Manajemen Keamanan Informasi

Manakah penjelasan yang paling tepat mengenai aset informasi dalam keamanan informasi?

1. Hanya mengacu pada perangkat informasi seperti server atau komputer beserta data elektronik yang tersimpan di dalamnya, dan tidak termasuk dokumen kertas yang dicetak dan disimpan.
2. Hanya mengacu pada data yang telah dielektronikkan, dan mengecualikan dokumen kertas atau prosedur/pengetahuan yang hanya diketahui petugas.
3. Mencakup secara luas data, dokumen, perangkat, dan perangkat lunak, serta pengetahuan yang dimiliki manusia dan kepercayaan perusahaan, yaitu segala hal yang bernilai bagi organisasi.
4. Hanya menganggap sesuatu yang nilainya dapat diperkirakan dalam nominal uang sebagai aset informasi, dan mengecualikan hal yang tidak dapat dikonversi ke nominal uang seperti kepercayaan atau merek dari objek pengelolaan.

Manakah yang bukan merupakan butir yang tepat dicantumkan dalam daftar aset informasi?

1. Nama aset, dan nama penanggung jawab pengelolaan（pemilik）aset tersebut
2. Kata sandi pengguna itu sendiri untuk mengakses aset tersebut
3. Lokasi penyimpanan, dan jenis media tempat data direkam
4. Tingkat kerahasiaan informasi, dan klasifikasi tingkat kepentingan bisnis

Manakah tujuan utama mengklasifikasikan dan memberi label pada informasi seperti rahasia, rahasia internal, dan publik?

1. Agar orang yang menangani dapat menentukan sendiri sejauh mana perlindungan yang diperlukan untuk informasi tersebut.
2. Untuk mengurangi kapasitas disk yang diperlukan untuk menyimpan informasi, sehingga menekan biaya penyimpanan.
3. Untuk membuat pekerjaan klasifikasi dan pelabelan itu sendiri tidak diperlukan lagi, dengan mengenkripsi semua informasi.
4. Untuk menghilangkan kebutuhan pengambilan dan penyimpanan log akses.

Manakah peran penanggung jawab pengelolaan aset informasi (pemilik aset) yang paling tepat?

1. Memeriksa ISMS organisasi dari sudut pandang pihak ketiga, dan menentukan serta melaporkan apakah sertifikasi dapat diberikan.
2. Mengoperasikan aset tersebut sehari-hari, dan menangani pekerjaan seperti input dan pembaruan data sebagai tugas rutin.
3. Menentukan klasifikasi aset tersebut, menyetujui siapa yang boleh mengakses sejauh mana, dan meninjaunya secara berkala.
4. Benar-benar melakukan pekerjaan perubahan pengaturan perangkat jaringan atau server.

Hard disk internal komputer yang digunakan di perusahaan akan dibuang melalui pemusnahan oleh pihak luar. Manakah respons yang paling tepat dari sudut pandang mencegah kebocoran informasi?

1. Memasukkan berkas objek ke tempat sampah lalu mengosongkannya, memastikan terhapus di layar, lalu menyerahkannya ke pihak pemusnah.
2. Menjalankan quick format, memastikan berkas hilang dari layar, lalu langsung menyerahkannya ke pihak pemusnah.
3. Hanya menghapus berkas penting yang dipilih, dan menyerahkan sisanya apa adanya.
4. Melakukan penghapusan dengan penimpaan menggunakan perangkat lunak penghapus data atau penghancuran fisik, dan memastikannya melalui penyaksian langsung proses kerja atau penerimaan sertifikat penghapusan.

Manakah cara pembuangan dokumen kertas yang diklasifikasikan sebagai rahasia internal yang paling tepat?

1. Merobeknya menjadi dua bagian, lalu membuangnya bersama sampah daur ulang.
2. Membuang dengan mencampurnya ke sampah umum agar sulit ditemukan dari luar.
3. Hanya menghitamkan bagian judul, lalu membuangnya apa adanya.
4. Mencacah dengan shredder, atau mempercayakan proses pelarutan.

Manakah alasan yang paling tepat mengapa inventarisasi aset informasi perlu dilakukan secara berkala?

1. Untuk melakukan negosiasi penurunan harga pembelian aset informasi, guna menekan biaya pengadaan atau pembaruan perangkat.
2. Untuk menghilangkan selisih antara catatan daftar dan aset yang sebenarnya, sehingga langkah pengendalian dapat diterapkan tanpa ada yang terlewat.
3. Untuk selalu mengurangi jumlah total aset informasi yang dimiliki organisasi setiap tahun, guna meringankan beban pengelolaan.
4. Untuk memahami kondisi kehadiran karyawan, guna meninjau ulang penempatan personel.

Ketika siklus hidup informasi dipandang sebagai "pembuatan → penggunaan → penyimpanan → pemindahan → pembuangan", manakah langkah pengendalian yang paling tepat untuk setiap tahap?

1. Jika pemindahan menggunakan pengiriman internal perusahaan, pencatatan serah terima dapat diabaikan.
2. Karena informasi yang sedang disimpan berada di dalam perusahaan dan aman, pengaturan hak akses secara khusus tidak diperlukan.
3. Pada tahap pembuatan tidak menentukan klasifikasi, dan baru menentukan klasifikasi serta cara penanganannya sekaligus saat akan dibuang.
4. Pada penyimpanan dilakukan penguncian atau enkripsi, pada pemindahan dilakukan penyegelan dan pencatatan serah terima, dan pada pembuangan dilakukan penghapusan atau penghancuran fisik.

Manakah cara berpikir yang paling tepat saat menentukan klasifikasi informasi?

1. Menentukan hanya berdasarkan media penyimpanannya, misalnya semua berkas elektronik dianggap rahasia dan semua dokumen kertas dianggap rahasia internal.
2. Semakin banyak jumlah orang di departemen yang membuat informasi tersebut, semakin tinggi klasifikasinya.
3. Menentukan dengan mempertimbangkan dampak jika informasi bocor, ditambah dampak jika diubah tanpa izin atau menjadi tidak dapat digunakan.
4. Setelah klasifikasi informasi ditentukan sekali, tidak ditinjau ulang meskipun isi atau situasinya berubah setelahnya, dan terus digunakan apa adanya.

Manakah urutan pelaksanaan yang tepat untuk tiga aktivitas yang menyusun penilaian risiko (risk assessment)?

1. Evaluasi risiko → Analisis risiko → Identifikasi risiko
2. Identifikasi risiko → Evaluasi risiko → Analisis risiko
3. Identifikasi risiko → Analisis risiko → Evaluasi risiko
4. Analisis risiko → Identifikasi risiko → Evaluasi risiko

Kejadian "ruang server berada di lantai 1, dan jika terjadi banjir akibat hujan lebat maka server berisiko berhenti" ditemukan dan dicatat dalam daftar. Pekerjaan ini termasuk aktivitas apa dalam penilaian risiko?

1. Penanganan risiko
2. Penerimaan risiko
3. Identifikasi risiko
4. Evaluasi risiko

Manakah penjelasan yang paling tepat mengenai evaluasi risiko dalam penilaian risiko?

1. Membandingkan besarnya risiko yang diperoleh dari analisis dengan kriteria risiko, untuk menentukan perlu tidaknya penanganan dan prioritasnya.
2. Menemukan dan mendeskripsikan risiko yang ada di organisasi tanpa terlewat, dari kombinasi aset informasi, ancaman, dan kerentanan.
3. Benar-benar menerapkan langkah pengendalian yang dipilih, memulai operasionalnya, dan menetapkannya.
4. Memperkirakan kemungkinan terjadinya risiko dan tingkat dampaknya masing-masing, untuk menghitung besarnya risiko.

Untuk mengantisipasi ganti rugi dan biaya investigasi jika terjadi kebocoran informasi, organisasi mengikuti asuransi siber. Manakah klasifikasi penanganan risiko ini?

1. Penghindaran risiko
2. Pengurangan risiko（mitigasi）
3. Penerimaan risiko（retensi）
4. Pemindahan risiko（berbagi）

Suatu insiden menimbulkan kerugian 6.000.000 yen setiap kali terjadi, dan diperkirakan terjadi dengan laju 1 kali setiap 2 tahun. Berapakah perkiraan kerugian tahunan (ALE) dari insiden ini?

1. 1.500.000 yen
2. 3.000.000 yen
3. 6.000.000 yen
4. 12.000.000 yen

Terdapat bencana yang menimbulkan kerugian 40.000.000 yen setiap kali terjadi, dengan probabilitas kejadian diperkirakan 5% per tahun. Berapakah perkiraan kerugian tahunan (ALE) dari bencana ini?

1. 8.000.000 yen
2. 2.000.000 yen
3. 40.000.000 yen
4. 4.000.000 yen

Suatu risiko menimbulkan kerugian 10.000.000 yen setiap kali terjadi, dengan laju kejadian tahunan diperkirakan 0,4. Jika diterapkan langkah pengendalian dengan biaya 2.200.000 yen per tahun, laju kejadian tahunan turun menjadi 0,1. Manakah penilaian dari sisi nominal yang paling tepat?

1. Dengan langkah pengendalian, perkiraan kerugian tahunan berubah dari 10.000.000 yen menjadi 1.000.000 yen, dan pengurangan sebesar 9.000.000 yen jauh melebihi biaya sehingga sepadan.
2. Dengan langkah pengendalian, perkiraan kerugian tahunan berubah dari 4.000.000 yen menjadi 1.000.000 yen, dan pengurangan sebesar 2.000.000 yen berada di bawah biaya 2.200.000 yen sehingga tidak sepadan.
3. Dengan langkah pengendalian, perkiraan kerugian tahunan berubah dari 4.000.000 yen menjadi 1.000.000 yen, dan pengurangan sebesar 3.000.000 yen melebihi biaya 2.200.000 yen sehingga sepadan.
4. Karena laju kejadian tahunan belum menjadi 0, efektivitas langkah pengendalian tidak dapat dinilai dari sisi nominal.

Mengenai bisnis penjualan daring yang menangani data pribadi dalam jumlah besar namun tidak menguntungkan, organisasi menilai dampak kebocorannya terlalu besar, dan memutuskan mundur dari bisnis itu sendiri. Manakah klasifikasi penanganan risiko ini?

1. Penghindaran risiko
2. Pemindahan risiko（berbagi）
3. Penerimaan risiko（retensi）
4. Pengurangan risiko（mitigasi）

Terhadap bahaya infeksi malware, organisasi menerapkan perangkat lunak antivirus, memastikan pembaruan OS, dan memberikan edukasi kepada karyawan, sehingga menurunkan probabilitas infeksi. Manakah klasifikasi penanganan risiko ini?

1. Penerimaan risiko（retensi）
2. Pengurangan risiko（mitigasi）
3. Penghindaran risiko
4. Pemindahan risiko（berbagi）

Mengenai penghentian sementara forum internal perusahaan, organisasi memastikan dampak terhadap operasional kecil dan perkiraan kerugian pun masih dalam cakupan kriteria penerimaan risiko, lalu memutuskan untuk tidak mengambil langkah pengendalian tambahan setelah mendapat persetujuan penanggung jawab. Manakah klasifikasi penanganan risiko ini?

1. Pemindahan risiko（berbagi）
2. Penghindaran risiko
3. Pengurangan risiko（mitigasi）
4. Penerimaan risiko（retensi）

Manakah kombinasi klasifikasi penanganan risiko dan contoh konkretnya yang tidak tepat?

1. Penerimaan risiko — Meskipun jika terjadi akan menimbulkan kerugian yang membuat bisnis tidak dapat dilanjutkan, tidak melakukan apa pun karena langkah pengendaliannya merepotkan.
2. Penghindaran risiko — Menghentikan penyediaan layanan daring yang dinilai berisiko tinggi, dan mundur dari bisnis tersebut.
3. Pemindahan risiko — Mengikuti asuransi untuk mengantisipasi kebocoran informasi, agar sebagian kerugian ditanggung perusahaan asuransi.
4. Pengurangan risiko — Mengenkripsi data penting, dan mengambil cadangan secara berkala untuk disimpan di lokasi lain.

Manakah cara memperlakukan risiko residual yang paling tepat?

1. Selama masih ada risiko residual sedikit pun, penanganan risiko dianggap gagal dan harus diulang sampai benar-benar tidak tersisa.
2. Mengenai risiko residual, petugas di lapangan menanganinya dengan keputusan sendiri setiap kali, dan sengaja tidak mencatat isi keputusan tersebut.
3. Karena risiko residual pasti menjadi 0 setelah penanganan risiko dilaksanakan, tidak perlu lagi memeriksa dan menyetujui isinya setelah penanganan selesai.
4. Risiko yang tersisa setelah penanganan risiko dilaksanakan, dan pihak yang bertanggung jawab seperti manajemen menilai serta menyetujui apakah akan diterima atau tidak.

Manakah penjelasan yang paling tepat mengenai hubungan JIS Q 27001 dan JIS Q 27002?

1. Keduanya adalah standar yang hanya menetapkan definisi istilah, dan persyaratan berada di luar cakupannya.
2. 27001 adalah pedoman praktik penerapan langkah pengendalian, dan 27002 adalah standar yang menetapkan persyaratan ISMS.
3. Keduanya adalah standar yang menetapkan persyaratan ISMS, dan isinya identik.
4. 27001 adalah standar sertifikasi yang menetapkan persyaratan ISMS, dan 27002 adalah pedoman praktik penerapan langkah pengendalian.

Sebuah perusahaan mempublikasikan bahwa "perusahaan kami telah memperoleh sertifikasi JIS Q 27002". Manakah masalah yang paling tepat dari pernyataan ini?

1. 27002 adalah pedoman praktik penerapan langkah pengendalian, bukan standar sertifikasi, dan sertifikasi ISMS dilakukan terhadap JIS Q 27001.
2. 27002 adalah standar yang menunjukkan definisi istilah dan ringkasan, dan langkah pengendalian konkret berada di luar cakupannya.
3. Karena 27002 adalah standar yang hanya mengatur perlindungan informasi pribadi, tidak dapat digunakan untuk sertifikasi perusahaan umum yang menangani keamanan informasi secara menyeluruh.
4. 27002 adalah standar yang menjadi objek sertifikasi, tetapi sertifikasi hanya dapat diperoleh instansi pemerintah dan lembaga administratif independen, dan perusahaan swasta berada di luar cakupan.

Manakah isi yang paling tepat dicantumkan dalam pernyataan penerapan (statement of applicability) ISMS?

1. Langkah pengendalian yang dipilih beserta alasan pemilihannya, status pelaksanaannya, dan alasan pengecualian untuk langkah pengendalian yang tidak diterapkan.
2. Daftar gangguan yang terjadi selama 1 tahun terakhir beserta catatan waktu yang dibutuhkan untuk pemulihan masing-masing.
3. Draf surat permintaan maaf yang dikirim kepada pelanggan saat terjadi insiden, dan daftar staf penerima yang dituju.
4. Hasil penilaian kinerja setiap karyawan, dan daftar target kerja yang ditetapkan sendiri untuk tahun berikutnya.

Dalam siklus PDCA ISMS, pada tahap manakah audit internal dan tinjauan manajemen ditempatkan?

1. Do（pelaksanaan）
2. Check（pemeriksaan）
3. Plan（perencanaan）
4. Act（tindakan/perbaikan）

Manakah hal yang paling penting diperhatikan saat melaksanakan audit internal ISMS?

1. Audit internal dilakukan oleh lembaga sertifikasi eksternal, dan organisasi sendiri tidak pernah melaksanakannya.
2. Jika ditemukan ketidaksesuaian dalam audit internal, cukup ditegur secara lisan tanpa dicatat.
3. Auditor tidak mengaudit pekerjaan yang menjadi tanggung jawabnya sendiri, dan dipilih agar dapat menjaga objektivitas serta keadilan.
4. Untuk menjaga objektivitas audit, auditor mengaudit dan menilai sendiri pekerjaan yang menjadi tanggung jawabnya.

Manakah standar yang diperiksa kesesuaiannya dalam pemberian Privacy Mark?

1. ISO/IEC 27017
2. JIS Q 27001
3. JIS Q 15001
4. JIS Q 27002

Manakah kombinasi penjelasan yang paling tepat mengenai ISO/IEC 27017 dan ISO/IEC 27701?

1. 27017 adalah pedoman langkah pengendalian keamanan informasi terkait layanan cloud, dan 27701 adalah standar terkait sistem manajemen informasi privasi.
2. 27017 mengatur keselamatan dan kesehatan kerja, dan 27701 mengatur persyaratan manajemen kelangsungan bisnis.
3. 27017 adalah standar yang mengatur keamanan sistem kendali yang digunakan di pabrik dan sejenisnya, dan 27701 adalah standar yang menetapkan standar algoritma kriptografi dan panjang kunci.
4. 27017 adalah standar terkait sistem manajemen mutu, dan 27701 adalah standar terkait sistem manajemen lingkungan, keduanya tidak berkaitan dengan keamanan informasi.

Manakah penjelasan yang paling tepat mengenai sistem penilaian kesesuaian ISMS?

1. Sistem di mana organisasi melakukan pemeriksaan mandiri terhadap ISMS-nya sendiri dan mendeklarasikan sendiri kesesuaiannya dengan persyaratan, sehingga dianggap telah tersertifikasi.
2. Sistem di mana lembaga sertifikasi pihak ketiga memeriksa apakah ISMS organisasi sesuai dengan persyaratan JIS Q 27001, lalu memberikan sertifikasi.
3. Sistem di mana lembaga publik memeriksa secara kolektif kerentanan sistem informasi yang digunakan organisasi, dan menjamin secara publik keamanannya jika tidak bermasalah.
4. Sistem di mana setelah sertifikasi diperoleh sekali, keberlakuannya terus berlanjut tanpa pemeriksaan lagi selanjutnya.

Ketika kebijakan keamanan informasi disusun dalam 3 lapisan, manakah urutan dari atas ke bawah yang paling tepat?

1. Standar langkah pengendalian → Kebijakan dasar → Prosedur pelaksanaan
2. Prosedur pelaksanaan → Standar langkah pengendalian → Kebijakan dasar
3. Kebijakan dasar → Prosedur pelaksanaan → Standar langkah pengendalian
4. Kebijakan dasar → Standar langkah pengendalian → Prosedur pelaksanaan

Manakah isi yang paling tepat dicantumkan dalam kebijakan dasar keamanan informasi?

1. Nomor aset komputer yang digunakan setiap departemen, beserta lokasi penempatan dan daftar penggunanya
2. Nama produk perangkat lunak antivirus dan langkah operasional konkret pada layar untuk memperbarui file definisinya
3. Aturan komunikasi firewall yang ditetapkan pada setiap server, dan daftar nomor port yang diizinkan
4. Tujuan penerapan keamanan informasi, ruang lingkup, serta tanggung jawab dan kewajiban kepatuhan manajemen

Ketentuan "kata sandi yang digunakan untuk pekerjaan harus 12 karakter atau lebih dan mengandung huruf besar, huruf kecil, angka, serta simbol" termasuk lapisan mana dari 3 lapisan kebijakan keamanan informasi?

1. Prosedur pelaksanaan
2. Standar langkah pengendalian
3. Kebijakan dasar
4. Pernyataan penerapan

Manakah ciri prosedur pelaksanaan kebijakan keamanan informasi yang paling tepat?

1. Karena merupakan dokumen yang menunjukkan sikap organisasi, dibuat secara ringkas dengan asumsi akan dipublikasikan ke luar, dan mengabaikan pencantuman nilai pengaturan konkret.
2. Dokumen yang setelah ditetapkan sekali tidak boleh diubah isinya meskipun sistem diganti.
3. Dokumen yang hanya dirujuk oleh manajemen, tidak dibagikan kepada petugas lapangan, dan isinya pun dirahasiakan selama operasional.
4. Menunjukkan cara operasional konkret, nilai pengaturan, penanggung jawab, dan cara pencatatan, serta direvisi secara sering sesuai perubahan sistem.

Manakah peran CISO yang paling tepat?

1. Sebagai loket pertanyaan dari pelanggan, memandu cara penggunaan dan pengaturan produk perusahaan sendiri.
2. Menangani pekerjaan seperti pemasangan komputer di setiap departemen atau pengkabelan jaringan.
3. Mengelola strategi dan kebijakan keamanan informasi organisasi secara menyeluruh, dan melaporkannya kepada manajemen.
4. Memeriksa ISMS organisasi dari sudut pandang pihak ketiga, dan menilai secara objektif dapat tidaknya sertifikasi diberikan.

Karena permintaan mitra bisnis, muncul kebutuhan untuk menggunakan layanan berbagi berkas yang dilarang penggunaannya oleh peraturan internal perusahaan. Manakah respons petugas yang paling tepat?

1. Mengajukan permohonan persetujuan pengecualian dengan menunjukkan alasan penggunaan, data yang menjadi objek, jangka waktu, dan langkah pengendalian alternatif, lalu menggunakannya setelah mendapat persetujuan dan pencatatan dari penanggung jawab.
2. Tanpa memberi tahu apa pun kepada mitra bisnis, menggunakan akun cloud pribadi yang berada di luar pengelolaan perusahaan untuk bertukar data pekerjaan.
3. Menafsirkan bahwa situasi ini tidak diatur dalam peraturan internal, lalu mulai menggunakannya langsung berdasarkan keputusan pribadi petugas, dengan mengutamakan kelancaran pekerjaan terlebih dahulu
4. Menganggap instruksi mitra bisnis lebih diutamakan daripada peraturan internal, lalu mulai menggunakannya tanpa persetujuan maupun pencatatan penanggung jawab, dan melaporkannya secara lisan sekadarnya setelahnya.

Manakah penjelasan yang paling tepat mengenai Pedoman Manajemen Keamanan Siber?

1. Dokumen teknis yang menetapkan secara rinci nilai pengaturan konkret dan prosedur kerja firewall atau server bagi teknisi sistem informasi.
2. Panduan bagi manajemen yang menunjukkan 3 prinsip yang perlu disadari manajemen, dan 10 butir penting yang perlu diinstruksikan manajemen kepada CISO dan sejenisnya.
3. Peraturan yang menetapkan isi kewajiban yang harus dipatuhi oleh pelaku usaha yang menangani informasi pribadi, beserta sanksi hukum jika melanggar.
4. Standar internasional yang menetapkan persyaratan yang harus dipenuhi organisasi yang hendak memperoleh sertifikasi ISMS, sebagai kriteria pemeriksaan pihak ketiga.

Manakah operasional yang paling tepat mengenai penyosialisasian dan peninjauan ulang peraturan terkait keamanan informasi?

1. Menyosialisasikan melalui pendidikan saat masuk kerja dan pelatihan berkala sesuai target, serta meninjau ulang dengan memanfaatkan momen perubahan undang-undang, penerapan teknologi baru, perubahan organisasi, insiden, atau temuan audit.
2. Jika terjadi pelanggaran, diproses secara seragam sebagai tanggung jawab karyawan yang bersangkutan meskipun peraturan itu belum disosialisasikan, dan peninjauan ulang peraturan diabaikan.
3. Setelah peraturan ditetapkan sekali, tidak direvisi meskipun ada perubahan undang-undang atau perubahan organisasi, dan tetap dipertahankan apa adanya.
4. Cukup dengan meletakkan peraturan di server internal perusahaan agar dapat dilihat siapa saja, tanpa perlu lagi menyosialisasikannya melalui pendidikan saat masuk kerja atau pelatihan.

Manakah penjelasan yang paling tepat mengenai hubungan BCP dan BCM?

1. BCP adalah dokumen yang disusun untuk dibaca manajemen, dan BCM adalah dokumen yang disusun untuk dibaca petugas lapangan; hanya perbedaan jenis dokumen berdasarkan pembacanya.
2. BCP dan BCM adalah istilah yang memiliki arti sama, dan keduanya bersinonim.
3. BCP adalah rencana itu sendiri yang menetapkan cara kelangsungan dan pemulihan bisnis penting, dan BCM adalah keseluruhan aktivitas manajemen yang menyusun rencana tersebut serta terus melakukan edukasi, pelatihan, pemeriksaan, dan peninjauan ulang.
4. BCP mengacu pada keseluruhan mekanisme operasional keamanan informasi sehari-hari, dan BCM adalah istilah yang hanya mengacu pada langkah teknis seperti pengaturan atau pemantauan perangkat di dalamnya.

Manakah kombinasi penjelasan yang paling tepat mengenai RTO dan RPO?

1. RTO adalah target sampai titik waktu data mana yang harus dikembalikan, dan RPO adalah target waktu yang boleh dihabiskan dari terjadinya gangguan sampai pemulihan.
2. Baik RTO maupun RPO sama-sama merupakan target yang menunjukkan sampai tingkat apa operasional dipulihkan setelah pemulihan, dan tidak ada perbedaan antara keduanya.
3. RTO menunjukkan jumlah generasi penyimpanan cadangan, dan RPO menunjukkan indikator jenis media penyimpanan yang digunakan untuk cadangan.
4. RTO adalah target waktu yang boleh dihabiskan dari terjadinya gangguan sampai pemulihan, dan RPO adalah target sampai titik waktu data mana yang harus dikembalikan.

Suatu sistem menetapkan RPO sebesar 4 jam. Manakah operasional yang paling tepat diperlukan untuk memenuhi target ini?

1. Menyiapkan sistem dan prosedur agar sistem dapat dipulihkan dalam 4 jam sejak gangguan terjadi, sekaligus melaksanakan pelatihan pemulihan secara berkala
2. Mengambil cadangan setidaknya setiap 4 jam sekali, agar data sebelum 4 jam terakhir tidak hilang saat terjadi gangguan.
3. Menetapkan target agar kemampuan pemrosesan sistem setelah pemulihan kembali hingga tingkat seperempat dari kondisi normal, lalu menyiapkan sistemnya.
4. Menyiapkan 4 jenis media cadangan, lalu beralih ke operasional yang menyimpannya secara terpisah di lokasi penyimpanan yang berbeda-beda.

Dalam rencana kelangsungan bisnis ditetapkan bahwa "setelah bencana terjadi, terlebih dahulu hanya operasional penerimaan pesanan yang dijalankan kembali dengan kemampuan pemrosesan 50% dari kondisi normal". Manakah indikator yang menunjukkan target ini?

1. BIA（analisis dampak bisnis）
2. RPO（target titik pemulihan）
3. RLO（target tingkat pemulihan）
4. RTO（target waktu pemulihan）

Manakah tujuan analisis dampak bisnis (business impact analysis/BIA) yang paling tepat?

1. Mengukur beban kerja dan waktu kerja setiap karyawan, untuk mengoptimalkan penempatan personel per departemen.
2. Memeriksa secara menyeluruh kerentanan yang ada pada sistem informasi, mengungkap bagian yang perlu diperbaiki dan prioritas penanganannya, lalu menyusun rencana perbaikan sebelumnya.
3. Menganalisis besarnya dampak dan rentang waktu ketika operasional berhenti, untuk mengungkap operasional penting yang harus diprioritaskan pemulihannya beserta sumber daya yang menjadi ketergantungannya.
4. Membandingkan harga satuan media cadangan, dan memilih media termurah untuk menekan biaya.

Cadangan penuh diambil pada hari Minggu, dan cadangan inkremental diambil setiap hari dari Senin sampai Sabtu. Jika terjadi gangguan pada malam Kamis, manakah kombinasi cadangan yang diperlukan untuk pemulihan?

1. Cadangan penuh yang diambil hari Minggu, dan cadangan inkremental yang diambil hari Kamis saja, total 2 buah
2. Menggunakan seluruh cadangan inkremental dari Senin sampai Kamis, dan tidak menggunakan cadangan penuh hari Minggu
3. Cadangan penuh hari Minggu, dan seluruh cadangan inkremental hari Senin, Selasa, Rabu, Kamis
4. Hanya menggunakan cadangan inkremental yang diambil hari Kamis tepat sebelum gangguan, dan tidak menggunakan yang lebih awal

Cadangan penuh diambil pada hari Minggu, dan cadangan diferensial diambil setiap hari dari Senin sampai Sabtu. Jika terjadi gangguan pada malam Kamis, manakah kombinasi cadangan yang diperlukan untuk pemulihan?

1. Hanya cadangan diferensial hari Kamis
2. Seluruh cadangan diferensial dari Senin sampai Kamis
3. Cadangan penuh hari Minggu, dan cadangan diferensial hari Kamis
4. Cadangan penuh hari Minggu, dan seluruh cadangan diferensial hari Senin, Selasa, Rabu, Kamis

Manakah penjelasan yang paling tepat mengenai aturan cadangan 3-2-1 dan cara penyimpanannya sebagai langkah pengendalian ransomware?

1. Patokan prosedur di mana 3 petugas melakukan konfirmasi ganda dan 1 penanggung jawab menyetujui sebelum pengambilan dilakukan.
2. Mengambil cadangan 3 kali sehari, menyimpan selama 2 minggu, dan membuang yang sudah melewati 1 tahun; ini adalah patokan operasional mengenai jumlah pengambilan dan lama penyimpanan.
3. Memiliki data sebanyak 3 buah termasuk aslinya, disimpan di 2 jenis media, dan salah satunya disimpan di lokasi lain. Selain itu, setelah pengambilan koneksinya diputus dan disimpan secara offline.
4. Metode penyimpanan yang mengenkripsi secara ganda dengan 3 jenis algoritma kriptografi, dengan kuncinya dikelola terpusat di 1 tempat.