Kebijakan Program

01Cakupan (In Scope)

• Seluruh subdomain *.kaltaraprov.go.id yang dikelola Pemerintah Provinsi Kalimantan Utara.
• Aplikasi web, API, dan aplikasi mobile resmi milik perangkat daerah Pemprov Kaltara.
• Alamat IP publik yang terdaftar milik Pemprov Kaltara (konfirmasi ke tim bila ragu).

02Di Luar Cakupan (Out of Scope)

• Sistem milik pihak ketiga / vendor yang tidak dikelola Pemprov Kaltara, serta domain kabupaten/kota.
• Serangan Denial of Service (DoS/DDoS), brute force masif, dan stress test.
• Social engineering, phishing, dan serangan fisik terhadap pegawai atau fasilitas.
• Temuan berisiko rendah tanpa dampak nyata: clickjacking pada halaman statis, missing header tanpa PoC, self-XSS, rate limit pada form non-sensitif, banner/version disclosure.
• Hasil pemindaian otomatis tanpa verifikasi dan bukti eksploitasi.

03Aturan Main

• Gunakan akun uji milik sendiri. Jangan mengakses, mengunduh, mengubah, atau menghapus data milik warga maupun pegawai.
• Hentikan pengujian segera setelah kerentanan terbukti. Ambil bukti seminimal mungkin dan redaksi data pribadi.
• Jangan memasang backdoor, web shell persisten, atau melakukan pivoting ke jaringan internal.
• Satu laporan untuk satu kerentanan. Rantai serangan (chain) boleh dilaporkan sebagai satu laporan.
• Laporan pertama yang valid untuk suatu kerentanan yang akan mendapat poin; laporan berikutnya ditandai Duplikat.

04Kerahasiaan & Pengungkapan

• Seluruh detail temuan bersifat rahasia. Dilarang mempublikasikan sebelum ada izin tertulis dari tim keamanan.
• Setelah kerentanan diperbaiki, hunter dapat mengajukan izin publikasi (write-up) dengan menyensor informasi sensitif.
• Pelanggaran kebijakan dapat mengakibatkan pemblokiran akun dan penghapusan poin.

05Safe Harbor

• Pemprov Kaltara tidak akan menempuh jalur hukum terhadap hunter yang beritikad baik dan mematuhi kebijakan ini.
• Aktivitas yang melanggar kebijakan, termasuk eksfiltrasi data dan pemerasan, tidak dilindungi dan dapat diproses sesuai peraturan perundang-undangan yang berlaku.

06Target Waktu Respons

• Konfirmasi penerimaan otomatis: segera setelah laporan dikirim.
• Triase awal: maksimal 5 hari kerja.
• Keputusan validitas & poin: maksimal 14 hari kerja.

Severity & Poin

Tim triase dapat menyesuaikan severity & poin berdasarkan dampak aktual terhadap layanan publik.