ISO/IEC 27001:2022: Standar Global Sistem Manajemen Keamanan Informasi
Pendahuluan
Di era digital yang semakin kompleks, organisasi menghadapi tantangan keamanan informasi yang terus berkembang. Serangan siber, kebocoran data, dan ancaman keamanan lainnya menjadi risiko nyata yang dapat mengancam kelangsungan bisnis dan reputasi organisasi. ISO/IEC 27001:2022 hadir sebagai standar global yang membantu organisasi membangun, menerapkan, memelihara, dan terus meningkatkan sistem manajemen keamanan informasi (ISMS) .
Standar ini bersifat sukarela namun diadopsi secara luas sebagai fondasi kepatuhan terhadap berbagai regulasi seperti GDPR, UK GDPR, dan NIS2 Directive . Bagi para profesional keamanan informasi, sertifikasi ISO 27001 menunjukkan komitmen terverifikasi terhadap praktik terbaik keamanan informasi dan memudahkan kepatuhan terhadap berbagai kerangka regulasi .
Seperti yang ditegaskan dalam dokumen resmi ISO, standar ini bersifat generik dan dimaksudkan untuk berlaku bagi semua organisasi, terlepas dari jenis, ukuran, atau sifatnya . Hal ini menjadikan ISO 27001 sebagai standar universal yang dapat diimplementasikan oleh organisasi di seluruh sektor.
Perubahan Utama ISO/IEC 27001:2022 vs ISO/IEC 27001:2013
ISO/IEC 27001:2022 menghadirkan perubahan signifikan dari edisi sebelumnya. Perubahan ini mencerminkan evolusi ancaman keamanan informasi dan kebutuhan organisasi modern. Berikut adalah ringkasan perubahan utama:
Tabel 1: Perbandingan ISO 27001:2013 vs ISO 27001:2022
Periode transisi: Sertifikat ISO/IEC 27001:2013 harus bertransisi ke versi 2022 paling lambat 31 Oktober 2025, sesuai dengan Resolusi International Accreditation Forum (IAF) 2022-19 . Setelah tanggal tersebut, sertifikat versi 2013 menjadi tidak berlaku .
Kontrol Baru yang Signifikan
Penelitian akademis menggunakan metode fuzzy DEMATEL mengidentifikasi bahwa “Threat Intelligence” dan “Secure Development” muncul sebagai kontrol yang paling berpengaruh dalam sistem evaluasi ISO 27001:2022 . Temuan ini selaras dengan meningkatnya penekanan pada perlindungan data yang disimpan di layanan cloud dan penanganan ancaman yang muncul .
Beberapa kontrol baru yang penting :
- 8.28 Secure Coding — Menerapkan prinsip secure coding di seluruh siklus pengembangan, termasuk untuk komponen sumber terbuka dan yang diperoleh dari eksternal
- 8.25 Secure Development Life Cycle — Aturan untuk mengembangkan perangkat lunak dan sistem secara aman
- 5.21 Managing information security in the ICT supply chain — Mengelola keamanan informasi dalam rantai pasok ICT
- 8.9 Configuration Management — Manajemen konfigurasi (kontrol baru)
Diagram: Perubahan Struktur Kontrol
┌─────────────────────────────────────────────────────────────────────────────────┐ │ │ │ PERUBAHAN STRUKTUR ANNEX A ISO 27001 │ │ │ │ 2013: 114 Kontrol dalam 14 Domain │ │ ┌──────────────────────────────────────────────────────────────┐ │ │ │ A.5 Kebijakan Keamanan │ A.6 Organisasi │ A.7 SDM │ ... │ │ │ └──────────────────────────────────────────────────────────────┘ │ │ │ │ │ ▼ │ │ 2022: 93 Kontrol dalam 4 Tema │ │ ┌──────────────────────────────────────────────────────────────┐ │ │ │ 37 Kontrol Organisasi │ 8 Kontrol People │ 14 Kontrol Fisik │ │ │ │ 34 Kontrol Teknologi │ 11 Kontrol Baru │ 24 Digabung │ │ │ └──────────────────────────────────────────────────────────────┘ │ │ │ └─────────────────────────────────────────────────────────────────────────────────┘
Sumber: Diolah dari berbagai sumber
Struktur ISO/IEC 27001:2022
ISO/IEC 27001:2022 mengikuti High-Level Structure (Struktur Tingkat Tinggi) yang memungkinkan integrasi dengan standar sistem manajemen lainnya seperti ISO 9001 (mutu), ISO 14001 (lingkungan), dan ISO 45001 (K3) . Struktur ini memudahkan organisasi yang telah menerapkan standar lain untuk mengintegrasikan ISMS.
Klausul 4-10: Persyaratan Wajib
Tiga Tujuan Utama Keamanan Informasi
ISO 27001 berfokus pada tiga tujuan inti keamanan informasi :
- Ketersediaan (Availability) — Informasi tersedia saat dibutuhkan
- Kerahasiaan (Confidentiality) — Informasi hanya dapat diakses oleh pihak yang berwenang
- Integritas (Integrity) — Informasi akurat dan lengkap
Siklus PDCA
ISO 27001 mengikuti siklus Plan-Do-Check-Act (PDCA) :
- Plan: Menetapkan kebijakan, tujuan, proses, dan prosedur
- Do: Mengimplementasikan dan menjalankan proses
- Check: Memantau dan mengukur terhadap kebijakan dan tujuan
- Act: Mengambil tindakan untuk perbaikan berkelanjutan
Annex A: Kontrol Keamanan Referensi
Annex A berisi 93 kontrol keamanan yang dikelompokkan ke dalam 4 tema :
Annex A bukan daftar periksa wajib; organisasi memilih kontrol yang berlaku melalui penilaian risiko dan mendokumentasikan pilihan mereka dalam Statement of Applicability (SoA) . Organisasi dapat mengecualikan kontrol jika dibenarkan melalui penilaian risiko .
Tabel 2: Contoh Kontrol Teknologi untuk Tim Pengembang
Amandemen 2024: Perubahan Iklim
Pada tahun 2024, ISO menerbitkan amandemen untuk ISO/IEC 27001:2022 yang menambahkan pertimbangan perubahan iklim dalam :
- Klausul 4.1: Organisasi harus menentukan apakah perubahan iklim adalah isu yang relevan
- Klausul 4.2: Pihak-pihak berkepentingan yang relevan dapat memiliki persyaratan yang terkait dengan perubahan iklim
Di Indonesia, amandemen ini telah diadopsi sebagai SNI ISO/IEC 27001:2022/Amd.1:2024 oleh Badan Standardisasi Nasional (BSN) pada tahun 2024 .
Proses Sertifikasi ISO 27001
Sertifikasi ISO/IEC 27001 dilakukan melalui audit dua tahap oleh lembaga sertifikasi terakreditasi :
Diagram: Proses Sertifikasi ISO 27001
┌─────────────────────────────────────────────────────────────────────────────┐ │ │ │ PROSES SERTIFIKASI ISO 27001 │ │ │ │ 1. Gap Assessment │ │ └── Memetakan kontrol yang ada, mengidentifikasi kekurangan │ │ │ │ 2. Stage 1 Audit (Dokumentasi) │ │ └── Meninjau dokumentasi ISMS, metodologi penilaian risiko, SoA │ │ │ │ 3. Stage 2 Audit (On-site) │ │ └── Memverifikasi implementasi dan efektivitas kontrol di lapangan │ │ │ │ 4. Sertifikasi │ │ └── Berlaku 3 tahun, dengan audit pengawasan tahunan │ │ │ └─────────────────────────────────────────────────────────────────────────────┘
Sumber: Diolah dari Cisco dan Digital Security Authority
ISO 27001:2022 di Indonesia
Adopsi sebagai Standar Nasional Indonesia (SNI)
Indonesia telah mengadopsi ISO/IEC 27001:2022 sebagai Standar Nasional Indonesia melalui SNI ISO/IEC 27001:2022 tentang Keamanan informasi, keamanan siber dan proteksi privasi — Sistem manajemen keamanan informasi — Persyaratan . Amandemen perubahan iklim (Amd.1:2024) juga telah diadopsi sebagai SNI .
Standar ini dirumuskan oleh Komite Teknis 35-04 Keamanan Informasi, Keamanan Siber, dan Perlindungan Privasi, dengan BSSN sebagai sekretariat pengelola .
Implementasi di Sektor Pemerintah dan Swasta
Beberapa institusi di Indonesia telah mulai mengimplementasikan SNI ISO/IEC 27001:2022:
- Badan Pengawas Obat dan Makanan (BPOM) telah menetapkan kebijakan penerapan SNI ISO/IEC 27001:2022 sebagai bagian dari Sistem Manajemen Pengawasan Obat dan Makanan Terintegrasi .
- Amazon Web Services (AWS) telah memperoleh sertifikasi SNI 27001 yang mencakup wilayah Asia Pacific (Jakarta) Region . Auditor independen terakreditasi oleh Komite Akreditasi Nasional (KAN) melakukan audit sertifikasi ini .
- Penelitian akademis telah mengembangkan model manajemen risiko untuk pusat data yang mengintegrasikan ISO/IEC 27001:2022 dengan ANSI/TIA-942, menunjukkan relevansi standar ini dalam konteks infrastruktur digital Indonesia .
Penelitian dan Implementasi Praktis
Sebuah penelitian di Technology SMEs di Lima, Peru, mengembangkan model ISMS yang mengintegrasikan ISO/IEC 27001:2022 dengan NIST SP 800-53 dan kerangka keputusan seperti FAIR dan CVSS v3.1 . Model ini menunjukkan peningkatan kepatuhan sebesar 9 poin persentase dan pengurangan risiko residual sebesar 22 poin persentase setelah implementasi . Pendekatan ini relevan untuk organisasi di Indonesia yang ingin mengimplementasikan ISO 27001 dengan pendekatan berbasis metrik.
ISO 27001:2022 dalam Perspektif Keamanan Informasi
Ancaman dan Tantangan yang Diatasi
Seperti yang dijelaskan oleh CEA Certification, meningkatnya implementasi solusi IT di semua departemen organisasi memungkinkan pemrosesan informasi yang lebih cepat dan akurat, tetapi juga meningkatkan tantangan keamanan informasi dan perlindungan data . Jumlah serangan siber terus meningkat dalam beberapa tahun terakhir, menjadikan perlindungan data bisnis, karyawan, dan klien dari pencurian, penyalahgunaan, dan kehilangan data sebagai prioritas penting bagi organisasi modern .
Manfaat Sertifikasi
Sertifikasi ISO 27001 memberikan berbagai manfaat :
- Meningkatkan Kepercayaan: Menunjukkan kepada klien dan mitra bisnis bahwa perlindungan data adalah prioritas alami bagi organisasi
- Mengurangi Biaya dan Waktu: Mencegah kehilangan atau pencurian data yang dapat menyebabkan kerugian moneter dan reputasi
- Meminimalkan Risiko dan Memaksimalkan Peluang: Manajemen risiko dan peluang yang konsisten memungkinkan organisasi untuk bertindak, bukan bereaksi
- Meningkatkan Daya Saing: Sertifikasi ISMS dapat memudahkan akuisisi pelanggan baru dan menurunkan hambatan masuk pasar
Kepatuhan Regulasi
ISO 27001, meskipun bersifat sukarela, secara luas diadopsi sebagai fondasi kepatuhan terhadap kerangka regulasi seperti GDPR, UK GDPR, dan NIS2 Directive . Bagi Chief Information Security Officers (CISO), menyelaraskan dengan ISO 27001 menyederhanakan upaya kepatuhan, menunjukkan due diligence dalam mengelola risiko keamanan informasi, dan mendukung tata kelola internal serta audit eksternal .
Kesimpulan
ISO/IEC 27001:2022 adalah standar global yang komprehensif untuk sistem manajemen keamanan informasi. Dengan pembaruan yang mencakup pengurangan dan reorganisasi kontrol Annex A menjadi 93 kontrol dalam 4 tema, penambahan 11 kontrol baru, dan integrasi perubahan iklim melalui amandemen 2024, standar ini tetap relevan dalam menghadapi ancaman keamanan informasi yang terus berkembang .
Kontrol seperti Threat Intelligence dan Secure Development telah diidentifikasi sebagai faktor yang paling berpengaruh dalam sistem evaluasi ISO 27001, menunjukkan pergeseran fokus menuju keamanan proaktif dan pengembangan perangkat lunak yang aman . Penelitian akademis dan implementasi praktis menunjukkan bahwa ISO 27001 dapat diintegrasikan dengan standar lain dan kerangka keputusan untuk menciptakan pendekatan manajemen risiko yang lebih komprehensif .
Di Indonesia, adopsi sebagai SNI ISO/IEC 27001:2022 dan implementasi oleh institusi seperti BPOM dan AWS menunjukkan komitmen terhadap keamanan informasi yang sesuai dengan standar global . Dengan periode transisi yang telah berakhir pada 31 Oktober 2025, organisasi di Indonesia kini harus sepenuhnya beralih ke versi 2022 untuk mempertahankan sertifikasi mereka.
Daftar Pustaka
- ANAB Blog. “ISO/IEC 27001:2013 & ISO/IEC 27001:2022 Comparison.” American National Standards Institute (ANSI), 2023.
- Safeguard. “ISO 27001 Annex A Controls Guide: Software & Suppliers.” Safeguard Blog, 2026.
- Cisco. “Framework Foundations: ISO/IEC 27001 Solution Brief.” Cisco, 2025.
- Badan Standardisasi Nasional (BSN). “SNI ISO/IEC 27001:2022/Amd.1:2024 – Keamanan informasi, keamanan siber dan proteksi privasi — Sistem manajemen keamanan informasi — Persyaratan — Amendemen 1: Perubahan aksi iklim.” 2024.
- ScienceDirect. “Information security management: a fuzzy DEMATEL analysis of the new ISO/IEC 27001:2022 controls.” ScienceDirect, 2025.
- Standards.ie. “ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection — Information security management systems — Requirements.” National Standards Authority of Ireland, 2022.
- ISMS.online. “ISO 27001:2022 Annex A Explained & Simplified.” ISMS.online, 2025.
- CEA Certification. “ISO 27001 – Information Security Management System.” CEA Certification, 2025.
- BPOM. “Keputusan Kepala Badan Pengawas Obat dan Makanan Nomor 316 Tahun 2025 tentang Penerapan Sistem Manajemen Pengawasan Obat dan Makanan Terintegrasi.” JDIH BPOM, 2025.
- IEEE Xplore. “A Context-Specific Risk Management Model for Data Centers Based on ISO/IEC 27001:2022: A Case Study of a Government University.” IEEE, 2025.
- Safeguard. “ISO 27001:2022 Transition Deadline Approach.” Safeguard Blog, 2025.
- Digital Security Authority. “ISO 27001 Information Security Standard.” Digital Security Authority, 2025.
- Amazon Web Services (AWS). “SNI 27001 – Amazon Web Services.” AWS, 2026.
- EBSCO. “Enhancing Information Security in Technology Small and Medium-Sized Enterprises: A Metrics-Driven Model Based on ISO/IEC 27001:2022.” Engineering, Technology & Applied Science Research, 2026.