Alibaba Cloud menyadari pentingnya penilaian risiko bagi pelanggan saat mengadopsi solusi cloud untuk men-hosting sistem bisnis dan data mereka. Proses penilaian risiko yang terdefinisi dengan baik memastikan potensi risiko keamanan teridentifikasi dan terkendali dalam ambang batas yang dapat diterima. Bagian ini memberikan panduan untuk membantu pelanggan melakukan penilaian risiko secara efektif melalui kerangka kerja keamanan Alibaba Cloud.

Alibaba Cloud mengikuti model tanggung jawab bersama, di mana tanggung jawab keamanan antara Alibaba Cloud dan pelanggan bervariasi berdasarkan jenis layanan cloud yang dipilih:

Infrastructure as a Service (IaaS)

● Tanggung Jawab Alibaba Cloud: Memastikan keamanan pusat data fisik, infrastruktur jaringan, keamanan platform cloud, dan kepatuhan terhadap regulasi global.
● Tanggung Jawab Pelanggan: Mengamankan aplikasi buatan sendiri, workload, serta data bisnis dan pengguna yang di-host di cloud. Melakukan operasi keamanan berkelanjutan.

Platform as a Service (PaaS)

● Tanggung jawab Alibaba Cloud: Selain tanggung jawab IaaS, memastikan keamanan mesin virtual, tanggung jawab bersama untuk keamanan aplikasi, serta mengintegrasikan solusi keamanan pihak ketiga.
● Tanggung jawab pelanggan: Mengamankan kode aplikasi, data, manajemen akun cloud, dan konfigurasi access control. Menerapkan praktik terbaik keamanan dalam pengembangan aplikasi cloud.

Software as a Service (SaaS)

● Tanggung Jawab Alibaba Cloud: Memastikan keamanan aplikasi, keamanan layanan yang di-host di cloud, dan kebijakan akses jaringan.
● Tanggung Jawab Pelanggan: Mengamankan kredensial akun, kebijakan akses pengguna, dan konfigurasi keamanan data.

Untuk mengelola risiko keamanan secara efektif, pelanggan harus:

1. Memahami pembagian tanggung jawab keamanan saat memilih IaaS, PaaS, atau SaaS.

2. Menggunakan kapabilitas keamanan Alibaba Cloud untuk meningkatkan strategi mitigasi risiko.

3. Merancang arsitektur cloud dengan mempertimbangkan keamanan, memastikan keselarasan dengan praktik terbaik dan persyaratan kepatuhan.

Alibaba Cloud menyediakan rangkaian lengkap tool dan layanan keamanan untuk membantu pelanggan mengimplementasikan lingkungan cloud yang aman. Pelanggan harus secara proaktif mengonfigurasi dan menggunakan fitur-fitur keamanan ini untuk memperkuat postur keamanan cloud mereka.

Alibaba Cloud mempertahankan program kepatuhan berkelanjutan untuk memastikan kepatuhan terhadap standar keamanan internasional, regional, dan industri. Sertifikasi keamanan dan kepatuhan kami meliputi:

● ISO 27001 (Manajemen Keamanan Informasi)
● Laporan SOC 1/SOC 2/SOC 3
● Attestasi keamanan global dan spesifik industri lainnya

Mengakses Laporan Kepatuhan

● Pelanggan dapat mengunduh laporan kepatuhan keamanan dari Alibaba Cloud Trust Center setelah menandatangani NDA.
● Laporan ini, yang diterbitkan oleh auditor eksternal independen, menilai efektivitas keamanan dan mekanisme kontrol Alibaba Cloud.
● Dengan meninjau laporan audit ini, pelanggan dapat memvalidasi komitmen keamanan Alibaba Cloud dan memastikan keselarasan dengan framework penilaian risiko internal mereka.

Alibaba Cloud mengoperasikan kerangka kerja manajemen risiko lengkap yang dirancang untuk memastikan operasi bisnis yang aman dan pembangunan berkelanjutan. Dengan mengintegrasikan proses identifikasi, penilaian, dan mitigasi risiko strategis, kami meningkatkan kemampuan untuk mengelola potensi ancaman secara proaktif sambil mempertahankan kepatuhan terhadap standar regulasi. Kerangka tata kelola risiko kami selaras dengan praktik terbaik internasional, memastikan kelangsungan bisnis, kepatuhan regulasi, dan keunggulan operasional.

Kerangka kerja manajemen risiko Alibaba Cloud mengadopsi pendekatan holistik dan terstruktur untuk mengidentifikasi, menilai, memitigasi, dan memantau risiko di seluruh organisasi kami. Kami menekankan tata kelola risiko proaktif untuk memastikan bahwa semua unit bisnis beroperasi dalam lingkungan risiko yang aman dan tangguh.

Aspek utama dari pendekatan manajemen risiko kami meliputi:
● Peningkatan proses dan metodologi manajemen risiko
● Model identifikasi, penilaian, dan tata kelola risiko yang efektif
● Mekanisme respons darurat yang matang

● Kelengkapan dan Konsistensi: Untuk memastikan pendekatan manajemen risiko yang terstruktur dengan baik dan menyeluruh, kerangka kerja kami berlaku untuk semua karyawan Alibaba Cloud, dengan menggunakan bahasa manajemen risiko yang terpadu. Hal ini memastikan bahwa semua unit bisnis mengelola risiko secara sistematis sambil membudayakan kesadaran risiko yang kuat dalam operasional sehari-hari.

● Manajemen berbasis kategori dan tingkatan: Risiko dikategorikan dan dikelompokkan secara bertingkat secara dinamis, dengan akuntabilitas yang jelas diberikan kepada personel yang bertanggung jawab.

● Tata Kelola yang Beragam: Berdasarkan persyaratan manajemen risiko dan realitas bisnis, kami merumuskan strategi dan langkah-langkah yang ditargetkan untuk memungkinkan prediksi risiko proaktif, pengambilan keputusan ilmiah, dan manajemen yang efektif.

Alibaba Cloud mengikuti model penilaian risiko yang terorganisir dan terstruktur untuk memastikan identifikasi, evaluasi, dan mitigasi potensi ancaman dilakukan tepat waktu. Metodologi kami mencakup:

● Identifikasi Risiko: Kami menggunakan sistem otomatis, audit internal, dan sumber informasi eksternal untuk memantau dan mendeteksi potensi risiko.
● Penilaian Risiko: Risiko dievaluasi berdasarkan dampak potensialnya terhadap operasi bisnis, kepatuhan regulasi, keamanan, stabilitas finansial, dan kepercayaan pelanggan.
● Tata Kelola Risiko: Risiko diprioritaskan berdasarkan kemungkinan dan tingkat keparahannya, memungkinkan strategi mitigasi yang ditargetkan.

● Respons insiden: Jika terjadi insiden keamanan yang tidak terduga, Alibaba Cloud menerapkan pendekatan respons berbasis klasifikasi dan tingkatan. Tergantung pada sifat, tingkat ancaman, dan dampak potensial insiden, kami segera membentuk tim respons darurat yang dipimpin oleh ahli, baik dalam satu tim maupun lintas beberapa tim. Pendekatan kami mencakup peringatan dini dan respons, penilaian dan mitigasi real time, serta tinjauan dan tata kelola pasca-insiden, yang semuanya bertujuan untuk meminimalkan dampak pada platform Alibaba Cloud dan operasi bisnis pelanggan kami.

● Latihan Darurat: Selama operasi rutin, Alibaba Cloud melaksanakan latihan darurat yang disesuaikan dengan persyaratan kepatuhan di berbagai negara dan region. Latihan ini menilai pemahaman terhadap tugas, kecepatan respons, dan efisiensi koordinasi tim terkait, untuk memastikan kepatuhan, meningkatkan kemampuan respons, serta mengumpulkan pengalaman penanganan insiden.

Alibaba Cloud menerapkan manajemen log yang ketat sepanjang operasional harian, mencakup berbagai dimensi, termasuk host, jaringan, aplikasi, dan produk cloud, untuk memastikan aktivitas tidak sah dan perilaku abnormal dipantau dan terdeteksi secara rinci. Bagian ini menguraikan pendekatan lengkap Alibaba Cloud dalam men-deploy pencatatan audit untuk terus meningkatkan postur keamanan kami.

Alibaba Cloud menerapkan strategi manajemen log terpusat untuk memastikan kami memiliki pandangan holistik terhadap lingkungan cloud, sehingga meningkatkan keamanan dan efisiensi operasional melalui berbagai jenis log dari beragam sumber, seperti server, aplikasi, perangkat jaringan, dan sistem keamanan. Engineer O&M Alibaba Cloud hanya diizinkan melakukan operasi pemeliharaan yang relevan pada sistem produksi melalui bastion host. Seluruh proses operasi dicatat dalam log. Setelah dikumpulkan, log tersebut ditransmisikan secara aman ke Platform Pencatatan Log Terpusat kami, yang berfungsi sebagai titik tunggal untuk menyimpan dan mengelola semua data log.

Analisis log merupakan inti dari strategi manajemen log terpusat Alibaba Cloud. Aturan audit dan monitoring didefinisikan dalam Platform Pencatatan Log Terpusat untuk memantau aktivitas sensitif dan mendeteksi perilaku mencurigakan. Proses ini melibatkan penggunaan analitik canggih, termasuk algoritma machine learning, untuk mengidentifikasi pola, anomali, dan potensi ancaman keamanan. Mekanisme monitoring dan alerting real-time disiapkan untuk memicu alert pada platform monitoring keamanan dan membuka ticket bagi tim keamanan untuk meninjau dan menindaklanjuti, sehingga risiko yang teridentifikasi dapat dibatasi dan tetap terkendali.

Strategi manajemen log terpusat internal Alibaba Cloud memainkan peran penting dalam memastikan data log tetap terlindungi dari segi integritas, kerahasiaan, dan ketersediaan. Hal ini dicapai melalui kombinasi langkah keamanan yang tangguh dan praktik terbaik, termasuk:

● Pembatasan akses: Platform Manajemen Log Terpusat Alibaba Cloud hanya menyediakan antarmuka pengumpulan dan peninjauan log, sementara antarmuka modifikasi dan penghapusan dinonaktifkan. Akses ke log dibatasi hanya untuk personel yang berwenang dengan persetujuan berdasarkan jenis akses, sehingga data log dalam repositori terpusat terlindungi dari akses, modifikasi, dan penghapusan yang tidak sah.

● Penyimpanan aman: Alibaba Cloud memastikan data log disimpan di lingkungan yang terlindungi dan terkendali, dengan menerapkan langkah-langkah keamanan ketat untuk mencegah akses tidak sah, perubahan, atau kehilangan. Mekanisme penyimpanan yang tangguh diterapkan untuk menjaga integritas dan ketersediaan data log, sehingga data tetap aman dan dapat diakses saat diperlukan. Praktik monitoring dan perlindungan berkelanjutan semakin meningkatkan keamanan log yang disimpan, sesuai dengan persyaratan operasional dan kepatuhan.

● Retensi log: Alibaba Cloud menentukan periode retensi log berdasarkan persyaratan regulasi, kewajiban hukum, dan kebutuhan bisnis. Umumnya, sebagian besar log audit disimpan selama setidaknya enam bulan untuk memastikan keselarasan dengan tujuan keamanan, operasional, dan kepatuhan.

● Backup log: Alibaba Cloud menerapkan proses backup otomatis untuk mengurangi risiko human error dan memastikan log dibackup secara konsisten dan aman.

Alibaba Cloud menerapkan framework manajemen akses yang tangguh untuk melindungi sistem dan data, memastikan bahwa hanya personel berwenang yang mendapatkan akses ke resource spesifik yang dibatasi. Pendekatan kami mencakup identifikasi tingkat akses yang diperlukan, penerapan prinsip least privilege, monitoring berkelanjutan, serta pelaksanaan tinjauan dan audit hak akses secara rutin. Bagian ini merinci praktik manajemen akses Alibaba Cloud yang lengkap, yang menegaskan komitmen kami untuk mempertahankan standar keamanan yang ketat dan melindungi kepercayaan pelanggan.

Kerangka kerja manajemen akses Alibaba Cloud yang ketat menjadi fondasi arsitektur zero-trust kami, dengan mematuhi prinsip hak akses minimal dan kebutuhan untuk mengetahui. Kami menerapkan kontrol akses yang ketat atas data pelanggan, memastikan karyawan hanya dapat mengakses informasi ini dengan otorisasi eksplisit dari pelanggan. Pelanggan mempertahankan kontrol penuh, manajemen, dan kepemilikan atas data mereka. Alibaba Cloud tidak pernah menggunakan atau menurunkan informasi dari data pelanggan untuk pemasaran, periklanan, atau tujuan tidak sah lainnya. Praktik utama manajemen akses meliputi:

● Isolasi Logis: Alibaba Cloud telah mengimplementasikan arsitektur isolasi penyewa yang tangguh yang secara default menempatkan pengguna di lingkungan terpisah, mencegah akses tidak sah atau gangguan terhadap data satu sama lain.

● Kontrol Akses Berbasis Peran (RBAC): Kami menggunakan RBAC untuk menetapkan seperangkat izin default yang terbatas berdasarkan posisi dan peran karyawan dalam organisasi, memastikan bahwa karyawan hanya memiliki akses ke resource yang diperlukan untuk tanggung jawab pekerjaan mereka.

● Manajemen Akun Otomatis: Sistem manajemen izin terpusat mengelola permintaan akses, persetujuan, serta penyediaan atau penghapusan akses secara otomatis. Sistem ini disinkronkan dengan sistem Sumber Daya Manusia untuk menyesuaikan izin akses ketika karyawan keluar atau berubah posisi.

● Pemisahan Tugas: Dalam proses persetujuan akses, Alibaba Cloud menerapkan pemisahan tugas dengan menetapkan peran berbeda untuk pemohon, pemberi persetujuan, dan administrator sistem manajemen. Hal ini memastikan bahwa hanya izin yang sesuai yang diberikan setelah persetujuan objektif.

● Autentikasi Multi-Faktor (MFA): Untuk menambahkan lapisan keamanan ekstra, MFA wajib digunakan untuk mengakses sistem dan resource produksi. Bahkan jika kata sandi dikompromikan, akses tidak sah tetap dapat dicegah.

● Tinjauan dan Monitoring Akses: Aturan audit dan monitoring yang ditentukan dalam sistem monitoring akses menganalisis penggunaan akun dan izin akses, mendeteksi potensi penyalahgunaan, serta menghasilkan alert otomatis untuk memberi tahu tim keamanan tentang adanya penyimpangan atau pengecualian. Tim keamanan bertanggung jawab untuk menyelidiki alert dan mengambil tindakan yang tepat.

● Pelatihan dan Kesadaran Keamanan: Pelatihan rutin tentang praktik terbaik keamanan, termasuk manajemen akses yang aman dan pengenalan upaya phishing atau serangan rekayasa sosial lainnya, diberikan kepada semua karyawan. Pendidikan berkelanjutan ini menumbuhkan budaya keamanan yang kuat di dalam perusahaan.

Alibaba Cloud menerapkan langkah-langkah kontrol akses yang lengkap untuk memastikan bahwa semua akses ke sistem produksinya aman, dapat diaudit, dan sesuai dengan praktik terbaik dalam keamanan siber. Secara default, karyawan yang bertanggung jawab mengoperasikan sistem ini tidak memiliki akses ke konten pelanggan. Pelanggan mempertahankan kontrol penuh atas pemberian akses eksternal dan sementara ke resource Alibaba Cloud mereka melalui layanan tiket di konsol manajemen, di mana akses diatur secara ketat oleh pengaturan otorisasi yang dikonfigurasi pelanggan.

Berdasarkan potensi risiko yang terkait dengan berbagai tingkat akses, Alibaba Cloud mengkategorikan izin akses menjadi tiga jenis: user biasa, administrator aplikasi, dan administrator sistem. Karyawan yang memerlukan akses ke server fisik, perangkat jaringan, atau mesin virtual harus mengajukan permohonan dengan periode permintaan yang ditentukan dan mendapatkan persetujuan dari personel yang berwenang. Setelah periode akses berakhir atau tugas selesai, izin segera dicabut untuk mencegah hak akses yang tertinggal.

Akses ke sistem produksi dikontrol dan dimonitor secara ketat. Karyawan hanya dapat masuk melalui bastion host yang memerlukan autentikasi dua faktor (2FA). Semua aktivitas yang dilakukan dalam sistem produksi melalui bastion host dicatat secara real time dan ditransfer ke platform manajemen log terpusat untuk analisis dan audit.

Alibaba Cloud sepenuhnya menyadari pentingnya kritis enkripsi data dalam memenuhi persyaratan perlindungan data yang ketat. Solusi enkripsi kami memastikan kerahasiaan, autentisitas, dan integritas data sensitif melalui teknik kriptografi mutakhir. Bagian ini menguraikan mekanisme enkripsi end-to-end kami yang lengkap, yang dirancang untuk melindungi konten pelanggan sepanjang siklus hidupnya. Mekanisme ini mencakup enkripsi saat transit, enkripsi saat diam, dan layanan komputasi terenkripsi berbasis perangkat keras. Kami berkomitmen untuk terus meningkatkan teknologi kami agar selaras dengan praktik terbaik dalam keamanan dan privasi data.

Enkripsi in transit melindungi data saat bergerak melintasi jaringan, memastikan bahwa informasi sensitif tetap rahasia, utuh, dan autentik dari pengirim ke penerima. Alibaba Cloud menyediakan berbagai mekanisme untuk melindungi data in transit, termasuk:

● Transmisi Data Aman melalui Konsol Manajemen: Konsol Manajemen Alibaba Cloud menggunakan enkripsi HTTPS untuk transmisi data saat pelanggan melakukan operasi melalui konsol, memastikan interaksi tetap aman dan rahasia.

● Titik Akses API Aman: Produk Alibaba Cloud menyediakan pelanggan dengan titik akses API yang mendukung HTTPS dengan enkripsi panjang kunci hingga 256-bit, memenuhi persyaratan pelanggan untuk transmisi informasi sensitif yang aman.

● Algoritma dan Protokol Enkripsi Aman: Alibaba Cloud menyediakan algoritma enkripsi keamanan tinggi seperti AES-256 dan protokol kriptografi seperti IPsec dan TLS, dikombinasikan dengan mekanisme autentikasi dan otorisasi yang ketat untuk mencegah data terenkripsi dikompromikan.

● Enkripsi End-to-End Aman: Produk gateway jaringan Alibaba Cloud menawarkan enkripsi end-to-end selama transmisi data. Misalnya, pelanggan dapat menggunakan produk VPN Gateway kami untuk membuat koneksi IPsec-VPN dan SSL-VPN sesuai kebutuhan, memastikan semua data yang ditransmisikan melalui saluran terenkripsi ini tetap rahasia, autentik, dan tahan terhadap perubahan.

Alibaba Cloud menawarkan solusi enkripsi lengkap untuk data saat diam di seluruh layanannya, yang memungkinkan pelanggan mengenkripsi data yang disimpan menggunakan teknik kriptografi canggih.

● Mekanisme envelope encryption: Mekanisme ini didasarkan pada hierarki kunci yang terdiri dari setidaknya dua lapisan:

 ○Customer Master Key (CMK): Digunakan untuk mengenkripsi atau mendekripsi Data Encryption Key (DEK).
 ○Data Encryption Key (DEK): Digunakan untuk mengenkripsi atau mendekripsi data bisnis.

● Bring Your Own Key (BYOK): Alibaba Cloud menawarkan berbagai produk yang mendukung kunci enkripsi yang dikelola pengguna, termasuk opsi bagi pelanggan untuk mengunggah CMK mereka sendiri sebagai bagian dari fitur BYOK atau membuat CMK mereka sendiri di dalam Key Management Service (KMS).

● Langkah-Langkah Perlindungan Kunci: Alibaba Cloud menerapkan langkah-langkah perlindungan kunci standar industri menggunakan infrastruktur KMS-nya, yang sesuai dengan rekomendasi NIST 800-57 dan menggunakan algoritma kriptografi tersertifikasi serta Hardware Security Module (HSM).

 ○HSM yang digunakan di luar Tiongkok daratan memiliki sertifikasi FIPS 140-2 Level 3.
 ○KMS mencakup fitur rotasi kunci otomatis, yang memungkinkan pelanggan mengonfigurasi rotasi otomatis untuk CMK.

● Enkripsi sejak desain: Kemampuan enkripsi data terintegrasi di berbagai produk Alibaba Cloud, termasuk Elastic Block Storage (EBS), Object Storage Service (OSS), Relational Database Service (RDS), MaxCompute, dan File Storage NAS. Misalnya, OSS mendukung enkripsi sisi server dan sisi klien:

 ○Enkripsi sisi server: OSS menggunakan kunci yang dikelola layanan atau CMK BYOK untuk mengenkripsi data.
 ○Enkripsi sisi klien: OSS memungkinkan pelanggan menggunakan kunci yang dikelola sendiri atau CMK yang dihasilkan di Alibaba Cloud KMS untuk mengenkripsi data sebelum upload.

Strategi keamanan jaringan Alibaba Cloud yang tangguh menjadi fondasi untuk membangun kepercayaan dan memastikan keandalan layanan. Untuk memitigasi risiko keamanan jaringan secara efektif, kami berfokus pada penguatan arsitektur jaringan, penerapan kontrol akses jaringan yang ketat, serta penggunaan mekanisme deteksi dan pencegahan canggih terhadap ancaman jaringan. Bagian ini menguraikan strategi keamanan jaringan berlapis kami yang dirancang untuk terus mengoptimalkan postur keamanan lingkungan jaringan kami.

Alibaba Cloud merancang keamanan jaringan secara strategis sejak fase arsitektur awal untuk memastikan jaringan tersebut tangguh, berskala, dan aman. Kami mengimplementasikan pendekatan proteksi jaringan berlapis, melindungi berbagai lapisan, mulai dari pertahanan perimeter hingga segmentasi internal. Pendekatan berlapis ini mengisolasi resource kritis dan mengurangi risiko pergerakan lateral oleh penyerang, sehingga meningkatkan keamanan jaringan secara keseluruhan.

● Segmentasi Jaringan: Alibaba Cloud menerapkan langkah-langkah isolasi jaringan untuk meningkatkan keamanan dan kontrol dengan membagi jaringan menjadi lingkungan produksi dan non-produksi. Pembagian ini mencegah aktor jahat bergerak bebas di dalam jaringan. Selain itu, kami lebih lanjut melakukan segmentasi jaringan produksi untuk memisahkan jaringan layanan cloud yang menyediakan layanan eksternal dari jaringan fisik yang mendukung fungsionalitas layanan cloud dasar.

● Kontrol Akses Jaringan yang Ketat: Akses ke jaringan fisik dari jaringan layanan cloud dinonaktifkan secara default melalui Network ACL yang dikonfigurasi. Alibaba Cloud juga menerapkan langkah-langkah kontrol jaringan yang ketat untuk mencegah perangkat tidak sah terhubung ke jaringan internal dan untuk mencegah server fisik memulai koneksi ke perangkat eksternal. Selain itu, kami men-deploy bastion host di batas jaringan produksi untuk manajemen dan kontrol terpusat, memastikan bahwa semua aktivitas akses di dalam jaringan produksi diaudit dan dicatat.

Selain isolasi jaringan dan kontrol akses jaringan yang ketat, Alibaba Cloud men-deploy mekanisme deteksi dan pencegahan intrusi jaringan untuk melindungi dari aktivitas jaringan berbahaya.

● Deteksi dan pencegahan jaringan real time: Alibaba Cloud menggunakan sistem deteksi intrusi jaringan (IDS) yang canggih di batas jaringan dan di dalam segmen internal untuk secara otomatis memantau traffic demi mendeteksi tanda-tanda aktivitas mencurigakan atau tidak sah, serta memberi tahu tim keamanan kami tentang perilaku jaringan berbahaya. Selain itu, kami menerapkan aturan intrusion prevention system (IPS) untuk memblokir traffic berbahaya dan memastikan perlindungan proaktif dari ancaman.

● Respons dan investigasi cepat: Alibaba Cloud mengintegrasikan mekanisme deteksi dan pencegahan intrusi dengan platform monitoring insiden keamanan, sehingga memungkinkan analisis cepat terhadap aktivitas jaringan mencurigakan dan respons cepat terhadap intrusi. Integrasi ini meminimalkan celah kesempatan bagi penyerang.

● Peningkatan keamanan berkelanjutan: Dengan wawasan intelijen ancaman yang diperoleh dari setiap insiden keamanan, tim keamanan Alibaba Cloud terus memperbarui aturan deteksi dan pencegahan untuk meningkatkan keamanan jaringan dan tetap selangkah lebih maju dari ancaman yang muncul.

Alibaba Cloud menerapkan program Manajemen Vendor lengkap untuk mengatur interaksi dengan vendor dan karyawan pihak ketiga, memastikan keamanan sepanjang siklus hidup manajemen vendor. Bagian ini menguraikan kontrol tangguh kami sebelum, selama, dan setelah keterlibatan vendor, mencerminkan komitmen jangka panjang kami untuk mengoptimalkan keamanan data dan kepatuhan dalam manajemen vendor.

Selama fase onboarding vendor, Alibaba Cloud menerapkan serangkaian langkah evaluasi dan kontrol keamanan yang ketat, berfokus pada keamanan informasi dan perlindungan data, untuk memastikan setiap vendor memenuhi standar keamanan tinggi kami:

● Uji Tuntas Vendor: Untuk vendor yang memproses data pribadi, tim keamanan dan kepatuhan Alibaba Cloud melakukan uji tuntas yang menyeluruh. Penilaian ini mengevaluasi kemampuan vendor dalam keamanan data dan kepatuhan, mencakup kerangka kerja manajemen keamanan informasi, kebijakan enkripsi data, mekanisme kontrol akses, rencana respons insiden, dan praktik relevan lainnya. Tujuannya adalah memastikan vendor melindungi data pribadi secara efektif sesuai dengan standar yang kami tetapkan.

● Persyaratan Keamanan Kontraktual: Sebelum memulai pekerjaan, semua vendor harus menandatangani kontrak yang menguraikan hak dan kewajiban mereka, ruang lingkup layanan, klausul kerahasiaan, persyaratan keamanan dan kepatuhan, serta tingkat layanan. Kontrak ini mengatur hubungan antara Alibaba Cloud dan vendornya, memastikan ekspektasi dan tanggung jawab yang jelas.

Untuk memastikan vendor terus mematuhi kebijakan keamanan informasi dan perlindungan data yang ketat selama kemitraan, Alibaba Cloud telah menetapkan mekanisme pemantauan proaktif:

● Manajemen Personel Pihak Ketiga: Karyawan vendor Alibaba Cloud tidak diberikan akses ke jaringan internal hingga mereka berhasil menyelesaikan pelatihan onboard wajib untuk kesadaran keamanan informasi dan lulus uji keamanan data. Perilaku akses karyawan vendor dikelola dan dikontrol di bawah Sistem Manajemen Akses kami, mencegah akses data yang tidak sah.

● Monitoring Kepatuhan Berkelanjutan: Alibaba Cloud melakukan monitoring berkala terhadap vendor untuk memastikan kepatuhan terhadap standar keamanan informasi dan perlindungan data kami sepanjang kemitraan. Misalnya, penyedia layanan pusat data harus mengirimkan laporan bulanan untuk ditinjau, mencakup berbagai aspek seperti log akses, insiden utama, ringkasan aktivitas pemeliharaan, dan data kunci dari sistem monitoring untuk memastikan operasi pusat data yang aman dan stabil.

● Daftar Sub-Processor: Alibaba Cloud membatasi jumlah vendor yang diizinkan bertindak sebagai sub-processor untuk memproses Konten Anggota atas nama pelanggan. Sub-processor ini terbagi menjadi dua kategori:

  ○ Entitas afiliasi Alibaba Cloud yang menyediakan infrastruktur pendukung Produk/Layanan Alibaba Cloud.

  ○ Vendor pihak ketiga yang dikontrak oleh Alibaba Cloud untuk melakukan aktivitas pemrosesan tertentu untuk layanan tertentu. Pelanggan dapat mengakses Daftar Sub-Processor Alibaba Cloud dengan login ke akun Alibaba Cloud mereka.

Alibaba Cloud mengoperasikan portofolio pusat data global untuk menyediakan daya komputasi dan jaringan yang sangat andal, efisien, dan aman bagi pelanggan dan mitra. Pusat data ini menjadi tulang punggung lebih dari 200 produk dan layanan Alibaba Cloud. Untuk memastikan perlindungan infrastruktur dan data pelanggan, Alibaba Cloud telah menetapkan program keamanan fisik dan lingkungan yang tangguh, sebagai garis pertahanan pertama terhadap berbagai ancaman, mulai dari bencana alam hingga intrusi fisik yang berbahaya. Artikel ini menguraikan pendekatan berlapis Alibaba Cloud dalam mengamankan pusat datanya serta komitmen kami yang berkelanjutan untuk meningkatkan langkah-langkah keamanan.

Pemilihan Lokasi

Sebelum membangun pusat data, Alibaba Cloud melakukan penilaian pemilihan lokasi yang ketat untuk mengidentifikasi dan memitigasi potensi risiko. Lokasi dipilih secara strategis untuk meminimalkan paparan terhadap bencana alam seperti gempa bumi, banjir, dan cuaca ekstrem. Zona Ketersediaan kami dirancang untuk independen dan terpisah secara geografis guna meningkatkan ketahanan.

Redundansi Daya

Untuk memastikan layanan tanpa gangguan 24/7, pusat data Alibaba Cloud ditenagai oleh dua sumber daya utama dan sistem daya redundan. Sumber daya primer dan sekunder menyediakan kapasitas yang sama. Jika terjadi kegagalan daya, paket baterai redundan dan generator diesel diaktifkan untuk mempertahankan operasi pusat data dalam jangka waktu yang lama, memastikan ketersediaan layanan yang berkelanjutan.

Area Aman dan Kompartementalisasi

Alibaba Cloud menerapkan kontrol keamanan fisik yang ketat dengan membagi fasilitas pusat data menjadi area yang ditentukan, termasuk ruang server, ruang kantor, dan zona pengiriman. Setiap area dikompartementalkan berdasarkan tingkat sensitivitas, dengan langkah-langkah keamanan yang ditingkatkan sesuai tingkatannya

Kontrol Akses Karyawan

Pusat data Alibaba Cloud hanya dapat diakses oleh karyawan yang berwenang. Izin akses harus diminta dengan justifikasi bisnis yang valid dan diberikan berdasarkan prinsip hak akses minimal. Semua hak akses memiliki batas waktu dan memerlukan persetujuan dari personel yang berwenang. Karyawan hanya dapat memasuki area yang ditentukan, dan izin akses dicabut saat masa berlaku berakhir.

Akses pihak ketiga

Kontraktor dan pengunjung harus mengajukan permohonan akses sebelumnya disertai dengan justifikasi bisnis. Akses mereka dibatasi hanya pada area yang disetujui dan diberikan berdasarkan prinsip least privilege. Pengunjung harus didampingi oleh staf Alibaba Cloud yang berwenang setiap saat. Izin akses secara otomatis dicabut setelah jangka waktu yang disetujui berakhir.

Monitoring Keamanan

Pusat data Alibaba Cloud dilengkapi dengan pengawasan video di semua titik masuk utama, termasuk pintu masuk, area pengiriman peralatan, dan zona akses kritis. Rekaman pengawasan disimpan sesuai dengan persyaratan hukum dan kepatuhan. Selain itu, log akses ditinjau secara berkala dan disimpan dengan aman untuk memantau aktivitas masuk dan mendeteksi anomali.

Manajemen aset

Alibaba Cloud telah menetapkan sistem manajemen keamanan untuk mengawasi seluruh siklus hidup perangkat penyimpanan, mulai dari penerimaan dan deployment hingga pemeliharaan, transfer, penggunaan ulang, atau pensiun. Setiap perangkat dicatat dalam sistem manajemen aset dan ditetapkan pemiliknya. Kontrol akses yang ketat dan monitoring berkelanjutan memastikan keamanan semua aset perangkat keras. Pemeliharaan dan audit rutin dilakukan untuk memverifikasi kepatuhan.

Keamanan Media Penyimpanan

Saat media penyimpanan dihentikan penggunaannya, Alibaba Cloud mengikuti standar NIST SP 800-88 untuk sanitasi data yang aman. Data yang disimpan dihapus beberapa kali untuk memastikan penghapusan permanen. Media penyimpanan yang tidak diperlukan dihancurkan secara fisik melalui pencacahan. Seluruh proses sanitasi dan pembuangan didokumentasikan dan disimpan untuk tujuan audit.

Kontrol Iklim

Pusat data Alibaba Cloud dilengkapi dengan sistem pendingin udara presisi yang mempertahankan suhu dan tingkat kelembapan optimal. Kondisi ini dimonitor secara elektronik, dan setiap penyimpangan memicu alarm otomatis, yang mendorong tindakan korektif segera.

Pemadam Kebakaran

Sistem deteksi kebakaran canggih dengan sensor panas dan asap dipasang di pusat data Alibaba Cloud. Sensor ini ditempatkan di langit-langit dan lantai, serta memicu alarm suara dan visual saat diaktifkan. Setiap pusat data dilengkapi dengan sistem pemadam kebakaran berbasis gas terintegrasi dan alat pemadam api. Pelatihan dan simulasi keselamatan kebakaran secara rutin dilakukan untuk personel pusat data guna memastikan kemampuan respons cepat.

Pencegahan Banjir

Pusat data Alibaba Cloud dibangun menggunakan material tahan air dan mematuhi standar nasional untuk ketahanan air. Gedung-gedung menjalani inspeksi rutin untuk kelembapan dan kebocoran, dengan remediasi segera untuk masalah yang terdeteksi. Lantai dirancang dengan sistem drainase dan lapisan isolasi untuk mencegah banjir. Sensor deteksi air ditempatkan secara strategis di dekat pipa air, memicu alarm saat mendeteksi kebocoran untuk memfasilitasi respons segera.

Simulasi dan inspeksi

Pusat data Alibaba Cloud melakukan simulasi dan inspeksi keamanan secara rutin, dengan mensimulasikan potensi insiden keamanan fisik dan lingkungan seperti pemadaman listrik. Hasil dari latihan ini didokumentasikan, dan pelajaran yang diperoleh diintegrasikan ke dalam peningkatan keamanan.

Monitoring dan Analitik Real-Time

Personel di lokasi bekerja secara bergiliran untuk memantau operasional pusat data Alibaba Cloud secara terus-menerus. Sistem monitoring real-time melacak kondisi lingkungan, termasuk suhu dan kelembapan, serta performa server. Jika ada parameter yang menyimpang dari rentang standar, alert otomatis akan dipicu, sehingga staf di lokasi dapat segera melakukan resolusi.

Audit pihak ketiga dan kepatuhan

Pusat data Alibaba Cloud mematuhi standar keamanan terdepan di industri, termasuk ISO 27001 (Manajemen Keamanan Informasi) dan ISO 22301 (Manajemen Kelangsungan Bisnis). Auditor pihak ketiga yang independen secara rutin menilai kepatuhan terhadap standar-standar ini. Untuk detail lebih lanjut, kunjungi Alibaba Cloud Trust Center and Compliance Repository.

Alibaba Cloud mengoperasikan sistem keamanan informasi kelas atas yang mengintegrasikan proses ketat yang dikelola oleh tim monitoring dan respons insiden yang sangat terampil. Tim Respons Insiden di Alibaba Cloud adalah unit khusus yang didedikasikan untuk mengelola dan memitigasi insiden keamanan. Tim ini memainkan peran penting dalam menjaga keamanan dan integritas data pelanggan dengan merespons segera setiap peristiwa yang tidak direncanakan yang dapat mengganggu kualitas layanan atau menimbulkan ancaman keamanan.

Tergantung pada sifat insiden, tim respons dapat mencakup ahli dari bidang berikut:

● Komandan Respons Insiden

● Koordinator Insiden

● Spesialis Keamanan

● Spesialis Riset & Pengembangan dan Teknik

● Spesialis Hukum dan Kepatuhan

● Spesialis Hubungan Masyarakat dan Urusan Pemerintah

● Spesialis Dukungan Pelanggan

Alibaba Cloud menggunakan sistem pemantauan berkelanjutan dan deteksi ancaman canggih untuk mengidentifikasi dan menanggapi insiden keamanan secara real time. Kerangka kerja respons insiden dirancang untuk memastikan penanganan insiden yang cepat dan efektif, sehingga meminimalkan dampaknya terhadap kualitas layanan dan pengalaman pelanggan. Tujuan utama Alibaba Cloud dalam respons insiden adalah mengelola dan memitigasi insiden keamanan secara efisien untuk memastikan kontinuitas, ketersediaan, dan keamanan lingkungan cloud.

Alibaba Cloud menerapkan pendekatan lima langkah untuk merespons insiden keamanan secara efektif:

1. Deteksi & Identifikasi – Potensi insiden keamanan diidentifikasi menggunakan tool monitoring canggih, termasuk Intrusion Detection Systems (IDS), Security Information and Event Management (SIEM), dan algoritma deteksi anomali. Aktivitas mencurigakan, seperti percobaan akses tidak sah dan transfer data abnormal, dimonitor secara berkelanjutan. Karyawan dan pengguna didorong untuk melaporkan ketidakberesan.

2. Triase & Respons – Tim Respons Insiden menilai tingkat keparahan dan dampak insiden. Insiden diklasifikasikan berdasarkan urgensi, dan langkah-langkah penahanan segera, seperti mengisolasi sistem yang terdampak dan menonaktifkan akun yang terkompromi, diterapkan untuk mencegah kerusakan lebih lanjut.

3. Investigasi & Analisis – Spesialis keamanan melakukan Root Cause Analysis (RCA) untuk menentukan penyebab dan cakupan insiden. Analisis forensik dilakukan pada log, image sistem, dan traffic jaringan untuk memahami dampaknya terhadap integritas data dan operasional bisnis.

4. Mitigasi dan resolusi – Insiden dimitigasi dengan menerapkan patch keamanan, menghapus malware, dan memulihkan sistem yang terdampak dari backup yang telah diverifikasi. Laporan insiden terperinci dibuat untuk mendokumentasikan temuan utama, tindakan yang diambil, serta rekomendasi untuk perbaikan di masa mendatang.

5. Peningkatan Pasca-Insiden – Alibaba Cloud memperkuat langkah-langkah keamanan dengan belajar dari insiden sebelumnya. Kebijakan keamanan diperbarui, karyawan menjalani pelatihan keamanan siber, dan monitoring ancaman proaktif dilakukan untuk mencegah ancaman di masa depan.

1. Deteksi & Identifikasi

Identifikasi insiden keamanan yang tepat waktu dan akurat sangat penting untuk manajemen insiden yang efektif. Alibaba Cloud menggunakan monitoring real-time, alert otomatis, dan audit berkelanjutan untuk mendeteksi dan melaporkan potensi ancaman keamanan.

● Tool Monitoring: Sistem Security Information and Event Management (SIEM), Intrusion Detection Systems (IDS), dan Intrusion Prevention Systems (IPS) membantu mengidentifikasi aktivitas mencurigakan.

● Deteksi Anomali: Alert dipicu untuk peristiwa seperti beberapa percobaan login gagal, akses data tidak sah, dan transfer data yang tidak terduga.

● Pengumpulan & Analisis Log: Log dari host cloud, jaringan, aplikasi, dan komponen infrastruktur lainnya dikumpulkan dan dianalisis menggunakan algoritma monitoring keamanan.

● Pelaporan Insiden: Karyawan dan pengguna didorong untuk melaporkan aktivitas mencurigakan, seperti percobaan phishing atau perilaku sistem yang tidak biasa.

2. Triase dan Respons

Setelah insiden terdeteksi, Tim Respons Insiden mengkategorikan dan memprioritaskannya berdasarkan dampak potensial.

● Klasifikasi Insiden: Tingkat keparahan (rendah, sedang, tinggi) ditetapkan berdasarkan faktor-faktor seperti:

  ○ Penyebab pelanggaran dan apakah masih berlangsung.

  ○ Jumlah individu yang terdampak.

  ○ Jenis data yang terkompromi.

  ○ Dampak terhadap operasi bisnis.

  ○ Kebutuhan akan bantuan eksternal (misalnya, respons hukum atau regulasi).

● Langkah Penahanan: Tindakan segera untuk mencegah kerusakan lebih lanjut, seperti mengisolasi sistem yang terdampak, mencabut izin akses, dan menonaktifkan akun yang terkompromi.

● Pelestarian Bukti: Log sistem, snapshot, dan data forensik lainnya disimpan secara aman untuk investigasi.

3. Investigasi dan Analisis

Spesialis Keamanan Alibaba Cloud melakukan investigasi menyeluruh untuk memahami penyebab, cakupan, dan dampak insiden tersebut.

● Analisis Akar Masalah (RCA): Mengidentifikasi kerentanan, vektor serangan, dan kelemahan yang dieksploitasi.

● Analisis Forensik: Memeriksa log, image sistem, dan traffic jaringan untuk melacak aktivitas penyerang.

● Penilaian Dampak: Mengevaluasi data yang terkompromi, dampak operasional, potensi kerugian finansial, dan implikasi regulasi.

4. Mitigasi & Resolusi

Fase respons dan pemulihan berfokus pada mitigasi insiden dan pemulihan sistem yang terdampak.

● Upaya Remediasi: Terapkan patch keamanan, perbarui konfigurasi, dan hapus malware.

● Pemulihan Data & Sistem: Verifikasi dan pulihkan backup bersih untuk memastikan integritas data.

● Dokumentasi Insiden: Buat laporan rinci yang mencakup:

  ○ Kronologi peristiwa.

  ○ Tindakan yang diambil.

  ○ Temuan investigasi.

  ○ Langkah-langkah remediasi.

  ○ Rekomendasi untuk perbaikan di masa depan.

● Komunikasi dengan Pemangku Kepentingan: Beri tahu pengguna yang terdampak, badan regulasi, dan pemangku kepentingan lainnya sesuai dengan kewajiban hukum. Alibaba Cloud memastikan komunikasi transparan melalui email, pernyataan resmi, dan dukungan pelanggan.

5. Peningkatan Pasca-Insiden

Alibaba Cloud terus menyempurnakan strategi respons insidennya dengan belajar dari insiden masa lalu.

● Peningkatan Kerangka Keamanan: Kebijakan, prosedur, dan pengamanan teknis diperbarui berdasarkan pelajaran yang diperoleh.

● Program Pelatihan & Kesadaran: Karyawan menerima pelatihan berkelanjutan tentang ancaman siber dan praktik terbaik respons insiden.

● Audit Keamanan Eksternal: Alibaba Cloud berkolaborasi dengan ahli pihak ketiga untuk melakukan penilaian keamanan dan mengidentifikasi area untuk perbaikan.

● Pemantauan Ancaman Proaktif: Evaluasi keamanan rutin, pengujian penetrasi, dan deteksi anomali dilakukan untuk mengidentifikasi dan memitigasi potensi ancaman sebelum meningkat.

Alibaba Cloud mengoperasikan program manajemen kerentanan lengkap yang dirancang untuk melindungi infrastruktur kami, memastikan tingkat keamanan dan keandalan layanan tertinggi. Sebagai bagian integral dari strategi keamanan siber global kami, program ini berfokus pada mengidentifikasi, menilai, dan memitigasi kerentanan yang berpotensi membahayakan sistem dan layanan kami. Bagian ini menguraikan pendekatan berlapis Alibaba Cloud terhadap manajemen kerentanan dan komitmen kami terhadap peningkatan keamanan berkelanjutan.

Program manajemen ancaman dan kerentanan Alibaba Cloud memastikan keamanan infrastruktur Alibaba Cloud dan lingkungan pelanggan dengan mendeteksi cacat sistem dan tindakan tidak sah, serta menerapkan langkah-langkah remediasi tepat waktu. Kerentanan terdeteksi dan dilaporkan melalui berbagai saluran, termasuk:

● Pelaporan dan pemindaian internal: Mekanisme keamanan internal kami mencakup pemindaian kerentanan otomatis dan audit keamanan manual. Proses-proses ini memastikan komponen jaringan, server, aplikasi, dan database diperiksa secara menyeluruh untuk potensi kerentanan.

● Pelaporan eksternal: Kami berkolaborasi dengan entitas keamanan eksternal, termasuk Alibaba Security Response Center (ASRC), Platform Pengujian Keamanan Berbasis Kerumunan Alibaba Cloud, dan sumber intelijen ancaman pihak ketiga. Saluran-saluran ini membantu kami melacak Common Vulnerabilities and Exposures (CVE), khususnya yang memengaruhi komponen pihak ketiga open source.

Semua kerentanan yang teridentifikasi dikonsolidasikan ke dalam platform manajemen kerentanan keamanan kami, di mana kerentanan tersebut menjalani analisis, klasifikasi, dan prioritisasi yang ketat berdasarkan algoritma pemantauan keamanan yang telah ditentukan sebelumnya.

Setelah kerentanan diidentifikasi dan diverifikasi, kerentanan tersebut diprioritaskan berdasarkan tingkat keparahan, dampak potensial, dan kemungkinan eksploitasi. Proses penilaian risiko dan remediasi kami meliputi:

● Patching kritis: Kerentanan dengan tingkat keparahan tinggi ditangani dengan patching segera dan perubahan konfigurasi melalui sistem manajemen patch yang tangguh.

● Strategi mitigasi jangka panjang: Untuk kerentanan kompleks yang memerlukan perubahan arsitektur atau refactoring kode, kami menerapkan rencana mitigasi jangka panjang untuk memastikan resolusi yang menyeluruh.

● Manajemen konfigurasi:

  ○ Tim keamanan mempertahankan standar konfigurasi yang mendefinisikan persyaratan hardening sistem baseline.

  ○ Standar-standar ini ditinjau dan diperbarui setiap tahun.

  ○ Tool scanning konfigurasi otomatis terus-menerus memantau kepatuhan, sehingga penyimpangan dapat segera terdeteksi dan diperbaiki.

Dengan menangani kerentanan secara sistematis berdasarkan prioritas berbasis risiko, Alibaba Cloud meminimalkan potensi ancaman keamanan sambil mempertahankan efisiensi operasional.

Program manajemen kerentanan Alibaba Cloud adalah proses berkelanjutan yang bertujuan untuk mempertahankan dan memperkuat postur keamanan kami. Inisiatif utama meliputi:

● Intelijen Ancaman Proaktif:

  ○ Kami menggunakan platform intelijen ancaman global dan database kerentanan eksternal untuk mengantisipasi ancaman keamanan yang muncul.

● Pengujian Penetrasi dan Latihan Keamanan:

  ○ Tim red internal dan expert keamanan eksternal melakukan pengujian penetrasi secara berkala untuk menilai postur keamanan infrastruktur kami.

  ○ Latihan serang-dan-bertahan mengevaluasi dan meningkatkan kemampuan deteksi serta respons ancaman kami secara sistematis.

● Pelatihan dan Kesadaran Keamanan:

  ○ Kami berinvestasi dalam program edukasi karyawan berkelanjutan untuk memastikan semua staf dapat mengidentifikasi, melaporkan, dan merespons ancaman keamanan secara efektif.

  ○ Budaya yang mengutamakan keamanan ini memperkuat kemampuan Alibaba Cloud untuk mendeteksi dan memitigasi kerentanan secara proaktif.

Transparansi dan kolaborasi adalah komponen penting dari strategi manajemen kerentanan Alibaba Cloud. Kami secara aktif terlibat dengan pelanggan dan komunitas keamanan siber yang lebih luas untuk mendorong pendekatan kooperatif terhadap keamanan:

● Pelaporan Kerentanan & Program Bug Bounty:

  ○ Alibaba Cloud menjalankan program bug bounty yang memberikan insentif kepada peneliti keamanan eksternal untuk melaporkan kerentanan, sehingga meningkatkan kemampuan keamanan kami di luar tim internal.

  ○ Detail selengkapnya dapat ditemukan di: Alibaba Security Response Center (ASRC).

● Pelaporan Transparan & Komunikasi dengan Pelanggan:

  ○ Kami secara proaktif menginformasikan pelanggan tentang kerentanan yang teridentifikasi dan upaya remediasi, memastikan transparansi dalam manajemen keamanan.

  ○ Pendekatan kami menumbuhkan kepercayaan dan kolaborasi, memungkinkan pelanggan memperkuat pertahanan keamanan mereka sendiri dalam menanggapi ancaman yang muncul.