ISO/IEC 27001 adalah standar sistem manajemen keamanan informasi (SMKI) yang semakin banyak diminta klien di sektor teknologi, jasa keuangan, dan layanan publik. Sama seperti standar ISO lainnya, biaya sertifikasi ISO 27001 tidak memiliki tarif tunggal – besarnya ditentukan oleh cakupan dan kompleksitas sistem informasi yang disertifikasi.
Apa saja yang termasuk dalam biaya sertifikasi ISO 27001?
- Audit Tahap 1 – peninjauan dokumen SMKI, termasuk Statement of Applicability (SoA), kebijakan keamanan informasi, dan hasil penilaian risiko.
- Audit Tahap 2 – verifikasi penerapan kontrol keamanan di lapangan, termasuk wawancara staf dan pengecekan bukti operasional.
- Surveilans tahunan – kunjungan audit setiap tahun untuk memastikan kontrol keamanan tetap efektif dan terus diperbarui sesuai perubahan risiko.
- Resertifikasi – audit menyeluruh setiap 3 tahun untuk memperbarui sertifikat.
Faktor yang membuat biaya ISO 27001 berbeda-beda
Dibanding ISO 9001, biaya audit ISO 27001 punya beberapa pertimbangan tambahan yang spesifik untuk keamanan informasi.
- Jumlah kontrol yang diterapkan – organisasi yang menerapkan lebih banyak kontrol dari Annex A (versi terbaru: ISO/IEC 27001:2022) membutuhkan waktu verifikasi yang lebih panjang.
- Cakupan sistem informasi – sertifikasi yang mencakup banyak aplikasi, pusat data, atau infrastruktur cloud biasanya memerlukan hari audit lebih banyak dibanding organisasi dengan sistem informasi yang lebih terpusat.
- Jumlah karyawan dan lokasi – sama seperti standar ISO lain, semakin besar organisasi dan semakin banyak lokasi fisik yang tercakup, semakin besar pula hari audit yang dibutuhkan.
- Tingkat kematangan keamanan informasi saat ini – organisasi yang sudah memiliki kebijakan keamanan informasi dan proses manajemen risiko yang matang cenderung lebih siap menghadapi audit Tahap 1, sehingga prosesnya lebih efisien.
Kisaran biaya di pasar Indonesia
Untuk organisasi skala kecil-menengah dengan cakupan sistem informasi yang tidak terlalu luas, biaya audit awal ISO 27001 di Indonesia umumnya berada pada kisaran puluhan juta rupiah, dengan biaya surveilans tahunan yang lebih rendah. Karena keamanan informasi sangat bergantung pada kompleksitas teknis masing-masing organisasi, kisaran ini hanya gambaran umum dan bukan patokan pasti.
Langkah selanjutnya
Untuk mendapatkan estimasi yang sesuai dengan cakupan sistem informasi perusahaan Anda, kirimkan gambaran singkat lingkup SMKI yang ingin disertifikasi. Tim Sertifin akan meninjau lingkup tersebut dan memberikan rincian tahapan audit beserta estimasi biaya secara transparan sebelum kontrak ditandatangani.
