ISO 27000: 9 Standar Keamanan Informasi yang Perlu Dikenal Perusahaan

Bayangkan seorang staf keuangan mengirim file gaji karyawan ke alamat email yang salah pada Jumat sore. Baru Senin pagi tim IT menyadarinya, dan file itu sudah dibuka oleh pihak yang tidak berhak.

Kejadian seperti ini mahal. Laporan Cost of a Data Breach 2026 dari IBM mencatat rata-rata biaya satu insiden kebocoran data di dunia mencapai US$4,99 juta, angka tertinggi sepanjang sejarah laporan tersebut.

Salah satu rujukan untuk mencegahnya adalah ISO 27000, keluarga standar internasional untuk keamanan informasi. Artikel ini membahas apa itu ISO 27000, sembilan standar di dalamnya yang direkomendasikan, dan cara memilih yang cocok untuk bisnis Anda.

Apa Itu ISO 27000?

ISO 27000 adalah standar internasional yang memuat gambaran umum dan kosakata untuk sistem manajemen keamanan informasi (SMKI), atau information security management system (ISMS) dalam bahasa Inggris. Nama resminya ISO/IEC 27000, karena disusun bersama oleh International Organization for Standardization (ISO) dan International Electrotechnical Commission (IEC).

Isinya dua hal. Pertama, pengantar tentang apa itu ISMS dan bagaimana standar-standar dalam seri 27000 saling berhubungan; kedua, daftar istilah baku yang dipakai di seluruh seri tersebut.

Anggap saja ISO 27000 sebagai kamus sekaligus peta. Kamusnya membuat istilah seperti aset informasi, risiko, dan kontrol berarti sama bagi semua orang, sedangkan petanya menunjukkan standar mana yang perlu dibuka untuk kebutuhan tertentu.

Contohnya, tim IT sebuah perusahaan logistik menyebut satu kejadian sebagai “insiden”, sementara tim hukum menyebutnya “pelanggaran”. Dengan istilah baku dari ISO 27000, keduanya bisa membahas kejadian yang sama tanpa salah paham.

Lalu apa itu ISMS? Ia adalah cara perusahaan mengatur perlindungan informasi secara terstruktur, yaitu siapa boleh mengakses data apa dan bagaimana risikonya ditangani.

Tujuan akhir ISMS adalah menjaga kerahasiaan, integritas, dan ketersediaan informasi. Ketiganya berlaku untuk semua bentuk informasi, termasuk berkas cetak dan percakapan lisan.

Contohnya pada data gaji karyawan. Kerahasiaan berarti hanya bagian HR yang bisa membukanya, integritas memastikan angkanya tidak diubah sembarang orang, dan ketersediaan menjamin data itu bisa diakses saat payroll harus diproses.

Satu hal sering salah kaprah: ISO 27000 tidak punya sertifikasi. Yang bisa disertifikasi adalah ISO/IEC 27001, salah satu anggota keluarganya.

Jadi, jika ada vendor yang mengaku bersertifikat ISO 27000, tanyakan sertifikat apa yang sebenarnya mereka pegang. Jawaban yang benar semestinya ISO/IEC 27001.

ISO menyediakan ISO/IEC 27000 secara gratis lewat program Publicly Available Standards. Anda bisa membacanya langsung tanpa membeli.

Mengapa Perusahaan Perlu Mengenal Keluarga Standar ISO 27000

Keamanan informasi sering baru dibahas setelah ada kejadian. Padahal merapikan sistem sebelum insiden umumnya lebih murah daripada membereskan dampaknya sesudahnya.

Keluarga ISO 27000 memberi kerangka kerja yang sudah dipakai lintas negara, jadi perusahaan tidak perlu menyusun aturan dari nol. Empat alasan berikut biasanya menjadi pemicu perusahaan mempelajarinya.

• Klien meminta bukti keamanan. Contohnya, sebuah perusahaan perangkat lunak kehilangan kesempatan ikut tender karena tidak bisa menunjukkan sertifikat ISO/IEC 27001.
• Risiko operasional lebih terkendali. Contohnya, akses karyawan yang sudah resign dicabut sesuai prosedur sehingga akun lamanya tidak bisa dipakai membuka data pelanggan.
• Kewajiban regulasi lebih mudah dipenuhi. Contohnya, kebijakan pengelolaan data yang sudah terdokumentasi mempermudah perusahaan menjawab audit dari klien korporasi atau regulator.
• Tanggung jawab menjadi jelas. Contohnya, saat laptop kantor hilang, tim sudah tahu siapa yang harus dilapori dan langkah apa yang dijalankan.

9 Standar dalam Keluarga ISO 27000

Seri 27000 berisi puluhan dokumen, dan tidak semuanya relevan bagi setiap perusahaan. Berikut sembilan standar yang paling sering dirujuk, disusun dari yang paling dasar sampai yang paling spesifik.

1. ISO/IEC 27000: Pengantar dan Kamus Istilah

Standar ini adalah pintu masuk ke seluruh keluarga 27000. Isinya penjelasan konsep ISMS dan definisi istilah yang dipakai standar lain.

Contoh: manajer proyek yang baru ditugaskan menyiapkan ISMS bisa membaca dokumen ini lebih dulu untuk memahami beda “risiko”, “ancaman”, dan “kerentanan”. Dari situ ia tahu standar mana yang perlu dibuka berikutnya.

2. ISO/IEC 27001: Persyaratan ISMS yang Bisa Disertifikasi

ISO/IEC 27001 (versi 2022) adalah standar paling dikenal dalam keluarga ini dan satu-satunya yang bisa disertifikasi. Isinya persyaratan untuk membangun, menjalankan, memantau, dan memperbaiki ISMS.

Contoh: perusahaan fintech yang ingin melayani klien bank besar menjalani audit oleh lembaga sertifikasi independen. Jika lulus, sertifikat 27001 menjadi bukti yang bisa ditunjukkan saat penawaran.

3. ISO/IEC 27002: Panduan Kontrol Keamanan

Kalau 27001 menyebut kontrol apa yang dibutuhkan, ISO/IEC 27002 menjelaskan cara menjalankannya. Kontrolnya dikelompokkan dalam empat tema: organisasi, orang, fisik, dan teknologi.

Contoh: 27001 meminta perusahaan mengendalikan akses ke sistem. Lalu 27002 menguraikan praktiknya, seperti memberi hak akses sesuai kebutuhan kerja dan meninjau akses itu secara berkala.

4. ISO/IEC 27003: Panduan Implementasi ISMS

Standar ini berisi arahan langkah demi langkah untuk menerapkan persyaratan 27001. Fokusnya pada tahapan proyek, seperti menentukan ruang lingkup dan menyusun rencana kerja.

Contoh: tim yang bingung harus mulai dari mana saat menyiapkan sertifikasi bisa memakai 27003 sebagai daftar urutan pekerjaan. Hasilnya, proyek tidak berjalan acak dan tiap divisi tahu kapan gilirannya terlibat.

5. ISO/IEC 27004: Pemantauan dan Pengukuran

ISO/IEC 27004 membahas cara mengukur apakah ISMS benar-benar bekerja. Standar ini membantu perusahaan menentukan indikator, cara mengumpulkan datanya, dan cara membaca hasilnya.

Contoh: perusahaan mencatat persentase karyawan yang lulus uji simulasi phishing tiap kuartal. Jika angkanya jalan di tempat, manajemen tahu materi pelatihan perlu diganti.

6. ISO/IEC 27005: Manajemen Risiko Keamanan Informasi

Standar ini memberi panduan untuk menilai dan menangani risiko keamanan informasi. Penilaian risiko adalah jantung ISMS, karena dari sanalah perusahaan menentukan kontrol mana yang perlu dipasang.

Contoh: sebuah rumah sakit menyadari server rekam medisnya hanya punya satu jalur listrik, jadi risiko downtime-nya tinggi. Hasil penilaian itu mendorong mereka menambah genset dan cadangan data.

7. ISO/IEC 27017: Keamanan Layanan Cloud

ISO/IEC 27017 memberi panduan kontrol tambahan untuk layanan komputasi awan (cloud), baik bagi penyedia maupun penggunanya. Pembagian tanggung jawab keamanan antara kedua pihak dibuat jelas.

Contoh: perusahaan yang menyimpan data pelanggan di cloud perlu tahu bagian mana yang dijaga penyedia dan bagian mana yang tetap menjadi tugasnya, misalnya pengaturan akun pengguna. Salah paham soal pembagian ini bisa membuat penyimpanan data terbuka ke publik tanpa disadari.

8. ISO/IEC 27018: Perlindungan Data Pribadi di Cloud

Standar ini fokus pada perlindungan informasi yang dapat mengidentifikasi seseorang (PII) di layanan cloud publik. Sasarannya penyedia cloud yang memproses data pribadi atas nama pelanggannya.

Contoh: aplikasi HR berbasis cloud menyimpan nomor identitas dan data gaji karyawan milik kliennya. Penyedianya merujuk 27018 agar data itu tidak dipakai di luar instruksi klien.

9. ISO/IEC 27701: Manajemen Informasi Privasi

ISO/IEC 27701 mengatur sistem manajemen informasi privasi (PIMS). Standar ini berkaitan erat dengan 27001 dan 27002, tetapi fokusnya pada pengelolaan data pribadi: bagaimana dikumpulkan, dipakai, disimpan, dan dihapus.

Contoh: toko daring menetapkan masa simpan data pembeli dan prosedur penghapusan saat pelanggan menutup akun. Aturannya tertulis, jadi tim tidak perlu mengira-ngira.

Cara Memilih Standar ISO 27000 yang Sesuai Kebutuhan Bisnis

Sembilan standar tadi tidak perlu diterapkan sekaligus. Tabel berikut membantu Anda mencocokkan situasi bisnis dengan standar yang paling relevan.

Perusahaan biasanya memulai dari 27001 dengan 27002 sebagai pendamping, lalu menambah standar lain sesuai kebutuhan. Urutan ini lebih realistis daripada menerapkan semuanya dalam satu tahun anggaran.

Langkah Awal Menerapkan ISO 27000 di Perusahaan

Mengenal standar saja belum cukup, perusahaan perlu langkah yang jelas untuk mulai. Lima langkah berikut bisa menjadi titik awal yang realistis.

1. Tentukan Ruang Lingkup ISMS

Pilih bagian bisnis yang akan dilindungi lebih dulu. Cakupan kecil lebih mudah dikendalikan daripada seluruh perusahaan sekaligus.

Contoh: sebuah software house memulai dari tim pengembangan produk yang menangani data klien. Divisi lain bisa menyusul di tahap berikutnya.

2. Dapatkan Dukungan Manajemen

Tanpa restu pimpinan, anggaran dan waktu karyawan sulit didapat. Karena itu, dukungan manajemen perlu dipastikan sebelum pekerjaan teknis dimulai.

Contoh: direktur menunjuk penanggung jawab ISMS secara resmi. Ia juga menyediakan jam khusus bagi karyawan untuk mengikuti pelatihan.

3. Nilai Risiko dan Petakan Aset

Catat aset informasi milik perusahaan, lalu nilai ancaman dan celah pada tiap aset. Hasil penilaian ini menentukan kontrol apa yang perlu dipasang.

Contoh: pendataan aset menunjukkan kontrak klien tersimpan di folder bersama yang bisa dibuka semua staf. Temuan itu langsung masuk daftar risiko yang harus ditangani.

4. Terapkan Kontrol dan Dokumentasikan

Pasang kontrol sesuai hasil penilaian risiko, lalu tulis kebijakan dan prosedurnya. Dokumen ini menjadi bukti saat audit berlangsung.

Contoh: perusahaan mewajibkan autentikasi dua langkah untuk email kantor. Aturan itu dicatat dalam kebijakan akses.

5. Lakukan Audit Internal dan Tinjauan Manajemen

Periksa apakah semua aturan benar-benar dijalankan sebelum auditor eksternal datang. Tinjauan manajemen juga perlu dilakukan agar pimpinan tahu kondisi ISMS yang sebenarnya.

Contoh: auditor internal menemukan akun karyawan yang sudah keluar masih aktif. Akun itu segera dinonaktifkan.

Kesalahan Umum saat Memulai Penerapan ISO 27000

Hambatan sering muncul sebelum audit dimulai, dari cara perusahaan menyiapkan prosesnya. Empat kesalahan berikut lebih mudah dihindari jika dikenali sejak awal.

• Menyerahkan semuanya kepada tim IT. Keamanan informasi menyangkut HR, bagian hukum, dan operasional juga. Contohnya, mencabut akses karyawan yang resign membutuhkan data dari HR, jadi tim IT tidak bisa bekerja sendirian.
• Menyalin dokumen dari template tanpa menyesuaikan. Hasilnya aturan yang tidak cocok dengan kondisi nyata. Contohnya, kebijakan menyebut “server lokal” padahal seluruh sistem perusahaan sudah berjalan di cloud.
• Memasang semua kontrol tanpa menilai risiko. Anggaran terkuras untuk hal yang kurang mendesak. Contohnya, perusahaan membeli perangkat mahal untuk ancaman yang jarang terjadi, sementara kata sandi lemah dibiarkan.
• Berhenti setelah sertifikat terbit. ISMS perlu ditinjau secara berkala agar tetap cocok dengan sistem yang berubah. Contohnya, aplikasi baru diluncurkan tanpa pernah masuk daftar aset yang dinilai risikonya.

Kesimpulan

ISO 27000 adalah peta sekaligus kamus bagi seluruh standar keamanan informasi. Sertifikasinya ada di ISO/IEC 27001, sedangkan standar lain mengisi kebutuhan khusus seperti risiko, cloud, dan privasi.

Langkah paling masuk akal adalah memulai dari ruang lingkup kecil, menilai risiko, lalu memperluasnya bertahap. Insiden seperti file gaji yang terkirim ke alamat salah di awal tulisan ini sering bisa dicegah dengan aturan sederhana yang dijalankan secara konsisten.

FAQ