Perunding pensijilan ISO 27001 di Malaysia
Keselamatan maklumatISO/IEC 27001:2022
Ubah polisi IT yang berselerak menjadi sistem pengurusan keselamatan maklumat teraudit yang dipercayai pelanggan dan pihak berkuasa.
Apa itu
ISO/IEC 27001:2022 ialah standard antarabangsa bagi sistem pengurusan keselamatan maklumat, atau ISMS. Ia mengehendaki organisasi menilai risiko keselamatan maklumat, memilih kawalan daripada 93 kawalan yang disenaraikan dalam Lampiran A, dan mendokumentasikan sebab setiap satu digunakan atau tidak dalam Penyata Kebolehgunaan. Pensijilan mengikuti audit dua peringkat oleh badan berakreditasi. Di Malaysia ia melengkapi, tetapi tidak menggantikan, kewajipan di bawah Akta Perlindungan Data Peribadi 2010, dan semakin sejajar dengan panduan NACSA serta Akta Keselamatan Siber 2024 bagi organisasi yang ditetapkan sebagai infrastruktur maklumat negara kritikal.
Siapa memerlukannya di Malaysia
- Syarikat IT dan BPO yang membida pelanggan korporat
- Perolehan korporat dan penilaian risiko pembekal kini secara rutin mensyaratkan ISO 27001 sebagai syarat kontrak, terutamanya bagi syarikat yang mengendalikan data pelanggan, maklumat pembayaran, atau infrastruktur dihoskan.
- Syarikat yang mengendalikan data peribadi di bawah PDPA
- Perniagaan yang memproses data peribadi pelanggan atau pekerja menggunakan kawalan berasaskan risiko ISO 27001 untuk melaksanakan kewajipan Akta Perlindungan Data Peribadi 2010, mengubah kewajipan undang-undang menjadi sistem boleh diaudit dan berulang.
- Sektor yang disentuh Akta Keselamatan Siber 2024
- Organisasi yang beroperasi dalam sektor ditetapkan sebagai infrastruktur maklumat negara kritikal, atau yang bekerja dengan agensi berpandukan NACSA, menggunakan ISO 27001 sebagai rangka kerja diiktiraf untuk menunjukkan kedudukan keselamatan yang matang.
- Syarikat SaaS dan fintech yang menjual ke pasaran terkawal selia
- Syarikat perisian dan teknologi kewangan menggunakan ISO 27001 untuk memenuhi soal selidik keselamatan yang dikehendaki bank, penanggung insurans, dan pelanggan korporat terkawal selia sebelum menandatangani kontrak atau memberi akses data.
Proses kami
Penilaian risiko dan pemilihan kawalan Lampiran A
Kami menjalankan penilaian risiko yang dikehendaki klausa 6.1.2, kemudian memilih dan mewajarkan kawalan daripada 93 kawalan Lampiran A, mendokumentasikan kemasukan dan pengecualian dalam Penyata Kebolehgunaan yang akan disemak badan pensijilan.
Polisi dan dokumentasi untuk kawalan terpilih
Polisi keselamatan maklumat, kawalan akses, tindak balas insiden, dan prosedur lain dirangka berdasarkan kawalan yang benar-benar anda pilih, bukan kesemua 93, mengekalkan dokumentasi berkadar dengan risiko sebenar anda.
Pelaksanaan dan penjajaran PDPA
Kami melaksanakan kawalan terpilih dan memetakannya secara eksplisit kepada kewajipan Akta Perlindungan Data Peribadi 2010 anda, supaya satu sistem menjawab kedua-dua sijil ISO dan kewajipan perlindungan data berkanun.
Audit dalaman dan kajian semula pengurusan
Latihan penuh merangkumi klausa 9.2 dan klausa 9.3, menutup penemuan dan menghimpunkan log insiden, keputusan kerentanan, dan prestasi kawalan untuk kajian semula pengurusan yang dikehendaki standard.
Sokongan audit pensijilan
Kami mendampingi anda sepanjang semakan dokumen Peringkat 1 terhadap Penyata Kebolehgunaan dan pelan rawatan risiko anda, serta semakan bukti Peringkat 2, membantu menutup penemuan sebelum sijil dikeluarkan.
Garis masa
Syarikat pejabat tunggal dengan polisi IT sedia ada yang munasabah biasanya mencapai pensijilan dalam empat hingga tujuh bulan daripada analisis jurang. Syarikat dengan pelbagai sistem, penyedia awan, atau tiada penilaian risiko terdokumentasi boleh mengambil masa sehingga sembilan bulan, kerana log insiden dan akses perlu mengumpul bukti merentasi satu kitaran audit dalaman penuh sebelum Peringkat 2. Organisasi di bawah penetapan Akta Keselamatan Siber 2024 perlu merancang masa semakan tambahan untuk selaras dengan panduan khusus sektor.
Apa yang menjejaskan kos
- Bilangan sistem, aplikasi, dan tapak dalam skop ISMS
- Dokumentasi keselamatan IT sedia ada dan kematangan kawalan
- Bilangan kawalan Lampiran A yang terpakai berdasarkan penilaian risiko anda
- Yuran badan pensijilan, yang meningkat mengikut skop dan bilangan lokasi
- Skop latihan kesedaran keselamatan kakitangan dan tindak balas insiden
- Sama ada ujian penembusan atau imbasan kerentanan sudah dikontrakkan
Bagaimana BUKTI membantu
- BUKTI memastikan Penyata Kebolehgunaan dan pelan rawatan risiko anda kekal terkini berbanding klausa 6.1.3, supaya justifikasi kawalan tidak sekali-kali lapuk antara audit.
- Insiden keselamatan dan tindakan pembetulan berjalan melalui aliran kerja CAPA BUKTI dipetakan kepada klausa 10.1, dengan punca akar dan bukti penutupan dijejaki secara automatik untuk badan pensijilan dan pelaporan dalaman.
- Input kajian semula pengurusan yang dikehendaki klausa 9.3, termasuk arah aliran insiden dan prestasi kawalan, dihimpunkan dalam BUKTI supaya kajian semula bermula dengan data tersusun.
Soalan Lazim
Adakah ISO 27001 bermakna kami mematuhi PDPA?
ISO 27001 ialah asas operasi yang kukuh untuk pematuhan Akta Perlindungan Data Peribadi 2010, kerana penilaian risiko dan kawalannya meliputi kebanyakan yang dikehendaki PDPA bagi keselamatan data. Namun ia bukan pengecualian undang-undang, dan kewajipan khusus PDPA seperti persetujuan dan permintaan subjek data masih memerlukan prosedur berasingan yang kami bina bersama ISMS.
Apakah Penyata Kebolehgunaan?
Ia ialah dokumen wajib yang menyenaraikan kesemua 93 kawalan Lampiran A dan menyatakan sama ada setiap satu digunakan, dengan justifikasi, dan rujukan cara ia dilaksanakan. Juruaudit menganggapnya sebagai peta ISMS anda, jadi kami membinanya dengan teliti semasa analisis jurang dan bukan sebagai renungan kemudian.
Berapakah kos pensijilan ISO 27001 di Malaysia?
Kos bergantung kepada bilangan sistem, aplikasi, dan tapak dalam skop, serta sejauh mana kematangan kawalan keselamatan sedia ada. Yuran badan pensijilan disebut harga berasingan daripada yuran perundingan. Kami memberikan sebut harga bertulis dengan skop tetap selepas menyemak persekitaran anda.
Berapa lama pelaksanaan ISO 27001 mengambil masa?
Empat hingga tujuh bulan adalah lazim bagi syarikat pejabat tunggal dengan polisi sedia ada yang munasabah. Organisasi dengan pelbagai sistem, penyedia awan, atau tiada penilaian risiko terdahulu memerlukan masa lebih lama, kerana bukti mesti terkumpul merentasi satu kitaran audit dalaman penuh.
Perlukah kami melaksanakan kesemua 93 kawalan Lampiran A?
Tidak. Anda memilih dan mewajarkan hanya kawalan yang berkaitan dengan penilaian risiko anda dalam Penyata Kebolehgunaan, mengecualikan yang lain dengan sebab terdokumentasi. Kebanyakan PKS menggunakan subset bermakna berbanding kesemua 93, mengekalkan sistem berkadar dengan risiko sebenar.
Bagaimana ISO 27001 berkaitan dengan NACSA dan Akta Keselamatan Siber 2024?
NACSA menyelaraskan dasar keselamatan siber negara, dan Akta Keselamatan Siber 2024 mengenakan kewajipan kepada organisasi yang ditetapkan sebagai infrastruktur maklumat negara kritikal. ISO 27001 bukan pengganti undang-undang bagi kewajipan itu, tetapi ia diterima secara meluas sebagai bukti sistem pengurusan keselamatan yang matang apabila menunjukkan pematuhan kepada pengawal selia sektor.
Standard berkaitan
Tempat kami berkhidmat
Perlis, Kedah, Pulau Pinang, Perak, Selangor, Kuala Lumpur, Putrajaya, Negeri Sembilan, Melaka, Johor, Pahang, Terengganu, Kelantan, Sabah, Sarawak, Labuan. Perunding ISO di setiap negeri di Malaysia.
Tanya tentang standard ini
Pelanggan korporat meminta ISO 27001 sebelum menandatangani?
Beritahu kami sistem dan polisi keselamatan semasa anda. Kami akan menskopkan Penyata Kebolehgunaan dan garis masa yang realistik.