DokumenPeraturan Kementerian / Lembaga/BadanBerlaku

Peraturan Badan Siber dan Sandi Negara Nomor 8 Tahun 2023

Nomor: 8
Tahun: 2023
Ditetapkan: 16 Oktober 2023
Status: Berlaku
Pasal terindeks: 24

Lembaga terkait

Badan Siber dan Sandi Negara (BSSN)

aturan_pelaksanaan

Ringkasan

penyelenggaraan perlindungan IIV; pembinaan dan pengawasan; teknologi perlindungan IIV

Isi peraturan

Menetapkan

menetapkan Peraturan Badan Siber dan Sandi Negara tentang Kerangka Kerja Pelindungan Infrastruktur Informasi Vital; Mengingat : 1. Peraturan Presiden Nomor 28 Tahun 2021 tentang Badan Siber dan Sandi Negara (Lembaran Negara Republik Indonesia Tahun 2021 Nomor 101);

2.Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital (Lembaran Negara Republik Indonesia Tahun 2022 Nomor 129);
3.Peraturan Badan Siber dan Sandi Negara Nomor 6 Tahun 2021 tentang Organisasi dan Tata Kerja Badan Siber dan Sandi Negara (Berita Negara Republik Indonesia Tahun 2021 Nomor 803) sebagaimana telah diubah dengan Peraturan Badan Siber dan Sandi Negara Nomor 4 Tahun 2023 tentang Perubahan atas Peraturan Badan Siber dan Sandi Negara Nomor 6 Tahun 2021 tentang Struktur Organisasi dan Tata Kerja Badan Siber dan Sandi Negara (Berita Negara Republik Indonesia Tahun 2023 Nomor 544); MEMUTUSKAN: Menetapkan : PERATURAN BADAN SIBER DAN SANDI NEGARA TENTANG KERANGKA KERJA PELINDUNGAN INFRASTRUKTUR INFORMASI VITAL.

BAB I

KETENTUAN UMUM

Pasal 1

Dalam Peraturan Badan ini yang dimaksud dengan:

1.Kerangka Kerja Pelindungan Infrastruktur Informasi Vital yang selanjutnya disebut Kerangka Kerja adalah seperangkat konsep dasar yang digunakan sebagai pedoman dalam menyusun, menerapkan, dan mengomunikasikan, aktivitas pengelolaan keamanan siber pada lingkup sektor infrastruktur informasi vital.
2.Infrastruktur Informasi Vital yang selanjutnya disingkat IIV adalah sistem elektronik yang memanfaatkan teknologi informasi dan/atau teknologi operasional, baik berdiri sendiri maupun saling bergantung dengan sistem elektronik lainnya dalam menunjang sektor strategis, yang jika terjadi gangguan, kerusakan, dan/atau kehancuran pada infrastruktur dimaksud berdampak serius terhadap kepentingan umum, pelayanan publik, pertahanan dan keamanan, atau perekonomian nasional.
3.Penyelenggara IIV adalah instansi penyelenggara negara, badan usaha, dan/atau organisasi yang memiliki dan/atau mengoperasikan IIV.
4.Peristiwa Siber adalah kejadian pada sistem elektronik yang dapat diobservasi dan dapat memberikan indikasi terhadap terjadinya Insiden Siber.
5.Insiden Siber adalah satu atau serangkaian kejadian yang mengganggu atau mengancam berjalannya sistem elektronik.
6.Kontrol Keamanan adalah tindakan pengendalian yang dilakukan oleh Penyelenggara IIV dalam mengelola risiko keamanan siber yang bentuknya dapat bersifat administratif, teknis, kebijakan manajemen, atau peraturan.
7.Instansi Penyelenggara Negara adalah institusi legislatif, eksekutif, dan yudikatif di tingkat pusat dan daerah dan instansi lain yang dibentuk dengan peraturan perundang- undangan.
8.Kementerian atau Lembaga adalah instansi penyelenggara negara yang bertugas mengawasi dan mengeluarkan pengaturan terhadap sektornya.
9.Badan Siber dan Sandi Negara yang selanjutnya disebut Badan adalah lembaga pemerintah yang menyelenggarakan tugas pemerintahan di bidang keamanan siber dan sandi.

Pasal 2

Pengaturan Kerangka Kerja bertujuan untuk:

a.memberikan pedoman bagi Penyelenggara IIV dalam penyelenggaraan pelindungan IIV pada organisasinya; dan
b.menjadi acuan bagi Kementerian atau Lembaga dalam menyusun dan menetapkan peta jalan pelindungan IIV di masing-masing sektor IIV.

Pasal 3

Ruang lingkup pada Kerangka Kerja meliputi:

a.penyelenggaraan pelindungan IIV;
b.pembinaan dan pengawasan; dan
c.teknologi pelindungan IIV.

BAB II

PENYELENGGARAAN PELINDUNGAN IIV

Pasal 4

(1)Penyelenggaraan pelindungan IIV sebagaimana dimaksud dalam Pasal 3 huruf a merupakan serangkaian upaya yang dilakukan oleh Penyelenggara IIV untuk mengendalikan keamanan melalui penerapan Kontrol Keamanan pada IIV sesuai dengan domain pada Kerangka Kerja.
(2)Domain pada Kerangka Kerja sebagaimana dimaksud pada ayat (1) meliputi:
1. a.identifikasi;
2. b.proteksi;
3. c.deteksi; dan
4. d.penanggulangan dan pemulihan.

Pasal 5

(1)Domain identifikasi sebagaimana dimaksud dalam Pasal 4 ayat (2) huruf a merupakan fungsi yang bertujuan untuk mendukung kemampuan Penyelenggara IIV dalam memahami konteks bisnis, sumber daya, dan risiko yang mendukung penyelenggaraan IIV.
(2)Domain identifikasi sebagaimana dimaksud pada ayat (1) terdiri atas kategori kegiatan paling sedikit:
1. a.mengidentifikasi peran dan tanggung jawab organisasi;
2. b.menyusun strategi, kebijakan, dan prosedur pelindungan IIV;
3. c.mengelola aset informasi;
4. d.menilai dan mengelola risiko keamanan siber; dan
5. e.mengelola risiko rantai pasok.
(3)Kategori kegiatan mengidentifikasi peran dan tanggung jawab organisasi sebagaimana dimaksud pada ayat (2) huruf a terdiri atas subkategori kegiatan paling sedikit:
1. a.menetapkan dan mengomunikasikan prioritas untuk misi, tujuan, dan kegiatan pelindungan IIV di organisasi;
2. b.mengidentifikasi ketergantungan organisasi dengan pihak terkait lainnya; dan
3. c.mengidentifikasi dan mengomunikasikan peran organisasi di dalam sektor IIV.
(4)Kategori kegiatan menyusun strategi, kebijakan, dan prosedur pelindungan IIV sebagaimana dimaksud pada ayat (2) huruf b terdiri atas subkategori kegiatan paling sedikit:
1. a.menetapkan dan mengomunikasikan kebijakan keamanan siber di lingkungan Penyelenggara IIV;
2. b.mengembangkan strategi untuk meningkatkan pelindungan terhadap IIV;
3. c.menetapkan persyaratan yang dibutuhkan untuk mendukung operasional IIV pada semua keadaan;
4. d.menetapkan kebijakan penggunaan aset informasi bagi pegawai dan pihak ketiga.
(5)Kategori kegiatan mengelola aset informasi sebagaimana dimaksud pada ayat (2) huruf c terdiri atas subkategori kegiatan paling sedikit:
1. a.mengelola daftar inventaris aset informasi;
2. b.memetakan jalur komunikasi dan alur data pada organisasi;
3. c.menyusun katalog sistem informasi eksternal yang menggunakan data milik organisasi;
4. d.menyusun prioritas aset informasi berdasarkan klasifikasi, kekritisan, dan nilai bisnisnya; dan
5. e.mengendalikan aset informasi milik organisasi.
(6)Kategori kegiatan menilai dan mengelola risiko keamanan siber sebagaimana dimaksud pada ayat (2) huruf d terdiri atas subkategori kegiatan paling sedikit:
1. a.mengidentifikasi dan mendokumentasikan kerentanan terhadap aset informasi;
2. b.mengidentifikasi dan mendokumentasikan informasi terkait ancaman dan kerentanan yang diperoleh dari internal maupun eksternal;
3. c.mengidentifikasi potensi dampak terhadap layanan IIV dan kemungkinan terjadinya dampak tersebut;
4. d.menganalisis nilai risiko terhadap IIV;
5. e.mengidentifikasi dan menyusun prioritas mitigasi terhadap risiko;
6. f.menentukan dan mengomunikasikan toleransi risiko organisasi;
7. g.mengelola hasil penerapan manajemen risiko yang telah ditetapkan; dan
8. h.melakukan reviu terhadap hasil penerapan manajemen risiko.
(7)Kategori kegiatan mengelola risiko rantai pasok sebagaimana dimaksud pada ayat (2) huruf e terdiri atas subkategori kegiatan paling sedikit:
1. a.mengidentifikasi dan menetapkan proses manajemen risiko rantai pasok;
2. b.mengidentifikasi pemasok dan mitra pihak ketiga dari setiap aset informasi di IIV;
3. c.memastikan poin-poin perjanjian kerja sama yang digunakan untuk pemasok dan mitra pihak ketiga telah sesuai dengan kebijakan keamanan siber pada Penyelenggara IIV;
4. d.melakukan pemeriksaan secara periodik terhadap pemasok dan mitra pihak ketiga terkait pemenuhan kewajiban kerja sama dan keamanannya; dan
5. e.menyiapkan rencana penanggulangan dan pemulihan pada layanan IIV dengan pihak ketiga yang mendukung layanan tersebut.

Pasal 6

(1)Domain proteksi sebagaimana dimaksud dalam Pasal 4 ayat (2) huruf b merupakan fungsi yang bertujuan untuk mendukung kemampuan Penyelenggara IIV dalam mencegah, membatasi, atau menahan dampak dari Insiden Siber.
(2)Domain proteksi sebagaimana dimaksud pada ayat (1) terdiri atas kategori kegiatan paling sedikit:
1. a.mengelola identitas, autentikasi, dan kendali akses;
2. b.melindungi aset fisik;
3. c.melindungi data;
4. d.melindungi aplikasi;
5. e.melindungi jaringan; dan
6. f.melindungi sumber daya manusia.
(3)Kategori kegiatan mengelola identitas, autentikasi, dan kendali akses sebagaimana dimaksud pada ayat (2) huruf a terdiri atas subkategori kegiatan paling sedikit:
1. a.mengelola identitas dan kredensial yang menggunakan layanan IIV;
2. b.mengelola akses jarak jauh terhadap layanan IIV;
3. c.mengelola izin akses dan otorisasi layanan IIV; dan
4. d.memastikan penerapan sistem autentikasi terhadap pengguna, perangkat, dan aset informasi sesuai tingkat risikonya.
(4)Kategori kegiatan melindungi aset fisik sebagaimana dimaksud pada ayat (2) huruf b terdiri atas subkategori kegiatan paling sedikit:
1. a.menyediakan prosedur operasional pelindungan terhadap aset fisik yang mendukung layanan IIV;
2. b.memastikan proses perbaikan dan pemeliharaan aset informasi pada layanan IIV dilakukan, dicatat, dan dikendalikan sesuai prosedur;
3. c.memastikan proses pemeliharaan jarak jauh terhadap aset informasi pada layanan IIV dilakukan dengan persetujuan penanggung jawab layanan IIV dan didokumentasikan sesuai prosedur;
4. d.memastikan lingkungan fisik aset informasi pada layanan IIV dipantau secara berkala untuk mendeteksi potensi ancaman; dan
5. e.memastikan prosedur dan penerapannya senantiasa ditinjau dan ditingkatkan sesuai perkembangan ancaman.
(5)Kategori kegiatan melindungi data sebagaimana dimaksud pada ayat (2) huruf c terdiri atas subkategori kegiatan paling sedikit:
1. a.pelindungan terhadap data yang tersimpan pada Penyelenggara IIV;
2. b.pelindungan terhadap data yang terkirim dari Penyelenggara IIV;
3. c.memastikan ketersediaan kapasitas ruang penyimpanan data yang memadai;
4. d.mengimplementasikan pelindungan dari kebocoran data;
5. e.mengimplementasikan mekanisme pengecekan integritas data untuk verifikasi perangkat lunak, perangkat keras, dan data;
6. f.memastikan prosedur pencadangan data dilakukan, dipelihara, dan diuji secara berkala; dan
7. g.menyediakan kebijakan pemusnahan data.
(6)Kategori kegiatan melindungi aplikasi sebagaimana dimaksud pada ayat (2) huruf d terdiri atas subkategori kegiatan paling sedikit:
1. a.menyediakan prosedur konfigurasi dasar sistem dan kendali perubahan konfigurasi;
2. b.mengembangkan dan mengimplementasikan rencana manajemen kerentanan;
3. c.memastikan bahwa lingkungan pengembangan dan pengujian sistem dibedakan dari lingkungan produksi atau operasional; dan
4. d.mengimplementasikan prosedur pengembangan sistem yang aman.
(7)Kategori kegiatan melindungi jaringan sebagaimana dimaksud pada ayat (2) huruf e terdiri atas subkategori kegiatan paling sedikit:
1. a.menerapkan sistem yang dikonfigurasi dengan prinsip fungsionalitas minimum;
2. b.menerapkan pelindungan terhadap jaringan komunikasi, akses sistem informasi, dan akses sistem kendali;
3. c.menggunakan perangkat-perangkat jaringan yang menerapkan fungsi keamanan;
4. d.memastikan integritas jaringan senantiasa dilindungi;
5. e.menerapkan prosedur dan teknologi pencegahan malware;
6. f.memastikan catatan audit atau log aktivitas ditentukan, didokumentasikan, diimplementasikan, dan ditinjau sesuai dengan kebijakan organisasi; dan
7. g.memastikan bahwa informasi mengenai pelindungan terhadap teknologi dibagikan hanya kepada pihak tepercaya.
(8)Kategori kegiatan melindungi sumber daya manusia sebagaimana dimaksud pada ayat (2) huruf f terdiri atas subkategori kegiatan paling sedikit:
1. a.menerapkan prosedur pengelolaan keamanan terhadap personel;
2. b.menyelenggarakan pelatihan dan peningkatan kesadaran keamanan siber; dan
3. c.menyusun dan menerapkan kebijakan terkait kompetensi dan keahlian sumber daya manusia keamanan siber yang ada di Penyelenggara IIV.

Pasal 7

(1)Domain deteksi sebagaimana dimaksud dalam Pasal 4 ayat (3) huruf c merupakan fungsi yang bertujuan untuk mendukung kemampuan Penyelenggara IIV dalam mengembangkan dan menerapkan aktivitas yang sesuai untuk memantau secara tepat waktu terjadinya Peristiwa Siber.
(2)Domain deteksi sebagaimana dimaksud pada ayat (1) terdiri atas kategori kegiatan paling sedikit:
1. a.mengelola deteksi Peristiwa Siber;
2. b.menganalisis anomali dan Peristiwa Siber; dan
3. c.memantau Peristiwa Siber berkelanjutan.
(3)Kategori kegiatan mengelola deteksi Peristiwa Siber sebagaimana dimaksud pada ayat (2) huruf a terdiri atas subkategori kegiatan paling sedikit:
1. a.menetapkan peran dan tanggung jawab organisasi pada kebijakan pendeteksian Peristiwa Siber;
2. b.melaksanakan pendeteksian Peristiwa Siber sesuai persyaratan dan kebijakan yang berlaku;
3. c.menguji prosedur pendeteksian Peristiwa Siber secara berkala; dan
4. d.menyampaikan informasi hasil pendeteksian Peristiwa Siber kepada pihak yang berhak.
(4)Kategori kegiatan menganalisis anomali dan Peristiwa Siber sebagaimana dimaksud pada ayat (2) huruf b terdiri atas subkategori kegiatan paling sedikit:
1. a.menetapkan dan mendokumentasikan ambang batas peringatan terhadap insiden operasional yang diharapkan organisasi terhadap jaringan komputer dan alur data;
2. b.melaksanakan analisis terhadap Peristiwa Siber yang terdeteksi;
3. c.menentukan dampak dari Peristiwa Siber yang terdeteksi; dan
4. d.mendokumentasikan hasil analisis terhadap Peristiwa Siber yang terdeteksi.
(5)Kategori kegiatan memantau Peristiwa Siber berkelanjutan sebagaimana dimaksud pada ayat (2) huruf c terdiri atas subkategori kegiatan paling sedikit:
1. a.menerapkan prosedur pendeteksi kode berbahaya dan tak berizin;
2. b.memonitor kegiatan personel yang berada di dalam lingkup sistem IIV;
3. c.memonitor kegiatan pihak ketiga yang berada di dalam lingkup sistem IIV; dan
4. d.menerapkan teknologi pemindaian kerentanan terhadap sistem IIV.

Pasal 8

(1)Domain penanggulangan dan pemulihan sebagaimana dimaksud dalam Pasal 4 ayat (3) huruf d merupakan fungsi yang bertujuan untuk mendukung kemampuan Penyelenggara IIV dalam menyusun dokumen rencana penanggulangan dan pemulihan Insiden Siber, menerapkan aktivitas yang sesuai untuk mengambil tindakan terkait Insiden Siber yang terdeteksi, menahan meluasnya dampak dari Insiden Siber, memulihkan layanan yang terganggu karena Insiden Siber, serta mengurangi dampak dari Insiden Siber.
(2)Domain penanggulangan dan pemulihan sebagaimana dimaksud pada ayat (1) terdiri atas kategori kegiatan paling sedikit:
1. a.menyusun perencanaan penanggulangan dan pemulihan Insiden Siber;
2. b.menganalisis dan melaporkan Insiden Siber;
3. c.melaksanakan penanggulangan dan pemulihan Insiden Siber; dan
4. d.meningkatkan keamanan setelah terjadinya Insiden Siber.
(3)Kategori kegiatan menyusun perencanaan penanggulangan dan pemulihan Insiden Siber sebagaimana dimaksud pada ayat (2) huruf a terdiri atas subkategori kegiatan paling sedikit:
1. a.menyusun dan menetapkan rencana tanggap Insiden Siber yang disetujui oleh pimpinan organisasi;
2. b.menyusun dan menetapkan rencana keberlangsungan kegiatan yang disetujui oleh pimpinan organisasi;
3. c.memastikan rencana tanggap Insiden Siber dan rencana keberlangsungan kegiatan dilaksanakan dan disimulasikan secara berkala;
4. d.memastikan personel yang mengelola IIV mengetahui peran dan prosedur penanggulangan dan pemulihan sesuai rencana tanggap Insiden Siber dan rencana keberlangsungan kegiatan; dan
5. e.memastikan personel yang mengelola IIV memahami prosedur penggunaan rekam cadang.
(4)Kategori kegiatan menganalisis dan melaporkan Insiden Siber sebagaimana dimaksud pada ayat (2) huruf b terdiri atas subkategori kegiatan paling sedikit:
1. a.mengumpulkan informasi kondisi IIV terkini baik dari hasil deteksi internal, maupun sumber informasi eksternal;
2. b.mengidentifikasi dan menganalisis potensi dampak dari Insiden Siber;
3. c.memastikan Insiden Siber dikategorikan sesuai kriteria yang telah ditetapkan; dan
4. d.memastikan bahwa Insiden Siber dilaporkan kepada pihak yang terkait.
(5)Kategori kegiatan melaksanakan penanggulangan dan pemulihan Insiden Siber sebagaimana dimaksud pada ayat (2) huruf c terdiri atas subkategori kegiatan paling sedikit:
1. a.memastikan Insiden Siber diisolasi dan dimitigasi sesuai rencana tanggap Insiden Siber;
2. b.mengumpulkan dan memelihara bukti Insiden Siber dari IIV terdampak;
3. c.menginvestigasi dan eradikasi penyebab Insiden Siber;
4. d.mengoordinasikan dengan pihak terkait dalam rangka eskalasi penanggulangan Insiden Siber.
5. e.memastikan setiap aset informasi diperiksa keamanannya setelah penanganan Insiden Siber;
6. f.melaksanakan prosedur pencadangan dan pemulihan sistem dan data sesuai rencana keberlangsungan kegiatan;
7. g.menentukan dan menerapkan retensi terhadap hasil pencadangan yang sudah tidak terpakai sesuai ketentuan;
8. h.pengujian ulang terhadap fungsi vital dan fungsi pendukung untuk memastikan capaian pemulihan terpenuhi;
9. i.memastikan organisasi memiliki dan mengelola strategi komunikasi publik ketika terjadi Insiden Siber dan setelah penanggulangan serta pemulihan Insiden Siber; dan
10. j.penyampaian informasi penanggulangan dan pemulihan Insiden Siber kepada pihak terkait.
(6)Kategori kegiatan meningkatkan keamanan setelah terjadinya Insiden Siber sebagaimana dimaksud pada ayat
(2)huruf d terdiri atas subkategori kegiatan paling sedikit:
1. a.meninjau kembali efektifitas Kontrol Keamanan yang telah diterapkan;
2. b.mereviu dan/atau memperbarui dokumen rencana tanggap Insiden Siber dan rencana keberlangsungan kegiatan secara berkala;
3. c.mengumpulkan dan memelihara bukti hasil forensik digital; dan
4. d.meninjau efektivitas kinerja penanganan insiden yang dilakukan oleh tim tanggap Insiden Siber secara berkala.

Pasal 9

Penerapan Kontrol Keamanan sebagaimana dimaksud dalam Pasal 4 ayat (1) dilakukan sesuai dengan matriks Kerangka Kerja sebagaimana tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.

Pasal 10

Selain kategori dan subkategori kegiatan pada domain Kerangka Kerja sebagaimana dimaksud dalam Pasal 5 sampai dengan Pasal 8, Kementerian atau Lembaga dapat menambahkan kategori dan subkategori kegiatan lainnya sesuai dengan karakteristik sektornya dengan memperhatikan prinsip keamanan, keandalan, dan efisiensi.

Pasal 11

(1)Kementerian atau Lembaga menyusun dan menetapkan peta jalan pelindungan IIV di masing-masing sektor IIV untuk jangka waktu 5 (lima) tahun mengacu pada Kerangka Kerja pelindungan IIV.
(2)Peta jalan pelindungan IIV sebagaimana dimaksud pada ayat (1) dimaksudkan untuk memberi arah dan langkah perencanaan serta pelaksanaan bagi Penyelenggara IIV dalam menyelenggarakan pelindungan IIV di masing- masing sektor IIV.
(3)Peta jalan pelindungan IIV sebagaimana dimaksud pada ayat (1) memuat:
1. a.analisis lingkungan strategis penyelenggaraan pelindungan IIV di masing-masing sektor (current profile);
2. b.arah kebijakan penyelenggaraan pelindungan IIV;
3. c.sasaran penyelenggaraan pelindungan IIV;
4. d.target penerapan Kontrol Keamanan; dan
5. e.rencana kerja penyelenggaraan pelindungan IIV.

Isi peraturan

Teks24PDFHirarki

Memuat teks peraturan…