ISO 27001 vs PCI DSS: Bisnis Anda Butuh yang Mana?

Daftar isi

Setiap organisasi yang menangani pembayaran di Southeast Asia cepat atau lambat bertemu kedua framework ini, sering kali dalam kuartal yang sama. Bank meminta sertifikat ISO 27001 saat vendor onboarding. Acquiring bank Anda meminta bukti kepatuhan PCI DSS di waktu bersamaan. Dua percakapan itu terdengar mirip, sama-sama melibatkan auditor, kontrol, dan siklus tahunan, jadi menganggapnya saling menggantikan memang menggoda.

Tidak. Memahami bedanya penting, karena memperlakukan salah satunya sebagai pengganti yang lain berarti baik membayar sertifikasi yang tak diperlukan, atau terpapar penalti dari card brand. Artikel ini menjelaskan apa yang masing-masing framework sebenarnya syaratkan, di mana mereka tumpang-tindih, dan kenapa menjalankan keduanya bersama lebih murah daripada terpisah.

ISO 27001: framework tata kelola untuk mengelola keamanan informasi #

ISO/IEC 27001 mendefinisikan bagaimana organisasi mengelola keamanan informasi, apa pun bisnisnya. Intinya adalah information security management system (ISMS): siklus penilaian risiko, pemilihan kontrol, operasi, pengukuran, dan perbaikan yang terdokumentasi.

Dua karakteristik mendefinisikannya:

Berbasis risiko. Standarnya tidak memberi tahu firewall merek apa yang harus dibeli atau seberapa sering patch. Ia mensyaratkan Anda mengidentifikasi risiko, memilih kontrol dari katalog Annex A (dan di luarnya) untuk menghadapinya, dan memjustifikasi setiap keputusan. Dua organisasi bisa sama-sama memegang sertifikat valid sambil menjalankan set kontrol yang sangat berbeda, karena risiko mereka berbeda.

Disertifikasi badan akreditasi. Sertifikasi diterbitkan certification body terakreditasi setelah audit Stage 1 dan Stage 2. Setelah tersertifikasi, Anda masuk siklus tiga tahun dengan surveillance audit tahunan, lalu rekam medis ulang. Sertifikatnya diakui internasional; itulah alasan tim procurement menyukainya: satu PDF menjawab puluhan baris kuesioner vendor risk.

Harga dari fleksibilitas itu adalah abstraksi. Sertifikat ISO 27001 memberi tahu partner bahwa Anda mengelola keamanan secara sistematis. Ia tidak memberi tahu bahwa ada langkah teknis spesifik tertentu pada tingkat yang ditentukan.

PCI DSS: persyaratan operasional preskriptif untuk data kartu #

PCI DSS hadir untuk satu tujuan: melindungi data kartu pembayaran. Card brand (Visa, Mastercard, Amex, JCB, UnionPay, dll.) menerbitkannya lewat PCI Security Standards Council, dan kepatuhannya ditegakkan secara kontraktual lewat acquiring bank dan payment processor.

Karakternya hampir sepenuhnya berlawanan dengan ISO 27001:

Preskriptif. Versi saat ini v4.x merinci persyaratan konkret dalam dua belas keluarga: network security control, konfigurasi sistem aman, perlindungan stored account data, enkripsi transit di jaringan publik, pertahanan malware, access control, keamanan fisik, logging dan monitoring, serta pengujian keamanan berkala. Di mana ISO berkata “kelola risiko akses tidak sah”, PCI berkata hal seperti “render all systems untrusted for authentication at 15 minutes of inactivity” lengkap dengan interval pengujian yang eksplisit.

Scopenya terikat cardholder data environment (CDE). Semuanya dimulai dari memetakan di mana data kartu hidup, mengalir, dan tersambung. Sistem yang tersambung ke CDE masuk scope; sistem yang disegmentasi dengan benar bisa saja tidak. Scope reduction karena itulah aktivitas bernilai tertinggi dalam sebagian besar program PCI: semakin sedikit sistem dalam scope, semakin sedikit bukti, jam assessment, dan biaya berjalan.

Validasi tahunan dan bergantung peran. Bergantung volume transaksi dan aturan card brand, validasi lewat Report on Compliance (ROC) yang ditandatangani Qualified Security Assessor, atau lewat Self-Assessment Questionnaire didukung quarterly ASV vulnerability scan. Tidak ada “sertifikat” dalam arti ISO: ada attestation of compliance yang terikat satu titik waktu.

Berdampingan #

Dimensi	ISO 27001	PCI DSS
Tujuan	Mengelola risiko keamanan informasi seluruh organisasi	Melindungi data kartu pembayaran spesifik
Pendekatan	Berbasis risiko, pemilihan kontrol dijustifikasi	Preskriptif, persyaratan teknis dan proses eksplisit
Berlaku bagi	Organisasi apa pun, jenis data apa pun	Entitas yang menyimpan, memproses, atau mentransmisikan data kartu
Validasi	Sertifikat dari badan terakreditasi, siklus 3 tahun + surveillance audit	ROC atau SAQ tahunan, scan kuartalan, ditegakkan lewat kontrak acquirer
Scope	Seluruh ISMS, batas ditentukan organisasi	Cardholder data environment, ditentukan aliran data
Konsekuensi gagal	Kehilangan sertifikat, kerugian kontrak	Denda lewat acquiring bank, hilang hak menerima kartu

Titik tumpangnya #

Meski filosofinya berbeda, porsi besar pekerjaan dasarnya sama. Kedua framework mensyaratkan:

Access control least privilege dan identifikasi unik
Enkripsi data sensitif saat transit, dan rahasia saat disimpan
Logging, monitoring, dan sinkronisasi waktu
Manajemen kerentanan dan disiplin patching
Segmentasi lingkungan sensitif
Kesadaran keamanan dan kebijakan tertulis dengan siklus review
Perencanaan respons insiden dan pengujian

Dalam praktik, kontrol yang dibangun baik sekali biasanya memuaskan kedua auditor, asalkan Anda sengaja memetakannya. Yang kesulitan adalah organisasi yang membangun kontrol dua kali, sekali per auditor, karena tak ada yang merawat pemetaan antar framework.

Cara praktis menjalankan keduanya #

Untuk fintech Thailand atau bisnis regional mana pun yang menerima kartu sambil mengejar klien enterprise, urutan yang bekerja:

Jadikan ISO 27001 anchor tata kelola. Bangun ISMS, risk register, set kebijakan, dan ritme management review. Itu menjadi sistem operasi untuk segala hal lain.
Overlay PCI DSS pada CDE. Petakan scope dengan ketat, terapkan persyaratan preskriptif di dalam batas itu, dan dokumentasikan pemetaan tiap persyaratan PCI balik ke kontrol ISMS.
Bagikan pipeline bukti. Satu platform logging, satu proses vulnerability management, satu kalender access review yang menyuplai kedua program. Assessment kemudian menjadi latihan verifikasi, bukan proyek.
Atur kedua kalender. Surveillance audit ISO dan annual attestation PCI bisa jatuh di titik berbeda dalam setahun jika direncanakan; gunakan jaraknya untuk memperbaiki temuan dari satu sebelum yang lain datang.

Dibuat begini, marginal cost menambahkan PCI DSS di atas program ISO 27001 yang sudah ada (atau sebaliknya) jauh di bawah biaya membangun salah satunya dari nol. Dilakukan buruk? Anda bayar dua kali dan tetap ada gap.

Jadi mana yang Anda butuhkan? #

Tanyakan dua hal. Apakah Anda menyentuh payment card data? Maka PCI DSS berlaku, titik: itu bukan opsional, dan acquirer Anda akan menegaskannya secara tertulis di momen paling tidak nyaman. Apakah pelanggan enterprise, bank, atau regulator mengharapkan governance keamanan yang bisa dibuktikan? Maka ISO 27001 menghapus satu kategori gesekan procurement.

Mayoritas organisasi industri pembayaran akhirnya butuh keduanya. Kabar baiknya mereka saling menguatkan: ISO memberi disiplin manajemen, PCI memberi kedalaman operasional tepat di tempat uang bergerak.

Masih belum pasti butuh ISO, PCI, atau keduanya, dan scope aslinya sampai mana? Hubungi kami untuk sanity check yang lugas. Kontak saya via LINE (@PureSecurity) atau email (hello@puresecurity.com).

Sebagai praktik QSA aktif, kami menyediakan gap assessment dan QSA audit PCI DSS bersama advisory compliance regulasi, termasuk mapping program gabungan agar Anda memenuhi kedua framework dari satu set kontrol. Atau schedule an Engineering & Scoping Session untuk membahas situasi spesifik Anda.