Standar ISO 27000 untuk keamanan dan kepatuhan

Keamanan dan kepatuhan dapat terasa seperti target yang terus berubah. Keduanya selalu berubah-ubah: dipengaruhi oleh acara kecil seperti tim yang menambahkan alat SaaS baru dan acara yang lebih besar seperti regulator yang memperbarui panduan mereka. Sementara itu, risiko nyata tetap sama: informasi sensitif dapat terekspos karena hal-hal mendasar tidak konsisten, tidak terdokumentasi, atau sulit ditegakkan.

Satu tantangan utama adalah banyak perusahaan membeli berbagai solusi tetapi tidak membangun sistem yang terintegrasi. Dengan kontrol yang didistribusikan ke berbagai perangkat lunak dan proses yang bergantung pada individu, tidak ada yang memiliki pandangan andal tentang informasi apa yang ada, ke mana informasi tersebut mengalir, dan siapa yang dapat mengaksesnya.

Keluarga standar ISO 27000 mengatasi isu ini dengan menawarkan sesuatu yang tidak dimiliki oleh banyak organisasi: cara terstruktur untuk mengelola keamanan informasi dan kepatuhan sebagai program yang berkelanjutan, bukan proyek sekali jalan. Ini membantu menentukan apa yang dilindungi, menilai risiko, menerapkan kontrol, dan terus meningkatkan, dengan akuntabilitas yang jelas di sepanjang prosesnya.

Dalam artikel ini, akan dijelaskan apa itu ISO 27000, area kontrol utama yang perlu ditangani oleh sebagian besar bisnis untuk melindungi data, dan cara Proton Pass for Business mendukung kontrol kredensial dan akses yang selaras dengan ISO tanpa menimbulkan hambatan.

Penjelasan tentang ISO 27000

Mengapa ISO 27000 sangat penting untuk keamanan dan kepatuhan?

Area kontrol utama ISO 27000 mana yang harus ditangani oleh bisnis?

Bagaimana pengelolaan akses dan kata sandi mendukung ISO 27000?

Bagaimana Proton Pass for Business selaras dengan prinsip-prinsip ISO 27000?

Penjelasan tentang ISO 27000

ISO 27000 adalah keluarga standar internasional untuk mengelola keamanan informasi. Ini membantu organisasi membangun Information Security Management System (ISMS) dengan menawarkan jalur terstruktur untuk mengidentifikasi risiko, memilih kontrol, dan membuktikan bahwa upaya keamanan dilakukan secara konsisten, tidak hanya selama audit.

Dalam praktiknya, ISO 27000 dapat berarti dua hal:

ISO/IEC 27000 (standar itu sendiri): Standar yang menyediakan berbagai kosakata dan definisi yang berkaitan dengan ISMS.
Seri ISO/IEC 27000 (keluarga standar): Serangkaian standar terkait yang memandu cara merancang, menjalankan, dan meningkatkan ISMS.

Sebagai inti dari keluarga standar tersebut, ISO/IEC 27001 menetapkan persyaratan untuk ISMS dan digunakan untuk sertifikasi. Di sekitarnya, standar terkait memberikan panduan tentang kontrol, manajemen risiko, audit, privasi, dan banyak lagi.

ISO 27001: apa itu dan apa arti sertifikasi tersebut

Jika pelanggan atau klien menanyakan apakah telah tersertifikasi ISO, mereka biasanya merujuk pada sertifikasi ISO/IEC 27001.

ISO/IEC 27001 menetapkan persyaratan untuk menetapkan, menerapkan, memelihara, dan terus meningkatkan ISMS. Standar ini memiliki pendekatan yang sengaja berfokus pada manajemen yang mewajibkan untuk:

Mengetahui informasi apa yang perlu dilindungi.
Memahami risiko dalam konteks yang bersangkutan.
Menentukan kebijakan dan tanggung jawab.
Memilih kontrol yang mengurangi risiko.
Mengukur apakah kontrol tersebut berfungsi dengan baik.
Melakukan perbaikan jika kontrol tersebut tidak berfungsi.

Karena sifatnya yang lintas sektor, ISO 27001 banyak dirujuk dalam pengadaan, tinjauan keamanan, dan program kepatuhan. Standar ini juga memberikan bahasa yang sama bagi para pemangku kepentingan untuk membangun kepercayaan.

Daftar standar ISO 27000

Ada banyak standar dalam keluarga ISO/IEC 27000. Tidak perlu menghafalnya, tetapi memahami bagaimana standar tersebut saling melengkapi akan sangat membantu. Dalam bentuk yang disederhanakan, banyak organisasi menggunakan keluarga standar ini sebagai berikut:

ISO/IEC 27000: Gambaran umum dan kosakata (definisi bersama).
ISO/IEC 27001: Persyaratan ISMS (standar yang dapat disertifikasi).
ISO/IEC 27002: Panduan kontrol (katalog kontrol praktis dan panduan penerapan).
ISO/IEC 27005: Panduan manajemen risiko (cara menyusun manajemen risiko keamanan informasi).
ISO/IEC 27007 dan TS 27008: Panduan audit (cara menilai ISMS dan kontrol).
ISO/IEC 27017: Panduan keamanan cloud (kontrol tambahan dan kejelasan untuk lingkungan cloud).
ISO/IEC 27701: Ekstensi privasi (cara membangun manajemen privasi di atas ISMS).

Tergantung pada industri dan paparan regulasi, panduan khusus sektor dan standar ISO tambahan yang dirujuk dalam kuesioner mungkin juga akan ditemukan. Tidak perlu mengadopsi setiap dokumen. Sebaliknya, kuncinya adalah menerapkan pendekatan yang koheren.

Mengapa ISO 27000 sangat penting untuk keamanan dan kepatuhan?

Keamanan dan kepatuhan sering kali diperlakukan sebagai alur kerja yang terpisah:

Tim keamanan berfokus pada ancaman, insiden, dan kontrol teknis.
Tim kepatuhan berfokus pada kebijakan, audit, dan dokumentasi.

ISO 27000 membantu menyatukan keduanya, karena pendekatan ISMS memperlakukan manajemen risiko, penerapan kontrol, dan bukti sebagai bagian dari sistem yang sama.

Berikut adalah manfaat utama dari perspektif terintegrasi ISO 27000.

Ini menggantikan kontrol yang terfragmentasi dengan suatu sistem

Mode kegagalan yang umum terlihat seperti ini:

Aturan kata sandi berada dalam daftar periksa penerimaan karyawan baru HR.
Tinjauan akses dilakukan secara ad hoc, bukan secara berkala.
Inventaris aset sudah usang.
Paket respons insiden sudah ada, tetapi tidak ada yang mengujinya.
Karyawan menerima pelatihan, tetapi hal itu tidak mengubah perilaku mereka.

Bahkan jika setiap item ada, sistem tetap gagal karena tidak konsisten, tidak terukur, atau tidak dikelola dengan benar. Sebaliknya, keamanan yang selaras dengan ISO menciptakan lingkaran manajemen yang menghasilkan kontrol jangka panjang.

Seluruh sistem berjalan sesuai dengan langkah-langkah berikut:

Menentukan cakupan dan aset informasi.
Menilai risiko.
Memilih dan menerapkan kontrol.
Memantau dan mengukur hasil.
Melakukan perbaikan terus-menerus.

Ini membantu membuktikan apa yang dilakukan, bukan hanya mengklaimnya

Banyak regulasi dan ekspektasi pelanggan mengikuti tema yang sama: tampilkan hasil kerja.

Siapa yang memiliki akses ke data sensitif?
Bagaimana cara mencegah akses tidak sah?
Bagaimana cara merespons insiden?
Bagaimana cara mengurangi kemungkinan pembobolan?
Bagaimana cara memastikan karyawan mengikuti proses yang aman?

ISO 27000 mendorong kebijakan yang terdokumentasi, tanggung jawab yang ditetapkan, dan proses yang dapat diulang, sehingga menciptakan jejak bukti yang diperlukan untuk audit dan tinjauan pihak ketiga. Dengan kata lain, ini mendorong bisnis menuju penerapan praktik terbaik pencegahan pembobolan data.

Ini berskala seiring pertumbuhan organisasi

Keamanan yang bergantung pada ingatan individu tidak dapat berskala. Namun, keamanan yang selaras dengan ISO dapat berskala, karena dibangun berdasarkan:

Peran dan akuntabilitas yang jelas.
Proses standar yang tetap berjalan meskipun terjadi perubahan staf.
Kepemilikan kontrol (seseorang bertanggung jawab atas setiap area kontrol).
Perbaikan terus-menerus (keamanan berkembang seiring dengan bisnis).

Itulah mengapa ISO 27001 relevan baik untuk bisnis kecil yang berkembang pesat maupun organisasi mapan yang mengelola operasi kompleks.

Ini meningkatkan tata kelola dan pengambilan keputusan

ISMS yang kuat memberikan cara bagi kepemimpinan untuk membuat keputusan yang tepat tentang risiko. Alih-alih membuat paket yang tidak terstruktur untuk berinvestasi lebih banyak dalam keamanan, program yang selaras dengan ISO mendukung keputusan yang lebih jelas dan lebih terstruktur:

Risiko mana yang paling penting bagi bisnis dan klien?
Kontrol mana yang mengurangi risiko tersebut secara efektif?
Di bagian mana paparan risiko terjadi karena akses tidak terkontrol?
Bukti apa yang dapat diberikan kepada para pemangku kepentingan hari ini?
Apa yang perlu ditingkatkan pada kuartal berikutnya?

Area kontrol utama ISO 27000 mana yang harus ditangani oleh bisnis?

ISO 27000 dan ISO 27001 tidak mewajibkan penggunaan daftar periksa tunggal yang berlaku untuk setiap organisasi. Keduanya mewajibkan untuk mengidentifikasi risiko dan memilih kontrol yang sesuai. Meskipun demikian, sebagian besar bisnis perlu menangani serangkaian area kontrol umum untuk melindungi informasi dan mendukung ekspektasi kepatuhan.

Di bawah ini, terdapat tujuh praktik dasar yang selaras dengan program keamanan ISO. Gunakan praktik tersebut sebagai tolok ukur praktis, baik saat mempersiapkan sertifikasi maupun membangun perlindungan data yang lebih kuat.

1. Ketahui informasi apa yang dimiliki dan di mana menemukannya

Tidak dapat melindungi apa yang tidak dapat dilihat. Manajemen aset informasi dimulai dengan visibilitas:

Informasi sensitif apa yang disimpan (data klien, kredensial, data keuangan, kekayaan intelektual)?
Di mana lokasinya (perangkat, aplikasi cloud, drive bersama, email, brankas kata sandi)?
Siapa pemiliknya (tim mana yang bertanggung jawab)?
Bagaimana alurnya (berbagi, ekspor, integrasi, vendor)?

Ini bukanlah pekerjaan sia-sia; ini adalah fondasi untuk setiap kontrol lainnya. Jika bisnis menangani informasi klien yang sensitif, hal yang umum bagi perusahaan konsultan, layanan hukum, agensi, dan penyedia keamanan, visibilitas adalah pembeda antara akses terkontrol dan paparan yang tidak disengaja.

Berikut adalah beberapa langkah praktis:

Membangun inventaris aset yang sederhana: sistem, jenis data, pemilik, dan jalur akses.
Menentukan klasifikasi data (misalnya, publik, internal, rahasia).
Menghubungkan keputusan akses dengan klasifikasi (data rahasia mendapatkan kontrol yang lebih ketat).

2. Menentukan kontrol akses sebagai proses bisnis, bukan pengaturan teknis

Kontrol akses adalah salah satu area kontrol yang berdampak paling tinggi karena secara langsung mengurangi kemungkinan akses tidak sah, penyalahgunaan oleh pihak dalam, dan pengambilalihan akun.

Pendekatan kontrol akses yang selaras dengan ISO yang kuat biasanya mencakup:

Kebijakan yang jelas untuk akses (siapa yang mendapatkan akses, cara kerja persetujuan, bagaimana pengecualian ditangani).
Akses berbasis peran yang diselaraskan dengan tanggung jawab pekerjaan.
Proses onboarding, offboarding, dan perubahan peran.
Tinjauan akses berkala untuk sistem berisiko tinggi.
Standar autentikasi yang kuat.

Hal yang sering kali bermasalah bukanlah kebijakan, melainkan operasionalnya. Perubahan akses terjadi dengan mudah: kontraktor dan mantan karyawan tetap berada di dalam sistem, atau kata sandi bersama berada di dalam utas obrolan. Celah tersebut menjadi insiden keamanan. Namun, langkah praktis berikut dapat diikuti:

Menentukan peran dan akses minimum yang diperlukan untuk masing-masing peran.
Memusatkan identitas jika memungkinkan (single sign-on atau SSO dapat membantu).
Memperlakukan pemberhentian karyawan sebagai proses yang kritis terhadap keamanan, bukan sekadar tugas HR
Menetapkan aturan berbagi yang aman dan menegakkannya dengan kebijakan perusahaan.

3. Memperlakukan pengelolaan kata sandi sebagai kontrol, bukan kebiasaan

Kata sandi yang lemah bukanlah masalah pengguna dasar. Hal ini merupakan hasil yang dapat diprediksi ketika tim menggunakan lusinan alat bisnis tanpa pengelolaan kata sandi yang memadai. Dalam konteks tersebut, akan terlihat:

Kata sandi yang digunakan kembali di berbagai akun.
Kata sandi yang tersimpan di peramban tanpa tata kelola.
Kata sandi yang dibagikan melalui email atau obrolan.
Kredensial yang tersimpan sementara di dalam dokumen.
Mantan karyawan tetap memiliki akses karena tidak ada yang mengubah kredensial yang dibagikan secara berkala.

Program keamanan yang selaras dengan ISO memperlakukan pengelolaan kata sandi sebagai area kontrol formal. Artinya, organisasi menentukan cara membuat, menyimpan, membagikan, dan mencabut kredensial.

Sebuah pengelola kata sandi bisnis mendukung kontrol tersebut dengan cara yang terukur, juga dengan kebijakan tim yang dapat ditegakkan, autentikasi dua faktor (2FA), Pemeriksaan Kesehatan Kata Sandi, dan log penggunaan:

Ini menghilangkan penggunaan ulang kata sandi dengan membuat kata sandi unik mudah dibuat.
Ini meningkatkan adopsi dengan membuat proses masuk lebih cepat melalui isi otomatis dan antarmuka yang intuitif.
Ini memungkinkan berbagi aman tanpa memperlihatkan rahasianya.
Ini memberikan visibilitas administratif (tergantung solusinya).
Ini mendukung pemberhentian karyawan dengan memusatkan manajemen akses.

Inilah mengapa pengelolaan kata sandi berulang kali muncul dalam kuesioner keamanan dan penilaian kepatuhan. Kredensial sering kali menjadi langkah pertama dalam pembobolan. Sebagai contoh, pembobolan LastPass adalah pengingat bahwa risiko kredensial bukanlah hal teoritis.

4. Menjalankan penilaian risiko sebagai siklus yang dapat diulang

Keamanan yang selaras dengan ISO tidak menuntut untuk menjadi sempurna. Sebaliknya, hal itu menuntut tindakan yang terencana. Penilaian risiko adalah tentang bagaimana memutuskan apa yang harus dilakukan terlebih dahulu dan mengapa:

Mengidentifikasi ancaman yang relevan bagi organisasi.
Mendeteksi kerentanan dan celah kontrol.
Memperkirakan kemungkinan dan dampak.
Memutuskan cara menangani risiko (mengurangi, mentransfer, menerima, menghindari).
Melacak tindakan dan meninjau kemajuan.

Risiko bukanlah sesuatu yang didokumentasikan sekali lalu dilupakan. Seiring pertumbuhan bisnis, alat yang digunakan pun berkembang. Saat ancaman baru muncul, penilaian risiko harus terus disesuaikan, dengan ritme yang teratur (triwulanan atau dua kali setahun) and tinjauan tambahan setiap kali terjadi perubahan besar.

Mulailah dengan berfokus pada data paling sensitif dan sistem kritis, lalu gunakan pendekatan penilaian yang konsisten, yang memungkinkan tim untuk membandingkan risiko dari waktu ke waktu. Terakhir, perlakukan pemulihan risiko seperti proyek bisnis lainnya, dengan pemilik yang jelas, tenggat waktu, dan visibilitas kemajuan.

5. Mempersiapkan diri menghadapi insiden sebelum perlu merespons

Insiden bukanlah pilihan, tetapi seberapa serius merencanakannya adalah pilihan. Manajemen insiden harus mencakup:

Definisi yang jelas (apa yang dianggap sebagai insiden, siapa yang memutuskan).
Peran dan eskalasi (siapa yang memimpin, siapa yang berkomunikasi, siapa yang mendokumentasikan).
Langkah-langkah pembatasan (cara menghentikan kerusakan).
Langkah-langkah pemulihan (cara memulihkan sistem dan akses).
Tinjauan pasca-insiden (apa yang diubah untuk mencegah terulangnya insiden).

Akses dan kredensial berada di pusat banyak insiden. Ketika penyerang berhasil masuk ke dalam akun, respons yang diberikan sering kali bergantung pada seberapa cepat kemampuan untuk:

Mencabut akses.
Melakukan rotasi kredensial.
Mengidentifikasi sistem mana saja yang diakses.
Mengonfirmasi siapa yang melakukan tindakan apa dan kapan hal itu dilakukan.

Jika tindakan tersebut bersifat manual, lambat, atau tidak konsisten, dampak insiden akan meluas. Jika tindakan tersebut terintegrasi dalam kontrol, dampak insiden akan tetap terkendali.

6. Membangun kesadaran karyawan dalam pekerjaan sehari-hari

Budaya keamanan sangat penting karena sebagian besar kegagalan keamanan tidaklah rumit; melainkan merupakan kesalahan manusia. Penggunaan ulang kata sandi, berbagi akses saat tidak tepat, menyetujui permintaan tanpa memeriksa apa yang sebenarnya dibutuhkan, dan terjebak oleh penipuan phishing yang ditargetkan adalah beberapa contoh perilaku yang dapat membahayakan keamanan.

Kesadaran yang selaras dengan ISO bukan hanya pelatihan sekali setahun. Ini juga berarti:

Aturan yang jelas yang sesuai dengan alur kerja nyata.
Panduan sederhana yang dapat diikuti tanpa harus menjadi ahli keamanan.
Penguatan melalui proses penerimaan karyawan baru, pengingat, dan perilaku kepemimpinan.

Program keamanan harus membuat pilihan yang aman sebagai jalur yang paling mudah diikuti.

7. Memperlakukan perbaikan sebagai bagian dari keamanan, bukan sekadar reaksi

Keamanan berbasis ISO dibangun di sekitar perbaikan terus-menerus. Ini adalah salah satu bagian paling berharga dari kerangka kerja ini, karena keamanan yang tidak berkembang akan menjadi usang.

Perbaikan terus-menerus meliputi:

Mengukur apakah kontrol berfungsi (tidak hanya sekadar ada).
Mengaudit proses dan mengidentifikasi celah.
Melacak tindakan korektif.
Tinjau perubahan dalam teknologi, vendor, dan ancaman.
Memperbarui kebijakan ketika kondisi nyata berubah.

Di sinilah ISO 27000 menjadi fondasi, bukan sekadar proyek sertifikasi. Bahkan jika tidak pernah mengejar sertifikasi, siklus manajemen ini akan meningkatkan ketahanan seiring berjalannya waktu.

Insiden seperti pembobolan vendor OpenAI menunjukkan mengapa risiko vendor perlu ditinjau secara terus-menerus — tidak hanya selama audit.

Bagaimana manajemen akses dan kata sandi mendukung ISO 27000?

Kontrol akses dan pengelolaan kata sandi mungkin terdengar sempit dibandingkan dengan topik keamanan yang lebih luas. Dalam praktiknya, keduanya merupakan salah satu kontrol paling berpengaruh yang dapat ditingkatkan, karena memengaruhi:

Kerahasiaan data (siapa yang dapat melihat informasi sensitif).
Integritas (siapa yang dapat mengubah atau menghapusnya).
Ketersediaan (siapa yang dapat mengunci akses dengan mengambil alih akun).
Kepatuhan (siapa yang dapat membuktikan bahwa akses terkontrol).

Kontrol akses adalah tempat perlindungan data menjadi nyata

Sebagian besar kegagalan perlindungan data terjadi karena akses diberikan lebih luas dari yang seharusnya. Pendekatan ISMS mendorong untuk menjawab pertanyaan-pertanyaan konkret:

Peran mana yang memerlukan akses ke sistem yang mana?
Bagaimana cara menyetujui akses?
Bagaimana cara mencabut akses dengan cepat?
Bagaimana cara meninjau akses untuk sistem yang sensitif?
Bagaimana cara memastikan autentikasi cukup kuat?

Pengelolaan kata sandi mendukung jawaban-jawaban tersebut dengan mengurangi penyebaran kredensial yang tidak terkendali, terutama kredensial yang dibagikan dan penyimpanan ad hoc.

Pengelola kata sandi mengurangi masalah akses bayangan

Bahkan dengan single sign-on, kredensial di luar penyedia identitas akan selalu ada:

Portal vendor yang tidak mendukung SSO.
Akun bersama untuk alat operasional.
Akun yang dibuat oleh tim tanpa melibatkan IT.
Akun yang tetap aktif setelah proyek pembuatannya selesai.

Akun-akun ini menciptakan akses bayangan: orang dapat masuk ke sistem di luar alur persetujuan normal, proses pemberhentian menyisakan celah, dan audit menjadi berantakan. Pengelola kata sandi bisnis mengembalikan kredensial tersebut di bawah kendali, sehingga aktivitas berbagi menjadi aman secara bawaan, dan perubahan akses dilakukan secara sengaja.

Kontrol kredensial mendukung ekspektasi kepatuhan di berbagai kerangka kerja

Kerangka kerja kepatuhan mungkin berbeda dalam struktur dan terminologi, tetapi cenderung mengarah pada hasil yang sama: autentikasi yang kuat, akses dengan hak istimewa paling rendah, perlindungan terhadap akses tidak sah ke informasi sensitif, bukti jelas bahwa kontrol sedang beroperasi, dan komitmen terhadap perbaikan terus-menerus ketika ditemukan celah.

Kontrol akses dan pengelolaan kata sandi yang selaras dengan ISO mendukung ekspektasi ini secara langsung. Hal ini juga mempermudah tinjauan keamanan karena dapat menunjukkan cara kerja akses dalam praktiknya, tidak hanya menjelaskannya di atas kertas.

Bagaimana Proton Pass for Business selaras dengan prinsip-prinsip ISO 27000?

ISO 27000 menyediakan struktur yang diperlukan. Bagian yang sulit adalah mengubah struktur tersebut menjadi kebiasaan yang dapat diikuti oleh tim setiap hari — terutama seputar akses, di mana pintasan kecil (penggunaan ulang kata sandi, kredensial yang dibagikan dalam obrolan, akun yang tidak pernah dibersihkan) dapat secara perlahan merusak program keamanan yang sebenarnya kokoh.

Pengelola kata sandi bisnis membantu mengambil alih kendali atas keamanan kata sandi di seluruh bisnis, menerapkan kontrol akses dan kredensial yang selaras dengan ISO ke dalam praktik tanpa memperlambat tim. Tim dapat menghasilkan kata sandi unik yang kuat dan menyimpannya di brankas terenkripsi secara end-to-end, sehingga data rahasia tidak tersebar di peramban, spreadsheet, atau kotak masuk. Anggota tim juga dapat menggunakan autentikasi dua faktor (2FA) bawaan dan membagikan akses secara aman tanpa menyalin kata sandi ke dalam pesan.

Aktivitas berbagi dan tindakan akun utama dapat ditinjau melalui pelaporan penggunaan dan log aktivitas, sehingga mendukung akuntabilitas yang dirancang untuk diciptakan oleh program ISO seiring berkembangnya organisasi — tidak hanya selama audit, tetapi sebagai bagian dari operasi normal.

ISO juga menghargai keamanan yang dapat dipercayai dan diverifikasi. Dengan ISMS tersertifikasi ISO 27001, kode sumber terbuka, dan audit independen, Proton Pass dibuat untuk organisasi yang menginginkan keamanan yang dapat divalidasi, didukung oleh yurisdiksi Swiss serta infrastruktur inti yang dimiliki dan dioperasikan secara mandiri.

Jika sedang membangun pendekatan perlindungan data yang selaras dengan ISO 27000, akses adalah salah satu tempat terbaik untuk memulai karena memengaruhi setiap sistem yang disentuh oleh tim.

Unduh eBook keamanan praktis Proton untuk bisnis yang sedang berkembang guna menerapkan langkah cepat dan membangun strategi keamanan jangka panjang yang berskala seiring pertumbuhan tim.