Contoh Penerapan Kontrol ISO 27002 di Perusahaan

Contoh Penerapan Kontrol ISO27002 di Perusahaan: Studi Kasus dari Kebijakan hingga Bukti Audit

Contoh penerapan kontrol ISO 27002 di perusahaan oleh PT Indonesia Sertifikasi Standard

Banyak tim membaca ISO 27002 lalu bingung di langkah berikutnya: 93 kontrol itu wujud nyatanya seperti apa di kantor, sistem, dan proses sehari-hari? Artikel ini menjawabnya lewat contoh penerapan kontrol ISO 27002 di sebuah perusahaan ilustrasi, lengkap dengan bukti yang biasanya diminta auditor.

Jawaban singkat: penerapan kontrol ISO 27002 berarti mengubah tiap kontrol menjadi kebijakan tertulis, praktik yang dijalankan, dan bukti yang bisa diperiksa. Kontrol dipilih berdasarkan penilaian risiko, lalu dicatat dalam Statement of Applicability (SoA). ISO 27002 sendiri tidak disertifikasi. Sertifikatnya adalah ISO/IEC 27001:2022, dan kontrol 27002 menjadi acuan penerapannya.

Profil Perusahaan Ilustrasi

PT. XY (nama fiktif) adalah penyedia aplikasi manajemen pelanggan berbasis cloud dengan ±150 karyawan. Perusahaan ini menyimpan data pelanggan korporasi, memakai layanan cloud pihak ketiga, dan mendapat permintaan klien besar untuk menunjukkan sertifikasi keamanan informasi. Perusahaan melakukan gap analysis, menyusun penilaian risiko, lalu menerapkan kontrol berikut.

Peta 8 contoh kontrol ISO 27002:2022 yang diterapkan perusahaan

8 Contoh Penerapan Kontrol ISO 27002

1. Kebijakan Keamanan Informasi (Kontrol 5.1)

Penerapan: Direksi menandatangani kebijakan keamanan informasi satu halaman, lalu dipublikasikan di intranet dan dibahas saat onboarding karyawan baru.
Bukti audit: dokumen kebijakan bernomor dan bertanggal, bukti persetujuan direksi, serta catatan sosialisasi.

2. Kontrol Akses dan Hak Istimewa (5.15, 5.18, 8.2)

Penerapan: Akses diberikan berdasarkan peran (least privilege). Akun administrator dipisah dari akun harian dan hak akses ditinjau setiap triwulan oleh pemilik sistem.
Bukti audit: matriks peran dan akses, formulir permintaan serta pencabutan akses, dan notulen tinjauan akses berkala.

3. Autentikasi Aman (5.17, 8.5)

Penerapan: Autentikasi multi-faktor (MFA) wajib untuk email, VPN, dan konsol cloud. Kebijakan kata sandi mengikuti panjang minimum dan melarang pemakaian ulang.
Bukti audit: tangkapan layar konfigurasi MFA, daftar pengguna yang telah aktif MFA, dan kebijakan kata sandi.

4. Hubungan dengan Pemasok dan Layanan Cloud (5.19, 5.23)

Penerapan: Setiap pemasok kritis dinilai sebelum dikontrak. Kontrak memuat klausul kerahasiaan dan pelaporan insiden, serta daftar pemasok dievaluasi tahunan.
Bukti audit: daftar pemasok dan klasifikasi risikonya, kuesioner penilaian, serta kontrak atau perjanjian pemrosesan data.

5. Manajemen Insiden Keamanan (5.24–5.26)

Penerapan: Ada prosedur pelaporan satu pintu, klasifikasi tingkat keparahan, dan tim respons dengan peran jelas. Simulasi insiden dijalankan minimal sekali setahun.
Bukti audit: prosedur insiden, log laporan insiden beserta tindak lanjutnya, dan catatan simulasi atau lessons learned.

6. Backup dan Kesiapan Keberlangsungan (8.13, 5.30)

Penerapan: Backup terjadwal otomatis dengan salinan terpisah dari lingkungan produksi. Uji pemulihan (restore test) dilakukan berkala dan dicatat.
Bukti audit: jadwal backup, laporan keberhasilan, serta hasil uji pemulihan yang ditandatangani.

7. Logging dan Pemantauan (8.15, 8.16)

Penerapan: Log akses dan aktivitas administrator dikumpulkan secara terpusat. Peringatan untuk aktivitas tidak wajar dipantau tim operasional.
Bukti audit: konfigurasi log, contoh peringatan beserta penanganannya, dan kebijakan retensi log.

8. Pengamanan Kode dan Kerentanan (8.8, 8.28)

Penerapan: Tim pengembang menerapkan code review, pemindaian kerentanan terjadwal, dan pedoman secure coding. Temuan kerentanan dicatat serta diperbaiki sesuai prioritas.
Bukti audit: pedoman secure coding, laporan pemindaian, dan ticket perbaikan kerentanan.

Kontrol Pendukung Lain yang Sering Diaudit

6.3 Kesadaran dan pelatihan: pelatihan tahunan dan daftar hadir.
7.2 dan 7.4 Keamanan fisik: kartu akses, buku tamu, CCTV ruang server.
8.24 Kriptografi: enkripsi data saat transit dan penyimpanan.
8.10, 8.11, 8.12: penghapusan informasi, data masking, dan pencegahan kebocoran data.

Konsultasi contoh penerapan ISO 27002 bersama PT ISS

Urutan Prioritas yang Realistis

Tahap	Fokus	Contoh Kontrol
1. Fondasi	Tata kelola dan aset	Kebijakan, inventaris aset, peran
2. Perlindungan inti	Akses dan data	MFA, hak akses, backup, enkripsi
3. Deteksi dan ketahanan	Pemantauan dan respons	Logging, insiden, uji pemulihan

Urutan ini bisa disesuaikan dengan hasil penilaian risiko masing-masing perusahaan.

Pelajaran dari Studi Kasus Ini

Pilih kontrol berdasar risiko, bukan menyalin seluruh daftar. Kontrol yang dikecualikan harus dijelaskan alasannya di SoA.
Bukti sama pentingnya dengan praktik. Kontrol yang dijalankan tetapi tidak tercatat sulit dibuktikan saat audit.
Libatkan pemilik proses, bukan hanya tim IT. HR, legal, dan operasional memegang banyak kontrol.
Jadikan kebiasaan, bukan proyek sekali jalan. Tinjauan berkala dan internal audit menjaga kontrol tetap hidup.

Butuh Pendampingan MenerapkanKontrol di Perusahaan Anda?

PT Indonesia Sertifikasi Standard membantu dari gap analysis, penyusunan SoA dan dokumen, penerapan kontrol, pelatihan, hingga pendampingan auditsertifikasi ISO 27001 oleh lembaga sertifikasi terakreditasi.

Contoh bukti audit kontrol ISO 27002 untuk sertifikasi ISO 27001 bersama pt. indonesia sertifikasi standard

FAQ Viral

1. Apa contoh penerapan kontrol ISO 27002 di perusahaan?

Contohnya kebijakan keamanan informasi yang disetujui direksi, MFA untuk sistem penting, tinjauan hak akses berkala, backup dengan uji pemulihan, prosedur insiden, serta pemantauan log.

2. Apakah semua 93 kontrol wajib diterapkan?
Tidak otomatis. Kontrol dipilih berdasarkan penilaian risiko. Kontrol yang dikecualikan harus dijelaskan alasannya di Statement of Applicability.

3. Apa bukti yang diminta auditor untuk kontrol ISO 27002?
Biasanya berupa dokumen kebijakan dan prosedur, catatan pelaksanaan (log, formulir, notulen), serta bukti teknis seperti konfigurasi atau tangkapan layar.

4. KontrolISO 27002 apa yang sebaiknya diterapkan lebih dulu?
Umumnya kebijakan dan tata kelola, inventaris aset, kontrol akses dan MFA, backup, lalu manajemen insiden. Urutan akhir bergantung pada hasil penilaian risiko.

5. Apakah ISO 27002 bisa disertifikasi?
Tidak. Yang disertifikasi adalah ISO/IEC 27001:2022. Kontrol ISO 27002 menjadi panduan penerapannya.

6. Berapa lama menerapkan kontrol ISO 27002?
Bergantung pada ukuran organisasi dan kondisi awal. Estimasi pasti dihitung setelah gap analysis.

7. Apakah startup atau UKM perlu menerapkan semua contoh ini?
Tidak harus. Skala penerapan disesuaikan dengan ukuran dan risiko, tetapi kontrol dasar seperti akses, backup, dan insiden relevan untuk hampir semua usaha.

8. Siapa yang bertanggung jawab menerapkan kontrol di perusahaan?
Tanggung jawabnya dibagi ke pemilik proses (IT, HR, legal, operasional) dengan koordinasi dari penanggung jawab keamanan informasi dan dukungan manajemen puncak.

9. Apakah penerapan ISO 27002 membantu kepatuhan UU PDP?
Membantu sebagai kerangka pengamanan teknis dan organisasi, tetapi kepatuhan UU PDP tetap membutuhkan langkah hukum dan tata kelola tambahan.

10. Apakah PT ISS bisa mendampingi penerapan kontrol?
Ya, mulai dari gap analysis, penyusunan dokumen, penerapan kontrol, pelatihan, hingga pendampingan audit.

CTA PT Indonesia Sertifikasi Standard

Ingin Contoh Penerapan Kontrol yang Sesuai dengan Bisnis Anda?

Konsultasi GRATIS penerapan ISO 27002 dan sertifikasi ISO 27001 bersama konsultan berpengalaman PT Indonesia Sertifikasi Standard.

CTA (Contact To Action)

PT. INDONESIA SERTIFIKASI STANDARD

Gedung STC Senayan Lantai 3 #181

Jl. Asia Afrika, Pintu IX Gelora Senayan,

Jakarta Pusat 10270 DKI Jakarta

📱 HP/WA: 0821.1352.1977

☎️ Telp: 021.5793.0507

📧 Email: iss.isosertifikasi@gmail.com

Visit Web kami di: www.sertifikasi-iso.id | www.iso-sertifikasi.id | www.sertifikasiisoindonesia.com