Persiapan Sertifikasi ISO 27001: Tahapan, Dokumen & Kontrol Teknis

Memulai persiapan ISO 27001 (khususnya versi terbaru ISO/IEC 27001:2022 Information Security Management System / ISMS) kini menjadi syarat wajib bagi banyak perusahaan di Indonesia untuk mengikuti tender korporasi, bermitra dengan institusi keuangan, serta mematuhi regulasi OJK, Bank Indonesia, dan UU PDP. Namun, banyak proyek sertifikasi terhambat berbulan-bulan karena perusahaan hanya berfokus menyalin template dokumen kebijakan tanpa menyiapkan bukti implementasi teknis yang akan diperiksa oleh auditor.

6 Tahapan Utama dalam Persiapan ISO 27001:2022

Melalui pendampingan layanan Governance, Risk & Compliance (GRC) Indonesia dan pilar IT Management One Data Asia, proses menuju sertifikasi dibagi menjadi enam langkah terstruktur:

1. Penentuan Ruang Lingkup (Scope Definition) & Gap Assessment: Menentukan unit bisnis, lokasi kantor/data center, atau produk utama yang akan disertifikasi, lalu membandingkan kondisi saat ini terhadap Klausul 4–10 dan 93 kontrol Annex A ISO 27001:2022.
2. Information Security Risk Assessment & Statement of Applicability (SoA): Mengidentifikasi aset informasi, memetakan risiko ancaman beserta dampaknya, serta menyusun dokumen Statement of Applicability (SoA) yang menjelaskan kontrol mana saja yang diterapkan.
3. Penyusunan Kebijakan ISMS & Prosedur Operasional: Merancang kebijakan kontrol akses, penggunaan perangkat kerja, klasifikasi data, manajemen insiden, hingga Disaster Recovery Plan.
4. Implementasi Kontrol Teknis (Annex A Controls): Menerapkan solusi teknis nyata dan mengumpulkan bukti operasional (audit evidence) minimal selama 1–3 bulan.
5. Internal Audit & Management Review: Melakukan simulasi audit internal untuk menemukan dan memperbaiki ketidaksesuaian (Non-Conformity / NC) sebelum auditor eksternal datang.
6. Audit Sertifikasi Eksternal (Stage 1 & Stage 2): Pendampingan saat Badan Sertifikasi memeriksa kelengkapan dokumen (Stage 1) dan memverifikasi bukti penerapan di lapangan (Stage 2).

5 Kontrol Teknis Annex A yang Paling Sering Diperiksa Auditor

Auditor ISO 27001:2022 akan meminta bukti nyata (log, screenshot, dan laporan) pada lima area teknis berikut:

• A.8.13 Information Backup & A.8.14 Redundancy: Bukti keberhasilan backup harian dan laporan uji pemulihan (DR Drill) menggunakan solusi seperti Datto BCDR atau Robusta BCDR.
• A.8.15 Logging & A.8.16 Monitoring Activities: Bukti pencatatan dan pemantauan log keamanan terpusat melalui Robusta SIEM dan MDR 24/7.
• A.8.7 Protection Against Malware & A.8.8 Vulnerability Management: Bukti penggunaan EDR serta otomatisasi patch management melalui Datto RMM.
• A.5.15 Access Control & A.8.5 Secure Authentication: Penerapan MFA dan manajemen akses terpusat dengan JumpCloud Identity Management.
• A.6.3 Information Security Awareness, Education and Training: Laporan hasil Security Awareness Training & Simulasi Phishing karyawan.

Siap mempercepat langkah perusahaan Anda meraih sertifikat ISO 27001? Jadwalkan konsultasi persiapan ISO 27001 bersama One Data Asia.