ISO 27001 untuk Perusahaan Teknologi dan Pengelola Data

ISO 27001 adalah standar sistem manajemen keamanan informasi yang mengatur bagaimana organisasi mengidentifikasi risiko terhadap kerahasiaan, keutuhan, dan ketersediaan informasi, lalu menetapkan pengendalian yang sepadan. Standar ini semakin sering diminta oleh klien korporat, lembaga keuangan, dan mitra internasional sebagai syarat kerja sama pengolahan data.

Inti Persyaratannya

• Menetapkan ruang lingkup sistem — bagian organisasi, lokasi, dan aset informasi mana yang tercakup
• Menyusun kebijakan keamanan informasi yang ditetapkan manajemen puncak
• Melakukan penilaian risiko keamanan informasi dengan metodologi yang konsisten
• Menetapkan rencana penanganan risiko dan memilih pengendalian yang sesuai
• Menyusun pernyataan keberlakuan yang menjelaskan pengendalian mana yang diterapkan dan mana yang tidak beserta alasannya
• Memantau, mengukur, mengaudit, dan meninjau efektivitas sistem

Ruang Lingkup Menentukan Segalanya

Keputusan paling penting di awal adalah menetapkan ruang lingkup. Lingkup yang terlalu luas membuat penerapan berat dan biaya audit membengkak. Lingkup yang terlalu sempit membuat sertifikat kurang bermakna bagi pelanggan, terutama bila layanan yang mereka gunakan justru berada di luar lingkup. Pelanggan korporat yang teliti akan membaca lingkup pada sertifikat, bukan sekadar melihat nomornya.

Area Pengendalian yang Umum Diterapkan

1. Pengendalian organisasi: kebijakan, peran dan tanggung jawab, pengelolaan aset informasi, hubungan dengan pemasok
2. Pengendalian orang: penyaringan calon karyawan, kesadaran keamanan, penanganan saat karyawan berhenti
3. Pengendalian fisik: akses ruang server, keamanan area kerja, penanganan media
4. Pengendalian teknologi: manajemen akses, kriptografi, pencatatan log, pengelolaan kerentanan, keamanan pengembangan perangkat lunak, cadangan data

Kaitannya dengan Perlindungan Data Pribadi

Penerapan ISO 27001 membantu memenuhi banyak kewajiban dalam pelindungan data pribadi, tetapi keduanya tidak identik. Kepatuhan terhadap ketentuan pelindungan data pribadi menyangkut dasar pemrosesan, hak subjek data, dan pemberitahuan insiden — hal-hal yang berdimensi hukum dan tidak sepenuhnya tercakup oleh standar keamanan informasi. Perusahaan yang mengolah data pribadi dalam jumlah besar sebaiknya menangani keduanya secara paralel.

Kesalahan yang Sering Terjadi

Perusahaan teknologi sering memulai dari daftar pengendalian dan mencoba menerapkan semuanya, padahal standar menghendaki pengendalian dipilih berdasarkan hasil penilaian risiko. Akibatnya sumber daya habis pada pengendalian yang tidak relevan sementara risiko yang benar-benar besar belum tertangani. Memulai dari inventaris aset informasi dan penilaian risiko yang jujur akan menghasilkan sistem yang lebih ringkas sekaligus lebih efektif.