Dalam beberapa tahun terakhir, pemerintah di banyak negara di seluruh dunia menjadi peka terhadap kurangnya perlindungan data konsumen oleh perusahaan. Banyak dari mereka telah memberlakukan berbagai undang-undang dan peraturan untuk melindungi data sensitif ini. Akhir tahun 1990-an dan awal 2000-an menyaksikan pengesahan banyak undang-undang tentang keamanan informasi, data privacydan akuntabilitas. Sayangnya, hal ini telah menyebabkan masalah hukum yang rumit bagi perusahaan-perusahaan tersebut.
Apa tujuan dari peraturan tersebut?
Sebagian besar undang-undang ditetapkan untuk melindungi kerahasiaan, integritas, dan ketersediaan informasi yang berdampak pada pemangku kepentingan organisasi (termasuk pelanggannya). Berbagai undang-undang yang berlaku memiliki tujuan berikut:
- Tetapkan dan terapkan kontrol untuk perlindungan data
- Memelihara, melindungi, dan menilai masalah kepatuhan
- Mengidentifikasi dan memperbaiki kerentanan dan penyimpangan
- Memberikan pelaporan yang dapat membuktikan kepatuhan organisasi
Beberapa undang-undang utama yang bertujuan untuk mencapai tujuan yang disebutkan di atas adalah:
- Undang-Undang Sarbanes-Oxley (SOX): Undang-undang ini ditetapkan untuk melindungi investor dan mengamanatkan reformasi ketat untuk meningkatkan pengungkapan keuangan guna mencegah penipuan akuntansi.
- Undang-Undang Gramm-Leach-Bliley: (GLBA): Undang-undang ini diberlakukan di AS untuk melindungi privasi dan keamanan informasi keuangan yang dapat diidentifikasi secara individual yang dikumpulkan, disimpan, dan diproses oleh lembaga keuangan.
- Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA): Peraturan dalam undang-undang ini berfokus pada Informasi Kesehatan yang Dilindungi yang dikumpulkan oleh operasional layanan kesehatan, termasuk penyedia asuransi. Perusahaan non-layanan kesehatan juga dapat terdampak oleh hal ini jika mereka berinteraksi dengan perusahaan yang secara langsung terdampak oleh peraturan tersebut.
- Undang-Undang Manajemen Keamanan Informasi Federal tahun 2002 (FISMA)): Undang-undang ini diberlakukan untuk meningkatkan keamanan komputer dan keamanan jaringan di dalam Pemerintah Federal AS dan pihak-pihak yang berafiliasi. Setiap organisasi yang bertindak sebagai kontraktor bagi Pemerintah Federal AS harus mematuhi ketentuan undang-undang ini.
Ini hanyalah beberapa peraturan di Amerika Serikat saja. Namun, peraturan ini juga berdampak pada organisasi dari banyak negara lain yang berbisnis dengan Pemerintah AS atau perusahaan yang berbasis di AS. Negara-negara lain memiliki ketentuan serupa untuk organisasi yang beroperasi atau melayani pasar mereka. Mematuhi peraturan ini meningkatkan keamanan dan integritas data yang mereka kumpulkan, simpan, dan andalkan untuk operasionalnya.
Rencana Tanggap Insiden
Apa yang harus dilakukan jika terjadi insiden keamanan?
Meskipun telah dilakukan pengawasan dan pengendalian terbaik, akan tetap ada insiden keamanan yang perlu ditangani saat terjadi. Setiap organisasi membutuhkan rencana respons insiden , tidak hanya untuk mematuhi peraturan tetapi juga untuk memastikan bahwa mereka menanganinya secara terstruktur dan meminimalkan terulangnya insiden tersebut. Program yang dirancang dengan baik membantu organisasi untuk menangani peristiwa dengan cepat dan efisien tanpa panik.
Beberapa elemen kunci dari rencana respons insiden yang baik adalah:
- Ruang lingkup dan tujuan: Ini mendefinisikan elemen-elemen fundamental dari rencana tersebut. Rencana ini mencakup peristiwa, sistem, titik akhir, dll. yang perlu dicapai.
- Tim tanggap insiden, kontak, ke tanggung jawabPenting bagi setiap orang untuk mengetahui siapa yang harus dihubungi jika terjadi keadaan darurat (insiden). Detail kontak seperti nama, nomor kontak, dan peran harus ditentukan dan disepakati. Tim tanggap darurat harus mencakup penanggung jawab utama dan penanggung jawab cadangan untuk setiap peran.
- Proses notifikasi: Komunikasi tentang terjadinya insiden kepada pihak-pihak yang terdampak merupakan keharusan mutlak. Komunikasi tersebut perlu mengalir ke seluruh rantai komando dan organisasi agar mereka dapat segera mengambil langkah-langkah perbaikan dan mencegah kerusakan lebih lanjut. Rencana respons insiden harus mencakup rencana komunikasi dan pemberitahuan yang jelas, beserta kontak dan jadwal yang ditentukan. Proses pemberitahuan harus sesederhana mungkin. Jangan sampai ada yang membuang waktu untuk mencoba memahami maksud rencana tersebut, sementara kehilangan data masih terjadi.
- Kegiatan darurat: Bagian ini harus mencantumkan proses yang harus diikuti untuk segera menghentikan pelanggaran. Proses ini bisa berupa patch penting untuk sistem operasi atau perangkat lunak keamanan (firewall atau antivirus, dll.), atau isolasi menyeluruh sistem yang terdampak dari seluruh jaringan. Aktivitas darurat harus mencakup tindakan utama yang diambil oleh setiap tim di areanya.
- Insiden penutup: Bagian ini mendefinisikan elemen inti yang akan menentukan penutupan insiden keamanan. Apakah itu pemblokiran kebocoran informasi (menambal perangkat lunak atau mengisolasinya dari jaringan), pelaporan dan inisiasi proses hukum, atau pemulihan layanan? Rencana tersebut harus menunjukkan titik di mana keadaan darurat (insiden) dinyatakan selesai (dan bukan sebelumnya).
Manajemen Rencana Insiden
Ini adalah salah satu bagian terpenting dalam mengelola insiden. Tugas tim manajemen insiden tidak selesai hanya dengan memiliki rencana. Karena ancaman siber baru muncul setiap hari, rencana respons insiden harus dievaluasi ulang secara berkala untuk memastikannya sesuai dengan perubahan dalam lingkungan bisnis dan ancaman. Efektivitas rencana dapat dinilai menggunakan kriteria berikut:
- Jumlah insiden yang dilaporkan
- Waktu respons atau waktu hidup suatu insiden
- Jumlah insiden yang berhasil diselesaikan
- Perhatian terhadap masalah keamanan dalam organisasi
- Teknik pencegahan dan praktik keamanan diterapkan
- Tolok ukur terhadap standar industri
Keamanan informasi merupakan tanggung jawab bersama setiap individu. Suatu organisasi dapat menunjuk satu orang (CISO) atau satu tim untuk memimpin inisiatif keamanan. Keberhasilannya tidak akan tercapai jika semua orang bekerja sama untuk memitigasi ancaman dan terhindar dari insiden. Jika terjadi pelanggaran keamanan data, Rencana Manajemen Insiden membantu organisasi berkolaborasi dan menangani keadaan darurat secara kohesif.
Seqrite membantu bisnis menyederhanakan keamanan TI dan memaksimalkan kinerja bisnis. Untuk mengetahui lebih lanjut tentang produk dan layanan kami, kunjungi website kami.
