1. Tujuan
Menetapkan persyaratan untuk mencegah eksfiltrasi, pengungkapan, atau penghancuran data sensitif [ORGANIZATION] yang tidak sah.
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh data Rahasia dan Terbatas yang diproses, disimpan, atau dikirimkan oleh [ORGANIZATION], di seluruh endpoint, jaringan, dan lingkungan cloud.
3. Kebijakan
3.1 Kontrol DLP
[ORGANIZATION] harus menerapkan kontrol pencegahan kehilangan data (DLP) untuk mendeteksi dan mencegah transfer data sensitif yang tidak sah melintasi batas jaringan, perangkat endpoint, dan layanan cloud.
Kebijakan DLP harus dikonfigurasi untuk memantau dan/atau memblokir: lampiran email yang berisi pola data sensitif, unggahan ke layanan penyimpanan cloud yang tidak diotorisasi, pencetakan data Terbatas, penyalinan data sensitif ke media yang dapat dilepas, dan tangkapan layar data Terbatas bila secara teknis memungkinkan.
Aturan DLP harus disesuaikan secara berkala untuk meminimalkan positif palsu sambil mempertahankan efektivitas deteksi, dengan peninjauan dilakukan setidaknya [CUSTOMIZE: triwulanan/bulanan].
3.2 Kontrol Akses untuk Data Sensitif
Akses ke data Rahasia dan Terbatas harus dibatasi untuk pengguna yang diotorisasi dengan kebutuhan bisnis terdokumentasi, mengikuti prinsip hak istimewa minimum.
Akses jarak jauh ke data Terbatas memerlukan autentikasi multi-faktor dan harus dibatasi pada perangkat yang dikelola [ORGANIZATION].
Akses data harus dicatat dan log akses harus ditinjau [CUSTOMIZE: mingguan/bulanan] untuk pola yang tidak normal.
3.3 Respons Insiden untuk Kehilangan Data
Seluruh peringatan DLP harus ditriase dalam waktu [CUSTOMIZE: 4/8/24] jam setelah deteksi.
Insiden kehilangan data yang terkonfirmasi harus segera dieskalasi kepada [CUSTOMIZE: CISO/Tim Respons Insiden] dan ditangani sesuai Kebijakan Respons Insiden.
Pemberitahuan pelanggaran data harus mematuhi seluruh hukum dan regulasi yang berlaku dalam jangka waktu yang diwajibkan, dikoordinasikan oleh [CUSTOMIZE: Hukum/Petugas Privasi].
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen