ISO/IEC 27001:2022

ISO/IEC 27001 adalah standar internasional untuk Information Security Management System (ISMS) atau Sistem Manajemen Keamanan Informasi (SMKI).

Standar ini membantu organisasi membangun sistem untuk mengelola risiko terhadap informasi melalui kombinasi:

• PEOPLE
• PROCESS
• TECHNOLOGY

Dengan tujuan menjaga:

• CONFINDENTIALITY: Informasi hanya dapat diakses oleh pihak yang berwenang.
• INTEGRITY: Informasi tetap akurat, lengkap dan terlindungi dari perubahan yang tidak sah.
• AVAILABILITY: Informasi tersedia ketika dibutuhkan.

ISO menjelaskan ketiga prinsip tersebut sebagai fondasi keamanan informasi dalam ISO/IEC 27001.

ISO/IEC 27001:2022 adalah Edition 3, diterbitkan pada Oktober 2022 dan masih menjadi edisi yang berlaku. Standar tersebut memiliki  Amendement 1:2024 - Climate Action Changes yang berlaku terhadap ISO/IEC 27001:2022.

ISO/IEC 27001 merupakan standar yang menetapkan requirements untuk membangun, menerapkan, memelihara dan terus meningkatkan Information Security Management System.

ISO menggambarkan ISO/IEC 27001 sebagai standar ISMS yang membantu organisasi mengelola security risks terhadap informasi yang dimiliki atau ditanganinya. Standar ini dapat digunakan oleh organisasi berbagai ukuran dan sektor.

Pendekatannya dapat dipahami:

BUSINESS CONTECT -> INFORMATION -> INFORMATION SECURITY RISKS -> RISK TREATMENT -> SECURITY CONTROLS -> MONITORING -> AUDIT -> IMPROVEMENT

ISO/IEC 27001 bukan sekadar: IT Security Checklist, dan juga bukan hanya: Cybersecurity Technology Standard.

ISMS mencakup pengelolaan:

People + Process + Technology + Information + Suppliers + Physical Environmental secara terintegrasi.

ISMS - Information Security Management System adalah sistem manajemen yang membantu organisasi mengelola information security secara sistematis berdasarkan risiko.

ISMS tidak hanya mengamankan server. ISMS dapat melindungi:

• customer information;
• employee information;
• financial information;
• intellectual property;
• contracts;
• operational data;
• cloud data;
• paper-based information;i
• nformation entrusted by third parties.

ISO menegaskan bahwa ISO/IEC 27001 melindungi informasi dalam berbagai bentuk, termasuk paper-based, cloud-based dan digital information.

Pelajari lebih lanjut terkait ISMS ISO/IEC 27001

Tiga prinsip utama adalah:

Confidentiality

Informasi hanya tersedia bagi pihak yang mempunyai authorization.

Contoh risiko: credential theft; unauthorized database access; disclosure of confidential information.

Integrity

Informasi tetap akurat dan tidak dimodifikasi secara tidak sah. Contoh risiko: unauthorized data modification; accidental deletion; transaction manipulation.

Availability

Informasi dan system tersedia ketika dibutuhkan. Contoh risiko: server outage; ransomware; infrastructure failure; inadequate backup.

ISO secara resmi menggunakan Confidentiality, Integrity dan Availability sebagai tiga prinsip fundamental information security dalam penjelasan ISO/IEC 27001.

Organisasi saat ini bergantung pada informasi.

Masalah dapat berasal dari:

EXTERNAL THREATS

• cyber attacks;
• phishing;
• ransomware;
• malicious actors;
• supplier compromise.

INTERNAL THREATS

• human error;
• unauthorized access;
• inappropriate privilege;
• loss of information;
• weak procedures.

TECHNOLOGY FAILURE

• server failure;
• cloud outage;
• backup failure;
• vulnerabilities.

PHYSICAL THREATS

• theft;
• fire;
• unauthorized physical access;
• equipment damage.

ISO menjelaskan bahwa ISO/IEC 27001 membantu organisasi menjadi lebih risk-aware, mengidentifikasi weakness secara proaktif dan membangun cyber-resilience serta operational excellence.

Implementasi ISMS dapat membantu organisasi:

• Melindungi Informasi. Menjaga confidentiality, integrity dan availability.
• Mengelola Cyber Risk. Menerapkan pendekatan risk-based.
• Meningkatkan Business Resilience. Mengurangi kemungkinan information-security incident mengganggu aktivitas organisasi.
• Memperkuat Customer Trust. Memberikan keyakinan bahwa information security dikelola secara sistematis.
• Mendukung Compliance. Membantu organisasi mengelola legal, regulatory dan contractual requirements yang relevan.
• Mengurangi Security Control yang Tidak Efektif. Security investment dapat diprioritaskan berdasarkan risiko.

ISO secara resmi menyebut manfaat seperti cyber-attack resilience, preparedness terhadap threats baru, organization-wide protection serta perlindungan confidentiality, integrity dan availability.

Core management-system requirements terdapat pada Clause 4 sampai Clause 10.

Pelajari lebih lanjut terkait Persyaratan ISO/IEC 27001.

Klausul 4 - Context of the Organization

Organisasi perlu memahami:

• business context;
• internal issues;
• external issues;
• interested parties;
• requirements;
• scope ISMS;
• ISMS processes.

Scope merupakan bagian penting karena risk assessment hanya akan relevan jika batas ISMS ditentukan secara tepat.

Pelajari lebih lanjut terkait Scope ISO/IEC 27001

Climate Action Amendement 2024

ISO/IEC 27001:2022 mempunyai:

ISO/IEC 27001:2022/Amd 1:2024 - Climate Action Changes.

Amendment tersebut diterbitkan Februari 2024 dan berlaku terhadap ISO/IEC 27001:2022.

Karena itu organisasi yang menggunakan ISO/IEC 27001:2022 perlu memastikan amendment tersebut telah dipertimbangkan dalam pengelolaan context dan interested parties yang relevan.

Klausul 5 - Leadership

Information security tidak seharusnya hanya menjadi tanggung jawab:

IT Departement atau Information Security Team.

Leadership perlu memastikan ISMS terintegrasi dengan proses organisasi.

Top management berperan dalam:

• direction;
• Information Security Policy;
• roles;
• resources;
• objectives;
• integration;
• continual improvement.

ISMS yang hanya dimiliki departemen IT biasanya sulit menghasilkan organization-wide protection.

Klausul 6 - Planning

Planning merupakan jantung risk-based approach ISO/IEC 27001.

Alur utamanya:

Context -> Risks & Opportunities -> Information Security Risk Assessment -> Risk Treatment -> Necessary Control -> Compare with Annex A -> Statement of Applicability -> Risk Treatment Plan -> Information Security Objectives.

Information Security Risk Assessment

Risk Assessment membantu organisasi memahami:

• Informasi apa yang perlu dilindungi?
• Risiko apa yang dapat memengaruhi confidentiality, integrity atau availability?
• Seberapa besar risikonya?
• Apakah risiko dapat diterima?

Pelajar lebih lanjut terkait Risk Assessment ISO/IEC 27001

Apakah Necessary Controls

Necessary Controls adalah information-security controls yang ditentukan organisasi sebagai diperlukan untuk menangani information-security risk dan kebutuhan relevan lainnya.

Ini merupakan konsep penting karena organisasi tidak memulai dengan memilih 93 Annex A Controls satu per satu.

Pendekatan yang lebih tepat mulai dari

Risk Assessment -> Risk Treatment -> Determine Necessary Controls -> Compare with Annex A -> Check Whether Anything Necessary Was Missed.

Guidance dari ISO/IEC 27001 Auditing Practices Group menjelaskan bahwa necessary controls ditentukan organisasi melalui risk treatment, kemudian dibandingkan dengan Annex A sebagai reference set untuk memastikan kontrol yang dibutuhkan tidak terlewat.

Pelajari lebih lanjut terkait Necessary Controls ISO/IEC 27001.

Annex A Bukan Checklist 93 Kontrol Yang Semuanya Wajib

Ini salah satu misunderstanding paling umum. Sebuah pernyataan yang salah bila ISO 27001 mengharuskan perusahaan menerapkan seluruh 93 Annex A controls, lebih tepatnya adalah Annex A digunakan sebagai reference set of Information Security Controls.

Organisasi menentukan necessary controls berdasarkan:

• information-security risks;
• legal requirements;
• regulatory requirements;
• contractual requirements;
• business requirements.

Kemudian necessary controls dibandingkan dengan Annex A untuk memastikan tidak ada control penting yang terlewat.

ISO/IEC 27001 Auditing Practices guidance menegaskan bahwa keberadaan sebuah control di Annex A tidak otomatis membuatnya necessary bagi setiap organisasi; determination tetap menjadi tanggung jawab organisasi berdasarkan context dan risk-management arrangements.

Annex A ISO/IEC 27001

Kontrol dikelompokkan ke dalam empat themes:

Dokumen ISO/IEC JTC 1/SC 27 yang membahas ISO/IEC 27002:2022 menjelaskan bahwa edisi 2022 terdiri dari 93 controls yang dikelompokkan ke empat themes tersebut.

Pelajari lebih lanjut terkait Annex A ISO/IEC 27001

Statement of Applicability - SOA

Statement of Applicability atau SOA merupakan salah satu documented information paling penting dalam ISMS.

SoA bukan hanya Checklist Annex A, namun SoA berfungsi mendokumentasikan necessary controls organisasi.

Guidance dari ISO/IEC 27001 Auditing Practices Group menjelaskan bahwa SoA mencakup:

• necessary information-security controls;
• alasan controls tersebut diperlukan;
• status implementasinya;
• justification terhadap Annex A reference controls yang dinilai tidak diperlukan.

Custom Controls

Organisasi tidak harus membatasi controls hanya pada Annex A.

Necessary controls dapat berasal dari:

• organization-specific controls;
• legal requirements;
• customer requirements;
• sector standards;
• other security frameworks.

ISO/IEC 27001 Auditing Practices guidance secara eksplisit menjelaskan bahwa organisasi dapat memiliki necessary/custom controls yang tidak terdapat di Annex A dan controls tersebut tetap perlu tercermin dalam SoA bila diperlukan.

Pelajari lebih lanjut terkait Statement of Applicability

Klausul 7 - Support

ISMS membutuhkan: resources; competence; awareness; communication; documented information.

Information security tidak berjalan hanya melalui teknologi. Karena itu ISMS menggunakan pendekatan:

People + Process + Technology.

Klausul 8 - Operation

Tahap Operation memastikan proses risk assessment dan treatment benar-benar dijalankan. Gunakan:

Plan -> Implement -> Operate Controls -> Assess Risk When Needed -> Implement Risk Treatment -> Generate Evidence.

Klausul 9 - Performance Evaluation

Organisasi perlu mengetahui apakah ISMS benar-benar efektif. Gunakan:

Monitor -> Measure -> Analyze -> Evaluate -> Internal Audit -> Management Review.

Internal Audit

Internal Audit dapat mengevaluasi: scope; risk assessment; risk treatment; SoA; control implementation; monitoring; incidents; supplier controls; objectives.

Pelajari lebih lanjut terkait Panduan Audit Sistem Manajemen

Management Review

Top management perlu mengevaluasi ISMS. Contoh informasi yang relevan:

• security objectives;
• risk status;
• incident trends;
• audit results;
• changes;
• resources;
• opportunities;
• control effectiveness.

Klausul 10 - Improvement

ISMS perlu belajar dari: incidents; audit findings; failed controls; vulnerabilities; complaints; monitoring; changing risks.

Gunakan:

Nonconformity -> Correction -> Cause Analysis -> Corrective Action -> Verify Effectiveness -> Continual Improvement.

• ISO/IEC 27002 - Information Security Controls
• ISO/IEC 27005 - Information Security Risk Management
• ISO/IEC 27017 - Cloud Security Controls Guidance
• ISO/IEC 27018 - Protection of Personnaly Identifiable Information dalam Public Cloud
• ISO/IEC 27701 - Privacy Information Management System