Badan Pendidikan dan Pelatihan Keuangan

Mukadimah
&#160;
Aset? Aset itu apa ya? Kabarnya aset itu barang-barang yang kita miliki, terkait bernilai atau tidaknya itu kita kembalikan ke diri kita sendiri. Namun, aset di sebuah organisasi itu seperti apa? Apakah hanya urusan bagian umum yang mengelola barang? atau jangan-jangan bukan hanya dibagian tersebut itu saja. Banyak definisi mengenai aset ini, dan tentunya tidak sedikit literatur yang membahas definisi aset ini dalam berbagai perspektif. Agar kita dalam satu sudut pandang yang sama,&#160; artikel ini mengambil definisi aset dalam konteks keamanan informasi berdasarkan standar ISO/IEC 27001.
<h3>Definisi Aset:</h3>
<ul>
<li>Aset adalah segala sesuatu yang memiliki nilai bagi organisasi. Ini tidak hanya mencakup barang fisik atau perangkat keras, tetapi juga termasuk perangkat lunak, informasi, manusia, dan reputasi.</li>
</ul>
<h3>Berbagai Bentuk Informasi (yang dianggap sebagai Aset):</h3>
<ol>
<li>
Tidak Berwujud:
<ul>
<li>Informasi yang tidak berbentuk fisik, seperti pengetahuan, pengalaman, keahlian, dan ide.</li>
</ul>
</li>
<li>
Verbal:
<ul>
<li>Informasi yang disampaikan secara verbal, seperti percakapan atau panggilan telepon.</li>
</ul>
</li>
<li>
Visual:
<ul>
<li>Informasi yang berbentuk visual, seperti video, diagram, atau bentuk visualisasi lainnya.</li>
</ul>
</li>
<li>
Dicetak atau Ditulis di Atas Kertas:
<ul>
<li>Informasi yang dicetak atau ditulis secara fisik, seperti dokumen kertas atau catatan yang ditulis tangan.</li>
</ul>
</li>
<li>
Disimpan Secara Elektronik:
<ul>
<li>Informasi yang disimpan dalam bentuk elektronik, seperti pada komputer, server, atau perangkat penyimpanan digital.</li>
</ul>
</li>
<li>
Ditransmisikan Melalui Pos atau Sarana Elektronik:
<ul>
<li>Informasi yang ditransmisikan melalui media pos atau sarana elektronik, seperti email, pesan teks, atau sistem komunikasi elektronik lainnya.</li>
</ul>
</li>
</ol>
Menurut uraian di atas, informasi dalam bentuk apa pun &#8212; baik yang tidak berwujud, verbal, visual, atau disimpan secara fisik maupun elektronik &#8212; adalah aset penting yang perlu dilindungi dalam kerangka manajemen keamanan informasi. Standar ISO/IEC 27000 menekankan bahwa semua bentuk aset ini harus dikelola dan dilindungi karena memiliki nilai bagi organisasi atau perusahaan.
Dalam artikel ini, kita akan menyoroti pentingnya Clean Desk Policy sebagai bagian dari upaya untuk melindungi aset informasi yang berbentuk fisik maupun digital, sebagaimana ditekankan dalam standar ISO 27001:2022. Penerapan kebijakan ini menjadi krusial untuk menjaga keamanan informasi di tempat kerja, memastikan bahwa dokumen penting tidak dibiarkan terbuka atau diakses oleh pihak yang tidak berwenang. Artikel ini kami sajikan dalam bentuk sebuah format cerita, sekiranya dapat mempermudah pemahaman bersama terkait Clean Desk Policy. &#160;Selamat membaca!
---
Pagi itu di ruang rapat sebuah perusahaan, tiga perwakilan dari berbagai divisi sedang berkumpul untuk membahas kebijakan baru terkait keamanan informasi. Pak Budi dari Bagian Umum (sebagai pengelola aset), Ibu Sinta dari Bagian Organisasi ( sebagai pembuat aturan/SOP), dan Pak Andi dari Bagian TI (pengelola Teknologi Informasi) mendiskusikan penerapan Clean Desk Policy untuk melindungi aset perusahaan, dengan merujuk pada standar ISO 27001:2022.&#160;
<hr />
<h3>Kasus Risiko: Kebocoran Informasi Akibat Kelalaian Clean Desk Policy</h3>
Pak Budi (Bagian Umum): "Bapak Ibu, saya dapat laporan kemarin dari tim keamanan kita. Dia melihat bahwa ada seorang kontraktor IT yang bekerja di salah satu ruangan menemukan beberapa dokumen proyek yang dibiarkan tergeletak dan terbuka di atas meja. Meski kontraktor itu tidak mengakses dokumen tersebut, tapi hal ini merupakan risiko yang tinggi. Kita bisa saja menghadapi kebocoran informasi yang serius jika dokumen-dokumen ini jatuh ke tangan yang salah."
Pak Andi (Bagian TIK): "Hmmm.. Ini merupakan sebuah pelanggaran yang sangat jelas terhadap A.5.12 - Classification of Information. Dimana informasi itu harus diklasifikasikan dengan benar sesuai dengan tingkat kerahasiaan. Begitu juga dengan akses ke informasi itu harus dibatasi sesuai dengan tingkat klasifikasinya. Kelalaian ini juga melanggar A.5.13 - Labelling of Information, karena dokumen-dokumen tersebut seharusnya diberi label yang jelas untuk memastikan setiap orang tahu cara memperlakukan setiap dokumen."
Ibu Sinta (Bagian Organisasi): "Benar sekali Pak Andi! Hal tersebut juga menyentuh kontrol A.8.2 - Privileged Access Rights, di mana akses ke informasi sensitif harus diatur secara ketat. Tidak semua orang boleh memiliki akses istimewa, dan hanya orang yang berwenang yang seharusnya dapat melihat atau memproses informasi dengan klasifikasi tertentu."
Pak Budi: "Baiklah Bapak Ibu, kejadian ini menjadi pelajaran besar bagi kita. Kita dengan segera perlu memperkuat Clean Desk Policy dan menerapkan kebijakan klasifikasi informasi serta hak akses yang lebih ketat untuk memastikan insiden ini tidak terjadi lagi."
<hr />
<h3>Best Practice Clean Desk Policy, Klasifikasi Informasi, dan Hak Akses Berdasarkan ISO 27001:2022</h3>
Ibu Sinta: "Kita harus segera membuat beberapa perubahan dan langkah nyata sesuai dengan ISO 27001:2022, terutama terkait kontrol A.5.10, A.5.12, A.5.13, A.6.3, A.7.1, A.7.14, dan A.8.2. Berikut beberapa tindakan konkret yang perlu kita tetapkan dan terapkan:"
<ol>
<li>
Klasifikasi Informasi yang Tepat "Mengacu pada kontrol A.5.12 - Classification of Information, kita harus menerapkan klasifikasi yang tepat berdasarkan tingkat kerahasiaan, integritas, dan ketersediaan informasi. Semua informasi sensitif harus diperlakukan sesuai dengan tingkat klasifikasinya, apakah 'Confidential', 'Internal Use Only', atau 'Public'. Akses ke dokumen sensitif harus dibatasi hanya pada pihak yang berwenang," kata Ibu Sinta. Pak Budi menambahkan: "Kami juga akan memastikan bahwa setiap departemen dan pegawai memahami klasifikasi ini dan mengikuti pedoman yang berlaku."
</li>
<li>
Pelabelan Dokumen yang Jelas Pak Andi: "Sesuai dengan kontrol A.5.13 - Labelling of Information, semua dokumen fisik dan digital harus diberi label yang jelas berdasarkan klasifikasinya. Ini akan mempermudah identifikasi dan penanganan informasi sesuai dengan tingkat sensitivitasnya, dan mencegah akses yang tidak disengaja." Ibu Sinta: "Jangan lupa, pelabelan juga berlaku untuk dokumen elektronik, di mana kita dapat menggunakan metadata untuk memfasilitasi pencarian dan pengelolaan informasi yang benar."
</li>
<li>
Pengelolaan Hak Akses Istimewa Pak Andi: "Menurut kontrol A.8.2 - Privileged Access Rights, hak akses istimewa harus dikelola dengan sangat hati-hati. Hanya individu yang memerlukan akses khusus yang boleh diberikan hak istimewa, dan harus ada proses otorisasi yang jelas sebelum hak tersebut diberikan. Kita juga perlu memantau semua aktivitas yang melibatkan akses istimewa melalui audit log." Ibu Sinta: "Hak akses ini harus dikelola dengan transparansi, dan diperiksa secara berkala untuk memastikan hanya orang yang berwenang yang memilikinya. Secara berkala ya, jangan di awal-awal saja pada semangat."
</li>
<li>
Simpan Dokumen Sensitif di Tempat Aman Pak Budi: "Mengacu pada kontrol A.5.10 - Acceptable Use of Information and Other Associated Assets, semua dokumen sensitif harus disimpan di tempat yang terkunci dan aman saat tidak digunakan. Akses ke dokumen tersebut harus dibatasi hanya untuk mereka yang berhak." Ibu Sinta: "Kita juga harus memastikan bahwa fasilitas penyimpanan aman tersedia di seluruh departemen."
</li>
<li>
Hancurkan Dokumen yang Tidak Diperlukan Pak Budi: "Mengacu pada kontrol A.7.14 - Secure Disposal or Re-use of Equipment, setiap dokumen yang tidak lagi diperlukan harus dihancurkan dengan aman menggunakan shredder, terutama yang mengandung informasi sensitif." Ibu Sinta: "Idealnya fasilitas penghancuran dokumen tersedia di setiap area kerja untuk memastikan tidak ada risiko kebocoran data dari dokumen yang dibuang."
</li>
<li>
Inspeksi Rutin oleh Tim Keamanan Ibu Sinta: "Untuk memastikan kepatuhan, inspeksi harian di akhir jam kerja akan dilakukan oleh tim keamanan, sesuai dengan A.7.1 - Physical Security Perimeters. Tim keamanan akan memeriksa apakah ada dokumen atau perangkat yang tertinggal tanpa pengamanan yang tepat." Pak Budi: "Siap, tim dari bagian umum akan bekerja sama dengan tim keamanan untuk memastikan bahwa inspeksi ini berjalan dengan lancar."
</li>
<li>
Pelatihan dan Kesadaran Keamanan Informasi Ibu Sinta: "Satu lagi, sesuai dengan kontrol A.6.3 - Information Security Awareness, Education, and Training, pelatihan tentang Clean Desk Policy, klasifikasi informasi, pengelolaan hak akses dan kontrol lainnya harus diberikan secara rutin. Karyawan harus memahami bahwa pelanggaran terhadap kebijakan ini dapat merusak reputasi perusahaan dan mengancam keamanan informasi." Pak Andi: "Iya benar, materi pelatihan juga harus tersedia secara online dan menjadi bagian dari onboarding bagi semua karyawan baru."
</li>
</ol>
<hr />
<h3>Mengatasi Risiko dan Mencegah Kerugian Reputasi</h3>
Pak Budi: "Meski insiden kemarin tidak menyebabkan kebocoran data, kita tidak bisa terus mengandalkan keberuntungan. Saya akan memastikan bahwa fasilitas penyimpanan aman tersedia di semua departemen, dan inspeksi harian dimulai untuk memastikan tidak ada lagi dokumen sensitif yang dibiarkan terbuka."
Pak Andi: "Mantap, bagian TI juga akan memastikan bahwa semua perangkat dilindungi dengan enkripsi, dan hak akses istimewa dikelola sesuai dengan kontrol A.8.2. Kita juga akan memperketat pengelolaan klasifikasi dan pelabelan dokumen sesuai dengan A.5.12 dan A.5.13."
Ibu Sinta: "Baiklah Bapak-bapak! Saya akan segera memperbarui SOP kita sesuai dengan ISO 27001:2022, dan mengatur pelatihan untuk memastikan bahwa setiap karyawan memahami dampak dari pelanggaran kebijakan ini, baik bagi reputasi perusahaan maupun bagi karir mereka sendiri."
<hr />
Kabarnya sore itu, kebijakan Clean Desk Policy yang diperketat segera diterapkan di seluruh perusahaan. Kolaborasi antara Bagian Umum, Organisasi, dan TI memastikan bahwa seluruh aset informasi, baik fisik maupun digital, terlindungi sesuai dengan standar ISO 27001:2022, terutama terkait kontrol A.5.10, A.5.12, A.5.13, A.6.3, A.7.1, A.7.14, dan A.8.2. Dengan begitu, harapannya semua pegawai juga mulai lebih sadar akan pentingnya menjaga informasi sensitif dan mematuhi klasifikasi serta hak akses yang ditetapkan oleh perusahaan.
---
&#160;
&#160;
Disclaimer:
Kami mengakui kontribusi berharga AI dalam memfasilitasi pembuatan artikel berseri ini . Secara khusus, ChatGPT - ISO27001:2022 Implementation assistant digunakan untuk membantu mengidentifikasi referensi yang relevan, merangkum informasi teknis, serta menyusun struktur artikel. Hasil keluaran AI ini ditinjau, divalidasi, dan disempurnakan oleh penulis untuk memastikan keakuratan dan relevansi terhadap tujuan artikel.
Meskipun AI berperan dalam penyusunan artikel ini, penulis bertanggung jawab penuh atas konten akhir dan kesimpulan yang disajikan dalam artikel ini.

Artikel ini membahas pentingnya penerapan Clean Desk Policy dalam konteks keamanan siber dan perlindungan aset informasi, berdasarkan standar ISO 27001:2022. Melalui skenario cerita dialog antara tiga departemen (Bagian Umum, Organisasi, dan TI), artikel ini menyoroti risiko nyata dari kelalaian dalam pengelolaan informasi sensitif, serta pentingnya langkah-langkah preventif seperti klasifikasi informasi, pelabelan yang tepat, dan pengelolaan hak akses istimewa.
Artikel ini juga mengintegrasikan kontrol spesifik dari ISO 27001:2022, yang meliputi A.5.10 - Acceptable Use of Information and Other Associated Assets, A.5.12 - Classification of Information, A.5.13 - Labelling of Information, A.6.3 - Information Security Awareness, Education, and Training, A.7.1 - Physical Security Perimeters,&#160; A.7.14 - Secure Disposal or Re-use of Equipment dan A.8.2 - Privileged Access Rights, yang menekankan pentingnya klasifikasi informasi dan perlindungan terhadap akses yang tidak sah.&#160;