1. Tujuan
Menetapkan persyaratan untuk komunikasi internal dan eksternal selama dan setelah insiden keamanan siber guna memastikan penyampaian pesan yang akurat, tepat waktu, dan terkoordinasi.
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh komunikasi yang terkait dengan insiden keamanan siber di [ORGANIZATION], termasuk pemberitahuan internal, pengungkapan eksternal, pemberitahuan regulasi, dan komunikasi media.
3. Kebijakan
3.1 Komunikasi Internal
Komunikasi insiden internal harus dikoordinasikan oleh Komandan Insiden dan Pemimpin Komunikasi sebagaimana didefinisikan dalam Kebijakan Respons Insiden.
Pemberitahuan pemangku kepentingan internal harus mengikuti jalur eskalasi berikut: insiden P1 (CEO, tim eksekutif, dewan sebagaimana sesuai, semuanya dalam [CUSTOMIZE: 1 jam] setelah konfirmasi), insiden P2 (CISO, CIO, kepala departemen yang terpengaruh dalam [CUSTOMIZE: 4 jam]), insiden P3/P4 (manajemen keamanan dalam alur kerja standar).
Seluruh komunikasi internal harus menggunakan templat yang telah disetujui sebelumnya bila tersedia dan harus berdasarkan fakta tanpa spekulasi.
Komunikasi insiden harus menggunakan saluran aman (email terenkripsi, pesan aman) dan tidak boleh menyertakan indikator kompromi teknis yang dapat membantu penyerang.
3.2 Komunikasi Eksternal
Seluruh komunikasi eksternal mengenai insiden keamanan harus disetujui oleh [CUSTOMIZE: Hukum/CISO/CEO] sebelum dirilis.
Hanya juru bicara yang ditunjuk yang boleh berkomunikasi dengan media mengenai insiden keamanan. Seluruh pertanyaan media harus diarahkan kepada [CUSTOMIZE: tim Komunikasi/Hubungan Masyarakat].
Pemberitahuan pelanggan harus jelas, dapat ditindaklanjuti, dan mencakup: deskripsi insiden, data atau layanan yang terpengaruh, langkah-langkah yang diambil [ORGANIZATION], langkah-langkah yang harus diambil pelanggan, dan informasi kontak untuk pertanyaan.
Pemberitahuan kepada penegak hukum harus dikoordinasikan oleh [CUSTOMIZE: Hukum/CISO] ketika insiden melibatkan aktivitas kriminal.
3.3 Pemberitahuan Regulasi
[ORGANIZATION] harus memelihara daftar seluruh persyaratan pemberitahuan pelanggaran yang berlaku berdasarkan yurisdiksi dan regulasi.
Pemberitahuan regulasi harus diajukan dalam jangka waktu yang diwajibkan dan harus mencakup seluruh informasi yang diperlukan oleh regulasi yang berlaku.
Salinan seluruh pemberitahuan regulasi harus disimpan oleh [CUSTOMIZE: Departemen Hukum] selama setidaknya [CUSTOMIZE: 7 tahun].
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen