Persyaratan Klausul ISO/IEC 27001:2022

ISO/IEC 27001:2022 menetapkan persyaratan untuk membangun, menerapkan, memelihara dan meningkatkan Information Security Management System (ISMS).

Persyaratan utama sistem manajemen terdapat pada Klausul 4 sampai Klausul 10, mulai dari memahami konteks organisasi sampai melakukan continual improvement.

• Klausul 4 - Contect
• Klausul 5 - Leadership
• Klausul 6 - Planning
• Klausul 7 - Support
• Klausul 8 - Operation
• Klausul 9 - Performance Evaluation
• Klausul 10 - Improvement

Struktur tersebut membantu organisasi membangun keamanan informasi sebagai sistem manajemen.

ISO menjelaskan bahwa ISO/IEC 27001 menggunakan pendekatan holistik yang melibatkan People, Policy/Processes dan technology, serta pengelolaan risiko keamanan informasi.

[Pelajari ISMS ISO 27001 →]

[Konsultasi ISO/IEC 27001 →]

Klausul 4 membantu organisasi memahami lingkungan tempat ISMS akan diterapkan.

4.1 Understanding the Organization and Its Context

Organisasi perlu memahami isu internal dan eksternal yang dapat memengaruhi ISMS. Contoh isu:

• perkembangan cybersecurity;
• ketergantungan terhadap cloud;
• perubahan teknologi;
• kompetensi personel;
• struktur organisasi;
• kebutuhan pelanggan;
• regulasi.

Climate Change Amendment

ISO/IEC 27001:2022 memiliki Amendment 1:2024 – Climate action changes.

Pada klausul 4.1, organisasi juga perlu menentukan apakah climate change merupakan isu yang relevan terhadap ISMS.

Pada kontext interested oarties, amendment juga mengingatkan bahwa pihak berkepentingan yang relevan dapat memiliki persyaratan terkait climate change. Untuk organisasi tertentu dampaknya mungkin terbatas, tetapi organisasi tetap perlu melakukan penilaian relevansi.

4.2 Needs and Expectations of Interested Parties

Organisasi menentukan pihak berkepentingan yang relevan. Contohnya:

• pelanggan;
• regulator;
• karyawan;
• shareholder;
• supplier;
• business partner;
• cloud provider.

Kemudian organisasi menentukan persyaratan mana yang relevan terhadap keamanan informasi.

4.3 Determining the Scope of the ISMS

Organisasi menentukan batas dan cakupan ISMS. Scope dapat mempertimbangkan:

• lokasi;
• proses;
• departemen;
• informasi;
• aplikasi;
• infrastruktur;
• layanan;
• interfaces dan dependencies.

Contoh: Information Security Management System mencakup penyediaan layanan cloud application dan pengelolaan data pelanggan pada kantor pusat serta infrastruktur terkait.

4.4 Information Security Management System

Setelah konteks dan scope ditentukan, organisasi membangun, menerapkan, memelihara dan meningkatkan ISMS sesuai persyaratan standar. Secara sederhana:

Context -> Scope -ISMS

Clause 5 memastikan keamanan informasi tidak hanya menjadi proyek IT. Top management perlu menunjukkan kepemimpinan dan komitmen terhadap ISMS.

5.1 Leadership and Commitment

Manajemen perlu memastikan ISMS:

• sesuai arah organisasi;
• terintegrasi dalam business process;
• mendapatkan sumber daya;
• mencapai intended outcomes;
• terus ditingkatkan.

Manajemen bukan sekadar menandatangani dokumen.

Keterlibatan perlu terlihat dalam pengambilan keputusan dan dukungan terhadap ISMS.

5.2 Information Security Policy

Organisasi perlu memiliki kebijakan keamanan informasi yang sesuai dengan:

• tujuan organisasi;
• kebutuhan keamanan informasi;
• komitmen memenuhi persyaratan;
• continual improvement.

Kebijakan perlu dikomunikasikan kepada pihak yang relevan.

5.3 Roles, Responsibilities and Authorities

Tanggung jawab keamanan informasi perlu ditentukan.

Secara tanggungjawab, Information Security adalah tanggungjawab organisasi, bukan hanya IT.

klausul 6 merupakan salah satu bagian terpenting ISO/IEC 27001 karena menghubungkan:

Context -> Risk -> Risk Treatment -> Controls -> Objectives

6.1 Actions to Address Risks and Opportunities

Organisasi menentukan risiko dan peluang yang perlu ditangani agar ISMS dapat mencapai hasil yang diharapkan.

6.1.2 Information Security Risk Assessment

Organisasi perlu memiliki proses penilaian risiko keamanan informasi yang konsisten. Secara sederhananya:

Identify Risk -> Analyze Risk -> Evaluate Risk -> Determine Priority

Pelajari lebih lanjut terkait Risk Assessment ISO/IEC 27001

6.1.3 Information Security Risk Treatment

Setelah risiko dinilai, organisasi menentukan bagaimana risiko akan ditangani. Alurnya:

Risk -> Treatment Option -> Necessary Controls -> Compare with Annex A -> Statement of Applicability -> Risk Treatment Plan

Bagian ini merupakan hubungan penting antara Clause 6 dengan Annex A.

Annex A bukan daftar yang otomatis diterapkan seluruhnya.

Organisasi terlebih dahulu menentukan kontrol yang diperlukan melalui risk treatment dan membandingkannya dengan reference controls Annex A.

Statement of Applicability

Dalam proses risk treatment, organisasi perlu membangun Statement of Applicability (SoA).

SoA pada dasarnya membantu mendokumentasikan:

• necessary controls;
• alasan kontrol diperlukan;
• status implementasi;
• justifikasi terhadap reference controls Annex A yang tidak diperlukan.

Pelajari lebih lanjut terkait Statement of Applicability ->

6.2 Information Security objectives

Organisasi perlu menentukan tujuan keamanan informasi.

• Objective: Mengurangi keberhasilan Phishing Attack.
• Indicator: Persentase karyawan gagal Phishing simulation.
• Target:  <5%
• PIC: Infromation Security Manager

6.3 Planning of Changes

Perubahan terhadap ISMS perlu direncanakan. Contoh:

• migrasi cloud;
• kantor baru;
• merger;
• perubahan aplikasi;
• struktur organisasi baru;
• penggunaan AI;
• outsourcing proses.

Perubahan jangan dilakukan tanpa mempertimbangkan dampaknya terhadap ISMS.

ISMS membutuhkan dukungan agar dapat berjalan. Klausul 7 membahas kebutuhan dasar seperti: 

• Resources, 
• Competence, 
• Awareness, 
• Communication, 
• Documented Information.

7.1 Resources

Organisasi perlu menyediakan sumber daya yang sesuai. Contohnya: personel; teknologi; budget; training; tools;infrastructure.

7.2 Competence

Personel yang pekerjaannya memengaruhi keamanan informasi perlu memiliki kompetensi yang sesuai. Evidence dapat berupa:

• qualification;
• training;
• experience;
• competency assessment.

7.3 Awareness

Personel perlu memahami:

• Information Security Policy;
• perannya terhadap ISMS;
• konsekuensi pelanggaran;
• pentingnya keamanan informasi.

Contoh program: phishing awareness; security induction; password awareness; incident reporting awareness.

7.4 Coomunication

Organisasi perlu menentukan:

Apa yang dikomunikasikan -> Kapan -> kepada Siapa -> Oleh Siapa - Bagaimana

Contohnya:

• security incident;
• policy update;
• regulatory requirement;
• supplier security requirement.

7.5 Documented Information

ISMS memerlukan documented information yang sesuai. Contohnya:

• policy;
• procedure;
• risk register;
• SoA;
• records;
• audit results;
• monitoring data.

Dokumen perlu:

Created -> Approved - Controlled - Updated - Protected

Klausul 8 adalah bagian ketika rencana ISMS benar-benar dijalankan.

8.1 Operational Planning and Control

Organisasi menjalankan proses yang diperlukan untuk memenuhi persyaratan ISMS serta tindakan yang direncanakan pada Klausul 6. Perubahan proses juga perlu dikendalikan.

8.2 Information Security Risk Assessment

Risk assessment perlu dilakukan pada interval yang direncanakan atau ketika terjadi perubahan penting. Contoh trigger:

• teknologi baru;
• cloud migration;
• proses baru;
• security incident;
• perubahan supplier;
• perubahan scope.

8.3 Information Security Treatment

Risk Treatment Plan perlu dijalankan. Contoh:

• Risk: Unauthorized access.
• Treatment: Strengthen authentication
• Control: MFA + Access Restriction
• Implementation: System Configuration
• Evidence: Access Configuration + Access Review.

Setelah ISMS berjalan, organisasi perlu mengetahui: Apakah sistem bekerja? Klausul 9 menjawab pertanyaan tersebut.

9.1 Monitoring, Measurement, Analysis and Evaluation

Organisasi menentukan apa yang perlu:

• dimonitor;
• diukur;
• dianalisis;
• dievaluasi.

9.2 Internal Audit

Internal audit digunakan untuk mengevaluasi apakah ISMS:

• memenuhi persyaratan organisasi;
• memenuhi ISO/IEC 27001;
• diterapkan;
• dipelihara secara efektif.

Alur:

Audit Programme -> Audit Plan -> Evidence -> Findings -> Corrective Action.

Pelajari lebih lanjut terkait Internal Audit ISO/IEC 27001 ->

Untuk metodologi audit, organisasi juga dapat menggunakan guidance ISO 19011.

Pelajari lebih lanjut terkait Audit Internal ISO 19011

9.3 Management Review

Top management perlu meninjau ISMS pada interval yang direncanakan.

Area review dapat meliputi:

• perubahan konteks;
• hasil audit;
• security performance;
• risks;
• corrective action;
• opportunities for improvement.

Tujuannya memastikan ISMS tetap:

Suitable -> Adequate -> Effective

Tidak ada ISMS yang sempurna. Klausul 10 memastikan organisasi memiliki mekanisme untuk memperbaiki sistem.

10.1 Continual Improvement

Organisasi perlu terus meningkatkan: suitability; adequacy; effectiveness dari ISMS.

Improvement dapat berasal dari:

• audit;
• incidents;
• risk assessment;
• KPI;
• management review;
• lessons learned.

10.2 Nonconformity and Corrective Action

Jika terjadi ketidaksesuaian:

• Identify Nonconformity
• Control / Correct
• Determine
• Corrective Action
• Verify Effectiveness
• Update ISMS if Needed

ISO/IEC 27001:2022 secara resmi menempatkan Nonconformity and corrective action pada Clause 10.2.