Untuk Pengguna Kurang Upaya, Pilih sebarang teks dan klik butang di bawah
Dasar Keselamatan Rangkaian
TARIF
Aset ICT
Sebarang objek ICT yang mempunyai nilai kepada organisasi.
Backup
Salinan fail atau program yang dijanakan untuk memudahkan proses pemulihan dijalankan.
Business Impact Analysis
Analisa berkaitan keperluan sistem ICT, proses dan hubungankait antara keduanya yang digunakan untuk menyediakan system kontigensi dan keutamaan yang perlu diberikan semasa bencana.
Change Management
Proses yang memastikan semua perubahan ke atas infrastruktur ICT ditaksirkan, ditentusahkan, dilaksanakan dan dikaji semula dalam keadaan terkawal untuk memastikan gangguan tidak berlaku.
Dasar
Pernyataan peringkat tinggi mengenai prinsip, matlamat dan objektif termasuk juga cara-cara untuk mencapainya bagi subjek yang spesifik.
Emel
Mesej yang dihantar secara elektronik.
Impak
Hasil atau lanjutan dari sesuatu kejadian.
Integriti
Keadaan di mana maklumat tersimpan mengikut cara yang dibenarkan dan tiada perubahan dilakukan yang menjadikan maklumat itu berlainan dari asal.
Kawalan
Langkah-langkah penjagaan yang mana bila ia dilakukan dengan betul, akan mengurangkan risiko kemusnahan terhadap aset.
Kerahsiaan
Keadaan di mana maklumat sensitif dikawal dan diberikan kepada pengguna yang sah sahaja.
Keselamatan Fizikal
Prosedur kawalan yang wujud untuk menghalang penceroboh dari memasuki sistem atau prasarana.
Ketersediaan
Keadaan di mana maklumat atau proses sentiasa boleh dicapai dan digunakan oleh pihak yang dibenarkan.
Pengasingan Tugas
Pengasingan tugas dan tanggungjawab supaya tiada individu boleh mengsabotaj sistem kritikal yang dikendalikannya.Kakitangan MOA (Tetap, sementara, kontrak) atau pihak ketiga
Pengguna ICT
(perunding, kontraktor, pembekal dan pembekal perkhidmatan) yang diberikan hak capaian kepada aset ICT MOA.Individu yang selain dari kakitangan MOA seperti perunding,
Pihak Ketiga
pembekal, kontraktor, pembekal perkhidmatan dan sebagainya.Kakitangan dari Agensi Kerajaan selain dari MOA juga diklasifikasikan sebagai pihak ketiga.
Risiko
Kemungkinan untuk sesuatu terjadi yang boleh memberikan impak kepada objektifnya.
Secure Areas
Kawasan di mana MOA menempatkan aset ICT yang sensitif dan kritikal seperti Pusat Data atau bilik pejabat yang mengandungi maklumat yang sulit.
Shred
Cara-cara untuk ‘membersihkan’ media, dengan cara merincih atau menghancurkannya kepada bahagian yang kecil.
Virus
Kod yang ditulis dengan niat jahat untuk memusnah cara computer bekerja tanpa kebenaran pengguna.
Vulnerability
Kelemahan dari segi prosedur, senibina, implementasi dan kawalan dalaman yang boleh dieksploitasi hingga mengakibatkan pelanggaran aspek keselamatan atau dasar keselamatan.
1. PENGENALAN
Infrastruktur rangkaian MOA disediakan sebahagian utiliti penting untuk pengguna ICT. Polisi ini memberitahu mengengai polisi MOA yang membenarkan capaian dan memastikan keselamatan rangkaian MOA. Ia menentukan tanggungjawab BTM di dalam menguruskan rangkaian dan tanggungjawab pengguna ke atasnya. Ia juga memberitahu hak kawalan BTM dalam proses pengecaman, pembasmian dan pembersihan ke atas segala risiko keselamatan yang boleh mengancam aktiviti MOA dan penggunanya.
2. TUJUAN
BTM bertanggungjawab ke atas pemilikan, pembangunan, instalasi, operasi dan pemeliharaan rangkaian komunikasi data bagi pihak MOA. Dengan tanggungjawab ini, ia membenarkan pihak MOA untuk mengambil tindakan sewajarnya untuk meminimakan segala potensi risiko yang mungkin akan berlaku ke atas MOA. Dalam konteks ini, tujuan polisi adalah untuk memberitahu secara jelas tanggungjawab dan hak kuasa BTM terhadap infrastruktur rangkaian MOA dan juga pada alatan yang berhubung kepada infrastruktur tersebut.
3. KUMPULAN SASAR
Polisi ini tergunapakai oleh pentadbir sistem dan rangkaian yang bertanggungjawab dalam mereka, melaksana dan menyokong rangkaian MOA. Ia juga dipakai oleh pihak ketiga yang berhubung dengan rangkaian MOA.
4. PELANGGARAN DAN HUKUMAN
Sebarang pelanggaran polisi perlulah dilaporkan pada Bahagian Teknologi Maklumat (BTM). Insiden perlulah disiasat dan oleh BTM, dengan kerjasama penyelia individu yang disyaki dan pihak berkuasa.
Pelanggaran polisi secara sengaja atau sebaliknya akan menyebabkan:
Kehilangan hak capaian ke atas sumber maklumat;
Penilaian prestasi kerja yang buruk;
Dikenakan tindakan tatatertib;
Digantung kerja atau ditamatkan perkhidmatan;
Ditamatkan kontrak;
5. SEMAKAN DAN PENYELENGGARAAN DOKUMEN
ICT Security Officer (ICTSO) 1 merupakan pemunya dokumen ini. Dia bertanggungjawab untuk menyemak dan menyelenggarakan polisi ini.
6. RUJUKAN
Information Security – Security techniques – Code of practice for information security management (ISO/IEC 17799 : 2005)
Information technology – Security techniques – Information security management systems – Requirements (ISO/IEC 27001:2005)
Akta Arkib Negara 2003
Arahan Keselamatan
Arahan Teknologi Maklumat 2007 – MAMPU
Guidelines for Media Sanitisation : The NIST Handbook (Special Publication 800-88)”, United States : National Institute of Standards and Technology, 2006
Malaysian Public Sector Management Of ICT Security Handbook (MyMIS)
Surat Pekeliling Am Bilangan 1 Tahun 2001 - Mekanisme Pelaporan Insiden Keselamatan Teknologi Maklumat dan Komunikasi
Surat Pekeliling Am Bil. 4 Tahun 2006 : Pengurusan Pengendalian Insiden Keselamatan Teknologi Maklumat Dan Komunikasi (ICT) Sektor Awam
7. DASAR
Infrastruktur Rangkaian Local Area Network (LAN) adalah hak milik dan harta yang dipunyai oleh MOA.
BTM bertanggungjawab dalam pengendalian operasi rangkaian MOA.
BTM akan mengendalikan sebarang pembinaan dan penambahbaikan ke atas infrastruktur ini. Tanggungjawab itu termasuklah: a. Pemilihan, belian, pemasangan dan penyelenggaraan semua alatan rangkaian; b. Pemilihan protokol yang disokong oleh rangkaian; dan c. Definisi ke atas standard yang disetkan oleh MOA yang perlu dalam menjamin kelancaran operasi rangkaian atau keselamatan sebarang maklumat yang dihantar, disimpan dan diproses.
Pelan Infrastruktur rangkaian yang diubahsuai mestilah menyatakan elemen teknikal, operasi dan keselamatan. Ia mestilah diberitahu, diselenggara dan dikemaskini sebelum sebarang perubahan major dibuat ke atas infrastruktur rangkaian. Pelan ini mestilah digunakan sebagai blueprint untuk kegunaan perancanaan dan belanjawan.
Hanya BTM dan/atau kontraktor yang disahkan oleh MOA dibenarkan untuk mengubahsuai infrastruktur rangkaian.
Bila merangka infrastruktur rangkaian, objektif berikut perlu diambil kira: a. Ia mestilah pantas, selamat, dapat diskalakan dan boleh menampung perkembangan kegunaan di masa hadapan; b. Ia mestilah berdaya tahan dan ada setiap masa; c. Ia mestilah mempunyai timbal-balik (redundancy) supaya perkhidmatan yang diberikan sentiasa ada walaupun wujud masalah pada alatan yang ada; dan d. Ia mestilah homogenous dan boleh berfungsi dengan rangkaian sedia ada.
BTM mestilah mendaftar dan mengendalikan kesemua ‘networking addresses’ bagi protokol yang disokong oleh MOA.
Pengasingan Rangkaian Pengasingan Luaran Kawalan rangkaian mestilah pengasingkan ia kepada kumpulan perkhidmatan maklumat, pengguna dan sistem maklumat bila berhubungan antara satu sama lain dan kepada pihak ketiga.
Penilaian risiko mestilah dilaksanakan untuk menentukan kawalan yang perlu sebelum membenarkan capaian terhadap rangkaian organisasi oleh pihak yang baru atau pihak ketiga.
Hubungan terus (direct connection) antara rangkaian dalan MOA dan pihak ketiga adalah dilarang.
Hubungan luaran mestilah diputuskan dalam bentuk rangkaian kawalan (DMZ atau serupa dengannya).
Pengasingan Dalaman Pembinaan dan pengujian rangkaian atau sisyem mestilah diasingkan dari rangkaian dalaman (menggunakan firewall/proxy). Ini untuk mengelakkan kepincangan tugas dari perisian mengancam rangkaian yang ada.
Pengalamatan sistem dalaman (IP Address), konfigurasi dan maklumat rekaan sistem untuk sistem rangkaian MOA mestilah dikawal dari pengguna sistem dan pengguna luaran.
Pelayan luaran Internet (Public Internet servers) mestilah diletakkan pada subnet yang berbeza dari rangkaian dalaman MOA. Router, firewall dan IDS mestilah digunakan untuk memantau trafik maklumat dari pelayan luaran ke rangkaian dalaman.
Pengasingan Persekitaran Pembinaan dan Penghasilan (Development & Production) Persekitaran pembinaan dan penghasilan mestilah diasingkan untuk menghalang masalah yang mungkin akan berlaku oleh perisian yang diuji.
Hanya sistem yang dibenarkan boleh dihubungkan kepada persekitaran penghasilan hanya selepas ia memenuhi kriteria yang ditetapkan.
Operasi Rangkaian Kakitangan yang bertanggungjawab ke atas pengurusan dan penyelenggaraan infrastruktur rangkaian mestilah disokong oleh dokumentasi prosedur yang lengkap.
BTM bertanggungjawab untuk membina dan menyelenggara dokumentasi rangkaian untuk kegunaan semasa penyelenggaraan, operasi dan perencanaan.
Sebarang kerosakan rangkaian atau penggunaan melampau mestilah dilaporkan dan disiasat untuk kegunaan penambahbaikan masa akan datang.
Dalam keadaan di mana operasi rangkaian diberikan kepada pihak ketiga, prosedur dan kawalan yang lengkap perlu ada untuk melindungi kerahsiaan dan integriti maklumat.
Analisa pemilihan mestilah dijalankan untuk memastikan pihak yang dipilih memenuhi keperluan MOA seperti kestabilan kewangan untuk meneruskan perniagaan dan kecekapan dalam melaksanakan tugas.
Perjanjian kontrak dengan pembekal mestilah sah di bawah undang-undang dan dilaksanakan untuk melindungi kepentingan MOA.
Alatan Rangkaian Hanya kontraktor terpilih sahaja dibenarkan untuk memasang alatan rangkaian yang diuruskan oleh BTM.
Semua alatan rangkaian yang ditambah kepada infrastruktur rangkaian mestilah boleh diurus dan mengikuti keperluan keselamatan yang ditetapkan.
Capaian fizikal kepada peralatan rangkaian hendaklah dihadkan kepada kakitangan yang telah dibenarkan sahaja.
Semua peralatan rangkaian yang dihubungkan kepada rangkaian MOA hendaklah diluluskan terlebih dahulu. BTM hendaklah memutuskan hubungan alatan kepada rangkaian yand masih lagi belum diluluskan. Ia untuk memastikan kestabilan dan kesediaadaan rangkaian pada tingkat optimum.
Semua peralatan infrastruktur rangkaian mestilah mempunyai keupayaan menyimpan log untuk merekodkan semua capaian, samda yang berjaya atau sebaliknya.
Capaian kepada semua peralatan rangkaian mestilah dikawal dengan menggunakan kata laluan. Alatan tersebut mestilah dibina, diuji dan dikawal untuk menghalang dari capaian tidak sah ke atas kata laluan yang disimpan.
Semua backup mestilah dipastikan selamat pada tahap yang sama dengan alatan yang digunakan secara aktif.
Sistem Pihak Ketiga Pada Rangkaian MOA Jika pembekal memerlukan tempat untuk meletakkan alatan mereka pada rangkaian MOA, mereka perlu memastikan ia mengikuti semua keperluan polisi yang ada.
Penempatan alatan pada rangkaian MOA mestilah diluluskan sebelum ia boleh diguna pakai.
Pengurusan Konfigurasi Rangkaian Semua alatan rangkaian yang berhubung mestilah diselaraskan mengikut spesifikasi standard antarabangsa.
Konfigurasi router, firewall dan alatan rangkaian yang kritikal mestilah menjadi tanggungjawab, diselenggarakan, didokumenkan dan disimpan secara selamat oleh BTM.
Perubahan yang dilakukan terhadap konfigurasi pada sebarang alatan rangkaian yang aktif hanya boleh dilakukan selepas mendapat kelulusan BTM.
Pengalamatan dalaman (internal addresses), konfigurasi, kawalan keselamatan dan maklumat rekaan sistem bagi rangkaian MOA mestilah dirahsiakan.
Remote Diagnostic dan Perlindungan Port Konfigurasi Port diagnostik dan konfigurasi hendaklah dikawal dari penggunaan yang dilarang.
Port, perkhidmatan dan fasiliti yang sama dengannya yang dimasukkan dengan komputer atau fasiliti rangkaian yang tidak menyokong fungsi MOA hendaklah dimatikan/dibuang.
Sebarang permintaan dari pihak ketiga atau pembekal untuk mestilah dibenarkan. Sebarang capaian perlulah ditentusahkan sebelum capaian dibenarkan.
BTM mestilah menyemak sistem yang dicapai oleh pihak pembekal untuk memastikan tidak aktiviti terlarang yang dilakukan ke atas sistem tersebut.
Perubahan Keatas rangkaian MOA Perubahan ke atas rangkaian MOA hanya boleh dilakukan selepas disahkan oleh KKPJL (TM). Perubahan termasuklah konfigurasi pengurusan alatan rangkaian, perubahan alamat rangkaian, menukar konfigurasi router dan menambah talian.
Pemintaan perubahan (change request) yang bertulis hendaklah dihasilkan dan disahkan, kecuali pada situasi kecemasan.
Perubahan semasa kecemasan ke atas rangkaian MOA mestilah dilakukan oleh individu yang dibenarkan oleh BTM. Proses ini untuk menghalang sebarang perubahan luar jangka yang boleh melumpuhkan rangkaian sedia ada.
Sebarang perubahan ke atas rangkaian MOA mestilah didokumenkan.
Pemantauan Rangkaian Trafik yang memasuki rangkaian MOA mestilah dipantau dan diuruskan oleh BTM.
Pemeriksaan rutin bagi aktiviti luar biasa atau tidak dibenarkan perlu dilakukan dengan menggunakan alatan keselamatan maklumat seperti network intrusion detection system, network traffic monitors, firewall, and system logging. Pemeriksaan ke atas paket rangkaian juga perlu dilakukan.
Pentadbir rangkaian yang dibenarkan mestilah menggunakan alatan pemantauan rangkaian untuk: a. Mengecam corak serangan yang ada; b. Mengecam sebaran maklumat rahsia; dan c. Mengecam dan menganalisa masalah yang ada.
Capaian ke pada trafik rangkaian yang disimpan mestilah direkodkan dan hanya kakitangan BTM sahaja yang dibenarkan untuk berbuat demikian.
Sniffer atau alatan yang sama hanya boleh digunakan oleh pentadbir rangkaian atau individu yang dibenarkan untuk tujuan diagnostik bagi trafik rangkaisan sahaja.
Ketelitian mestilah ditunjukkan semasa mengendali, mengawal dan menyimpan semua data yang dipantau. Individu yang disahkan untuk menganalisa trafik rangkaian mestilah menyimpan maklumat yang diproses pada diri mereka sahaja.
Kawalan Capaian Rangkaian Sistem yang sensitif mestilah mempunyai kawalan capaian rangkaian (contoh: firewall atau Access Control List) untuk menghalang hubungan tanpa kebenaran dari luar atau dalam MOA. Penilaian risiko tahunan hendaklah dilakukan untuk memastikan sistem/aplikasi mana yang perlu dikawal secara sistematik.
Perkhidmatan yang tidak diperlukan dalam operasi harian mestilah dimatikan fungsinya.
Rangkaian yang menjangkau batasan negara mestilah diasingkan menggunakan konsep domain logikal, setiap satunya dikawal oleh paramater keselamatan dan mekanisma kawalan capaian yang betul.
Permintaan bertulis untuk mencapai rangkaian MOA mestilah disahkan.
Pihak ketiga yang ingin capaian rangkain di MOA mestilah menandatangani Official Secret Act (OSA).
Pihak ketiga hanya diberikan capaian rangkaian setelah mendapat pengesahan bertulis dari pihak MOA. Keutamaan ini hanya terhad kepada fasiliti sistem dan maklumat sahaja.
Pihak ketiga yang ingin mencapai rangkaian dalam MOA secara remote, mestilah mematuhi polisi dan prosedur yang ditetapkan.
MOA berhak menjalankan audit ke atas pihak ketiga yang mempunyai capaian ke atas rangkaian MOA untuk memastikan mereka mematuhi polisi dan keperluan MOA.
Virtual Private Network (VPN) Sebarang hubungan antara firewall pada rangkaian umum hendaklah menggunakan implementasi Virtual Private Network untuk memastikan kerahsiaan dan integriti data yang dihantar pada rangkaian tersebut.
Hubungan VPN mestilah mendapat kebenaran terlebih dahulu.
Hubungan Wireless BTM mestilah menguruskan infrastruktur rangkaian wireless di dalam MOA dan memastikan wireless access points (AP) diletakkan pada lokasi tertentu di MOA.
Pelayan fail, pelayan pengkalan data, pelayan aplikasi dan alatan yang kritikal untuk operasi MOA tidak dibenarkan untuk disambung pada rangkaian wireless.
Wireless Local Area Network (WLAN) mestilah diteguhkan dengan melakukan yang berikut: a. Mereka sistem WLAN di mana semua capaian terhadap AP mestilah melalui proses tapisan keselamatan dan konfigurasi; dan b. Mereka kawalan capaian dengan menggunakan konsep pengesahan pengguna seperti Radius Server. Pengesahan pengguna diperlukan pada AP sebelum pengguna boleh memasuki rangkaian MOA.
Semua wireless AP mestilah disahkan dan didaftar dengan BTM sebelum ia boleh dihubungkan pada rangkaian MOA.
Wireless AP mestilah dipastikan selamat dengan menggunakan cara-cara berikut: a. Menggunakan enkrpisi dan kunci rangkaian yang kukuh dengan kombinasi pelbagai aksara, seperti alphabet, aksara istimewa dan nombor; b. Menukarkan kata laluan atau kunci rangkaian sekeras mungkin; c. Mengaktifkan MAC Address Filtering. Hanya hubungan dari MAC address yang dikenali yang boleh diterima oleh AP; dan d. Memastikan perisian aplikasi wireless AP adalah yang terkini.
Wireless AP mestilah diletakkan pada kawasan yang dikawal secara fizikal. Kawalan di bawah ini bolehlah dilakukan: a. Memasang alatan reflector yang mengawal transmisi radio bagi wireless AP untuk jarak yang ditetapkan sahaja; dan b. Menggunakan pelindung pintu yang menghalang dari isyarat radio keluar dari tingkap.
Cubaan untuk melepasi kawalan keselamatan atau merosakkan perkhidmatan wireless secara pasif/aktif adalah dilarang. Sebarang cubaan untuk mengubahkan secara fizikal oleh bukan kakitangan BTM akan dikenakan tindakan displin.
8. DOKUMEN BERKAITAN
Polisi Keselamatan Sistem
Polisi Keselamatan Operasi
Polisi Keselamatan Pembinaan Sistem
Polisi Pengkomputeran Mobil
Paparan : 2842
Tarikh Akhir Dikemaskini : 13 Ogos 2010
Jabatan/Agensi
Paparan : 15409534
Tarikh Akhir Dikemaskini : 22 Jun 2011
Pautan Berkaitan
Paparan : 15410959
Tarikh Akhir Dikemaskini : 08 Mei 2012
Wisma Tani, No.28 Persiaran Perdana, Presint 4, Pusat Pentadbiran Kerajaan Persekutuan, 62624 Putrajaya Malaysia, Tel: 603-88701000 Fax: 603-88886020, Email: pro@moa.gov.my
Cetak Laman Ini
