MAHKAMAH AGUNG

BIRO HUKUM DAN HUBUNGAN MASYARAKAT

PENETAPAN RUANG LINGKUP SMKI

DAN
STATEMENT OF APPLICABILITY (SOA)

Nomor Dokumen : 001/SOA/PSI/MA/VI/2017

Tanggal Terbit : 8 Agustus 2023
Nomor Revisi : 04
Status : Aktif

Disusun oleh : Disetujui oleh :

M. Tunggul W. Lia Purnama N

Koordinator SMKI Kepala Bagian Pemeliharaan Sistem Informasi

Perhatian : Dokumen ini milik Biro Hukum dan Hubungan Masyarakat dan pendistribuasiannya
dikendalikan. Informasi yang ada di dalam dokumen ini seluruhnya atau sebagian tidak boleh
disebarluaskan tanpa seijin Biro Hukum dan Hubungan Masyarakat
Versi Tanggal Diusulkan oleh Deskripsi dan Riwayat Perubahan
00 7 Juni 2017 Koordinator SMKI Dokumen Baru
01 14 Agustus Koordinator SMKI Kriptogafi dimasukkan ke dalam ruang
2019 lingkup pengendalian penerapan
02 8 September Koordinator SMKI ● Penambahan ruang lingkup SMKI, untuk
2020 DRC Denpasar
● Penyesuaian SOA Annex A.10.1.1
Kebijakan terhadap penggunaan kendali
kriptografi menjadi tidak berlaku (N)

1
Klasifikasi: Terbatas
 ● Penyesuaian SOA Annex A.12.5.1 Instalasi
perangkat lunak pada sistem operasional
menjadi tidak berlaku (N)
03 24 Agustus Koordinator SMKI Perubahan nama penerima dokumen dan
2022 perubahan lokasi DRC 1 dari IDC Duren Tiga
ke IDC Batam
04 8 Agustus Koordiniator SMKI Penghapusan ruang lingkup lokasi DRC di IDC
2023 Jakarta dan mengeluarkan annex 18.1.4 dan
18.1.5 dari status diterapkan menjadi tidak
diterapkan

Distribusi Dokumen:
No. Penerima
1, Lia Purnama N.

2. M Tunggul Wusananto
3. Figur Hasmada
4. Affan Ahmad
5.

2
Klasifikasi: Terbatas
 No. Dok : 001/SOA/PSI/MA/VI/2017
Penetapan Ruang Lingkup SMKI
dan Statement of Applicability
Revisi : 04

Daftar Isi
1 Tujuan 4
2 Ruang Lingkup 4
3 Statement of Applicability (SOA) 5

3
 No. Dok : 001/SOA/PSI/MA/VI/2017
Penetapan Ruang Lingkup SMKI
dan Statement of Applicability
Revisi : 04

1 Tujuan
1. Menetapkan ruang lingkup penerapan sistem manajemen keamanan informasi di area
Data Center (DC) dan Disaster Recovery Center (DRC) Colocation serta Jaringan
yang dimiliki dan dikelola Bidang Pemeliharaan Sarana Informatika
2. Menetapkan kontrol-kontrol ISO 27001 yang berlaku dan diterapkan di DC dan DRC.

2 Ruang Lingkup
2.1 Proses:
a. Penyediaan layanan facility management dan keamanan fisik DC & DRC
serta Jaringan pada jaringan core (layer 1)
2.2 Lokasi
2.2.1 Data Center Gedung Mahkamah Agung, Jl. Medan Merdeka Utara Jakarta
2.2.2 Disaster Recovery Center, Gedung Taspen Renon Denpasar Bali
2.3 Aset TI yang tercakup
2.3.1 Informasi/data: Data Pengguna, laporan maintenance, risk register, hasil
audit, dsb.
2.3.2 Software: Access Control DC, EMS, software CCTV, monitoring jaringan
layer core (layer 1) dsb.
2.3.3 Hardware & Infrastruktur Jaringan: Server dan LAN internal DC & DRC,
dsb.
2.3.4 Sarana Pendukung: A/C, CCTV, FM200, sumber daya Listrik , UPS,
battery, dan generator dsb.
2.3.5 SDM: Operator, Administrator, pihak ketiga
2.3.6 Pihak Ketiga : Pihak Ketiga pemeliharaan jaringan dan pemeliharaan
fasilitas sarana pendukung DC & DRC dan Jaringan.

4
 No. Dok : 001/SOA/PSI/MA/VI/2017

Penetapan Ruang Lingkup SMKI dan

Statement of Applicability
Revisi : 04

Statement of Applicability

Applic
Pertimbangan Pengendalian
ISO 27001:2013 Controls able? Penerapan Pengendalian
(Inclusion/Exclusion)
(Y/N)
Admini Manaje
Area Klausul Penjelasan Teknis
stratif men
Management
5.1 direction for
information security
Menjadi komitmen dalam
penerapan SMKI dengan
Policies for mengimplementasi pengendalian
5.1.1 Y x
information security manajemen melalui pengesahan
Information
kebijakan atas pengelolaan
security
keamanan informasi;
policies
Menjadi komitmen dalam
penerapan SMKI dengan
Review of the policies mengimplementasi pengendalian
5.1.2 for information Y x manajemen melalui kegiatan
security evaluasi atas kebijakan
pengelolaan keamanan informasi
secara berkala.

6.1 Internal Organization

Menjadi komitmen dalam
penerapan SMKI dengan
Information security
mengimplementasi pengendalian
6.1.1 roles and Y x
manajemen melalui pengangkatan
responsibilities
satgas yang bertugas dalam
implementasi SMKI;
Menjadi komitmen dalam
penerapan SMKI dengan
Organization mengimplementasi pengendalian
6.1.2 Segregation of duties Y x x
of manajemen dan administratif
Information melalui pemisahan tugas dan
security tanggung jawab;
Menjadi komitmen dalam
penerapan SMKI dengan
Contact with mengimplementasi pengendalian
6.1.3 Y x
authorities manajemen melalui rencana
komunikasi dengan pihak
eksternal/internal;

5
 Menjadi komitmen dalam
penerapan SMKI dengan
Contact with special mengimplementasi pengendalian
6.1.4 Y x
interest groups manajemen melalui rencana
komunikasi dengan pihak
eksternal/internal;
Menjadi komitmen dalam
penerapan SMKI dengan
Information security mengimplementasi pengendalian
6.1.5 in project Y x manajemen melalui kebijakan
management informasi tentang pengelolaan
proyek dan pengadaan sistem
informasi;
Mobile devices and
6.2 Y
teleworking
Menjadi komitmen dalam
penerapan SMKI dengan
mengimplementasi pengendalian
6.2.1 Mobile device policy Y x manajemen melalui pengesahan
kebijakan pengelolaan keamanan
informasi yang mengatur
penggunaan perangkat mobile;
Menjadi komitmen dalam
penerapan SMKI dengan
mengimplementasi pengendalian
6.2.2 Teleworking Y x x
manajemen melalui pengesahan
prosedur teleworking dan
pengendalian teknis;

7.1 Prior to Employment Y

Menjadi bagian dalam penerapan
SMKI yang implementasinya
7.1.1 Screening Y x x dilakukan pengendalian
administratif melalui proses
perekrutan pekerja baru;
Menjadi bagian dalam penerapan
SMKI yang implementasinya
Terms and conditions
7.1.2 Y x x dilakukan pengendalian
of employment
administratif dalam bentuk
perjanjian kerja;
Human
7.2 During Employment Y
Resources
Security Menjadi komitmen dalam
penerapan SMKI dengan
mengimplementasi pengendalian
Management manajemen melalui pengesahan
7.2.1 Y x
Responsibility kebijakan pengelolaan keamanan
informasi sebagai bentuk
komitmen dukungan atas
penerapan SMKI;
Menjadi bagian dalam penerapan
Information security
SMKI yang tercakup dalam RTP
7.2.2 awareness, education Y x
yang implementasinya dilakukan
and training
pengendalian teknis dengan
6
Klasifikasi: Terbatas
 menyelenggarakan sosialisasi SMKI
kepada seluruh pekerja;
Menjadi bagian dalam penerapan
SMKI yang implementasinya
7.2.3 Disciplinary process Y x dilakukan pengendalian
administratif dalam bentuk
perjanjian kerja;
Termination or
7.3 change of Y
employment
Menjadi komitmen dalam
penerapan SMKI dengan
mengimplementasi pengendalian
Termination or
manajemen dan administratif
change of
7.3.1 Y x x melalui kebijakan pengelolaan
employment
keamanan informasi yang
responsibilities
mengatur pemutusan kerja pekerja
serta mekanisme pemutusan kerja
pekerja;
Responsibility for
8.1 Y
Assets
Menjadi bagian dalam penerapan
SMKI yang implementasinya
dilakukan pengendalian teknis dan
administratif dengan
8.1.1 Inventory of assets Y x x
menyelenggarakan pencatatan atas
seluruh perangkat TIK
menggunakan sistem aset
management dan risk register;
Menjadi bagian dalam penerapan
SMKI yang implementasinya
dilakukan pengendalian teknis dan
administratif dengan
8.1.2 Ownership of Assets Y x x
menyelenggarakan pencatatan atas
seluruh perangkat TIK
menggunakan sistem aset
Asset management dan risk register;
Management Menjadi bagian dalam penerapan
Acceptable use of SMKI yang implementasinya
8.1.3 Y x
assets dilakukan pengendalian
administratif

Menjadi bagian dalam penerapan

SMKI yang implementasinya
8.1.4 Return of assets Y x
dilakukan pengendalian
administratif;

Information
8.2 Y
classification
Classification Menjadi komitmen dalam
8.2.1 Y x x
Guidelines penerapan SMKI yang
implementasinya dilakukan
pengendalian manajemen dan
Information Labeling
8.2.2 Y x x administratif dengan membuat
and Handling
pedoman pengendalian dokumen
dan menerapkan prosedur

7
Klasifikasi: Terbatas
 klasifikasi dan pelabelan atas
informasi/data;
Menjadi bagian dalam penerapan
SMKI yang implementasinya
dilakukan pengendalian
manajemen dengan
8.2.3 Handling of assets Y x
memperlakukan setiap aset
berdasarkan kriteria atas aspek
kerahasiaan, keabsahan dan
ketersediaannya;
8.3 Media Handling Y

Management of Menjadi komitmen dalam

8.3.1 Y x penerapan SMKI yang
removable media
implementasinya dilakukan
pengendalian teknis dan
8.3.2 Disposal of media Y x x
administratif
Menjadi bagian dalam penerapan
SMKI yang implementasinya
dilakukan pengendalian
manajemen dan administratif
Physical media melalui kebijakan pengelolaan
8.2.3 Y x x
transfer keamanan informasi yang
mengatur masalah pemindahan
media fisik serta mengadakan
pencatatan bukti serah terima
barang (media fisik);
Business
9.1 Requirement for Y
Access Control
Menjadi komitmen dalam
penerapan SMKi yang
implementasinya dilakukan
9.1.1 Access control Policy Y x
pengendalian manajemen dalam
kebijakan dan prosedur
Manajemen Hak Akses
Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
pengendalian administratif dan
Access to networks
9.1.2 Y x x teknis dengan menerapkan
Access and network services
permohonan permintaan akses
Control network/nirkabel dan pembatasan
akses menggunakan perangkat
jaringan;
User Access
9.2 Y
Management
Menjadi komitmen dalam
penerapan SMKI yang
User Registration and implementasinya dilakukan
9.2.1 Y x
de-registration pengendalian administratif dengan
mekanisme pengajuan pendaftaran
user;
Menjadi komitmen dalam
User access
9.2.2 Y penerapan SMKI yang
provisioning
implementasinya dilakukan
8
Klasifikasi: Terbatas
 pengendalian administratif dengan
mekanisme pengajuan pendaftaran
user;
Menjadi komitmen dalam
penerapan SMKI yang
Management of
implementasinya dilakukan
9.2.3 privileged access Y x x
pengendalian administratif dan
rights
teknis dengan pembatasan akses
dalam sistem DC dan DRC;
Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Management of pengendalian manajemen melalui
9.2.4 secret authentication Y x pengesahan kebijakan pengelolaan
information of users keamanan informasi yang
mengatur otentikasi menggunakan
informasi pengguna yang sifatnya
rahasia;
Menjadi bagian komitmen dalam
penerapan SMKI yang
Review of user access implementasinya dilakukan
9.2.5 Y x
rights pengendalian administratif dengan
melakukan evaluasi atas user ID
secara berkala;
Menjadi bagian komitmen dalam
Removal or penerapan SMKI yang
9.2.6 adjustment of access Y x implementasinya dilakukan
rights pengendalian administratif dengan
penon-aktifan hak akses pengguna;
9.3 User Responsibilities
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Use of secret pengendalian administratif melalui
9.3.1 authentication Y x pengesahan kebijakan pengelolaan
information keamanan informasi yang
mengatur penggunaan informasi
yang rahasia dalam proses
otentikasi;
System and
9.4 application access
control
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Information access
9.4.1 Y x x pengendalian administratif dan
restriction
teknis melalui matriks akses dan
pembatasan hak akses pada sistem
DC dan DRC
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Secure log-on
9.4.2 Y x pengendalian manajemen melalui
procedures
penyusunan kebijakan pengelolaan
keamanan informasi yang
mengatur akses logik;
9
Klasifikasi: Terbatas
 Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Password
9.4.3 Y x pengendalian manajemen melalui
Management system
penyusunan kebijakan pengelolaan
keamanan informasi yang
mengatur manajemen password;
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Use of privileged pengendalian manajemen melalui
9.4.4 Y x
utility programs penyusunan kebijakan pengelolaan
keamanan informasi yang
mengatur pembatasan
penggunaan program utilitas;
Access control to Tidak ada proses pengembangan
9.4.5 N
program source code aplikasi
Cryptographic
10.1
controls
Policy on the use of
Crytographic tidak diterapkan di
Cryptography 10.1.1 cryptographic N
DC/DRC
controls
Crytographic tidak diterapkan di
10.1.2 Key management N
DC/DRC
11.1 Secure areas
Menjadi bagian dalam
pengendalian SMKI yang
implementasinya dilakukan
Physical security
11.1.1 Y x pengendalian manajemen dengan
Perimeter
menetapkan dan mengesahkan
standard area kerja, area terbatas
dan pengendaliannya;
Menjadi bagian dalam
pengendalian SMKI yang
implementasinya dilakukan
Physical entry
11.1.2 Y x x pengendalian administratif dan
controls
teknis dengan pencatatan tamu
dan pengadaan sistem akses
kontrol
Physical and
Menjadi bagian dalam
Environmenta
pengendalian SMKI yang
l Security
implementasinya dilakukan
Securing offices, pengendalian manajemen,
11.1.3 Y x x x
rooms and facilities administratif dan teknis dengan
menetapkan standard klasifikasi
area kerja/terbatas, pencatatan log
tamu dan pengadaan CCTV;
Menjadi bagian dalam
Protecting against
pengendalian SMKI yang
external and
11.1.4 Y x implementasinya dilakukan
environmental
pengendalian teknis dengan
threats
mengadakan FM-200

10
Klasifikasi: Terbatas
 Menjadi bagian komitmen dalam
penerapan SMKI yang
penerapannya dilakukan
Working in secure
11.1.5 Y x x pengendalian administratif dan
areas
teknis yang mengikuti prosedur
kerja dan kontrol teknis di DC dan
DRC
Menjadi bagian komitmen dalam
penerapan SMKI yang
Delivery and loading pengendaliannya dilakukan
11.1.6 Y x
areas pengendalian administratif atas
area pengiriman dan penerimaan
barang di DC dan DRC
11.2 Equipment Y
Menjadi bagian komitmen dalam
penerapan SMKI yang
Equipment sitting and pengendaliannya ditentukan dalam
11.2.1 Y x x
protection Kebijakan Keamanan Informasi
dengan menerapkan pengendalian
administratif dan teknis
Menjadi bagian komitmen dalam
penerapan SMKI yang
pengendaliannya dilakukan dengan
cara administratif dan teknis atas
11.2.2 Support utilities Y x x
antisipasi kegagalan sistem
pendukung DC/DRC atas segala
potensi resiko gangguan yang
terjadi;
Menjadi bagian komitmen dalam
penerapan SMKI yang
penerapannya dilakukan
11.2.3 Cabling security Y x x
pengendalian administratif dan
teknis yang mengikuti prosedur
kerja dan kontrol teknis di DC/DRC
Menjadi bagian komitmen dalam
penerapan SMKI yang
penerapannya dilakukan
Equipment
11.2.4 Y x pengendalian administratif dan
Maintenance
teknis yang mengikuti prosedur
kerja pemeliharaan atas perangkat
pendukung DC/DRC
Menjadi bagian komitmen dalam
penerapan SMKI yang
penerapannya dilakukan
pengendalian administratif atas
11.2.5 Removal of assets Y x
perangkat, informasi, software
yang akan dikeluarkan dari fasilitas
DC/DRC perlu dilakukan
mekanisme persetujuan;
Menjadi bagian komitmen dalam
penerapan SMKI dengan
Security equipment
melakukan pengendalian
11.2.6 and assets Y x
manajemen atas aset TIK yang
off-premises
digunakan diluar organisasi melalui
kebijakan Keamanan Informasi
11
Klasifikasi: Terbatas
 Menjadi bagian komitmen dalam
penerapan SMKI dengan
melakukan pengendalian
Secure disposal or
11.2.7 Y x x administratif dan teknis atas
re-use of equipment
penggunaan ulang atas perangkat
penyimpan informasi dengan
penghapusan dan pencatatan;
Menjadi bagian komitmen dalam
penerapan SMKI dengan
Unattended user melakukan pengendalian teknis
11.2.8 Y x
equipment atas laptop yang tidak digunakan
dengan cara menerapkan
locked-out policy;
Menjadi bagian komitmen dalam
penerapan SMKI dengan
Clear desk and clear
11.2.9 Y x melakukan pengendalian
screen policy
manajemen atas meja dan layar
bersih

Operational
12.1 Procedures and
responsibilities
Menjadi bagian komitmen dalam
penerapan SMKI yang
Documented implementasinya dilakukan
12.1.1 Y x
operating Procedures pengendalian administratif dengan
membuat dan menyusun prosedur
kerja operasional DC/DRC;
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
pengendalian administratif dengan
12.1.2 Change Management Y x
membuat prosedur pengendalian
perubahan serta mekanisme
pencatatan atas perubahan pada
sistem DC/DRC
Operations Menjadi bagian komitmen dalam
Security penerapan SMKI dan pengendalian
RTP yang implementasinya
Capacity dilakukan pengendalian teknis
12.1.3 Y x
management dengan melakukan pemantauan
atas sumber daya sistem DC/DRC
menggunakan sistem pemantauan
kapasitas,
Separation of
development, testing Tidak ada proses pengembangan
12.1.4 N
and Operations aplikasi
environments
Protection from
12.2
malware
Menjadi bagian komitmen dalam
penerapan SMKI yang
Controls against
12.2.1 Y x implementasinya dilakukan
mal-ware
pengendalian teknis dengan
pengadaan sistem

12
Klasifikasi: Terbatas
 antivirus/antispam pada sistem
DC/DRC
12.3 Backup
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
12.3.1 Information backup Y x x pengendalian administratif dan
teknis dengan pencatatan kegiatan
backup dan penerapan sistem
otomatisasi backup;
Logging and
12.4
monitoring
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
12.4.1 Event logging Y x
pengendalian teknis dengan
mengaktivasi sistem log pada
sistem di DC/DRC;
Menjadi bagian komitmen dalam
penerapan SMKI yang
Protection of log implementasinya dilakukan
12.4.2 Y x
information pengendalian teknis dengan
pembatasan akses atas sistem log
pada sistem di DC/DRC;
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Administrator and
12.4.3 Y x pengendalian teknis dengan
operator logs
mengaktivasi sistem log atas akun
administrator dan operator pada
sistem di DC/DRC;
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
12.4.4 Clock synchronization Y x
pengendalian teknis dengan
penerapan NTP pada sistem di
DC/DRC;
Control of operational
12.5
software
Installation of
Tidak ada proses pengembangan
12.5.1 software on N
aplikasi
operational systems
Technical vulnerability
12.6
management
Menjadi bagian komitmen dalam
penerapan SMKI yang
Management of implementasinya dilakukan
12.6.1 Y x
technical vulnerability pengendalian teknis dengan
melakukan penetration testing atas
sistem pada DC/DRC
Menjadi bagian komitmen dalam
penerapan SMKI yang
Restrictions on
12.6.2 Y x implementasinya dilakukan
software installation
pengendalian teknis dengan
pembatasan instalasi software

13
Klasifikasi: Terbatas
 Information system
12.7
audit considerations
Pengaturan akses dalam rangka
Information system
12.7.1 Y x x audit dilakukan berdasarkan
audit controls
ketentuan yang berlaku.

Network security
13.1
management
Menjadi bagian komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
pengendalian teknis dengan
menerapkan manajemen
13.1.1 Network controls Y x
pengendalian jaringan seperti
pembatasan akses network,
pemisahan network, perlindungan
network menggunakan firewall,
dsb;
Menjadi bagian komitmen dalam
penerapan SMKI yang
Security of network
13.1.2 Y x implementasinya dilakukan
services
pengendalian teknis menggunakan
sistem antivirus, firewall, IDS;
Menjadi bagian komitmen dalam
penerapan SMKI yang
Segregation in implementasinya dilakukan
13.1.3 Y x
network pengendalian teknis dengan
menerapkan pemisahan jaringan
menggunakan teknologi VLAN;
13.2 Information transfer
Communicati
ons security Menjadi komitmen dalam
penerapan SMKI yang
Information transfer
penerapannya dilakukan
13.2.1 policies and Y x
pengendalian manajemen dengan
procedures
mengesahkan kebijakan keamanan
informasi;
Menjadi komitmen dalam
penerapan SMKI yang
Agreements on penerapannya dilakukan
13.2.2 Y x
information transfer pengendalian manajemen dengan
mengesahkan kebijakan keamanan
informasi;
Menjadi komitmen dalam
penerapan SMKI yang
penerapannya dilakukan
13.2.3 Electronic messaging Y x
pengendalian manajemen dengan
mengesahkan kebijakan keamanan
informasi;
Menjadi komitmen dalam
penerapan SMKI yang
Confidentiality or penerapannya dilakukan
13.2.4 nondisclosure Y x x pengendalian manajemen dan
agreements administratif dengan mengesahkan
kebijakan keamanan informasi
serta mengadakan perjanjian
14
Klasifikasi: Terbatas
 kesanggupan menjaga kerahasiaan
kepada mitra kerja;
Security requirements
14.1 of information
systems
Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
pengendalian administratif dan
Information security teknis dengan cara
14.1.1 requirements analysis Y x x mendokumentasikan pemenuhan
and specification kebutuhan keamanan informasi
dalam dokumen spesifikasi teknis
dan menerapkan keamanan kode
program dalam tahap
pengembangan;
Menjadi komitmen dalam
penerapan SMKI yang
Securing application implementasinya dilakukan
14.1.2 services on public Y x pengendalian teknis dengan cara
networks mengimplementasikan kontrol2
teknis atas aplikasi/sistem yang
Firewall, IDS;
Protecting application Proses ini tidak digunakan dalam
14.1.3 N
services transactions penyediaan layanan DR/DRC
Security in
14.2 Development &
Support Processes
System
Secure development Tidak ada proses pengembangan
acquisition, 14.2.1 N
policy aplikasi
development
Menjadi komitmen dalam
and
penerapan SMKI yang
maintenance
implementasinya dilakukan
pengendalian administratif dan
System change manajemen dengan menerapkan
14.2.2 Y x x
control procedures pengelolaan perubahan (change
management) atas setiap usulan
perubahan atas sistem dan
mengesahkan prosedur
pengelolaan perubahan;
Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
pengendalian administratif dan
Technical review of
manajemen dengan
applications after
14.2.3 Y x x memberlakukan evaluasi pasca
operating platform
implementasi atas setiap
changes
implementasi program dan
mengesahkan prosedur
pengembangan proyek dan
pengadaan sistem;
Restrictions on
Tidak ada proses pengembangan
14.2.4 changes to software N
aplikasi
packages
Secure system Tidak ada proses pengembangan
14.2.5 N
engineering principles aplikasi
15
Klasifikasi: Terbatas
 Secure development Tidak ada proses pengembangan
14.2.6 N
environment aplikasi
Menjadi komitmen dalam
penerapan SMKI yang
Outsourced implementasinya dilakukan
14.2.7 Y x x
development pengendalian administratif dan
manajemen dengan melakukan
audir/evaluasi vendor serta NDA
Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
pengendalian administratif dan
System security
14.2.8 Y x x manajemen dengan melakukan
testing
pengujian atas sistem yang
dikembangkan dalam
pengembangan proyek dan
pengadaan sistem;
Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
pengendalian administratif dan
System acceptance
14.2.9 Y x x manajemen dengan melakukan
testing
pengujian atas sistem yang
dikembangkan dalam
pengembangan proyek dan
pengadaan sistem;
14.3 Test data
Protection of system
14.3.1 N Tidak ada test data yang digunakan
test data

Information security
15.1 in supplier
relationships
Menjadi komitmen dalam
penerapan SMKI yang
Information security
implementasinya dilakukan
15.1.1 policy for supplier Y x
pengendalian manajemen dengan
relationships
mengesahkan kebijakan keamanan
sistem informasi;
Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Supplier pengendalian manajemen dan
relationships Addressing security administratif dengan mengesahkan
15.1.2 within supplier Y x x kebijakan keamanan informasi dan
agreements menyertakan unsur2 pemenuhan
aspek keamanan informasi atas
dokumen perjanjian atau kontrak
dengan pihak penyedia
barang/jasa;

16
Klasifikasi: Terbatas
 Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Information and
pengendalian manajemen dan
communication
15.1.3 Y x x administratif dengan mengesahkan
technology supply
kebijakan pengelolaan keamanan
chain
sistem informasi dan menyertakan
rencana komunikasi dengan pihak
penyedia barang/jasa;
Supplier service
15.2
delivery management
Menjadi komitmen dalam
penerapan SMKI yang
Monitoring and
implementasinya dilakukan
15.2.1 review of supplier Y x
pengendalian administratif dengan
services
melakukan pemantauan atas
kinerja pihak ketiga secara berkala;
Menjadi komitmen dalam
penerapan SMKI yang
implementasinya dilakukan
Managing changes to
15.2.2 Y x pengendalian administratif dengan
supplier services
menyertakan ketentuan perubahan
atas dokumen kontrak dengan
pihak ketiga;

Management of
Information Security
16.1
Incidents and
Improvements
Menjadi komitmen dalam
penerapan SMKI dengan
Responsibilities and mengimplementasi pengendalian
16.1.1 Y x
Procedures manajemen melalui pengesahan
prosedur kerja penanganan
gangguan keamanan informasi;
Menjadi komitmen dalam
penerapan SMKI dengan
mengimplementasi pengendalian
Reporting
manajemen melalui mekanisme
Information 16.1.2 information security Y x x
pelaporan gangguan keamanan
Security events
informasi dan pengesahan atas
Incident
prosedur kerja penanganan
Management
gangguan keamanan informasi;
Menjadi komitmen dalam
penerapan SMKI dengan
mengimplementasi pengendalian
Reporting
manajemen melalui mekanisme
16.1.3 information security Y x x
pelaporan kelemahan keamanan
weaknesses
informasi dan pengesahan atas
prosedur kerja penanganan
gangguan keamanan informasi;

17
Klasifikasi: Terbatas
 Menjadi komitmen dalam
penerapan SMKI dengan
Assessment of and
mengimplementasi pengendalian
decision on
16.1.4 Y x x manajemen dan administratif
information security
dengan pengkajian atas kejadian
events
keamanan informasi serta
mekanisme penanganannya;
Menjadi komitmen dalam
penerapan SMKI dengan
Response to mengimplementasi pengendalian
16.1.5 information security Y x manajemen dan administratif
incidents dengan menindaklanjuti setiap
gangguan keamanan informasi
yang dilaporkan;
Menjadi komitmen dalam
penerapan SMKI dengan
Learning from mengimplementasi pengendalian
16.1.6 information security Y x manajemen dengan mempelajari
incidents karakteristik setiap gangguan
keamanan informasi yang
dilaporkan;
Menjadi komitmen dalam
penerapan SMKI dengan
mengimplementasi pengendalian
16.1.7 Collection of evidence Y x x manajemen teknis melalui
pengumpulan bukti atas kejadian
gangguan keamanan informasi
yang dilaporkan

Information security
17.1
continuity
Menjadi komitmen dalam
penerapan SMKI dan pengendalian
Planning information dengan mengimplementasi
17.1.1 Y x
security continuity pengendalian manajemen dengan
menyusun skenario dan rencana
pemulihan atas kondisi kritis;
Menjadi komitmen dalam
penerapan SMKI dan pengendalian
Implementing dengan mengimplementasi
Information
17.1.2 information security Y x x pengendalian manajemen dan
security
continuity teknis dengan menyusun skenario
aspects of
dan rencana pemulihan atas
business
kondisi kritis;
continuity
Menjadi komitmen dalam
management
penerapan SMKI dan pengendalian
Verify, review and dengan mengimplementasi
17.1.3 evaluate information Y x pengendalian manajemen dengan
security continuity melakukan evaluasi dan perbaikan
atas setiap kegiatan simulasi
kelangsungan informasi;

18
Klasifikasi: Terbatas
 Menjadi komitmen dalam
penerapan SMKI dan pengendalian
dengan mengimplementasi
17.2 Redundancies Y x x
pengendalian manajemen dan
teknis dengan pada sistem di
DC/DRC
Menjadi komitmen dalam
penerapan SMKI dan pengendalian
Availability of dengan mengimplementasi
17.2.1 information Y x x pengendalian manajemen dan
processing facilities teknis dengan menjaga
ketersediaan fasilitas sistem pada
DC/DRC

Compliance with
18.1 Legal and Contractual
Requirements
Menjadi komitmen dalam
penerapan SMKI dengan
Identification of
mengimplementasi pengendalian
applicable legislation
18.1.1 Y x x manajemen dan administratif
and contractual
melalui pemenuhan identifikasi
requirements
atas perundangan dan kontrak
yang berlaku;
Menjadi komitmen dalam
penerapan SMKI dengan
Intellectual Property mengimplementasi pengendalian
18.1.2 Y x
Rights (IPR) manajemen melalui pengendalian
penggunaan aset yang dilindungi
UU HAKI;
Menjadi komitmen dalam
penerapan SMKI dengan
18.1.3 Protection of records Y x mengimplementasi pengendalian
manajemen melalui pengendalian
informasi;
Compliance Privacy and
Bagian pemeliharaan tidak
protection of
mengendalikan database pencari
18.1.4 personally N
keadilan, hanya mengendalikan
identifiable
perangkat fisiknya saja.
information
Regulation of
Crytographic tidak diterapkan di
18.1.5 cryptographic N
DC/DRC
controls
Information security
18.2
reviews
Menjadi komitmen dalam
penerapan SMKI dengan
Independent review menerapkan pengendalian
18.2.1 of information Y x x manajemen dan teknis melalui
security pelaksanaan audit eksternal SMKI
yang pelaksanaannya direncanakan
secara berkala;

19
Klasifikasi: Terbatas
 Menjadi komitmen dalam
penerapan SMKI dengan
menerapkan pengendalian
Compliance with
manajemen dan teknis melalui
18.2.2 security policies and Y x x
pemenuhan persyaratan yang telah
standards
ditentukan dalam kebijakan
keamanan informasi dan standard
ISO 27000:2013
Menjadi komitmen dalam
penerapan SMKI dengan
menerapkan pengendalian
Technical compliance manajemen dan teknis melalui
18.2.3 Y x x
review pemenuhan persyaratan yang telah
ditentukan dalam kebijakan
keamanan informasi dan standard
ISO 27000:2013

Resume SOA:

Jumlah Tidak Diterapkan Annex Tidak Diterapkan

9.4.5; 10.1.1; 10.1.2; 12.1.4; 12.5.1; 14.1.3;
13 14.2.1; 14.2.4; 14.2.5; 14.2.6; 14.3.1,
18.1.4, 18.1.5

20
Klasifikasi: Terbatas