Gap Analysis ISO 27001: Cara Menilai Kesiapan Sebelum Sertifikasi

Banyak perusahaan ingin segera punya sertifikat ISO 27001, tapi belum benar-benar tahu kondisi keamanan informasinya sendiri.

Dokumen mulai dibuat. Kebijakan keamanan informasi disusun. Tim IT diminta menyiapkan bukti. Manajemen bertanya kapan bisa audit. Semua terlihat bergerak.

Tapi ada pertanyaan yang sering terlambat muncul:

Sebenarnya kita sudah siap, atau hanya sedang terlihat sibuk menyiapkan sertifikasi?

Di sinilah masalah sering dimulai.

Sertifikasi ISO 27001 bukan sekadar urusan punya dokumen keamanan informasi. Auditor tidak hanya melihat apakah perusahaan punya kebijakan, prosedur, risk register, atau daftar kontrol. Yang dilihat adalah apakah sistem manajemen keamanan informasi benar-benar berjalan, risikonya dipahami, kontrolnya relevan, dan buktinya bisa ditelusuri.

Gap analysis ISO 27001 membantu perusahaan menjawab pertanyaan itu lebih awal. Bukan saat audit sudah dekat. Bukan ketika auditor sudah menemukan celah. Tapi sebelum semuanya telanjur menjadi masalah besar.

Karena dalam keamanan informasi, rasa percaya diri tanpa bukti sering kali lebih berbahaya daripada belum siap sama sekali.

Apa Itu Gap Analysis ISO 27001?

Gap analysis ISO 27001 adalah proses penilaian awal untuk melihat sejauh mana kondisi keamanan informasi perusahaan sudah sesuai dengan persyaratan ISO/IEC 27001.

Bahasa sederhananya: ini adalah pengecekan jarak antara kondisi sekarang dan kondisi yang seharusnya.

Bukan audit sertifikasi.
Bukan juga sekadar checklist dokumen.

Gap analysis membantu perusahaan melihat bagian mana yang sudah cukup kuat, mana yang masih setengah matang, dan mana yang berisiko menghambat proses sertifikasi.

Yang perlu digarisbawahi: gap analysis bukan mencari siapa yang salah.

Tujuannya adalah membuat perusahaan punya peta yang jelas. Tanpa peta, proses sertifikasi sering berjalan dengan banyak asumsi. Dan asumsi dalam keamanan informasi biasanya mahal.

Kenapa Gap Analysis Perlu Dilakukan Sebelum Sertifikasi?

Banyak organisasi merasa sudah cukup aman karena memiliki firewall, antivirus, VPN, backup, atau sistem cloud yang terlihat modern.

Itu bagus. Tapi belum tentu cukup untuk ISO 27001.

ISO 27001 tidak hanya menilai teknologi. Standar ini melihat cara perusahaan mengelola keamanan informasi secara menyeluruh: orang, proses, aset, risiko, vendor, dokumen, kontrol, evaluasi, sampai keputusan manajemen.

Di lapangan, masalahnya sering seperti ini:

Perusahaan punya backup, tapi belum pernah menguji restore.
Punya kebijakan password, tapi tidak pernah mengecek kepatuhannya.
Punya daftar akses user, tapi tidak rutin direview.
Punya prosedur insiden, tapi saat simulasi semua masih bingung siapa harus melakukan apa.
Punya vendor cloud, tapi risikonya belum pernah dinilai secara serius.

Di atas kertas terlihat aman. Begitu diuji, mulai terlihat celahnya.

Gap analysis membuat celah itu muncul lebih awal, saat perusahaan masih punya waktu untuk memperbaiki. Ini jauh lebih sehat daripada baru sadar ketika audit sertifikasi sudah di depan mata.

Sertifikasi yang baik bukan dimulai dari rasa optimis.
Sertifikasi yang baik dimulai dari diagnosis yang jujur.

Kesalahan Umum Saat Menilai Kesiapan ISO 27001

Sebelum membahas langkah gap analysis, perusahaan perlu memahami beberapa kesalahan yang sering terjadi. Ini penting karena banyak kegagalan ISO 27001 bukan karena perusahaan tidak punya niat, tetapi karena memulai dari titik yang salah.

1. Menganggap ISO 27001 sebagai proyek IT saja

Ini kesalahan paling klasik.

Karena topiknya keamanan informasi, semua langsung diarahkan ke tim IT. Firewall dicek. Server dicek. Endpoint dicek. Backup dicek. Lalu perusahaan merasa sedang menyiapkan ISO 27001.

Padahal keamanan informasi tidak hanya hidup di server.

Data karyawan ada di HR. Data pelanggan bisa ada di sales, customer service, atau sistem CRM. Kontrak vendor ada di procurement. Dokumen pembayaran ada di finance. Akses sistem digunakan lintas departemen. Bahkan file Excel yang dikirim lewat aplikasi chat juga bisa menjadi risiko.

Tim IT memang penting, tapi tidak bisa sendirian menjalankan ISMS.

ISO 27001 membutuhkan keterlibatan manajemen, HR, legal, procurement, operasional, finance, customer service, dan semua fungsi yang menyimpan, menggunakan, atau membagikan informasi penting.

Kalau hanya IT yang bergerak, sistemnya akan pincang.

2. Terlalu cepat membuat dokumen

Banyak perusahaan memulai ISO 27001 dari template.

Kebijakan dibuat. Prosedur disusun. Form disiapkan. Risk register diisi. Setelah itu baru bertanya, “Ini sesuai kondisi perusahaan kita atau tidak?”

Ini terbalik.

Dokumen memang penting, tapi dokumen harus mengikuti risiko dan proses nyata perusahaan. Kalau dokumen dibuat lebih dulu tanpa memahami kondisi aktual, hasilnya sering terasa rapi tapi tidak hidup.

Gap analysis membantu perusahaan menghindari jebakan ini. Dengan penilaian awal, perusahaan tahu dokumen apa yang benar-benar dibutuhkan, kontrol apa yang relevan, dan bukti apa yang harus disiapkan.

Bukan asal punya dokumen.

Karena dokumen yang tidak dipakai hanya akan menjadi dekorasi audit.

3. Risk assessment dibuat terlalu umum

Risk assessment adalah jantung ISO 27001. Sayangnya, di banyak perusahaan, bagian ini sering dibuat terlalu formal.

Risikonya ditulis umum: kebocoran data, malware, akses tidak sah, kehilangan data, gangguan sistem.

Benar. Tapi belum cukup tajam.

Risk assessment yang baik harus dekat dengan kondisi nyata.

Contohnya:

akses mantan karyawan belum langsung dinonaktifkan;
folder berisi data sensitif bisa diakses terlalu banyak orang;
backup tersedia, tetapi restore belum pernah diuji;
vendor memiliki akses remote tanpa review berkala;
laptop karyawan belum dienkripsi;
file pelanggan dikirim lewat email pribadi;
log keamanan ada, tapi tidak pernah dipantau;
akun admin digunakan bersama oleh beberapa orang.

Risiko seperti ini lebih konkret. Kadang tidak nyaman dibaca, tapi justru berguna.

Risk assessment bukan latihan mengisi tabel. Ini cara perusahaan memahami di mana celah keamanan informasi benar-benar berada.

4. Statement of Applicability dibuat sekadar formalitas

Statement of Applicability atau SoA sering diperlakukan sebagai dokumen wajib yang tinggal diisi: kontrol ini berlaku, kontrol itu tidak berlaku, alasan ditulis singkat, selesai.

Padahal SoA adalah salah satu dokumen paling penting dalam ISO 27001.

Ia menjelaskan kontrol keamanan informasi mana yang diterapkan, mana yang tidak, dan kenapa keputusan itu masuk akal. SoA harus nyambung dengan hasil risk assessment, kebutuhan bisnis, kewajiban pelanggan, dan kondisi organisasi.

Kalau perusahaan punya banyak vendor penting, tapi kontrol keamanan supplier lemah, itu akan terlihat. Kalau akses data pelanggan berisiko tinggi, tapi kontrol akses dijelaskan terlalu umum, itu juga akan terlihat.

Auditor biasanya cepat membaca ketidaksambungan seperti ini.

Bukan karena auditor mencari-cari kesalahan. Tapi karena sistem yang tidak logis memang mudah terbaca.

8 Area yang Harus Dicek dalam Gap Analysis ISO 27001

Gap analysis yang baik tidak hanya bertanya, “dokumennya ada atau belum?”

Pertanyaan itu terlalu sempit.

Yang perlu dinilai adalah apakah sistemnya siap berjalan dan siap dibuktikan.

1. Ruang Lingkup ISMS

Sebelum bicara kontrol keamanan, perusahaan harus jelas dulu: ISO 27001 ini berlaku untuk area mana?

Apakah seluruh organisasi?
Satu layanan digital?
Satu aplikasi?
Satu data center?
Satu departemen?
Atau proses tertentu yang berhubungan dengan data pelanggan?

Ruang lingkup yang terlalu luas bisa membuat perusahaan kewalahan. Ruang lingkup yang terlalu sempit bisa membuat sistem tidak menjawab risiko yang sebenarnya.

Misalnya, perusahaan SaaS mungkin perlu memasukkan aplikasi utama, infrastruktur cloud, proses development, support, dan data pelanggan. Perusahaan manufaktur mungkin fokus pada ERP, data produksi, data vendor, dan informasi pelanggan. Perusahaan jasa keuangan biasanya membutuhkan ruang lingkup yang lebih ketat karena sensitivitas data dan tuntutan kepatuhan.

Tidak ada satu pola yang cocok untuk semua.

Ruang lingkup harus realistis, tapi tidak boleh dibuat terlalu kecil hanya agar terlihat mudah.

2. Kepemimpinan dan Peran Manajemen

ISO 27001 tidak akan kuat jika hanya menjadi proyek teknis.

Manajemen harus benar-benar terlibat. Bukan hanya tanda tangan kebijakan keamanan informasi.

Keterlibatan itu terlihat dari keputusan nyata:

menyetujui ruang lingkup ISMS;
menyediakan sumber daya;
menetapkan prioritas keamanan informasi;
membaca hasil risk assessment;
menerima atau menolak risiko residual;
memastikan peran dan tanggung jawab jelas;
meninjau insiden, temuan audit, dan tindakan korektif.

Kalau manajemen hanya muncul saat opening meeting audit, sistem ini akan sulit matang.

ISMS butuh dukungan dari atas. Tanpa itu, tim pelaksana biasanya hanya sibuk menambal dokumen, bukan memperbaiki sistem.

3. Inventaris Aset Informasi

Perusahaan tidak bisa melindungi aset yang tidak diketahui keberadaannya.

Ini sederhana, tapi sering menjadi sumber masalah.

Banyak organisasi belum punya daftar aset informasi yang rapi. Mereka tahu punya aplikasi, server, laptop, database, cloud storage, email, dokumen kontrak, dan file pelanggan. Tapi tidak semua tercatat dengan jelas: siapa owner-nya, di mana lokasinya, seberapa penting nilainya, siapa yang boleh mengakses, dan bagaimana kontrolnya.

Dalam gap analysis, aset informasi yang perlu dilihat bisa mencakup:

data pelanggan;
data karyawan;
data keuangan;
kontrak;
database;
source code;
server;
endpoint;
aplikasi bisnis;
layanan cloud;
dokumen legal;
akun akses;
backup;
informasi vendor.

Aset informasi tidak selalu terlihat seperti “sistem besar”.

Kadang risiko paling berbahaya ada pada spreadsheet kecil yang berisi data sensitif dan berpindah-pindah lewat email atau chat.

Kecil filenya. Besar risikonya.

4. Risk Assessment dan Risk Treatment

Ini bagian yang tidak boleh asal jadi.

Gap analysis perlu melihat apakah perusahaan punya metode risk assessment yang jelas dan konsisten. Bukan sekadar punya tabel risiko.

Hal yang perlu dicek antara lain:

kriteria risiko;
metode penilaian likelihood dan impact;
daftar aset atau proses yang dinilai;
ancaman dan kerentanan;
pemilik risiko;
level risiko;
prioritas penanganan;
rencana perlakuan risiko;
hubungan antara risiko dan kontrol;
persetujuan risiko residual.

Risk treatment juga harus konkret.

Kalimat seperti “meningkatkan keamanan sistem” terlalu kabur. Harus jelas kontrol apa yang diterapkan, siapa penanggung jawabnya, kapan dilakukan, bukti apa yang harus tersedia, dan bagaimana efektivitasnya dicek.

Tanpa risk treatment yang jelas, risk assessment hanya menjadi laporan yang terlihat serius tetapi tidak mengubah apa-apa.

5. Kontrol Keamanan Informasi

Kontrol keamanan informasi harus dipilih berdasarkan risiko, bukan berdasarkan keinginan terlihat lengkap.

Beberapa area yang biasanya diperiksa dalam gap analysis ISO 27001 antara lain:

kontrol akses;
manajemen identitas;
keamanan endpoint;
backup;
logging dan monitoring;
keamanan jaringan;
keamanan cloud;
keamanan supplier;
pengelolaan insiden;
klasifikasi informasi;
secure development;
awareness keamanan informasi;
perlindungan data pribadi;
pengamanan fisik;
penggunaan perangkat mobile;
penghapusan akses saat karyawan keluar.

Tidak semua kontrol punya bobot yang sama untuk setiap perusahaan. Perusahaan dengan banyak vendor teknologi akan punya perhatian besar pada supplier security. Perusahaan yang mengelola aplikasi digital perlu kuat di secure development, vulnerability management, dan akses privileged. Perusahaan dengan data pelanggan besar harus serius pada klasifikasi informasi, akses, logging, dan incident response.

Yang penting bukan sebanyak apa kontrolnya.

Yang penting: apakah kontrol tersebut menjawab risiko yang benar?

6. Bukti Implementasi

Ini bagian yang sering mengejutkan perusahaan.

Dokumen bisa dibuat relatif cepat. Bukti implementasi tidak.

Auditor akan melihat apakah sistem benar-benar berjalan. Maka gap analysis perlu mengecek bukti seperti:

hasil review akses;
daftar aset terbaru;
hasil risk assessment;
Statement of Applicability;
bukti pelatihan security awareness;
catatan insiden;
hasil uji backup restore;
evaluasi vendor;
catatan audit internal;
management review;
tindakan korektif;
bukti monitoring kontrol.

Perbedaan “punya dokumen” dan “punya bukti” sangat besar.

Dokumen mengatakan perusahaan punya prosedur review akses. Bukti menunjukkan review akses benar-benar dilakukan. Dokumen mengatakan backup dilakukan. Bukti restore menunjukkan backup benar-benar bisa digunakan.

Di keamanan informasi, bukti lebih kuat daripada niat.

7. Awareness dan Perilaku Pengguna

Banyak insiden keamanan informasi tidak dimulai dari teknologi yang rusak. Sering kali dimulai dari kebiasaan manusia.

Password dibagikan. Laptop ditinggal terbuka. Link phishing diklik. File salah kirim. Akses lama tidak dicabut. Data pelanggan diunduh ke perangkat pribadi.

Tidak selalu karena niat buruk. Sering karena orang tidak sadar risikonya.

Gap analysis perlu melihat apakah awareness keamanan informasi benar-benar berjalan. Bukan hanya apakah pelatihan pernah dilakukan.

Pertanyaannya lebih praktis:

apakah karyawan tahu cara melaporkan insiden?
apakah mereka paham risiko phishing?
apakah mereka tahu aturan penggunaan cloud storage?
apakah onboarding dan offboarding sudah mengatur akses?
apakah klasifikasi informasi dipahami?
apakah awareness dilakukan berkala?

Awareness yang baik tidak membuat orang hafal standar. Awareness yang baik membuat orang berpikir dua kali sebelum melakukan hal berisiko.

Itu sudah langkah besar.

8. Audit Internal dan Management Review

Sebelum sertifikasi, perusahaan perlu menjalankan audit internal dan management review. Tapi dua kegiatan ini jangan dilakukan hanya sebagai formalitas.

Audit internal harus menguji apakah ISMS berjalan. Apakah kontrol efektif? Apakah bukti tersedia? Apakah risiko dipantau? Apakah temuan ditindaklanjuti?

Management review juga harus menghasilkan keputusan. Bukan sekadar rapat membaca laporan.

Hal yang perlu dibahas antara lain:

status risiko;
hasil audit internal;
insiden keamanan informasi;
efektivitas kontrol;
perubahan kondisi bisnis;
feedback pelanggan atau pihak berkepentingan;
status tindakan korektif;
kebutuhan sumber daya;
peluang perbaikan.

Kalau audit internal dan management review hanya dilakukan agar syarat sertifikasi terpenuhi, perusahaan kehilangan kesempatan belajar dari sistemnya sendiri.

Dan itu sayang sekali.

Cara Melakukan Gap Analysis ISO 27001 secara Praktis

Gap analysis tidak harus dibuat rumit. Yang penting sistematis, jujur, dan bisa menghasilkan rencana tindakan.

1. Tentukan ruang lingkup penilaian

Pastikan area yang dinilai jelas. Jangan mulai sebelum tahu batasnya.

Apakah seluruh organisasi? Satu layanan? Satu aplikasi? Satu lokasi? Satu divisi?

Ruang lingkup menentukan siapa yang perlu diwawancara, dokumen apa yang harus dilihat, dan kontrol apa yang perlu dinilai.

2. Kumpulkan dokumen dan bukti awal

Kumpulkan dokumen yang benar-benar dipakai, bukan hanya yang terlihat paling rapi.

Biasanya mencakup kebijakan, prosedur, daftar aset, risk register, struktur organisasi, diagram sistem, daftar aplikasi, daftar vendor, catatan insiden, hasil backup, dan bukti kontrol yang sudah ada.

Kalau dokumen ada tapi tidak pernah digunakan, catat sebagai gap.

Jangan dibela terlalu keras. Nanti capek sendiri.

3. Wawancara pemilik proses

Banyak gap tidak muncul di dokumen. Gap muncul ketika orang menjelaskan proses sebenarnya.

Wawancara fungsi-fungsi penting seperti IT, HR, legal, procurement, finance, operasional, customer service, dan manajemen.

Tanyakan bagaimana akses diberikan, bagaimana perubahan sistem dikendalikan, bagaimana vendor dipilih, bagaimana insiden dilaporkan, bagaimana data sensitif dibagikan, dan bagaimana risiko diputuskan.

Jawaban lapangan sering lebih jujur daripada dokumen.

4. Bandingkan dengan persyaratan ISO 27001

Nilai kesesuaian terhadap klausul utama ISO 27001 dan kontrol yang relevan.

Gunakan kategori sederhana:

sudah sesuai;
sebagian sesuai;
belum sesuai;
tidak relevan;
perlu bukti tambahan.

Jangan membuat sistem penilaian terlalu rumit. Tujuan gap analysis adalah memberi arah, bukan membuat tim tersesat dalam skor.

5. Susun prioritas gap

Tidak semua gap sama pentingnya.

Ada gap yang sifatnya administratif. Ada yang berdampak pada audit. Ada yang langsung menyentuh risiko keamanan informasi.

Prioritaskan gap seperti:

ruang lingkup ISMS belum jelas;
risk assessment belum memadai;
SoA belum tersedia;
kontrol akses tidak direview;
backup belum diuji;
incident response belum berjalan;
vendor kritis belum dievaluasi;
audit internal belum dilakukan;
management review belum ada;
bukti implementasi kontrol minim.

Gap seperti ini tidak boleh ditunda terlalu lama.

6. Buat roadmap perbaikan

Setiap gap perlu punya tindakan, PIC, target waktu, dan bukti yang diharapkan.

Roadmap bisa dibagi menjadi 30, 60, dan 90 hari. Mana yang harus segera ditutup, mana yang butuh persiapan, mana yang bisa diperbaiki bertahap.

Jangan semua diberi deadline dua minggu.

Itu bukan roadmap. Itu undangan lembur massal.

Output yang Seharusnya Dihasilkan dari Gap Analysis

Gap analysis yang baik harus menghasilkan bahan kerja, bukan laporan yang berhenti di folder.

Minimal, hasilnya mencakup:

ringkasan tingkat kesiapan ISMS;
daftar gap terhadap persyaratan ISO 27001;
daftar gap kontrol keamanan informasi;
prioritas perbaikan;
rekomendasi tindakan;
kebutuhan dokumen;
kebutuhan pelatihan;
kebutuhan penguatan kontrol teknis;
roadmap implementasi;
risiko jika sertifikasi dipaksakan terlalu cepat.

Output ini membantu manajemen mengambil keputusan dengan lebih tenang.

Apakah perusahaan siap masuk audit internal? Apakah risk assessment harus dibereskan dulu? Apakah kontrol akses perlu diprioritaskan? Apakah backup restore harus diuji? Apakah target sertifikasi tiga bulan realistis, atau lebih masuk akal enam bulan?

Gap analysis membantu perusahaan berhenti menebak-nebak.

Tanda Perusahaan Belum Siap Sertifikasi ISO 27001

Beberapa tanda ini perlu dibaca serius:

ruang lingkup ISMS belum jelas;
daftar aset informasi belum rapi;
risk assessment terlalu umum;
SoA belum nyambung dengan risiko;
kontrol akses tidak pernah direview;
backup ada, tapi restore belum pernah diuji;
security awareness hanya formalitas;
vendor kritis belum dievaluasi;
insiden tidak dicatat konsisten;
audit internal belum berjalan;
management review belum menghasilkan keputusan;
bukti implementasi kontrol masih minim.

Kalau beberapa tanda ini muncul, bukan berarti perusahaan gagal.

Artinya perusahaan masih punya pekerjaan rumah.

Dan lebih baik pekerjaan rumah itu ditemukan sekarang daripada saat audit sertifikasi.

Kapan Gap Analysis ISO 27001 Sebaiknya Dilakukan?

Waktu terbaik adalah sebelum perusahaan menyusun dokumen secara besar-besaran.

Gap analysis membantu menentukan apa yang benar-benar dibutuhkan. Jika dilakukan terlalu akhir, fungsinya berubah menjadi daftar masalah yang waktunya sudah sempit untuk diperbaiki.

Secara praktis, gap analysis cocok dilakukan ketika:

perusahaan baru ingin memulai ISO 27001;
perusahaan sudah punya kontrol IT, tapi belum punya ISMS;
perusahaan ingin tahu kesiapan sebelum sertifikasi;
perusahaan pernah gagal audit atau banyak temuan;
pelanggan meminta bukti keamanan informasi;
perusahaan ingin memperkuat perlindungan data;
organisasi sedang memperluas layanan digital atau cloud.

Semakin kompleks sistem dan data yang dikelola, semakin penting gap analysis dilakukan lebih awal.

Gap analysis ISO 27001 membutuhkan pemahaman terhadap standar, risiko keamanan informasi, proses bisnis, dokumentasi, dan cara auditor membaca bukti.

Perusahaan bisa melakukannya sendiri jika tim internal sudah cukup siap. Tapi jika organisasi belum pernah menerapkan ISMS, belum punya risk assessment yang kuat, atau belum yakin dengan kesiapan sistemnya, pendampingan eksternal bisa membantu membuat proses lebih objektif.

ISO Indonesia Center dapat membantu organisasi melakukan gap analysis ISO 27001 secara lebih terstruktur, mulai dari penilaian ruang lingkup, evaluasi dokumen, pemeriksaan kontrol keamanan informasi, hingga penyusunan prioritas perbaikan sebelum sertifikasi.

Pendekatan yang tepat bukan sekadar menunjukkan kekurangan.

Yang lebih penting adalah membantu perusahaan memahami gap mana yang paling berisiko, mana yang bisa menghambat audit, dan mana yang perlu diperbaiki lebih dulu agar sistem keamanan informasi benar-benar siap dijalankan.

Kesimpulan

Gap analysis ISO 27001 bukan formalitas sebelum sertifikasi. Ini cara perusahaan melihat kesiapan sistem keamanan informasinya dengan lebih jernih.

Apakah ruang lingkup ISMS sudah jelas?
Apakah aset informasi sudah diketahui?
Apakah risiko dinilai dengan benar?
Apakah kontrol dipilih karena memang relevan?
Apakah buktinya tersedia?
Apakah karyawan memahami perannya?
Apakah manajemen benar-benar terlibat?

Pertanyaan seperti ini mungkin tidak selalu nyaman. Tapi jauh lebih baik dijawab sebelum audit sertifikasi daripada saat auditor sudah menemukan jawabannya sendiri.

Perusahaan yang melakukan gap analysis dengan serius biasanya lebih siap, lebih tenang, dan lebih paham prioritas. Mereka tidak hanya mengejar sertifikat ISO 27001, tetapi membangun sistem keamanan informasi yang benar-benar melindungi bisnis.

Karena pada akhirnya, sertifikat adalah bukti.

Yang paling penting tetap sistemnya.

Kalau sistemnya kuat, sertifikasi menjadi proses yang masuk akal. Kalau sistemnya rapuh, sertifikasi hanya akan membuka semua celah sekaligus.

FAQ Seputar Gap Analysis ISO 27001

1. Apakah gap analysis ISO 27001 wajib sebelum sertifikasi?

Tidak selalu wajib secara formal, tetapi sangat disarankan. Gap analysis membantu perusahaan mengetahui kesiapan sistem sebelum audit sertifikasi, sehingga gap penting bisa diperbaiki lebih awal.

2. Apa bedanya gap analysis dan audit internal ISO 27001?

Gap analysis dilakukan di tahap awal untuk melihat jarak antara kondisi saat ini dan persyaratan ISO 27001. Audit internal dilakukan setelah ISMS berjalan untuk menilai kesesuaian dan efektivitas sistem sebelum audit sertifikasi.

3. Kapan waktu terbaik melakukan gap analysis ISO 27001?

Waktu terbaik adalah sebelum perusahaan menyusun dokumen dan kontrol secara besar-besaran. Dengan begitu, perusahaan tahu prioritas yang benar sejak awal dan tidak membuang waktu membuat dokumen yang kurang relevan.

4. Apa gap yang paling sering ditemukan sebelum sertifikasi ISO 27001?

Gap yang sering muncul adalah ruang lingkup ISMS belum jelas, daftar aset belum lengkap, risk assessment terlalu umum, SoA belum kuat, kontrol akses tidak direview, backup restore belum diuji, dan bukti implementasi masih minim.

5. Apakah gap analysis hanya dilakukan oleh tim IT?

Tidak. ISO 27001 melibatkan banyak fungsi, termasuk IT, HR, legal, procurement, finance, operasional, customer service, dan manajemen. Banyak risiko keamanan informasi muncul dari proses lintas departemen, bukan hanya dari sistem IT.

6. Apakah perusahaan bisa melakukan gap analysis ISO 27001 sendiri?

Bisa, jika tim internal memahami ISO 27001, risk assessment, kontrol keamanan informasi, dan cara membaca bukti implementasi. Jika belum yakin, pendampingan eksternal dapat membantu penilaian lebih objektif dan terarah.

7. Apa hasil akhir dari gap analysis ISO 27001?

Hasil akhirnya biasanya berupa laporan kesiapan, daftar gap, prioritas perbaikan, rekomendasi tindakan, kebutuhan dokumen, kebutuhan kontrol tambahan, dan roadmap menuju sertifikasi ISO 27001.

Rate this post