Kebijakan dan Prosedur

Kebijakan dan prosedur mengubah keamanan dari pengetahuan yang hanya dimiliki segelintir orang menjadi praktik yang dapat diulang dan ditegakkan. Keduanya menetapkan perilaku yang diharapkan, menetapkan tanggung jawab, dan menyediakan bukti yang diperlukan auditor.

Jika sesuatu tidak didokumentasikan, Anda tidak dapat menegakkannya atau membuktikannya secara konsisten.

Dokumentasi keamanan memiliki beberapa lapisan:

• Kebijakan: maksud dan aturan tingkat tinggi (apa dan mengapa).
• Standar: persyaratan wajib yang spesifik.
• Prosedur: panduan langkah demi langkah.
• Pedoman: praktik terbaik yang disarankan (opsional).

Pastikan perbedaannya jelas:

• Kebijakan menyatakan aturan: kata sandi harus terdiri dari sedikitnya 12 karakter.
• Prosedur menjelaskan caranya: langkah-langkah tepat untuk menetapkan kebijakan kata sandi di penyedia identitas.

Kebijakan bersifat stabil; prosedur berubah seiring perubahan alat.

Sebagian besar program mencakup:

• Kebijakan Penggunaan yang Dapat Diterima.
• Kebijakan Kontrol Akses / Identitas.
• Klasifikasi dan Penanganan Data.
• Kebijakan Tanggapan Insiden.
• Keberlangsungan Bisnis / Pemulihan Bencana.

AUP menetapkan hal-hal yang boleh dan tidak boleh dilakukan pengguna terhadap sistem dan data perusahaan. Kebijakan ini mencakup surat elektronik, internet, perangkat, serta konsekuensi pelanggaran, dan biasanya dikonfirmasi saat orientasi awal.

Kebijakan kontrol akses menetapkan prinsip hak akses minimum dan jadwal peninjauan.

• Cara akses diminta dan disetujui.
• Definisi peran dan pemisahan tugas.
• Seberapa sering akses ditinjau dan dicabut (misalnya saat seseorang meninggalkan organisasi).

Kebijakan ini menetapkan cara organisasi mendeteksi, melaporkan, dan menangani insiden keamanan. Kebijakan ini mencantumkan peran, jalur eskalasi, dan aturan komunikasi agar krisis ditangani berdasarkan rencana, bukan improvisasi.

Setiap kebijakan memerlukan pemilik yang bertanggung jawab untuk menjaganya tetap terkini, serta tanggung jawab yang ditetapkan dengan jelas. Tanpa kepemilikan, dokumen akan menjadi usang dan kehilangan kewibawaannya.

• Pemilik menyetujui dan memelihara dokumen.
• Pemangku kepentingan menerapkan dan mematuhinya.

Dokumen harus disetujui secara resmi dan versinya harus dikendalikan.

• Catat pembuat, pemberi persetujuan, tanggal persetujuan, dan nomor versi.
• Lacak perubahan agar auditor dapat melihat riwayatnya.
• Tetapkan siklus peninjauan, biasanya setiap tahun.

Kebijakan yang tidak dibaca siapa pun tidak ada gunanya. Distribusikan dokumen, latih staf, dan kumpulkan konfirmasi penerimaan. Kesadaran mengubah aturan tertulis menjadi perilaku nyata serta menyediakan bukti penegakan.

Kebijakan memerlukan konsekuensi yang nyata. Tetapkan konsekuensi pelanggaran dan dukung dengan kontrol teknis jika memungkinkan (misalnya, tegakkan standar kata sandi di penyedia identitas, bukan hanya di atas kertas). Penegakan yang konsisten menjaga kredibilitas kebijakan.

Bedakan kebijakan dari prosedur.

Dokumentasi membuat keamanan dapat diulang dan dibuktikan:

• Gunakan hierarki: kebijakan, standar, prosedur, pedoman.
• Kebijakan menyatakan aturan; prosedur memberikan langkah-langkah.
• Tetapkan pemilik, setujui, kendalikan versi, dan tinjau secara berkala.
• Komunikasikan, latih, dan tegakkan agar dokumen benar-benar diterapkan.