Pada 9 Oktober 2026, Cyprus Shipping News melaporkan bahwa Marpoint, penyedia layanan IT terkelola (Managed IT Services) dan dukungan teknis jarak jauh untuk perusahaan pelayaran, meraih dua sertifikasi ISO baru: ISO/IEC 27701 untuk manajemen informasi privasi dan ISO 22301 untuk manajemen kelangsungan bisnis. Keduanya dibangun di atas sertifikasi ISO/IEC 27001 (keamanan informasi) yang sudah dimiliki perusahaan.
Berita ini menarik karena Marpoint bukan pemilik kapal, melainkan penyedia teknologi yang bekerja di dalam lingkungan IT pelanggannya. Layanannya mencakup manajemen IT untuk seluruh armada, akses jarak jauh yang aman, manajemen konfigurasi, pembaruan keamanan, serta dukungan untuk solusi konektivitas, firewall, dan infrastruktur IT di atas kapal. Penyedia seperti ini memegang akses dan data milik pelanggannya, sehingga cara mereka mengelola privasi dan menjaga layanan tetap berjalan menjadi bagian dari risiko pelanggan itu sendiri.
Pelajaran apa yang bisa dipetik oleh perusahaan jasa IT, penyedia layanan, maupun perusahaan yang memakai jasa mereka? Mari kita lihat faktanya terlebih dahulu, lalu bahas apa yang sebenarnya dipersyaratkan ISO/IEC 27701 dan ISO 22301, serta bagaimana keduanya bekerja bersama ISO 27001.
📌 Studi Kasus: Marpoint (penyedia Managed IT untuk pelayaran), ISO/IEC 27701 dan ISO 22301, Oktober 2026
Menurut Cyprus Shipping News (9 Oktober 2026), Marpoint memperoleh dua sertifikasi baru: ISO/IEC 27701 untuk privasi dan ISO 22301 untuk kelangsungan bisnis. Artikel itu menyebut ISO/IEC 27001 sebagai fondasi bagi sertifikasi baru tersebut.
Perusahaan menyatakan sertifikasi privasi sangat relevan bagi layanan yang mengakses lingkungan pelanggan, seperti Managed IT Services dan dukungan teknis jarak jauh. Sertifikasi ini disebut memberi pendekatan terstruktur untuk mengelola data pribadi yang mendukung kepatuhan GDPR. Sertifikasi kelangsungan bisnis disebut membantu perusahaan bersiap menghadapi gangguan dan memulihkan operasi penting. Berita itu juga mengaitkan langkah ini dengan panduan IMO yang menempatkan ISO/IEC 27001 sebagai standar yang relevan untuk manajemen risiko siber maritim.
Ringkasan fakta: ISO/IEC 27701 dan ISO 22301 (baru), ISO/IEC 27001 (sudah ada). Sumber: Cyprus Shipping News, 9 Oktober 2026. Berita tidak menyebut lembaga sertifikasi, edisi standar, atau ruang lingkup formal.
Yang tidak disebut dalam berita: lembaga sertifikasi, edisi standar yang dipakai, dan ruang lingkup formal sertifikat tidak dicantumkan. Untuk keputusan bisnis, ketiga hal ini harus dicek langsung pada sertifikat dan lampiran ruang lingkupnya, bukan dari pemberitaan.
Mengapa Berita Ini Penting bagi Pebisnis
Ada dua hal yang membuat kasus Marpoint layak dicermati, bahkan oleh perusahaan di luar industri maritim. Pertama, sertifikasi disusun berlapis. Marpoint sebelumnya sudah mengumumkan sertifikasi ISO 27001:2013 (dilaporkan Maritime Executive), mengikuti persetujuan pedoman manajemen risiko siber maritim oleh Komite Keselamatan Maritim IMO. Kini fondasi itu diperluas ke privasi dan kelangsungan bisnis, bukan dimulai dari nol.
Kedua, risiko penyedia layanan adalah risiko pelanggan. Ketika sebuah perusahaan pelayaran menyerahkan pengelolaan IT armadanya kepada pihak ketiga, gangguan, kebocoran, atau penyalahgunaan akses di sisi penyedia langsung berdampak ke kapal dan kantor pelanggan. Karena itu pelanggan semakin sering meminta bukti terverifikasi bahwa penyedianya mengelola keamanan, privasi, dan kelangsungan layanan secara sistematis.
Apa Itu ISO/IEC 27701 dan Apa yang Dipersyaratkan?
ISO/IEC 27701 adalah standar internasional untuk Sistem Manajemen Informasi Privasi (PIMS). Standar ini dirancang sebagai perluasan dari ISO/IEC 27001 dan 27002: organisasi yang sudah menjalankan sistem manajemen keamanan informasi menambahkan persyaratan dan kontrol khusus untuk melindungi data pribadi. Standar ini membedakan dua peran, yaitu pengendali data pribadi (yang menentukan tujuan dan cara pemrosesan) dan pemroses data pribadi (yang memproses atas nama pihak lain). Penyedia layanan IT yang bekerja di lingkungan pelanggan umumnya berada pada peran kedua.
Karena berdiri di atas 27001, organisasi yang belum memiliki sistem keamanan informasi yang matang akan kesulitan langsung melompat ke 27701. Inilah alasan urutan Marpoint (27001 lebih dulu, lalu 27701) masuk akal secara praktik.
Apa Itu ISO 22301 dan Mengapa Cocok untuk Penyedia Layanan?
ISO 22301 adalah standar untuk Sistem Manajemen Kelangsungan Bisnis (BCMS). Standar ini mensyaratkan organisasi memahami konteks dan layanan kritisnya, melakukan analisis dampak bisnis (business impact analysis) dan penilaian risiko gangguan, menetapkan strategi serta rencana kelangsungan dan pemulihan, lalu menguji rencana tersebut lewat latihan dan mengevaluasinya secara berkala. Edisi yang berlaku adalah ISO 22301:2019, dengan amendemen 2024 tentang pertimbangan perubahan iklim.
Bagi penyedia layanan jarak jauh, nilai praktisnya jelas: pelanggan di laut atau di lokasi terpencil bergantung pada dukungan yang tersedia setiap saat. Pertanyaan yang diajukan standar ini sederhana tetapi tegas: jika pusat dukungan, jaringan, atau pemasok utama terganggu, seberapa cepat layanan kritis pulih, dan apa buktinya?
| Standar | Fokus | Pertanyaan Inti | Bukti yang Dicari Auditor |
|---|---|---|---|
| ISO/IEC 27001 | Keamanan informasi | Apakah informasi terlindungi dari akses dan kebocoran? | Penilaian risiko, SoA, kontrol akses, audit internal |
| ISO/IEC 27701 | Privasi data pribadi | Apakah data pribadi diproses sesuai tujuan dan hak pemiliknya? | Pemetaan pemrosesan data pribadi, peran pengendali atau pemroses, perjanjian dengan pelanggan |
| ISO 22301 | Kelangsungan bisnis | Apakah layanan kritis bisa pulih setelah gangguan? | Analisis dampak bisnis, rencana kelangsungan, hasil latihan |
Bagaimana Ketiga Standar Bekerja Bersama
Ketiganya mengikuti High Level Structure yang sama dengan ISO 9001 dan ISO 14001, yaitu Klausul 4 sampai 10. Artinya konteks organisasi, kepemimpinan, penilaian risiko, dokumentasi, audit internal, tinjauan manajemen, dan perbaikan berkelanjutan dapat dijalankan sebagai satu sistem terintegrasi, bukan tiga proyek terpisah. Audit internal yang sama dapat menguji ketiganya, dan tinjauan manajemen yang sama dapat membahas risiko keamanan, privasi, dan gangguan layanan sekaligus.
Kaitan dengan regulasi: sertifikasi privasi membantu menyusun sistem yang mendukung kepatuhan, tetapi tidak menggantikan kewajiban hukum. Di Indonesia, pemrosesan data pribadi tunduk pada UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Berita Marpoint sendiri mengaitkan sertifikasinya dengan GDPR, regulasi privasi Uni Eropa.
5 Pelajaran Konkret dari Sertifikasi Marpoint
Bangun Berlapis di Atas Fondasi yang Sudah Terbukti
Marpoint memakai ISO 27001 sebagai pijakan untuk 27701 dan 22301, dan sertifikasi 27001-nya sudah diumumkan jauh sebelumnya. Perluasan bertahap lebih realistis daripada mengejar semua standar sekaligus, karena kebijakan, daftar aset, penilaian risiko, dan budaya audit sudah ada. Mulailah dari standar yang paling mengancam bisnis Anda, lalu tambahkan lapisan berikutnya.
Akses ke Lingkungan Pelanggan Berarti Tanggung Jawab Privasi
Berita menekankan relevansi privasi bagi layanan yang mengakses lingkungan pelanggan. Penyedia yang bisa melihat sistem, berkas, dan data pelanggan perlu tahu data pribadi apa yang mereka sentuh, atas dasar apa, dan bagaimana dilindungi. Petakan pemrosesan data pribadi Anda, termasuk yang terjadi secara tidak sengaja saat dukungan teknis.
Kelangsungan Layanan adalah Janji Kepada Pelanggan
Untuk layanan yang harus tersedia setiap saat, rencana kelangsungan bukan dokumen cadangan. Tetapkan layanan kritis, target waktu pemulihan, dan ketergantungan pada pemasok, lalu uji lewat latihan. Auditor ISO 22301 akan mencari bukti latihan dan perbaikan setelahnya, bukan sekadar rencana tertulis.
Integrasikan, Jangan Menumpuk Dokumen
Karena ketiga standar berbagi struktur yang sama, satu sistem manajemen terintegrasi menghindari duplikasi kebijakan, audit, dan rapat. Satu pemilik risiko, satu register risiko, satu siklus tinjauan manajemen. Ini menghemat sumber daya terutama bagi perusahaan jasa yang timnya ramping.
Jadikan Sertifikat Bahan Percakapan dengan Pelanggan dan Regulator
Marpoint mengaitkan sertifikasinya dengan kepercayaan pelanggan, manajemen risiko siber, dan kewajiban regulasi. Sertifikat yang diaudit pihak independen memudahkan penyedia menjawab kuesioner keamanan pelanggan dan uji tuntas pemasok. Namun sertifikat tetap harus dibaca bersama ruang lingkupnya, karena ruang lingkup menentukan layanan mana yang benar-benar tercakup.
Intinya: sertifikat ISO membuktikan bahwa organisasi memiliki sistem yang diaudit secara independen, bukan bahwa risiko menjadi nol. Nilainya muncul dari kedisiplinan menjalankan siklus penilaian risiko, latihan, audit internal, dan perbaikan setiap tahun.
Langkah Memulai Jika Anda Penyedia Layanan IT
Baik Anda penyedia IT terkelola, pusat data, maupun pengembang yang mengakses sistem klien, alurnya relatif serupa:
Analisis gap
Bandingkan praktik saat ini dengan Klausul 4 sampai 10 ISO 27001 dan, bila relevan, persyaratan tambahan 27701 dan 22301.
Tetapkan ruang lingkup dan petakan data
Tentukan layanan, lokasi, dan tim yang masuk sistem, lalu petakan data pelanggan dan data pribadi yang Anda akses atau proses.
Lakukan penilaian risiko dan analisis dampak bisnis
Identifikasi ancaman terhadap keamanan, privasi, dan layanan kritis, lalu tentukan prioritas serta target pemulihan.
Bangun kebijakan, prosedur, dan rencana kelangsungan
Dokumentasikan kendali akses, penanganan data pribadi, manajemen insiden, dan rencana pemulihan, lalu latih seluruh tim.
Uji lewat latihan dan audit internal
Jalankan latihan pemulihan dan audit internal, lalu laporkan hasilnya kepada manajemen puncak dalam tinjauan manajemen.
Audit sertifikasi
Lembaga sertifikasi terakreditasi memverifikasi dokumentasi dan penerapan. Sertifikat umumnya berlaku tiga tahun dengan audit surveilans berkala.
Pertanyaan yang Sering Diajukan
Apa bedanya ISO 27001 dan ISO/IEC 27701?
ISO 27001 mengatur keamanan seluruh informasi organisasi, sedangkan ISO/IEC 27701 menambahkan persyaratan khusus untuk melindungi data pribadi, termasuk pembedaan peran pengendali dan pemroses data. 27701 dirancang sebagai perluasan dari 27001, sehingga organisasi umumnya membangun 27001 lebih dulu.
Apakah ISO 22301 sama dengan rencana pemulihan bencana (DRP)?
Tidak sama. Rencana pemulihan bencana biasanya berfokus pada pemulihan sistem TI. ISO 22301 lebih luas: mencakup analisis dampak bisnis, strategi kelangsungan seluruh layanan kritis (orang, proses, pemasok, teknologi), rencana, latihan, dan perbaikan berkelanjutan.
Apakah sertifikasi ISO 27701 menjamin kepatuhan terhadap UU Pelindungan Data Pribadi?
Tidak. ISO/IEC 27701 adalah standar sukarela yang membantu menyusun sistem pengelolaan data pribadi, tetapi tidak menggantikan kewajiban hukum seperti UU No. 27 Tahun 2022. Kepatuhan tetap harus dinilai terhadap ketentuan hukum yang berlaku bagi organisasi Anda.
Apakah ISO 27701 dan ISO 22301 hanya untuk perusahaan maritim atau IT?
Tidak. Keduanya berlaku untuk organisasi semua ukuran dan sektor. Perusahaan yang memproses banyak data pribadi atau menyediakan layanan yang tidak boleh terhenti, seperti keuangan, kesehatan, logistik, dan telekomunikasi, sering memiliki kebutuhan yang kuat.
Berapa lama proses sertifikasi untuk ketiga standar ini?
Lamanya bergantung pada kematangan sistem, luas ruang lingkup, dan sumber daya. Organisasi yang sudah memiliki ISO 27001 yang berjalan baik biasanya lebih cepat menambahkan 27701 atau 22301 dibanding memulai dari nol. Tahapannya mencakup analisis gap, penilaian risiko, dokumentasi, pelatihan, audit internal, dan audit sertifikasi.
Siap Membangun Sistem Privasi dan Kelangsungan Bisnis Berstandar ISO?
Arafar Nusa mendampingi organisasi dari berbagai sektor dalam membangun sistem manajemen berstandar ISO, dari analisis gap hingga hari audit sertifikasi. Konsultasi pertama gratis.
💬 Konsultasi Gratis via WhatsApp