Analisis kesenjangan ISO/IEC 27001
Analisis kesenjangan ISO/IEC 27001 menunjukkan seberapa jauh sistem manajemen keamanan informasi (SMKI/ISMS) Anda dari sertifikasi. Panduan ini mencakup klausul manajemen dan kontrol Annex A, dengan daftar periksa dan alat gratis.
Daftar periksa dalam bahasa Inggris.
01Persyaratan standar
ISO/IEC 27001:2022 punya dua bagian untuk dinilai. Klausul 4 sampai 10 menetapkan persyaratan sistem manajemen: ruang lingkup, kepemimpinan, penilaian dan penanganan risiko, dukungan, operasi, pemantauan, dan peningkatan. Annex A memuat 93 kontrol dalam empat tema: organisasi (37), orang (8), fisik (14), dan teknologi (34). Anda menentukan kontrol mana yang berlaku dalam Statement of Applicability (SoA).
Amandemen tahun 2024 menambahkan persyaratan untuk mempertimbangkan apakah perubahan iklim merupakan isu yang relevan dalam konteks organisasi (klausul 4.1) dan bagi pihak berkepentingan (4.2).
02Cara melakukan analisis kesenjangan
- Sepakati ruang lingkup dan batas ISMS.
- Periksa setiap persyaratan klausul 4–10 dan beri penilaian beserta buktinya.
- Tinjau metode penilaian risiko dan apakah register risiko terkini tersedia.
- Telusuri kontrol Annex A lalu susun atau perbarui SoA.
- Ubah kesenjangan menjadi rencana penanganan berprioritas dengan penanggung jawab dan tenggat.
03Kesenjangan yang umum
- 6.1.2–6.1.3: penilaian risiko tidak bisa diulang, atau risiko tidak dikaitkan dengan kontrol.
- SoA tidak memuat alasan pengecualian kontrol.
- 7.5: informasi terdokumentasi tidak dikendalikan.
- 9.2–9.3: tidak ada program audit internal atau tinjauan manajemen.
- Annex A 5.23 (layanan cloud) dan 8.28 (pengodean aman), keduanya ditambahkan di edisi 2022, belum ditangani.
04Mengapa alat privat penting di sini
Analisis kesenjangan keamanan itu sendiri bersifat sensitif: isinya daftar kelemahan Anda. Penilaian kesenjangan Paperwing berjalan di browser dan menyimpan semuanya secara lokal, jadi temuan Anda tidak pernah diunggah. Anda bisa mengekspor laporan dan cadangan terenkripsi.
Pertanyaan yang sering diajukan
Apakah daftar periksa mencakup Annex A?
Daftar periksa dan alat online sama-sama mencakup klausul 4–10 dan empat tema Annex A. Untuk rincian kontrol per kontrol, kerjakan melalui Statement of Applicability Anda.
Berapa jumlah kontrol di Annex A?
93 di edisi 2022, turun dari 114 di edisi 2013.
Apakah sertifikasi ISO 27001 wajib?
Umumnya tidak, tetapi pelanggan dan kontrak semakin sering memintanya.