1. Tujuan
Menetapkan persyaratan untuk konfigurasi dan pengelolaan kontrol firewall guna melindungi infrastruktur dan aset jaringan [ORGANIZATION].
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh firewall jaringan (perangkat keras dan perangkat lunak), firewall berbasis host, grup keamanan cloud, dan daftar kontrol akses jaringan yang dikelola oleh [ORGANIZATION].
3. Kebijakan
3.1 Konfigurasi Firewall
Seluruh firewall harus dikonfigurasi dengan kebijakan tolak-secara-default, hanya mengizinkan lalu lintas yang secara eksplisit diotorisasi.
Aturan firewall harus menentukan: alamat/jaringan sumber, alamat/jaringan tujuan, port/protokol, arah (masuk/keluar), tindakan (izinkan/tolak), justifikasi bisnis, pemilik aturan, dan tanggal peninjauan.
Aturan izinkan-semua-semua dilarang. Seluruh aturan harus sespesifik mungkin.
Firewall berbasis host harus diaktifkan dan dikonfigurasi pada seluruh aset perusahaan, termasuk server dan perangkat pengguna akhir.
3.2 Manajemen Aturan Firewall
Seluruh perubahan aturan firewall harus mengikuti proses manajemen perubahan [ORGANIZATION] dan memerlukan persetujuan dari [CUSTOMIZE: Tim Keamanan Jaringan/CISO].
Aturan firewall harus ditinjau setidaknya [CUSTOMIZE: triwulanan/dua kali setahun] untuk mengidentifikasi dan menghapus aturan yang tidak lagi diperlukan.
Aturan firewall sementara harus menyertakan tanggal kedaluwarsa tidak melebihi [CUSTOMIZE: 30/90] hari dan harus dinonaktifkan secara otomatis atau dihapus secara manual setelah kedaluwarsa.
Log firewall harus diaktifkan untuk seluruh lalu lintas yang ditolak dan untuk lalu lintas yang diizinkan ke segmen jaringan sensitif, dengan log diteruskan ke sistem pencatatan terpusat [ORGANIZATION].
3.3 Segmentasi Jaringan
Firewall harus menegakkan segmentasi jaringan antara: lingkungan produksi dan non-produksi, jaringan pengguna dan jaringan server, DMZ dan jaringan internal, zona data PCI/teregulasi dan jaringan umum, serta jaringan tamu/pengunjung dan jaringan korporat.
Lalu lintas antara segmen jaringan harus disaring untuk hanya mengizinkan komunikasi bisnis yang diperlukan.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen