Saturday, September 24, 2011

Kebijakan dan Prosedur menurut Sistem Manajemen Keamanan Informasi (SMKI)

Untuk mengetahui sebuah organisasi apakah sudah menerapkan keamanan informasi, dapat mengacu kepada Sistem Manajemen Keamanan Informasi yang termaktub dalam Standar SNI ISO/IEC 27001:2009 "Teknologi informasi – Teknik keamanan - Sistem manajemen keamanan informasi - Persyaratan". Standar ini mengacu kepada standar ISO/IEC 27001:2005, Information technology – Security techniques – Information security management systems – Requirements, dengan metode terjemahan oleh Panitia Teknis PK 03-02 Sistem Manajemen Mutu yang dibentuk oleh BSN. Pada dasarnya ada 6 kebijakan dan 12 prosedur yang perlu dimiliki oleh organisasi.

Kemudian Direktorat Keamanan Informasi, Kementerian Komunikasi dan Informatika mencoba untuk merinci dokumen yang perlu dimiliki organisasi agar sesuai standar SMKI. Dokumen tersebut berhubungan dengan kebijakan dan prosedur/panduan.

Dokumen terkait dengan kebijakan adalah :
  1. Kebijakan Keamanan Informasi
  2. Organisasi, peran dan tanggungjawab keamanan informasi
  3. Panduan Klasifikasi Informasi
  4. Kebijakan Manajemen Risiko TIK
  5. Kerangka Kerja Manajemen Kelangsungan Usaha (Business Continuity Management)
  6. Kebijakan Penggunaan Sumber daya TIK
Dokumen terkait dengan prosedur atau panduan adalah :
  1. Pengendalian Dokumen
  2. Pengendalian Rekaman
  3. Audit Internal SMKI
  4. Tindakan Perbaikan dan Pencegahan
  5. Pelabelan, Pengamanan, Pertukaran dan Disposal Informasi
  6. Pengelolaan Removable Media dan Disposal Media
  7. Pemantauan (Monitoring) Penggunaan Fasilitas TIK 
  8. User Access Management
  9. Teleworking
  10. Pengendalian instalasi software dan Hak Kekayaan Intelektual 
  11. Pengelolaan Perubahan (Change Management) TIK 
  12. Pengelolaan dan Pelaporan Insiden Keamanan Informasi
Dokumen Kebijakan Keamanan Informasi mencakup pernyataan komitmen manajemen/pimpinan instansi/lembaga menyangkut pengamanan informasi yang didokumentasikan dan disahkan secara formal. Kebijakan keamanan informasi dapat mencakup antara lain:
  • Definisi, sasaran dan ruang lingkup keamanan informasi
  • Persetujuan terhadap kebijakan dan program keamanan informasi
  • Kerangka kerja penetapan sasaran kontrol dan kontrol
  • Struktur dan metodologi manajemen risiko
  • Organisasi dan tanggungjawab keamanan informasi
Dokumen Organisasi, peran dan tanggungjawab keamanan informasi mencakup Uraian tentang organisasi yang ditetapkan untuk mengelola dan mengkoordinasikan aspek keamanan informasi dari suatu instansi/lembaga serta uraian peran dan tanggungjawabnya. Organisasi pengelola keamanan informasi tidak harus berbentuk unit kerja terpisah.

Dokumen Panduan Klasifikasi Informasi berisi tentang petunjuk cara melakukan klasifikasi informasi yang ada di instansi/lembaga dan disusun dengan memperhatikan nilai penting dan kritikalitas informasi bagi penyelenggaraan pelayanan publik, baik yang dihasilkan secara intenal maupun diterima dari pihak eksternal. Klasifikasi informasi dilakukan dengan mengukur dampak gangguan operasional, jumlah kerugian uang, penurunan reputasi dan legal manakala terdapat ancaman menyangkut kerahasiaan (confidentiality), keutuhan (integrity) dan ketersediaan (availability) informasi.

Dokumen Kebijakan Manajemen Risiko TIK berisi metodologi / ketentuan untuk mengkaji risiko mulai dari identifikasi aset, kelemahan, ancaman dan dampak kehilangan aspek kerahasiaan, keutuhan dan ketersediaan informasi termasuk jenis mitigasi risiko dan tingkat penerimaan risiko yang disetujui oleh pimpinan.

Dokumen Kerangka Kerja Manajemen Kelangsungan Usaha (Business Continuity Management) berisi komitmen menjaga kelangsungan pelayanan publik dan proses penetapan keadaan bencana serta penyediaan infrastruktur TIK pengganti saat infrastruktur utama tidak dapat beroperasi agar pelayanan publik tetap dapat berlangsung bila terjadi keadaan bencana/keadaan darurat. Dokumen ini juga memuat tim yang bertanggungjawab (ketua dan anggota tim), lokasi kerja cadangan, skenario bencana dan rencana pemulihan ke kondisi normal setelah bencana dapat diatasi/berakhir.

Dokumen Kebijakan Penggunaan Sumber daya TIK berisi aturan penggunaan komputer (desktop/laptop/modem atau email dan internet).

Prosedur Pengendalian Dokumen berisi proses penyusunan dokumen, wewenang persetujuan penerbitan, identifikasi perubahan, distribusi, penyimpanan, penarikan dan pemusnahan jika tidak digunakan, daftar dan pengendalian dokumen eksternal yang menjadi rujukan.

Prosedur Pengendalian Rekaman berisi pengelolaan rekaman yang meliputi: identifikasi rekaman penting, kepemilikan, pengamanan, masa retensi, dan pemusnahan jika tidak digunakan lagi.

Prosedur Audit Internal SMKI berisi proses audit internal: rencana, ruang lingkup, pelaksanaan, pelaporan dan tindak lanjut hasil audit serta persyaratan kompetensi auditor.

Prosedur Tindakan Perbaikan dan Pencegahan berisi tatacara perbaikan/pencegahan terhadap masalah/gangguan/insiden baik teknis maupun non teknis yang terjadi dalam pengembangan, operasional maupun pemeliharaan TI

Prosedur Pelabelan, Pengamanan, Pertukaran dan Disposal Informasi berisi aturan pelabelan, penyimpanan, distribusi, pertukaran, pemusnahan informasi/daya “rahasia” baik softcopy maupun hardcopy, baik milik instansi maupun informasi pelanggan/mitra yang dipercayakan kepada Instansi

Prosedur Pengelolaan Removable Media dan Disposal Media berisi aturan penggunaan, penyimpanan, pemindahan, pengamanan media simpan informasi (tape/hard disk/Flashdisk/CD) dan penghapusan informasi ataupun penghancuran media

Prosedur Pemantauan (Monitoring) Penggunaan Fasilitas TIK berisi proses monitoring penggunaan CPU, storage, email, internet, fasilitas TIK lainnya dan pelaporan serta tindak lanjut hasil monitoring

Prosedur User Access Management berisi proses dan tatacara pendaftaran, penghapusan dan review hak akses user, termasuk administrator, terhadap sumber daya informasi (aplikasi, sistem operasi, database, internet, email dan internet)

Prosedur Teleworking berisi proses pengendalian dan pengamanan penggunaan hak akses secara remote (misal melalui modem atau jaringan). Siapa yang berhak menggunakan dan cara mengontrol agar penggunaannya aman.

Prosedur Pengendalian instalasi software dan Hak Kekayaan Intelektual berisi daftar software standar yang diijinkan di Instansi,  permintaan pemasangan dan pelaksana pemasangan termasuk penghapusan software yang tidak diijinkan

Prosedur Pengelolaan Perubahan (Change Management) TIK berisi proses permintaan dan persetujuan perubahan aplikasi/infrastruktur TIK, serta pengkinian konfigurasi/database/versi dari aset TIK yang mengalami perubahan.

Prosedur Pengelolaan dan Pelaporan Insiden Keamanan Informasi
berisi proses pelaporan & penanganan gangguan/insiden baik menyangkut ketersediaan layanan atau gangguan karena penyusupan/pengubahan informasi secara tidak berwenang. Termasuk analisis penyebab dan eskalasi jika diperlukan tindak lanjut ke aspek legal.


No comments:

Post a Comment