Dalam audit sertifikasi, hampir setiap perusahaan pulang membawa daftar temuan. Ada saja dokumen yang belum diperbarui, bukti yang belum rapi, atau kontrol yang belum berjalan konsisten.
Karena itu hasil yang diraih Smartfren pada Desember 2023 terasa tidak biasa. Operator telekomunikasi ini lulus audit resertifikasi ISO/IEC 27001 dengan predikat zero finding, artinya tidak ditemukan satu pun ketidaksesuaian oleh auditor eksternal.
Hasil seperti itu jarang lahir dari keberuntungan, apalagi dalam audit resertifikasi yang menilai ulang seluruh sistem setelah tiga tahun berjalan. Artikel ini membedah apa arti zero finding sebenarnya, bagaimana kronologi kasus Smartfren, dan kebiasaan apa saja yang membuat hasil tersebut masuk akal untuk terjadi.
Apa Arti Zero Finding Sebenarnya
Zero finding berarti auditor eksternal tidak menemukan ketidaksesuaian, atau non conformity, terhadap persyaratan standar selama audit berlangsung. Istilah ini hanya bisa dipahami kalau kita mengenal jenis catatan yang biasa muncul dalam audit ISO. Berikut empat jenis catatan tersebut.
1. Ketidaksesuaian Mayor
Ketidaksesuaian mayor adalah kegagalan sistematis, misalnya satu klausul standar yang sama sekali tidak dijalankan atau bukti bahwa sistem manajemen hanya ada di atas kertas. Satu temuan mayor umumnya cukup untuk menunda rekomendasi sertifikasi sampai perusahaan memperbaikinya dan membuktikan perbaikannya.
2. Ketidaksesuaian Minor
Ketidaksesuaian minor adalah kelalaian yang sifatnya terbatas dan tidak menunjukkan kegagalan sistem secara keseluruhan, contohnya satu catatan pelatihan yang belum lengkap. Temuan minor tidak selalu menggagalkan sertifikasi, tetapi perusahaan wajib menyusun rencana perbaikan yang disetujui auditor.
3. Rekomendasi Perbaikan atau Opportunity for Improvement
Rekomendasi perbaikan, sering disingkat OFI, bukanlah ketidaksesuaian. Auditor menilai persyaratan sudah dipenuhi, tetapi melihat cara yang lebih baik untuk menjalankannya. Catatan jenis ini tidak mengancam kelulusan, walaupun tetap dicatat resmi dalam laporan audit.
4. Catatan Positif
Catatan positif diberikan auditor untuk praktik yang dinilai berjalan sangat baik dan layak dipertahankan atau dicontoh. Keberadaan catatan ini menunjukkan sistem tidak sekadar patuh, tetapi punya sisi yang menonjol.
Dengan kerangka itu, zero finding berarti nol ketidaksesuaian mayor dan nol ketidaksesuaian minor. Bukan berarti auditor pulang dengan tangan kosong, karena catatan rekomendasi dan catatan positif tetap bisa muncul.
Kronologi Kasus Smartfren
Perjalanan Smartfren dengan ISO 27001 tidak dimulai pada 2023. Perusahaan ini pertama kali meraih sertifikat ISO 27001 pada tahun 2017 dari TÃœV Rheinland Indonesia, sebagai pengakuan atas penerapan sistem manajemen keamanan informasi atau ISMS untuk melindungi data pelanggan.
Sertifikat tersebut dipertahankan melewati siklus berikutnya. Laporan tahunan perusahaan mencatat periode sertifikasi 8 April 2021 sampai 5 Februari 2024 dari TÃœV Rheinland, yang berarti audit pengawasan tahunan selama periode itu berhasil dilewati. Detail ini penting karena sertifikat ISO tidak diberikan sekali untuk selamanya. Setiap tahun ada audit pengawasan yang memeriksa apakah sistem masih berjalan, dan setiap tiga tahun ada audit resertifikasi yang menilai ulang keseluruhan sistem dari awal. Konsistensi yang dituntut dari mekanisme ini jauh lebih berat daripada kesan yang muncul dari satu foto penyerahan sertifikat.
Puncaknya terjadi pada 5 Desember 2023. Smartfren menjalani audit resertifikasi ISO/IEC 27001:2013 oleh TÃœV Rheinland Indonesia dan dinyatakan lulus tanpa satu pun non conformity. Audit menghasilkan tujuh catatan yang terdiri dari satu catatan positif dan enam rekomendasi perbaikan. Dalam persiapan menghadapi audit ini, Smartfren didampingi oleh Proxsis IT, dan persiapan tersebut dilaporkan sudah berjalan sejak awal tahun yang sama.
Satu catatan penting untuk pembaca yang sedang menyiapkan sertifikasi saat ini. Audit Smartfren pada 2023 masih memakai versi ISO/IEC 27001:2013. Versi yang berlaku sekarang adalah ISO/IEC 27001:2022, dan masa transisi dari versi 2013 telah berakhir pada 31 Oktober 2025, sehingga seluruh sertifikasi baru maupun resertifikasi kini mengacu ke versi 2022.
Kenapa Kasus Ini Penting untuk Sektor Telekomunikasi
Operator telekomunikasi mengelola salah satu kumpulan data pribadi terbesar di Indonesia, mulai dari data identitas pelanggan saat registrasi kartu, riwayat transaksi, sampai data lokasi. Satu insiden kebocoran pada skala tersebut berdampak ke jutaan orang sekaligus dan langsung menjadi perhatian regulator serta publik.
Tekanan kepatuhannya pun berlapis. Selain tuntutan keamanan dari regulator sektor telekomunikasi, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data pribadi menerapkan pengamanan yang memadai dan melaporkan insiden dalam batas waktu yang ketat. Sertifikasi ISO 27001 yang terpelihara dengan baik memberi perusahaan kerangka kerja yang terdokumentasi untuk menjawab tuntutan tersebut.
Dalam konteks itulah hasil audit Smartfren menarik dipelajari. Pertanyaannya bukan sekadar bagaimana cara lulus audit, melainkan bagaimana sebuah sistem manajemen bisa berjalan konsisten selama bertahun-tahun pada operasi sebesar itu. Jawabannya terlihat dari kebiasaan-kebiasaan berikut ini.
Lima Kebiasaan di Balik Hasil Zero Finding
Dari kronologi dan langkah persiapan yang dilaporkan, ada pola yang bisa dibaca dengan jelas. Berikut lima kebiasaan yang menjelaskan kenapa hasil zero finding itu bukan kebetulan.
1. Persiapan Dimulai Jauh Sebelum Jadwal Audit
Persiapan Smartfren berjalan sejak awal tahun, berbulan-bulan sebelum audit dilaksanakan pada Desember. Jarak waktu ini memberi ruang untuk membenahi temuan secara sungguh-sungguh, bukan menambal dokumen pada minggu terakhir menjelang auditor datang.
2. Ada Penilaian Kesenjangan Sebelum Audit
Langkah persiapan mencakup penilaian kesenjangan terhadap kondisi keamanan informasi yang sedang berjalan. Dengan cara ini perusahaan tahu sejak awal klausul dan kontrol mana yang masih lemah, lalu memperbaikinya selagi masih ada waktu, bukan menebak-nebak isi kepala auditor.
3. Audit Internal Dipakai untuk Menguji Konsistensi
Persiapan juga melibatkan audit internal untuk melihat kekonsistenan penerapan keamanan informasi. Audit internal yang jujur berfungsi sebagai gladi bersih. Temuan yang muncul di tahap ini memang menyakitkan, tetapi jauh lebih murah daripada temuan yang sama bila ditemukan auditor eksternal.
4. Pemahaman Keamanan Dibangun di Semua Lapisan
Persiapan tidak berhenti pada aspek teknis dan dokumen. Setiap lapisan organisasi dipastikan memahami dan menerapkan praktik menjaga kerahasiaan, integritas, dan ketersediaan informasi. Auditor eksternal memang mewawancarai banyak fungsi, sehingga sistem yang hanya dipahami tim IT akan mudah terlihat rapuh.
5. Konsistensi Dijaga Bertahun-Tahun
Zero finding pada 2023 adalah hasil akumulasi sejak sertifikasi pertama pada 2017. Perusahaan yang memperlakukan ISMS sebagai proyek tahunan menjelang audit hampir tidak pernah mencapai titik ini, karena bukti penerapan yang dinilai auditor adalah bukti pekerjaan sehari-hari, bukan bukti yang dibuat mendadak.
Zero Finding Bukan Berarti Sempurna
Penting untuk menempatkan capaian ini secara proporsional. Zero finding bukan vonis bahwa sistem keamanan Smartfren sempurna dan kebal serangan. Setidaknya ada tiga alasan untuk tetap rendah hati membaca hasil audit.
Pertama, audit sertifikasi bekerja dengan metode sampling. Auditor memeriksa sampel bukti dalam waktu terbatas, sehingga hasil audit adalah pernyataan kesesuaian berdasarkan sampel, bukan jaminan absolut atas seluruh operasi perusahaan.
Kedua, Smartfren tetap menerima enam rekomendasi perbaikan. Rekomendasi tersebut adalah pekerjaan rumah nyata yang menunjukkan masih ada ruang peningkatan, dan menindaklanjutinya adalah bagian dari kewajiban perbaikan berkelanjutan dalam standar itu sendiri.
Ketiga, ancaman dan standar sama-sama bergerak. Setelah masa transisi berakhir, siklus berikutnya menuntut kesesuaian terhadap ISO/IEC 27001:2022 dengan struktur kontrol Annex A yang diperbarui menjadi 93 kontrol dalam empat tema. Sertifikat juga hanya berlaku tiga tahun dan diuji lagi setiap tahun lewat audit pengawasan, jadi tidak ada titik di mana perusahaan bisa berhenti memelihara sistemnya. Perusahaan yang berpuas diri setelah satu audit bersih justru berisiko tertinggal pada siklus berikutnya.
Pelajaran yang Bisa Ditiru Perusahaan Lain
Kasus ini relevan bukan hanya untuk operator telekomunikasi. Setiap perusahaan yang mengelola data pelanggan dalam jumlah besar menghadapi tuntutan yang sama, apalagi dengan berlakunya Undang-Undang Pelindungan Data Pribadi di Indonesia. Beberapa pelajaran praktisnya sebagai berikut.
- Perlakukan audit resertifikasi sebagai ujian konsistensi tiga tahunan, bukan pengulangan proyek sertifikasi dari nol.
- Mulai persiapan dengan penilaian kesenjangan dan Statement of Applicability (SoA) yang jujur, lalu tutup celahnya berdasarkan prioritas risiko.
- Jadikan audit internal sebagai alat diagnosis yang jujur, lengkap dengan tindak lanjut yang diverifikasi.
- Bangun pemahaman keamanan sampai ke lapisan operasional, karena auditor akan mewawancarai mereka juga.
- Pilih pendamping yang memahami standar sekaligus konteks industri Anda, dan libatkan sejak awal siklus, bukan menjelang audit.
Pada akhirnya, zero finding adalah hasil sampingan. Tujuan utamanya tetap sistem keamanan informasi yang benar-benar melindungi data pelanggan setiap hari. Perusahaan yang mengejar tujuan kedua biasanya mendapatkan tujuan pertama sebagai bonus, persis seperti yang ditunjukkan kasus Smartfren ini. Proxsis IT mendampingi perusahaan membangun dan memelihara ISMS sampai siap menghadapi audit eksternal, termasuk untuk transisi ke ISO/IEC 27001:2022.
