Banyak perusahaan tahu mereka "butuh ISO 27001", tetapi bingung soal urutan langkahnya: harus mulai dari mana, apa saja yang dikerjakan, dan kapan auditor datang. Artikel ini memetakan seluruh perjalanan sertifikasi ISO 27001:2022 — dari nol sampai sertifikat terbit — dalam tahapan yang jelas.
Kunci memahaminya: proses ini terbagi menjadi dua fase besar. Fase persiapan/implementasi (Anda kerjakan, dibantu konsultan atau platform) dan fase audit sertifikasi (dilakukan oleh badan sertifikasi terakreditasi). Memisahkan keduanya membuat seluruh proses jauh lebih mudah dipahami.
Fase 1 — Persiapan & Implementasi (yang Anda kerjakan)
1. Gap assessment & penetapan scope
Nilai kondisi saat ini terhadap ISO 27001:2022 dan tetapkan ruang lingkup. Hasilnya jadi peta pekerjaan dan dasar estimasi biaya.
2. Komitmen manajemen, kebijakan & peran
Tetapkan kebijakan keamanan informasi, tujuan, serta peran dan tanggung jawab. ISMS tidak berjalan tanpa dukungan pimpinan.
3. Penilaian risiko, RTP & SoA
Identifikasi aset & risiko, tentukan penanganannya, lalu susun Statement of Applicability (SoA) berikut justifikasinya.
4. Penerapan kontrol Annex A
Dari 93 kontrol dalam 4 tema (Organisasi, Orang, Fisik, Teknologi), terapkan yang relevan — lengkap dengan bukti pelaksanaan.
5. Pelatihan & awareness
Karyawan memahami kebijakan dan peran mereka. Bukti pelatihan menjadi bagian dari penilaian audit.
6. Audit internal & tinjauan manajemen
"Gladi bersih" sebelum auditor eksternal datang — temukan dan tutup gap, lalu manajemen meninjau kesiapan.
Fase 2 — Audit Sertifikasi (oleh badan sertifikasi)
7. Audit Stage 1 (tinjauan dokumentasi)
Auditor badan sertifikasi memeriksa dokumentasi ISMS Anda dan menilai kesiapan untuk audit penuh. Temuan diperbaiki sebelum Stage 2.
8. Audit Stage 2 (audit sertifikasi)
Auditor menilai apakah ISMS benar-benar diterapkan dan efektif — bukan sekadar ada di dokumen. Bukti pelaksanaan kontrol diperiksa di lapangan.
9. Penerbitan sertifikat
Bila lolos, badan sertifikasi menerbitkan sertifikat ISO 27001:2022 yang berlaku tiga tahun.
10. Surveillance & resertifikasi
Selama tiga tahun ada audit surveillance rutin (umumnya tahunan). Di akhir siklus dilakukan resertifikasi.
Siapa mengerjakan apa
Penting untuk tidak salah paham: tahap 1–6 adalah pekerjaan organisasi Anda (boleh dibantu konsultan/platform), sedangkan tahap 7–10 dilakukan oleh badan sertifikasi terakreditasi. Penyedia jasa implementasi mendampingi Anda agar siap dan lolos — tetapi tidak menerbitkan sertifikat.
Waspadai "sertifikat tanpa audit"
Berapa lama seluruh prosesnya?
Dengan cara manual, perjalanan ini umumnya memakan 6–9 bulan. Dengan platform dan pendampingan terstruktur — yang memangkas pekerjaan asesmen dan dokumentasi — banyak organisasi mencapai kesiapan audit dalam sekitar 3 bulan. Setelah itu, jadwal audit Stage 1 dan Stage 2 mengikuti ketersediaan badan sertifikasi.
Cara membuat tahapan ini lebih cepat dan mulus
- Mulai dari gap assessment — agar tahu persis apa yang perlu dikerjakan dan tidak membuang waktu.
- Tetapkan scope yang fokus — jangan langsung seluruh perusahaan jika belum perlu.
- Pakai template & platform — untuk dokumentasi (kebijakan, risk register, SoA) yang paling memakan waktu.
- Kumpulkan bukti sejak awal — bukan dadakan menjelang audit.
- Lakukan audit internal serius — temuan yang Anda tangani sendiri lebih murah daripada ketidaksesuaian saat Stage 2.
Langkah pertama: ketahui posisi Anda
Tahap pertama menentukan semua tahap berikutnya. Sebelum menyusun rencana atau anggaran, ketahui dulu seberapa siap organisasi Anda dan di mana gap-nya. Anda bisa memulainya gratis lewat Cek Kesiapan ISO 27001 — hasilnya menjadi dasar roadmap dan estimasi biaya yang akurat.
Mulai dari Cek Kesiapan gratis
7 menit untuk memetakan posisi Anda terhadap 93 kontrol ISO 27001:2022, lalu bandingkan layanan kami atau jadwalkan konsultasi.
Pertanyaan yang sering diajukan
smkionline.id adalah penyedia jasa konsultasi dan platform implementasi ISO/IEC 27001:2022, dan tidak menerbitkan sertifikasi ISO 27001. Estimasi waktu pada artikel ini bersifat gambaran umum dan dapat berbeda menurut ukuran dan kesiapan organisasi.