Kesiapan audit · ISO/IEC 27001:2022
Gap assessment ISO 27001.
Temukan celah Anda sebelum auditor menemukannya.
Gap assessment adalah asesmen yang memetakan bagian SMKI (sistem manajemen keamanan informasi) Anda yang belum memenuhi standar, sebelum audit sertifikasi. Asesmen independen kami dikerjakan Lead Auditor bersertifikat dan sudah termasuk penetration test: kontrol Anda dibaca seperti auditor membacanya, lalu diuji seperti penyerang mengujinya.
93
Kontrol Annex A, dicek lewat sampling bukti
2
Sudut pandang: review Lead Auditor + penetration test
4–6 minggu
Dari kick-off sampai kesimpulan kesiapan
Celah
Audit adalah ujian. Kebanyakan tim menghadapinya tanpa latihan.
Audit sertifikasi berpihak pada yang sudah bersiap. Tanpa asesmen independen, Anda baru menemukan celah saat auditor sudah bekerja.
Gagal di audit Tahap 2 bukan hanya soal biaya audit. Anda juga menanggung biaya audit ulang, lalu kehilangan satu kuartal untuk remediasi dadakan dan kontrak enterprise yang menunggu sertifikat itu. Persiapan lebih murah, dan bisa dijadwalkan.
Yang akan diminta auditor
- 01Ruang lingkup SMKI dan Statement of Applicability (SoA)
- 02Risk register, beserta bukti bahwa isinya menjadi dasar keputusan
- 03Sampel bukti dari berbagai kontrol Annex A
- 04Notulen tinjauan manajemen dan hasil audit internal
- 05Bukti bahwa kontrol benar-benar berjalan, bukan sekadar tertulis
Siapkan jawabannya sebelum auditor datang.
Pembeda
Dibaca seperti auditor. Diuji seperti penyerang.
Kebanyakan asesmen kesiapan berhenti di dokumen. Asesmen kami memakai dua sudut pandang untuk ruang lingkup yang sama. Alasannya, sertifikat diraih dengan bukti, dan lepas karena kontrol yang hanya ada di atas kertas.
Sudut pandang pertama
Sudut pandang auditor
Lead Auditor ISO 27001 dan 27701 bersertifikat membaca SMKI Anda seperti lembaga sertifikasi membacanya: ruang lingkup, Statement of Applicability, risk register, dan kumpulan kebijakan. Lalu mereka mengambil sampel bukti dari kontrol Annex A seperti pada audit Tahap 2: wawancara, catatan, dan bukti bahwa kontrol berjalan.
Sudut pandang kedua
Sudut pandang penyerang
Web application penetration test terhadap sistem yang masuk ruang lingkup, dijalankan tim offensive security Zentara yang bersertifikat. Kalau dokumen menyebut suatu kontrol ada, pengujian ini memastikan apakah kontrol itu benar-benar bertahan. Kebijakan yang gagal saat diuji pentest bukan kontrol, melainkan sekadar dokumen.
Kami juga pernah berada di posisi Anda: Zentara memegang ISO 27001:2022, ISO 27701, ISO 42001, dan SOC 2 Type 2 untuk operasionalnya sendiri. Semuanya kami siapkan dan pertahankan dengan disiplin yang sama seperti yang kami bawa ke proyek Anda.
Cek langsung di Trust Center kamiYang Anda terima
Jawaban pasti, bukan kira-kira.
Empat dokumen untuk keputusan yang dituntut audit: maju sekarang, atau tutup dulu celah-celah ini.
Peta kontrol Annex A · ISO 27001:2022
Disiapkan untuk: · Kerja lapangan 2–20 Juni 2026
A.5 · Organisasi
5.1 – 5.37 · 37 kontrol
A.6 · Orang
6.1 – 6.8 · 8 kontrol
A.7 · Fisik
7.1 – 7.14 · 14 kontrol
A.8 · Teknologi
8.1 – 8.34 · 34 kontrol
§ 6 · Kesimpulan kesiapan sertifikasi
Siap dengan syarat
Siap untuk audit Tahap 1 setelah 3 temuan mayor ditutup. Estimasi remediasi sampai siap audit: 10 minggu.
72
Sesuai
16
Minor
3
Mayor
2
N/A
Ketidaksesuaian mayor
- NC-01A.5.23Keamanan layanan cloud: kontrak pemasok tanpa klausul exit dan pengembalian data
- NC-02A.8.16Aktivitas pemantauan: celah logging di dua sistem inti
- NC-03A.8.28Secure coding: tidak ada tahap review wajib sebelum rilis ke production
Lead Auditor · ISO/IEC 27001 LA
27 Juni 2026
Gap assessment SMKI
Temuan per klausul dan per kontrol, masing-masing bisa ditelusuri ke dokumen, wawancara, atau hasil pengujian. Disiplin bukti setara audit.
Laporan validasi teknis
Temuan penetration test, dipetakan ke kontrol Annex A yang terbukti tidak efektif. Di sini terlihat bagian dokumen yang tidak sejalan dengan praktik.
Rencana remediasi Annex A
Setiap celah punya penanggung jawab, estimasi effort, dan urutan pengerjaan. Temuan mayor didahulukan, quick win ditandai, dan ketergantungan antarpekerjaan dipetakan.
Kesimpulan kesiapan sertifikasi
Jawaban lugas: siap, siap dengan syarat, atau belum siap. Lengkap dengan apa saja yang masih menghalangi Anda menuju audit Tahap 1.
Tahapan
Posisi asesmen ini dalam perjalanan menuju sertifikasi
Zentara menyiapkan Anda. Lembaga sertifikasi terakreditasi yang menyertifikasi Anda. Pemisahan ini disengaja, karena itulah yang membuat sertifikatnya tetap bernilai.
Asesmen kesiapan (sertifikasi)
Proyek ini: celah ditemukan sesuai jadwal Anda, bukan jadwal auditor.
Remediasi
Dikerjakan tim Anda, system integrator, atau Zentara. Rencananya menyebut kapabilitas, bukan merek.
Audit Tahap 1
Lembaga sertifikasi meninjau dokumentasi SMKI Anda.
Audit Tahap 2
Implementasi diaudit secara mendalam. Di tahap inilah persiapan terbayar.
Tersertifikasi
Audit surveilans di tahun pertama dan kedua, lalu resertifikasi di tahun ketiga.
Akan menjalani audit sertifikasi?
Gladi resik audit, sesuai jadwal Anda sendiri.
Dalam empat sampai enam minggu, kesimpulannya keluar: kontrol mana yang sudah sesuai, mana yang belum, dan apa saja penghalang Anda menuju audit Tahap 1. Rencana remediasi langsung terlampir.
Cara kerja
Enam minggu. Dua sudut pandang. Satu kesimpulan.
Ruang lingkup & dokumen
Kami meninjau ruang lingkup SMKI, Statement of Applicability, risk register, dan kumpulan kebijakan. Rencana asesmen sudah Anda terima sebelum wawancara pertama.
Kontrol & bukti
Kontrol Annex A dinilai lewat wawancara dan sampling bukti: catatan, konfigurasi, dan bukti bahwa kontrol berjalan, persis seperti yang akan diminta di audit Tahap 2.
Validasi teknis
Web application penetration testing terhadap sistem yang masuk ruang lingkup. Setiap temuan dipetakan ke kontrol yang terbukti tidak efektif.
Kesimpulan & rencana
Kesimpulan kesiapan, rencana remediasi Annex A sesuai prioritas, dan briefing untuk manajemen. Jadwal pengecekan ulang disepakati sebelum tim kami selesai bertugas.
Rekam jejak
Sudah kami kerjakan untuk perusahaan pembangkit listrik berstatus Tbk dan operator infrastruktur kritis.
Asesmen Anda dikerjakan perusahaan yang memegang ISO 27001:2022, ISO 27701, ISO 42001, dan SOC 2 Type 2 untuk operasionalnya sendiri. Kami juga menyiapkan audit kami sendiri dengan cara yang sama.
Cek langsung di Trust Center kamiSusun program keamanan Anda
Layanan pelengkap
vCISO (Virtual CISO)
Sertifikasi bukan pekerjaan sekali jadi. Setelah audit, vCISO yang ditunjuk khusus memegang SMKI Anda: pemeliharaan rutin, persiapan audit surveilans, hingga resertifikasi tiga tahun kemudian.
Implementasi tata kelola data
Di bawah UU PDP, langkah lanjutan yang wajar adalah memperluas SMKI ke ranah privasi: penyelarasan PIMS ISO 27701 di atas kerangka tata kelola yang sama.
VAPT (vulnerability assessment & penetration testing)
WAPT dalam asesmen ini adalah sudut pandang audit. Katalog offensive security lengkap kami menguji lebih dalam: infrastruktur, mobile, cloud, dan red team, dengan disiplin bukti yang sama.
FAQ
Pertanyaan yang sering diajukan
Jawaban lugas. Kalau pertanyaan Anda belum ada di sini, tanyakan langsung ke kami.
Tidak. Waspadai pihak yang menawarkan keduanya sekaligus. Sertifikat diterbitkan oleh lembaga sertifikasi terakreditasi, sedangkan Zentara menyiapkan Anda untuk menghadapinya. Pemisahan ini disengaja dan menjaga nilai sertifikat. Yang kami berikan adalah gladi resik: disiplin bukti yang sama, sesuai jadwal Anda, lengkap dengan rencana remediasi. Kami juga bisa mendampingi tim Anda saat audit yang sebenarnya.
Lembaga sertifikasi hanya melaporkan ketidaksesuaian, lalu pergi. Gagal di audit Tahap 2 berarti Anda menanggung biaya audit, biaya audit ulang, dan kehilangan momentum berbulan-bulan. Asesmen ini menemukan celah yang sama lebih dulu. Anda juga menerima rencana penutupan bertahap, lengkap dengan penanggung jawab dan estimasi effort. Anda masuk ke audit Tahap 1 sudah tahu hasilnya, bukan baru tahu di sana.
Karena review dokumen punya titik buta: kontrol yang ada di atas kertas tapi gagal dalam praktik. WAPT menguji sistem dalam ruang lingkup seperti penyerang mengujinya, dan setiap temuan dipetakan ke kontrol Annex A yang terbukti tidak efektif. Inilah beda antara “kata kebijakan” dan “kenyataan di sistem”. Celah seperti ini hampir selalu ditemukan, baik oleh auditor di audit Tahap 2 maupun oleh penyerang.
Cukup signifikan. Annex A disusun ulang dari 14 domain menjadi 4 tema. Ada juga kontrol baru, antara lain untuk threat intelligence, keamanan cloud, pencegahan kebocoran data, dan secure coding. Kalau SMKI Anda masih mengikuti cara pandang versi 2013, asesmen ini memetakan selisihnya lebih dulu. Dengan begitu, remediasi menyasar standar yang berlaku sekarang, yaitu standar yang dipakai di audit Anda berikutnya.
Ya. Lead Auditor kami tersertifikasi untuk ISO 27001 sekaligus ISO 27701. Karena itu, asesmen bisa diperluas ke sistem manajemen informasi privasi (PIMS) dalam satu putaran yang sama. Bagi organisasi yang tunduk pada UU PDP, ini rute yang efisien: satu kerangka tata kelola untuk standar keamanan sekaligus undang-undang privasi.
Anda menerima rencana remediasi dan menjalankannya bersama tim Anda, system integrator, atau Zentara. Apa pun pilihannya, ruang lingkupnya disusun terpisah. Jadwal pengecekan ulang disepakati sebelum tim kami selesai bertugas, jadi temuan yang sudah ditutup benar-benar diverifikasi, bukan sekadar dianggap beres. Sebagian besar klien yang sudah tersertifikasi lalu menyerahkan SMKI ke pemilik tetap: vCISO dengan jadwal persiapan audit surveilans. Dengan begitu, celah tahun pertama tidak muncul lagi di tahun kedua.
Lihat juga
Layanan lain di Advisory & Kepatuhan
vCISO (Virtual CISO)
Pimpinan keamanan yang ditunjuk khusus untuk Anda, tanpa harus merekrut eksekutif baru.
Konsultan keamanan siber
Jawaban engineer berpengalaman, bukan tumpukan slide.
Roadmap keamanan siber & asesmen maturitas
Ukur posisi Anda. Petakan langkahnya. Perjuangkan anggarannya dengan bukti.
Hadapi audit Tahap 1 dengan hasil yang sudah Anda ketahui.
Sembilan puluh tiga kontrol, dua sudut pandang, satu jawaban lugas, lengkap dengan rencana remediasi untuk menindaklanjutinya. Tentukan ruang lingkup asesmen sebelum jadwal auditor dimulai.