Pada 9 Oktober 2026, The Business Standard melaporkan bahwa The Premier Bank PLC, bank swasta di Bangladesh, resmi meraih sertifikasi ISO 27001:2022 untuk Sistem Manajemen Keamanan Informasi (SMKI) miliknya. Sertifikat diserahkan kepada Managing Director bank, Md Monzur Mofiz, di kantor pusat bank di Shanta Pinnacle, dengan dihadiri jajaran direksi dan eksekutif senior, perwakilan Bureau Veritas, serta konsultan pendamping EIC Limited.
Berita ini bukan sekadar kabar seremonial dari sektor perbankan. Bank menyimpan data yang paling sensitif dalam kehidupan ekonomi: identitas, rekening, riwayat transaksi, dan posisi keuangan nasabah. Satu insiden kebocoran data di bank tidak hanya merugikan nasabah, tetapi dapat meruntuhkan kepercayaan, yaitu aset yang paling mahal untuk dibangun kembali. Karena itu, sertifikasi keamanan informasi yang dapat diverifikasi pihak independen menjadi sinyal yang semakin dicari oleh nasabah, regulator, dan mitra bisnis.
Pelajaran apa yang bisa dipetik oleh bank, fintech, maupun perusahaan di sektor lain dari langkah Premier Bank? Mari kita lihat faktanya terlebih dahulu, lalu bahas persyaratan ISO 27001:2022 dan tantangan implementasinya di sektor perbankan.
📌 Studi Kasus: The Premier Bank PLC (Bangladesh), ISO 27001:2022, Oktober 2026
Menurut laporan The Business Standard (9 Oktober 2026), sertifikasi ISO 27001:2022 yang diraih Premier Bank mencakup lima ruang lingkup: Divisi Teknologi Informasi, Divisi IT Security and Governance, Divisi Sumber Daya Manusia (HR), pusat data (data centre), dan lokasi pemulihan bencana (disaster recovery site).
Bank menyatakan bahwa sertifikasi ini mengakui kemampuannya menjamin kerahasiaan, integritas, dan ketersediaan informasi, serta mencerminkan komitmen melindungi data nasabah dan mengelola risiko siber secara efektif. EIC Limited mendampingi bank selama proses sertifikasi, dan CEO-nya, Moshiul Islam, hadir pada acara penyerahan sertifikat.
Ringkasan fakta: standar ISO/IEC 27001:2022, ruang lingkup mencakup IT, IT security and governance, HR, data centre, dan DR site. Sumber: The Business Standard, 9 Oktober 2026.
Mengapa Berita Ini Penting bagi Pebisnis
Ada dua hal yang membuat kasus Premier Bank layak dicermati, bahkan oleh perusahaan di luar perbankan. Pertama, cakupan sertifikasinya tidak berhenti di tim IT. Divisi Sumber Daya Manusia dan fasilitas pemulihan bencana masuk ke dalam ruang lingkup. Kedua, penyerahan sertifikat dilakukan di tingkat Managing Director dan dihadiri deputi MD, kepala risiko, kepala teknologi informasi, hingga Chief Information Security Officer (CISO). Keamanan informasi diperlakukan sebagai agenda manajemen, bukan urusan teknis semata.
Dua pola ini sejalan dengan filosofi ISO 27001: keamanan informasi adalah sistem manajemen yang melibatkan orang, proses, dan teknologi, bukan sekadar pembelian firewall atau perangkat lunak antivirus.
Apa Itu ISO 27001:2022 dan Apa yang Dipersyaratkan?
ISO/IEC 27001:2022 adalah standar internasional untuk Sistem Manajemen Keamanan Informasi. Standar ini menuntut organisasi menetapkan, menerapkan, memelihara, dan terus memperbaiki SMKI berbasis risiko. Tiga sasaran utamanya dikenal sebagai segitiga CIA: Confidentiality (kerahasiaan, informasi hanya diakses pihak berwenang), Integrity (integritas, informasi akurat dan tidak diubah tanpa izin), dan Availability (ketersediaan, informasi dapat diakses saat dibutuhkan).
Struktur persyaratan intinya mengikuti High Level Structure yang sama dengan ISO 9001 dan ISO 14001, yaitu Klausul 4 sampai 10: konteks organisasi, kepemimpinan, perencanaan (termasuk penilaian dan perlakuan risiko), dukungan, operasi, evaluasi kinerja, dan perbaikan. Lampiran A memuat 93 kontrol keamanan yang dikelompokkan dalam empat tema: organisasional (37 kontrol), orang (8), fisik (14), dan teknologi (34). Versi 2022 mengganti versi 2013 yang memiliki 114 kontrol, dengan 11 kontrol baru, antara lain threat intelligence, keamanan layanan cloud, kesiapan TIK untuk keberlangsungan bisnis, data masking, pencegahan kebocoran data, dan secure coding.
| Tema Kontrol (Lampiran A) | Jumlah | Contoh Relevansi di Bank |
|---|---|---|
| Organisasional | 37 | Kebijakan keamanan informasi, manajemen pemasok, keberlangsungan bisnis, kepatuhan regulasi |
| Orang | 8 | Proses seleksi pegawai, kesadaran dan pelatihan, tanggung jawab setelah pegawai keluar |
| Fisik | 14 | Keamanan ruang server dan pusat data, pemantauan akses fisik |
| Teknologi | 34 | Kontrol akses, enkripsi, pencegahan kebocoran data, pencatatan dan pemantauan, secure coding |
Catatan transisi: sertifikat ISO 27001:2013 sudah harus bermigrasi ke versi 2022. Batas akhir transisi yang ditetapkan IAF adalah 31 Oktober 2025. Organisasi yang saat ini mengejar sertifikasi baru praktis hanya bisa memakai versi 2022, sebagaimana yang dilakukan Premier Bank.
Tantangan Khusus ISO 27001 di Sektor Perbankan
Perbankan adalah salah satu sektor yang paling cocok sekaligus paling menantang untuk ISO 27001. Cocok, karena nilai informasi yang dikelola sangat tinggi. Menantang, karena kompleksitasnya juga tinggi. Tantangan yang paling sering muncul antara lain:
- Lanskap sistem yang luas. Core banking, mobile dan internet banking, ATM, kartu, API ke mitra fintech, dan aplikasi pihak ketiga harus dipetakan sebagai aset informasi dan dinilai risikonya.
- Ketergantungan pada pemasok dan layanan cloud. Kontrol manajemen pemasok dan keamanan layanan cloud (kontrol baru 2022) menjadi sorotan auditor.
- Keberlangsungan layanan 24/7. Pusat data dan lokasi pemulihan bencana harus terbukti mampu diaktifkan, bukan hanya tercantum di dokumen.
- Faktor manusia. Phishing dan rekayasa sosial menyasar pegawai, sehingga seleksi, pelatihan, dan disiplin akses harus dikelola bersama fungsi SDM.
- Keselarasan dengan regulasi. Di Indonesia, bank tunduk pada ketentuan OJK terkait penyelenggaraan teknologi informasi dan manajemen risiko, serta UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. ISO 27001 membantu menyusun sistem yang mendukung kepatuhan, tetapi tidak menggantikan kewajiban hukum.
5 Pelajaran Konkret dari Sertifikasi Premier Bank
Tetapkan Ruang Lingkup yang Mencerminkan Risiko Nyata, Bukan Hanya Tim IT
Premier Bank memasukkan Divisi IT, IT Security and Governance, HR, data centre, dan DR site ke dalam ruang lingkup. Pesannya jelas: risiko informasi tersebar di fungsi pendukung, lokasi fisik, dan orang. Ruang lingkup yang terlalu sempit memang lebih mudah dicapai, tetapi memberi jaminan yang lebih lemah kepada nasabah dan mitra. Mulailah dari pertanyaan: di mana informasi paling kritis diproses, disimpan, dan diakses?
Libatkan Fungsi SDM sejak Awal
Masuknya Divisi SDM dalam ruang lingkup mengakui bahwa keamanan informasi dimulai dari rekrutmen sampai pegawai berhenti: pemeriksaan latar belakang, perjanjian kerahasiaan, pelatihan kesadaran keamanan, serta pencabutan akses saat pegawai pindah atau keluar. Kontrol tema Orang di Lampiran A hanya berjalan jika SDM menjadi pemilik prosesnya.
Pastikan Kepemimpinan Hadir, Bukan Sekadar Menandatangani
Penyerahan sertifikat kepada Managing Director yang dihadiri jajaran eksekutif senior, termasuk CISO, menunjukkan keamanan informasi dibawa ke level manajemen. Klausul 5 ISO 27001 mensyaratkan manajemen puncak memastikan kebijakan, sumber daya, dan peran tanggung jawab tersedia. Tanpa dukungan ini, anggaran dan prioritas keamanan biasanya kalah oleh target bisnis jangka pendek.
Uji Keberlangsungan: Pusat Data dan Lokasi DR Harus Terbukti
Dimasukkannya data centre dan DR site ke dalam ruang lingkup berarti keduanya diaudit. Auditor akan mencari bukti: apakah rencana pemulihan pernah diuji, apakah waktu pemulihan tercapai, dan apakah hasil uji dipakai memperbaiki prosedur. Kontrol baru 2022 tentang kesiapan TIK untuk keberlangsungan bisnis memperkuat tuntutan ini.
Gunakan Pendamping Berpengalaman dan Validasi Independen
Premier Bank didampingi EIC Limited selama proses, dan perwakilan Bureau Veritas hadir pada acara penyerahan sertifikat. Pola ini lazim: konsultan membantu membangun sistem, sedangkan lembaga sertifikasi independen memverifikasinya. Nilai sertifikat terletak pada audit pihak ketiga yang objektif, bukan pada dokumen yang dibuat sendiri.
Intinya: sertifikat ISO 27001 membuktikan bahwa organisasi memiliki sistem yang diaudit secara independen, bukan bahwa risiko menjadi nol. Nilainya muncul dari kedisiplinan menjalankan siklus penilaian risiko, perlakuan risiko, audit internal, dan perbaikan berkelanjutan setiap tahun.
Langkah Memulai ISO 27001 di Organisasi Anda
Baik Anda bank, perusahaan teknologi, maupun penyedia jasa yang menyimpan data pelanggan, alur implementasinya relatif serupa:
Analisis gap
Bandingkan praktik keamanan saat ini dengan Klausul 4 sampai 10 dan 93 kontrol Lampiran A untuk melihat jarak yang harus ditempuh.
Tetapkan ruang lingkup dan inventarisasi aset
Tentukan unit, lokasi, sistem, dan data yang masuk SMKI, lalu petakan aset informasi beserta pemiliknya.
Lakukan penilaian dan perlakuan risiko
Identifikasi ancaman dan kerentanan, tentukan tingkat risiko, pilih kontrol, dan susun Statement of Applicability (SoA) yang menjelaskan kontrol mana yang berlaku dan alasannya.
Bangun kebijakan, prosedur, dan kesadaran
Dokumentasikan kebijakan keamanan, kendali akses, manajemen insiden, dan keberlangsungan bisnis, serta latih seluruh pegawai, termasuk SDM dan manajemen.
Jalankan audit internal dan tinjauan manajemen
Temukan ketidaksesuaian sendiri sebelum auditor eksternal datang, lalu laporkan hasilnya kepada manajemen puncak.
Audit sertifikasi dua tahap
Tahap 1 meninjau kesiapan dokumen, Tahap 2 memverifikasi penerapan. Sertifikat berlaku tiga tahun dengan audit surveilans tahunan.
Pertanyaan yang Sering Diajukan
Apa perbedaan ISO 27001:2022 dan ISO 27001:2013?
ISO 27001:2022 mengelompokkan kontrol Lampiran A menjadi 93 kontrol dalam empat tema (organisasional, orang, fisik, teknologi), sedangkan versi 2013 memiliki 114 kontrol dalam 14 domain. Versi 2022 menambahkan 11 kontrol baru, seperti threat intelligence, keamanan layanan cloud, kesiapan TIK untuk keberlangsungan bisnis, data masking, pencegahan kebocoran data, dan secure coding. Batas akhir transisi sertifikat versi 2013 adalah 31 Oktober 2025.
Apakah bank wajib memiliki sertifikat ISO 27001?
ISO 27001 pada dasarnya adalah standar sukarela dan bukan pengganti kewajiban hukum. Namun bank tetap harus memenuhi ketentuan regulator di negaranya terkait teknologi informasi, manajemen risiko, dan pelindungan data. Banyak bank memilih ISO 27001 karena kerangkanya membantu menunjukkan kepatuhan dan memberi keyakinan kepada nasabah serta mitra.
Berapa lama proses sertifikasi ISO 27001?
Lamanya bergantung pada kematangan keamanan, luas ruang lingkup, dan sumber daya. Organisasi dengan ruang lingkup terbatas dan praktik keamanan yang sudah berjalan biasanya membutuhkan beberapa bulan, sedangkan ruang lingkup luas seperti lembaga keuangan dengan banyak sistem dapat memerlukan lebih lama. Tahapannya mencakup analisis gap, penilaian risiko, dokumentasi, pelatihan, audit internal, tinjauan manajemen, dan audit sertifikasi dua tahap.
Apakah ISO 27001 hanya untuk perusahaan besar atau sektor keuangan?
Tidak. ISO 27001 berlaku untuk organisasi semua ukuran dan sektor yang mengelola informasi penting, termasuk perusahaan perangkat lunak, layanan kesehatan, logistik, dan jasa profesional. Ruang lingkup dapat disesuaikan dengan skala dan risiko organisasi.
Apa itu Statement of Applicability (SoA)?
SoA adalah dokumen wajib yang mendaftar seluruh kontrol Lampiran A, menyatakan mana yang diterapkan atau dikecualikan beserta alasannya, dan status penerapannya. Dokumen ini menjadi acuan utama auditor untuk memahami cara organisasi memperlakukan risiko keamanan informasinya.
Siap Membangun Sistem Keamanan Informasi Berstandar ISO 27001?
Arafar Nusa mendampingi organisasi dari berbagai sektor dalam membangun sistem manajemen berstandar ISO, dari analisis gap hingga hari audit sertifikasi. Konsultasi pertama gratis.
💬 Konsultasi Gratis via WhatsApp