Data dan informasi saat ini menjadi salah satu aset penting bagi perusahaan. Data pelanggan, informasi karyawan, dokumen keuangan, kontrak, data supplier, informasi operasional, hingga informasi strategis perusahaan harus dikelola dan dilindungi dengan baik.

Masalahnya, keamanan data tidak hanya bergantung pada penggunaan antivirus atau firewall.

Kebocoran informasi dapat terjadi karena berbagai hal, seperti:

• Password yang mudah ditebak.
• Akses diberikan kepada terlalu banyak orang.
• Dokumen sensitif dikirim melalui media yang tidak aman.
• Backup tidak pernah diuji.
• Karyawan belum memahami keamanan informasi.
• Vendor memiliki akses ke sistem tanpa pengendalian yang memadai.
• Data disimpan di cloud tanpa konfigurasi keamanan yang tepat.
• Tidak tersedia prosedur penanganan insiden keamanan informasi.

Di sinilah ISO/IEC 27001:2022 dapat menjadi kerangka kerja bagi perusahaan untuk membangun dan meningkatkan Information Security Management System (ISMS).

Sebelum memutuskan untuk menerapkan ISO 27001, perusahaan dapat melakukan self-assessment awal menggunakan checklist sederhana.

Checklist ini bukan pengganti audit sertifikasi, tetapi dapat membantu perusahaan mengetahui kondisi keamanan informasi saat ini dan menemukan area yang masih perlu diperbaiki.

Checklist Keamanan Data Perusahaan Berdasarkan ISO 27001

Gunakan kolom Status dengan pilihan Ya/Tidak.

• Ya:pengendalian sudah tersedia dan diterapkan.
• Tidak:belum tersedia, belum diterapkan, atau belum memiliki evidence yang memadai.

Catatan: Checklist berikut merupakan alat self-assessment praktis. Tidak semua pertanyaan merupakan persyaratan normatif yang ditulis secara persis seperti di ISO 27001. Untuk menentukan kesesuaian secara formal, perusahaan tetap perlu melakukan assessment berdasarkan ruang lingkup, risiko, persyaratan ISO/IEC 27001:2022, dan kontrol yang relevan.

No.	Area Pemeriksaan	Pertanyaan	Evidence yang Diharapkan	Status (Ya/Tidak)
1	Kebijakan Keamanan Informasi	Apakah perusahaan memiliki kebijakan keamanan informasi yang disetujui manajemen?	Information Security Policy	☐ Ya ☐ Tidak
2	Kebijakan Keamanan Informasi	Apakah kebijakan dikomunikasikan kepada pihak yang relevan?	Bukti sosialisasi, email, training	☐ Ya ☐ Tidak
3	Klasifikasi Informasi	Apakah perusahaan mengidentifikasi jenis informasi yang dimiliki?	Daftar aset/informasi	☐ Ya ☐ Tidak
4	Klasifikasi Informasi	Apakah informasi diklasifikasikan berdasarkan tingkat sensitivitasnya?	Information Classification Guideline	☐ Ya ☐ Tidak
5	Kontrol Akses	Apakah akses sistem diberikan berdasarkan kebutuhan pekerjaan?	Access Matrix, daftar user	☐ Ya ☐ Tidak
6	Kontrol Akses	Apakah akses karyawan yang resign atau pindah jabatan segera ditinjau/dicabut?	Form offboarding, access revocation	☐ Ya ☐ Tidak
7	Password & Authentication	Apakah perusahaan memiliki aturan password yang aman?	Password Policy	☐ Ya ☐ Tidak
8	Password & Authentication	Apakah MFA digunakan pada sistem yang membutuhkan perlindungan lebih tinggi?	Konfigurasi MFA, screenshot	☐ Ya ☐ Tidak
9	Backup	Apakah data penting memiliki backup secara berkala?	Backup schedule, backup log	☐ Ya ☐ Tidak
10	Backup	Apakah backup pernah dilakukan restore test?	Berita acara/log restore test	☐ Ya ☐ Tidak
11	Encryption	Apakah informasi sensitif dilindungi dengan encryption ketika diperlukan?	Encryption configuration	☐ Ya ☐ Tidak
12	Keamanan Perangkat	Apakah laptop/PC perusahaan memiliki antivirus/endpoint protection yang sesuai?	Endpoint dashboard, antivirus report	☐ Ya ☐ Tidak
13	Keamanan Perangkat	Apakah perangkat perusahaan memiliki mekanisme screen lock/password?	Device policy, configuration	☐ Ya ☐ Tidak
14	Keamanan Jaringan	Apakah jaringan perusahaan dilindungi dengan firewall atau pengamanan jaringan yang sesuai?	Firewall configuration/report	☐ Ya ☐ Tidak
15	Keamanan Jaringan	Apakah akses jaringan dan aktivitas yang relevan dipantau?	Network monitoring/log	☐ Ya ☐ Tidak
16	Transfer Informasi	Apakah perusahaan memiliki aturan pengiriman informasi melalui email, cloud, atau media lainnya?	SOP transfer information	☐ Ya ☐ Tidak
17	Transfer Informasi	Apakah informasi sensitif hanya dikirim kepada penerima yang berwenang?	Email procedure, approval	☐ Ya ☐ Tidak
18	Pengelolaan Vendor	Apakah risiko keamanan informasi vendor dinilai sebelum bekerja sama?	Vendor assessment	☐ Ya ☐ Tidak
19	Pengelolaan Vendor	Apakah kontrak/vendor agreement memuat persyaratan keamanan informasi yang relevan?	Kontrak, NDA, security clause	☐ Ya ☐ Tidak
20	Keamanan Cloud	Apakah perusahaan mengetahui data apa saja yang disimpan di cloud?	Cloud asset inventory	☐ Ya ☐ Tidak
21	Keamanan Cloud	Apakah akses ke layanan cloud dikontrol dan ditinjau secara berkala?	User list, access review	☐ Ya ☐ Tidak
22	Awareness Karyawan	Apakah karyawan mendapatkan awareness/training keamanan informasi?	Training record, materi awareness	☐ Ya ☐ Tidak
23	Awareness Karyawan	Apakah karyawan memahami risiko phishing dan social engineering?	Materi training, simulasi/test	☐ Ya ☐ Tidak
24	Incident Management	Apakah perusahaan memiliki prosedur penanganan insiden keamanan informasi?	Incident Management Procedure	☐ Ya ☐ Tidak
25	Incident Management	Apakah insiden keamanan informasi dicatat dan ditindaklanjuti?	Incident Report/Incident Log	☐ Ya ☐ Tidak
26	Business Continuity	Apakah perusahaan mengidentifikasi sistem/informasi yang kritis bagi operasional?	BIA, critical asset list	☐ Ya ☐ Tidak
27	Business Continuity	Apakah tersedia rencana untuk menjaga keberlangsungan layanan ketika terjadi gangguan?	BCP/DRP	☐ Ya ☐ Tidak
28	Monitoring	Apakah aktivitas keamanan informasi yang relevan dipantau?	Monitoring report, log	☐ Ya ☐ Tidak
29	Monitoring	Apakah log keamanan disimpan dan ditinjau sesuai kebutuhan?	Log review record	☐ Ya ☐ Tidak
30	Internal Audit	Apakah perusahaan melakukan audit/evaluasi internal terhadap keamanan informasi?	Internal Audit Program & Report	☐ Ya ☐ Tidak
31	Internal Audit	Apakah temuan audit ditindaklanjuti sampai selesai?	Corrective Action/Follow-up	☐ Ya ☐ Tidak
32	Evaluasi Risiko	Apakah perusahaan melakukan risk assessment terhadap keamanan informasi?	Risk Assessment	☐ Ya ☐ Tidak
33	Evaluasi Risiko	Apakah risiko memiliki treatment atau rencana pengendalian?	Risk Treatment Plan	☐ Ya ☐ Tidak
34	Evaluasi Risiko	Apakah risiko ditinjau kembali ketika terjadi perubahan signifikan?	Risk Review/Updated Risk Register	☐ Ya ☐ Tidak

Bagaimana Cara Menggunakan Checklist Ini?

Self-assessment sebaiknya tidak hanya dilakukan oleh tim IT.

Keamanan informasi merupakan tanggung jawab lintas fungsi. Dalam pelaksanaannya, perusahaan dapat melibatkan:

• IT/ICT
• HR
• Finance
• Procurement
• Legal
• Operations
• Management
• Compliance
• Pemilik proses terkait

Misalnya, pertanyaan mengenai keamanan data karyawan tidak hanya menjadi tanggung jawab IT. HR juga perlu memastikan siapa yang memiliki akses terhadap data payroll, bagaimana dokumen disimpan, bagaimana akses dicabut ketika karyawan keluar, dan bagaimana informasi dibagikan.

Berikan nilai sederhana

Perusahaan dapat menggunakan metode:

Ya = 1
Tidak = 0

Kemudian hitung:

Persentase kesiapan = (Jumlah jawaban “Ya” ÷ Total pertanyaan) × 100%

Contohnya, jika perusahaan memperoleh:

• 28 jawaban Ya
• 6 jawaban Tidak
• Total 34 pertanyaan

Maka:

28 ÷ 34 × 100% = 82,35%

Hasil ini menunjukkan bahwa sebagian besar pengendalian dasar sudah tersedia. Namun, bukan berarti perusahaan otomatis compliant atau siap sertifikasi ISO 27001.

Interpretasi Hasil Checklist

Sebagai interpretasi awal, perusahaan dapat menggunakan kategori berikut:

Persentase	Interpretasi	Rekomendasi
0–20%	Sangat Rendah	Mulai dari governance, kebijakan, aset, dan risk assessment
21–40%	Rendah	Bangun kontrol dasar dan dokumentasi utama
41–60%	Sedang	Perkuat implementasi dan evidence
61–80%	Baik	Lakukan gap analysis lebih detail
81–100%	Sangat Baik	Validasi efektivitas kontrol dan kesiapan audit

Namun, angka tersebut sebaiknya tidak digunakan sebagai satu-satunya dasar pengambilan keputusan.

Contohnya, perusahaan bisa mendapatkan skor 85%, tetapi ternyata belum memiliki risk assessment yang memadai atau belum dapat menunjukkan evidence implementasi beberapa pengendalian penting.

Artinya, kualitas dan efektivitas pengendalian lebih penting daripada sekadar jumlah jawaban “Ya”.

Kapan Perusahaan Perlu Melakukan Gap Analysis ISO 27001?

Self-assessment cocok digunakan sebagai screening awal.

Jika hasil checklist menunjukkan banyak jawaban “Tidak”, perusahaan dapat melakukan perbaikan dasar terlebih dahulu atau langsung melakukan gap analysis dengan bantuan konsultan.

Gap analysis ISO 27001 memberikan penilaian yang lebih terstruktur terhadap kondisi existing perusahaan dibandingkan checklist sederhana.

Gap analysis dapat membantu menjawab:

“Dari kondisi perusahaan saat ini, apa saja yang masih kurang untuk membangun ISMS yang sesuai dengan ISO/IEC 27001:2022?”

Area yang biasanya perlu dianalisis antara lain:

1. Context of the organization
2. Interested parties
3. Scope ISMS
4. Information security policy
5. Risk assessment
6. Risk treatment
7. Statement of Applicability (SoA)
8. Security controls
9. Documented information
10. Competence and awareness
11. Incident management
12. Business continuity
13. Internal audit
14. Management review
15. Corrective action dan continual improvement

Checklist Saja Tidak Cukup untuk ISO 27001

Salah satu kesalahan umum adalah menganggap bahwa jika semua pertanyaan checklist sudah dijawab “Ya”, perusahaan otomatis siap sertifikasi.

Padahal terdapat perbedaan antara:

Dokumen tersedia → Kontrol diterapkan → Evidence tersedia → Kontrol efektif

Contohnya, perusahaan memiliki Backup Procedure.

Dokumen tersebut memang tersedia. Tetapi auditor dapat melihat lebih jauh:

• Apakah backup benar-benar dilakukan?
• Apakah jadwal backup dijalankan?
• Apakah hasil backup dimonitor?
• Apakah restore pernah diuji?
• Apakah hasil pengujian didokumentasikan?
• Apakah backup juga terlindungi dari risiko yang sama dengan data utama?

Jadi, fokus ISO 27001 bukan sekadar “punya dokumen”, tetapi bagaimana organisasi mengelola risiko keamanan informasi secara sistematis dan terus melakukan peningkatan.

Contoh Temuan dari Self-Assessment

Misalnya perusahaan menemukan:

Area: Kontrol akses
Status: Tidak

Kondisi: Belum ada review akses user secara berkala.

Risiko: Mantan karyawan atau user yang sudah berpindah posisi masih memiliki akses terhadap informasi yang tidak lagi diperlukan.

Tindak lanjut:

• Membuat Access Control Policy.
• Membuat Access Matrix.
• Menetapkan proses approval akses.
• Melakukan periodic access review.
• Mengintegrasikan proses dengan HR untuk employee movement/offboarding.
• Menyimpan evidence review.

Dengan demikian, checklist dapat menjadi titik awal untuk membangun risk-based improvement plan.

FAQ Checklist Keamanan Data dan ISO 27001

1. Apakah checklist ini merupakan checklist resmi ISO 27001?

Tidak. Checklist ini merupakan self-assessment praktis yang disusun berdasarkan area keamanan informasi yang relevan dengan penerapan ISO/IEC 27001:2022. Untuk assessment formal, perusahaan perlu melakukan evaluasi berdasarkan persyaratan standar, konteks organisasi, risiko, dan kontrol yang berlaku.

2. Apakah perusahaan kecil juga perlu menggunakan ISO 27001?

Bisa. ISO 27001 dapat diterapkan oleh organisasi dengan berbagai ukuran dan sektor. Tingkat kompleksitas penerapannya dapat disesuaikan dengan konteks, risiko, kebutuhan bisnis, dan ruang lingkup organisasi.

3. Apakah ISO 27001 hanya untuk perusahaan IT?

Tidak. Perusahaan non-IT juga dapat menerapkan ISO 27001 apabila memiliki informasi yang perlu dilindungi, misalnya data pelanggan, data karyawan, informasi keuangan, kontrak, intellectual property, atau informasi operasional.

4. Apakah semua data perusahaan harus dienkripsi?

Tidak dapat disimpulkan bahwa seluruh data harus selalu dienkripsi. Pengamanan perlu ditentukan berdasarkan risiko, kebutuhan bisnis, jenis informasi, metode penyimpanan, dan cara informasi ditransfer.

5. Apa perbedaan self-assessment dan gap analysis?

Self-assessment merupakan pemeriksaan awal untuk mengetahui kondisi secara cepat.

Sementara gap analysis lebih mendalam untuk membandingkan kondisi existing perusahaan dengan persyaratan ISO 27001 dan menentukan prioritas perbaikan.

6. Kapan perusahaan sebaiknya mulai menerapkan ISO 27001?

Sebaiknya perusahaan mulai ketika keamanan informasi sudah menjadi kebutuhan bisnis yang penting, misalnya karena tuntutan pelanggan, tender/vendor requirement, pengelolaan data sensitif, kebutuhan governance, atau persiapan sertifikasi.

Ingin Mengetahui Seberapa Siap Perusahaan Anda terhadap ISO 27001?

Checklist dapat menjadi langkah pertama untuk mengetahui kondisi keamanan informasi perusahaan. Namun, untuk mengetahui gap yang sebenarnya, prioritas risiko, kontrol yang perlu dibangun, dan roadmap implementasi, perusahaan membutuhkan assessment yang lebih terstruktur.

Melalui jasa konsultasi dan implementasi ISO/IEC 27001:2022, perusahaan dapat didampingi mulai dari:

• Diagnostic dan gap analysis.
• Penentuan scope ISMS.
• Identifikasi aset dan informasi.
• Risk assessment dan risk treatment.
• Penyusunan kebijakan dan prosedur.
• Penyusunan Statement of Applicability (SoA).
• Implementasi kontrol keamanan informasi.
• Awareness dan training.
• Internal audit.
• Management review.
• Corrective action.
• Persiapan audit sertifikasi.

Jangan menunggu sampai terjadi kebocoran data untuk mulai membangun sistem keamanan informasi.

Sebagai penyedia solusi lengkap mulai dari General Trading, Contractor, hingga Manpower Supply, PT Qyusi Global Indonesia siap membantu Anda dalam konsultasi, pelatihan, dan manajemen sistem OS&H – ISO Series. Pastikan operasional bisnis Anda berjalan optimal dan patuh regulasi dengan standar ISO!

---

💼 Open Hours:
Senin – Jum’at: 08.00 – 17.00
Sabtu: 10.00 – 15.00

Hubungi kami untuk konsultasi lebih lanjut:
Instagram: @qyusi.id
📞 : +6221 298 357 53
📧 : ADMQYUSI@gmail.com