ISO 27001 Remote Access: Pemetaan Kontrol Annex A

Anda membutuhkan alat akses jarak jauh yang lolos audit ISO 27001 — bukan klaim pemasaran. Panduan ini membahas Annex A kontrol demi kontrol (ISO/IEC 27001:2013) dan menjelaskan bukti, konfigurasi, dan kontrol operasional yang auditor akan harapkan untuk produk akses jarak jauh dan sesi yang dibuatnya.

Kontrol Annex A mana yang relevan untuk akses jarak jauh

• A.6: Organisation of information security — tanggung jawab, pemisahan tugas, peran untuk persetujuan dan eskalasi akses jarak jauh.
• A.7: Human resource security — pemeriksaan latar belakang, pelatihan, dan perjanjian akses untuk pengguna dan operator.
• A.8: Asset management — inventaris klien jarak jauh, server, dan kredensial yang digunakan oleh alat.
• A.9: Access control — provisioning pengguna, prinsip least privilege, kontrol sesi, akses istimewa.
• A.10: Cryptography — konfigurasi TLS yang disetujui, manajemen sertifikat & kunci.
• A.11: Physical security — akses fisik yang aman ke endpoint yang memungkinkan sesi jarak jauh.
• A.12: Operations security — konfigurasi aman, patching, proteksi malware, change control untuk alat.
• A.13: Communications security — kontrol jaringan, perilaku NAT/relay, aturan firewall dan segmentasi.
• A.15: Supplier relationships — kontrak pihak ketiga (relay), SLA, hak audit.
• A.16: Information security incident management — deteksi, eskalasi dan pencatatan insiden sesi jarak jauh.
• A.18: Compliance — logging, retensi, kewajiban hukum dan regulasi, residency data.

Identity, authentication and Access Control (A.9)

Kontrol akses adalah inti dari setiap audit akses jarak jauh. Untuk setiap kontrol di A.9 auditor mengharapkan kebijakan terdokumentasi dan penegakan yang terukur. Secara praktis itu berarti:

• User provisioning & deprovisioning: lifecycle akun yang terdokumentasi terkait HR atau IAM. Alat harus menunjukkan bagaimana akun dibuat, bagaimana hak diberikan, dan bagaimana akses dicabut (mis. nonaktif otomatis saat pemutusan di AD).
• Least privilege: pemetaan peran atau grup yang membatasi siapa yang dapat memulai sesi interaktif, siapa yang dapat mengakses host target tertentu, dan siapa yang dapat meningkatkan ke kontrol administratif. Sediakan matriks akses dan contoh.
• Strong authentication: multi‑factor authentication untuk controller dan untuk akses ke konsol manajemen manapun. Metode yang didukung harus dicantumkan (TOTP, push, hardware tokens, SSO). Bukti pengujian: MFA diaktifkan untuk 10 akun sampel.
• Session controls: timeout sesi yang dipaksakan, persetujuan eksplisit untuk unattended access, dan konfirmasi sesi saat diperlukan. Bukti = tangkapan layar konfigurasi dan dokumen kebijakan sesi.
• Privileged access: persetujuan tambahan atau elevasi just‑in‑time untuk sesi administratif, persetujuan yang direkam, dan pemisahan hak monitoring vs control.

Cryptography and key management (A.10)

Annex A mengharapkan kontrol kriptografi yang sesuai dan terdokumentasi. Untuk akses jarak jauh fokusnya pada TLS, penanganan sertifikat, dan penjagaan kunci.

Apa yang dicari auditor:

• TLS posture: produk harus menggunakan versi dan cipher TLS modern. Dokumentasikan versi TLS yang didukung dan baseline minimum yang Anda paksa. Berikan hasil scan yang menunjukkan relay dan endpoint klien hanya menerima TLS 1.2+ (atau baseline yang diwajibkan organisasi Anda).
• Per‑device credentials: model yang dideploy (sertifikat perangkat, kunci, atau token jangka panjang) harus dijelaskan dan siklus hidupnya dicakup — penerbitan, rotasi, pencabutan. Untuk Tenvo transport menggunakan TLS dengan sertifikat per‑device; catat bahwa ketika trafik diproksikan melalui relay TLS berhenti di relay, sehingga operator relay berada dalam posisi untuk memeriksa sesi.
• Key storage: di mana kunci privat disimpan (HSM, OS keystore, TPM) dan siapa yang memiliki akses. Bukti: tangkapan layar, kebijakan rotasi kunci, dan contoh sertifikat yang kadaluwarsa/ditarik.
• Jangan klaim relay "tidak dapat mendekripsi": jelaskan secara eksplisit dalam penilaian risiko Anda apakah relay menghentikan TLS dan mitigasi kontraktual serta teknis (mis. relay dedikasi, operator yang diaudit) yang Anda miliki.

Network and communications (A.13)

Alat akses jarak jauh memindahkan trafik melintasi jaringan korporat, jaringan rumah, dan Internet publik. Ekspektasi Annex A adalah kontrol jaringan yang terdokumentasi, segmentasi dan alasan untuk setiap relay pihak ketiga.

• Topology and flow diagrams: tunjukkan alur peer‑to‑peer langsung vs NAT traversal vs alur relay. Anotasikan jalur mana yang melewati perimeter Anda dan mana yang melewati pihak ketiga.
• Firewall & port policy: justifikasi setiap port yang dibuka, dan utamakan koneksi outbound‑only dari endpoint. Contoh bukti: aturan firewall, diagram jaringan, dan uji yang menunjukkan tidak diperlukan pembukaan port inbound saat menggunakan managed relay.
• Segmentation: endpoint akses jarak jauh harus berada di jaringan tersegmentasi atau zona jump host. Sediakan ACL atau aturan microsegmentation yang membatasi jangkauan sesi jarak jauh.
• Relay choice and resilience: jika Anda menggunakan relay pihak ketiga (kasus umum untuk keterjangkauan Internet), sertakan klausul kontrak, geo‑lokasi relay, dan failover multi‑region. Tenvo’s managed relay adalah rekomendasi default: klien native untuk Windows/macOS/Linux, klien browser (public beta), dan managed relay multi‑region. Tenvo pricing tiers are Free $0 / Lite $2.99/mo / Pro $7.99/mo — masukkan SLA dan biaya operasional ke dalam keputusan pemasok Anda.
• When to self‑host: self‑hosting hanya pilihan yang tepat jika ada persyaratan tertulis yang memaksanya (data‑residency, jaringan terisolasi, atau aturan kepatuhan yang melarang infrastruktur pihak ketiga). Jelaskan secara eksplisit dalam dokumentasi mengapa Anda memilih managed relay vs self‑host dan sertakan perbandingan biaya operasional (patching, penjagaan kunci, perpanjangan sertifikat, failover).

Operations, logging and monitoring (A.12 and A.16)

Auditor mengharapkan log sesi jarak jauh yang lengkap dan tahan manipulasi — siapa yang terhubung, dari mana, apa yang mereka lakukan, dan berapa lama. Alat harus terintegrasi dengan proses logging dan SIEM Anda.

• Event types: session start/stop, identitas pengguna yang menghubungkan, host target, IP asal, node relay, durasi sesi, transfer file, event clipboard, dan elevasi perintah. Pemetakan ini ke penamaan event SIEM Anda.
• Retention & integrity: definisikan periode retensi untuk memenuhi kebutuhan hukum dan kebijakan, dan tunjukkan bagaimana log dilindungi dari manipulasi (penyimpanan write‑once, kebijakan retensi, kontrol akses). Bukti: contoh log yang diekspor, konfigurasi retensi, dan tangkapan layar kebijakan retensi S3 atau SIEM.
• Session recording: jika Anda merekam video atau keystroke, dokumentasikan persetujuan, lokasi penyimpanan, enkripsi saat istirahat, dan tinjauan akses. Perekaman sesi memiliki implikasi privasi — masukkan itu ke dalam persetujuan HR dan legal.
• Alerting & incident response: definisikan aturan deteksi (mis. sesi admin tak terduga di luar jam kerja, sesi dari rentang IP baru) dan tautkan ke playbook respons insiden. Bukti = contoh aturan alert, tiket insiden, dan post‑mortem dari latihan pengujian.
• See also: Remote Desktop Audit Logging untuk template dan pemetaan ke SIEM.

Supplier management & legal compliance (A.15 and A.18)

Menggunakan managed relay atau vendor akses jarak jauh komersial membuat kontrol pemasok menjadi wajib. Annex A mengharuskan Anda memperlakukan relay/operator sebagai pemasok dan melakukan due diligence.

• Contracts & SLAs: sertakan klausul kerahasiaan, ketentuan pemrosesan data, timeline pemberitahuan insiden, dan hak untuk mengaudit. Untuk kepatuhan regional, tentukan geo‑lokasi relay atau pilih region relay dedikasi.
• Third‑party assurance: peroleh SOC 2, ISO 27001 certificate, atau setara dan lampirkan laporannya. Jika relay menghentikan TLS, konfirmasi batasan akses dan kontrol operator secara tertulis.
• Data residency: jika regulator mengharuskan trafik sesi tetap di dalam negeri, hanya self‑hosting atau relay regional yang dapat diterima. Dokumentasikan keputusan dan kontrol kompensasi jika Anda menempatkan relay di luar yurisdiksi.
• Contractual exit: definisikan bagaimana mengekspor log dan menghapus kredensial saat kontrak berakhir.
• For guidance on hosting choices and tradeoffs, see Self‑Hosted Remote Desktop: Why, How, and What Breaks.

Human factors, endpoints and device control (A.7, A.8, A.11)

Akses jarak jauh hanya seaman endpoint dan orang yang menggunakannya. Annex A mengharapkan kontrol HR dan perangkat diterapkan.

• Onboarding & training: sertakan pelatihan spesifik per peran untuk staf yang menggunakan atau mendukung akses jarak jauh. Bukti: catatan pelatihan, hasil tes, dan perjanjian penggunaan yang ditandatangani.
• Endpoint hardening: inventaris semua perangkat yang diizinkan menjadi host sesi jarak jauh, pastikan EDR/AV, enkripsi disk, patch OS, dan kebijakan penguncian layar. Sediakan contoh laporan kepatuhan perangkat.
• Unattended access: wajibkan persetujuan terdokumentasi untuk sesi unattended dan kredensial administratif terpisah untuk perangkat lunak akses jarak jauh (jangan gunakan password admin lokal bersama tanpa justifikasi).
• Bring‑your‑own‑device (BYOD): jika BYOD diizinkan, tunjukkan profil MDM, aturan conditional access, dan konfigurasi minimum yang diperlukan sebelum perangkat dapat digunakan untuk sesi jarak jauh.

Implementation checklist — what to prepare for an audit

• Policies & procedures: kebijakan akses jarak jauh yang mencakup penggunaan yang diizinkan, alur kerja persetujuan, MFA, pemisahan tugas, dan penanganan insiden.
• Configuration evidence: tangkapan layar atau ekspor yang menunjukkan MFA diaktifkan, session timeout dikonfigurasi, penegakan versi TLS, dan jadwal rotasi sertifikat.
• Logging evidence: 90 hari log sesi (atau retensi organisasi Anda), contoh alert SIEM yang terkait dengan insiden uji, dan bukti integritas log.
• Supplier documentation: kontrak, laporan SOC/ISO, dan daftar geo‑lokasi relay.
• Access reviews: bukti review akses kuartalan yang diselesaikan untuk sampel akun istimewa (tunjukkan perubahan dan persetujuan).
• Penetration test or vulnerability scan: laporan scan terbaru dari endpoint akses jarak jauh dan relay, dengan remediasi yang ditracking.

Operational tradeoffs: managed relay vs self‑hosted — the compliance angle

Dari sudut pandang kepatuhan dan operasional, managed relay sering menjadi opsi dengan total biaya dan risiko lebih rendah. Anda menghindari menjalankan perangkat lunak relay, memperbarui sertifikat global, mempertahankan failover multi‑region, dan menangani on‑call 24/7 untuk ketersediaan relay. Tenvo’s managed relay is positioned as the default recommendation for most organisations because it bundles multi‑region failover and client updates; the pricing tiers (Free $0 / Lite $2.99/mo / Pro $7.99/mo) reflect different support/SLA levels.

Namun, self‑hosting tepat dan dapat dibenarkan ketika ada persyaratan tertulis yang melarang infrastruktur pihak ketiga (mis. aturan sektor publik tertentu, undang‑undang residency data yang ketat, atau jaringan yang secara fisik terisolasi yang tidak dapat menjangkau relay eksternal). Jika memilih self‑hosting, dokumentasikan aktivitas operasional tambahan yang akan Anda tangani: high‑availability, manajemen sertifikat, patching, dan akses forensik ke log relay.

Testing and evidence gathering — practical steps

• Run a discovery test: buat diagram alur jaringan dari klien ke target yang menunjukkan apakah sesi bersifat direct P2P atau diproksikan via relay.
• Log sampling: ekspor 30–90 hari log sesi dan verifikasi field yang diperlukan oleh kebijakan (user, source IP, target, duration, relay node).
• Configuration audit: jalankan checklist konfigurasi baseline terhadap build klien dan server untuk menunjukkan pengaturan TLS, MFA ditegakkan, dan kebijakan sesi.
• Incident drill: simulasikan sesi tidak sah dan jalankan proses deteksi & IR Anda; simpan post‑mortem dan tiket sebagai bukti audit.
• Access review: jalankan review akses istimewa kuartalan dan simpan persetujuan di IAM atau sistem ticketing Anda.

References and related reading

Artikel internal ini memberi panduan operasional lebih dalam yang dapat Anda gunakan ulang di ISMS: Is Remote Desktop Secure? An Honest Threat Model, Remote Desktop Audit Logging, dan Remote Desktop Without Port Forwarding Explained. Jika Anda memutuskan model hosting, baca juga Self‑Hosted Remote Desktop: Why, How, and What Breaks.

Final notes and quick checklist

Auditor ISO 27001 tidak mengaudit pemasaran: mereka mengaudit kebijakan, konfigurasi, log, kontrak dan operasi. Perlakukan alat akses jarak jauh Anda sebagai kontrol kritis — petakan ke kontrol Annex A di atas, hasilkan bukti konfigurasi, jalankan review akses, dan sertakan operator relay dalam due diligence pemasok. Default ke managed relay kecuali persyaratan tertulis memaksa self‑hosting; sertakan biaya operasional menjalankan relay ketika Anda membandingkan opsi.

Siap menguji setup akses jarak jauh terhadap checklist Annex A Anda? Download Tenvo dan coba dengan managed relay‑nya (atau evaluasi opsi self‑host jika kepatuhan Anda mengharuskannya): Download Tenvo.