Kebijakan dan Prosedur Sistem Manajemen Keamanan Informasi

Bagian 1Pernyataan Komitmen

Direksi PT Trisaka Digital Indonesia berkomitmen melindungi kerahasiaan, keutuhan, dan ketersediaan informasi yang dikelola dalam penyelenggaraan layanan registrar, khususnya data Registran dan koneksi ke sistem Registri. Komitmen ini diwujudkan dengan menetapkan, menerapkan, memelihara, dan terus meningkatkan Sistem Manajemen Keamanan Informasi (SMKI).

Bagian 2Tujuan

1. Melindungi data Registran dan data pribadi Pengguna dari akses, perubahan, pengungkapan, dan penghapusan yang tidak sah.
2. Menjamin perintah ke sistem Registri hanya dikirim oleh pihak yang berwenang.
3. Menjaga ketersediaan panel pelanggan, layanan RDAP, dan saluran penanganan penyalahgunaan.
4. Memenuhi peraturan perundang-undangan, persyaratan akreditasi PANDI, dan kewajiban kontraktual.

Bagian 3Acuan

1. Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik beserta perubahannya;
2. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi;
3. Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik;
4. Peraturan Badan Siber dan Sandi Negara Nomor 8 Tahun 2020 tentang Sistem Pengamanan dalam Penyelenggaraan Sistem Elektronik;
5. Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2020 tentang Penyelenggara Sistem Elektronik Lingkup Privat beserta perubahannya;
6. SNI ISO/IEC 27001 tentang Sistem Manajemen Keamanan Informasi; dan
7. perjanjian akreditasi registrar dan kebijakan teknis PANDI.

Bagian 4Ruang Lingkup

SMKI mencakup seluruh informasi, sistem, personel, dan pemasok yang terlibat dalam:

1. panel pelanggan dan antarmuka pemrograman reseller;
2. koneksi EPP ke sistem Registri beserta sertifikat dan kredensialnya;
3. layanan RDAP registrar, pengelolaan DNS, dan penitipan data;
4. sistem penagihan, pembayaran, dan dukungan pelanggan; serta
5. perangkat kerja dan akun personel yang dapat mengakses sistem tersebut.

Bagian 5Organisasi dan Tanggung Jawab

1. Direksi bertanggung jawab atas penetapan kebijakan, penyediaan sumber daya, dan tinjauan manajemen.
2. Penanggung jawab keamanan informasi ditunjuk oleh Direksi untuk mengoordinasikan penilaian risiko, pengendalian, penanganan insiden, dan pelaporan kepada Direksi.
3. Pejabat pelindungan data pribadi memastikan pemrosesan data pribadi sesuai peraturan perundang-undangan.
4. Setiap personel dan mitra wajib mematuhi kebijakan ini serta melaporkan kelemahan dan insiden keamanan yang diketahuinya.

Bagian 6Manajemen Risiko

1. Penilaian risiko dilakukan sekurang-kurangnya sekali setahun dan setiap kali terjadi perubahan signifikan pada sistem, proses, atau ancaman.
2. Risiko dinilai berdasarkan kemungkinan dan dampaknya, lalu ditangani dengan memilih pengendalian yang sesuai. Risiko sisa harus disetujui oleh pemilik risiko.

Bagian 7Klasifikasi Informasi

Informasi diklasifikasikan dan diperlakukan sebagai berikut:

Bagian 8Pengendalian Akses

1. Akses diberikan berdasarkan prinsip kebutuhan minimum dan pemisahan tugas.
2. Akses ke sistem produksi, konsol awan, dan sistem Registri wajib menggunakan autentikasi multifaktor.
3. Hak akses ditinjau setiap 3 (tiga) bulan dan dicabut paling lambat 1 (satu) Hari Kerja setelah personel berhenti atau berpindah tugas.
4. Akun bersama tidak diperbolehkan, kecuali akun layanan yang tercatat dan memiliki penanggung jawab.
5. Pengguna panel dapat mengaktifkan autentikasi dua langkah, dan tindakan sensitif memerlukan konfirmasi tambahan.

Bagian 9Kriptografi

1. Seluruh lalu lintas ke panel, API, dan RDAP menggunakan TLS versi 1.2 atau yang lebih baru.
2. Koneksi ke sistem Registri menggunakan sertifikat klien dan daftar alamat IP yang diizinkan.
3. Data kelas Rahasia dan Terbatas dienkripsi saat disimpan. Kata sandi disimpan dalam bentuk hash dengan algoritme yang dirancang khusus untuk kata sandi.
4. Kunci kriptografi dikelola secara terpisah dari data, dirotasi secara berkala, dan segera diganti apabila diduga bocor.

Bagian 10Keamanan Operasional

1. Lingkungan pengembangan, pengujian, dan produksi dipisahkan. Data produksi tidak digunakan untuk pengujian tanpa penyamaran.
2. Pembaruan keamanan kritis dipasang paling lambat 14 (empat belas) hari sejak tersedia, atau lebih cepat apabila kerentanan sedang dieksploitasi.
3. Log akses, log perintah ke Registri, dan log perubahan data disimpan sekurang-kurangnya 1 (satu) tahun dan dilindungi dari perubahan.
4. Pemantauan dilakukan terus-menerus untuk mendeteksi akses tidak wajar, lonjakan permintaan, dan perubahan massal data domain.
5. Perubahan pada sistem produksi melalui proses peninjauan dan dapat dikembalikan ke kondisi sebelumnya.

Bagian 11Pencadangan dan Penitipan Data

1. Basis data dicadangkan setiap hari, dienkripsi, dan disimpan di lokasi yang terpisah dari sistem utama.
2. Uji pemulihan cadangan dilakukan sekurang-kurangnya setiap 6 (enam) bulan dan hasilnya didokumentasikan.
3. Data pendaftaran nama domain dititipkan secara berkala kepada penyedia penitipan data sesuai ketentuan Registri.

Bagian 12Prosedur Penanganan Insiden

Setiap insiden keamanan informasi ditangani melalui tahapan berikut:

1. Pelaporan. Personel, mitra, atau pihak luar melaporkan dugaan insiden kepada penanggung jawab keamanan informasi melalui kanal internal atau support@tdihost.id.
2. Triase. Laporan dinilai dalam waktu paling lambat 4 (empat) jam untuk menentukan tingkat keparahan: kritis, tinggi, sedang, atau rendah.
3. Penahanan. Dampak dibatasi, misalnya dengan mencabut kredensial, mengisolasi sistem, atau mengunci nama domain yang terdampak.
4. Pemberantasan dan pemulihan. Penyebab dihilangkan, sistem dipulihkan dari kondisi yang diketahui aman, dan fungsinya diverifikasi.
5. Pemberitahuan. Insiden yang berdampak pada sistem Registri dilaporkan kepada PANDI sesegera mungkin. Kegagalan pelindungan data pribadi diberitahukan secara tertulis kepada subjek data dan lembaga yang berwenang paling lambat 3×24 (tiga kali dua puluh empat) jam sesuai Undang-Undang Pelindungan Data Pribadi. Insiden siber yang wajib dilaporkan disampaikan pula kepada Badan Siber dan Sandi Negara.
6. Evaluasi. Laporan pascainsiden disusun paling lambat 10 (sepuluh) Hari Kerja setelah pemulihan, memuat akar masalah dan tindakan perbaikan.

Bagian 13Kelangsungan Usaha

1. Rencana kelangsungan usaha dan pemulihan bencana ditetapkan untuk layanan utama, dengan sasaran waktu pemulihan panel dan koneksi Registri paling lama 4 (empat) jam dan sasaran titik pemulihan data paling lama 24 (dua puluh empat) jam.
2. Rencana tersebut diuji sekurang-kurangnya sekali setahun.

Bagian 14Keamanan Sumber Daya Manusia

1. Calon personel yang akan mengakses data Rahasia atau Terbatas menjalani pemeriksaan latar belakang sesuai peraturan.
2. Setiap personel menandatangani perjanjian kerahasiaan sebelum diberi akses.
3. Pelatihan kesadaran keamanan informasi diberikan saat orientasi dan sekurang-kurangnya sekali setahun.

Bagian 15Keamanan Pemasok

Pemasok yang memproses data atau menyediakan infrastruktur penting, seperti penyedia pusat data, layanan awan, dan gerbang pembayaran, dipilih berdasarkan penilaian keamanan, terikat perjanjian kerahasiaan dan pelindungan data, serta ditinjau secara berkala.

Bagian 16Keamanan Fisik

Sistem produksi ditempatkan di pusat data yang memiliki pengendalian akses fisik, pemantauan kamera, catu daya cadangan, dan proteksi kebakaran. Perangkat kerja personel wajib menggunakan enkripsi penyimpanan dan penguncian layar otomatis.

Bagian 17Pelaporan Kerentanan

1. Kami menghargai peneliti keamanan yang melaporkan kerentanan secara bertanggung jawab. Laporan dapat dikirim ke support@tdihost.id dengan subjek “Laporan Kerentanan”.
2. Pelapor diminta tidak mengakses data milik orang lain, tidak mengganggu layanan, dan tidak memublikasikan kerentanan sebelum kami memperbaikinya atau sebelum 90 (sembilan puluh) hari sejak laporan diterima.
3. Kami mengonfirmasi penerimaan laporan dalam waktu 3 (tiga) Hari Kerja.

Bagian 18Kepatuhan, Audit, dan Sanksi

1. Audit internal SMKI dilaksanakan sekurang-kurangnya sekali setahun, dan hasilnya dibahas dalam tinjauan manajemen.
2. Registrar bersedia menjalani audit atau pemeriksaan oleh Registri dan instansi berwenang sesuai ketentuan yang berlaku.
3. Pelanggaran terhadap kebijakan ini oleh personel dikenai sanksi sesuai peraturan perusahaan, tanpa mengurangi tuntutan hukum yang dapat diajukan.

Bagian 19Peninjauan Kebijakan

Kebijakan ini ditinjau sekurang-kurangnya sekali setahun atau ketika terjadi perubahan peraturan, kebijakan Registri, maupun ancaman yang signifikan. Versi terbaru selalu dipublikasikan pada halaman ini. Informasi tentang penyalahgunaan nama domain dapat dilaporkan melalui formulir laporan penyalahgunaan.