Tahapan Implementasi ISO 27001:2022 dari Gap Analysis hingga Sertifikasi

1. Melakukan Gap Analysis ISO 27001

Tahapan awal biasanya dimulai dengan gap analysis untuk mengetahui seberapa jauh kondisi organisasi saat ini terhadap persyaratan ISO/IEC 27001:2022.

Assessment dapat mencakup:

• kebijakan dan prosedur yang sudah tersedia;

• proses bisnis dan tata kelola;

• pengelolaan risiko;

• keamanan aplikasi dan infrastruktur;

• pengelolaan SDM serta pihak ketiga;

• implementasi kontrol keamanan;

• bukti atau evidence pelaksanaan proses.

Hasil gap analysis kemudian digunakan untuk membuat action plan atau roadmap implementasi berdasarkan prioritas risiko dan tingkat kesiapan organisasi.

Pada tahap ini, konsultan ISO 27001 dapat membantu memberikan assessment yang lebih objektif sehingga organisasi tidak langsung membuat banyak dokumen tanpa mengetahui gap sebenarnya.

2. Menentukan Ruang Lingkup dan Tata Kelola ISMS

Organisasi perlu menentukan ruang lingkup atau scope ISMS yang akan diterapkan.

Penentuan scope dapat mempertimbangkan unit kerja, lokasi, proses bisnis, sistem informasi, infrastruktur, jenis informasi, serta ketergantungan kepada vendor.

Tim implementasi juga sebaiknya tidak hanya berasal dari divisi TI. Keterlibatan manajemen, risk, compliance, legal, HR, procurement, internal audit, dan pemilik proses bisnis sangat penting karena keamanan informasi merupakan tanggung jawab organisasi.

3. Melakukan Information Security Risk Assessment

Risk assessment merupakan inti implementasi ISO 27001.

Secara sederhana, prosesnya dapat digambarkan sebagai:

Identifikasi informasi/aset → Identifikasi risiko → Analisis risiko → Evaluasi risiko → Risk treatment

Organisasi perlu menentukan risiko mana yang harus ditangani berdasarkan kriteria risiko yang telah ditetapkan.

Menyusun Risk Treatment Plan

Setelah risiko diketahui, organisasi menentukan tindakan penanganannya, misalnya mengurangi, menghindari, membagi atau mentransfer, maupun menerima risiko sesuai kriteria yang berlaku.

Hasilnya kemudian menjadi dasar untuk menentukan kontrol keamanan yang dibutuhkan.

4. Menyusun Statement of Applicability dan Dokumentasi

Organisasi selanjutnya menyusun Statement of Applicability (SoA) untuk mendokumentasikan kontrol yang relevan dan alasan penerapan atau pengecualiannya.

Artinya, implementasi ISO 27001 bukan sekadar mencentang semua kontrol tanpa melihat konteks organisasi.

Dokumentasi ISMS yang dibangun dapat mencakup:

• kebijakan keamanan informasi;

• metodologi dan register risiko;

• Risk Treatment Plan;

• Statement of Applicability;

• pengelolaan akses;

• incident management;

• asset management;

• backup;

• supplier security;

• business continuity.

Dokumentasi perlu disesuaikan dengan proses organisasi, bukan sekadar menggunakan template.

5. Mengimplementasikan Kontrol dan Mengumpulkan Evidence

Setelah dokumen disusun, organisasi harus membuktikan bahwa proses tersebut benar-benar berjalan.

Contohnya meliputi:

• review hak akses pengguna;

• pencatatan insiden;

• pengujian backup;

• security awareness;

• assessment vendor;

• vulnerability management;

• monitoring keamanan.

Prinsip pentingnya adalah:

Dokumentasi belum tentu berarti implementasi, dan implementasi belum tentu berarti kontrol sudah efektif.

Karena itu, evidence perlu dikumpulkan sejak awal, bukan baru menjelang audit.

6. Melaksanakan Internal Audit dan Management Review

Sebelum audit sertifikasi, organisasi perlu mengevaluasi ISMS melalui internal audit.

Audit internal membantu menemukan ketidaksesuaian dan area yang perlu diperbaiki sebelum dinilai pihak eksternal.

Hasil internal audit kemudian menjadi salah satu masukan dalam management review, bersama informasi mengenai risiko, pencapaian sasaran keamanan, insiden, corrective action, serta perubahan yang memengaruhi ISMS.

7. Menyelesaikan Temuan dan Memastikan Certification Readiness

Temuan yang muncul tidak cukup hanya ditutup secara administratif.

Organisasi perlu:

1. mengidentifikasi penyebab utama;

2. menentukan corrective action;

3. menjalankan perbaikan;

4. mengumpulkan evidence;

5. mengevaluasi efektivitas tindakan.

Pendampingan ISO 27001 dapat membantu organisasi melakukan readiness review sebelum memasuki audit sertifikasi sehingga gap penting dapat diketahui lebih awal.

8. Menghadapi Audit Sertifikasi ISO 27001

Audit sertifikasi umumnya terdiri atas Stage 1 dan Stage 2.

Stage 1 mengevaluasi kesiapan awal dan dokumentasi ISMS, sedangkan Stage 2 menilai implementasi serta efektivitas sistem secara lebih menyeluruh.

Penting dipahami bahwa konsultan ISO 27001 berbeda dengan badan sertifikasi. Konsultan membantu organisasi mempersiapkan implementasi, sedangkan audit dan keputusan sertifikasi dilakukan oleh certification body. ISO juga memiliki standar khusus mengenai persyaratan badan yang melakukan audit dan sertifikasi ISMS.

Apakah ISO 27001 Selesai Setelah Sertifikasi?

Tidak. ISO 27001 menerapkan prinsip continual improvement.

Setelah sertifikasi, organisasi tetap perlu melakukan monitoring, risk assessment, internal audit, management review, tindakan perbaikan, serta peningkatan kontrol keamanan.

Tujuan akhirnya bukan hanya memperoleh sertifikat, tetapi menjaga ISMS tetap relevan ketika teknologi, ancaman, regulasi, maupun proses bisnis berubah.