Penjelasan ISO 27001

Gambaran umum independen dari DQS, sebuah lembaga sertifikasi terakreditasi.

ISO 27001 adalah standar internasional terkemuka untuk sistem manajemen keamanan informasi (ISMS). Standar ini menetapkan persyaratan yang harus dipenuhi oleh suatu organisasi untuk secara sistematis mengidentifikasi, menilai, dan menangani risiko keamanan informasi — mencakup orang, proses, dan teknologi, bukan hanya satu kontrol teknis saja. Standar ini relevan bagi organisasi dari segala ukuran dan sektor, mulai dari lembaga keuangan, penyedia layanan kesehatan, dan instansi pemerintah hingga penyedia layanan cloud, produsen, dan perusahaan perangkat lunak yang menangani informasi sensitif atas nama pelanggan, karyawan, atau mitra. Edisi terkini adalah ISO/IEC 27001:2022, yang menggantikan versi 2013; masa transisi tiga tahun bagi organisasi yang telah bersertifikat sebelumnya berakhir pada 31 Oktober 2025, dan sebuah amandemen yang diterbitkan pada tahun 2024 (Amandemen 1:2024) menambahkan persyaratan eksplisit terkait tindakan iklim.

Fakta Utama tentang ISO 27001 Sekilas

Konteks dan Pendorong ISO 27001

Tekanan Regulasi terhadap Keamanan Informasi

Lingkungan regulasi untuk keamanan informasi telah diperketat secara tajam dalam beberapa tahun terakhir, terutama di Uni Eropa. Direktif Keamanan Jaringan dan Informasi 2 (NIS2) memperluas kewajiban keamanan siber ke kelompok entitas esensial dan penting yang jauh lebih luas, termasuk organisasi menengah di berbagai sektor seperti energi, transportasi, kesehatan, infrastruktur digital, dan manufaktur. Undang-Undang Ketahanan Operasional Digital (DORA), yang berlaku bagi entitas keuangan dan penyedia pihak ketiga Teknologi Informasi dan Komunikasi (TIK) kritis mereka, menetapkan persyaratan terperinci mengenai manajemen risiko TIK, pelaporan insiden, pengujian ketahanan, serta pengawasan terhadap penyedia layanan. Baik NIS2 maupun DORA tidak menetapkan ISO 27001 sebagai standar dasar wajib, tetapi keduanya merujuk pada standar keamanan informasi yang diakui secara internasional sebagai titik acuan, dan banyak organisasi menggunakan Sistem Manajemen Keamanan Informasi (ISMS) yang bersertifikat sebagai fondasi struktural di mana program kepatuhan regulasi mereka dibangun.

Harapan Pasar dan Kepercayaan Pelanggan

Di luar regulasi formal, keamanan informasi telah menjadi topik rutin dalam kontrak bisnis-ke-bisnis, prosedur tender, dan program kualifikasi pemasok. Pelanggan korporat semakin menuntut pemasok mereka untuk menunjukkan ISMS yang diverifikasi secara eksternal sebelum memberikan akses ke sistem atau data, dan sertifikat yang diterbitkan oleh lembaga sertifikasi terakreditasi diterima secara luas sebagai bukti kematangan tersebut. Bagi vendor perangkat lunak, penyedia layanan cloud, dan organisasi lain yang model bisnisnya bergantung pada data pelanggan, sertifikat ISO 27001 telah menjadi semacam ekspektasi untuk masuk ke pasar di banyak sektor. Tren ini diperkuat oleh meningkatnya kesadaran publik terhadap pelanggaran data, ransomware, dan serangan rantai pasokan, yang telah meningkatkan ekspektasi mengenai bagaimana organisasi melindungi informasi di seluruh rantai nilainya.

Konvergensi dengan Ketahanan, Privasi, dan Keberlanjutan

Keamanan informasi tidak lagi berdiri sendiri. Keamanan informasi semakin bersinggungan dengan ketahanan operasional, kelangsungan bisnis, privasi, dan — sejak diterbitkannya Amandemen 1:2024 — pertimbangan terkait iklim. Dewan direksi dan komite risiko memandang keamanan informasi sebagai salah satu dimensi dari gambaran yang lebih luas yang mencakup gangguan TIK, risiko pihak ketiga, dan gangguan yang disebabkan oleh peristiwa cuaca ekstrem yang memengaruhi infrastruktur kritis. ISO 27001 menyediakan landasan struktural yang memungkinkan organisasi mengintegrasikan topik-topik terkait ini — privasi, kelangsungan bisnis, pengawasan pemasok, dan ketahanan fisik — ke dalam satu sistem manajemen, bukan sekadar kumpulan inisiatif yang terpisah-pisah.

Persyaratan Inti untuk ISO 27001

ISO/IEC 27001:2022 mengikuti Struktur Terharmonisasi Lampiran SL yang digunakan bersama oleh standar sistem manajemen ISO modern. Klausul 1–3 menetapkan ruang lingkup, referensi normatif, dan istilah. Klausul 4–10 berisi persyaratan sistem manajemen yang dapat diaudit, yang dirangkum di bawah ini. Lampiran A kemudian merujuk pada 93 pengendalian keamanan informasi yang dijabarkan dalam ISO 27002, di mana organisasi memilih mana yang berlaku berdasarkan penilaian risikonya.

Klausul 4 — Konteks Organisasi

Organisasi mengidentifikasi masalah internal dan eksternal yang memengaruhi ISMS-nya serta menentukan kebutuhan dan harapan pihak-pihak yang berkepentingan, seperti pelanggan, regulator, mitra rantai pasokan, dan pemegang saham. Atas dasar ini, organisasi menetapkan ruang lingkup ISMS, termasuk lokasi, kegiatan bisnis, teknologi, dan aset informasi yang dicakup.

Klausul 5 — Kepemimpinan

Manajemen puncak menunjukkan kepemimpinan dan komitmen terhadap ISMS, kebijakan keamanan informasi ditandatangani, serta peran, tanggung jawab, dan wewenang ditetapkan. Keamanan informasi diposisikan sebagai topik yang relevan secara strategis, bukan fungsi teknis yang didelegasikan.

Klausul 6 — Perencanaan

Organisasi melakukan penilaian risiko keamanan informasi, menetapkan kriteria untuk menerima dan menangani risiko, serta memilih pengendalian yang diperlukan untuk mengatasi risiko tersebut. Pernyataan Penerapan mendokumentasikan pengendalian mana dari Lampiran A yang berlaku, mana yang dikecualikan, serta alasan di balik setiap keputusan tersebut. Tujuan keamanan informasi ditetapkan dan diselaraskan dengan kebijakan.

Klausul 7 — Dukungan

Sumber daya, kompetensi, kesadaran, komunikasi, dan informasi yang terdokumentasi dibahas. Personel yang terlibat dalam ISMS menerima pelatihan yang sesuai, dan dokumentasi disimpan dalam bentuk yang proporsional dengan ukuran dan kompleksitas organisasi.

Klausul 8 — Operasi

Organisasi merencanakan, menerapkan, dan mengendalikan proses-proses yang diperlukan untuk memenuhi persyaratan keamanan informasi, melaksanakan penilaian risiko dan rencana penanganan, serta mengelola perubahan yang dapat memengaruhi ISMS.

Klausul 9 — Evaluasi Kinerja

ISMS dipantau, diukur, dan dianalisis. Audit internal dan tinjauan manajemen menjadi dasar untuk mengevaluasi apakah sistem tersebut efektif, sesuai, dan terus ditingkatkan. Hasilnya digunakan sebagai masukan untuk perencanaan dan keputusan operasional.

Klausul 10 — Peningkatan

Ketidaksesuaian ditangani melalui tindakan korektif, dan organisasi diwajibkan untuk terus meningkatkan kesesuaian, kecukupan, dan keefektifan ISMS. Peningkatan berkelanjutan merupakan fitur struktural dari standar ini, bukan sekadar tambahan opsional.

Lampiran A — Kumpulan Kontrol Referensi

Lampiran A merujuk pada 93 kontrol yang dikelompokkan ke dalam empat tema: Kontrol Organisasi (37), Kontrol Sumber Daya Manusia (8), Kontrol Fisik (14), dan Kontrol Teknologi (34). Revisi tahun 2022 mengkonsolidasikan dan menata ulang 114 kontrol dari versi 2013, memperkenalkan 11 kontrol baru (termasuk intelijen ancaman, keamanan informasi untuk layanan cloud, kesiapan TIK untuk kelangsungan bisnis, pemantauan keamanan fisik, manajemen konfigurasi, penghapusan informasi, penyamaran data, pencegahan kebocoran data, aktivitas pemantauan, penyaringan web, dan pengkodean yang aman), serta menerapkan lima atribut pada setiap kontrol (jenis kontrol, properti keamanan informasi, konsep keamanan siber, kemampuan operasional, dan domain keamanan) untuk mendukung penyaringan dan pelaporan.

Kelompok Sasaran dan Bidang Penerapan ISO 27001

ISO 27001 dirancang agar tidak terikat pada sektor tertentu. Persyaratannya berlaku sama bagi bank multinasional, jaringan rumah sakit regional, lembaga pemerintah, maupun perusahaan rintisan perangkat lunak yang memproses data pelanggan atas nama klien. Dalam praktiknya, beberapa bidang penerapan telah menjadi sangat menonjol.

Penyedia teknologi informasi dan komunikasi — termasuk platform cloud, vendor Software-as-a-Service (SaaS), penyedia layanan terkelola, dan operator pusat data — sering kali memperlakukan ISO 27001 sebagai kerangka kerja jaminan dasar yang diharapkan oleh pelanggan korporat. Organisasi jasa keuangan menggunakan ISO 27001 untuk menyusun program manajemen risiko TIK yang juga mendukung kewajiban DORA. Organisasi layanan kesehatan menerapkannya untuk melindungi informasi pasien dan sistem klinis, seringkali bersamaan dengan persyaratan privasi dan keamanan khusus sektor. Lembaga sektor publik dan operator infrastruktur kritis menerapkan ISO 27001 untuk mendukung kewajiban berdasarkan NIS2 dan undang-undang keamanan siber nasional. Organisasi manufaktur mengadopsinya untuk melindungi kekayaan intelektual, mengamankan lingkungan teknologi operasional, dan memenuhi persyaratan keamanan rantai pasokan dari pelanggan besar, termasuk Produsen Peralatan Asli (OEM).

Bagi organisasi mana pun di atas, Sistem Manajemen Keamanan Informasi (ISMS) yang bersertifikat menyediakan kerangka kerja terstruktur untuk pengambilan keputusan berbasis bukti terkait investasi dan prioritas keamanan informasi. Hal ini mendukung pengambilan keputusan yang terinformasi oleh pimpinan serta memberikan landasan untuk diskusi berbasis risiko dengan regulator, pelanggan, dan mitra rantai pasokan, sambil tetap menyerahkan keputusan substantif kepada pihak yang bertanggung jawab atasnya.

Standar yang Terkait dengan ISO 27001

Struktur yang Diselaraskan dan Kombinasi Umum

ISO 27001 berbagi Struktur Terpadu Lampiran SL dengan standar sistem manajemen lain yang banyak digunakan, termasuk ISO 9001 (mutu), ISO 14001 (lingkungan), dan ISO 22301 (kelangsungan bisnis). Struktur bersama ini memungkinkan organisasi untuk menjalankan sistem manajemen terintegrasi di mana persyaratan keamanan informasi, mutu, lingkungan, dan kelangsungan bisnis berbagi komitmen kepemimpinan, proses perencanaan, audit internal, dan tinjauan manajemen. Audit gabungan di seluruh skema ini umum dilakukan dalam praktiknya dan cenderung mengurangi duplikasi.

Keluarga Standar ISO 27000 

ISO 27001 berada di pusat keluarga standar ISO 27000, yang secara bersama-sama membahas manajemen keamanan informasi secara mendalam. ISO 27000 memberikan gambaran umum dan kosakata untuk keluarga standar tersebut. ISO 27002 memperluas setiap pengendalian dalam Lampiran A dengan panduan implementasi terperinci dan merupakan standar yang paling sering dirujuk bersamaan dengan ISO 27001 dalam implementasi. ISO 27005 memberikan panduan mengenai manajemen risiko keamanan informasi dan secara luas digunakan untuk mengoperasionalkan klausul berbasis risiko dalam ISO 27001. ISO 27017 dan ISO 27018 masing-masing memperluas rangkaian kontrol ke layanan awan dan perlindungan Informasi Identitas Pribadi (PII) di lingkungan awan publik. ISO 27019 adalah standar panduan untuk membangun sistem manajemen keamanan informasi bagi sistem kontrol yang digunakan dalam pasokan energi. Standar ini dibangun berdasarkan pengendalian keamanan informasi yang diuraikan dalam ISO 27002 dan menambahkan persyaratan khusus sektor yang melampaui langkah-langkah umum yang didefinisikan dalam standar tersebut. ISO 27701 menetapkan persyaratan dan panduan untuk Sistem Manajemen Informasi Privasi (PIMS).

Perluasan Khusus Sektor dan Topik

Sejumlah standar khusus sektor dikembangkan berdasarkan ISO 27001 dalam konteks normatif. ISO/IEC 27011 memberikan panduan tambahan bagi organisasi telekomunikasi. ISO/IEC 27017 dan ISO/IEC 27018 membahas pengendalian khusus awan. ISO/IEC 27019 memberikan panduan untuk industri utilitas energi. ISO/IEC 27799 menerapkan kontrol dari ISO/IEC 27002 ke bidang informatika kesehatan. Perluasan ini menggunakan kembali sistem manajemen ISO 27001 dan menambahkan atau menyempurnakan kontrol yang relevan dengan sektor yang bersangkutan.

Perbedaan dari Kerangka Kerja Serupa

ISO 27001 terkadang dibandingkan dengan kerangka kerja keamanan informasi lainnya, terutama SOC 2 dan Kerangka Kerja Keamanan Siber NIST. ISO 27001 adalah standar internasional yang dapat digunakan sebagai acuan bagi suatu Sistem Manajemen Keamanan Informasi (ISMS) untuk mendapatkan sertifikasi dari lembaga sertifikasi. SOC 2 adalah kerangka kerja pelaporan yang ditetapkan oleh American Institute of Certified Public Accountants (AICPA), di mana para profesional jaminan menerbitkan laporan pengesahan mengenai pengendalian yang relevan dengan keamanan, ketersediaan, integritas pemrosesan, kerahasiaan, atau privasi. Meskipun kedua kerangka kerja ini memiliki kesamaan, namun cakupannya berbeda dan mengikuti model tata kelola yang berbeda, sehingga keduanya tidak boleh dianggap setara. Kerangka Kerja Keamanan Siber NIST adalah kerangka kerja sukarela yang dimaksudkan untuk memandu manajemen risiko, khususnya di Amerika Serikat; kerangka kerja ini tidak dapat disertifikasi dalam arti yang sama seperti ISO 27001.