Panduan · ISO/IEC 27001:2022

Cara memperoleh sertifikasi ISO 27001

Menurut Paul Gillet · Diperbarui 2026-10-17

ISO/IEC 27001 adalah standar internasional untuk sistem manajemen keamanan informasi (ISMS): cara sebuah organisasi menentukan risiko keamanan mana yang penting, menanganinya, dan terus meningkatkannya. Berbeda dengan SOC 2, standar ini berakhir dengan sertifikat yang diterbitkan oleh badan sertifikasi terakreditasi dan berlaku selama tiga tahun, dengan audit surveilans di antaranya.

Yang dipersyaratkan standar

Klausul 4–10 bersifat wajib: konteks dan ruang lingkup (4), kepemimpinan dan kebijakan (5), penilaian risiko, penanganan risiko, dan sasaran (6), sumber daya, kompetensi, kesadaran, komunikasi, dan informasi terdokumentasi (7), menjalankan rencana (8), pemantauan, audit internal, dan tinjauan manajemen (9), serta tindakan korektif dan peningkatan (10).
Lampiran A memuat 93 kontrol dalam empat tema: organisasi, manusia, fisik, dan teknologi. Kontrol tersebut merupakan kumpulan referensi, bukan daftar periksa: Anda memilih kontrol melalui penanganan risiko dan membenarkan setiap kontrol yang dimasukkan maupun dikecualikan dalam Statement of Applicability (SoA).

Edisi yang berlaku saat ini adalah ISO/IEC 27001:2022 (dengan amendemen 2024 yang menambahkan perubahan iklim ke klausul konteks). Masa transisi dari edisi 2013 berakhir pada 31 Oktober 2025, sehingga setiap sertifikat yang masih berlaku kini mengacu pada edisi 2022.

Langkah-langkahnya

Tetapkan ruang lingkup (4.3): bagian organisasi mana, lokasi mana, dan layanan apa saja. Pelanggan membaca ruang lingkup pada sertifikat Anda, jadi pastikan ruang lingkup itu mencakup apa yang mereka beli.
Dapatkan komitmen pimpinan (5): kebijakan keamanan informasi, penetapan peran dan tanggung jawab, serta sumber daya.
Tentukan metode penilaian risiko dan jalankan (6.1.2): identifikasi risiko terhadap kerahasiaan, integritas, dan ketersediaan, beserta pemilik risiko, kemungkinan, dan dampaknya.
Tangani risiko (6.1.3): pilih kontrol, bandingkan dengan Lampiran A, dan susun SoA serta rencana penanganan risiko yang disetujui oleh pemilik risiko.
Tetapkan sasaran keamanan yang terukur (6.2) dan rencanakan cara mencapainya.
Terapkan dan jalankan (7–8): kebijakan, prosedur, pelatihan dan kesadaran, kontrol, serta bukti terdokumentasi bahwa semuanya berjalan.
Ukur dan tinjau (9): pantau ISMS, jalankan audit internal oleh pihak yang independen dari pekerjaan yang diaudit, dan adakan tinjauan manajemen.
Perbaiki temuan (10): catat ketidaksesuaian dan tindakan korektif.
Audit Tahap 1: badan sertifikasi meninjau dokumentasi dan kesiapan Anda.
Audit Tahap 2: badan sertifikasi menguji apakah ISMS berfungsi dalam praktik. Ketidaksesuaian mayor harus ditutup sebelum sertifikat diterbitkan.

Memilih badan sertifikasi

Gunakan badan yang terakreditasi untuk ISO/IEC 27001 oleh lembaga akreditasi nasional yang tergabung dalam International Accreditation Forum (misalnya UKAS, ANAB, DAkkS, atau JAS-ANZ), dan pastikan akreditasinya mencakup ruang lingkup Anda. Sertifikat dari badan yang tidak terakreditasi memang lebih murah, tetapi sering kali ditolak oleh pelanggan.

Perkiraan jadwal

Banyak organisasi kecil dan menengah memerlukan enam hingga dua belas bulan dari awal hingga memperoleh sertifikat. ISMS perlu berjalan cukup lama untuk menghasilkan catatan nyata sebelum Tahap 2: sedikitnya satu audit internal, satu tinjauan manajemen, dan bukti bahwa kontrol berjalan. Setelah sertifikasi, bersiaplah menghadapi audit surveilans pada tahun pertama dan kedua serta audit resertifikasi pada tahun ketiga.

Bukti yang dicari auditor

ruang lingkup, kebijakan keamanan, dan sasaran beserta pengukurannya;
metode penilaian risiko, daftar risiko, dan rencana penanganan risiko;
Statement of Applicability, beserta pembenarannya;
catatan kompetensi dan pelatihan;
laporan audit internal dan notulen tinjauan manajemen;
catatan ketidaksesuaian dan tindakan korektif;
catatan operasional untuk kontrol yang Anda pilih: tinjauan akses, catatan perubahan, penilaian pemasok, catatan insiden, dan cadangan data.

Hal-hal yang sering luput

Penilaian risiko berbasis templat: auditor menanyakan bagaimana risiko Anda diidentifikasi dan mengapa setiap kontrol dipilih. Daftar generik tanpa pemilik akan gagal dalam pengujian ini.
Pengecualian SoA tanpa pembenaran: mengecualikan kontrol memerlukan alasan yang terkait dengan risiko atau ruang lingkup Anda.
Independensi audit internal: orang yang membangun ISMS sebaiknya tidak mengaudit pekerjaannya sendiri.
Ruang lingkup yang terlalu sempit untuk berguna: sertifikat yang hanya mencakup satu kantor tidak akan memenuhi kebutuhan pelanggan yang membeli layanan cloud Anda.

Cara situs ini membantu

ControlMapping mencantumkan setiap kontrol Lampiran A dan klausul ISMS beserta padanannya dalam sepuluh kerangka kerja lain. Tautan Lampiran A ke NIST CSF 2.0 dan SP 800-53 berasal dari crosswalk yang telah dipublikasikan; teks kontrolnya merupakan hak cipta ISO, jadi kami hanya menampilkan judulnya. Jika Anda sudah mengikuti SOC 2, NIST, atau NIS2, tabel di bawah dan analisis kesenjangan menunjukkan apa saja yang dapat dibawa. Sistem manajemen klausul 4–10 biasanya menjadi pekerjaan baru yang paling besar.

Sudah memiliki kerangka kerja lain?

Berapa banyak persyaratan ISO 27001 yang terpetakan dari setiap kerangka kerja yang mungkin sudah Anda patuhi. Buka laporan kesenjangan untuk daftar per persyaratan.

Seberapa besar cakupan ISO 27001 oleh kerangka kerja lain
Jika Anda sudah memiliki	ISO 27001 persyaratan terpetakan	Hanya terkait secara longgar	Tidak ada pemetaan
800-53	121 dari 123	1	1	laporan celah → · perbandingan
NIS2	104 dari 123	13	6	laporan celah → · perbandingan
SOC 2	98 dari 123	21	4	laporan celah → · perbandingan
NIST CSF 2.0	79 dari 123	34	10	laporan celah → · perbandingan
PCI DSS	76 dari 123	37	10	laporan celah → · perbandingan
DORA	70 dari 123	36	17	laporan celah →
CMMC	65 dari 123	41	17	laporan celah →
HIPAA	58 dari 123	46	19	laporan celah → · perbandingan
CIS v8.1	53 dari 123	38	32	laporan celah → · perbandingan
GDPR	47 dari 123	47	29	laporan celah → · perbandingan
CPS 234	35 dari 123	40	48	laporan celah →
Essential Eight	23 dari 123	39	61	laporan celah → · perbandingan
Cyber Essentials	20 dari 123	19	84	laporan celah →

Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · Terkait secara longgar hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Jumlah berasal dari data yang sama dengan analisis celah; pemetaan berarti persyaratan yang terkait, bukan bukti bahwa satu persyaratan memenuhi yang lain.

Pertanyaan

Berapa lama sertifikat ISO 27001 berlaku?

Tiga tahun, asalkan audit surveilans tahunan dilalui. Audit resertifikasi harus dilakukan sebelum masa berlakunya habis.

Apakah kami harus menerapkan seluruh 93 kontrol Lampiran A?

Tidak. Anda memilih kontrol melalui penanganan risiko dan membenarkan setiap kontrol yang dimasukkan maupun dikecualikan dalam Statement of Applicability.

Mana yang lebih baik, ISO 27001 atau SOC 2?

Tidak ada yang lebih baik; pelanggan meminta hal yang berbeda. ISO 27001 adalah sertifikat yang diakui secara internasional; SOC 2 adalah laporan atestasi bergaya AS. Lihat ISO 27001 vs SOC 2.

Analisis kesenjangan → ISO 27001 Semua persyaratan ISO 27001

Bukan saran hukum atau kepatuhan. Periksa teks resmi dan auditor, asesor, atau regulator Anda sebelum mengandalkannya.