14 August 2018

114 Secuiry Control untuk Lolos Sertfikat ISO 27001

Perusahaan yang ingin mengadopsi sistem manajemen keamanan informasi ISO 27001 harus terlebih dahulu mengenal security control dan segaligus menerapkan kontrol-kontrol keamanan informasi itu.

Menerapkan security control yang jumlahnya 114 kontrol keamanan informasi itu diwajibkan oleh ISO 27001.

ISO 27001 adalah standar internasional keamanan informasi yang banyak diadopsi oleh berbagai perusahaan di seluruh dunia.

ISO 27001 ditujukan bukan hanya untuk perusahaan besar saja, melainkan juga bisa diterapkan untuk perusahaan skala kecil dan menengah.

Sebelum menjalankan sistem berbasis ISO 27001 kenali terlebih dahulu security control seperti tabel berikut:



114 SECURITY CONTROL 
A.5 Kebijakan keamanan informasi

A 5.1 Arahan manajemen untuk keamanan informasi

Sasaran: Memberikan arahan manajemen organisasi dan dukungan keamanan informasi dalam hubungan dengan persyaratan bisnis organisasi dan peraturan perundang-undangan yang berlaku.

A. 5.1.1
Kebijakan keamanan informasi
Pengendalian:

Dokumen kebijakan keamanan informasi harus disahkan oleh manajemen dan dipublikasikan serta dikomunikasikan kepada semua karyawan dan pihak-pihak lain yang relevan.

A.5.1.2
Kaji ulang kebijakan keamanan informasi
Pengendalian:

Kebijakan keamanan informasi harus dikaji ulang secara berkala, atau jika terjadi perubahan untuk memastikan kecukupan dan keefektifan kebijakan informasi yang berkelanjutan.

A.6 Organisasi keamanan informasi

A.6.1 Organisasi internal

Sasaran: Membentuk kerangka kerja manajemen untuk memulai dan mengendalikan pelaksanaan operasi keamanan informasi dalam organisasi.

A.6.1.1
Tugas dan tanggung jawab keamanan informasi
Pengendalian:

Semua tanggung jawab keamanan informasi harus ditetapkan dan diinformasikan.

A.6.1.2
Pemisahan tugas
Pengendalian:

Tugas yang saling bertentangan harus dipisahkan untuk mengurangi peluang perubahan yang tidak sah atau tidak disengaja atau penyalahgunaan aset organisasi.

A.6.1.3
Kontak dengan pihak berwenang
Pengendalian:

Kontak dengan pihak berwenang yang relevan harus dipelihara.

A.6.1.4
Kontak dengan kelompok khusus (special interest groups)
Pengendalian:

Kontak dengan kelompok khusus atau forum ahli keamanan informasi dan asosiasi profesi harus dipelihara.

A.6.1.5
Keamanan informasi dalam project management
Pengendalian:

Keamanan informasi harus dibahas dalam project management terlepas dari jenis proyek.

A.6.2 Perangkat mobile dan teleworking

Sasaran: Untuk menjamin keamanan teleworking dan penggunaan perangkat mobile.

A.6.2.1
Kebijakan perangkat mobile
Pengendalian:

Kebijakan dan langkah-langkah keamanan harus diterapkan untuk mengelola risiko akibat penggunaan perangkat mobile.

A.6.2.2
Teleworking
Pengendalian:

Kebijakan dan langkah-langkah keamanan harus diterapkan untuk melindungi informasi yang diakses, diproses atau disimpan di lokasi teleworking.


A.7 Keamanan Sumber Daya Manusia (SDM)


A.7.1 Sebelum bekerja

Sasaran: Untuk memastikan karyawan dan kontraktor memahami akan tanggung jawabnya sesuai dengan perannya.


A.7.1.1
Seleksi (screening)
Pengendalian:

Pemeriksaan latar belakang calon karyawan dan kontraktor harus dilaksanakan sesuai dengan peraturan perundang-undangan yang berlaku, etika yang berlaku dan proporsional terhadap persyaratan bisnis, klasifikasi informasi yang akan diakses dan risiko yang mungkin dihadapi organisasi.


A.7.1.2
Persyaratan dan ketentuan kepegawaian
Pengendalian:

Calon pegawai dan kontraktor harus menyetujui dan menandatangani syarat dan aturan kontrak kepegawaian yang menyatakan tanggung jawab keamanan informasi.


A.7.2 Selama bekerja

Sasaran: Untuk memastikan karyawan dan kontraktor memahami dan memenuhi tanggung jawab keamanan informasi.


A.7.2.1
Tanggung jawab manajemen
Pengendalian:

Manajemen harus mewajibkan setiap pegawai dan kontraktor menerapkan keamanan informasi sesuai dengan kebijakan dan prosedur yang berlaku.


A.7.2.2
Kepedulian, pendidikan dan pelatihan keamanan informasi
Pengendalian:

Setiap pegawai dan kontraktor harus secara berkala mendapat pelatihan yang cukup tentang kepedulian, kebijakan dan prosedur yang berlaku sesuai dengan pekerjaan masing-masing.


A.7.2.3
Kedisiplinan
Pengendalian:

Proses kedisiplinan secara formal harus diberlakukan dan dikomunikasikan ke seluruh pegawai yang melakukan pelanggaran keamanan informasi.


A.7.3 Pemberhentian karyawan dan pemindahan pekerjaan

Sasaran: Untuk melindungi kepentingan organisasi sebagai bagian dari proses pemindahan atau pemberhentian pegawai.


A.7.3.1
Tanggung jawab pemindahan atau  pemberhentian pekerjaan
Pengendalian:

Tugas dan tanggung jawab terhadap keamanan informasi harus ditetapkan untuk pemindahan atau pemberhentian pegawai dan dikomunikasikan kepada pegawai atau kontraktor.


A.8 Manajemen asset


A.8.1 Tanggung jawab terhadap asset

Sasaran: Untuk mengidentifikasi aset organisasi dan menetapkan tanggung jawab yang sesuai.


A.8.1.1
Inventarisasi aset
Pengendalian:

Aset-aset yang berhubungan dengan perangkat pemrosesan informasi harus diidentifikasi dengan jelas dan inventarisasi semua aset penting harus dicatat dan dipelihara.


A 8.1.2
Kepemilikan aset
Pengendalian:

Aset investarisasi harus ada pemilik.


A. 8.1.3
Aturan pemakaian aset
Pengendalian:

Aturan-aturan penggunaan informasi yang berhubungan dengan perangkat pemrosesan informasi harus diidentifikasi, didokumentasikan dan diterapkan.


A.8.1.4
Pengambilan aset
Pengendalian:

Semua pegawai dan pihak luar harus mengembalikan semua aset yang digunakannya saat mereka dinyatakan berhenti bekerja sesuai dengan perjanjian kontrak.


A.8.2 Klasifikasi informasi

Sasaran: Untuk menjamin setiap informasi dalam organisasi mendapatkan keamanan yang memadai berdasarkan tingkat kepentingan organisasi.


A.8.2.1
Klasifikasi informasi
Pengendalian:

Informasi harus diklasifikasi menurut nilai, peraturan hukum, sensitivitas dan tingkat kepentingan (kritikal).


A.8.2.2
Pelabelan informasi
Pengendalian:

Prosedur harus dibuat untuk pelabelan informasi sesuai dengan klasifikasi informasi yang telah ditentukan oleh organisasi.


A.8.2.3
Penanganan informasi
Pengendalian:

Prosedur penanganan informasi harus dibuat  sesuai dengan klasifikasi informasi yang telah ditentukan organisasi.


A.8.3 Penanganan media

Sasaran: untuk mencegah pengaksesan, perubahan, pemindahan atau penghapusan informasi yang tersimpan dalam media.


A.8.3.1
Manajemen removable media
Pengendalian:

Prosedur harus diterapkan untuk mengelola removable media sesuai dengan klasifikasi yang ditetapkan organisasi.


A.8.3.2
Pemusnahan media
Pengendalian:

Media harus dimusnahkan secara aman jika tak lagi digunakan dengan mengacu prosedur yang berlaku.


A.8.3.3
Transfer media fisik
Pengendalian:

Media yang berisikan informasi harus dilindungi dari akses yang tidak sah, penggunaan ilegal atau kerusakan selama transportasi.


A.9 Kontrol akses


A.9.1 Persyaratan bisnis untuk kontrol akses

Sasaran: Untuk membatasi akses informasi dan akses ke perangkat pemrosesan informasi.


A.9.1.1
Kebijakan kontrol akses
Pengendalian:

Kebijakan kontrol akses harus ditetapkan, didokumentasikan dan dikaji ulang berdasarkan ketentuan bisnis dan persyaratan keamanan informasi.


A.9.1.2
Akses ke jaringan dan layanan jaringan
Pengendalian:

User hanya dapat mengakses jaringan dan layanan jaringan yang telah secara spesifik diberikan kewenangan.


A.9.2 Manajemen akses user (User access management)

Sasaran: untuk menjamin akses pengguna yang sah dan untuk mencegah pihak yang tidak sah pada sistem dan layanan.


A.9.2.1
Registrasi pengguna dan pembatalan registrasi (user registration and de-registration)
Pengendalian:

Proses registrasi dan pembatalan user harus diterapkan untuk memungkinkan pemberian hak akses.


A.9.2.2
Penyediaan user access
Pengendalian:

Proses penyediaan user access harus diimplementasikan untuk pemberian atau pembatalan hak akses terhadap semua jenis user.


A.9.2.3
Manajemen hak akses khusus/istimewa
Pengendalian:

Alokasi dan penggunaan hak akses khusus harus dibatasi dan dikendalikan.


A.9.2.4
Pengelolaan kerahasiaan otentikasi informasi (authentication information)  user
Pengendalian:

Alokasi atas kerahasiaan otentikasi harus dikendalikan melalui proses manajemen formal.


A.9.2.5
Review terhadap hak akses user
Pengendalian:

Pemilik aset harus me-review hak akses user secara berkala.


A.9.3 Tanggung jawab user

Sasaran: Sebagai jaminan user bertanggung jawab menjaga informasi otentikasi (authentication information).


A.9.3.1
Penggunaan kerahasiaan informasi otentikasi (authentication information)
Pengendalian:

User wajib mengikuti praktek-praktek organisasi dalam penggunakan kerahasiaan informasi otentikasi.


A.9.4 Kontrol akses sistem dan aplikasi

Sasaran: Untuk mencegah akses tidak sah ke dalam sistem dan aplikasi.


A.9.4.1
Pembatasan akses informasi
Pengendalian:

Akses terhadap informasi dan fungsi sistem aplikasi harus dibatasi sesuai dengan kebijakan kontrol akses.


A.9.4.2
Prosedur log-on yang aman
Pengendalian:

Apabila disyaratkan kebijakan kontrol akses, akses ke sistem dan aplikasi harus dikendalikan dengan prosedur log-on.


A.9.4.3
Sistem manajemen password
Pengedalian:

Manajemen password harus interaktif dan menjamin kualitas password.


A.9.4.4
Penggunaan program utility khusus
Pengendalian:

Penggunaan program utility yang kemungkinan mampu menolak (overriding) sistem dan aplikasi harus dibatasi dan dikontrol secara ketat.


A.9.4.5
Kontrol akses terhadap program source code
Pengendalian:

Akses ke program source code harus dibatasi.


A.10 Kriptografi (Cryptography)


A.10.1 Kontrol kriptografi

Sasaran: Untuk memastikan penggunaan kriptografi yang tepat dan efektif dalam melindungi kerahasiaan, keaslian atau integritas informasi


A.10.1.1
Kebijakan penggunaan kontrol kriptografi
Pengendalian:

Kebijakan penggunaan kontrol kriptografi untuk memproteksi informasi harus dikembangkan dan diimplementasikan.


A.10.1.2
Manajemen kunci (key management)
Pengendalian:

Kebijakan tentang penggunaan, perlindungan dan lifetime kunci kriptografi harus dikembangkan dan dilaksanakan.


A.11 Keamanan fisik dan lingkungan


A.11.1 Area yang aman

Sasaran: Untuk mencegah akses yang tidak sah, kerusakan dan gangguan terhadap informasi dan perangkat pemrosesan informasi


A.11.1.1
Perimeter keamanan fisik
Pengendalian:

Pembatas keamanan harus didefinisikan dan digunakan untuk melindungi wilayah atau ruang yang berisi informasi dan perangkat pemrosesan informasi sensitif atau kritis.


A.11.1.2
Pengendalian akses masuk (Physical entry controls)
Pengendalian:

Area aman (secure area) harus dilindungi kontrol akses masuk yang sesuai untuk menjamin hanya orang yang berwenang yang diperbolehkan masuk.


A.11.1.3
Keamanan kantor, ruang dan fasilitas
Pengendalian:

Keamanan fisik untuk kantor, ruang dan fasilitas harus disediakan dan diterapkan.


A.11.1.4
Perlindungan ancaman dari luar dan lingkungan sekitar
Pengendalian:

Perlindungan fisik terhadap bencana alam, serangan berbahaya atau kecelakaan harus dibuat dan diterapkan.


A.11.1.5
Bekerja di area aman (Working in secure areas)
Pengendalian:

Prosedur bekerja di daerah aman harus dibuat dan diterapkan.


A.11.1.6
Area pengiriman dan bongkar muat
Pengendalian:

Area-area seperti area bongkar muat dan area keluar-masuk orang harus dikontrol dan, jika mungkin, dipisahkan dari fasilitas pemrosesan informasi untuk menghindari akses informasi oleh pihak yang tidak berwenang.


A.11.2 Peralatan

Sasaran: Untuk mencegah kehilangan, kerusakan, pencurian atau gangguan aset dan gangguan kegiatan terhadap operasional organisasi.


A.11.2.1
Penempatan dan perlindungan alat
Pengendalian:

Semua peralatan harus ditempatkan pada tempatnya dan dilindungi untuk mengurangi risiko ancaman dan bahaya lingkungan atau memberi kesempatan akses oleh pihak yang tidak berwenang.


A.11.2.2
Sarana pendukung
Pengendalian:

Peralatan harus dilindungi dari power failures dan gangguan lain yang mengakitbatkan sarana pendukung tidak berfungsi.


A.11.2.3
Keamanan kabel
Pengendalian:

Kabel daya dan telekomunikasi (power and telecommunications cabling) yang menyalurkan data atau informasi pendukung harus dilindungi dari intersepsi, gangguan atau kerusakan.


A.11.2.4
Pemeliharaan peralatan
Pengendalian:

Peralatan harus dipelihara dengan benar untuk menjamin ketersediaan dan keutuhan peralatan.


A.11.2.5
Pemindahan aset
Pengendalian:

Peralatan, informasi atau software tidak boleh dibawa keluar lokasi tanpa ijin pihak yang berwenang.


A.11.2.6
Keamanan peralatan dan aset di luar lokasi
Pengendalian:

Keamanan harus diterapkan terhadap aset yang berada diluar lokasi organisasi dengan mempertimbangkan risiko saat bekerja di luar lokasi organisasi.


A.11.2.7
Kemananan pembuangan peralatan atau penggunaan kembali
Pengendalian:

Peralatan yang digunakan sebagai media penyimpanan harus diverifikasi dengan benar untuk menjamin bahwa setiap data sensitif termasuk software berlisensi telah dihapus atau ditimpa (overwritten) secara aman sebelum dibuang.


A.11.2.8
Peralatan yang ditinggal oleh user (unattended user equipment)
Pengendalian:

User harus menjamin bahwa peralatan tanpa pengawasan (unattended) telah dilindungi secara memadai.


A.11.2.9
Clear desk dan clear screen
Pengendalian:

Kebijakan clear desk untuk kertas dan media penyimpanan bergerak/berpindah (removable) dan kebijakan clear screen untuk fasilitas pemrosesan informasi harus dijalankan.


A.12 Keamanan operasi


A.12.1 Prosedur operasional dan tanggung jawab

Sasaran: Untuk memastikan operasi fasilitas pemrosesan informasi dilakukan secara benar dan aman.


A.12.1.1
Prosedur operasi yang terdokumentasi
Pengendalian:

Prosedur pengoperasian harus didokumentasikan, dipelihara dan tersedia untuk semua user yang membutuhkan prosedur tersebut.


A.12.1.2
Manajemen perubahan
Pengendalian:

Perubahan organisasi, proses bisnis, fasilitas pengolahan informasi dan sistem yang mempengaruhi keamanan informasi harus dikendalikan.


A.12.1.3
Manajemen kapasitas
Pengendalian:

Penggunaan sumber daya harus dimonitor, disesuaikan dan direncanakan untuk kebutuhan masa depan (kapasitas dan persyaratan) guna menjaga performa sistem.


A.12.1.4
Pemisahan fasilitas pengembangan, pengujian dan lingkungan operasional
Pengendalian:

Fasilitas pengembangan, pengujian dan operasional harus dipisahkan untuk mengurangi risiko akses atau perubahan yang tidak sah atau perubahan lingkungan operasional.


A.12.2 Perlindungan terhadap malware

Sasaran: Untuk memastikan informasi dan fasilitas pengolahan informasi dilindungi terhadap malware.


A.12.2.1
Kontrol malware
Pengendalian:

Kontrol yang bersifat pendeteksian, pencegahan dan pemulihan agar terlindung dari malware untuk memberikan kesadaran user harus diterapkan.


A.12.3 Back-up

Sasaran: Untuk melindungi terhadap kehilangan data.


A.12.3.1
Back-up informasi
Pengendalian:

Back-up copy informasi, software dan sistem gambar (system images) harus dilakukan dan diuji secara berkala sesuai dengan kebijakan back-up yang telah ditetapkan.


A.12.4 Log dan Pemantauan (logging and monitoring)

Sasaran: Untuk merekam peristiwa dan penyediaan bukti.


A.12.4.1
Kegiatan log
Pengendalian:

Kegiatan log yang merekam aktivitas user, kelainan-kelainan, kesalahan dan kejadian keamanan informasi harus dibuat, disimpan dan di-review secara berkala.


A.12.4.2
Perlindungan informasi log
Pengendalian:

Fasilitas log dan informasi log harus dilindungi dari gangguan dan akses secara yang tidak sah.


A.12.4.3
Log administrator dan operator
Pengendalian:

Kegiatan sistem administrator dan operator harus direkam dan log dilindungi dan di-review secara berkala.


A.12.4.4
Sinkronisasi waktu
Pengendalian:

Penunjuk waktu dari seluruh sistem pemrosesan informasi dalam organisasi atau domain keamanan harus disinkronisasikan dengan satu sumber penunjuk waktu.


A.12.5 Kontrol operasional software

Sasaran: Untuk memastikan integritas sistem operasional.


A.12.5.1
Instalasi software pada sistem operasional
Pengendalian:

Prosedur harus ditetapkan untuk mengontrol instalasi software pada sistem operasional.


A.12.6 Manajemen teknik kelemahan (vulnerability)

Sasaran: Untuk mencegah eksploitasi kelemahan teknis.


A.12.6.1
Kontrol terhadap kelemahan secara teknis (vulnerability)
Pengendalian:

Informasi yang tepat waktu tentang kelemahan teknis dari sistem informasi yang digunakan harus ditemukan, dievaluasi, dan diukur secara tepat untuk diketahui risiko yang terkait.


A.12.6.2
Pembatasan instalasi software
Pengendalian:

Peraturan instalasi software harus diterapkan dan dijalankan.


A.12.7 Audit sistem informasi

Sasaran: Untuk mengurangi dampak dari kegiatan audit pada sistem operasional.


A.12.7.1
Kontrol audit sistem informasi
Pengendalian:

Persyaratan audit dan kegiatan yang melibatkan pemeriksaan pada sistem operasional harus direncanakan secara hati-hati dan disetujui untuk mengurangi risiko dari gangguan terhadap proses bisnis.


A.13 Keamanan komunikasi


A.13.1 Manajemen keamanan jaringan (Network security management)

Sasaran: Untuk menjamin perlindungan informasi dalam jaringan dan mendukung fasilitas pengolahan informasinya.


A.13.1.1
Kontrol jaringan (network controls)
Pengendalian:

Jaringan harus dikelola dan dikontrol untuk melindungi sistem informasi dan aplikasi.


A.13.1.2
Keamanan layanan jaringan
Pengendalian:

Fitur keamanan, tingkat pelayanan dan persyaratan manajemen untuk semua layanan jaringan harus diidentifikasi dan tercakup dalam perjanjian layanan jaringan, baik layanan disediakan secara in-house atau di-subkontraktorkan.


A.13.1.3
Pemisahan jaringan (segregation in networks)
Pengendalian:

Grup layanan informasi, pengguna dan sistem informasi harus dipisahkan dalam jaringan.


A.13.2 Transfer informasi

Sasaran: Untuk menjaga keamanan transfer informasi dalam organisasi dan pihak eksternal.


A.13.2.1
Kebijakan dan prosedur transfer informasi
Pengendalian:

Kebijakan, prosedur dan aturan transfer informasi harus ditetapkan guna melindungi pertukaran informasi melalui penggunaan segala tipe fasilitas komunikasi.


A.13.2.2
Perjanjian pertukaran (exchange agreements)
Pengendalian:

Perjanjian yang memuat pertukaran informasi harus ditetapkan antara organisasi dengan pihak eksternal.


A.13.2.3
Pesan elektronik (electronic messaging)
Pengendalian:

Informasi dalam bentuk pesan elektronik harus dilindungi dengan tepat.


A.13.2.4
Perjanjian kerahasiaan dan perjanjian non-disclosure
Pengendalian:

Perjanjian kerahasiaan atau perjanjian non-disclosure yang dibutuhkan organisasi untuk melindungi informasi harus diidentifikasi dan dikaji secara regular.


A.14 Sistem akuisisi, pengembangan dan pemeliharaan


A.14.1 Persyaratan keamanan sistem informasi

Sasaran: untuk memastikan bahwa keamanan informasi merupakan bagian dari sistem informasi di seluruh siklus hidup. Hal ini juga mencakup persyaratan untuk sistem informasi yang menyediakan layanan melalui jaringan publik.


A.14.1.1
Analisis dan spesifikasi persyaratan keamanan informasi
Pengendalian:

Persyaratan keamanan informasi harus dimasukkan dalam persyaratan untuk sistem informasi baru atau perangkat tambahan untuk sistem informasi yang ada.


A.14.1.2
Pengamanan layanan aplikasi pada jaringan publik
Pengendalian:

Informasi yang melewati jaringan publik harus dilindungi dari aktivitas penipuan, perselisihan kontrak, pengungkapan yang tidak sah dan modifikasi.


A.14.1.3
Perlindungan transaksi layanan aplikasi
Pengendalian:

Informasi yang terlibat dalam transaksi layanan aplikasi harus dilindungi untuk mencegah incomplete transmission, mis-routing, perubahan pesan yang tidak sah, pengungkapan yang tidak sah, duplikasi pesan yang tidak sah atau replay.


A.14.2 Keamanan dalam proses pengembangan dan proses-proses pendukung

Sasaran: Untuk memastikan bahwa keamanan informasi dibuat dan dilaksanakan dalam siklus pengembangan sistem informasi.


A.14.2.1
Kebijakan pengembangan yang aman
Pengendalian:

Aturan pengembangan software dan sistem harus ditetapkan dan diterapkan untuk proses pengembangan dalam organisasi.


A.14.2.2
Prosedur perubahan kontrol
Pengendalian:

Perubahan implementasi harus dikontrol dengan menggunakan prosedur kontrol perubahan


A.14.2.3
Review teknis aplikasi setelah perubahan sistem operasi
Pengendalian:

Jika sistem operasi berubah, aplikasi bisnis yang kritis harus ditinjau dan diuji untuk menjamin tidak berdampak pada operasional atau keamanan organisasi.


A.14.2.4
Pembatasan perubahan paket software
Pengendalian:

Modifikasi paket software harus dihindari, dibatasi hanya pada perubahan yang perlu, dan seluruh perubahan harus dikontrol secara ketat.


A.14.2.5
Prinsip system engineering yang aman
Pengendalian:

Prinsip-prinsip untuk keamanan system engineering harus ditetapkan, didokumentasikan, dipelihara dan diterapkan pada setiap upaya implementasi sistem informasi.


A.14.2.6
Proses pengembangan yang aman
Pengendalian:

Organisasi harus menetapkan dan melindungi proses system development dan upaya integrasi yang mencakup seluruh siklus system development.


A.14.2.7
Outsourced development
Pengendalian:

Organisasi harus memonitor kegiatan pengembangan sistem outsourcing.


A.14.2.8
Testing keamanan sistem
Pengendalian:

Testing fungsi keamanan harus dilakukan selama proses pengembangan.


A.14.2.9
Testing system acceptance
Pengendalian:

Program testing dan system acceptance harus ditetapkan untuk sistem informasi baru, upgrade dan versi baru.


A.14.3 Tes data

Sasaran: Untuk melindungi data yang digunakan untuk kegiatan testing.


A.14.3.1
Perlindungan tes data
Pengendalian:

Tes data harus dipilih secara hati-hati, dan dilindungi serta dikontrol.


A.15 Hubungan dengan supplier


A.15.1 Keamanan informasi dalam hubungan dengan supplier

Sasaran: Untuk memastikan perlindungan aset organisasi yang dapat diakses oleh supplier.


A.15.1.1
Kebijakan keamanan informasi untuk hubungan dengan supplier
Pengendalian:

Persyaratan keamanan informasi untuk mencegah risiko yang terkait dengan akses supplier terhadap aset organisasi harus disepakati dengan supplier dan didokumentasikan.


A.15.1.2
Mematuhi keamanan informasi dalam perjanjian supplier
Pengendalian:

Semua persyaratan keamanan informasi yang relevan harus ditetapkan dan disetujui oleh setiap supplier yang dapat mengakses, memproses, menyimpan, berkomunikasi, atau menyediakan komponen infrastruktur IT milik organisasi.


A.15.1.3
Teknologi informasi dan komunikasi supply chain
Pengendalian:

Perjanjian dengan supplier harus mencakup persyaratan untuk mencegah risiko keamanan informasi yang terkait dengan teknologi informasi dan komunikasi layanan termasuk supply chain produk.


A.15.2 Manajemen layanan supplier

Sasaran: untuk menerapkan dan menjaga tingkat keamanan informasi dalam hal layanan jasa yang sesuai dengan perjanjian layanan jasa dari supplier.


A.15.2.1
Pemantauan dan pengkajian ulang jasa supplier
Pengendalian:

Organisasi harus memantau, mengkaji dan mengaudit supplier secara berkala.


A.15.2.2
Mengelola perubahan layanan supplier
Pengendalian:

Perubahan layanan supplier termasuk layanan pemeliharaan dan peningkatan kebijakan, prosedur dan pengendalian keamanan informasi yang ada, harus dikelola dengan mempertimbangkan tingkat kritikal sistem dan proses bisnis terkait dan asesmen ulang dari risiko.


A.16 Manajemen insiden keamanan informasi


A.16.1 Manajemen insiden keamanan informasi dan perbaikan

Sasaran: Untuk memastikan pendekatan yang konsisten dan efektif terhadap pengelolaan insiden keamanan informasi, termasuk komunikasi pada kejadian keamanan informasi (security events).


A.16.1.1
Tanggung jawab dan prosedur
Pengendalian:

Tanggung jawab manajemen dan prosedur-prosedur harus dibuat untuk memastikan tanggapan yang cepat, efektif dan teratur dalam mengatasi insiden keamanan informasi.


A.16.1.2
Pelaporan kejadian keamanan informasi
Pengendalian:

Kejadian keamanan informasi harus dilaporkan kepada manajemen yang tepat secepat mungkin.


A.16.1.3
Pelaporan kelemahan keamanan
Pengendalian:

Semua karyawan dan kontraktor yang menggunakan sistem informasi milik organisasi diwajibkan mencatat dan melaporkan setiap kelemahan keamanan yang diamati atau dicurigai dalam sistem atau layanan.


A.16.1.4
Asesmen dan keputusan tentang kejadian keamanan informasi
Pengendalian:

Kejadian keamanan informasi harus diases dan diambil keputusan jika kejadian ini diklasifikasikan sebagai insiden keamanan informasi atau tidak.


A.16.1.5
Respon terhadap insiden keamanan informasi
Pengendalian:

Insiden keamanan informasi harus ditanggapi sesuai dengan prosedur terdokumentasi.


A.16.1.6
Belajar dari insiden keamanan informasi
Pengendalian:

Pengetahuan yang diperoleh dari menganalisis dan menyelesaikan insiden keamanan informasi harus digunakan untuk mengurangi kemungkinan atau dampak kejadian di masa depan.


A.16.1.7
Pengumpulan bukti (Collection of evidence)
Pengendalian:

Organisasi harus menetapkan dan menerapkan prosedur untuk identifikasi, pengumpulan, akuisisi dan pemeliharaan informasi, yang dapat berfungsi sebagai bukti.


A.17 Business Continuity Management  (BCM)


A.17.1 Keamanan informasi dalam Business Continuity Management

Sasaran: Kesinambungan keamanan informasi harus terintegrasi dalam sistem manajemen kelangsungan bisnis organisasi.


A.17.1.1
Perencanaan keamanan informasi yang berkesinambungan
Pengendalian:

Organisasi harus menetapkan persyaratan untuk keamanan informasi dan kesinambungan manajemen keamanan informasi dalam situasi yang merugikan, misalnya selama krisis atau bencana.


A.17.1.2
Menerapkan keamanan informasi yang berkesinambungan
Pengendalian:

Organisasi harus menetapkan, mendokumentasikan, menerapkan dan memelihara proses, prosedur dan kontrol guna memastikan tingkat yang diperlukan keamanan informasi yang berkesinambungan selama situasi yang merugikan.


A.17.1.3
Verifikasi, review dan evaluasi keamanan informasi yang berkesinambungan
Pengendalian:

Organisasi harus melakukan verifikasi terhadap aktifitas pengendalian keamanan informasi yang berkesinambungan secara berkala untuk memastikan bahwa pengendalian ini valid dan efektif dalam situasi yang merugikan.


A.17.2 Redundancies

Sasaran: Untuk memastikan ketersediaan fasilitas pengolahan informasi.


A.17.2.1
Ketersediaan fasilitas pengolahan informasi
Pengendalian:

Fasilitas pengolahan informasi harus dilakukan dengan redundancies yang cukup untuk memenuhi kebutuhan ketersediaan.


A.18 Kesesuaian (compliance)


A.18.1 Kepatuhan terhadap persyaratan hukum dan kontrak

Sasaran: untuk mencegah pelanggaran hukum, peraturan perundang-undangan, peraturan atau kewajiban kontrak dan setiap persyaratan keamanan informasi.


A.18.1.1
Identifikasi peraturan hukum yang berlaku dan persyaratan kontrak
Pengendalian:

Seluruh peraturan perundang-undangan dan persyaratan kontrak serta cara organisasi untuk memenuhi persyaratan tersebut harus ditetapkan secara eksplisit, dikomunikasikan dan selalu up-date untuk tiap-tiap sistem informasi dan organisasi.


A.18.1.2
Hak kekayaan intelektual (HAKI)
Pengendalian:

Prosedur yang sesuai harus diterapkan untuk memastikan kesesuaian dengan peraturan hukum, peraturan perundang-undangan dan perjanjian kontrak dalam penggunaan material yang memiliki HAKI dan penggunaan software yang legal.


A.18.1.3
Perlindungan rekaman organisasi
Pengendalian:

Rekaman penting harus dilindungi dari kehilangan, penghancuran, pemalsuan, akses tidak sah dan rilis tidak sah sesuai dengan peraturan perundang-undangan, persyaratan kontrak dan bisnis.


A.18.1.4
Perlindungan data dan rahasia informasi pribadi
Pengendalian:

Perlindungan data dan rahasia informasi pribadi harus dijamin sesuai dengan undang-undang dan peraturan yang berlaku.


A.18.1.5
Regulasi pengendalian kriptografi
Pengendalian:

Pengendalian kriptografi harus sesuai dengan perjanjian yang telah disepakati, peraturan perundang-undangan dan regulasi yang berlaku.


A.18.2 Review keamanan informasi

Sasaran: Untuk memastikan keamanan informasi diimplementasikan dan dioperasikan sesuai dengan kebijakan dan prosedur organisasi.


A.18.2.1
Kajian ulang secara independen terhadap keamanan informasi
Pengendalian:

Pendekatan organisasi dalam mengelola dan menerapkan keamanan informasi (misalnya sasaran pengendalian, kontrol, kebijakan, proses, dan prosedur kemananan informasi) harus dikaji ulang secara berkala dan independen, atau ketika terjadi perubahan signifikan terhadap penerapan keamanan.


A.18.2.2
Pemenuhan kebijakan keamanan dan standar
Pengendalian:

Manajer harus memastikan bahwa seluruh prosedur keamanan dalam area tanggung jawabnya dilakukan dengan benar untuk mencapai pemenuhan kebijakan keamanan dan standar yang ditetapkan.


A.18.2.3
Review pemenuhan teknis
Pengendalian:

Sistem informasi harus dinilai secara berkala terhadap kebijakan dan standar keamanan informasi organisasi.


No comments:

Post a Comment