Cyber Security Assesment AOP Group

Cyber Security Check List

Batas waktu pengisian : 05 Juli 2024

Petunjuk pengisian:
Pengisian data pada kolom "Status" dan "Remarks"
1.	Pada kolom "Status" berupa dropdown list dengan pilihan sebagai berikut:
	-	Not Yet: poin belum diimplementasikan
	-	Implemented: poin sudah diimplementasikan
	-	Partial Implemented: poin sudah diimplementasikan namun baru sebagian
	-	On Going Implementation: poin sedang diimplementasikan
	-	Not Relevant: poin tidak relevan/tidak dapat diimplementasikan
2.	Pada kolom "Remarks" diisikan penjelasan lebih lanjut dari status yang diberikan.
3.	Jika kondisi status implemented mohon melampirkan evidence sesuai dengan keterangan pada setiap pertanyaan. Jika kondisi status on going implementation mohon melampirkan dokumen berupa planning/propose solution/timeline project.

Nama Perusahaan
Nama PIC/Departement
Email
example@example.com

1. Data Protection

Rows	Status	Remarks
1.1 Apakah perusahaan anda telah menerapkan regular data backup pada seluruh server/aplikasi/website/portal? Jelaskan!(Evidence : SOP, IK/WI, & Berita acara hasil backup 1 tahun terakhir)
1.2 Apakah setiap aplikasi/website/portal memiliki database masing-masing/terpisah?(Evidence : Capture schema database)
1.3 Apakah setiap aplikasi/website/portal memiliki user access database masing-masing/berbeda? Apps/Security Software?(Evidence : Capture list user access & privilege database)
1.4 Apakah backup data/server/aplikasi/website/portal telah dilakukan pengujian recovery/restore secara berkala?(Evidence : SOP, IK/WI, & Berita acara hasil uji coba recovery / restore 1 tahun terakhir)
1.5 Apakah public server/aplikasi/website/portal terpisah secara network maupun fisik dengan internal/local server?(Evidence : Capture/list topologi Segmentasi IP)
1.6 Apakah data sensitive seperti (user/password/data pribadi dll) yang tersimpan pada database/server telah dilengkapi dengan technology hash?(Evidence : Capture data yang disimpan menggunakan hash / enkripisi)
1.7 Apakah seluruh data backup telah di encrypt?(Evidence : Capture file hasil backup)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 1.1 - 1.7 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

2. Patch Management

Rows	Status	Remarks
2.1 Apakah secara rutin melakukan replace/upgrade atas outdated all software, including operating systems, applications, and security software? (Evidence : SOP, IK/WI, & Berita acara hasil upgrade software)
2.2 Apakah secara rutin melakukan update atas semua software/OS/Apps/Security Software? (Evidence : Berita acara hasil upgrade software)
2.3 Apakah secara rutin regular cek atas security patches pada software/OS/Apps/Security Software? (Evidence : Berita acara hasil regular check security patches)
2.4 Apakah telah memiliki skala prioritas dan pengecekan regular dalam melakukan implementasi critical patch atas IT devices, OS, applications, open source softwares? (Evidence : SOP, IK/WI, & Timeline / rencana kerja pengecekan reguler)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 2.1 - 2.4 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

3. Network Security Email

Rows	Status	Remarks
3.1 Apakah telah mengimplementasi antivirus/antimalware pada policy email server/email gateway?(Evidence : Capture antivirus yang digunakan)
3.2 Apakah telah menerapkan antispam pada email? (Evidence : Capture konfigurasi anti spam yang digunakan)
3.3 Apakah telah mengimplementasikan Sender Policy Framework (SPF)? (Evidence : Capture konfigurasi/tools SPF)
3.4 Apakah telah mengimplementasikan standar file yang dapat di-attach/dikirim menggunakan email?(Evidence : Capture konfigurasi file yang dapat di attach)
3.5 Apakah telah mengimplementasikan Secure SMTP port 465 / 587? (Evidence : Capture konfigurasi secure port yang digunakan, bisa juga scanning menggunakan NMAP)
3.6 Apakah telah mengimplementasikan Domain-based Message Authentication Reporting & Conformance (DMARC) pada mail server/mail gateway?(Evidence : Capture konfiguras DMARC)
3.7 Apakah telah mengimplementasikan DomainKeys Identified Mail (DKIM) pada mail server/mail gateway?(Evidence : Capture konfiguras DKIM)
3.8 Apakah telah mengimplementasikan penggunaan password/enkripsi pada email yang memuat informasi sensitif?(Evidence : Capture konfigruasi status enkripsi email)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 3.1 - 3.8 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

4. Network Security Endpoint

Rows	Status	Remarks
4.1 Apakah pada seluruh device/client terdapat antivirus/antimalware dan updated?(Evidence : Capture antivirus yang digunakan pada client)
4.2 Apakah telah mengimplementasikan penggunaan Endpoint Detection and Response (EDR) pada seluruh device/client??(Evidence : Capture EDR yang digunakan pada client)
4.3 Apakah telah mengimplementasikan standar untuk Restriction Local Admin?(Evidence : SK/IT Policy/SOP/WI/IK terkait penggunaan lokal admin & list user)
4.4 Apakah telah mengimplementasikan disable User account atas idle/last login for more than 90 days. periode 90 hari idle/last login? (Evidence : SK/IT policy/SOP/WI/IT atas idle user)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 4.1 - 4.4 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

5. Network Security Local Network

Rows	Status	Remarks
5.1 Apakah terdapat Instrusion Detection System (IDS)/Instrusion Prevention System (IPS) yang terinstall pada jaringan?(Evidence : Capture topologi jaringan yang digunakan)
5.2 Apakah terdapat Network Access Control (NAC) yang terinstall pada jaringan?(Evidence : Capture konfigurasi topologi NAC)
5.3 Apakah telah mengimplementasikan network segmentation antar jaringan kritikal dan non kritikal?(Evidence : Capture topologi jaringan yang digunakan / konfigurasi kritikal network)
5.4 Apakah telah memisahkan jaringan yang digunakan local network dengan jaringan guest? dan terutama ISP(Evidence : Capture topologi jaringan yang digunakan)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 5.1 - 5.4 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

6. Operation Security

Rows	Status	Remarks
6.1 Apakah telah mendefinisikan area ter-cover atau ter-define standar konfigurasi terkait security hardening Active Directory (AD)?(Evidence: Capture Listing AD)
6.2 Apakah telah mendefinisikan area ter-cover atau ter-define standar konfigurasi terkait security hardening Database? (Evidence : Checklist Secure Hardening)
6.3 Apakah telah mendefinisikan area ter-cover atau ter-define standar konfigurasi terkait security hardening End-Point Security (Traditional Antivirus/EDR/EPP/XDR)?(Evidence : Checklist Secure Hardening)
6.4 Apakah telah mendefinisikan area ter-cover atau ter-define standar konfigurasi terkait security hardening Email?(Evidence : Checklist Secure Hardening)
6.5 Apakah telah mendefinisikan area ter-cover atau ter-define standar konfigurasi terkait security hardening Mobile Device?(Evidence : Checklist Secure Hardening)
6.6 Apakah telah mendefinisikan area ter-cover atau ter-define standar konfigurasi terkait security hardening Cloud (IaaS/PaaS/SaaS)?(Evidence : Checklist Secure Hardening)
6.7 Apakah setiap karyawan (permanent/contract/outsource) telah menandatangi kontrak/Non Disclosure Agreement (NDA) terkait kewajiban menjaga kerahasian/keamanan informasi?(Evidence : Contoh File NDA untuk karyawan)
6.8 Apakah terdapat aturan/ formal disciplinary dari HC/HR kepada Karyawan yang terbukti melakukan pelanggaran yang menyebabkan terjadi kebocoran data?(Evidence : SOP/IK/Peraturan Perusahaan terkait kebocoran data)
6.9 Apakah telah menjalankan pemberian awareness & training rutin minimal setahun sekali terkait data privacy kepada personel yang memiliki otorisasi untuk mengakses dan memproses personel data?(Evidence : Berita Acara/Dokumentasi kegiatan sosialisasi awareness)
6.10 Apakah telah menjalankan simulasi phishing secara regular yang disertakan hasil dan laporannya untuk ditindaklanjuti?(Evidence : Laporan hasil Phishing Test)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 6.1 - 6.10 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

7. Third-party Relationship

Rows	Status	Remarks
7.1 Apakah telah mengimplementasikan standar contract thirdparty?*(Evidence : Contoh Perjanjian dengan Vendor Third Party IT)
7.2 Apakah telah melakukan identifikasi dan monitoring atas access yang diberikan ke thirdparty secara regular?(Evidence : SOP/Berita Acara Mekanisme serah terima user akses ke vendor IT)
7.3 Apakah telah memiliki standar/checklist secure programming yang di roll out ke thirdparty sebagai guidance dalam proses development serta terdapat evidence atas implementasi maupun pengujian?(Evidence : SOP/Checklist Secure Programming yang dimiliki)
7.4 Apakah terdapat NDA dengan Thirdparty?(Evidence : Contoh dokumen NDA dengan vendor IT)
7.5 Apakah telah dilakukan pengujian/monitoring atas cyber security pada third party?(Evidence : Laporan hasil pengujian /monitoring cyber security pada vendor IT)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 7.1 - 7.5 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

8. General Access Control

Rows	Status	Remarks
8.1 Apakah telah mengimplementasikan Dedicated Machines/VDI for Jump Boxes: Secure Access Architecture?
8.2 Apakah telah mengimplementasikan PAM untuk mengelola, mengontrol, dan melindungi akses ke akun pengguna atau sistem yang memiliki akses khusus di dalam lingkungan IT.(Evidence : Capture Priviledges Access Management)
8.3 Apakah telah mengimplementasikan Single Sign-on (SSO)?(Evidence : Capture Login yang menggunakan SSO)
8.4 Apakah telah mengimplementasikan hak akses pengguna dengan izin minimum yang diperlukan hanya untuk menjalankan fungsi pekerjaan atau tugas?(Evidence : User Matriks Aplikasi)
8.5 Apakah telah melakukan regular review untuk memastikan kesuaian role/session/access sesuai dengan job desk/role/posisi terbaru, termasuk user account yang memiliki custom/privilege khusus? dalam pelaksanaan nya dilengkapi dengan otorisasi dan dilaporkan secara regular.(Evidence : Laporan hasil review kesesuaian User akses dengan User Matriks Aplikasi)
8.6 Apakah telah melakukan review secara berkala atas account access service (Account yang dapat menjalankan background service)?(Evidence : User matrix atas account service)
8.7 Apakah user account service tidak menggunakan user account AD? (Evidence : User matrix atas account service)
8.8 Apakah telah mengimplementasikan User and Entity Behavior Analytics (UEBA) dalam mendeteksi aktifitas abnormal users, devices, applications, dan entities yang lain pada jaringan.? (Evidence : Berita acara hasil monitoring abnormality jaringan / capture alert EDR / XDR atas deteksi anomali yang dilakukan oleh )
8.9 Apakah telah mengimplementasikan user account minimum privilege pada akses Database maupun server instance dan tidak menggunakan user account DBA or local admin? (Evidence : User matrix atas user account DB)
8.10 Apakah telah melakukan monitoring atau scanning pada open shared folder untuk memastikan file sensitif secure?(Evidence : Laporan monitoring atas file yang diupload pada open shared folder)
8.11 Apakah telah mengimplementasikan UAM/SOD matrix sesuai dengan job desk/role/posisi terbaru dari setiap user karyawan?(Evidence : User access matrix )
8.12 Apakah telah mengimplementasikan penggunaan access temporary serta diatur periode? (Evidence : SOP / IT Policy atas user temporary yang dibuat)
8.13 Apakah telah memisahkan account administrator dengan account operasional/regular account? (Evidence : listing akun / surat penunjukan user yang memegang user administrator)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 8.1 - 8.13 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

9. Secure Development

Rows	Status	Remarks
9.1 Apakah pada fase requirement terdapat mekanisme security risk assessment? (Evidence : Laporan hasil security risk assesment)
9.2 Apakah pada fase design terdapat mekanismeFunctional/Technical Review oleh IT Security? (Evidence : Berita acara hasil review IT Security)
9.3 Apakah telah memisahkan system/environment development dengan production (Evidence : Capture segmentasi IP Server untuk development dan production)
9.4 Apakah telah memisahkan user development dengan user operasional/regular? (Evidence : list user development)
9.5 Apakah dilakukan security checks baik secara automatic (code scanning) maupun manual selama fase system development?(Evidence : Berita acara hasil security check)
9.6 Apakah terdapat mekanisme/konfigurasi restricted access untuk penggunaan public source code repositories (misal: GitHub dan GitLab) (Evidence :Capture private git yang digunakan)
9.7 Apakah dilakukan unit test; system integration test dan stress test/load test wajib diakukan sebelum User Acceptance Test (UAT)? (Evidence :Berita acara hasil unit test)
9.8 Apakah data yang digunakan pada fase development telah disanitasi / tidak menggunakan data production? (data dummy) (Evidence : Contoh data yang digunakan pada proses development)
9.9 Apakah dilakukan security testing pada aplikasi sebelum go live dan ketika dilakukan changes? (Evidence :Berita acara hasil security testing sebelum go live)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 9.1 - 9.9 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

10. Information Security Incident Management

Rows	Status	Remarks
10.1 Apakah telah mengimplementasikan dan mengaktifkan event log management sebagai Information Security Incident Management? (Evidence : Capture konfigurasi event log dari EDR / Firewall/WAF/XDR/IPS/IDS)
10.2 Apakah telah mengimplementasikan Security Information & Event Management (SIEM) Tools (provide by Internal or by MSS) (Evidence : Capture topologi SIEM / Playbook SIEM )
10.3 Apakah telah memiliki Incident response team & escalation protocol ? (Evidence : Struktur call tree incident respon )
10.4 Apakah telah memiliki Security Operation Center (SOC) by Internal? (Evidence : Struktur IT SOC )
10.5 Apakah telah memiliki Security Operation Center (SOC) by third party (24x7 monitoring) : as part of Managed Security Services (MSS)? (Evidence : perjanjian kerjasama dengan vendor SOC)
10.6 Apakah telah memiliki Incident response plan (include cyber incident)? (Evidence : SOP/IK incident response plan)
10.7 Apakah telah memiliki Incident response plan drill testing (minimum annually) (Evidence : Berita acara hasil uji coba incident response )
10.8 Apakah telah memiliki Threat intelligence monitoring? (Evidence : Berita acara monitoring analisa keterjadian threat / anomali berdasarkan alert dari security tools yang dimiliki )
10.9 Apakah telah melakukan sanitasi atas data personal, user, password maupun pin pada event log? (Evidence : capture event log yang menenkripsi data personal)
10.10 Apakah telah melakukan sanitasi atas link yang memuat detail data personal event log? (Evidence : capture event log yang menenkripsi data personal)
10.11 Apakah event log disimpan setidaknya 6 bulan? (Evidence : capture historical log)
10.12 Apakah terdapat proteksi akses pada event log yang tersimpan sehingga terhindar dari unauthorized access, modification and deletion?(Evidence : Capture proteksi limitasi akses ke file / folder backup event log)
10.13 Apakah telah melakukan backup dan archived atas event logs?(Evidecen : Capture hasil / BA backup event log)
10.14 Apakah setiap security event log dimonitoring secara tersentralisasi di SIEM system secara real time?(Evidence : Capture monitoring security event log)
10.15 Apakah setiap System/event logs disimpan/diisolasi selama forensic atau legal proses?(Evidence : Capture
10.16 Apakah telah melakukan simulasi table top? (evidence : Dokumentasi / BA hasil simulasi table top exercise)
10. 17 Apakah telah melakukan simulasi incident real life?(evidence : Dokumentasi / BA hasil simulasi)
10.18 Apakah dalam melakukan simulasi incident real life telah menjalankan skenario playbook?* (evidence : Dokumentasi / BA hasil simulasi & daftar skenario simulasi)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 10.1 - 10.18 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof

11. IT Continuity

Rows	Status	Remarks
11.1 Apakah telah miliki standar Recovery Point Objective (RPO)? dan berapa? (Evidence : SOP/IK terkait standar RPO)
11.2 Apakah telah miliki standar Recovery Time Objective (RTO)? dan berapa? (Evidence : SOP/IK terkait standar RTO)
11.3 Apakah telah miliki standar Maximum Tolerable Downtime (MTD)? dan berapa? (Evidence : SOP/IK terkait standar MTD)
11.4 Apakah telah miliki standar Work Recovery Time (WRT) ? dan berapa? (Evidence : SOP/IK terkait standar WRT)
11.5 Apakah telah memiliki Disaster Recovery Center (DRC) yang terpisah lokasi dengan Data Center? (Evidence : SOP/IK terkait standar DRC)
11.6 Apakah telah memiliki Disaster Recovery Plan (DRP) dan telah sesuai dengan BCP? (Evidence : SOP/IK terkait standar DRP)
11.7 Apakah telah memiliki primary & secondary Internet line network? (Evidence : Topologi network
11.8 Apakah telah mengimplementasikan secure storage disposal? periode? (Evidence : SOP/IK terkait standar secure storage disposal)

Upload bukti atas jawaban implemented / partial implemented pada pertanyaan poin 11.1 - 11.8 seperti berita acara, IK, SK, SOP, Capture, Email, & Dokumen Pendukung Lainnya

(Dapat upload lebih dari 1 file)
Cancelof
Upload bukti atas jawaban on going implementation seperti planning/propose solution/timeline project.

(Dapat upload lebih dari 1 file)
Cancelof
Should be Empty:

Cyber Security Check List