ISO/IEC 27001 menjadi sertifikat yang paling sering diminta dari perusahaan Indonesia, oleh klien luar negeri, oleh mitra, dan semakin sering oleh persyaratan tender. Sertifikat ini membuktikan Anda menjalankan sistem manajemen keamanan informasi yang benar-benar berjalan, bukan sekadar membeli alat keamanan. Panduan ini menjelaskan apa yang diminta standar dan jalur tepat menuju sertifikasi, lengkap dengan lini waktu dan biaya yang realistis untuk pasar Indonesia.
Apa yang sebenarnya diminta ISO 27001:2022
Standar ini punya dua bagian. Klausul manajemen, bernomor 4 sampai 10, adalah tulang punggung wajib: memahami konteks, komitmen kepemimpinan, perencanaan berbasis risiko, dukungan, operasi, evaluasi kinerja, dan perbaikan. Semuanya mengikuti siklus plan-do-check-act dan di sinilah sebagian besar pekerjaan nyata berada.
Bagian kedua adalah Annex A, katalog berisi 93 kontrol yang Anda pilih berdasarkan risiko. Revisi 2022 menata ulang kontrol ini ke dalam empat tema.
Kesalahpahaman umum adalah Anda harus menerapkan semua 93 kontrol. Tidak demikian. Anda menilai risiko, memutuskan kontrol mana yang menanganinya, dan mencatat keputusan itu dalam dokumen bernama Statement of Applicability. Mengecualikan sebuah kontrol tidak masalah, selama Anda bisa membenarkan alasannya.
Perjalanan sertifikasi, tahap demi tahap
Sertifikasi diberikan oleh lembaga sertifikasi independen setelah audit eksternal dua tahap. Sebelum audit itu, Anda melakukan pekerjaan internal yang membuat kelulusan mungkin. Telusuri tahapan di bawah ini untuk melihat isi tiap tahap, dan gunakan pemilih ukuran untuk memperkirakan upaya bagi organisasi seperti Anda.
Dua audit eksternal adalah yang paling menentukan. Tahap 1 adalah tinjauan dokumentasi dan kesiapan, biasanya satu sampai dua hari, di mana auditor memastikan ISMS Anda ada di atas kertas dan Anda siap diuji. Tahap 2 adalah audit sesungguhnya, di mana auditor mengumpulkan bukti bahwa kontrol Anda benar-benar berjalan. Lolos Tahap 2 dan Anda menerima sertifikat yang berlaku tiga tahun, dijaga oleh audit surveilans tahunan di tahun pertama dan kedua.
Berapa lama waktunya
Jawaban jujurnya bergantung pada kematangan awal dan seberapa luas Anda menetapkan ruang lingkup ISMS. Perusahaan kecil dengan ruang lingkup sempit dan dasar keamanan yang rapi bisa tersertifikasi dalam sekitar enam bulan. Organisasi menengah sebaiknya merencanakan sekitar dua belas hingga delapan belas bulan. Tahap terpanjang hampir selalu adalah menerapkan kontrol dan menghasilkan bukti bahwa kontrol itu bekerja.
Ini adalah pekan kerja, bukan pekan kalender, dan tahap-tahap saling tumpang tindih dalam praktik. Angka ini mengasumsikan ada penanggung jawab khusus yang mengarahkan program, bukan seseorang yang mengerjakannya di sela tugas harian.
Berapa biayanya di Indonesia
Biaya terbagi tiga: upaya internal, konsultasi opsional, dan biaya audit lembaga sertifikasi. Di pasar Indonesia, biaya lembaga sertifikasi umumnya berkisar Rp 8 juta hingga Rp 40 juta tergantung ukuran dan kompleksitas ISMS, dengan total investasi tahun pertama, termasuk waktu internal dan konsultasi, berkisar dari ratusan juta rupiah untuk perusahaan kecil hingga lebih dari satu miliar untuk perusahaan besar.
Dua biaya berkelanjutan mudah terlupakan. Audit surveilans setiap tahun biasanya hanya sebagian kecil dari biaya audit awal, dan resertifikasi penuh jatuh tempo setiap tiga tahun dengan biaya kira-kira sama dengan audit awal. Anggarkan sertifikat sebagai komitmen tiga tahun, bukan pembelian sekali jalan.
Satu detail khas Indonesia adalah akreditasi. Komite Akreditasi Nasional, atau KAN, adalah badan nasional yang mengakreditasi lembaga sertifikasi berdasarkan ISO/IEC 17021, termasuk skema ISO 27001. Memilih lembaga sertifikasi terakreditasi KAN atau yang diakui secara internasional itu penting, karena sertifikat tanpa akreditasi bisa saja tidak diterima oleh klien yang ingin Anda menangkan.
Kesalahan umum yang menghambat sertifikasi
Sebagian besar sertifikasi yang gagal atau tertunda punya akar masalah yang sama. Yang terbesar adalah memperlakukan ISO 27001 sebagai proyek TI tanpa kepemilikan nyata dari pimpinan, sehingga ISMS menjadi map yang tak diikuti siapa pun. Tepat di belakangnya adalah ruang lingkup yang buruk: terlalu luas membuat beban dokumentasi tak terkendali, terlalu sempit membuat sertifikat gagal memuaskan klien besar.
Masalah berulang lainnya bersifat praktis. Dokumentasi yang menggambarkan proses yang tak diikuti siapa pun adalah ketidaksesuaian itu sendiri. Melewati atau terburu-buru pada audit internal menghilangkan kesempatan terakhir Anda menangkap masalah sebelum lembaga sertifikasi. Dan setelah sertifikasi, banyak organisasi berhenti menjalankan audit internal sama sekali, yang merupakan temuan paling umum pada audit surveilans pertama.
Di Alpha Code, kami membantu organisasi Indonesia bergerak dari analisis celah menuju ISMS tersertifikasi tanpa awal yang salah, lalu menjaganya tetap sehat melalui surveilans dan resertifikasi. Jika Anda diminta ISO 27001 dan belum yakin harus mulai dari mana, analisis celah adalah langkah pertama yang tepat.