Information security management

Every service handles information: customer data, payments, health records, designs. Information security management protects it from being leaked, changed or lost, while keeping services usable. It works best when security is part of how everyone works, not a separate team that says no.

Setiap layanan mengelola informasi: data pelanggan, pembayaran, rekam medis, desain. Information security management melindunginya agar tidak bocor, diubah, atau hilang, sambil tetap menjaga layanan mudah digunakan. Praktik ini paling efektif jika keamanan menjadi bagian dari cara kerja semua orang, bukan tim terpisah yang hanya bisa menolak.

Key ideasKonsep kunci

• The CIA triad. Confidentiality (only the right people see it), integrity (it stays accurate) and availability (it’s there when needed).
• Risk-based and proportionate. Protect what matters most; stronger controls for more sensitive information.
• Prevent, detect, correct. Controls that stop attacks, notice them early, and recover from them.
• Least privilege. People get only the access they need, reviewed regularly and removed when they leave.
• People are part of security. Awareness, easy reporting and a calm response to security incidents. Frameworks such as ISO/IEC 27001 and laws such as Indonesia’s UU PDP set expectations.

• CIA triad. Confidentiality (hanya orang yang tepat yang bisa melihat), integrity (tetap akurat), dan availability (tersedia saat dibutuhkan).
• Berbasis risiko dan proporsional. Lindungi yang paling penting; kontrol lebih kuat untuk informasi yang lebih sensitif.
• Cegah, deteksi, perbaiki. Kontrol yang menghentikan serangan, menyadarinya lebih awal, dan memulihkan diri darinya.
• Least privilege. Orang hanya mendapat akses yang dibutuhkan, ditinjau secara rutin, dan dicabut saat mereka keluar.
• Manusia adalah bagian dari keamanan. Kesadaran, pelaporan yang mudah, dan respons tenang terhadap security incident. Framework seperti ISO/IEC 27001 dan regulasi seperti UU PDP menetapkan ekspektasinya.

Key activitiesAktivitas kunci

A typical flow. Real work loops back and skips steps when it makes sense.

Alur yang umum. Dalam praktik, pekerjaan bisa kembali ke langkah sebelumnya atau melewati langkah tertentu bila masuk akal.

1. IdentifyWhat information do we hold, and what are the risks?
2. Set controlsPolicies and controls that match the risk.
3. Manage accessGrant, review and remove access.
4. DetectMonitor for threats and unusual activity.
5. RespondContain, fix and learn from security incidents.
6. Review and auditCheck controls work and improve them.

1. MengidentifikasiInformasi apa yang kita miliki, dan apa risikonya?
2. Menetapkan kontrolKebijakan dan kontrol yang sesuai dengan risiko.
3. Mengelola aksesMemberikan, meninjau, dan mencabut akses.
4. MendeteksiMemantau ancaman dan aktivitas yang tidak wajar.
5. MeresponsMenahan, memperbaiki, dan belajar dari security incident.
6. Meninjau dan mengauditMemastikan kontrol berfungsi dan memperbaikinya.

How to measure itCara mengukurnya

What each level looks likeGambaran setiap level

Use these descriptions as a quick self-check before running the full assessment. Level 3 is a strong, realistic target for most teams.

Gunakan deskripsi ini sebagai pengecekan cepat sebelum menjalankan asesmen lengkap. Level 3 adalah target yang kuat dan realistis bagi sebagian besar tim.

1. L1InitialSecurity depends on individuals. Passwords are shared and nobody knows who has access to what.
2. L2RepeatableBasic tools (antivirus, firewall) and some policies exist, but they are applied inconsistently.
3. L3DefinedPolicies, risk assessment, access management and incident response are defined and used across the organization.
4. L4MeasuredControls are measured and audited, and metrics drive security priorities.
5. L5OptimizedSecurity is built into design and the whole lifecycle, monitored continuously, with a culture where people report early.

1. L1InitialKeamanan bergantung pada individu. Password dibagi-bagikan dan tidak ada yang tahu siapa punya akses ke apa.
2. L2RepeatableSudah ada tools dasar (antivirus, firewall) dan sebagian kebijakan, tetapi penerapannya tidak konsisten.
3. L3DefinedKebijakan, penilaian risiko, manajemen akses, dan respons insiden sudah ditetapkan dan dipakai di seluruh organisasi.
4. L4MeasuredKontrol diukur dan diaudit, dan metrik menjadi dasar prioritas keamanan.
5. L5OptimizedKeamanan sudah menjadi bagian dari desain dan seluruh lifecycle, dipantau terus-menerus, dengan budaya di mana orang melapor sejak dini.

Assess information security management in the wizardNilai information security management di wizard →

Using AIMemanfaatkan AI

• Threat detection and alert triage that cut through security noise.
• Phishing detection in email and chat.
• Vulnerability summaries that explain what matters for your systems.
• New risks to manage: data leaking into AI tools, and attacks that trick AI systems (prompt injection).

• Deteksi ancaman dan triase peringatan yang menyaring kebisingan peringatan keamanan.
• Deteksi phishing di email dan chat.
• Ringkasan kerentanan yang menjelaskan apa yang penting bagi sistem Anda.
• Risiko baru yang perlu dikelola: kebocoran data ke tools AI, dan serangan yang menipu sistem AI (prompt injection).

Real-world example: a fake invoice at a logistics companyContoh kasus: tagihan palsu di perusahaan logistik3 min3 menit

A finance officer at a logistics company almost pays a supplier invoice to a new bank account. The email looks real, but it came from an attacker who had taken over the supplier’s mailbox.

Seorang staf keuangan di perusahaan logistik hampir membayar tagihan supplier ke rekening bank baru. Emailnya tampak asli, tetapi berasal dari penyerang yang telah mengambil alih kotak surat supplier tersebut.

The company adds three simple controls: multi-factor authentication for email, a rule that any change of bank details is confirmed by phone, and short monthly awareness sessions. Phishing test clicks drop from 18% to 4% in six months.

Perusahaan menambahkan tiga kontrol sederhana: autentikasi multifaktor untuk email, aturan bahwa setiap perubahan rekening harus dikonfirmasi lewat telepon, dan sesi kesadaran singkat setiap bulan. Tingkat klik pada uji phishing turun dari 18% menjadi 4% dalam enam bulan.

Common pitfallsJebakan umum

• Security seen as the department that blocks everything.
• Rules so painful that people find ways around them.
• Leavers keeping access for months.
• Treating a passed audit as proof of being secure.

• Keamanan dipandang sebagai departemen yang menghalangi segalanya.
• Aturan yang begitu menyulitkan sehingga orang mencari cara untuk menghindarinya.
• Karyawan yang sudah keluar masih memiliki akses berbulan-bulan.
• Menganggap lolos audit sebagai bukti sudah aman.

Related practicesPractice terkait