Kerangka kerja
ISO/IEC 27001:2022
Apa itu
Standar internasional untuk sistem manajemen keamanan informasi (ISMS). Klausul 4–10 merupakan persyaratan sistem manajemen yang wajib dipenuhi; Lampiran A berisi 93 kontrol referensi, yang dipilih melalui penanganan risiko dan dijustifikasi dalam Statement of Applicability.
Siapa yang membutuhkannya
Organisasi yang membutuhkan bukti keamanan yang diakui secara internasional: lazim bagi perusahaan perangkat lunak dan jasa yang menjual ke perusahaan dan sektor publik, terutama di luar AS.
Cara penilaiannya dilakukan
Badan sertifikasi terakreditasi melaksanakan audit Tahap 1 (dokumentasi) dan Tahap 2 (implementasi). Sertifikat berlaku selama tiga tahun, dengan audit surveilans pada tahun pertama dan kedua. Lihat cara memperoleh sertifikasi.
Baca panduan: Cara memperoleh sertifikasi ISO 27001 →
123
Kontrol Lampiran A dan klausul SMKI
123
Dipetakan ke kerangka kerja lain
100%
Topik tercakup (50/50)
Jumlah: klausul dihitung pada tingkat terendahnya (6.1.1–6.1.3, bukan 6.1).
Perbandingan
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
Persyaratan
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
| ID | Persyaratan | Topik | Dipetakan dalam |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | Kebijakan Tata Kelola | 9 dari 13 |
| A.5.2 | Information security roles and responsibilities | Peran & Tanggung Jawab | 9 dari 13 |
| A.5.3 | Segregation of duties | — | 3 dari 13 |
| A.5.4 | Management responsibilities | Peran & Tanggung Jawab | 9 dari 13 |
| A.5.5 | Contact with authorities | Pelaporan | 12 dari 13 |
| A.5.6 | Contact with special interest groups | Komunikasi | 8 dari 13 |
| A.5.7 | Threat intelligence | Intelijen Ancaman | 7 dari 13 |
| A.5.8 | Information security in project management | — | 1 dari 13 |
| A.5.9 | Inventory of information and other associated assets | Manajemen Aset | 13 dari 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 dari 13 |
| A.5.11 | Return of assets | Manajemen Aset | 13 dari 13 |
| A.5.12 | Classification of information | Klasifikasi Data | 9 dari 13 |
| A.5.13 | Labelling of information | Klasifikasi Data | 9 dari 13 |
| A.5.14 | Information transfer | Perlindungan Data, Keamanan Email | 12 dari 13 |
| A.5.15 | Access control | Kontrol Akses, Zero Trust | 11 dari 13 |
| A.5.16 | Identity management | Kontrol Akses | 11 dari 13 |
| A.5.17 | Authentication information | — | 2 dari 13 |
| A.5.18 | Access rights | Kontrol Akses | 11 dari 13 |
| A.5.19 | Information security in supplier relationships | Risiko Rantai Pasok, Manajemen Risiko Vendor | 10 dari 13 |
| A.5.20 | Addressing information security within supplier agreements | Manajemen Risiko Vendor | 10 dari 13 |
| A.5.21 | Managing information security in the ICT supply chain | Risiko Rantai Pasok | 9 dari 13 |
| A.5.22 | Monitoring, review and change management of supplier services | Manajemen Risiko Vendor | 10 dari 13 |
| A.5.23 | Information security for use of cloud services | Keamanan Cloud | 11 dari 13 |
| A.5.24 | Information security incident management planning and preparation | Respons Insiden | 12 dari 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, Respons Insiden | 12 dari 13 |
| A.5.26 | Response to information security incidents | Respons Insiden, Mitigasi, Komunikasi & Pemulihan | 12 dari 13 |
| A.5.27 | Learning from information security incidents | Pelajaran yang Dipetik | 9 dari 13 |
| A.5.28 | Collection of evidence | Forensik | 7 dari 13 |
| A.5.29 | Information security during disruption | Perencanaan Pemulihan, Kelangsungan Usaha | 9 dari 13 |
| A.5.30 | ICT readiness for business continuity | Perencanaan Pemulihan, Kelangsungan Usaha, Pemulihan Bencana | 10 dari 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Kepatuhan | 10 dari 13 |
| A.5.32 | Intellectual property rights | — | 2 dari 13 |
| A.5.33 | Protection of records | — | 2 dari 13 |
| A.5.34 | Privacy and protection of PII | — | 2 dari 13 |
| A.5.35 | Independent review of information security | — | 3 dari 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | Kepatuhan | 10 dari 13 |
| A.5.37 | Documented operating procedures | Kebijakan Tata Kelola | 9 dari 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | Ancaman Orang Dalam | 9 dari 13 |
| A.6.2 | Terms and conditions of employment | — | 2 dari 13 |
| A.6.3 | Information security awareness, education and training | Kesadaran & Pelatihan | 10 dari 13 |
| A.6.4 | Disciplinary process | Ancaman Orang Dalam | 9 dari 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 dari 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 dari 13 |
| A.6.7 | Remote working | Keamanan Seluler | 7 dari 13 |
| A.6.8 | Information security event reporting | Pelaporan | 12 dari 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | Keamanan Fisik | 8 dari 13 |
| A.7.2 | Physical entry | Keamanan Fisik | 8 dari 13 |
| A.7.3 | Securing offices, rooms and facilities | Keamanan Fisik | 8 dari 13 |
| A.7.4 | Physical security monitoring | Keamanan Fisik | 8 dari 13 |
| A.7.5 | Protecting against physical and environmental threats | Keamanan Fisik | 8 dari 13 |
| A.7.6 | Working in secure areas | Keamanan Fisik | 8 dari 13 |
| A.7.7 | Clear desk and clear screen | — | 2 dari 13 |
| A.7.8 | Equipment siting and protection | Keamanan Fisik | 8 dari 13 |
| A.7.9 | Security of assets off-premises | — | 1 dari 13 |
| A.7.10 | Storage media | — | 2 dari 13 |
| A.7.11 | Supporting utilities | Keamanan Fisik | 8 dari 13 |
| A.7.12 | Cabling security | Keamanan Fisik | 8 dari 13 |
| A.7.13 | Equipment maintenance | — | 2 dari 13 |
| A.7.14 | Secure disposal or re-use of equipment | Manajemen Aset | 13 dari 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | Perlindungan Endpoint, Keamanan Seluler | 10 dari 13 |
| A.8.2 | Privileged access rights | Akses Istimewa | 10 dari 13 |
| A.8.3 | Information access restriction | Kontrol Akses | 11 dari 13 |
| A.8.4 | Access to source code | — | 1 dari 13 |
| A.8.5 | Secure authentication | Autentikasi Multi-Faktor, Zero Trust, Keamanan API | 10 dari 13 |
| A.8.6 | Capacity management | — | 2 dari 13 |
| A.8.7 | Protection against malware | Perlindungan Endpoint | 10 dari 13 |
| A.8.8 | Management of technical vulnerabilities | Manajemen Kerentanan, Manajemen Patch | 13 dari 13 |
| A.8.9 | Configuration management | Konfigurasi Aman | 9 dari 13 |
| A.8.10 | Information deletion | Perlindungan Data | 11 dari 13 |
| A.8.11 | Data masking | Perlindungan Data | 11 dari 13 |
| A.8.12 | Data leakage prevention | DLP | 7 dari 13 |
| A.8.13 | Information backup | Cadangan & Pemulihan | 11 dari 13 |
| A.8.14 | Redundancy of information processing facilities | Kelangsungan Usaha, Pemulihan Bencana | 10 dari 13 |
| A.8.15 | Logging | Pencatatan & Audit | 10 dari 13 |
| A.8.16 | Monitoring activities | Pemantauan Berkelanjutan, Deteksi Intrusi, Deteksi Anomali, SIEM / SOC, Ancaman Orang Dalam | 12 dari 13 |
| A.8.17 | Clock synchronization | Pencatatan & Audit | 10 dari 13 |
| A.8.18 | Use of privileged utility programs | Akses Istimewa | 10 dari 13 |
| A.8.19 | Installation of software on operational systems | Perlindungan Endpoint | 10 dari 13 |
| A.8.20 | Networks security | Firewall / Segmentasi Jaringan, Keamanan DNS, WAF | 9 dari 13 |
| A.8.21 | Security of network services | Firewall / Segmentasi Jaringan, Keamanan DNS | 9 dari 13 |
| A.8.22 | Segregation of networks | Firewall / Segmentasi Jaringan, Zero Trust | 9 dari 13 |
| A.8.23 | Web filtering | — | 1 dari 13 |
| A.8.24 | Use of cryptography | Enkripsi | 10 dari 13 |
| A.8.25 | Secure development life cycle | Pengembangan Aman | 8 dari 13 |
| A.8.26 | Application security requirements | Pengembangan Aman, Keamanan Web, Keamanan API | 8 dari 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 dari 13 |
| A.8.28 | Secure coding | Pengembangan Aman | 8 dari 13 |
| A.8.29 | Security testing in development and acceptance | Pengembangan Aman | 8 dari 13 |
| A.8.30 | Outsourced development | — | 2 dari 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 dari 13 |
| A.8.32 | Change management | — | 4 dari 13 |
| A.8.33 | Test information | — | 2 dari 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 dari 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | Lingkungan Bisnis | 5 dari 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Lingkungan Bisnis | 5 dari 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 dari 13 |
| Clause 4.4 | Information security management system | — | 1 dari 13 |
| Clause 5.1 | Leadership and commitment | — | 2 dari 13 |
| Clause 5.2 | Policy | Kebijakan Tata Kelola | 9 dari 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 dari 13 |
| Clause 6.1.1 | General | Manajemen Risiko | 10 dari 13 |
| Clause 6.1.2 | Information security risk assessment | Penilaian Risiko | 10 dari 13 |
| Clause 6.1.3 | Information security risk treatment | Manajemen Risiko, Penilaian Risiko | 10 dari 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 dari 13 |
| Clause 6.3 | Planning of changes | — | 2 dari 13 |
| Clause 7.1 | Resources | — | 2 dari 13 |
| Clause 7.2 | Competence | — | 3 dari 13 |
| Clause 7.3 | Awareness | Kesadaran & Pelatihan | 10 dari 13 |
| Clause 7.4 | Communication | Komunikasi, Komunikasi & Pemulihan | 9 dari 13 |
| Clause 7.5.1 | General | — | 1 dari 13 |
| Clause 7.5.2 | Creating and updating | — | 1 dari 13 |
| Clause 7.5.3 | Control of documented information | — | 1 dari 13 |
| Clause 8.1 | Operational planning and control | — | 2 dari 13 |
| Clause 8.2 | Information security risk assessment | — | 4 dari 13 |
| Clause 8.3 | Information security risk treatment | — | 4 dari 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Kepatuhan | 10 dari 13 |
| Clause 9.2.1 | General | — | 1 dari 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 dari 13 |
| Clause 9.3.1 | General | — | 1 dari 13 |
| Clause 9.3.2 | Management review inputs | — | 1 dari 13 |
| Clause 9.3.3 | Management review results | — | 1 dari 13 |
| Clause 10.1 | Continual improvement | Pelajaran yang Dipetik | 9 dari 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 dari 13 |
Cakupan topik
Topik dengan persyaratan ISO 27001 yang dipetakan (50):
Kebijakan Tata KelolaKesadaran & PelatihanManajemen RisikoRisiko Rantai PasokPeran & Tanggung JawabKepatuhanManajemen AsetPenilaian RisikoLingkungan BisnisKlasifikasi DataManajemen KerentananIntelijen AncamanKontrol AksesAutentikasi Multi-FaktorEnkripsiPerlindungan DataCadangan & PemulihanAkses IstimewaFirewall / Segmentasi JaringanPerlindungan EndpointManajemen PatchKonfigurasi AmanPengembangan AmanKeamanan EmailKeamanan WebZero TrustKeamanan SelulerKeamanan CloudKeamanan DNSWAFDLPPemantauan BerkelanjutanPencatatan & AuditDeteksi IntrusiDeteksi AnomaliSIEM / SOCRespons InsidenForensikKomunikasiMitigasiPelaporanPerencanaan PemulihanKelangsungan UsahaPelajaran yang DipetikKomunikasi & PemulihanPemulihan BencanaKeamanan APIAncaman Orang DalamManajemen Risiko VendorKeamanan Fisik