ISO 27001 & NIS-2: Cara syarikat menyusun keselamatan maklumat supaya tahan audit

Pengenalan: Keselamatan siber telah menjadi urusan ketua eksekutif

Serangan perisian tebusan, rantaian bekalan yang terkompromi dan gelombang pancingan data setiap hari: ancaman di ruang digital telah mencapai paras tertinggi dalam sejarah. Pada masa yang sama, penggubal undang-undang mengetatkan peraturan. Dengan arahan NIS-2 Eropah, kewajipan keselamatan siber diperluaskan secara drastik – dan kini melibatkan puluhan ribu syarikat yang sebelum ini tidak menganggap diri mereka sebagai “infrastruktur kritikal”.

Yang lebih meruncing: pengarah urusan pada masa hadapan boleh menanggung liabiliti peribadi, sebahagiannya dengan harta persendirian mereka sendiri, jika kewajipan dilanggar.

Dalam konteks ini, piawaian antarabangsa ISO/IEC 27001 telah berubah bagi banyak organisasi daripada sekadar simbol status IT kepada insurans kelangsungan yang menentukan hidup mati. Namun, bagaimana ISO 27001 dan NIS-2 saling berkait? Dan bagaimana ISMS boleh dibina supaya ia bukan sekadar wujud di atas kertas, tetapi tahan diuji oleh audit dan realiti?

Apakah yang dikawal oleh ISO/IEC 27001?

ISO/IEC 27001 ialah piawaian terkemuka dunia untuk sistem pengurusan keselamatan maklumat. Matlamat piawaian ini ialah melindungi tiga nilai asas keselamatan maklumat (yang dipanggil triad CIA):

• Confidentiality (kerahsiaan): Hanya orang yang diberi kuasa mempunyai akses kepada data sensitif.
• Integrity (integriti): Data adalah tepat, lengkap dan dilindungi daripada manipulasi tanpa kebenaran.
• Availability (ketersediaan): Sistem dan maklumat tersedia pada masa ia diperlukan.

Yang penting: ISO 27001 bukan piawaian IT semata-mata. Ia memandang keselamatan maklumat secara holistik. Ini merangkumi keselamatan fizikal (kawalan akses masuk), proses organisasi (manual kecemasan, proses keluar pekerja) serta langkah personel (latihan kesedaran, garis panduan keselamatan).

ISO 27001 dan NIS-2 dalam perbandingan langsung

Ramai syarikat bertanya: “Jika kami telah disijilkan mengikut ISO 27001, adakah NIS-2 turut dipenuhi secara automatik?”

Jawapan yang jujur ialah: ya, sebanyak 80 hingga 90 peratus.

Arahan NIS-2 merumuskan keperluan minimum yang mengikat dalam bidang seperti:

• Analisis risiko dan keselamatan untuk sistem maklumat
• Pengendalian insiden keselamatan (incident handling) termasuk tempoh pelaporan yang ketat (contohnya amaran awal 24 jam)
• Penerusan operasi perniagaan (business continuity dan pengurusan sandaran)
• Keselamatan dalam rantaian bekalan (supply chain security)
• Penyulitan dan kawalan akses

Bidang-bidang inilah yang diliputi secara berstruktur oleh Annex A ISO/IEC 27001 (dalam versi semasa dengan 93 kawalan dalam 4 bidang topik). Sesiapa yang menunjukkan ISMS yang benar-benar diamalkan mengikut ISO 27001 telah mendokumentasikan, mengoperasikan dan mengaudit langkah teknikal serta organisasi bagi NIS-2. Hanya laluan pelaporan undang-undang yang khusus kepada pihak berkuasa negara perlu ditambah secara operasi.

Membina ISMS yang berkesan dalam 5 langkah

ISMS yang berjaya tidak lahir dalam semalam, tetapi boleh dilaksanakan dengan cekap jika fokusnya jelas:

1. Tentukan skop (scope)

Tetapkan dengan tepat bahagian syarikat, lokasi, produk atau perkhidmatan yang hendak diliputi oleh ISMS. Bagi banyak penyedia perkhidmatan IT, ini pada mulanya merangkumi infrastruktur awan dan aplikasi teras.

2. Penilaian risiko dan rawatan risiko

Kenal pasti aset maklumat terpenting anda (information assets): data pelanggan, kod sumber, pelan pengeluaran. Ancaman dan kelemahan apakah yang wujud? Risiko manakah yang dikurangkan melalui langkah teknikal (contohnya pengesahan berbilang faktor, segmentasi), yang manakah diterima atau diinsuranskan?

3. Pernyataan kebolehgunaan (Statement of Applicability – SoA)

Dalam SoA anda mendokumentasikan kawalan Annex A yang mana antara 93 kawalan itu relevan bagi syarikat anda dan bagaimana ia dilaksanakan. Jika kawalan dikecualikan, pengecualian itu mesti dijustifikasikan secara munasabah.

4. Dasar dan kesedaran pekerja

Keselamatan paling kerap gagal pada faktor manusia. Wujudkan dasar yang mudah difahami (meja bersih, dasar kata laluan, pengendalian peranti mudah alih) dan jalankan latihan berkala serta ujian pancingan data simulasi.

5. Audit dalaman dan semakan pengurusan

Sebelum juruaudit luaran tiba, juruaudit dalaman memeriksa sistem secara menyeluruh. Pengurusan atasan menilai penunjuk prestasi dan meluluskan sumber untuk penambahbaikan.

Kelebihan pensijilan di sisi pelanggan dan rakan kongsi

Di luar kewajipan undang-undang, ISO 27001 mempunyai tuas komersial yang sangat besar:

• Kitaran jualan yang lebih pantas: Pelanggan enterprise menuntut soal selidik keselamatan yang berhalaman-halaman sebelum kontrak ditandatangani. Dengan sijil ISO 27001 yang diiktiraf, usaha ini biasanya tidak diperlukan sama sekali.
• Kelebihan daya saing dalam tender: Pemberi kontrak awam dan sektor terkawal (bank, insurans, automotif) sering tidak membenarkan pembekal yang tidak disijilkan memasuki pembentangan sama sekali.
• Pengukuhan ketahanan siber: Proses yang berstruktur memastikan jurang keselamatan ditutup sebelum penyerang memanfaatkannya.

Kesimpulan

ISO 27001 hari ini ialah asas bagi setiap syarikat yang mencipta nilai secara digital. Ia mengubah kebimbangan keselamatan yang samar menjadi proses yang boleh diukur dan melindungi pengurusan atasan daripada risiko liabiliti.

Adakah anda merancang pensijilan ISO 27001?
Di cert-authority.com kami menemani anda secara telus dan berasaskan perkongsian melalui proses audit dengan juruaudit pakar yang berpengalaman. Dapatkan gambaran tentang harga dan pakej kami.