Pada 15 Oktober 2026, Pasqal, perusahaan komputasi kuantum berbasis atom netral yang berkantor pusat di Prancis, mengumumkan bahwa Sistem Manajemen Keamanan Informasi (SMKI) miliknya telah tersertifikasi ISO/IEC 27001:2022. Pengumuman itu disampaikan lewat siaran pers yang didistribusikan GlobeNewswire dari Paris. Audit independen dilakukan oleh SGS di bawah akreditasi COFRAC, dan sertifikatnya mencakup lokasi Pasqal di Prancis, Kanada, dan Arab Saudi.
Bagi pembaca di luar dunia teknologi tinggi, kabar ini mungkin terasa jauh. Padahal pesan di baliknya sangat dekat dengan keseharian pebisnis: ketika sebuah produk makin canggih dan makin sering menyentuh data sensitif milik pelanggan, pembeli tidak lagi cukup diyakinkan oleh janji. Mereka ingin bukti yang bisa diperiksa pihak ketiga. Itulah alasan banyak perusahaan, dari pabrik sampai perusahaan perangkat lunak, memilih menjadikan keamanan informasi sebagai sistem manajemen yang diaudit, bukan sekadar kumpulan kebijakan di dalam folder.
📌 Studi Kasus: Pasqal (Prancis), ISO/IEC 27001:2022, 15 Oktober 2026
Menurut siaran pers Pasqal yang dirilis melalui GlobeNewswire pada 15 Oktober 2026, perusahaan yang berdiri pada 2019 ini memperoleh sertifikasi ISO/IEC 27001:2022 untuk SMKI-nya setelah audit independen oleh SGS di bawah akreditasi COFRAC.
Ruang lingkup sertifikat mencakup perancangan, pengembangan, industrialisasi, penerapan, pemeliharaan, dan dukungan atas solusi komputasi kuantum beserta layanan terkait. Sertifikat berlaku untuk lokasi di Prancis, Kanada, dan Arab Saudi, serta fungsi mulai dari riset dan pengembangan perangkat keras, produksi QPU, pengembangan perangkat lunak, manajemen produk, penjualan, pengadaan, dan operasi, hingga fungsi korporat seperti hukum dan kekayaan intelektual.
"In quantum computing, trust is not a feature you add once the technology works. It has to be built in from the first qubit," kata Wasiq Bokhari, CEO Pasqal. Menurut Bokhari, pelanggan sedang bersiap menjalankan beban kerja yang sangat sensitif di komputer kuantum, dan Pasqal membangun keamanan informasi ke dalam proses desain, pengembangan, produksi, dan dukungannya.
Yang menarik dari kutipan itu adalah urutannya: keamanan dibangun sejak awal, bukan ditambahkan setelah produk jadi. Cara berpikir ini sejalan dengan filosofi ISO 27001, karena standar tersebut menuntut organisasi menilai risiko terhadap informasi lebih dulu, lalu memilih kontrol yang sepadan, bukan membeli perangkat keamanan secara acak. Karena itu, sebelum membahas apa saja yang diminta standar, ada baiknya kita lihat mengapa perusahaan yang bergerak di bidang riset dan manufaktur teknologi tinggi sangat berkepentingan dengan sertifikasi seperti ini.
Perusahaan semacam Pasqal memegang aset yang nilainya tidak tampak di neraca: rancangan perangkat keras, kode perangkat lunak, kekayaan intelektual, dan data pelanggan yang mungkin kelak diproses di atas mesinnya. Kebocoran salah satunya bisa merugikan perusahaan sekaligus pelanggannya. Sertifikat yang dikeluarkan lembaga sertifikasi terakreditasi memberi pelanggan korporasi, auditor pengadaan, dan mitra riset sebuah titik acuan yang sama, sehingga proses uji tuntas (due diligence) vendor menjadi lebih ringkas. Lalu, apa sebenarnya yang diaudit dalam sertifikasi ini?
ISO/IEC 27001:2022 mensyaratkan organisasi menetapkan, menerapkan, memelihara, dan terus memperbaiki SMKI berbasis risiko. Sasaran intinya dikenal sebagai segitiga CIA, yaitu kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) informasi. Persyaratannya tersusun dalam Klausul 4 sampai 10 dengan struktur yang sama seperti ISO 9001 dan ISO 14001, yakni konteks organisasi, kepemimpinan, perencanaan, dukungan, operasi, evaluasi kinerja, dan perbaikan. Di samping klausul, Lampiran A memuat 93 kontrol keamanan, dan bagian ini yang paling sering dirujuk saat orang membandingkan edisi 2022 dengan edisi 2013.
| Tema Kontrol (Lampiran A, edisi 2022) | Jumlah | Contoh Penerapan di Perusahaan Teknologi |
|---|---|---|
| Organisasional | 37 | Kebijakan keamanan, pengelolaan pemasok, perlindungan kekayaan intelektual, keberlangsungan bisnis |
| Orang | 8 | Seleksi pegawai, perjanjian kerahasiaan, pelatihan kesadaran, pencabutan akses saat pegawai keluar |
| Fisik | 14 | Pengamanan fasilitas riset dan lini produksi, kendali masuk area sensitif |
| Teknologi | 34 | Kendali akses, enkripsi, pencatatan dan pemantauan, manajemen konfigurasi, pengembangan kode yang aman |
Perbedaan terbesar dari edisi 2013 adalah penataan ulang kontrol dari 114 kontrol dalam 14 domain menjadi 93 kontrol dalam empat tema, ditambah 11 kontrol baru. Kontrol baru itu antara lain intelijen ancaman (A.5.7), keamanan penggunaan layanan cloud (A.5.23), kesiapan TIK untuk keberlangsungan bisnis (A.5.30), pemantauan keamanan fisik (A.7.4), manajemen konfigurasi (A.8.9), penghapusan informasi (A.8.10), penyamaran data (A.8.11), pencegahan kebocoran data (A.8.12), aktivitas pemantauan (A.8.16), penyaringan web (A.8.23), dan pengodean yang aman (A.8.28). Beberapa di antaranya terasa sangat relevan bagi perusahaan yang mengembangkan perangkat lunak dan memproduksi perangkat keras sendiri.
Catatan transisi: batas akhir transisi sertifikat ISO 27001:2013 ke edisi 2022 jatuh pada 31 Oktober 2025, sehingga sertifikasi baru praktis hanya menggunakan edisi 2022. Pada 23 Februari 2024 terbit pula Amendemen 1 yang menambahkan pertimbangan perubahan iklim pada Klausul 4.1 dan 4.2. Amendemen ini tidak membentuk edisi baru. Hingga kini tidak ada edisi ISO 27001:2026.
Dalam kasus Pasqal, sertifikat tidak berhenti di tim keamanan siber. Cakupannya merentang dari laboratorium dan produksi sampai pengadaan, penjualan, dan fungsi hukum. Cara membaca cakupan semacam itu penting, sebab nilai sertifikat ISO 27001 ditentukan oleh ruang lingkupnya. Sertifikat dengan lingkup sempit tetap sah, tetapi jaminan yang diberikannya juga lebih sempit. Lima pelajaran berikut bisa diterapkan oleh organisasi di sektor apa pun, besar maupun kecil.
Samakan ruang lingkup dengan tempat informasi paling berharga berada
Pasqal memasukkan riset dan pengembangan perangkat keras, produksi, perangkat lunak, pengadaan, hingga hukum dan kekayaan intelektual. Informasi bernilai tinggi hampir selalu tersebar di banyak fungsi. Mulailah dari pertanyaan sederhana: di mana data pelanggan, rancangan produk, dan kode sumber diproses, disimpan, serta diakses, lalu masukkan semua tempat itu ke dalam lingkup.
Bangun keamanan di dalam proses, bukan sebagai lapisan tambahan
Pernyataan CEO Pasqal menekankan bahwa kepercayaan dibangun sejak awal. Dalam praktik ISO 27001, artinya persyaratan keamanan masuk ke tahap desain, pengembangan, produksi, dan dukungan, dan dinilai risikonya sejak sebelum produk diluncurkan.
Kelola lokasi di banyak negara dengan satu sistem yang konsisten
Sertifikat Pasqal meliputi Prancis, Kanada, dan Arab Saudi. Organisasi multi-lokasi perlu satu kebijakan induk, satu metode penilaian risiko, dan satu Statement of Applicability, lalu menyesuaikan prosedur lokal dengan hukum setempat tanpa memecah standar.
Perlakukan kekayaan intelektual dan rantai pasok sebagai bagian dari risiko informasi
Fungsi pengadaan dan hukum yang masuk ke dalam lingkup menunjukkan bahwa pemasok dan perjanjian kerahasiaan ikut diperiksa. Kontrol pengelolaan pemasok dan layanan cloud sering menjadi pokok pertanyaan auditor.
Gunakan audit pihak ketiga terakreditasi sebagai bukti, bukan hiasan
Audit oleh SGS di bawah akreditasi COFRAC memberi bobot pada sertifikat. Untuk organisasi Anda, pastikan lembaga sertifikasi yang dipilih terakreditasi untuk ISO/IEC 27001 agar sertifikatnya diakui pelanggan dan mitra.
Setelah melihat pelajaran dari kasus ini, wajar bila Anda ingin tahu bagaimana memulainya di organisasi sendiri. Alurnya secara umum sama untuk perusahaan teknologi, jasa profesional, manufaktur, maupun lembaga keuangan, dan enam langkah berikut memberi gambaran urutannya.
Analisis kesenjangan
Bandingkan praktik saat ini dengan Klausul 4 sampai 10 dan 93 kontrol Lampiran A untuk melihat jarak yang harus ditempuh.
Tetapkan ruang lingkup dan inventarisasi aset
Tentukan unit, lokasi, sistem, dan data yang masuk SMKI, lalu petakan aset informasi beserta pemiliknya.
Nilai dan perlakukan risiko
Identifikasi ancaman dan kerentanan, tentukan tingkat risiko, pilih kontrol pada proses Klausul 6.1.3, lalu susun Statement of Applicability yang menjelaskan kontrol mana yang berlaku dan alasannya.
Susun kebijakan, prosedur, dan program kesadaran
Dokumentasikan kebijakan keamanan, kendali akses, penanganan insiden, dan keberlangsungan bisnis, lalu latih seluruh pegawai termasuk pimpinan.
Jalankan audit internal dan tinjauan manajemen
Temukan ketidaksesuaian sendiri sebelum auditor eksternal datang, lalu laporkan hasilnya kepada manajemen puncak untuk diputuskan tindak lanjutnya.
Lalui audit sertifikasi dua tahap
Tahap 1 meninjau kesiapan dokumen, Tahap 2 memverifikasi penerapan di lapangan. Sertifikat berlaku tiga tahun dengan audit surveilans setiap tahun.
Satu hal yang perlu diingat: sertifikat ISO 27001 membuktikan adanya sistem yang diaudit secara independen, bukan bahwa risiko menjadi nol. Nilainya baru terasa bila siklus penilaian risiko, audit internal, dan perbaikan benar-benar dijalankan setiap tahun. Selain itu, ISO 27001 bersifat sukarela dan tidak menggantikan kewajiban hukum, misalnya ketentuan pelindungan data pribadi yang berlaku di masing-masing negara.
Pertanyaan yang Sering Diajukan
Apa yang diumumkan Pasqal pada 15 Oktober 2026?
Pasqal, perusahaan komputasi kuantum atom netral berbasis Prancis, mengumumkan bahwa SMKI-nya tersertifikasi ISO/IEC 27001:2022 setelah audit independen oleh SGS di bawah akreditasi COFRAC. Sertifikat mencakup lokasi di Prancis, Kanada, dan Arab Saudi, sebagaimana tertulis dalam siaran pers yang didistribusikan GlobeNewswire.
Apa perbedaan ISO 27001:2022 dan ISO 27001:2013?
Edisi 2022 menata Lampiran A menjadi 93 kontrol dalam empat tema (organisasional 37, orang 8, fisik 14, teknologi 34), sedangkan edisi 2013 memiliki 114 kontrol dalam 14 domain. Edisi 2022 menambahkan 11 kontrol baru, antara lain intelijen ancaman, keamanan layanan cloud, kesiapan TIK untuk keberlangsungan bisnis, pencegahan kebocoran data, dan pengodean yang aman. Batas akhir transisi sertifikat edisi 2013 adalah 31 Oktober 2025.
Apakah semua 93 kontrol Lampiran A wajib diterapkan?
Tidak. Lampiran A adalah himpunan acuan. Organisasi memilih kontrol melalui proses perlakuan risiko pada Klausul 6.1.3 dan mencatatnya dalam Statement of Applicability, termasuk alasan bila suatu kontrol dikecualikan.
Apakah ISO 27001 hanya untuk perusahaan teknologi besar?
Tidak. Standar ini berlaku untuk organisasi semua ukuran dan sektor yang mengelola informasi penting, termasuk perusahaan manufaktur, jasa profesional, layanan kesehatan, logistik, dan lembaga keuangan. Ruang lingkup dapat disesuaikan dengan skala dan risiko organisasi.
Berapa lama sertifikat ISO 27001 berlaku?
Sertifikat berlaku tiga tahun dan dipertahankan melalui audit surveilans tahunan. Menjelang akhir siklus dilakukan audit resertifikasi.
Siap Membangun Sistem Keamanan Informasi Berstandar ISO 27001?
Arafar Nusa mendampingi organisasi dari berbagai sektor dalam membangun sistem manajemen berstandar ISO, dari analisis kesenjangan hingga hari audit sertifikasi. Konsultasi pertama gratis.
💬 Konsultasi Gratis via WhatsApp