Kebijakan Manajemen Akses Istimewa
1. Tujuan
Menetapkan persyaratan untuk mengelola, memantau, dan mengendalikan akses istimewa ke sistem dan data kritis [ORGANIZATION] guna meminimalkan risiko akses tidak sah dan ancaman orang dalam.
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh akun dengan hak istimewa yang ditinggikan, termasuk administrator sistem, administrator basis data, administrator jaringan, administrator cloud, administrator aplikasi, dan akun lain dengan akses di luar izin pengguna standar.
3. Kebijakan
3.1 Tata Kelola Akun Istimewa
Inventaris seluruh akun istimewa harus dipelihara dan ditinjau setidaknya [CUSTOMIZE: triwulanan], termasuk: nama akun, sistem/aplikasi, tingkat hak istimewa, pemilik yang ditugaskan, justifikasi bisnis, dan tanggal peninjauan terakhir.
Akses istimewa harus diberikan berdasarkan prinsip hak istimewa minimum, memberikan hanya izin minimum yang diperlukan untuk melaksanakan tugas yang ditetapkan.
Pemisahan tugas harus ditegakkan untuk mencegah satu individu memiliki akses istimewa yang bertentangan (misalnya, baik membuat maupun menyetujui, baik mengembangkan maupun menerapkan ke produksi).
Akses istimewa memerlukan justifikasi bisnis terdokumentasi dan persetujuan dari [CUSTOMIZE: CISO/Direktur TI/Manajer Tingkat Kedua].
3.2 Kontrol Akses Istimewa
Alat manajemen akses istimewa (PAM) harus diterapkan untuk menyimpan dalam brankas, merotasi, dan memantau seluruh kredensial istimewa.
Sesi istimewa harus direkam dan log disimpan setidaknya selama [CUSTOMIZE: 1 tahun/2 tahun] untuk tujuan forensik dan audit.
Akses istimewa tepat waktu (JIT) harus diimplementasikan bila secara teknis memungkinkan, dengan izin yang ditinggikan secara otomatis dicabut setelah [CUSTOMIZE: 4/8/24] jam atau penyelesaian tugas.
Login langsung dengan akun istimewa dilarang. Administrator harus melakukan autentikasi dengan akun standar mereka dan meningkatkan hak istimewa melalui mekanisme yang disetujui (sudo, PAM, dll.).
Akses istimewa dari jaringan atau perangkat yang tidak tepercaya dilarang tanpa VPN dan MFA.
3.3 Stasiun Kerja Administratif
Aktivitas administratif pada sistem kritis harus dilakukan dari stasiun kerja administratif yang didedikasikan dan dikeraskan (stasiun kerja akses istimewa) bila memungkinkan.
Stasiun kerja administratif tidak boleh digunakan untuk email, penjelajahan web, atau aktivitas pengguna standar lainnya.
Stasiun kerja administratif harus berada di segmen jaringan terpisah dan terbatas dengan pemantauan yang ditingkatkan.
3.4 Akses Darurat
Prosedur akses darurat break-glass harus didokumentasikan untuk sistem kritis, memungkinkan akses yang diotorisasi ketika mekanisme akses istimewa normal tidak tersedia.
Kredensial akses darurat harus disimpan secara aman (misalnya, amplop tersegel dalam brankas, brankas kata sandi terenkripsi) dengan otorisasi dua orang yang diperlukan untuk akses.
Seluruh penggunaan akses darurat harus dicatat, ditinjau dalam waktu [CUSTOMIZE: 24/48] jam oleh [CUSTOMIZE: CISO/Direktur TI], dan didokumentasikan dengan justifikasi.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen