ISO 27001 dan Penilaian Vendor Zero-Knowledge
ISO 27001 adalah standar keamanan informasi internasional terkemuka. Sertifikasi ISO 27001 semakin menjadi persyaratan untuk vendor yang menangani data sensitif — tetapi interaksinya dengan klaim zero-knowledge perlu dipahami dengan cermat.
Apa yang Dicakup ISO 27001
ISO 27001 mendefinisikan persyaratan untuk Sistem Manajemen Keamanan Informasi (ISMS). Ini mencakup:
- Manajemen risiko dan kontrol keamanan
- Keamanan aset informasi
- Keamanan fisik dan lingkungan
- Kontrol akses dan manajemen identitas
- Keamanan operasional dan komunikasi
- Manajemen insiden keamanan informasi
- Kelangsungan bisnis
Apa yang TIDAK Dicakup ISO 27001
ISO 27001 tidak menjamin:
- Bahwa vendor tidak dapat mengakses data Anda (kecuali kontrol spesifik diterapkan)
- Enkripsi zero-knowledge atau perlindungan kriptografi tertentu
- Kepatuhan GDPR atau regulasi privasi lainnya (meskipun tumpang tindih)
- Keamanan mutlak atau imunitas pelanggaran
Sertifikasi berarti organisasi memiliki proses keamanan yang terdokumentasi dan diaudit — bukan bahwa data Anda secara teknis tidak dapat diakses.
ISO 27001 + Zero-Knowledge: Kombinasi Optimal
Untuk vendor yang menangani PII sensitif, kombinasi terbaik adalah:
- ISO 27001 untuk membuktikan proses keamanan yang matang dan dapat diaudit
- Arsitektur zero-knowledge untuk memberikan jaminan teknis bahwa data tidak dapat diakses oleh vendor
Keduanya melengkapi satu sama lain. ISO 27001 tanpa zero-knowledge masih meninggalkan penyedia akses ke data. Zero-knowledge tanpa ISO 27001 mungkin tidak memiliki kontrol proses yang diperlukan untuk audit enterprise.
Pertanyaan Penilaian Vendor Berbasis ISO 27001
Saat mengevaluasi vendor menggunakan kerangka ISO 27001:
| Kontrol Annex A | Pertanyaan Spesifik |
|---|---|
| A.8.3 Penanganan media | Di mana data Anda disimpan secara fisik? |
| A.9.4 Kontrol akses sistem | Siapa yang dapat mengakses data pelanggan? |
| A.10.1 Kriptografi | Algoritma apa yang digunakan? Siapa yang memegang kunci? |
| A.12.3 Backup | Bagaimana backup dienkripsi dan siapa yang memegang kunci backup? |
| A.15.1 Keamanan rantai pasokan | Sub-processor mana yang digunakan? |
| A.16.1 Manajemen insiden | Apa SLA notifikasi pelanggaran Anda? |
Mempersiapkan Penilaian Vendor
Jika organisasi Anda sedang dinilai sebagai vendor, siapkan:
- Sertifikat ISO 27001 Anda (dengan tanggal kedaluwarsa)
- Ruang lingkup sertifikasi (tidak semua layanan mungkin tercakup)
- Laporan audit terbaru (atau ringkasan eksekutif)
- Daftar sub-processor dengan status sertifikasi mereka
- Dokumentasi arsitektur kriptografi untuk klaim zero-knowledge
anonym.legal sedang dalam proses ISO 27001 dan saat ini menyediakan dokumentasi keamanan komprehensif untuk kuisioner vendor.
Sumber:
- ISO/IEC 27001:2022 — Information security management systems
- BSI: ISO 27001 Implementation Guide