ISO
ISO 27001 untuk Keamanan Informasi Organisasi
ISO 27001 membantu organisasi mengelola keamanan informasi melalui penilaian risiko, pengaturan akses, perlindungan aset, dan perbaikan berkelanjutan.
Oleh Tim Redaksi ·
ISO 27001 untuk Keamanan Informasi Organisasi
Ketika data pelanggan, dokumen kerja, dan sistem internal tersebar di banyak tempat, organisasi membutuhkan cara yang lebih rapi untuk mengelola risikonya. ISO/IEC 27001 menyediakan kerangka sistem manajemen keamanan informasi (ISMS) agar perlindungan data tidak bergantung pada satu aplikasi atau kebiasaan beberapa orang saja.
Apa itu ISO 27001?
ISO 27001, atau nama resminya ISO/IEC 27001, adalah standar internasional yang menetapkan persyaratan untuk sistem manajemen keamanan informasi. Menurut International Organization for Standardization (ISO), standar ini dapat diterapkan organisasi dari berbagai ukuran dan sektor untuk membangun, menerapkan, memelihara, serta terus memperbaiki ISMS.
ISMS menggabungkan kebijakan, proses, orang, dan teknologi. Jadi, ISO 27001 bukan sekadar daftar perangkat keamanan yang harus dibeli. Organisasi perlu memahami informasi yang dimiliki, risiko yang mungkin muncul, lalu menentukan cara pengendalian yang sesuai dengan konteksnya.
Istilah "ISO 27001" sering dipakai dalam percakapan sehari-hari. Namun, penyebutan resminya adalah ISO/IEC 27001 karena standar ini diterbitkan bersama oleh ISO dan International Electrotechnical Commission (IEC).
Tiga tujuan utama keamanan informasi
ISO/IEC 27001 bertumpu pada perlindungan tiga aspek informasi: kerahasiaan, integritas, dan ketersediaan. Ketiganya membantu organisasi menilai apakah informasi sudah terlindungi dari risiko yang paling relevan.
- Kerahasiaan berarti informasi hanya dapat diakses oleh pihak yang berwenang. Contohnya, data gaji tidak boleh terbuka untuk seluruh pegawai.
- Integritas berarti informasi tetap akurat dan tidak diubah tanpa izin. Perubahan pada catatan transaksi, misalnya, perlu dapat ditelusuri.
- Ketersediaan berarti informasi dan sistem dapat digunakan ketika dibutuhkan. Cadangan data dan rencana pemulihan membantu organisasi menghadapi gangguan layanan.
ISO menjelaskan bahwa ISMS yang memenuhi persyaratan standar menggunakan proses manajemen risiko untuk menjaga ketiga aspek tersebut. Kerangka ini juga membantu organisasi memberi keyakinan kepada pihak yang berkepentingan bahwa risiko informasi dikelola secara sistematis.
Bagaimana ISO 27001 mengelola risiko?
Penerapan ISO 27001 dimulai dari pemahaman terhadap konteks organisasi, bukan dari memilih kontrol secara acak. Organisasi perlu menentukan ruang lingkup ISMS, mengenali aset informasi, mengidentifikasi ancaman dan kerentanan, kemudian menilai kemungkinan serta dampak risikonya.
Hasil penilaian itu menjadi dasar untuk memilih perlakuan risiko. Sebuah organisasi mungkin perlu memperketat hak akses, memperbaiki pencadangan, melatih pegawai, atau meninjau ulang perjanjian dengan penyedia layanan. Tidak semua organisasi membutuhkan pengendalian yang sama, karena jenis informasi, proses bisnis, dan tingkat risikonya berbeda.
Dokumentasi juga punya peran penting. Kebijakan keamanan, pembagian tanggung jawab, hasil penilaian risiko, bukti pelaksanaan kontrol, serta catatan evaluasi membantu organisasi memastikan bahwa ISMS benar-benar berjalan. Eduparx menjelaskan bahwa pendekatan ISO 27001 mencakup prosedur, kebijakan, dan kontrol yang melibatkan teknologi, orang, dan proses.
Contoh area yang perlu diperhatikan
Rincian pengendalian perlu disesuaikan dengan hasil penilaian risiko. Beberapa area yang biasanya perlu diperiksa antara lain:
- Kebijakan keamanan informasi. Organisasi perlu memiliki arahan yang jelas dan meninjau kebijakan tersebut secara berkala.
- Hak akses. Akses diberikan sesuai kebutuhan pekerjaan, lalu ditinjau ketika seseorang berpindah peran atau tidak lagi bekerja di organisasi.
- Perangkat dan kerja jarak jauh. Penggunaan laptop, perangkat seluler, jaringan rumah, dan layanan awan perlu masuk dalam aturan keamanan yang dipahami pegawai.
- Pencadangan dan pemulihan. Organisasi perlu tahu data apa yang dicadangkan, seberapa sering pencadangan dilakukan, serta bagaimana pemulihan diuji.
- Kepatuhan. Persyaratan hukum, kontrak, dan kewajiban perlindungan data perlu diidentifikasi dan dipantau.
Eduparx mencatat beberapa area dalam Annex A, termasuk kebijakan keamanan informasi, pengorganisasian keamanan informasi, penggunaan perangkat seluler dan kerja jarak jauh, serta kepatuhan. Daftar itu bukan alasan untuk menerapkan semua hal secara membabi buta. Pilihan kontrol tetap perlu mengikuti risiko dan ruang lingkup ISMS organisasi.
Apa manfaatnya bagi organisasi?
Manfaat ISO 27001 terlihat ketika organisasi dapat mengubah keamanan informasi dari urusan teknis menjadi tanggung jawab yang memiliki pemilik, proses, dan bukti.
Pertama, organisasi memiliki cara yang lebih konsisten untuk menemukan dan menangani risiko. Kedua, pembagian tanggung jawab menjadi lebih jelas, termasuk siapa yang berwenang mengambil keputusan terkait aset dan akses informasi. Ketiga, organisasi dapat menjelaskan kepada pelanggan, mitra, atau pihak lain bagaimana risiko informasi dikelola.
ISO juga menyebut bahwa pendekatan ISO/IEC 27001 membantu organisasi meningkatkan ketahanan terhadap serangan siber dan melindungi informasi dalam berbagai bentuk, termasuk data digital, data berbasis awan, dan dokumen kertas. Namun, sertifikasi bukan jaminan bahwa insiden tidak akan pernah terjadi. Standar ini membantu organisasi membangun sistem pengelolaan risiko, bukan menghapus seluruh risiko.
Sebelum memulai, Anda dapat membaca panduan tentang jenis dan proses sertifikasi ISO untuk perusahaan untuk memahami hubungan antara persiapan sistem, audit, dan pemeliharaan sertifikasi.
ISO 27001 bukan pengganti standar lain
ISO 27001 berfokus pada sistem manajemen keamanan informasi. Fokus ini berbeda dari ISO 14001 yang berkaitan dengan manajemen lingkungan, ISO 17025 yang berkaitan dengan kompetensi laboratorium pengujian dan kalibrasi, atau ISO 37001 yang berkaitan dengan sistem manajemen anti penyuapan.
Sebuah organisasi dapat menerapkan lebih dari satu standar jika kebutuhan dan prosesnya mendukung. Namun, setiap standar tetap perlu dipahami berdasarkan tujuan dan persyaratannya sendiri. Menyamakan semua standar hanya karena sama-sama memakai nama ISO dapat membuat ruang lingkup penerapan menjadi kabur.
Apa langkah awal penerapannya?
Mulailah dengan membuat daftar informasi penting dan proses yang menggunakannya. Setelah itu, tentukan ruang lingkup yang realistis, petakan pihak yang berkepentingan, dan lakukan penilaian risiko. Dari sana, organisasi dapat menyusun rencana perlakuan risiko, menetapkan tanggung jawab, dan mengumpulkan bukti bahwa kontrol sudah dijalankan.
Penerapan perlu dievaluasi secara berkala. Audit internal, tinjauan manajemen, pemantauan insiden, dan tindakan perbaikan membantu organisasi mengetahui apakah ISMS masih sesuai dengan perubahan teknologi dan proses kerja. Jika organisasi mengejar sertifikasi, tahap audit oleh lembaga sertifikasi dilakukan setelah sistem memiliki penerapan dan bukti yang memadai.
ISO 27001 paling berguna ketika dipakai sebagai cara kerja sehari-hari, bukan sekadar dokumen untuk memenuhi permintaan tender. Dengan ruang lingkup yang jelas dan penilaian risiko yang masuk akal, organisasi dapat memprioritaskan perlindungan informasi tanpa mengabaikan kebutuhan operasional.