1. Tujuan
SOP ini menjadi acuan kerja tim KUTIM-CSIRT dalam menerima, mencatat, menilai, menangani, dan menutup laporan insiden siber, agar setiap laporan ditangani secara konsisten, terdokumentasi, dan sesuai target waktu pada Standar Pelayanan.
2. Ruang Lingkup
- Berlaku untuk laporan insiden siber yang menyangkut sistem elektronik Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur, termasuk situs dan aplikasi pada domain *.kutaitimurkab.go.id.
- Sumber laporan: formulir /lapor, email csirt@kutaitimurkab.go.id, telepon (0549) 2021207 pada jam layanan, hasil pemantauan keamanan oleh tim, dan notifikasi dari pihak eksternal seperti Gov-CSIRT Indonesia (BSSN).
- Laporan kategori Kerentanan Keamanan tanpa tanda eksploitasi ditangani dengan SOP-KUTIMCSIRT-03 (Penanganan Laporan Kerentanan). Bila ada tanda kerentanan sedang dieksploitasi, laporan ditangani dengan SOP ini.
- Laporan dari masyarakat tentang sistem di luar konstituen tetap diterima dan diteruskan ke pihak yang berwenang.
3. Dasar Hukum
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
- Peraturan Badan Siber dan Sandi Negara Nomor 1 Tahun 2024 tentang Pengelolaan Insiden Siber.
- Keputusan Bupati Kutai Timur Nomor 555/K.557/2024 tentang Pembentukan Computer Security Incident Response Team Kutai Timur (KUTIM-CSIRT), ditetapkan 17 September 2024.
4. Definisi
- Insiden siber: kejadian yang mengancam atau mengganggu kerahasiaan, keutuhan, atau ketersediaan sistem elektronik dan data, misalnya akses tidak sah, defacement, phishing, malware/ransomware, kebocoran data, DoS/DDoS, penyalahgunaan akun, dan penyisipan konten judi/SEO (judol).
- Tiket: catatan laporan pada sistem KUTIM-CSIRT yang memiliki Nomor Tiket dan Token. Pelapor memantau status melalui /lacak-tiket.
- Status tiket, berurutan: Diterima, Triase, Dalam Penanganan, Menunggu Info Pelapor, Selesai, Ditutup. Status Menunggu Info Pelapor dipakai kapan saja tim memerlukan informasi tambahan dari pelapor.
- Triase: verifikasi laporan, penentuan kategori, prioritas, aset terdampak, dan pemilik sistem.
- Prioritas: Kritis, Tinggi, Sedang, atau Rendah, ditetapkan saat triase berdasarkan dampak dan cakupan sesuai kriteria pada Standar Pelayanan. Tingkat keparahan pilihan pelapor dipakai sebagai titik awal.
- Pemilik sistem: Perangkat Daerah yang memiliki atau bertanggung jawab atas sistem elektronik terdampak.
- Jam kerja / hari kerja: Senin sampai Jumat, 08.00 sampai 16.00 WITA, kecuali hari libur nasional.
- IOC (indicator of compromise): artefak teknis penanda serangan, seperti alamat IP, domain, hash berkas, atau nama berkas webshell.
- TLP: Traffic Light Protocol 2.0. Publikasi berlabel TLP:CLEAR; laporan penanganan ke Perangkat Daerah TLP:AMBER; informasi untuk penerima tertentu TLP:AMBER+STRICT atau TLP:RED.
- Lesson learned: evaluasi pascainsiden berisi akar masalah, hal yang berjalan baik atau kurang, dan rekomendasi agar insiden tidak berulang.
5. Pihak Terkait
- Pengarah dan Penanggung Jawab: memberi arahan dan menerima laporan atas insiden Kritis.
- Ketua KUTIM-CSIRT: memutuskan eskalasi ke Gov-CSIRT Indonesia (BSSN) dan aparat penegak hukum, serta tindakan darurat yang menghentikan layanan.
- Sekretaris: administrasi tiket, korespondensi resmi, dan arsip.
- Koordinator Tim Penanggulangan dan Pemulihan Insiden: menetapkan prioritas akhir, menugaskan sub tim, dan memantau target waktu.
- Sub Tim Keamanan Informasi: triase, analisis, pengamanan bukti, dan IOC.
- Sub Tim Pengelola Jaringan dan Server: penanggulangan dan pemulihan pada jaringan, server, dan infrastruktur.
- Sub Tim Website Administrator dan Aplikasi: penanggulangan dan pemulihan pada situs dan aplikasi.
- Pelapor: pihak yang menyampaikan laporan, termasuk pelapor anonim.
- Pemilik sistem (Perangkat Daerah): memberi akses, menyediakan log dan backup, serta melaksanakan perbaikan.
- Pihak eksternal: Gov-CSIRT Indonesia (BSSN), aparat penegak hukum, penyedia layanan atau pengembang aplikasi.
6. Prosedur
| No | Kegiatan | Pelaksana | Output | Waktu |
|---|---|---|---|---|
| 1 | Menerima laporan. Laporan dari formulir /lapor otomatis menjadi tiket berstatus Diterima. Laporan dari email, telepon, pemantauan, atau pihak eksternal dicatat sebagai tiket oleh petugas. Pelapor via telepon diminta melengkapi laporan melalui formulir atau email. | Sekretaris; anggota tim yang menerima laporan | Tiket berstatus Diterima | Saat laporan masuk |
| 2 | Membaca laporan, menentukan prioritas sementara, dan mengirim tanggapan awal kepada pelapor (kecuali anonim) berisi nomor tiket dan langkah berikutnya. Laporan Kritis langsung diberitahukan kepada Koordinator dan Ketua. Status diubah ke Triase. | Sub Tim Keamanan Informasi | Tanggapan awal terkirim; status Triase | Kritis ≤ 1 jam; Tinggi ≤ 4 jam kerja; Sedang ≤ 1 hari kerja; Rendah ≤ 2 hari kerja |
| 3 | Triase: memastikan laporan merupakan insiden, memastikan aset termasuk konstituen, menetapkan kategori dan prioritas, mengidentifikasi aset terdampak dan pemilik sistem, serta memeriksa keterkaitan dengan tiket lain. Laporan kerentanan tanpa tanda eksploitasi dialihkan ke SOP-KUTIMCSIRT-03. Aset di luar konstituen diteruskan ke pihak yang berwenang. | Sub Tim Keamanan Informasi; Koordinator menetapkan prioritas akhir | Catatan triase pada tiket | Segera setelah tanggapan awal |
| 4 | Bila informasi belum cukup, meminta informasi tambahan kepada pelapor dan mengubah status ke Menunggu Info Pelapor. Status dikembalikan setelah informasi diterima. Pelapor anonim tidak dapat dihubungi, sehingga tim bekerja dengan informasi yang ada. | Sub Tim Keamanan Informasi | Permintaan informasi tercatat | Sesuai kebutuhan; target waktu dapat terlampaui selama status ini |
| 5 | Menetapkan penanggung jawab tiket dan sub tim pelaksana sesuai jenis aset. Status diubah ke Dalam Penanganan. | Koordinator | Penugasan tercatat; status Dalam Penanganan | Setelah triase |
| 6 | Memberitahu pemilik sistem (Kepala Perangkat Daerah dan pengelola teknis) dengan label TLP:AMBER, meminta pengamanan bukti dan akses yang diperlukan, serta meminta agar sistem tidak dibersihkan atau dipulihkan sebelum bukti diamankan. | Penanggung jawab tiket; Sekretaris untuk surat resmi | Notifikasi ke pemilik sistem | Segera setelah penugasan |
| 7 | Mengumpulkan dan mengamankan bukti: log (web server, aplikasi, autentikasi, firewall), salinan berkas mencurigakan beserta hash, tangkapan layar, dan bila perlu snapshot atau image sistem. Mencatat siapa yang mengambil, kapan, dan di mana bukti disimpan. Sampel malware disimpan dalam arsip ZIP/7z berpassword infected. | Sub Tim Keamanan Informasi bersama pemilik sistem | Bukti dan catatan pengamanan bukti | Sebelum pembersihan sistem |
| 8 | Menganalisis bukti untuk menentukan titik masuk, cakupan, akun dan data yang terdampak, serta IOC. | Sub Tim Keamanan Informasi | Catatan analisis dan daftar IOC | Berjalan selama penanganan |
| 9 | Penanggulangan (containment): misalnya isolasi host, pemblokiran IOC, penonaktifan akun yang disalahgunakan, atau penonaktifan sementara halaman terdampak. Tindakan yang menghentikan layanan dilakukan atas persetujuan pemilik sistem. Pada insiden Kritis yang tidak dapat menunggu, tindakan diputuskan Ketua dan segera diberitahukan kepada pemilik sistem. | Sub Tim Pengelola Jaringan dan Server; Sub Tim Website Administrator dan Aplikasi; pemilik sistem | Catatan tindakan penanggulangan | Sesegera mungkin sesuai prioritas |
| 10 | Menyampaikan rekomendasi penanganan awal kepada pemilik sistem dan pelapor. | Penanggung jawab tiket | Rekomendasi penanganan awal | Kritis ≤ 24 jam; Tinggi ≤ 2 hari kerja; Sedang ≤ 3 hari kerja; Rendah ≤ 5 hari kerja |
| 11 | Eradikasi dan pemulihan: menghapus artefak penyerang (webshell, backdoor, akun ilegal, konten sisipan), menutup celah yang menjadi titik masuk, mengganti kredensial, memulihkan dari backup yang bersih, lalu memeriksa sistem sebelum kembali dibuka untuk publik. | Pemilik sistem dengan pendampingan sub tim terkait | Sistem pulih dan celah tertutup | Sesuai kompleksitas insiden |
| 12 | Mengirim pembaruan status kepada pelapor sampai insiden tertangani. | Penanggung jawab tiket | Pembaruan status pada tiket | Kritis tiap 24 jam; Tinggi tiap 2 hari kerja; Sedang saat ada perkembangan, paling lambat 5 hari kerja; Rendah saat ada perkembangan |
| 13 | Eskalasi bila diperlukan: ke Gov-CSIRT Indonesia (BSSN) bila insiden melampaui kemampuan atau kewenangan KUTIM-CSIRT, dan ke aparat penegak hukum bila menyangkut tindak pidana. Bila menyangkut data pribadi, mengingatkan pemilik sistem atas kewajibannya sebagai pengendali data pribadi menurut UU Nomor 27 Tahun 2022. | Ketua; Sekretaris untuk korespondensi | Surat atau email eskalasi; catatan serah terima bukti bila ada | Saat kebutuhan eskalasi teridentifikasi |
| 14 | Memverifikasi bahwa artefak penyerang telah hilang, celah telah ditutup, dan tidak ada tanda serangan ulang pada pemantauan pascapemulihan. Menyusun laporan penanganan berlabel TLP:AMBER untuk pemilik sistem. Status diubah ke Selesai dan pelapor diberi tahu, serta diminta mengisi survei kepuasan. | Penanggung jawab tiket; Koordinator menyetujui | Laporan penanganan TLP:AMBER; status Selesai | Setelah pemulihan terverifikasi |
| 15 | Menyusun lesson learned: wajib untuk insiden Kritis dan Tinggi, serta untuk insiden Sedang atau Rendah yang berulang. Hasilnya dapat berupa pembaruan aturan deteksi, daftar IOC, advisory, panduan, atau rekomendasi kepada Perangkat Daerah. | Koordinator bersama sub tim yang menangani | Catatan lesson learned dan tindak lanjutnya | Setelah status Selesai, sebelum tiket Ditutup |
| 16 | Menutup tiket: memastikan kronologi, bukti, laporan, dan lesson learned terarsip. Data yang dipakai untuk statistik publik disajikan berlabel TLP:CLEAR tanpa data pribadi pelapor. Status diubah ke Ditutup. | Sekretaris; Koordinator | Tiket Ditutup dan arsip lengkap | Setelah langkah 15 |
Insiden Kritis ditangani juga di luar jam kerja. Laporan prioritas lain yang masuk di luar jam kerja mulai dihitung pada hari kerja berikutnya. Waktu dihitung sejak laporan tercatat dan nomor tiket terbit.
7. Dokumen dan Formulir Terkait
- Standar Pelayanan KUTIM-CSIRT (kriteria prioritas dan target waktu).
- Formulir Laporan Insiden (formulir-laporan-insiden.docx), untuk laporan offline.
- SOP-KUTIMCSIRT-02 Pelaporan Insiden oleh Perangkat Daerah.
- SOP-KUTIMCSIRT-03 Penanganan Laporan Kerentanan (VDP).
- RFC 2350 KUTIM-CSIRT dan Kebijakan Privasi.
8. Riwayat Perubahan
| Versi | Tanggal | Keterangan |
|---|---|---|
| 1.0 | 5 Oktober 2026 | Penerbitan pertama. |