Professional Documents
Culture Documents
Materi Training Awareness ISO 27001 2015 Indospring (Bu Putih Ayu)
Materi Training Awareness ISO 27001 2015 Indospring (Bu Putih Ayu)
IN-HOUSE TRAINING
AWARENESS
SISTEM MANAJEMEN
INFORMASI BERBASIS ISO/IEC
27001:2013
PT. INDOSPRING, TBK
March 22nd, 2017
By Putih Ayu Perani
• Perkenalan
• Sekilas Tentang ISO 27001
1
1995 – BS 7799
2000 – ISO/IEC 17799
2005 – ISO/IEC 27001 (1st Edition)
2013 – ISO/IEC 27001 (2nd Edition)
2
ISO/IEC 27006 — Requirements for bodies providing audit and
certification of information security management systems
ISO/IEC 27007 — Guidelines for information security management
systems auditing (focused on auditing the management system)
ISO/IEC TR 27008 — Guidance for auditors on ISMS controls (focused
on auditing the information security controls)
ISO/IEC 27009 — Essentially an internal document for the committee
developing sector/industry-specific variants or implementation guidelines
for the ISO27k standards
ISO/IEC 27010 — Information security management for inter-sector and
inter-organizational communications
ISO/IEC 27011 — Information security management guidelines for
telecommunications organizations based on ISO/IEC 27002
ISO/IEC 27013 — Guideline on the integrated implementation of ISO/IEC
27001 and ISO/IEC 20000-1 (derived from ITIL)
ISO/IEC 27014 — Information security governance.
3
ISO/IEC 27033-3 — Network security - Part 3: Reference networking
scenarios - Threats, design techniques and control issues
ISO/IEC 27033-5 — Network security - Part 5: Securing communications
across networks using Virtual Private Networks (VPNs)
ISO/IEC 27033-6 — Network security - Part 6: Securing wireless IP
network access
ISO/IEC 27034-1 — Application security - Part 1: Guideline for application
security
ISO/IEC 27034-2 — Application security - Part 2: Organization normative
framework
ISO/IEC 27034-6 — Application security - Part 6: Case studies
ISO/IEC 27035-1 — Information security incident management - Part 1:
Principles of incident management
ISO/IEC 27035-2 — Information security incident management - Part 2:
Guidelines to plan and prepare for incident response
4
ISO/IEC 27043 — Incident investigation
ISO/IEC 27050-1 — Electronic discovery - Part 1: Overview and concepts
ISO 27799 — Information security management in health using ISO/IEC
27002 - guides health industry organizations on how to protect personal
health information using ISO/IEC 27002.
Mengapa Perlu
Sistem Manajemen Keamanan Informasi (SMKI)
Informasi:
Beragam wujudnya. Peraturan tentang Informasi dan
Mengalir sedemikian cepat antara Transaksi Elektronik
manusia dan media/sistem.
Jumlah yang diproses relatif banyak
setiap harinya UU No. 19 Tahun 2016
UU No. 11 Tahun 2008
Perlu diterapkan
pengendalian PP No. 82 Tahun 2012
untuk menjamin
keamanannya Peraturan MENKOMINFO
(kerahasiaan, integritas, No. 36 Tahun 2014
ketersediaan)
No. 4 Tahun 2016
No. 12 Tahun 2016
No. 20 Tahun 2016
5
• Keamanan Informasi (Information Security), merupakan pengendalian
atas kerahasiaan, integritas dan ketersedian (C-I-A) dari suatu
informasi;
• Sistem Manajemen Keamanan Informasi/SMKI (Information Security
Management System), merupakan bagian dari sistem manajemen dalam
suatu organisasi yang berbasis pendekatan resiko dengan tujuan
membangun, mengimplementasikan, mengoperasikan, memantau,
memelihara dan meningkatkan keamanan informasi.
6
MENJALANKAN TATA KELOLA
INFORMATION SECURITY Management System
P
4. Context of The
Organization
Annex A – 114 controls in 14 control domains
| A.5 Information security policies I A.6 Organization of information
5. Leadership security | A.7 Human resource security | A.8 Asset management |
A.9 Access control | A.10 Cryptography | A.11 Physical and
Environmental Security | A.12 Operations Security | A.13
Communication Security | A.14 System Acquisition, Development
6. Planning and Maintenance | A.15 Supplier Relationship | A.16 Infosec
Indicent Mgt | A.17 Infosec Aspect in BCM | A.18 Compliance |
7. Support
D
8. Operation
C
9. Performance
Evaluation
A
10. Improvement
7
• Komitmen dan kewajiban dari top manajemen yang harus dapat
didemonstrasikan seperti:
• Ditetapkanya kebijakan dan sasaran;
• Dipenuhinya resource yang diperlukan ;
• mengkomunikasikan pentingya pemenuhan persyaratan terkait
SMKI;
• Memonitor pencapaian goal SMKI;
• Memberikan arahan;
• Memastikan berlakunya continual improvement.
• Kebijakan SMKI (serupa dengan kebijakan mutu) harus ditetapkan.
• Organisasi, wewenang dan tanggung jawab tim untuk
mengimplementasikan SMKI harus ditetapkan
• Melakukan asesmen
risiko keamanan
informasi
• Sasaran dan target
(objective) penerapan
SMKI harus ditetapkan.
Rencana-rencana untuk
mencapaian target harus
juga ditetapkan.
8
• Bukti kecukupan dan proses pencukupan sumber daya untuk membangun dan
mengimplementasikan SMKI harus didokumentasikan
• Standar kompetensi terkait keamanan informasi harus ditetapkan.
Perencanaan pelatihan harus dilakukan untuk memastikan terpenuhinya
individu-individu thd standar kompetensinya.
• Awareness SMKI secara berkala harus dilakukan, baik thd pegawai dan
pemasok.
• Proses komunikasi terkait SMKI harus ditetapkan. Hal ini mencakup:
• Saluran komunikasi jika ada pertanyaan dari para stakeholder
• Pelaporan rutin kepada manajemen
• Pengumuman/pemberitahuan terkait penerapan SMKI
• Seluruh informasi yang harus didokumentasikan (baik berupa dokumen acuan
spt kebijakan, SOP, IK, formulir) maupun hasil pekerjaan harus terdokumentasi
dengan baik. Aturan pendokumentasian harus ditetapkan.
9
• Keefektifan implementasi SMKI harus dimonitor, diukur, dianalisis dan
dievaluasi.
• Audit internal SMKI harus direncanakan, dilakukan dan dilaporkan
secara berkala. Audit harus dilakukan oleh personil yang kompeten.
• Tinjauan manajemen harus dilakukan secara berkala. Tinjauan
manajemen bukan membahas masalah penyelesaian issu-issu yang
sedang terjadi, namun lebih kepada review berkala terhadap
keefektifan implementasi SMKI oleh manajemen, sehingga dapat
diputuskan tindakan perbaikannya.
• Hal-hal yang dibahas mencakup hasil audit, status tindakan perbaikan,
masukan dari stakeholder, pencapaian target, hasil dari asesmen risiko
terakhir dan rencana ke depannya.
10
3
1
Persyaratan
Penyelesaian 4
2
Dokumen
5
Audit 6 Implementasi
TÜV SÜD PSB Indonesia 17-03-17 Slide 21
11
• Kegiatan mobile device policy (menggunakan notebook di area
publik) harus diatur.
• Kegiatan teleworking (setup remote office) harus diatur.
12
TÜV SÜD PSB Indonesia 17-03-17 Slide 25
13
TÜV SÜD PSB Indonesia 17-03-17 Slide 27
14
TÜV SÜD PSB Indonesia 17-03-17 Slide 29
15
TÜV SÜD PSB Indonesia 17-03-17 Slide 31
16
• Meja bersih, layar bersih, semua dokumen rahasia tersimpan dalam
laci yang terkunci
17
TÜV SÜD PSB Indonesia 17-03-17 Slide 35
18
• Perubahan saat
pengembangan dan
akuisisi sistem
informasi harus
dikendalikan
• Hasil dari
pengembangan/
akuisisi sistem
informasi harus
dipastikan tidak ada
“security hole/back
door” (dilakukan
VA/pen-test).
19
TÜV SÜD PSB Indonesia 17-03-17 Slide 39
20
Nomor
Requirement Penjelasan
Klausul
End of Presentation
Have a question?
Contact us at:
[email protected]
www.tuv-sud.co.id
21