# Menjaga penerapan ISO 27001 setelah sertifikasi

Sumber diperiksa. Metode: https://kompli.id/metodologi/.

Sesudah sertifikat terbit, pekerjaan SMKI tetap berjalan. Perubahan layanan perlu diperiksa, bukti dipelihara dan temuan ditindaklanjuti; jadwal surveillance serta sertifikasi ulang dikonfirmasi kepada lembaga penerbit.

URL kanonis: https://kompli.id/panduan/iso-27001/pemeliharaan-sertifikasi/
Sumber diakses: 2026-10-01
Diperbarui: 2026-10-02
Penulis: Kompli
Sumber diperiksa: 2026-10-02


## Apa yang berubah setelah sertifikat terbit?

**Sesudah sertifikat terbit, sistem manajemen keamanan informasi (SMKI) tetap perlu dijalankan.** Tim tetap perlu mengelola risiko, memeriksa penerapan dan memperbaiki masalah pada lingkup layanan yang dicakup.

Panduan penilaian kesesuaian ISO/IEC/UNIDO menjelaskan surveillance dan sertifikasi ulang sebagai bagian pemeliharaan sertifikasi sistem manajemen. Konfirmasikan jadwal, kewajiban pemberitahuan perubahan dan penanganan temuan pada lembaga penerbit. Halaman ini tidak menetapkan satu siklus atau tenggat untuk semua kontrak sertifikasi.

## Catat siapa memelihara setiap pekerjaan

Gunakan [jadwal pemeriksaan keamanan](/template/jadwal-pemeriksaan-keamanan/) yang sudah ada. Tambahkan hubungan pekerjaan dengan lingkup SMKI, pemilik bukti, hasil pemeriksaan dan hal yang belum selesai.

Pisahkan pekerjaan rutin, kegiatan evaluasi, dan pemeriksaan yang dipicu perubahan. Pengamanan harian seperti pencabutan akses tidak perlu menunggu jadwal audit. Jadwal audit internal dan tinjauan manajemen disusun sesuai kriteria serta keadaan organisasi.

## Periksa perubahan sebelum menganggapnya tercakup

Contoh perubahan yang perlu dibahas bersama pemilik layanan:

- Produk atau fitur baru mengakses jenis data yang sebelumnya tidak diproses.
- Hosting atau pekerjaan operasional dipindahkan ke pemasok lain.
- Lokasi, tim atau batas tanggung jawab layanan berubah.
- Risiko, kewajiban kontrak atau aturan yang relevan berubah.
- Insiden atau temuan menunjukkan pengamanan lama tidak bekerja seperti yang diharapkan.

Tinjau apakah lingkup, penilaian risiko, keputusan kontrol dan bukti masih mewakili keadaan layanan. Sertifikat produk lama tidak otomatis boleh dipakai sebagai bukti semua fitur atau unit baru sudah tercakup.

## Contoh: aplikasi penggajian menambah layanan analitik

Skenario fiktif: aplikasi bersertifikat menambah fitur analitik yang memakai data gaji pada layanan cloud baru. Tim mencatat alur data dan pemasok, memeriksa kontrak serta akses, lalu menilai risiko baru sebelum peluncuran.

| Catatan | Pembaruan yang diperiksa |
| --- | --- |
| Lingkup | Apakah fitur, proses pengembangan, dukungan dan pemasok baru berada dalam batas yang ditetapkan? |
| Risiko | Kemungkinan akses lintas pelanggan, salinan data tambahan dan pemulihan layanan. |
| SoA | Keputusan pengamanan, status penerapan dan referensi bukti sesuai keadaan baru. |
| Bukti | Hasil uji hak akses, perubahan konfigurasi, persetujuan rilis dan pemeriksaan vendor. |
| Sertifikasi | Konfirmasi kepada penerbit bila perubahan membutuhkan pemberitahuan atau penyesuaian lingkup. |

Ini contoh peninjauan, bukan keputusan bahwa fitur tersebut telah memenuhi standar. Kewajiban PDP dan kontrak juga perlu diperiksa terpisah.

## Jaga bukti sepanjang pekerjaan berjalan

Simpan versi kebijakan/prosedur, hasil pemeriksaan, keputusan dan tindakan korektif. Bukti harus menunjukkan sistem, periode dan pelaksana yang relevan. Hindari membuat catatan seolah-olah dikerjakan pada masa lalu; bila bukti lama tidak tersedia, tuliskan kekurangannya dan tindakan perbaikan.

Hubungkan bukti ke [SoA](/panduan/iso-27001/statement-of-applicability/), hasil audit dan catatan tinjauan. Beri akses sesuai kebutuhan; dokumen untuk pelanggan tidak selalu sama dengan dokumen lengkap untuk pemeriksa.

## Tindak lanjuti temuan, bukan hanya jadwal audit

Gunakan [audit internal](/panduan/iso-27001/audit-internal/) untuk memeriksa kriteria dan penerapan. Bawa masalah yang membutuhkan keputusan/sumber daya ke [tinjauan manajemen](/panduan/iso-27001/tinjauan-manajemen/).

Catat perbaikan segera, penyebab, tindakan lanjutan dan hasil verifikasi. Jika tindakan belum efektif, statusnya tetap terbuka. Jangan menunggu audit eksternal berikutnya untuk mengurus risiko yang sudah diketahui.

## Bagaimana menjawab permintaan pelanggan?

Sebelum mengirim sertifikat, periksa nama organisasi, lingkup, status dan masa berlakunya melalui jalur verifikasi penerbit yang sesuai. Jelaskan batas produk yang dicakup. Status sertifikasi dan tingkat pengamanan layanan adalah pertanyaan terkait, tetapi bukan hal yang sama.

Jika status atau lingkup berubah, perbarui materi penjualan dan dokumen pelanggan. Gunakan [panduan pemeriksaan sertifikat vendor](/panduan/standar/memeriksa-sertifikat-dan-laporan-vendor/) sebagai bantuan membaca bukti; jangan menyatakan seluruh perusahaan bersertifikat bila lingkupnya hanya satu layanan.

## Contoh tambahan: simpan jejak perubahan kontrol

Skenario fiktif: proses persetujuan rilis berpindah dari sistem tiket lama ke alat baru. Tim mencatat tanggal peralihan, pemilik, rilis yang dicatat di masing-masing alat dan cara mempertahankan bukti lama dengan akses terbatas.

Uji satu rilis terkontrol melalui alur baru sebelum menganggap proses tetap bekerja. Periksa siapa menyetujui, kapan persetujuan diberikan dan apakah rilis darurat mengikuti pengaturan yang dipilih. Catat kekurangan serta perbaikannya; jangan menulis ulang riwayat lama agar terlihat seragam.

Perubahan juga ditinjau terhadap risiko, SoA, rencana audit dan kebutuhan pemberitahuan kepada penerbit sertifikat. [Panduan penilaian kontrol](/panduan/standar/penilaian-kontrol-nist-800-53/) membantu menata bukti pemeriksaan terpilih; itu bukan keputusan surveillance atau sertifikasi ulang.
## Sumber rujukan

- [ISO/IEC 27001:2022 — katalog dan pengantar standar](https://www.iso.org/standard/27001) — Ringkasan publik: SMKI dan pengelolaan risiko; bukan seluruh persyaratan standar.
- [Management system standards — sistem manajemen, audit, dan perbaikan](https://www.iso.org/management-system-standards.html) — Evaluasi, audit dan perbaikan sistem manajemen; pengantar publik.
- [Building trust — The conformity assessment toolbox](https://www.iso.org/iso/casco_building-trust.pdf) — Halaman tercetak 119–124: proses sistem manajemen, audit, keputusan serta pemeliharaan sertifikasi; panduan umum.
- [Certification — penerbit sertifikat, akreditasi, dan verifikasi](https://www.iso.org/certification.html) — Sertifikasi dilakukan badan independen; peran ISO dan akreditasi.
- [NIST SP 800-30 Rev. 1 — Guide for Conducting Risk Assessments](https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-30r1.pdf) — Bab 2–3: lingkup, asumsi, kemungkinan, dampak, ketidakpastian, komunikasi dan pembaruan penilaian.

## Jalur belajar: Penerapan SMKI dengan ISO 27001

[Lihat urutan belajar](https://kompli.id/belajar/#menerapkan-smki)


## Perlu membahas kebutuhan tim Anda?

Ceritakan standar atau bukti yang diminta pelanggan dan kesiapan tim Anda saat ini.

[Konsultasikan kebutuhan Anda](https://kompli.id/konsultasi/?topik=standar)

## Bacaan terkait

- [Template jadwal pemeriksaan keamanan dan kepatuhan](https://kompli.id/template/jadwal-pemeriksaan-keamanan/)
- [Menyiapkan tinjauan manajemen ISO 27001](https://kompli.id/panduan/iso-27001/tinjauan-manajemen/)
- [Apa itu Statement of Applicability dan bagaimana menyiapkannya?](https://kompli.id/panduan/iso-27001/statement-of-applicability/)
- [Menilai kontrol keamanan dengan NIST SP 800-53 dan 800-53A](https://kompli.id/panduan/standar/penilaian-kontrol-nist-800-53/)