Respons Insiden dan Organisasi

Perangkat lunak antivirus pada PC kerja menampilkan peringatan "malware terdeteksi", dan kinerjanya pun menjadi tidak stabil. Manakah hal yang harus dilakukan pengguna pertama kali?

1. Menghapus seluruh riwayat deteksi dan log peringatan perangkat lunak antivirus, agar peringatan tidak muncul lagi
2. Memutuskan PC dari jaringan, misalnya dengan mencabut kabel LAN atau mematikan LAN nirkabel
3. Menekan lama tombol daya PC untuk segera mematikan dan menghentikannya
4. Mencari alat pembersih sendiri melalui internet, mengunduhnya, menjalankannya, dan membersihkannya sendiri

Untuk perangkat yang dicurigai terinfeksi malware, ditetapkan aturan untuk memutuskannya dari jaringan tanpa mematikan daya. Manakah alasan yang paling tepat untuk aturan ini?

1. Untuk menyisakan informasi volatil seperti data di memori atau status komunikasi, yang akan hilang jika daya dimatikan, demi penyelidikan penyebab
2. Karena mematikan daya akan membuat seluruh berkas di hard disk terenkripsi
3. Karena mematikan daya akan membuat file definisi perangkat lunak antivirus diatur ulang ke kondisi awal
4. Karena mematikan daya menjadi sinyal yang membuat malware secara otomatis menyebar ke jaringan internal perusahaan

Manakah penjelasan yang paling tepat mengenai hubungan antara kejadian keamanan informasi (information security event) dan insiden keamanan informasi (information security incident) menurut JIS Q 27000?

1. Insiden adalah peristiwa kecil yang terjadi sehari-hari, dan di antaranya yang kerugiannya besar sehingga perlu dilaporkan ke manajemen saja yang disebut kejadian, untuk membedakannya
2. Kejadian hanya mengacu pada peristiwa yang terjadi akibat serangan dari luar organisasi, dan insiden hanya mengacu pada peristiwa yang terjadi akibat pelanggaran peraturan oleh orang dalam
3. Kejadian dan insiden bersinonim, hanya berbeda sebutan saat ditulis dalam laporan
4. Kejadian menunjukkan terjadinya suatu peristiwa yang berkaitan dengan keamanan, dan di antaranya yang berkemungkinan besar mengancam operasional bisnis dan keamanan informasi disebut insiden

Manakah urutan umum tahapan penanganan insiden?

1. Analisis/investigasi → Deteksi/penerimaan → Pelaporan → Tindakan awal（triase）→ Pencegahan berulang → Penahanan/pemulihan
2. Deteksi/penerimaan → Analisis/investigasi → Pencegahan berulang → Tindakan awal（triase）→ Penahanan/pemulihan → Pelaporan
3. Deteksi/penerimaan → Tindakan awal（triase）→ Analisis/investigasi → Penahanan/pemulihan → Pelaporan → Pencegahan berulang
4. Tindakan awal（triase）→ Deteksi/penerimaan → Penahanan/pemulihan → Pencegahan berulang → Analisis/investigasi → Pelaporan

Seorang karyawan membuka lampiran email yang menyamar sebagai mitra bisnis, dan tidak terjadi apa-apa segera setelah membukanya, tetapi ia menjadi cemas. Manakah hal yang harus dilakukan karyawan ini pertama kali?

1. Untuk memastikan apakah benar email itu mencurigakan, mengirim email pertanyaan ke alamat pengirim dan menunggu sampai ada balasan
2. Untuk berjaga-jaga, membuka kembali lampiran tersebut sekali lagi dan memeriksa dengan teliti sendiri sampai akhir apakah isinya ada yang aneh
3. Memutuskan perangkat dari jaringan, lalu segera melaporkan kepada atasan dan penanggung jawab keamanan informasi（CSIRT）
4. Karena tidak terjadi apa-apa setelah membuka lampiran, menunggu situasi sejenak dan baru melapor ke loket setelah muncul kejanggalan

Manakah penjelasan yang paling tepat mengenai triase dalam penanganan insiden?

1. Memperkirakan cakupan dampak dan urgensi kasus yang diterima dalam waktu singkat, lalu menentukan prioritas penanganan dan penanggung jawabnya
2. Mengidentifikasi akar penyebab insiden dengan meluangkan waktu, lalu menentukan dan melaksanakan langkah pencegahan berulang yang permanen
3. Meminta petugas departemen pengguna memastikan satu per satu bahwa operasional telah kembali normal setelah pemulihan
4. Memastikan dengan nilai hash bahwa bukti yang dikumpulkan tidak diubah di tengah jalan, lalu mencatatnya

Disadari bahwa email berisi lampiran daftar nama pelanggan salah kirim ke perusahaan lain di luar karena kekeliruan tujuan. Manakah yang harus dilakukan pertama kali?

1. Menelepon sendiri pihak penerima untuk menjelaskan situasi, dan jika mendapat janji akan dihapus, tidak melaporkannya secara khusus ke internal perusahaan
2. Mencatat fakta（tujuan, waktu pengiriman, isi lampiran）, lalu segera melaporkan kepada atasan dan penanggung jawab keamanan informasi
3. Menghapus email tersebut dari kotak terkirim sendiri, sehingga tidak ada catatan pengiriman yang tersisa sama sekali di internal perusahaan
4. Karena tidak ingin merepotkan pelanggan, sebelum menyampaikan ke atasan, terlebih dahulu menelepon seluruh pelanggan satu per satu untuk meminta maaf

Manakah penjelasan yang paling tepat mengenai perbedaan manajemen insiden dan manajemen masalah?

1. Manajemen insiden bertujuan mengungkap akar penyebab dan mencegah kejadian berulang, dan manajemen masalah bertujuan menerapkan solusi sementara
2. Manajemen insiden bertujuan memulihkan layanan secepatnya, dan manajemen masalah bertujuan mengungkap akar penyebab dan mencegah kejadian berulang
3. Manajemen insiden dilakukan manajemen, dan manajemen masalah dilakukan departemen pengguna; itulah perbedaan penanggung jawabnya
4. Manajemen insiden hanya menangani kasus terkait keamanan informasi, dan manajemen masalah hanya menangani gangguan sistem; itulah perbedaannya

Seorang karyawan menyadari bahwa laptop pinjaman yang menyimpan informasi pelanggan hilang saat bepergian. Manakah hal yang harus dilakukan karyawan ini pertama kali?

1. Karena ada kemungkinan ditemukan, mencarinya sendiri pada hari itu terlebih dahulu, dan baru melapor jika belum ditemukan sampai pagi berikutnya
2. Mencatat waktu dan situasi saat menyadari kehilangan, lalu segera menghubungi atasan dan penanggung jawab keamanan informasi
3. Terlebih dahulu mengajukan laporan kehilangan ke kantor polisi terdekat, dan hanya melapor ke internal perusahaan jika akhirnya tidak ditemukan
4. Menghubungi pelanggan berdasarkan keputusan pribadi, dan lebih dulu menyampaikan bahwa informasi mungkin bocor

Petugas yang sedang memeriksa log server menemukan catatan bahwa akun administrator dicoba login berkali-kali pada tengah malam, dan sekali berhasil. Manakah hal yang harus dilakukan pertama kali?

1. Untuk sementara menginisialisasi server, mengembalikannya dari cadangan, lalu melanjutkan operasional seperti biasa
2. Mengamankan log yang bersangkutan（menyimpannya agar tidak tertimpa）, lalu melaporkan kepada CSIRT dan atasan
3. Karena membingungkan, menghapus baris log yang bersangkutan agar lebih rapi dan mudah dilihat
4. Menghubungkan diri sendiri ke alamat IP yang diduga sebagai sumber serangan, memeriksa sistem lawan, dan bersiap membalas serangan

Manakah cara pengamanan bukti dalam digital forensics yang paling tepat?

1. Menghapus terlebih dahulu berkas yang tidak diperlukan dan mengganggu analisis, mempersempit objek, baru membuat salinan
2. Menganalisis langsung dengan mengoperasikan disk asli yang menjadi objek, dan hanya mengambil serta menyimpan berkas yang diperlukan
3. Karena investigasi memakan waktu, petugas bergiliran mengerjakannya tanpa menyisakan catatan
4. Membuat salinan dari disk yang menjadi objek, menunjukkan kesamaannya dengan nilai hash, lalu melakukan analisis terhadap salinan tersebut

Manakah peran CSIRT yang dibentuk di internal perusahaan yang paling tepat?

1. Menerima laporan insiden melalui satu loket, menentukan triase dan arah penanganan, serta melakukan koordinasi dengan pihak internal maupun eksternal
2. Mengaudit sistem informasi perusahaan sendiri, mengajukan laporan audit kepada manajemen dari posisi independen, dan mengusulkan perbaikan
3. Menerima kontrak pengembangan sistem informasi, dan menangani secara menyeluruh mulai dari desain serta implementasi fungsi keamanan hingga pemeliharaan setelah diterapkan
4. Memantau kondisi kerja karyawan secara terus-menerus, dan memberikan sanksi disiplin kepada yang melanggar peraturan kerja

Manakah penjelasan yang paling tepat mengenai perbedaan peran CSIRT dan SOC?

1. SOC hanya menangani pekerjaan pemulihan setelah insiden terjadi, dan CSIRT hanya menangani pemantauan terus-menerus log dan peringatan pada masa normal, tanpa terlibat dalam koordinasi penanganan
2. SOC bertanggung jawab atas pelaporan kepada manajemen dan hubungan masyarakat, dan CSIRT bertanggung jawab hanya atas perubahan pengaturan perangkat
3. SOC mendeteksi dan menganalisis tanda-tanda serangan melalui pemantauan terus-menerus terhadap log dan peringatan, dan CSIRT menentukan arah penanganan kasus yang terdeteksi serta melakukan koordinasi internal-eksternal
4. SOC menangani kerentanan produk yang disediakan perusahaan sendiri, dan CSIRT hanya menangani loket pertanyaan dari luar perusahaan

Manakah penjelasan yang paling tepat mengenai PSIRT?

1. Tim yang memantau terus-menerus jaringan dan server internal perusahaan sendiri selama 24 jam, dan mendeteksi lebih dini anomali komunikasi
2. Organisasi tempat perusahaan anggota per industri membawa informasi ancaman, menganalisisnya, lalu membagikan hasilnya secara luas di antara perusahaan anggota
3. Tim yang menerima informasi kerentanan produk atau layanan yang disediakan perusahaan sendiri, lalu menyediakan versi perbaikan dan mengumumkannya kepada pelanggan
4. Organisasi yang menyusun strategi keamanan siber pemerintah secara menyeluruh, dan menetapkan serta mempublikasikan standar bersama yang harus dipatuhi setiap kementerian

Manakah organisasi domestik Jepang yang menerima laporan insiden, melakukan koordinasi antarpihak terkait dan kerja sama dengan CSIRT luar negeri, serta menerbitkan imbauan kewaspadaan?

1. ISMS-AC
2. NISC
3. Komisi Perlindungan Informasi Pribadi Jepang
4. JPCERT/CC

Manakah penjelasan yang paling tepat mengenai aktivitas J-CRAT?

1. Mengumpulkan informasi langkah pengendalian kerentanan dan mempublikasikannya di portal untuk pengguna
2. Menerima konsultasi dari organisasi yang diduga menjadi korban serangan bertarget, dan mendukung pencegahan perluasan kerugian serta penanganan dini
3. Mengakreditasi lembaga sertifikasi sistem manajemen keamanan informasi
4. Menganonimkan informasi serangan bertarget yang dibawa organisasi peserta lalu membagikannya, untuk membantu organisasi lain menyadari lebih dini

Ditemukan kerentanan yang belum dipublikasikan pada produk perangkat lunak yang digunakan perusahaan sendiri. Manakah penanganan yang paling tepat berdasarkan Kemitraan Kewaspadaan Dini Keamanan Informasi (Information Security Early Warning Partnership)?

1. Untuk memastikan apakah benar dapat dieksploitasi, mencobanya pada server produk yang sama milik perusahaan lain yang dipublikasikan
2. Melaporkan informasi terkait kerentanan ke IPA, dan menunggu koordinasi dengan pengembang serta publikasi oleh JPCERT/CC
3. Jika tidak berdampak pada perusahaan sendiri, tidak memberitahukannya kepada siapa pun dan cukup menyelesaikannya dengan langkah pengendalian internal saja
4. Untuk memberi tahu bahaya kepada pengguna, segera mempublikasikan detail kerentanan dan langkah reproduksinya di SNS

Manakah penjelasan yang paling tepat mengenai SIEM?

1. Mengumpulkan log berbagai perangkat dan perangkat lunak secara terpusat, lalu mendeteksi tanda-tanda serangan yang tidak dapat disadari dari log tunggal melalui analisis korelasi
2. Mekanisme yang mengenkripsi isi komunikasi agar isinya tidak dapat dibaca meskipun disadap di jalur
3. Mekanisme yang menyalin data penting ke lokasi jarak jauh, agar operasional dapat dimulai kembali dan dilanjutkan dalam waktu singkat meskipun terjadi bencana
4. Mekanisme yang secara paksa menerapkan penggantian kata sandi secara berkala dan larangan penggunaan ulang di layanan lain kepada pengguna perangkat

Manakah penjelasan yang paling tepat mengenai pelatihan meja (tabletop exercise) untuk menghadapi insiden keamanan informasi?

1. Pelatihan yang benar-benar menghentikan sistem, melakukan pekerjaan pemulihan di lingkungan produksi sesuai prosedur, lalu mengukur dan mencatat waktu yang dibutuhkan
2. Format pelatihan yang mengirimkan email pelatihan secara serentak kepada pengguna, lalu menghitung jumlah orang yang membukanya dan jumlah yang melapor ke loket
3. Pelatihan yang menyajikan skenario kerugian yang diasumsikan di atas kertas, lalu pihak terkait berkumpul untuk menelusuri alur keputusan dan komunikasi guna menemukan kekurangan dalam prosedur
4. Format pemeriksaan yang benar-benar melakukan serangan oleh pakar eksternal untuk mencoba apakah dapat menyusup ke sistem, lalu melaporkan hasilnya

Petugas departemen penjualan menyadari kejadian yang berpotensi menyebabkan berkas berisi data pribadi pelanggan bocor ke luar. Manakah hal yang harus dilakukan petugas ini pertama kali?

1. Mengikuti jalur pelaporan yang ditetapkan peraturan internal perusahaan, dan segera melapor kepada penanggung jawab pengelolaan informasi pribadi atau penanggung jawab keamanan informasi
2. Melanjutkan investigasi hanya di departemennya sendiri, dan baru melapor ke internal perusahaan setelah dipastikan bahwa kebocoran memang terjadi
3. Karena ada tidaknya kebocoran belum dipastikan, menghubungi satu per satu pelanggan yang berpotensi terdampak untuk memastikan
4. Menelepon langsung Komisi Perlindungan Informasi Pribadi Jepang atas nama pribadi petugas untuk menyampaikan situasi, lalu melapor ke atasan internal setelah menerima instruksinya

Mengenai pelaporan kebocoran data pribadi dan sejenisnya kepada Komisi Perlindungan Informasi Pribadi Jepang, manakah pernyataan yang paling tepat?

1. Laporan awal dilakukan segera setelah mengetahui kejadian, dan laporan final dilakukan pada prinsipnya dalam 30 hari（60 hari untuk kejadian yang diduga dilakukan dengan tujuan tidak sah）
2. Laporan awal maupun final tidak perlu dilakukan sampai investigasi selesai dan penyebab serta cakupan dampak dipastikan, dan baru dilaporkan sekaligus satu kali setelah dipastikan
3. Laporan hanya diterima secara tertulis, dan diserahkan ke Komisi Perlindungan Informasi Pribadi Jepang dalam waktu 3 bulan sejak mengetahui kejadian
4. Tidak ada perbedaan antara laporan awal dan final, dan cukup dilaporkan satu kali sekaligus dalam waktu 1 tahun sejak mengetahui kejadian

Dari kebocoran data pribadi dan sejenisnya, manakah yang tidak termasuk kejadian yang wajib dilaporkan kepada Komisi Perlindungan Informasi Pribadi Jepang?

1. Kejadian di mana data pribadi yang mengandung nomor kartu kredit bocor, sehingga berpotensi menimbulkan kerugian finansial akibat penyalahgunaan.
2. Kejadian di mana data pribadi yang dimiliki diduga dibawa keluar akibat akses tidak sah dari luar.
3. Kejadian di mana data pribadi yang mengandung informasi pribadi yang memerlukan pertimbangan khusus seperti riwayat penyakit karyawan bocor ke luar.
4. Kejadian di mana dokumen pengembangan produk yang bersifat rahasia internal salah dikirim ke luar, tetapi tidak mengandung data pribadi.

Mengenai pemberitahuan kepada pemilik data ketika terjadi kebocoran data pribadi dan sejenisnya, manakah pernyataan yang paling tepat?

1. Pemberitahuan kepada pemilik data hanyalah target upaya semata, dan jika peraturan internal perusahaan telah menetapkan sebelumnya untuk tidak melakukan pemberitahuan, semuanya termasuk pengumuman publik maupun pembukaan loket dapat diabaikan
2. Diberitahukan segera sesuai situasi kejadian, tetapi jika pemberitahuan sulit dilakukan misalnya karena kontak tidak diketahui, dapat diambil langkah alternatif seperti pengumuman publik atau pembukaan loket pertanyaan
3. Pemberitahuan kepada pemilik data hanya boleh dilakukan setelah laporan final diserahkan ke Komisi Perlindungan Informasi Pribadi Jepang dan isinya dikonfirmasi
4. Jika pelaporan ke Komisi Perlindungan Informasi Pribadi Jepang dilakukan dalam batas waktu, pemberitahuan kepada pemilik data menjadi tidak perlu secara seragam

Mengenai independensi auditor sistem, manakah pernyataan yang paling tepat?

1. Auditor harus melaksanakan sendiri pekerjaan perbaikan atas hal yang ditunjukkannya, dan memeriksa sendiri hasilnya
2. Auditor tidak boleh mengaudit sistem informasi yang pernah ia libatkan dalam desain, pengembangan, atau operasionalnya
3. Auditor dapat mengaudit departemen yang diaudit sambil tetap menjadi anggota departemen tersebut dan menangani pekerjaan sehari-hari
4. Auditor harus independen dari manajemen, dan tidak boleh menyerahkan laporan audit kepada manajemen

Mengenai cara pelaksanaan audit sistem, manakah pernyataan yang paling tepat?

1. Karena mengutamakan keyakinan auditor, pekerjaan mengumpulkan bukti objektif seperti jejak audit diabaikan
2. Melaksanakan investigasi utama terlebih dahulu untuk mengumpulkan fakta, baru kemudian menyusun rencana dan prosedur audit sesuai isinya
3. Karena audit dianggap selesai pada saat laporan audit diserahkan kepada manajemen, tindak lanjut untuk memastikan perbaikan atas hal yang ditunjukkan diabaikan
4. Menyusun rencana audit, memahami gambaran umum melalui investigasi awal, melaksanakan investigasi utama, melalui evaluasi dan kesimpulan menyerahkan laporan, lalu melalui tindak lanjut memastikan status perbaikan