Ketentuan ini mengatur penyelenggaraan TTIS Kabupaten Kutai Kartanegara Vulnerability Disclosure Program (VDP) sebagai sarana bagi peneliti keamanan, akademisi, dan masyarakat untuk melaporkan kerentanan keamanan informasi secara bertanggung jawab demi meningkatkan keamanan sistem elektronik Pemerintah Kabupaten Kutai Kartanegara.

Ketentuan TTIS KukarKab Vulnerability Disclosure Program (VDP)

Dalam berpartisipasi pada TTIS Kabupaten Kutai Kartanegara Vulnerability Disclosure Program (VDP), setiap peserta wajib mematuhi ketentuan sebagai berikut: 

1. Mematuhi seluruh peraturan, kebijakan, dan ketentuan yang berlaku dalam penyelenggaraan program VDP TTIS Kabupaten Kutai Kartanegara. 
2. Melaksanakan pengujian secara bertanggung jawab dan tidak melakukan tindakan yang dapat mengganggu aktivitas pengguna yang sah, termasuk mengakses, mengubah, atau berinteraksi dengan akun, data, maupun informasi milik pihak lain tanpa izin. 
3. Tidak melakukan aktivitas pengujian yang berpotensi mengganggu ketersediaan, kinerja, atau stabilitas sistem elektronik yang menjadi ruang lingkup VDP, termasuk namun tidak terbatas pada serangan Denial-of-Service (DoS) atau Distributed Denial of-Service (DDoS). 
4. Tidak melakukan eksploitasi lanjutan atas kerentanan yang ditemukan di luar batas yang diperlukan untuk membuktikan keberadaan kerentanan tersebut, seperti melakukan pengambilan data, perubahan konfigurasi, peningkatan hak akses, penanaman kode berbahaya, atau pergerakan ke sistem lainnya. 
5. Menjaga kerahasiaan informasi kerentanan yang ditemukan dan tidak mempublikasikan, menyebarluaskan, atau mengungkapkan informasi tersebut kepada pihak lain tanpa persetujuan tertulis dari TTIS Kabupaten Kutai Kartanegara. 
6. Segera melaporkan kepada TTIS Kabupaten Kutai Kartanegara apabila selama proses pengujian ditemukan indikasi kompromi sistem, kebocoran data, akses tidak sah, malware, maupun gangguan terhadap layanan sistem elektronik. 
7. Mengisi form Non Disclosure Agreement sesuai dengan format berikut https://ttis.kukarkab.go.id/aduan
8. Jika kerentanan yang sama telah dilaporkan sebelumnya oleh peneliti lain, laporan berikutnya akan kami tandai sebagai Duplicate. Kami akan tetap memberi tahu status ini kepada pelapor sebagai bentuk transparansi proses triase.

Ruang Lingkup Pengujian

Sistem Elektronik (SE) Pemkab Kutai kartanegara : *.kukarkab.go.id

Jenis Kerentanan yang Dapat Dilaporkan

1. Cross-Site Scripting (XSS) 
2. Cross-Site Request Forgery (CSRF) 
3. SQL Injection 
4. Server-Side Request Forgery (SSRF) 
5. Server-Side Remote Code Execution (RCE) 
6. XML External Entity (XXE) 
7. Access Control Issues (IDOR, Privilege Escalation, dan sejenisnya) 
8. Authentication Bypass 
9. Exposed Administrative Panels that don't require login credentials 
10. Directory Traversal Issues Local File Disclosure (LFD) 
11. Misconfiguration issues on servers and applications 
12. Significant Authentication Bypass 
13. Information disclosure of Sensitive Information 
14. Server Side Template Injection (SSTI) 
15. Leaked Private Keys Local/Remote File Inclusion (LFI/RFI)

Kerentanan yang Tidak Termasuk Ruang Lingkup

1. Denial-of-Service (DoS/DDoS).
2. Cross-site Scripting (Self-XSS) 
3. Vulnerability that is only theoretical without proof 
4. Missing Security Header 
5. Open port without valid impact 
6. Social Engineering 
7. CSRF on non-sensitive features 
8. Clickjacking on non-sensitive pages 
9. Email spoofing and/or related to email misconfiguration 
10. SSL/TLS best practices 
11. Penggunaan Leak Credential di luar Credential yang disediakan 
12. Menggunakan Automation Tools