Mengenal ISO 27035 Manajemen Insiden Keamanan Informasi
ISO 27035 Manajemen Insiden Keamanan informasi
Apa itu Manajemen Insiden?
Insiden adalah serangkaian peristiwa keamanan informasi tidak terduga yang memiliki probabilitas dalam mempengaruhi operasional bisnis dan mengancam keamanan informasi. Sedangkan manajemen insiden adalah proses yang dilakukan untuk menyelesaikan suatu insiden. Tujuannya untuk mengembalikan kondisi layanan TI ke keadaan normal secepat mungkin dengan meminimalkan dampak yang ditimbulkan terhadap bisnis perusahaan. Kondisi normal tersebut didefinisikan dalam SLA (Service Level Agreement).
Baca juga: Peran Analisa Risiko Keamanan Informasi ISO 27001 Dalam Menjaga Keamanan Data Perusahaan
Apa itu Keamanan informasi?
Keamanan informasi adalah upaya yang dilakukan untuk menjaga informasi dari ancaman yang mungkin terjadi agar dapat menjamin dan memastikan keberlangsungan bisnis, meminimalkan resiko bisnis, dan memaksimalkan pengembalian investasi dan peluang bisnis. Terdapat 3 aspek yang diutamakan dalam keamanan informasi yaitu Confidentiality (kerahasiaan), Integrity (integritas), dan Availability (ketersediaan).
Baca juga: Mengenal ISO/IEC 27032 Sistem Keamanan Siber
Apa itu ISO 27035?
ISO 27035 merupakan standar untuk Manajemen Insiden Keamanan Informasi yang dikembangkan oleh ISO. Standar ini merupakan turunan dari ISO 27001 (Sistem Manajemen Kemanan Informasi) khususnya domain A.16 Manajemen Insiden Keamanan Informasi. Di Indonesia sendiri telah diadopsi secara resmi oleh Badan Standardisasi Nasional (BSN) menjadi SNI ISO/IEC 27035.
ISO 27035 Sistem Manajemen insiden keamanan informasi mencakup proses untuk mendeteksi dan merespon insiden keamanan informasi, termasuk proses pembelajaran insiden menggunakan hasil pembelajaran yang didapat sebagai input dalam keseluruhan proses manajemen selanjutnya. Manajemen insiden keamanan informasi dapat diadopsi dari berbagai macam framework atau standar yang ada di dunia. Contohnya standar ITIL 2011, ISO/IEC 27035, NIST SP 800-61, ENISA, dan SANS yang umumnya memiliki pedoman hampir sama.
Baca juga: Apa itu iso 27002:2022?
Kontrol Keamanan Informasi
Jenis insiden keamanan informasi sangat beragam, contohnya pencurian data, bencana alam, bahaya dari lingkungan sekitar seperti kebakaran, kegagalan saluran data, system crash, packet flooding, penggunaan akses atau penggunaan sumber daya sistem yang tidak sah, penggunaan akun pengguna lain secara ilegal, penggunaan hak sistem tanpa izin, perusakan web, penetrasi/intrusi sistem, maupun serangan virus yang masif.
Dalam implementasinya kontrol keamanan informasi seringkali mengalami kendala seperti:
- Kendala atau kerusakan yang disebabkan oleh peretas, penipu, atau malware yang kompeten.
- Kegagalan layanan, misalnya kegagalan autentikasi.
- Kinerja yang buruk, misalnya deteksi anomali lambat.
- Belum diimplementasikan sepenuhnya atau kurangnya pemahaman karena kegagalan dalam identifikasi dan analisis risiko.
Insiden keamanan informasi merupakan konsekuensi yang harus dihadapi secara berkelanjutan, bahkan oleh organisasi yang menangani keamanan informasi dengan sangat serius.
Baca juga: Apa saja manfaat ISO/IEC 27032 Sistem Keamanan Siber?
Tujuan ISO 27035
Tujuan utama Manajemen Insiden Keamanan Informasi ISO 27035 yaitu:
- Menghindari terjadinya insiden kemanan informasi.
- Meminimalkan dampak insiden keamanan informasi terhadap kerahasiaan, ketersediaan, atau integritas layanan, aset informasi, dan operasi organisasi.
- Mengurangi ancaman dan kerentanan saat terjadi insiden.
- Meningkatkan koordinasi dan manajemen insiden keamanan informasi dalam industri investasi.
- Mengurangi dampak biaya yang disebabkan oleh insiden keamanan informasi.
- Melaporkan temuan kepada manajemen eksekutif.
Baca juga: Mengenal 11 Kontrol Baru Annex-A ISO 27001:2022
4 Parts dalam ISO 27035
ISO/IEC 27035-1:2023 Part 1: Principles and process (Edisi Kedua)
Prinsip dan proses merupakan dasar dari seri ISO 27035. Bagian ini menyajikan konsep dasar, prinsip, dan proses utama manajemen insiden keamanan informasi. Dengan menggunakan pendekatan terstruktur dinilai dapat membantu perusahaan mempersiapkan, mendeteksi, melaporkan, menilai, dan merespons insiden yang terjadi. Kemudian pada bagian ini mencakup panduan tentang proses manajemen insiden keamanan informasi dan aktivitas utama yang bersifat umum agar dapat diterapkan pada semua organisasi, terlepas dari jenis, ukuran, atau sifatnya. Organisasi dapat menyesuaikan panduan ini sesuai dengan jenis, ukuran, dan sifat bisnis berdasarkan situasi dan risiko keamanan informasi. Dokumen ini juga berlaku untuk organisasi eksternal yang menyediakan layanan manajemen insiden keamanan informasi.
Bagian 1 ini menguraikan konsep dan prinsip mendasar manajemen insiden keamanan informasi dan memperkenalkan bagian standar lainnya. Dimana menjelaskan proses manajemen insiden keamanan informasi yang terdiri dari lima fase, dan menjelaskan cara meningkatkan manajemen insiden. Fase tersebut terdiri dari:
- Perencanaan dan persiapan (Plan and Prepare). Pada fase ini organisasi menetapkan kebijakan manajemen insiden keamanan informasi, membentuk tim tanggap insiden, dll;
- Deteksi dan Laporan (Detect and Report). Organisasi harus menunjuk seseorang untuk menemukan dan melaporkan “peristiwa” yang mungkin atau berubah menjadi insiden;
- Penilaian dan pengambilan keputusan (Asses and Decide). Organisasi harus menunjuk seseorang untuk menilai situasi dan menentukan apakah hal tersebut benar-benar sebuah insiden;
- Tanggapan (Respond). Organisasi melakukan aksi seperti menahan, memberantas, memulihkan, dan menganalisis insiden secara fisik (jika perlu);
- Pembelajaran (Learn Lesson). Organisasi melakukan perbaikan sistematis terhadap manajemen risiko informasi organisasi sebagai konsekuensi dari insiden yang dialami dan mempelajarinya.
Baca juga: Lembaga Pengguna Data Dukcapil Wajib Implementasi ISO 27001
ISO/IEC 27035-2:2023 Part 2: Guidelines to plan and prepare for incident response (Edisi Kedua)
Bagian 2 adalah terkait pengaturan atau pedoman dalam merencanakan dan mempersiapkan respons insiden, serta untuk mempelajari respons insiden. Panduan ini dilaksanakan berdasarkan fase perencanaan dan persiapan serta pembelajaran dari model fase manajemen insiden keamanan informasi. Dimana menyangkut jaminan bahwa organisasi siap untuk memberikan respons yang tepat terhadap insiden keamanan informasi yang mungkin akan terjadi.
Pedoman tersebut mencakup 9 klausa utama, yaitu:
- Kebijakan manajemen insiden keamanan informasi
- Pemutakhiran kebijakan keamanan informasi
- Membuat rencana pengelolaan insiden keamanan informasi
- Membangun kemampuan manajemen insiden
- Membangun hubungan internal dan eksternal
- Mendefinisikan dukungan teknis dan dukungan lainnya
- Menciptakan kesadaran terhadap insiden keamanan informasi dan pelatihannya
- Menguji rencana pengelolaan insiden keamanan informasi
- Pembelajaran insiden
… ditambah lampiran dengan contoh formulir, pendekatan kategorisasi insiden, dan catatan tentang ‘persyaratan hukum dan peraturan’ (kebanyakan privasi).
Baca juga: Persiapkan Transisi ISO 27001:2022 di Perusahaan Anda
ISO/IEC 27035-3:2020 Part 3: Guidelines for ICT incident response operations (Edisi Pertama)
Bagian 3 adalah terkait pedoman untuk merespon insiden keamanan informasi dalam pengoperasian keamanan TIK (Teknologi Informasi dan Komunikasi. Dokumen ini mencakup aspek operasional dalam operasi keamanan TIK berdasarkan perspektif orang, proses, dan teknologi. Serta berfokus pada respons insiden keamanan informasi dalam operasi keamanan TIK termasuk deteksi insiden keamanan informasi, pelaporan, triase, analisis, respons, penahanan, pemberantasan, pemulihan, dan kesimpulan.
Pedoman ini menyangkut ‘operasi keamanan’, khususnya organisasi dan proses yang diperlukan untuk fungsi keamanan informasi dalam mempersiapkan dan menanggapi peristiwa dan insiden keamanan TIK.
Baca juga: Mengenal ISO 27005:2022 Manajemen Risiko Keamanan Informasi
ISO/IEC 27035-4 Part 4: Coordination (Draft)
Pada bagian ini organisasi harus mengelola insiden besar (seperti serangan botnet atau phishing) biasanya melibatkan koordinasi respons antara Tim Tanggap Insiden dari beberapa organisasi (biasanya di berbagai negara) yang terpengaruh atau terlibat. Umumnya seperti Penyedia layanan internet dan cloud, penegak hukum, dan organisasi yang ditargetkan. Standar ini membahas konsep Manajemen Insiden yang terkoordinasi. Penerapannya dilakukan di seluruh siklus hidup manajemen insiden, mulai dari perencanaan respons hingga tahap pembelajaran insiden oleh ‘komunitas’ (rantai pasokan atau jaringan) dengan bidang yang sama. Bagian 4 ISO/IEC 27035 masih dalam tahap Draft Komite yang nantinya akan diterbitkan pada tahun 2024.
Baca juga: Konsultasi Sistem Manajemen
Konsultasikan Kebutuhan Konsultasi dan Sertifikasi Perusahaan Anda dengan Kami
