Kontrol Cloud Security ISO 27017: Perbedaan 27001, Daftar Lengkap, & Implementation

Kontrol cloud security ISO 27017 tidak menggantikan kontrol ISO 27001, tetapi menambahkan panduan dan kontrol khusus untuk keamanan cloud. 

ISO 27001 menjadi kerangka utama Sistem Manajemen Keamanan Informasi (SMKI), sedangkan ISO 27017 memberikan praktik dan kontrol tambahan untuk menangani risiko yang muncul dari penggunaan serta penyediaan layanan cloud. 

Implementasi ISO 27017 perlu dimulai dengan memahami layanan cloud yang digunakan, menentukan siapa yang bertanggung jawab atas setiap aspek keamanan, melakukan penilaian risiko, kemudian menerapkan kontrol yang sesuai dan mendokumentasikan penerapannya. 

Baca juga: ISO 27017 Keamanan Cloud: Panduan Standar dan Evaluasi

Perbedaan ISO 27017 vs ISO 27001: Kenapa Cloud-Specific Kontrol Perlu?

ISO/IEC 27001 merupakan standar utama untuk membangun, menerapkan, memelihara, dan meningkatkan Information Security Management System (ISMS/SMKI) berbasis risiko. Sementara itu, ISO/IEC 27017 merupakan panduan kontrol keamanan informasi yang secara khusus ditujukan untuk layanan cloud. 

ISO 27017 diperlukan karena karakteristik cloud menimbulkan risiko dan pembagian tanggung jawab yang tidak selalu tercakup secara spesifik dalam ISO 27001. Misalnya, pemisahan lingkungan virtual, pengelolaan aset pelanggan cloud, serta pembagian tanggung jawab keamanan antara cloud service provider dan cloud service customer. 

Keduanya tetap saling berkaitan. ISO 27017 bukan pengganti, tetapi melengkapi penerapan ISO 27001 agar lebih relevan dengan lingkungan cloud. Beberapa kontrol dalam ISO 27001 tetap digunakan, tetapi ISO 27017 memberikan panduan yang lebih spesifik untuk konteks cloud serta kontrol tambahan tertentu. 

Baca juga: Mengoptimalkan Keamanan Informasi Perusahaan Melalui Integrasi ISO 27701 dan ISO 27001

Perbandingan ISO 27001 vs ISO 27017

ISO 27001 berfokus pada sistem manajemen keamanan informasi secara menyeluruh untuk berbagai jenis organisasi dan lingkungan teknologi. Sedangkan ISO 27017 berfokus pada keamanan layanan cloud. 

ISO 27001 menetapkan persyaratan SMKI dan menyediakan kontrol keamanan yang dapat dipilih berdasarkan risiko. Sementara ISO 27017 memberikan panduan implementasi dalam konteks cloud serta sejumlah kontrol tambahan yang membahas karakteristik khusus layanan cloud. 

Dengan kata lain, organisasi yang menggunakan cloud dapat menjadikan ISO 27001 sebagai kerangka utama dan menggunakan ISO 27017 untuk memperjelas bagaimana keamanan tersebut diterapkan dalam lingkungan cloud.

Kontrol 27001 yang Dimodifikasi untuk Cloud (27017)

ISO/IEC 27017:2026 memberikan panduan tambahan untuk penerapan kontrol keamanan di lingkungan cloud. Jadi, ISO 27001 tetap menjadi dasar, tetapi penerapannya perlu mempertimbangkan karakteristik cloud seperti shared responsibility, penggunaan infrastruktur virtual, hubungan dengan cloud service provider, serta pengelolaan layanan cloud. Contohnya:

• Kebijakan keamanan informasi → kebijakan perlu mencakup penggunaan dan penyediaan layanan cloud.
• Peran dan tanggung jawab keamanan → perlu memperjelas tanggung jawab organisasi dan cloud service provider.
• Pengelolaan aset → mempertimbangkan aset, data, dan sumber daya yang ditempatkan pada cloud.
• Kontrol akses → memperhatikan akses administrator, pengguna, dan pihak yang mengelola layanan cloud.
• Hubungan dengan pemasok → persyaratan keamanan perlu dituangkan dalam hubungan dan perjanjian layanan cloud.

Kontrol 27017 Tambahan yang TIDAK Ada di 27001

Selain memberikan panduan cloud-specific, ISO/IEC 27017:2026 memiliki 4 kontrol khusus yang tidak ada di ISO 27001. Keempat kontrol tersebut secara khusus menangani risiko yang muncul dari karakteristik layanan cloud, seperti pembagian tanggung jawab, hubungan dengan partner cloud, isolasi lingkungan virtual, dan penggunaan layanan cloud tanpa otorisasi. 

• 5.38 CLD – Shared roles and responsibilities within a cloud computing environment

Menetapkan pembagian peran dan tanggung jawab keamanan antara organisasi pengguna cloud dan penyedia layanan cloud. Tujuannya agar jelas siapa yang bertanggung jawab atas data, akses, konfigurasi, keamanan infrastruktur, dan pengelolaan insiden.

• 5.39 CLD  – Agreement on the roles and responsibilities of the cloud service partner

Memastikan peran dan tanggung jawab penyedia layanan cloud dituangkan secara jelas dalam perjanjian/kontrak. Dengan begitu, kewajiban terkait keamanan informasi, perlindungan data, incident response, dan layanan cloud dapat dipahami dan disepakati kedua pihak. 

• 8.35 CLD – Segregation in virtual computing environment

Memastikan adanya pemisahan (segregation) lingkungan virtual agar satu pengguna, sistem, atau workload tidak dapat mengakses atau memengaruhi lingkungan pengguna lainnya secara tidak sah. Kontrol ini penting dalam cloud dengan model multi-tenant. 

• 8.36 CLD – Detection and prevention of unauthorized use of cloud services

Menerapkan mekanisme untuk mendeteksi dan mencegah penggunaan layanan cloud secara tidak sah, misalnya penggunaan akun tanpa izin, layanan cloud yang tidak disetujui, atau aktivitas mencurigakan. Tujuannya mengurangi risiko shadow IT, kebocoran data, dan penyalahgunaan resource cloud. 

Shared Responsibility Model: Siapa Responsible Apa?

Kategori Kontrol ISO 27017 Cloud

Kontrol ISO/IEC 27017:2026 berfokus pada pengamanan layanan cloud dengan memperjelas penerapan kontrol keamanan serta pembagian tanggung jawab antara Cloud Service Provider (CSP) dan Cloud Service Customer (CSC).

Secara praktis, kontrol dapat dikelompokkan ke dalam beberapa area utama:

• Governance & Responsibility — penetapan peran, tanggung jawab, kebijakan, dan persyaratan keamanan cloud.
• Asset & Data Security — pengelolaan aset, data, informasi, serta siklus hidup data dalam cloud.
• Identity & Access Control — pengelolaan identitas, autentikasi, hak akses, dan akses istimewa.
• Cloud Service & Supplier Security — evaluasi provider, perjanjian layanan, dan tanggung jawab keamanan pihak ketiga.
• Virtual & Network Security — perlindungan lingkungan virtual, jaringan, serta pemisahan antar lingkungan.
• Logging, Monitoring & Incident Management — pemantauan aktivitas, pencatatan log, deteksi kejadian, dan koordinasi respons insiden.
• Business Continuity & Compliance — memastikan keamanan tetap terjaga saat terjadi gangguan serta memenuhi persyaratan hukum dan kontraktual.

Self-Assessment Checklist

Sebelum melakukan audit formal, organisasi dapat melakukan self-assessment untuk mengetahui apakah kontrol keamanan cloud telah diterapkan secara memadai.

Baca juga: Checklist Implementasi ISO 27001: Panduan Kesiapan Audit SMKI Perusahaan

Kontrol yang Paling Sering Missed (Red Flags)

Beberapa area yang sering menjadi red flag ketika organisasi melakukan evaluasi keamanan cloud antara lain:

1. Tidak ada pembagian tanggung jawab yang jelas antara CSP dan customer.
2. Menganggap CSP bertanggung jawab atas seluruh keamanan tanpa melakukan verifikasi.
3. Hak akses administrator terlalu luas atau tidak ditinjau secara berkala.
4. MFA belum diterapkan pada akun dengan hak akses tinggi.
5. Logging tersedia tetapi tidak dimonitor atau ditindaklanjuti.
6. Tidak ada bukti evaluasi terhadap kontrol keamanan CSP.
7. Penggunaan layanan cloud tanpa persetujuan atau pengawasan organisasi (unauthorized/shadow cloud services).
8. Konfigurasi cloud berubah tanpa proses change management.
9. Tidak jelas siapa yang bertanggung jawab ketika terjadi insiden keamanan.
10. Bukti compliance tidak terdokumentasi sehingga kontrol yang sebenarnya sudah berjalan sulit dibuktikan saat audit.

Implementasi Kontrol per Cloud Platform

Penerapan ISO 27017 tidak dilakukan dengan cara yang sama pada setiap platform. AWS, Microsoft Azure, dan Google Cloud memiliki arsitektur, layanan, konfigurasi, serta mekanisme keamanan yang berbeda. Karena itu, organisasi perlu memetakan kontrol ISO 27017 ke layanan cloud yang benar-benar digunakan.

Bagaimana Membuktikan Compliance?

Internal Audit

Internal audit dilakukan untuk mengevaluasi apakah kontrol keamanan cloud telah dirancang dan diterapkan sesuai persyaratan organisasi serta standar yang relevan. Auditor dapat memeriksa dokumen, konfigurasi, log, hasil monitoring, bukti evaluasi CSP, serta melakukan wawancara dengan pemilik kontrol.

Hasil audit sebaiknya menghasilkan temuan, tingkat risiko, akar masalah, corrective action, PIC, dan target penyelesaian.

External Audit (Sertifikasi)

Untuk organisasi yang ingin memperoleh atau mempertahankan sertifikasi ISO 27001, kontrol cloud yang relevan dapat menjadi bagian dari ruang lingkup audit SMKI. ISO 27017 digunakan sebagai panduan tambahan untuk memperkuat pengamanan layanan cloud dan menunjukkan bahwa risiko cloud telah ditangani secara memadai.

Penting untuk membedakan bahwa ISO/IEC 27017 merupakan standar panduan keamanan cloud, bukan pengganti sertifikasi ISO 27001. Oleh karena itu, organisasi perlu menentukan ruang lingkup sertifikasi dan penerapan kontrol sesuai kebutuhan bisnis serta layanan cloud yang digunakan.

Continuous Monitoring

Keamanan cloud tidak cukup diperiksa satu kali ketika audit berlangsung. Continuous monitoring diperlukan untuk mengetahui perubahan konfigurasi, aktivitas mencurigakan, penyalahgunaan akses, kerentanan, dan perubahan risiko secara lebih cepat.

Monitoring dapat mencakup:

• Aktivitas akun dan administrator.
• Perubahan konfigurasi cloud.
• Percobaan akses yang tidak sah.
• Penggunaan layanan cloud baru.
• Security logs dan alert.
• Vulnerability dan security posture.
• Status corrective action.
• Perubahan layanan atau konfigurasi CSP.

Dengan monitoring berkelanjutan, organisasi dapat memastikan kontrol tetap efektif meskipun lingkungan cloud terus berubah.

Kontrol cloud security ISO 27017 membantu organisasi memperkuat penerapan keamanan informasi pada lingkungan cloud dengan memberikan panduan yang lebih spesifik mengenai pembagian tanggung jawab CSP dan customer, keamanan data dan akses, lingkungan virtual, monitoring, serta pengelolaan risiko layanan cloud.

Implementasi yang efektif tidak berhenti pada checklist. Organisasi perlu memastikan setiap kontrol memiliki pemilik, bukti penerapan, mekanisme monitoring, evaluasi berkala, dan corrective action. Yang tidak kalah penting, customer tidak boleh menganggap CSP menangani seluruh keamanan. Tanggung jawab keamanan tetap perlu diverifikasi berdasarkan layanan, kontrak, risiko, dan model cloud yang digunakan.

Layanan Konsultasi ISO 27001 & ISO 27017 Solusmart Consulting

Solusmart Consulting mendampingi perusahaan dari tahap gap analysis hingga sertifikat ISO 27001 terbit, mencakup lima tahap: persiapan, dokumentasi, implementasi, audit internal, dan pendampingan audit sertifikasi.

Sebagai konsultan sistem manajemen profesional, kami membantu organisasi meningkatkan tata kelola, keamanan informasi, dan kesiapan sertifikasi ISO, termasuk kontrol keamanan cloud tambahan dalam ISO 27017 melalui pendampingan terarah sesuai kebutuhan bisnis:

Jadwalkan Sesi Konsultasi & Gap Analysis Keamanan Cloud

Dapatkan pendampingan implementasi ISO 27001 & ISO 27017 hingga persiapan sertifikasi, disesuaikan dengan kondisi dan kebutuhan bisnis Anda.