Bidang Terkait（Teknologi・Manajemen・Strategi）

Perusahaan ingin hanya mengizinkan komunikasi HTTPS dari internal ke situs web eksternal melalui firewall. Nomor port tujuan mana yang harus diizinkan?

1. 80
2. 443
3. 23
4. 25

Jaringan internal perusahaan dibagi menjadi subnet per divisi, dan komunikasi antarsubnet dikendalikan oleh router. Apa tujuan utama langkah ini?

1. Mengenkripsi seluruh isi komunikasi yang melintasi subnet sehingga isinya tidak dapat dibaca meskipun disadap di tengah jalan
2. Memberikan alamat IP yang sama secara serentak kepada semua perangkat internal untuk sangat mengurangi beban pengelolaan alamat
3. Memblokir seluruh akses tidak sah dari internet eksternal di perbatasan sehingga tidak satu pun perangkat internal dapat disusupi
4. Meskipun satu perangkat terinfeksi malware, membatasi penyebaran kerusakan hanya dalam segmen tersebut dan memungkinkan pemutusan komunikasi di perbatasan

Perusahaan memberikan alamat IP privat kepada perangkat internal dan mengubahnya menjadi alamat IP global melalui NAPT untuk terhubung ke internet. Manakah penjelasan yang paling tepat mengenai konfigurasi ini?

1. Tujuan utama NAPT adalah menghemat alamat IP global, dan pengendalian komunikasi dari luar perlu dilakukan secara terpisah dengan firewall
2. Jika menggunakan NAPT, isi komunikasi otomatis terenkripsi sehingga VPN menjadi tidak diperlukan
3. Karena NAPT adalah mekanisme yang menyembunyikan alamat sumber, komunikasi tidak sah dari internal ke luar pun otomatis seluruhnya diblokir
4. Selama perangkat internal menggunakan alamat IP privat, karena tidak dapat dijangkau langsung dari luar maka perangkat tidak akan terinfeksi malware

Pekerja jarak jauh terhubung ke sistem perusahaan melalui VPN dari rumah. Manakah penjelasan yang paling tepat mengenai VPN?

1. VPN mengenkripsi dan melindungi jalur komunikasi, tetapi tidak menjamin keamanan perangkat yang terhubung, sehingga langkah pada sisi perangkat juga diperlukan
2. Jika menggunakan VPN, berkas yang tersimpan pada perangkat sumber otomatis terenkripsi
3. Jika terhubung dengan jalur komunikasi terenkripsi melalui VPN, meskipun perangkat sumber terinfeksi malware, dampaknya tidak akan sampai ke sistem perusahaan
4. VPN adalah jalur khusus fisik yang tidak menggunakan internet, dan tidak melewati fasilitas operator telekomunikasi

Manakah langkah keamanan LAN nirkabel kantor yang paling tepat?

1. Menggunakan WPA2 atau WPA3 untuk enkripsi dan autentikasi, sementara stealth SSID dan penyaringan alamat MAC diposisikan sebagai langkah pendukung
2. Selama penyaringan alamat MAC telah diatur, langkah lain termasuk enkripsi tidak diperlukan
3. Menghubungkan LAN nirkabel untuk tamu dan LAN nirkabel untuk pekerjaan internal ke jaringan yang sama, serta mengelola perangkat dan pengaturan titik akses secara terpusat
4. Selama fitur stealth SSID diaktifkan sehingga SSID tidak terlihat dari luar, metode enkripsi tetap WEP pun sudah cukup aman

Untuk mengurangi kerugian akibat email penyamaran yang memalsukan domain sendiri, autentikasi domain pengirim diterapkan. Manakah penjelasan yang paling tepat mengenai SPF, DKIM, dan DMARC?

1. DMARC adalah mekanisme mengenkripsi isi email sehingga tidak dapat dibaca pihak ketiga di jalur komunikasi.
2. SPF adalah mekanisme memverifikasi tanda tangan elektronik, DKIM adalah mekanisme mempublikasikan alamat IP server yang diizinkan mengirim melalui DNS untuk dicocokkan, DMARC adalah mekanisme sisi pengirim mempublikasikan kebijakan penanganan email yang gagal autentikasi.
3. SPF adalah mekanisme mempublikasikan alamat IP server yang diizinkan mengirim melalui DNS untuk dicocokkan, DKIM adalah mekanisme memverifikasi tanda tangan elektronik, DMARC adalah mekanisme mempublikasikan kebijakan penanganan email yang gagal autentikasi.
4. Ketiganya cukup diatur pada server email sisi penerima saja, dan tidak perlu ada pengaturan apa pun pada domain sisi pengirim.

Server dan perangkat jaringan internal disinkronkan waktunya dengan server NTP. Mengapa hal ini penting dari sisi keamanan informasi?

1. Karena log dari berbagai perangkat dapat dicocokkan secara kronologis, sehingga kronologi insiden dapat dilacak secara akurat dan nilai sebagai jejak audit pun terjaga
2. Karena jika waktu selaras, komunikasi otomatis terenkripsi sehingga tidak lagi disadap
3. Karena jika waktu selaras, waktu malware mulai beraksi dapat diprediksi terlebih dahulu, sehingga komunikasi pada waktu tersebut dapat diblokir sebelumnya
4. Karena jika waktu selaras, ukuran berkas log yang dihasilkan setiap perangkat menjadi lebih kecil, sehingga periode penyimpanan log pada perangkat yang sama dapat diperpanjang

Perusahaan membangun server bisnis sendiri menggunakan IaaS. Berdasarkan model tanggung jawab bersama, apa yang seharusnya dilakukan pengguna?

1. Menerapkan patch pada sistem operasi tamu atau middleware yang diinstal sendiri, sebagai tanggung jawab pengguna secara terencana
2. Menerapkan langkah penanggulangan kerentanan dan patch untuk platform virtualisasi (hypervisor) itu sendiri, sebagai tanggung jawab pengguna secara terencana
3. Melakukan pengelolaan akses masuk-keluar dan pengamanan fasilitas pusat data secara langsung dengan mendatangi lokasi, termasuk menyimpan catatannya, sebagai pengguna
4. Melakukan penggantian komponen ketika perangkat keras server fisik rusak, dengan mendatangi pusat data secara langsung sebagai pengguna

Layanan berbagi berkas SaaS digunakan untuk pekerjaan, tetapi petugas mengatur cakupan berbagi menjadi “siapa pun yang mengetahui tautan”, sehingga berkas rahasia dapat dilihat dari luar perusahaan. Manakah penjelasan yang paling tepat berdasarkan model tanggung jawab bersama?

1. Karena dalam SaaS penyedia layanan dianggap melindungi segalanya, kejadian ini pun menjadi tanggung jawab penyedia
2. Pengaturan cakupan berbagi saat menggunakan SaaS dioptimalkan secara otomatis oleh penyedia layanan, sehingga baik pengguna maupun penyedia tidak menanggung tanggung jawab
3. Pengaturan hak akses dan cakupan berbagi, serta pengelolaan data yang ditempatkan di sana, merupakan tanggung jawab pengguna
4. Karena pengguna tidak memiliki wewenang untuk pengaturan berbagi dalam SaaS, keadaan seperti ini tidak akan terjadi

Aplikasi bisnis yang dikembangkan sendiri dijalankan di atas PaaS. Ketika ditemukan kerentanan SQL injection pada aplikasi ini, manakah respons yang paling tepat?

1. Karena ini kerentanan pada OS itu sendiri, mengatasinya dengan menerapkan program perbaikan pada OS tamu oleh pengguna
2. Karena aplikasi yang dikembangkan sendiri menjadi tanggung jawab pengguna, memperbaiki programnya sendiri
3. Karena pada PaaS pengguna tidak dapat mengembangkan aplikasi, kerentanan seperti ini tidak akan terjadi
4. Karena ini masalah pada sisi lingkungan eksekusi yang disediakan penyedia PaaS, cukup menunggu penyediaan perbaikan dari penyedia

Perangkat A dengan tingkat ketersediaan 0,95 dan perangkat B dengan tingkat ketersediaan 0,90 dihubungkan secara seri, dan sistem hanya berjalan jika A dan B keduanya beroperasi. Berapa tingkat ketersediaan keseluruhan sistem? Anggap kegagalan A dan B saling independen.

1. 0,990
2. 0,855
3. 0,900
4. 0,925

Dua unit perangkat dengan tingkat ketersediaan 0,90 disiapkan dalam konfigurasi redundan, di mana sistem berjalan selama salah satu beroperasi. Berapa tingkat ketersediaan keseluruhan sistem? Anggap kegagalan kedua unit saling independen.

1. 0,90
2. 0,95
3. 0,81
4. 0,99

Disk server berkas dikonfigurasi dengan RAID1 (mirroring). Bagaimana penilaian yang tepat terhadap konfigurasi ini sebagai langkah antiransomware?

1. RAID1 efektif untuk kegagalan disk, tetapi enkripsi tercermin pada kedua disk sekaligus, sehingga backup bergenerasi perlu disimpan juga secara offline atau di lokasi jauh
2. Jika jumlah disk RAID1 ditambah menjadi konfigurasi 5 unit, kerusakan akibat ransomware dapat dicegah
3. Karena RAID1 adalah mekanisme yang selalu melarang penulisan ke disk, meskipun ransomware mencoba mengenkripsi berkas, penulisan tidak dapat dilakukan sehingga kerusakan dianggap tidak terjadi
4. Jika menggunakan RAID1, berkas yang terenkripsi pun otomatis dapat dipulihkan dari isi disk lainnya, sehingga langkah tambahan seperti pengambilan backup pada dasarnya tidak diperlukan

Tabel karyawan pada basis data SDM memiliki kolom nomor karyawan, nama, divisi, jabatan, gaji, dan nomor induk kependudukan. Perusahaan ingin karyawan umum dapat melihat hanya nama, divisi, dan jabatan sebagai daftar karyawan. Manakah metode yang paling tepat?

1. Mendefinisikan view yang hanya mengambil kolom nama, divisi, dan jabatan, lalu hanya memberikan hak akses baca atas view tersebut kepada karyawan umum
2. Memberikan hak akses baca atas tabel karyawan itu sendiri kepada semua karyawan, sambil mengimbau secara internal agar tidak melihat kolom gaji dan nomor induk kependudukan
3. Mengubah tabel karyawan menjadi dapat diperbarui oleh semua karyawan, sambil mengosongkan seluruh nilai kolom gaji dan nomor induk kependudukan secara permanen
4. Menempatkan backup tabel karyawan di folder bersama, dan masing-masing mencari informasi yang diperlukan dari sana

Disk server basis data tidak dapat digunakan akibat kegagalan dan telah diganti dengan disk lain. Backup malam sebelumnya dan log setelah pembaruan (redo log) yang diambil sesudahnya masih tersimpan. Manakah metode untuk memulihkan ke keadaan tepat sebelum kegagalan terjadi?

1. Hanya memulihkan backup dan melanjutkan operasi dalam keadaan seperti saat backup diambil malam sebelumnya
2. Memulihkan backup, kemudian menjalankan roll-forward untuk menerapkan log setelah pembaruan
3. Hanya menjalankan rollback yang membatalkan transaksi yang terhenti di tengah proses, untuk pemulihan
4. Hanya menggunakan log sebelum pembaruan untuk mengembalikan ke keadaan sebelum waktu backup diambil

Dalam pengembangan sistem bisnis baru, manakah cara yang sesuai dengan pemikiran security by design?

1. Hanya kembali ke tahap desain jika kerentanan ditemukan pada tahap pengujian, dan mempertimbangkan serta menambahkan langkah keamanan yang diperlukan saat itu saja
2. Karena keamanan adalah pekerjaan petugas operasional, sama sekali tidak mempertimbangkannya baik sebagai persyaratan maupun desain selama tahap pengembangan
3. Menentukan persyaratan keamanan seperti pembagian hak akses, cakupan pengambilan log, enkripsi, dan metode autentikasi pada tahap perencanaan dan definisi kebutuhan
4. Memprioritaskan implementasi fungsi terlebih dahulu dan melanjutkan pengembangan, lalu menambahkan fungsi keamanan yang diperlukan secara bertahap setelah operasional dimulai

Manakah penjelasan yang paling tepat mengenai uji penetrasi (penetration test) yang dilakukan sebelum sistem web dipublikasikan?

1. Pengujian yang memeriksa struktur internal program dan memastikan semua percabangan kondisi dijalankan setidaknya sekali, dengan tingkat kualitas diukur dari tingkat cakupan
2. Pengujian yang mencoba melakukan penyusupan sungguhan dari sudut pandang penyerang untuk memeriksa apakah pertahanan dapat ditembus, dan memerlukan persetujuan pengelola sistem target sebelum dilaksanakan
3. Pengujian yang memeriksa dari luar tanpa melihat struktur internal program apakah keluaran sesuai spesifikasi untuk suatu masukan, sekaligus berfungsi sebagai konfirmasi akhir sebelum publikasi dan evaluasi kemungkinan penyusupan
4. Pengujian yang meminta pengguna benar-benar mengoperasikan sistem untuk mengevaluasi kejelasan tampilan dan kemudahan penggunaan

Manakah penjelasan yang paling tepat mengenai perbedaan antara manajemen insiden dan manajemen masalah dalam manajemen layanan?

1. Manajemen insiden bertujuan menyelidiki akar penyebab untuk mencegah terulangnya kejadian, dan manajemen masalah bertujuan mengembalikan layanan ke keadaan normal secepat mungkin.
2. Manajemen insiden bertujuan mengembalikan layanan ke keadaan normal secepat mungkin, dan manajemen masalah bertujuan menyelidiki akar penyebab untuk mencegah terulangnya kejadian.
3. Manajemen insiden hanya menangani kecelakaan terkait keamanan informasi, dan manajemen masalah menangani semua gangguan atau kecelakaan lainnya, yaitu dibedakan berdasarkan cakupan objek.
4. Manajemen insiden dan manajemen masalah menunjuk pada kegiatan yang sama persis, dengan objek, tujuan, dan prosedur yang sama, hanya berbeda sebutan saat ditulis dalam laporan.

Dalam mengonsinyasikan operasional sistem bisnis kepada pihak luar, dibuat SLA. Manakah pernyataan yang paling tepat mengenai SLA?

1. SLA adalah dokumen yang menyepakati tingkat kualitas layanan secara numerik antara penyedia dan pengguna, mencakup tingkat operasional dan target waktu pemulihan, serta hal-hal terkait keamanan seperti batas waktu pelaporan saat insiden dan periode penyimpanan log
2. SLA adalah peraturan internal pihak penyedia layanan dan ditetapkan untuk tidak diungkapkan kepada pengguna
3. SLA hanya mencantumkan target terkait ketersediaan seperti tingkat operasional dan target waktu pemulihan, dan hal-hal terkait keamanan seperti batas waktu pelaporan saat insiden atau periode penyimpanan log sama sekali tidak boleh dicantumkan
4. SLA sekali disepakati tidak boleh ditinjau ulang, dan status pencapaiannya pun tidak diukur selama masa kontrak

Manakah kombinasi penjelasan yang paling tepat mengenai manajemen perubahan dan manajemen konfigurasi dalam manajemen layanan?

1. Manajemen perubahan adalah kegiatan menjadi loket tunggal untuk menerima pertanyaan pengguna atau laporan gangguan, dan manajemen konfigurasi bertujuan memulihkan layanan secepat mungkin dari gangguan yang terjadi.
2. Manajemen perubahan adalah kegiatan menyelidiki akar penyebab gangguan, dan manajemen konfigurasi adalah kegiatan memastikan kapasitas pemrosesan yang diperlukan untuk operasi bisnis.
3. Manajemen perubahan adalah kegiatan mengevaluasi dampak perubahan pada sistem, memperoleh persetujuan, lalu melaksanakan dan mencatatnya; manajemen konfigurasi adalah kegiatan terus memahami secara akurat elemen konfigurasi seperti perangkat, perangkat lunak, dan pengaturan beserta hubungannya.
4. Manajemen perubahan adalah kegiatan auditor menginstruksikan perbaikan kepada divisi yang diaudit, dan manajemen konfigurasi adalah kegiatan manajemen menilai kelayakan investasi.

Audit sistem akan dilaksanakan secara internal perusahaan. Dari sudut pandang independensi auditor sistem, manakah yang paling tepat?

1. Petugas divisi audit internal yang secara organisasi independen dari divisi yang diaudit, atau auditor eksternal, yang melakukan audit
2. Kepala divisi yang menjadi objek audit, mengaudit sendiri pekerjaan divisinya dan membuat serta menyerahkan laporan auditnya
3. Petugas operasional divisi sistem informasi mengaudit sendiri sistem bisnis yang sehari-hari dioperasikannya
4. Pemimpin proyek yang bertanggung jawab atas pengembangan sistem yang diaudit, mengaudit sendiri sistem tersebut

Manakah penjelasan yang paling tepat mengenai jejak audit dan tindak lanjut dalam audit sistem?

1. Jejak audit adalah laporan audit itu sendiri yang dibuat auditor, yang tidak diungkapkan kepada divisi yang diaudit demi menjaga independensi, dan pada tindak lanjut divisi yang diaudit menilai sendiri status perbaikan lalu menyatakannya selesai
2. Jejak audit adalah mekanisme atau catatan yang memungkinkan penelusuran ke belakang mengenai kapan, oleh siapa, dan bagaimana suatu proses dilakukan, dan pada tindak lanjut auditor memastikan status perbaikan atas hal yang ditunjuk
3. Jejak audit hanya diambil selama periode audit, dan pada operasional biasa pengambilannya dapat diabaikan
4. Pada tindak lanjut, auditor sendiri yang merancang dan melaksanakan langkah perbaikan untuk menyelesaikan masalah

Manakah penjelasan yang paling tepat mengenai peran CISO di perusahaan?

1. Merancang strategi penjualan dan harga produk perusahaan sendiri, serta bertanggung jawab atas pencapaian target penjualan
2. Menyusun laporan keuangan dan memberikan penjelasan terkait akuntansi dalam rapat umum pemegang saham
3. Bertanggung jawab atas penyusunan kebijakan keamanan informasi, penetapan kebijakan respons risiko, komando saat insiden terjadi, dan pelaporan kepada manajemen puncak
4. Melakukan sendiri pekerjaan pemasangan dan pengkabelan PC serta perangkat jaringan internal, juga menangani pemeliharaan harian dan respons ketika terjadi gangguan

Dari sudut pandang pengendalian internal, manakah pengoperasian yang sesuai dengan pemikiran pemisahan tugas?

1. Memisahkan petugas yang melakukan pemesanan pembelian dengan petugas yang melakukan pemeriksaan penerimaan barang menjadi orang yang berbeda
2. Memprioritaskan efisiensi operasi dengan juga memberikan hak akses perubahan lingkungan produksi kepada petugas pengembangan sistem
3. Memberikan hak akses administrator kepada semua karyawan agar siapa pun dapat melakukan pekerjaan yang diperlukan
4. Satu petugas melakukan secara berkesinambungan mulai dari permohonan, persetujuan, pelaksanaan, hingga pencatatan, agar tanggung jawab jelas

Manakah urutan pengadaan yang paling tepat ketika memesan sistem bisnis kepada pihak luar?

1. Surat Permintaan Informasi (RFI) → Surat Permintaan Proposal (RFP) → Penerimaan dan evaluasi proposal → Kontrak
2. Kontrak → Surat Permintaan Proposal (RFP) → Penerimaan dan evaluasi proposal → Surat Permintaan Informasi (RFI)
3. Surat Permintaan Proposal (RFP) → Surat Permintaan Informasi (RFI) → Kontrak → Penerimaan dan evaluasi proposal
4. Penerimaan dan evaluasi proposal → Surat Permintaan Informasi (RFI) → Kontrak → Surat Permintaan Proposal (RFP)

Perusahaan mengonsinyasikan pekerjaan yang menangani data pribadi pelanggan kepada pihak luar. Manakah pernyataan yang paling tepat mengenai pemilihan dan pengelolaan pihak yang dikonsinyasikan?

1. Meskipun pihak yang dikonsinyasikan mengonsinyasikan lagi kepada pihak lain, tidak perlu memberi tahu pihak yang mengonsinyasikan
2. Cukup memilih vendor dengan harga dan waktu pengiriman paling menguntungkan, sedangkan status perolehan sertifikasi, hal-hal terkait keamanan, dan kesepakatan saat terjadi kecelakaan dibicarakan setelah kontrak ditandatangani
3. Begitu dikonsinyasikan, seluruh tanggung jawab pengelolaan data pribadi berpindah kepada pihak yang dikonsinyasikan, sehingga pihak yang mengonsinyasikan sepenuhnya melepaskan pengelolaan dan pengawasan setelah pemilihan
4. Mencantumkan dalam kriteria pemilihan dan kontrak hal-hal seperti status perolehan sertifikasi, perlakuan terhadap subkonsinyasi, kewajiban pelaporan saat kecelakaan, penerimaan audit, dan penghapusan data saat kontrak berakhir, serta terus menerima laporan dan melakukan pengawasan setelah konsinyasi berjalan

Karyawan mengajukan permohonan untuk menggunakan layanan AI generatif dalam pekerjaan. Dari sudut pandang pencegahan kebocoran informasi, manakah aturan yang paling tepat untuk ditetapkan organisasi?

1. Karena isi yang dimasukkan pasti akan dihapus oleh penyedia layanan, informasi rahasia pun boleh dimasukkan secara bebas
2. Melarang seragam penggunaan AI generatif pada perangkat internal perusahaan karena dianggap berbahaya, sementara penggunaan melalui perangkat pribadi atau akun pribadi diserahkan pada keputusan masing-masing
3. Membiarkan setiap karyawan memilih layanan AI generatif sesuai keputusan pribadinya, dan juga membiarkan data yang ditangani dalam pekerjaan dimasukkan secara bebas tanpa batasan
4. Membatasi layanan yang boleh digunakan hanya yang telah disetujui organisasi, dan menegaskan dalam aturan bahwa informasi pribadi pelanggan atau informasi manajemen yang belum dipublikasikan tidak boleh dimasukkan

AI generatif diminta membuat draf materi penjelasan untuk pihak eksternal. Bagaimana penanganan draf ini yang paling tepat?

1. Karena AI generatif terkadang menghasilkan keluaran yang tampak meyakinkan meskipun tidak berdasarkan fakta, dan hasilnya berpotensi mirip dengan karya cipta yang sudah ada, konfirmasi fakta dan pemeriksaan hubungan hak dilakukan oleh manusia sebelum dipublikasikan
2. Selama sumber dicantumkan, dapat langsung dipublikasikan tanpa melakukan konfirmasi fakta
3. Karena keluaran AI generatif dibuat berdasarkan data pelatihan dalam jumlah besar, isinya selalu akurat dan tidak mungkin mirip dengan karya cipta yang sudah ada, sehingga dipublikasikan langsung tanpa pemeriksaan
4. Karena tulisan yang dibuat AI generatif tidak mungkin menimbulkan masalah hak cipta, pemeriksaan hubungan hak tidak diperlukan

Untuk suatu aset informasi, kerugian saat terjadi kecelakaan diperkirakan 20 juta yen per kejadian, dengan probabilitas terjadinya 10% per tahun. Manakah cara berpikir yang tepat dari sudut pandang keputusan manajemen mengenai biaya langkah pencegahan kecelakaan ini?

1. Perkiraan kerugian tahunan adalah 2 juta yen, sehingga nilai ini dibandingkan dengan biaya tahunan langkah pencegahan untuk menilai kelayakan investasi. Namun, hal yang berkaitan dengan nyawa manusia atau kepatuhan hukum tidak diputuskan hanya berdasarkan efektivitas biaya
2. Perkiraan kerugian tahunan adalah 2 juta yen, tetapi biaya langkah pencegahan harus selalu sebesar kerugian per kejadian penuh yaitu 20 juta yen, tanpa memandang besarannya, dan efektivitas biaya tidak perlu dipertimbangkan
3. Selama probabilitas terjadinya tidak 100%, kecelakaan dianggap tidak akan terjadi sehingga langkah pencegahan dinilai tidak perlu
4. Karena langkah keamanan adalah biaya yang tidak menghasilkan pendapatan, biaya sama sekali tidak perlu dikeluarkan

Untuk melaporkan status kegiatan keamanan informasi kepada manajemen puncak secara numerik, ditetapkan KGI, CSF, dan KPI. Manakah kombinasi yang paling tepat?

1. KPI adalah indikator rahasia yang hanya dipahami manajemen puncak, sehingga tidak ditunjukkan kepada divisi terkait
2. KGI ditetapkan sebagai “jumlah kejadian insiden besar menjadi nol”, CSF sebagai “peningkatan kesadaran keamanan seluruh karyawan”, KPI sebagai “tingkat pembukaan email pelatihan” atau “rata-rata jumlah hari perbaikan kerentanan”
3. KGI, CSF, dan KPI ketiganya adalah indikator hasil akhir yang sama, dan ditulis sebagai hal yang sama sebanyak tiga kali
4. KGI ditetapkan sebagai “tingkat pembukaan email pelatihan serangan bertarget di bawah 5%”, CSF sebagai “melaksanakan pelatihan berulang setiap tahun”, KPI sebagai “menjadikan jumlah kejadian insiden besar menjadi nol”