1. Tujuan
Menetapkan persyaratan untuk mencadangkan dan memulihkan data dan sistem kritis [ORGANIZATION] guna memastikan kelangsungan bisnis dan ketahanan terhadap kehilangan data, kerusakan, atau serangan ransomware.
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh data perusahaan, aplikasi, konfigurasi, dan sistem yang mendukung operasi bisnis [ORGANIZATION].
3. Kebijakan
3.1 Persyaratan Pencadangan
[ORGANIZATION] harus memelihara pencadangan otomatis atas seluruh data perusahaan yang tercakup, dengan frekuensi pencadangan berdasarkan kekritisan data:
Sistem dan data kritis: pencadangan [CUSTOMIZE: harian/setiap 4 jam] dengan Recovery Point Objective (RPO) [CUSTOMIZE: 4/8/24] jam.
Sistem bisnis standar: pencadangan [CUSTOMIZE: harian] dengan RPO [CUSTOMIZE: 24 jam].
Konfigurasi sistem dan infrastruktur: [CUSTOMIZE: mingguan dan saat terjadi perubahan] dengan alat manajemen konfigurasi.
Pencadangan harus mencakup: data aplikasi, basis data, konfigurasi sistem, active directory/penyimpanan identitas, dan konfigurasi infrastruktur kritis (aturan firewall, konfigurasi perangkat jaringan).
3.2 Penyimpanan dan Perlindungan Cadangan
Data cadangan harus dienkripsi saat diam menggunakan AES-256 atau enkripsi yang setara.
Setidaknya satu salinan cadangan harus disimpan di lokasi di luar kantor atau berbasis cloud yang terpisah secara geografis dari situs utama, dengan jarak minimum [CUSTOMIZE: 100/250] mil.
Lokasi penyimpanan cadangan (di tempat dan di luar kantor) harus memiliki kontrol akses fisik dan logis yang sama atau setara dengan lingkungan produksi.
Sistem cadangan harus diisolasi dari jaringan produksi untuk melindungi dari penyebaran ransomware. Setidaknya satu salinan cadangan harus bersifat air-gapped atau tidak dapat diubah.
3.3 Pengujian Cadangan dan Pemulihan
Pengujian pemulihan cadangan harus dilakukan setidaknya [CUSTOMIZE: triwulanan/tahunan] untuk setiap sistem kritis guna memverifikasi: integritas data cadangan, prosedur pemulihan, pencapaian Recovery Time Objective (RTO) (target: [CUSTOMIZE: 4/8/24] jam untuk sistem kritis), dan pencapaian Recovery Point Objective (RPO).
Hasil pengujian pemulihan harus didokumentasikan dan dilaporkan kepada [CUSTOMIZE: Manajemen TI/CISO].
Latihan pemulihan bencana penuh harus dilakukan setidaknya [CUSTOMIZE: tahunan] yang mensimulasikan kegagalan situs secara menyeluruh.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen