Apakah perusahaan kecil memerlukan ISO 27001?

ISO 27001 adalah sertifikasi keamanan yang paling luas diakui di dunia, dan perusahaan kecil sering diberi tahu bahwa mereka memerlukannya. Formulir pengadaan pelanggan besar memintanya; sebuah tender mensyaratkannya; seorang konsultan merekomendasikannya. Jawaban jujur atas "apakah kami memerlukannya?" adalah: tergantung siapa yang bertanya, dan tidak pernah bersifat semua-atau-tidak-sama-sekali.

Kapan layak dilakukan

• Pelanggan atau tender mensyaratkannya. Jika pembeli dari perusahaan besar atau sektor publik secara khusus meminta sertifikasi ISO 27001, sebuah sertifikat menghemat kuesioner di setiap kesepakatan dan bisa menjadi faktor penentu.
• Anda menjual secara internasional. Di luar AS, ISO 27001 adalah mata uang umum untuk keamanan pemasok.
• Anda menginginkan program, bukan proyek. Sistem manajemen (penilaian risiko, sasaran, audit internal, tinjauan manajemen) membangun kebiasaan yang bertahan lebih lama dari audit tunggal mana pun.

Kapan hal lain didahulukan

• Pelanggan AS meminta SOC 2. Maka laporan SOC 2 menjadi keluaran utamanya; lihat framework mana yang sebaiknya dimulai.
• Belum ada yang meminta. Baseline teknis yang kuat, seperti Implementation Group 1 dari CIS Controls atau skema baseline pemerintah, memberikan keamanan lebih banyak per jam dibanding sistem manajemen yang tidak wajib Anda sertifikasi.
• Anda belum memiliki produk. Bangun inti bersama yang diwajibkan setiap framework (inventaris aset, patching, MFA, backup, dan respons insiden), lalu sertifikasi saat bisnis membutuhkannya.

Menjaga agar tetap proporsional

ISO 27001 tidak menuntut dokumentasi seperti organisasi besar. Perusahaan sepuluh orang dapat tersertifikasi dengan:

• ruang lingkup yang ketat (produk serta orang yang membangun dan menjalankannya);
• kebijakan singkat yang menggambarkan apa yang benar-benar Anda lakukan;
• penilaian risiko yang nyata, dengan perkiraan beberapa lusin risiko beserta pemiliknya;
• Statement of Applicability dengan pengecualian yang jujur (lihat cara menulisnya);
• audit internal yang dilakukan oleh pihak independen, yang bagi perusahaan kecil sering berarti tenaga paruh waktu dari luar.

Sebagian besar beban berlebih yang dialami perusahaan kecil berasal dari adopsi templat yang dirancang untuk perusahaan besar.

Biaya sebenarnya bagi perusahaan kecil

Biaya audit eksternal biasanya merupakan bagian yang lebih kecil. Biaya sebenarnya adalah waktu: seseorang harus memegang program ini, dan bagi perusahaan kecil itu sering berarti seorang pendiri atau pemimpin engineering yang menghabiskan sebagian setiap minggu selama enam bulan atau lebih, lalu beberapa hari per bulan untuk menjaganya tetap berjalan. Tambahkan biaya alat, dan auditor internal eksternal jika Anda tidak memiliki orang independen.

Manfaatnya datang dari kesepakatan bisnis. Jika satu pelanggan perusahaan besar per tahun mensyaratkan sertifikat, biasanya biayanya akan kembali; jika tidak ada, waktu yang sama yang dihabiskan untuk kontrol teknis memberikan keamanan lebih banyak. Itulah sebabnya keputusan harus dimulai dari siapa yang bertanya. Untuk gambaran seberapa banyak framework lain yang bisa dicakup oleh program ISO, lihat analisis titik awal kami, dan untuk tampilan persyaratan demi persyaratan, lihat halaman framework ISO 27001.

Poin utama

• Dapatkan ISO 27001 saat pelanggan atau tender mensyaratkannya; jika tidak, bangun keamanan terlebih dahulu.
• Sesuaikan ISMS dengan perusahaan: ruang lingkup ketat, kebijakan singkat, penilaian risiko yang nyata.
• Sebagian besar kesulitan perusahaan kecil berasal dari templat perusahaan besar, bukan dari standarnya sendiri.

Kesimpulan

Jika pelanggan mensyaratkan sertifikat, dapatkan dan sesuaikan dengan perusahaan Anda. Jika tidak, bangun keamanan terlebih dahulu dan sertifikat saat sudah memberi manfaat. Bagaimanapun, pekerjaannya tetap berguna: ISO 27001 dipetakan ke sebagian besar framework yang biasanya dihadapi perusahaan kecil berikutnya.

Arah	Dipetakan	Terkait secara longgar	Tidak ada pemetaan
Miliki ISO 27001 → butuhkan SOC 2	41 dari 61 (67%)	0	20	laporan →
Miliki SOC 2 → butuhkan ISO 27001	98 dari 123 (80%)	21	4	laporan →

Panduan ISO 27001 menjelaskan sertifikasi langkah demi langkah.

Pertanyaan

Apakah ISO 27001 terlalu berat untuk startup?

Belum tentu, jika disesuaikan dengan perusahaan: ruang lingkup kecil, kebijakan singkat, dan penilaian risiko yang mencerminkan risiko nyata. Menjadi terlalu berat ketika templat yang dibuat untuk organisasi besar diadopsi begitu saja.

Apa yang sebaiknya dilakukan perusahaan kecil terlebih dahulu jika belum ada pelanggan yang meminta ISO 27001?

Terapkan baseline teknis yang solid (seperti CIS Controls IG1) dan inti bersama yang diwajibkan setiap framework: inventaris aset, patching, MFA, backup, dan respons insiden.

Bisakah perusahaan kecil lulus ISO 27001 tanpa konsultan?

Bisa. Standarnya singkat, dan banyak perusahaan kecil tersertifikasi dengan upaya internal ditambah auditor internal independen. Konsultan dapat mempercepat proses, tetapi ISMS harus tetap menjadi milik Anda sendiri.