ISMS Requirements and the Mastery of Annex A Control

Pendahuluan

Perkembangan teknologi digital telah mengubah cara organisasi menjalankan bisnis, mengelola data, dan berinteraksi dengan pelanggan. Di sisi lain, ancaman siber semakin meningkat baik dari sisi frekuensi maupun kompleksitas. Kebocoran data, ransomware, serangan supply chain, dan gangguan operasional menjadi risiko yang dapat memengaruhi reputasi, kepatuhan, dan keberlangsungan bisnis.

Dalam kondisi tersebut, organisasi membutuhkan pendekatan yang sistematis untuk mengelola keamanan informasi. ISO/IEC 27001:2022 hadir sebagai standar internasional yang menyediakan kerangka kerja Information Security Management System (ISMS) berbasis risiko. Standar ini tidak hanya menekankan penggunaan teknologi, tetapi juga mencakup aspek tata kelola, manusia, proses, dan perbaikan berkelanjutan.

Salah satu bagian terpenting dari ISO/IEC 27001:2022 adalah 93 kontrol Annex A yang berfungsi sebagai referensi dalam mengurangi risiko keamanan informasi. Namun, kontrol tersebut tidak dimaksudkan sebagai checklist yang harus diterapkan seluruhnya, melainkan dipilih berdasarkan hasil risk assessment dan kebutuhan bisnis organisasi.

Memahami Klausul 4–10 ISO/IEC 27001:2022

Implementasi ISMS dimulai dari persyaratan utama yang terdapat pada Klausul 4 hingga Klausul 10.

Klausul 4 – Context of the Organization

Organisasi harus memahami faktor internal dan eksternal yang memengaruhi keamanan informasi.

Contoh implementasi:

Sebuah startup fintech Indonesia mengidentifikasi bahwa ancaman ransomware, tuntutan regulator OJK, serta penggunaan cloud computing merupakan faktor yang harus dipertimbangkan dalam ruang lingkup ISMS.

Output utama:

• Context of Organization
• Interested Parties
• Scope ISMS

Klausul 5 – Leadership

Manajemen puncak bertanggung jawab menunjukkan komitmen terhadap keamanan informasi.

Contoh implementasi:

Direksi bank menetapkan Information Security Policy dan menunjuk CISO sebagai penanggung jawab ISMS.

Output:

• Information Security Policy
• Roles and Responsibilities

Klausul 6 – Planning

Organisasi melakukan risk assessment dan risk treatment.

Contoh:

Rumah sakit mengidentifikasi risiko kebocoran data pasien akibat lemahnya kontrol akses.

Output:

• Risk Assessment
• Risk Treatment Plan
• Security Objectives

Klausul 7 – Support

Memastikan tersedianya sumber daya, kompetensi, dan awareness.

Contoh:

Program security awareness tahunan dan pelatihan phishing simulation bagi karyawan.

Klausul 8 – Operation

Menjalankan proses operasional dan implementasi kontrol keamanan.

Contoh:

Implementasi Multi-Factor Authentication (MFA), backup, dan incident response.

Klausul 9 – Performance Evaluation

Organisasi mengevaluasi efektivitas ISMS melalui:

• Monitoring
• Internal Audit
• Management Review

Klausul 10 – Improvement

Melakukan perbaikan berkelanjutan melalui:

• Corrective Action
• Continuous Improvement

Pendekatan PDCA (Plan-Do-Check-Act) menjadi fondasi utama dalam menjaga efektivitas ISMS.

Memahami 93 Kontrol Annex A ISO/IEC 27001:2022

ISO/IEC 27001:2022 mengelompokkan 93 kontrol ke dalam empat kategori utama.

1. Organizational Controls (37 Kontrol)

Berfokus pada:

• Kebijakan keamanan informasi
• Threat intelligence
• Supplier relationship
• Cloud security
• Incident management
• Business continuity

Tujuan:

Membangun tata kelola keamanan informasi yang efektif.

2. People Controls (8 Kontrol)

Berfokus pada:

• Screening
• Awareness
• Remote working
• Confidentiality agreement

Tujuan:

Mengurangi risiko yang berasal dari faktor manusia.

3. Physical Controls (14 Kontrol)

Berfokus pada:

• Physical security perimeter
• Access card
• CCTV
• Clean desk
• Secure disposal

Tujuan:

Melindungi aset fisik dan lingkungan kerja.

4. Technological Controls (34 Kontrol)

Berfokus pada:

• Access control
• Encryption
• Logging
• Monitoring
• Secure coding
• Vulnerability management

Tujuan:

Melindungi sistem dan data dari ancaman teknologi.

Perubahan dari ISO/IEC 27001:2013 ke ISO/IEC 27001:2022

Versi terbaru menghadirkan beberapa perubahan penting.

Jumlah kontrol

• 2013: 114 kontrol
• 2022: 93 kontrol

Struktur kategori

Kontrol dikelompokkan menjadi:

• Organizational
• People
• Physical
• Technological

Kontrol baru

Beberapa kontrol baru meliputi:

• Threat Intelligence
• Information Security for Cloud Services
• ICT Readiness for Business Continuity
• Data Masking
• Monitoring Activities
• Web Filtering
• Secure Coding

Atribut kontrol

Setiap kontrol memiliki atribut seperti:

• Preventive
• Detective
• Corrective
• Governance
• Operational

Pendekatan ini memudahkan organisasi dalam melakukan pemetaan kontrol berdasarkan kebutuhan bisnis.

Case Mapping untuk Industri Perbankan

Industri perbankan menghadapi risiko yang tinggi terhadap:

• Data breach
• Fraud
• Insider threat
• Ransomware

Kontrol yang menjadi prioritas:

Risiko	Kontrol Annex A
Kebocoran data nasabah	A.5.15 Access Control
Ransomware	A.8.8 Vulnerability Management
Fraud internal	A.5.3 Segregation of Duties
Supply Chain Attack	A.5.19 Supplier Security
Downtime layanan	A.5.30 ICT Readiness
Credential Theft	A.8.5 Secure Authentication
Serangan siber	A.5.7 Threat Intelligence

Kontrol tersebut juga mendukung kepatuhan terhadap regulasi OJK, BI, dan UU PDP.

Case Mapping untuk Rumah Sakit dan Industri Kesehatan

Risiko utama:

• Kebocoran data pasien.
• Gangguan layanan kesehatan.
• Ransomware.

Kontrol yang relevan:

Risiko	Kontrol Annex A
Data pasien	A.5.34 Protection of PII
Akses tidak sah	A.5.15 Access Control
Gangguan layanan	A.5.30 ICT Readiness
Malware	A.8.7 Protection Against Malware
Pemulihan sistem	A.8.13 Backup
Monitoring	A.8.16 Monitoring Activities

Kontrol dalam Praktik

Organizational Controls

Kebijakan Keamanan Informasi

Menjadi dasar seluruh aktivitas keamanan informasi.

Roles and Responsibilities

Memastikan setiap fungsi memiliki akuntabilitas.

Threat Intelligence

Mengidentifikasi ancaman terbaru secara proaktif.

Supplier Relationship

Mengurangi risiko supply chain attack.

People Controls

Screening

Mengurangi insider threat.

Security Awareness

Mengurangi risiko phishing dan human error.

Remote Working

Mengamankan akses dari luar kantor.

Non-Disclosure Agreement

Melindungi informasi rahasia perusahaan.

Physical Controls

Security Perimeter

Melindungi area kritikal.

Clean Desk Policy

Mengurangi risiko informasi sensitif terlihat pihak lain.

Secure Cabling

Melindungi infrastruktur jaringan.

Technological Controls

Access Control

Menerapkan prinsip least privilege.

Encryption

Melindungi data saat disimpan maupun ditransmisikan.

Logging dan Monitoring

Mempermudah deteksi insiden.

Secure Development

Mengurangi kerentanan aplikasi.

Kontrol yang Paling Sering Gagal Diimplementasikan di Indonesia

Beberapa kontrol yang masih sering menjadi kelemahan organisasi adalah:

Asset Management

Inventaris aset belum lengkap.

Security Awareness

Human error masih menjadi penyebab utama insiden.

Supplier Security

Penilaian keamanan pihak ketiga masih minim.

Vulnerability Management

Patch management belum konsisten.

Logging dan Monitoring

Belum semua organisasi memiliki SOC atau SIEM.

Business Continuity

Backup dan disaster recovery belum diuji secara berkala.

Masalah utama bukan terletak pada kurangnya teknologi, melainkan kurangnya tata kelola dan budaya keamanan.

Implementasi Praktis pada Startup Fintech Indonesia

Sebagai contoh, sebuah startup fintech memiliki aset berikut:

• Mobile Banking Application
• Database Nasabah
• API Gateway
• Cloud Infrastructure

Tahapan implementasi:

Identifikasi Risiko

• Credential theft.
• Ransomware.
• Data breach.

Memilih Kontrol

Organizational

• Access Control Policy
• Incident Management
• Supplier Security

People

• Security Awareness
• NDA

Physical

• Physical Access Control
• CCTV

Technological

• MFA
• Encryption
• Logging
• Backup
• Vulnerability Management

Statement of Applicability (SoA)

SoA merupakan dokumen yang menjelaskan:

• Kontrol yang diterapkan.
• Kontrol yang tidak diterapkan.
• Alasan inklusi atau eksklusi.
• Status implementasi.

Contoh:

Control	Applicable	Justification
A.5.15 Access Control	Yes	Melindungi data nasabah
A.8.24 Cryptography	Yes	Data sensitif harus dienkripsi
A.7.9 Off-site Assets	No	Tidak ada aset di luar lokasi

SoA menjadi penghubung antara hasil risk assessment dengan implementasi kontrol.

Kesimpulan

ISO/IEC 27001:2022 bukan sekadar standar sertifikasi, tetapi sebuah kerangka kerja untuk membangun organisasi yang resilien dan mampu mengelola risiko keamanan informasi secara berkelanjutan. Penguasaan klausul 4–10 serta pemahaman terhadap 93 kontrol Annex A memungkinkan organisasi menerjemahkan risiko menjadi kontrol yang tepat.

Pada akhirnya, keberhasilan ISMS tidak ditentukan oleh banyaknya dokumen yang dimiliki, melainkan oleh kemampuan organisasi dalam mengintegrasikan governance, people, process, dan technology secara seimbang untuk mendukung tujuan bisnis, memenuhi persyaratan regulasi, dan menghadapi ancaman siber yang terus berkembang.