Materi
NIST SP 800-12 Rev. 1 mendefinisikan kebijakan keamanan informasi sebagai kumpulan arahan, aturan, dan praktik yang menetapkan cara organisasi mengelola, melindungi, dan menyebarkan informasi. Karena kebijakan ditulis di tingkat yang luas, organisasi menurunkannya ke tiga jenis dokumen. Standar organisasi menetapkan pemakaian seragam teknologi, parameter, atau prosedur tertentu, dan pada umumnya wajib. Pedoman membantu pengguna dan staf sistem mengamankan sistemnya; karena sistem berbeda-beda, pedoman boleh dijalankan dengan lebih dari satu cara yang benar. Prosedur adalah langkah rinci untuk menyelesaikan satu tugas, misalnya menyiapkan akun pengguna baru dan memberinya hak yang sesuai.
| Kalimat di dokumen PT Sinar Rempah | Jenis dokumen |
|---|---|
| Data pelanggan dilindungi sesuai klasifikasinya; manajer TI bertanggung jawab atas program keamanan. | Kebijakan |
| Semua laptop kantor memakai enkripsi disk penuh. | Standar |
| Beberapa cara menyusun frasa sandi yang mudah diingat. | Pedoman |
| Langkah 1–7 membuat akun karyawan baru di sistem gaji. | Prosedur |
Bab 3 SP 800-12 membagi peran. Pemilik informasi menetapkan aturan pemakaian dan perlindungan informasinya serta memberi masukan kontrol kepada pemilik sistem. Pemilik sistem bertanggung jawab atas pengadaan, pengembangan, operasi, pemeliharaan, sampai pemusnahan sistem. Admin sistem memasang, mengonfigurasi, dan memperbarui perangkat, mengelola akun, mengawasi cadangan, dan menerapkan kontrol teknis. Pengguna mematuhi kebijakan pemakaian dan melaporkan kejanggalan. CSF 2.0 meminta peran, tanggung jawab, dan wewenang itu ditetapkan, dikomunikasikan, dipahami, dan ditegakkan (GV.RR-02), serta kebijakan ditinjau dan diperbarui saat kebutuhan, ancaman, atau teknologi berubah (GV.PO-02).
