Kebijakan Pengungkapan Kerentanan

Pendahuluan

KUTIM-CSIRT berkomitmen menjaga keamanan sistem elektronik di lingkungan Pemerintah Kabupaten Kutai Timur. Kami menyadari bahwa peneliti keamanan dan masyarakat dapat menemukan kerentanan, dan kami menghargai upaya pengungkapan yang dilakukan secara bertanggung jawab.

Kebijakan ini menjelaskan sistem yang tercakup, pedoman pengujian yang diperbolehkan, jaminan safe harbor bagi pelapor beritikad baik, serta cara menyampaikan laporan kepada kami.

Ruang Lingkup

Kebijakan ini berlaku untuk aset digital resmi Pemerintah Kabupaten Kutai Timur:

• Situs web dan aplikasi pada domain *.kutaitimurkab.go.id.
• Sistem informasi dan layanan elektronik yang dimiliki atau dikelola oleh Pemerintah Kabupaten Kutai Timur.

Layanan milik pihak ketiga yang berada di luar kendali Pemerintah Kabupaten Kutai Timur tidak termasuk dalam lingkup ini. Bila Anda ragu apakah suatu sistem tercakup, silakan tanyakan terlebih dahulu kepada KUTIM-CSIRT sebelum melakukan pengujian.

Pedoman Pengujian

Diperbolehkan:

• Pengujian non-destruktif sebatas yang diperlukan untuk membuktikan keberadaan kerentanan (proof of concept).
• Menggunakan hanya akun dan data milik Anda sendiri.

Dilarang:

• Serangan penolakan layanan (DoS/DDoS) atau pengujian yang membebani sistem secara berlebihan.
• Merusak, mengubah, atau menghapus data; mengganggu ketersediaan layanan.
• Mengakses, mengunduh, atau menyimpan data pribadi atau informasi rahasia melebihi yang diperlukan untuk membuktikan kerentanan. Bila Anda tidak sengaja mengakses data semacam itu, hentikan, jangan simpan atau sebarkan, dan segera laporkan.
• Rekayasa sosial, phishing, atau penipuan terhadap pegawai maupun pengguna.
• Serangan fisik terhadap kantor, perangkat keras, atau infrastruktur.
• Memublikasikan detail kerentanan kepada umum sebelum diperbaiki dan tanpa persetujuan KUTIM-CSIRT.
• Memanfaatkan kerentanan untuk keuntungan pribadi atau merugikan pihak lain.

Safe Harbor — Pelindungan Pelapor Beritikad Baik

KUTIM-CSIRT memandang kegiatan penelitian keamanan yang dilakukan dengan itikad baik dan mematuhi kebijakan ini sebagai aktivitas yang sah dan bermanfaat.

• Kami tidak akan menempuh atau merekomendasikan tindakan hukum terhadap pelapor yang menemukan dan melaporkan kerentanan sesuai kebijakan ini.
• Apabila terdapat pihak lain yang mempermasalahkan kegiatan tersebut, KUTIM-CSIRT akan menyampaikan bahwa tindakan pelapor dilakukan sesuai kebijakan yang berlaku.

Jaminan safe harbor ini berlaku sepanjang pelapor mematuhi seluruh ketentuan dalam kebijakan ini dan peraturan perundang-undangan yang berlaku. Pelanggaran terhadap pedoman pengujian dapat menggugurkan perlindungan ini.

Cara Melaporkan

Sampaikan temuan kerentanan melalui salah satu kanal berikut:

• Formulir Lapor Insiden — pilih kategori “Kerentanan Keamanan”. Anda akan menerima nomor tiket untuk memantau tindak lanjut.
• Surel ke csirt@kutaitimurkab.go.id. Untuk informasi sensitif, gunakan enkripsi PGP (kunci publik tersedia di halaman Kontak).

Agar dapat ditindaklanjuti dengan cepat, mohon sertakan:

• Deskripsi kerentanan dan jenisnya.
• Langkah-langkah untuk mereproduksi (steps to reproduce).
• Dampak potensial yang mungkin ditimbulkan.
• Sistem, aplikasi, atau URL yang terdampak.
• Bukti pendukung seperti tangkapan layar (tanpa memuat data pribadi pihak lain).

Komitmen Kami & Harapan Kepada Pelapor

Yang dapat Anda harapkan dari KUTIM-CSIRT:

• Konfirmasi penerimaan laporan dalam waktu wajar.
• Penelaahan, verifikasi, dan tindak lanjut atas laporan yang valid.
• Pemberitahuan perkembangan penanganan kepada pelapor.
• Apresiasi atas kontribusi pelapor.

Yang kami harapkan dari pelapor:

• Menyampaikan laporan yang jelas dan dapat ditindaklanjuti.
• Memberikan waktu yang memadai bagi tim untuk memperbaiki kerentanan sebelum mengungkapkannya ke publik.
• Menjaga kerahasiaan detail kerentanan hingga selesai diperbaiki.

Di Luar Lingkup

Temuan berikut umumnya tidak dianggap sebagai kerentanan yang dapat ditindaklanjuti:

• Hasil pemindai otomatis tanpa bukti dampak nyata.
• Ketiadaan header keamanan atau praktik terbaik tanpa dampak konkret yang dapat dibuktikan.
• Isu yang hanya dapat dieksploitasi melalui akses fisik atau rekayasa sosial.
• Kerentanan pada layanan pihak ketiga yang berada di luar kendali Pemerintah Kabupaten Kutai Timur.
• Clickjacking pada halaman tanpa tindakan sensitif, serta isu yang hanya berdampak pada peramban/versi yang sudah tidak didukung.

Apresiasi Pelapor — Hall of Fame

KUTIM-CSIRT menyampaikan terima kasih kepada para pelapor yang telah berkontribusi meningkatkan keamanan sistem Pemerintah Kabupaten Kutai Timur melalui pengungkapan kerentanan yang bertanggung jawab.

Perubahan Kebijakan

KUTIM-CSIRT dapat memperbarui kebijakan ini sewaktu-waktu. Versi terkini selalu tersedia pada halaman ini. Pertanyaan mengenai kebijakan dapat disampaikan ke csirt@kutaitimurkab.go.id.