Kebijakan Manajemen Aset Perangkat Lunak
1. Tujuan
Menetapkan persyaratan untuk memelihara inventaris komprehensif atas seluruh aset perangkat lunak dan memastikan hanya perangkat lunak yang diotorisasi dan didukung yang terinstal pada aset perusahaan [ORGANIZATION].
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh perangkat lunak yang terinstal pada atau digunakan oleh aset yang dikelola [ORGANIZATION], termasuk sistem operasi, aplikasi, ekstensi browser, layanan cloud, aplikasi SaaS, dan skrip.
3. Kebijakan
3.1 Persyaratan Inventaris Perangkat Lunak
[ORGANIZATION] harus memelihara inventaris terperinci atas seluruh perangkat lunak berlisensi dan diotorisasi, diperbarui tidak kurang dari [CUSTOMIZE: dua kali setahun/triwulanan].
Inventaris perangkat lunak harus mencatat minimal: judul perangkat lunak, penerbit, versi, tanggal instalasi, tujuan bisnis, jenis dan jumlah lisensi, mekanisme penerapan, dan pemilik yang ditunjuk.
Alat inventaris perangkat lunak otomatis harus diterapkan untuk menemukan dan mendokumentasikan perangkat lunak yang terinstal di seluruh aset perusahaan bila secara teknis memungkinkan.
Inventaris perangkat lunak harus mencakup aplikasi yang terinstal secara lokal maupun layanan cloud/SaaS yang diotorisasi.
3.2 Otorisasi Perangkat Lunak
Hanya perangkat lunak yang telah ditinjau dan diotorisasi oleh [CUSTOMIZE: Departemen TI/Dewan Penasihat Perubahan] yang boleh diinstal pada aset yang dikelola [ORGANIZATION].
[ORGANIZATION] harus memelihara daftar izin perangkat lunak yang diotorisasi. Perangkat lunak yang tidak ada dalam daftar izin dianggap tidak diotorisasi kecuali ada pengecualian terdokumentasi.
Teknologi daftar izin aplikasi harus diterapkan pada seluruh aset [CUSTOMIZE: kritis/berisiko tinggi] untuk mencegah eksekusi perangkat lunak yang tidak diotorisasi.
Untuk lingkungan IG2/IG3: Daftar izin aplikasi otomatis harus dikonfigurasi untuk memblokir pustaka perangkat lunak, skrip, dan penginstal yang tidak diotorisasi selain file yang dapat dieksekusi.
3.3 Dukungan dan Kekinian Perangkat Lunak
Hanya perangkat lunak yang saat ini didukung (menerima pembaruan keamanan dari vendor) yang diotorisasi untuk digunakan pada aset perusahaan.
Perangkat lunak yang tidak didukung tetapi diperlukan untuk operasi bisnis memerlukan pengecualian terdokumentasi yang disetujui oleh [CUSTOMIZE: CISO/Direktur TI] yang mencakup: justifikasi bisnis, kontrol kompensasi, penerimaan risiko, dan tanggal peninjauan tidak melebihi [CUSTOMIZE: 6 bulan/1 tahun].
Status dukungan perangkat lunak harus ditinjau setidaknya setiap bulan untuk mengidentifikasi perangkat lunak yang sudah akhir masa pakai atau akhir dukungan.
Rencana migrasi harus dikembangkan setidaknya [CUSTOMIZE: 6/12] bulan sebelum perangkat lunak kritis mencapai akhir dukungan.
3.4 Respons Perangkat Lunak Tidak Diotorisasi
Perangkat lunak tidak diotorisasi yang ditemukan pada aset perusahaan harus dihapus atau mendapatkan pengecualian terdokumentasi dalam waktu [CUSTOMIZE: 5/10/30] hari kerja setelah penemuan.
Instalasi perangkat lunak tidak diotorisasi berulang oleh pengguna yang sama harus dieskalasi kepada [CUSTOMIZE: manajemen/SDM] untuk peninjauan disipliner.
Peninjauan bulanan harus dilakukan untuk mengidentifikasi perangkat lunak tidak diotorisasi pada aset perusahaan.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen