Dasar Keselamatan ICT Lembaga Getah Malaysia (LGM)

1 Dasar Keselamatan ICT Lembaga Getah Malaysia (LGM) Oktober 2010 Mukasurat | ii KANDUNGAN PENGENALAN .. 1 1 SKOP .. 1 PRINSIP-PRINSIP .. 1 PERKARA 01 PEMBANGUNAN DAN PENYELENGGARAAN Dasar .. 3 0101 Dasar Keselamatan ICT .. 3 010101 Pelaksanaan Dasar .. 3 010102 Penyebaran Dasar .. 3 010103 Penyelenggaraan Dasar .. 3 010104 Pengecualian Dasar .. 4 PERKARA 02 ORGANISASI Keselamatan .. 5 0201 Infrastruktur Organisasi Keselamatan .. 5 020101 Ketua Pengarah .. 5 020102 Ketua Pegawai Maklumat (CIO) .. 5 020103 Pegawai Keselamatan ICT (ICTSO) .. 6 020104 Pengurus ICT .. 7 020105 Pentadbir Sistem ICT .. 7 020106 Pentadbir Rangkaian .. 8 020107 Pengguna .. 8 020108 Jawatankuasa Keselamatan ICT LGM .. 9 0202 Pihak Ketiga .. 10 020201 Keperluan Keselamatan Kontrak dengan Pihak Ketiga .. 10 PERKARA 03 KAWALAN DAN PENGELASAN ASET ..11 0301 Akauntabiliti Aset .. 11 030101 Aset ICT .. 11 0302 Pengelasan dan Pengendalian Maklumat.

2 11 030201 Pengelasan Maklumat .. 11 030202 Pengendalian Maklumat .. 11 PERKARA 04 Keselamatan SUMBER MANUSIA ..13 0401 Keselamatan Sumber Manusia Dalam Tugas Harian .. 13 040101 Sebelum Perkhidmatan .. 13 040102 Dalam Perkhidmatan .. 13 040103 Bertukar atau Tamat Perkhidmatan .. 14 Mukasurat | iii PERKARA 05 Keselamatan FIZIKAL DAN PERSEKITARAN ..15 0501 Keselamatan Kawasan .. 15 050101 Kawalan Kawasan .. 15 050102 Kawalan Masuk Fizikal .. 16 050103 Kawasan Larangan .. 16 0502 Keselamatan Peralatan .. 17 050201 Peralatan ICT .. 17 050202 Media Storan .. 18 050203 Media Tandatangan Digital .. 19 050204 Media Perisian dan Aplikasi .. 19 050205 Penyelenggaraan Perkakasan .. 20 050206 Peralatan di Luar Premis .. 20 050207 Pelupusan Perkakasan .. 21 0503 Keselamatan Persekitaran .. 22 050301 Kawalan Persekitaran .. 22 050302 Bekalan Kuasa .. 23 050303 Kabel .. 23 PERKARA 06 PENGURUSAN OPERASI DAN KOMUNIKASI ..25 0601 Pengurusan Prosedur Operasi.

3 25 060101 Pengendalian Prosedur Operasi .. 25 060102 Kawalan Perubahan .. 25 060103 Prosedur Pengurusan Insiden .. 26 0602 Pengurusan Penyampaian Perkhidmatan Pihak Ketiga .. 27 060201 Perkhidmatan Penyampaian .. 27 0603 Perancangan dan Penerimaan Sistem .. 27 060201 Perancangan Kapasiti .. 27 060202 Penerimaan Sistem .. 28 0603 Perisian Berbahaya .. 28 060301 Perlindungan dari Perisian Berbahaya .. 28 0604 Housekeeping .. 29 060401 Backup .. 29 0605 Pengurusan Rangkaian .. 29 060501 Kawalan Infrastruktur Rangkaian .. 29 0606 Pengurusan Media .. 31 060601 Penghantaran dan Pemindahan .. 31 060602 Prosedur Pengendalian Media .. 31 060603 Keselamatan Sistem Dokumentasi .. 31 0607 Pengurusan Pertukaran Maklumat .. 32 060701 Pertukaran Maklumat .. 32 060702 Pengurusan Mel Elektronik (E-mel) .. 32 Mukasurat | iv PERKARA 07 KAWALAN CAPAIAN ..34 0701 Dasar Kawalan Capaian .. 34 070101 Keperluan Kawalan Capaian .. 34 0702 Pengurusan Capaian Pengguna.

4 34 070201 Akaun Pengguna .. 34 070202 Hak Capaian .. 35 070203 Pengurusan Kata Laluan .. 35 070204 Clear Desk dan Clear Screen .. 36 0703 Kawalan Capaian Sistem dan Aplikasi .. 37 070301 Sistem Maklumat dan Aplikasi .. 37 0704 Peralatan Komputer Mudah Alih dan Kerja Jarak Jauh .. 37 070401 Peralatan Komputer Mudah Alih .. 37 070401 Kerja Jarak Jauh .. 38 PERKARA 08 PEROLEHAN, PEMBANGUNAN DAN PENYELENGGARAAN SISTEM ..39 0801 Keselamatan Dalam Membangunkan Sistem dan Aplikasi .. 39 080101 Keperluan Keselamatan .. 39 080102 Pengesahan Data Input dan Output .. 40 0802 Kriptografi .. 40 080201 Enkripsi .. 40 080202 Tandatangan Digital .. 40 080203 Pengurusan Kunci .. 40 0803 Keselamatan Fail Sistem .. 41 080301 Kawalan Fail Sistem .. 41 0804 Keselamatan Dalam Pembangunan dan Proses Sokongan .. 42 080401 Kawalan Perubahan .. 42 080401 Pembangunan Sistem Secara Outsource .. 42 PERKARA 09 PENGURUSAN PENGENDALIAN INSIDEN Keselamatan ..43 0901 Mekanisme Pelaporan Insiden Keselamatan ICT.

5 43 090101 Mekanisme Pelaporan .. 43 0902 Pengurusan Maklumat Insiden Keselamatan 44 090201 Prosedur Pengurusan Maklumat Insiden Keselamatan ICT .. 44 PERKARA 10 PENGURUSAN KESINAMBUNGAN PERKHIDMATAN ..45 1001 Dasar Kesinambungan Perkhidmatan .. 45 100101 Pelan Kesinambungan Perkhidmatan .. 45 Mukasurat | v PERKARA 11 PEMATUHAN ..47 1101 Pematuhan dan Keperluan Perundangan .. 47 110101 Pematuhan Dasar .. 47 110102 Pematuhan dengan Dasar , Piawaian dan Keperluan Teknikal .. 47 110103 Pematuhan Keperluan Audit .. 48 110104 Pelanggaran Dasar .. 48 Mukasurat | 1 PENGENALAN Dasar Keselamatan ICT mengandungi peraturan-peraturan yang mesti dibaca dan dipatuhi dalam menggunakan aset teknologi maklumat dan komunikasi (ICT) LGM. Dasar ini juga menerangkan kepada semua pengguna di LGM mengenai tanggungjawab dan peranan mereka dalam melindungi aset ICT LGM. OBJEKTIF Dasar Keselamatan ICT LGM diwujudkan untuk menjamin kesinambungan urusan LGM dengan meminimumkan kesan insiden Keselamatan ICT.

6 SKOP Dasar ini meliputi semua sumber atau aset ICT yang digunakan seperti maklumat (contoh: fail, dokumen, data elektronik), perisian (contoh: aplikasi dan sistem perisian) dan fizikal (contoh: komputer, peralatan komunikasi dan media magnet). Dasar ini adalah terpakai oleh semua pengguna di LGM termasuk kakitangan, pembekal dan pakar runding yang mengurus, menyelenggara, memproses, mencapai, memuat turun, menyedia, memuat naik, berkongsi, menyimpan dan menggunakan aset ICT LGM. PRINSIP-PRINSIP Prinsip-prinsip yang menjadi asas kepada Dasar Keselamatan ICT LGM dan perlu dipatuhi adalah seperti berikut: a. Akses atas Dasar perlu mengetahui Akses terhadap penggunaan aset ICT hanya diberikan untuk tujuan spesifik dan dihadkan kepada pengguna tertentu atas Dasar perlu mengetahui sahaja. Ini bermakna akses hanya akan diberikan sekiranya peranan atau fungsi pengguna memerlukan maklumat tersebut.

7 Pertimbangan untuk akses adalah berdasarkan kategori maklumat seperti yang dinyatakan di dalam dokumen Arahan Keselamatan perenggan 53, muka surat 15; b. Hak akses minimum Hak akses pengguna hanya diberi pada tahap set yang paling minimum iaitu untuk membaca dan/atau melihat sahaja. Kelulusan adalah perlu untuk membolehkan pengguna mewujud, menyimpan, mengemas kini, mengubah atau membatalkan sesuatu maklumat. Hak akses adalah dikaji dari semasa ke semasa berdasarkan kepada peranan dan tanggungjawab pengguna/bidang tugas; Mukasurat | 2 c. Akauntabiliti Semua pengguna adalah bertanggungjawab ke atas semua tindakannya terhadap aset ICT LGM; d. Pengasingan Tugas mewujud, memadam, kemas kini, mengubah dan mengesahkan data perlu diasingkan bagi mengelakkan daripada capaian yang tidak dibenarkan serta melindungi aset ICT daripada kesilapan, kebocoran maklumat terperingkat atau di manipulasi.

8 Pengasingan juga merangkumi tindakan memisahkan antara kumpulan operasi dan rangkaian; e. Pengauditan Pengauditan adalah tindakan untuk mengenal pasti insiden berkaitan Keselamatan atau mengenal pasti keadaan yang mengancam Keselamatan . Ia membabitkan pemeliharaan semua rekod berkaitan tindakan Keselamatan . Dengan itu, aset ICT seperti komputer, pelayan, router, firewall dan rangkaian hendaklah ditentukan dapat menjana dan menyimpan log tindakan Keselamatan ; f. Pematuhan Dasar Keselamatan ICT LGM hendaklah dibaca, difahami dan dipatuhi bagi mengelakkan sebarang bentuk pelanggaran ke atasnya yang boleh membawa ancaman kepada Keselamatan ICT; g. Pemulihan Pemulihan sistem amat perlu untuk memastikan kebolehsediaan dan kebolehcapaian kepada sistem tersebut. Objektif utama adalah untuk meminimumkan sebarang gangguan atau kerugian akibat daripada ketidaksediaan.

9 Pemulihan boleh dilakukan melalui aktiviti penduaan dan mewujudkan pelan pemulihan bencana/kesinambungan perkhidmatan; dan h. Saling Bergantungan Setiap prinsip di atas adalah saling lengkap-melengkapi dan bergantung antara satu sama lain. Dengan itu, tindakan mempelbagaikan pendekatan dalam menyusun dan mencorakkan sebanyak mungkin mekanisme Keselamatan adalah perlu bagi menjamin Keselamatan yang maksimum. Mukasurat | 3 PERKARA 01 PEMBANGUNAN DAN PENYELENGGARAAN Dasar Kandungan Dasar Tanggungjawab 0101 Dasar Keselamatan ICT 010101 Pelaksanaan Dasar Pelaksanaan Dasar ini akan dijalankan oleh Ketua Pengarah LGM dibantu oleh Jawatankuasa Keselamatan ICT yang terdiri daripada Ketua Pegawai Maklumat (CIO), Pegawai Keselamatan ICT (ICTSO), dan semua Pengarah Bahagian . Ketua Pengarah 010102 Penyebaran Dasar Dasar ini perlu disebarkan kepada semua pengguna ICT LGM (termasuk kakitangan, pembekal, pakar runding dan lain-lain.)

10 ICTSO 010103 Penyelenggaraan Dasar Dasar Keselamatan ICT Kerajaan adalah tertakluk kepada semakan dan pindaan dari semasa ke semasa selaras dengan perubahan teknologi, aplikasi, prosedur, perundangan dan kepentingan sosial. Berikut adalah prosedur yang berhubung dengan penyelenggaraan Dasar Keselamatan ICT LGM: a. kenal pasti dan tentukan perubahan yang diperlukan; b. kemuka cadangan pindaan secara bertulis kepada ICTSO untuk pembentangan dan persetujuan Mesyuarat Jawatankuasa Teknikal LGM; c. perubahan yang telah dipersetujui oleh Jawatankuasa Teknikal LGM dimaklumkan kepada semua pengguna; dan d. Dasar ini hendaklah dikaji semula sekurang-kurangnya sekali setahun. ICTSO Mukasurat | 4 Kandungan Dasar Tanggungjawab 010104 Pengecualian Dasar Dasar Keselamatan ICT LGM adalah terpakai kepada semua pengguna ICT LGM dan tiada pengecalian diberikan. Semua Mukasurat | 5 PERKARA 02 ORGANISASI Keselamatan Kandungan Dasar Tanggungjawab 0201 Infrastruktur Organisasi Keselamatan Objektif: Menerangkan peranan dan tanggungjawab individu yang terlibat dengan lebih jelas dan teratur dalam mencapai objektif organisasi Keselamatan .