Kebijakan Keamanan Aplikasi
1. Tujuan
Menetapkan persyaratan untuk mengamankan aplikasi web, API, dan infrastruktur aplikasi [ORGANIZATION] terhadap serangan lapisan aplikasi.
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh aplikasi web, API, backend aplikasi seluler, dan infrastruktur aplikasi yang dioperasikan oleh atau atas nama [ORGANIZATION].
3. Kebijakan
3.1 Pengerasan Aplikasi
Seluruh aplikasi web harus diterapkan di belakang Web Application Firewall (WAF) yang dikonfigurasi untuk mendeteksi dan memblokir serangan web umum (OWASP Top 10).
Server aplikasi harus dikeraskan sesuai dengan pedoman standar vendor dan industri, dengan fitur yang tidak diperlukan, konten contoh, dan konfigurasi default dihapus.
Penanganan kesalahan tidak boleh mengekspos detail sistem internal, jejak tumpukan, atau informasi debugging kepada pengguna akhir.
Header keamanan HTTP harus diimplementasikan: Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Strict-Transport-Security, Referrer-Policy, dan Permissions-Policy.
3.2 Autentikasi dan Manajemen Sesi
Aplikasi harus menerapkan mekanisme autentikasi yang sesuai dengan sensitivitas data: data standar (nama pengguna + kata sandi yang memenuhi persyaratan kompleksitas), data Rahasia (MFA diperlukan), dan data Terbatas (MFA dengan token perangkat keras atau FIDO2).
Token sesi harus acak secara kriptografis, dikirimkan hanya melalui koneksi terenkripsi, dan dibatalkan saat logout.
Batas waktu sesi harus ditegakkan: sesi tidak aktif berakhir setelah [CUSTOMIZE: 15/30/60] menit, batas waktu sesi absolut setelah [CUSTOMIZE: 8/12] jam.
Penguncian akun harus aktif setelah [CUSTOMIZE: 5/10] upaya autentikasi gagal dalam [CUSTOMIZE: 15/30] menit.
3.3 Keamanan API
Seluruh API harus memerlukan autentikasi dan otorisasi untuk setiap permintaan.
Pembatasan laju API harus diterapkan untuk mencegah penyalahgunaan, dengan batas yang ditentukan berdasarkan pola penggunaan yang diharapkan.
Input API harus divalidasi, dan output harus dikodekan untuk mencegah injeksi dan paparan data.
Dokumentasi API tidak boleh diekspos secara publik untuk API internal.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen