Asset Classification
Klasifikasi Berdasarkan Confidentiality
Klasifikasi aset berdasarkan tingkat kerahasiaan (confidentiality) membantu organisasi menentukan siapa yang berhak mengakses informasi tertentu. Standar umum yang diadopsi secara luas:
| Level | Definisi | Contoh |
|---|---|---|
| Public | Informasi yang dapat diakses publik tanpa dampak jika bocor | Brosur produk, press release, alamat kantor |
| Internal | Informasi internal yang boleh diakses seluruh karyawan tetapi tidak untuk publik | Kebijakan HR, dokumentasi teknis internal |
| Confidential | Informasi sensitif dengan akses terbatas pada individu/unit tertentu | Data pelanggan, source code, strategi bisnis |
| Restricted | Informasi sangat sensitif dengan akses sangat terbatas | Data PII massal, rahasia dagang, kredensial sistem |
Setiap level memiliki persyaratan keamanan berbeda - Restricted memerlukan enkripsi end-to-end, logging akses, dan audit berkala, sedangkan Public cukup dengan kontrol integritas dasar.
Klasifikasi Berdasarkan Criticality
Criticality mengukur dampak terhadap kerahasiaan (confidentiality), integritas (integrity), dan ketersediaan (availability) - dikenal sebagai CIA Triad - jika aset tersebut terganggu.
Penilaian criticality menggunakan matriks dampak:
- Low: Gangguan hanya berdampak pada pengguna individu, tidak mengganggu operasi bisnis.
- Medium: Gangguan berdampak pada satu unit/tim, proses bisnis terhambat namun masih ada workaround.
- High: Gangguan berdampak pada banyak unit, proses bisnis terhenti, atau terjadi pelanggaran regulasi.
- Critical: Gangguan menghentikan seluruh operasi organisasi, mengancam nyawa, atau menyebabkan kerugian finansial signifikan.
Data Classification Frameworks
Organisasi dapat mengadopsi kerangka klasifikasi data yang sudah mapan:
- ISO/IEC 27001 Annex A 8.2 - Mewajibkan klasifikasi informasi sesuai kebutuhan bisnis dan hukum.
- NIST SP 800-53 (MP-2) - Mengatur akses media berdasarkan klasifikasi.
- GDPR - Mewajibkan identifikasi data pribadi sebagai data sensitif.
- Internal Framework - Organisasi dapat membuat skema sendiri disesuaikan dengan kebutuhan.
Labeling
Setelah diklasifikasikan, setiap aset harus diberi label yang jelas, baik secara digital (metadata, header dokumen, tag cloud) maupun fisik (stiker pada perangkat). Label membantu pengguna dan sistem keamanan mengidentifikasi tingkat perlindungan yang diperlukan.
Contoh label digital: CLASSIFICATION: CONFIDENTIAL,
DATA_TYPE: PII,
HANDLING: ENCRYPT_IN_TRANSIT.
Tiering Infrastruktur (Tier 0-3)
Dalam konteks infrastruktur TI, tiering membantu memprioritaskan keamanan:
| Tier | Deskripsi | Contoh |
|---|---|---|
| Tier 0 | Critical - fondasi infrastruktur, jika terganggu akan melumpuhkan organisasi | Domain Controller, DNS utama, Certificate Authority, firewall sentral |
| Tier 1 | High - sistem produksi yang mendukung operasi bisnis inti | Server aplikasi produksi, database produksi, API gateway |
| Tier 2 | Medium - sistem pendukung dan staging | Staging/environment testing, monitoring tools, CI/CD pipeline |
| Tier 3 | Low - sistem non-kritis dan development | Workstation developer, lab eksperimen, dokumentasi |
Aset Tier 0 memerlukan kontrol paling ketat: network segmentation ketat, MWA (multi-factor authentication) wajib, patch dalam 24-48 jam, dan audit log real-time.
Regulatory Classification
Beberapa jenis data tunduk pada regulasi spesifik yang mewajibkan penanganan khusus:
- PII (Personally Identifiable Information) - Data yang dapat mengidentifikasi individu (nama, NIK, alamat, email). Diatur oleh GDPR (Eropa), PDP (Indonesia), CCPA (California).
- PHI (Protected Health Information) - Data kesehatan pasien. Diatur oleh HIPAA (AS) dan UU Kesehatan (Indonesia). Membutuhkan enkripsi, akses berbasis peran, dan logging ketat.
- PCI DSS (Payment Card Industry Data Security Standard) - Data kartu pembayaran. Mewajibkan tokenisasi, network segmentation, dan audit tahunan oleh QSA.
- Export Controlled - Data yang tunduk pada ITAR/EAR (AS) - sangat terbatas berdasarkan kewarganegaraan dan lokasi.
Setiap aset yang mengandung data teregulasi harus ditandai dengan
jelas dalam inventory (tag pci=true,
data_classification=phi) dan diproses sesuai kebijakan
kepatuhan masing-masing.
Klasifikasi aset yang tepat adalah langkah awal menuju postur keamanan yang matang dan kepatuhan terhadap regulasi.