ISO 27001 Sebagai Persyaratan Wajib PSE
Contents
Dengan semakin canggihnya sebuah system maka akan berbanding lurus dengan ancaman keamanan system tersebut. Penyelenggara Sistem Elektronik (PSE) mewajibkan penerapan Sistem Manajemen Keamanan Informasi (SMKI). Salah satu system manajemen keamanan informasi yang popular dan efektif adalah ISO 27001.
Apa Itu ISO 27001?
SNI ISO/IEC 27001 adalah standar internasional yang menetapkan persyaratan untuk sistem manajemen keamanan informasi (ISMS). ISMS adalah suatu kerangka kerja yang membantu organisasi untuk melindungi informasinya dari berbagai ancaman, seperti peretasan, pencurian, dan kerusakan. ISO 27001 terdiri dari prosedur, kebijakan, dan kontrol lainnya yang melibatkan teknologi, personil, fisik, dan proses yang kompleks.
Dasar hukum ISO 27001 untuk PSE
ISO 27001 menjadi persyaratan untuk PSE. Hal ini diatur dalam Peraturan Badan Siber Dan Sandi Negara Nomor 8 Tahun 2020 Tentang Sistem Pengamanan Dalam Penyelenggaraan Sistem Elektronik.
Seberapa efektif ISO 27001?
Sangat efektif, dengan menerapkan ISO 27001 sesuai dengan ketentuan dan kebutuhan, maka system system yang dibangun mampu melindungi informasi berharga di semuah organisasi ataupun Perusahaan. Namun efektif atau tidaknya system keamanan informasi dapat dipengaruhi oleh 4 kontrol yang harus dipenuhi.
4 Kontrol pada ISO 27001
ISO 27001 memuat 93 kontrol keamanan informasi yang terbagi menjadi 4 bagian:
- Pengendalian organisasi (37 pengendalian): mencakup kebijakan untuk informasi, pengembalian aset, dan keamanan informasi untuk penggunaan layanan cloud.
- Pengendalian personil (8 pengendalian): menyangkut orang/individu yang terlibat, meliputi kerja jarak jauh, penyaringan, kerahasiaan, atau perjanjian kerahasiaan.
- Pengendalian fisik (14 pengendalian): menyangkut objek fisik meliputi media penyimpanan, pemeliharaan peralatan, pemantauan keamanan fisik, atau pengamanan kantor, ruangan, dan fasilitas.
- Pengendalian teknologi (34 pengendalian): menyangkut teknologi yang meliputi otentikasi yang aman, penghapusan informasi, pencegahan kebocoran data, atau pengembangan yang dialihdayakan.
Prosedur Pengurusan ISO 27001 untuk PSE
Persiapan
Tahap ini merupakan tahap penting untuk memastikan bahwa organisasi siap untuk menerapkan ISO 27001. Kegiatan yang dilakukan pada tahap ini antara lain:
Kajian awal
Kajian awal dilakukan untuk menilai kesiapan organisasi dalam menerapkan ISO 27001. Kegiatan yang dilakukan pada tahap ini antara lain:
- Mengidentifikasi aset informasi yang harus dilindungi.
- Mengidentifikasi risiko keamanan informasi yang dihadapi organisasi.
- Mengidentifikasi persyaratan peraturan yang berlaku.
Tim proyek
Tim proyek bertanggung jawab untuk mengelola penerapan ISO 27001. Tim ini biasanya terdiri dari perwakilan dari berbagai departemen di organisasi, seperti departemen IT, departemen keuangan, dan departemen operasional.
Komite manajemen
Komite manajemen bertanggung jawab untuk memberikan dukungan dan arahan untuk penerapan ISO 27001. Komite ini biasanya terdiri dari eksekutif senior di organisasi.
Rencana penerapan
Rencana penerapan ISO 27001 harus disusun untuk memastikan bahwa penerapan ISO 27001 berjalan dengan lancar dan efektif. Rencana ini harus mencakup jadwal, anggaran, dan sumber daya yang diperlukan.
Implementasi
Tahap ini merupakan tahap untuk menerapkan sistem manajemen keamanan informasi (ISMS) berdasarkan standar ISO 27001. Kegiatan yang dilakukan pada tahap ini antara lain:
Kebijakan keamanan informasi
Kebijakan keamanan informasi adalah dokumen yang menetapkan prinsip-prinsip dan komitmen organisasi untuk melindungi informasi. Kebijakan keamanan informasi harus disetujui oleh manajemen puncak.
Prosedur dan instruksi kerja
Prosedur dan instruksi kerja adalah dokumen yang menjelaskan langkah-langkah yang harus dilakukan untuk menerapkan pengendalian keamanan informasi. Prosedur dan instruksi kerja harus ditulis dengan jelas dan mudah dipahami oleh karyawan.
Pelatihan karyawan
Karyawan harus dilatih tentang keamanan informasi untuk memastikan bahwa mereka memahami dan dapat menerapkan pengendalian keamanan informasi dengan benar.
Implementasi pengendalian keamanan informasi
Pengendalian keamanan informasi adalah tindakan yang diambil untuk mengurangi risiko keamanan informasi. Pengendalian keamanan informasi dapat berupa kontrol teknis, kontrol administratif, atau kontrol fisik.
Sertifikasi
Tahap ini merupakan tahap untuk mendapatkan sertifikasi ISO 27001 dari lembaga sertifikasi yang terakreditasi. Sertifikasi ISO 27001 menunjukkan bahwa ISMS organisasi telah memenuhi persyaratan standar ISO 27001.
Untuk mendapatkan sertifikasi ISO 27001, organisasi harus melalui proses audit oleh lembaga sertifikasi. Audit sertifikasi ini bertujuan untuk memastikan bahwa ISMS organisasi telah memenuhi persyaratan standar ISO 27001.
Pemeliharaan
Tahap ini merupakan tahap untuk memelihara dan meningkatkan ISMS secara berkelanjutan. Kegiatan yang dilakukan pada tahap ini antara lain:
Evaluasi dan perbaikan ISMS
