DASAR KESELAMATAN ICT UPSI

REKOD PINDAAN TARIKH VERSI BAB/MUKA SURAT BUTIRAN PINDAAN 28/09/2016 2.0 23, 26, 27, 28, 58, 71, 78, 79, 80, 82, 83 dan 86 Penambahan bagi beberapa dasar baru berkaitan 2.1.7 Mesyuarat Pengurusan Pusat ICT 2.2.2 Keselamatan Maklumat dalam Pengurusan Projek 2.2.3 Polisi Keselamatan Maklumat berkaitan hubungan pembekal 2.2.4 Rangkaian Pembekal ICT 6.8.3 Bring Your Own Device (BYOD) 7.5 Kawalan Capaian Pangkalan Data 8.4.3 Dasar Keselamatan dalam Pembangunan Sistem 8.4.4 Prinsip Kejuruteraan Keselamatan Sistem 8.4.5 Keselamatan Persekitaran Pembangunan Sistem 8.4.6 Pengurjian Keselamatan Sistem 8.5.2 Sekatan dalam Instalasi Perisian 9.1.3 Penilaian dan Keputusan terhadap Insiden Keselamatan ICT 9.1.4 Tindakbalas Terhadap Insiden Keselamatan ICT 10.1.2 Kebolehsediaan Fasiliti Pemprosesan Maklumat 22 dan 88 Kemaskini Jawatankuasa Keselamatan ICT (JKICT) UPSI kepada Jawatankuasa e-universiti UPSI pada seksyen: 2.1.6 Jawatankuasa e-universiti UPSI 11.1.5 Pelanggaran Dasar 16, 18, 25 dan68 Kemaskini seksyen berikut berdasarkan pelaksanaan ISMS terkini di UPSI: 1.1.1 Pelaksanaan Dasar 2.1.1 Naib Canselor UPSI 2.2.1 Keperluan Keselamatan Kontrak dengan Pihak Ketiga (e) 7.3.2 Capaian Internet (d) 17 Kemaskini pada seksyen 1.1.3 Penyelenggaraan Dasar (b, c) DKICT UPSI Versi 2.1 21/06/2017 1 dari 96

TARIKH VERSI BAB/MUKA SURAT BUTIRAN PINDAAN 42 Kemaskini pada seksyen 5.2.7 Pelupusan Perkakasan (b) berdasarkan perundangan yang terkini. 20, 25, 48 dan 68 Kemaskini pada seksyen berikut dengan mengeluarkan tanggungjawab Pengurus ICT: 2.1.4 Pengurus ICT 2.2.1 Keperluan Keselamatan Kontrak dengan Pihak Ketiga 6.1.3 Pengasingan Tugas dan Tanggungjawab 7.3.2 Capaian Internet (d) 84 Kemaskini Jawatankuasa ICT ISMS (JKICT) UPSI kepada Mesyuarat Pengurusan Pusat ICT pada seksyen: 10.1.1 Pelan Kesinambungan Perkhidmatan 94 Kemaskini pada Lampiran 2: Senarai Perundangan dan Peraturan berdasarkan perundangan dan peraturan yang terkini 21/06/2017 2.1 58 Kemaskini seksyen berikut berdasarkan pelaksanaan ISMS terkini di UPSI: 6.8.3 Bring Your Own Device (BYOD) DKICT UPSI Versi 2.1 21/06/2017 2 dari 96

ISI KANDUNGAN REKOD PINDAAN... 1 PENGENALAN... 8 OBJEKTIF... 8 PERNYATAAN DASAR... 9 SKOP... 10 PRINSIP-PRINSIP... 12 PENILAIAN RISIKO KESELAMATAN ICT... 14 BIDANG 01 PEMBANGUNAN DAN PENYELENGGARAAN DASAR... 16 1.1 Dasar Keselamatan ICT... 16 1.1.1 Pelaksanaan Dasar... 16 1.1.2 Penyebaran Dasar... 16 1.1.3 Penyelenggaraan Dasar... 17 1.1.4 Pengecualian Dasar... 17 BIDANG 02 ORGANISASI KESELAMATAN... 18 2.1 Infrastruktur Organisasi Dalaman... 18 2.1.1 Naib Canselor UPSI... 18 2.1.2 Ketua Pegawai Maklumat (CIO)... 18 2.1.3 Pegawai Keselamatan ICT (ICTSO)... 19 2.1.4 Pentadbir Sistem ICT... 20 2.1.5 Pengguna... 21 2.1.6 Jawatankuasa e-universiti UPSI... 22 2.1.7 Mesyuarat Pengurusan Pusat ICT... 23 2.2 Pihak Ketiga... 24 2.2.1 Keperluan Keselamatan Kontrak dengan Pihak Ketiga... 25 2.2.2 Keselamatan Maklumat dalam Pengurusan Projek... 26 2.2.3 Polisi Keselamatan Maklumat berkaitan Hubungan Pembekal... 27 2.2.4 Rangkaian Pembekal ICT... 28 BIDANG 03 PENGURUSAN ASET... 29 3.1 Akauntabiliti Aset... 29 3.1.1 Inventori Aset ICT... 29 3.2 Pengelasan dan Pengendalian Maklumat... 30 3.2.1 Pengelasan Maklumat... 30 3.2.2 Pengendalian Maklumat... 31 DKICT UPSI Versi 2.1 21/06/2017 3 dari 96

BIDANG 04 KESELAMATAN SUMBER MANUSIA... 32 4.1 Keselamatan Sumber Manusia Dalam Tugas Harian... 32 4.1.1 Sebelum Perkhidmatan... 32 4.1.2 Dalam Perkhidmatan... 33 4.1.3 Bertukar atau Tamat Perkhidmatan... 34 BIDANG 05 KESELAMATAN FIZIKAL DAN PERSEKITARAN... 35 5.1 Keselamatan Kawasan... 35 5.1.1 Kawalan Kawasan... 35 5.1.2 Kawalan Masuk Fizikal... 36 5.1.3 Kawasan Larangan... 36 5.2 Keselamatan Peralatan... 37 5.2.1 Peralatan ICT... 37 5.2.2 Media Storan... 39 5.2.3 Media Tandatangan Digital... 40 5.2.4 Media Perisian dan Aplikasi... 40 5.2.5 Penyelenggaraan Perkakasan... 41 5.2.6 Peralatan di Luar Premis... 41 5.2.7 Pelupusan Perkakasan... 42 5.3 Keselamatan Persekitaran... 43 5.3.1 Kawalan Persekitaran... 43 5.3.2 Bekalan Kuasa... 44 5.3.3 Kabel... 45 5.3.4 Prosedur Kecemasan... 45 5.4 Keselamatan Dokumen... 46 5.4.1 Dokumen... 46 BIDANG 06 PENGURUSAN OPERASI DAN KOMUNIKASI... 47 6.1 Pengurusan Prosedur Operasi... 47 6.1.1 Pengendalian Prosedur... 47 6.1.2 Kawalan Perubahan... 47 6.1.3 Pengasingan Tugas dan Tanggungjawab... 48 6.2 Pengurusan Penyampaian Perkhidmatan Pihak Ketiga... 49 6.2.1 Perkhidmatan Penyampaian... 49 6.3 Perancangan dan Penerimaan Sistem... 50 6.3.1 Perancangan Kapasiti... 50 6.3.2 Penerimaan Sistem... 50 DKICT UPSI Versi 2.1 21/06/2017 4 dari 96

6.4 Perisian Berbahaya... 51 6.4.1 Perlindungan dari Perisian Berbahaya... 51 6.4.2 Perlindungan dari Mobile Code... 52 6.5 Housekeeping... 52 6.5.1 Backup... 52 6.6 Pengurusan Rangkaian... 53 6.6.1 Kawalan Infrastruktur Rangkaian... 53 6.7 Pengurusan Media... 54 6.7.1 Penghantaran dan Pemindahan... 54 6.7.2 Prosedur Pengendalian Media... 54 6.7.3 Keselamatan Sistem Dokumentasi... 55 6.8 Pengurusan Pertukaran Maklumat... 55 6.8.1 Pertukaran Maklumat... 55 6.8.2 Pengurusan Mel Elektronik (E-mel)... 56 6.8.3 Bring Your Own Device (BYOD)... 58 6.9 Perkhidmatan E-Dagang (Electronic Commerce Services)... 59 6.9.1 E-Dagang... 60 6.9.2 Maklumat Umum... 60 6.10 Pemantauan... 61 6.10.1 Pengauditan dan Forensik ICT... 61 6.10.2 Jejak Audit... 62 6.10.3 Sistem Log... 63 6.10.4 Pemantauan Log... 63 BIDANG 07 KAWALAN CAPAIAN... 64 7.1 Dasar Kawalan Capaian... 64 7.1.1 Keperluan Kawalan Capaian... 64 7.2 Pengurusan Capaian Pengguna... 65 7.2.1 Akaun Pengguna... 65 7.2.2 Hak Capaian... 66 7.2.3 Pengurusan Kata Laluan... 66 7.2.4 Clear Desk dan Clear Screen... 67 7.3 Kawalan Capaian Rangkaian... 68 7.3.1 Keperluan Kawalan Capaian... 68 7.3.2 Capaian Internet... 68 7.4 Kawalan Capaian Sistem Pengoperasian... 70 DKICT UPSI Versi 2.1 21/06/2017 5 dari 96

7.4.1 Capaian Sistem Pengoperasian... 70 7.4.2 Kad Pintar... 71 7.5 Kawalan Capaian Pangkalan Data... 72 7.6 Kawalan Capaian Aplikasi dan Maklumat... 73 7.6.1 Capaian Aplikasi dan Maklumat... 73 7.7 Peralatan Mudah Alih dan Kerja Jarak Jauh... 74 7.7.1 Peralatan Mudah Alih... 74 7.7.2 Kerja Jarak Jauh... 74 BIDANG 08 PEROLEHAN, PEMBANGUNAN DAN PENYELENGGARAAN SISTEM... 75 8.1 Keselamatan Dalam Membangunkan Sistem dan Aplikasi... 75 8.1.1 Keperluan Keselamatan Sistem Maklumat... 75 8.2 Kawalan Kriptografi... 76 8.2.1 Enkripsi (Encryption)... 76 8.2.2 Tandatangan Digital (Digital Signature)... 76 8.2.3 Pengurusan Infrastruktur Kunci Awam (PKI)... 76 8.3 Keselamatan Fail Sistem... 77 8.3.1 Kawalan Fail Sistem... 77 8.4 Keselamatan Dalam Proses Pembangunan dan Sokongan... 78 8.4.1 Prosedur Kawalan Perubahan... 78 8.4.2 Pembangunan Perisian Secara Outsource... 79 8.4.3 Dasar Keselamatan dalam Pembangunan Sistem... 79 8.4.4 Prinsip Kejuruteraan Keselamatan Sistem... 79 8.4.5 Keselamatan Persekitaran Pembangunan Sistem... 80 8.4.6 Pengujian Keselamatan Sistem... 80 8.5 Kawalan Teknikal Keterdedahan (Vulnerability)... 80 8.5.1 Kawalan dari Ancaman Teknikal... 80 8.5.2 Sekatan dalam Instalasi Perisian... 81 BIDANG 09 PENGURUSAN INSIDEN KESELAMATAN... 82 9.1 Menangani Insiden Keselamatan ICT... 82 9.1.1 Prosedur Pengurusan Insiden... 82 9.1.2 Pelaporan Insiden... 82 9.1.3 Penilaian dan Keputusan terhadap Insiden Keselamatan ICT... 83 9.1.4 Tindakbalas terhadap Insiden Keselamatan ICT... 84 BIDANG 10 PENGURUSAN KESINAMBUNGAN PERKHIDMATAN... 85 10.1 Dasar Kesinambungan Perkhidmatan... 85 DKICT UPSI Versi 2.1 21/06/2017 6 dari 96

10.1.1 Pelan Kesinambungan Perkhidmatan... 85 10.1.2 Kebolehsediaan Fasiliti Pemprosesan Maklumat... 87 BIDANG 11 PEMATUHAN... 88 11.1 Pematuhan dan Keperluan Perundangan... 88 11.1.1 Pematuhan Dasar... 88 11.1.2 Pematuhan dengan Dasar, Piawaian dan Keperluan Teknikal... 88 11.1.3 Pematuhan Keperluan Audit... 89 11.1.4 Keperluan Perundangan... 89 11.1.5 Pelanggaran Dasar... 89 GLOSARI... 90 LAMPIRAN... 94 Lampiran 1... 94 Lampiran 2... 95 DKICT UPSI Versi 2.1 21/06/2017 7 dari 96

PENGENALAN Dasar Keselamatan ICT (DKICT) UPSI mengandungiperaturan-peraturan yang mesti dibaca dan dipatuhi dalam menggunakan aset Teknologi Maklumat dan Komunikasi (ICT). Dasar ini juga menerangkan kepada semua pengguna mengenai tanggungjawab dan peranan mereka dalam melindungi aset ICT UPSI. OBJEKTIF Dasar Keselamatan ICT UPSI diwujudkan untuk menjamin kesinambungan urusan UPSI dengan meminimumkan kesan insiden keselamatan ICT. Dasar ini juga bertujuan untuk memudahkan perkongsian maklumat sesuai dengan keperluan operasi UPSI. Ini hanya boleh dicapai dengan memastikan semua asset ICT dilindungi. Objektif utama keselamatan ICT UPSI adalah seperti berikut: a) Memastikankelancaran operasi UPSI dan meminimumkan kerosakan atau kemusnahan; b) Melindungi kepentingan pihak-pihak yang bergantung kepada sistem maklumat dari segi kesan kegagalan atau kelemahan dari segi kerahsiaan, integriti, kebolehsediaan, kesahihan maklumat dan komunikasi; dan c) Mencegah salah guna atau kecurian asset ICT Kerajaan. DKICT UPSI Versi 2.1 21/06/2017 8 dari 96

PERNYATAAN DASAR Keselamatan ditakrifkan sebagai keadaan yang bebas daripada ancaman dan risiko yang tidak boleh diterima. Penjagaan keselamatan adalah suatu proses yang berterusan. Ia melibatkan aktiviti berkala yang mesti dilakukan dari semasa ke semasa untuk menjamin keselamatan kerana ancaman dan kelemahan sentiasa berubah. Keselamatan ICT adalah bermaksud keadaan di mana segala urusan menyedia dan membekalkan perkhidmatan yang berasaskan kepada sistem ICT berjalansecara berterusan tanpa gangguan yang boleh menjejaskan keselamatan. Keselamatan ICT berkait rapat dengan perlindungan aset ICT. Terdapat empat (4) komponen asas keselamatan ICT iaitu: a) Melindungi maklumat rahsia rasmi dan maklumat rasmi kerajaan dari capaian tanpa kuasa yang sah; b) Menjamin setiap maklumat adalah tepat dan sempurna; c) Memastikan ketersediaan maklumat apabila diperlukan oleh pengguna; dan d) Memastikan akses kepada hanya pengguna-pengguna yang sah atau penerimaan maklumat dari sumber yang sah. Dasar Keselamatan ICT UPSI merangkumi perlindungan ke atas semua bentuk maklumat elektronik bertujuan untuk menjamin keselamatan maklumat tersebut dan kebolehsediaan kepada semua pengguna yang dibenarkan.ciri-ciri utama keselamatan maklumat adalah seperti berikut: a) Kerahsiaan-Maklumat tidak boleh didedahkan sewenang-wenangnya atau dibiarkan diakses tanpa kebenaran; b) Integriti - Data dan maklumat hendaklah tepat, lengkap dan kemas kini. Ia hanya boleh diubah dengan cara yang dibenarkan; c) Tidak Boleh Disangka - Punca data dan maklumat hendaklah dari punca yang sah dan tidak boleh disangkal; d) Kesahihan - Data dan maklumat hendaklah dijamin kesahihannya; dan e) Ketersediaan - Data dan maklumat hendaklah boleh diakses pada bila-bila masa. DKICT UPSI Versi 2.1 21/06/2017 9 dari 96

Selain dariitu,langkah-langkahkearahmenjamin keselamatanict hendaklahbersandarkan kepada penilaian yang bersesuaian dengan perubahan semasa terhadap kelemahan semula jadi aset ICT; ancaman yang wujud akibat daripada kelemahan tersebut; risiko yang mungkin timbul; dan langkah-langkah pencegahan sesuai yang boleh diambil untuk menangani risiko berkenaan. SKOP Aset ICT UPSI terdiri daripada perkakasan, perisian, perkhidmatan, data atau maklumat dan manusia. Dasar Keselamatan ICT UPSI menetapkan keperluan-keperluan asas berikut: a) Data dan maklumat hendaklah boleh diakses secara berterusan dengan cepat, tepat, mudah dan boleh dipercayai. Ini adalah amat perlu bagi membolehkan keputusan dan penyampaian perkhidmatan dilakukan dengan berkesan dan berkualiti; dan b) Semua data dan maklumat hendaklah dijaga kerahsiaannya dan dikendalikan sebaik mungkin pada setiap masa bagi memastikan kesempurnaan dan ketepatanmaklumatsertauntukmelindungikepentingankerajaan, perkhidmatan dan masyarakat. Bagi menentukan Aset ICT ini terjamin keselamatannya sepanjang masa, Dasar Keselamatan ICT UPSI ini merangkumi perlindungan semua bentuk maklumat kerajaan yang dimasukkan, diwujud, dimusnah, disimpan, dijana, dicetak, diakses, diedar, dalam penghantaran, dan yang dibuat salinan keselamatan. Ini akan dilakukan melalui pewujudan dan penguatkuasaan sistem kawalan dan prosedur dalam pengendalian semua perkaraperkara berikut: a) Perkakasan Semua asset yang digunakan untuk menyokong pemprosesan maklumat dan kemudahan storan UPSI. Contoh; komputer, pelayan, peralatan komunikasi dan sebagainya; b) Perisian Program prosedur atau peraturan yang ditulis dan dokumentasi yang berkaitan dengan sistem pengoperasian komputer yang disimpan di dalam sistem ICT. Contoh perisian aplikasi atau perisian sistem seperti sistem pengoperasiansistem pangkalan data, perisian sistem rangkaian, atau aplikasi pejabat yang menyediakan kemudahan DKICT UPSI Versi 2.1 21/06/2017 10 dari 96

pemprosesan maklumat kepada UPSI; c) Perkhidmatan Perkhidmatan atau sistem yang menyokong aset lain untuk melaksanakan fungsifungsinya. Contoh: i. Perkhidmatan rangkaian seperti LAN, WAN dan lain-lain; ii. Sistem halangan akses seperti sistem kad akses; dan iii. Perkhidmatan sokongan seperti kemudahan elektrik, penghawa dingin, sistem pencegah kebakaran dan lain-lain. d) Data atau Maklumat Koleksi fakta-fakta dalam bentuk kertas atau mesej elektronik, yang mengandungi maklumat-maklumat untuk digunakan bagi mencapai misi dan objektifupsi. Contohnya, sistem dokumentasi, prosedur operasi, rekod-rekod UPSI, profil-profil pelanggan, pangkalan data dan fail-fail data, maklumat-maklumat arkid dan lain-lain; e) Manusia Individu yang mempunyai pengetahuan dan kemahiran untuk melaksanakan skopkerja harian UPSI bagi mencapai misi dan objektif agensi. Individu berkenaan merupakan aset berdasarkan kepada tugas-tugas dan fungsi yang dilaksanakan; dan f) Premis Komputer Dan Komunikasi Semua kemudahan serta premis yang digunakan untuk menempatkan perkara (a) (e) di atas. Setiap perkara di atas perlu diberiperlindungan rapi. Sebarang kebocoran rahsia atau kelemahan perlindungan adalah dianggap sebagai perlanggaran langkah-langkah keselamatan. DKICT UPSI Versi 2.1 21/06/2017 11 dari 96

PRINSIP-PRINSIP Prinsip-prinsip yang menjadi asas kepada Dasar Keselamatan ICT UPSI dan perlu dipatuhi adalah seperti berikut: a) Akses atas dasar perlu mengetahui Akses terhadap penggunaan aset ICT hanya diberikan untuk tujuan spesifik dan dihadkan kepada pengguna tertentu atas dasar perlu mengetahui sahaja. Ini bermakna akses hanya akan diberikan sekiranya peranan atau fungsi pengguna memerlukan maklumat tersebut. Pertimbangan untuk akses adalah berdasarkan kategori maklumat seperti yang dinyatakan di dalam dokumen Arahan Keselamatan perenggan 53, muka surat 15; b) Hak akses minimum Hak akses pengguna hanya diberi pada tahap set yang paling minimum iaitu untuk membaca dan/atau melihat sahaja. Kelulusan adalah perlu untuk membolehkan pengguna mewujud, menyimpan, mengemas kini, mengubah atau membatalkan sesuatu maklumat. Hak akses perlu dikaji dari semasa ke semasa berdasarkan kepada peranan dan tanggungjawab pengguna/bidang tugas; c) Akauntabiliti Semua pengguna adalah dipertanggungjawabkan ke atas semua tindakannya terhadap aset ICT. Tanggungjawab ini perlu dinyatakan dengan jelas sesuai dengan tahap sensitivity sesuatu sumber ICT. Untuk menentukan tanggungjawab ini dipatuhi, sistem ICT hendaklah UPSI menyokong kemudahan mengesan atau mengesah bahawa pengguna sistem maklumat boleh dipertanggungjawabkan atas tindakan mereka. DKICT UPSI Versi 2.1 21/06/2017 12 dari 96

Akauntabiliti atau tanggungjawab pengguna termasuklah: i. Menghalang pendedahan maklumat kepada pihak yang tidak dibenarkan; ii. Memeriksa maklumat dan menentukan ianya tepat dan lengkap dari semasa ke semasa; iii. Menentukan maklumat sedia untuk digunakan; iv. Menjaga kerahsiaan kata laluan; v. Mematuhi standard, prosedur, langkah dan garis panduan keselamatan yang ditetapkan; vi. Memberi perhatian kepada maklumat terperingkat terutama semasa pewujudan, pemprosesan, penyimpanan, penghantaran, penyampaian, pertukaran dan pemusnahan; dan vii. Menjaga kerahsiaan langkah-langkah keselamatan ICT dari diketahui umum. d) Pengasingan Tugas mewujud, memadam, kemas kini, mengubah dan mengesahkan data perlu diasingkan bagi mengelakkan daripada capaian yang tidak dibenarkan serta melindungi asset ICT daripada kesilapan, kebocoran maklumat terperingkat atau di manipulasi. Pengasingan juga merangkumi tindakan memisahkan antara kumpulan operasi dan rangkaian; e) Pengauditan Pengauditan adalah tindakan untuk mengenal pasti insiden berkaitan keselamatan atau mengenal pasti keadaan yang mengancam keselamatan. Ia membabitkan pemeliharaan semua rekod berkaitan tindakan keselamatan. Dengan itu, aset ICT seperti komputer, pelayan, router, firewall dan rangkaian hendaklah ditentukan dapat menjana dan menyimpan log tindakan keselamatan atau audit trail; f) Pematuhan Dasar Keselamatan ICT UPSI hendaklah dibaca, difahami dan dipatuhi bagi mengelakkan sebarang bentuk pelanggaran ke atasnya yang boleh membawa ancaman kepada keselamatan ICT; DKICT UPSI Versi 2.1 21/06/2017 13 dari 96

g) Pemulihan Pemulihan sistem amat perlu untuk memastikan kebolehsediaan dan kebolehcapaian. Objektif utama adalah untuk meminimumkan sebarang gangguan atau kerugian akibat daripada ketidaksediaan. Pemulihan boleh dilakukan melalui aktiviti penduaan dan mewujudkan pelan pemulihan bencana/ kesinambungan perkhidmatan; dan h) Saling Bergantungan Setiap prinsip di atas adalah saling lengkap-melengkapi dan bergantung antara satu sama lain. Dengan itu, tindakan mempelbagaikan pendekatan dalam menyusun dan mencorakkan sebanyak mungkin mekanisme keselamatan adalah perlu bagi menjamin keselamatan yang maksimum PENILAIAN RISIKO KESELAMATAN ICT UPSI hendaklah mengambil kira kewujudan risiko ke atas aset ICT akibat dari ancaman dan vulnerability yang semakin meningkat hari ini. Justeru itu UPSI perlu mengambil langkahlangkah proaktif dan bersesuaian untuk menilai tahap risiko aset ICT supaya pendekatan dan keputusan yang paling berkesan dikenal pasti bagi menyediakan perlindungan dan kawalan ke atas aset ICT. UPSI hendaklah melaksanakan penilaian risiko keselamatan ICT secara berkala dan berterusan bergantung kepada perubahan teknologi dan keperluan keselamatan ICT. Seterusnya mengambil tindakan susulan dan/atau langkah-langkah bersesuaian untuk mengurangkan atau mengawal risiko keselamatan ICT berdasarkan penemuan penilaian risiko. Penilaian risiko keselamatan ICT hendaklah dilaksanakan ke atas sistem maklumat UPSI termasuklah aplikasi, perisian, pelayan, rangkaian dan/atau proses serta prosedur. Penilaian risiko ini hendaklah juga dilaksanakan di premis yang menempatkan sumber-sumber teknologi maklumat termasuklah pusat data, bilik media storan, kemudahan utiliti dan sistemsistem sokongan lain. DKICT UPSI Versi 2.1 21/06/2017 14 dari 96

UPSI bertanggungjawab melaksanakan dan menguruskan risiko keselamatan ICT selaras dengan keperluan Surat Pekeliling Am Bilangan 6 Tahun 2005: Garis Panduan Penilaian Risiko Keselamatan Maklumat Sektor Awam. UPSI perlu mengenal pasti tindakan yang sewajarnya bagi menghadapi kemungkinan risiko berlaku dengan memilih tindakan berikut: a) mengurangkan risiko dengan melaksanakan kawalan yang bersesuaian; b) menerima dan/atau bersedia berhadapan dengan risiko yang akan terjadi selagi ia memenuhi kriteria yang telah ditetapkan oleh pengurusan agensi; c) mengelak dan/atau mencegah risiko dari terjadi dengan mengambil tindakan yang dapat mengelak dan/atau mencegah berlakunya risiko; dan d) memindahkan risiko ke pihak lain seperti pembekal, pakar runding dan pihak- pihak lain yang berkepentingan. DKICT UPSI Versi 2.1 21/06/2017 15 dari 96

BIDANG 01 PEMBANGUNAN DAN PENYELENGGARAAN DASAR 1.1 Dasar Keselamatan ICT Objektif: Menerangkan hala tuju dan sokongan pengurusan terhadap keselamatan maklumat selaras dengan keperluan UPSI dan perundangan yang berkaitan. 1.1.1 Pelaksanaan Dasar Pelaksanaan dasar ini dilaksanakan oleh Ketua Pegawai Maklumat (CIO) dan disokong oleh Jawatankuasa e-universiti UPSI. CIO 1.1.2 Penyebaran Dasar Dasar ini perlu disebarkan kepada semua pengguna UPSI (termasuk kakitangan, pembekal, pakar runding dan lain-lain). CIO/ICTSO DKICT UPSI Versi 2.1 21/06/2017 16 dari 96

1.1.3 Penyelenggaraan Dasar Dasar Keselamatan ICT UPSI adalah tertakluk kepada semakan dan pindaan dari semasa ke semasa termasuk kawalan keselamatan, prosedur dan proses selaras dengan perubahan teknologi, aplikasi, prosedur, perundangan, dasar Kerajaan dan kepentingan sosial. CIO/ICTSO Berikut adalah prosedur yang berhubung dengan penyelenggaraan Dasar Keselamatan ICT UPSI: a) Kenal pasti dan tentukan perubahan yang diperlukan; b) Kemuka cadangan pindaan secara bertulis untuk pembentangan dan persetujuan Mesyuarat Pengurusan Pusat ICT dan memaklumkan kepada Jawatankuasa e- Univerisiti UPSI; c) Dasar ini hendaklah dikaji semula sekurang-kurangnya setahun sekali atau mengikut keperluan semasa. 1.1.4 Pengecualian Dasar Dasar Keselamatan ICT UPSI adalah terpakai kepada semua penggunaict UPSI dan tiada pengecualian diberikan. Semua DKICT UPSI Versi 2.1 21/06/2017 17 dari 96

BIDANG 02 ORGANISASI KESELAMATAN 2.1 Infrastruktur Organisasi Dalaman Objektif: Menerangkan peranan dan tanggungjawab individu yang terlibat dengan lebih jelas dan teratur dalam mencapai objektif Dasar Keselamatan ICT UPSI. 2.1.1 Naib Canselor UPSI Naib Canselor UPSI adalah berperanan dan bertanggungjawab dalam perkara-perkara seperti berikut: a) Memantau pelaksanaan dasar keselamatan maklumat di UPSI melalui Ketua Pegawai Maklumat (CIO); b) Memastikan sumber keperluan organisasi berkaitan pelaksanaan keselamatan maklumat adalah mencukupi; dan c) Mempengerusikan Mesyuarat Jawatankuasa e-universiti UPSI. Naib Canselor UPSI 2.1.2 Ketua Pegawai Maklumat (CIO) Ketua Pegawai Maklumat (CIO) berperanan dan bertanggungjawab seperti berikut: CIO a) Membantu Naib Canselor dalam melaksanakan tugas-tugas yang melibatkan keselamatan ICT; b) Menentukan keperluan keselamatan ICT; c) Menyelaras dan mengurus pelan latihan dan program kesedaran keselamatan ICT seperti penyediaan DKICT UPSI serta pengurusan risiko dan pengauditan; dan d) Bertanggungjawab ke atas perkara-perkara yang berkaitan dengan keselamatan ICT UPSI. DKICT UPSI Versi 2.1 21/06/2017 18 dari 96

2.1.3 Pegawai Keselamatan ICT (ICTSO) Peranan dan tanggungjawab ICTSO yang dilantik adalah seperti berikut: ICTSO a) Mengurus keseluruhan program-program keselamatan ICT UPSI; b) Menguatkuasakan pelaksanaan Dasar Keselamatan ICT UPSI; c) Memberi penerangan dan pendedahan berkenan Dasar Keselamatan ICT UPSI kepada semua pengguna; d) Mewujudkan garis panduan, prosedur dan tatacara selaras dengan keperluan Dasar Keselamatan ICT UPSI; e) Menjalankan pengurusan risiko; f) Menjalankan audit, mengkaji semula, merumus tindak balas pengurusan UPSI berdasarkan hasil penemuan dan menyediakan laporan mengenainya; g) Memberi amaran terhadap kemungkinan berlakunya ancaman berbahaya seperti virus dan memberi khidmat nasihat serta menyediakan langkah-langkah perlindungan yang bersesuaian; h) Melaporkan insiden keselamatan ICT kepada pihak yang bertanggungjawab; i) Bekerjasama dengan semua pihak yang berkaitan dalam mengenal pasti punca ancaman atau insiden keselamatan ICT dan memperakukan langkah-langkah baik pulih dengan segera; j) Menyedia dan melaksanakan program-program kesedaran mengenai keselamatan ICT; dan k) Menjalankan penilaian untuk memastikan tahap keselamatan ICT dan mengambil tindakan pemulihan atau pengukuhan bagi meningkatkan tahap keselamatan infrastruktur ICT supaya insiden baru dapat dielakkan.. DKICT UPSI Versi 2.1 21/06/2017 19 dari 96

2.1.4 Pentadbir Sistem ICT Peranan dan tanggungjawab Pentadbir Sistem ICT adalah seperti berikut: Pentadbir Sistem ICT a) Mengambil tindakan yang bersesuaian dengan segera apabila dimaklumkan mengenai kakitangan yang berhenti, bertukar, bercuti, berkursus panjang atau berlaku perubahan dalam bidang tugas; b) Menentukan ketepatan dan kesempurnaan sesuatu tahap capaian berdasarkan arahan pemilik sumber maklumat sebagaimana yang telah ditetapkan di dalam Dasar Keselamatan ICT UPSI; c) Memantau aktiviti capaian harian sistem aplikasi pengguna; d) Mengenal pasti aktiviti-aktiviti tidak normal seperti pencerobohan dan pengubahsuaian data tanpa kebenaran dan membatalkan atau memberhentikannya dengan serta merta; e) Menganalisis dan menyimpan rekod jejak audit; dan f) Menyediakan laporan mengenai aktiviti capaian secara berkala. DKICT UPSI Versi 2.1 21/06/2017 20 dari 96

2.1.5 Pengguna Pengguna mempunyai peranan dan tanggungjawab seperti berikut: Pengguna a) Membaca, memahami dan mematuhi Dasar Keselamatan ICT UPSI; b) Mengetahui dan memahami implikasi keselamatan ICT kesan dari tindakannya; c) Menjalani tapisan keselamatan sekiranya dikehendaki berurusan dengan maklumat rasmi terperingkat; d) Melaksanakan prinsip-prinsip Dasar Keselamatan ICT UPSI dan menjaga kerahsiaan maklumat UPSI; e) Melaporkan sebarang aktiviti yang mengancam keselamatan ICT kepada ICTSO dengan segera; f) Menghadiri program-program kesedaran mengenai keselamatan ICT; dan Menandatangani Surat Akuan Pematuhan Dasar Keselamatan ICT UPSI sebagaimana Lampiran 1. DKICT UPSI Versi 2.1 21/06/2017 21 dari 96

2.1.6 Jawatankuasa e-universiti UPSI Jawatankuasa e-universiti UPSI adalah jawatankuasa yang bertanggungjawab dalam memantau dan menyokong pelaksanaan berkaitan keselamatan maklumat di UPSI. Jawatankuasa e-universiti UPSI Keanggotaan Jawatankuasa e-universiti UPSI adalah seperti berikut: Pengerusi : Naib Canselor UPSI Ahli : (1) CIO UPSI : (2) Timbalan Naib Canselor : (3) Ketua-ketua Jabatan yang dilantik : (4) ICTSO UPSI Urus Setia bagi Jawatankuasa e-universiti UPSI adalah Pusat ICT UPSI Bidang Kuasa: a) Memantau tahap pematuhan keselamatan ICT UPSI; b) Memastikan sumber yang diperlukan untuk pengurusan keselamatan maklumat mencukupi; c) Berperanan dalam memberi sokongan pengurusan yang berkaitan dalam keselamatan maklumat di UPSI; dan d) Membincang tindakan yang melibatkan pelanggaran DKICT UPSI. DKICT UPSI Versi 2.1 21/06/2017 22 dari 96

2.1.7 Mesyuarat Pengurusan Pusat ICT Mesyuarat Pengurusan Pusat ICT adalah jawatankuasa yang bertanggungjawab dalam keselamatan ICT dan berperanan sebagai penasihat dan pelaksana dalam merumuskan rancangan dan strategi keselamatan ICT UPSI. Mesyuarat Pengurusan Pusat ICT Keanggotaan Mesyuarat Pengurusan Pusat ICT adalah seperti berikut: Pengerusi : CIO UPSI Ahli : (1) CIO UPSI : (2) ICTSO : (3) Ketua-ketua Bahagian Pusat ICT : (4) Ketua-ketua Unit Pusat ICT (5) Wakil BPAQ* (6) Wakil BSM* (7) Wakil JPPHB* * Wakil jemputan sekiranya terdapat perkara berkaitan Urus Setia bagi Mesyuarat Pengurusan Pusat ICT adalah Unit Pentadbiran dan Governan Bidang Kuasa: a) Memperakukan/meluluskan dokumen DKICT UPSI; b) Memperaku garis panduan, prosedur dan tatacara untuk aplikasi-aplikasi khusus dalam UPSI yang mematuhi keperluan DKCIT UPSI; c) Menilai teknologi yang bersesuaian dan mencadangkan penyelesaian terhadap keperluan keselamatan ICT; d) Memastikan DKICT UPSI selaras dengan dasardasar ICT kerajaan semasa; DKICT UPSI Versi 2.1 21/06/2017 23 dari 96

e) Menerima laporan dan membincangkan hal-hal keselamatan ICT semasa; dan f) Membuat keputusan mengenai tindakan yang perlu diambil mengenai sebaran insiden. 2.2 Pihak Ketiga Objektif: Menjamin keselamatan semua aset ICT yang digunakan oleh pihak ketiga (Pembekal, PakarRunding dan lain-lain). DKICT UPSI Versi 2.1 21/06/2017 24 dari 96

2.2.1 Keperluan Keselamatan Kontrak dengan Pihak Ketiga Bertujuan untuk memastikan penggunaan maklumat dan kemudahan proses maklumat oleh pihak ketiga dikawal: Perkara yang perlu dipatuhi adalah seperti berikut: a) Membaca, memahami dan mematuhi Dasar Keselamatan ICT UPSI; b) Mengenal pasti risiko keselamatan maklumat dan kemudahan pemprosesan maklumat serta melaksanakan kawalan yang sesuai sebelum memberi kebenaran capaian; c) Mengenal pasti keperluan keselamatan sebelum memberi kebenaran capaian atau penggunaan kepada pihak ketiga; d) Akses kepada aset ICT UPSI perlu berlandaskan kepada perjanjian kontrak; e) Memastikan semua syarat keselamatan dinyatakan dengan jelas dalam perjanjian dengan pihak ketiga. Perkara-perkara berikut hendaklah dimasukkan di dalam perjanjian yang dimeterai: i. Dasar Keselamatan ICT UPSI; ii. Surat Akujanji; dan iii. Hak Harta Intelek. f) Menandatangani Surat Akuan Pematuhan Dasar Keselamatan ICT UPSI sebagaimana Lampiran 1. CIO, ICTSO, Pentadbir Sistem ICT dan Pihak Ketiga DKICT UPSI Versi 2.1 21/06/2017 25 dari 96

2.2.2 Keselamatan Maklumat dalam Pengurusan Projek Bertujuan untuk memastikan setiap pengurusan projek (tanpa mengira jenis projek) yang dilaksanakan oleh UPSI mengambilkira aspek keselamatan maklumat secara holistik. Timbalan CIO, ICTSO, Ketua Unit Timbalan CIO/ICTSO/ Ketua Unitadalah bertanggungjawab untuk : a) Menjadikan objektif keselamatan maklumat sebahagian daripada objektif projek; b) Memastikan pengurusan projek mematuhi manual keselamatan dan polisi DKICT dalam setiap aktiviti pengurusan projek; dan c) Memastikan semua pihak yang terlibat dalam sesuatu projek maklum tentang arahan berkaitan keselamatan maklumat dan mereka diikat dengan perjanjian (seperti Akta Rahsia Rasmi). DKICT UPSI Versi 2.1 21/06/2017 26 dari 96

2.2.3 Polisi Keselamatan Maklumat berkaitan Hubungan Pembekal Seksyen ini menjelaskan keperluan untuk mendokumentasikan strategi mitigasi risiko keselamatan maklumat bilamana pembekal dibenarkan untuk akses kepada aset UPSI. Timbalan CIO, ICTSO, Ketua Unit Timbalan CIO/ICTSO/Ketua Unitadalah bertanggungjawab untuk : a) Mengenalpasti dan mendokumenkan jenis-jenis pembekal (seperti khidmat servis IT, pembekal infrastruktur IT, logstik, keewangan dsb.); b) Mengenalpasti jenis aset maklumat yang dibenarkan untuk diakses oleh pembekal serta melakukan pemantauan dan pengawalan terhadap aset tersebut secara berterusan; c) Mengadakan latihan kesedaran kepada semua pihak yang terlibat (UPSI dan pembekal) untuk mendedahkan mereka dengan polisi, proses, dan prosidur berkaitan keselamatan maklumat. d) Mewujudkan mekanisma/proses pengurusan pembekal dengan mengambil kira aspek keselamatan maklumat sebagai teras; e) Memastikan pemantauan berterusan dilakukan terhadap semua pembekal dengan melaksanakan pengukuran prestasi dan pematuhan terhadap garis panduan keselamatan maklumat. Proses dan prosidur berkaitan perlu diwujudkan; f) Mewujudkan kontrak rasmi bersama pembekal yang dapat menjamin keselamatan maklumat UPSI disamping segala urusan bersama pembekal hendaklah dilaksanakan secara rasmi; dan g) Mewujudkan perjanjian yang jelas agar pihak pembekal memastikan keselamatan maklumat yang digunakan terjamin sepanjang akses dibenarkan dan seterusnya memulangkan kembali semua asset maklumat sekiranya kontrak mereka tamat atau ditamatkan. DKICT UPSI Versi 2.1 21/06/2017 27 dari 96

2.2.4 Rangkaian Pembekal ICT Seksyen ini menjelaskan kandungan perjanjian bersama pembekal yang perlu diwujudkan bagi memastikan risiko keselamatan maklumat berkaitan rangkaian pembekal khidmat ICT dan produk diambil kira. Timbalan CIO, ICTSO, Ketua Unit Timbalan CIO/ICTSO/Ketua Unitadalah bertanggungjawab untuk : a) Mengenalpasti keperluan keselamatan maklumat khusus berkaitan dengan perolehan rangkaian pembekal servis ICT dan produk sebagai tambahan kepada keperluan umum keselamatan maklumat berkaitan hubungan pembekal yang telah dikenal pasti; b) Memastikan rangkaian pembekal yang terlibat dalam menyediakan khidmat servis ICT berkongsi hal berkaitan keselamatan maklumat (polisi, prosidur, proses) kepada setiap aras pembekal termasuk sub-pembekal atau sub-sub-pembekal; c) Melaksanakan proses pemantauan rangkaian pembekal servis ICT dan produk dengan kaedah yang berkesan bagi menjamin keperluan keselamatan maklumat sentiasa dipatuhi; d) Mendapatkan jaminan bahawa komponen produk yang kritikal boleh berfungsi mengikut spesifikasi dan dikesan sumbernya dari rangkaian pembekal yang pelbagai; e) Mewujudkan peraturan yang khusus bagi mengawal perkongsian maklumat dikalangan rangkain pembekal; f) Mewujudkan mekanisma/proses khusus untuk mengurus rangkaian pembekal khidmat servis ICT dan produk bagi memastikan keselamatan maklumat terjamin. Mekanisma yang diwujudkan wajar mampu untuk mengurus risiko sekiranya komponen produk yang dibekalkan tidak lagi boleh dibekalkan kerana perubahan trend dan teknologi yang berlaku. DKICT UPSI Versi 2.1 21/06/2017 28 dari 96

BIDANG 03 PENGURUSAN ASET 3.1 Akauntabiliti Aset Objektif: Memberi dan menyokong perlindungan yang bersesuaian ke atas semua aset ICT UPSI 3.1.1 Inventori Aset ICT Bertujuan untuk memastikan semua aset ICT diberi kawalan dan perlindungan yang sesuai oleh pemilik atau pemegang amanah masing-masing. Pentadbir Sistem dan Semua Perkara yang perlu dipatuhi adalah seperti berikut: a) Memastikan semua aset ICT dikenal pasti dan maklumat aset direkod dalam borang daftar harta modal dan inventori dan sentiasa dikemas kini; b) Memastikan semua aset ICT mempunyai pemilik dan dikendalikan oleh pengguna yang dibenarkan sahaja; c) Memastikan semua pengguna mengesahkan penempatan aset ICT yang ditempatkan di UPSI; d) Peraturan bagi pengendalian aset ICT hendaklah dikenal pasti, didokumen dan dilaksanakan; dan e) Setiap pengguna adalah bertanggungjawab ke atas semua aset ICT di bawah kawalannya.. DKICT UPSI Versi 2.1 21/06/2017 29 dari 96

3.2 Pengelasan dan Pengendalian Maklumat Objektif: Memastikan setiap maklumat atau asset ICT diberikan tahap perlindungan yang bersesuaian. 3.2.1 Pengelasan Maklumat Maklumat hendaklah dikelaskan atau dilabelkan sewajarnya oleh pegawai yang diberi kuasa mengikut dokumen Arahan Keselamatan. Semua Setiap maklumat yang dikelaskan mestilah mempunyai peringkat keselamatan sebagaimana yang telah ditetapkan di dalam dokumen Arahan Keselamatan seperti berikut: a) Rahsia Besar; b) Rahsia; c) Sulit; atau d) Terhad. DKICT UPSI Versi 2.1 21/06/2017 30 dari 96

3.2.2 Pengendalian Maklumat Aktivitipengendalianmaklumat seperti mengumpul, memproses, menyimpan, menghantar, menyampai, menukar dan memusnah hendaklah mengambil kira langkah-langkah keselamatan berikut: Semua a) Menghalang pendedahan maklumat kepada pihak yang tidak dibenarkan; b) Memeriksa maklumat dan menentukan ia tepat dan lengkap dari semasa ke semasa; c) Menentukan maklumat sedia untuk digunakan; d) Menjaga kerahsiaan kata laluan; e) Mematuhi standard, prosedur, langkah dan garis panduan keselamatan yang ditetapkan; f) Memberi perhatian kepada maklumat terperingkat terutama semasa pewujudan, pemprosesan, penyimpanan, penghantaran, penyampaian, pertukaran dan pemusnahan; dan g) Menjaga kerahsiaan langkah-langkah keselamatan ICT dari diketahui umum. DKICT UPSI Versi 2.1 21/06/2017 31 dari 96

BIDANG 04 KESELAMATAN SUMBER MANUSIA 4.1 Keselamatan Sumber Manusia Dalam Tugas Harian Objektif: Memastikan semua sumber manusia yang terlibat termasuk pegawai dan kakitangan UPSI, pembekal, pakar runding dan pihak-pihak yang berkepentingan memahami tanggungjawab dan peranan serta meningkatkan pengetahuan dalam keselamatan aset ICT. Semua warga UPSI hendaklah mematuhi terma dan syarat perkhidmatan serta peraturan semasa yang berkuat kuasa. 4.1.1 Sebelum Perkhidmatan Perkara-perkara yang mesti dipatuhi termasuk yang berikut: Semua a) Menyatakan dengan lengkap dan jelas peranan dan tanggungjawab pegawai dan kakitangan UPSI serta pihak ketiga yang terlibat dalam menjamin keselamatan aset ICT sebelum, semasa dan selepas perkhidmatan; b) Menjalankan tapisan keselamatan untuk pegawai dan kakitangan UPSI serta pihak ketiga yang terlibat berasaskan keperluan perundangan, peraturan dan etika terpakai yang selaras dengan keperluan perkhidmatan, peringkat maklumat yang akan dicapai serta risiko yang dijangkakan; dan c) Mematuhi semua terma dan syarat perkhidmatan yang ditawarkan dan peraturan semasa yang berkuat kuasa berdasarkan perjanjian yang telah ditetapkan. DKICT UPSI Versi 2.1 21/06/2017 32 dari 96

4.1.2 Dalam Perkhidmatan Perkara-perkara yang mesti dipatuhi termasuk yang berikut: Semua a) Memastikan pegawai dan kakitangan UPSI serta pihak ketiga yang berkepentingan mengurus keselamatan aset ICT berdasarkan perundangan dan peraturan yang ditetapkan oleh UPSI; b) Memastikan latihan kesedaran dan yang berkaitan mengenai pengurusan keselamatan aset ICT diberi kepada pengguna ICT UPSI secara berterusan dalam melaksanakan tugas-tugas dan tanggungjawab mereka, dan sekiranya perlu diberi kepada pihak ketiga yang berkepentingan dari semasa ke semasa; c) Memastikan adanya proses tindakan disiplin dan/atau undang- undang ke atas pegawai dan kakitangan UPSI serta pihak ketiga yang berkepentingan sekiranya berlaku perlanggaran dengan perundangan dan peraturan ditetapkan oleh UPSI; dan d) Memantapkan pengetahuan berkaitan dengan penggunaan aset ICT bagi memastikan setiap kemudahan ICT digunakan dengan cara dan kaedah yang betul demi menjamin kepentingan keselamatan ICT. Sebarang kursus dan latihan teknikal yang diperlukan, pengguna boleh merujuk kepada Bahagian Sumber Manusia, UPSI. DKICT UPSI Versi 2.1 21/06/2017 33 dari 96

4.1.3 Bertukar atau Tamat Perkhidmatan Perkara-perkara yang mesti dipatuhi termasuk yang berikut: Semua a) Memastikan semua aset ICT dikembalikankepadaupsi mengikut peraturan dan/atau terma perkhidmatan yang ditetapkan; dan b) Membatalkan atau menarik balik semua kebenaran capaian ke atas maklumat dan kemudahan proses maklumat mengikut peraturan yang ditetapkan oleh UPSI dan/atau terma perkhidmatan. DKICT UPSI Versi 2.1 21/06/2017 34 dari 96

BIDANG 05 KESELAMATAN FIZIKAL DAN PERSEKITARAN 5.1 Keselamatan Kawasan Objektif: Melindungi premis dan maklumat daripada sebarang bentuk pencerobohan, ancaman, kerosakan serta akses yang tidak dibenarkan 5.1.1 Kawalan Kawasan Ini bertujuan untuk menghalang akses, kerosakan dan gangguan secara fizikal terhadap premis dan maklumat agensi. CIO dan ICTSO Perkara-perkara yang perlu dipatuhi termasuk yang berikut: a) Kawalan keselamatan fizikal hendaklah dikenal pasti dengan jelas. Lokasi dan keteguhan keselamatan fizikal hendaklah bergantung kepada keperluan untuk melindungi asset dan hasil penilaian risiko; b) Menggunakan keselamatan perimeter (halangan seperti dinding, pagar kawalan, pengawal keselamatan) untuk melindungi kawasan yang mengandungi maklumat dan kemudahan pemprosesan maklumat; c) Memasang alat penggera atau kamera; d) Menghadkan jalan keluar masuk; e) Mewujudkan perkhidmatan kawalan keselamatan; f) Melindungi kawasan terhad melalui kawalan pintu masuk yang bersesuaian bagi memastikan kakitangan yang diberi kebenaran sahaja boleh melalui pintu masuk ini; g) Mereka bentuk dan melaksanakan keselamatan fizikal di dalam pejabat, bilik dan kemudahan yang disediakan; dan h) Mereka bentuk dan melaksanakan perlindungan fizikal dari kebakaran, banjir, letupan, kacau-bilau dan bencana. DKICT UPSI Versi 2.1 21/06/2017 35 dari 96

5.1.2 Kawalan Masuk Fizikal Perkara-perkara yang perlu dipatuhi termasuk yang berikut: Semua a) Setiap pengguna UPSI hendaklah memakai atau mengenakan pas keselamatan sepanjang waktu bertugas; b) Semua pas keselamatan hendaklah diserahkan balik kepada UPSI apabila pengguna berhenti atau bersara; dan c) Kehilangan pas mestilah dilaporkan dengan segera. 5.1.3 KawasanLarangan Kawasan larangan ditakrifkan sebagai kawasan yang dihadkan kemasukan kepada pegawai-pegawai yang tertentu sahaja. Ini dilaksanakan untuk melindungi aset ICT yang terdapat di dalam kawasan tersebut. Pentadbir Sistem Kawasan larangan di UPSI adalah bilik Naib Canselor, bilik Timbalan-timbalan Naib Canselordan Bilik Server. Perkara-perkara yang perlu dipatuhi termasuk yang berikut: a) Akses kepada kawasan larangan hanyalah kepada pegawai- pegawai yang dibenarkan sahaja; dan b) Pihak ketiga adalah dilarang sama sekali untuk memasuki kawasan larangan kecuali, bagi kes-kes tertentu seperti memberi perkhidmatan sokongan atau bantuan teknikal, dan mereka hendaklah diiringi sepanjang masa sehingga tugas di kawasan berkenaan selesai. DKICT UPSI Versi 2.1 21/06/2017 36 dari 96

5.2 Keselamatan Peralatan Objektif: Melindungi peralatan ICT UPSI dari kehilangan, kerosakan, kecurian serta gangguan kepada peralatan tersebut. 5.2.1 Peralatan ICT Perkara-perkara yang perlu dipatuhi adalah seperti berikut: Semua a) Pengguna hendaklah menyemak dan memastikan semua peralatan ICT di bawah kawalannya berfungsi dengan sempurna; b) Pengguna bertanggungjawab sepenuhnya ke atas komputer, notebook, dan tablet PC masing-masing dan tidak dibenarkan membuat sebarang pengubahsuaian komponen dan konfigurasi yang telah ditetapkan; c) Pengguna dilarang sama sekali menambah, menanggal atau mengganti sebarang perkakasan ICT yang telah ditetapkan; d) Pengguna dilarang membuat instalasi sebarang perisian tambahan tanpa lesen; e) Pengguna adalah bertanggungjawabdiataskerosakan atau kehilangan peralatan ICT di bawah kawalannya; f) Semua peralatan sokongan ICT hendaklah dilindungi daripada kecurian, kerosakan, penyalahgunaan atau pengubahsuaian tanpa kebenaran; g) Peralatan-peralatan kritikal perlu disokong oleh Uninterruptable Power Supply (UPS); h) Semua peralatan ICT hendaklah disimpan atau diletakkan di tmpat yang teratur, bersih dan mempunyai ciri-ciri keselamatan. Peralatan rangkaian seperti switches, hub, router dan lain-lain perlu diletakkan di dalam rak khas dan berkunci; i) Semua peralatan ICT yang digunakan secara berterusan DKICT UPSI Versi 2.1 21/06/2017 37 dari 96

mestilah diletakkan di kawasan yang berhawa dingin atau mempunyai pengudaraan (air ventilation) yang sesuai; j) Peralatan ICT yang hendak dibawa keluar dari premis UPSI oleh pihak ketiga, perlulah mendapat kelulusan pegawai yang bertanggungjawab dan direkodkan bagi tujuan pemantauan; k) Peralatan ICT yang hilang hendaklah dilaporan kepada Unit Undang-undang dan Tatatertib UPSI dengan segera; l) Pengendalian peralatan ICT hendaklah mematuhi dan merujuk kepada peraturan semasa yang berkuat kuasa; m) Pengguna tidak dibenarkan mengubah kedudukan komputer dari tempat asal ia ditempatkan tanpa kebenaran pegawai yang bertanggungjawab; n) Sebarang kerosakan peralatan ICT hendaklah dilaporkan kepada pegawai yang bertanggungjawab untuk dibaik pulih; o) Sebarang pelekat selain bagi tujuan rasmi tidak dibenarkan. Ini bagi menjamin peralatan tersebut sentiasa berkeadaan baik; p) Pengguna dilarang sama sekali mengubah kata laluan bagi pentadbir (administrator password) yang telah ditetapkan; q) Pengguna bertanggungjawab terhadap perkakasan, perisisan dan maklumat di bawah jagaannya dan hendaklah digunakan sepenuhnya bagi urursan rasmi sahaja; r) Pengguna hendaklah memastikan semua perkakasan komputer, pencetakdanpengimbasdalamkeadaan OFF apabila meninggalkan pejabat; dan s) Sebarang bentuk penyelewengan atau salah guna peralatan ICT hendaklah dilaporkan kepada ICTSO. DKICT UPSI Versi 2.1 21/06/2017 38 dari 96

5.2.2 Media Storan Keselamatan media storan perlu diberi perhatian khusus kerana ia berupaya menyimpan maklumat yang besar. Langkah-langkah pencegahan seperti berikut hendaklah di ambil untuk memastikan kerahsiaan, integriti dan kebolehsediaan maklumat yang disimpan dalam media storan adalah terjamin dan selamat. Semua Perkara-perkara yang perlu dipatuhi adalah seperti berikut: a) Media storan hendaklah disimpan di ruang penyimpanan yang baik dan mempunyai ciri-ciri keselamatan bersesuaian dengan kandungan maklumat; b) Akses untuk memasuki kawasan penyimpanan media storan hendaklah terhad kepada pengguna yang dibenarkan sahaja; c) Semua media storan perlu dikawal bagi mencegah dari capaian yang tidak dibenarkan, kecurian dan kemusnahan; d) Semua media storan yang mengandungi data kritikal hendaklah disimpan di dalam peti keselamatan yang mempunyai ciri-ciri keselamatan termasuk tahan dari dipecahkan, api, air dan medan magnet; e) Akses dan pergerakan media storan hendaklah direkodkan; f) Perkakasan backup hendaklah diletakkan di tempat yang terkawal; g) Mengadakan salinan atau penduaan (backup) pada media storan kedua bagi tujuan keselamatan dan bagi mengelakkan kehilangan data; h) Semua media storan data yang hendak dilupuskan mestilah dihapuskan dengan teratur dan selamat; dan i) Penghapusan maklumat atau kandungan media mestilah mendapat kelulusan pemilik maklumat terlebih dahulu. DKICT UPSI Versi 2.1 21/06/2017 39 dari 96

5.2.3 Media Tandatangan Digital Perkara-perkara yang perlu dipatuhi adalah seperti berikut: a) Pengguna hendaklahbertanggungjawabsepenuhnya ke atas mediatandatangandigitalbagimelindungidaripadakecurian,kehilangan,ke rosakan,penyalahgunaan dan pengklonan; b) Media ini tidak boleh dipindah milik atau dipinjamkan; dan c) Sebarang insiden kehilangan yang berlaku hendaklah dilaporkan dengan segera kepada ICTSO untuk tindakan seterusnya. Sem ua 5.2.4 Media Perisian dan Aplikasi Perkara-perkara yang perlu dipatuhi adalah seperti berikut: Semua a) Hanya perisian yang berlesen dan diperakui sahaja dibenarkan bagi kegunaan UPSI; b) Sistem aplikasi dalaman tidak dibenarkan didemonstrasi atau diagih kepada pihak lain kecuali dengan kebenaran Pengarah Pusat ICT; c) Lesen perisian (registration code, serials, CD-keys) perlu disimpan berasingan daripada CD-rom, disk atau media berkaitan bagi mengelakkan dari berlakunya kecurian atau cetak rompak; dan d) Source code sesuatu sistem hendaklah disimpan dengan teratur dan sebarang pindaan mestilah mengikut prosedur yang ditetapkan. DKICT UPSI Versi 2.1 21/06/2017 40 dari 96

5.2.5 Penyelenggaraan Perkakasan Perkakasanhendaklahdiselenggaradenganbetulbagimemastikan kebolehsediaan, kerahsiaan dan integriti. Semua Perkara-perkara yang perlu dipatuhi adalah seperti berikut: a) Semua perkakasanyangdiselenggarahendaklahmematuhi prosedur penyelenggaraan yang ditetapkan oleh Universiti; b) Memastikan perkakasan hanya boleh diselenggara oleh kakitangan atau pihak yang dibenarkan sahaja; c) Menyemak dan menguji semua perkakasan sebelum dan selepas proses penyelenggaraan; dan d) Memaklumkan pengguna sebelum melaksanakan penyelenggaraan mengikut jadual yang ditetapkan atau atas keperluan. 5.2.6 Peralatan di Luar Premis Perkakasan yang dibawa keluar dari premis UPSI adalah terdedah kepada pelbagai risiko. Semua Perkara-perkara yang perlu dipatuhi adalah seperti berikut: a) Peralatan perlu dilindungi dan dikawal sepanjang masa; dan b) Penyimpanan atau penempatan peralatan mestilah mengambil kira ciri-ciri keselamatan yang bersesuaian. DKICT UPSI Versi 2.1 21/06/2017 41 dari 96

5.2.7 Pelupusan Perkakasan Peralatan ICT yang hendak dilupuskan perlu melalui prosedur pelupusan. Pelupusan perlu dilakukan secara terkawal dan lengkap supaya maklumat tidak terlepas dari kawalan UPSI a) Menghapuskan semua kandungan khususnya maklumat rahsia rasmi terlebih dahulu sama ada melalui shredding, grinding, degauzing atau pembakaran sebelum pelupusan; dan b) Merujuk kepada1 Pekeliling Perbendaharaan (1PP) Tatacara Pengurusan Aset Alih Kerajaan: Pelupusan KP 2.6/2013. Semua, Pegawai Aset dan Pusat ICT UPSI DKICT UPSI Versi 2.1 21/06/2017 42 dari 96

5.3 Keselamatan Persekitaran Objektif: Melindungi aset ICT UPSI dari sebarang bentuk ancaman persekitaran yang disebabkan oleh bencana alam, kesilapan, kecuaian atau kemalangan. 5.3.1 Kawalan Persekitaran Bagi menghindarkan kerosakan dan gangguan terhadap premis dan aset ICT, semua cadangan berkaitan premis sama ada untuk memperoleh, menyewa, ubahsuai, pembelian hendaklah dirujuk terlebih dahulu kepada Pejabat Ketua Pegawai Keselamatan Kerajaan (KPKK). Semua Bagi menjamin keselamatan persekitaran, perkara-perkara berikut hendaklah dipatuhi: a) Merancang dan menyediakan pelan keseluruhan susun atur pusat data (bilik percetakan, peralatan komputer dan ruang atur pejabat dan sebagainya) dengan teliti; b) Semua ruang pejabat khususnya kawasan yang mempunyai kemudahan ICT hendaklah dilengkapi dengan perlindungan keselamatan yang mencukupi dan dibenarkan seperti alat pencegah kebakaran dan pintu kecemasan; c) Peralatan perlindungan hendaklah dipasangditempatyang bersesuaian, mudah dikenali dan dikendalikan; d) Bahan mudah terbakarhendaklahdisimpandiluarkawasan kemudahan penyimpanan aset ICT; e) Semuabahancecairhendaklah diletakkanditempatyang bersesuaian dan berjauhan dari aset ICT; f) Pengguna adalah dilarang merokok atau menggunakan peralatan memasak seperti cerek elektrik berhampiran peralatan komputer; DKICT UPSI Versi 2.1 21/06/2017 43 dari 96

g) Semua peralatan perlindungan hendaklah disemak dan diuji sekurang-kurangnya dua (2) kali dalam setahun. Aktiviti dan keputusan ujian ini perlu direkodkan bagi memudahkan rujukan dan tindakan sekiranya perlu; dan h) Akses kepada saluran riser hendaklah sentiasa dikunci. 5.3.2 Bekalan Kuasa Bekalan kuasa merupakan punca kuasa elektrik yang dibekalkan kepada peralatan ICT. Perkara-perkara yang perlu dipatuhi adalah seperti berikut: Pusat ICT UPSI dan ICTSO a) Semua peralatan ICT hendaklah dilindungi dari kegagalan bekalan elektrik dan bekalan yang sesuai hendaklah disalurkan kepada peralatan ICT; b) Peralatan sokongan seperti Uninterruptable Power Supply (UPS) danpenjana(generator) boleh digunakan bagi perkhidmatan kritikalsepertidibilikserversupayamendapatbekalankuasa berterusan; dan c) Semua peralatan sokongan bekalan kuasa hendaklah disemak dan diuji secara berjadual. DKICT UPSI Versi 2.1 21/06/2017 44 dari 96

5.3.3 Kabel Kabel termasuk kabel elektrik dan telekomunikasi yang menyalurkan data dan menyokong perkhidmatan penyampaian maklumat hendaklah dilindungi. Pusat ICT UPSI dan ICTSO Perkara-perkara yang perlu dipatuhi adalah seperti berikut: a) Menggunakan kabel yang mengikut spesifikasi yang telah ditetapkan; b) Melindungi kabel daripada kerosakan yang disengajakan atau tidak disengajakan; c) Melindungi laluan pemasangan kabel sepenuhnya bagi mengelakkan ancaman kerosakan dan wire tapping; dan d) Semua kabel perlu dilabelkan dengan jelas dan mestilah melalui trunking bagi memastikan keselamatan kabel daripada kerosakan dan pintasan maklumat. 5.3.4 Prosedur Kecemasan Perkara-perkara yang perlu dipatuhi adalah seperti berikut: a) Setiap pengguna hendaklah membaca, memahami dan mematuhi prosedur kecemasan dengan merujuk kepada Garis Panduan Keselamatan MAMPU 2004; dan b) Kecemasan persekitaran seperti kebakaran hendaklah dilaporkan kepadapegawaikeselamatanjabatan(pkj)yangdilantik. Semua dan Pegawai Keselamatan Jabatan DKICT UPSI Versi 2.1 21/06/2017 45 dari 96