MINIT MESYUARAT PENGURUSAN

1 MINIT MKSP ISMS KALI KETIGA [Bil 1/2014] | 1 MINIT MESYUARAT KAJIAN SEMULA PENGURUSAN (MKSP) SISTEM PENGURUSAN KESELAMATAN maklumat (ISMS) UNIVERSITI PUTRA MALAYSIA (UPM) KALI KETIGA (BIL. 1/2014) Tarikh : 1 Disember 2014 (Isnin) Masa : petang Tempat : Dewan Senat, Bangunan Pentadbiran Kehadiran : Lampiran A PENDAHULUAN Kata Aluan Pengerusi Pengerusi a) mengalu-alukan kehadiran ahli MESYUARAT ke MESYUARAT Kajian Semula PENGURUSAN (MKSP) ISO/IEC 27001:2013 Universiti Putra Malaysia Kali Ketiga. b) memaklumkan audit pemantauan oleh SIRIM akan diadakan pada 29 dan 30 Januari 2015. MINIT Pengesahan MINIT MESYUARAT MINIT MKSP ISMS Kali Kedua [Bil 1/2013] disahkan tanpa sebarang pindaan. MINIT Tindakan Susulan MESYUARAT Lepas MESYUARAT dimaklumkan berkenaan tindakan susulan yang telah dilaksanakan daripada MESYUARAT yang lepas ( MINIT MKSP ISMS Kali Kedua [Bil. 1/2013]) sebagaimana berikut: Daripada MINIT Teknik, Produk atau Prosedur yang Boleh Digunakan Organisasi bagi Penambahbaikan Prestasi dan Efektif Sistem PENGURUSAN Keselamatan maklumat MESYUARAT mengambil maklum yang berikut: a) PKP UPM telah diluluskan oleh MESYUARAT Jawatankuasa PENGURUSAN Universiti Ke-516 pada 28 Mei 2014.

2 Jawatankuasa Pemandu PKP UPM telah ditubuh dan dipengerusikan oleh YBhg. Dato Wan Azman Wan Omar (Pendaftar). MESYUARAT Pertama Jawatankuasa Pemandu PKP telah diadakan pada 15 Ogos bagaimana PKP UPM masih belum disimulasikan secara intergrasikan melibatkan ERT, CCT dan DRT. MINIT MKSP ISMS KALI KETIGA [Bil 1/2014] | 2 b) Pasukan Tindakan Kecemasan atau Emergency Response Team (ERT) telah diwujud/dilantik oleh Pejabat Keselamatan dan Kesihatan Pekerjaan (PKKP) berdasarkan Pelan PENGURUSAN Bencana /Disaster Management Plan (DMP UPM) di setiap PTJ. Program latihan dikendalikan oleh PKKP dari semasa ke semasa. (Makluman: Semua) Daripada MINIT Keputusan Keberkesanan Pengukuran MESYUARAT mengambil maklum antara langkah yang telah diambil bagi memastikan pelaksanaan salinan backup redundance untuk pangkalan data sebagaimana berikut: (1) Pembangunan infrastruktur server dan storan Pemulihan Bencana (DR) untuk aplikasi utama Universiti.

3 (2) Pembangunan storan khas untuk mengarkib semua pangkalan data Universiti (secara harian). (3) Kesemua infrastruktur berkenaan diletakkan di Pusat Pemulihan Bencara (DRC). (Makluman: Semua) Daripada MINIT Peluang Penambahbaikan MESYUARAT mengambil maklum yang berikut: a) Pihak iDEC telah membuat permohonan kepada PPPA untuk menduduki bangunan Institut Kajian Dasar Pertanian dan Makanan (IKDPM) yang bakal dikosongkan. Pihak PPPA telah mencadangkan bangunan tersebut untuk diduduki oleh iDEC selepas pihak IKDPM berpindah ke bangunan lama PBS (dahulunya GSM). Walau bagaimanapun, pengambilalihan lokasi yang terbabit masih belum berlaku kerana pihak PBS masih belum berpindah masuk ke bangunan baharu yang telah dibina. b) Fasa pertama pembangunan UPM-ID telah selesai pada penghujung tahun 2013. Pada tahun 2014 proses pelaksanaan bermula dengan staf UPM mendaftar UPM-ID yang melibatkan pertukaran kata laluan mengikut polisi, pengesahan emel kedua dan mengesetkan soalan keselamatan.

4 Penggunaan UPM-ID akan dikuatkuasakan sepenuhnya pada Januari 2015 melibatkan sistem emel Putra, Putra (Lotus Notes), eISO, SPLN dan eLPPT. Fasa kedua melibatkan pelaksanaan Single Sign On pada tahun 2016. (Makluman: Semua) MINIT MKSP ISMS KALI KETIGA [Bil 1/2014] | 3 Daripada MINIT Maklum Balas Pihak yang Berkepentingan MESYUARAT mengambil maklum bahawa a) kaji selidik kepuasan pelanggan iDEC bagi tahun 2014 dijalankan dalam empat (4) fasa. Kaji selidik kepuasan pelanggan untuk suku tahun pertama (Q1), kedua (Q2) dan ketiga (Q3) telah dilaksanakan sementara bagi suku tahun keempat (Q4) akan dijalankan pada bulan Januari 2015. Berikut adalah jumlah responden dan kaedah kaji selidik pada Q1 hingga Q3: Q1: 454 orang (Kaedah: online dan edaran salinan keras). Q2: 33 orang (Kaedah: online sahaja). Q3: 333 orang (Kaedah: online dan edaran salinan keras); dan b) kaji selidik kepuasan pelanggan bagi tempoh Q1 Q3 tahun 2014 menunjukkan pencapaian kepuasan pada skala 4 dan ke atas (daripada skala likert 5).

5 (Makluman: Semua) Daripada MINIT Teknik, Produk atau Prosedur yang Boleh Digunakan Organisasi bagi Penambahbaikan Prestasi dan Efektif Sistem PENGURUSAN Keselamatan maklumat MESYUARAT mengambil maklum bahawa fasa pertama penyatuan PENGURUSAN ISMS dengan SPK dan EMS akan bermula semasa Bengkel Integrasi Dokumen ISO yang dijadualkan pada 17 dan 18 Disember 2014. (Makluman: Semua) Daripada MINIT Kelemahan atau Ancaman yang Tidak Diambil Kira pada Penilaian Risiko yang Lepas MESYUARAT mengambil maklum yang berikut: a) Infrastruktur server aplikasi utama yang telah melebihi had penggunaan telah dinaiktaraf melibatkan aplikasi berikut: (1) Aplikasi Sumber Manusia. (2) Aplikasi Kewangan (server dan storan). (3) Aplikasi SMP (storan). MINIT MKSP ISMS KALI KETIGA [Bil 1/2014] | 4 b) Pasukan Risk Assessment telah melaksanakan semakan penilaian risiko seperti berikut: (1) Semakan 0: Februari 2012 (Penilaian 1).

6 (2) Semakan 1: Mei 2013 ( kemas kini step 7). (3) Semakan 2: Oktober 2013 ( kemas kini aset). (4) Semakan 3: Mei 2014 (Perubahan Standard). (Makluman: Semua) Daripada MINIT Keputusan Keberkesanan Pengukuran MESYUARAT mengambil maklum yang berikut: (a) Perbezaan pengukuran tahun 2013 dan 2014 dibincangkan pada MINIT (Makluman: Semua) (b) Pencapaian semasa akan diukur melalui pencapaian Objektif Keselamatan maklumat baharu dalam pelaksanaan ISMS di bawah piawaian ISO/IEC 27001:2013 sebagaimana berikut: (1) Memastikan penilaian risiko dan pelan pemulihan risiko dilaksanakan apabila berlaku perubahan kepada Dasar ISMS atau inventori yang termaktub dalam skop. (2) Menjalankan ujian kesinambungan perkhidmatan ICT sekurang-kurangnya 1 kali setahun. (3) Memastikan 80% staf telah diberi kesedaran mengenai ISMS dalam tempoh lima (5) tahun. (4) Memastikan insiden keselamatan ICT tidak melebihi 10 kali pada setiap tahun.

7 (5) Memastikan gangguan kepada ketersediaan rangkaian (Internet dan Intranet) tidak melebihi 10% setiap tahun. (6) Memastikan gangguan bekalan kuasa di Pusat Data dipulihkan dalam tempoh 24 jam. (7) Memastikan 100% data dipulihkan dalam tempoh 48 jam selepas insiden. (Makluman: Semua) Daripada MINIT Peluang Penambahbaikan MESYUARAT mengambil maklum yang berikut: a) Penyatuan PENGURUSAN ISMS dengan PENGURUSAN SPK akan berkuatkuasa pada tahun 2015 di bawah Bahagian PENGURUSAN Kualiti, Pejabat Pendaftar, UPM. MINIT MKSP ISMS KALI KETIGA [Bil 1/2014] | 5 b) Penempatan secara hibrid telah dibuat di lima (5) PTJ yang mempunyai sistem utama Universiti bagi memastikan kelancaran urusan melibatkan sistem. maklumat penempatan hibrid adalah sebagaimana berikut: PTJ Sistem Nama Pegawai Bahagian Akademik SMP Pn. Nor Ruhil Amal Hashim Sekolah Pengajian Siswazah iGIMS En.

8 Azman Shah Mohd Shahar Pejabat Pendaftar Sistem maklumat Sumber Manusia Pn. Sofiyatul Salmi Ismail Pejabat Bursar Sistem Kewangan Pn. Azlina Shafie Pusat Kesihatan Universiti eKLINIK En. Hafiz Abd Jalil (Makluman: Semua) Daripada MINIT Hal-hal Lain MESYUARAT mengambil maklum bahawa Kaedah-Kaedah UPM (Teknologi maklumat dan Komunikasi) telah mendapat kelulusan Lembaga PENGURUSAN Universiti dan telah digunapakai berkuatkuasa 1 Januari 2014. Dokumen ini serta Garis Panduan Keselamatan Teknologi maklumat dan Komunikasi (GPKTMK) telah digunapakai sebagai rujukan dalam pelaksanaan ISMS UPM. (Makluman: Semua) MINIT Penemuan Audit Audit Pemantauan oleh SIRIM MESYUARAT mengambil maklum pembentangan penemuan Audit Pemantauan Sistem PENGURUSAN Keselamatan maklumat (ISO/IEC 27001:2005) oleh SIRIM yang dilaksanakan pada 24 dan 5 September 2013 sebagaimana berikut: a) Seramai dua (2) orang Juruaudit telah terlibat bagi mengaudit skop Operasi Pusat Data meliputi Aplikasi Laman Sesawang UPM, Sistem PENGURUSAN Kewangan, PENGURUSAN Sumber Manusia dan Sistem maklumat Pelajar.

9 B) Hasil audit terdapat satu (1) ketakakuran telah ditemui dan lima (5) peluang penambahbaikan telah dicadangkan. c) Bukti penutupan ketakakuran telah dikemukakan kepada SIRIM pada 6 Disember 2013 dan pihak SIRIM telah mengesahkan penutupan pada 16 Disember 2013. Cadangan penambahbaikan telah diambil tindakan dan akan disemak oleh MINIT MKSP ISMS KALI KETIGA [Bil 1/2014] | 6 pihak SIRIM semasa Audit Pemantauan yang akan dijalankan pada Januari 2015. (Makluman: Semua) Audit Dalaman MESYUARAT mengambil maklum pembentangan penemuan Audit Dalaman UPM yang dilaksanakan pada 11 dan 12 November 2014 sebagaimana berikut: a) Audit Dalaman ini merupakan yang pertama diadakan setelah UPM beralih daripada Sistem PENGURUSAN Keselamatan maklumat MS ISO/IEC 27001:2007 (ISO/IEC 27001:2005) kepada ISO/IEC 27001:2013. b) Seramai 16 orang Juruaudit telah terlibat bagi mengaudit skop Pusat Data merangkumi perkakasan (server dan storan), Pelajar Prasiswazah (SMP), Sistem maklumat Pelajar Siswazah (iGIMS), Sistem Sumber Manusia (HRM), Sistem Kewangan (KEW) dan Laman Web Utama Universiti (WEB).

10 C) Hasil audit terdapat 13 ketakakuran telah ditemui dan 14 peluang penambahbaikan telah dicadangkan. d) Kesemua rekod ketakakuran telah diambil tindakan dengan 11 daripadanya telah ditutup dan dua (2) belum ditutup kerana memerlukan masa yang lebih lama untuk menentukan keberkesanan tindakan penutupan yang diambil. Tindakan ke atas semua cadangan penambahbaikan sedang diambil tindakan namun ada di antaranya memerlukan peruntukan kewangan untuk dilaksanakan. (Tindakan: TWP ISMS) Kesimpulan Selepas menerima dan mengkaji semula laporan audit dalaman, MESYUARAT memutuskan bahawa i. secara keseluruhannya UPM telah melaksanakan ISMS dengan baik; dan ii. peluang penambahbaikan yang dicadangkan perlu diberi perhatian serius bagi menambahbaik lagi pelaksanaan ISMS ISO/IEC 27001:2013. MINIT Maklum Balas Pemegang Taruh MINIT MKSP ISMS KALI KETIGA [Bil 1/2014] | 7 MESYUARAT mengambil maklum Laporan Kaji Selidik Persepsi Pemegang Taruh terhadap Pelaksanaan ISMS di UPM yang dilaksanakan pada 19-21 November 2014 sebagaimana berikut: a) Kumpulan sasaran adalah pihak Pemilik Proses Sistem Aplikasi Utama Universiti iaitu Pejabat Perancangan Strategik dan Korporat, Pejabat Pendaftar, Pejabat Bursar, Bahagian Akademik dan Sekolah Pengajian Siswazah.