Analisis Kesenjangan dan Kematangan Sistem Manajemen Keamanan Informasi Berdasarkan ISO/IEC 27001:2022 pada Perusahaan Penyedia Layanan Internet (ISP)

Abstract

Perusahaan Penyedia Layanan Internet (ISP) mengelola data pribadi pelanggan dalam jumlah besar, sehingga penerapan Sistem Manajemen Keamanan Informasi (SMKI) menjadi kebutuhan operasional dan regulasi yang mendesak. Penelitian ini melakukan gap analysis dan penilaian kematangan pada sebuah ISP lokal di Batam menggunakan kerangka ISO/IEC 27001:2022 dan Instrumen Penilaian Kematangan Keamanan Siber (IKAS) dari BSSN. Pendekatan mixed method diterapkan melalui wawancara semi-terstruktur, observasi, telaah dokumen, dan instrumen penilaian terstruktur terhadap enam responden. Hasil gap analysis terhadap 93 kontrol Annex A menunjukkan tingkat kepatuhan sebesar 20,0%, dengan 32 kontrol berjalan parsial dan 48 kontrol belum tersedia. Skor IKAS sebesar 0,29 dari skala 0–5 (Level 1 – Awal) mengindikasikan bahwa praktik keamanan masih bersifat informal dan belum terdokumentasi. Penilaian risiko menghasilkan 10 skenario risiko (2 Critical, 6 High, 2 Medium). Berdasarkan temuan tersebut, penelitian menghasilkan delapan dokumen SMKI kritis meliputi SoA, RTP, Kebijakan Keamanan Informasi, dan lima SOP prioritas. Temuan mengonfirmasi bahwa kontrol Organizational dan People lebih lemah dibanding Technological, dan gap terbesar terdapat pada kontrol yang berkaitan dengan kewajiban UU PDP.