SURAT PEKELILING ICT NO. 5/2012 DARIPADA: Setiausaha Kerajaan Negeri KEPADA: Semua Setiausaha Tetap Kementerian Semua Ketua Jabatan Negeri Semua Residen dan Pegawai Daerah Semua Pihak Berkuasa Tempatan Semua Badan Berkanun Negeri PERKARA: PENILAIAN TAHAP KESELAMATAN RANGKAIAN DAN SISTEM ICT SEKTORAWAM RUJ. KAMI: JKM/ICTU/100-15.02 KLT.1(J4 ) TARIKH: ] Disember 2012 1. TUJUAN 1.1 Surat Pekeliling ini bertujuan untuk memaklumkan bahawa Kerajaan Negeri mengambil maklum kepentingan penilaian tahap keselamatan rangkaian dan system ICT sektor awam. Oleh yang demikian, semua agensi Kerajaan Negeri digalakkan untuk melaksanakan penilaian ini berpandukan Pekeliling Persekutuan iaitu Surat Pekeliling Am Bilangan 3 Tahun 2009 - Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam. 1.2 la bertujuan untuk menjelaskan pelaksanaan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT yang perlu diberikan perhatian dan diambil tindakan oleh agensi-agensi Kerajaan Negeri. 2. PELAKSANAAN 2.1 Kerajaan Negeri Sarawak telah melaksanakan satu infrastrukur rangkaian ICT berpusat dipanggil SarawakNet, maka penilaian keselamatan rangkaian dan sistem ICT bagi semua Kementerian, Jabatan, Pejabat Residen dan Daerah akan diurus dan diselenggara oleh Unit lCT, Jabatan Ketua Menteri. 2.2 Walaubagaipun, semua Pihak Berkuasa Tempatan dan Badan Berkanun Negeri adalah bertanggungjawab dan digalakkan untuk melaksanakan penilaian tahap keselamatan rangkaian dan sistem ICT bagi agensi masing-masing. 2.3 Sebarang kemusykilan berkaitan dengan pelaksanaan boleh berhubung terus dengan Unit lCT, Jabatan Ketua Menteri. Surat Pekeliling ICT No.5/2012 t12
2.4 Surat Pekeliling Am Bilangan 3 Tahun 2009 adalah dilampirkan bersama untuk rujukan dan tindakan selanjutnya. 3. TARIKH KUATKUASA 3.1 Surat Pekeliling ini berkuat kuasa dari tarikh ia dikeluarkan. Surat Pekeliling ini diedarkan secara online di Berita SarawakNet dan juga di Laman Pekeliling Kerajaan Negeri. Sekian, harap maklum. "BERSATU BERUSAHA BERBAKTI" "AN HONOURTO SERVE" lrW,/ 4r' (TAN SRI DATUK AMAR HAJI MOHAMAD MORSHIDI BIN ABDUL GHANI) Setiausaha Kerajaan Sarawak Surat Pekeliling ICT No.5/2012 212
b) Mengesan kelemahan sistem ICT; c) Melaksanakan tindakan pengukuhan; dan d) Memantau keberkesanan kawalan pengukuhan. 8. Penilaian Tahap Keselamatan boleh dilaksanakan secara ln-house atau mendapat perkhidmatan pihak ketiga yang bertauliah. "BERKHIDMAT UNTUK NEGARA" twL- TA-II-SR}+ffi TUTfl D E K HASSAN Ketua Setiausaha Negara
Lampiran kepada Surat Pekeliling Am Bilangan 3 Tahun 2009 GARIS PANDUAN PEN I LAIAN TAHAP KESELAMATAN RANGKAIAN DAN SISTEM ICT SEKTOR AWAM ;_l_ :. ii ; i i : r - ': uNrT PEMODENAN TADBTRAN DAN PERA fANGAN PENGURUSAN MALAYS|A (MAMPU) JABATAN PERDANA MENTERI 11?
Unit Pemodenan Tadbiran dan Perancangan Pengurusan Malaysia (MAMPU) Jabatan Perdana Menteri Aras 5, Blok 82 Kompleks Jabatan Perdana Menteri Pusat Pentadbiran Kerajaan Persekutuan 62502 PUTRAJAYA Telefon Telefaks Laman Web Versi Pada Penu lis 03-8872 3000 / 8872 s000 03-8888 3721 my 7 2009 MAMPU Hak Cipta Terpelihara Semua hak terpelihara. Tiada mana-mana bahagian jua daripada ini boleh diterbitkan semula atau disimpan di dalam bentuk yang boleh diperoleh semula atau disiarkan dalam sebarang bentuk dengan apa jua cara elektronik, mekanikal, fotokopi, rakaman dan/atau sebaliknya tanpa mendapat keizinan daripada MAMpU. Kerajaan Malaysia berhak untuk mengubah atau menambah mana- mana bahagian dalam dokumen ini pada bila-bila masa tanpa pemberitahuan awal. Kerajaan Malaysia tidak bertanggungiawab terhadap sebarang kesalahan cetak dan kesulitan akibat daripada dokumen ini.
GARIS PANDUAN PENILAIAN TAHAP KESELAMATAN RANGKAIAN DAN SISTEM ICT SEKTOR AWAM KANDUNGAN TUJUAN LANGKAH-LANGKAH PENILAIAN I Langkah 1 Tubuh Pasukan Kerja Penilaian Tahap Keselamatan 2 Langkah 2 Semak Dasar Keselamatan ICT 5 Langkah 3 Nilai Amalan Keselamatan Fizika I 6 Langkah 4 Ujian Penembusan 7 ) Langkah 5 Nilai Keselamatan Rangkaian dan Hos 9 t' Langkah 6 Analisis 10 Laporan Pengukuhan 11 ILAIAN TAHAP KESELAMATAN L2 Agensi Melaksanakan Sendiri L2 Pihak Ketiga Yang Bertauliah L2 {p. 13 l:.._ *" l qr --l \ L4 15 ; f,;*,r'! ,l Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT SeKor Awam
GARIS PANDUAN PENILAIAN TAHAP KESELAMATAN RANGKAIAN DAN SISTEM ICT SEKTOR AWAM I.AMPIRAN Lampiran A Contoh Jadual Pelaksanaan Penilaian Tahap Keselamatan Lampiran B Contoh Format Skop Perkhidmatan Lampiran C Lampiran D Contoh Borang Soal Selidik untuk Semak Dasar Keselamatan ICT Panduan Penyediaan Laporan Penilaian Tahap Keselamatan t, Lampiran E Panduan Borang Soal Selidik Menyenarai Pendek Pihak Ketiga yang Bertauliah '#o*-- 4& f* Er'. +-. _tr I-\ 1 a Garis Panduan Penilaian Tahap Keselamatan Rantkaian dan Sistem ICT Sektor Awam 15 19 24 28 29 1,,
GARIS PANDUAN PENILAIAN TAHAP KESETAMATAN RANGKAIAN DAN SISTEM ICT SEKTOR AWAM TUJUAN Dokumen ini bertujuan untuk memberi panduan mengenai pelaksanaan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT (Penilaian Tahap Keselamatan ICT)SektorAwam. TANGKAH.TANGKAH PENILAIAN Terdapat tujuh (7) langkah dalam Penilaian Tahap Keselamatan. IAIIGTAI{ 1 Trfi.lr hsltan ferF Penilaian TCnp Xesdamatan [A GTAH 5 tlllai Xes€lamaBt RaUlcdm &n Hc IAiIGTAI{ 2 |-AllGKA|{ 5 Scma& Dasr [csdamatan ICT Anallsis IANGTAH 3 ililai Arnalan Kerdamabn Fzild IA]TGXAH 7 Lapu-ar Peryr*rfidl I^TGXAH 4 UianMusan Berikut adalah penerangan langkah-langkah, butiran aktiviti yang perlu dilaksanakan dan hasil penemuan setiap langkah dalam Penilaian Tahap Keselamatan. I Garis Panduan ,, I Penilaian Tahap Keselamatan - I Rangkaian dan sistem ICT Sektor Awam
LANG KAH.LANG KAH PEN I LAIAN TAHAP KESELAMATAN TUIUHPTSUrAil 1 Eil'TPRITlAil TIIr^rFi.,: tr.7jM
t. i. ,l LANGKAH 1: Tubuh Pasukan Kerja Penilaian Tahap Keselamatan Pengurus ICT Jabatan hendaklah mendapat pertimbangan dan kelulusan Jawatankuasa Pemandu ICT (JPICT) Jabatan untuk melaksanakan penilaian Tahap Keselamatan di peringkat agensi masing-masing. Keahlian Pasukan Kerja PenilaianTahap Keselamatan agensiadalahseperti berikut: i. Pengerusi : Pengurus ICT Agensi atau lang setara. Ahli-ahli : (umpulan Pelaksana hendaklah dianggotai oleh Pegawai Teknologi Maklt inatffiE. p€fr-oEmip€EEwai Teknologi Maklumat dalam bidang-bidang berikut: Sistem Aplikasi; - Sistem Pengoperasian; - Rangkaian; dan - (eselamatan. t. UrusSetla Pegawai Teknologi Maklumat atau Penolong, Pegayuql Teknologi Msldumat Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sel(or Awam
LANGKAH 1: Tubuh Pasukan Kerja Penilaian Tahap Keselamatan Bidang tugas rujukan Pasukan Kerja Penilaian Tahap Keselamatan yang berikut hendaklah diambil perhatian dalam melaksanakan Penilaian Tahap Keselamatan di peringkat agensi masing-masing. AHLI PASUKAN KERJA PERANAN DAN TANGGUNG JAWAB i. Pengerusi Pengurus ICT Agensi atau yang setara Menerajui arah tuju projek; - Menetapkan skop dan jadual pelaksanaan; - Menyediakan sumber; - Memantau kemajuan; - Mengurus projek; - Memastikan pelaksanaan projek mengikut jadual; - Menyelesaikan isu-isu projek; dan - Mentadbir projek: (a) Melantik ahli Pasukan (erja Penilaian Tahap Keselamatan. Contoh urus tadbir Pasukan Kerja adalah di Raiah 1; (b) Merancang dan menetapkan jadual pelaksanaan penilaian tahap keselamatan; (c) Melaksana urusan pentadbiran yang berkaitan dengan aktiviti-aktiviti dalam proses penilaian; (d) Mengumpul maklumat yang diperlukan untuk menyokong skop dan jadual kerja penilaian tahap keselamatan; ii. Kumpulan Pelaksana - Sistem Aplikasi; - Sistem Pengoperasian; - Rangkaian; dan - Keselamatan. (e) Menetapkan bilangan pelayan; dan (f) Menentukan lP public network dan lP internol network untuk penilaian tahap keselamatan dari luaran dan dalaman rangkaian agensi melalui pengujian penembusan dan ethicol hocking. - Melakanakan penilaian tahap keselamatan; dan - Kemuka cadangan pembangunan/penambahbaikan. iii. Urus Setia Pegawai Teknologi Maklumat; atau - Penolong Pegawai Teknologi Maklumat Menjalankan tugas-tugas keurusetiaan penilaian tahap keselamatan agensi. Rangkaian dan Sistem ICT Sektor Awam !, Garis Panduan Penilaian Tahap Keselamatan
.I LANGKAH 1: Tubuh Pasukan Kerja Penilaian Tahap Keselamatan OUTPUT t. Jadual Pelaksanaan Penilaian Tahap Keselamatan. Rujuk contoh di [ampiran A; ii. Struktur Kumpulan Pelaksana; iii. Skop Kerja Penilaian Tahap Keselamatan. Rujuk contoh di Lampiran B; dan iv. Mesyuarat / perbincangan status kemajuan pelaksanaan penilaian keselamatan lCT. Agensi boleh melantik ahli-ahli Pasukan Kerja Penilaian Tahap Keselamatan berdasarkan kategori fungsi dan contoh urus tadbir berikut: Siste m Pengoperosion Rajah 1: Urus Tadbir Pasukan Kerja Penilaian Tahap Keselamatan Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT SeKor Awam
LANGKAH 2: Semak Dasar Keselamatan ICT Kumpulan Pelaksana perlu semak Dasar Keselamatan ICT agensi yang telah dibangunkan. AKTIVITI-AKTIV ITI Semak dasar keselamatan ICT Agensi dengan menemu bual kumpulan sasaran dan membuat pemerhatian. Contoh Borang Soal Selidik adalah seperti di Lampiran C; dan Menganalisis data penemuan soal selidik, temu bual dan pemerhatian. O UTP UI Hasil semakan Dasar Keselamatan lCT. Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam I,
.I LANGKAH 3: Nilai Amalan Keselamatan Fizikal Kumpulan Pelaksana perlu menilai kekuatan dan kelemahan kawalan keselamatan fizikal melalui pemerhatian persekitaran fizikal dan juga langkah-langkah keselamatan yang sedia ada di agensi. AKTIVITI.A KTIVITI Memastikan wujudnfa sistem kawalan keselamatan fizikal di lokasi penempatan aset ICT agensi. Pemerikaan keselamatan fizikal adalah seperti pengkabelan, punca kuasa elektrik, kawalan akses, alat pemadam kcbakaran dan peralatan pemantauan keselamatan; [. Menilai ancaman keselamatan yang merangkumi perkara berikut: (a) Memeriksa pelan tindakan jika berlaku bencana seperti kebakaran dan (b) (c) banjir; Persekitaran bagi mengelakkan kecurian atau pencerobohan; dan Semua peralatan disimpan dalam bilik yang berkunci. Menemu bual pegawai keselamatan ICT untuk memahami amalan dan prosedur keselamatan ICT sedia ada; lv, Memerika Buku Daftar MasuVKeluar ke Bilik Server; dan Memerhati amalan sebenar keselamatan di laluan keluar masuk ke premis agensi. O UTP UT Hasil penemuan keselamatan fi zikal. Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam
LANGKAH 4: Ujian Penembusan Kumpulan Pelaksana perlu menilai kekuatan dan kelemahan kawalan keselamatan fizikal melalui pemerhatian persekitaran fizikal dan juga langkah-langkah keselamatan yang sedia ada di agensi. A KTIVITI-AKTIV ITI Menjalankan penembusan untuk mendapatkan akses se@ra remote kepada sistem, fail-fail dan maklumat agensi. Pengujian penembusan dijalankan melalui alamat lP dalaman linternol lPl dan alamat lP luaran lexternol lPl seperti Rajah 2; Menjalankan network snilfing untuk mendapatkan maklumat yang disalurkan ke rangkaian; Mengenal pasti sebarang kelemahan aplikasi atau konfigurasi yang boleh menjejaskan keselamatan ICT; Menamatkan sebarang aktivifi penembusan setelah berjaya memasuki sistem ICT bagi mengelakkan sebarang perubahan ke atas maklumat atau data sedia ada; dan Menjalankan pengujian deniol of servrces (DOS) untuk menSuji keteguhan rangkaian semasa agensi. Pengujian DOS hendaklah mendapat kebenaran terlebih dahulu kerana pengujian akan mengganggu perkhidmatan agensi. OUTPUT Hasil penemuan penembusan dalaman dan luaran. Garis Panduan I Penilaian Tahap Keselamatan I - Rangkaian dan Sistem tCT Sektor Awam I /
LANGKAH 4: Ujian Penembusan DrarJlP STESEN (ERJA I STESEN XER'A 2 INTERNET Rajah 2: Ujian penembusan melalui alamat lP dalaman dan alamat lP luaran I Garis Panduan ^ I Penilaian Tahao Keselamatan U I Rangtalan dan sistem ICT Sektor Awam RANGKAIAN DMZ
LANGKAH 5: Nilai Keselamatan Rangkaian dan Hos Kumpulan Pelaksana perlu menilai reka bentuk dan rangkaian ICT dan sistem-sistem aplikasi sama ada ciri-ciri telah diambil kira. kesela matan keselamatan AKTIVITI.A KTIV ITI Menilai reka bentuk rangkaian ICT; I. Menyemak perimeter dan peranti-peranti; l . Menyemak keselamatan sistem pengoperasian dan configuration setup; dan Menyemak keselamatan sistem aplikasi. O UTPUI ii. Hasil penemuan keselamatan rangkaian dan hos seperti router; firewall dan sebarang peranti-peranti komunikasi data; Hasil penemuan reka bentuk rangkaian ICT agensi; dan iii. Hasil penemuan keselamatan sistem operasi dan sistem aplikasi. Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam !,
IF. I ! LANGKAH 6: Analisis Kumpulan Pelaksana perlu menganalisis data penemuan serta merumuskan jenis serangan yang berjaya digunakan untuk membuat penembusan. AKIIVITI-AKTIVITI Menganalisis data yang dikumpulkan dan membuat perbandingan dengan amalan-amalan terbaik. Agensi boleh merujuk kepada amalan terbaik seperti dalam ISO/IEC 27OO2|2OOS - lnformation of Practice for lnformation Security Managemenu ll. Mengklasifi kasikan kelemahan pengoperasian sistem sedia ada; It. Merumuskan jenis serangan penembusan; dan tv. Mengenal pasti kelemahan sebenar supaya langkah-langkah pengukuhan dapat dilaksanakan. Hasil penemuan kelemahan rangkaian dan sistem lCT. Garis Panduan Penilaian Tahap Keselamata n Rangkaian dan Sistem ICT Sektor Awam
LANGKAH 7: Laporan Pengukuhan Kumpulan Pelaksana hendaklah menyediakan laporan yang komprehensif merangkumi hasil penemuan penilaian dan cadangan langkah-langkah pengukuhan keselamatan ICT berdasarkan amalan- amalan terbaik untuk meminimumkan tahap risiko, jika ada, ke tahap yang boleh diterima oleh agensi. Laporan hendaklah dibentangkan kepada Jawatankuasa Pemandu ICT untuk pertimbangan dan kelulusan supaya langkah-langkah pengukuhan keselamatan ICT agensi dapat dirancang. AKTIV ITI.A KTIVITI Mencadangkan langkah-langkah penyelesaian jangka panjang dan pendek bagi menangani ancaman dan kelemahan aset ICT dalam Laporan Penilaian Tahap lGselamq64-454rt144 enyeClaaq lryt-an adabh geperti di tampiran D. OUTPUT t. Perakukan cadangan penyelesaian jangka pendek dan panjang; dan Laporan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT yang merangkumi: (a) Cadangan penambahbaikan Dasar Keselamatan ICT Agensi; (b) Cadangan penambahbaikan amalan keselamatan fizikal; (c) Cadangan langkah-langkah pengukuhan sistem pengoperasian dan sistem aplikasi; (d) Cadangan penambahbaikan reka bentuk rangkaian lCL jika perlu; dan (e) Cadangan pengukuhan keselamatan sistem pengoperasian, sistem aplikasi dan konfigurasi peralatan rangkaian lcf. Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam t,,
PENDEKATAN PENILAIAN TAHAP KESELAMATAN
PENDEKATAN PENILAIAN TAHAP KESELAMATAN Agensi Sektor Awam hendaklah mengamalkan pendekatan yang sistematik dalam mengurus dan memantau aspek keselamatan sistem ICT pada setiap masa. lni adalah kerana serangan terhadap rangkaian dan sistem ICT akan menggangBu sistem penyampaian perkhidmatan Kerajaan. Agensi boleh melaksanakan Penilaian Tahap Keselamatan dengan menggunakan salah satu dari pendekatan berikut iaitu sama ada: (a) Agensi Melaksanakan Sendiri (b) Melantik Pihak Ketiga yang Bertauliah Agensi boleh melaksanakan sendiri Penilaian Tahap Keselamatan dengan melantik pegawai-pegawai yang memenuhi sya rat-sya rat berikut: i. Memastikan Pegawai Teknologi Maklumat yang bertanggung jawab melaksanakan denilaian Tahap Keselamatan mempunyai pengetahuan dan kemahiran dalam pengoperasian dan komunikasi ICT; Agensi boleh mendapat perkhidmatan pihak ketiga yang bertauliah dan memenuhi syarat- syarat berikut: i. Slarikat yang telah berdaftar dengan Kementerian Kewangan di bawah pecahan kepala berilrut: - 210104: Software Products and - 210105: Other Computer Related - 210106: Networking Product and - 2426OO: Pengurusan Keselamatan Services Services Services ii. Memastikan pegawai berkenaan mempunyai mempunyai kemahiran dalam aspek-aspek melakanakan ujian penembusan ke atas rangkaian dan sistem lCT; dan ii. Syarikat yang dipersijilkan Sistem Pengurusan Keselamatan Maklumat ISO/IEC 270O1:2005 atau MS ISO/IEC 27001:2006; dan iii. Memastikan pegawai berkenaan menjalani latihan ujian penembusan rangkaian ICT yang ditawarkan oleh pusat latihan yang bertauliah dalam bidang keselamatan lCf. iii. Syarikat yang tiada kaitan dengan vendor yang membekalkan sistem-sistem ICT agensi. Agensi boleh menggunakan panduan seperti di Lampiran E untuk menyenarai pendek pihak ketiga yang berkelayakan. Kedua-dua pendekatan di atas perlu mematuhi Langkah t hingga Langkah 7 untuk melaksanakan penilaian tahap keselamatan yang telah ditetapkan di dalam garis panduan ini. Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam t,,
KHIDMAT NASIHAT J
i ! ffi, KHIDMAT NASIHAT Sebarang kemusykilan yang timbul berkaitan dengan garis panduan ini dan hasil pelaksanaan Penilaian Tahap Keselamatan ICT hendaklah dikemukakan kepada MAMPU seperti di bawah: Bahagian Pematuhan ICT Unit Pemodenan Tadbiran dan Perancangan Pengurusan Malaysia (MAMPU) Jabata n Perdana Menteri Aras 6, Blok 82 Kompleks Jabatan Perdana Menteri Pusat Pentadbiran Kerajaan Persekutuan 62502 PUTRAJAYA : 03-8872 3000 / 8872 s000 : 03-8888 3721 :-3L t,_". :. \ f*-- Garis Panduan Penilaian Tahap Keselamatan Rantkaian dan Sistem ICT Sektor Awam !,,
J PENUTUP
PENUTUP Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam ini menjelaskan langkah-langkah penilaian serta memperincikan aktiviti- aktiviti yang perlu dilaksanakan dalam menilai tahap keselamatan bagi membantu agensi merancang pengukuhan yang bersesuaian. Agensi-agensi hendaklah mematuhi garis panduan ini di dalam menilai tahap t 9: n rangkaian dan sistem ICT masing-masing. s*;. t}-* -!{ f** # .\ Ran8kaian dan Sistem ICT Sektor Awam l* Garis Panduan Penilaian Tahap Keselamatan
J LAMPIRAN
Lampiran A Contoh Jadual Pelaksanaan Penilaian Tahap Keselamatan * PEGAWAI BIL . TAR IK H AKTIVITI PERINCIAN AKTIVITI BE RTANGGU NG ]AWAB 1.0 Pengurusan Projek 1.1 hari/ bulan/ Mesyuarat Kick- tahun Off i. Menyatakan secara formal dan bersetuju dengan: - Struktur Kumpulan Pelaksana - Skop dan jadual kerja - Proses pentadbiran dan pemantauan lmonitoring processl Proses memerika dan pertimbangan semula; dan ii. Mengumpul maklumat yang diperlukan untuk menyokong skop dan jadual kerja penilaian tahap keselamatan. 2.O 2.t Ujian Penembusan Secara Luaran (18 hari) i. Mengenal pasti kelemahan komponen hari/bulan/ Eksploitasi tahun rangkaian dan mengekploitasi kelemahan Kelemahan (vulnerabilities) untuk mendapat akses ke dalam komponen rangkaian; dan Mengenal pasti sebarang kelemahan aplikasi atau konfigurasi yang tidak tepat dan mengeksploitasi kelemahan untuk mendapat akses ke dalam aplikasi-aplikasi dalam pelayan (server). hari/ bulan/ Ujian tahun Penembusan Lakana penembusan sistem untuk mendapat fail-fail sistem (Contoh: fail kata laluan). 3.0 3.1 3.2 Nilai Reka Bentuk Rangkaian dan Keselamatan (2 hari) hari/ bulan/ Nilai Semula tahun hari/ bulan/ Nilai Peranti tahun L Pertimbangan semula reka bentuk Rangkaian rangkaian. Pertimbangan semula perimeter, peranti- peranti (devr'ces) dan configurotion setup. dalam Perimeter Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam t,,
BIL TAR IK H AKTIVITI PERINCIAN AKTIVITI 4.O 4.7 Ujian Penembusan Secara Dalaman (10 hari) hari/bulan/ Eksploitasi tahun kelemahan Mengenal pasti kelemahan komponen rangkaian dan mengekploitasi kelemahan untuk mendapat akses ke dalam komponen rangkaian; dan Mengenal pasti sebarang kelemahan aplikasi atau konfigunsi yang tidak tepat dan mengeksploitasi kelemahan untuk mendapat akses ke dalam aplikasi-aplikasi dalam pelayan (server). hari/ bulan/ Ujian tahun Penembusan t. Lakana penembusan sistem untuk mendapat fail-fail sistem (Contoh: fail kata laluan). 5.0 5.1 Semak Dasar Keselamatan ICT (2 hari) hari/ bulan/ Semak dasar tahun i. Semak maklumat yang berkaitan dalam Dasar Keselamatan ICL 5.2 hari/ bulan/ Temu duga tahun i. Temu duga pegawai-pegawai yang berkenaan. 6.0 Nilai Amalan Keselamatan Fizikal (2 hari) 6.1 hari/ bulan/ Semak tahun Maklumat Yang Berkaitan i. Semak keselamatan fizikal seperti pengkabelan, punca kuasa elektrik, Buku Rekod Pelawat, alat pemadam kebakaran dan mekanisme pemantauan keselamatan; dan ii. Semak amalan kawalan akses seperti buku rekod pelawat. 6.2 haril bulanl Temu duga tahun i. Temu duga pegawai-pegawai yang berkenaan untuk mengetahui keselamatan fizikal yang diamalkan. Pilih dan perhatikan amalan sebenar di laluan keluar masuk premis I Garis Panduan - I Penilaian Tahao Keselamatan 16 ! Rangkaian dan sistem lcT sektor Awam P EGAWA I BE RTANGGU NG JAWAB
P EG AWAI BIL TARIKH AKTIVITI PE RIN CIAN AKTIVITI BERTANGGU NG JAWA B 7.0 Mesyuarat Kemajuan (1 hari) 7.L haril bulan/ Mesyuarat Kemajuan tahun i. Objektif mesyuarat: Lapor kemajuan projek Penilaian Tahap Keselamatan; Lapor sebarang kelemahan kritikal yang ditemui dan cadang langkah pengukuhan untuk menangani dengan segera; dan - Pastikan maklumat keselamatan adalah benar atau tepat sebelum menyediakan laporan. 8.0 8.1 Nilai Keselamatan Hos (1 hari) hari/ bulan/ Nilai Hos tahun i. Periksa pelayan untuk mengetahui kelemahan; dan ii. Periksa konfigurasi pelayan berbanding amalan terbaik untuk konfiBurasi sesebuah pelayan. 9.0 Analisis Data dan Penyediaan Laporan Akhir (23 hari) 9.1 hari/ bulan/ Analisis Data i. Analisis data penemuan penilaian, dan Penyediaan rangkaian, hos dan ujian penembusan. La poran Banding penemuan dengan amalan terbaik terkini untuk menangani risiko yang tidak boleh diterima; tahun ii. Kategorikan kelemahan mengikut tajuk- tajuk utama seperti fizikal, prosedur; teknikal, perisian, aplikasi dan sebagainya; iii. Analisis data untuk mengenal pasti persamaan atau percanggahan makluma! dan iv. Kenalpasti ancaman, risiko dan kelemahan: Kumpul cadangan langkahlangkah pengukuhan Sedia laporan akhir. Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam t,,
BII TARIKH A KTIVIT I PE RIN CIAN AKTIVITI 9.2 haril bulanl Verifikasi Laporan tahun i. Pengesahan penemuan-penemuan dan langkah-langkah pengukuhan yang dicadangkan dalam laporan akhir. 9.3 hari/ bulan/ Pembentangan Laporan Akhir tahun i. Bentang penemuan dan pengukuhan Penilaian Tahap Keselamatan dalam Mesyuarat Jawatankuasa Pemandu ICT untuk mendapat pertimbangan dan kelulusan. 10.0 Pengukuhan Sistem dan Konfigurasi Semula 10.1 hari/ bulan/ Tentu Sah i. Laksanakan langkahJangkah pengukuhan yang telah diluluskan oleh Mesyuarat Jawatankuasa Pemandu lCf. tahun Langkah Pengukuhan I Garis Panduan ,r ! l:::i: :"'::"""11i1",I,H""i", o*". P EGAWA I BE RTANGGU NG IAWAB
Lampiran B Contoh Format Skop Perkhidmatan PEN I LAIAN TAHAP KESELAMATAN Skop Perkhidmatan (NAMA JABATAN) (bulan/tahun) (alamat penuh ja batan) Perhatia n kerahsiaan: Maklumat yang terdapat dalam dokumen ini hanya diperuntukkan kepada senarai edaran yang ditetapkan sahaja. lni adalah kerana dokumen mungkin mengandungi maklumat rahsia dari segi undang-undang. Tiada mana-mana bahagian jua daripada dokumen ini boleh diterbitkan semula atau disimpan di dalam bentuk yang boleh diperoleh semula atau disiarkan dalam sebarang bentuk dengan apa jua cara elektronik, mekanikal, fotokopi, rakaman dan/atau sebaliknya tanpa mendapat keizinan. Garis Panduan I ^.,r*",." 1""T'ii,',X],ilEf ,lilllffiH ! r,
Tajuk Disediakan Oleh Tarikh Penilaian Tahap Keselamatan (nomo Ketuo Peloksono) hh/bb/tttt Versi SENARAI EDARAN: t. 2. 3. Ketua Pegawai Maklumat lChiel lnlormotion Oficerl Pengurus ICT Pegawai l(eselamatan ICT (ICTSO) I Garis Panduan , I Hlil:J::""1[ilil",H""i", ^*".
SKOP PERKHIDMATAN Berikut adalah senarai aktiviti dalam skop kerja untuk melaksanakan Penilaian Tahap Keselamatan di (nama Jabatan). Skop kerja merangkumi perkara-perkara: i. Pengurusan Projek dengan perincian aktiviti seperti berikut: Mengurus projek; Memastikan pela ksanaan projek mengikut jadual; Menyelesaikan isu-isu projek; dan Mentadbir projek: (a) Melantik ahli kumpulan pelaksana; (b) Merancang dan menetapkan jadual pelaksanaan penilaian tahap keselamatan; (c) Melaksana urusan pentadbiran yang berkaitan dengan aktiviti- aktiviti dalam proses penilaian; (d) Mengumpul maklumat yang diperlukan untuk menyokong skop dan jadual kerja penilaian tahap keselamatan; (e) Menetapkan bilangan pelayan; dan (f ) Menentukan lP public network dan lP internol netrazork untuk penilaian tahap keselamatan dari luaran dan dalaman rangkaian agensi melalui pengujian penembusan atau ethical hocking. ii. Kumpulan Pelaksana merangkumi fungsi seperti Sistem Aplikasi, Sistem Pengoperasian, Rangkaia n dan Keselamata n a ka n: - Melaksanakan penilaian tahap keselamatan; dan - Kemukakan cadangan pembangunan/penambahbaikan. iii. Semak Dasar Keselamatan ICT dengan perincian aktiviti seperti berikut: - Semak maklumat yang berkaitan dalam Dasar Keselamatan ICT; dan - Temu duga pegawai-pegawai yang berkenaan. iv. Nilai Amalan Keselamatan Fizikal dengan perincian aktiviti seperti: Semak keselamatan fizikal seperti pengkabelan, punca kuasa elektrik, Buku Rekod Pelawat, alat pemadam kebakaran dan mekanisme pemantauan keselamatan. Garis panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Sektor Awam t,,
,rl Uiian Penembusan Secara Luaran (eksploitasi kelemahan dan ujian penembusan) dengan perincian aktiviti seperti: - Mengenal pasti k elemahan komponen rangkaian dan mengeksploitasi kelemahan untuk mendapat akses ke dalam komponen rangkaian; Mengenal pasti sebarang kelemahan aplikasi atau konfigurasi dan mengeksploitasi kelemahan untuk mendapat akses ke dalam aplikasi- aplikasi dalam pelayan (server); dan - Berdasarkan alamat lP luaran berikut: (nyatakan lP luaran). vt. Ujian Penembusan Secara Dalaman (eksploitasi kelemahan dan ujian penem busa n ) denga n peri ncia n a ktiviti seperti : - Uji tahap keselamatan rangkaian dalaman; - Simulasi serangan: capaian remote, DOS, network sniffing dan spoofing; - Berikut adalah julat alamat lP yang diuji: (nyatakan julat alamat lP); dan - Penilaian Kelemahan lvulnerabilityl ke atas pelayan berikut: (senaraikan lP pelayan yang hendak dinilai). vii. Penilaian Hos ke atas pelayan berikut sahaja: (sena ra ika n pelayan terlibat) - Butiran penilaian adalah seperti berikut: (al System Configurotion; lbl File Permission; (cl Authenticotion; ldl Auditing ond system logs;dan (e) System services ond opplicotion. viii. Analisis Data dengan perincian aktiviti seperti: Analisis data penemuan penilaian, rangkaian, hos dan ujian penembusan. Banding penemuan dengan amalan baik terkini untuk menangani risiko yang tidak boleh diterima; Kategorikan kelemahan mengikut tajuk-tajuk utama seperti fizikal, prosedur, teknikal, perisian, aplikasi dan sebagainya; Analisis data untuk mengenal pasti persamaan atau percanggahan maklumaU dan Garis Panduan Penilaian Tahap Keselamatan Rangkaian dan Sistem ICT Seldor Awam
Kenal pasti ancaman, risiko dan kelemahan: (a) Kumpul cadangan langkah-langkah pengukuhan (b) Sediakan laporan Penilaian Tahap Keselamatan Rangkaian dan Sistem tcT. ix. Penemuan dan Cadangan Pengukuhan dengan perincian aktiviti seperti: Bentang penemuan Penilaian Tahap Keselamatan dan cadangan langkah- langkah pengukuhan melalui pendekatan jangka pendek dan/atau panjang untuk pertimbangan dan kelulusan Mesyuarat Jawatankuasa Pemandu ICT Agensi. Garis Panduan I Penilaian Tahap Keselamatan I .o | zs Rangkaian dan sistem tcT sektor Awa ^
Borang Soal Selidik Untuk Semak Dasar Keselamatan ICT BIL NAMA BIDANG KESELAMATAN JAWAPAN BIDANG 1: DASAR KESELAMATAN 1. Adakah wujud dokumen Dasar Keselamatan ICT? 2. Adakah dasar tersebut mengandungi objektif dan skop keselamatan maklumat? 3. Adakah dasar keselamatan ICT mendapat kelulusan di peringkat atasan? 4. Adakah dasar tersebut diedarkan kepada semua warga agensi? BIDANG 2: PENGURUSAN KESELAMATAN ICT Adakah wujud Jawatankuasa pengurusan keselamatan ICT terdiri dari pengurusan atasan atau fant setara, untuk memberi arah tuju dan sokongan? a Adakah peranan dan tanggung jawab keselamatan maklumat dilaksanakan ke seluruh agensi? 7. Adakah perlindungan ke atas aset ICT menjadi tanggung jawab agensi? Adakah wujud proses perolehan dan pemasangan aset tcT? BIDANG 3: PENGURUSAN ASET 9. Adakah agensi mempunyai inventori untuk aset-aset ICT? 10. Adakah sistem inventori dikemas kini setiap kali berlaku perubahan dalam maklumat aset? 11. Adakah aset maklumat diberi klasifikasi keselamatan? fferbuka, Terhad, Sulit, Rahsia atau Rahsia Besar) 72. Adakah terdapat prosedur untuk pelabelan maklumat terperingkat? 13. Adakah terdapat prosedur untuk pengendalian maklumat terperingkat? I Garis Panduan I Penilaian Tahao Keselamatan 24 I nancfaian dan sistem ICT Sektor Awam Lampiran C CATATA N
BIL NAMA BIDANG KESELAMATAN BIDANG 4: KESELAMATAN SUMBER MANUSIA 14. Adakah keselamatan ICT dinyatakan dalam senarai tugas? 15. Adakah pihak pembekal atau pihak ketiga perlu menanda- tangani perjanjian NDA (rvon Disclosure Agreementl? Adakah kontraktor atau pekerja sementara diawasi jika kerja itu melibatkan akses pada kemudahan pemprosesan data? L7. Adakah dasar tesebut diedarkan kepada semua warga agensi? BIDANG 5: KESETAMATAN FIZIKAI DAN PERSEKITARAN 1E. Adakah kemudahan ICT dilindungi secara fizikal? 19. Adakah peralatan komunikasi dan kabel dilindungi? 20. Bolehkan data agensi dihapuskan tanpa kebenaran rasmi? 27. Adakah aset lCTagensi dilupuskan mengikut prosedur rasmi? 22. Adakah pelalan (server) dilindungi dari kegagalan sumber kuasa? BIDANG 6: PENGURUSAN OPERASI DAN KOMUNIKASI 23. Adakah prosedur operasi didokumenkan dan dikawal? 24. Adakah pengujian dan pembangunan sistem diasingkan dari pengoperasian? Adakah perisian anti-virus beroperasi di dalam semua pelayan, komputer peribadi dan komputer mudah alih? 26. Adakah wujud dasar untuk pematuhan bagi perisian berlesen? IAWAPAN CATATA N Rangkaian dan Sistem ICT Sektor Awam l* Garis Panduan Penilaian Tahap Keselamatan
BIL NAMA BIDANG KESELAMATAN IAWAPAN BIDANG 7: KAWALAN AKSES 27. Adakah agensi mempunyai dasar kawalan akses yang didokumenkan? (Contohnya menyenaraikan siapa yang boleh mengakses maklumat) 28. Adakah terdapat proses pendaftaran rasmi sebelum akses kepada perkhidmatan ICT dlbenarkan? 29. Adakah hak akes ditarik balik sebaik sahaja pengguna bertukar keluar/be6ara/berhenti/tamat perkhidmatan? 30. Adakah user root at?,u odministrotor dikewal dan dihadkan? 31. Adakah agensi mengeluarkan panduan ke atas kerahsiaan kata laluan? BIDANG 8: PEROLEHAN, PEMBANGUNAN DAN PENYENGGARAAN SISTEM MAKLUMAT 32. Adakah ciri{iri keselamatan diambil kira dalam pembangunan sistem-sistem aplikasi? Adakah penilaian risiko dan pengurusan risiko di guna pakai untuk menganalisis kawalan? (Surat Pekeliling Am Bilangan 5 Tahun 2005 - Garis Panduan Penilaian Risiko Keselamatan Maklumat Sektor Awam) Adakah terdapat pnoses pen8urusan perubahan (chonge reguest) rasmi? 35. Adakah dasar bagi penggunaan kriptografi untuk melindungi maklumat? BIDANG 9: PELAN KESINAMBUNGAN PERKHIDMATAN 35. Adakah terdapat proses pengurusan kesinambungan perkhidmatan? 37. Adakah pelan kesinambungan perkhidmatan disemak secara berkala? I Garis Panduan ,' I fi ili::"",:lililfli,H!'Jo- ^*". CATATAN
BIL 39. 40. 42. 43. NAMA BIDANG KESELAMATAN ]AWAPAN CATATAN Adakah program kesedaran pelan kesinambungan perkhidmatan diadakan? Adakah pelan kesinambungan perkhidmatan di uji? Adakah wujud perjanjian jika pelan kesinambungan perkhidmatan gagal? BIDANG 10: PENGURUSAN PENGENDATIAN INSIDEN KESELAMATAN Adakah agensi mempunyai prosedur pengurusan insiden? Adakah pengguna dimaklumkan mengenai proses pelaporan insiden keselamatan? BIDANG 11: PEMATUHAN Adakah agensi menSgalakkan hak harta intelek? Adakah peruntukan keselamatan ICT dinyatakan di dalam kontrak ICT? Adakah audit ICT dirancang dan dilaksanakan secara berkala? Garis Panduan I Penilaian Tahap Keselamatan I r' Rangkaian dan Sistem ICT Sektor Awam ! Z/
Lampiran D Panduan Penyediaan Laporan Penilaian Tahap Keselamatan PANDUAN LAPORAN PENILAIAN TAHAP KESELAMATAN Bahagian l: Pengenalan Menerangkan latar belakang program Penilaian Tahap Keselamatan seperti rumusan aktivid-aktiviti yang dilakanakan serta penemuan utama setiap aktiviti. Selain itu, skop kerja yang telah dipersetujui perlu dlnyatakan di dalam bahagian ini. Bahagian ll: Pengurusan Keselamatan Maklumat Menerangkan mengenai penturusan keselamatan maklumat. Perkara-perkara yang terlibat dalam bahagian ini ialah semakan ke atas dasar keselamatan ICT sedia ada, penilaian amalan, langkah- langkah keselamatan fizikal dan konfigurasi keselamatan rangkaian. Setiap penemuan penilaian dimaklumkan dengan disertakan syor cadangan penambahbaikan yang paling sesuai berasaskan amalan baik pengurusan keselamatan lCT. Bahagian lll: Ujian Penembusan Menghuraikan ulasan teknikal yang merangkumi maklumaVbukti mengenai penemuan ujian penembusan dalaman dan luaran. lni termasuk penerangan mengenai setiap langkah penembusan yang dilakanakan dan bukti yang telah diperolehi merangkumi screen- @pturcs setiap aktiviti tersebut. Setiap kelemahan yang ditemui hendaklah disertakan bersama dengan cadangan tindakan pengukuhan. Bahagian lV: Penilaian Keselamatan Pelayan Menjelaskan mengenai penilaian keselamatan yang telah dilaksanakan ke atas pelayan lserverl yang menggunakan sistem pengoperasian sedia ada. Terangkan penilaian yang telah dilaksanakan terhadap setiap konfigurasi dan dilampirkan penemuannya. Sebarang penemuan kelemahan perlu disertakan dengan cadangan pengukuhan. Bahagian V: Rumusan dan Cadangan Merumuskan semua penemuan penilaian keselamatan dan mencadangkan penambahbaikan amalan baik untuk setiap langkah dalam Penilaian Tahap (eselamatan, jika perlu. I Garis Panduan I ff :lff l"'::'"1[:"i,H"L", o*..
Lampiran E Panduan Borang Soal Selidik Menyenarai Pendek Pihak Ketiga Yang Bertauliah BIL PERKARA YA TIDAK H U RAIAN Adakah penilaian keselamatan ICT menjadi urusan teras Srikat pembekal? Berapa lama syarikat pembekal telah memberikan perkhidmatan penilaian tahap keselamatan? (Sila isi butiran dalam ruang Huraian) Adaloh pembekal menawarkan perkhidmatan yang boleh diubahsuai mengikut kepeduan spesifik agensi? ffiffi Adakah pembekal tiada kaitan dengan vendor yang membekalkan sistem-sistem ICT agensi? Adabh pembekal beqantung pada maklumat keselamatan ICT yang dihebahkan menerusi pelbagai media? Adakah pembekal menjalankan penyelidikan sendiri? 7. Apakah kelayakan pakar perunding ryarikat? (Sila isi butiran dalam ruang Huraian) Apakah tahap pengalaman pasukan ujian yang dicadangkan? (Berapa lama telah membuat pengujian dan apakah latar belakang mereka?) (Sila isi butiran dalam ruangan Huraian) Adakah personel pembekal ditauliahkan C|SSP, CISA atau yang setaraf, 10. Adakah personel pembekal menyumbang kepada industri keselamatan ICT? (Contoh: kertas kerja, penasihat, penceramah umum, dan sebagainya) Garis panduan Penilaian Tahap (eselamatan Rangkaian dan Sistem ICT Sektor Awam l*
BIL PE R KARA ll. Adakah kurikulum vitae ahli pasukan yang akan menyertai pmjek agensi ada dhediakan? 72. Apakah pendekatan pembekal dalam projek ini? Adakah pembekal mempunyai metodologi yang standard seperti OSSIM dan OWASP? 74. Adakah pembekal pernah melaksanakan Penilaian Tahap Keselamatan di agensi Sektor Awam? Bolehkah agensi mendapat contoh laporan Penilaian Tahap (eselamatan untuk mmilai output pembekal? Adakah isu-isu hasil penemuan dikemukakan dalam bentuk yang mudah difahami (non- technicoll? 17. Adakah pembekal ou8;ourcr atau menggunakan kontraktor? Adakah terdapat rujukan dari pelanggan- pelanggan yang berpuas hati dengan perkhidmatan pembekal dalam sektor keselamatan ICT? Adaleh pembekal mempunyai pengetahuan mengenai b,eberapa standard serta garis panduan amalan terbaik be*aitan dengan keselamatan ICT pada amnya, serta khusus untuk ujian penembusan? (seperti open Source Secwry Testing Methodolqy Monuol (OSSII\IM), The Open Web Applicotion Security Project (OWASP) dan sebagainya). I Garis Panduan , I fi :lil :"'",:'"1[lil',H""Jo", ^*. - TIDA K H U RAIAN
niut u Unit Pemodenan Tadbiran dan Perancangan Pengurusan Malaysia (MAMPU) Jabatan Perdana Menteri Aras 6, Blok 82, Kompleks Jabatan Perdana Menteri Pusat Pentadbinn Kerajaan Persekutuan 62502 PUTRAJAYA HAK CIPTA 2OO9 @ MAMPU Hak cipta terpelihara. Tiada mana-mana bahagian di dalam buku ini boleh diterbit semula, dicetak, disalin dan disiar bagi tujuan komersial dalam apa-apa bentuk sekalipun tanpa mendapat kebenaran secara bertulis daripada pemegang hak cipta.