Blog

ISO 27001 untuk Keamanan Data Nasabah: Bukan Sekadar Stempel di Dinding

ditulis oleh

Eko Purnomo

24 Agu 2026

Tahun 2024, BSSN mencatat lebih dari 200 juta serangan siber menargetkan sektor keuangan Indonesia. Bukan angka teori, itu berarti ratusan juta percobaan untuk membobol sistem yang menyimpan data KTP, nomor rekening, dan riwayat transaksi orang-orang seperti kamu dan saya.

Sekarang bayangkan, kamu baru saja mendaftar di sebuah platform deposito, mengunggah foto KTP, memasukkan nomor rekening, dan menandatangani dokumen secara digital. Data itu sekarang tersimpan di server milik perusahaan yang mungkin baru pertama kali kamu dengar namanya. Bagaimana kamu tahu data itu aman? Bagaimana kamu membedakan platform yang benar-benar menjaga datamu dari yang hanya memasang tulisan "data Anda aman bersama kami" di halaman depan situsnya?

Jawabannya ada di tiga huruf dan empat angka: ISO 27001. Ini bukan fitur aplikasi. Bukan jargon marketing. Ini adalah standar keamanan informasi internasional yang mengharuskan perusahaan membuktikan lewat audit independen oleh pihak ketiga, bahwa mereka punya sistem nyata untuk melindungi datamu. Kalau mereka tidak bisa membuktikannya, mereka tidak dapat sertifikatnya. Sesederhana itu.

Apa Itu ISO 27001?

ISO/IEC 27001 adalah standar internasional untuk Sistem Manajemen Keamanan Informasi atau Information Security Management System (ISMS). Diterbitkan oleh International Organization for Standardization (ISO) dan International Electrotechnical Commission (IEC), standar ini memberikan kerangka kerja bagi organisasi untuk melindungi tiga aspek fundamental dari informasi: kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) yang dikenal sebagai prinsip CIA triad.

Versi terbaru yang berlaku saat ini adalah ISO/IEC 27001:2022, yang memperbarui versi 2013 dengan penguatan pada aspek keamanan siber, perlindungan data cloud, dan manajemen risiko yang lebih relevan dengan lanskap ancaman digital terkini.

Bagi industri keuangan di Indonesia, ISO 27001 bukan sekadar nice-to-have. OJK merekomendasikan dan dalam banyak konteks mensyaratkan sertifikasi ini sebagai bagian dari proses perizinan, terutama untuk fintech lending, payment gateway, dan penyelenggara agregasi jasa keuangan (PAJK). Permenkominfo No. 4 Tahun 2016 tentang Sistem Manajemen Pengamanan Informasi juga memperkuat kewajiban ini bagi seluruh Penyelenggara Sistem Elektronik.

Kenapa Nasabah Harus Peduli?

Sebagai nasabah, kamu mungkin berpikir: keamanan data itu urusan perusahaan, bukan urusan saya. Tapi pertimbangkan ini menurut survei APJII 2024, sekitar 20,97% pengguna internet di Indonesia pernah mengalami pencurian data pribadi. Survei Katadata Insight Center menemukan bahwa 62,6% responden merasa tidak yakin dengan keamanan siber platform yang mereka gunakan.

Data KTP, nomor rekening, dan tanda tangan digital yang kamu serahkan ke platform keuangan adalah bahan bakar potensial bagi pencurian identitas, pembobolan rekening, dan penipuan finansial. Platform yang memiliki sertifikasi ISO 27001 telah membuktikan melalui audit independen bahwa mereka memiliki sistem yang terstruktur untuk mencegah hal-hal ini terjadi.

Sertifikasi bukan jaminan absolut bahwa insiden tidak akan pernah terjadi. Tapi ia adalah bukti bahwa platform telah membangun pertahanan berlapis, memiliki prosedur untuk mendeteksi dan merespons ancaman, dan secara berkala diaudit oleh pihak ketiga yang independen.

Dokumen Kontrol Utama dalam ISO 27001

Salah satu kekuatan ISO 27001 terletak pada pendekatan terdokumentasi. Setiap kebijakan, prosedur, dan kontrol harus ditulis, diimplementasikan, dan dibuktikan. Berikut adalah dokumen kontrol utama yang wajib dimiliki oleh organisasi bersertifikasi ISO 27001:

No	Dokumen Kontrol	Fungsi
1	Kebijakan Keamanan Informasi (Information Security Policy)	Dokumen induk yang menetapkan komitmen manajemen puncak terhadap keamanan informasi, arah strategis, dan prinsip-prinsip yang menjadi landasan seluruh sistem ISMS
2	Penilaian Risiko dan Rencana Penanganan (Risk Assessment & Risk Treatment Plan)	Mengidentifikasi setiap ancaman terhadap keamanan informasi, menilai dampak dan probabilitasnya, lalu menetapkan langkah mitigasi spesifik untuk setiap risiko
3	Statement of Applicability (SoA)	Dokumen yang mencantumkan seluruh 93 kontrol keamanan di Annex A dan menjelaskan mana yang diterapkan, mana yang tidak, dan alasannya ini adalah "peta" kontrol keamanan organisasi
4	Prosedur Kontrol Akses (Access Control Procedure)	Mengatur siapa yang boleh mengakses data apa, dengan level otorisasi seperti apa, dan bagaimana aksesnya dicatat memastikan prinsip least privilege diterapkan
5	Prosedur Manajemen Insiden (Incident Management Procedure)	Menetapkan langkah-langkah yang harus diambil saat terjadi insiden keamanan: deteksi, pelaporan, respons, pemulihan, dan pembelajaran termasuk batas waktu pelaporan
6	Rencana Keberlangsungan Bisnis (Business Continuity Plan)	Prosedur untuk memastikan operasional tetap berjalan saat terjadi gangguan besar: bencana alam, serangan siber, atau kegagalan sistem termasuk rencana pemulihan data
7	Kebijakan Pengelolaan Aset Informasi (Information Asset Management Policy)	Mengidentifikasi dan mengklasifikasikan seluruh aset informasi (data nasabah, server, aplikasi, dokumen), menentukan pemiliknya, dan menetapkan tingkat perlindungan yang sesuai
8	Prosedur Internal Audit (Internal Audit Procedure)	Mengatur jadwal, cakupan, dan metodologi audit internal yang harus dilakukan secara berkala untuk memverifikasi bahwa seluruh kontrol keamanan berjalan sesuai dokumentasi
9	Catatan Pelatihan dan Kesadaran (Training & Awareness Records)	Membuktikan bahwa seluruh karyawan telah menerima pelatihan keamanan informasi karena faktor manusia adalah celah keamanan terbesar di organisasi mana pun
10	Log dan Catatan Audit (Audit Logs & Records)	Rekaman seluruh aktivitas akses, perubahan data, dan kejadian keamanan yang bisa ditelusuri ini adalah "CCTV digital" yang memastikan setiap tindakan tercatat

Seluruh dokumen ini bukan artefak yang dibuat sekali lalu disimpan di lemari. Mereka harus hidup diperbarui secara berkala, direview oleh manajemen, dan dibuktikan implementasinya saat audit.

Temuan Audit yang Paling Sering Muncul

Proses sertifikasi ISO 27001 melibatkan audit oleh lembaga sertifikasi independen yang terakreditasi. Audit ini bukan formalitas, auditor memeriksa bukti implementasi secara mendetail. Berikut adalah temuan (findings) yang paling sering ditemukan saat audit, beserta dampaknya:

No	Temuan Audit Umum	Kategori	Dampak
1	Penilaian risiko tidak diperbarui — organisasi hanya melakukan risk assessment saat awal implementasi tapi tidak memperbaruinya saat ada perubahan sistem, ancaman baru, atau insiden	Major	Kontrol keamanan menjadi usang dan tidak relevan dengan ancaman terkini
2	Hak akses tidak direviu berkala — karyawan yang sudah pindah divisi atau resign masih memiliki akses ke sistem atau data yang seharusnya sudah dicabut	Major	Risiko akses tidak sah terhadap data sensitif nasabah
3	Log aktivitas tidak dipantau — sistem mencatat log, tapi tidak ada yang memonitor atau menganalisisnya secara rutin untuk mendeteksi anomali	Minor/Major	Insiden keamanan bisa terjadi tanpa terdeteksi dalam waktu lama
4	Pelatihan keamanan informasi tidak terdokumentasi — pelatihan mungkin dilakukan, tapi tidak ada bukti tertulis siapa yang mengikuti, kapan, dan materi apa yang disampaikan	Minor	Tidak bisa membuktikan bahwa karyawan sadar akan tanggung jawab keamanan mereka
5	Manajemen insiden tidak diuji — prosedur penanganan insiden ada di atas kertas, tapi tidak pernah disimulasikan atau diuji melalui tabletop exercise	Minor/Major	Tim tidak siap merespons saat insiden nyata terjadi, memperbesar dampak kerugian
6	Backup data tidak diuji pemulihannya — backup rutin dilakukan, tapi tidak pernah diverifikasi apakah data benar-benar bisa di-restore saat dibutuhkan	Major	Data bisa hilang permanen jika backup ternyata corrupt atau tidak lengkap
7	Kebijakan password lemah — tidak ada standar minimum panjang, kompleksitas, atau masa berlaku password; atau password default masih digunakan di beberapa sistem	Minor	Pintu masuk termudah bagi peretas untuk mengakses sistem internal
8	Manajemen vendor/pihak ketiga lemah — tidak ada evaluasi keamanan terhadap vendor yang memiliki akses ke data atau sistem organisasi	Minor/Major	Kerentanan bisa masuk melalui vendor yang standar keamanannya lebih rendah
9	Statement of Applicability tidak konsisten — kontrol yang dinyatakan "diterapkan" di SoA ternyata tidak bisa dibuktikan implementasinya saat audit	Major	Menunjukkan kesenjangan antara dokumentasi dan praktik nyata
10	Review manajemen tidak dilakukan — manajemen puncak tidak melakukan tinjauan berkala terhadap efektivitas ISMS, padahal ini adalah persyaratan eksplisit standar	Major	ISMS kehilangan dukungan dari level paling atas, melemahkan seluruh sistem

Temuan berkategori Major harus diperbaiki sebelum sertifikat diterbitkan atau dipertahankan. Temuan Minor harus diperbaiki dalam jangka waktu yang ditetapkan dan diverifikasi pada audit berikutnya. Jika temuan major tidak ditutup, sertifikasi bisa ditangguhkan atau dicabut.

Annex A: 93 Kontrol Keamanan yang Menjadi Standar

ISO 27001:2022 memiliki Annex A yang berisi 93 kontrol keamanan yang dikelompokkan dalam empat tema. Tidak semua kontrol wajib diterapkan — organisasi memilih berdasarkan hasil penilaian risiko, dan menjelaskan pilihannya di Statement of Applicability. Berikut ringkasan empat tema tersebut:

Tema	Jumlah Kontrol	Cakupan
Organisasional	37 kontrol	Kebijakan keamanan, peran dan tanggung jawab, manajemen aset, kontrol akses, hubungan dengan pemasok, manajemen insiden, kepatuhan, dan keberlangsungan bisnis
Manusia	8 kontrol	Penyaringan calon karyawan, syarat dan ketentuan kerja, pelatihan kesadaran keamanan, proses disiplin, tanggung jawab pasca-penghentian kerja, dan pelaporan insiden
Fisik	14 kontrol	Keamanan perimeter, kontrol akses fisik, perlindungan peralatan, pembuangan media, dan keamanan area kerja
Teknologi	34 kontrol	Enkripsi, autentikasi, manajemen kerentanan, konfigurasi keamanan, pemantauan log, perlindungan malware, keamanan jaringan, dan pengembangan sistem yang aman

Untuk platform keuangan digital yang mengelola data nasabah, kontrol di tema organisasional dan teknologi biasanya mendapat bobot paling besar dalam audit. Kontrol seperti enkripsi data, manajemen akses, pencatatan log, dan respons insiden menjadi area fokus utama auditor.

Proses Sertifikasi: Bukan Instan

Mendapatkan sertifikasi ISO 27001 bukan proses yang bisa diselesaikan dalam seminggu. Secara umum, perjalanan dari nol hingga sertifikat melibatkan beberapa tahap:

Tahap	Durasi Tipikal	Kegiatan
Gap analysis	2–4 minggu	Mengidentifikasi kesenjangan antara praktik saat ini dengan persyaratan ISO 27001
Pembangunan ISMS	2–4 bulan	Menyusun kebijakan, prosedur, melakukan risk assessment, dan membangun dokumen kontrol
Implementasi	2–3 bulan	Menerapkan seluruh kontrol dalam operasional sehari-hari dan membangun bukti implementasi
Internal audit	2–4 minggu	Audit oleh tim internal untuk memastikan kesiapan sebelum audit eksternal
Audit sertifikasi Stage 1	1–2 minggu	Auditor eksternal meninjau kelengkapan dokumentasi dan kesiapan organisasi
Audit sertifikasi Stage 2	1–2 minggu	Auditor memeriksa bukti implementasi secara mendetail di lapangan
Penerbitan sertifikat	Setelah temuan ditutup	Sertifikat berlaku 3 tahun dengan surveillance audit tahunan

Setelah sertifikat diterbitkan, perjalanan tidak berhenti. Setiap tahun, lembaga sertifikasi melakukan surveillance audit untuk memverifikasi bahwa ISMS tetap berjalan efektif. Dan setiap tiga tahun, organisasi harus menjalani re-sertifikasi, audit menyeluruh yang menilai ulang seluruh sistem dari awal.

Apa Artinya bagi Nasabah?

Ketika sebuah platform keuangan menampilkan sertifikasi ISO 27001, itu bukan sekadar logo di pojok website. Artinya:

Platform tersebut telah menginvestasikan waktu, sumber daya, dan komitmen untuk membangun sistem keamanan informasi yang terstruktur. Setiap akses terhadap data nasabah tercatat dan bisa ditelusuri. Ada prosedur yang jelas untuk merespons jika terjadi insiden keamanan. Seluruh karyawan telah dilatih untuk memahami tanggung jawab mereka terhadap keamanan data. Dan yang paling penting, semua klaim ini telah diverifikasi oleh auditor independen bukan self-declared.

Di era di mana kebocoran data bukan lagi pertanyaan "apakah" tapi "kapan," memilih platform yang bersertifikasi ISO 27001 adalah langkah konkret yang bisa kamu ambil untuk melindungi diri sendiri.

Karena pada akhirnya, data pribadimu adalah asetmu. Dan kamu berhak tahu bahwa pihak yang menyimpannya memiliki sistem yang layak untuk menjaganya.

DepositoBPR By Komunal telah memiliki sertifikasi ISO dari tahun 2022, dan sudah memiliki banyak perubahan dan penyesuaian sejak saat itu sehingga memiliki sistem informasi yang lebih aman dan terpercaya.

Disclaimer: Artikel ini bersifat edukatif tentang standar keamanan informasi. Untuk informasi resmi mengenai ISO/IEC 27001:2022, kunjungi iso.org. DepositoBPR by Komunal tercatat di OJK sebagai Penyelenggara Agregasi Jasa Keuangan (No. S-576/IK.01/2024).