KEBIJAKAN KEAMANAN INFORMASI SIP SHIELD

1. Tujuan dan Ruang Lingkup

1.1 Kebijakan ini merangkum pendekatan keamanan informasi umum Penyedia untuk Layanan.

1.2 Kebijakan ini berlaku untuk Layanan dan personel atau pihak ketiga yang berwenang untuk mengelola atau mendukung Layanan.

2. Definisi

Untuk tujuan Kebijakan ini:

“Pelanggan” berarti setiap individu atau badan hukum yang berlangganan, membeli, mengakses, atau menggunakan Layanan.

“Data Pelanggan” berarti setiap data, data operasional terkait kotak surat, data akun, data dukungan, data konfigurasi, data teknis, data pribadi, dan informasi lainnya yang dikirimkan oleh, untuk, atau atas nama Pelanggan, atau diproses sehubungan dengan Layanan.

“Layanan” berarti akses situs web SIP Shield, dasbor, agen desktop, orientasi, dukungan, pemeliharaan, pembaruan, dan layanan terkait yang disediakan oleh Penyedia.

3. Tujuan Keamanan

Tujuan keamanan penyedia adalah untuk mendukung:

A. kerahasiaan informasi;

B. integritas sistem dan data;

C. ketersediaan dan ketahanan layanan;

D. akuntabilitas dalam akses dan tindakan administratif;

e. respons tepat waktu terhadap insiden dan kerentanan; Dan

F. penanganan Data Pelanggan secara sah dan bertanggung jawab.

4. Prinsip Keamanan

Penyedia bertujuan untuk beroperasi sesuai dengan prinsip-prinsip berikut:

A. akses dengan hak paling rendah;

B. akses data yang perlu diketahui;

C. pertahanan mendalam;

D. konfigurasi aman dan kontrol perubahan;

e. minimalisasi data;

F. pencatatan dan akuntabilitas;

G. kesiapsiagaan insiden; Dan

H. perbaikan berkelanjutan.

5. Kontrol Akses

5.1 Akses ke sistem, dasbor, alat internal, dan lingkungan operasional harus dibatasi hanya untuk personel yang berwenang dengan kebutuhan bisnis yang sah.

5.2 Akses administratif harus dibatasi, jika memungkinkan, berdasarkan peran, dan ditinjau secara berkala.

5.3 Kredensial bersama harus dihindari sedapat mungkin, dan akses harus segera dicabut atau diperbarui bila tidak lagi diperlukan.

6. Penanganan Kredensial

6.1 Penyedia menyadari bahwa kredensial kotak surat, rahasia, dan token akses bersifat sensitif.

6.2 Apabila Layanan dirancang untuk menggunakan penanganan desktop lokal untuk akses kotak surat, Penyedia bertujuan untuk mempertahankan arsitektur tersebut dengan cara yang mengurangi penyimpanan kredensial yang tidak perlu pada sistem terpusat.

6.3 Apabila kredensial, token, rahasia, atau artefak konfigurasi harus ditangani secara operasional, Penyedia bertujuan untuk menerapkan langkah-langkah keamanan yang sesuai, akses terbatas, dan penyimpanan terkontrol.

7. Keamanan dan Pengerasan Sistem

Penyedia bertujuan untuk menerapkan tindakan teknis dan organisasi yang wajar, yang dapat mencakup:

A. standar konfigurasi yang aman;

B. menambal dan memperbarui proses;

C. perlindungan malware dan perlindungan titik akhir jika relevan;

D. pemisahan lingkungan jika memungkinkan;

e. jalur administratif yang terbatas;

F. pencatatan dan pemantauan kejadian sistem yang penting; Dan

G. tindakan yang dimaksudkan untuk mengurangi akses tidak sah, penyalahgunaan, atau gangguan layanan.

8. Perlindungan Data

Penyedia berupaya melindungi Data Pelanggan dan data pribadi dengan cara yang sesuai dengan Kebijakan Privasi dan hukum yang berlaku.

Penyedia bertujuan untuk:

A. hanya mengumpulkan data yang diperlukan secara wajar untuk pengoperasian, dukungan, keamanan, dan peningkatan Layanan;

B. membatasi akses internal ke Data Pelanggan;

C. menggunakan praktik transmisi dan penyimpanan yang aman jika diperlukan;

D. menyimpan data hanya jika diperlukan secara wajar atau diwajibkan secara hukum; Dan

e. menghapus, menganonimkan, atau membuang data dengan aman saat tidak diperlukan lagi.

9. Pencatatan, Pemantauan, dan Auditabilitas

9.1 Penyedia dapat menyimpan log, peringatan, dan catatan operasional yang diperlukan untuk mendukung keamanan, pemecahan masalah, pencegahan penipuan, integritas sistem, dan kepatuhan.

9.2 Akses terhadap catatan tersebut harus dibatasi pada personel yang berwenang.

10. Kerentanan dan Manajemen Insiden

10.1 Penyedia bertujuan untuk mengidentifikasi, menilai, memprioritaskan, dan mengatasi kerentanan dan kelemahan keamanan dalam waktu yang wajar berdasarkan tingkat keparahan, risiko operasional, dan kelayakan teknis.

10.2 Penyedia bertujuan untuk menyelidiki kejadian keamanan yang kredibel dan mengambil tindakan penahanan, remediasi, dan pemulihan yang wajar.

10.3 Jika diwajibkan oleh hukum, kontrak, atau keadaan insiden penting, Penyedia dapat memberi tahu pelanggan yang terkena dampak atau pihak berwenang yang berwenang.

11. Keberlangsungan dan Ketahanan Usaha

Penyedia berupaya untuk mempertahankan langkah-langkah yang wajar untuk mendukung kelangsungan layanan dan ketahanan operasional, yang mungkin mencakup praktik pencadangan, prosedur pemulihan, perencanaan redundansi, eskalasi insiden, dan aktivitas pemeliharaan terkendali.

12. Tanggung Jawab Pelanggan

Keamanan adalah tanggung jawab bersama. Pelanggan diharapkan untuk:

A. menjaga keamanan perangkat dan lingkungan pengoperasian;

B. melindungi kredensial dan akun administratornya sendiri;

C. memastikan otoritas yang sah untuk setiap Kotak Surat atau sistem yang terhubung ke Layanan;

D. segera melaporkan dugaan penyalahgunaan, kompromi, atau perilaku tidak normal; Dan

e. ikuti penerapan, dukungan, dan panduan operasional jika relevan.

13. Keterbatasan

Tidak ada kerangka keamanan, lingkungan perangkat lunak, tumpukan infrastruktur, atau layanan berbasis internet yang dapat menjamin keamanan mutlak. Oleh karena itu, meskipun Penyedia bertujuan untuk menerapkan perlindungan yang wajar, Penyedia tidak menjamin bahwa Layanan akan kebal dari semua kerentanan, serangan, kegagalan, atau tindakan tidak sah.

14. Melaporkan Masalah Keamanan

Masalah keamanan, dugaan kerentanan, atau pemberitahuan insiden dapat diarahkan ke:

15. Kaitannya dengan Dokumen Lain

Kebijakan ini harus dibaca bersama dengan Syarat dan Ketentuan SIP Shield, Kebijakan Privasi SIP Shield, Kebijakan Etika dan Penggunaan yang Bertanggung Jawab SIP Shield, dan Kebijakan Anti-Suap, Anti-Korupsi, Anti-Kolusi, dan Anti-Gratifikasi SIP Shield.

16. Perubahan Kebijakan ini

Penyedia dapat mengubah Kebijakan ini dari waktu ke waktu. Versi yang diperbarui mulai berlaku setelah dipublikasikan kecuali dinyatakan lain.