Kebijakan Manajemen Konfigurasi yang Aman
1. Tujuan
Menetapkan persyaratan untuk mengkonfigurasi aset perusahaan, perangkat lunak, dan infrastruktur jaringan secara aman guna mengurangi permukaan serangan dan mencegah akses yang tidak sah.
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh aset perusahaan, sistem operasi, aplikasi, perangkat jaringan, dan layanan yang dikelola oleh [ORGANIZATION], di semua lingkungan (produksi, staging, pengembangan, dan pengujian).
3. Kebijakan
3.1 Konfigurasi Dasar yang Aman
[ORGANIZATION] harus menetapkan dan memelihara konfigurasi dasar aman yang terdokumentasi untuk seluruh jenis aset perusahaan, berdasarkan standar pengerasan yang diakui industri (CIS Benchmarks, DISA STIGs, atau panduan keamanan vendor).
Konfigurasi dasar aman harus mencakup: penghapusan atau penonaktifan layanan, port, dan protokol yang tidak diperlukan; konfigurasi pengaturan yang relevan dengan keamanan; penghapusan akun dan kata sandi bawaan; serta pengaktifan pencatatan dan audit.
Konfigurasi dasar harus ditinjau dan diperbarui setidaknya [CUSTOMIZE: triwulanan/dua kali setahun] atau ketika kerentanan baru yang signifikan diungkapkan.
Seluruh aset baru harus dikonfigurasi sesuai konfigurasi dasar yang disetujui sebelum diterapkan ke jaringan produksi.
3.2 Penegakan Konfigurasi
Alat manajemen konfigurasi otomatis harus digunakan untuk menegakkan konfigurasi dasar aman di seluruh aset perusahaan bila secara teknis memungkinkan.
Pemindaian kepatuhan konfigurasi harus dilakukan setidaknya [CUSTOMIZE: bulanan/mingguan] untuk mengidentifikasi penyimpangan dari konfigurasi dasar yang disetujui.
Penyimpangan konfigurasi harus diperbaiki dalam waktu [CUSTOMIZE: 14/30] hari setelah deteksi, atau pengecualian terdokumentasi harus disetujui oleh [CUSTOMIZE: CISO/Keamanan TI].
Hak istimewa administratif untuk melakukan perubahan konfigurasi harus dibatasi untuk personel yang diotorisasi dan dicatat.
3.3 Konfigurasi Perangkat Jaringan
Perangkat infrastruktur jaringan (router, switch, firewall, titik akses nirkabel) harus dikonfigurasi sesuai dengan konfigurasi dasar aman yang terdokumentasi.
Versi firmware atau sistem operasi stabil terbaru harus dipelihara pada seluruh perangkat jaringan.
Konfigurasi perangkat jaringan harus disimpan dalam repositori yang aman dan terkontrol versi dengan akses yang dibatasi untuk administrator jaringan yang diotorisasi.
Cadangan konfigurasi harus dilakukan sebelum dan setelah perubahan apa pun, dan disimpan setidaknya selama [CUSTOMIZE: 90 hari/1 tahun].
3.4 Konfigurasi Browser dan Email
Browser web harus dikonfigurasi untuk memblokir atau membatasi: plugin dan ekstensi yang tidak diperlukan, eksekusi otomatis skrip dari sumber yang tidak tepercaya, dan akses ke domain berbahaya yang diketahui.
Hanya browser web yang disetujui yang menerima pembaruan keamanan rutin yang diotorisasi untuk digunakan pada aset perusahaan.
Konfigurasi klien email harus mencakup: pemblokiran lampiran yang dapat dieksekusi, pengaktifan autentikasi email (SPF, DKIM, DMARC), dan integrasi dengan penyaringan gateway keamanan email.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen