ISO27001 Fundamental dan Implementasi untuk Engineer

Banyak engineer merangkai ISO27001 sebagai dokumen compliance milik legal atau audit. Padahal standar ini sebagian besar adalah kontrol teknis yang harus diimplementasikan di infrastruktur, aplikasi, dan operasi sehari-hari — persis seperti yang kamu kerjakan.

Artikel ini breakdown kontrol-kontrol ISO27001:2022 yang benar-benar relevant untuk engineer, tanpa jargon yang bertelelekan, dan langsung ke penerapannya.

Apa itu ISO27001 sebenarnya

ISO27001 adalah framework untuk information security management system (ISMS). Bukan cuma daftar kontrol teknis, melainkan sistem manajemen yang mencakup:

  • People: awareness, training, onboarding

  • Processes: risk assessment, incident response, change management

  • Technology: kontrol akses, encryption, logging, network segmentation

Sertifikat ISO27001 menunjukkan bahwa organisasi memiliki kontrol keamanan informasi yang terstruktur dan teruji — dari identifikasi aset, penilaian risiko, sampai mitigasi dan review berkelanjutan.

Struktur kontrol ISO27001:2022

Standar baru 2022 mengembalikan kontrol dari 114 menjadi 93, dibagi dalam 4 tema:

Tema

Konsep

Organizational

Policy, risk treatment, business continuity, segregation of duties

People

Screening, terms of employment, awareness, confidentiality

Physical

Perimeter security, clean desk, equipment disposal

Technological

Access control, encryption, logging, secure dev, network controls

Kontrol yang Engineer Wajib Tahu

5.15 Access Control

  • Berikan hak akses minimal (least privilege).

  • Jangan share root/ssh key antar service.

  • Implementasi MFA untuk semua admin endpoint.

  • Review akses bulanan: revoke yang tidak dipakai.

5.17 Authentication Information

  • Jangan hardcode credential di repo.

  • Gunakan secret manager (HashiCorp Vault, AWS Secrets Manager).

  • Rotate password/api key secara berkala.

8.25 Secure Development Lifecycle

  • Code review wajib.

  • Static Application Security Testing (SAST) di CI/CD.

  • Dependency scanning (npm audit, Snyk).

  • Security acceptance test sebelum deploy production.

8.7 Protection Against Malware

  • Antivirus/EDR di endpoint.

  • Email gateway filtering.

  • Container image scanning (Trivy, Grype).

  • Blocklist untuk domain/IP known bad.

5.30 ICT Readiness for Business Continuity

  • Database replication + backup offsite.

  • RTO/RPO didokumentasikan dan di-test.

  • Multi-region atau multi-AZ untuk critical service.

5.33 Protection of Records

  • Logging standard: timestamp, userId, action, source IP.

  • Centralize log (ELK, Loki).

  • Retention minimum 6-12 bulan.

5.34 Privacy & Protection of PII

  • Minimize data collection.

  • PII encryption at rest.

  • Consent logging untuk personal data.

8.16 Monitoring Activities

  • IDS/IPS di network edge.

  • Anomaly detection di API logs.

  • Monthly security review meeting.

Implementasi Langkah demi Langkah

Phase 1: Gap Analysis

Bandingkan kontrol 93 dengan kondisi sekarang:

Kontrol

Current State

Target

Gap

Access Control

SSH key shared

Per-user key + MFA

2 months

Logging

Local only

Centralized (ELK)

3 months

SDLC

Manual deploy

SAST + deploy pipeline

1 month

Phase 2: Policy & SOP

Document before implement: - Risk assessment methodology - Incident response playbook - Change management procedure - Access review cadence

Phase 3: Implementasi Teknis

Pilih kontrol dengan prioritas ROI tertinggi:

  1. MFA everywhere — mitigasi brute force & credential stuffing

  2. Centralized logging — visibility untuk incident response

  3. Secret manager — hilangkan hardcoded credential

  4. SAST + DAST di CI/CD — deteksi vulnerability sebelum production

  5. Network segmentation — isolate production dari staging

Phase 4: Internal Audit

Audit sendiri sebelum sertifikasi: - Review evidence setiap kontrol - Interview team: developer, ops, management - Test incident response scenario

Phase 5: Certification Audit

External auditor uji: - Stage 1: documentation review - Stage 2: implementation testing - Surveillance audit: yearly - Recertification: 3 tahun

Kesalahan yang Sering Bikin Kegagalan Audit

  1. Jalan tapi tidak didokumentasikan — kontrol ada, tapi tidak ada evidence.

  2. Pilih kontrol yang tidak relevan — misal beli ISO27001 untuk startup 5 orang tapi implementasi enterprise-level cost.

  3. Lupakan people — engineer aware tapi marketing tidak.

  4. Tool bias — merasa sudah aman karena pakai tool X, tanpa verifikasi effectiveness.

  5. Treat sebagai yearly project — ISO27001 adalah ongoing program, bukan sekali lapor.

Nirmana

ISO27001 bukan barrier untuk Engineer. Sebaliknya, kontrolnya adalah daftar praktik terbaik yang bisa kamu implementasikan sekarang, bahkan sebelum sertifikasi. Fokus pada detection, response, dan recovery — karena tidak ada sistem yang 100% immume.

Dibuat oleh Afry Rachmat · afry.my.id