Yogya.co, SLEMAN – Apa Perbedaan ISO 27001:2013 dan ISO 27001:2022? –Untuk mendapatkan kepercayaan publik, sebuah perusahaan membutuhkan kredibilitas dan pengakuan atas tercapainya kualitas atau mutu perusahaan itu sendiri.
Hal tersebut, salah satunya bisa didapatkan oleh sebuah perusahaan melalui Sertifikat ISO. Sederhananya, Sertifikat ISO adalah sistem manajemen untuk mengukur kualitas atau mutu suatu perusahaan.
Sertifikat ISO sendiri kini memiliki berbagai jenis dengan kegunaan yang berbeda-beda, salah satunya adalah Sertifikat ISO 27001.
Sebelum membahas lebih jauh mengenai perbedaan ISO 27001:2013 dan ISO 27001:2022, baiknya kita ketahui terlebih dahulu mengenai pentingnya ISO 27001 dalam dunia bisnis.
Apa Itu Sertifikat ISO 27001?
ISO 27001 adalah standar internasional untuk Sistem Manajemen Keamanan Informasi (SMKI) yang diterbitkan oleh International Organization for Standardization (ISO).
Sertifikat yang satu ini ditujukan untuk membantu organisasi atau perusahaan dalam membangun dan memelihara Security Management System (ISMS).
ISMS adalah seperangkat unsur yang digunakan untuk mengelola dan mengendalikan risiko keamanan informasi, mulai dari melindungi dan menjaga kerahasiaan (confidentiality), integritas (integrity), serta ketersediaan (availability) informasi.
Apa Pentingnya Sertifikat ISO 27001 Bagi Perusahaan?
Jika sebuah perusahaan memiliki sertifikat ISO 27001, maka bisnis tersebut akan lebih mudah bersaing dalam pasar global.
Perusahaan yang memiliki sertifikat ISO 27001 akan memberikan kepercayaan dan jaminan terhadap klien terkait Sistem Keamanan Informasi yang sesuai dengan standar internasional.
Sebab, perusahaan yang memiliki Sertifikat ISO 27001 telah memiliki pengendalian terkait keamanan informasi dari lingkungan proses bisnisnya yang berisiko menghadirkan gangguan pada sistem atau kinerja perusahaan.
Hal tersebut tentu akan meningkatkan kredibilitas perusahaan, kinerja karyawan pun akan menjadi lebih optimal, sehingga mampu meningkatkan citra perusahaan.
Perkembangan ISO 27001
Setelah 9 tahun sejak versi 2013 diterbitkan, tepat pada 25 Oktober 2022, ISO 27001:2013 digantikan oleh ISO 27001 versi 2022. Secara sederhana, berikut adalah beberapa perubahan utama dalam ISO 27001:2022.
- Perubahan klausul (ketentuan khusus) ISO 27001
- Adanya perubahan dalam pengendalian keamanan Lampiran A
- Pengurangan jumlah pengendalian
- Kategori pengendalian dikonsolidasikan
- Munculnya pengendalian baru
Apa Perbedaan ISO 27001:2013 dan ISO 27001:2022?
Sebenarnya, standar ISO 27001 telah mengalami revisi sebelumnya. Secara keseluruhan, jika dibandingkan dengan revisi tahun 2013, perubahan pada revisi ISO 27001:2022 cenderung lebih kecil, mulai dari jumlah klausul, Lampiran A, hingga Pengendalian Annex A.
Perbandingan Revisi ISO 27001:2013 dan ISO 27001:2022
| Revisi ISO 27001:2013 | Perubahan | Revisi ISO 27001:2022 |
| 10 | Jumlah Klausul | 11 |
| 114 | Jumlah Pengendalian Keamanan dalam Lampiran A | 93 |
| 14 | Jumlah Kategori Pengendalian Pada Annex A | 4 |
Apa Saja yang Berubah dari ISO 27001:2013 dalam ISO 27001:2022?
Berikut adalah beberapa perubahan yang telah digabung, dihapus, atau ditambahkan pada ISO 27001:2022.
Perubahan Pada Sistem Manajemen (Klausul)
Perubahan Klausul pada ISO 27001:2022 hanya mengalami sedikit perubahan, terutama untuk menyelaraskan dengan ISO 9001, ISO 14001, dan standar manajemen ISO lainnya beserta Lampiran SL.
Berikut sejumlah ikhtisar singkat tentang perubahan standard dalam ISO 27001:2022.
| Klausul 4.2 | Memahami kebutuhan dan harapan pihak yang berkepentingan, item (c) – Penambahan mengenai analisis tentang persyaratan pihak berkepentingan yang harus ditangani melalui SMKI |
| Kalusul 4.4 | Sistem manajemen keamanan informasi – Penambahan terkait perencanaan untuk proses dan interaksinya sebagai bagian dari SMKI |
| Klausul 5.3 | Peran, tanggung jawab, dan wewenang organisasi – Penambahan terdapat pada frasa untuk menjelaskan bahwa peran komunikasi dilakukan secara internal di dalam organisasi. |
| Klausul 6.2 | Tujuan keamanan informasi dan perencanaan untuk mencapainya, item (d) – penambahan dilakukan terkait tujuan yang perlu dipantau. |
| Klausul 6.3 | Perencanaan Perubahan – Ditambahkan persyaratan bahwa setiap perubahan SMKI perlu dilakukan secara terencana. |
| Klausul 7.4 | Komunikasi (e) telah dihapus – yang memerlukan pengaturan proses komunikasi |
| Klausul 8.1 | Perencanaan dan Pengendalian Operasional – Persyaratan implementasi rencana untuk mencapai tujuan telah dihapus – Namun, ditambahkan persyaratan baru untuk menetapkan kriteria proses keamanan. Juga untuk mengimplementasikan proses sesuai dengan kriteria tersebut |
| Klausul 9.3 | Tujuan Manajemen, item baru (9.3.2 c) – Tambahan item baru itu berguna untuk mengklarifikasi bahwa masukan dari pihak berkepentingan harus mengenai kebutuhan dan harapan mereka, serta harus relevan dengan SMKI. |
| Klausul 10 | Peningkatan – Subklausul telah berpindah tempat, maka yang pertama adalah Perbaikan Berkelanjutan (10.1) – Yang kedua adalah Ketidaksesuaian dan Tindakan Korektif (10.2) – Sedangkan konten dari klausul ini tidak berubah. |
Pengelompokan Ulang Kategori
Pengelompokan ulang 14 kategori menjadi 4 kategori tema utama. Di antaranya adalah sebagai berikut.
- Orang/People(8 Pengendalian) – Menyangkut individu, seperti jarak jauh, penyaringan, kerahasiaan, atau perjanjian kerahasiaan.
- Organisasi/Organizational(37 Pengendalian) – Menyangkut organisasi, seperti kebijakan informasi, pengembalian aset, keamanan informasi untuk penggunaan layanan cloud.
- Teknologi/Technological(34 Pengendalian) – Menyangkut teknologi, seperti otentikasi yang aman, penghapusan informasi, pencegahan kebocoran data, atau pengembangan yang dialihdayakan.
- Fisik/Phisical(14 Pengendalian) – Menyangkut objek fisik, seperti media penyimpanan, pemeliharaan peralatan, pemantauan keamanan fisik, atau pengamanan kantor, ruangan, dan fasilitas.
Pembaruan Pada Bagian Pengendalian
Seluruh pengendalian ISO 27001:2022 yang telah ditinjau dan disempurnakan secara menyeluruh dari 114 Pengendalian menjadi 93 Pengendalian.
Rincian dari jumlah tersebut adalah 11 Pengendalian Baru, 35 Pengendalian tidak mengalami perubahan, 23 Pengendalian berganti nama, dan 57 Pengendalian gabungan menjadi 24 pengendalian, serta 1 Pengendalian dibagi menjadi 2 Pengendalian.
11 Pengendalian Baru ISO 27001:2022
| 1 | Threat intelligence | A.5.7 |
| 2 | Information Security for use of Cloud Services | A.5.30 |
| 3 | ICT Readiness for Business Continuity | A.5.23 |
| 4 | Physical Security Monitoring | A.7.4 |
| 5 | Monitoring Activities | A.8.16 |
| 6 | Web Filtering | A.8.23 |
| 7 | Secure Coding | A.8.28 |
| 8 | Configuration Management | A.8.9 |
| 9 | Informatioan Deletion | A.8.10 |
| 10 | Data Masking | A.8.11 |
| 11 | Data Leakage Prevention | A.8.12 |
1 Pengendalian ( Technical Compiance Review) Dibagi Menjadi 2
| 1 | Management of Technical Vulnerabilities | 8.8 |
| 2 | Conformity with Policies and Standards of Information Security | 5.3.6 |
Pembaruan tersebut bertujuan untuk memberikan pengendalian yang lebih mudah dipahami, relevan dengan lanskap keamanan informasi saat ini, serta serbaguna bagi setiap organisasi maupun perusahaan.
Nah, itulah perbedaan ISO 27001:2013 dan ISO 27001:2022 yang mengalami perubahan setelah mengalami penyesuaian.
Apa Dampak dari Diterbitkannya ISO 27001:2022 Bagi Perusahaan Anda?
Berdasarkan dokumen Persyaratan Transisi untuk ISO/IEC 27001:2022 dari Forum Akreditasi Internasional, perusahaan yang sudah tersertifikasi ISO 27001:2013 harus menyelesaikan transisi ke ISO 27001:2022 sebelum 31 Oktober 2023.
Jika Anda sudah mengimplementasikan ISO 27001:2013 dan ingin melakukan transisi ke ISO 27001:2022, Anda bisa mengonsultasikannya pada badan sertifikasi terpercaya, salah satunya adalah Comsys.id.
Konsultan Comsys siap membantu perusahaan Anda untuk menyambut masa depan yang jauh lebih unggul dalam skala global.
