Annex A ISO/IEC 27001:2022

Annex A ISO/IEC 27001:2022 merupakan reference set information security controls yang digunakan dalam proses Information Security Management System (ISMS). Annex A terdiri dari 93 Controls yang dikelompokkan menjadi empat kelompok utama:

Struktur 93 controls dalam empat kelompok tersebut berasal dari arsitektur ISO/IEC 27002:2022 dan digunakan sebagai reference controls dalam Annex A ISO/IEC 27001.

Secara garis besar:

• ORGANIZATIONAL → bagaimana organisasi mengelola keamanan informasi.
• PEOPLE → bagaimana risiko keamanan informasi yang berkaitan dengan manusia dikelola.
• PHYSICAL → bagaimana fasilitas, equipment dan physical assets dilindungi.
• TECHNOLOGICAL → bagaimana systems, applications, networks dan digital information dilindungi.

37 Organizational Controls

Organizational Controls merupakan kelompok terbesar dalam Annex A. Kelompok ini secara garis besar berkaitan dengan bagaimana organisasi membangun governance, rules dan processes untuk information security.

Area yang dicakup dapat meliputi:

• information security policies;
• roles and responsibilities;
• segregation of duties;
• asset management;
• information classification;
• information transfer;
• access governance;
• supplier security;
• cloud-service governance;
• incident management;
• business continuity;
• legal and regulatory compliance;
• privacy;
• information-security review.

Tujuan utamanya adalah Membangun tata kelola keamanan informasi di tingkat organisasi. Jadi konsep yang akan digunakan meliputi:

Policy -> Responsibility -> Process -> Control -> Monitoring -> Improvement.

Organizational Controls

• Risiko -> Supplier mempunyai akses ke customer information.
• Pengendalian -> Organisasi dapat menetapkan: supplier security requirements; contractual security clauses; access restrictions; security review; incident notification requirements.

Artinya keamanan informasi tidak berhenti pada internal IT department.

Siapa Saja yang Terlibat

Organizational Controls dapat melibatkan:

• Top Management;
• Information Security;
• IT;
• HR;
• Procurement;
• Legal;
• Compliance;
• Business Process Owner.

Karena itu ISO/IEC 27001 tidak sebaiknya diperlakukan sebagai: proyek IT saja.

8 People Controls

People Controls berfokus pada information security risks yang berkaitan dengan manusia. Secara garis besar meliputi:

• personnel screening;
• employment requirements;
• information security responsibilities;
• awareness;
• education;
• training;
• confidentiality;
• remote working;
• reporting information security events.

Tujuan utamanya adalah Mengurangi risiko keamanan informasi yang berasal dari human factor.

Mengapa People Controls itu Penting

Teknologi yang kuat dapat gagal apabila pengguna tidak memahami security responsibilities. Contoh:

• Technology -> Multi-Factor Authentication tersedia, tetapi:
• User -> Memberikan credential atau authentication code kepada attacker -> Information Security Incident

Karena itu: Technology harus didukung People Awareness.

Contoh People Controls

• Joiner -> Access diberikan berdasarkan authorization.
• Mover -> Access direview ketika jabatan berubah.
• Leaver -> Access dicabut ketika employee keluar.

Jadi gunakan

• Joiner -> Grant Approrpiate Access
• Mover -> Review access
• Leaver -> Revoke Access

Contoh Evidence meliputi:

• employment requirements;
• confidentiality agreement;
• awareness records;
• training records;
• access revocation evidence;
• information-security event reporting.

14 Physical Controls

Physical Controls berfokus pada perlindungan informasi, equipment dan fasilitas dari physical threats. Area umumnya dapat mencakup:

• physical security perimeter;
• secure entry;
• offices and facilities;
• physical monitoring;
• protection from environmental threats;
• working in secure areas;
• equipment protection;
• storage media;
• supporting utilities;
• cabling;
• equipment maintenance;
• secure disposal.

Tujuan utamanya adalah Mencegah physical access, damage atau interface yang dapat mengganggu keamanan informasi.

Physical Security Bukan Hanya Access card

Server Room - Risiko dapat berupa:

• unauthorized entry;
• fire;
• flooding;
• electrical failure; 
• equipment damage.

Karena itu physical control dapat mencakup:

Access Control -> Monitoring -> Environmental Protection -> Equipment Protection

Contoh Physical Control:

• Risiko: Unauthorized person memasuki server room.
• Possible Control: restricted access; visitor control; access logs; physical monitoring.
• Evidence: access records; visitor logs; inspection records.

Physical Controls dan CIA

Physical controls juga mendukung:

• Confidentiality: Mencegah pihak tidak berwenang melihat informasi.
• Integrity: Mencegah perubahan atau kerusakan physical assets.
• Availability: Melindungi system dari fire, power failure atau environmental threats.

34 Technological Controls

Technological Controls berhubungan dengan penggunaan teknologi untuk melindungi information systems dan digital information. Area secara garis besar meliputi:

• endpoint security;
• access control;
• privileged access;
• authentication;
• malware protection;
• vulnerability management;
• configuration management;
• data deletion;
• data masking;
• data leakage prevention;
• backup;
• redundancy;
• logging;
• monitoring;
• network security;
• cryptography;
• secure development;
• application security;
• security testing;
• change management.

Tujuan utamanya: adalah Melindungi information dan ICT systems melalui controls yang sesuai dengan risiko.

Technological Controls - Access

• Risiko: Unauthorized access ke customer database.
• Posibble Controls: unique user identity; authentication; access restriction; privileged-access control; periodic access review.
• Evidence: user list; authorization records; access-review records; system logs.

Technological Controls - Backup

Backup -> Protect -> Retention -> Restore Test -> Can Data Actually Be Recovered

Tujuan akhir bukan memiliki file backup, tetapi memastikan information dapat dipulihkan ketika dibutuhkan.

Risk Assessment

Annex A sebaiknya tidak menjadi titik awal. Alur yang lebih tepat:

ISMS Scope -> Information Securitt Risk Assessment -> Risk Evaluation -> Risk Treatment -> Necessary Controls -> Annex A Comparation

Pelajari lebih lanjut terkait Risk Assessment ISO/IEC 27001

Risk Treatment

Risk Treatment membantu menentukan bagaimana organisasi akan menangani information security risk. Dari proses tersebut organisasi menentukan Necessary Control.

Pelajari lebih lanjut terkait Risk Treatment ISO/IEC 27001

Necessary Controls

Guidance ISO/IEC JTC 1/SC 27 menjelaskan bahwa Annex A digunakan sebagai common reference set agar organisasi dapat mengetahui apakah ada necessary control yang secara tidak sengaja terlewat.

Pelajari lebih lanjut terkait Necessary Controls ISO/IEC 27001

Statement of Applicability

Setelah necessary controls ditentukan dan Annex A dibandingkan:

Necessary Controls -> Annex A -> Statement of Applicability.

SoA mendokumentasikan controls yang diperlukan organisasi, alasan relevansinya, implementation status dan justification terhadap reference controls Annex A yang dinilai tidak diperlukan.

Pelajari lebih lanjut terkait Statement of Applicability