Pengertian ISO 27001: Struktur, Annex A, Versi Terbaru, dan Sertifikasinya

ISO 27001 adalah standar internasional yang menetapkan persyaratan untuk membangun, menerapkan, memelihara, dan terus meningkatkan sistem manajemen keamanan informasi (SMKI), atau information security management system (ISMS). Nama lengkapnya ISO/IEC 27001, karena disusun bersama oleh ISO dan IEC. Edisi yang berlaku saat ini adalah ISO/IEC 27001:2022, yang dilengkapi amendemen tahun 2024 tentang perubahan iklim.

Berbeda dengan panduan teknis, ISO 27001 tidak menetapkan teknologi tertentu. Standar ini meminta organisasi mengelola keamanan informasi berdasarkan risiko: mengenali apa yang perlu dilindungi, menilai risikonya, lalu memilih kontrol yang sesuai. Artikel ini menjelaskan tujuan, struktur, kontrol Annex A, perkembangan versinya, dan proses sertifikasinya.

Tujuan ISO 27001: Menjaga Kerahasiaan, Integritas, dan Ketersediaan Informasi

Tujuan utama ISO 27001 adalah melindungi tiga aspek informasi, yang sering disebut segitiga CIA:

• Kerahasiaan (confidentiality): informasi hanya dapat diakses oleh pihak yang berwenang.
• Integritas (integrity): informasi tetap akurat dan lengkap, serta tidak diubah tanpa izin.
• Ketersediaan (availability): informasi dapat diakses oleh pihak yang berwenang saat dibutuhkan.

Ketiga aspek ini dijaga melalui SMKI, yaitu kumpulan kebijakan, proses, peran, dan kontrol yang dikelola secara terencana. Karena pendekatannya berbasis risiko, ISO 27001 tidak menjanjikan organisasi kebal dari serangan. Yang dijanjikan adalah cara yang sistematis untuk mengenali risiko, menekan peluang dan dampaknya, serta pulih dengan cepat saat insiden terjadi.

Cakupannya juga tidak terbatas pada data digital. Informasi dalam bentuk dokumen kertas, percakapan, maupun pengetahuan karyawan ikut termasuk.

Struktur ISO 27001: Klausul 4-10 dan Annex A

ISO/IEC 27001:2022 terdiri dari dua bagian: klausul persyaratan sistem manajemen dan Annex A yang berisi daftar kontrol keamanan informasi.

Klausul 4-10: Persyaratan Sistem Manajemen

Klausul 0-3 berisi pengantar, ruang lingkup, rujukan, dan istilah. Persyaratan yang diaudit ada di klausul 4-10:

Klausul	Isi pokok
4. Konteks organisasi	Isu internal dan eksternal, pihak berkepentingan, ruang lingkup SMKI
5. Kepemimpinan	Komitmen manajeemen puncak, kebijakan keamanan informasi,peran dan tanggung jawab
6. Perencanaan	Penilaian dan perlakuan risiko keamanan informasi, sasaran keamanan informasi
7. Dukungan	Sumber daya, kompetensi, kesadaran, komunikasi, informasi terdokumentasi
8. Operasi	Pelaksanaan penilaian dan perlakuan risiko
9. Evaluasi Kinerja	Pemantauan, audit internal, tinjauan manajemen
10 Peningkatan	Ketidaksesuaian, tindakan korektif, peningkatan berkelanjutan

Strukturnya sama dengan standar sistem manajemen ISO lain seperti ISO 9001, sehingga mudah diintegrasikan. Baca juga ulasan kami terkait Annex A 8.24 ISO27001 penggunaan kriptografi

Annex A: 93 Kontrol dalam Empat Kategori

Annex A edisi 2022 berisi 93 kontrol, turun dari 114 kontrol dalam 14 domain di edisi 2013. Edisi 2022 juga memperkenalkan 11 kontrol baru. Kontrolnya dikelompokkan menjadi empat kategori:

Kategori	Jumlah Kontrol
Organisasi	37
Orang	8
Fisik	14
Teknologi	34

Annex A bukan daftar yang wajib diterapkan seluruhnya. Organisasi memilih kontrol berdasarkan hasil penilaian risiko, lalu mendokumentasikan pilihan dan alasannya dalam Statement of Applicability (SoA). Pembahasan per kontrol tersedia dalam  seri AnnexA ISO 27001 dari MBO

Perkembangan Versi ISO 27001

ISO/IEC 27001:2022 adalah satu-satunya edisi yang berlaku untuk sertifikasi saat ini.

Tahun	Perkembangan
2005	Edisi pertama terbit, diadopsi dari standar Inggris BS 7799-2
2013	Edisi kedua, dengan Annex A berisi 114 kontrol dalam 14 domain
Oktober 2022	Edisi ketiga terbit pada 25 Oktober 2022, dengan Annex A berisi 93 kontrol dalam 4 kategori
Februari 2024	Amendemen 1:2024 menambahkan pertimbangan perubahan iklim
31 Oktober 2015	Masa transisi 36 bulan berakhir; sertifikat berbasis edisi 2013 kedaluwarsa atau dicabut

Amendemen 2024 menambahkan satu persyaratan di klausul konteks organisasi, yaitu menentukan apakah perubahan iklim merupakan isu yang relevan. Amendemen ini juga menambahkan satu catatan di klausul pihak berkepentingan bahwa pihak berkepentingan dapat memiliki persyaratan terkait perubahan iklim.

Organisasi yang tidak menyelesaikan transisi sebelum 31 Oktober 2025 harus menjalani sertifikasi ulang dari awal terhadap edisi 2022, termasuk audit tahap 1 dan tahap 2. Rincian perubahan dari 2013 ke 2022 dibahas di artikel transisi ISO/IEC 27001:2013 menuju ISO/IEC 27001:2022.

Manfaat ISO 27001 dan Siapa yang Membutuhkannya

ISO 27001 dapat diterapkan oleh organisasi apa pun yang mengelola informasi penting, dari perusahaan teknologi dan perbankan hingga sekolah dan instansi pemerintah, berikut ini beberapa manfaat yang diperoleh:

1. Risiko keamanan informasi terkelola secara sistematis: aset informasi dipetakan, risikonya dinilai, dan kontrolnya dipilih secara terencana.
2. Bukti independen bagi pelanggan dan mitra: sertifikat dari lembaga sertifikasi terakreditasi sering menjadi syarat tender dan kerja sama, terutama dengan klien korporasi dan luar negeri.
3. Respons insiden yang lebih siap: prosedur penanganan insiden dan kelangsungan bisnis sudah disiapkan sebelum insiden terjadi.
4. Budaya keamanan di seluruh organisasi: persyaratan kompetensi dan kesadaran membuat keamanan informasi menjadi tanggung jawab semua karyawan, bukan hanya tim TI.
5. Dasar untuk memenuhi regulasi: kerangka SMKI memudahkan organisasi memenuhi kewajiban perlindungan data.

Kaitan dengan Regulasi di Indonesia

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi tidak mewajibkan sertifikasi ISO 27001. Namun, UU tersebut mewajibkan pengendali data pribadi menyampaikan pemberitahuan tertulis paling lambat 3 × 24 jam jika terjadi kegagalan pelindungan data pribadi (Pasal 46). SMKI berbasis ISO 27001 membantu organisasi menyiapkan pengamanan dan prosedur insiden yang dibutuhkan untuk memenuhi kewajiban tersebut.

Di sektor tertentu, regulasi juga mendorong penerapan standar keamanan informasi. Contohnya kewajiban bagi lembaga pengguna data kependudukan yang dibahas di artikel Kemendagri: lembaga pengguna pusat wajib ISO 27001. Penerapan per sektor juga dibahas di artikel ISO 27001 dan ISO 27701 untuk perbankan dan ISO 27001 untuk keamanan data sekolah.

Proses Sertifikasi ISO 27001

Sertifikasi dilakukan oleh lembaga sertifikasi yang terakreditasi, bukan oleh konsultan. Peran konsultan adalah mendampingi persiapannya. Tahapan umumnya:

1. Menetapkan ruang lingkup SMKI: unit, lokasi, proses, dan sistem yang dicakup.
2. Analisis kesenjangan (gap analysis): membandingkan praktik yang berjalan dengan persyaratan klausul 4–10 dan Annex A.
3. Penilaian dan perlakuan risiko: mengidentifikasi risiko keamanan informasi, memilih kontrol, dan menyusun Statement of Applicability.
4. Implementasi: menerapkan kontrol, menyusun kebijakan dan prosedur, serta melatih karyawan.
5. Audit internal dan tinjauan manajemen: memastikan SMKI berjalan sesuai rencana sebelum diaudit pihak luar.
6. Audit tahap 1: lembaga sertifikasi memeriksa dokumentasi dan kesiapan organisasi.
7. Audit tahap 2: lembaga sertifikasi menilai penerapan SMKI di lapangan.
8. Pemeliharaan sertifikat: sertifikat umumnya berlaku tiga tahun, dengan audit surveilans berkala sebelum sertifikasi ulang.

Lama persiapan sangat bergantung pada ruang lingkup dan kematangan praktik keamanan yang sudah ada. Gap analysis di tahap awal adalah cara paling akurat untuk memperkirakannya.

Kesimpulan

ISO 27001 adalah standar internasional untuk membangun SMKI yang menjaga kerahasiaan, integritas, dan ketersediaan informasi berdasarkan risiko. Edisi yang berlaku adalah ISO/IEC 27001:2022 dengan amendemen 2024, berisi klausul 4-10 sebagai persyaratan dan 93 kontrol Annex A yang dipilih sesuai hasil penilaian risiko. Sejak 31 Oktober 2025, seluruh sertifikasi mengacu pada edisi ini.

Mitra Berdaya Optima mendampingi organisasi mulai dari gap analysis, penilaian risiko, dan penyusunan Statement of Applicability hingga kesiapan audit sertifikasi ISO 27001. Konsultasikan kebutuhan SMKI organisasi Anda, mulai dari IT Assessment untuk memetakan kondisi saat ini, atau hubungi tim kami.