1. Tujuan
Menetapkan persyaratan untuk mengamankan sistem email [ORGANIZATION] terhadap phishing, malware, kehilangan data, dan ancaman yang ditularkan melalui email lainnya.
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh sistem email, gateway, dan layanan yang digunakan oleh [ORGANIZATION], termasuk email yang dihosting di cloud (Microsoft 365, Google Workspace) dan infrastruktur email di tempat.
3. Kebijakan
3.1 Autentikasi Email
[ORGANIZATION] harus menerapkan standar autentikasi email pada seluruh domain email: SPF (Sender Policy Framework) dengan kebijakan -all (gagal keras), DKIM (DomainKeys Identified Mail) untuk seluruh pesan keluar, dan DMARC (Domain-based Message Authentication, Reporting & Conformance) dengan kebijakan karantina atau tolak.
Laporan agregat dan forensik DMARC harus dipantau setidaknya [CUSTOMIZE: mingguan/bulanan] untuk mengidentifikasi penggunaan domain email [ORGANIZATION] yang tidak sah.
Layanan pihak ketiga yang diotorisasi untuk mengirim email atas nama [ORGANIZATION] harus disertakan dalam catatan SPF dan dikonfigurasi untuk penandatanganan DKIM.
3.2 Penyaringan dan Perlindungan Email
Seluruh email masuk harus disaring melalui gateway keamanan email [ORGANIZATION], yang harus menyediakan: penyaringan anti-spam, pemindaian malware (termasuk detonasi sandbox untuk lampiran), penulisan ulang URL dan perlindungan saat klik, deteksi peniruan identitas, dan penyaringan lampiran.
Jenis file yang dapat dieksekusi (.exe, .bat, .cmd, .ps1, .vbs, .js, .msi, dan sejenisnya) harus diblokir sebagai lampiran email.
Email yang berisi pola data sensitif (SSN, nomor kartu kredit, dll.) harus dipindai oleh kontrol DLP sebelum pengiriman atau transmisi.
3.3 Persyaratan Penggunaan Email
Pengguna tidak boleh meneruskan otomatis email [ORGANIZATION] ke alamat email eksternal tanpa persetujuan dari [CUSTOMIZE: manajemen/Keamanan TI].
Pengguna harus melaporkan email phishing yang dicurigai kepada [CUSTOMIZE: tim keamanan/tombol pelaporan phishing] segera setelah teridentifikasi.
Enkripsi email harus digunakan saat mengirim data Rahasia atau Terbatas ke pihak eksternal.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen