ISO 27701 vs 27001: Perbedaan PIMS, ISMS, Risiko, Kontrol, dan Kompetensi Tim

Rate this post

Perbandingan ISO 27701 vs 27001 perlu dimulai dari perbedaan tujuan. ISO/IEC 27001 berfokus pada Information Security Management System atau ISMS, sedangkan ISO/IEC 27701 berfokus pada Privacy Information Management System atau PIMS.

Keduanya saling berhubungan, tetapi tidak identik.

Contents

ISO 27701 vs 27001

Photo by Meet Patel on Pexels

ISO/IEC 27001 membantu organisasi membangun sistem manajemen untuk mengelola risiko keamanan informasi. ISO/IEC 27701 membantu organisasi membangun sistem manajemen untuk mengelola informasi pribadi, privacy risk, accountability, serta praktik pengelolaan PII secara terstruktur.

Perbedaan ini semakin penting setelah terbitnya ISO/IEC 27701:2025. Edisi kedua tersebut menjadi independent management system standard. Artinya, organisasi dapat menggunakan ISO/IEC 27701 sebagai PIMS yang berdiri sendiri, sekaligus tetap mengintegrasikannya dengan ISMS apabila organisasi juga menerapkan ISO/IEC 27001.

Bagi RADS, topik ini ditempatkan sebagai materi competency building. Tujuannya bukan sekadar mengetahui definisi dua standar, tetapi memahami kompetensi apa yang dibutuhkan agar privacy, information security, risk, compliance, data, technology, dan internal audit dapat bekerja dalam satu operating model.

Materi internal mengenai GRC maturity menunjukkan bahwa governance yang matang membutuhkan keterhubungan process, people, competency, risk management, control, information system, monitoring, dan continual improvement.

Prinsip tersebut relevan ketika organisasi ingin mengintegrasikan ISMS dan PIMS.

Ringkasan Perbedaan ISO 27701 dan ISO 27001

Photo by Artem Podrez on Pexels

Aspek: Fokus utama

ISO/IEC 27001: Information security

ISO/IEC 27701: Privacy information management

Aspek: Management system

ISO/IEC 27001: ISMS

ISO/IEC 27701: PIMS

Aspek: Objek utama

ISO/IEC 27001: Informasi dan risiko keamanan informasi

ISO/IEC 27701: PII, privacy risk, dan accountability pemrosesan

Aspek: Sudut pandang risiko

ISO/IEC 27001: Confidentiality, integrity, availability, dan security exposure

ISO/IEC 27701: Dampak privacy terhadap individu dan organisasi

Aspek: Governance

ISO/IEC 27001: Information security governance

ISO/IEC 27701: Privacy governance

Aspek: Internal control

ISO/IEC 27001: Security-related controls

ISO/IEC 27701: Privacy-related controls dan accountability

Aspek: Hubungan

ISO/IEC 27001: Dapat menjadi foundation information security

ISO/IEC 27701: Dapat berdiri sendiri dan dapat disejajarkan dengan ISMS

Perbandingan ini adalah simplifikasi untuk pembelajaran. Implementasi aktual tetap perlu mengacu pada dokumen standar resmi dan konteks organisasi.

Versi ISO 27701 yang Berlaku Saat Ini

Photo by Daniil Komov on Pexels

ISO/IEC 27701:2025 adalah edisi kedua dan menggantikan ISO/IEC 27701:2019.

Edisi 2019 sebelumnya dirancang sebagai extension terhadap information security management system. Edisi 2025 mengubah positioning tersebut menjadi independent management system standard untuk Privacy Information Management System.

Perubahan ini penting bagi training.

Peserta yang sebelumnya mempelajari ISO 27701 sebagai tambahan dari ISO 27001 perlu memperbarui pemahamannya. PIMS kini dapat dipelajari sebagai management system yang memiliki governance dan lifecycle sendiri, walaupun integrasi dengan information security tetap sangat relevan.

ISO 27001 Berfokus pada Information Security Management System

Photo by Maurice Engelen on Pexels

ISMS membantu organisasi mengelola informasi secara sistematis dari perspektif security risk.

Pembelajaran ISO 27001 umumnya perlu membuat peserta memahami:

business context;
information assets;
information security risk;
security roles;
risk treatment;
security control;
incident management;
monitoring;
internal audit;
management review;
continual improvement.

ISMS tidak hanya berbicara tentang teknologi. People, process, governance, dan management decision juga menjadi bagian penting.

ISO 27701 Berfokus pada Privacy Information Management System

Photo by Maurice Engelen on Pexels

PIMS memperluas sudut pandang dari keamanan menjadi privacy accountability.

Peserta perlu memahami:

PII processing;
privacy purpose;
privacy role;
privacy risk;
privacy control;
information lifecycle;
third-party processing;
privacy incident;
monitoring;
evidence;
continual improvement.

PIMS perlu menjawab bukan hanya “apakah informasi aman?”, tetapi juga “apakah informasi pribadi diproses secara bertanggung jawab dan dapat dipertanggungjawabkan?”

PIMS vs ISMS

Photo by Leeloo The First on Pexels

PIMS dan ISMS dapat memiliki mekanisme manajemen yang serupa, tetapi sudut pandang dan outcome-nya berbeda.

ISMS dapat bertanya:

Apakah informasi terlindungi dari akses yang tidak sah?
Apakah data tersedia ketika dibutuhkan?
Apakah integritas informasi terjaga?
Apakah security risk berada pada tingkat yang dapat diterima?

PIMS dapat menambahkan pertanyaan:

Mengapa PII diproses?
Siapa accountable atas processing activity?
Apakah penggunaan informasi sesuai tujuan?
Bagaimana privacy risk dinilai?
Bagaimana third party mengelola PII?
Bagaimana organization menunjukkan accountability?

Karena itu, security control dapat menjadi fondasi, tetapi privacy management membutuhkan governance dan analysis yang lebih spesifik.

Perbedaan Risk Perspective

Photo by Theodore Nguyen on Pexels

Salah satu area terpenting dalam ISO 27701 vs 27001 adalah risk perspective.

Information Security Risk

Information security risk menilai kemungkinan kejadian yang dapat memengaruhi kerahasiaan, integritas, atau ketersediaan informasi.

Contoh:

unauthorized access;
malware;
system failure;
data corruption;
loss of availability;
credential compromise.

Privacy Risk

Privacy risk dapat melihat bagaimana suatu processing activity memengaruhi individu dan organisasi.

Contoh:

pengumpulan informasi melebihi kebutuhan;
penggunaan informasi untuk tujuan yang berbeda;
akses yang terlalu luas;
retention yang tidak terkendali;
third-party processing yang tidak memadai;
inaccurate information;
privacy incident;
lack of accountability.

Satu kejadian dapat memiliki dua perspektif sekaligus.

Misalnya unauthorized access dapat menjadi information security incident dan privacy incident apabila melibatkan PII.

Apakah Risk Register Harus Dipisahkan?

Photo by Magda Ehlers on Pexels

Tidak selalu.

Organisasi dapat menggunakan satu enterprise risk architecture dengan taxonomy dan view yang berbeda.

Materi internal ERM menempatkan risk identification, assessment, prioritization, treatment, control, KRI, monitoring, dan reporting dalam satu proses terintegrasi.

Dalam praktik, organisasi dapat memiliki:

enterprise risk register;
information security risk register;
privacy risk register;
cross-reference antarregister;
consolidated management reporting.

Struktur dipilih berdasarkan complexity dan maturity.

Yang penting adalah risk yang sama tidak dinilai secara terpisah tanpa koordinasi.

Perbedaan Control Perspective

Information security control dan privacy control dapat overlap.

Contoh shared control:

access management;
logging;
change management;
incident management;
backup;
third-party management;
training;
monitoring.

Namun, privacy management dapat membutuhkan control tambahan atau objective yang berbeda, seperti:

processing purpose governance;
privacy information inventory;
retention governance;
processing accountability;
privacy-specific third-party requirement;
privacy incident assessment;
privacy-specific evidence.

Materi internal mengenai pengendalian digital menekankan hubungan process, risk, control, control owner, testing, evidence, remediation, dan audit trail.

Prinsip tersebut dapat digunakan untuk menyelaraskan control ISMS dan PIMS.

Perbedaan Governance

ISMS dan PIMS dapat menggunakan sebagian struktur governance yang sama.

Namun, accountability perlu dibedakan.

Role yang dapat terlibat:

top management;
information security;
privacy function;
risk management;
compliance;
legal;
data owner;
technology owner;
business process owner;
procurement;
internal audit.

Satu orang dapat memegang beberapa role, tetapi tanggung jawabnya tetap perlu jelas.

Contoh RACI Terintegrasi ISMS dan PIMS

Aktivitas: Information inventory

Business Owner: A/R

Security: C

Privacy: C

Risk: I

Aktivitas: Security risk assessment

Business Owner: C

Security: R

Privacy: C

Risk: A/C

Aktivitas: Privacy risk assessment

Business Owner: C

Security: C

Privacy: R

Risk: A/C

Aktivitas: Control implementation

Business Owner: R

Security: R/C

Privacy: R/C

Risk: C

Aktivitas: Incident escalation

Business Owner: R

Security: R

Privacy: R

Risk: C

Aktivitas: Assurance

Business Owner: C

Security: C

Privacy: C

Risk: C

RACI aktual perlu disesuaikan dengan organisasi.

ISO 27701 vs 27001 pada Information Inventory

ISMS biasanya membutuhkan pemahaman terhadap informasi dan asset yang perlu dilindungi.

PIMS membutuhkan kedalaman tambahan terhadap PII processing.

Peserta training PIMS perlu mampu memetakan:

jenis PII;
processing purpose;
business process;
system;
data owner;
access;
storage;
third party;
retention;
disposal.

Mapping ini memperkuat privacy risk assessment.

ISO 27701 vs 27001 pada Third Party

Third party dapat menjadi security dependency dan privacy dependency sekaligus.

Security assessment dapat melihat:

system access;
security control;
incident response;
availability;
logging;
recovery.

Privacy assessment dapat menambahkan:

PII processing role;
processing purpose;
data handling;
retention;
subcontractor;
privacy incident notification;
return or disposal.

Materi internal BIA juga menempatkan third party sebagai dependency yang perlu dipetakan bersama process, application, technology, dan critical resources.

ISO 27701 vs 27001 pada Incident Management

Satu incident dapat membutuhkan dua jalur assessment.

Pertama, technical assessment:

apa yang terjadi;
system apa yang terdampak;
apakah akses tidak sah terjadi;
apakah availability terganggu;
bagaimana containment dilakukan.

Kedua, privacy assessment:

apakah PII terlibat;
jenis informasi apa yang terdampak;
berapa luas processing impact;
siapa yang terdampak;
apa privacy consequence;
apa corrective action yang dibutuhkan.

Training lintas fungsi dapat menggunakan incident tabletop agar security dan privacy team tidak bekerja secara silo.

ISO 27701 vs 27001 pada Internal Audit

Internal audit perlu memahami objective audit.

Audit ISMS dapat fokus pada information security management system, security risk, security control, evidence, monitoring, dan improvement.

Audit PIMS menambahkan privacy governance, processing accountability, privacy risk, PII-related control, third-party processing, dan privacy evidence.

Internal auditor yang memahami keduanya dapat mengidentifikasi shared evidence dan mengurangi duplikasi.

Apakah Organisasi Harus Menerapkan ISO 27001 Sebelum ISO 27701?

Untuk edisi 2025, ISO/IEC 27701 dapat digunakan sebagai independent management system standard.

Artinya, organisasi tidak harus memperlakukan ISO 27001 sebagai prasyarat struktural untuk membangun PIMS.

Namun, integrasi tetap dapat memberikan manfaat apabila organisasi sudah memiliki ISMS.

Existing governance, risk process, internal audit, management review, incident management, control ownership, dan improvement mechanism dapat digunakan kembali selama kebutuhan privacy dipenuhi secara memadai.

Kapan ISMS dan PIMS Sebaiknya Diintegrasikan?

Integrasi layak dipertimbangkan apabila:

fungsi security dan privacy banyak menggunakan proses yang sama;
information inventory overlap;
risk process memiliki methodology yang sama;
third-party assessment tumpang tindih;
incident management saling bergantung;
internal audit memiliki scope yang beririsan;
management membutuhkan consolidated reporting.

Tujuannya bukan menghilangkan privacy-specific requirement, tetapi mengurangi duplikasi process.

Kapan PIMS Membutuhkan Mekanisme Khusus?

PIMS dapat membutuhkan mekanisme yang lebih spesifik ketika:

processing activity memiliki privacy impact tinggi;
banyak third party memproses PII;
privacy incident memiliki workflow khusus;
business process melibatkan volume PII besar;
accountability tersebar lintas unit;
privacy monitoring membutuhkan indikator khusus.

Shared governance tidak berarti seluruh aktivitas harus sama.

Kompetensi yang Dibutuhkan Tim ISMS

Tim ISMS perlu memiliki kemampuan seperti:

information security risk assessment;
security control;
incident management;
asset and information understanding;
monitoring;
internal audit;
continual improvement.

Kompetensi yang Dibutuhkan Tim PIMS

Tim PIMS perlu memiliki kemampuan tambahan:

privacy governance;
PII processing mapping;
privacy risk assessment;
privacy control design;
third-party privacy assessment;
privacy incident analysis;
privacy evidence;
privacy management reporting.

Kompetensi Bersama yang Perlu Dibangun

Beberapa capability dapat dibangun bersama:

risk management;
control design;
RACI;
incident response;
audit evidence;
root cause analysis;
corrective action;
management reporting;
continual improvement.

Materi internal competency building menekankan training, workshop, applied output, knowledge transfer, socialization, dan assessment sebagai cara untuk meningkatkan kemampuan implementasi.

Learning Path ISMS dan PIMS

Stage 1: Common Foundation

Memahami management system, governance, risk, control, evidence, audit, dan improvement.

Stage 2: ISMS Perspective

Information security risk, control, incident, dan resilience.

Stage 3: PIMS Perspective

PII processing, privacy risk, accountability, dan privacy control.

Stage 4: Integrated Workshop

Peserta memetakan satu process dari security dan privacy perspectives.

Stage 5: Incident Simulation

Peserta menangani scenario yang memiliki security dan privacy impact.

Stage 6: Assurance

Peserta mereview evidence dan menentukan audit findings.

Workshop PIMS vs ISMS

Workshop dapat menggunakan satu business process.

Peserta diminta:

memetakan information assets;
mengidentifikasi PII processing;
menilai security risk;
menilai privacy risk;
mengidentifikasi shared control;
mengidentifikasi privacy-specific control;
menetapkan owner;
menentukan evidence;
menentukan monitoring.

Output workshop menunjukkan area integrasi dan area yang perlu tetap spesifik.

Audit Evidence yang Dapat Digunakan Bersama

Shared evidence dapat meliputi:

governance record;
risk assessment;
access review;
incident record;
training record;
third-party review;
management review;
corrective action.

Auditor tetap perlu menilai apakah evidence tersebut cukup untuk objective privacy dan security yang berbeda.

Management Dashboard Terintegrasi

Management tidak perlu menerima dua dashboard yang sepenuhnya terpisah jika sebagian informasinya sama.

Dashboard dapat memuat:

top security risks;
top privacy risks;
open incidents;
PII-related incidents;
critical control weaknesses;
third-party issues;
overdue corrective actions;
audit findings;
management decision required.

Integrated reporting membantu management melihat hubungan security dan privacy exposure.

Implikasi Transisi dari ISO 27701:2019 ke 2025 bagi Kompetensi Tim

Perubahan edisi tidak cukup ditangani dengan mengganti nomor tahun pada materi training. Tim perlu memahami perubahan positioning PIMS, hubungan baru antara privacy management dan existing ISMS, serta dampaknya terhadap governance, audit, documentation, dan implementation planning.

Program refreshment dapat meminta peserta membandingkan current practice dengan model PIMS yang digunakan pada edisi 2025. Area yang perlu direview dapat mencakup:

scope PIMS;
governance dan accountability;
privacy risk methodology;
shared dan privacy-specific controls;
internal audit approach;
management review;
documentation architecture;
training materials.

Tujuannya bukan menghapus mekanisme existing yang masih efektif. Organisasi perlu menentukan bagian mana yang dapat dipertahankan, bagian mana yang perlu diselaraskan, dan competency gap apa yang muncul akibat perubahan edisi.

Integrated Audit Planning untuk PIMS dan ISMS

Organisasi yang menjalankan PIMS dan ISMS secara terintegrasi dapat merancang audit plan yang mengurangi duplikasi tanpa menghilangkan kedalaman privacy.

Shared audit area dapat mencakup governance, risk methodology, access, incident, third party, competency, monitoring, management review, dan corrective action. Auditor kemudian menambahkan privacy-specific testing untuk processing accountability, PII lifecycle, privacy risk, serta evidence yang relevan.

Pendekatan ini membutuhkan auditor yang mampu membedakan shared process dengan privacy-specific objective. Jika tidak, integrated audit dapat menjadi terlalu security-centric dan gagal menangkap privacy exposure.

Kesalahan Umum Memahami ISO 27701 vs 27001

1. Menganggap ISO 27701 Hanya Tambahan Kecil ISO 27001

Edisi 2025 dapat digunakan sebagai independent PIMS management system.

2. Menganggap Privacy Sama dengan Information Security

Security dan privacy memiliki overlap, tetapi risk perspective dan accountability berbeda.

3. Membuat Seluruh Process Terpisah

Shared governance dapat mengurangi duplikasi.

4. Menggunakan Security Risk Register untuk Privacy Tanpa Penyesuaian

Privacy impact perlu dinilai secara spesifik.

5. Tidak Melibatkan Business Owner

Privacy processing terjadi pada business process, bukan hanya pada fungsi privacy.

6. Tidak Menilai Third Party dari Dua Perspektif

Vendor dapat memiliki security dan privacy exposure sekaligus.

7. Internal Audit Hanya Memeriksa Dokumen

Audit perlu menilai implementation dan evidence.

Checklist Kompetensi ISO 27701 vs 27001

Organisasi dapat menggunakan pertanyaan berikut:

Apakah tim memahami perbedaan PIMS dan ISMS?
Apakah privacy risk dibedakan dari security risk?
Apakah shared control telah dipetakan?
Apakah privacy-specific control tersedia?
Apakah business owner memahami accountability?
Apakah incident workflow mencakup security dan privacy assessment?
Apakah third party dinilai dari dua perspektif?
Apakah internal auditor memahami PIMS dan ISMS?
Apakah management menerima integrated reporting?
Apakah training menggunakan versi standar yang berlaku?

Pembeda RADS

RADS membangun pembelajaran ISO 27701 vs 27001 sebagai competency development lintas fungsi.

Peserta tidak hanya membandingkan definisi, tetapi berlatih memetakan process, information, PII, security risk, privacy risk, shared control, privacy-specific control, ownership, incident, dan audit evidence.

Pendekatan dapat dikustomisasi untuk privacy, risk, compliance, security, IT, data governance, internal audit, dan business owner.

Internal Link Wheel ISO 27701 vs 27001

Konten Induk

Konten Setingkat

Konten Turunan

FAQ ISO 27701 vs 27001

Apa perbedaan utama ISO 27701 dan ISO 27001?

ISO 27001 berfokus pada information security management system, sedangkan ISO 27701 berfokus pada privacy information management system.

Apa itu ISMS?

ISMS adalah Information Security Management System untuk mengelola risiko keamanan informasi.

Apa itu PIMS?

PIMS adalah Privacy Information Management System untuk mengelola privacy information, accountability, risk, control, dan continual improvement.

Apakah ISO 27701:2025 dapat digunakan tanpa ISO 27001?

Ya. ISO/IEC 27701:2025 merupakan independent management system standard.

Apakah PIMS dan ISMS sebaiknya diintegrasikan?

Dapat diintegrasikan apabila governance, risk, control, incident, audit, dan reporting memiliki overlap.

Apakah privacy risk sama dengan information security risk?

Tidak. Keduanya dapat beririsan, tetapi privacy risk memiliki perspective terhadap processing dan dampak privacy yang lebih spesifik.

Apakah satu control dapat memenuhi kebutuhan PIMS dan ISMS?

Ya, beberapa control dapat digunakan bersama apabila objective dan evidence-nya memadai.

Siapa yang perlu memahami kedua standar?

Privacy, security, risk, compliance, IT, data governance, business owner, dan internal audit.

Bagaimana training mengajarkan perbedaannya?

Melalui case, mapping, risk workshop, control design, incident simulation, dan audit evidence review.

Apakah artikel ini menggantikan dokumen standar?

Tidak. Artikel ini merupakan materi edukasi. Implementasi tetap perlu mengacu pada standar resmi yang berlaku.

Program Pembelajaran ISO 27701 dan ISO 27001

RADS membantu organisasi membangun kompetensi privacy dan information security melalui training, workshop, case study, simulation, dan knowledge transfer.

<strong>Pelajari perbedaan ISO 27701 dan ISO 27001 bersama RADS untuk membangun tim yang mampu mengintegrasikan PIMS dan ISMS tanpa kehilangan kebutuhan spesifik privacy maupun information security.</strong>