Self-Assessment Keamanan Informasi: Cara Mengukur Kesiapan ISO 27001, UU PDP, dan Pentest Secara Gratis

Seberapa Jauh Posisi Kami dari yang Diminta?

Sebagian besar organisasi mulai memikirkan ISO 27001 atau penetration testing karena ada pemicu dari luar: tender yang mensyaratkan sertifikat, klien korporasi yang mengirim kuesioner keamanan, atau kewajiban UU Pelindungan Data Pribadi yang mulai ditanyakan. Pertanyaan pertama yang muncul hampir selalu sama: seberapa jauh posisi kami dari yang diminta?

Menjawabnya dengan menebak itu mahal. Anggaran disusun terlalu kecil karena celahnya ternyata lebih banyak, atau terlalu besar karena sebagian kontrol sebenarnya sudah berjalan. Pentest yang dipesan sebelum sistemnya siap juga cenderung menghasilkan temuan mendasar yang sebetulnya bisa dibereskan sendiri lebih dulu.

Self-assessment adalah cara paling murah untuk mendapat gambaran awal itu. Artikel ini menjelaskan cara kerjanya, cara membaca hasilnya, dan batasnya, dengan Cek Kesiapan Cloudsphere sebagai contoh: sepuluh kuesioner gratis yang bisa diisi tanpa membuat akun.

Apa Itu Self-Assessment Kesiapan

Self-assessment kesiapan adalah penilaian mandiri. Organisasi menjawab serangkaian pertanyaan tentang kontrol yang sudah berjalan, lalu jawabannya dibandingkan dengan persyaratan sebuah standar atau regulasi. Hasilnya bukan vonis lulus atau gagal, melainkan peta: area mana yang sudah kuat, mana yang belum ada sama sekali, dan mana yang perlu dikerjakan lebih dulu.

Di Cek Kesiapan Cloudsphere, setiap pertanyaan dijawab ya atau tidak. Skor dihitung sebagai persentase jawaban ya, dan setiap jawaban tidak membawa satu rekomendasi singkat yang menunjuk ke langkah nyata, misalnya klausul yang perlu dipenuhi atau dokumen yang perlu disusun.

Sepuluh Kuesioner: Pilih Sesuai Pemicunya

Kuesioner dikelompokkan dalam empat kategori: kepatuhan dan tata kelola, manajemen risiko dan audit internal, kematangan keamanan siber, serta pengujian keamanan teknis. Pilih berdasarkan pertanyaan yang sedang Anda hadapi, bukan berdasarkan mana yang terdengar paling lengkap.

Cara Kerjanya

Cara Membaca Skor dan Level Kesiapan

Skor adalah persentase jawaban ya dari seluruh pertanyaan. Skor itu lalu dipetakan ke salah satu dari tiga level. Nama levelnya menyesuaikan kuesioner, tetapi ambangnya sama di semua kuesioner:

Rincian per Area dan Prioritas Perbaikan

Selain skor total, perhatikan dua bagian lain di halaman hasil. Rincian per area menunjukkan di mana skor tertahan: satu klausul wajib yang kosong lebih mendesak daripada beberapa kontrol Annex A yang belum lengkap, meskipun skor totalnya sama.

Prioritas perbaikan menampilkan hingga enam rekomendasi dari jawaban tidak, mengikuti urutan area kuesioner. Pada kuesioner ISO 27001, klausul wajib 4 sampai 10 muncul lebih dulu sebelum kontrol Annex A, sehingga daftar itu bisa langsung dipakai sebagai urutan kerja awal.

Setelah Hasil Keluar: Langkah Berikutnya

Hasil self-assessment paling berguna bila langsung diterjemahkan menjadi rencana. Berikut langkah yang biasanya masuk akal untuk tiap rentang skor:

Berapa Biaya Bila Melanjutkan

Cek Kesiapan sendiri tidak dipungut biaya, begitu juga konsultasi awal untuk membahas hasilnya. Bila Anda memutuskan melanjutkan bersama Cloudsphere, jasa konsultasi ISO 27001 berkisar Rp 25–40 juta untuk organisasi dengan satu lokasi, dari gap analysis hingga pendampingan audit sertifikasi. Biaya audit badan sertifikasi tidak termasuk dan dibayarkan klien langsung kepada lembaga sertifikasi.

Penetration testing dimulai dari Rp 15 juta untuk satu aplikasi web skala kecil, sudah termasuk laporan teknis, executive summary, dan satu kali retest verifikasi perbaikan. Harga akhir keduanya mengikuti ruang lingkup yang disepakati.

Yang Tidak Bisa Digantikan Self-Assessment

Self-assessment adalah titik awal, bukan pengganti penilaian formal. Perbedaannya perlu dipahami agar hasilnya dipakai dengan tepat.

Kesimpulan

Sebelum menyusun anggaran sertifikasi atau memesan pentest, sepuluh menit untuk mengukur posisi organisasi Anda hampir selalu sepadan. Hasilnya memberi bahan diskusi yang konkret dengan manajemen, dengan konsultan, dan dengan tim teknis Anda sendiri.

Mulai dari kuesioner yang paling dekat dengan pemicu Anda: Cek Kesiapan ISO 27001 untuk sertifikasi, Cek Kepatuhan UU PDP untuk data pribadi, atau Cek Kesiapan Pentest Aplikasi Web sebelum pengujian. Bila belum tahu harus mulai dari mana, Cek Kematangan Keamanan Siber memberi gambaran menyeluruh berbasis NIST CSF.

Untuk memahami proses setelahnya, baca panduan sertifikasi ISO 27001 dan rincian biaya sertifikasinya, atau acuan harga penetration testing di Indonesia.