SOP Penanganan Laporan Kerentanan (VDP)

Alur KUTIM-CSIRT menangani laporan kerentanan dari peneliti dan masyarakat: penerimaan, validasi, penerusan ke pemilik sistem, pemantauan perbaikan, verifikasi, apresiasi, dan pengungkapan.

TLP:CLEAR

SOP-KUTIMCSIRT-03 · versi 1.0 · berlaku 5 Oktober 2026

1. Tujuan

SOP ini menjadi acuan KUTIM-CSIRT dalam menangani laporan kerentanan yang disampaikan sesuai Kebijakan Pengungkapan Kerentanan (VDP), agar setiap laporan divalidasi, diteruskan kepada pemilik sistem, diperbaiki dalam target waktu, dan pelapor mendapat kabar perkembangan.

2. Ruang Lingkup

  • Berlaku untuk laporan kerentanan pada situs dan aplikasi di domain *.kutaitimurkab.go.id serta sistem informasi dan layanan elektronik yang dimiliki atau dikelola Pemerintah Kabupaten Kutai Timur.
  • Layanan milik pihak ketiga di luar kendali Pemerintah Kabupaten Kutai Timur tidak termasuk.
  • Temuan yang umumnya tidak ditindaklanjuti, sesuai bagian Di Luar Lingkup pada VDP: hasil pemindai otomatis tanpa bukti dampak nyata; ketiadaan header keamanan atau praktik terbaik tanpa dampak konkret; isu yang hanya dapat dieksploitasi melalui akses fisik atau rekayasa sosial; kerentanan pada layanan pihak ketiga di luar kendali Pemkab; clickjacking pada halaman tanpa tindakan sensitif; serta isu yang hanya berdampak pada peramban atau versi yang sudah tidak didukung.
  • Bila ditemukan tanda kerentanan sedang dieksploitasi atau sistem sudah terkompromi, penanganan beralih ke SOP-KUTIMCSIRT-01.

3. Dasar Hukum

  1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
  2. Peraturan Badan Siber dan Sandi Negara Nomor 1 Tahun 2024 tentang Pengelolaan Insiden Siber.
  3. Keputusan Bupati Kutai Timur Nomor 555/K.557/2024 tentang Pembentukan Computer Security Incident Response Team Kutai Timur (KUTIM-CSIRT), ditetapkan 17 September 2024.

4. Definisi

  • Kerentanan (vulnerability): kelemahan pada sistem, konfigurasi, atau kode yang dapat dimanfaatkan untuk melanggar kerahasiaan, keutuhan, atau ketersediaan sistem dan data.
  • Pelapor: peneliti keamanan atau anggota masyarakat yang menyampaikan laporan kerentanan, boleh memakai alias.
  • PoC (proof of concept): bukti non-destruktif yang secukupnya menunjukkan kerentanan ada.
  • Validasi: pemeriksaan oleh KUTIM-CSIRT bahwa kerentanan termasuk ruang lingkup, dapat direproduksi, dan berdampak nyata.
  • Tingkat keparahan: Critical, High, Medium, atau Low, ditetapkan saat validasi dengan memperhatikan skor CVSS bila tersedia dan dampak terhadap layanan serta data.
  • Pemilik sistem: Perangkat Daerah yang memiliki atau bertanggung jawab atas aset yang rentan.
  • Safe harbor: jaminan pada VDP bahwa KUTIM-CSIRT tidak akan menempuh atau merekomendasikan tindakan hukum terhadap pelapor yang menemukan dan melaporkan kerentanan sesuai kebijakan. Pelanggaran pedoman pengujian dapat menggugurkan pelindungan ini.
  • Hall of Fame: daftar apresiasi pelapor pada halaman VDP.
  • TLP: Traffic Light Protocol 2.0. Pemberitahuan kerentanan ke pemilik sistem berlabel TLP:AMBER; isi yang tayang di situs berlabel TLP:CLEAR.

5. Pihak Terkait

  • Pelapor.
  • Ketua KUTIM-CSIRT: menyetujui pengungkapan publik dan memutuskan bila ada dugaan pelanggaran pedoman pengujian.
  • Sekretaris: administrasi tiket, surat pemberitahuan ke pemilik sistem, dan arsip.
  • Koordinator Tim Penanggulangan dan Pemulihan Insiden: menetapkan tingkat keparahan dan memantau target perbaikan.
  • Sub Tim Keamanan Informasi: validasi dan verifikasi perbaikan.
  • Sub Tim Website Administrator dan Aplikasi dan Sub Tim Pengelola Jaringan dan Server: pendampingan perbaikan sesuai jenis aset.
  • Pemilik sistem (Perangkat Daerah) dan pihak ketiga pengembangnya: melaksanakan perbaikan.

6. Prosedur

NoKegiatanPelaksanaOutputWaktu
1Menerima laporan melalui formulir /lapor dengan kategori Kerentanan Keamanan atau email csirt@kutaitimurkab.go.id (dengan enkripsi PGP untuk informasi sensitif, kunci publik di halaman Kontak). Laporan via email dicatat sebagai tiket.Sekretaris; Sub Tim Keamanan InformasiTiket laporan kerentananSaat laporan masuk
2Mengirim tanggapan awal kepada pelapor: konfirmasi penerimaan, nomor tiket, dan permintaan informasi tambahan bila laporan belum memuat deskripsi, langkah reproduksi, dampak, aset terdampak, atau bukti pendukung.Sub Tim Keamanan InformasiTanggapan awal terkirim≤ 3 hari kerja sejak laporan tercatat
3Validasi: memeriksa ruang lingkup dan daftar Di Luar Lingkup, memeriksa duplikasi dengan laporan sebelumnya, mereproduksi temuan secara non-destruktif, menilai dampak, dan menetapkan tingkat keparahan. Tanggal validasi dicatat pada tiket sebagai awal perhitungan target perbaikan.Sub Tim Keamanan Informasi; Koordinator menetapkan tingkat keparahanHasil validasi: valid, duplikat, di luar lingkup, atau tidak dapat direproduksiSetelah informasi lengkap
4Bila laporan duplikat, di luar lingkup, atau tidak dapat direproduksi, memberi tahu pelapor beserta alasannya, lalu menyelesaikan tiket. Bila ditemukan tanda eksploitasi aktif atau sistem terkompromi, membuka penanganan insiden sesuai SOP-KUTIMCSIRT-01.Sub Tim Keamanan InformasiPemberitahuan ke pelapor; tiket insiden bila perluSetelah validasi
5Bila pelapor tidak sengaja mengakses data pribadi atau informasi rahasia, meminta pelapor menghentikan akses, tidak menyimpan atau menyebarkan data, dan mengonfirmasi penghapusannya. Menilai bersama pemilik sistem apakah terjadi kegagalan pelindungan data pribadi. Dugaan pelanggaran pedoman pengujian (misalnya DoS, perubahan atau penghapusan data, pengambilan data melebihi PoC) dilaporkan kepada Ketua untuk diputuskan.Sub Tim Keamanan Informasi; KetuaCatatan pada tiketSaat hal tersebut diketahui
6Mengidentifikasi pemilik sistem dan mengirim pemberitahuan kerentanan berlabel TLP:AMBER kepada Kepala Perangkat Daerah dan narahubung teknis, berisi uraian kerentanan, tingkat keparahan, rekomendasi perbaikan, mitigasi sementara bila ada, dan target perbaikan. Identitas pelapor tidak dicantumkan kecuali pelapor menyetujui.Sekretaris; Sub Tim Keamanan InformasiPemberitahuan kerentanan TLP:AMBERSetelah laporan valid
7Memberi tahu pelapor bahwa laporan valid dan telah diteruskan kepada pemilik sistem.Sub Tim Keamanan InformasiPembaruan status ke pelaporSetelah langkah 6
8Memantau perbaikan bersama pemilik sistem dan pihak ketiga pengembangnya, memberi pendampingan teknis, dan mengabarkan perkembangan kepada pelapor. Bila target perbaikan terancam terlampaui, mengeskalasi kepada Kepala Perangkat Daerah melalui Ketua dan mengusulkan mitigasi sementara.Koordinator; sub tim terkaitCatatan pemantauan dan eskalasiTarget perbaikan sejak divalidasi: Critical ≤ 30 hari; High ≤ 60 hari; Medium/Low ≤ 90 hari
9Verifikasi perbaikan: menguji ulang secara non-destruktif bahwa kerentanan tidak lagi dapat dieksploitasi. Bila belum tuntas, mengembalikan ke pemilik sistem dengan catatan.Sub Tim Keamanan InformasiHasil verifikasi perbaikanSetelah pemilik sistem menyatakan perbaikan selesai
10Memberi tahu pelapor bahwa kerentanan telah diperbaiki. Menawarkan pencantuman di Hall of Fame dan meminta persetujuan pelapor atas nama atau alias dan afiliasi yang ditampilkan. Entri Hall of Fame hanya memuat nama atau alias, afiliasi, ringkasan umum temuan tanpa rincian teknis, dan bulan pengakuan.Sub Tim Keamanan Informasi; Ketua menyetujui entriPemberitahuan ke pelapor; entri Hall of Fame (TLP:CLEAR) bila disetujuiSetelah verifikasi berhasil
11Pengungkapan: pelapor tidak memublikasikan detail kerentanan sebelum diperbaiki dan tanpa persetujuan KUTIM-CSIRT. Permintaan pengungkapan setelah perbaikan ditelaah dahulu, termasuk draf tulisan pelapor, untuk memastikan tidak memuat data pribadi, kredensial, atau rincian aset lain yang belum diperbaiki. Bila kerentanan berada pada produk pihak ketiga yang juga dipakai pihak lain, KUTIM-CSIRT berkoordinasi dengan pengembang produk dan dapat melibatkan Gov-CSIRT Indonesia (BSSN).Ketua; Sub Tim Keamanan InformasiPersetujuan atau penolakan pengungkapan secara tertulisSetelah perbaikan terverifikasi
12Menutup tiket setelah seluruh catatan, pemberitahuan, dan hasil verifikasi terarsip.SekretarisTiket DitutupSetelah langkah 10 dan 11

7. Dokumen dan Formulir Terkait

8. Riwayat Perubahan

VersiTanggalKeterangan
1.05 Oktober 2026Penerbitan pertama.

Lapor ke KUTIM-CSIRT Repositori dokumen