PER-41/PJ/2010 tentang Kebijakan Pengelolaan Keamanan Informasi Direktorat Jenderal Pajak

TENTANG KEBIJAKAN PENGELOLAAN KEAMANAN INFORMASI DIREKTORAT JENDERAL PAJAK

DIREKTUR JENDERAL PAJAK,

Menimbang:

a. bahwa berdasarkan Peraturan Direktur Jenderal Pajak Nomor PER-37/PJ/2010 tentang Kebijakan Tata Kelola Teknologi Informasi dan Komunikasi Direktorat Jenderal Pajak dinyatakan bahwa untuk memberikan acuan yang jelas bagi terbentuknya tata kelola Teknologi Informasi dan Komunikasi (TIK) di Direktorat Jenderal Pajak (DJP) dan untuk membentuk infrastruktur dan kerangka kerja tata kelola TIK di DJP, diperlukan tujuh kerangka kerja kebijakan;

b. bahwa dalam rangka melindungi kerahasian, keutuhan, dan ketersediaan aset informasi DJP dari segala bentuk gangguan dan ancaman baik yang berasal dari dalam maupun dari luar baik yang dilakukan secara sengaja maupun tidak sengaja, DJP perlu melakukan pengaturan atas pengelolaan keamanan informasi;

c. bahwa berdasarkan pertimbangan sebagaimana dimaksud pada huruf a dan huruf b di atas, perlu menetapkan Peraturan Direktur Jenderal Pajak tentang Kebijakan Pengelolaan Keamanan Informasi Direktorat Jenderal Pajak;

1. Undang-Undang Nomor 6 Tahun 1983 tentang Ketentuan Umum dan Tata Cara Perpajakan (Lembaran Negara Republik Indonesia Tahun 1983 Nomor 49, Tambahan Lembaran Negara Nomor 3262) sebagaimana telah beberapa kali diubah terakhir dengan Undang-Undang Nomor 16 Tahun 2009 (Lembaran Negara Republik Indonesia Tahun 2009 Nomor 62, Tambahan Lembaran Negara Nomor 4999);

2. Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 58, Tambahan Lembaran Negara Republik Indonesia Nomor 4843);

3. Peraturan Menteri Komunikasi dan Informatika Nomor 41/PER/MEN.KOMINFO/11/2007 tentang Panduan Umum Tata Kelola Teknologi Informasi dan Komunikasi Nasional;

4. Peraturan Menteri Keuangan Nomor 100/PMK.01/2008 tentang Organisasi dan Tata Kerja Departemen Keuangan sebagaimana telah beberapa kali diubah terakhir dengan Peraturan Menteri Keuangan Nomor 143.1/PMK.01/2009;

5. Peraturan Menteri Keuangan Nomor 62/PMK.01/2009 tentang Organisasi dan Tata Kerja Instansi Vertikal Direktorat Jenderal Pajak;

6. Keputusan Menteri Keuangan Nomor 260/KMK.01/2009 tentang Kebijakan Pengelolaan Teknologi Informasi dan Komunikasi di Lingkungan Departemen Keuangan;

7. Keputusan Menteri Keuangan Nomor 512/KMK.01/2009 tentang Kebijakan dan Standar Penggunaan Akun dan Kata Sandi, Surat Elektronik, dan Internet di Lingkungan Departemen Keuangan;

8. Keputusan Direktur Jenderal Pajak Nomor KEP-111/PJ/2008 tentang Rencana Strategis Direktorat Jenderal Pajak Tahun 2008-2012 sebagaimana telah diubah dengan Keputusan Direktur Jenderal Pajak Nomor KEP-76/PJ/2009;

9. Peraturan Direktur Jenderal Pajak Nomor PER-28/PJ/2010 tentang Cetak Biru Teknologi Informasi dan Komunikasi Direktorat Jenderal Pajak Tahun 2010-2014;

10. Peraturan Direktur Jenderal Pajak Nomor PER-37/PJ/2010 tentang Kebijakan Tata Kelola Teknologi Informasi dan Komunikasi Direktorat Jenderal Pajak;

MEMUTUSKAN:

##: PERATURAN DIREKTUR JENDERAL PAJAK TENTANG KEBIJAKAN PENGELOLAAN KEAMANAN INFORMASI DIREKTORAT JENDERAL PAJAK.

Pasal 1

Dalam Peraturan Direktur Jenderal Pajak ini yang dimaksud dengan:

(1) Kebijakan Pengelolaan Keamanan Informasi adalah kerangka kerja manajemen pengamanan aset informasi yang menggunakan pendekatan berbasis risiko dalam menyusun, menerapkan, melaksanakan, mengawasi, mengkaji, memelihara, dan meningkatkan kinerja pengelolaan keamanan informasi.

(2) Chief Information Officer (CIO) Direktorat Jenderal Pajak yang selanjutnya disebut CIO DJP adalah seorang Pejabat Eselon II unit kerja TIK yang ditunjuk oleh Direktur Jenderal Pajak untuk mengoordinasikan seluruh pelaksanaan kerangka kerja tata kelola TIK DJP.

(3) Tim Keamanan Informasi adalah tim yang dibentuk oleh Direktur Jenderal Pajak yang bertugas memelihara dan mengontrol penerapan keamanan informasi di DJP, dan terdiri dari Ketua Tim Keamanan Informasi, Pejabat Keamanan Informasi, dan Petugas Keamanan Informasi.

(4) Ketua Tim Keamanan Informasi DJP adalah Direktur Teknologi Informasi Perpajakan.

(5) Pejabat Keamanan Informasi adalah Kepala Subdirektorat Pemantauan Sistem dan Infrastruktur Direktorat Teknologi Informasi Perpajakan untuk lingkup Kantor Pusat DJP, Kepala Bidang Pemindaian Dokumen dan Perekaman Data untuk lingkup Pusat Pengolahan Data Dokumen Perpajakan, serta Kepala Bidang Dukungan Teknis dan Konsultasi untuk lingkup setiap Kantor Wilayah dan unit kerja di bawahnya.

(6) Petugas Keamanan Informasi adalah Kepala Seksi Pemantauan Keamanan Sistem dan Jaringan Komunikasi Data Direktorat Teknologi Informasi Perpajakan untuk lingkup Kantor Pusat DJP, Kepala Seksi Perekaman dan Transfer Data untuk lingkup Pusat Pengolahan Data dan Dokumen Perpajakan, serta Kepala Seksi Dukungan Teknis Komputer untuk lingkup setiap Kantor Wilayah dan unit kerja di bawahnya.

(7) Auditor Pengelolaan Keamanan Informasi adalah auditor eksternal atau pegawai DJP yang berasal dari Direktorat Kepatuhan Internal dan Transformasi Sumber Daya Aparatur, yang ditunjuk oleh Direktur Jenderal Pajak untuk melakukan audit terhadap pengelolaan keamanan informasi.

/ (8) Unit Kerja TIK.

(8) Unit kerja TIK adalah Direktorat Transformasi Teknologi Komunikasi dan Informasi serta Direktorat Teknologi Informasi Perpajakan.

Pasal 2

(1) Kebijakan Pengelolaan Keamanan Informasi DJP dibentuk dengan mengacu kepada perangkat hukum yang berlaku, standar industri, dan keperluan internal di DJP.

(2) Standar industri sebagaimana dimaksud pada ayat (1) yang digunakan sebagai aquan adalah:

a. ISO/IEC 27001 (Information technology - Security techniques Information security management system - Requirements) dari Badan Standar Internasional ISO;

b. ISO/IEC 27002 (Information technology - Security techniques Code of Practice for information security management) dari Badan Standar Internasional ISO; dan

c. ISO/IEC 27005 (BS7799-3:2006) (Risk Management System) dari Badan Standar Internasional ISO.

Pasal 3

(1) Kebijakan Pengelolaan Keamanan Informasi DJP disusun dengan tujuan untuk:

a. Mendukung DJP dalam mencapai salah satu sasarannya yaitu melaksanakan modernisasi di bidang teknologi informasi dan komunikasi;

b. Menyediakan perangkat pengaturan dalam pengelolaan keamanan informasi; dan

c. Melindungi kerahasiaan, keutuhan, dan ketersediaan aset informasi DJP dari segala bentuk gangguan dan ancaman baik dari dalam maupun luar DJP, yang dilakukan secara sengaja atau tidak.

(2) Untuk dapat mencapai tujuan sebagaimana dimaksud pada ayat (1) diperlukan kerangka kerja kebijakan dalam pengelolaan keamanan informasi yang ditetapkan melalui Buku Dua Kebijakan Pengelolaan Keamanan Informasi.

(3) Area yang diatur dalam Buku Dua Kebijakan Pengelolaan Keamanan Informasi sebagaimana dimaksud dalam ayat (2) meliputi:

a. Uumum;

b. Pengelolaan Aset Informasi;

c. Pengaturan Keamanan Informasi Pihak Ketiga;

d. Pengaturan Keamanan Informasi Sumber Daya Manusia;

e. Keamanan Fisik dan Lingkungan;

f. Pengelolaan Komunikasi dan Operasional;

g. Pengendalian Akses ke Aset Informasi;

h. Keamanan Informasi dalam Pengembangan dan Pemeliharaan Sistem Informasi;

i. Pengelolaan Gangguan Keamanan Informasi;

j. Keamanan Informasi dalam Pengelolaan Kelangsungan Layanan TIK; dan

k. Kepatuhan.

(4) Buku Dua Kebijakan Pengelolaan Keamanan Informasi sebagaimana dimaksud dalam ayat (2) ditetapkan dalam Lampiran Peraturan Direktur Jenderal Pajak ini.

Pasal 4

(1) Tim Keamanan Informasi DJP dibentuk oleh Direktur Jenderal Pajak sebagai Satuan Tugas yang diketuai oleh Ketua Tim Keamanan Informasi DJP dan beranggotakan para Pejabat Keamanan Informasi dan para Petugas Keamanan Informasi.

(2) Ketua Tim Keamanan Informasi DJP bertanggung jawab terhadap pelaksanaan identifikasi dan penetapan kepemilikan maupun tanggung jawab pengelolaan seluruh aset informasi DJP.

(3) Ketua Tim Keamanan Informasi DJP harus mengoordinasikan pelaksanaan kajian dan mengelola risiko-risiko keamanan informasi terkait sasaran indicator kinerja dan memelihara rencana kelangsungan layanan TIK setidaknya sekali dalam setahun.

(4) Ketua Tim Keamanan Informasi DJP harus memastikan pelaksanaan audit internal oleh Auditor Pengelolaan Keamanan Informasi secara berkala untuk memeriksa kepatuhan terhadap kebijakan, persyaratan, standar, dan prosedur keamanan informasi, minimal sekali dalam setahun.

(5) Unit kerja TIK bertanggung jawab terhadap peningkatan kinerja operasional pengamanan informasi dengan mengevaluasi hasil kerja maupun mengkaji tingkat kepatuhan penerapan kerangka kerja keamanan informasi dan melakukan inisiatif pembenahan maupun pencegahan secara langsung dalam lingkup operasional, dengan tetap mengoordinasikan tindakan yang diambil kepada Tim Keamanan Informasi DJP.

(6) Ketua Tim Keamanan Informasi DJP dapat bekerja sama dengan unit kerja lainnya di lingkungan Kementerian Keuangan maupun instansi pemerintah terkait untuk meningkatkan pengamanan pertukaran data dan informasi, dengan terlebih dahulu berkoordinasi dengan CIO DJP sebagai koordinator.

Pasal 5

Ketentuan yang bersifat teknis yang diperlukan dalam rangka pelaksanaan Kebijakan Pengelolaan Keamanan Informasi DJP diatur dan/atau ditetapkan lebih lanjut oleh Direktur Jenderal Pajak dalam bentuk pedoman, prosedur, dan daftar indicator kinerja utama pengelolaan keamanan informasi.

Pasal 6

Peraturan Direktur Jenderal Pajak ini mulai berlaku sejak tanggal ditetapkan.

Ditejapkan di Jakarta pada tanggal 25 Agustus 2010 KEMEN ERIAN KEUANGAN DIREKTUR DIREKTUR JENDERAL DIREKTURAT JENDERAL PAJAK MOCHAMAD TJIPTARDJO NIP 195104281975121002

 BUKU DUA KEBIJAKAN PENGELOLAAN KEAMANAN INFORMASI V.1 | | PENGESAHAN | | |-|-|-| | Diperiksa oleh: | | Tanda Tangan & Tanggal | | | | Tanda Tangan & Tanggal | | | | Tanda Tangan & Tanggal | | | | Tanda Tangan & Tanggal | | | | Tanda Tangan & Tanggal | | Disetujui oleh: | | Tanda Tangan & Tanggal |

LEMBAR PENGENDALIAN DOKUMEN

NO	Penerima Dokumen	Format Dokumen
1		Cetakan
2		Cetakan
3		Cetakan
4		Cetakan
5		Cetakan
6		Cetakan
7		Cetakan
8		Cetakan
9		Cetakan
10		Cetakan

HALAMAN REVISI

Bab/Sub-Bab	Halaman	Revisi	Tanggal	Uraian Revisi

DAFTAR ISI

BAB I —. UMUM. 1

. UMUM. 1

1. TUJUAN. 1

2. RUANG LINGKUP. 1

3. FORMAT. 2

4. ACUAN. 2

5. KETENTUAN UMUM. 2

BAB II —. PENGELOLAAN ASET INFORMASI. 6

1. TUJUAN. 6

2. RUANG LINGKUP. 6

3. KEBIJAKAN. 6

BAB III —. PENGATURAN KEAMANAN INFORMASI PIHAK KETIGA. 9

1. TUJUAN. 9

2. RUANG LINGKUP. 9

3. KEBIJAKAN. 9

BAB IV —. PENGELOLAAN KEAMANAN INFORMASI SUMBER DAYA MANUSIA. 12

1. TUJUAN. 12

2. RUANG LINGKUP. 12

3. KEBIJAKAN. 12

BAB V —. KEAMANAN FISIK DAN LINGKUNGAN. 15

1. TUJUAN. 15

2. RUANG LINGKUP. 15

3. KEBIJAKAN. 15

BAB VI —. PENGELOLAAN KOMUNIKASI DAN OPERASIONAL. 19

1. TUJUAN. 19

2. RUANG LINGKUP. 19

3. KEBIJAKAN. 19

BAB VII —. PENGENDALIAN AKSES TERHADAP ASET INFORMASI. 25

1. TUJUAN. 25

2. RUANG LINGKUP. 25

3. KEBIJAKAN. 25

BAB VIII —. KEAMANAN INFORMASI DALAM PENGEMBANGAN DAN PEMELIHARAAN

SISTEM INFORMASI. 29

1. TUJUAN. 29

2. RUANG LINGKUP. 29

3. KEBIJAKAN. 29

BAB IX —. PENGELOLAAN GANGGUAN KEAMANAN INFORMASI. 32

1. TUJUAN. 32

2. RUANG LINGKUP. 32

3. KEBIJAKAN. 32

BAB X —. KEAMANAN INFORMASI DALAM PENGELOLAAN KELANGSUNGAN

LAYANAN TIK. 34

1. TUJUAN. 34

2. RUANG LINGKUP. 34

3. KEBIJAKAN. 34

BAB XI —. KEPATUHAN. 35

1. TUJUAN. 35

2. RUANG LINGKUP. 35

3. KEBIJAKAN. 35

BAB XII —. PERAN, TUGAS, DAN TANGGUNG JAWAB DALAM PENGELOLAAN

KEAMANAN INFORMASI. 38

1. TIM KEAMANAN INFORMASI. 38

2. TUGAS DAN TANGGUNG JAWAB. 39 DAFTAR ISTILAH YANG DIGUNAKAN. 44 STRUKTUR ORGANISASI. 48

BAB1

UMUM

1. TUJUAN

Bab ini bertujuan untuk menguraikan dan menjelaskan:

1. 1. Ruang lingkup dalam kebijakan keamanan informasi dan aset informasi DJP;
2. 2. Format kebijakan keamanan informasi serta pedoman dan prosedur yang menjadi ketentuan teknis dalam pelaksanaannya;
3. 3. Dokumen yang menjadi acuan dari penyusunan kebijakan pengelolaan keamanan informasi;
4. 4. Ketentuan umum dalam pengelolaan keamanan informasi.

2. RUANG LINGKUP

Kebijakan ini berlaku untuk pengelolaan pengamanan seluruh aset informasi yang ada dan digunakan di DJP dan di unit terkait sebagai penyedia dan pengguna layanan DJP yang meliputi:

2. 1. Kebijakan ini berlaku di Kantor Pusat dan seluruh unit kerja DJP di seluruh Indonesia, dan bagi instansi pemerintah terkait, mitra kerja, serta pihak ketiga lainnya.
3. 2. Ruang lingkup pengamanan aset informasi adalah meliputi seluruh informasi yang dimiliki atau dikelola oleh Direktorat Jenderal Pajak. Yang dimaksud dengan informasi dalam kebijakan ini adalah aset informasi dan proses-proses pengumpulan, pengolahan, dan penyebarannya.

Cakupan aset informasi meliputi:

2. 2.1. Data/dokumen: data ekonomi dan keuangan, data gaji, data kepegawaian, dokumen tender dan kontrak, dokumentasi sistem manajemen (misalnya dokumen Kebijakan Pengelolaan Keamanan Infomasi dan dokumen Kebijakan Pengelolaan Proyek TIK), data Wajib Pajak, bahan pelatihan, tata cara operasional, rencana kelangsungan kegiatan (Business Continuity Plan), hasil pemeriksaan, dan lain-lain;

3. 2.2. Perangkat lunak: perangkat lunak aplikasi, perangkat lunak sistem, perangkat bantu pengembangan sistem, dan perangkat bantu lainnya (misalnya antivirus dan audit tool);

4. 2.3. Infrastruktur fisik: peralatan komputer, server, peralatan jaringan dan komunikasi, removable media (misalnya: flashdisk, CD, DVD, dan disket), dan peralatan penunjang lainnya (misalnya UPS, genset, dan antena komunikasi); dan

5. 2.4. Aset tak berwujud (intangible) termasuk pengetahuan, pengalaman dan keahlian, citra, dan reputasi.

3. FORMAT

Kebijakan Pengelolaan Keamanan Informasi ini mengatur ketentuan yang bersifat umum, sedangkan ketentuan lebih lanjut yang bersifat teknis akan diatur dalam bentuk pedoman dan prosedur/tata cara yang akan dituangkan dalam bentuk Surat Edaran tersendiri, yaitu:

3. 1. Pedoman Penggunaan User Account/Password dan Pengamanan Log-on ke dalam Fasilitas Teknologi Informasi, Penggunaan Fasilitas e-Mail, serta Penggunaan Akses Internet dan Intranet;
4. 2. Pedoman Pengendalian Dokumen dan Catatan Penerapan Tata Kelola Teknologi Informasi dan Komunikasi;
5. 3. Pedoman Tinjauan Manajemen Pengelolaan Keamanan Informasi;
6. 4. Pedoman Audit Internal Tata Kelola Teknologi Informasi dan Komunikasi;
7. 5. Pedoman Tindakan Perbaikan dan Pencegahan dalam Pengelolaan Keamanan Informasi;
8. 6. Pedoman Akses Pihak Ketiga;
9. 7. Pedoman Backup dan Restore Sistem/Data/Informasi;
10. 8. Pedoman Pengelolaan Aset Informasi;
11. 9. Pedoman Pencegahan Malware;
12. 10. Pedoman Pengamanan Perangkat dan Fasilitas Pengolahan Data dan Informasi;
13. 11. Pedoman Pengelolaan Gangguan Keamanan Informasi;
14. 12. Pedoman Pengelolaan Hak Atas Kekayaan Intelektual (HAKI);
15. 13. Pedoman Teleworking;
16. 14. Pedoman Enkripsi dan Key Management.

4. ACUAN

4. 1. ISO/IEC 27001:2005 Information Security Management System;
5. 2. ISO/IEC 27002:2008 Code of Practice for information security management; dan
6. 3. ISO/IEC 27005 (BS7799-3:2006) Risk Management System.

5. KETENTUAN UMUM

Dalam rangka pengelolaan keamanan informasi, berlaku ketentuan umum sebagai berikut:

5. 1. Seluruh pegawai DJP dan pihak ketiga yang bekerja sama dengan DJP harus mematuhi seluruh peraturan perundang-undangan yang berlaku termasuk kewajiban-kewajiban hukum untuk melindungi aset-aset informasi DJP;
6. 2. Seluruh pegawai DJP dan pihak ketiga yang bekerja sama dengan DJP harus mematuhi persyaratan maupun standar operasional dan teknis dalam pengelolaan keamanan informasi sebagaimana diatur dalam kebijakan serta pedoman terkait yang disusun berdasarkan standar ISO/IEC 27001:2005 yang ditetapkan secara resmi untuk diberlakukan di seluruh unit kerja DJP;
7. 3. Direktur Jenderal Pajak menetapkan Pejabat dan Petugas Keamanan Informasi di masing-masing unit kerja Eselon II DJP untuk mengelola keamanan informasi di DJP;
8. 4. Direktur Jenderal Pajak membentuk Satuan Tugas berupa Tim Keamanan Informasi yang diketuai oleh Ketua Tim Keamanan Informasi DJP yang dalam hal ini diperankan oleh Direktur Teknologi Informasi Perpajakan, dan anggota-anggotanya terdiri dari para Pejabat Keamanan Informasi di unit kerja Eselon II lainnya dan semua Petugas Keamanan Informasi di lingkungan DJP;
9. 5. Unit kerja TIK bertanggung jawab untuk meningkatkan kinerja operasional pengamanan informasi dengan mengevaluasi hasil kerja maupun mengkaji tingkat kepatuhan penerapan kerangka kerja keamanan informasi dan melakukan inisiatif pembenahan maupun pencegahan secara langsung dalam lingkup operasional;
10. 6. Ketua Tim Keamanan Informasi DJP dapat melakukan kerja sama dengan unit kerja lainnya di lingkungan Kementerian Keuangan maupun instansi pemerintah terkait untuk meningkatkan pengamanan pertukaran data dan informasi;
11. 7. Chief Information Officer Direktorat Jenderal Pajak (CIO DJP) bertugas mengonsolidasikan pengelolaan keamanan informasi dengan area/ruang lingkup tata kelola TIK lainnya, yaitu pengelolaan layanan TIK, pengelolaan kelangsungan layanan TIK, pengembangan TIK, pengelolaan proyek TIK, serta pemantauan dan evaluasi kinerja TIK;
12. 8. Kebijakan yang berlaku dalam dokumentasi kegiatan pengelolaan keamanan informasi adalah sebagai berikut:

13. 8.1. Ketua Tim Keamanan Informasi DJP wajib mengembangkan dan memelihara dokumentasi pengelolaan keamanan informasi yang terdiri dari kebijakan, standar, pedoman, tata cara, dan rekaman-rekaman (catatan) penerapan dan pemeriksaan keamanan informasi;

14. 8.2. Dokumentasi pengelolaan keamanan informasi harus tersedia di seluruh area operasional dan mudah diakses oleh pegawai yang memerlukan, dikelola secara efektif dan dikendalikan penggunaannya, dipelihara kemutakhirannya, serta dilindungi dari penggunaan yang tidak berwenang;

15. 8.3. Pengendalian dokumen pengelolaan keamanan informasi harus diyakini mampu menjaga efektivitas pelaksanaan operasionalnya, menghindarkan dari segala jenis kerusakan, dan mencegah akses oleh pihak yang tidak berwenang;

16. 8.4. Catatan penerapan dan pelaksanaan Kebijakan Pengelolaan Keamanan Informasi digunakan untuk mengukur kepatuhan dan efektivitas penerapan Kebijakan Pengelolaan Keamanan Informasi;

17. 8.5. Pengendalian dokumen pengelolaan dan catatan penerapan dan pelaksanaan Kebijakan Pengelolaan Keamanan Informasi dilakukan dengan mengacu kepada Pedoman Pengendalian Dokumen dan Catatan Penerapan Tata Kelola TIK yang akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal sebagai berikut:

18. 8.5.1. Penerbitan, perubahan, dan penghapusan dokumen tata kelola TIK;

19. 8.5.2. Identifikasi, penyimpanan, dan distribusi dokumen tata kelola TIK;

20. 8.5.3. Dokumen eksternal;

21. 8.5.4. Identifikasi dan penyimpanan catatan penerapan tata kelola TIK;

22. 8.5.5. Peminjaman catatan penerapan tata kelola TIK;

23. 8.5.6. Jangka waktu penyimpanan (Retention Time) catatan penerapan tata kelola TIK;

24. 8.5.7. Pemusnahan catatan penerapan tata kelola TIK.

25. 9. Kebijakan yang berlaku dalam pengelolaan risiko keamanan informasi adalah sebagai berikut:

26. 9.1. Ketua Tim Keamanan Informasi DJP mengoordinasikan pendefinisian kerangka pengelolaan risiko yang sesuai dengan Kebijakan Pengelolaan Keamanan Informasi, hukum, undang-undang, dan peraturan yang berlaku, serta kegiatan terkait;

27. 9.2. Ketua Tim Keamanan Informasi DJP memastikan pelaksanaan kajian risiko (risk assessment) secara periodik terhadap aset-aset informasi yang tercatat untuk menemukan ancaman (threat) dan kelemahan (vulnerability) keamanannya serta dampak risiko yang mungkin ditimbulkannya. Tingkat kedalaman kajian risiko akan disesuaikan dengan tingkat kerahasian dan tingkat kerawanan informasi;

28. 9.3. Penerapan metode-metode penanganan risiko dan kontrol-kontrol keamanan informasi adalah untuk mencegah atau mengurangi dampak risiko yang ditemukan;

29. 9.4. Kebijakan dan aturan-aturan teknis lebih lanjut serta pengaturan tugas dan tanggung jawab Tim Keamanan Informasi terkait pengelolaan risiko keamanan informasi akan mengacu kepada Kebijakan Pengelolaan Kelangsungan Layanan TIK.

30. 10. Ketua Tim Keamanan Informasi DJP memastikan pelaksanaan audit internal oleh unit kerja independen secara berkala untuk memeriksa kepatuhan terhadap kebijakan, standar, pedoman, dan tata cara keamanan informasi, minimal sekali dalam satu tahun dengan memperhatikan hal-hal sebagai berikut:

31. 10.1. Audit terhadap pengelolaan keamanan informasi dapat dilakukan sebagai bagian dari audit internal tata kelola TIK;

32. 10.2. Audit internal dilakukan oleh auditor independen yang ditunjuk oleh Direktur Jenderal Pajak, minimal setahun sekali;

33. 10.3. Hasil audit internal tersebut akan digunakan dalam evaluasi pengelolaan keamanan informasi (management review) untuk melihat efektivitas sistem yang dijalankan;

34. 10.4. Laporan hasil audit internal sebagaimana dimaksud pada angka 5.10.1. selanjutnya akan digunakan oleh Tim Pengarah Tata Kelola TIK dan Ketua Tim Keamanan Informasi untuk meninjau efektivitas pengelolaan keamanan informasi;

35. 10.5. Pelaksanaan audit internal tata kelola TIK sebagimana dimaksud pada angka 5.10.1. diatur dalam Pedoman Audit Internal Tata Kelola TIK yang akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal sebagai berikut:

36. 10.5.1. Rencana dan jadwal audit;

37. 10.5.2. Persiapan pelaksanaan audit;

38. 10.5.3. Pelaksanaan audit;

39. 10.5.4. Tindak lanjut atau penyelesaian tindakan koreksi;

40. 10.5.5. Rekaman mutu.

41. 11. Ketua Tim Keamanan Informasi DJP akan melakukan evaluasi pengelolaan keamanan informasi untuk mengukur kinerja dan efektivitas pelaksanaan Kebijakan Pengelolaan Kemanan Informasi ini dengan memperhatikan hal-hal sebagai berikut:

42. 11.1. Pengkajian dilakukan secara berkala paling sedikit sekali dalam satu tahun, atau apabila terjadi perubahan yang berarti pada lingkungan sistem informasi, kegiatan, dan organisasi;

43. 11.2. Evaluasi pengelolaan keamanan informasi juga harus mencakup evaluasi terhadap peluang-peluang untuk peningkatan (improvement) dan perubahan Kebijakan Pengelolaan Keamanan Informasi ini termasuk sasaran-sasaran keamanan informasi;

44. 11.3. Hasil evaluasi harus didokumentasikan secara jelas, dipelihara, dan ditindaklanjuti;

45. 11.4. Pelaksanaan evaluasi pengelolaan keamanan informasi diatur dalam Pedoman Tinjauan Manajemen Pengelolaan Keamanan Informasi yang akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal sebagai berikut:

46. 11.4.1. Jadwal evaluasi pengelolaan keamanan informasi;

47. 11.4.2. Masukan-masukan dalam evaluasi pengelolaan keamanan informasi;

48. 11.4.3. Hasil (output) evaluasi pengelolaan keamanan informasi.

49. 12. Hal-hal terkait dengan kompetensi sumber daya manusia (SDM) dalam tata kelola TIK secara umum akan mengacu pada Cetak Biru Teknologi Informasi dan Komunikasi DJP dan secara khusus akan diatur dalam dokumen Standar Kompetensi SDM TIK.

1. TUJUAN

Kebijakan Pengelolaan Aset Informasi ini bertujuan untuk memberi acuan dalam mengelola perlindungan keamanan yang memadai akan aset informasi DJP dan memastikan bahwa aset informasi memiliki tingkat perlindungan keamanan yang sesuai dengan klasifikasinya.

2. RUANG LINGKUP

Kebijakan Pengelolaan Aset Informasi ini mencakup hal-hal sebagai berikut:

2. 1. Pengelolaan daftar inventaris dan aturan penggunaan aset informasi;
3. 2. Pengklasifikasian aset informasi;
4. 3. Pemberian label pada aset informasi;
5. 4. Pedoman Pengelolaan Aset Informasi.

3. KEBIJAKAN

3. 1. Hal-hal yang harus diperhatikan dalam pengelolaan aset informasi adalah sebagai berikut:

4. 1.1. Pengelolaan daftar inventaris aset informasi yang berisi seluruh aset informasi utama seperti perangkat lunak, perangkat keras, dan layanan TIK yang akan dilindungi harus secara jelas mengidentifikasi setiap aset, pemilik aset, dan lokasinya. Pengelolaan dan perawatan Daftar Inventaris Aset Informasi dilakukan oleh Direktorat TIP;

5. 1.2. Pemilik Aset Informasi bertanggung jawab untuk melakukan perlindungan terhadap keamanan seluruh aset informasi yang berada di bawah pengawasannya;

6. 1.3. Kebijakan dan aturan penggunaan aset-aset informasi ditetapkan dan berlaku bagi seluruh pegawai dan pihak ketiga. Seluruh pengguna aset informasi tanpa kecuali harus mematuhi kebijakan dan aturan yang telah ditetapkan dan harus melaporkan kepada penanggung jawab keamanan informasi terkait apabila melihat terjadinya pelanggaran terhadap kebijakan ini.

7. 2. Kebijakan yang berlaku dalam pengklasifikasian aset informasi adalah sebagai berikut:

8. 2.1. Aset-aset informasi utama digolongkan berdasarkan nilai, ketentuan/kebutuhan kegiatan yang menggunakannya, tingkat kerahasiaan, dan tingkat kerawanannya bagi DJP. Klasifikasi aset informasi dilakukan oleh Pemilik Aset Informasi dan disetujui oleh atasan langsungnya;

9. 2.2. Aset informasi diklasifikasikan menjadi 4 (empat) golongan sebagai berikut:

10. 2.2.1. Sangat rahasia yaitu aset informasi yang bersifat strategis bagi DJP dan berisiko sangat tinggi yang pembocoran atau akses tanpa izin terhadapnya mempunyai konsekuensi hukum. Informasi ini hanya dapat diakses secara sangat terbatas oleh pihak ketiga dan hanya dapat digunakan untuk kepentingan atau karena kewajiban dan kebutuhan DJP, dengan syarat pihak ketiga dan pegawai pihak ketiga menandatangani Kesepakatan Kewajiban Menjaga Rahasia/Non-Disclosure Agreement (NDA). Contoh aset informasi sangat rahasia: Data Wajib Pajak.

11. 2.2.2. Rahasia yaitu aset informasi yang sangat peka dan berisiko tinggi atau yang menurut peraturan perundang-undangan dinyatakan rahasia yang pembocoran atau penyalahgunaan akses terhadapnya dapat mengganggu kelancaran kegiatan DJP atau mengganggu citra dan reputasi DJP. Informasi ini hanya dapat diakses secara terbatas oleh pihak ketiga dan hanya dapat digunakan untuk kepentingan atau karena kewajiban dan kebutuhan DJP melalui serah terima resmi dengan syarat pihak ketiga dan pegawai pihak ketiga menandatangani Kesepakatan Kewajiban Menjaga Rahasia/Non-Disclosure Agreement.

Contoh aset informasi rahasia: IP address, password komputer, bahan/ materi pelatihan, rencana anggaran/pengadaan, data gaji dan penilaian kinerja pegawai, serta data kesehatan pribadi pegawai yang secara legal harus dilindungi.

3. 2.2.3. Terbatas yaitu aset informasi yang telah terdistribusi secara luas di lingkungan internal DJP yang penyebarannya secara internal tidak lagi memerlukan izin dari Pemilik Aset Informasi dan risiko penyebarannya oleh pihak yang tidak berwenang tidak menimbulkan kerugian yang berarti. Informasi ini dapat diberikan kepada pihak ketiga oleh pemiliknya untuk kepentingan dinas melalui prosedur serah terima resmi.

Contoh aset informasi terbatas: kebijakan DJP, panduan kerja, tata cara kerja, instruksi kerja, memo/publikasi internal, informasi yang disediakan dalam intranet, dan data operasional IT lainnya.

3. 2.2.4. Publik yaitu aset informasi yang secara sengaja disediakan oleh DJP untuk dapat diketahui masyarakat umum.

Contoh aset informasi publik: brosur, situs publik DJP, dan siaran pers (press release).

3. 2.3. Pemberian label pada aset informasi harus dilakukan secara konsisten pada aset informasi DJP yang pelaksanaannya mengacu pada Pedoman Pengelolaan Aset Informasi;

4. 2.4. Aset informasi yang diterima dari pihak ketiga harus memuat dan mencantumkan klasifikasinya atau dilakukan penggolongan ulang sesuai aturan yang ditetapkan DJP;

5. 2.5. Aset Informasi berupa rekaman-rekaman penting milik DJP dan/atau yang digunakan dan dihasilkan oleh sistem informasi/aset informasi yang dikelola DJP seperti database, audit log, dan transaction log harus dilindungi dari kehilangan, kerusakan, atau penyalahgunaan sesuai peraturan yang berlaku oleh pemilik aset.

6. 3. Pedoman Pengelolaan Aset Informasi akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal sebagai berikut:

7. 3.1. Inventarisasi aset informasi;

8. 3.2. Pemberian label;

9. 3.3. Pengiriman informasi;

10. 3.4. Penyimpanan informasi;

11. 3.5. Penggunaan informasi.

1. TUJUAN

Kebijakan Pengaturan Keamanan Informasi Pihak Ketiga ini bertujuan untuk memberi acuan dalam memelihara keamanan aset informasi dan perangkat pengolah informasi yang diakses, diproses, dikomunikasikan, atau dikelola pihak ketiga.

2. RUANG LINGKUP

Kebijakan Pengaturan Keamanan Informasi Pihak Ketiga ini mencakup hal-hal sebagai berikut:

2. 1. Identifikasi, evaluasi, dan pengendalian risiko melalui perjanjian kontrak dengan pihak ketiga;
3. 2. Perjanjian kontrak antara pihak ketiga dengan tenaga kerja/pegawai yang digunakan untuk menyediakan layanan dan/atau melakukan pekerjaan di DJP;
4. 3. Pedoman Akses Pihak Ketiga.

3. KEBIJAKAN

3. 1. Yang dimaksud dengan pihak ketiga adalah pihak penyedia barang/jasa yang menjadi mitra DJP, kementerian/instansi lain terkait, dan pihak ketiga lainnya.
4. 2. Kebijakan yang diterapkan dalam pengamanan akses pihak ketiga adalah sebagai berikut:

5. 2.1. Akses terhadap aset informasi di lingkungan DJP hanya boleh diberikan dalam rangka pelaksanaan tugas/kegiatan DJP serta harus dikontrol secara ketat. Sebelum memberikan akses kepada pihak ketiga, pegawai DJP yang berwenang memberikan akses harus mendeteksi dan mengevaluasi risiko-risiko yang mungkin muncul sehubungan dengan pemberian akses serta harus menerapkan kontrol yang memadai untuk mengurangi dampak atau mencegah terjadinya risiko-risiko tersebut;

6. 2.2. Evaluasi risiko dilakukan dengan memperhatikan aspek-aspek sebagai berikut:

7. 2.2.1. Jenis akses yang diperlukan:

• Akses fisik ke kantor, ruang kerja, atau ruang server; dan - Akses non-fisik ke dalam jaringan, basis data, dan sistem informasi;

3. 2.2.2. Alasan kebutuhan akses:

• Operasional dan dukungan (support) pada perangkat keras dan perangkat lunak;

• Audit keamanan informasi; dan - Pengembangan aplikasi dan sistem informasi; dan

3. 2.2.3. Metode akses, misalnya akses melalui jaringan lokal, akses melalui modem (dial in), atau akses melalui fasilitas VPN IP;

4. 2.3. Pengendalian risiko pemberian akses pada pihak ketiga dilakukan antara lain melalui klausul-klausul dalam perjanjian kontrak dan melalui perjanjian Kesepakatan Kewajiban Menjaga Rahasia (Non-Disclosure Agreement/NDA). Pemberian akses tersebut hanya boleh diberikan setelah penandatangan NDA;

5. 2.4. Dalam perjanjian kontrak dengan pihak ketiga harus dicantumkan hal-hal sebagai berikut:

6. 2.4.1. Kewajiban pihak ketiga mematuhi Kebijakan Pengelolaan Keamanan Informasi yang berlaku di DJP;

7. 2.4.2. Persetujuan untuk turut melindungi keamanan aset informasi DJP terkait dengan akses yang diberikan;

8. 2.4.3. Jenis akses yang diberikan dan tata cara penggunaan akses tersebut;

9. 2.4.4. Identitas pegawai pihak ketiga yang menggunakan akses ini;

10. 2.4.5. Pembatasan lokasi dari mana akses dapat dilakukan dan waktu penggunaan akses; dan

11. 2.4.6. Persetujuan atas hak pantau dan pengawasan oleh DJP terhadap penggunaan akses; dan

12. 2.5. Hak akses oleh pihak ketiga yang diizinkan masuk ke jaringan DJP harus dirinci secara jelas, dan kegiatannya selama menggunakan jaringan harus dipantau, diawasi, dan dicatat.

13. 3. Pihak ketiga yang menggunakan tenaga kerja/pegawai dalam menyediakan jasa layanannya kepada DJP dan/atau dalam melaksanakan baik sebagian atau seluruh pekerjaannya di DJP dan/atau bekerja sama dengan DJP harus memenuhi ketentuan sebagai berikut:

14. 3.1. Pihak ketiga harus menjamin bahwa segala persyaratan keamanan informasi yang berlaku di DJP ditulis di dalam perjanjian kontrak antara pihak ketiga yang bersangkutan dengan pihak tenaga kerja/pegawai;

15. 3.2. Kontrak sebagaimana dimaksud pada angka 3.3.1. harus mencantumkan hal-hal sebagai berikut:

16. 3.2.1. Jaminan bahwa seluruh pihak yang terlibat dalam kontrak peduli dan sadar akan tanggung jawabnya terhadap keamanan aset informasi DJP;

17. 3.2.2. Kendali, baik fisik dan/atau non-fisik, yang diterapkan untuk membatasi akses ke aset informasi hanya kepada pegawai/pengguna yang berwenang;

18. 3.2.3. Tanggung jawab hukum (aspek legal) terhadap segala gangguan keamanan informasi yang mereka timbulkan selama menyediakan jasa pelayanan dan/atau menjalankan pekerjaan di DJP yang tertuang dalam kontrak; dan

19. 3.2.4. Sumber daya yang terlibat dalam kegiatan sesuai klausul dalam kontrak.

20. 4. Pedoman Akses Pihak Ketiga akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal sebagai berikut:

21. 4.1. Permintaan akses;

22. 4.2. Hak akses pihak ketiga;

23. 4.3. Akses jarak jauh (remote access) yang disediakan untuk pihak ketiga;

24. 4.4. Otentikasi akses jarak jauh (remote access) oleh pihak ketiga;

25. 4.5. Perlindungan informasi dan sumber daya sistem DJP;

26. 4.6. Evaluasi akses pihak ketiga.

1. TUJUAN

Kebijakan Pengelolaan Keamanan Informasi Sumbet Daya Manusia ini bertujuan untuk memberi acuan dalam:

1. 1. Memastikan bahwa pegawai dan pihak ketiga memahami tanggung jawabnya yang sesuai dengan peran terkait penugasannya, dan untuk mengurangi risiko pencurian, penyalahgunaan dan kesalahan pemanfaatan aset informasi.
2. 2. Memastikan bahwa pegawai dan pihak ketiga mengetahui ancaman maupun halal yang utama dari keamanan, tanggung jawab dan perannya, serta telah dibekali pelatihan untuk mendukung kebijakan keamanan DJP dan mengurangi kesalahan dalam pekerjaannya.
3. 3. Memastikan bahwa pegawai dan pihak ketiga menjalani prosedur terkait keamanan informasi sebelum, selama, dan saat akan mengakhiri tugas di DJP.

2. RUANG LINGKUP

Kebijakan Pengelolaan Keamanan Informasi Sumber Daya Manusia ini mencakup pengelolaan keamanan informasi terhadap pegawai dan pihak ketiga yang diterapkan sebelum bertugas, selama bertugas, dan saat akan mengakhiri tugas dan pekerjaan di DJP.

3. KEBIJAKAN

3. 1. Dalam melaksanakan kebijakan umum pengelolaan keamanan informasi, maka kebijakan yang diterapkan sebelum pegawai atau pihak ketiga bertugas di DJP adalah sebagai berikut:

4. 1.1. Peran dan tanggung jawab pegawai terhadap keamanan informasi harus menjadi bagian dari penjabaran tugas dan fungsi, khususnya bagi mereka yang memiliki akses terhadap aset informasi yang bersifat sangat rahasia dan berharga yaitu mempunyai nilai nominal tertentu dan merupakan hasil dari pembelanjaan APBN, atau bersifat rawan yaitu mempunyai aspek nilai intangible atau terkait risiko keamanan terhadap aset informasi lainnya;

5. 1.2. Peran dan tanggung jawab pegawai dan pihak ketiga terhadap keamanan informasi harus didefinisikan, didokumentasikan, dan dikomunikasikan kepada yang bersangkutan sebelum penugasan diberikan;

6. 1.3. Penelitian dan pemeriksaan pada data pribadi dan keterangan atas pekerjaan sebelumnya yang diberikan oleh pegawai baru atau pihak ketiga sesuai dengan kebijakan penerimaan pegawai/pihak ketiga yang berlaku dilaksanakan sebelum pegawai/pihak ketiga tersebut mulai bekerja;

7. 1.4. Pegawai dan pihak ketiga yang akan menggunakan akses ke dalam sistem informasi yang mengolah data/informasi yang bersifat rahasia dan sangat rahasia harus menyetujui dan menandatangani perjanjian Kesepakatan Kewajiban Menjaga Rahasia (Non-Disclosure Agreement/NDA) atau ketentuan lainnya sebelum yang bersangkutan diberikan akses tersebut.

8. 2. Dalam melaksanakan kebijakan umum pengelolaan keamanan informasi, maka kebijakan yang diterapkan selama pegawai atau pihak ketiga bertugas di DJP adalah sebagai berikut:

9. 2.1. Seluruh pegawai DJP dan pihak ketiga harus mematuhi kebijakan, pedoman, dan tata cara keamanan informasi yang berlaku di DJP;

10. 2.2. Seluruh pegawai DJP harus mendapatkan pendidikan, pelatihan, dan sosialisasi pengelolaan keamanan informasi secara berkala sesuai dengan tingkat tanggung jawabnya masing-masing;

11. 2.3. Dalam hal diperlukan, pihak ketiga wajib diberi sosialisasi peningkatan kepedulian terhadap keamanan informasi baik melalui proses induksi atau metode lain yang tepat;

12. 2.4. Kepatuhan pegawai terhadap kebijakan, pedoman, dan tata cara keamanan informasi harus ditinjau ulang secara berkala oleh atasan masing-masing, dan menjadi bagian dari penilaian kinerja pegawai;

13. 2.5. Masing-masing pegawai harus melindungi kepemilikan dan kerahasiaan data pribadinya selama yang bersangkutan bekerja di DJP. Data pribadi pegawai tersebut hanya boleh digunakan untuk kepentingan yang diperbolehkan oleh peraturan dan ketentuan perundang-undangan;

14. 2.6. Untuk mencegah kesalahan dan penyalahgunaan pemanfaatan aset informasi, unit kerja TIK DJP harus mengoordinasikan sosialisasi Kebijakan Pengelolaan Keamanan Informasi ini secara berkala dan penyelenggaraan pelatihan sesuai dengan hak akses yang dimiliki oleh pengguna (user) masing-masing; dan

15. 2.7. Pegawai maupun pihak ketiga yang melakukan akses terhadap fasilitas informasi milik DJP dan/atau yang dikelola oleh DJP harus memiliki kompetensi yang memadai serta bersedia memahami dan mematuhi Kebijakan Pengelolaan Keamanan Informasi DJP.

16. 3. Dalam rangka pelaksanaan kebijakan pengelolaan keamanan informasi, dalam hal setiap pegawai akan berhenti bertugas atau mutasi di lingkungan DJP, atau mitra DJP akan mengakhiri pelaksanaan pekerjaan, maka kondisi yang harus dipenuhi adalah sebagai berikut:

17. 3.1. Sebelum penghentian, pemutusan hubungan kerja, atau mutasi efektif berlaku, pegawai dan pihak ketiga harus diingatkan kewajibannya untuk tetap mematuhi kebijakan dan aturan keamanan informasi yang berlaku di DJP terutama yang terkait dengan kewajiban menjaga kerahasiaan;

18. 3.2. Setiap Pejabat Keamanan Informasi harus menyusun daftar pegawai dengan keahlian khusus atau yang berada di posisi kunci di unit kerjanya yang perlu mendapat perhatian khusus pada saat pegawai yang bersangkutan akan mengalami penghentian atau mutasi. Daftar ini harus mendapatkan persetujuan dari Pejabat Eselon II yang bersangkutan;

19. 3.3. Pegawai dengan keahlian khusus atau yang berada di posisi kunci berkewajiban untuk melakukan alih keahlian dan pengetahuan kepada rekan kerjanya agar sebelum meninggalkan atau keluar dari unit kerjanya, pekerjaan yang menjadi tugasnya dapat terjamin keberlangsungannya;

20. 3.4. Pejabat Keamanan Informasi bertanggung jawab untuk memastikan bahwa pegawai berkeahlian khusus atau yang berada di posisi kunci sebagaimana dimaksud pada angka 3.3.3. telah memiliki pengganti atau yang dapat menggantikan saat pegawai yang bersangkutan akan berhenti atau dimutasikan;

21. 3.5. Pegawai dan pihak ketiga yang akan berhenti bekerja atau habis masa kontrak kerjanya dengan DJP harus mengembalikan seluruh aset yang dipergunakan selama bekerja di DJP kepada pemilik aset informasi;

22. 3.6. Pejabat Keamanan Informasi berhak untuk menghentikan/menutup untuk sementara atau selamanya hak menggunakan aset informasi bagi pegawai yang sedang menjalani pemeriksaan yang terkait dengan dugaan adanya pelanggaran terhadap Kebijakan Pengelolaan Keamanan Informasi dan/atau bagi pegawai yang sedang menjalani proses hukum;

23. 3.7. Hak akses terhadap sistem informasi yang dimiliki pegawai akan dicabut secara otomatis bila pegawai yang bersangkutan dimutasikan ke unit kerja lain di lingkungan DJP atau tidak lagi bekerja di DJP; dan

24. 3.8. Hak akses terhadap sistem informasi yang dimiliki pihak ketiga akan dicabut secara otomatis bila yang bersangkutan tidak lagi bekerja di lingkungan DJP.

1. TUJUAN

Kebijakan Keamanan Fisik dan Lingkungan ini bertujuan untuk memberi acuan dalam mencegah akses fisik yang tidak terotorisasi, kerusakan, dan intervensi kepada perangkat dan informasi DJP serta mencegah kehilangan, kerusakan, pencurian atau kejadian yang membahayakan aset informasi dan mengganggu akitivitas DJP.

2. RUANG LINGKUP

Kebijakan Keamanan Fisik dan Lingkungan ini mencakup hal-hal sebagai berikut:

2. 1. Pengamanan lingkungan kerja dan Data Center;
3. 2. Pengamanan perangkat/peralatan pengolah informasi;
4. 3. Pedoman Pengamanan Perangkat dan Fasilitas Pengolahan Data dan Informasi.

3. KEBIJAKAN

3. 1. Untuk mengamankan lingkungan kerja maupun Data Center, kebijakan yang diterapkan adalah sebagai berikut:

4. 1.1. Seluruh pegawai, tamu, dan pihak ketiga yang memasuki lingkungan DJP harus mengenakan kartu identitas (ID Card) resmi yang dikeluarkan oleh DJP;

5. 1.2. Ruangan khusus (Data Center/DC dan ruang server) dilindungi dengan pengamanan fisik yang memadai dan berfungsi dengan baik seperti pintu elektronik, sistem pemadam kebakaran, alarm bahaya, dan perangkat pemutus aliran listrik harus tersedia untuk menyimpan server, infrastruktur jaringan dan komunikasi data, serta fasilitas pengolah dan pengelola informasi sensitif lainnya;

6. 1.3. Ruangan Data Center memiliki area sesuai aktivitas yang dapat dilakukan dalam area tersebut. Setiap area memiliki identifikasi dan tingkat kewenangan/otorisasi yang diperlukan bagi pengguna yang akan mengakses Data Center sebagai berikut:

7. 1.3.1. Area Staging: area untuk membuka kemasan hardware dan pre-installed software sebelum dipindahkan ke area server;

8. 1.3.2. Area Operator: area yang dilengkapi console untuk akses server secara remote tanpa harus memasuki area server;

9. 1.3.3. Area Server: area Data Center utama dan hanya petugas yang berwenang saja yang dapat mengakses area ini;

10. 1.3.4. Area Library: area untuk menyimpan media backup; dan

11. 1.3.5. Area Network: area untuk menyimpan perangkat-perangkat utama jaringan;

12. 1.4. Akses keluar masuk ruangan Data Center dan area kerja lainnya yang berisikan aset informasi yang bersifat rahasia dan sangat rahasia harus dibatasi dan hanya diberikan kepada pegawai tertentu yang berwenang;

13. 1.5. Seluruh pegawai, pihak ketiga, atau tamu yang memasuki ruangan Data Center atau area kerja yang berisikan aset informasi yang bersifat rahasia dan sangat rahasia harus didampingi oleh pegawai DJP tertentu yang berwenang. Waktu masuk dan keluar serta maksud kedatangannya harus dicatat dalam buku catatan keluar masuk ruangan (log book);

14. 1.6. Kantor, ruangan, dan fasilitas yang berisikan informasi rahasia dan sangat rahasia harus memiliki pengamanan fisik yang memadai. Sebagai contoh, pintu dan jendelanya harus dikunci jika ditinggalkan;

15. 1.7. Pengambilan gambar di ruangan Data Center dan ruang server harus dengan seijin penanggung jawab ruang tersebut; dan

16. 1.8. Ruang server, Data Center, dan Disaster Recovery Center (DRC) tidak boleh digunakan untuk ruang kerja.

17. 2. Untuk mengamankan peralatan/perangkat pengolah informasi, kebijakan yang diterapkan adalah sebagai berikut:

18. 2.1. Perangkat pengolah informasi harus ditempatkan di lokasi yang tidak dilewati/dilalui oleh tamu atau pihak ketiga;

19. 2.2. Perangkat pengolah informasi termasuk mesin faksimili, printer, atau komputer yang digunakan untuk memproses informasi rahasia dan sangat rahasia harus ditempatkan di lokasi yang aman untuk mencegah kebocoran informasi tersebut ke pihak yang tidak berwenang;

20. 2.3. Makanan dan minuman dilarang untuk dibawa masuk ke atau dikonsumsi di dalam ruang server dan Data Center. Semua area yang digunakan untuk menyimpan aset informasi penting adalah area bebas rokok;

21. 2.4. Area yang digunakan untuk menyimpan aset informasi penting seperti ruang arsip, ruang server, Data Center, Disaster Recovery Center, ruang alat komunikasi, atau ruang penyimpanan media harus mendapatkan perlindungan yang layak dari dampak lingkungan/polusi dengan aliran udara (ventilasi), suhu, dan kelembaban yang sesuai;

22. 2.5. Batas minimum dan maksimum untuk suhu dan kelembaban di dalam ruang server, Data Center, dan Disaster Recovery Center harus ditetapkan mengikuti standar yang disyaratkan oleh pabrikan perangkat dan harus selalu dilakukan pengawasan. Tindakan untuk mengembalikan kondisi suhu dan kelembaban sesuai batasan harus segera diterapkan apabila terjadi kondisi yang menyebabkan dilanggarnya standar tersebut;

23. 2.6. Sistem perlindungan kebakaran harus dipasang dengan aman agar tidak membahayakan personel yang bekerja di ruang server, Data Center, dan Disaster Recovery Center, dan harus dirawat secara teratur untuk melindungi fasilitas dan perangkat yang ada di dalamnya;

24. 2.7. Fasilitas untuk melindungi perangkat pengolah informasi dari sambaran petir harus dipasang di semua unit kerja DJP;

25. 2.8. Semua perangkat pengolah informasi harus mendapatkan pasokan daya yang sesuai dengan spesifikasi yang disyaratkan oleh pabrikan perangkat. Untuk setiap lokasi kerja termasuk ruang server, Data Center, dan Disaster Recovery Center harus tersedia pasokan listrik yang cukup untuk beban maksimal seluruh perangkat, termasuk perangkat pendukung yang ada di lokasi tersebut;

26. 2.9. Pasokan listrik yang digunakan untuk mengoperasikan perangkat pengolah informasi di DJP harus mempunyai sumber alternatif dengan daya dan jangka waktu ketersediaan atau jangka waktu pengoperasian yang cukup. Pasokan ini paling sedikit harus berupa perangkat generator listrik dan perangkat UPS (Uninterruptable Power Supply) dengan daya yang cukup dan dengan konfigurasi yang dapat memindahkan pasokan listrik tanpa gangguan terhadap perangkat komputer/server;

27. 2.10. Instalasi jaringan listrik harus disesuaikan dengan standar keselamatan yang ada;

28. 2.11. Harus tersedia koneksi ke penyedia layanan telekomunikasi alternatif dengan jalur kabel data yang berbeda;

29. 2.12. Konfigurasi jaringan kabel data dan daya harus terekam dalam dokumen resmi yang dimutakhirkan untuk setiap perubahan;

30. 2.13. Jaringan kabel data harus dipisahkan dari jaringan kabel listrik dengan jarak yang cukup untuk menghindari dampak radiasi (elektromagnet), dan dengan pencantuman label yang sesuai;

31. 2.14. Jaringan kabel data atau koneksi yang menghubungkan perangkat komputer/server yang penting harus diamankan melalui:

32. 2.14.1. Konstruksi jalur kabel data yang dapat melindungi kabel dari dampak lingkungan atau pihak yang tidak berwenang;

33. 2.14.2. Spesifikasi kabel data yang sesuai dengan ancaman lingkungan (air, suhu/panas, kotoran, atau radiasi);

34. 2.14.3. Proses inspeksi dan perawatan rutin; dan

35. 2.14.4. Penempatan yang terlindung dari ancaman sekitar (jalur lintas kendaraan, peralatan berat, atau pekerjaan konstruksi);

36. 2.15. Seluruh perangkat pengolah informasi penting dan peralatan pendukung harus diperiksa dan diujicoba efektivitasnya secara teratur/berkala, dirawat, dan dibersihkan sesuai dengan spesifikasi pabrikannya;

37. 2.16. Perawatan dan perbaikan perangkat pengolah informasi hanya dapat dilakukan oleh pegawai yang berwenang dan mempunyai kompetensi teknis yang sesuai.

38. 3. Pedoman Pengamanan Perangkat dan Fasilitas Pengolahan Data dan Informasi akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal sebagai berikut:

39. 3.1. Pengamanan perangkat komputer umum;

40. 3.2. Pengaman lingkungan Data Center;

41. 3.3. Konstruksi fisik Data Center;

42. 3.4. Fasilitas pendukung Data Center;

43. 3.5. Akses ke dalam Data Center;

44. 3.6. Pengamanan di dalam Data Center;

45. 3.7. Pengamanan koneksi perangkat ke Data Center;

46. 3.8. Pedoman Pengelolaan Removable Media;

47. 3.9. Pengendalian operasional dan layanan.

1. TUJUAN

Kebijakan Pengelolaan Komunikasi dan Operasional ini bertujuan untuk memberi acuan dalam:

1. 1. Memastikan operasional dari fasilitas pengolah informasi yang tepat dan aman.
2. 2. Melindungi integritas dari perangkat lunak dan informasi.
3. 3. Memelihara integritas dan ketersediaan dari informasi dan fasilitas pengolah informasi.
4. 4. Memastikan perlindungan informasi yang melalui jaringan beserta infrastruktur pendukungnya.
5. 5. Mencegah tindakan pengungkapan, perubahan, pemindahan atau penghancuran aset informasi yang tidak terotorisasi, dan gangguan pada aktivitas/pekerjaan DJP.
6. 6. Memelihara keamanan dari informasi dan perangkat lunak yang dipertukarkan baik diinternal DJP maupun dengan pihak luar.
7. 7. Mendeteksi aktivitas pengolahan/penggunaan informasi yang tidak terotorisasi.

2. RUANG LINGKUP

Kebijakan Pengelolaan Komunikasi dan Operasional ini mencakup hal-hal sebagai berikut:

2. 1. Kelancaran operasional dalam pengelolaan keamanan informasi;
3. 2. Kontrol-kontrol untuk mendeteksi dan mencegah masuknya perangkat lunak yang membahayakan ke dalam jaringan komputer DJP;
4. 3. Backup dan Restore;
5. 4. Perlindungan keamanan jaringan;
6. 5. Penanganan media penyimpanan informasi;
7. 6. Pengamanan pertukaran informasi;
8. 7. Pemantauan pelaksanaan pengelolaan keamanan informasi;
9. 8. Pedoman Backup dan Restore Sistem/Data/Informasi;
10. 9. Pedoman Enkripsi dan Key Management;
11. 10. Pedoman Penggunaan User Account/Password dan Pengamanan Log-on ke dalam Fasilitas Teknologi Informasi, Penggunaan Fasilitas e-Mail, serta Penggunaan Akses Internet dan Intranet.

3. KEBIJAKAN

3. 1. Untuk menjamin kelancaran operasional dalam hal pengelolaan keamanan informasi, maka kebijakan yang diterapkan adalah sebagai berikut:

4. 1.1. Seluruh prosedur operasional yang terkait dengan penggunaan perangkat pengolah informasi dan komunikasi didokumentasikan, dirawat, dan dapat diperoleh dengan mudah oleh pegawai yang membutuhkannya. Prosedur operasional harus berisi antara lain:

5. 1.1.1. Tata cara pengolahan dan penanganan informasi;

6. 1.1.2. Tata cara penanganan kesalahan-kesalahan atau kondisi khusus yang terjadi, dilengkapi dengan pihak yang harus dihubungi apabila mengalami kesulitan teknis;

7. 1.1.3. Standar baseline security configuration yang ditetapkan oleh Petugas Keamanan Informasi, khususnya untuk aset rahasia dan sangat rahasia;

8. 1.1.4. Cara memfungsikan kembali perangkat dan cara mengembalikan perangkat ke keadaan awal pada saat terjadi kegagalan sistem; dan

9. 1.1.5. Tata cara backup serta pengelolaan catatan penggunaan (audit trail) dan catatan kejadian/kegiatan sistem (system log);

10. 1.2. Perubahan terhadap perangkat lunak maupun fasilitas pengolah dan pengelola informasi harus dikontrol dan mengacu kepada Kebijakan Pengelolaan Layanan TIK;

11. 1.3. Harus dilakukan pemisahan tugas pegawai pada proses-proses yang berbasis komputer yang melibatkan informasi rahasia atau sangat rahasia, berharga, dan rawan, agar tidak ada pegawai yang memiliki kontrol menyeluruh terhadap semua aset informasi;

12. 1.4. Untuk mengurangi peluang modifikasi aset informasi oleh pihak yang tidak berwenang atau peluang terjadinya kesalahan dalam penggunaan sistem informasi, harus dijamin adanya pemisahan antara fasilitas pengembangan, pengujian, dan operasional;

13. 1.5. Untuk menghindari penyalahgunaan akses atau terjadinya perubahan sistem yang tidak dikehendaki, pengembangan dan pengujian perangkat lunak harus dilakukan pada perangkat yang berbeda dari yang digunakan untuk operasional;

14. 1.6. Alat bantu pengembangan seperti compiler atau editor dan alat bantu sistem (system utilities) tidak boleh diakses dari sistem operasional kecuali apabila diperlukan;

15. 1.7. Jika pengelolaan atas fasilitas pengolah informasi diserahkan kepada mitra kerja/pihak ketiga, maka Ketua Tim Keamanan Informasi DJP harus memastikan dilakukannya evaluasi terhadap risiko dan ditetapkannya kontrol-kontrol untuk mengurangi setiap potensi kerusakan atau kehilangan data. Kontrol-kontrol ini harus disertakan dalam kontrak kerja yang dibuat dengan mitra kerja/pihak ketiga tersebut.

3.2. Kontrol-kontrol yang diterapkan untuk mendeteksi dan mencegah masuknya perangkat lunak yang membahayakan ke dalam jaringan komputer DJP meliputi:

3.2.1. Penggunaan perangkat lunak berlisensi;

3. 2.2. Pemasangan perangkat lunak anti-virus; dan

4. 2.3. Kewajiban pengguna (user) untuk memeriksa lampiran (attachment) surat elektronik (e-mail) dan arsip (file) yang diambil dari Internet dari kandungan virus/trojan/malware sebelum digunakan.

5. 3. Untuk menjamin keamanan informasi dalam hal backup dan restore, maka kebijakan yang diterapkan adalah sebagai berikut:

6. 3.1. Seluruh informasi penting dan rawan yang dikelola DJP harus di-backup secara berkala untuk menjamin keutuhan dan ketersediaannya pada saat diperlukan;

7. 3.2. Informasi yang rahasia dan sangat rahasia harus disimpan di server dengan akses terbatas. Hal ini ditujukan untuk memelihara kerahasiaan, ketersediaan, dan keutuhan informasi, serta untuk mengurangi dampak kelemahan terhadap keamanan fisik;

8. 3.3. Penyimpanan informasi rahasia dan sangat rahasia di komputer atau tempat penyimpanan data lokal (local storage) harus disetujui oleh pejabat yang berwenang;

9. 3.4. Data yang disimpan di server harus di-backup sesuai dengan prosedur backup, dan seluruh backup harus disimpan secara aman;

10. 3.5. Masa retensi penyimpanan media backup dan jenis backup terhadap data maupun sistem tertentu akan ditentukan kemudian oleh Tim Keamanan Informasi sesuai dengan jenis data/-sistem yang di-backup; dan

11. 3.6. Apabila terdapat kegagalan sistem yang membutuhkan proses restore, maka harus dipastikan bahwa baseline yang dipakai tersedia dalam media backup.

12. 4. Dalam rangka melindungi keamanan jaringan, kebijakan yang diterapkan adalah sebagai berikut:

13. 4.1. Jaringan harus dilindungi dari akses oleh pihak yang tidak berwenang dengan menerapkan kontrol-kontrol yang tepat, yang meliputi antara lain:

14. 4.1.1. Penetapan penanggung jawab pengelolaan jaringan yang dipisahkan dari penanggung jawab pengelolaan fasilitas pengolahan informasi;

15. 4.1.2. Penerapan kontrol khusus untuk melindungi keutuhan informasi yang melewati jaringan umum seperti Internet misalnya dengan menerapkan enkripsi dan tanda tangan elektronik (digital signature);

16. 4.1.3. Arsitektur jaringan harus didokumentasikan secara jelas dan terinci, termasuk pengaturan (setting) yang direncanakan bagi seluruh komponen perangkat keras dan perangkat lunak jaringan;

17. 4.2. Kegiatan jaringan akan dipantau untuk menjamin bahwa sumber daya jaringan digunakan secara efektif dan efisien dan agar tidak terjadi kesalahan dalam pemrosesan jaringan;

18. 4.3. Penyambungan atau perluasan jaringan komputer dan akses ke sistem jaringan internal atau eksternal ditentukan berdasarkan kebutuhan kegiatan DJP dan dikendalikan serta diatur oleh unit kerja TIK DJP;

19. 4.4. Wewenang pengguna untuk memasuki jaringan komputer harus dibatasi sesuai dengan layanan yang secara resmi telah ditetapkan;

20. 4.5. Setiap sistem yang mengandung aplikasi penting yang dikelola DJP atau yang memberi akses ke informasi yang rahasia dan sangat rahasia harus dipasangi perangkat firewall untuk melindungi aplikasi dan informasi tersebut dari akses oleh pihak yang tidak berwenang;

21. 4.6. Akses ke internet diijinkan dalam rangka mendukung pelaksanaan kegiatan DJP, serta untuk meningkatkan kompetensi dan pengetahuan pegawai DJP;

22. 4.7. Akses ke internet harus menggunakan perangkat lunak yang aman dan melalui gateway internet yang telah ditetapkan.

23. 5. Untuk menjamin keamanan informasi dalam penanganan media penyimpanan informasi, maka kebijakan yang diterapkan adalah sebagai berikut:

24. 5.1. Informasi yang terkandung dalam media penyimpan informasi yang dapat dipakai ulang dan digunakan sebagai media transit seperti disket dan USB flash disk harus dihapus jika tidak diperlukan lagi, namun hanya dilakukan jika salinan asli informasi tersebut masih tersedia;

25. 5.2. Pegawai yang diminta untuk menghapus dan memindahkan informasi melalui media apapun harus sadar/peduli terhadap Kebijakan Pengelolaan Keamanan Informasi DJP dan memahami prosedur-prosedur yang harus dijalankan;

26. 5.3. Seluruh media penyimpan informasi mudah jinjing (removable) harus difformat ulang atau dihapus isinya sebelum dibuang. Namun apabila hal itu tidak dapat dilakukan, media tersebut harus dihancurkan;

27. 5.4. Media kertas termasuk carbon copies dan cetakan printer yang mengandung informasi rahasia dan sangat rahasia yang tidak diperlukan lagi harus dihancurkan dengan menggunakan alat penghancur kertas atau dibakar;

28. 5.5. Media lain seperti disket, tape, CD, DVD, USB flash disk, dan lain-lain, yang tidak diperlukan lagi harus dirusak secara fisik sehingga isinya tidak dapat diakses lagi oleh pihak yang tidak berwenang;

29. 5.6. Dokumentasi sistem, baik yang tercetak ataupun yang berupa dokumen elektronik digolongkan sebagai dokumen rahasia dan harus disimpan secara aman serta hanya disediakan bagi mereka yang memerlukannya.

30. 6. Untuk mengamankan informasi dalam pertukaran informasi, kebijakan yang diterapkan adalah sebagai berikut:

31. 6.1. Pertukaran informasi dan perangkat lunak antara DJP dengan pihak ketiga hanya akan dilakukan atas persetujuan tertulis kedua belah pihak. Khusus untuk pertukaran informasi digital, hal ini hanya dapat dilakukan dengan persetujuan Direktur TIP;

32. 6.2. Pemilik aset informasi harus menjamin bahwa pertukaran informasi penting dan rawan hanya dilakukan setelah melalui suatu pengkajian risiko yang memadai dan setelah dilakukan penetapan ketentuan-ketentuan keamanan informasi dalam perjanjian pertukaran informasi antara pihak yang terkait;

33. 6.3. Pegawai DJP harus menghindari pembicaraan menyangkut informasi penting DJP apabila sedang berada atau menelepon di tempat umum;

34. 6.4. Aset informasi yang dikirim dengan menggunakan jasa layanan kurir atau pos rawan diakses oleh pihak yang tidak berwenang selama pengiriman. Oleh karena itu, harus dikelola dengan cara sebagai berikut:

35. 6.4.1. Mencatat secara lengkap dan jelas identitas kurir yang digunakan; dan

36. 6.4.2. Mengemas aset informasi dalam kemasan yang baik dan kuat yang mampu melindungi kandungannya dari kerusakan fisik selama pengiriman. Bagi dokumen naskah dinas, tata cara penanganannya mengacu kepada peraturan tata naskah dinas yang berlaku.

37. 6.5. Informasi internal DJP yang disediakan bagi masyarakat umum harus disetujui oleh Pemilik Aset Informasi dan harus dilindungi keutuhannya dari modifikasi oleh pihak yang tidak berwenang.

38. 7. Untuk memantau pelaksanaan pengelolaan keamanan informasi, kebijakan yang diterapkan adalah sebagai berikut:

39. 7.1. Gangguan keamanan informasi yang ditemukan selama pemantauan harus segera dicatat dan dilaporkan kepada Pejabat Keamanan Informasi terkait;

40. 7.2. Pejabat Keamanan Informasi harus melakukan evaluasi mendalam terhadap laporan-laporan hasil pemantauan khususnya pada penggunaan yang tidak wajar dari aset-aset informasi yang mungkin merupakan penyalahgunaan aset tersebut;

41. 7.3. Catatan atau log dari sistem informasi tertentu yang bersifat kritikal diaktifkan dan disimpan dengan retensi yang sesuai untuk keperluan penantauan keamanan sistem dengan memperhatikan tingkat ketersediaan media penyimpanan dan kinerja sistem;

42. 7.4. Penggunaan sistem informasi yang telah berjalan harus dipantau, dan laporannya digunakan sebagai bahan proyeksi kebutuhan tahun yang akan datang untuk menjamin ketersediaan sistem informasi yang diperlukan; dan

43. 7.5. Penggunaan sumber daya sistem informasi utama seperti file server, e-mail server, dan sistem lainnya yang kritikal bagi kegiatan DJP harus dipantau agar kapasitas tambahan dapat disediakan apabila diperlukan.

44. 8. Pedoman Backup dan Restore Sistem/Data/Informasi akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur pelaksanaan backup dan restore guna memelihara keutuhan dan ketersediaan informasi serta fasilitas pengolah informasi milik DJP yang meliputi seluruh aset informasi yang dikelola oleh DJP;
45. 9. Pedoman Enkripsi dan Key Management akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur pengembangan dan penerapan enkripsi untuk melindungi informasi serta penerapan Key Management untuk mendukung penggunaan teknik-teknik enkripsi di DJP.
46. 10. Pedoman Penggunaan User Account/Password dan Pengamanan Log-on ke dalam Fasilitas Teknologi Informasi, Penggunaan Fasilitas e-Mail, serta Penggunaan Akses Internet dan Intranet akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain terkait aturan penggunaan akses Internet akan mengatur hal-hal sebagai berikut:

47. 10.1. Ketentuan dan wewenang dalam pengelolaan akses Internet;

48. 10.2. Kewajiban dan larangan yang harus dipatuhi oleh pengguna Internet di DJP;

49. 10.3. Ketentuan dan wewenang dalam pengelolaan fasilitas e-mail DJP; dan

50. 10.4. Kewajiban dan larangan yang harus dipatuhi dalam penggunaan fasilitas e-mail DJP.

1. TUJUAN

Kebijakan Pengendalian Akses Terhadap Aset Informasi ini bertujuan untuk memberi acuan dalam:

1. 1. Mengatur pengelolaan akses dan kewajiban pengguna terhadap aset informasi DJP;
2. 2. Memastikan keabsahan akses pengguna dan mencegah akses pengguna yang tidak berwenang terhadap fasilitas dan aset informasi DJP.
3. 3. Melindungi aset informasi DJP dari serangan virus maupun malware.

2. RUANG LINGKUP

Kebijakan Pengendalian Akses Terhadap Aset Informasi ini mencakup hal-hal sebagai berikut:

2. 1. Pengelolaan akses pengguna ke aset informasi;
3. 2. Keamanan akses ke jaringan dan sistem informasi DJP;
4. 3. Keamanan akses ke aplikasi dan informasi DJP;
5. 4. Pencegahan serangan virus di jaringan dan sistem pengolah informasi DJP;
6. 5. Mobile Computing dan Teleworking;
7. 6. Pedoman Penggunaan User Account/Password dan Pengamanan Log-on ke dalam Fasilitas Teknologi Informasi, Penggunaan Fasilitas e-Mail, serta Penggunaan Akses Internet dan Intranet;
8. 7. Pedoman Teleworking;
9. 8. Pedoman Pencegahan Malware.

3. KEBIJAKAN

3. 1. Kebijakan yang berlaku dalam pengelolaan akses pengguna ke aset informasi secara umum adalah sebagai berikut:

4. 1.1. Hak penggunaan/akses terhadap aset-aset informasi hanya diberikan sesuai dengan kebutuhan tugas dan fungsi pegawai dan diberikan berdasarkan prinsip minimum/seperlunya yaitu cukup untuk memenuhi kebutuhan pegawai dalam menjalankan tugasnya;

5. 1.2. Setiap permintaan hak penggunaan/akses oleh pegawai DJP harus disetujui oleh atasan pegawai yang bersangkutan minimal setingkat Eselon III;

6. 1.3. Hak akses khusus, yakni hak untuk menggunakan akses ke dalam sistem informasi yang mengolah data/informasi yang bersifat rahasia dan sangat rahasia termasuk didalamnya namun tidak terbatas pada sistem operasi, storage devices, file server, dan aplikasi-aplikasi, hanya dapat diberikan kepada pengguna yang terlatih;

7. 1.4. Hak akses khusus sebagaimana dimaksud pada angka 3.1.3. hanya dapat digunakan untuk melakukan pekerjaan yang hanya dapat dilaksanakan melalui account akses khusus;

8. 1.5. Pemberian hak akses khusus sebagaimana dimaksud pada angka 3.1.3. harus disetujui oleh Direktur TIP;

9. 1.6. Pemakaian hak penggunaan akan dipantau dan dievaluasi secara berkala untuk menjamin kesesuaian pemakaiannya; dan

10. 1.7. Hasil evaluasi akan dibahas dan dianalisis oleh Tim Keamanan Informasi DJP dan ditindaklanjuti oleh pihak-pihak yang terkait.

11. 2. Pengguna aset informasi memiliki kewajiban untuk melindungi informasi rahasia dan sangat rahasia dari jangkauan pihak yang tidak berwenang, tidak meletakkan dokumen rahasia di atas meja kerja secara sembarangan, dan harus menyimpan dokumen tersebut di lemari yang dikunci apabila tidak digunakan.
12. 3. Untuk menjamin keamanan akses ke jaringan dan sistem informasi DJP, maka diterapkan kebijakan sebagai berikut:

13. 3.1. Akses ke jaringan milik DJP hanya boleh diberikan kepada pengguna yang berwenang;

14. 3.2. Untuk menghindari akses oleh pihak yang tidak berwenang, pemberian akses dilakukan melalui proses log-on yang aman. Pada saat log-on sistem tidak mengungkapkan informasi apapun yang dapat dimanfaatkan oleh pihak yang tidak berwenang untuk mendapatkan akses ke jaringan;

15. 3.3. Interaksi antara pengguna dengan sistem operasi perangkat pengolah informasi hanya diperkenankan sebatas fungsi-fungsi dan aplikasi-aplikasi sistem yang diperlukan untuk melaksanakan pekerjaan. Proses otorisasi/pemberian ijin akses terhadap sistem operasi harus didefinisikan secara tepat dan jelas;

16. 3.4. Penggunaan alat bantu sistem (system utilities) harus dibatasi dan hanya diberikan kepada pengguna yang tugasnya memerlukan fasilitas system utilities tersebut;

17. 3.5. Pemberian dan pembatasan ijin akses sebagaimana dimaksud pada angka 3.3.1. sampai dengan 3.3.4. diatur lebih lanjut oleh Direktur TIP.

18. 4. Untuk menjamin keamanan akses ke aplikasi dan informasi DJP, maka diterapkan kebijakan sebagai berikut:

19. 4.1. Komputer yang menyimpan informasi penting dan rawan yang dikelola DJP harus ditempatkan di lokasi yang terpisah dari area publik untuk mencegah akses pihak yang tidak berwenang; dan

20. 4.2. Pemantauan keamanan atas penggunaan akses ke aplikasi dan informasi DJP dilakukan oleh pengguna sebagai pemilik akses, administrator sistem, dan Petugas Keamanan Informasi terkait.

21. 5. Untuk mencegah serangan virus dan malware di jaringan dan sistem pengolah informasi DJP, maka diterapkan kebijakan sebagai berikut:

22. 5.1. Perangkat lunak antivirus dan malware harus dipasang di setiap komputer pengguna untuk menghalangi masuknya virus ke dalam komputer;

23. 5.2. Pengguna harus memberitahu Service Desk TIK apabila mendeteksi adanya virus atau malware, terjadi perubahan konfigurasi secara tibatiba, atau adanya perilaku aplikasi dan/atau komputer yang menyimpang; dan

24. 5.3. Kemampuan pengguna dalam pencegahan dan penghapusan virus akan ditingkatkan melalui pelatihan, sosialisasi, dan tindakan-tindakan praktis untuk mencegah atau menghilangkan virus.

25. 6. Dalam penyelenggaraan mobile computing dan teleworking, diterapkan kebijakan sebagai berikut:

26. 6.1. Fasilitas mobile computing yang disediakan oleh DJP hanya dapat dipergunakan untuk melaksanakan tugas dan fungsi DJP dan harus mendapat persetujuan dari Pejabat Keamanan Informasi terkait;

27. 6.2. Pegawai yang menerima fasilitas mobile computing DJP harus menjamin bahwa akses ke perangkat tersebut terlindung dari akses oleh pihak yang tidak berwenang;

28. 6.3. Pejabat Keamanan Informasi memastikan bahwa pegawai yang menggunakan fasilitas mobile computing mendapatkan pelatihan yang memadai, dan pegawai yang bersangkutan harus sadar akan risiko-risiko keamanan yang terus meningkat terhadap informasi yang disimpan dalam peralatan-peralatan yang digunakan;

29. 6.4. Ijin kegiatan teleworking hanya akan diberikan kepada pegawai apabila memenuhi syarat-syarat sebagai berikut:

30. 6.4.1. Lokasinya memenuhi persyaratan keamanan informasi;

31. 6.4.2. Pegawai yang bersangkutan mematuhi kebijakan keamanan informasi; dan

32. 6.4.3. Mendapatkan persetujuan dari atasan langsung pegawai yang bersangkutan dan Pejabat Keamanan Informasi terkait;

33. 6.5. Pegawai yang diijinkan untuk melakukan kegiatan teleworking harus menandatangani surat perjanjian yang berisi janji pegawai untuk mencegah akses tidak berwenang oleh keluarga, teman, tamu, atau pihak yang tidak berwenang lainnya ke perangkat yang digunakan.

34. 7. Pedoman Penggunaan User Account/Password dan Pengamanan Log-on ke dalam Fasilitas Teknologi Informasi, Penggunaan Fasilitas e-Mail, serta Penggunaan Akses Internet dan Intranet akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain terkait aturan penggunaan hak akses dan password akan mengatur hal-hal sebagai berikut:

35. 7.1. Klasifikasi user account;

36. 7.2. Ketentuan pembuatan user account dan password;

37. 7.3. Kewajiban dan larangan yang harus dipatuhi oleh seluruh pengguna TIK di DJP.

38. 7.4. Pengamanan tata-cara Log-on;

39. 7.5. Pencegahan penyalahgunaan fasilitas;

40. 7.6. Pembatasan sesi penggunaan sumber daya komputer.

Pedoman Teleworking akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur pengamanan proses kerja pengolahan informasi Direktorat Jenderal Pajak (DJP) yang melibatkan lokasi kerja di luar lokasi resmi DJP, dan ketersambungan suatu perangkat komputer ke jaringan milik DJP dari jarak jauh.

3. 9. Pedoman Pencegahan Malware akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal yang harus dilakukan guna mencegah masuknya malware/perangkat lunak berbahaya ke dalam aset informasi milik DJP.

1. TUJUAN

Kebijakan Keamanan Informasi dalam Pengembangan dan Pemeliharaan Sistem Informasi ini bertujuan untuk memberikan acuan dalam memastikan keamanan informasi dalam pengolahan data dalam perangkat lunak atau aplikasi dan menjamin keamanan informasi dan integritas data dalam pengelolaan end-user computing.

2. RUANG LINGKUP

Kebijakan Keamanan Informasi dalam Pengembangan dan Pemeliharaan Sistem Informasi ini mencakup hal-hal sebagai berikut:

2. 1. Ketentuan mengenai pengolahan data dalam perangkat lunak/aplikasi;
3. 2. Penggunaan enkripsi;
4. 3. Pengamanan arsip (files) pendukung kinerja sistem;
5. 4. Pengelolaan end user computing;
6. 5. Proses pengembangan maupun operasional sistem informasi;
7. 6. Pedoman Enkripsi dan Key Management.

3. KEBIJAKAN

3. 1. Pengolahan data dalam perangkat lunak/aplikasi harus memenuhi ketentuan sebagai berikut:

4. 1.1. Data yang dimasukkan ke aplikasi apapun secara manual harus diperiksa terlebih dahulu kebenaran dan kesesuaiannya;

5. 1.2. Semua bentuk data input atau output yang dibutuhkan atau dihasilkan oleh suatu aplikasi harus diverifikasi terlebih dahulu untuk memastikan bahwa bentuk/format datanya sesuai dengan spesifikasi yang ditetapkan untuk kebutuhan aplikasi tersebut;

6. 1.3. Setiap aplikasi harus mempunyai fitur yang dapat mengidentifikasi dan memberitahukan adanya perubahan data yang disebabkan oleh adanya kesalahan pemrosesan data atau oleh adanya percobaan intrusi;

7. 1.4. Setiap aplikasi harus mempunyai fitur pengaman yang dapat melindungi otentikasi dan integritas data dalam pemrosesannya, termasuk dalam proses pertukaran data dengan aplikasi lain, di mana spesifikasinya telah disesuaikan dengan kebutuhan atau klasifikasi data yang terkait;

8. 1.5. Pada setiap aplikasi harus disertakan proses validasi data untuk menjamin bahwa informasi yang dihasilkan sesuai dengan yang diharapkan penggunanya dan sesuai dengan klasifikasi penggunaannya;

9. 1.6. Apabila aplikasi gagal memberikan hasil yang diharapkan, sistem harus dapat memunculkan pemberitahuan pesan atau petunjuk kegagalannya.

10. 2. Kebijakan yang berlaku dalam penggunaan enkripsi adalah sebagai berikut:

11. 2.1. Data yang sensitif dan berisiko tinggi harus diamankan secara ketat, dan apabila perlu dilakukan perlindungan secara enkripsi bila ditransfer melalui e-mail atau jaringan;

12. 2.2. Kajian dan penyusunan standar yang tepat dalam penerapan enkripsi dilakukan sebelum penerapan penggunaan sistem untuk proses enkripsi;

13. 2.3. Sistem dan teknik enkripsi hanya digunakan untuk melindungi informasi yang berisiko tinggi, dan penggunaannya harus mendapat ijin dari Pejabat Keamanan Informasi Direktorat TIP.

14. 3. Untuk mendukung pengamanan arsip (files) pendukung kinerja sistem diterapkan kebijakan sebagai berikut:

15. 3.1. Akses terhadap arsip-arsip pendukung kinerja sistem (system files) dibatasi hanya untuk pegawai DJP yang bertanggung jawab dalam pengelolaan server;

16. 3.2. Proses pemutakhiran (update) perangkat lunak operasional hanya boleh dilakukan oleh pegawai yang berwenang melalui Pedoman Pengelolaan Perubahan yang akan diatur tersendiri dalam Kebijakan Pengelolaan Layanan TIK;

17. 3.3. Proses pemutakhiran sebagaimana dimaksud pada angka 3.3.2. tidak boleh dilakukan sebelum pengujian perangkat lunak yang bersangkutan dinyatakan selesai dan berhasil serta mendapat persetujuan dari penanggung jawab sistem tersebut melalui Pedoman Pengelolaan Release yang akan diatur tersendiri dalam Kebijakan Pengelolaan Layanan TIK;

18. 3.4. Catatan kejadian dan perlakuan terhadap sistem (audit log) selama proses pemutakhiran harus disimpan dan dirawat dengan baik;

19. 3.5. Salinan versi terkini dari perangkat lunak yang akan dimutakhirkan harus disimpan di tempat yang aman sebagai antisipasi terhadap keadaan yang tidak dikehendaki.

20. 4. Untuk menjamin keamanan informasi dan integritas data dalam hal pengelolaan end user computing, maka kebijakan yang diterapkan adalah sebagai berikut:

21. 4.1. Ketua Tim Keamanan Informasi DJP memastikan terdapat pembagian peran dan tanggung jawab dalam pengelolaan end user computing, dimana terdapat pemisahan fungsi yang menjalankan kegiatan analisis kebutuhan akan end user computing, approval pengembangan, pelaksanaan pengembangan, dan evaluasi atas end user computing;

22. 4.2. Pengguna tidak diperkenankan mengembangkan aplikasi yang digunakan untuk melakukan transaksi bisnis DJP, kecuali untuk mengembangkan aplikasi yang bertujuan untuk membantu analisis kegiatan operasional sehari-hari;

23. 4.3. Hal-hal yang berkaitan dengan pengembangan sistem informasi akan diatur tersendiri dalam Kebijakan Pengembangan Teknologi Informasi dan Komunikasi DJP.

Untuk menjamin keamanan informasi dalam proses pengembangan maupun operasional sistem informasi diterapkan kebijakan sebagai berikut:

3. 5.1. Lingkungan development/pengembangan dan operasional sistem informasi harus dipisahkan baik secara fisik, logic, maupun aksesnya;

4. 5.2. Spesifikasi perangkat lunak baik yang dikembangkan sendiri oleh internal DJP maupun oleh pihak ketiga harus didokumentasikan secara formal;

5. 5.3. Jika sistem operasi yang digunakan diubah, maka aplikasi yang berjalan di atasnya harus dievaluasi dan diuji kembali untuk menjamin keutuhan sistemnya tidak terganggu;

6. 5.4. Setiap paket perangkat lunak yang dikembangkan oleh pihak ketiga yang digunakan dalam sistem informasi milik DJP harus bebas dari mekanisme deaktivasi (pemberhentian atau penidakaktifan operasi/layanan) yang dapat dipicu oleh pihak ketiga tersebut tanpa sepengetahuan DJP;

7. 5.5. Kelemahan-kelemahan teknis sistem informasi yang digunakan harus segera diidentifikasi, dikaji risikonya, dan ditetapkan kontrol-kontrolnya untuk mencegah atau menutup kelemahan-kelemahan yang terjadi;

8. 5.6. Pengembangan perangkat lunak yang dilakukan oleh pihak ketiga harus diawasi dan dipantau untuk memastikan bahwa proses pengembangannya memenuhi syarat-syarat keamanan informasi yang ditetapkan dalam kontrak;

9. 5.7. Data yang digunakan dalam pengujian sistem (system-testing data) harus dilindungi dari kemungkinan rusak, hilang, atau perubahan yang dilakukan tanpa ijin;

10. 5.8. Akses terhadap program source library harus dikendalikan secara ketat untuk mengurangi kemungkinan rusak, baik secara sengaja maupun tidak.

11. 6. Pedoman Enkripsi dan Key Management akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur pengembangan dan penerapan enkripsi untuk melindungi informasi serta penerapan Key Management untuk mendukung penggunaan teknik-teknik enkripsi di DJP.

1. TUJUAN

Kebijakan Pengelolaan Gangguan Keamanan Informasi ini bertujuan untuk memberikan acuan dalam mengelola penanganan terhadap gangguan keamanan informasi yang terjadi di lingkungan DJP dan memastikan pengambilan tindakan perbaikan secara cepat dan tepat terhadap peristiwa dan kelemahan keamanan infomasi yang berkaitan dengan sistem informasi melalui proses komunikasi efektif antar pihak-pihak yang bertanggung jawab.

2. RUANG LINGKUP

Kebijakan Pengelolaan Gangguan Keamanan Informasi ini mencakup hal-hal sebagai berikut:

2. 1. Pelaporan kelemahan atau gangguan/insiden keamanan informasi;
3. 2. Evaluasi gangguan/insiden keamanan informasi;
4. 3. Pencatatan dan pengamanan data dan rekaman pelaporan gangguan/insiden keamanan informasi;
5. 4. Pedoman Pengelolaan Gangguan Keamanan Informasi.

3. KEBIJAKAN

3. 1. Seluruh pegawai dan pihak ketiga harus melaporkan sesegera mungkin ke Service Desk TIK baik secara langsung maupun melalui Operator Console atau pegawai yang ditunjuk apabila menemukan kelemahan atau menjumpai terjadinya gangguan/insiden keamanan informasi.
4. 2. Tim keamanan informasi bertanggung jawab untuk mengevaluasi gangguan/insiden keamanan informasi secara berkala untuk menjamin adanya pengelolaan keamanan informasi yang efektif, memeriksa tindakan-tindakan pencegahan yang telah dilakukan, dan merencanakan cara deteksi awal terhadap terjadinya insiden keamanan informasi.
5. 3. Kepedulian pengguna (user) terhadap kelemahan keamanan informasi akan ditingkatkan melalui kegiatan sosialisasi dan pelatihan.
6. 4. Unit kerja TIK bertanggung jawab untuk menyediakan perangkat kerja dalam menindaklanjuti dan menyelesaikan setiap pelaporan insiden keamanan informasi secara cepat dan efektif.
7. 5. Seluruh gangguan/insiden keamanan informasi yang terjadi dan tindakan untuk mengatasi gangguan/insiden tersebut akan dicatat dalam suatu basis data pelaporan insiden keamanan informasi, dan akan menjadi masukan dalam evaluasi pengelolaan keamanan informasi.
8. 6. Unit kerja TIK bertanggung jawab untuk mengevaluasi laporan dan penyelesaian insiden keamanan informasi untuk mengidentifikasi jenis dan volume insiden yang terkait dalam rangka pengawasan dan evaluasi kinerja Tim Keamanan Informasi.
9. 7. Semua data dan rekaman yang dibutuhkan untuk menganalisis dan menyelesaikan insiden keamanan informasi harus diamankan. Untuk insiden yang terkait dengan tindakan perdata atau pidana, pengamanan data dan rekaman harus mengikuti peraturan dan hukum yang berlaku.
10. 8. Mekanisme penanganan gangguan/insiden keamanan informasi merupakan bagian dari penanganan gangguan layanan TIK yang akan diatur tersendiri dalam Kebijakan Pengelolaan Layanan Teknologi Informasi dan Komunikasi DJP.
11. 9. Pedoman Pengelolaan Gangguan Keamanan Informasi akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal sebagai berikut:

12. 9.1. Klasifikasi insiden;

13. 9.2. Pelaporan insiden;

14. 9.3. Pelaporan, pencatatan dan tindak lanjut insiden;

15. 9.4. Penyelesaian insiden berat;

16. 9.5. Kajian ulang insiden.

1. TUJUAN

Kebijakan Keamanan Informasi dalam Pengelolaan Kelangsungan Layanan TIK ini bertujuan untuk memberikan acuan dalam mengatasi gangguan terhadap kegiatan kerja, melindungi proses kerja yang vital dari dampak kegagalan sistem informasi atau bencana dan untuk memastikan proses kembali ke keadaan normal dalam waktu yang tidak terlalu lama.

2. RUANG LINGKUP

Kebijakan Keamanan Informasi dalam Pengelolaan Kelangsungan Layanan TIK ini mencakup hal-hal yang menjadi pertimbangan untuk dikembangkan didalam Kebijakan Pengelolaan Kelangsungan Layanan TIK.

3. KEBIJAKAN

3. 1. Pengelolaan Kelangsungan Layanan TIK bagi seluruh proses kegiatan vital yang terkait layanan berbasis TIK dalam rangka mengurangi dampak kegagalan sistem informasi atau bencana yang menyebabkan terganggunya kegiatan DJP akan mengacu kepada Kebijakan Pengelolaan Kelangsungan Layanan TIK.
4. 2. Pengelolaan keamanan informasi yang terkait dalam kelangsungan layanan TIK dilakukan dengan mempertimbangkan hal-hal sebagai berikut:

5. 2.1. Identifikasi aset-aset informasi yang vital dan sensitif, khususnya aset informasi dengan klasifikasi sangat rahasia dan rahasia;

6. 2.2. Identifikasi kejadian-kejadian yang menyebabkan gangguan tehadap proses kegiatan yang penting;

7. 2.3. Tindak lanjut terhadap hasil kajian risiko keamanan informasi; dan

8. 2.4. Pengelolaan ini merupakan bagian yang tidak terpisahkan dari Business Continuity Management DJP secara keseluruhan.

BAB XI

KEPATUHAN

1. TUJUAN

Kebijakan Kepatuhan ini bertujuan untuk memberikan acuan dalam mencegah pelanggaran terhadap segala undang-undang, ketentuan, dan peraturan mengenai keamanan informasi.

2. RUANG LINGKUP

Kebijakan Keamanan Informasi dalam Pengelolaan Kelangsungan Layanan TIK ini mencakup hal-hal sebagai berikut:

2. 1. Peningkatan kepatuhan terhadap kebijakan, pedoman, prosedur, dan standar keamanan informasi;
3. 2. Penggunaan lisensi dan kepemilikan hak cipta (HAKI);
4. 3. Pemeriksaan terhadap kepatuhan;
5. 4. Audit terhadap sistem informasi;
6. 5. Pedoman Audit Internal Tata Kelola TIK.

3. KEBIJAKAN

3. 1. Seluruh pengguna (user) sistem informasi milik DJP termasuk pihak ketiga harus mematuhi Kebijakan Pengelolaan Keamanan Informasi ini, menaati ketentuan hukum dan perundang-undangan yang terkait, serta mentaati perjanjian tentang lisensi, termasuk persyaratan-persyaratan kontrak yang telah disetujui.
4. 2. Kepatuhan terhadap kebijakan, pedoman, dan prosedur keamanan informasi di semua unit kerja DJP akan ditingkatkan dengan cara sebagai berikut:

5. 2.1. Mengomunikasikan kebijakan, pedoman, dan prosedur keamanan informasi kepada seluruh pegawai di setiap unit kerja;

6. 2.2. Meningkatkan pengetahuan dan keterampilan pegawai dalam hal pengelolaan keamanan informasi sesuai dengan bidang tugasnya; dan

7. 2.3. Memeriksa dan mengevaluasi tingkat kepatuhan pegawai terhadap pelaksanaan kebijakan ini secara berkala.

8. 3. Setiap ketidakpatuhan terhadap kebijakan, prosedur, dan standar keamanan informasi harus dicari penyebab utamanya dan ditindaklanjuti untuk mencegah terjadinya hal serupa di kemudian hari.
9. 4. Kebijakan dalam penggunaan lisensi dan kepemilikan hak cipta adalah sebagai berikut:

10. 4.1. Pemasangan perangkat lunak dalam sistem komputer milik DJP dilakukan dengan mematuhi ketentuan mengenai penggunaan lisensi secara tepat. Penggandaan perangkat lunak secara tidak sah tidak diijinkan, dan merupakan bentuk pelanggaran terhadap kebijakan DJP serta ketentuan hak cipta;

11. 4.2. Daftar lisensi perangkat lunak akan dipelihara dan diperbarui paling sedikit satu tahun sekali. Lisensi perangkat lunak yang disediakan oleh DJP tidak boleh digunakan atau dipasang di peralatan komputer selain milik DJP. Instalasi perangkat lunak harus dilakukan oleh pegawai yang ditunjuk oleh Direktur TIP;

12. 4.3. Pemeriksaan berkala terhadap lisensi perangkat lunak yang terpasang akan dilakukan untuk memastikan bahwa kebijakan ini telah diterapkan secara efektif; dan

13. 4.4. Setiap penemuan, kegiatan, atau gagasan-gagasan praktis yang diperoleh pegawai selama bekerja di DJP dan dihasilkan oleh sumber daya milik DJP adalah menjadi hak milik eksklusif DJP.

14. 5. Seluruh pegawai DJP dan pihak ketiga dilarang menggunakan perangkat lunak untuk menggandakan atau menggunakan lisensi secara tidak sah, untuk melacak dan menemukan password, untuk mengidentifikasi kelemahan keamanan informasi, atau untuk membuka enkripsi file dan/atau perangkat keras yang dapat dioperasikan untuk mengevaluasi atau menerobos keamanan sistem informasi, kecuali mendapat ijin dan diberi wewenang oleh Pejabat Keamanan Informasi terkait.
15. 6. Pemeriksaan kepatuhan secara teknis seperti tes penetrasi (penetration test), pemindaan jaringan (scanning), atau teknik pencarian kelemahan keamanan informasi lainnya akan dilakukan secara berkala oleh pegawai yang benar-benar ahli di bidangnya baik dari internal DJP maupun dengan menggunakan jasa ahli independen dari luar DJP.
16. 7. Rencana pemeriksaan terhadap kepatuhan secara teknis harus didokumentasikan, dikomunikasikan, dan disetujui oleh Ketua Tim Keamanan Informasi DJP.
17. 8. Untuk menguji dan mengukur tingkat kepatuhan penerapan Kebijakan Pengelolaan Keamanan Informasi ini dilakukan kegiatan audit terhadap sistem informasi dengan memperhatikan hal-hal sebagai berikut:

18. 8.1. Pelaksanaan audit sistem informasi dilakukan secara berkala, baik secara internal maupun dengan bantuan tenaga ahli yang berkompeten;

19. 8.2. Penggunaan alat bantu baik perangkat lunak maupun perangkat keras untuk mengetahui kelemahan keamanan informasi, untuk memindai (scanning) password, atau untuk melemahkan dan menerobos sistem keamanan informasi tidak diijinkan kecuali atas persetujuan tertulis dari Pejabat Keamanan Informasi Direktorat TIP dan Direktorat TTKI;

20. 8.3. Hak akses terhadap alat bantu audit hanya boleh diberikan kepada administrator sistem yang bertanggung jawab untuk melindungi kerahasiaan dan untuk mencegah penyalahgunaan alat bantu audit yang digunakan; dan

21. 9. Hasil audit maupun pemeriksaan kepatuhan atas penerapan kebijakan ini secara teknis harus dicatat dan dilaporkan kepada Ketua Tim Keamanan Informasi sebagai masukan bagi evaluasi pengelolaan keamanan informasi.
22. 10. Pedoman Audit Internal Tata Kelola TIK akan ditetapkan tersendiri dalam Surat Edaran Direktur Jenderal Pajak, yang antara lain akan mengatur hal-hal sebagai berikut:

23. 10.1. Rencana dan jadwal audit;

24. 10.2. Persiapan pelaksanaan audit;

25. 10.3. Pelaksanaan audit;

26. 10.4. Tindak lanjut atau penyelesaian tindakan koreksi;

27. 10.5. Rekaman Mutu.

1. TIM KEAMANAN INFORMASI

Dalam rangka memelihara dan mengontrol penerapan pengelolaan keamanan informasi di DJP, Direktur Jenderal Pajak membentuk Tim Keamanan Informasi yang terdiri dari Ketua, serta sejumlah Pejabat dan Petugas Keamanan Informasi. Adapun pemetaan peran dalam pengelolaan keamanan informasi adalah sebagai berikut:

1. 1. Direktur Jenderal Pajak berperan sebagai pengarah dalam pengamanan informasi di DJP;
2. 2. Ketua Tim Keamanan Informasi dijabat oleh Direktur Teknologi Informasi Perpajakan;
3. 3. Pejabat Keamanan Informasi adalah Pejabat Eselon III pada setiap unit Eselon II yang ditunjuk oleh Direktur Jenderal Pajak untuk mengoordinasikan dan mengarahkan kegiatan penerapan kebijakan dan prosedur pengelolaan keamanan informasi di lingkungan unit Eselon II terkait. Pejabat Eselon III yang ditunjuk hendaknya pejabat yang uraian jabatan atau tugas dan fungsinya paling erat dengan masalah pengelolaan keamanan informasi; dan
4. 4. Petugas Keamanan Informasi adalah Pejabat Eselon IV untuk setiap Direktorat, Kantor Wilayah, dan Pusat Pengolahan Data dan Dokumen Perpajakan yang ditunjuk oleh Direktur Jenderal Pajak untuk melaksanakan kegiatan penerapan kebijakan dan prosedur pengelolaan keamanan informasi di lingkungan tempat dia ditugaskan. Petugas Keamanan Informasi bekerja di bawah pengawasan dan pengarahan Pejabat Keamanan Informasi. Susunan Petugas Keamanan Informasi ditentukan berdasarkan kebutuhan beban kerja terkait ruang lingkup organisasi, lokasi geografis, dan ragam infrastruktur teknologi yang digunakan.

2. AUDITOR PENGELOLAAN KEAMANAN INFORMASI

Auditor Pengelolaan Keamanan Informasi adalah auditor eksternal atau pegawai DJP yang berasal dari Direktorat Kepatuhan Internal dan Transformasi Sumber Daya Aparatur, yang ditunjuk oleh Direktur Jenderal Pajak untuk melakukan audit terhadap pengelolaan keamanan informasi. Auditor Pengelolaan Keamanan Informasi bertanggung jawab pada Direktur Jenderal Pajak.

3. PEMILIK ASET INFORMASI

Pemilik Aset Informasi adalah pimpinan unit kerja DJP di mana data atau informasi perpajakan dibuat, atau pihak yang secara hukum ditunjuk sebagai penanggung jawab aset informasi atau proses kerja di DJP.

4. PENGGUNA ASET INFORMASI

Pengguna Aset Informasi adalah pegawai DJP atau pihak ketiga yang menggunakan fasilitas pengolahan informasi milik DJP.

5. TUGAS DAN TANGGUNG JAWAB

5. 1. Tim Keamanan Informasi secara umum mempunyai tanggung jawab sebagai berikut:

6. 1.1. Melakukan evaluasi pengelolaan keamanan informasi terhadap penerapan Kebijakan Pengelolaan Keamanan Informasi paling sedikit sekali dalam setahun;

7. 1.2. Mengkaji ulang Kebijakan Pengelolaan Keamanan Informasi dan mengusulkan perubahan atau peningkatan (improvement);

8. 1.3. Melakukan koordinasi penerapan Kebijakan Pengelolaan Keamanan Informasi di lingkungan DJP dan unit terkait ataupun yang bersifat antar-unit kerja di DJP;

9. 1.4. Menyelesaikan permasalahan pengaman informasi yang terjadi di unit-unit kerja DJP secara efektif, konsisten, dan menyeluruh;

10. 1.5. Melakukan evaluasi dampak gangguan keamanan informasi yang dilaporkan kepada Tim dan menindaklanjutinya dengan menganalisis, menyusun dan mengoordinasikan penerapan penyelesaiannya;

11. 1.6. Menetapkan target (objektif) keamanan informasi setiap tahunnya dan menyusun rencana kerja baik untuk masing-masing Direktorat, maupun yang bersifat lintas Direktorat;

12. 1.7. Mengukur efektivitas dan konsistensi penerapan Kebijakan Pengelolaan Keamanan Informasi di masing-masing unit kerja DJP dan mengukur kinerja keseluruhan;

13. 1.8. Melaporkan kinerja penerapan dan pengelolaan Kebijakan Pengelolaan Keamanan Informasi, khususnya pencapaian target kepada CIO DJP dan Tim Pengarah Tata Kelola TIK paling sedikit sekali dalam satu tahun.

14. 2. Adapun tugas dan tanggung jawab masing-masing elemen dalam pengelolaan keamanan informasi di DJP adalah sebagai berikut:

15. 2.1. Direktur Jenderal Pajak bertugas dan bertanggung jawab untuk:

16. 2.1.1. Menetapkan dan memberi arahan tentang kebijakan keamanan informasi;

17. 2.1.2. Menunjuk dan menugaskan penanggung jawab pengembangan dan penerapan kebijakan pengelolaan keamanan informasi;

18. 2.1.3. Memberikan dukungan manajemen yang diperlukan bagi penerapan kebijakan pengelolaan keamanan informasi secara efektif.

19. 2.2. Ketua Tim Keamanan Informasi mempunyai tugas dan tanggung jawab untuk:

20. 2.2.1. Memelihara dan mengontrol penerapan Kebijakan Pengelolaan Keamanan Informasi di seluruh area ruang lingkup;

21. 2.2.2. Menetapkan target atau objektif keamanan informasi setiap tahunnya dan menyusun rencana kerja pengelolaan keamanan informasi baik untuk masing-masing unit Eselon II maupun yang bersifat lintas unit;

22. 2.2.3. Memastikan bahwa Kebijakan Pengelolaan Keamanan Informasi memenuhi persyaratan standar ISO/IEC 27001:2005;

23. 2.2.4. Mengoordinasikan pelaksanaan kajian dan mengelola risiko risiko keamanan informasi terkait dengan sasaran indikator kinerja dan memelihara rencana kelangsungan layanan TIK setidaknya sekali dalam setahun;

24. 2.2.5. Mengukur efektivitas dan konsistensi penerapan kebijakan pengelolaan keamanan informasi di masing-masing unit kerja DJP dan mengukur kinerja secara keseluruhan;

25. 2.2.6. Melaporkan kinerja penerapan Kebijakan Pengelolaan Keamanan Informasi, khususnya pencapaian target kepada Tim Pengarah Tata Kelola TIK paling sedikit sekali dalam satu tahun.

26. 2.3. Pejabat Keamanan Informasi mempunyai tugas dan tanggung jawab untuk:

27. 2.3.1. Memastikan bahwa Kebijakan Pengelolaan Keamanan Informasi diterapkan secara efektif;

28. 2.3.2. Memastikan efektivitas dan pengembangan tindak lanjut hasil audit terhadap penerapan Kebijakan Pengelolaan Keamanan Informasi;

29. 2.3.3. Memastikan penyelesaian gangguan/insiden keamanan informasi dan mengambil peran utama untuk menyelesaikan gangguan/insiden yang terkait dengan pelanggaran hukum;

30. 2.3.4. Memastikan peningkatan kesadaran, kepedulian, dan kepatuhan seluruh pegawai terhadap Kebijakan Pengelolaan Keamanan Informasi;

31. 2.3.5. Memastikan tersedianya keahlian dan kompetensi pengamanan informasi bagi unit kerja yang menjadi tanggung jawabnya, dengan menyusun inisiatif pengembangan kemampuan pegawai dalam rangka pengelolaan keamanan informasi dan mengupayakan penyelenggaraan pendidikan dan pelatihan keamanan informasi bagi pegawai;

32. 2.3.6. Menyampaikan laporan kinerja penerapan Kebijakan Pengelolaan Keamanan Informasi sesuai ruang lingkup tanggung jawabnya kepada Ketua Tim Keamanan Informasi, yang akan digunakan sebagai dasar peningkatan keamanan informasi;

33. 2.3.7. Mewakili DJP dalam berkomunikasi dengan pihak eksternal untuk masalah-masalah yang terkait dengan keamanan informasi; dan

34. 2.3.8. Memastikan bahwa evaluasi (management review) terhadap Kebijakan Pengelolaan Keamanan Informasi dapat terlaksana secara efektif dan efisien.

35. 2.4. Petugas Keamanan Informasi mempunyai tugas dan tanggung jawab untuk:

36. 2.4.1. Melaksanakan pengamanan informasi baik secara langsung untuk menjamin terselenggaranya segregasi kewenangan, maupun secara tidak langsung, dengan memberikan panduan kepada pelaksana teknis (administrator atau pengelola sistem) di lingkup operasional;

37. 2.4.2. Mengawasi pelaksanaan Kebijakan Pengelolaan Keamanan Informasi di lingkungan unit kerja terkait, baik secara langsung melalui observasi, inspeksi atau tinjauan, maupun secara tidak langsung dengan menganalisis dan memeriksa data/rekaman kegiatan operasional yang terkait dengan aspek keamanan informasi;

38. 2.4.3. Menganalisis kondisi penerapan bentuk pengamanan informasi dan memberi masukan terkait peluang peningkatan (improvement) efektivitas pelaksanaan Kebijakan Pengelolaan Keamanan Informasi;

39. 2.4.4. Mendefinisikan kebutuhan pendidikan dan pelatihan untuk meningkatkan kompetensi dan keahlian di bidang keamanan informasi, baik untuk sesama Petugas Keamanan Informasi maupun untuk pelaksana teknis terkait (administrator dan pengelola sistem);

40. 2.4.5. Memastikan bahwa persyaratan-persyaratan keamanan informasi telah dimasukkan dalam setiap proses perencanaan dengan cara menganalisis kebutuhan pengamanan dan kriteria pemenuhannya;

41. 2.4.6. Memberikan panduan, arahan, dan bantuan dalam menyelesaikan masalah-masalah keamanan informasi;

42. 2.4.7. Mencatat dan menguraikan secara jelas gangguan-gangguan keamanan informasi yang diketahui atau dilaporkan kepadanya; dan

43. 2.4.8. Menanggapi laporan gangguan keamanan informasi yang masuk sesuai dengan kewenangannya dan menindaklanjuti laporan tersebut sesuai prosedur pelaporan gangguan keamanan informasi:

44. 2.4.8.1. Untuk yang dikategorikan sebagai gangguan/insiden normal, penyelesaian dan pembenahan dilakukan sesuai kerangka kerja Layanan TIK (Service Desk TIK). Petugas Keamanan Informasi memantau efektivitas dan konsistensi bentuk penyelesaian atau pembenahannya; dan

45. 2.4.8.2. Untuk yang ditetapkan sebagai insiden berat (terkait pelanggaran/ketidakpatuhan aspek kerahasiaan terhadap aset informasi dengan klasifikasi rahasia atau sangat rahasia), Petugas Keamanan Informasi mempunyai peran utama dalam memberikan arahan atau panduan dalam menyelesaian atau membenahi kondisi tersebut. Apabila kemudian ditemukan indikasi adanya tindakan pelanggaran hukum sebagai bagian dari gangguan/insiden tersebut, Petugas Keamanan Informasi bertanggung jawab untuk mengamankan bukti kejadian, menghentikan tindakan pelanggaran tersebut, melaporkan kepada Pejabat Keamanan Informasi terkait, dan melaksanakan tindakan penyelesaian atas perintah Pejabat Keamanan Informasi yang bersangkutan.

46. 3. Auditor Pengelolaan Keamanan Informasi mempunyai tugas dan tanggung jawab untuk melakukan audit secara berkala, paling sedikit sekali dalam setahun, untuk menjamin agar penerapan Kebijakan Pengelolaan Keamanan Informasi memenuhi persyaratan dan sesuai dengan kebijakan yang telah ditetapkan.
47. 4. Pemilik Aset Informasi mempunyai tugas dan tanggung jawab untuk:

48. 4.1. Menetapkan daftar dan klasifikasi aset informasi yang menjadi tanggung jawabnya serta ikut memutakhirkan daftar inventaris aset informasi tersebut;

49. 4.2. Mendefinisikan pihak yang berwenang untuk mengakses aset informasi miliknya, lengkap dengan cara dan waktu akses sesuai dengan klasifikasi asset informasinya; dan

50. 4.3. Menjaga keamanan aset informasi miliknya dan menjamin bahwa sistem pengamanan pada aset informasinya terawat dan berfungsi dengan baik.

5.5. Pengguna Aset Informasi (user)

5. 5.1. Mempunyai tugas dan tanggung jawab untuk menjaga kerahasiaan informasi yang dipercayakan kepadanya dan mematuhi kebijakan dan prosedur pengelolaan keamanan informasi yang berlaku di DJP.

6. 5.2. Selain dari peran yang telah disampaikan di atas, semua Pejabat Eselon II dari Pengguna Aset Informasi bertugas dan bertanggung jawab untuk:

7. 5.2.1. Memantau efektivitas penerapan Kebijakan Pengelolaan Keamanan Informasi di unit kerja yang menjadi tanggung jawabnya; dan

8. 5.2.2. Menjamin seluruh pegawai yang berada di lingkungannya segera melaporkan setiap pelanggaran Kebijakan Pengelolaan Keamanan Informasi atau setiap penyalahgunaan aset informasi.

1. Audit log atau audit trail adalah rangkaian kronologis dari catatan audit yang berisi bukti dan hasil eksekusi suatu proses bisnis atau fungsi sistem.

2. Aset Informasi adalah segala sesuatu yang mempunyai nilai bagi DJP.

3. Backup adalah proses membuat salinan arsip sistem/data/informasi yang berada dalam satu atau beberapa komputer, ke dalam suatu media eksternal seperti tape/CD/DVD/hard disk, sebagai cadangan dari arsip aslinya mana kala terjadi suatu kerusakan, kesalahan operasional atau sebab yang lain.

4. Baseline Security Configuration adalah konfigurasi suatu sistem yang disusun untuk memaksimalkan pengamanan melalui penentuan sejumlah parameter teknis yang ada, yang penerapannya harus dilakukan sebelum sistem tersebut digunakan secara operasional, di mana penetapannya dapat menggunakan referensi yang diterbitkan oleh pabrikan teknologi tersebut atau oleh organisasi yang secara khusus mengeluarkan standar untuk kepentingan publik.

5. Business Continuity Management adalah rangkaian tindakan untuk mengupayakan kelangsungan kegiatan organisasi dalam keadaan darurat.

6. Chief Information Officer (CIO) Direktorat Jenderal Pajak atau disebut CIO DJP adalah seorang Pejabat Eselon II unit kerja TIK yang ditunjuk oleh Direktur Jenderal Pajak untuk mengoordinasikan seluruh pelaksanaan kerangka kerja tata kelola TIK DJP.

7. Compiler adalah suatu program komputer yang mengubah source code yang ditulis dalam bahasa pemrograman menjadi bahasa mesin untuk menghasilkan sebuah program yang dapat dijalankan.

8. Console adalah suatu instrumen yang terdiri dari display dan alat input yang digunakan oleh operator untuk mengawasi dan mengontrol suatu sistem.

9. Data Center adalah adalah sarana fisik yang digunakan untuk menempatkan perangkat perangkat layanan TIK secara terpusat.

10. Database adalah sekumpulan data yang terorganisasi dan terstruktur, biasanya dalam bentuk digital. Database digital dikelola menggunakan sistem pengelolaan database yang memungkinkan dilakukannya pembuatan, pemeliharaan, dan pencarian data maupun akses lainnya.

11. Digital Signature adalah jenis tanda tangan elektronik yang menerapkan teknik kriptografi yang dapat ditempelkan pada pesan/data yang dikirim secara elektronik untuk menunjukkan identitas pengirim pesan dan menjamin bahwa yang mengirimkan pesan itu memang benar-benar orang yang seharusnya.

12. Disaster Recovery Center (DRC) adalah Data Center cadangan yang menyelenggarakan layanan TIK utama dan mengambil alih peran Data Center dalam jangka waktu tertentu pada saat Data Center terganggu.

13. Editor adalah program komputer yang dapat digunakan untuk mengubah file konfigurasi atau source code bahasa pemrograman.

14. End User Computing (EUC) adalah metode pengembangan sistem berbasis komputer yang dilakukan oleh pemakai sendiri (user).

15. Enkripsi adalah suatu proses untuk mengamankan informasi dengan cara mengubahnya menjadi tidak terbaca dengan menggunakan algoritma tertentu.

16. Evaluasi Risiko adalah proses yang membandingkan estimasi besaran suatu risiko dengan kriteria yang sudah terdefinisi untuk menetapkan tingkatan risiko.

17. Firewall adalah salah satu peralatan yang dipasang pada perangkat komputer yang bertujuan untuk mengisolasi / membatasi / melindungi data internal dari pengaksesan pihak luar (Internet), yang hanya membolehkan hubungan / koneksi khusus untuk dilewatkan.

18. Gateway adalah perangkat yang digunakan untuk menghubungkan satu jaringan komputer dengan satu atau lebih jaringan komputer yang menggunakan protokol komunikasi yang berbeda sehingga dapat saling bertukar informasi.

19. Hak akses adalah kewenangan terkait penggunaan suatu aset informasi yang jenis dan tingkatannya disesuaikan dengan kebutuhan kerja dan aspek risiko keamanan informasi. Hak ini, tergantung dari jenis asetnya, secara formal diberikan atau disahkan oleh Pemilik Aset Informasi atau atasan langsungnya.

20. Hardware adalah seluruh komponen fisik yang menyusun suatu sistem komputer.

21. Insiden Keamanan Informasi adalah kejadian yang tidak diinginkan dan yang melanggar kebijakan atau prosedur dalam pengelolaan keamanan informasi sehingga menimbulkan ancaman terhadap kondisi keamanan aset informasi atau mengakibatkan gangguan terhadap proses kerja organisasi.

22. Kajian Risiko adalah keseluruhan proses analisis dan Evaluasi Risiko.

23. Kebijakan Pengelolaan Keamanan Informasi adalah kerangka kerja manajemen pengamanan aset informasi yang menggunakan pendekatan berbasis risiko dalam menyusun, menerapkan, melaksanakan, mengawasi, mengkaji, memelihara, dan meningkatkan kinerja keamanan informasi.

24. Key management adalah suatu ketentuan dalam desain sistem kriptografi yang berhubungan dengan pembuatan, pertukaran, penyimpanan, pengamanan, penggunaan, dan penggantian key. Key management meliputi desain protokol kriptografi, key server, prosedur pengguna, dan protokol lainnya yang relevan.

25. Log-on adalah proses untuk mendapatkan hak akses menggunakan sumber daya sistem (komputer/jaringan/aplikasi) tujuan, dengan memasukkan identitas dari pengguna dan kata sandi (password).

26. Malware atau malicious software adalah perangkat lunak yang dibuat untuk memasuki atau merusak sebuah sistem komputer tanpa sepengetahuan dan/atau ijin pemilik sistem. Contoh: virus, trojan.

27. Mobile Computing adalah penggunaan perangkat komputasi jinjing (portabel) seperti notebook dan personal data assistant (PDA) untuk melakukan akses, pengolahan, dan penyimpanan data.

28. Modem adalah perangkat komunikasi yang dapat mengubah sinyal analog menjadi sinyal digital atau sebaliknya.

29. Non-Disclosure Agreement (NDA) adalah perjanjian di antara dua pihak atau lebih untuk tidak menyingkap kerahasiaan informasi tertentu kepada pihak-pihak yang tidak berhak.

30. Operator Console (OC) adalah pegawai DJP yang bertanggung jawab sebagai administrator aplikasi perpajakan di Kantor Pelayanan Pajak atau Kantor Wilayah di lingkungan DJP.

31. Pejabat Keamanan Informasi adalah pejabat setingkat Eselon III yang ditunjuk oleh Direktur Jenderal Pajak untuk mengoordinasikan dan mengarahkan kegiatan penerapan kebijakan dan prosedur keamanan informasi di lingkungan unit Eselon II di mana pejabat tersebut ditugaskan. Pejabat Keamanan Informasi berkoordinasi dengan pejabat sejenis di unit Eselon II lain baik secara langsung atau melalui jalur Tim Keamanan Informasi untuk menyelesaikan permasalahan keamanan informasi yang ada.

32. Pemilik Aset Informasi adalah pimpinan unit kerja DJP di mana data atau informasi perpajakan dibuat, atau pihak yang secara hukum ditunjuk sebagai penanggung jawab aset informasi atau proses kerja di DJP.

33. Pengguna Aset Informasi adalah pegawai DJP atau pihak ketiga yang menggunakan fasilitas pengolahan informasi milik DJP.

34. Petugas Keamanan Informasi adalah pejabat setingkat Eselon IV yang ditunjuk oleh Direktur Jenderal Pajak untuk melaksanakan kegiatan penerapan kebijakan dan prosedur keamanan informasi di unit Eselon II di mana pejabat tersebut ditugaskan dan bekerja di bawah pengawasan dan pengarahan Pejabat Keamanan Informasi.

35. Pihak ketiga adalah pihak penyedia barang/jasa yang menjadi mitra DJP, kementerian/instansi lain terkait, dan pihak ketiga lainnya

36. Pre-installed software adalah perangkat lunak yang telah dipasang dan berlisensi pada perangkat komputer.

37. Remote adalah cara untuk mengakses suatu sistem tanpa bersinggungan secara langsung dengan sistem tersebut.

38. Restore adalah proses pengembalian arsip hasil backup ke bentuk aslinya baik di komputer asal ataupun di komputer lain.

39. Server adalah suatu perangkat atau rangkaian komputer yang saling menghubungkan komputer atau peralatan elektronik lainnya dalam jaringan.

40. Service Desk TIK adalah unit kerja TIK DJP yang bertindak sebagai Single Point of Contact (SPOC) atau gerbang layanan TIK terdepan yang memiliki peran strategis dalam meningkatkan kepuasan pengguna layanan TIK. Service Desk TIK bukan diposisikan sebagai tenaga teknis semata, namun lebih luas lagi harus bertindak sebagai unit pelayanan TIK bagi pengguna.

41. Storage devices adalah perangkat keras yang dirancang untuk menyimpan data/informasi.

42. Teleworking adalah penggunaan teknologi telekomunikasi untuk memungkinkan pegawai bekerja di suatu lokasi yang jauh dari kantor.

43. Tim Keamanan Informasi adalah tim yang dibentuk oleh Direktur Jenderal Pajak yang bertugas memelihara dan mengontrol penerapan keamanan informasi di DJP.

44. Tim Pengarah Tata Kelola TIK adalah tim yang dibentuk oleh Direktur Jenderal Pajak untuk mengarahkan penyelenggaraan Tata Kelola TIK agar sesuai dengan Rencana Strategis DJP.

45. Tim Pengelolaan Kelangsungan Layanan TIK adalah tim yang bertanggung jawab untuk melaksanakan kegiatan terkait pengelolaan kelangsungan layanan TIK baik dalam keadaan normal maupun dalam keadaan darurat yang keanggotaannya disahkan oleh Direktur Jenderal Pajak dengan masa tugas selama satu tahun.

46. Transaction log adalah riwayat (history) tindakan yang dijalankan oleh sistem pengelolaan database untuk mencegah kerusakan atau kegagalan transaksi.

47. Uninterruptible Power Supply (UPS) adalah untuk menyuplai tenaga listrik temporer yang langsung memberi pasokan tenaga listrik ketika sumber tenaga listrik utama terhenti atau padam (contoh dari PLN).

48. Unit kerja TIK DJP adalah Direktorat Teknologi Informasi Perpajakan (TIP) dan Direktorat Transformasi Teknologi Informasi dan Komunikasi (TTKI).

49. VPN IP adalah jaringan komunikasi pribadi (biasanya digunakan dalam suatu organisasi atau oleh beberapa entitas yang berbeda) untuk berkomunikasi melalui jaringan publik, dalam hal ini menggunakan internet protocol.

STRUKTUR ORGANISASI

 Keterangan: (garis putus-putus) merupakan garis koordinasi