Founder SaaS B2B cepat atau lambat akan mendengar pertanyaan: "Sudah ISO 27001?" atau "Ada SOC 2 report?" Pertanyaan ini biasanya muncul saat menjual ke enterprise, perusahaan regional, fintech, healthtech, atau pelanggan yang punya tim security matang.
Jawaban yang sehat bukan langsung mengejar sertifikasi karena terdengar keren. ISO 27001 dan SOC 2 punya fungsi, biaya, dan ekspektasi berbeda. Untuk startup Indonesia, keputusan harus mengikuti target buyer, tahap produk, kesiapan kontrol internal, dan nilai kontrak yang ingin dikejar.
Artikel ini bukan panduan audit formal. Gunakan auditor, counsel, atau advisor security untuk keputusan sertifikasi. Tujuannya membantu founder memahami bahasa buyer dan menyiapkan langkah sebelum membayar audit.
Apa itu ISO 27001
ISO/IEC 27001 adalah standar internasional untuk information security management system. Versi yang saat ini banyak dirujuk adalah ISO/IEC 27001:2022, yang dijelaskan oleh ISO sebagai standar untuk menetapkan, menerapkan, memelihara, dan meningkatkan sistem manajemen keamanan informasi.
Secara praktis, ISO 27001 menilai apakah perusahaan punya sistem manajemen keamanan: kebijakan, risk assessment, kontrol, owner, audit internal, corrective action, dan continuous improvement. Ini bukan hanya checklist teknis. Ia menilai cara organisasi mengelola risiko keamanan.
Rujukan awal: ISO/IEC 27001 information security management.
Apa itu SOC 2
SOC 2 adalah laporan assurance yang umum dipakai vendor teknologi, terutama untuk buyer Amerika Serikat atau perusahaan yang familiar dengan Trust Services Criteria. SOC 2 biasanya mengevaluasi kontrol terkait security, availability, processing integrity, confidentiality, dan privacy, tergantung scope.
Secara praktis, buyer meminta SOC 2 untuk melihat laporan pihak ketiga tentang kontrol vendor. Ada Type I dan Type II. Type I melihat desain kontrol pada satu titik waktu. Type II melihat operasi kontrol selama periode tertentu.
Rujukan awal: AICPA SOC for Service Organizations.
Perbedaan yang penting untuk founder
Perbedaan ringkas:
- ISO 27001: sertifikasi sistem manajemen keamanan informasi
- SOC 2: laporan assurance atas kontrol layanan berdasarkan trust criteria
- ISO sering diminta buyer enterprise lintas negara dan procurement formal
- SOC 2 sering diminta buyer software/SaaS, terutama yang punya exposure global atau AS
- ISO lebih terasa sebagai sistem manajemen organisasi
- SOC 2 lebih terasa sebagai bukti kontrol operasional layanan
Dalam praktik, buyer tidak selalu paham detailnya. Mereka hanya memakai ISO/SOC 2 sebagai sinyal trust. Founder perlu bertanya: apakah ini syarat wajib, nice-to-have, atau hanya pertanyaan procurement?
Kapan perlu mengejar sertifikasi
Pertimbangkan audit formal jika:
- beberapa deal besar berhenti karena tidak ada ISO/SOC 2
- target market adalah enterprise atau regulated sector
- pelanggan meminta bukti pihak ketiga, bukan hanya security one-pager
- nilai kontrak cukup untuk menutup biaya kesiapan dan audit
- kontrol internal sudah cukup stabil
- tim punya owner security/compliance
Jangan mengejar sertifikasi jika produk, infrastruktur, dan proses masih berubah setiap minggu. Audit akan menjadi mahal dan melelahkan karena kontrol belum stabil.
Alternatif sebelum siap audit
Sebelum ISO atau SOC 2, siapkan:
- security one-pager
- access review bulanan
- backup dan restore test
- incident response note
- data map
- vendor/subprocessor list
- audit log untuk event penting
- secure SDLC ringan
- vulnerability management dasar
- answer bank untuk security questionnaire
Dokumen dan kebiasaan ini bukan pengganti sertifikasi, tetapi sering cukup untuk buyer early enterprise atau pilot terbatas. Jika gap yang sama muncul berulang di questionnaire, itu sinyal readiness perlu dinaikkan.
Readiness scorecard
Beri skor 1 sampai 5:
- Access control: akses internal dibatasi dan direview
- Asset/data inventory: data dan sistem penting tercatat
- Risk register: risiko keamanan ditulis dan punya owner
- Policy: kebijakan minimum tersedia dan dipakai
- Incident response: alur incident jelas
- Backup/restore: restore pernah diuji
- Logging/audit: event penting tercatat
- Vendor management: subprocessor dicatat
- Evidence: bukti kontrol mudah ditemukan
- Owner: ada orang yang memimpin compliance
Jika skor rata-rata masih rendah, audit formal kemungkinan akan terasa seperti proyek membangun dasar dari nol. Perbaiki readiness dulu.
Cara menjawab buyer
Jika belum punya sertifikasi:
"Saat ini kami belum memiliki ISO 27001 atau SOC 2. Kontrol yang sudah tersedia: access review, backup/restore test, security one-pager, vendor list, dan incident response owner. Untuk scope pilot, kami bisa membagikan dokumen tersebut dan menjawab questionnaire. Jika sertifikasi menjadi syarat rollout enterprise penuh, kami perlu membahas timeline dan scope komersial."
Jawaban ini jujur. Ia memberi bukti tanpa overclaim.
Budget dan biaya internal
Biaya audit bukan hanya invoice auditor. Ada biaya internal:
- waktu founder/engineering
- dokumentasi
- perbaikan kontrol
- tooling security
- audit preparation
- evidence collection
- ongoing maintenance
Jika founder belum punya orang yang memegang compliance, audit akan menyedot fokus produk dan sales. Jangan mulai hanya karena satu prospek bertanya. Lihat pola dari pipeline.
Decision rule
Gunakan aturan sederhana:
- Jika hanya satu deal kecil meminta ISO/SOC 2, jawab dengan security pack dan gap log.
- Jika tiga sampai lima deal target berhenti karena isu yang sama, mulai readiness project.
- Jika enterprise menjadi strategi utama, buat roadmap compliance 6-12 bulan.
- Jika buyer global/AS menjadi fokus, pelajari SOC 2 lebih serius.
- Jika buyer lokal/regional procurement formal sering meminta ISO, pelajari ISO 27001 lebih serius.
Roadmap readiness 90 hari
Sebelum audit formal, jalankan readiness 90 hari:
- Minggu 1-2: data map, asset list, vendor list, dan owner security
- Minggu 3-4: access review, backup/restore test, incident response note
- Minggu 5-6: policy minimum, change management ringan, evidence folder
- Minggu 7-8: vulnerability management dan secure development workflow
- Minggu 9-10: internal review terhadap gap yang paling sering muncul di buyer questionnaire
- Minggu 11-12: bicara dengan auditor/advisor untuk menilai kesiapan audit
Roadmap ini tidak membuat startup otomatis siap sertifikasi. Tetapi ia mengubah "kami belum punya ISO/SOC 2" menjadi "kami tahu kontrol apa yang sudah ada, gap apa yang tersisa, dan berapa effort untuk naik kelas."
Evidence yang biasanya dibutuhkan
Mulai kumpulkan evidence:
- access review record
- backup restore test result
- incident response tabletop note
- vendor review
- security training atau briefing internal
- change log untuk perubahan production
- vulnerability scan atau dependency review
- policy approval
- risk register
Evidence harus bertanggal. Screenshot tanpa tanggal atau owner sulit dipakai saat audit. Simpan di folder yang bisa ditemukan tim, bukan tersebar di chat.
Risiko mengejar sertifikasi terlalu cepat
Sertifikasi terlalu cepat bisa merugikan jika:
- kontrol berubah terus karena produk belum stabil
- tim belum punya owner compliance
- evidence tidak dikumpulkan rutin
- buyer belum benar-benar meminta sertifikasi
- audit mengganggu roadmap produk inti
Founder perlu melihat certification sebagai investasi GTM. Jika target buyer belum membutuhkannya, security readiness bisa memberi ROI lebih cepat daripada sertifikat formal.
Langkah berikutnya
Kumpulkan semua pertanyaan security dari 10 deal terakhir. Tandai mana yang meminta ISO, SOC 2, atau kontrol spesifik. Jika permintaan sebenarnya adalah kontrol dasar, perbaiki security pack dulu. Jika sertifikasi benar-benar menjadi blocker berulang, mulai readiness scorecard dan bicara dengan auditor/advisor sebelum menjanjikan timeline ke buyer.