1. Tujuan
Mendefinisikan persyaratan penggunaan kontrol kriptografi untuk melindungi kerahasiaan dan integritas aset data [ORGANIZATION].
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh data yang diklasifikasikan sebagai Rahasia atau Terbatas, seluruh data yang dikirimkan melalui jaringan yang tidak tepercaya, dan seluruh perangkat penyimpanan portabel serta endpoint seluler yang digunakan oleh [ORGANIZATION].
3. Kebijakan
3.1 Standar Enkripsi
Seluruh enkripsi harus menggunakan algoritma standar industri dan panjang kunci yang memadai. Standar minimum berikut berlaku:
Enkripsi simetris: AES-256 untuk data saat diam dan saat transit.
Enkripsi asimetris: RSA-2048 atau ECDSA P-256 minimum untuk pertukaran kunci dan tanda tangan digital.
Hashing: SHA-256 atau yang lebih kuat untuk verifikasi integritas.
TLS 1.2 atau yang lebih tinggi untuk seluruh komunikasi jaringan terenkripsi. TLS 1.0 dan 1.1 dilarang.
Algoritma yang sudah usang atau diketahui lemah (DES, 3DES, RC4, MD5, SHA-1 untuk tanda tangan) dilarang untuk implementasi baru dan harus dihapus secara bertahap dari sistem yang ada dalam waktu [CUSTOMIZE: 6/12] bulan.
3.2 Enkripsi Saat Diam
Seluruh data Rahasia dan Terbatas yang disimpan pada server, basis data, dan sistem penyimpanan harus dienkripsi saat diam menggunakan AES-256 atau yang setara.
Enkripsi disk penuh harus diaktifkan pada seluruh laptop, perangkat portabel, dan media penyimpanan yang dapat dilepas yang digunakan untuk bisnis [ORGANIZATION].
Enkripsi tingkat basis data (TDE atau yang setara) harus diaktifkan untuk basis data yang berisi data Rahasia atau Terbatas.
Media cadangan yang berisi data Rahasia atau Terbatas harus dienkripsi.
3.3 Enkripsi Saat Transit
Seluruh data yang dikirimkan melalui jaringan yang tidak tepercaya (termasuk internet) harus dienkripsi menggunakan TLS 1.2 atau yang lebih tinggi.
Transmisi internal data Rahasia dan Terbatas harus dienkripsi, bahkan dalam jaringan internal [ORGANIZATION].
Email yang berisi data Rahasia atau Terbatas harus dienkripsi menggunakan S/MIME, PGP, atau gateway enkripsi email yang disetujui.
Transfer file yang berisi data sensitif harus menggunakan SFTP, SCP, atau HTTPS. FTP dilarang untuk data Rahasia atau Terbatas.
3.4 Manajemen Kunci
Kunci kriptografi harus dihasilkan, disimpan, didistribusikan, dan dihancurkan menggunakan prosedur terdokumentasi yang disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan].
Kunci privat dan kunci simetris harus disimpan dalam modul keamanan perangkat keras (HSM), brankas kunci yang aman, atau penyimpanan tahan gangguan yang setara.
Rotasi kunci harus dilakukan minimal [CUSTOMIZE: tahunan/dua kali setahun] atau segera setelah dugaan kompromi.
Akses kunci harus mengikuti prinsip hak istimewa minimum dengan pemisahan tugas (tidak ada satu individu pun yang memiliki akses ke data terenkripsi dan kunci dekripsi untuk tingkat klasifikasi tertinggi).
Proses pemulihan kunci harus didokumentasikan dan diuji [CUSTOMIZE: tahunan/dua kali setahun] untuk memastikan kelangsungan bisnis.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen