1. Tujuan
Menetapkan persyaratan untuk memelihara inventaris komprehensif atas seluruh aset perusahaan dan memastikan hanya aset yang diotorisasi yang terhubung ke infrastruktur jaringan [ORGANIZATION].
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh aset perangkat keras yang dimiliki, dikelola, atau digunakan oleh [ORGANIZATION], termasuk perangkat pengguna akhir, server, infrastruktur jaringan, perangkat IoT, perangkat seluler, dan mesin virtual yang dihosting di cloud, di seluruh lokasi dan lingkungan.
3. Kebijakan
3.1 Persyaratan Inventaris Aset
[ORGANIZATION] harus memelihara inventaris terperinci atas seluruh aset perusahaan yang berpotensi menyimpan atau memproses data, diperbarui tidak kurang dari [CUSTOMIZE: dua kali setahun/triwulanan/bulanan].
Inventaris aset harus mencatat minimal: tag aset atau pengidentifikasi unik, alamat perangkat keras (MAC), alamat jaringan (jika statis), nama host, pemilik aset, departemen yang ditugaskan, jenis aset, sistem operasi dan versi, lokasi fisik atau virtual, dan status otorisasi jaringan.
Seluruh aset harus diklasifikasikan sebagai Diotorisasi, Tidak Diotorisasi, atau Dalam Peninjauan dalam waktu [CUSTOMIZE: 48 jam/1 minggu] setelah penemuan.
Manajer Aset yang ditunjuk ([CUSTOMIZE: peran/tim]) bertanggung jawab untuk menjaga keakuratan dan kelengkapan inventaris aset.
3.2 Penemuan Aset
[ORGANIZATION] harus menggunakan alat penemuan aktif otomatis untuk memindai jaringan guna mendeteksi aset yang terhubung tidak kurang dari [CUSTOMIZE: harian/mingguan].
Log server DHCP harus dikumpulkan dan digunakan untuk mengidentifikasi dan memperbarui inventaris aset perusahaan tidak kurang dari setiap minggu.
Untuk lingkungan IG3: Alat penemuan aset pasif harus diterapkan untuk mengidentifikasi aset yang terhubung ke jaringan secara terus-menerus, dengan hasil yang ditinjau setidaknya setiap minggu.
Alat penemuan aset harus mencakup seluruh segmen jaringan, termasuk DMZ, internal, tamu, dan jaringan yang terhubung ke cloud.
3.3 Respons Aset Tidak Diotorisasi
Proses terdokumentasi harus ada untuk menangani aset tidak diotorisasi yang ditemukan di jaringan, dengan peninjauan dilakukan tidak kurang dari setiap minggu.
Aset tidak diotorisasi harus ditangani melalui salah satu tindakan berikut dalam waktu [CUSTOMIZE: 24/48/72] jam setelah identifikasi: penghapusan dari jaringan, karantina ke segmen jaringan yang terisolasi, pemblokiran konektivitas jarak jauh, atau otorisasi dengan persetujuan terdokumentasi.
Seluruh insiden aset tidak diotorisasi harus dicatat dan dilaporkan kepada [CUSTOMIZE: Keamanan TI/CISO] untuk pelacakan dan analisis tren.
3.4 Manajemen Siklus Hidup Aset
Seluruh aset baru harus didaftarkan dalam inventaris sebelum atau dalam waktu [CUSTOMIZE: 24/48] jam setelah penerapan di jaringan.
Aset yang akan dinonaktifkan harus mengikuti prosedur sanitasi data dan pembuangan [ORGANIZATION] sebelum dihapus dari inventaris.
Peninjauan inventaris aset harus dilakukan [CUSTOMIZE: triwulanan/dua kali setahun] untuk memverifikasi keakuratan dan menghapus entri yang sudah tidak berlaku.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen