Nama Perusahaan

KEBIJAKAN KEAMANAN INFORMASI

Nomor: XXX-XXX/XXXXXXX/XX/XXXX

TENTANG:

PENGAMANAN OPERASIONAL TIK

JAKARTA
 KEBIJAKAN KEAMANAN INFORMASI Halaman i dari i
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

Nama Kebijakan Pengamanan Operasional TIK

Versi Tanggal Revisi

Nama Penyusun Tanggal Berlaku

Daftar Isi

Daftar Isi.................................................................................................................................. i
Pendahuluan.......................................................................................................................... 1
Tujuan.................................................................................................................................... 1
Pengertian Istilah.................................................................................................................... 1
Isi Kebijakan........................................................................................................................... 3
Pendeteksian dan Analisis Insiden Keamanan Informasi....................................................3

Penyelesaian dan Pelaporan Insiden Keamanan Informasi................................................5

Penanganan Kehilangan Perangkat TIK.............................................................................8

Langkah Disiplin..................................................................................................................... 8
Kebijakan Pendukung............................................................................................................ 9
Referensi................................................................................................................................ 9

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 1 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

Pendahuluan PERUSAHAAN memerlukan langkah-langkah nyata dalam menangani

insiden keamanan informasi yang terjadi. Insiden keamanan informasi
sangat berpotensi menimbulkan kerugian dari sisi materi maupun moril.
Kerugian materi dihitung dari kehilangan waktu dan operasionalisasi
kerja PERUSAHAAN yang terganggu, sedangkan kerugian moril adalah
potensi kerugian atas nama baik lembaga/institusi yang tercemar atau
tidak dipercaya pihak lain/luar. Kebijakan pengamanan operasional TIK
diharapkan dapat meminimalisasi atau bahkan menghilangkan potensi
kerugian tersebut.

Tujuan Memberikan arahan mengenai pengamanan operasional TIK untuk

memberikan kepastian bahwa berbagai insiden keamanan informasi
telah senantiasa dikomunikasikan dan telah dilakukan tindakan
perbaikan yang tepat waktu. Juga dipastikan bahwa kegiatan operasional
Divisi EPTI yang bersifat kritis telah dilindungi dari gangguan akibat
terjadinya kesalahan fatal pada sistem informasi Divisi EPTI dan
berbagai bencana lainny serta untuk memastikan bahwa kegiatan
operasional Divisi EPTI dapat berjalan kembali setelah pemulihan, yang
dilaksanakan berdasarkan kebutuhan Divisi EPTI dan sesuai peraturan
perundang-undangan.

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 2 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

Pengertian  Antivirus dan Antispam adalah perangkat lunak yang digunakan

Istilah untuk mencegah dan mengatasi gangguan dari program yang
bertujuan jahat pada sistem jaringan komunikasi data.
 Attacking Host adalah host yang melakukan serangan ke jaringan
komputer yang berpotensi bahkan menyebabkan terjadinya insiden
keamanan informasi.

 File Integrity Checking Software adalah perangkat lunak yang

digunakan untuk melakukan pemeliharaan struktur file dalam media
penyimpanan khususnya struktur integritas file.

 Host adalah satu device yang terhubung ke jaringan komputer

PERUSAHAAN.

 Information Security Officer (ISO) adalah personel yang ditugaskan

dan bertanggung jawab dalam penanganan, koordinasi dan
pendokumentasian insiden keamanan informasi yang terjadi di
lingkungan PERUSAHAAN.

 Indicator yaitu suatu insiden yang telah terjadi atau terjadi saat ini.

 Insiden Keamanan Informasi adalah kejadian yang merugikan yang

berpotensi menimbulkan kerusakan aset PERUSAHAAN, reputasi
dan/atau personel. Insiden keamanan informasi ini terkait dengan
peretasan, penyalahgunaan sumber daya TIK, serta keberlanjutan
proses dan sistem informasi yang penting/kritis. Insiden keamanan
informasi meliputi juga percobaan atau penjelajahan; gangguan atau
penolakan layanan, mengakses atau merusak input, pemrosesan,
penyimpanan, atau keluaran sebuah informasi; perubahan hardware
atau software sistem informasi dengan atau tanpa sepengetahuan
pengguna, perintah atau kesengajaan.

 Intrusion Detection System (IDS) adalah sistem pendeteksian

penyusupan yang ditujukan mencegah terjadinya penyusupan ke
dalam jaringan komunikasi data.
 Precursor yaitu suatu insiden yang tidak terjadi saat ini dan akan

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 3 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

berpotensi terjadi pada masa mendatang.

 Security Information and Event Management (SIEM) adalah
sistem manajemen informasi keamanan dan kejadian yang berada
dalam lingkungan jaringan komunikasi data yang bertujuan untuk
melakukan pencatatan, pengolahan dan pemberitahuan tentang
informasi yang terkait keamanan informasi di dalam lingkungan
jaringan komunikasi data.
 Third Party Monitoring Software adalah perangkat lunak pihak
ketiga yang digunakan untuk melakukan monitoring terhadap
aktivitas di dalam jaringan komunikasi data.

Isi Kebijakan

Pendeteksian  Pendeteksian dan analisis insiden keamanan informasi direncanakan

dan Analisis dan diatur oleh ISO.
Insiden  IT Support mereferensi ke Kebijakan Keamanan Informasi dalam
Keamanan melakukan pengenalan tanda dan sumber insiden keamanan
Informasi informasi.
 Hal yang menjadi pertimbangan pada prioritas penanganan insiden
meliputi dan tidak terbatas pada:
 dampak fungsional;
 dampak informasi;
 kemampuan pemulihan kembali.
 Insiden yang berkaitan dengan keamanan informasi meliputi dan
tidak terbatas pada:

 gangguan/kehilangan akses layanan, peralatan atau fasilitas

sistem informasi;

 sistem tidak berjalan, gagal, malfunction, atau overload;

 hardware dan software tidak berjalan, gagal, malfunction;

 kegagalan layanan sistem informasi ;

 malicious code & denial service;

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 4 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

 kesalahan akibat dari ketidak-lengkapan/ketidak-akuratan data;

 kesalahan manusia;

 ketidak-patuhan dengan kebijakan atau prosedur;

 pelanggaran terhadap pengaturan keamanan fisik sistem

informasi;

 perubahan sistem yang tidak terpantau;

 pelanggaran atas penggunaan akses;

 pelanggaran kerahasiaan dan integritas seluruh hal yang terkait

dengan informasi;

 penyalahgunaan sistem informasi Divisi EPTI.

 Berdasarkan tanda yang dimiliki, insiden keamanan informasi dapat

berupa precursor dan indicator.
 Sumber-sumber petunjuk insiden keamanan informasi meliputi dan
tidak terbatas pada:
1. Alert, yang meliputi dan tidak terbatas pada:
a. IDS;
b. SIEM;
c. Antivirus dan Antispam;
d. File Integrity Checking Software;
e. Third Party Monitoring Software;
2. Log, yang meliputi dan tidak terbatas pada:
a. Log dari Sistem Operasi, Services dan Aplikasi;
b. Log dari Perangkat dan Jaringan;
c. Lalu-lintas Jaringan;
3. Publikasi Informasi, yang meliputi dan tidak terbatas pada:
a. Informasi yang dipublikasikan yang terkait kerawanan,
lubang keamanan dan lainnya yang terkait keamanan
informasi;
4. Orang, yang meliputi dan tidak terbatas pada:
a. Orang dalam PERUSAHAAN;

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 5 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

b. Orang luar PERUSAHAAN;

 Pengumpulan informasi untuk keperluan penyelidikan insiden harus
diakomodasi.
 Pelaksanaan pengumpulan informasi harus dilakukan secara
seksama.
 Kepala Divisi EPTI atau UPI harus terlibat dalam dan mengawasi
pengumpulan informasi.
 Seluruh individu di PERUSAHAAN harus menghubungi IT Support
atau ISO jika menghadapi situasi yang diduga sebagai insiden
keamanan informasi.

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 6 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

Penyelesaian  Untuk mencegah dampak kerusakan yang lebih jauh dari insiden
dan Pelaporan keamanan informasi, maka tindakan isolasi harus dilakukan.
Insiden  Strategi tindakan isolasi ditentukan oleh ISO.
Keamanan  Strategi tindakan isolasi meliputi dan tidak terbatas pada:
Informasi  potensi kerusakan dan kehilangan sumber daya;
 kebutuhan penyimpanan bukti;
 ketersediaan layanan TIK;
 waktu dan sumber daya yang diperlukan;
 efektivitas strategi;
 durasi solusi.
 Pengumpulan bukti terkait insiden keamanan informasi dilakukan
secara seksama oleh ISO dengan berkoordinasi dengan KK OTI dan
UPI.
 Jika diperlukan, maka harus dilakukan digital forensik untuk
memperkuat bukti insiden keamanan informasi.
 Bukti yang terkumpulkan harus disimpan secara seksama.
 Rincian bukti yang terkumpul dapat meliputi dan tidak terbatas pada:
 informasi identitas perangkat;
 nama, jabatan, dan nomor kontak staf yang terlibat dalam
pengumpulan bukti;
 waktu dan tempat pengumpulan setiap bukti;
 lokasi penyimpanan bukti.
 Identifikasi host yang dicurigai sebagai sumber insiden dapat
dilakukan dengan cara dan tidak terbatas pada:
 validasi IP address dari attacking host;
 pencarian attacking host melalui search engine;
 penggunaan database insiden;
 monitoring saluran komunikasi yang mungkin digunakan.
 Proses penyelesaian insiden keamanan informasi harus meliputi dan
tidak terbatas pada:
 pembatasan pengaruh buruk berkelanjutan dari insiden;

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 7 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

 taktik penanganan insiden;

 langkah koreksi untuk memperbaiki dan mencegah insiden
terulang kembali;
 komunikasi internal dan antar divisi yang terkait.
 Langkah yang diperlukan untuk perbaikan insiden keamanan
informasi harus di bawah kendali formal.
 Selama masa perbaikan, akses ke sistem yang terkait insiden hanya
dibolehkan bagi ISO dan staf Divisi EPTI yang berwenang.
 Langkah perbaikan harus didokumentasikan sedetail mungkin jika
diperlukan.
 Dokumen checklist pemandu penanganan insiden keamanan
informasi meliputi dan tidak terbatas pada proses berikut:
 memastikan terjadinya insiden dengan pertimbangan dan tidak
terbatas pada:
 analisis precursor dan indicator;
 informasi terkait insiden;
 penelitian menggunakan search engine dan knowledge base
information;
 pendokumentasian penyeledikan dan pengumpulan bukti;
 prioritisasi penangangan insiden dengan pertimbangan dan tidak
terbatas pada:
 dampak informasi;
 dampak fungsional;
 kemampuan pemulihan;
 pelaporan pada divisi EPTI dan UPI;
 penyimpanan, pengamanan, dan pendokumentasian bukti;
 pengisolasian insiden;
 penyelesaian insiden yang meliputi dan tidak terbatas pada
proses:
 identifikasi dan mitigasi kerawanan/vurnerabilities yang
terjadi dan dieksploitasi;
 penghilangan malware, materi yang tidak pantas, dan

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 8 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

komponen lainnya;
 pengulangan proses sebelumnya pada aset lain yang
terkena insiden;
 pemulihan insiden yang meliputi dan tidak terbatas pada proses:
 pengembalian sistem yang terkena dampak insiden ke
kondisi normal secara operasional;
 pengecekan untuk memastikan bahwa sistem yang telah
dipulihkan berfungsi baik;
 perubahan monitoring tambahan jika diperlukan pada masa
mendatang.
 penyusunan laporan penanganan insiden dan tindakan lanjutan;
 pertemuan periodik atau insidental antar pihak yang
berkepentingan setelah penyelesaian insiden keamanan
informasi;
 Harus terdapat lesson learned dari setiap insiden keamanan
informasi.
 Dokumentasi insiden keamanan informasi meliputi dan tidak terbatas
pada:
 jenis insiden;
 volume insiden dan malfunction;
 penggunaan biaya selama insiden;
 Informasi mengenai insiden keamanan informasi harus disusun dan
ditinjau ulang secara periodik sebagai basis informasi dan
kecenderungan atau pola yang teridentifikasi.
 Proses perubahan sebagai hasil dari tinjauan paska insiden harus
dicatatakan secara formal dan pelaksanaannya merujuk pada
Kebijakan Manajemen Perubahan.

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 9 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

Penanganan  Kejadian kehilangan perangkat TIK perlu mendapatkan perlakuan

Kehilangan khusus yang terpisah.
Perangkat TIK  Kejadian kehilangan perangkat TIK dilaporkan pada saat atau
sesudah kejadian kepada Divisi EPTI melalui Kelompok Kerja OTI
dan dikoodinasikan dengan ISO.
 ISO menindaklanjuti laporan tersebut dengan melakukan
penyelidikan awal melalui interview dengan pihak pelapor/pengguna
perangkat.
 ISO melaporkan kehilangan perangkat ke pihak berwajib jika lokasi
kejadian di luar PERUSAHAAN.
 Hasil penyelidikan awal dicatatkan dalam log insiden dan di-update
pada sistem penanganan insiden.
 ISO melakukan analisis terhadap risiko kehilangan perangkat dengan
dengan merujuk pada Kebijakan Penanganan Insiden Keamanan
Informasi.
 Notifikasi terkait kejadian kehilangan perangkat disusun oleh ISO
bersama Kelompok Kerja OTI.
 ISO menyusun laporan penanganan kejadian kehilangan perangkat
dan melaporkannya pada Bagian OTI melalui Kelompok Kerja OTI.
 Harus terdapat lesson learned dari kejadian kehilangan perangkat.

Langkah Seluruh pelanggaran atas kebijakan ini dapat diberikan sanksi sesuai
Disiplin dengan ketentuan yang berlaku.

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS
 KEBIJAKAN KEAMANAN INFORMASI Halaman 10 dari 9
TEKNOLOGI INFORMASI DAN KOMUNIKASI
TENTANG: PENGAMANAN OPERASIONAL TIK

Ditetapkan Tanggal : Revisi ke

Kebijakan 1. Semua pegawai harus bertanggung jawab dalam pengaturan

Pendukung penggunaan SDI dan pihak yang bertanggung jawab terhadap
keamanan SDI. Semua personel juga bertanggung untuk melaporkan
hal-hal yang mencurigakan atau pelanggaran yang terjadi terhadap
kebijakan ini kepada manajemen.
2. Penggunaan SDI harus secara resmi untuk tujuan dinas/pekerjaan
saja. Setiap uni fungsi bertanggung jawab dalam penggunaan
komputer melalui otorisasi yang semestinya.
3. Setiap data yang digunakan dalam sebuah sistem SDI harus tetap
dijaga kerahasiaan dan keamanannya oleh setiap pengguna. Data
yang tersimpan secara elektronik harus mendapatkan perlakuan
yang sama dalam sisi keamanan dan berlaku untuk semua jenis
klasifikasi informasi.
4. Setiap unit fungsi harus menyediakan pengendalian akses yang
memadai untuk sistem pengawasan dalam perlindungan data dan
program dari penyalahgunaan terkait yang telah didefinisikan oleh
pemilik informasi. Akses harus didokumentasikan secara benar,
diotorisasi dan dikendalikan.

Referensi 1. Peraturan Presiden No. 95 Tahun 2012 tentang Pengalihan dan

Pelaksanaan Tugas dan Fungsi Kegiatan Usaha Hulu Minyak dan
Gas
2. Panduan Tata Kerja Teknologi Informasi dan Komunikasi
PERUSAHAAN
3. ISO/IEC 27001:2005 - 13.1.1 , 13.1.2
4. ISO/IEC 27001:2005 - 13.2.1 , 13.2.2 , 13.2.3
5. ISO/IEC 27001:2005 - 14.1.1 , 14.1.2 , 14.1.3 , 14.1.4 , 14.1.5

Paraf Pejabat Paraf Pejabat Stempel

Fungsi Fungsi SKMIGAS