SOP Permohonan Layanan Keamanan

Alur permohonan layanan keamanan oleh Perangkat Daerah: vulnerability assessment/pentest, asesmen keamanan, analisis sampel malware dan log, konsultasi, serta asistensi dan bimtek, dari surat permohonan sampai retest.

TLP:CLEAR

SOP-KUTIMCSIRT-04 · versi 1.0 · berlaku 5 Oktober 2026

1. Tujuan

SOP ini mengatur cara Perangkat Daerah mengajukan layanan keamanan kepada KUTIM-CSIRT dan cara tim melaksanakannya, agar setiap pengujian memiliki dasar permohonan dan persetujuan tertulis dari pemilik sistem, berjalan sesuai jadwal yang disepakati, dan hasilnya disampaikan secara terbatas.

2. Ruang Lingkup

  • Jenis layanan: vulnerability assessment dan pentest; asesmen keamanan; analisis sampel malware dan log; konsultasi; asistensi dan bimtek.
  • Berlaku untuk sistem elektronik milik atau di bawah tanggung jawab Perangkat Daerah pemohon di lingkungan Pemerintah Kabupaten Kutai Timur. Layanan tidak dipungut biaya bagi Perangkat Daerah.
  • Insiden yang sedang terjadi tidak menunggu permohonan layanan dan dilaporkan sesuai SOP-KUTIMCSIRT-02.

3. Dasar Hukum

  1. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
  2. Peraturan Badan Siber dan Sandi Negara Nomor 1 Tahun 2024 tentang Pengelolaan Insiden Siber.
  3. Keputusan Bupati Kutai Timur Nomor 555/K.557/2024 tentang Pembentukan Computer Security Incident Response Team Kutai Timur (KUTIM-CSIRT), ditetapkan 17 September 2024.

4. Definisi

  • Vulnerability assessment: identifikasi dan penilaian kerentanan pada aset dengan pemindaian dan pemeriksaan terarah, tanpa eksploitasi lanjutan.
  • Pentest: pengujian penetrasi yang mencoba memanfaatkan kerentanan secara terkendali untuk membuktikan dampaknya.
  • Asesmen keamanan: penilaian konfigurasi, arsitektur, atau tata kelola keamanan sistem elektronik.
  • Persetujuan Pengujian Keamanan (rules of engagement): dokumen yang ditandatangani pemilik sistem dan KUTIM-CSIRT berisi ruang lingkup aset, jenis pengujian, jendela waktu, batasan, narahubung darurat, dan kerahasiaan hasil.
  • Jendela pengujian: rentang tanggal dan jam pengujian yang disepakati.
  • Retest: pengujian ulang terbatas pada temuan sebelumnya untuk memastikan perbaikan berhasil.
  • TLP:AMBER: label Traffic Light Protocol 2.0 untuk laporan hasil yang hanya dibagikan kepada pihak di Perangkat Daerah penerima yang perlu mengetahuinya.

5. Pihak Terkait

  • Kepala Perangkat Daerah: penanda tangan surat permohonan dan Persetujuan Pengujian Keamanan selaku pemilik sistem.
  • Narahubung teknis Perangkat Daerah: penghubung teknis, penyedia akses dan akun uji, serta narahubung darurat selama pengujian.
  • Pihak ketiga (pengembang aplikasi, penyedia hosting): memberi izin dan dukungan bila aset dikelola pihak ketiga.
  • Ketua KUTIM-CSIRT (Kepala Diskominfo SP): penerima permohonan dan penanda tangan Persetujuan Pengujian Keamanan dari pihak KUTIM-CSIRT.
  • Sekretaris: pencatatan permohonan, korespondensi, dan arsip.
  • Koordinator Tim Penanggulangan dan Pemulihan Insiden: telaah permohonan, penjadwalan, dan penugasan.
  • Sub Tim Keamanan Informasi, Sub Tim Website Administrator dan Aplikasi, Sub Tim Pengelola Jaringan dan Server: pelaksana layanan sesuai jenis aset.

6. Prosedur

NoKegiatanPelaksanaOutputWaktu
1Menyusun surat permohonan yang ditandatangani Kepala Perangkat Daerah, ditujukan kepada Kepala Diskominfo SP selaku Ketua KUTIM-CSIRT, memuat jenis layanan, aset (nama, URL atau IP, pemilik), jadwal yang diusulkan, dan narahubung teknis. Surat dikirim melalui /permohonan-layanan atau email csirt@kutaitimurkab.go.id dalam bentuk pindaian PDF.Kepala Perangkat Daerah; narahubung teknisSurat permohonan terkirimSebelum jadwal yang diusulkan
2Mencatat permohonan dan mengirim tanda terima kepada pemohon.SekretarisPermohonan tercatatSaat permohonan diterima
3Menelaah kelengkapan dan kelayakan: aset benar milik atau di bawah tanggung jawab pemohon, lingkup jelas, dan izin pihak ketiga tersedia bila aset dikelola pihak ketiga. Bila belum lengkap, meminta pemohon melengkapi.KoordinatorHasil telaahBagian dari tenggat langkah 4
4Mengirim konfirmasi kepada pemohon berisi penerimaan atau penolakan beserta alasannya, jadwal pelaksanaan, pelaksana, dan untuk vulnerability assessment, pentest, atau asesmen keamanan, draf Persetujuan Pengujian Keamanan.Koordinator; SekretarisSurat atau email konfirmasi dan jadwal≤ 3 hari kerja sejak permohonan diterima
5Menandatangani Persetujuan Pengujian Keamanan oleh pemilik sistem dan KUTIM-CSIRT. Pengujian tidak dimulai sebelum dokumen ini ditandatangani kedua pihak.Kepala Perangkat Daerah; Ketua KUTIM-CSIRTPersetujuan Pengujian Keamanan bertanda tanganSebelum pengujian dimulai
6Persiapan oleh pemohon: membuat backup aset yang diuji, menyiapkan akun uji bila pengujian dilakukan dengan login, dan memberi tahu pihak ketiga pengelola aset tentang jendela pengujian.Narahubung teknis; pihak ketigaBackup dan akun uji siapSebelum jendela pengujian
7Melaksanakan vulnerability assessment, pentest, atau asesmen keamanan hanya pada aset, jenis pengujian, dan jendela waktu yang tercantum di Persetujuan Pengujian Keamanan. Bila layanan terganggu, pengujian dihentikan dan narahubung darurat dihubungi. Temuan kritis disampaikan segera kepada narahubung tanpa menunggu laporan akhir. Bila ditemukan tanda sistem sudah terkompromi (misalnya webshell), pengujian dihentikan dan penanganan beralih ke SOP-KUTIMCSIRT-01.Sub tim pelaksanaCatatan pelaksanaan dan data temuanSesuai jendela pengujian yang disepakati
8Analisis sampel malware dan log: pemohon mengirim sampel dalam arsip ZIP/7z berpassword infected, disertai asal sampel dan waktu ditemukan. Log dikirim dalam bentuk asli tanpa diedit, dengan keterangan rentang waktu dan zona waktu. Sampel tidak dikirim tanpa arsip berpassword.Narahubung teknis; Sub Tim Keamanan InformasiHasil analisis dan IOCSesuai jadwal yang disepakati
9Konsultasi: diskusi melalui email atau pertemuan sesuai jadwal yang disepakati.Sub tim terkaitCatatan konsultasi dan rekomendasiSesuai jadwal yang disepakati
10Asistensi dan bimtek: menyepakati materi, peserta, tempat, dan kebutuhan teknis, lalu melaksanakan kegiatan.Sub tim terkait; Perangkat Daerah pemohonMateri dan daftar hadirSesuai jadwal yang disepakati
11Menyusun laporan hasil berlabel TLP:AMBER berisi ruang lingkup, metode, temuan beserta tingkat risiko dan bukti, serta rekomendasi perbaikan. Laporan disampaikan kepada Kepala Perangkat Daerah dan narahubung teknis melalui kanal resmi, tidak melalui grup percakapan atau media publik.Sub tim pelaksana; Koordinator menyetujuiLaporan hasil TLP:AMBERSetelah pelaksanaan selesai
12Memperbaiki temuan sesuai rekomendasi. Sebagai acuan, target perbaikan pada VDP adalah Critical ≤ 30 hari, High ≤ 60 hari, dan Medium/Low ≤ 90 hari.Perangkat Daerah pemohon; pihak ketigaPerbaikan selesaiSesuai rencana perbaikan Perangkat Daerah
13Mengajukan retest melalui email dengan merujuk laporan hasil. Retest dilakukan terbatas pada temuan sebelumnya, berdasarkan Persetujuan Pengujian Keamanan yang masih berlaku atau persetujuan baru bila jendela pengujian telah berakhir.Narahubung teknis; sub tim pelaksanaLaporan retest TLP:AMBERKonfirmasi jadwal ≤ 3 hari kerja sejak permintaan diterima
14Menutup permohonan dan mengarsipkan surat permohonan, Persetujuan Pengujian Keamanan, laporan hasil, dan laporan retest.SekretarisArsip lengkapSetelah retest atau setelah laporan hasil diterima bila tidak ada retest

7. Dokumen dan Formulir Terkait

  • Surat Permohonan Layanan Keamanan (surat-permohonan-layanan-keamanan.docx).
  • Persetujuan Pengujian Keamanan (persetujuan-pengujian-keamanan.docx).
  • Standar Pelayanan KUTIM-CSIRT dan Katalog Layanan.
  • SOP-KUTIMCSIRT-01 Penerimaan dan Penanganan Laporan Insiden Siber.
  • SOP-KUTIMCSIRT-02 Pelaporan Insiden oleh Perangkat Daerah.

8. Riwayat Perubahan

VersiTanggalKeterangan
1.05 Oktober 2026Penerbitan pertama.

Lapor ke KUTIM-CSIRT Repositori dokumen