Keamanan informasi menjadi salah satu aspek penting dalam menjaga keberlangsungan bisnis. Seiring meningkatnya penggunaan teknologi digital, perusahaan perlu memastikan bahwa data pelanggan, informasi internal, dan aset informasi lainnya terlindungi dengan baik.
Salah satu upaya yang dapat dilakukan adalah menerapkan ISO 27001, standar internasional untuk Sistem Manajemen Keamanan Informasi atau Information Security Management System (ISMS).
Namun, mendapatkan sertifikasi ISO 27001 tidak cukup hanya dengan menyiapkan dokumen. Perusahaan juga perlu memastikan bahwa kebijakan, proses kerja, pengelolaan risiko, dan kesadaran karyawan sudah mendukung penerapan sistem keamanan informasi.
Lalu, apa saja yang perlu disiapkan sebelum menjalani sertifikasi ISO 27001?
Artikel ini membahas 10 checklist ISO 27001 yang dapat digunakan perusahaan untuk mengevaluasi kesiapan sebelum memasuki proses sertifikasi.
Mengapa Perusahaan Perlu Menyiapkan Checklist ISO 27001?
Checklist ISO 27001 membantu perusahaan memahami hal-hal yang perlu dipersiapkan sebelum proses audit sertifikasi. Dengan daftar persiapan yang terstruktur, perusahaan dapat mengidentifikasi kekurangan lebih awal dan mengurangi risiko keterlambatan implementasi.
Selain itu, checklist juga membantu tim memahami tanggung jawab masing-masing, memantau progres implementasi, dan memastikan aspek penting dalam ISMS tidak terlewatkan.
Persiapan yang terencana dapat memberikan manfaat seperti:
- Mempermudah identifikasi risiko keamanan informasi.
- Membantu memastikan dokumen dan kebijakan tersedia.
- Meningkatkan koordinasi antarbagian.
- Mengidentifikasi gap sebelum audit sertifikasi.
- Mendorong penerapan keamanan informasi yang lebih konsisten.
10 Checklist ISO 27001 yang Perlu Disiapkan Perusahaan
Berikut adalah 10 hal yang dapat dijadikan panduan persiapan implementasi ISO 27001.
1. Menentukan Ruang Lingkup ISMS
Langkah pertama adalah menentukan ruang lingkup atau scope Sistem Manajemen Keamanan Informasi.
Perusahaan perlu mengidentifikasi bagian organisasi, lokasi, proses bisnis, sistem teknologi informasi, serta aset informasi yang akan dicakup dalam ISMS.
Penentuan scope penting karena menjadi dasar penerapan kontrol keamanan dan pelaksanaan audit.
Checklist:
- Menentukan unit bisnis atau departemen yang masuk dalam scope.
- Mengidentifikasi lokasi dan fasilitas yang relevan.
- Menentukan proses bisnis dan sistem yang akan dicakup.
- Mendokumentasikan batasan dan ruang lingkup ISMS.
- Mempertimbangkan kebutuhan pihak berkepentingan yang relevan.
Scope yang terlalu luas dapat meningkatkan kompleksitas implementasi. Sebaliknya, scope yang terlalu sempit mungkin tidak mencakup proses atau aset informasi yang memiliki risiko penting.
2. Mendapatkan Komitmen Manajemen
Implementasi ISO 27001 membutuhkan dukungan dari manajemen puncak. Tanpa komitmen yang jelas, perusahaan berisiko mengalami hambatan dalam penyediaan sumber daya, koordinasi, dan penerapan kebijakan.
Manajemen berperan dalam menetapkan arah keamanan informasi, memastikan tanggung jawab dijalankan, serta menyediakan sumber daya yang diperlukan.
Checklist:
- Menetapkan komitmen manajemen terhadap keamanan informasi.
- Menunjuk penanggung jawab atau tim implementasi.
- Menyediakan anggaran dan sumber daya.
- Menentukan peran serta tanggung jawab setiap bagian.
- Mengintegrasikan tujuan keamanan informasi dengan tujuan bisnis.
Komitmen manajemen sebaiknya tidak hanya berupa pernyataan formal. Dukungan tersebut perlu terlihat dalam pengambilan keputusan dan aktivitas operasional sehari-hari.
3. Melakukan Identifikasi Aset Informasi
Sebelum mengelola risiko, perusahaan perlu mengetahui aset informasi yang dimiliki dan digunakan.
Aset informasi dapat mencakup data pelanggan, dokumen keuangan, sistem aplikasi, server, perangkat kerja, hingga informasi rahasia perusahaan.
Setiap aset perlu diidentifikasi berdasarkan karakteristik, pemilik, lokasi penyimpanan, dan tingkat kepentingannya.
Checklist:
- Membuat inventaris aset informasi.
- Menentukan pemilik aset.
- Mengidentifikasi lokasi penyimpanan dan pemrosesan data.
- Mengelompokkan informasi berdasarkan klasifikasi.
- Mengidentifikasi pihak ketiga yang memiliki akses terhadap aset informasi.
Inventaris aset membantu perusahaan memahami apa yang perlu dilindungi dan menjadi dasar dalam proses penilaian risiko keamanan informasi.
4. Melakukan Risk Assessment
Risk assessment atau penilaian risiko merupakan salah satu bagian penting dalam implementasi ISO 27001.
Melalui proses ini, perusahaan mengidentifikasi ancaman dan kerentanan yang dapat memengaruhi kerahasiaan, integritas, serta ketersediaan informasi.
Hasil penilaian risiko digunakan untuk menentukan prioritas penanganan dan memilih kontrol keamanan yang sesuai.
Checklist:
- Menentukan metodologi penilaian risiko.
- Mengidentifikasi risiko terhadap aset dan proses bisnis.
- Menganalisis kemungkinan dan dampak risiko.
- Menentukan tingkat risiko berdasarkan kriteria yang disepakati.
- Menetapkan prioritas penanganan risiko.
- Mendokumentasikan hasil risk assessment.
Contohnya, perusahaan yang menyimpan data pelanggan pada layanan cloud perlu mempertimbangkan risiko akses tidak sah, kesalahan konfigurasi, kehilangan data, dan gangguan layanan.
Penilaian risiko yang baik membantu perusahaan menentukan kontrol berdasarkan kebutuhan nyata, bukan sekadar mengikuti daftar kontrol secara mekanis.
5. Menyusun Risk Treatment Plan dan Statement of Applicability
Setelah melakukan penilaian risiko, perusahaan perlu menentukan bagaimana risiko yang telah diidentifikasi akan ditangani.
Risk treatment plan berisi rencana penanganan risiko, termasuk tindakan, penanggung jawab, dan target penyelesaian.
Sementara itu, Statement of Applicability (SoA) merupakan dokumen yang menjelaskan kontrol keamanan yang dipilih, status penerapannya, serta alasan penyertaan atau pengecualian kontrol sesuai persyaratan standar yang berlaku.
Checklist:
- Menentukan opsi penanganan risiko.
- Menetapkan kontrol yang diperlukan.
- Menyusun risk treatment plan.
- Menyusun dan memelihara Statement of Applicability.
- Menentukan penanggung jawab dan target implementasi.
- Mendokumentasikan penerimaan risiko residual jika relevan.
Kedua dokumen ini membantu perusahaan menghubungkan hasil penilaian risiko dengan tindakan keamanan yang benar-benar diterapkan.
6. Menyiapkan Kebijakan dan Dokumen ISMS
Dokumentasi menjadi bagian penting dalam penerapan sistem manajemen keamanan informasi. Dokumen yang tepat membantu memastikan kebijakan dan proses dijalankan secara konsisten serta menyediakan bukti penerapan.
Jenis dokumentasi yang dibutuhkan bergantung pada konteks organisasi, ruang lingkup, risiko, dan persyaratan ISO 27001 yang berlaku.
Checklist:
- Menyusun kebijakan keamanan informasi.
- Menyiapkan tujuan keamanan informasi.
- Mendokumentasikan metodologi dan hasil penilaian risiko.
- Menyusun risk treatment plan dan SoA.
- Menyiapkan prosedur atau panduan operasional yang diperlukan.
- Mengatur pengendalian dokumen dan rekaman.
- Memastikan dokumen ditinjau dan disetujui pihak berwenang.
Penting untuk diingat bahwa banyaknya dokumen bukanlah ukuran keberhasilan ISMS. Dokumentasi seharusnya mendukung proses kerja dan benar-benar digunakan oleh pihak yang berkepentingan.
7. Meningkatkan Awareness dan Kompetensi Karyawan
Keamanan informasi bukan hanya tanggung jawab tim IT. Karyawan dari berbagai departemen juga memiliki peran dalam menjaga keamanan data dan menjalankan prosedur perusahaan.
Karena itu, perusahaan perlu membangun kesadaran dan memastikan orang-orang yang memiliki tanggung jawab terkait keamanan informasi mempunyai kompetensi yang sesuai.
Checklist:
- Mengidentifikasi kebutuhan kompetensi berdasarkan peran.
- Menyelenggarakan pelatihan keamanan informasi.
- Memberikan edukasi mengenai phishing dan rekayasa sosial.
- Menjelaskan kebijakan serta prosedur keamanan informasi.
- Menyimpan bukti pelatihan dan evaluasi kompetensi.
- Membangun mekanisme pelaporan insiden keamanan.
Program awareness yang berkelanjutan dapat membantu mengurangi kesalahan manusia dan meningkatkan keterlibatan karyawan dalam menjaga keamanan informasi.
8. Menerapkan Kontrol Keamanan Informasi
Perusahaan perlu menerapkan kontrol keamanan yang relevan dengan risiko dan kebutuhan organisasi.
Kontrol tersebut dapat mencakup aspek manusia, proses, fisik, dan teknologi. Penerapannya harus mempertimbangkan hasil risk assessment serta persyaratan standar yang berlaku.
Checklist:
- Mengatur hak akses berdasarkan kebutuhan pekerjaan.
- Menerapkan autentikasi yang sesuai.
- Mengelola keamanan perangkat dan sistem.
- Menetapkan prosedur backup dan pemulihan data.
- Menyiapkan proses pengelolaan insiden keamanan informasi.
- Mengelola keamanan hubungan dengan pemasok.
- Meninjau efektivitas kontrol yang diterapkan.
Sebagai contoh, perusahaan dapat menerapkan least privilege agar pengguna hanya memperoleh akses yang diperlukan untuk menjalankan tugasnya.
Kontrol keamanan yang efektif bukan hanya kontrol yang tercantum dalam dokumen, melainkan kontrol yang benar-benar dijalankan dan dievaluasi.
9. Melaksanakan Internal Audit dan Management Review
Sebelum menjalani audit sertifikasi, perusahaan perlu mengevaluasi apakah ISMS sudah memenuhi persyaratan dan diterapkan secara efektif.
Internal audit membantu mengidentifikasi ketidaksesuaian, kelemahan penerapan, dan peluang perbaikan.
Sementara itu, management review memberikan kesempatan bagi manajemen untuk mengevaluasi kinerja ISMS, perubahan konteks organisasi, hasil audit, serta kebutuhan peningkatan.
Checklist:
- Menyusun program internal audit.
- Menentukan auditor yang kompeten dan objektif.
- Melakukan audit berdasarkan kriteria yang telah ditentukan.
- Mendokumentasikan temuan dan ketidaksesuaian.
- Melakukan management review.
- Menetapkan tindak lanjut dari hasil evaluasi.
Internal audit sebaiknya dilakukan dengan pendekatan yang objektif. Tujuannya bukan sekadar menemukan kesalahan, tetapi membantu perusahaan memahami efektivitas sistem yang telah dibangun.
10. Menyelesaikan Ketidaksesuaian dan Memastikan Kesiapan Audit
Tahap terakhir dalam checklist ini adalah memastikan bahwa temuan dan ketidaksesuaian yang ditemukan selama implementasi maupun evaluasi telah ditangani secara tepat.
Perusahaan juga perlu memastikan bukti penerapan tersedia dan pihak-pihak yang terlibat memahami proses audit.
Checklist:
- Mengidentifikasi dan mencatat ketidaksesuaian.
- Melakukan analisis akar penyebab.
- Menetapkan tindakan korektif.
- Memantau penyelesaian tindakan korektif.
- Memastikan bukti penerapan tersedia.
- Menyiapkan personel terkait untuk menghadapi audit.
- Mengonfirmasi kesiapan dengan lembaga sertifikasi yang dipilih.
Perlu diingat bahwa menyelesaikan checklist tidak otomatis menjamin perusahaan memperoleh sertifikasi. Keputusan sertifikasi tetap bergantung pada hasil audit dan ketentuan lembaga sertifikasi.
Tabel Ringkasan Checklist ISO 27001
Untuk mempermudah pemantauan, perusahaan dapat menggunakan tabel berikut sebagai alat evaluasi awal.
| No. | Checklist | Status |
|---|---|---|
| 1 | Menentukan ruang lingkup ISMS | Belum / Proses / Selesai |
| 2 | Mendapatkan komitmen manajemen | Belum / Proses / Selesai |
| 3 | Mengidentifikasi aset informasi | Belum / Proses / Selesai |
| 4 | Melakukan risk assessment | Belum / Proses / Selesai |
| 5 | Menyusun risk treatment plan dan SoA | Belum / Proses / Selesai |
| 6 | Menyiapkan kebijakan dan dokumentasi ISMS | Belum / Proses / Selesai |
| 7 | Meningkatkan awareness dan kompetensi karyawan | Belum / Proses / Selesai |
| 8 | Menerapkan kontrol keamanan informasi | Belum / Proses / Selesai |
| 9 | Melaksanakan internal audit dan management review | Belum / Proses / Selesai |
| 10 | Menyelesaikan ketidaksesuaian dan mengevaluasi kesiapan audit | Belum / Proses / Selesai |
Tabel ini dapat disesuaikan dengan ukuran perusahaan, kompleksitas operasional, serta ruang lingkup ISMS yang ditetapkan.
Kesalahan yang Perlu Dihindari Saat Mempersiapkan ISO 27001
Selain memahami checklist, perusahaan juga perlu mengenali beberapa kesalahan yang dapat menghambat implementasi.
1. Berfokus hanya pada dokumen
Dokumentasi memang penting, tetapi penerapan kebijakan dan kontrol dalam aktivitas sehari-hari juga harus diperhatikan.
2. Mengabaikan hasil risk assessment
Memilih kontrol tanpa mempertimbangkan risiko organisasi dapat membuat sistem keamanan kurang relevan dengan kebutuhan bisnis.
3. Kurangnya keterlibatan manajemen
Implementasi yang hanya dibebankan kepada tim IT berpotensi menghadapi kendala sumber daya, koordinasi, dan pengambilan keputusan.
4. Melakukan internal audit hanya sebagai formalitas
Audit internal seharusnya menjadi sarana evaluasi yang objektif untuk menemukan area yang perlu diperbaiki.
5. Menunda persiapan hingga mendekati jadwal audit
Persiapan yang dilakukan terlalu dekat dengan jadwal audit dapat meningkatkan tekanan kerja dan membuat perusahaan kesulitan menyelesaikan gap yang ditemukan.
Dengan memahami kesalahan tersebut, perusahaan dapat menyusun rencana implementasi yang lebih realistis dan terukur.
Kapan Perusahaan Membutuhkan Pendampingan ISO 27001?
Setiap perusahaan memiliki tingkat kesiapan dan kompleksitas yang berbeda. Ada organisasi yang sudah mempunyai kebijakan keamanan informasi, tetapi belum memiliki risk assessment yang terstruktur. Ada juga perusahaan yang telah menerapkan berbagai kontrol keamanan, tetapi masih kesulitan menghubungkannya dengan persyaratan ISMS.
Pendampingan dapat dipertimbangkan ketika perusahaan mengalami kondisi seperti:
- Belum memahami gap antara kondisi saat ini dan persyaratan ISO 27001.
- Kesulitan menentukan scope ISMS.
- Belum memiliki metodologi risk assessment.
- Membutuhkan bantuan dalam menyusun rencana implementasi.
- Memerlukan evaluasi kesiapan sebelum audit sertifikasi.
Jika perusahaan sedang berada pada tahap tersebut, berdiskusi dengan pihak yang memahami implementasi ISO 27001 dapat membantu memperjelas prioritas dan langkah selanjutnya.
NEMA dapat menjadi salah satu pihak untuk diajak berdiskusi mengenai kebutuhan persiapan ISO 27001, apabila layanan dan ruang lingkup pendampingannya sesuai dengan kebutuhan perusahaan.
Untuk menyiapkan pemahaman karyawan sebelum sertifikasi, lihat training ISO 27001 dari NEMA yang bisa diadakan di kantor Anda atau online.
Kesimpulan
Persiapan sertifikasi ISO 27001 membutuhkan perencanaan yang terstruktur, mulai dari menentukan scope ISMS, mendapatkan dukungan manajemen, melakukan risk assessment, menyiapkan dokumentasi, hingga melaksanakan internal audit.
Sepuluh checklist ISO 27001 dalam artikel ini dapat digunakan sebagai panduan awal untuk mengevaluasi kesiapan perusahaan sebelum menjalani proses sertifikasi.
Namun, checklist bukan pengganti standar ISO 27001 atau penilaian profesional. Perusahaan tetap perlu menyesuaikan setiap langkah dengan konteks organisasi dan persyaratan standar yang berlaku.
Dengan persiapan yang tepat, implementasi ISO 27001 dapat menjadi bagian dari upaya perusahaan membangun tata kelola keamanan informasi yang lebih konsisten dan berkelanjutan.
Ingin mengetahui sejauh mana kesiapan perusahaan Anda dalam menerapkan ISO 27001? Mulailah dengan mengevaluasi kondisi ISMS saat ini dan mengidentifikasi aspek yang masih perlu ditingkatkan sebelum menentukan langkah implementasi berikutnya.