Tag: Sertifikasi ISO 27001

Menjelang audit eksternal ISO/IEC 27001:2022, banyak organisasi ingin memastikan kesiapan mereka sebelum hari-H. Checklist berikut disusun berdasarkan klausul inti dan struktur Annex A ISO 27001:2022, sebagai penilaian awal mandiri (bukan pengganti audit internal formal).

Komitmen dan Dokumentasi Dasar

• ☐ Kebijakan keamanan informasi sudah ditetapkan dan disahkan manajemen puncak
• ☐ Ruang lingkup (scope) SMKI sudah didefinisikan dengan jelas
• ☐ Peran dan tanggung jawab keamanan informasi sudah ditetapkan di seluruh unit terkait

Risk Assessment dan SoA

• ☐ Risk assessment sudah dilakukan dan didokumentasikan secara menyeluruh
• ☐ Statement of Applicability (SoA) sudah disusun berdasarkan struktur 93 kontrol Annex A terbaru
• ☐ Justifikasi untuk kontrol yang dikecualikan sudah didokumentasikan dengan jelas

Implementasi Kontrol Annex A

• ☐ Kontrol akses dan autentikasi sudah diterapkan sesuai kebutuhan
• ☐ Kontrol baru yang relevan (cloud security, data masking, secure coding, dll.) sudah dipertimbangkan sesuai konteks organisasi
• ☐ Prosedur tanggap insiden keamanan informasi tersedia dan pernah diuji
• ☐ Kebijakan kerja jarak jauh (remote working) sudah mencakup aspek keamanan informasi

Kesadaran dan Kompetensi

• ☐ Program pelatihan kesadaran keamanan informasi sudah dijalankan untuk seluruh karyawan
• ☐ Personel dengan tanggung jawab khusus (misal admin sistem) memiliki kompetensi yang memadai

Pemantauan dan Evaluasi

• ☐ Audit internal SMKI sudah dilakukan sebelum audit eksternal dijadwalkan (mengacu pada ISO 19011)
• ☐ Tinjauan manajemen sudah dilaksanakan dan terdokumentasi
• ☐ Rekaman insiden keamanan informasi (jika ada) sudah dianalisis dan ditindaklanjuti

Kepatuhan Legal dan Status Sertifikasi

• ☐ Perusahaan sudah memastikan tidak lagi bergantung pada sertifikat ISO 27001:2013 yang sudah kedaluwarsa
• ☐ Persyaratan hukum dan kontraktual terkait keamanan informasi sudah dipetakan
• ☐ Asesmen relevansi perubahan iklim sesuai Amd 1:2024 sudah didokumentasikan

Cara Membaca Hasil Checklist

Semakin banyak kotak yang belum tercentang, semakin besar kebutuhan gap analysis formal sebelum audit eksternal dijadwalkan. Idealnya, seluruh item di atas sudah tercentang beberapa bulan sebelum audit, mengingat penerapan kontrol keamanan informasi yang efektif membutuhkan waktu untuk benar-benar melekat dalam operasional sehari-hari.

Dapatkan Gap Analysis Menyeluruh

Checklist ini adalah titik awal, bukan pengganti gap analysis formal. Untuk penilaian menyeluruh dan pendampingan sesuai kondisi perusahaan Anda, diskusikan dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan publikasi dan informasi terbaru dari berbagai sumber industri per September 2026. Untuk kepastian resmi, selalu rujuk dokumen ISO 27001:2022.

Bagi organisasi yang baru pertama kali akan mengurus sertifikasi ISO/IEC 27001:2022, memahami alur prosesnya sejak awal akan sangat membantu perencanaan waktu dan sumber daya. Berikut tahapan umum dari awal hingga sertifikat diterbitkan.

Tahap 1: Komitmen Manajemen dan Penetapan Ruang Lingkup

Manajemen puncak menetapkan komitmen terhadap keamanan informasi dan menentukan ruang lingkup (scope) SMKI — unit bisnis, lokasi, atau sistem mana saja yang akan tercakup dalam sertifikasi.

Tahap 2: Gap Analysis

Menilai kondisi keamanan informasi saat ini dibandingkan persyaratan ISO 27001:2022 — baik klausul inti maupun 93 kontrol Annex A — untuk mengetahui area yang perlu diperkuat.

Tahap 3: Risk Assessment dan Risk Treatment

Melakukan penilaian risiko keamanan informasi secara menyeluruh, kemudian menyusun rencana perlakuan risiko yang menjadi dasar pemilihan kontrol Annex A yang relevan.

Tahap 4: Penyusunan Dokumentasi SMKI

Menyusun dokumen wajib — kebijakan keamanan informasi, Statement of Applicability (SoA), prosedur pendukung, serta rekaman yang dibutuhkan sesuai klausul 4-10.

Tahap 5: Implementasi Kontrol

Menerapkan kontrol Annex A yang sudah dipilih secara nyata di seluruh unit kerja terkait, termasuk pelatihan kesadaran keamanan informasi bagi karyawan. Panduan penerapan tiap kontrol tersedia dalam ISO/IEC 27002:2022.

Tahap 6: Audit Internal

Melakukan audit internal untuk memverifikasi efektivitas penerapan SMKI sebelum menghadapi audit eksternal, sekaligus menjadi bahan tinjauan manajemen.

Tahap 7: Tinjauan Manajemen

Manajemen puncak meninjau hasil audit internal, kinerja SMKI, dan risiko terkini untuk memastikan sistem berjalan efektif dan mendapat dukungan yang memadai.

Tahap 8: Audit Eksternal Tahap 1 (Document Review)

Lembaga sertifikasi meninjau kelengkapan dokumentasi SMKI dan kesiapan organisasi untuk memastikan sistem cukup matang sebelum lanjut ke audit tahap 2. Pilih lembaga sertifikasi yang terakreditasi, misalnya oleh KAN.

Tahap 9: Audit Eksternal Tahap 2 (Implementasi)

Auditor memverifikasi penerapan SMKI secara langsung di lapangan — wawancara, observasi, dan pengecekan bukti implementasi kontrol Annex A.

Tahap 10: Penerbitan Sertifikat dan Pemeliharaan

Setelah temuan audit ditindaklanjuti dan diverifikasi, sertifikat ISO 27001:2022 diterbitkan — umumnya berlaku 3 tahun dengan audit surveillance tahunan untuk memastikan sistem terus terpelihara.

Berapa Lama Proses Ini Berlangsung?

Durasi bervariasi tergantung skala organisasi dan kematangan sistem keamanan informasi yang sudah ada — mulai dari beberapa bulan bagi organisasi yang sudah memiliki fondasi IT governance yang baik, hingga lebih lama bagi organisasi yang membangun SMKI dari nol.

Ingin Pendampingan di Setiap Tahapan?

Dari gap analysis hingga persiapan audit eksternal, diskusikan kebutuhan pendampingan sertifikasi ISO 27001:2022 perusahaan Anda dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan publikasi dan informasi terbaru dari berbagai sumber industri per September 2026. Untuk kepastian resmi, selalu rujuk dokumen ISO 27001:2022 dan lembaga sertifikasi terkait.

Jika perusahaan Anda masih mengklaim sertifikasi ISO 27001:2013, ada kabar penting yang perlu segera ditindaklanjuti: masa transisi menuju ISO/IEC 27001:2022 sudah resmi berakhir. Per 31 Oktober 2025, seluruh sertifikat ISO 27001:2013 dinyatakan tidak lagi berlaku, tanpa memandang tanggal kedaluwarsa yang tertera di sertifikat tersebut.

Bagaimana Proses Transisi Ini Berjalan?

ISO 27001:2022 pertama kali diterbitkan pada Oktober 2022, menggantikan edisi 2013. Organisasi yang sudah tersertifikasi diberikan masa transisi selama tiga tahun untuk memperbarui sistem manajemen keamanan informasi (SMKI) mereka dan menjalani audit transisi ke edisi baru. Masa transisi ini resmi berakhir pada 31 Oktober 2025. Ketentuan transisi untuk lembaga sertifikasi diterbitkan melalui dokumen wajib IAF, yang kini diarsipkan di daftar dokumen transisi Global ACI.

Apa Artinya Bagi Perusahaan yang Belum Bertransisi?

Perusahaan yang hingga saat ini (September 2026) masih hanya memegang sertifikat ISO 27001:2013 tidak lagi dapat mengklaim memiliki sertifikasi ISO 27001 yang valid. Sertifikat tersebut sudah ditarik oleh lembaga sertifikasi terlepas dari tanggal kedaluwarsanya. Ini berdampak langsung pada:

• Persyaratan tender — klien atau mitra bisnis yang mensyaratkan ISO 27001 tidak akan menerima sertifikat 2013 sebagai bukti valid.
• Audit vendor — banyak perusahaan kini secara aktif memverifikasi bahwa pemasok memegang sertifikat edisi 2022, bukan lagi 2013.
• Kredibilitas keamanan informasi — terutama jika terjadi insiden keamanan data, ketidakmampuan menunjukkan sertifikasi yang valid dapat memperbesar risiko reputasi dan hukum.

Apakah Ada ISO 27001:2026?

Tidak. Hingga saat ini, standar yang berlaku tetap ISO 27001:2022, dengan satu amandemen tambahan (Amd 1:2024) terkait aksi iklim pada klausul 4.1 dan 4.2 — dibahas lebih lanjut di artikel terpisah. Belum ada edisi baru yang menggantikan ISO 27001:2022.

Langkah yang Perlu Segera Diambil

1. Cek status sertifikat Anda — pastikan sertifikat yang dipegang perusahaan sudah berbasis ISO 27001:2022, bukan 2013.
2. Jika belum bertransisi, segera hubungi lembaga sertifikasi terakreditasi (misalnya oleh KAN) untuk memulai proses audit transisi atau sertifikasi baru berbasis edisi 2022.
3. Perbarui Statement of Applicability (SoA) agar mencerminkan struktur 93 kontrol Annex A yang baru.
4. Audit vendor dan mitra — jika perusahaan Anda mensyaratkan ISO 27001 dari pihak ketiga, pastikan mereka juga sudah memegang sertifikat edisi 2022.

Segera Amankan Status Sertifikasi Perusahaan Anda

Menunda transisi bukan lagi pilihan yang tersedia — periode transisi sudah berakhir. Diskusikan langkah tercepat untuk memperbarui atau memperoleh sertifikasi ISO 27001:2022 dengan konsultan di sertifikat-iso.com.

Catatan: artikel ini disusun berdasarkan publikasi dan informasi terbaru dari berbagai sumber industri per September 2026. Untuk kepastian resmi, selalu rujuk dokumen ISO 27001:2022 dan lembaga sertifikasi terkait.