![\"\"](\"https:\/\/www.overtsoftware.id\/wp-content\/uploads\/2025\/04\/59.jpg\" "\\"evolution")
<\/span><\/p>\nLatar Belakang Perbandingan ISO 27001:2013 dan ISO 27001:2022<\/strong><\/h3>\nISO 27001:2013 memberikan dasar yang kuat untuk membangun, menerapkan, memelihara, dan terus meningkatkan Sistem Manajemen Keamanan Informasi (ISMS). Tujuannya adalah membantu organisasi dalam mengidentifikasi risiko, menerapkan pengendalian (kontrol), dan memastikan perbaikan berkelanjutan dalam praktik keamanannya.<\/p>\n
Namun, pada akhir tahun 2010-an, lanskap keamanan siber berubah drastis. Munculnya layanan cloud, perangkat Internet of Things (IoT), sistem kerja jarak jauh, dan ancaman siber canggih seperti ransomware, menyoroti keterbatasan pada versi 2013. Karena itu, standar ini perlu diperbarui agar tetap relevan dan efektif.<\/p>\n
ISO 27001:2022 diterbitkan pada Oktober 2022. Versi ini membangun fondasi dari versi sebelumnya, namun menambahkan perbaikan dan kontrol baru. Pembaruan ini mencerminkan perkembangan teknologi dan kebutuhan organisasi saat ini, sehingga ISO 27001 tetap menjadi alat yang relevan untuk mengelola risiko keamanan informasi secara modern.<\/p>\n
Sebagai contoh, ISO 27001:2013 belum banyak memberikan panduan terkait keamanan cloud atau intelijen ancaman \u2014 dua hal yang kini sangat penting bagi banyak bisnis. Revisi tahun 2022 menutupi kekurangan tersebut dan menjadikan standar ini lebih siap menghadapi tantangan di era digital saat ini.<\/p>\n
Perubahan Struktural<\/strong><\/h3>\nStruktur ISO 27001 terdiri dari dua bagian utama:<\/p>\n
\n- Klausul inti (pasal 4 sampai 10)<\/strong> \u2013 berisi persyaratan utama untuk Sistem Manajemen Keamanan Informasi (ISMS).<\/li>\n
- Annex A<\/strong> \u2013 berisi daftar kontrol keamanan spesifik yang harus diterapkan.<\/li>\n<\/ol>\n
Antara versi 2013 dan 2022, klausul utama (pasal 4\u201310) secara umum masih sama, tetapi versi 2022 memberikan penyempurnaan yang halus untuk meningkatkan kejelasan dan fleksibilitas.<\/p>\n
Pada versi 2013, pasal 4 hingga 10 bersifat rinci namun agak kaku, sehingga organisasi perlu menyesuaikannya dengan konteks masing-masing. Sementara itu, versi 2022 tetap mempertahankan maksud yang sama\u2014mencakup konteks organisasi, kepemimpinan, perencanaan, dukungan, operasional, evaluasi, hingga perbaikan\u2014namun dengan penyusunan ulang kalimat agar lebih mudah dipahami dan diterapkan.<\/p>\n
Misalnya, persyaratan sekarang ditulis dengan lebih ringkas, sehingga mengurangi kebingungan bagi pihak yang bertanggung jawab menerapkannya.<\/p>\n
![\"\"](\"https:\/\/www.overtsoftware.id\/wp-content\/uploads\/2025\/04\/61.jpg\" "\\"ISO27001")
<\/span><\/p>\nPerubahan Terbesar Terjadi pada Annex A<\/strong><\/h3>\nPerubahan paling signifikan dalam ISO 27001:2022 terjadi pada bagian Annex A<\/strong>.Pada versi 2013, Annex A mencantumkan 114 kontrol keamanan<\/strong> yang dibagi ke dalam 14 domain<\/strong>, seperti:<\/p>\n\n
\n- A.11 Keamanan Fisik dan Lingkungan<\/em><\/li>\n
- A.13 Keamanan Komunikasi<\/em><\/li>\n<\/ul>\n
Meskipun lengkap, pembagian ini sering tumpang tindih dan membuat penerapan terasa rumit.<\/p>\n
Sebaliknya, versi ISO 27001:2022 menyederhanakan struktur ini menjadi 93 kontrol<\/strong>, yang dikelompokkan dalam empat tema utama yang lebih intuitif<\/strong>, yaitu:<\/p>\n\n- Organisasional<\/strong> \u2013 37 kontrol<\/li>\n
- Manusia (People)<\/strong> \u2013 8 kontrol<\/li>\n
- Fisik<\/strong> \u2013 14 kontrol<\/li>\n
- Teknologi<\/strong> \u2013 34 kontrol<\/li>\n<\/ol>\n
Pendekatan tematik ini membuat kontrol lebih mudah dipahami dan digunakan. Selain itu, penyusunan berdasarkan tema ini juga membantu menyesuaikan kontrol dengan fungsi spesifik dalam organisasi, sehingga lebih praktis dan efisien saat diterapkan.<\/p>\n
Perbedaan Utama Secara Rinci: ISO 27001:2013 vs ISO 27001:2022<\/span><\/span><\/h3>\n\n\n\nAspek<\/strong><\/th>\nISO 27001:2013<\/strong><\/th>\nISO 27001:2022<\/strong><\/th>\n<\/tr>\n<\/thead>\n\n\nTanggal Terbit<\/strong><\/td>\nOktober 2013<\/td>\n Oktober 2022<\/td>\n<\/tr>\n \nTujuan<\/strong><\/td>\nMembentuk ISMS untuk mengelola risiko keamanan informasi secara sistematis.<\/td>\n Memperbarui ISMS agar mampu menghadapi ancaman modern (seperti cloud, kerja jarak jauh, serangan siber).<\/td>\n<\/tr>\n \nKlausul Utama (4\u201310)<\/strong><\/td>\nRinci tapi kurang ramping; fokus pada konteks, kepemimpinan, perencanaan, dll.<\/td>\n Diperhalus agar lebih jelas dan fleksibel; maksud tetap sama tetapi dengan bahasa yang diperbaiki.<\/td>\n<\/tr>\n \nKontrol Annex A<\/strong><\/td>\n114 kontrol dibagi dalam 14 domain (A.5\u2013A.18).<\/td>\n 93 kontrol dikelompokkan ke dalam 4 tema: Organisasional (37), Manusia (8), Fisik (14), Teknologi (34).<\/td>\n<\/tr>\n \nPengelompokan Kontrol<\/strong><\/td>\nDomain umum (contoh: “A.12 Keamanan Operasional”) dengan beberapa tumpang tindih.<\/td>\n Pengelompokan tematik yang mengurangi duplikasi dan meningkatkan kemudahan penggunaan.<\/td>\n<\/tr>\n \nContoh Perubahan Kontrol<\/strong><\/td>\n“A.9.2.5 Peninjauan hak akses pengguna” dan “A.9.2.6 Penghapusan atau penyesuaian” terpisah.<\/td>\n Dikonsolidasikan menjadi “5.18 Hak Akses” agar implementasi lebih efisien.<\/td>\n<\/tr>\n \nKontrol Baru<\/strong><\/td>\nTidak ada kontrol yang secara spesifik membahas teknologi baru seperti cloud.<\/td>\n 11 kontrol baru ditambahkan, seperti 5.7 Intelijen Ancaman, 5.23 Keamanan Cloud, 8.28 Kode Aman.<\/td>\n<\/tr>\n \nAtribut Kontrol<\/strong><\/td>\nTidak ada sistem penandaan atau metadata untuk penyelarasan dengan kerangka lain.<\/td>\n Menambahkan atribut: jenis kontrol, properti keamanan, konsep keamanan siber, dll.<\/td>\n<\/tr>\n \nKlausul 4.2 (Pihak Berkepentingan)<\/strong><\/td>\nKurang spesifik; tidak mewajibkan dokumentasi secara eksplisit.<\/td>\n Mengharuskan dokumentasi pihak berkepentingan dan kebutuhan mereka.<\/td>\n<\/tr>\n \nKlausul 6.1.3 (Penanganan Risiko)<\/strong><\/td>\nPanduan umum; tidak terlalu fokus pada alasan pemilihan kontrol.<\/td>\n Memperjelas keterkaitan dengan Annex A; wajib memberikan alasan atas kontrol yang dipilih\/diabaikan.<\/td>\n<\/tr>\n \nKlausul 9.1 (Pemantauan)<\/strong><\/td>\nKurang spesifik tentang pelaksanaan (misalnya \u201ckapan\u201d dan \u201csiapa\u201d).<\/td>\n Harus menjelaskan dengan jelas \u201ckapan\u201d dan \u201csiapa\u201d dalam kegiatan pemantauan.<\/td>\n<\/tr>\n \nPenekanan pada Perencanaan<\/strong><\/td>\nFokus pada kontrol, bukan integrasi proses.<\/td>\n Menekankan perencanaan (Klausul 6.3) dan integrasi proses dengan aktivitas.<\/td>\n<\/tr>\n \nBatas Waktu Transisi<\/strong><\/td>\nTidak berlaku (standar asli).<\/td>\n 31 Oktober 2025 (batas waktu IAF untuk organisasi bersertifikasi 2013).<\/td>\n<\/tr>\n \nManfaat<\/strong><\/td>\nDasar yang kuat untuk manajemen keamanan dasar.<\/td>\n Lebih relevan untuk teknologi modern, lebih mudah diselaraskan dengan kerangka seperti NIST\/GDPR.<\/td>\n<\/tr>\n \nTantangan<\/strong><\/td>\nTidak cukup membahas cloud, IoT, atau ancaman canggih.<\/td>\n Perlu pelatihan, peninjauan ulang, dan kemungkinan adopsi alat baru untuk kontrol yang diperbarui.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n1. Jumlah dan Pengelompokan Kontrol di Annex A<\/strong><\/h3>\nPengurangan jumlah kontrol dari 114 menjadi 93<\/strong> dalam versi 2022 bukan berarti standar ini menjadi lebih lemah<\/strong>. Sebaliknya, pengurangan ini dilakukan dengan menggabungkan kontrol yang tumpang tindih dan menghapus yang sudah tidak relevan<\/strong>.<\/p>\nContohnya, pada versi 2013:<\/p>\n
\n
\n- \u201cA.9.2.5 Peninjauan hak akses pengguna\u201d<\/li>\n
- dan \u201cA.9.2.6 Penghapusan atau penyesuaian hak akses\u201d<\/li>\n<\/ul>\n
adalah dua kontrol yang terpisah. Di versi 2022, keduanya digabung menjadi satu kontrol yang lebih ringkas yaitu:\u201c5.18 Hak Akses\u201d <\/strong><\/p>\n\u200b<\/strong>Ini mempermudah penerapan tanpa mengurangi tingkat ketelitian atau efektivitasnya.<\/p>\nPerubahan ke dalam empat tema utama juga meningkatkan kepraktisan penerapan kontrol:<\/strong><\/p>\n\n- Kontrol Organisasional:<\/strong> Berfokus pada tata kelola dan kebijakan internal organisasi.<\/li>\n
- Kontrol Manusia (People):<\/strong> Menitikberatkan pada faktor manusia seperti pelatihan, kesadaran, dan tanggung jawab.<\/li>\n
- Kontrol Fisik:<\/strong> Menyangkut keamanan fisik gedung, perangkat keras, dan fasilitas.<\/li>\n
- Kontrol Teknologi:<\/strong> Fokus pada sistem IT, perangkat lunak, jaringan, dan keamanan data.<\/li>\n<\/ul>\n
Struktur baru ini membantu organisasi dalam membagi tanggung jawab secara lebih jelas dan efisien<\/strong>.Contohnya:<\/p>\n\n- Manajer fasilitas<\/strong> bisa menangani 14 kontrol fisik.<\/li>\n
- Tim IT<\/strong> bisa fokus pada 34 kontrol teknologi.<\/li>\n<\/ul>\n
2. Kontrol Baru yang Diperkenalkan dalam ISO 27001:2022<\/strong><\/h3>\nUntuk menghadapi risiko-risiko baru yang terus berkembang, ISO 27001:2022 memperkenalkan 11 kontrol baru<\/strong> berikut:<\/p>\n5.7 Intelijen Ancaman (Threat Intelligence)<\/strong><\/h4>\nOrganisasi kini harus mengumpulkan dan menganalisis informasi tentang potensi ancaman<\/strong>, misalnya memantau forum dark web untuk mendeteksi kredensial yang bocor.Pendekatan ini bersifat proaktif<\/strong>, berbeda dengan versi 2013 yang lebih reaktif.<\/p>\n5.23 Keamanan Informasi dalam Penggunaan Layanan Cloud<\/strong><\/h4>\nDengan semakin banyaknya organisasi menggunakan cloud, kontrol ini memastikan adanya konfigurasi yang aman dan pengelolaan vendor<\/strong> yang tepat.Contoh: Perusahaan yang memakai Microsoft Azure<\/strong> harus menilai praktik keamanan dari penyedia layanannya.<\/p>\n5.30 Kesiapan ICT untuk Kelangsungan Bisnis<\/strong><\/h4>\nMemastikan sistem TI tetap mendukung operasional saat terjadi gangguan,misalnya dengan cadangan data (backup)<\/strong> untuk pemulihan dari serangan ransomware.<\/p>\n7.4 Pemantauan Keamanan Fisik<\/strong><\/h4>\nOrganisasi harus memantau keamanan fisik lokasi<\/strong>, misalnya dengan penggunaan CCTV untuk mendeteksi akses yang tidak sah.<\/p>\n8.1 Masking Data<\/strong><\/h4>\nData sensitif, seperti informasi pelanggan, harus disamarkan<\/strong> saat digunakan untuk pengujian atau bila terjadi pelanggaran data, agar tidak mudah diekspos.<\/p>\n8.9 Manajemen Konfigurasi<\/strong><\/h4>\nSistem harus dikonfigurasi dengan aman untuk mengurangi kerentanan.Contoh: Menonaktifkan port yang tidak digunakan<\/strong> agar tidak dimanfaatkan penyerang.<\/p>\n8.10 Penghapusan Informasi<\/strong><\/h4>\nData harus dibuang secara aman, seperti menghancurkan hard drive lama<\/strong>, agar tidak bisa dipulihkan oleh pihak yang tidak berwenang.<\/p>\n8.11 Pencegahan Kebocoran Data (Data Leakage Prevention)<\/strong><\/h4>\nMenggunakan alat seperti enkripsi atau firewall<\/strong> untuk mencegah kebocoran data, sangat penting di era kerja jarak jauh.<\/p>\n8.12 Penyaringan Web (Web Filtering)<\/strong><\/h4>\nMemblokir akses ke situs berbahaya membantu mencegah serangan phishing dan malware.<\/p>\n
8.16 Pemantauan Aktivitas<\/strong><\/h4>\nPemantauan sistem yang ditingkatkan untuk mendeteksi aktivitas mencurigakan<\/strong>, seperti upaya login yang tidak biasa.<\/p>\n8.28 Pengkodean Aman (Secure Coding)<\/strong><\/h4>\nPengembang perangkat lunak harus mengikuti praktik pengkodean yang aman guna mengurangi kerentanan dalam aplikasi internal<\/strong>.<\/p>\n3. Atribut Kontrol yang Diperbarui di ISO 27001:2022<\/strong><\/h3>\nSalah satu fitur baru yang diperkenalkan pada versi 2022 adalah penambahan atribut (tag) pada setiap kontrol keamanan<\/strong>. Atribut ini membantu organisasi mengelompokkan, memahami, dan menyelaraskan kontrol<\/strong> dengan kerangka kerja lain.<\/p>\nBerikut adalah jenis atribut yang digunakan:<\/p>\n
Jenis Kontrol (Control Type)<\/strong><\/h4>\n\n
\n- Preventif:<\/strong> Untuk mencegah<\/em> insiden keamanan.<\/li>\n
- Detektif:<\/strong> Untuk mengidentifikasi<\/em> insiden yang terjadi.<\/li>\n
- Korektif:<\/strong> Untuk memperbaiki atau memulihkan<\/em> setelah insiden.<\/li>\n<\/ul>\n
Properti Keamanan (Security Properties)<\/strong><\/h4>\n\n- Kerahasiaan (Confidentiality)<\/strong><\/li>\n
- Integritas (Integrity)<\/strong><\/li>\n
- Ketersediaan (Availability)<\/strong><\/li>\n<\/ul>\n
Konsep Keamanan Siber (Cybersecurity Concepts)<\/strong><\/h4>\nDihubungkan dengan kategori dalam kerangka kerja NIST Cybersecurity Framework (NIST CSF)<\/strong>:<\/p>\n\n- Identify<\/strong> (Identifikasi)<\/li>\n
- Protect<\/strong> (Perlindungan)<\/li>\n
- Detect<\/strong> (Deteksi)<\/li>\n
- Respond<\/strong> (Respons)<\/li>\n
- Recover<\/strong> (Pemulihan)<\/li>\n<\/ul>\n
Kemampuan Operasional (Operational Capabilities)<\/strong><\/h4>\nMisalnya, area seperti Tata Kelola (Governance)<\/strong> atau Manajemen Aset (Asset Management)<\/strong>.<\/p>\nDomain Keamanan (Security Domains)<\/strong><\/h4>\nContohnya:<\/p>\n
\n- Keamanan Aplikasi (Application Security)<\/strong><\/li>\n
- Keamanan Fisik (Physical Security)<\/strong><\/li>\n<\/ul>\n
Manfaat utama dari atribut ini adalah meningkatkan fleksibilitas dan interoperabilitas.<\/strong>Organisasi kini bisa:<\/p>\n\n- Memetakan kontrol ISO ke kerangka lain<\/strong> seperti GDPR<\/strong> atau NIST<\/strong>, dan<\/li>\n
- Menyesuaikannya dengan risiko spesifik<\/strong> yang dihadapi oleh organisasi tersebut.<\/li>\n<\/ul>\n
Pada versi 2013, kontrol tidak memiliki metadata semacam ini, sehingga lebih sulit untuk diintegrasikan dengan standar keamanan lainnya<\/strong>.<\/p>\n4. Pembaruan Klausul (Bagian Utama ISO)<\/strong><\/h3>\nBeberapa klausul utama dalam ISO 27001:2022 mengalami penyempurnaan penting untuk meningkatkan kejelasan, akuntabilitas, dan penerapan yang lebih terukur. Berikut adalah tiga klausul yang mengalami perubahan paling mencolok:<\/p>\n
Klausul 4.2 \u2013 Memahami Kebutuhan dan Harapan Pihak Berkepentingan<\/strong><\/h4>\nVersi 2022 me<\/strong>ngharuskan organisasi untuk mendokumentasikan siapa saja pihak berkepentingan<\/strong> (seperti pelanggan, regulator, mitra, dll.) dan apa saja kebutuhan serta harapan mereka<\/strong>.Pada versi 2013, klausul ini kurang tegas<\/strong> dan tidak mewajibkan dokumentasi secara eksplisit.<\/p>\nKlausul 6.1.3 \u2013 Penanganan Risiko Keamanan Informasi<\/strong><\/h4>\nSekarang organisasi diwajibkan untuk:<\/p>\n
\n
\n- Memberikan alasan (justifikasi)<\/strong> atas pemilihan dan pengecualian kontrol.<\/li>\n
- Menghubungkan secara langsung<\/strong> dengan kontrol di Annex A.<\/li>\n<\/ul>\n
Pada versi 2013,
Struktur ISO 27001 terdiri dari dua bagian utama:<\/p>\n
- \n
- Klausul inti (pasal 4 sampai 10)<\/strong> \u2013 berisi persyaratan utama untuk Sistem Manajemen Keamanan Informasi (ISMS).<\/li>\n
- Annex A<\/strong> \u2013 berisi daftar kontrol keamanan spesifik yang harus diterapkan.<\/li>\n<\/ol>\n
Antara versi 2013 dan 2022, klausul utama (pasal 4\u201310) secara umum masih sama, tetapi versi 2022 memberikan penyempurnaan yang halus untuk meningkatkan kejelasan dan fleksibilitas.<\/p>\n
Pada versi 2013, pasal 4 hingga 10 bersifat rinci namun agak kaku, sehingga organisasi perlu menyesuaikannya dengan konteks masing-masing. Sementara itu, versi 2022 tetap mempertahankan maksud yang sama\u2014mencakup konteks organisasi, kepemimpinan, perencanaan, dukungan, operasional, evaluasi, hingga perbaikan\u2014namun dengan penyusunan ulang kalimat agar lebih mudah dipahami dan diterapkan.<\/p>\n
Misalnya, persyaratan sekarang ditulis dengan lebih ringkas, sehingga mengurangi kebingungan bagi pihak yang bertanggung jawab menerapkannya.<\/p>\n
<\/span><\/p>\nPerubahan Terbesar Terjadi pada Annex A<\/strong><\/h3>\n
Perubahan paling signifikan dalam ISO 27001:2022 terjadi pada bagian Annex A<\/strong>.Pada versi 2013, Annex A mencantumkan 114 kontrol keamanan<\/strong> yang dibagi ke dalam 14 domain<\/strong>, seperti:<\/p>\n
\n
- \n
- A.11 Keamanan Fisik dan Lingkungan<\/em><\/li>\n
- A.13 Keamanan Komunikasi<\/em><\/li>\n<\/ul>\n
Meskipun lengkap, pembagian ini sering tumpang tindih dan membuat penerapan terasa rumit.<\/p>\n
Sebaliknya, versi ISO 27001:2022 menyederhanakan struktur ini menjadi 93 kontrol<\/strong>, yang dikelompokkan dalam empat tema utama yang lebih intuitif<\/strong>, yaitu:<\/p>\n
- \n
- Organisasional<\/strong> \u2013 37 kontrol<\/li>\n
- Manusia (People)<\/strong> \u2013 8 kontrol<\/li>\n
- Fisik<\/strong> \u2013 14 kontrol<\/li>\n
- Teknologi<\/strong> \u2013 34 kontrol<\/li>\n<\/ol>\n
Pendekatan tematik ini membuat kontrol lebih mudah dipahami dan digunakan. Selain itu, penyusunan berdasarkan tema ini juga membantu menyesuaikan kontrol dengan fungsi spesifik dalam organisasi, sehingga lebih praktis dan efisien saat diterapkan.<\/p>\n
Perbedaan Utama Secara Rinci: ISO 27001:2013 vs ISO 27001:2022<\/span><\/span><\/h3>\n
\n\n
\n Aspek<\/strong><\/th>\n ISO 27001:2013<\/strong><\/th>\n ISO 27001:2022<\/strong><\/th>\n<\/tr>\n<\/thead>\n\n \n Tanggal Terbit<\/strong><\/td>\n Oktober 2013<\/td>\n Oktober 2022<\/td>\n<\/tr>\n \n Tujuan<\/strong><\/td>\n Membentuk ISMS untuk mengelola risiko keamanan informasi secara sistematis.<\/td>\n Memperbarui ISMS agar mampu menghadapi ancaman modern (seperti cloud, kerja jarak jauh, serangan siber).<\/td>\n<\/tr>\n \n Klausul Utama (4\u201310)<\/strong><\/td>\n Rinci tapi kurang ramping; fokus pada konteks, kepemimpinan, perencanaan, dll.<\/td>\n Diperhalus agar lebih jelas dan fleksibel; maksud tetap sama tetapi dengan bahasa yang diperbaiki.<\/td>\n<\/tr>\n \n Kontrol Annex A<\/strong><\/td>\n 114 kontrol dibagi dalam 14 domain (A.5\u2013A.18).<\/td>\n 93 kontrol dikelompokkan ke dalam 4 tema: Organisasional (37), Manusia (8), Fisik (14), Teknologi (34).<\/td>\n<\/tr>\n \n Pengelompokan Kontrol<\/strong><\/td>\n Domain umum (contoh: “A.12 Keamanan Operasional”) dengan beberapa tumpang tindih.<\/td>\n Pengelompokan tematik yang mengurangi duplikasi dan meningkatkan kemudahan penggunaan.<\/td>\n<\/tr>\n \n Contoh Perubahan Kontrol<\/strong><\/td>\n “A.9.2.5 Peninjauan hak akses pengguna” dan “A.9.2.6 Penghapusan atau penyesuaian” terpisah.<\/td>\n Dikonsolidasikan menjadi “5.18 Hak Akses” agar implementasi lebih efisien.<\/td>\n<\/tr>\n \n Kontrol Baru<\/strong><\/td>\n Tidak ada kontrol yang secara spesifik membahas teknologi baru seperti cloud.<\/td>\n 11 kontrol baru ditambahkan, seperti 5.7 Intelijen Ancaman, 5.23 Keamanan Cloud, 8.28 Kode Aman.<\/td>\n<\/tr>\n \n Atribut Kontrol<\/strong><\/td>\n Tidak ada sistem penandaan atau metadata untuk penyelarasan dengan kerangka lain.<\/td>\n Menambahkan atribut: jenis kontrol, properti keamanan, konsep keamanan siber, dll.<\/td>\n<\/tr>\n \n Klausul 4.2 (Pihak Berkepentingan)<\/strong><\/td>\n Kurang spesifik; tidak mewajibkan dokumentasi secara eksplisit.<\/td>\n Mengharuskan dokumentasi pihak berkepentingan dan kebutuhan mereka.<\/td>\n<\/tr>\n \n Klausul 6.1.3 (Penanganan Risiko)<\/strong><\/td>\n Panduan umum; tidak terlalu fokus pada alasan pemilihan kontrol.<\/td>\n Memperjelas keterkaitan dengan Annex A; wajib memberikan alasan atas kontrol yang dipilih\/diabaikan.<\/td>\n<\/tr>\n \n Klausul 9.1 (Pemantauan)<\/strong><\/td>\n Kurang spesifik tentang pelaksanaan (misalnya \u201ckapan\u201d dan \u201csiapa\u201d).<\/td>\n Harus menjelaskan dengan jelas \u201ckapan\u201d dan \u201csiapa\u201d dalam kegiatan pemantauan.<\/td>\n<\/tr>\n \n Penekanan pada Perencanaan<\/strong><\/td>\n Fokus pada kontrol, bukan integrasi proses.<\/td>\n Menekankan perencanaan (Klausul 6.3) dan integrasi proses dengan aktivitas.<\/td>\n<\/tr>\n \n Batas Waktu Transisi<\/strong><\/td>\n Tidak berlaku (standar asli).<\/td>\n 31 Oktober 2025 (batas waktu IAF untuk organisasi bersertifikasi 2013).<\/td>\n<\/tr>\n \n Manfaat<\/strong><\/td>\n Dasar yang kuat untuk manajemen keamanan dasar.<\/td>\n Lebih relevan untuk teknologi modern, lebih mudah diselaraskan dengan kerangka seperti NIST\/GDPR.<\/td>\n<\/tr>\n \n Tantangan<\/strong><\/td>\n Tidak cukup membahas cloud, IoT, atau ancaman canggih.<\/td>\n Perlu pelatihan, peninjauan ulang, dan kemungkinan adopsi alat baru untuk kontrol yang diperbarui.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n 1. Jumlah dan Pengelompokan Kontrol di Annex A<\/strong><\/h3>\n
Pengurangan jumlah kontrol dari 114 menjadi 93<\/strong> dalam versi 2022 bukan berarti standar ini menjadi lebih lemah<\/strong>. Sebaliknya, pengurangan ini dilakukan dengan menggabungkan kontrol yang tumpang tindih dan menghapus yang sudah tidak relevan<\/strong>.<\/p>\n
Contohnya, pada versi 2013:<\/p>\n
\n
- \n
- \u201cA.9.2.5 Peninjauan hak akses pengguna\u201d<\/li>\n
- dan \u201cA.9.2.6 Penghapusan atau penyesuaian hak akses\u201d<\/li>\n<\/ul>\n
adalah dua kontrol yang terpisah. Di versi 2022, keduanya digabung menjadi satu kontrol yang lebih ringkas yaitu:\u201c5.18 Hak Akses\u201d <\/strong><\/p>\n
\u200b<\/strong>Ini mempermudah penerapan tanpa mengurangi tingkat ketelitian atau efektivitasnya.<\/p>\n
Perubahan ke dalam empat tema utama juga meningkatkan kepraktisan penerapan kontrol:<\/strong><\/p>\n
- \n
- Kontrol Organisasional:<\/strong> Berfokus pada tata kelola dan kebijakan internal organisasi.<\/li>\n
- Kontrol Manusia (People):<\/strong> Menitikberatkan pada faktor manusia seperti pelatihan, kesadaran, dan tanggung jawab.<\/li>\n
- Kontrol Fisik:<\/strong> Menyangkut keamanan fisik gedung, perangkat keras, dan fasilitas.<\/li>\n
- Kontrol Teknologi:<\/strong> Fokus pada sistem IT, perangkat lunak, jaringan, dan keamanan data.<\/li>\n<\/ul>\n
Struktur baru ini membantu organisasi dalam membagi tanggung jawab secara lebih jelas dan efisien<\/strong>.Contohnya:<\/p>\n
- \n
- Manajer fasilitas<\/strong> bisa menangani 14 kontrol fisik.<\/li>\n
- Tim IT<\/strong> bisa fokus pada 34 kontrol teknologi.<\/li>\n<\/ul>\n
2. Kontrol Baru yang Diperkenalkan dalam ISO 27001:2022<\/strong><\/h3>\n
Untuk menghadapi risiko-risiko baru yang terus berkembang, ISO 27001:2022 memperkenalkan 11 kontrol baru<\/strong> berikut:<\/p>\n
5.7 Intelijen Ancaman (Threat Intelligence)<\/strong><\/h4>\n
Organisasi kini harus mengumpulkan dan menganalisis informasi tentang potensi ancaman<\/strong>, misalnya memantau forum dark web untuk mendeteksi kredensial yang bocor.Pendekatan ini bersifat proaktif<\/strong>, berbeda dengan versi 2013 yang lebih reaktif.<\/p>\n
5.23 Keamanan Informasi dalam Penggunaan Layanan Cloud<\/strong><\/h4>\n
Dengan semakin banyaknya organisasi menggunakan cloud, kontrol ini memastikan adanya konfigurasi yang aman dan pengelolaan vendor<\/strong> yang tepat.Contoh: Perusahaan yang memakai Microsoft Azure<\/strong> harus menilai praktik keamanan dari penyedia layanannya.<\/p>\n
5.30 Kesiapan ICT untuk Kelangsungan Bisnis<\/strong><\/h4>\n
Memastikan sistem TI tetap mendukung operasional saat terjadi gangguan,misalnya dengan cadangan data (backup)<\/strong> untuk pemulihan dari serangan ransomware.<\/p>\n
7.4 Pemantauan Keamanan Fisik<\/strong><\/h4>\n
Organisasi harus memantau keamanan fisik lokasi<\/strong>, misalnya dengan penggunaan CCTV untuk mendeteksi akses yang tidak sah.<\/p>\n
8.1 Masking Data<\/strong><\/h4>\n
Data sensitif, seperti informasi pelanggan, harus disamarkan<\/strong> saat digunakan untuk pengujian atau bila terjadi pelanggaran data, agar tidak mudah diekspos.<\/p>\n
8.9 Manajemen Konfigurasi<\/strong><\/h4>\n
Sistem harus dikonfigurasi dengan aman untuk mengurangi kerentanan.Contoh: Menonaktifkan port yang tidak digunakan<\/strong> agar tidak dimanfaatkan penyerang.<\/p>\n
8.10 Penghapusan Informasi<\/strong><\/h4>\n
Data harus dibuang secara aman, seperti menghancurkan hard drive lama<\/strong>, agar tidak bisa dipulihkan oleh pihak yang tidak berwenang.<\/p>\n
8.11 Pencegahan Kebocoran Data (Data Leakage Prevention)<\/strong><\/h4>\n
Menggunakan alat seperti enkripsi atau firewall<\/strong> untuk mencegah kebocoran data, sangat penting di era kerja jarak jauh.<\/p>\n
8.12 Penyaringan Web (Web Filtering)<\/strong><\/h4>\n
Memblokir akses ke situs berbahaya membantu mencegah serangan phishing dan malware.<\/p>\n
8.16 Pemantauan Aktivitas<\/strong><\/h4>\n
Pemantauan sistem yang ditingkatkan untuk mendeteksi aktivitas mencurigakan<\/strong>, seperti upaya login yang tidak biasa.<\/p>\n
8.28 Pengkodean Aman (Secure Coding)<\/strong><\/h4>\n
Pengembang perangkat lunak harus mengikuti praktik pengkodean yang aman guna mengurangi kerentanan dalam aplikasi internal<\/strong>.<\/p>\n
3. Atribut Kontrol yang Diperbarui di ISO 27001:2022<\/strong><\/h3>\n
Salah satu fitur baru yang diperkenalkan pada versi 2022 adalah penambahan atribut (tag) pada setiap kontrol keamanan<\/strong>. Atribut ini membantu organisasi mengelompokkan, memahami, dan menyelaraskan kontrol<\/strong> dengan kerangka kerja lain.<\/p>\n
Berikut adalah jenis atribut yang digunakan:<\/p>\n
Jenis Kontrol (Control Type)<\/strong><\/h4>\n
\n
- \n
- Preventif:<\/strong> Untuk mencegah<\/em> insiden keamanan.<\/li>\n
- Detektif:<\/strong> Untuk mengidentifikasi<\/em> insiden yang terjadi.<\/li>\n
- Korektif:<\/strong> Untuk memperbaiki atau memulihkan<\/em> setelah insiden.<\/li>\n<\/ul>\n
Properti Keamanan (Security Properties)<\/strong><\/h4>\n
- \n
- Kerahasiaan (Confidentiality)<\/strong><\/li>\n
- Integritas (Integrity)<\/strong><\/li>\n
- Ketersediaan (Availability)<\/strong><\/li>\n<\/ul>\n
Konsep Keamanan Siber (Cybersecurity Concepts)<\/strong><\/h4>\n
Dihubungkan dengan kategori dalam kerangka kerja NIST Cybersecurity Framework (NIST CSF)<\/strong>:<\/p>\n
- \n
- Identify<\/strong> (Identifikasi)<\/li>\n
- Protect<\/strong> (Perlindungan)<\/li>\n
- Detect<\/strong> (Deteksi)<\/li>\n
- Respond<\/strong> (Respons)<\/li>\n
- Recover<\/strong> (Pemulihan)<\/li>\n<\/ul>\n
Kemampuan Operasional (Operational Capabilities)<\/strong><\/h4>\n
Misalnya, area seperti Tata Kelola (Governance)<\/strong> atau Manajemen Aset (Asset Management)<\/strong>.<\/p>\n
Domain Keamanan (Security Domains)<\/strong><\/h4>\n
Contohnya:<\/p>\n
- \n
- Keamanan Aplikasi (Application Security)<\/strong><\/li>\n
- Keamanan Fisik (Physical Security)<\/strong><\/li>\n<\/ul>\n
Manfaat utama dari atribut ini adalah meningkatkan fleksibilitas dan interoperabilitas.<\/strong>Organisasi kini bisa:<\/p>\n
- \n
- Memetakan kontrol ISO ke kerangka lain<\/strong> seperti GDPR<\/strong> atau NIST<\/strong>, dan<\/li>\n
- Menyesuaikannya dengan risiko spesifik<\/strong> yang dihadapi oleh organisasi tersebut.<\/li>\n<\/ul>\n
Pada versi 2013, kontrol tidak memiliki metadata semacam ini, sehingga lebih sulit untuk diintegrasikan dengan standar keamanan lainnya<\/strong>.<\/p>\n
4. Pembaruan Klausul (Bagian Utama ISO)<\/strong><\/h3>\n
Beberapa klausul utama dalam ISO 27001:2022 mengalami penyempurnaan penting untuk meningkatkan kejelasan, akuntabilitas, dan penerapan yang lebih terukur. Berikut adalah tiga klausul yang mengalami perubahan paling mencolok:<\/p>\n
Klausul 4.2 \u2013 Memahami Kebutuhan dan Harapan Pihak Berkepentingan<\/strong><\/h4>\n
Versi 2022 me<\/strong>ngharuskan organisasi untuk mendokumentasikan siapa saja pihak berkepentingan<\/strong> (seperti pelanggan, regulator, mitra, dll.) dan apa saja kebutuhan serta harapan mereka<\/strong>.Pada versi 2013, klausul ini kurang tegas<\/strong> dan tidak mewajibkan dokumentasi secara eksplisit.<\/p>\n
Klausul 6.1.3 \u2013 Penanganan Risiko Keamanan Informasi<\/strong><\/h4>\n
Sekarang organisasi diwajibkan untuk:<\/p>\n
\n
- \n
- Memberikan alasan (justifikasi)<\/strong> atas pemilihan dan pengecualian kontrol.<\/li>\n
- Menghubungkan secara langsung<\/strong> dengan kontrol di Annex A.<\/li>\n<\/ul>\n
Pada versi 2013,
- Menghubungkan secara langsung<\/strong> dengan kontrol di Annex A.<\/li>\n<\/ul>\n
- Menyesuaikannya dengan risiko spesifik<\/strong> yang dihadapi oleh organisasi tersebut.<\/li>\n<\/ul>\n
- Keamanan Fisik (Physical Security)<\/strong><\/li>\n<\/ul>\n
- Protect<\/strong> (Perlindungan)<\/li>\n
- Integritas (Integrity)<\/strong><\/li>\n
- Detektif:<\/strong> Untuk mengidentifikasi<\/em> insiden yang terjadi.<\/li>\n
- Tim IT<\/strong> bisa fokus pada 34 kontrol teknologi.<\/li>\n<\/ul>\n
- Kontrol Manusia (People):<\/strong> Menitikberatkan pada faktor manusia seperti pelatihan, kesadaran, dan tanggung jawab.<\/li>\n
- Kontrol Organisasional:<\/strong> Berfokus pada tata kelola dan kebijakan internal organisasi.<\/li>\n
- Manusia (People)<\/strong> \u2013 8 kontrol<\/li>\n
- A.13 Keamanan Komunikasi<\/em><\/li>\n<\/ul>\n
- Annex A<\/strong> \u2013 berisi daftar kontrol keamanan spesifik yang harus diterapkan.<\/li>\n<\/ol>\n