Tatacara Penggunaan dan Keselamatan ICT KKM

1. Tatacara Penggunaan dan Keselamatan ICT KKM

2. KANDUNGAN • Pengenalan • ObjektifTaklimat • KeselamatanMaklumat • Keselamatan Internet • KeselamatanEmel • KawalanKeselamatanEmeldan Internet • KeselamatandariAncaman Virus

3. KANDUNGAN (samb…) • PenggunaandanPengurusanRangkaian • KeselamatanKataLaluan • KeselamatanRangkaian • KeselamatanFizikalPerkakasan ICT • TatacaraPengurusan Media Storan • KeselamatanPerkakasan ICT diPusat Data/Bilik Server KKM • Pembangunan SistemAplikasi • PeranandanTanggungjawabSemuaFasiliti KKM • Khidmat Nasihat

4. PENGENALAN • TatacaraPenggunaandanKeselamatan ICT telahdibentangkandandiluluskandalamMesyuaratJawatankuasaPemandu ICT KKM Bil. 2/2011 pada 16 Ogos 2011 • DokumeninimerupakanperincianbagiDasarKeselamatan ICT KKM dalamusahamelindungikeselamatanaset ICT Kerajaan • Tatacarakepada KKM dalammengurusdanmengendalikanKeselamatan ICT • Bolehdidapati di www.moh.gov.my-AktadanPolisi

5. PINDAAN YANG TERLIBAT 2009 DAN 2011:- • Kemaskini perkara 4.2.3 seperti berikut: • Kemaskini perkara 4.2.7 seperti berikut:

6. PINDAAN YANG TERLIBAT 2009 DAN 2011:- • Kemaskini perkara 4.2.8 seperti berikut: • Kemaskini perkara 4.2.19 seperti berikut:

7. PINDAAN YANG TERLIBAT 2009 DAN 2011:- • Kemaskini perkara 9.0 (c) Keselamatan Kata Laluan seperti berikut: (+) Penambahan perkara 9.0 (e) Keselamatan Kata Laluan seperti berikut:

8. PINDAAN YANG TERLIBAT 2009 DAN 2011:- • (+) Penambahan perkara 15.0 Pembangunan Aplikasi

9. OBJEKTIF TAKLIMAT egawai & Kakitangan KKM Panduan pengguna demi menjamin kesinambungan urusan kerajaan dan menghindar kesan insiden keselamatan ICT

10. KESELAMATAN MAKLUMAT • Kerahsiaan • Integriti • Sumber yang sah • Kesahihan • Kebolehsediaan

11. Keselamatan Internet • Memudahkanperhubunganantarapenggunadanmenyediakanbanyakmaklumat • Tatacarapenggunaancapaianke internet :- • Hakterhadapcapaianolehpengguna • Pemilihanlaman yang hendakdilayar • Pengesahanmaklumat • Muatnaikbahan • Muatturunbahan • Perbincanganatau Forum awam

12. LarangandanSalahlakuPengguna Internet • Melayari laman web yang tidak beretika • Memuat turun dan menyimpan dan menggunakan perisian :- • berbentuk hiburan, • tidak berlesen, • pernyataan fitnah, hasutan yang menjatuhkan imej negara • Menyertai forum atau perbincangan atas talian tidak mendapat kebenaran jabatan • Download saiz file melebihi 10 Mb • Menceroboh atau mengodam laman web • Radio online

13. LarangandanSalahlakupengguna internet (samb…) • Memuat turun dan menyimpan dan menggunakan perisian :- • Capaian ke luar dengan modem/broadband • Tujuan peribadi • Aktiviti berunsur komersial • Chatting • Aktiviti jenayah – perjudian • Mengubah konfigurasi rangkaian – proxy selain KKM dsb • Unsur perkauman dan ganas • Bercorak penentangan • Cubaan capaian bagi laman web yang telah disekat

14. Penggunaan Internet • Mengaktifkan Popup blocker tool sebagai internet browser - elak paparan imej-imej yang tidak dikehendaki eg yahoo toolbar dsb

15. Keselamatan e-mel • E-mel KKM untuktujuanrasmisahaja • KaedahPengendalian e-mel • PemilikanAkaunemel • Format emel • Kandunganbersesuaiandengantopik yang dibincangkan • Tidakmenggunakanhurufbesar • Tandatanganemel (namapenuh, jawatan, alamat, no telefondan fax) • Tandatanganemel (namapenuh, jawatan, alamat, no telefondan fax)

16. Keselamatan e-mel (samb…) • Alamat e mel yang betul • Fail kepilantidakmelebihi 10 MB • Kenalpastipenghantaremel • Saizstoranemel – 100 Mb, pengurusantertinggi – unlimited. • 85% saizstoranemel - alert • Pemusnahan • PemeriksaanPentadbir e Mel • Penggunaankatalaluan

17. LarangandanSalahlakuPenggunaemel • Menggunakanidentitipalsu • Menggunakanemeluntuktujuankomersial • Membukaemeldaripenghantar yang tidakdikenali • Membalasemeldarisumber yang tidakdiketahui • Membukaemel yang mengandungi fail kepilan

18. TanggungjawabdanPerananPenggunaemel • Mencetakdanmendokumenkansemuaemel yang penting • Membuatsalinan – egke folder lain • Imbasankeatas fail yang dihantar • MemaklumkanPentadbiremel – • bertukarkeluar KKM – 3 harisebelumtarikhakhir • Akaundisalahguna • Bertanggungjawabkeataskandunganemel • Pemaklumansekiranyaberadadiluarpejabat • Forwadingbagipenggunaemel yang bertugasdiluar

19. TanggungjawabPentadbirEmel • Wujuddanbatalakaun email mendapatkelulusanKetuaJabatan • Kenalpastikatalaluanpengguna yang lemah • Pemantauandanpenapisankandungan fail elektronik • Sistem mail beroperasi 24 X 7 • Disableakaun email bagi 3 bulantidakaktif • Mengemaskiniakaun email bertukarkeluar/masuk, bersara, berhenti, bercuti, ditamatkanperkhidmatan • ID akaun email mengikutnamasebenareg • kamal@moh.gov.my√ • car.mall@moh.gov.my X • Memberilatihan • Program kesedaranpembudayaanpenggunaanemel KKM • SOP disediakan

20. TanggungjawabPentadbirEmel (Samb…) • Membuat backup • Menyediakan BCP sistememel

21. KelayakanPengguna email • Kakitangan KKM yang menjalankanurusankomunikasidanperhubunganelektroniksecararasmi

22. KawalanKeselamatanEmeldan Internet • KeselamatanFizikal • KeselamatanDokumenElektronik • Tandatangan digital • KeselamatanPengendalianEmelRahsiaRasmi • Penerimaemelrahsiarasmisahkesahihandokumen • Penerimamembuatakuanpenerimaan • EmelRahsiaRasmibertanda ‘RahsiaBesar’ dan ‘Rahsia’, tidakboleh forward kepadaorang lain • Emel ‘RahsiaRasmi’ yang dimusnahkanhendaklahoverwritetiga kali dengan fail yang lain • Agensimempunyaisistemkeselamatanbagiemelrahsiarasmi yang digunakan

23. KeselamatandariAncaman Virus • Virus menyebabkankerosakanperalatankomputerdankehilanganataukerosakanmaklumatpenting • Langkah-Langkah : • Imbasannyah virus • Perisian anti virus yang sah • MaklumkepadaPentadbir ICT – Jangkitan virus • Penggunaanperalatan ICT tanpawayarhendaklahdinyahaktif wireless sekiranyatidakdigunakan

24. PenggunaandanPengurusanRangkaian • Rangkaiandi KKM hanyauntukwarga KKM sahaja • PenggunaluarmendapatkebenaranPentadbirRangkaian • Fasiliti yang telahdirangkaikanke MOH*Net tidakdibenarkanmenggunakanrangkaian yang lain • Peralatankeselamatanrangkaianhendaklahdigunakan • LAN diintegrasidengan MOH*Net danEg Net sahaja • Setiapperalatan ICT yang disambungkanke LAN MOH*Net tidakdibenarsambungkerangkaian lain

25. PenggunaandanPengurusanRangkaian(Samb…) • Penggunaan wireless hendaklahdilengkapidengankeselamatan • Keperluanperkhidmatanrangkaian(natting, IP, dsb ) perlumaklumkankepadaPentadbirRangkaian • Perkhidmatanrangkaian yang tidakdiperlukansilamaklumkankepadaPentadbirRangkaian

26. TanggungjawabPentadbirRangkaian • Memastikanrangkaian MOH*Net sentiasabolehdigunakan • Menyelesaikanmasalah MOH*Net • Mengemaskini rules firewall • Pemantauanaktiviticapaianpengguna MOH*Net darisemasakesemasa • Mengemaskinidanmenambahbaikrekabentuk LAN sediaada • Mengenalpastiaktiviti yang tidak normal • Memantaulaluantrafik yang tinggi • Menghalangcapaian yang tidaksahdantanpakebenarankeatasperkhidmatanrangkaian

27. PengurusanAlamat Internet Protokol (IP) • Keperluan IP statikhendaklahdimaklumkankepadaPentadbirRangkaian • Dilarangmenukar IP PC

28. SambunganRangkaian • PC yang memerlukansambunganmemaklumkankepadaPentadbirRangkaian • Dilarangmemutusataumenyambungsambungankabelfizikal UTP padamana-mana port danrak • Dilarangmenukarmaklumat yang terdapatpada UTP port • Dilarangmerosakan UTP Port, kabeldsb • Sebarangkerosakan yang berlakuhendaklahdimaklumkankepadaPentadbirRangkaian

29. Dial Up / Broadband / Wireless • Penggunaan dial up untuktujuanrasmisahaja • Penggunaan broadband hendaklahmendapatkelulusan BPM terlebihdahulu • Penggunadifasiliti KKM yang menggunakan broadband tidakdibenarkanmenggunakan LAN • Imbasankeatasperalatan ICT secaraberkala

30. File Transfer Protocol (FTP) • Penggunaan FTP dilaksanakandenganciri-cirikeselamatan • putty bagi OS Linux • Secure file transfer program (SFTP) , SSL dan VPN bagi OS Windows

31. KeselamatanKataLaluan • Katalaluanadalahhakindividudanrahsiakepadasesiapasahaja • rahsiakankatalaluan • Gunakankatalaluan yang kukuhgabunganspecial character, abjaddannombor • Ditukarsetiap 30 hari • Elakanmenggunakan 4 katalaluan yang terdahulu • Elakanmenggunakankatalaluan yang mengandungimaklumatberkaitandenganpengguna, peralatandanperisian yang digunakan • Menukarkatalaluansertamerta yang diberikanPentadbirSistem • Sekiranyakatalaluantelahdicerobohsilamaklumkankepada CERT KKM

32. KeselamatanRangkaian • Menyediadanmengemaskinirekabentuk LAN • Pemantauanperalatanrangkaian • Rules firewall hendaklahdisediakandandikemaskini • Memantaulaporanlogsetiapserver • Penggunaanteknologi VPN semasapenghantaran data • Peralatankeselamatanrangkaian – virus wall, Web filtering, IPSdanfirewalldisediakan

33. KeselamatanFizikalPerkakasan ICT KKM • Keselamatanfizikaltermasukjuga PC, notebook danperkakasan. • Garispanduanpengguna :- • Setiapkomputer, PDA atau notebook adakatalaluan yang kukuh • Pengemaskinianpaten/patches windows dan anti virus • Penggunaanlesensoftware yang sah – antivirus & windows • Dilarangmengubahhost name dankonfigurasikomputer • Perkakasan ICT hendaklahberjenama (bukanklon)

34. Keselamatanfizikaltermasukjuga PC, notebook danperkakasan. Garispanduanpengguna :- • Perkakasan ICT digunakanuntuktujuanrasmi • Dilarangpenggunaanpenyambungelektrik • Peralatan ICT tidakterdedahkepadapancaranmatahari • Bekalanelektrikditutup - tamatpenggunaanperalatan ICT • Ditempatkan yang dingin • Sleeping mode - PC digunakanberterusan • Ctrl-Alt-Delapabila PC hang • PC mempunyaisistemmasadantarikh yang betul • Switch off peralatan ICT secarabetul • Tidakmengetuk/menghentakperalatan ICT • Backup data • Penggunadilarangmembaikisendiritanpakebenaran • Tidakdibenarkanmenggunakan Id Administrator • Lock computer jikatidakdigunakan

35. TatacaraPenggunaan Media Storan • Menguruskan media storan • Media storan yang dibekalkanadalahuntukurusanrasmisahaja • Dilabelkan • DisimpandenganselamatikutTerhad, SulitdanRasmi • Dilarangmenyalin, membawakeluarataumemberi media yang mengandungimaklumatrasmikepadaorang lain • Kaedahpemampatandigunakan

36. TatacaraPenggunaan Media Storan(Samb…) • Menguruskan media storan • Media yang mengandungimaklumat yang tidakdiperlukanhendaklahdipadam • Lokasi yang sesuaipenempatan media storan – selamat • Format media storan yang rosakhendaklahdilupuskan • Media storanhendaklahdiimbas • Tidakdigalakanuntukberkongsi media storan • Sebarangkehilangan data dalam media storanhendaklahmaklumkepada CERT

37. KESELAMATAN PERKAKASAN ICT DI PUSAT DATA / BILIK SERVER (Samb…) • Memastikansemuaperalatan ICT dibilik server beradadidalamkeadaan yang selamat • Security Access Door • Penggunadibenarkansahajamemasukibilik server • Setiap server dilabelkan • Bersih, kemas, tidakmenempatkanperkakasan yang tidakdiperlukan • Pengkabelandisusundengankemas, teratursertadilabelkandenganbetul

38. KESELAMATAN PERKAKASAN ICT DI PUSAT DATA / BILIK SERVER (samb…) • Memastikansemuaperalatan ICT dibilik server beradadidalamkeadaan yang selamat • Penghawadinginberfungsidenganbaik ± 19.5º dankelembapan 50.7% • Semuaperalatankeselamatandiselenggarasecaraberkala • Diagram LAN disediakan • Buku log disediakan – tarikh, masamasuk & keluar, namadanaktiviti

39. KeselamatanPerisianSistemdanPangkalan Data • Langkah-Langkah :- • PembaikPulihSistemakibatkegagalan server berfungsi, kerosakanfizikal hard disk danmasalahkesilapandalampemprograman • Backup – secaraberkala, keseluruhan (OS, aplikasi, data base, audit trail) • Operasi backup – direkod, dilabeldandisimpanditempat yang selamat

40. KeselamatanPerisianSistemdanPangkalan Data(Samb…) • Langkah-Langkah :- • Aplikasidansistemoperasihendaklahdibackupsebaiksahajaadaperubahan • Setiap backup buatsekurang-kurangnya 2 salinan – onsite dan offsite • Setiap backup diujisekurang-kurangnyasekalisetahun • Standard Operating Procedur (SOP) hendaklahdisediakan

41. ProsedurbaikPulih (Restore) • Prosespembaikpulihdilakukansamaadadariperingkat paling kritikalsepertikegagalan

42. PelanPemulihanBencana • Kaedahinidilakukansekiranyapusat data/bilik server musnahatautidakbolehberfungsisepenuhnya.

43. Pembangunan SistemAplikasi • Vendor tahuberkaitan secure coding • Mengubahkonfigurasiasal (default) termasukkatalaluan • Menyedia SOP bagisetiapaplikasi yang dibangunkan • Menutupdirectory listing setiapaplikasikepadaumum • Penerimaansemuakatalaluan Administrator peralatan ICT dari vendor • Tidakmenggunakan IP sebagai URL • Menutupaksesanonymous – web portal/sub portal

44. Pembangunan SistemAplikasi (samb…) • Kenalpasti port yang digunakan • Elakkanpenggunaan Port 445 - file sharing • Pengujianhendaklahdilakukanbagimengatasimasalahweb defacement • Sistemhendaklahdisediakandenganaudit trail ataulog file • Kemaskinipatches – CMS, programming tool, data base • Kemaskinidokumentasidarisemasakesemasa • Perubahansenaraipasukanaplikasihendaklahdimaklumkan

45. PeranandanTanggungjawabSemuaFasiliti KKM Semuafasiliti KKM hendaklahmemainkanperananmasing-masingdanianyapentingbagimemastikanpenggunaandankeselamatan ICT KKM beradaditahap yang paling maksimasepanjangmasa

46. SURAT AKUAN DKICT KKM(Lampiran 2)