Jalankan ISMS seperti standarnya ditulis.
Klausul 4 sampai 10 dan 93 kontrol Annex A, disusun sebagai register, tinjauan, dan persetujuan yang dikelola sebuah sistem manajemen keamanan informasi, dari konteks dan risiko, operasi, sampai audit internal, tinjauan manajemen, dan perbaikan.
Didampingi di
- Jadwalkan dengan Jakarta (WhatsApp)
Indonesia · Whitesec ID, Jakarta
Program sertifikasi bersama Whitesec ID, berdampingan dengan ISO 27701 dan UU PDP jika data pribadi masuk ruang lingkup.
- Jadwalkan dengan Perth (WhatsApp)
Australia · Whitesec AU, Perth
Program sertifikasi bersama Whitesec AU, sering berjalan bersama SOC 2 atau Essential Eight.
Tentang standar ini
ISO/IEC 27001 menetapkan persyaratan untuk membangun, menerapkan, memelihara, dan terus memperbaiki sistem manajemen keamanan informasi. Sertifikasi diberikan lembaga sertifikasi terakreditasi setelah audit Stage 1 dan Stage 2, lalu dipertahankan melalui audit surveilans dalam siklus tiga tahun.
Edisi 2022 menyusun ulang Annex A menjadi 93 kontrol dalam empat tema, dan Amendment 1:2024 meminta setiap organisasi menentukan apakah perubahan iklim merupakan isu yang relevan. Whitesec One mencatat keputusan itu di ruang lingkup dan memeriksanya sebagai bagian dari kesiapan klausul 4.
Yang dikerjakan workspace
Kesiapan per klausul
Dashboard menilai klausul 4 sampai 10 sebagai Ready, Gaps, atau Not started dari pemeriksaan tetap, seperti Statement of Applicability yang disetujui, kriteria risiko yang disetujui, penyelesaian pelatihan di atas 80%, serta audit internal dan tinjauan manajemen yang disetujui dalam 12 bulan terakhir, masing-masing dengan langkah berikutnya.
Risk register dengan risk appetite
Skala kemungkinan dan dampak 5x5 (Critical mulai 16, High mulai 10, Medium mulai 5), skala yang dapat diubah dengan acuan awal ISO 27005, serta ambang appetite dan kriteria penerimaan yang disetujui orang kedua. Perlakuan berupa Modify, Retain, Avoid, atau Share, dan risiko tidak bisa ditutup selama skor residualnya di atas appetite.
Sign-off pemilik dan jadwal tinjauan
Pemilik risiko memberi sign-off atas rencana perlakuan, penerimaan risiko melalui permintaan persetujuan, dan tinjauan jatuh tempo setiap 3 bulan untuk Critical, 6 bulan untuk High, serta 12 bulan untuk Medium dan Low.
Statement of Applicability yang jujur
Seluruh 93 kontrol dengan applicability, alasan kebutuhan, status implementasi, pemilik, dan tanggal tinjauan. Pengecualian wajib punya justifikasi nyata, kontrol yang disebut dalam perlakuan risiko otomatis menjadi Applicable, dan setiap versi yang disetujui disimpan sebagai snapshot beku.
Register untuk setiap tema Annex A
Aset dengan klasifikasi serta peringkat kerahasiaan, integritas, dan ketersediaan, pemasok yang dikelompokkan otomatis dan dinilai melalui tautan portal, matriks akses dengan kampanye tinjauan, keamanan SDM dari joiner sampai leaver, pemeriksaan fisik, kerentanan, dan persetujuan perubahan.
Audit, tinjauan, dan perbaikan
Audit internal dengan deklarasi independensi dan checklist lintas klausul dan kontrol, temuan dengan tenggat 30, 90, atau 180 hari sesuai tingkatnya, tinjauan manajemen yang merangkum sepuluh masukan klausul 9.3.2 dari register, dan tindakan korektif yang baru ditutup setelah pemeriksaan efektivitas independen.
Cara workspace menjalankannya
Kelompok demi kelompok, sesuai urutan di aplikasi, beserta halaman di dalam setiap kelompok.
- 01
Context
Ruang lingkup, batasan, antarmuka, dan pengecualian, isu internal dan eksternal termasuk perubahan iklim, pihak berkepentingan beserta persyaratannya, proses dengan RACI, dan pustaka kebijakan dengan persetujuan berversi serta acknowledgement per audiens.
- Scope and context
- Interested parties
- Policies and documents
- 02
Planning
Risk register dan rencana perlakuannya, peluang dan penilaian berkala, Statement of Applicability, sasaran yang diukur dari baseline ke target, dan register persyaratan hukum, regulasi, serta kontrak.
- Risk register
- Statement of Applicability
- Objectives
- Legal and compliance
- 03
Registers
Register Annex A: aset dan klasifikasinya, pemasok dan penilaiannya, matriks akses dan tinjauannya, keamanan SDM, lokasi fisik dan pemeriksaannya, serta kontrol teknologi dari kerentanan sampai manajemen perubahan.
- Assets
- Suppliers
- Access matrix
- People security
- Physical security
- Technology controls
- 04
Operations
Insiden dari deteksi sampai penutupan dengan target respons per tingkat keparahan dan saran notifikasi regulasi, rencana kelangsungan yang diuji terhadap RTO dan RPO, serta modul pelatihan dengan kuis dan sertifikat.
- Incidents
- Continuity and DR
- Training and awareness
- 05
Assurance
Program audit internal sampai resertifikasi, tinjauan manajemen, temuan dan tindakan korektif, pustaka bukti dengan tinjauan independen, serta sembilan jenis laporan dengan skor kepatuhan dan heat map risiko.
- Internal audit
- Management review
- Findings and actions
- Evidence
- Reports
Kontrol yang tertanam di workspace
Aturan yang ditegakkan aplikasi, agar record tetap kokoh saat diuji auditor.
- Orang kedua menyetujui kriteria risiko, setiap versi Statement of Applicability, kebijakan, dan rencana kelangsungan.
- Bukti hanya diterima oleh orang selain pengumpulnya.
- Pemberi persetujuan perubahan wajib berbeda dari pengajunya, dan perubahan darurat yang belum disetujui ditandai setelah 5 hari.
- Joiner tidak bisa ditutup sebelum screening dan perjanjian ditandatangani, dan leaver tidak bisa ditutup selama aksesnya masih ada.
- Insiden tidak bisa ditutup tanpa akar masalah, pelajaran yang dipetik, dan notifikasi yang diwajibkan.
- Record diarsipkan, tidak pernah dihapus, dan setiap perubahan tercatat di jejak audit.
Yang Anda serahkan ke auditor
- Statement of Applicability berversi
- Penilaian dan rencana perlakuan risiko
- Laporan dan checklist audit internal
- Notulen dan keputusan tinjauan manajemen
- Register tindakan korektif
- Pustaka bukti dengan status tinjauan
Dipakai bersama workspace lain
Register risiko, pemasok, insiden, dokumen, tinjauan akses, perubahan, dan buktinya adalah register yang dipetakan SOC 2 ke Trust Services Criteria, dan register pemasoknya juga menyimpan PII processor yang dibaca ISO 27701.
Pertanyaan tentang ISO 27001
Apakah mencakup edisi 2022 dan Amendment 1:2024?
Ya. Katalog Annex A adalah 93 kontrol edisi 2022 dalam empat tema, dan record ruang lingkup menanyakan apakah perubahan iklim merupakan isu yang relevan, sesuai Amendment 1:2024.
Bisakah register yang sudah ada dibawa masuk?
Risiko, persyaratan hukum, aset, pemasok, sasaran, dan analisis dampak bisnis dapat diimpor dari file CSV.
Siapa yang menerbitkan sertifikat?
Lembaga sertifikasi terakreditasi, setelah audit Stage 1 dan Stage 2. Whitesec One menyimpan record yang mereka periksa, dan program audit internal mengikuti siklusnya sampai resertifikasi.
Lihat register Anda sendiri di Whitesec One.
Kami menunjukkan workspace untuk framework yang Anda butuhkan, bersama tim di Jakarta atau Perth.