Laporkan kerentanan sesuai aturan; sebelum diperbaiki, jangan publikasikan detail, jangan sebarkan alat eksploitasi, jangan serahkan ke pihak luar negeri

Rujukan asing; periksa aturan Indonesia. Individu juga diatur oleh “Ketentuan Pengelolaan Kerentanan Keamanan Produk Jaringan”. Sebelum vendor mengeluarkan cara perbaikan, kamu tidak boleh memublikasikan kerentanan, dan tidak boleh memublikasikan detail kerentanan pada sistem yang sedang dipakai. Tidak boleh menyebarkan program dan alat yang khusus untuk mengeksploitasi kerentanan; saat memublikasikan harus sekaligus menjelaskan cara memperbaikinya. Kerentanan yang belum dipublikasikan tidak boleh diserahkan kepada organisasi atau individu luar negeri di luar penyedia produk.

Biaya

Tanpa biaya. Laporkan kerentanan kepada penyedia produk, atau ke platform resmi. Sebelum vendor memperbaiki, jangan publikasikan detail dan jangan publikasikan kode verifikasi. Harga di atas adalah nilai sumber; untuk membeli di Indonesia, lihat harga lokal atau cara meminta tarif.

Manfaat

Ketentuan ini mengatur tiga jenis pihak: penyedia produk jaringan di dalam negeri, operator jaringan, serta organisasi atau individu yang menemukan, mengumpulkan, memublikasikan kerentanan, dan sejenisnya. Organisasi atau individu mana pun tidak boleh memakai kerentanan untuk kegiatan yang membahayakan keamanan jaringan, dan tidak boleh mengumpulkan, menjual, atau memublikasikan informasi kerentanan secara ilegal. Memublikasikan informasi kerentanan ke masyarakat harus mematuhi lima aturan. Pertama, tidak boleh dipublikasikan sebelum penyedia produk menyediakan langkah perbaikan. Kedua, tidak boleh memublikasikan detail kerentanan pada jaringan, sistem informasi, dan perangkat yang sedang dipakai operator jaringan. Ketiga, tidak boleh sengaja melebih-lebihkan bahaya dan risiko, serta tidak boleh memakai informasi kerentanan untuk spekulasi jahat atau penipuan. Keempat, tidak boleh memublikasikan atau menyediakan program dan alat yang khusus dipakai untuk mengeksploitasi kerentanan demi membahayakan keamanan jaringan. Kelima, saat memublikasikan harus sekaligus memublikasikan langkah perbaikan atau pencegahan. Selain itu, informasi kerentanan yang belum dipublikasikan tidak boleh diberikan kepada organisasi atau individu luar negeri di luar penyedia produk. Ketentuan mendorong pelaporan ke empat platform resmi. Pertama, platform berbagi ancaman dan kerentanan keamanan siber Kementerian Perindustrian dan Teknologi Informasi. Kedua, platform kerentanan Pusat Pemberitahuan Informasi Keamanan Jaringan dan Informasi Nasional. Ketiga, platform kerentanan Pusat Koordinasi Penanganan Darurat Teknis Jaringan Komputer Nasional. Keempat, basis data kerentanan Pusat Evaluasi Keamanan Informasi Tiongkok. Mengumpulkan atau memublikasikan informasi kerentanan secara melanggar diproses oleh Kementerian Perindustrian dan Teknologi Informasi serta Kementerian Keamanan Publik sesuai kewenangan masing-masing. Jika memenuhi keadaan dalam undang-undang keamanan siber, dihukum menurut undang-undang itu. Memublikasikan informasi keamanan jaringan seperti kerentanan sistem ke masyarakat harus mematuhi ketentuan negara terkait. Pelanggaran: otoritas terkait memerintahkan perbaikan dan memberi peringatan, serta dapat mendenda 10000 sampai 100000 yuan. Menolak memperbaiki atau keadaan serius: denda 100000 sampai 1000000 yuan. Juga dapat memerintahkan penangguhan bisnis terkait, penutupan sementara, penutupan situs atau aplikasi. Juga dapat mencabut izin bisnis terkait atau izin usaha. Bagi penanggung jawab langsung dan orang yang bertanggung jawab langsung lainnya, denda 10000 sampai 100000 yuan (nasional).

Catatan

Indonesia: gunakan langkah setempat untuk bab 11; hak, denda, dan tenggat asing bukan aturan Indonesia. Catatan sumber: Ketentuan secara tegas memasukkan individu sebagai subjek yang diatur; “saya hanya hobi amatir” bukan pengecualian. Menyerahkan kerentanan sistem dalam negeri ke platform bounty luar negeri jatuh tepat pada larangan “kerentanan yang belum dipublikasikan tidak boleh diberikan ke luar negeri”. Apakah berhak menguji, lihat butir 9 (tanpa otorisasi tertulis jangan uji sistem orang lain); itu terpisah dari bagaimana menangani kerentanan setelah didapat. Kerentanan yang ditemukan secara sah tetap bisa kena denda karena cara publikasi yang melanggar; kerentanan yang diuji tanpa otorisasi bermasalah di kedua sisi: pengujian dan publikasi. Ketentuan tidak secara khusus membedakan kasus “sudah memberi tahu vendor, tetapi vendor tidak memperbaiki”. Saran penulis: simpan catatan proses negosiasi dan pelaporan, dan sekaligus laporkan ke empat platform resmi di atas.

Sumber · 2

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. cac.gov.cn/2025-12/29/c_1768735112911946.htm