasi
Memastikan integrasi ISMS ke dalam proses bisnis
Menyediakan sumber daya yang dibutuhkan
Mengkomunikasikan pentingnya keamanan informasi
Implikasi eksekutif: ISO 27001 secara eksplisit menempatkan tanggung jawab di pundak top management — bukan hanya tim IT. Dewan direksi yang menandatangani komitmen ISO 27001 secara legal dan moral bertanggung jawab atas efektivitasnya.
Proses untuk mengidentifikasi risiko dan peluang, menetapkan tujuan keamanan informasi, dan merencanakan cara mencapainya.
Perubahan di 2022: Klausul 6.3 baru tentang "Planning of Changes" — perubahan pada ISMS harus direncanakan secara formal, termasuk jika berlaku transisi dari versi 2013 ke 2022.
Sumber daya, kompetensi, kesadaran, komunikasi, dan dokumentasi yang mendukung ISMS. Ini mencakup persyaratan tentang pelatihan dan awareness — memastikan tidak hanya tim keamanan, tetapi seluruh organisasi memahami perannya.
Perencanaan, implementasi, dan pengendalian proses untuk memenuhi persyaratan keamanan informasi. Termasuk risk assessment dan risk treatment yang harus dilakukan secara berkala.
Monitoring, measurement, analisis, dan evaluasi efektivitas ISMS. Termasuk internal audit dan management review. Dengan perubahan di 2022, kini jelas bahwa organisasi harus mengevaluasi kinerja ISMS-nya, tidak hanya memantaunya.
Proses untuk menangani ketidaksesuaian, mengambil tindakan korektif, dan terus meningkatkan ISMS. Ini adalah siklus PDCA (Plan-Do-Check-Act) yang menjadi DNA dari semua standar ISO management system.
Perubahan paling signifikan di ISO 27001:2022 adalah restrukturisasi Annex A. Jumlah kontrol berkurang dari 114 menjadi 93, menyederhanakan kategori dan menyelaraskan dengan lingkungan kerja hybrid dan remote yang modern.
Tidak ada kontrol dari versi sebelumnya yang dihapus — yang terjadi adalah konsolidasi dan reorganisasi.
Kebijakan, proses, dan tanggung jawab yang bersifat organisasional. Mencakup manajemen risiko, hubungan dengan supplier, kepatuhan hukum, dan governance keamanan informasi.
Kontrol kunci:
5.1 Policies for information security
5.7 Threat intelligence (baru di 2022)
5.23 Information security for use of cloud services (baru di 2022)
5.30 ICT readiness for business continuity (baru di 2022)
Keamanan yang berkaitan dengan sumber daya manusia — dari sebelum, selama, hingga setelah masa kerja.
Kontrol kunci:
6.1 Screening (verifikasi latar belakang karyawan)
6.3 Information security awareness, education, and training
6.5 Responsibilities after termination or change of employment
6.8 Information security event reporting
Keamanan fisik aset dan fasilitas — dari akses ke gedung hingga perlindungan peralatan.
Kontrol kunci:
7.1 Physical security perimeters
7.4 Physical security monitoring (baru di 2022)
7.9 Security of assets off-premises
7.14 Secure disposal or re-use of equipment
Kontrol teknis untuk sistem informasi, jaringan, aplikasi, dan data. Ini adalah tema yang paling banyak mengalami penambahan kontrol baru.
Kontrol kunci:
8.2 Privileged access rights
8.7 Protection against malware
8.8 Management of technical vulnerabilities
8.9 Configuration management (baru di 2022)
8.10 Information deletion (baru di 2022)
8.11 Data masking (baru di 2022)
8.12 Data leakage prevention (baru di 2022)
8.16 Monitoring activities (baru di 2022)
8.23 Web filtering (baru di 2022)
8.28 Secure coding (baru di 2022)
ISO 27001:2022 memperkenalkan 11 kontrol baru di bagian Annex, mencakup area yang sudah dipraktikkan organisasi namun kini secara formal dimasukkan ke dalam standar.
Kontrol Baru | Nomor | Relevansi |
|---|---|---|
Threat Intelligence | 5.7 | Organisasi harus mengumpulkan dan menganalisis intelijen ancaman |
Cloud Services Security | 5.23 | Mengatur penggunaan layanan cloud secara aman |
ICT Readiness for BC | 5.30 | Kesiapan ICT untuk kelangsungan bisnis |
Physical Security Monitoring | 7.4 | Monitoring fisik area sensitif |
Configuration Management | 8.9 | Mengelola konfigurasi hardware dan software |
Information Deletion | 8.10 | Penghapusan data yang aman dan terverifikasi |
Data Masking | 8.11 | Penyamaran data untuk melindungi privasi |
Data Leakage Prevention | 8.12 | Mencegah kebocoran data (DLP) |
Monitoring Activities | 8.16 | Pemantauan aktivitas sistem |
Web Filtering | 8.23 | Penyaringan akses web |
Secure Coding | 8.28 | Praktik pengembangan yang aman |
Signifikansi bisnis
Sebelas kontrol baru ini mencerminkan realitas keamanan modern — cloud adoption, supply chain risks, data privacy, dan DevSecOps. Organisasi yang belum mengimplementasikan kontrol-kontrol ini memiliki gap yang perlu ditutup.
Statement of Applicability (SoA) adalah dokumen yang mendefinisikan kontrol Annex A mana yang diterapkan oleh organisasi, mengapa, dan mana yang dikecualikan beserta justifikasinya.
SoA adalah artefak unik yang tidak ada di framework lain — ia membuktikan bahwa organisasi telah melakukan risk assessment yang matang dan membuat keputusan yang terdokumentasi tentang kontrol keamanannya.
SoA wajib mencakup: kontrol yang diperlukan, justifikasi untuk penyertaan, status implementasi, dan justifikasi untuk pengecualian kontrol.
Mengapa SoA penting untuk eksekutif
SoA adalah dokumen yang paling sering diminta oleh pelanggan enterprise, auditor eksternal, dan regulator sebagai bukti bahwa organisasi memiliki program keamanan yang matang dan berbasis risiko.
Bandingkan kondisi ISMS saat ini dengan persyaratan ISO 27001:2022. Identifikasi gap di klausul 4–10 dan kontrol Annex A yang belum diimplementasikan.
Tetapkan ruang lingkup ISMS
Lakukan risk assessment formal
Buat Statement of Applicability
Implementasikan kontrol yang diperlukan
Buat dokumentasi yang dipersyaratkan
Audit internal untuk memverifikasi efektivitas ISMS sebelum audit eksternal. Temuan harus ditindaklanjuti dan didokumentasikan.
Top management mereview kinerja ISMS dan menetapkan tindakan perbaikan. Ini bukan formalitas — ini adalah bukti komitmen kepemimpinan yang diperiksa auditor.
Auditor dari certification body terakreditasi mereview dokumentasi ISMS — apakah rancangan memenuhi persyaratan standar.
Auditor memeriksa implementasi aktual di lapangan — apakah yang tertulis benar-benar dilakukan. Ini adalah audit yang paling intensif.
Jika tidak ada major nonconformity, sertifikat ISO 27001:2022 diterbitkan. Berlaku 3 tahun dengan surveillance audit tahunan.
Timeline realistis
Organisasi yang belum pernah memiliki ISMS formal membutuhkan 9–18 bulan dari nol hingga tersertifikasi. Organisasi yang sudah memiliki program keamanan yang mature dapat menyelesaikannya dalam 6–9 bulan.
Biaya sertifikasi ISO 27001 sangat bervariasi tergantung ukuran organisasi, ruang lingkup, dan certification body yang dipilih:
Komponen Biaya | Estimasi (Indonesia) |
|---|---|
Gap Assessment / Konsultan Persiapan | Rp 50–500 juta |
Implementasi (jika butuh tools tambahan) | Rp 100 juta – 1 miliar+ |
Stage 1 & Stage 2 Audit (Certification Body) | Rp 50–200 juta |
Surveillance Audit Tahunan | Rp 30–100 juta/tahun |
Recertification (setiap 3 tahun) | Rp 50–150 juta |
Catatan: Angka di atas adalah estimasi kasar. Biaya aktual sangat bergantung pada ukuran organisasi, jumlah lokasi, dan ruang lingkup sertifikasi.
ROI yang sering tidak diperhitungkan:
Akses ke kontrak enterprise dan pemerintah yang mensyaratkan ISO 27001
Pengurangan premi asuransi siber
Penghematan dari insiden yang berhasil dicegah
Kepercayaan pelanggan yang meningkat — khususnya dalam proses due diligence
ISO 27001 sudah cukup dikenal di Indonesia, terutama di sektor-sektor berikut:
Sektor dengan adopsi tertinggi:
Perbankan dan keuangan — didorong regulasi OJK dan ekspektasi nasabah korporat
Telekomunikasi — Telkom Group, XL, Indosat sudah tersertifikasi
Teknologi informasi dan outsourcing IT — prasyarat kontrak dari klien global
E-commerce dan fintech — untuk kepercayaan investor dan mitra internasional
Data center — persyaratan dari tenant enterprise internasional
Sektor yang masih rendah adopsinya:
Manufaktur
Layanan kesehatan
Pendidikan tinggi
Pemerintah daerah
Regulasi | Kaitan dengan ISO 27001 |
|---|---|
UU PDP No. 27/2022 | ISO 27001 tidak secara eksplisit diwajibkan, namun kontrol Annex A (data security, privacy, access control) sangat mendukung kepatuhan UU PDP |
POJK No. 11/2022 | OJK mengakui ISO 27001 sebagai salah satu standar yang dapat dijadikan referensi manajemen risiko TI |
Perpres No. 82/2022(Perlindungan Infrastruktur Kritis) | ISO 27001 relevan sebagai standar baseline untuk operator infrastruktur kritis |
PP No. 71/2019 (SPBE) | Instansi pemerintah didorong untuk mengikuti standar keamanan informasi internasional |
Standar BSN | BSN (Badan Standardisasi Nasional) telah mengadopsi ISO 27001 sebagai SNI ISO/IEC 27001 |
Badan Standardisasi Nasional Indonesia (BSN) telah mengadopsi ISO 27001 sebagai SNI ISO/IEC 27001 — standar nasional yang identik dengan versi internasional. Sertifikasi SNI ISO/IEC 27001 yang diterbitkan oleh lembaga sertifikasi terakreditasi KAN (Komite Akreditasi Nasional) setara dengan sertifikasi ISO 27001 internasional.
Situasi | Rekomendasi |
|---|---|
"Kami butuh sertifikasi yang diakui pelanggan dan regulator" | ISO 27001 |
"Kami ingin framework untuk komunikasi risiko ke board" | NIST CSF 2.0 |
"Kami butuh panduan teknis konkret untuk tim IT" | CIS Controls v8.1 |
"Kami perlu memenuhi persyaratan kontrak pemerintah AS" | NIST SP 800-171 |
"Kami ingin semua ketiga manfaat di atas" | Kombinasi ketiganya |
Pendekatan yang paling efektif untuk enterprise Indonesia
Gunakan NIST CSF sebagai kerangka komunikasi risiko dengan board
Gunakan CIS Controls IG2 sebagai panduan implementasi teknis
Kejar ISO 27001:2022 sebagai bukti formal kepada pelanggan dan regulator
Ketiganya dapat berjalan paralel — NIST dan CIS mendukung persiapan ISO 27001
ISO 27001 adalah bagian dari keluarga standar ISO 27000 yang saling melengkapi:
Standar | Fokus |
|---|---|
ISO 27001 | Persyaratan ISMS (certifiable) |
ISO 27002 | Panduan implementasi kontrol Annex A |
ISO 27005 | Manajemen risiko keamanan informasi |
ISO 27017 | Keamanan untuk layanan cloud |
ISO 27018 | Perlindungan data pribadi di cloud |
ISO 27035 | Manajemen insiden keamanan informasi |
ISO 27701 | Privasi (extension PIMS dari ISO 27001) — sangat relevan untuk UU PDP |
ISO 27701 mendapat perhatian khusus, ini adalah extension dari ISO 27001 yang menambahkan persyaratan Privacy Information Management System (PIMS) — menjadikannya sangat relevan untuk organisasi yang harus mematuhi UU PDP Indonesia dan GDPR.
Mencoba mensertifikasi seluruh organisasi sekaligus. Lebih baik mulai dengan scope yang terbatas (satu unit bisnis atau satu sistem kritis) dan perluas setelah program matang.
Membuat dokumentasi yang indah untuk audit tetapi tidak mencerminkan praktik nyata. Auditor berpengalaman sangat pandai mendeteksi ini — dan nonconformity dari "ISMS yang hanya dokumen" sangat merusak.
Risk assessment yang dilakukan asal-asalan menghasilkan SoA yang tidak tepat. Risiko yang tidak teridentifikasi berarti kontrol yang tidak tepat — sertifikasi didapat tetapi keamanan nyata tidak meningkat.
ISO 27001 mensyaratkan komitmen top management yang dapat dibuktikan. Sertifikasi yang dikejar hanya oleh tim IT tanpa keterlibatan manajemen puncak sering gagal di surveillance audit berikutnya.
Organisasi yang bertransisi dari 2013 ke 2022 sering hanya memperbarui dokumentasi tanpa benar-benar mengimplementasikan 11 kontrol baru — terutama threat intelligence, cloud security, dan secure coding.
Program ISO 27001 yang efektif harus dapat melaporkan metrik-metrik berikut secara reguler ke manajemen:
Metrik | Keterangan |
|---|---|
Nonconformity Rate | Jumlah ketidaksesuaian yang ditemukan dalam internal audit |
Control Effectiveness | % kontrol Annex A yang diimplementasikan dan efektif |
Risk Treatment Progress | % risiko yang sudah memiliki treatment yang diimplementasikan |
Security Incident Rate | Jumlah dan severity insiden per periode |
Awareness Training Completion | % karyawan yang menyelesaikan training keamanan |
Audit Finding Closure Time | Rata-rata waktu menutup temuan audit |
SoA Currency | Apakah SoA masih relevan dengan perubahan bisnis dan teknologi |
Lembaga | Akreditasi | Catatan |
|---|---|---|
BSI Group | UKAS (UK) | Salah satu CB terbesar global, aktif di Indonesia |
Bureau Veritas | COFRAC, UKAS | Aktif di Indonesia |
SGS | DAkkS, UKAS | Aktif di Indonesia |
TÜV Rheinland | DAkkS | Aktif di Indonesia |
TÜV SÜD | DAkkS | Aktif di Indonesia |
Sucofindo | KAN | CB lokal terakreditasi KAN |
Mutu International | KAN | CB lokal terakreditasi KAN |
Catatan: Pastikan certification body yang dipilih terakreditasi oleh badan akreditasi yang diakui oleh IAF (International Accreditation Forum) — ini memastikan sertifikat diakui secara internasional.
Kategori | Vendor / Tools | Kehadiran Indonesia |
|---|---|---|
GRC Platform | ServiceNow GRC | ✅ Tier 2 |
GRC Platform | IBM OpenPages | ✅ Tier 1 |
GRC Platform | OneTrust | ⚠️ Terbatas |
GRC Platform | Hyperproof, Drata, Vanta | ❌ Self-service SaaS |
Risk Management | RSA Archer | ⚠️ Terbatas |
Document Management | Confluence, SharePoint | ✅ Established |
Awareness Training | KnowBe4, Proofpoint | ⚠️ Terbatas |
ISMS Consulting Lokal | Proxsis IT, BDO Indonesia | ✅ Lokal |
Consulting Global | IBM Security, Accenture | ✅ Tier 1/2 |
Penetration Testing | Packet Systems Indonesia, Xynexis | ✅ Lokal |
Lima pertanyaan berbasis ISO 27001 untuk rapat governance:
"Apakah ISMS kita sudah tersertifikasi ISO 27001:2022 — atau masih berdasarkan versi 2013 yang sudah kedaluwarsa sejak Oktober 2025?"
"Apakah top management telah membuktikan komitmen terhadap ISMS secara formal — dengan menyediakan anggaran, menunjuk CISO, dan mereview kinerja ISMS secara berkala?"
"Kapan terakhir kali kita melakukan risk assessment yang serius — bukan hanya memperbarui spreadsheet lama?"
"Apakah Statement of Applicability kita sudah mencakup 11 kontrol baru ISO 27001:2022 — khususnya threat intelligence, cloud security, dan secure coding?"
"Jika pelanggan enterprise atau mitra asing meminta bukti keamanan informasi kita hari ini, apa yang bisa kita tunjukkan?"
Organisasi yang memandang ISO 27001 semata sebagai beban compliance akan mendapatkan sertifikat tetapi tidak mendapatkan nilai. Organisasi yang memandangnya sebagai investasi dalam sistem manajemen akan mendapatkan manfaat berlapis: keamanan yang lebih baik, kepercayaan pelanggan yang lebih tinggi, efisiensi operasional dari proses yang lebih terstandarisasi, dan posisi tawar yang lebih kuat dalam negosiasi bisnis.
Di Indonesia, di mana transformasi digital terus berlanjut dan tuntutan kepatuhan semakin ketat, ISO 27001:2022 memberikan fondasi yang tidak hanya memenuhi persyaratan hari ini — tetapi juga membangun kapabilitas untuk menghadapi ancaman dan regulasi yang akan datang.
Bagian
Referensi: ISO/IEC 27001:2022 (diterbitkan Oktober 2022, transisi selesai Oktober 2025)
Penerbit: International Organization for Standardization (ISO) & International Electrotechnical Commission (IEC)
Status 2025: Seluruh sertifikasi ISO 27001:2013 telah kedaluwarsa per 31 Oktober 2025. Satu-satunya versi yang berlaku saat ini adalah ISO/IEC 27001:2022
Di antara berbagai framework dan standar keamanan informasi, ISO 27001 memiliki satu keistimewaan yang tidak dimiliki yang lain: sertifikasi yang diakui secara internasional.
NIST CSF memberikan panduan tentang bagaimana mengelola risiko. CIS Controls memberikan tindakan teknis yang spesifik. Namun ketika sebuah perusahaan fintech Indonesia ingin bermitra dengan bank di Singapura, ketika startup SaaS ingin masuk ke pasar enterprise Eropa, atau ketika vendor pemerintah perlu membuktikan standar keamanannya kepada regulator — mereka membutuhkan sesuatu yang dapat diverifikasi oleh pihak ketiga independen. Di sinilah ISO 27001 berdiri sendiri.
ISO/IEC 27001 adalah standar internasional untuk Information Security Management System (ISMS) — sistem manajemen yang mendefinisikan persyaratan untuk menetapkan, mengimplementasikan, memelihara, dan terus meningkatkan keamanan informasi dalam konteks organisasi.
Dalam bahasa bisnis: ISO 27001 bukan sekadar daftar kontrol teknis. Ini adalah sistem manajemen — seperti ISO 9001 untuk quality management — yang memastikan keamanan informasi dikelola secara sistematis, terukur, dan dapat diaudit oleh pihak ketiga yang terakreditasi.
Periode transisi tiga tahun dari ISO 27001:2013 ke ISO 27001:2022 berakhir pada 31 Oktober 2025. Seluruh sertifikasi ISO 27001:2013 kini telah kedaluwarsa.
Implikasi yang perlu dipahami:
Organisasi yang baru mengajukan sertifikasi harus menggunakan versi 2022
Organisasi yang sudah tersertifikasi 2013 dan belum bertransisi kini dianggap tidak tersertifikasi
Audit transisi harus diselesaikan sebelum 31 Oktober 2025
Standar 2022 juga mengalami amandemen 2024 yang memperkenalkan pertimbangan lingkungan, mewajibkan organisasi untuk menilai dampak cuaca ekstrem terhadap keamanan informasi
ISO 27001:2022 terdiri dari dua komponen yang sama pentingnya:
Ini adalah "management system" dari ISO 27001 — persyaratan yang wajib dipenuhi untuk mendapatkan sertifikasi. Tidak ada pilihan untuk mengecualikan bagian mana pun.
Ini adalah katalog 93 kontrol keamanan yang dapat dipilih berdasarkan hasil risk assessment. Annex A bergerak dari 114 kontrol menjadi 93 kontrol dan kini diorganisasi dalam 4 tema sebagai pengganti 14 kategori sebelumnya.
Memahami organisasi dan konteksnya: siapa pemangku kepentingan, apa kebutuhan dan ekspektasi mereka, dan apa ruang lingkup ISMS. Ini adalah titik awal yang menentukan segalanya — ISMS yang dibangun tanpa pemahaman konteks yang baik akan selalu tidak relevan.
Perubahan di 2022: Klausul 4.2 menambahkan persyaratan bahwa organisasi harus menentukan kebutuhan mana dari pemangku kepentingan yang akan ditangani melalui ISMS.
Komitmen manajemen puncak terhadap ISMS bukan sekadar formalitas — ini adalah persyaratan standar yang harus dapat dibuktikan. Top management harus:
Menetapkan kebijakan keamanan informasi
Memastikan integrasi ISMS ke dalam proses bisnis
Menyediakan sumber daya yang dibutuhkan
Mengkomunikasikan pentingnya keamanan informasi
Implikasi eksekutif: ISO 27001 secara eksplisit menempatkan tanggung jawab di pundak top management — bukan hanya tim IT. Dewan direksi yang menandatangani komitmen ISO 27001 secara legal dan moral bertanggung jawab atas efektivitasnya.
Proses untuk mengidentifikasi risiko dan peluang, menetapkan tujuan keamanan informasi, dan merencanakan cara mencapainya.
Perubahan di 2022: Klausul 6.3 baru tentang "Planning of Changes" — perubahan pada ISMS harus direncanakan secara formal, termasuk jika berlaku transisi dari versi 2013 ke 2022.
Sumber daya, kompetensi, kesadaran, komunikasi, dan dokumentasi yang mendukung ISMS. Ini mencakup persyaratan tentang pelatihan dan awareness — memastikan tidak hanya tim keamanan, tetapi seluruh organisasi memahami perannya.
Perencanaan, implementasi, dan pengendalian proses untuk memenuhi persyaratan keamanan informasi. Termasuk risk assessment dan risk treatment yang harus dilakukan secara berkala.
Monitoring, measurement, analisis, dan evaluasi efektivitas ISMS. Termasuk internal audit dan management review. Dengan perubahan di 2022, kini jelas bahwa organisasi harus mengevaluasi kinerja ISMS-nya, tidak hanya memantaunya.
Proses untuk menangani ketidaksesuaian, mengambil tindakan korektif, dan terus meningkatkan ISMS. Ini adalah siklus PDCA (Plan-Do-Check-Act) yang menjadi DNA dari semua standar ISO management system.
Perubahan paling signifikan di ISO 27001:2022 adalah restrukturisasi Annex A. Jumlah kontrol berkurang dari 114 menjadi 93, menyederhanakan kategori dan menyelaraskan dengan lingkungan kerja hybrid dan remote yang modern.
Tidak ada kontrol dari versi sebelumnya yang dihapus — yang terjadi adalah konsolidasi dan reorganisasi.
Kebijakan, proses, dan tanggung jawab yang bersifat organisasional. Mencakup manajemen risiko, hubungan dengan supplier, kepatuhan hukum, dan governance keamanan informasi.
Kontrol kunci:
5.1 Policies for information security
5.7 Threat intelligence (baru di 2022)
5.23 Information security for use of cloud services (baru di 2022)
5.30 ICT readiness for business continuity (baru di 2022)
Keamanan yang berkaitan dengan sumber daya manusia — dari sebelum, selama, hingga setelah masa kerja.
Kontrol kunci:
6.1 Screening (verifikasi latar belakang karyawan)
6.3 Information security awareness, education, and training
6.5 Responsibilities after termination or change of employment
6.8 Information security event reporting
Keamanan fisik aset dan fasilitas — dari akses ke gedung hingga perlindungan peralatan.
Kontrol kunci:
7.1 Physical security perimeters
7.4 Physical security monitoring (baru di 2022)
7.9 Security of assets off-premises
7.14 Secure disposal or re-use of equipment
Kontrol teknis untuk sistem informasi, jaringan, aplikasi, dan data. Ini adalah tema yang paling banyak mengalami penambahan kontrol baru.
Kontrol kunci:
8.2 Privileged access rights
8.7 Protection against malware
8.8 Management of technical vulnerabilities
8.9 Configuration management (baru di 2022)
8.10 Information deletion (baru di 2022)
8.11 Data masking (baru di 2022)
8.12 Data leakage prevention (baru di 2022)
8.16 Monitoring activities (baru di 2022)
8.23 Web filtering (baru di 2022)
8.28 Secure coding (baru di 2022)
ISO 27001:2022 memperkenalkan 11 kontrol baru di bagian Annex, mencakup area yang sudah dipraktikkan organisasi namun kini secara formal dimasukkan ke dalam standar.
Kontrol Baru | Nomor | Relevansi |
|---|---|---|
Threat Intelligence | 5.7 | Organisasi harus mengumpulkan dan menganalisis intelijen ancaman |
Cloud Services Security | 5.23 | Mengatur penggunaan layanan cloud secara aman |
ICT Readiness for BC | 5.30 | Kesiapan ICT untuk kelangsungan bisnis |
Physical Security Monitoring | 7.4 | Monitoring fisik area sensitif |
Configuration Management | 8.9 | Mengelola konfigurasi hardware dan software |
Information Deletion | 8.10 | Penghapusan data yang aman dan terverifikasi |
Data Masking | 8.11 | Penyamaran data untuk melindungi privasi |
Data Leakage Prevention | 8.12 | Mencegah kebocoran data (DLP) |
Monitoring Activities | 8.16 | Pemantauan aktivitas sistem |
Web Filtering | 8.23 | Penyaringan akses web |
Secure Coding | 8.28 | Praktik pengembangan yang aman |
Signifikansi bisnis
Sebelas kontrol baru ini mencerminkan realitas keamanan modern — cloud adoption, supply chain risks, data privacy, dan DevSecOps. Organisasi yang belum mengimplementasikan kontrol-kontrol ini memiliki gap yang perlu ditutup.
Statement of Applicability (SoA) adalah dokumen yang mendefinisikan kontrol Annex A mana yang diterapkan oleh organisasi, mengapa, dan mana yang dikecualikan beserta justifikasinya.
SoA adalah artefak unik yang tidak ada di framework lain — ia membuktikan bahwa organisasi telah melakukan risk assessment yang matang dan membuat keputusan yang terdokumentasi tentang kontrol keamanannya.
SoA wajib mencakup: kontrol yang diperlukan, justifikasi untuk penyertaan, status implementasi, dan justifikasi untuk pengecualian kontrol.
Mengapa SoA penting untuk eksekutif
SoA adalah dokumen yang paling sering diminta oleh pelanggan enterprise, auditor eksternal, dan regulator sebagai bukti bahwa organisasi memiliki program keamanan yang matang dan berbasis risiko.
Bandingkan kondisi ISMS saat ini dengan persyaratan ISO 27001:2022. Identifikasi gap di klausul 4–10 dan kontrol Annex A yang belum diimplementasikan.
Tetapkan ruang lingkup ISMS
Lakukan risk assessment formal
Buat Statement of Applicability
Implementasikan kontrol yang diperlukan
Buat dokumentasi yang dipersyaratkan
Audit internal untuk memverifikasi efektivitas ISMS sebelum audit eksternal. Temuan harus ditindaklanjuti dan didokumentasikan.
Top management mereview kinerja ISMS dan menetapkan tindakan perbaikan. Ini bukan formalitas — ini adalah bukti komitmen kepemimpinan yang diperiksa auditor.
Auditor dari certification body terakreditasi mereview dokumentasi ISMS — apakah rancangan memenuhi persyaratan standar.
Auditor memeriksa implementasi aktual di lapangan — apakah yang tertulis benar-benar dilakukan. Ini adalah audit yang paling intensif.
Jika tidak ada major nonconformity, sertifikat ISO 27001:2022 diterbitkan. Berlaku 3 tahun dengan surveillance audit tahunan.
Timeline realistis
Organisasi yang belum pernah memiliki ISMS formal membutuhkan 9–18 bulan dari nol hingga tersertifikasi. Organisasi yang sudah memiliki program keamanan yang mature dapat menyelesaikannya dalam 6–9 bulan.
Biaya sertifikasi ISO 27001 sangat bervariasi tergantung ukuran organisasi, ruang lingkup, dan certification body yang dipilih:
Komponen Biaya | Estimasi (Indonesia) |
|---|---|
Gap Assessment / Konsultan Persiapan | Rp 50–500 juta |
Implementasi (jika butuh tools tambahan) | Rp 100 juta – 1 miliar+ |
Stage 1 & Stage 2 Audit (Certification Body) | Rp 50–200 juta |
Surveillance Audit Tahunan | Rp 30–100 juta/tahun |
Recertification (setiap 3 tahun) | Rp 50–150 juta |
Catatan: Angka di atas adalah estimasi kasar. Biaya aktual sangat bergantung pada ukuran organisasi, jumlah lokasi, dan ruang lingkup sertifikasi.
ROI yang sering tidak diperhitungkan:
Akses ke kontrak enterprise dan pemerintah yang mensyaratkan ISO 27001
Pengurangan premi asuransi siber
Penghematan dari insiden yang berhasil dicegah
Kepercayaan pelanggan yang meningkat — khususnya dalam proses due diligence
ISO 27001 sudah cukup dikenal di Indonesia, terutama di sektor-sektor berikut:
Sektor dengan adopsi tertinggi:
Perbankan dan keuangan — didorong regulasi OJK dan ekspektasi nasabah korporat
Telekomunikasi — Telkom Group, XL, Indosat sudah tersertifikasi
Teknologi informasi dan outsourcing IT — prasyarat kontrak dari klien global
E-commerce dan fintech — untuk kepercayaan investor dan mitra internasional
Data center — persyaratan dari tenant enterprise internasional
Sektor yang masih rendah adopsinya:
Manufaktur
Layanan kesehatan
Pendidikan tinggi
Pemerintah daerah
Regulasi | Kaitan dengan ISO 27001 |
|---|---|
UU PDP No. 27/2022 | ISO 27001 tidak secara eksplisit diwajibkan, namun kontrol Annex A (data security, privacy, access control) sangat mendukung kepatuhan UU PDP |
POJK No. 11/2022 | OJK mengakui ISO 27001 sebagai salah satu standar yang dapat dijadikan referensi manajemen risiko TI |
Perpres No. 82/2022(Perlindungan Infrastruktur Kritis) | ISO 27001 relevan sebagai standar baseline untuk operator infrastruktur kritis |
PP No. 71/2019 (SPBE) | Instansi pemerintah didorong untuk mengikuti standar keamanan informasi internasional |
Standar BSN | BSN (Badan Standardisasi Nasional) telah mengadopsi ISO 27001 sebagai SNI ISO/IEC 27001 |
Badan Standardisasi Nasional Indonesia (BSN) telah mengadopsi ISO 27001 sebagai SNI ISO/IEC 27001 — standar nasional yang identik dengan versi internasional. Sertifikasi SNI ISO/IEC 27001 yang diterbitkan oleh lembaga sertifikasi terakreditasi KAN (Komite Akreditasi Nasional) setara dengan sertifikasi ISO 27001 internasional.
Situasi | Rekomendasi |
|---|---|
"Kami butuh sertifikasi yang diakui pelanggan dan regulator" | ISO 27001 |
"Kami ingin framework untuk komunikasi risiko ke board" | NIST CSF 2.0 |
"Kami butuh panduan teknis konkret untuk tim IT" | CIS Controls v8.1 |
"Kami perlu memenuhi persyaratan kontrak pemerintah AS" | NIST SP 800-171 |
"Kami ingin semua ketiga manfaat di atas" | Kombinasi ketiganya |
Pendekatan yang paling efektif untuk enterprise Indonesia
Gunakan NIST CSF sebagai kerangka komunikasi risiko dengan board
Gunakan CIS Controls IG2 sebagai panduan implementasi teknis
Kejar ISO 27001:2022 sebagai bukti formal kepada pelanggan dan regulator
Ketiganya dapat berjalan paralel — NIST dan CIS mendukung persiapan ISO 27001
ISO 27001 adalah bagian dari keluarga standar ISO 27000 yang saling melengkapi:
Standar | Fokus |
|---|---|
ISO 27001 | Persyaratan ISMS (certifiable) |
ISO 27002 | Panduan implementasi kontrol Annex A |
ISO 27005 | Manajemen risiko keamanan informasi |
ISO 27017 | Keamanan untuk layanan cloud |
ISO 27018 | Perlindungan data pribadi di cloud |
ISO 27035 | Manajemen insiden keamanan informasi |
ISO 27701 | Privasi (extension PIMS dari ISO 27001) — sangat relevan untuk UU PDP |
ISO 27701 mendapat perhatian khusus, ini adalah extension dari ISO 27001 yang menambahkan persyaratan Privacy Information Management System (PIMS) — menjadikannya sangat relevan untuk organisasi yang harus mematuhi UU PDP Indonesia dan GDPR.
Mencoba mensertifikasi seluruh organisasi sekaligus. Lebih baik mulai dengan scope yang terbatas (satu unit bisnis atau satu sistem kritis) dan perluas setelah program matang.
Membuat dokumentasi yang indah untuk audit tetapi tidak mencerminkan praktik nyata. Auditor berpengalaman sangat pandai mendeteksi ini — dan nonconformity dari "ISMS yang hanya dokumen" sangat merusak.
Risk assessment yang dilakukan asal-asalan menghasilkan SoA yang tidak tepat. Risiko yang tidak teridentifikasi berarti kontrol yang tidak tepat — sertifikasi didapat tetapi keamanan nyata tidak meningkat.
ISO 27001 mensyaratkan komitmen top management yang dapat dibuktikan. Sertifikasi yang dikejar hanya oleh tim IT tanpa keterlibatan manajemen puncak sering gagal di surveillance audit berikutnya.
Organisasi yang bertransisi dari 2013 ke 2022 sering hanya memperbarui dokumentasi tanpa benar-benar mengimplementasikan 11 kontrol baru — terutama threat intelligence, cloud security, dan secure coding.
Program ISO 27001 yang efektif harus dapat melaporkan metrik-metrik berikut secara reguler ke manajemen:
Metrik | Keterangan |
|---|---|
Nonconformity Rate | Jumlah ketidaksesuaian yang ditemukan dalam internal audit |
Control Effectiveness | % kontrol Annex A yang diimplementasikan dan efektif |
Risk Treatment Progress | % risiko yang sudah memiliki treatment yang diimplementasikan |
Security Incident Rate | Jumlah dan severity insiden per periode |
Awareness Training Completion | % karyawan yang menyelesaikan training keamanan |
Audit Finding Closure Time | Rata-rata waktu menutup temuan audit |
SoA Currency | Apakah SoA masih relevan dengan perubahan bisnis dan teknologi |
Lembaga | Akreditasi | Catatan |
|---|---|---|
BSI Group | UKAS (UK) | Salah satu CB terbesar global, aktif di Indonesia |
Bureau Veritas | COFRAC, UKAS | Aktif di Indonesia |
SGS | DAkkS, UKAS | Aktif di Indonesia |
TÜV Rheinland | DAkkS | Aktif di Indonesia |
TÜV SÜD | DAkkS | Aktif di Indonesia |
Sucofindo | KAN | CB lokal terakreditasi KAN |
Mutu International | KAN | CB lokal terakreditasi KAN |
Catatan: Pastikan certification body yang dipilih terakreditasi oleh badan akreditasi yang diakui oleh IAF (International Accreditation Forum) — ini memastikan sertifikat diakui secara internasional.
Kategori | Vendor / Tools | Kehadiran Indonesia |
|---|---|---|
GRC Platform | ServiceNow GRC | ✅ Tier 2 |
GRC Platform | IBM OpenPages | ✅ Tier 1 |
GRC Platform | OneTrust | ⚠️ Terbatas |
GRC Platform | Hyperproof, Drata, Vanta | ❌ Self-service SaaS |
Risk Management | RSA Archer | ⚠️ Terbatas |
Document Management | Confluence, SharePoint | ✅ Established |
Awareness Training | KnowBe4, Proofpoint | ⚠️ Terbatas |
ISMS Consulting Lokal | Proxsis IT, BDO Indonesia | ✅ Lokal |
Consulting Global | IBM Security, Accenture | ✅ Tier 1/2 |
Penetration Testing | Packet Systems Indonesia, Xynexis | ✅ Lokal |
Lima pertanyaan berbasis ISO 27001 untuk rapat governance:
"Apakah ISMS kita sudah tersertifikasi ISO 27001:2022 — atau masih berdasarkan versi 2013 yang sudah kedaluwarsa sejak Oktober 2025?"
"Apakah top management telah membuktikan komitmen terhadap ISMS secara formal — dengan menyediakan anggaran, menunjuk CISO, dan mereview kinerja ISMS secara berkala?"
"Kapan terakhir kali kita melakukan risk assessment yang serius — bukan hanya memperbarui spreadsheet lama?"
"Apakah Statement of Applicability kita sudah mencakup 11 kontrol baru ISO 27001:2022 — khususnya threat intelligence, cloud security, dan secure coding?"
"Jika pelanggan enterprise atau mitra asing meminta bukti keamanan informasi kita hari ini, apa yang bisa kita tunjukkan?"
Organisasi yang memandang ISO 27001 semata sebagai beban compliance akan mendapatkan sertifikat tetapi tidak mendapatkan nilai. Organisasi yang memandangnya sebagai investasi dalam sistem manajemen akan mendapatkan manfaat berlapis: keamanan yang lebih baik, kepercayaan pelanggan yang lebih tinggi, efisiensi operasional dari proses yang lebih terstandarisasi, dan posisi tawar yang lebih kuat dalam negosiasi bisnis.
Di Indonesia, di mana transformasi digital terus berlanjut dan tuntutan kepatuhan semakin ketat, ISO 27001:2022 memberikan fondasi yang tidak hanya memenuhi persyaratan hari ini — tetapi juga membangun kapabilitas untuk menghadapi ancaman dan regulasi yang akan datang.