Kawalan keselamatan tandatangan elektronik di Malaysia

Pengenalan

Senarai kawalan keselamatan tandatangan elektronik diluluskan selepas risiko dan penyimpanan direkodkan.

Pegawai keselamatan maklumat menetapkan dasar kawalan untuk tandatangan elektronik syarikat. Kawalan keselamatan hanya boleh diukur terhadap dokumen yang dikenal pasti, maka dokumen dan tahap risiko dicatat dahulu.

Dalam aliran yang sesuai, Nota Sign menghubungkan dokumen, penandatangan dan rekod peristiwa. Pemilihan kaedah tandatangan serta penilaian kesannya perlu dibuat secara berasingan mengikut urus niaga dan bidang kuasa.

Tetapkan dokumen dan tahap risiko

Senaraikan dokumen yang melalui proses tandatangan dan tahap risiko setiap dokumen. Dokumen dengan data peribadi atau nilai tinggi menerima kawalan lebih lengkap daripada memo ringkas.

Catatkan pihak yang menandatangani, pihak yang menerima dan tujuan dokumen. Pihak yang tidak direkodkan menyukarkan pemilihan kawalan identiti.

Rekodkan tarikh semakan dan nama pegawai keselamatan maklumat. Tarikh itu mengikat keputusan kepada versi dokumen yang diperiksa.

Tetapkan kriteria risiko dalam dasar sebelum senarai kawalan dibina. Kriteria yang ditetapkan memastikan dua penyemak mencapai keputusan yang sama untuk dokumen yang sama.

Rekodkan kawalan identiti

Rekodkan kaedah pengenalan penandatangan bagi setiap dokumen: alamat e-mel yang disahkan, kod laluan sekali atau kaedah lain yang dipilih. Kaedah itu mesti menghubungkan penandatangan kepada tandatangan.

Catatkan masa pengesahan identiti dan pihak yang mengesahkan. Masa itu mengikat pengesahan kepada versi dokumen yang ditandatangani.

Asingkan pengesahan identiti daripada kelulusan pentadbir akaun. Dua rekod berbeza menghalang kekeliruan antara penandatangan dan penyelia aliran.

Rekodkan kaedah pengenalan yang gagal dan tindakan yang diambil. Kegagalan pengenalan dicatatkan bersama sebab dan langkah pembetulan.

Rekodkan kawalan integriti

Rekodkan kaedah semakan integriti dokumen: nilai semakan, perbandingan versi atau kawalan lain yang dipilih. Kaedah itu mesti mengesan perubahan selepas tandatangan.

Catatkan nilai semakan dokumen akhir sebelum tandatangan. Nilai itu menjadi rujukan apabila dokumen disemak selepas tandatangan.

Rekodkan perubahan dokumen selepas tandatangan apabila ada. Perubahan itu direkodkan berasingan daripada versi asal yang ditandatangani.

Tetapkan pemilik kawalan integriti dan tarikh semakan. Pemilik menyemak nilai semakan selepas aliran selesai.

Tetapkan tempoh penyimpanan

Tetapkan tempoh penyimpanan rekod tandatangan bagi setiap jenis dokumen. Tempoh itu dicatatkan dalam dasar sebelum senarai diluluskan.

Rekodkan lokasi penyimpanan rekod dan pihak yang boleh mengaksesnya. Lokasi dan akses yang jelas menghalang rekod dipadam atau diubah tanpa kebenaran.

Catatkan kaedah pemadaman selepas tempoh berakhir. Pemadaman direkodkan supaya rekod tidak kekal selepas tempoh yang ditetapkan.

Jadualkan semakan tempoh penyimpanan apabila peraturan syarikat berubah. Semakan berkala menghalang tempoh lama dipakai kepada dokumen baharu.

Luluskan senarai kawalan

Semak semula dokumen, risiko, kawalan identiti, kawalan integriti dan tempoh penyimpanan sebelum kelulusan. Senarai yang tidak lengkap kembali ke langkah yang gagal.

Tulis nama pelulus senarai, tarikh kelulusan dan keputusan akhir. Keputusan diterima atau ditolak direkodkan bersama sebab kegagalan kawalan.

Agihkan senarai yang diluluskan kepada pasukan yang menghantar dokumen. Pasukan menjalankan kawalan mengikut versi senarai yang sama.

Terbitkan senarai kawalan yang diluluskan kepada pemilik kawalan dan pasukan penghantar dokumen. Senarai yang diterbitkan dinamakan versi supaya semakan kemudian menunjuk kepada kawalan yang sebenarnya diluluskan.