Standar dan Kerangka

Kerja Keamanan
Informasi
ISO 27000 Information Security Management System
 Keamanan Informasi

•Pengelolaan keamanan informasi yang baik dan

efektif adalah di mana suatu organisasi
memperhitungkan seluruh proses baik
operasional dan organisasional termasuk pihak
yang terkait dengan keamanan informasi.
 ISO 27000 Information Security
Management System
ISO dan IEC (International Electrotechnical Commission) bersepakat dalam
mengembangkan standar keamanan informasi seri 2700x.
1. ISO 27000:2009 - Information Security Management System - Overview
and vocabulary
2. ISO 27001:2005 - Information Security Management System -
Requirements
3. ISO 27002:2005 – Code of Practise for Information Security Management
System
4. ISO 27003:2010 – Information Security Management
System Implementation Guidance
5. ISO 27004:2009 – Information Security Management System Measurement
6. ISO 27005:2008 – Information Security Risk Management System
7. ISO 27006:2011 – Requirements for Bodles Providing Audit and
Certification of Informastion Security Management System
 ISO 27000
Information Security Management System
8. ISO 27007:2011 – Guidelines for Information Security Management System Auditting
(Focused on the Management System).
9. ISO 27008:2011 – Guidance for Auditors on ISMS Controls (Focused on Information Security
Controls)
10. ISO 27010:2011 – Information Technology – Security Techniques –Information
Security Management for Inter-sector and Inter-Organizational Communications
11. ISO 27011:2008 – Information Security Management Guidelines for
Telecommunication Organizational based on ISO/IEC 27002.
12. ISO 27013:2015 – Guideline on the Integrated implmentation of ISO/IEC 20000-1 and
ISI/IEC 27001
13. ISO 27014 : Information Security Governance Framework
14. ISO 27015 : Information Security Management Guidelines for the Finance and Insurances
Sectors
15. ISO 27016 – Information Security Management – Organiozational Economics [DRAFT]
16. ISO 27017 – Security in Cloud Computing [DRAFT]
 ISO 27000
Information Security Management System
17. ISO 27018 – Code of Practice for Data Protection Controls for Public Cloud
Computing Services [DRAFT]
18. ISO 27019 – Information Security Management Guidelines based on ISO 27002
for Process Control Systems Specific to the Energy Industry [DRAFT]
19. ISO 27031:2011 – Guidelines for Information and Communication
Technology Readiness for Business Cntinuity.
20. ISO 27032:2012 – Guidelines for Cyber Security
21. ISO 27033:2008 – IT Network Security, a Multi-part Standard based on
ISO/IEC 18028:2006
22. ISO 27034:2011 – Guidelines for Application Security (part 1 published rest in
DRAFT)
23. ISO 27033:2011 – Information Security Incident Management
24. ISO 27036 – Information Security for Suppler Realtionship [DRAFT]
25. ISO 27037:2012 – Guidelines for Identification, Collection, Acquisition and
Preservation of Digital Evidence.
 ISO 27000
Information Security Management System
26. ISO 27038 – Specification for Digital Redaction [DRAFT]
27. ISO 27038 – Selection, Development and Operations of
Intrusion Detection (and preventation) [DRAFT]
28. ISO 27040 – Storage Security [DRAFT]
29. ISO 27041 – Guidelines for the Analysis and
Interpretation of Digital Evidence [DRAFT]
30. ISO 27042 – Guidelines for the Analysis and
Interpretation of Digital Evidence [DRAFT]
31. ISO 27043 – Digital evidence investigation Principles
and Process [DRAFT]
32. ISO 27799:2008 – Information Security Management
in Health using ISO/IEC 27002.
 Standar ISO 13335
Standar ISO 13335 merupakan standar yang
digunakan untuk Management of Information
and Communications Technology Security.
Standar ini berisi arahan umum untuk
menginisiasi dan mengimplementasikan proses
manajemen keamanan teknologi inforkan masi.
Standar ini hanya menyediakan instruksi untuk
mengelola keamanan teknologi informasi,
bukan sebagai solusi keamanannya.
 ISO 27001

•ISO 27001 (Information

Technology - Security
Techniques – Information Security Management
Systems Requirement Spesification) merupakan standar
internasional pertama yang bisa di sertifikasi untuk manajemen
keamanan informasi.
•Standar ini berisi rekomendasi umum untuk menjalankan dan
meningkatkan dokumentasi manajemen keamana sistem informasi
dengan mempertimbangkan berbagai risiko.
 ISO 27002

•Sebelumnya ISO 27002 dikenal dengan nama ISO 17799:2005

(InformationTechnology - Code of Practice for
Information Security Management) memiliki tujuan untuk
menentukan kerangka kerja manajemen keamanan informasi. Standar
ini fokus terhadap langkah-langkah yang diperlukan untuk membangun
fungsionalitas sistem manajemen keamanan dan
mengimplementasikannya ke dalam organisasi. rekomendasi dari
standar ini khususnya untuk tingkat manajemen dan tidak banyak
• memiliki informasi teknis yang spesifik.
 ISO 27005

ISO 27005 (Information Security Risk

Management) merupakan standar yang
berisi rekomendasi umum untuk
manajemen risiko keamanan informasi.
Standar ini digunakan untuk mendukung
implementasi ISO 27001.
 ISO 27006

ISO 27006 (Information Technology - Security

Techniques – Requirements for The
Accreditation of Bodies Providing Certification
of Information Security Management Systems)
berisi penjelasan dari persyaratan yang
dibutuhkan untuk mengakreditasi sertifikasi
ISMS dan detail prosesnya secara spesifik.
 International Organization for
Standarization
▪ ISO merupakan
(ISO)
badan27001:2009
standar internasional yang
mengembangkan dan mempublikasikan sebuah
sistem manajemen untuk menilai mutu organisasi.
▪ Badan Standarisasi Nasional (BSN) mempublikasikan
Standar Nasional Indonesia (SNI) ISO/IEC 27001:2009
yang diadopsi dari ISO/IEC 27001:2005 dalam rangka
mendukung sistem keamanan informasi bagi
lembaga penyelenggara pelayanan publik.
▪ Dalam menerapkan sistem manajemen
keamanan informasi (SMKI), ISO 27001
mendefinisikan 11 klausul, 39 objektif kontrol,
dan 133 kontrol (Kemenpora, 2012)
Kelompok Kebutuhan
Pengendalian
Keamanan
 Proses Perancangan
Manajemen Keamanan
Informasi
▪ Tujuan Standar ISO 27001:2009 adalah
sebagai acuan untuk pembangunan,
pengoperasian, pengimplementasian,
peninjauan, pengawasan, pemeliharaan dan
perbaikan sistem manajemen keamanan
informasi.
▪ ISO 27001 menggunakan siklus Plan-Do-
Check-Act (PDCA)
 Siklus PDCA pada ISO 27001

Sumber: A.T. Kearney Analysis,

2013
 Siklus PDCA pada ISO 27001
Plan
• Pada tahap ini dilakukan penetapan tujuan, aturan,
proses, dan prosedur yang sesuai untuk mengelola
risiko dan meningkatkan keamanan informasi. Hal
ini bertujuan agar dapat memberikan hasil sesuai
dengan tujuan dan kebijakan organisasi.
Do
• Selanjutnya dilakukan penerapan dan jalannya
aturan, kontrol, kebijakan, proses dan prosedur
sistem manajemen keamanan informasi (SMKI)
yang sudah dipilih di tahap sebelumnya.