Kebijakan Keamanan Informasi

1. Tujuan

Kebijakan ini menetapkan hal-hal yang diperlukan untuk melindungi informasi penting yang ditangani Perusahaan (informasi pribadi pelanggan, penyewa, pemilik properti dan mitra usaha, rahasia dagang, serta rahasia yang diketahui dalam menjalankan pekerjaan) dari kebocoran, pengubahan, kehilangan dan ancaman lainnya, serta untuk menjaga kelangsungan usaha secara stabil.

2. Ruang lingkup

Kebijakan ini berlaku bagi direksi dan karyawan Perusahaan (termasuk karyawan paruh waktu, pekerja lepas dan tenaga alih daya) serta pihak ketiga yang menerima pekerjaan dari Perusahaan, dan mencakup seluruh informasi dan sistem informasi yang digunakan dalam kegiatan usaha (komputer, ponsel pintar, layanan cloud, dokumen, media penyimpanan dan sejenisnya).

3. Tanggung jawab manajemen dan struktur organisasi

Perusahaan menempatkan keamanan informasi sebagai isu manajemen yang penting dan menunjuk Direktur Utama sebagai penanggung jawab tertinggi keamanan informasi. Penanggung jawab tertinggi memastikan tersedianya struktur dan sumber daya yang diperlukan untuk pelaksanaan langkah-langkah pengamanan, serta secara berkala memeriksa pelaksanaan Kebijakan ini.

4. Pelaksanaan langkah keamanan informasi

Dengan mengacu pada “Pedoman Langkah Keamanan Informasi untuk Usaha Kecil dan Menengah” dari Information-technology Promotion Agency, Japan (IPA), Perusahaan melaksanakan langkah-langkah berikut.

(1) Langkah dasar

• Menjaga sistem operasi dan perangkat lunak pada komputer, ponsel pintar dan perangkat sejenis selalu dalam versi terbaru.
• Mengaktifkan fungsi antivirus dan menjaga berkas definisi tetap terbaru.
• Menetapkan kata sandi yang sulit ditebak dan menggunakan autentikasi multifaktor bila memungkinkan. Penggunaan ulang kata sandi dilarang.
• Membatasi pengaturan berbagi berkas dan folder hanya kepada pihak yang memerlukannya untuk pekerjaan.
• Mencadangkan informasi penting secara berkala untuk mengantisipasi kerusakan perangkat, kesalahan pengoperasian, infeksi virus dan hal serupa.
• Mengumpulkan informasi mengenai ancaman dan modus serangan baru serta membagikannya di dalam perusahaan.

(2) Langkah dalam pekerjaan sehari-hari

• Tidak sembarangan membuka lampiran surel atau URL di dalam badan pesan, dan memeriksa surel mencurigakan sebelum membukanya.
• Memeriksa tujuan sebelum mengirim, untuk mencegah salah kirim surel dan faks.
• Menyerahkan informasi penting melalui cara yang aman seperti enkripsi atau perlindungan kata sandi.
• Mengatur metode enkripsi yang sesuai pada LAN nirkabel yang digunakan untuk pekerjaan.
• Mengikuti aturan yang telah ditetapkan dalam penggunaan internet dan media sosial, termasuk tidak menuliskan informasi yang diketahui dari pekerjaan.
• Tidak membiarkan dokumen dan media penyimpanan berisi informasi penting di atas meja, dan menyimpannya di tempat yang dapat dikunci. Saat dibawa keluar, diambil langkah pencegahan terhadap pencurian dan kehilangan.
• Memusnahkan dokumen dan media penyimpanan yang tidak lagi diperlukan dengan cara yang tidak dapat dipulihkan.
• Mengunci layar saat meninggalkan meja dan menyimpan komputer serta perangkat lain dengan aman saat pulang kerja.
• Membatasi masuknya pihak yang tidak berkepentingan ke dalam kantor.
• Tidak memuat informasi yang tidak semestinya dipublikasikan di situs web maupun media lain.

(3) Langkah pada tingkat organisasi

• Memberikan edukasi dan pengingat mengenai keamanan informasi kepada direksi dan karyawan secara berkelanjutan.
• Menetapkan dengan jelas ketentuan penggunaan perangkat milik pribadi untuk keperluan pekerjaan.
• Mencantumkan klausul kerahasiaan dalam kontrak untuk transaksi yang melibatkan pertukaran informasi penting.
• Memilih layanan cloud dan layanan eksternal lainnya setelah memastikan keamanan dan keandalannya.
• Menuangkan langkah keamanan informasi ke dalam aturan tertulis dan menyampaikannya kepada direksi dan karyawan.

5. Kepatuhan terhadap peraturan dan persyaratan kontrak

Perusahaan mematuhi Undang-Undang Perlindungan Informasi Pribadi, Pasal 45 Undang-Undang Usaha Transaksi Tanah Kavling dan Bangunan (kewajiban menjaga rahasia yang diketahui dalam pekerjaan), Undang-Undang Pencegahan Persaingan Curang serta peraturan dan norma terkait lainnya, termasuk kewajiban kerahasiaan berdasarkan kontrak dengan mitra usaha. Penanganan informasi pribadi secara rinci diatur dalam Kebijakan Privasi.

6. Pengelolaan pihak penerima pekerjaan

Apabila seluruh atau sebagian pekerjaan dialihdayakan, Perusahaan memilih penerima pekerjaan setelah memastikan kondisi langkah keamanan informasinya, membuat kontrak yang memuat kewajiban kerahasiaan, dan melakukan pengawasan yang diperlukan dan memadai.

7. Penanganan saat terjadi insiden

Perusahaan menyiapkan jalur komunikasi darurat dan prosedur penanganan untuk insiden keamanan informasi maupun dugaan insiden. Apabila insiden terjadi, prioritas utama adalah mencegah meluasnya kerugian; Perusahaan segera melapor kepada pelanggan, mitra usaha dan instansi pengawas terkait, menyelidiki penyebabnya, dan menerapkan langkah pencegahan agar tidak terulang.

8. Peninjauan berkelanjutan

Perusahaan memeriksa pelaksanaan Kebijakan ini sekurang-kurangnya sekali setahun, dan meninjau kembali Kebijakan beserta aturan internal terkait sesuai perubahan kegiatan usaha dan munculnya ancaman baru, serta memperbaikinya secara berkelanjutan.

*Kebijakan ini disusun dengan mengacu pada “Pedoman Langkah Keamanan Informasi untuk Usaha Kecil dan Menengah (edisi ke-4)” beserta lampirannya “Pemeriksaan Mandiri Keamanan Informasi dalam 5 Menit” dari Information-technology Promotion Agency, Japan (IPA).