Siapakah yang membangunkan DCSS?

Eric Chuar Technologies membangunkan dan menyelenggara DCSS melalui Program Piawaian dan Pematuhannya.

Siapakah yang patut menggunakan DCSS?

Organisasi, pasukan teknologi maklumat dan keselamatan, pasukan perisian, penyedia terurus, juruaudit dan pembeli boleh menggunakannya bagi skop perkhidmatan digital berbatas.

Apakah keperluan pensijilan DCSS?

Ia memerlukan aset dan tanggungjawab mengikut skop, kawalan dilaksanakan, bukti operasi, penilaian, tindakan pembetulan dan keputusan program rasmi.

Adakah DCSS piawaian ISO?

Tidak. Ia dibangunkan secara bebas dan tidak mewakili akreditasi ISO, kerajaan atau berkanun.

Adakah DCSS menjamin organisasi tidak boleh diceroboh?

Tidak. Ia memerlukan pencegahan, pengesanan, respons dan pemulihan yang sepadan sambil mengakui risiko berbaki.

Adakah setiap kawalan CIS atau NIST mesti dilaksanakan?

Tidak. DCSS memetakan hasil berkaitan dan mengharapkan kawalan berasaskan risiko yang beralasan bagi skop diisytiharkan.

Adakah sandaran sahaja cukup untuk pematuhan pemulihan?

Tidak. Bukti pemulihan merangkumi reka bentuk sandaran dilindungi, ujian pemulihan, kebergantungan, peranan dan jangkaan perkhidmatan minimum.

Bolehkah penyedia perkhidmatan terurus dinilai?

Ya, apabila sempadan tanggungjawab, kebergantungan pelanggan, akses dan buktinya diisytiharkan dengan jelas.

Bagaimanakah ketidakpatuhan besar ditangani?

Ketidakpatuhan besar menghalang pensijilan sehingga tindakan pembetulan dilaksanakan dan disahkan bagi skop terjejas.

DCSS — Piawaian Keselamatan Siber dan Perlindungan Digital

Takrif langsung

Apakah DCSS?

DCSS ialah piawaian antarabangsa bebas yang dibangunkan oleh Eric Chuar Technologies untuk mentadbir keselamatan siber, kejuruteraan selamat dan keselamatan operasi merentas sistem digital. Ia menghendaki organisasi mengenali aset dan risiko, mengawal identiti dan konfigurasi, mengurus kelemahan dan pembekal, mengesan kejadian, memberi respons kepada insiden serta membuktikan perkhidmatan penting dan data boleh dipulihkan.

DCSS bertujuan menjadikan semakan pematuhan praktikal. Ia tidak memberikan status berdasarkan niat sahaja: pemohon mengenal pasti sistem berbatas, menamakan pemilik bertanggungjawab, mengendalikan kawalan terpakai dan menyediakan bukti yang boleh dijejak kepada versi semasa. Penilaian mempertimbangkan reka bentuk bersama operasi kerana dasar yang tidak dipatuhi, atau kawalan teknikal tanpa laluan keputusan bertanggungjawab, bukan bukti mencukupi.

Akronim	DCSS
Nama rasmi	Piawaian Keselamatan Siber dan Perlindungan Digital
Rujukan	DCSS 26003:2026
Penerbit	Eric Chuar Technologies
Penyelenggara	Program Piawaian dan Pematuhan Eric Chuar Technologies
Skop	Piawaian keselamatan siber operasi dan kejuruteraan selamat untuk melindungi perkhidmatan digital serta pulih daripada gangguan.
Status	Diterbitkan — penilaian diperlukan untuk pensijilan
Penggunaan geografi	Direka untuk penggunaan antarabangsa dan rentas sempadan

Tujuan dan hasil dimaksudkan

Perkara yang ingin dicapai oleh DCSS.

Piawaian keselamatan siber operasi dan kejuruteraan selamat untuk melindungi perkhidmatan digital serta pulih daripada gangguan. Piawaian menyediakan cara bersama bagi pihak berkepentingan teknikal dan bukan teknikal untuk menentukan jangkaan, memeriksa pelaksanaan serta merekodkan risiko berbaki tanpa membayangkan satu corak kawalan sesuai untuk setiap organisasi.

Pemilikan keselamatan siber dikaitkan dengan risiko perniagaan dan keutamaan perkhidmatan
Aset, identiti, data dan kebergantungan pihak ketiga diketahui
Kawalan pencegahan, pengesanan dan pemulihan berlapis dengan bukti boleh disemak
Kelemahan dan insiden dikendalikan melalui keputusan operasi bertanggungjawab
Kesinambungan dan pembelajaran diuji, bukan andaian sandaran yang belum disahkan

Pihak yang patut menggunakannya

Akauntabiliti merentas pembeli, pembangun dan pengendali.

Penggunaan sesuai apabila organisasi boleh mengenal pasti subjek penilaian dan tanggungjawab yang benar-benar dikawalnya. Pembekal boleh menyumbangkan bukti, tetapi penyumberan luar kerja tidak memindahkan akauntabiliti keputusan pemohon.

Organisasi yang bertanggungjawab bagi perkhidmatan digital kritikal perniagaan
Pasukan teknologi maklumat, keselamatan, perisian, platform dan pengurusan perkhidmatan
Penyedia perkhidmatan terurus yang beroperasi dalam sempadan tanggungjawab diisytiharkan
Pihak berkepentingan risiko, audit dan perolehan yang menilai bukti kawalan
Pemimpin yang bertanggungjawab bagi keputusan insiden, kesinambungan dan pemulihan

Sempadan skop

Sistem dan peringkat kitar hayat yang termasuk dan dikecualikan.

Termasuk

Aplikasi, peranti hujung, rangkaian, perkhidmatan awan, identiti, data, saluran pembangunan, pembekal dan proses operasi yang menyokong sempadan perkhidmatan digital diisytiharkan oleh pemohon.

Dikecualikan dan tidak tersirat

Ia tidak menjamin kekebalan daripada serangan, menggantikan peraturan sektor, membenarkan aktiviti serangan, atau mewakili pensijilan ISO/IEC 27001, NIST, CIS, OWASP, kerajaan atau berkanun.

Pernyataan penilaian mesti mengenal pasti sempadan organisasi, sistem, antara muka, lokasi, peringkat kitar hayat dan penyedia penting. Platform dikongsi boleh disertakan hanya setakat tanggungjawab dan bukti tersedia. Skop sempit boleh diterima apabila diterangkan dengan jujur; skop kabur tidak dibesarkan oleh bahasa pemasaran.

Bahasa normatif

Cara membaca keperluan.

Hendaklah

Keperluan mandatori bagi skop diisytiharkan. Pengecualian memerlukan keputusan skop beralasan, bukan pengguguran senyap.

Patut

Amalan disyorkan. Pendekatan berbeza boleh diterima apabila bukti menunjukkan hasil setara dan sesuai dengan konteks.

Boleh

Pilihan dibenarkan yang tidak menjadi mandatori hanya kerana muncul dalam panduan.

Bukti

Rekod, artifak, pemerhatian atau hasil boleh diulang yang menyokong dakwaan. Bukti mesti boleh dikaitkan dengan sumber, cukup terkini bagi keputusan dan dilindungi mengikut sensitiviti.

Prinsip teras

Prinsip DCSS membimbing pelaksanaan sepadan.

01

Tadbir keselamatan siber

Kepimpinan menetapkan tahap risiko yang sanggup diterima, pemilikan kawalan dan sumber, bukan menganggap keselamatan sebagai tugas teknikal terasing.

02

Kenali perkara yang mesti dilindungi

Aset, data, identiti, pembekal dan perkhidmatan penting mempunyai rekod bertanggungjawab.

03

Kurangkan pendedahan boleh dicegah

Konfigurasi selamat, keistimewaan minimum, tampalan dan jaminan perisian digunakan mengikut risiko.

04

Kesan dengan konteks

Log dan amaran menghubungkan isyarat teknikal dengan aset, pemilik dan ambang respons.

05

Pulihkan perkara penting

Sandaran dan kesinambungan dibuktikan melalui pemulihan dan latihan perkhidmatan.

06

Belajar dan tambah baik

Insiden, ujian dan pengecualian menghasilkan tindakan pembetulan boleh dijejak, bukan beban operasi tersembunyi.

Set kawalan normatif

Keperluan mandatori DCSS.

Setiap keperluan terpakai hendaklah ditangani bagi skop diisytiharkan. Reka bentuk kawalan alternatif boleh diterima hanya apabila menghasilkan hasil setara, disokong bukti dan tidak bercanggah dengan keperluan. Penilai mengambil sampel reka bentuk serta operasi dan boleh meminta bukti tambahan apabila risiko penting atau ketidakselarasan muncul. Setiap kawalan memerlukan pemilik bertanggungjawab, sempadan terjejas, pencetus semakan dan laluan pengecualian; bukti mesti boleh dikaitkan dengan versi dinilai atau tempoh operasi.

DCSS-4.1
Tadbir urus
Organisasi hendaklah meluluskan tanggungjawab keselamatan siber, tahap risiko yang sanggup diterima, laluan pelaporan dan pengecualian bagi skop diisytiharkan. Bukti: piagam keselamatan, matriks pemilikan dan rekod semakan.
DCSS-4.2
Inventori aset
Organisasi hendaklah mengekalkan inventori bertanggungjawab bagi perkakasan, perisian, perkhidmatan awan, stor data dan perkhidmatan terdedah kepada pihak luar. Bukti: inventori aset dan perkhidmatan semasa.
DCSS-4.3
Penilaian risiko
Organisasi hendaklah mengenal pasti ancaman munasabah, kelemahan, akibat dan rawatan serta meninjaunya selepas perubahan penting. Bukti: daftar risiko dan keputusan rawatan.
DCSS-5.1
Kitar hayat identiti
Organisasi hendaklah mengawal penciptaan akaun, pengesahan, perubahan peranan, akses istimewa dan pembatalan tepat pada masanya. Bukti: prosedur identiti dan bukti semakan akses.
DCSS-5.2
Pengesahan kukuh
Organisasi hendaklah mewajibkan pengesahan berbilang faktor bagi akses istimewa dan berisiko penting kecuali kawalan pampasan yang didokumenkan diterima. Bukti: konfigurasi pengesahan berbilang faktor dan rekod pengecualian.
DCSS-5.3
Keistimewaan minimum
Organisasi hendaklah memberikan hanya kebenaran diperlukan, memisahkan tugas berimpak tinggi dan menyemak peranan istimewa secara berkala. Bukti: matriks peranan dan semakan akses istimewa.
DCSS-5.4
Kriptografi dan rahsia
Organisasi hendaklah melindungi data sensitif semasa penghantaran dan penyimpanan apabila risiko memerlukan serta mengurus kunci, token dan rahsia di luar kod sumber atau mesej tidak terkawal. Bukti: reka bentuk penyulitan dan inventori rahsia.
DCSS-6.1
Konfigurasi selamat
Organisasi hendaklah menentukan, melaksanakan dan memantau garis dasar konfigurasi diperkukuh bagi platform dan perkhidmatan berkaitan. Bukti: garis dasar diluluskan dan hasil hanyutan.
DCSS-6.2
Pengurusan kelemahan
Organisasi hendaklah menemui, mengesahkan, mengutamakan dan memulihkan kelemahan menggunakan konteks risiko, pendedahan dan eksploitasi. Bukti: hasil imbasan, penilaian awal dan sejarah pemulihan.
DCSS-6.3
Pengurusan tampalan
Organisasi hendaklah menguji dan menggunakan kemas kini keselamatan dalam sasaran berasaskan risiko serta mendokumenkan penangguhan diterima atau kawalan pampasan. Bukti: status tampalan dan bukti pengecualian.
DCSS-6.4
Kawalan peranti hujung dan rangkaian
Organisasi hendaklah mengasingkan sempadan kepercayaan penting dan menggunakan perlindungan peranti hujung, rangkaian serta pentadbiran yang sepadan. Bukti: rajah rangkaian dan status kawalan.
DCSS-7.1
Kitar hayat aplikasi selamat
Organisasi hendaklah menyepadukan keperluan keselamatan, semakan kod, kawalan kebergantungan dan pengesahan ke dalam perubahan perisian. Bukti: kawalan kitar hayat pembangunan perisian dan bukti keluaran.
DCSS-7.2
Risiko rantaian bekalan
Organisasi hendaklah menilai penyedia kritikal dan kebergantungan perisian bagi akses, jaminan, notis insiden, kesinambungan dan risiko keluar. Bukti: daftar pembekal dan usaha wajar.
DCSS-8.1
Pelogaan
Organisasi hendaklah mengumpulkan, melindungi, menyelaraskan masa dan menyimpan kejadian berkaitan keselamatan yang mencukupi bagi pengesanan dan penyiasatan. Bukti: inventori log, peraturan penyimpanan dan sampel.
DCSS-8.2
Pengesanan dan eskalasi
Organisasi hendaklah menentukan keadaan dipantau, pemilikan amaran, keputusan tahap keterukan dan laluan eskalasi serta menguji isyarat yang mewakili penggunaan. Bukti: katalog pengesanan dan hasil ujian.
DCSS-8.3
Respons insiden
Organisasi hendaklah mengekalkan dan melatih prosedur penilaian awal, pembendungan, pemeliharaan bukti, pemulihan, komunikasi dan pembelajaran. Bukti: pelan insiden dan rekod latihan.
DCSS-9.1
Sandaran dan pemulihan
Organisasi hendaklah melindungi sandaran daripada domain kegagalan yang sama dan mengesahkan pemulihan data serta perkhidmatan yang mewakili penggunaan. Bukti: reka bentuk sandaran dan ujian pemulihan.
DCSS-9.2
Kesinambungan dan kesedaran
Organisasi hendaklah menentukan kesinambungan perkhidmatan minimum, kebergantungan, alternatif manual dan kesedaran keselamatan berdasarkan peranan. Bukti: latihan kesinambungan dan bukti latihan kakitangan.

Bukti diperlukan

Bukti mesti menyokong dakwaan yang dinilai.

Pemohon patut menyediakan set bukti terkecil yang mencukupi, bukan lambakan data tidak terkawal. Rekod patut menunjukkan siapa membuat keputusan, sempadan dan versi terlibat, hasil diperhatikan serta cara pengecualian dikendalikan. Bahan teknikal, pekerja atau pelanggan sensitif kekal dilindungi dan tidak diterbitkan hanya kerana menyokong penilaian.

Rekod tadbir urus dan risiko
Inventori aset, perisian, identiti dan pembekal
Semakan pengesahan berbilang faktor dan akses istimewa
Bukti penyulitan dan pengurusan rahsia
Laporan konfigurasi selamat dan hanyutan
Rekod kelemahan, tampalan dan pengecualian
Ujian keselamatan aplikasi dan kebergantungan
Bukti pelogaan dilindungi dan pengesanan
Latihan insiden dan tindakan pembetulan
Ujian pemulihan sandaran dan kesinambungan perniagaan

Penilaian dan pensijilan

Pensijilan ialah keputusan terkawal, bukan lencana automatik.

Program mengesahkan pemohon dan skop, menyemak bukti diserahkan, menjalankan penilaian teknikal dan merekodkan penemuan. Pemohon menjawab ketidakpatuhan dengan sebab, pembetulan dan bukti tindakan berkesan. Keputusan pensijilan dipisahkan daripada penyediaan bukti setakat model operasi semasa program membenarkannya. Pengawasan dan pembaharuan mempertimbangkan operasi kawalan berterusan serta perubahan penting.

Tahap pematuhan

Asas

Skop yang diisytiharkan mempunyai pemilikan bertanggungjawab, garis dasar yang didokumenkan dan pelan pelaksanaan. Asas ialah keadaan kesediaan, bukan pensijilan.

Disahkan

Kawalan dan bukti yang diperlukan telah disemak terhadap piawaian terpilih, dengan ketidakpatuhan yang dikenal pasti direkodkan dan tindakan pembetulan diterima.

Diperakui

Keputusan pematuhan rasmi telah dikeluarkan melalui program EC TECH selepas pengesahan skop, semakan bukti, penilaian teknikal dan penutupan ketidakpatuhan yang menghalang pensijilan. Pensijilan bukan automatik atau akreditasi luaran.

Tahap ketidakpatuhan

Pemerhatian

Keadaan yang belum melanggar keperluan mandatori tetapi boleh melemahkan konsistensi, mutu bukti atau pematuhan pada masa hadapan jika dibiarkan.

Ketidakpatuhan kecil

Kegagalan setempat memenuhi keperluan sedangkan sistem kawalan masih berkesan secara keseluruhan. Penutupan memerlukan pembetulan yang sepadan dan bukti yang diterima oleh program.

Ketidakpatuhan besar

Kawalan yang tiada, bermasalah secara menyeluruh atau tidak berkesan secara material, atau keadaan yang mewujudkan risiko tidak boleh diterima bagi skop yang diisytiharkan. Pensijilan tidak boleh diberi atau dikekalkan sehingga tindakan pembetulan yang memuaskan disahkan.

Hubungan dengan rangka kerja sedia ada

DCSS menggunakan penjajaran berasas tanpa penyamaan palsu.

Rujukan membantu pemohon memperdalam kawalan atau membandingkan istilah. “Mengambil rujukan daripada” bermaksud sumber mempengaruhi reka bentuk keperluan; “dipetakan kepada” bermaksud hubungan didokumenkan boleh ditunjukkan; “sejajar dengan” menunjukkan hasil serasi. Tiada frasa itu bermaksud “diperakui mengikut”. Rangka kerja atau undang-undang luaran mengekalkan skop, teks, laluan penilaian dan kuasanya sendiri.

Rangka Kerja Keselamatan Siber NIST 2.0

Hasil tadbir urus, pengenalpastian, perlindungan, pengesanan, respons dan pemulihannya memberi rujukan kepada model operasi DCSS.

ISO/IEC 27001:2022

Keperluan sistem pengurusan keselamatan maklumatnya memberi rujukan kepada tadbir urus dan penambahbaikan berterusan; DCSS bukan pensijilan ISO/IEC 27001.

Kawalan CIS 8.1

Perlindungan berkeutamaan dan boleh diukurnya memberi rujukan kepada semakan praktikal aset, konfigurasi, akses, kelemahan, pelogaan dan pemulihan.

NIST SSDF

Hasil pembangunan selamatnya memberi rujukan kepada kawalan kitar hayat perisian dan rantaian bekalan.

OWASP ASVS dan SAMM

Kedua-duanya menyediakan rujukan pengesahan aplikasi lebih mendalam dan kematangan jaminan perisian apabila berkaitan.

Laluan pelaksanaan

Urutan penerimaan pakai praktikal 30/60/90 hari.

Urutan ialah bantuan perancangan, bukan jadual pensijilan dijanjikan. Kerumitan, kematangan bukti, akses pihak ketiga dan kerja pembetulan menentukan laluan sebenar. Pasukan patut mengutamakan risiko penting dan operasi mampan, bukan menyediakan dokumen yang wujud hanya untuk hari penilaian.

30 hari pertama — wujudkan keterlihatan

Namakan pemilik dan perkhidmatan penting
Inventori aset, identiti dan pembekal
Nilai risiko utama dan sistem terdedah
Sahkan sandaran dan kenalan kecemasan

Hari 31–60 — kurangkan pendedahan

Kukuhkan identiti dan konfigurasi
Nilai dan utamakan kelemahan serta kebergantungan
Tambah baik pelogaan dan pengesanan
Latih langkah insiden dan pemulihan

Hari 61–90 — buktikan daya tahan

Tutup jurang keutamaan
Kumpulkan bukti operasi
Jalankan senario kesinambungan
Serahkan skop berbatas untuk penilaian

Manfaat

Perkara yang boleh ditambah baik melalui penerimaan pakai berdisiplin.

Akauntabiliti keselamatan siber lebih jelas
Pelaburan kawalan berkeutamaan, bukan tanpa pertimbangan
Bukti lebih kukuh bagi pelanggan dan perolehan
Pengesanan lebih pantas dan respons terselaras
Keputusan pemulihan dan kesinambungan lebih berwibawa

Batasan

Perkara yang tidak dibuktikan oleh pensijilan.

Tiada rangka kerja kawalan mencegah setiap serangan atau kerugian
DCSS tidak menggantikan undang-undang khusus sektor, ujian penembusan atau nasihat pakar
Pensijilan terpakai hanya kepada skop diisytiharkan dan tempoh bukti
Penjajaran rangka kerja luaran tidak sama dengan akreditasi luaran

Pemversian dan kawalan perubahan

Versi semasa: DCSS 26003:2026.

Halaman ini mewakili versi 2026 semasa yang diterbitkan. Perubahan dicadangkan dinilai bagi keperluan, kejelasan, kesan boleh diukur, keserasian dan impak peralihan. Semakan masa hadapan akan mengenal pasti perubahan penting serta sama ada skop dinilai sebelum ini memerlukan bukti tambahan. Penjelasan editorial tidak melemahkan keperluan mandatori secara senyap, dan pemohon tidak boleh memilih klausa lapuk semata-mata untuk mengelakkan kawalan semasa.

Semakan terakhir: 6 September 2026. Sejarah semakan awam akan dipautkan apabila semakan berikutnya wujud; tiada sejarah kosong atau rekaan dipaparkan.

Soalan dan jawapan langsung DCSS

DCSS ialah Piawaian Keselamatan Siber dan Perlindungan Digital, piawaian antarabangsa bebas yang dibangunkan oleh Eric Chuar Technologies bagi tadbir urus siber, perlindungan, pengesanan, respons dan pemulihan yang boleh diukur.

Piawaian dan perkhidmatan berkaitan

Hubungkan DCSS dengan tanggungjawab di sekelilingnya.

Rujukan utama

Sumber disemak bagi ketepatan teknikal.

Rujukan dipautkan untuk perbandingan dan kedalaman pelaksanaan. Penyertaan tidak membayangkan sokongan, penerimaan pakai, akreditasi atau pensijilan DCSS oleh organisasi dirujuk.

Semakan terakhir: 6 September 2026.