DokumenPeraturan Kementerian / Lembaga/BadanBerlaku

Peraturan Kepala Badan Meteorologi, Klimatologi, dan Geofisika Nomor 8 Tahun 2024

Nomor: 8
Tahun: 2024
Ditetapkan: 18 Oktober 2024
Status: Berlaku
Pasal terindeks: 20

Lembaga terkait

Badan Meteorologi, Klimatologi, dan Geofisika (BMKG)

Ringkasan

Peraturan Kepala BMKG ini berisi mengenai Kebijakan Sistem Manajemen Keamanan Informasi yang meliputi: 1. Penetapan Ruang Lingkup; 2. Penetapan Penanggung Jawab; 3. Perencanaan Keamanan Informasi; 4. Dukungan Pengoperasian; 5. Kendali Keamanan; 6. Keamanan Sumber Daya Manusia; 7. Keamanan Aset Informasi; 8. Keamanan Akses; 9. Keamanan Kriptografi; 10. Keamanan Fisik dan Lingkungan; 11. Keamanan Operasional; 12. Keamanan Komunikasi; 13. Keamanan Pengembangan dan Pemeliharaan; 14. Keamanan Pihak Ketiga; 15. Manajemen Insiden Siber; 16. Manajemen Keberlangsungan Layanan Informasi; 17. Pengendalian Kepatuhan; 18. Audit Keamanan Informasi; 19. Evaluasi Kinerja dan Perbaikan Berkelanjutan Keamanan Informasi.

Isi peraturan

Menetapkan

menetapkan Peraturan Badan Meteorologi, Klimatologi, dan Geofisika ten tang Sistem Manajemen Keamanan Informasi; KEPALABADANMETEOROLOGI, KLIMATOLOGI, DAN GEOFISIKA, DENGAN RAHMATTUHANYANGMAHAESA PERATURAN KEPALABADANMETEOROLOGI, KLIMATOLOGI, DANGEOFISIKA REPUBLIK INDONESIANOMOR 8 TAHUN2024 TENTANG SISTEM MANAJEMENKEAMANAN INFORMASI BADAN METEOROLOGI, KLIMATOLOGI, DAN GEOFISIKA F BMKG ,... - ...... Pasal 1 Dalam Peraturan Kepala Badan ini yang dimaksud dengan: 1. Teknologi Informasi dan Komunikasi selanjutnya disebut TIK adalah terminologi yang mencakup seluruh peralatan teknis untuk memproses dan menyampaikan informasi. 2. Sistem Elektronik adalah serangkaian perangkat dan prosedur elektronik yang berfungsi mempersiapkan, mengumpulkan, mengolah, menganalisis, menyimpan, menampilkan, mengumumkan, mengirimkan, danj atau menyebarkan informasi elektronik. 3. Sistem Pemerintahan Berbasis Elektronik yang selanjutnya disingkat SPBE adalah penyelenggaraan pemerintahan yang memanfaatkan teknologi informasi dan komunikasi untuk memberikan layanan kepada pengguna SPBE. 4. Data adalah tulisan, suara, gambar, peta, rancangan, foto, electronic data interchange (EDI), surat elektronik (electronicmails, telegram, teleks, telecopyatau sejenisnya, huruf, tanda, angka, kode akses, simbol, atau perforasi. 5. Informasi adalah satu atau sekumpulan Data, termasuk tetapi tidak terbatas pada tulisan, suara, gambar, peta, rancangan, foto, electronic data interchange (EDI), surat BABI KETENTUAN UMUM METEOROLOGI, TENTANG SISTEM MEMUTUSKAN: PERATURAN KEPALA BAD AN KLIMATOLOGI, DAN GEOFISIKA MANAJEMENKEAMANAN INFORMASI. Balai Besar Meteorologi, Klimatologi, dan Geofisika, Stasiun Meteorologi, Stasiun Klimatologi, dan Stasiun Geofisika (Berita Negara Republik Indonesia Tahun 2020 Nomor 1371) sebagaimana telah beberapa kali diubah terakhir dengan Peraturan Badan Meteorologi, Klimatologi, dan Geofisika Nomor 4 Tahun 2023 tentang Perubahan Kedua atas Peraturan Badan Meteorologi, Klimatologi, dan Geofisika Nomor 6 Tahun 2020 ten tang Organisasi dan Tata Kerja Balai Besar Meteorologi, Klimatologi, dan Geofisika, Stasiun Meteorologi, Stasiun Klimatologi, dan Stasiun Geofisika (Berita Negara Republik Indonesia Tahun 2023 Nomor 857); 7. Peraturan Badan Meteorologi, Klimatologi, dan Geofisika Nomor 7 Tahun 2020 tentang Organisasi dan Tata Kerja Sekolah Tinggi Meteorologi, Klimatologi, dan Geofisika (Berita Negara Republik Indonesia Tahun 2020 Nomor 1372); 8. Peraturan Badan Meteorologi, Klimatologi, dan Geofisika Nomor 8 Tahun 2020 tentang Organisasi dan Tata Kerja Stasiun Pemantau Atmosfer Global (Berita Negara Republik Indonesia Tahun 2020 Nomor 1373); 9. Peraturan Badan Meteorologi, Klimatologi, dan Geofisika Nomor 2 Tahun 2024 tentang Organisasi dan Tata Kerja Badan Meteorologi, Klimatologi, dan Geofisika (Berita Negara Republik Indonesia Tahun 2024 Nomor 365); Menetapkan elektronik (electronicmain, telegram, teleks, telecopyatau sejenisnya, huruf, tanda, angka, kode akses, simbol, atau perforasi yang telah diolah yang memiliki arti atau dapat dipahami oleh orang yang mampu memahaminya. 6. Aplikasi adalah satu atau sekumpulan program komputer dan prosedur yang dirancang untuk melakukan tugas atau fungsi layanan. 7. Infrastruktur adalah semua perangkat keras, perangkat lunak, dan fasilitas yang menjadi penunjang utama untukmenjalankan sistem, Aplikasi, komunikasi Data, pengolahan dan penyimpanan Data, perangkat integrasijpenghubung, dan perangkat elektronik lainnya. 8. Sistem Manajemen Keamanan Informasi yang selanjutnyadisingkat SMKI adalah sistem manajemen untuk membangun, mengimplementasikan, mengoperasikan, memonitor, meninjau, memelihara dan meningkatkan keamanan Informasi berdasarkan pendekatan risiko. 9. Keamanan Informasi adalah terjaganya kerahasiaan, keaslian, keutuhan, ketersedian, dan kenirsangkalan informasi. 10. Risiko adalah segala kejadian dalam setiap aktivitas yang mungkin timbul karena faktor ketidakpastian, yang mengandung potensi untuk menghambat pencapaian sasaran kinerja dari layanan Sistem Elektronik. 11. Manajemen Risiko adalah aktivitas terkoordinasi untuk identifikasi, penilaian, dan penentuan prioritas Risiko yang kemudian akan dikelola, dipantau, dan dikontrol untuk mengurangi dampak danj atau kemungkinan terjadinya Risiko terse but. 12. Rencana Tindak Lanjut Risiko yang selanjutnya disingkat RTLadalah respon yang direncanakan manajemen untuk menindaklanjuti hasil evaluasi Risiko, seperti mitigate/ reduce, avoid, share/ transfer atau accept. 13. Audit Keamanan Informasi adalah proses yang sistematis untuk memperoleh dan mengevaluasi bukti secara objektifterhadap aset teknologi informasi dan komunikasi dengan tujuan untuk menetapkan tingkat kesesuaian antara teknologi informasi dan komunikasi dengan kriteria danj atau standar yang telah ditetapkan terhadap beroperasinya Keamanan Informasi. 14. Auditor Keamanan Informasi yang selanjutnya disebut Auditor adalah orang yang memiliki kompetensi untuk melakukan Audit Keamanan Informasi. 15. Auditan adalah subjek atau pihak yang diaudit oleh auditor. 16. Sertiflkat Elektronik adalah sertifikat yang bersifat elektronik yang memuat Tanda Tangan Elektronik dan identitas yang menunjukkan status subjek hukum para pihak dalam Transaksi Elektronik yang dikeluarkan oleh Penyelenggara Sertifikasi Elektronik. 17. Insiden Siber adalah satu atau serangkaian kejadian yang mengganggu atau mengancam keamanan informasi antara lain namun tidak terbatas pada web defacement, malware (virus, worm, trojan backdoor dan ransomware), unauthorized access, data breach, dan Distributed Denial of Service (DDoS).

Pasal 2

(1)Peraturan Kepala Badan ini dimaksudkan sebagai kebijakan intemal manajemen Keamanan Informasi SPBE di lingkungan BMKG.
(2)Kebijakan internal manajemen Keamanan Informasi SPBEsebagaimana dimaksud pada ayat (1) meliputi: a. penetapan ruang lingkup; b. penetapan penanggung jawab; c. perencanaan; d. dukungan pengoperasian; e. kendali keamanan; f. audit Keamanan Informasi; dan g. evaluasi kinerja dan perbaikan berkelanjutan Keamanan Informasi. . '
(3)Kendali keamanan sebagaimana dimaksud pada ayat (2) huruf e terdiri dari: 18. Tim Tanggap Insiden Siber yang selanjutnya disebut BMKG-CSIRT adalah sekelompok orang yang bertanggung jawab menangani Insiden Siber dalam ruang lingkup yangditentukan terhadapnya. 19. Tim Pengelola Sistem Manajemen Keamanan Informasi yang selanjutnya disebut Tim SMKI adalah sekelompok orang yang bertanggung jawab untuk menyusun, mengomunikasikan, memastikan, dan memantau pelaksanaan SMKIdi Badan Meteorologi, Klimatologi,'dan Geofisika. 20. Badan Meteorologi, Klimatologi, dan Geofisika yang selanjutnya disingkat BMKGadalah lembaga pemerintah nonkementerian yang melaksanakan tugas pemerintahan di bidang penyelenggaraan meteorologi, klimatologi,' dan geofisika. 21. Sekretaris Utama adalah pimpinan unit kerja yang menyelenggarakan koordinasi pelaksanaan tugas, pembinaan, dan pemberian dukungan administrasi kepada seluruh unsur organisasi. 22. Aset Informasi adalah segala sesuatu yang dapat memberikan nilai tambah bagi Badan Meteorologi Klimatologi dan Geofisika dalam menunjang proses bisnis dan perlu dilindungi dari berbagai ancaman Keamanan Informasi. 23. Removable Media adalah media yang digunakan untuk penyimpanan Informasi yang dirancang untuk dengan mudah dimasukkan ke dalam PCjNotebookjperangkat portabel lainnya berupa CD, DVD, jlashdisk, ataupun semua jenis kartu memori yang dapat dilepas atau portable. 24. Pusat Data adalah fasilitas fisik yang digunakan untuk menyimpan sistem komputer dan komponen-komponen terkait seperti sistem telekomunikasi dan penyimpanan Data. 25. Tempat Layanan Informasi adalah lokasi atau fasilitas di mana informasi disimpan, diproses, atau ditransmisikan. 26. Pihak Ketiga adalah tenaga kerja alihdaya, pihak yang terafiliasi, dan petugas lembaga lain yang melakukan kegiatan yang terkait dengan tugas pokok BMKG.

Pasal 4

(1)Sekretaris Utama berperan sebagai penanggung jawab SMKI.
(2)Sekretaris Utama bertanggung jawab untuk: a. memastikan pelaksanaan kebijakan Keamanan Informasi; b. menyediakan sumber daya manusia dan infrastuktur yang memadai untuk menetapkan, mengimplementasikan, mengoperasikan, memantau, meninjau, memelihara, dan meningkatkan Keamanan Informasi BMKG; c. menetapkan kriteria penerimaan Risiko dan tingkat Risiko yang dapat diterima; d. memastikan pelaksanaan audit internal Keamanan Informasi; e. menetapkan arsitektur Keamanan Informasi; f. menetapkan peta rencana 5 (lima) tahunan dan sasaran Keamanan Informasi setiap tahunnya; g. melakukan tinjauan secara berkala atas pelaksanaan kebijakan SMKI;dan Penanggung JawabPasal 3
(1)Penetapan ruang lingkup manajemen Keamanan Informasi SPBE sebagaimana dimaksud dalam Pasal 2 ayat (2) huruf a meliputi:a. Data dan Informasi SPBE; b. Aplikasi SPBE; c. Infrastruktur SPBE; dan d. sumber daya manusia SPBE.
(2)Penetapan ruang lingkup sebagaimana dimaksud pada ayat (1) merupakan Aset Informasi yang harus diamankan dalam SPBE. Ruang Lingkup keamanan sumber daya manusia; b. keamanan Aset Informasi; c. keamanan akses; d. keamanan kriptografi; e. keamanan fisik dan lingkungan; f. keamanan operasional; g. keamanan komunikasi; h. keamanan pengembangan dan pemeliharaan; 1. keamanan Pihak Ketiga; J. manajemen Insiden Siber; k. manajemen keberlangsungan layanan Informasi; dan L pengendalian kepatuhan.

BAB II

KEBIJAKAN SISTEMMANAJEMEN KEAMANAN INFORMASI SPBE a.

Pasal 6

(1)Tim SMKIbertanggungjawab untuk: a. menyusun, mengomunikasikan, dan memantau pelaksanaan kebijakan Keamanan Informasi di BMKG; b. melakukan analisis kebutuhan keamanan informasi; c. merumuskan, mengoordinasikan, dan melaksanakan program kerja dan anggaran Keamanan Informasi; d. memastikan seluruh pembangunan atau pengembangan Aplikasi dan Infrastruktur Informasi termasuk yang dilakukan oleh Pihak Ketiga, paling sedikit memenuhi standar teknis dan prosedur Keamanan Informasi yang ditetapkan oleh lembaga Pasal 5
(1)Ketua Tim SMKI sebagaimana dimaksud dalam Pasal 4 ayat (4) huruf b dijabat oleh pimpinan tinggi pratama yangmempunyai tugas dan fungsi di bidang keamanan teknologi, Informasi dan komunikasi pada BMKG.
(2)Ketua Tim SMKImemiliki kewenangan dalam menentukankomposisi, kualifikasi, dan jumlah anggota tim.
(3)Koordinator sebagaimana dimaksud dalam Pasa14 ayat (4) huruf c melakukan tanggung jawab atas pelaksanaan kegiatan Keamanan Informasi.
(4)Unit pengawasan intemal sebagaimana dimaksud dalam Pasal 4 ayat
(4)huruf d berperan melaksanakan audit intemal Keamanan Informasi.
(5)Unit pengawasan intemal bertanggungjawab untuk: a. menyusun pedoman audit intemal Keamanan Informasi; b. menyusun perencanaan audit intemal Keamanan Informasi; c. melaksanakan kegiatan audit internal Keamanan Informasi; d. memberikan rekomendasi perbaikan atas hasil temuan audit internal Keamanan Informasi; dan e. menyampaikan laporan audit internal Keamanan Informasi kepada Sekretaris Utama.
(6)Anggota sebagaimana dimaksud dalam Pasal 4 ayat
(4)huruf e berperan membantu Koordinator dalam melaksanakan tugas Keamanan Informasi. h. menyampaikan kinerja pelaksanaan kebijakan Keamanan Informasi kepada Kepala BMKG
(3)Dalam melaksanakan tugas sebagai penanggung jawab SMKI, Sekretaris Utama dibantu oleh Tim SMKI se1aku pelaksana teknis Keamanan Informasi.
(4)Tim SMKI sebagaimana dimaksud pada ayat
(3)terdiri dari:a. Penanggung Jawab; b. Ketua; c. Koordinator; d. Unit pengawasan intemal; dan e. Anggota.
(5)Tim SMKIsebagaimana dimaksud pada ayat (4)ditetapkan oleh Kepala BMKG.

Pasal 7

(1)Perencanaan Keamanan Informasi dilakukan oleh Tim SMKI.
(2)BMKG sebagai penyelenggara SPBE yang merupakan Sistem Elektronik lingkup publik, melakukan kategorisasi setiap Sistem Elektronik yang dimilikinya sebagai salah satu dasar dalam pelaksanaan Keamanan Informasi.
(3)Penentuan kategorisasi Sistem Elektronik sebagaimana dimaksud pada ayat
(2)dilakukan sesuai dengan ketentuan peraturan perundang-undangan yang ditetapkan oleh lembaga yang menyelenggarakan tugas pemerintahan di bidang keamanan siber. . Keamanan Informasi yang melaksanakan tugas pemerintahan di bidang keamanan siber; e. memastikan peningkatan kesadaran, kepedulian, dan kepatuhan oleh seluruh pegawai terhadap kebijakan, prosedur, dan standar Keamanan Informasi; f. memastikan penerapan dokumen perjanjian kerahasiaan (Non Disclosure Agreement) guna menjaga kerahasiaan Aset Informasi; g. mengendalikan dan menjaga kemutakhiran kebijakan, prosedur, dan standar Keamanan Informasi; h. memfasilitasi pelaksanaan audit internal dan audit ekstemal Keamanan Informasi; 1. memastikan diterapkannya Manajemen Risiko, manajemen perubahan, manajemen Insiden Siber, manajemen kapasitas, manajemen permasalahan, serta manajemen aset dan konfigurasi; J. mendorong perbaikan penerapan Keamanan Informasi berdasarkan hasil temuan audit internal dan audit ekstemal; dan k. menyusun laporan evaluasi penerapan kebijakan Keamanan Informasi dan menyampaikannya kepada Sekretaris Utama.
(2)Dalam memfasilitasi pelaksanaan audit intemal Keamanan Informasi sebagaimana dimaksud pada ayat (2)huruf h, Tim SMKI dapat menunjuk pihak yang berkompeten di bidang Audit Keamanan Informasi sebagaikonsultan.
(3)Analisis kebutuhan Keamanan Informasi sebagaimana dimaksud pada ayat (2) huruf b diselenggarakan dengan cara:a. mengidentifikasi Aplikasi dan Infrastruktur untuk keamanan informasi; b. mengidentifikasi standar kompetensi personel keamanan informasi; dan c. mengidentifikasi program peningkatan kompetensi keamanan informasi dan penanggulangan Insiden Siber.

Pasal 9

(1)Tim SMKImenyusun program kerja Keamanan Informasi berdasarkan RTL sebagai wujud realisasi atas tindak lanjut Risiko Keamanan Informasi.
(2)Program kerja Keamanan Informasi sebagaimana dimaksud pada ayat (1) paling sedikit meliputi: a. edukasi kesadaran Keamanan Informasi; b. penilaian kerentanan Keamanan Informasi; c. peninjaringagkatan Keamanan Informasi; d. penanganan Insiden Siber; dan e. audit Keamanan Informasi.
(3)Program kerja Keamanan Informasi dituangkan dalam peta rencana Keamanan Informasi yang disusun untuk periode 5 (lima) tahunan dengan sasaran Keamanan Informasi yang ditetapkan untuk setiap tahunnya.

Pasal 8

(1)Pelaksanaan Keamanan Informasi dilakukan dengan memperhatikan berbagai Risiko yang dapat mengakibatkan terjadinya kegagalan Keamanan Informasi di BMKG.
(2)Dalam melaksanakan perencanaan Keamanan Informasi, Tim SMKI melakukan Manajemen Risiko Keamanan Informasi dengan cara: a. menyusun profil Risiko (penetapan, penilaian, dan penanganan Risiko) Keamanan Informasi; b. menyusun RTLbersama dengan unit terkait; dan c. melakukan sosialisasi dan komunikasi RTL kepada para pemilik risiko.
(3)Dalam menyusun penetapan, penilaian, dan penanganan Risiko Keamanan Informasi sebagaimana dimaksud pada ayat (2) huruf a meliputi:a. identifikasi sasaran; b. penetapan kategori Risiko; c. penetapan area dampak Risiko; d. penetapan pemilik Risiko; e. penerapan kriteria Risiko; f. kriteria kemungkinan; g. kriteria dampak; h. identifikasi ancaman; 1. matriks analisis Risiko; J. selera Risiko; k. identifikasi Risiko; 1. analisis Risiko; m. evaluasi Risiko; n. penanganan Risiko; o. prioritisasi Risiko; p. rencana penanganan Risiko SPBE; q. Risiko residual; dan r. pemantauan Risiko.
(4)Manajemen Risiko sebagaimana dimaksud pada ayat
(2)dilakukan secara berkala paling sedikit 1 (satu) kali dalam 1 (satu) tahun dan jika ada perubahan Aset Informasi danJatau proses bisnis yang berdampak signifikan terhadap profil Risiko yang ditetapkan sesuai dengan kebijakan metodologi penilaian Risiko dan peluang.

Pasal 12

(1)Keamanan sumber daya manusia sebagaimana dimaksud dalam Pasal 11 huruf a, dilakukan untuk mengendalikan sumber daya manusia baik pegawai maupun Pihak Ketiga dalam melaksanakan kebijakan SMKI.Paragraf 1 Keamanan Sumber Daya Manusia Pasal 11 Pelaksanaan kendali keamanan dalam SMKIterdiri dari: a. keamanan sumber daya manusia; b. keamanan Aset Inforrnasi; c. keamanan akses; d. keamanan kriptografi; e. keamanan fisik dan lingkungan; f. keamanan operasional; g. keamanan komunikasi; h. keamanan pengembangan dan pemeliharaan; dan 1. keamanan Pihak Ketiga.
(1)Sekretaris Utama memberikan dukungan pengoperasian Keamanan Informasi dengan menyediakan sumber daya manusia Keamanan Inforrnasi yang berkompeten dan anggaran Keamanan Inforrnasi.
(2)Sumber daya manusia Keamanan Informasi sebagaimana dimaksud pada ayat (1) harus memiliki kompetensi: a. keamanan infrastruktur TIK;dan b. keamanan Aplikasi.
(3)Dalam hal sumber daya manusia Keamanan Inforrnasi yang disediakan belum memiliki kompetensi memadai, maka Sekretaris Utama dapat memfasilitasi peningkatan kompetensi melalui kegiatan pelatihan dan / atau bimbingan teknis.
(4)Sekretaris Utama memfasilitasi penyelenggaraan kegiatan kesadaran keamanan informasi bagi pegawai di lingkungan BMKG.
(5)Sekretaris Utama menyediakan anggaran Keamanan Inforrnasi berdasarkan arsitektur dan peta rencana Keamanan Informasi yang telah disusun sesuai usulan dari unit kerja yang mempunyai tugas dan fungsi di bidangkeamanan teknologi, inforrnasi dan komunikasi.
(6)Penyediaan anggaran Keamanan Inforrnasi sebagaimana dimaksud pada ayat
(5)dibebankan pada Daftar Isian Pelaksanaan Anggaran (DIPA) BMKGatau sumber lainnya yang sah dan tidak mengikat. Pengoperasian
(4)Peta rencana Keamanan Inforrnasi sebagaimana dimaksud pada ayat (3) menjadi bagian dari peta rencana SPBE.

Pasal 13

(1)Kearnanan Aset Informasi sebagaimana dimaksud dalam Pasal 11 huruf b, dilakukan untuk mengamankan Aset Informasi berdasarkan tingkat kritikalitasnya.
(2)Keamanan Aset Informasi sebagaimana dimaksud pada ayat
(1)dilakukan oleh Tim SMKI bekerja sarna dengan unit kerja terkait dengan cara: a. mengiden tifikasi Aset Informasi dan mendokumentasikannya dalarn daftar inventaris Aset Informasi yang memuat tingkat kritikalitas dan penanggung jawab setiap aset; b. memberikan label sesuai tingkat kritikalitas; c. menetapkan pihak-pihak yang dapat mengakses Aset Informasi; d. menyusun prosedur penggunaan Aset Informasi; Paragraf2 Kearnanan Aset Informasi
(2)Kearnanan sumber daya manusia sebagaimana dimaksud pada ayat
(1)dilaksanakan oleh Tim SMKI bekerja sarna dengan unit kerja terkait dengan cara: a. mengomunikasikan peran dan tanggung jawab pelaksanaan kebijakan SMKIkepada seluruh pegawai dan Pihak Ketiga yang terlibat dalarn pengelolaan dan pengarnanan Aset Informasi; b. me1akukan pembagian tugas dan wewenang (segregation of duty) untuk menghindari kesalahan atau pelanggaran; c. melakukan pemeriksaan Data pribadi pegawai dan Pihak Ketiga yang terlibat dalam pengelolaan dan pengarnanan Aset Informasi; d. membuat perjanjian tertulis dengan pegawai dan Pihak Ketiga yang terlibat dalarn penggunaan dan/ atau pengelolaan Informasi yang menyatakan tanggung jawab terhadap Keamanan Informasi dan sanksi atas pelanggaran Kearnanan Informasi; e. menghentikan hak penggunaan Aset Informasi bagi pegawai yang sedang dalarn pemeriksaan terkait dengan dugaan pelanggaran Kearnanan Informasi; f. mencabut hak akses ke Aset Informasi yang dimiliki pegawai dan Pihak Ketiga apabila yang bersangkutantidak lagi memiliki kepentingan terhadap Aset Informasi, dimutasi, atau tidak lagi bekerja di BMKG; g. membuat berita acara serah terima terkait penerimaan seluruh Aset Informasi yang dipergunakan selarna bekerja dan pengembalian seluruh Aset Informasi bagi pegawai yang berhenti bekerja atau mutasi; h. memberikan edukasi kesadaran Keamanan Informasi melalui kegiatan sosialisasi, bimbingan teknis, dan/ atau pelatihan mengenai Kearnanan Informasi yang dilaksanakan secara berkala; dan 1. memelihara catatan pelatihan, kompetensi, pengalarnan, dan kualifikasi pegawai yang mengelola Kearnanan Informasi.

Pasal 14

(1)Keamanan akses sebagaimana dimaksud dalam Pasal 11 huruf C, dilakukan untuk mengendalikan akses ke Aset Informasi dengan memastikan perangkat pengguna yang terhubung ke Aset Informasi mendapatkan perlindungan keamanan dan tidak diakses oleh pihak yang tidak berhak.
(2)Kearnanan akses terhadap Aset Informasi sebagaimana dimaksud pada ayat (1) dilakukan oleh Tim SMKIbekerja sarna dengan unit kerja terkait dengan cara:a. menyusun prosedur pengelolaan hak akses pengguna yang berisi ketentuan akses ke Aset Informasi sesuai dengan kebutuhan organisasi, persyaratan keamanan, dan peraturan yang berlaku; b. mengelola akses pengguna; c. mengendalikan akses ke jarmgan dan layanan jaringan Informasi; d. mengendalikan akses ke Aplikasi dan sistem Informasi; e. mengendalikan perangkat kerja jarak jauh; f. melakukan pemantauan terhadap akses ke Aset Informasi; dan g. menghapus akun setiap pegawai dan Pihak Ketiga yang tidak lagi memiliki kepentingan terhadap akses Aset Informasi.
(3)Pengelolaan akses pengguna sebagaimana dimaksud pada ayat (2) huruf b dilakukan dengan cara: a. menggunakan akun yang unik untuk setiap pengguna; b. memeriksa tingkat akses yang diberikan sesuai dengan tujuan penggunaan; c. membatasi dan mengendalikan penggunaan hak akses khusus (jika ada); d. mengatur pengelolaan kata sandi pengguna sesuai dengan ketentuan pengelolaan kata sandi di BMKG; menempatkan Aset Informasi di lokasi yang aman guna mengurangi Risiko aset Informasi dapat diaksesoleh pihak yang tidak berwenang; f. melakukan sanitasi terhadap perangkat penyimpanan Data yang sudah tidak digunakan lagi sebelum digunakan kembali atau dimusnahkan; g. melakukan pemusnahan perangkat penyimpanan Data secara aman sesuai prosedur pemusnahan perangkat penyimpanan; dan h. melaksanakan manajemen aset TIK sesuai dengan ketentuan manajemen aset TIK yang ditetapkan oleh kementerian yang melaksanakan tugas di bidang komunikasi dan informatika.
(3)Pengamanan atas Data darr/ atau Informasi Removable Media di BMKG diatur dalarn prosedur penanganan Removable Media. e. memantau dan mengevaluasi hak akses pengguna dan penggunaannya secara berkala untuk memastikan kesesuaian status pemakaiannya; f. memelihara catatan pengguna layanan (user log); g. menonaktifkan akses pengguna yang telah berakhir penugasannya;dan h. memantau dan mengevaluasi akun dan hak akses secara berkala paling sedikit 1 (satu) kali dalam 6 (enam) bulan.
(4)Pengendalian akses ke jaringan dan layanan jaringan Informasi sebagaimana dimaksud pada ayat
(2)huruf c dilakukan dengan cara: a. menerapkan prosedur otorisasi pemberian akses ke jaringan dan layanan jaringan untuk setiap akses ke dalam jaringan intemal; b. akses ke infrastruktur dan Aplikasi yang digunakan untuk melakukan diagnosa harus dikontrol dan hanya digunakan untuk pegawai yang bertugas untuk melakukan pengujian, pemecahan masalah, serta pengembangan sistem; c. memisahkan jaringan untuk pengguna, sistem Informasi, dan layanan Informasi; d. memberikan akses jaringan kepada tamu hanya untuk akses terbatas dan waktu tertentu; dan e. melakukan penghentian layanan jaringan pada area jaringan yang mengalami gangguan keamanan Informasi.
(5)Pengendalian akses ke Aplikasi dan sistem Informasi sebagaimana dimaksud pada ayat (2) huruf d dilakukan dengan cara:a. akses terhadap Aplikasi dan sistem Informasi hanya diberikan kepada pengguna sesuai dengan peruntukannya dan dikontrol dengan menggunakan sistem manajemen akses pengguna; b. setiap pengguna harus memiliki akun yang unik dan hanya digunakan sesuai dengan peruntukannya dan proses otorisasi pengguna harus menggunakan teknik otentikasi yang sesuai untuk memvalidasi identitas pengguna; c. menggunakan sistem pengelolaan kata sandi sesuai dengan ketentuan pengelolaan kata sandi di BMKG untuk memastikan kualitas kata sandi yang dibuat pengguna; d. fasilitas session time-out harus diaktifkan untuk menutup dan mengunci layar komputer, Aplikasi, dan koneksi jaringan apabila tidak ada aktivitas pengguna setelah periode tertentu; e. membatasi waktu koneksi untuk sistem informasi dan Aplikasi yang memiliki klasifikasi rahasia dan/ atau sangat rahasia; dan f. akses ke kode sumber Aplikasi dibatasi secara ketatdiperuntukkan hanya bagi pihak-pihak yang sah dan berkepentingan melalui hak akses khusus.
(6)Pengendalian perangkat kerja jarak jauh sebagaimana dimaksud pada ayat
(2)huruf e dilakukan dengan cara menentukan parameter-parameter keamanan yang harus dipenuhi oleh perangkat kerja jarak jauh yang digunakan dalam mengakses Aset Informasi, yang terdiri dari:a. VirtualPrivate Network (VPN); b. Secure Socket Layer (SSL); dan Zatau c. Two Step Authentication.
(7)Pemantauan terhadap akses ke Aset Informasi sebagaimana dimaksud pada ayat (2) huruf g meliputi: a. kegagalan akses; b. penggunaan hak akses tidak wajar; c. alokasi dan penggunaan hak akses khusus; d. penelusuran transaksi pengiriman file sistem atau dokumen tertentu yang mencurigakan; dan e. penggunaan sumber daya sensitif.
(8)Dalam hal diperlukan adanya akses ke Aset Informasi berklasifikasi rahasia, dapat dibuat hak akses khusus untuk mengakses sistern Informasi berklasifikasi rahasia pada sistem operasi, perangkat penyimpanan (storage devices), file server, dan Aplikasi sensitif.
(9)Pemberian hak akses khusus sebagaimana dimaksud pada ayat (8) dilakukan dengan cara:a. mengidentifikasi hak akses khusus untuk dialokasikan kepada pengguna terkait; b. memberikan hak akses khusus hanya kepada pengguna sesuai dengan peruntukannya berdasarkan kebutuhan dan kegiatan tertentu; c. mengelola proses otorisasi dan catatan dari seluruh hak akses khusus; dan d. memberikan hak akses khusus secara terpisah dari akun yang digunakan untuk kegiatan lainnya.
(10)Pengelolaan kata sandi sebagaimana dimaksud pada ayat
(3)huruf d dilakukan dengan cara:a. menjaga kerahasiaan password dan menghindari menyimpan catatan password; b. mengganti password apabila ada indikasi sistemdan password mengalami penyalahgunaan atau kebocoran. c. menggunakan password yang berkualitas meliputi: 1) panjang minimal 8 (delapan) karakter; 2) menggunakan kombinasi huruf dan angka, sedapat mungkin menggunakan karakter spesial (seperti: !$%#*) kecuali apabila sistem atau Aplikasi tidak memungkinkan; dan 3) untuk sistem yang tidak dimungkinkan mengikuti penggunaan password yang berkualitas harus mendapatkan persetujuan dari pimpinan unit kerja yang mempunyai tugas dan fungsi di bidang keamanan teknologi, informasi dan komunikasi dengan mempertimbangkan kendala dan Risiko yang ada. d. password tidak boleh sama dengan User ID dan tidak berdasar pada sesuatu yang mudah ditebak misalnya: nama, nomor telepon, tanggallahir, nama anggota keluarga, namajidentitas perusahaan.

Pasal 15

(1)Keamanan kriptografi sebagaimana dimaksud dalam Pasal 11 huruf d, dilaksanakan untuk memastikan penggunaan kriptografi yang tepat guna melindungi kerahasiaan, keutuhan, dan keotentikan Data dan informasi rahasia dan/ atau sangat rahasia yang dikelola dalam perangkat Informasi.
(2)Keamanan kriptografi untuk Informasi rahasia dan/ atau sangat rahasia dilaksanakan oleh Tim SMKIbekerja sama dengan unit kerja terkait dengan cara:a. melakukan klasifikasi Informasi yang disimpan dan dikelola dalam perangkat Informasi sesuai dengan ketentuan peraturan perundang-undangan; dan b. menerapkan keamanan kriptografi untuk Informasi berklasifikasi rahasia dan/ atau sangat rahasia.
(3)Penerapan keamanan kriptografi sebagaimana dimaksud pada ayat
(2)huruf b dilaksanakan dengan cara: a. menerapkan jalur komunikasi aman dengan menerapkan Secure Socket Layer (SSL)untuk proses otentikasi antara pengguna dengan Aplikasi berbasis website; b. menjaga kerahasiaan kata sandi dan menyimpannya dalam basis Data dengan mekanisme hash function; c. melindungi Data dan Informasi dengan klasifikasi rahasia dan/ atau sangat rahasia yang dipertukarkan,dikirimkan, dan disimpan dalam basis Data dengan melakukan enkripsi; d. menerapkan otentikasi berbasis tanda tangan digital dengan menggunakan Sertifikat Elektronik yang dikeluarkan oleh Pihak Ketiga terpercaya; dan e. menggunakan algoritma kriptografi, modul kriptografi, protokol kriptografi, dan kunci kriptografi sesuai dengan ketentuan peraturan perundang- undangan dan/ atau rekomendasi dari lembaga yang menyelenggarakan tugas pemerintahan di bidang keamanan siber. mengganti password secara reguler selama 3 (tiga) bulan dengan menghindari menggunakan password yang sudah pemah digunakan. f. setiap pengguna wajib menjaga kerahasiaan password dan tidak diperkenankan memberikan password kepada orang lain dan/ atau menggunakan password milik orang lain. g. dalam 3 (tiga) bulan, setiap pengguna wajib melakukan akses minimal 1 (satu) kali agar akses pengguna tersebut tidak dinonaktifkan.

Pasal 16

(1)Kearnanan fisik dan lingkungan sebagaimana dimaksud dalarn Pasal 11 huruf e, dilakukan untuk memberikan pelindungan, pemeliharaan, kearnanan, dan ketersediaan Aset Informasi.
(2)Keamanan fisik dan lingkungan sebagaimana dimaksud pada ayat
(1)dilaksanakan oleh Tim SMKI bekerja sarna dengan unit kerja terkait dengan cara:a. menyimpan infrastruktur di ruangan khusus yang dilindungi dengan pengarnanan fisik yang memadai; b. membatasi akses ke Pusat Data dan I atau Tempat Layanan Informasi yang berisi Data darr/ atau Informasi rahasia darr/ atau sangat rahasia dan hanya diberikan kepada pegawai yang memiliki akses; c. mendarnpingi Pihak Ketiga yang memasuki Pusat Data darr/ atau Tempat Layanan Informasi yang berisikan Data dan/ atau Informasi rahasia dan/ atau sangat rahasia oleh pegawai yang ditugaskan sepanjang waktu kunjungan; d. melarang membawa makanan dan minuman ke dalarn ruang Pusat Data; e. melakukan pengawasan terhadap kondisi suhu dan kelembapan sesuai batas minimum dan maksimum di dalarn ruang server sesuai standar yang disyaratkan pabrikan perangkat; f. melakukan pengamanan area Pusat Data dan I atau Tempat Layanan Informasi sesuai prosedur kearnanan area; g. melakukan pengarnanan kantor, ruangan, dan fasilitas kerja sesuai dengan peraturan dan standar keamanan dan keselarnatan kerja, termasuk clear screen policy dan clean desk policy; h. melakukan pemeliharaan infrastruktur yang digunakan untuk menjalankan Aplikasi sesuai dengan buku petunjuk; 1. melakukan pemindahan infrastruktur yang tidak dapat dilakukan pemeliharaan di tempat, berdasarkan persetujuan pejabat pimpinan tinggi pratama yang mempunyai tugas dan fungsi di bidangkearnanan teknologi, informasi dan komunikasi; J. melakukan backup Data dan I atau Informasi berklasifikasi rahasia danjatau sangat rahasia yang tersimpan pada perangkat ke media lain saat dilakukan pemindahan infrastruktur penyimpanan; k. menghindari kerusakan dari hama dan bencana alam terhadap infrastruktur beserta perangkat pemulihan dan media penyimpanan Data cadangan dengan diletakkan di tempat yang aman dengan struktur yang memadai; 1. menyediakan pasokan daya yang sesuai dengan spesifikasi yang disyaratkan oleh pabrikan infrastruktur; 17
(1)Kearnanan operasional sebagaimana dimaksud dalam Pasal 11 huruf f, dilakukan untuk memastikan implementasi, operasional, pemeliharaan yang arnan dari Aset Inforrnasi, pengelolaan layanan oleh Pihak Ketiga, merninimalkan Risiko kegagalan, dan melindungi keutuhan dan ketersediaan Aset Informasi.
(2)Keamanan operasional dilakukan oleh Tim SMKI bekerja sarna dengan unit kerja terkait dengan cara: Paragraf6 Kearnanan Operasional m. menyediakan sumber daya listrik alternatif yang digunakan untuk mengoperasikan infrastruktur dengan daya dan jangka waktu ketersediaan atau jangka waktu pengoperasian yang cukup tanpa gangguan terhadap infrastruktur; n. menyimpan bahan berbahaya darr/ atau mudah terbakar pada jarak yang arnan dari Pusat Data dan Tempat Layanan Informasi; o. menyediakan, memelihara, dan meletakkan perangkat pemadarn kebakaran di tempat yang mudah dijangkau; p. membatasi pihak yang tidak berwenang pada lokasi infrastruktur dan Informasi sensitif; q. menerapkan perangkat perlindungan petir untuk semua bangunan, jalur komunikasi, dan listrik; dan r. melakukan pengamanan kabel di Pusat Data dan/ atau Tempat Layanan Informasi.
(3)Penyimpanan infrastruktur di ruangan khusus yang dilindungi dengan pengarnanan fisik yang memadai sebagaimana dimaksud pada ayat
(2)huruf a antara lain: a. pintu dengan kontrol akses; b. kamera pengawas; c. pendeteksi asap; d. sistem pemadarn kebakaran; dan e. perangkat pemutus aliran listrik.
(4)Pengarnanan kabel di Pusat Data darr/ atau Tempat Layanan Informasi sebagaimana dimaksud pada ayat
(2)huruf r meliputi:a. kabel listrik dan jaringan komunikasi harus terlindungi dan tidak diletakkan di area publik; b. pemisahan antara kabel listrik dengan kabel Data; dan c. penandaan kabel untuk mempermudah penanganan apabila terjadi masalah, menghindari kesalahan, dan didokumentasikan dengan baik.
(5)Dalarn hal pemeliharaan dilakukan oleh Pihak Ketiga, maka pelaksanaannya dilakukan dengan membuat perjanjian kerja sarna yang paling sedikit memuat: a. perjanjian menjaga kerahasiaan; b. pemeliharaan yang disediakan; dan c. tingkat kinerja yang harus dipenuhi Pihak Ketiga. a. mendokumentasikan, memelihara, dan menyediakan prosedur penggunaan perangkat Informasi sesuai dengan peruntukannya; b. mengelola dan mengendalikan perubahan dalam infrastruktur TIK dan sistem Aplikasi sesuai dengan prosedur manajemen perubahan; c. menetapkan kriteria penerimaan untuk sistem Informasi baru, pemutakhiran dan versi baru, serta melakukan pengujian sebelum penerimaan; d. memantau penggunaan Aset Informasi yang dimiliki dan membuat proyeksi kebutuhan ke depan untuk menjamin ketersediaan Aset Informasi yang dibutuhkan; e. memonitor dan mengevaluasi kapasitas dan ketersediaan Aset Informasi yang kritikal; f. melakukan pemisahan akses terhadap Informasi yang memiliki klasifikasi rahasia dan/ atau sangat rahasia; g. memisahkan lingkungan pengembangan, pengujian, dan operasional untuk mengurangi Risiko perubahan atau akses oleh pihak yang tidak berhak terhadap sistem operasional; . h. menerapkan sistem pendeteksian, pencegahan, dan pemulihan sebagai bentuk perlindungan terhadap ancaman malware; 1. melakukan perlindungan dengan cara memasang perangkat firewall, Intrusion Prevention System (IPS), antivirus, perangkat manajemen akses pengguna, dan perangkat monitoring/ pendukung lainnya sesuai perkembangan teknologi Keamanan Informasi; J. melakukan pembuatan backup informasi dan Aplikasi yang berada di Pusat Data dan/ atau TempatLayanan Informasi secara berkala sesuai dengan prosedur backup; k. mengambil dan menguji secara berkala salinan cadangan Data dan/ atau Informasi, Aplikasi, dan image sistem; 1. mencatat (logging) setiap aktivitas administrator, aktivitas pengguna, peristiwa kegagalan, dan kejadian keamanan serta disimpan dalam periode tertentu; m. melindungi sistem pencatatan (log) dari pemalsuan dan akses yang tidak berwenang; n. melakukan penilaian kerentanan terhadap perangkat informasi (vulnerability assessment) secara berkala; o. melakukan tindakan perlindungan terhadap kerentanan dan/ atau ancaman yang teridentifikasi; p. menerapkan pencatatan kesalahan untuk dianalisis dan diambil tindak pengamanan yang tepat; q. memastikan semua perangkat pengolah Informasi yang tersambung dengan jaringan telah disinkronisasi dengan sumber waktu yang akurat dan disepakati; dan r. menerapkan audit terhadap log yang mencatat aktivitas pengguna dan kejadian Keamanan Informasi

Isi peraturan

Teks20PDFHirarki

Memuat teks peraturan…