Simulasi Ujian: ISO 27001/27701 Lead Implementer

Q: Apa langkah pertama yang harus dilakukan organisasi saat membangun Information Security Management System (ISMS) berdasarkan ISO 27001?

Jawaban yang benar adalah B: Menentukan ruang lingkup (scope) ISMS. Pilihan: A) Mengimplementasikan seluruh kontrol Annex A; B) Menentukan ruang lingkup (scope) ISMS; C) Melakukan internal audit; D) Membeli sertifikasi ISO 27001. Penjelasan: Mendefinisikan ruang lingkup ISMS adalah langkah fundamental pertama karena menentukan batasan dan aplikabilitas sistem manajemen keamanan informasi, termasuk aset, lokasi, dan proses yang tercakup.

Q: Siklus PDCA (Plan-Do-Check-Act) dalam ISO 27001 bertujuan untuk:

Jawaban yang benar adalah B: Menyediakan kerangka perbaikan berkelanjutan (continual improvement) bagi ISMS. Pilihan: A) Memastikan proyek IT selesai tepat waktu; B) Menyediakan kerangka perbaikan berkelanjutan (continual improvement) bagi ISMS; C) Menggantikan kebutuhan risk assessment; D) Menstandarkan format dokumentasi keamanan. Penjelasan: Siklus PDCA adalah fondasi ISO 27001 yang memastikan ISMS terus diperbaiki. Plan (rencanakan), Do (implementasi), Check (monitor dan review), Act (tindakan perbaikan) membentuk siklus perbaikan berkelanjutan.

Q: Dokumen apa yang wajib dibuat sebagai hasil dari proses risk assessment dan risk treatment dalam ISO 27001?

Jawaban yang benar adalah B: Statement of Applicability (SoA). Pilihan: A) Business Continuity Plan; B) Statement of Applicability (SoA); C) Penetration Testing Report; D) Service Level Agreement. Penjelasan: Statement of Applicability (SoA) adalah dokumen wajib ISO 27001 yang mencantumkan semua kontrol dari Annex A beserta justifikasi mana yang diterapkan dan mana yang dikecualikan, berdasarkan hasil risk assessment.

Q: Dalam proses risk assessment ISO 27001, organisasi harus mengidentifikasi risiko berdasarkan:

Jawaban yang benar adalah B: Kerahasiaan, integritas, dan ketersediaan (CIA) aset informasi. Pilihan: A) Hanya ancaman eksternal seperti hacker dan malware; B) Kerahasiaan, integritas, dan ketersediaan (CIA) aset informasi; C) Jumlah anggaran keamanan IT yang tersedia; D) Rekomendasi vendor keamanan siber. Penjelasan: ISO 27001 mensyaratkan identifikasi risiko yang dapat berdampak pada kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) aset informasi, yang dikenal sebagai triad CIA.

Q: Apa perbedaan antara Stage 1 dan Stage 2 dalam proses sertifikasi ISO 27001?

Jawaban yang benar adalah B: Stage 1 adalah review dokumentasi dan kesiapan, Stage 2 adalah audit implementasi di lapangan. Pilihan: A) Stage 1 menguji teknis IT, Stage 2 menguji dokumentasi; B) Stage 1 adalah review dokumentasi dan kesiapan, Stage 2 adalah audit implementasi di lapangan; C) Stage 1 dilakukan oleh internal auditor, Stage 2 oleh eksternal; D) Stage 1 bersifat opsional, hanya Stage 2 yang wajib. Penjelasan: Stage 1 (documentation review) mengevaluasi kesiapan dokumentasi ISMS dan mengidentifikasi gap sebelum audit utama. Stage 2 (certification audit) memverifikasi implementasi aktual kontrol dan proses di lapangan.

Q: Annex A ISO 27001:2022 memuat kontrol keamanan informasi. Kontrol-kontrol tersebut bersifat:

Jawaban yang benar adalah B: Referensi yang dipilih berdasarkan hasil risk assessment, dengan justifikasi untuk yang dikecualikan. Pilihan: A) Wajib seluruhnya diterapkan tanpa pengecualian; B) Referensi yang dipilih berdasarkan hasil risk assessment, dengan justifikasi untuk yang dikecualikan; C) Hanya panduan opsional tanpa kewajiban dokumentasi; D) Khusus untuk industri perbankan dan keuangan. Penjelasan: Kontrol Annex A bukan daftar wajib terapkan seluruhnya. Organisasi memilih kontrol berdasarkan risk treatment plan dan harus memberikan justifikasi di Statement of Applicability untuk kontrol yang tidak diterapkan.

Q: Internal audit ISMS harus dilakukan oleh:

Jawaban yang benar adalah B: Auditor yang independen dari area yang diaudit. Pilihan: A) Tim IT yang bertanggung jawab atas implementasi kontrol; B) Auditor yang independen dari area yang diaudit; C) Konsultan eksternal bersertifikasi ISO; D) Chief Information Security Officer (CISO) secara langsung. Penjelasan: ISO 27001 mensyaratkan independensi auditor dari area yang diaudit untuk memastikan objektivitas. Auditor internal boleh dari organisasi yang sama selama tidak mengaudit area yang menjadi tanggung jawabnya sendiri.

Q: Manajemen review ISMS harus dilakukan oleh top management dan mencakup evaluasi terhadap:

Jawaban yang benar adalah B: Kinerja keamanan informasi, hasil audit, status tindakan korektif, dan perubahan risiko. Pilihan: A) Hanya hasil internal audit; B) Kinerja keamanan informasi, hasil audit, status tindakan korektif, dan perubahan risiko; C) Laporan keuangan departemen IT; D) Performa individual karyawan keamanan IT. Penjelasan: Management review adalah mekanisme governance yang mengharuskan top management mengevaluasi secara menyeluruh: kinerja ISMS, hasil audit, status risk treatment, tindakan korektif, dan perubahan konteks internal/eksternal yang mempengaruhi keamanan informasi.

Q: Sebuah perusahaan fintech memproses data pribadi nasabah dan ingin memperluas ISMS-nya untuk mencakup manajemen privasi. Standar apa yang sebaiknya diimplementasikan sebagai ekstensi ISO 27001?

Jawaban yang benar adalah B: ISO 27701. Pilihan: A) ISO 9001; B) ISO 27701; C) ISO 22301; D) ISO 31000. Penjelasan: ISO 27701 adalah ekstensi privacy untuk ISO 27001 yang menyediakan panduan implementasi Privacy Information Management System (PIMS). Standar ini membantu organisasi memenuhi regulasi privasi data seperti GDPR dan UU PDP Indonesia.

Q: Organisasi melakukan gap analysis dan menemukan bahwa 30% kontrol Annex A belum diterapkan. Manajemen memutuskan untuk menerima risiko residual tersebut tanpa mitigasi. Apa yang harus dilakukan Lead Implementer?

Jawaban yang benar adalah B: Memastikan keputusan risk acceptance terdokumentasi formal, disetujui oleh risk owner yang berwenang, dan risiko residual berada dalam risk appetite organisasi. Pilihan: A) Menyetujui keputusan manajemen dan melanjutkan sertifikasi; B) Memastikan keputusan risk acceptance terdokumentasi formal, disetujui oleh risk owner yang berwenang, dan risiko residual berada dalam risk appetite organisasi; C) Menolak keputusan karena semua kontrol Annex A wajib diterapkan; D) Merekomendasikan penundaan sertifikasi sampai semua kontrol diterapkan. Penjelasan: ISO 27001 mengizinkan risk acceptance sebagai salah satu opsi risk treatment, namun harus terdokumentasi secara formal, disetujui oleh risk owner yang berwenang, dan risiko residual harus konsisten dengan risk criteria dan risk appetite yang telah ditetapkan organisasi.

Question 1

Apa langkah pertama yang harus dilakukan organisasi saat membangun Information Security Management System (ISMS) berdasarkan ISO 27001?

Accepted Answer

Menentukan ruang lingkup (scope) ISMS

Answer

Mengimplementasikan seluruh kontrol Annex A

Answer

Melakukan internal audit

Answer

Membeli sertifikasi ISO 27001

Question 2

Siklus PDCA (Plan-Do-Check-Act) dalam ISO 27001 bertujuan untuk:

Accepted Answer

Menyediakan kerangka perbaikan berkelanjutan (continual improvement) bagi ISMS

Answer

Memastikan proyek IT selesai tepat waktu

Answer

Menggantikan kebutuhan risk assessment

Answer

Menstandarkan format dokumentasi keamanan

Question 3

Dokumen apa yang wajib dibuat sebagai hasil dari proses risk assessment dan risk treatment dalam ISO 27001?

Accepted Answer

Statement of Applicability (SoA)

Answer

Business Continuity Plan

Answer

Penetration Testing Report

Answer

Service Level Agreement

Question 4

Dalam proses risk assessment ISO 27001, organisasi harus mengidentifikasi risiko berdasarkan:

Accepted Answer

Kerahasiaan, integritas, dan ketersediaan (CIA) aset informasi

Answer

Hanya ancaman eksternal seperti hacker dan malware

Answer

Jumlah anggaran keamanan IT yang tersedia

Answer

Rekomendasi vendor keamanan siber

Question 5

Apa perbedaan antara Stage 1 dan Stage 2 dalam proses sertifikasi ISO 27001?

Accepted Answer

Stage 1 adalah review dokumentasi dan kesiapan, Stage 2 adalah audit implementasi di lapangan

Answer

Stage 1 menguji teknis IT, Stage 2 menguji dokumentasi

Answer

Stage 1 dilakukan oleh internal auditor, Stage 2 oleh eksternal

Answer

Stage 1 bersifat opsional, hanya Stage 2 yang wajib

Question 6

Annex A ISO 27001:2022 memuat kontrol keamanan informasi. Kontrol-kontrol tersebut bersifat:

Accepted Answer

Referensi yang dipilih berdasarkan hasil risk assessment, dengan justifikasi untuk yang dikecualikan

Answer

Wajib seluruhnya diterapkan tanpa pengecualian

Answer

Hanya panduan opsional tanpa kewajiban dokumentasi

Answer

Khusus untuk industri perbankan dan keuangan

Question 7

Internal audit ISMS harus dilakukan oleh:

Accepted Answer

Auditor yang independen dari area yang diaudit

Answer

Tim IT yang bertanggung jawab atas implementasi kontrol

Answer

Konsultan eksternal bersertifikasi ISO

Answer

Chief Information Security Officer (CISO) secara langsung

Question 8

Manajemen review ISMS harus dilakukan oleh top management dan mencakup evaluasi terhadap:

Accepted Answer

Kinerja keamanan informasi, hasil audit, status tindakan korektif, dan perubahan risiko

Answer

Hanya hasil internal audit

Answer

Laporan keuangan departemen IT

Answer

Performa individual karyawan keamanan IT

Question 9

Sebuah perusahaan fintech memproses data pribadi nasabah dan ingin memperluas ISMS-nya untuk mencakup manajemen privasi. Standar apa yang sebaiknya diimplementasikan sebagai ekstensi ISO 27001?

Accepted Answer

ISO 27701

Answer

ISO 9001

Answer

ISO 22301

Answer

ISO 31000

Question 10

Organisasi melakukan gap analysis dan menemukan bahwa 30% kontrol Annex A belum diterapkan. Manajemen memutuskan untuk menerima risiko residual tersebut tanpa mitigasi. Apa yang harus dilakukan Lead Implementer?

Accepted Answer

Memastikan keputusan risk acceptance terdokumentasi formal, disetujui oleh risk owner yang berwenang, dan risiko residual berada dalam risk appetite organisasi

Answer

Menyetujui keputusan manajemen dan melanjutkan sertifikasi

Answer

Menolak keputusan karena semua kontrol Annex A wajib diterapkan

Answer

Merekomendasikan penundaan sertifikasi sampai semua kontrol diterapkan

Simulasi Ujian: ISO 27001/27701 Lead Implementer | Frans Training

ISO 27001/27701 Lead Implementer — Latihan Soal