Memahami dan mematuhi keperluan keselamatan dalam membuat capaian dan menggunakan aset ICT UMP.
9.10.1 Keperluan Dasar
Pengurus ICT adalah bertanggungjawab kepada setiap capaian kepada aset ICT. Ia hendaklah dikawal mengikut keperluan keselamatan dan fungsi kerja pengguna yang berbeza. Ia perlu
Bab 9 halaman 92 Dasar Keselamatan ICT
direkodkan, dikemas kini dan dipantau dan menyokong dasar kawalan capaian pengguna sedia ada.
9.10.2 Pengurusan Capaian Pengguna
Pengurus atau Pentadbir ICT adalah berperanan bagi memastikan setiap pengguna adalah bertanggungjawab ke atas sistem ICT yang digunakan. Perkara yang perlu dipatuhi adalah seperti berikut: i. Mewujudkan prosedur pendaftaran dan pembatalan kebenaran
kepada pengguna untuk membuat capaian maklumat dan perkhidmatan;
ii. Akaun pengguna adalah unik dan pengguna bertanggungjawab ke atas akaun tersebut selepas pengesahan penerimaan dibuat; iii. Akaun pengguna yang diwujudkan dan tahap capaian termasuk
sebarang perubahan mestilah mendapat kebenaran pegawai yang bertanggungjawab secara bertulis dan direkodkan;
iv. Pemilikan akaun dan capaian pengguna adalah tertakluk kepada peraturan Jabatan dan tindakan pengemaskinian dan/atau pembatalan hendaklah diambil atas sebab berikut:
(a) Pengguna tidak hadir bertugas tanpa kebenaran melebihi satu tempoh yang ditentukan oleh Ketua Jabatan;
(b) Pengguna bertukar status atau taraf jawatan, tanggungjawab dan/atau dikenakan tindakan tatatertib oleh Pihak Berkuasa Tatatertib;dan
(c) Pengguna bertukar, berpindah agensi, bersara dan/atau tamat perkhidmatan.
v. Akaun pengguna bukan hak milik mutlak, ia diberi sepanjang tempoh perkhidmatan dan belajar sahaja;
vi. Merekod dan menyelenggara aktiviti capaian oleh pengguna dengan sistematik dan dikaji dari semasa ke semasa. Maklumat yang direkod termasuk identiti pengguna, sumber yang digunakan, perubahan maklumat, tarikh, masa, rangkaian dilalui, aplikasi diguna dan aktiviti capaian secara sah atau sebaliknya.
Bab 9 halaman 93 Dasar Keselamatan ICT
9.10.3 Tanggungjawab Pengguna
Setiap Pengguna ICT UMP adalah bertanggungjawab memastikan langkah berkesan bagi kawalan capaian digunakan untuk menghalang penyalahgunaan, kecurian maklumat dan kemudahan proses maklumat. Perkara yang perlu dipatuhi adalah seperti berikut: i. Mematuhi amalan terbaik pemilihan dan penggunaan kata laluan. ii. Memastikan kemudahan dan peralatan yang tidak digunakan
mendapat perlindungan sewajarnya.
iii. Mematuhi amalan clear desk/ clear screen policy.
9.10.4 Kawalan Capaian Rangkaian
Pengurus atau Pentadbir ICT adalah bertanggungjawab untuk menghalang capaian tidak sah dan tanpa kebenaran ke atas perkhidmatan rangkaian. Kawalan capaian perkhidmatan rangkaian hendaklah dijamin selamat serta mewujud dan menguat kuasa mekanisme untuk pengesahan pengguna dan peralatan yang menepati kesesuaian penggunaannya. Perkara yang perlu dipatuhi adalah seperti berikut:
i. Memastikan pengguna boleh membuat capaian ke atas perkhidmatan yang dibenarkan sahaja.
ii. Mewujudkan mekanisme pengesahan yang sesuai untuk mengawal capaian oleh pengguna jarak jauh.
iii. Mengguna kaedah pengenalan automatik berdasarkan lokasi dan peralatan untuk pengesahan sambungan ke dalam rangkaian. iv. Mengawal capaian fizikal dan logikal keatas kemudahan port
diagnostic dan konfigurasi jarak jauh.
v. Mengasingkan capaian mengikut kumpulan perkhidmatan maklumat, pengguna dan sistem maklumat dalam rangkaian. vi. Mengawal sambungan ke rangkaian, khususnya bagi kemudahan
Bab 9 halaman 94 Dasar Keselamatan ICT
vii. Mewujud dan melaksana kawalan pengalihan laluan (routing control) untuk memastikan pematuhan ke atas peraturan UMP.
9.10.5 Kawalan Capaian Sistem Operasi
Pengurus atau Pentadbir ICT adalah bertanggungjawab bagi memastikan capaian ke atas sistem operasi dikawal dan dihadkan kepada pengguna yang dibenarkan sahaja. Kaedah yang digunakan hendaklah mampu menyokong perkara berikut:
i. Mengesahkan pengguna yang dibenarkan selaras dengan peraturan UMP.
ii. Mewujudkan audit trail ke atas semua capaian sistem operasi terutama pengguna bertaraf khas (super user).
iii. Menjana amaran (alert) sekiranya berlaku perlanggaran ke atas peraturan keselamatan sistem;
iv. Menyedia kaedah sesuai untuk pengesahan capaian (authentication).
v. Menghadkan tempoh penggunaan mengikut kesesuaian. Perkara yang perlu dipatuhi adalah seperti berikut:
(a) Mengawal capaian ke atas sistem operasi menggunakan prosedur log-on yang selamat;
(b) Prosedur log-on yang selamat perlulah:
1. Menggunakan kaedah pengenalan pengguna yang unik dan teknik pengesahan pengguna yang berkesan dan selamat.
2. Melaksana sistem pengurusan kata laluan yang interaktif dan menjamin kualiti serta keselamatan kata laluan.
3. Mengawal penggunaan utiliti yang berkeupayaan melepasi sistem dan aplikasi terhad.
4. Menamatkan sesi yang tidak aktif selepas tempoh masa yang ditetapkan.
Bab 9 halaman 95 Dasar Keselamatan ICT
5. Menghadkan tempoh masa penggunaan bagi meningkatkan keselamatan aplikasi yang berisiko tinggi.
9.10.6 Kawalan Capaian Aplikasi dan Maklumat
Pengurus atau Pentadbir ICT adalah bertanggungjawab bagi memastikan capaian sistem dan aplikasi di UMP adalah terhad kepada pengguna dan tujuan yang dibenarkan sahaja. Akauan Sistem E-Community adalah diberikan kepada semua Staf dan Pelajar, manakala Sistem IMS adalah terhad kepada Staf tertentu sahaja. Bagi memastikan kawalan capaian sistem dan aplikasi adalah kukuh, langkah-langkah berikut hendaklah dipatuhi:
i. Membenarkan pengguna membuat capaian aplikasi dan maklumat yang dibenarkan mengikut tahap capaian dan sensitiviti maklumat yang telah ditentukan.
ii. Menyediakan mekanisme perlindungan bagi menghalang capaian tidak sah ke atas aplikasi dan maklumat daripada utiliti sedia ada dalam sistem operasi dan perisian malicious yang berupaya melangkaui kawalan sistem.
iii. Memastikan capaian ke atas maklumat dan fungsi sistem aplikasi oleh pengguna dihadkan, selaras dengan peraturan UMP.
iv. Mengasingkan persekitaran pengkomputeran yang khusus bagi sistem yang sensitif.
9.10.7 Penggunaan Peralatan ICT Mudah Alih
Setiap Pengguna ICT UMP adalah bertanggungjawab memastikan keselamatan maklumat apabila menggunakan kemudahan atau peralatan ICT mudah alih. Perkara yang perlu dipatuhi adalah seperti berikut:
Bab 9 halaman 96 Dasar Keselamatan ICT
i. Mewujudkan peraturan dan garis panduan keselamatan yang bersesuaian untuk melindungi dari risiko penggunaan peralatan mudah alih dan kemudahan komunikasi.
ii. Mewujudkan peraturan dan garis panduan untuk memastikan persekitaran kerja jarak jauh adalah sesuai dan selamat.