BAB 05 - ETIKA & HUKUM
PENGANTAR BAB
Di bab-bab sebelumnya, Anda telah mempelajari teknis Cyber Security: fondasi, konsep, jejak digital, dan kesadaran keamanan. Sekarang, kita memasuki dimensi yang tidak kalah penting: etika dan hukum. Mengapa? Karena kemampuan teknis tanpa landasan etika bisa berubah menjadi senjata berbahaya - baik bagi diri sendiri maupun orang lain.
Banyak profesional security yang berakhir di penjara bukan karena kurang skill, tapi karena melanggar etika atau hukum. Di Indonesia, kasus-kasus seperti Baiq Nuril, Prita Mulyasari, dan berbagai kasus UU ITE menunjukkan betapa rumitnya hubungan antara teknologi, etika, dan hukum.
Bab ini akan menjadi kompas moral Anda sebagai calon profesional Cyber Security. Anda akan belajar tidak hanya bisa melakukan sesuatu, tapi bolehkah Anda melakukannya.
- Memahami prinsip etika digital secara umum
- Menerapkan kode etik profesi Cyber Security
- Menganalisis isu privasi dan perlindungan data
- Mengenal Hak Kekayaan Intelektual di dunia digital
- Mengidentifikasi jenis-jenis cybercrime
- Memahami regulasi siber di Indonesia
- Melakukan responsible disclosure dengan benar
- Menganalisis studi kasus etika dan hukum digital
ETIKA DIGITAL
Etika digital adalah cabang etika terapan yang mempelajari perilaku moral di dunia digital. Ia menjawab pertanyaan: "Apa yang benar dan salah dalam tindakan kita di dunia maya?"
Definisi Para Ahli
"Digital ethics is the branch of ethics that studies the moral issues related to the use of digital technologies, including AI, big data, and the internet."
- Floridi, L. (2019). The Ethics of Artificial Intelligence. Oxford University Press.
"Etika digital adalah perluasan etika tradisional ke dalam ruang digital - dengan tantangan baru karena sifat anonim, global, dan permanen dari dunia maya."
Etika digital adalah "kemampuan individu untuk menyadari, mencontohkan, dan menjelaskan kesadaran etis dalam ruang digital" - salah satu dari 4 pilar literasi digital Indonesia.
4 Pilar Etika Digital (Kominfo)
| PILAR | FOKUS ETIKA | CONTOH PENERAPAN |
|---|---|---|
| Digital Ethics | Perilaku moral di dunia maya | Tidak menyebar hoaks, tidak cyberbullying, menghargai privasi orang lain |
| Digital Literacy | Kemampuan berpikir kritis | Cek fakta sebelum share, bedakan opini vs fakta |
| Digital Culture | Nilai budaya di ruang digital | Menjaga Pancasila, Bhinneka Tunggal Ika di medsos |
| Digital Safety | Keamanan diri & orang lain | Tidak share data pribadi, laporkan konten berbahaya |
Prinsip-Prinsip Etika Digital
1. RESPEK
Hormati orang lain seperti di dunia nyata. Tidak ada "anonimitas = bebas".
2. KEJUJURAN
Jangan menyebarkan hoaks, manipulasi foto, atau informasi palsu.
3. PRIVASI
Hormati privasi orang lain. Jangan share foto/data tanpa izin.
4. HKI
Hargai karya orang lain. Cantumkan sumber, jangan plagiat.
5. KEPATUHAN HUKUM
Taat hukum yang berlaku, baik nasional maupun internasional.
6. EMPATI
Pikirkan dampak tindakan Anda pada orang lain sebelum bertindak.
Netiket: Etika Praktis di Internet
Netiket (Network Etiquette) adalah aturan praktis berperilaku di internet. Virginia Shea dalam bukunya "Netiquette" (1994) merumuskan 10 aturan inti:
- Remember the Human - Ingat, di seberang layar ada manusia
- Adhere to Real-Life Standards - Patuhi standar etika dunia nyata
- Know Where You Are - Pahami konteks ruang digital yang Anda masuki
- Respect Time & Bandwidth - Hormati waktu & bandwidth orang lain
- Make Yourself Look Good - Tulis dengan baik, cek typo
- Share Expert Knowledge - Bagikan pengetahuan Anda
- Help Keep Flame Wars Under Control - Jangan ikut provokasi
- Respect Privacy - Hormati privasi orang lain
- Don't Abuse Power - Jangan menyalahgunakan posisi/akses
- Forgive Mistakes - Maafkan kesalahan orang lain
Bayangkan internet sebagai jalan raya raksasa:
- Etika = rambu lalu lintas & aturan sopan santun berkendara
- Hukum = polisi & sanksi bagi pelanggar
- Teknologi = kendaraan yang Anda kendarai
Anda bisa saja punya mobil super cepat (skill teknis tinggi), tapi tanpa rambu lalu lintas (etika) dan polisi (hukum), jalanan akan jadi chaos berbahaya.
- Floridi, L. (2019). The Ethics of Information. Oxford University Press.
- Shea, V. (1994). Netiquette. Albion Books.
- Kominfo - Modul Literasi Digital: Etika Digital
- Tavani, H. T. (2013). Ethics and Technology, 4th Ed. Wiley.
ETIKA CYBER SECURITY
Etika Cyber Security adalah kode etik khusus bagi profesional keamanan siber. Mengapa khusus? Karena mereka memiliki akses dan pengetahuan yang bisa disalahgunakan untuk kejahatan serius. Seorang pentester yang tidak beretika bisa berubah menjadi black hat hacker dalam semalam.
Kode Etik Utama Profesi
1. (ISC)² Code of Ethics (CISSP)
Setiap pemegang sertifikasi CISSP wajib menaati 4 kanon:
- Protect society, the common good, necessary public trust and confidence, and the infrastructure.
Lindungi masyarakat, kepentingan umum, kepercayaan publik, dan infrastruktur. - Act honorably, honestly, justly, responsibly, and legally.
Bertindak terhormat, jujur, adil, bertanggung jawab, dan sesuai hukum. - Provide diligent and competent service to principals.
Berikan layanan rajin dan kompeten kepada klien/prinsipal. - Advance and protect the profession.
Maju dan lindungi profesi ini.
2. ACM Code of Ethics
Association for Computing Machinery merumuskan 24 prinsip etika untuk profesional komputasi, termasuk security. Prinsip utama:
- 1.1 Contribute to society and human well-being
- 1.2 Avoid harm
- 1.3 Be honest and trustworthy
- 1.4 Be fair and take action not to discriminate
- 1.5 Respect the work required to produce new ideas
- 1.6 Respect privacy
- 1.7 Honor confidentiality
3. EC-Council Code of Ethics (CEH)
- Socialize and defend current knowledge
- Report illegal activity
- Analyze and report findings responsibly
- Handle information confidentially
- Never attack maliciously
- Respect contracts and agreements
- Share knowledge only with authorized parties
- Protect reputation of profession
- Advance the profession ethically
- Respect intellectual property
- Provide honest and unbiased recommendations
- Never exploit vulnerabilities for personal gain
Prinsip Etika Praktis untuk Security Professional
- Jangan pernah akses sistem tanpa IZIN TERTULIS
- Jaga kerahasiaan semua temuan - jangan bocorkan
- Laporkan vulnerability ke pemilik sistem, bukan publik
- Jangan menyalahgunakan akses untuk kepentingan pribadi
- Hormati batasan scope - hanya uji yang diizinkan
- Dokumentasikan semua tindakan - untuk akuntabilitas
- Jangan merusak sistem - uji, jangan hancurkan
- Hormati privasi data - jangan baca data sensitif tanpa perlu
- Tetap update pengetahuan - tanggung jawab profesional
- Berani menolak permintaan tidak etis dari klien/atasan
Dilema Etika yang Sering Dihadapi
| DILEMA | SITUASI | RESPONS ETIS |
|---|---|---|
| Scope Creep | Klien minta "coba sedikit lebih jauh" | Tolak, minta revisi kontrak tertulis |
| Zero-Day Discovery | Menemukan vulnerability kritis | Laporkan via responsible disclosure |
| Data Sensitif | Melihat data pribadi saat pentest | Jangan baca lebih dari perlu, hapus setelah laporan |
| Illegal Request | Klien minta "hack mantan pacar" | Tolak tegas, laporkan jika perlu |
| Bug Bounty | Menemukan bug di luar scope | Laporkan, jangan eksploitasi |
| Pressure | Atasan minta "perbagus laporan" | Tetap jujur, dokumentasikan |
Kevin Mitnick pernah menjadi hacker paling dicari FBI tahun 1990-an. Ia dihukum 5 tahun penjara karena menembus sistem komputer perusahaan besar. Setelah bebas, ia membalikkan diri menjadi konsultan security, penulis buku, dan pembicara. Kisahnya menunjukkan bahwa skill teknis tanpa etika = bencana, tapi dengan etika = aset besar.
Seorang tukang kunci profesional:
- Punya skill membuka semua jenis kunci
- Tapi hanya membuka pintu dengan izin pemilik
- Tidak pernah menyalin kunci tanpa izin
- Menjaga rahasia apa yang ada di dalam rumah klien
- Menolak membantu maling
Security professional sama persis - skill yang sama bisa dipakai untuk melindungi atau merusak. Yang membedakan adalah etika.
Sebagai calon profesional Cyber Security, Anda akan memiliki pengetahuan dan akses yang bisa digunakan untuk kejahatan serius. Etika bukan pilihan - ia adalah kewajiban. Pelanggaran etika bisa berarti: kehilangan sertifikasi, tuntutan hukum, penjara, dan hancurnya reputasi.
- (ISC)² - Code of Ethics (isc2.org/ethics)
- ACM - Code of Ethics and Professional Conduct (2018)
- EC-Council - Code of Ethics for CEH Holders
- IEEE-CS/ACM - Software Engineering Code of Ethics
- Mitnick, K. - The Art of Intrusion. Wiley.
PRIVASI & PERLINDUNGAN DATA
Privasi adalah hak fundamental manusia untuk mengontrol informasi tentang dirinya sendiri. Di dunia digital, privasi menjadi tantangan besar karena data kita dikumpulkan, diproses, dan dibagikan dalam skala yang belum pernah terjadi sebelumnya.
Dasar Hukum Privasi
Internasional:
Pasal 12: "No one shall be subjected to arbitrary interference with his privacy, family, home or correspondence, nor to attacks upon his honour and reputation."
Pasal 28G ayat (1): "Setiap orang berhak atas perlindungan diri pribadi, keluarga, kehormatan, martabat, dan harta benda..."
Privasi vs Keamanan: Tension Abadi
Contoh Dilema Privasi vs Keamanan:
| KASUS | ARGUMEN KEAMANAN | ARGUMEN PRIVASI |
|---|---|---|
| Backdoor di Encryption | "Polisi butuh akses untuk tangkap teroris" | "Backdoor bisa dieksploitasi siapa saja" |
| Mass Surveillance | "CCTV di mana-mana cegah kejahatan" | "Masyarakat diawasi 24/7 = negara polisi" |
| Data Retention | "ISP simpan log untuk investigasi" | "Data massal = risiko kebocoran besar" |
| Contact Tracing | "Aplikasi lacak kontak untuk pandemi" | "Data lokasi sensitif, rawan disalahgunakan" |
Prinsip Perlindungan Data (GDPR & UU PDP)
Regulasi modern seperti GDPR (EU) dan UU PDP Indonesia merumuskan prinsip-prinsip perlindungan data:
LAWFULNESS
Pemrosesan data harus punya dasar hukum yang sah.
PURPOSE LIMITATION
Data hanya untuk tujuan yang dinyatakan saat dikumpulkan.
DATA MINIMIZATION
Kumpulkan hanya data yang benar-benar dibutuhkan.
ACCURACY
Data harus akurat dan diperbarui jika perlu.
STORAGE LIMITATION
Hapus data setelah tidak lagi dibutuhkan.
INTEGRITY & CONFIDENTIALITY
Amankan data dari akses/pengungkapan tidak sah.
Hak-Hak Subjek Data (UU PDP Pasal 7-11)
- Hak mendapatkan informasi tentang pemrosesan datanya
- Hak memperbaiki data yang tidak akurat
- Hak mengakses data yang disimpan tentang dirinya
- Hak menghapus data (right to erasure / right to be forgotten)
- Hak menarik persetujuan (withdraw consent)
- Hak keberatan atas pemrosesan data
- Hak portabilitas data - minta data dalam format yang bisa dipindahkan
Peran Security Professional dalam Privasi
Sebagai security professional, Anda harus menerapkan Privacy by Design (Ann Cavoukian, 2009):
- Privasi dipertimbangkan sejak fase desain, bukan tempelan akhir
- Default privacy - setting paling privat adalah default
- End-to-end security - enkripsi data throughout lifecycle
- Full functionality - tidak perlu trade-off antara privasi dan fungsi
- Transparansi - buka tentang bagaimana data diproses
- Respek privasi user - user-centric design
Privasi seperti dinding rumah Anda:
- Anda berhak menentukan siapa yang boleh masuk
- Anda berhak menutup tirai
- Tetangga tidak boleh mengintip lewat jendela
- Pemerintah tidak boleh masuk tanpa surat izin
Di dunia digital, dinding ini adalah: enkripsi, password, privacy setting, regulasi. Tugas security professional: membangun dan menjaga dinding ini.
- EU GDPR - General Data Protection Regulation (2016/679)
- UU No. 27 Tahun 2022 - Pelindungan Data Pribadi (UU PDP)
- UUD 1945 - Pasal 28G
- Cavoukian, A. (2009). Privacy by Design. IPC.
- Solove, D. (2021). Privacy's Constitutional Moment.
HAK KEKAYAAN INTELEKTUAL
Hak Kekayaan Intelektual (HKI) atau Intellectual Property Rights (IPR) adalah hak hukum atas kreasi pikiran manusia. Di dunia digital, HKI menjadi sangat relevan karena konten bisa disalin dengan sempurna dalam hitungan detik dan didistribusikan ke seluruh dunia.
Jenis-Jenis HKI Relevan Digital
| JENIS HKI | MELINDUNGI | DURASI | CONTOH DIGITAL |
|---|---|---|---|
| Hak Cipta | Karya seni, sastra, ilmu pengetahuan | Seumur hidup + 70 tahun | Software, musik, film, buku, foto, website |
| Paten | Invensi (penemuan) teknologi | 20 tahun | Algoritma unik, metode bisnis, hardware |
| Merek | Tanda pengenal barang/jasa | 10 tahun (dapat diperpanjang) | Logo, nama brand, slogan |
| Rahasia Dagang | Informasi bisnis rahasia | Selama dirahasiakan | Source code proprietary, algoritma Google |
| Desain Industri | Tampilan estetis produk | 10-25 tahun | UI/UX design, ikon aplikasi |
| Indikasi Geografis | Produk dari daerah tertentu | Selama syarat terpenuhi | Kopi Gayo, Batik Solo |
Hak Cipta Software: Kasus Khusus
Software dilindungi sebagai karya sastra dalam hukum hak cipta. Tapi ada nuansa khusus:
Lisensi Software Populer:
| LISENSI | TIPE | KETENTUAN | CONTOH |
|---|---|---|---|
| Proprietary | Tertutup | Tidak boleh modifikasi/distribusi | Windows, Photoshop, MS Office |
| GPL | Open Source (Copyleft) | Boleh modifikasi, tapi turunan harus GPL juga | Linux Kernel, WordPress |
| MIT | Open Source (Permissive) | Sangat bebas, asal cantumkan lisensi asli | jQuery, Ruby on Rails |
| Apache 2.0 | Open Source (Permissive) | Bebas + perlindungan paten | Android, Kubernetes |
| Creative Commons | Konten kreatif | Fleksibel (BY, NC, ND, SA) | Foto, musik, artikel |
Pelanggaran HKI di Dunia Digital
PIRACY
Pembajakan software, film, musik. Cracking, keygen, torrent.
PLAGIARISM
Mengaku karya orang lain sebagai karya sendiri. Copy-paste tanpa sitasi.
COPYPASTE KONTEN
Ambil gambar/artikel dari internet tanpa izin, meski "sudah di Google".
COPY CODE
Ambil source code berlisensi GPL untuk proyek proprietary.
FONT PIRACY
Pakai font berbayar tanpa lisensi untuk komersial.
MUSIC SAMPLING
Ambil sample musik tanpa izin untuk karya baru.
Fair Use / Penggunaan Wajar
Tidak semua penggunaan karya orang lain = pelanggaran. Fair Use (di AS) atau Fair Dealing (di Indonesia) membolehkan penggunaan terbatas untuk:
- Kritik dan komentar
- Laporan berita
- Pendidikan dan penelitian
- Parodi
TIDAK BENAR! Hanya karena sesuatu bisa ditemukan di Google, tidak berarti bebas digunakan. Default rule: semua karya otomatis dilindungi hak cipta sejak diciptakan, kecuali:
- Dinyatakan sebagai public domain
- Dilisensikan dengan Creative Commons atau lisensi terbuka
- Masa perlindungan hak cipta sudah habis
Bayangkan Anda menanam pohon mangga:
- Pohon = ide/kreasi Anda
- Buah = hasil karya (software, lagu, buku)
- HKI = hak Anda untuk memutuskan siapa yang boleh makan buahnya
- Plagiarisme = orang lain mengambil buah Anda dan mengakuinya sebagai buah mereka
- Pembajakan = orang lain menjual buah Anda tanpa izin
Hormati buah orang lain seperti Anda ingin buah Anda dihormati.
- Selalu cek lisensi sebelum pakai karya orang lain
- Cantumkan sumber dan atribusi yang jelas
- Gunakan stock gratis legal: Unsplash, Pexels, Pixabay (foto); Google Fonts (font)
- Pakai software open source yang sesuai lisensi
- Jika komersial, beli lisensi yang sesuai
- Dokumentasikan semua aset digital yang Anda gunakan
- Konsultasi ke ahli HKI untuk proyek besar
- UU No. 28 Tahun 2014 - Hak Cipta
- UU No. 13 Tahun 2016 - Paten
- UU No. 20 Tahun 2016 - Merek dan Indikasi Geografis
- UU No. 30 Tahun 2000 - Rahasia Dagang
- WIPO - World Intellectual Property Organization
- DJKI - Direktorat Jenderal Kekayaan Intelektual (dgip.go.id)
CYBERCRIME
Cybercrime (kejahatan siber) adalah setiap tindakan ilegal yang menggunakan komputer atau jaringan sebagai alat, target, atau medium kejahatan. Cybercrime bisa merugikan individu, organisasi, bahkan negara dalam skala miliaran dolar.
Definisi Internasional
Perjanjian internasional pertama tentang cybercrime, dirumuskan oleh Council of Europe. Mendefinisikan 4 kategori:
- Offences against confidentiality, integrity and availability (illegal access, interception, data interference)
- Computer-related offences (computer-related fraud, forgery)
- Content-related offences (child pornography, racist content)
- Copyright-related offences
Kategori Cybercrime
Jenis-Jenis Cybercrime
| JENIS | DESKRIPSI | CONTOH | SANKSI (UU ITE) |
|---|---|---|---|
| Illegal Access | Akses sistem tanpa izin | Hacking, defacement | Pasal 30: 6-8 tahun penjara |
| Illegal Interception | Menyadap transmisi data | Sniffing, wiretapping ilegal | Pasal 31: 10 tahun penjara |
| Data Interference | Mengubah/merusak data | Deface, hapus data | Pasal 32: 8-9 tahun penjara |
| System Interference | Mengganggu sistem | DDoS, malware, ransomware | Pasal 33: 10 tahun penjara |
| Computer Fraud | Penipuan via komputer | Phishing, carding, BEC | Pasal 35+36: 12 tahun penjara |
| Identity Theft | Pencurian identitas | Fake account, impersonation | Pasal 35: 12 tahun penjara |
| Cyberbullying | Perundungan via digital | Doxxing, harassment online | Pasal 27-29 + UU PDP |
| Child Pornography | Konten seksual anak | Distribusi CSAM | Pasal 29: 12 tahun penjara |
| Cyberstalking | Penguntitan via digital | Mengintai korban via medsos | Pasal 27-29 + KUHP |
| Cyber Terrorism | Serangan siber untuk teror | Serang infrastruktur kritis | UU Terorisme + UU ITE |
Statistik Cybercrime
Cybersecurity Ventures
University of Maryland
IBM X-Force
Cybersecurity Ventures
Aktor Cybercrime
BLACK HAT HACKER
Perorangan, motif finansial/ego. Skill tinggi, operasi independen.
ORGANIZED CRIME
Sindikat terorganisir. Ransomware-as-a-service, fraud ring.
STATE-SPONSORED
Dibiayai negara. Espionage, sabotase, disinformasi.
SCRIPT KIDDIE
Pemula, pakai tools orang lain. Motif: iseng, pamer.
INSIDER THREAT
Karyawan sendiri. Balas dendam, suap, atau ceroboh.
HACKTIVIST
Motif politik/ideologi. Anonymous, LulzSec.
Setiap kejahatan di dunia nyata punya padanan di dunia maya:
- Pencurian = data breach, carding
- Perampokan = ransomware
- Penipuan = phishing, scam online
- Penguntitan = cyberstalking
- Vandalisme = defacement website
- Terorisme = cyber terrorism
- Pencucian uang = crypto laundering
Seriusnya sama, hanya medianya yang berbeda. Hukuman juga bisa sama beratnya.
Berbeda dengan kejahatan fisik, cybercrime meninggalkan bukti digital yang sangat sulit dihapus: log server, IP address, metadata, blockchain transaction, dll. Penegak hukum modern punya alat forensik digital yang sangat canggih. Tidak ada kejahatan siber yang "sempurna" - hanya soal waktu sebelum tertangkap.
- Council of Europe - Budapest Convention on Cybercrime (2001)
- UU No. 11 Tahun 2008 jo. UU No. 19 Tahun 2016 - Informasi dan Transaksi Elektronik (ITE)
- KUHP - Kitab Undang-Undang Hukum Pidana
- UNODC - Comprehensive Study on Cybercrime
- INTERPOL - Global Cybercrime Reports
REGULASI SIBER DI INDONESIA
Indonesia memiliki kerangka regulasi siber yang terus berkembang. Memahami regulasi ini WAJIB bagi setiap profesional IT dan Cyber Security, karena pelanggaran bisa berakibat pidana.
UU Utama Siber Indonesia
1. UU ITE (UU No. 11/2008 jo. UU No. 19/2016)
Pasal-pasal Krusial:
- Pasal 27 ayat (1): Distribusi konten asusila - 6 tahun / Rp 1 Miliar
- Pasal 27 ayat (2): Judi online - 10 tahun / Rp 5 Miliar
- Pasal 27 ayat (3): Pencemaran nama baik (REVISI di UU 19/2016 jadi delik aduan) - 4 tahun / Rp 750 Juta
- Pasal 28 ayat (1): Hoaks yang merugikan konsumen - 6 tahun / Rp 1 Miliar
- Pasal 28 ayat (2): Ujaran kebencian SARA - 6 tahun / Rp 1 Miliar
- Pasal 29: Ancaman kekerasan/fetakutan - 4 tahun / Rp 750 Juta
- Pasal 30: Akses ilegal (hacking) - 6-8 tahun / Rp 600-800 Juta
- Pasal 31: Intersepsi ilegal (penyadapan) - 10 tahun / Rp 800 Juta
- Pasal 32: Manipulasi data - 8-9 tahun / Rp 2-3 Miliar
- Pasal 33: Gangguan sistem (DDoS, malware) - 10 tahun / Rp 10 Miliar
- Pasal 35: Manipulasi tampilan (phishing) - 12 tahun / Rp 12 Miliar
- Pasal 36: Fraud via elektronik - 12 tahun / Rp 12 Miliar
2. UU PDP (UU No. 27/2022)
Berlaku efektif 17 Oktober 2024 (2 tahun setelah disahkan). Ketentuan utama:
- Pasal 4: Klasifikasi data pribadi (umum & spesifik)
- Pasal 5: Setiap pemrosesan data harus punya dasar hukum
- Pasal 7-11: Hak subjek data (akses, koreksi, hapus, portabilitas)
- Pasal 15-25: Kewajiban pengendali data
- Pasal 43: Notifikasi kebocoran data dalam 3x24 jam
- Pasal 57: Sanksi administratif (denda 2% pendapatan tahunan)
- Pasal 67-69: Sanksi pidana (6 tahun / Rp 6 Miliar)
3. Peraturan Terkait Lainnya
| PERATURAN | TAHUN | FOKUS |
|---|---|---|
| PP 71/2019 (PSTE) | 2019 | Penyelenggaraan Sistem & Transaksi Elektronik |
| Permenkominfo 5/2020 | 2020 | Penyelenggara Sistem Elektronik (PSE) |
| Permenkominfo 3/2024 | 2024 | Perlindungan Data Pribadi (turunan UU PDP) |
| Peraturan BSSN | Berbagai | Keamanan siber nasional, insiden, SNI |
| POJK OJK | Berbagai | Keamanan siber sektor keuangan |
| UU Rahasia Bank (UU 7/1992) | 1992 | Kerahasiaan data nasabah perbankan |
| UU Kesehatan (UU 17/2023) | 2023 | Rekam medis elektronik & privasi pasien |
Lembaga Penegak Hukum Siber
BSSN
Badan Siber dan Sandi Negara - koordinasi keamanan siber nasional.
POLRI (Siber)
Directorate of Cyber Crime - penyidikan kasus cybercrime.
KEMENKOMINFO
Regulator konten & PSE, pemblokiran situs negatif.
KEJAKSAAN
Penuntutan kasus cybercrime di pengadilan.
PPATK
PPATK - pencucian uang via digital/crypto.
PENGADILAN NEXUS
Pengadilan Niaga Jakarta (HKI) & Tipikor (korupsi digital).
Cara Melaporkan Cybercrime di Indonesia
- Aduan BSSN: aduan.bssn.go.id - untuk insiden keamanan siber
- Polri Online: spkt.polri.go.id atau datang ke SPKT terdekat
- Patrolisiber Polri: @polri_official di medsos (untuk laporan cepat)
- Kominfo: aduankonten.id - untuk konten negatif/ilegal
- OJK: kontak@ojk.go.id - untuk fraud sektor keuangan
- PPATK: goinggoing.id - untuk pencucian uang
- YLKI: ylki.or.id - untuk perlindungan konsumen digital
Pasal 27 ayat (3) UU ITE (pencemaran nama baik) sering disebut "pasal karet" karena bisa multitafsir. Banyak kasus di mana korban yang melapor justru dipidana balik. Revisi UU 19/2016 menjadikannya delik aduan absolut - harus ada laporan langsung dari korban, bukan bisa diproses otomatis.
Sebagai security professional, pahami batas hukum sebelum bertindak. Dokumentasikan semua temuan dengan hati-hati.
Bayangkan regulasi siber sebagai aturan dalam permainan sepak bola:
- UU ITE = aturan dasar (tidak boleh handsball, tidak boleh tackle keras)
- UU PDP = aturan khusus untuk posisi tertentu (kiper tidak boleh pegang bola di luar kotak)
- BSSN = wasit utama
- Polri Siber = polisi lapangan
- Sanksi = kartu kuning/merah, denda
Anda bisa jadi pemain hebat, tapi jika melanggar aturan, Anda akan dikeluarkan dari permainan (penjara).
- UU No. 11/2008 jo. UU No. 19/2016 - Informasi & Transaksi Elektronik
- UU No. 27/2022 - Pelindungan Data Pribadi
- PP No. 71/2019 - Penyelenggaraan Sistem & Transaksi Elektronik
- Permenkominfo No. 5/2020 - PSE
- BSSN - Peraturan & Pedoman Keamanan Siber (bssn.go.id)
- DJKI - Direktorat Jenderal Kekayaan Intelektual
RESPONSIBLE DISCLOSURE
Responsible Disclosure (pengungkapan bertanggung jawab) adalah praktik etis dalam melaporkan kerentanan keamanan yang ditemukan. Ini adalah jembatan antara skill teknis dan etika - cara yang benar untuk menggunakan pengetahuan Anda demi kebaikan, bukan kejahatan.
Definisi
"Vulnerability disclosure is the process of reporting vulnerabilities to the affected vendor or other parties, who can then take action to address the vulnerability."
"Responsible disclosure is the process by which a researcher reports a vulnerability to the affected party, allows time for remediation, and then discloses the vulnerability to the public."
3 Pendekatan Disclosure
| PENDEKATAN | PROSES | KELEBIHAN | KEKURANGAN |
|---|---|---|---|
| Full Disclosure | Langsung publikasikan detail vulnerability | Transparansi penuh, tekanan pada vendor | Berbahaya - penyerang bisa eksploitasi sebelum patch |
| Responsible Disclosure | Lapor vendor, tunggu patch (biasanya 90 hari), baru publik | Memberi waktu vendor memperbaiki | Vendor bisa tidak responsif |
| Coordinated Disclosure | Kolaborasi vendor + researcher + CERT, publik bersama | Solusi optimal, semua pihak siap | Butuh koordinasi kompleks |
Tahapan Responsible Disclosure
Temukan vulnerability
Verifikasi & dokumentasi
Lapor ke vendor
Koordinasi perbaikan
Publikasi setelah patch
Detail Setiap Tahap:
- Discovery: Anda menemukan vulnerability melalui pengujian etis, bug bounty, atau riset.
- Validate: Pastikan vulnerability nyata, dokumentasikan dengan:
- Steps to reproduce
- Impact assessment
- Proof of concept (minimal, tidak merusak)
- Screenshots/video
- Report: Kirim laporan ke vendor via channel resmi:
- Security.txt (rfc9116) - file di /.well-known/security.txt
- Bug bounty program (HackerOne, Bugcrowd)
- Email security@domain.com
- CERT/CC (cert.org)
- Coordinate: Beri vendor waktu untuk memperbaiki (biasanya 90 hari):
- Jaga kerahasiaan
- Bantu verifikasi patch
- Jangan eksploitasi vulnerability
- Disclose: Setelah patch dirilis (atau setelah masa tunggu):
- Publikasikan advisory
- Cantumkan CVE ID (jika ada)
- Berikan kredit ke vendor
Template Laporan Vulnerability
Vulnerability Report Template # ============================================ # VULNERABILITY DISCLOSURE REPORT # ============================================ Title: [Judul singkat vulnerability] Reporter: [Nama/Alias Anda] Contact: [Email aman, PGP key jika ada] Date: [Tanggal laporan] Affected Product: [Nama produk + versi] Affected URL: [URL spesifik] Vulnerability Type: [CWE ID, misal: CWE-89 SQL Injection] Severity: [Critical/High/Medium/Low + CVSS score] ## Description [Deskripsi jelas tentang vulnerability] ## Impact [Dampak jika dieksploitasi - spesifik] ## Steps to Reproduce 1. [Langkah 1] 2. [Langkah 2] 3. [Langkah 3] ## Proof of Concept [Payload minimal, tidak merusak] # Contoh: ' OR 1=1 -- (hanya demonstrasi) ## Suggested Fix [Saran perbaikan, jika tahu] ## Disclosure Timeline - [Tanggal]: Vulnerability ditemukan - [Tanggal]: Laporan dikirim ke vendor - [Tanggal]: Vendor konfirmasi - [Tanggal]: Patch dirilis - [Tanggal]: Public disclosure ## Credits [Nama Anda, afiliasi jika ada]
Aturan Emas Responsible Disclosure
| DO | DON'T |
|---|---|
| Lapor via channel resmi | Eksploitasi vulnerability |
| Dokumentasikan dengan detail | Akses data sensitif lebih dari perlu |
| Beri waktu vendor untuk patch | Ancam vendor (extortion) |
| Jaga kerahasiaan sampai patch | Publikasi sebelum patch (kecuali darurat) |
| Test hanya di scope yang diizinkan | Test sistem tanpa izin |
| Hapus data yang terakses tidak sengaja | Simpan/bagikan data korban |
Bug Bounty Programs
Bug bounty adalah program di mana perusahaan mengundang researcher untuk mencari vulnerability dan memberikan imbalan finansial. Platform populer:
HACKERONE
Platform terbesar. Ribuan program dari perusahaan Fortune 500.
BUGCROWD
Platform alternatif, fokus VDM (Vulnerability Disclosure Management).
INTIGRITI
Platform Eropa, standar tinggi.
GOOGLE VRP
Program internal Google, reward hingga $31,337.
Tahun 2023, seorang researcher mendapatkan $100,000 dari Apple untuk menemukan vulnerability kritis di iOS. Bug bounty Apple total mencapai $50 juta yang dibayarkan ke researcher sejak 2016. Ini menunjukkan bahwa responsible disclosure bisa menjadi karier yang sah dan menguntungkan.
Anda menemukan jendela rusak di gedung tetangga:
- Full disclosure = teriak di jalan "HEI, GEDUNG INI JENDELANYA RUSAK!" - semua maling tahu
- Responsible disclosure = lapor ke satpam gedung, tunggu mereka perbaiki, baru cerita ke teman
- Extortion = ancam pemilik gedung "BAYAR SAYA ATAU SAYA BERITAHU SEMUA ORANG"
Pilihan kedua adalah yang etis dan benar - melindungi semua pihak.
- ISO/IEC 29147:2018 - Vulnerability Disclosure
- RFC 9116 - A File Format to Aid in Security Vulnerability Disclosure (security.txt)
- FIRST - Guide to Coordinated Vulnerability Disclosure
- NIST - CVE Process Documentation
- HackerOne - Hacker101: Responsible Disclosure
STUDI KASUS ETIKA & HUKUM
Teori tanpa contoh nyata tidak akan membekas. Bagian ini menyajikan studi kasus nyata dari Indonesia dan dunia untuk mengasah kemampuan analisis etika dan hukum Anda.
Kasus 1: Baiq Nuril (2018)
Baiq Nuril adalah staf honorer di Dinas Pendidikan Lombok. Atasan seksualnya (Kepala Dinas) merekam panggilan telepon yang berisi pelecehan. Ketika Baiq melaporkan ke kepolisian, ia justru dipidana 6 bulan penjara berdasarkan UU ITE Pasal 27 ayat (1) - karena dianggap mendistribusikan konten asusila (rekaman panggilan).
Analisis Etika & Hukum:
- Isu Etika: Korban pelecehan justru dipidana - ketidakadilan sistemik
- Isu Hukum: UU ITE dipakai secara tidak proporsional (delik karet)
- Pelajaran: Pentingnya pemahaman hukum sebelum mengambil tindakan digital
- Outcome: Baiq mendapat grasi presiden tahun 2019 setelah kampanye publik besar
Kasus 2: Prita Mulyasari (2009)
Prita Mulyasari mengeluh tentang pelayanan RS Internasional Bintaro via email ke teman-temannya. RS melaporkan Prita ke polisi. Prita dituntut Rp 14,3 miliar dan dipidana berdasarkan UU ITE (pencemaran nama baik) + KUHP.
Analisis:
- Isu Etika: Hak konsumen untuk menyampaikan keluhan vs hak RS atas reputasi
- Isu Hukum: Email pribadi yang di-forward jadi bukti hukum
- Pelajaran: Keluhan via digital bisa jadi alat hukum - hati-hati dalam berkomunikasi
- Outcome: Publik mendukung Prita, donasi Koin Keadilan terkumpul Rp 1,3 miliar. Akhirnya bebas setelah bayar denda.
Kasus 3: Edward Snowden (2013)
Edward Snowden, kontraktor NSA, membocorkan dokumen rahasia tentang program mass surveillance AS (PRISM, XKeyscore) ke media. Ia mengungkap bahwa NSA menyadap komunikasi jutaan orang di seluruh dunia, termasuk pemimpin negara asing.
Analisis Etika (Dilema Besar):
| PERSPEKTIF | ARGUMEN |
|---|---|
| Sebagai Whistleblower | Mengungkap pelanggaran privasi massal, melindungi hak asasi manusia |
| Sebagai Criminal | Melanggar kontrak, membahayakan operasi intelijen, membocorkan rahasia negara |
| Etika Profesi | Apakah ia melakukan responsible disclosure? TIDAK - ia langsung ke media |
Pelajaran: Dilema etika nyata sering tidak hitam-putih. Snowden masih jadi buronan di Rusia, tapi juga dianggap pahlawan oleh banyak orang.
Kasus 4: Tokopedia Data Breach (2020)
Data 91 juta pengguna Tokopedia dijual di forum gelap seharga Rp 75 juta. Data yang bocor: email, nama, username - bukan password (karena di-hash). Tokopedia mengonfirmasi kebocoran dan bekerja sama dengan Kominfo.
Analisis:
- Isu Hukum: Apakah Tokopedia melanggar UU? Saat itu UU PDP belum ada - hanya UU ITE
- Isu Etika: Tanggung jawab perusahaan atas data pengguna
- Pelajaran: Perlunya UU PDP yang kuat (baru ada 2022)
- Outcome: Tokopedia memperbaiki sistem, user diminta ganti password
Kasus 5: WannaCry Ransomware (2017)
WannaCry ransomware menyerang 200.000+ komputer di 150 negara, termasuk Rumah Sakit di Indonesia (RS Dharmais, RS Harapan Kita). Data pasien terkunci, layanan medis terganggu. Serangan memakai exploit EternalBlue (NSA) yang bocor.
Analisis:
- Isu Etika: NSA menyimpan vulnerability untuk intelijen, bukan melaporkannya
- Isu Hukum: Siapa bertanggung jawab atas kerusakan di RS?
- Pelajaran: Pentingnya patch management - korban pakai Windows yang tidak di-update
- Hero: Marcus Hutchins (MalwareTech) yang menghentikan WannaCry dengan menemukan kill switch
Kasus 6: Ferdy Sambo & Bukti Digital (2022)
Kasus pembunuhan Brigadir J melibatkan manipulasi bukti digital. Penyidik diduga menghapus CCTV dan merekayasa bukti elektronik. Kasus ini menunjukkan betapa krusialnya integritas bukti digital dalam proses hukum.
Pelajaran untuk Security Professional:
- Chain of custody bukti digital harus dijaga ketat
- Digital forensik harus independen dan terdokumentasi
- Integritas profesional security adalah segalanya
- Manipulasi bukti digital = pidana berat
Kasus 7: Aaron Swartz (2013)
Aaron Swartz, programmer jenius dan aktivis, mendownload 4,8 juta jurnal akademik dari JSTOR (berlangganan via MIT) untuk dibagikan gratis. Ia dituntut 35 tahun penjara dan denda $1 juta. Di tengah proses hukum, ia bunuh diri pada usia 26 tahun.
Analisis:
- Isu Etika: Akses terbuka ke pengetahuan vs hak cipta penerbit
- Isu Hukum: Hukuman tidak proporsional untuk "kejahatan tanpa korban"
- Pelajaran: Hukum siber bisa sangat keras, bahkan untuk niat baik
- Legacy: Kematian Aaron memicu gerakan open access global
Framework Analisis Etika
Untuk menganalisis kasus etika, gunakan framework multi-perspektif:
| FRAMEWORK | PERTANYAAN KUNCI |
|---|---|
| Utilitarianism | Apakah tindakan ini menghasilkan kebaikan terbesar untuk jumlah terbesar? |
| Deontology | Apakah tindakan ini sesuai dengan kewajiban moral, apapun konsekuensinya? |
| Virtue Ethics | Apakah tindakan ini mencerminkan karakter yang baik? |
| Rights-based | Apakah tindakan ini menghormati hak semua pihak? |
| Justice | Apakah tindakan ini adil bagi semua pihak yang terdampak? |
Setiap kasus di atas menunjukkan bahwa keputusan etis di dunia digital tidak pernah sederhana. Sebagai calon profesional Cyber Security, Anda akan sering menghadapi dilema seperti ini. Yang penting adalah:
- Selalu pertimbangkan semua perspektif
- Konsultasi dengan mentor, kolega, kode etik profesi
- Dokumentasikan proses pengambilan keputusan
- Ingat: reputasi lebih berharga dari uang
- Ketika ragu, pilih jalan yang paling etis, bukan yang paling mudah
Dalam perjalanan hidup sebagai profesional:
- Etika = kompas - menunjukkan arah yang benar
- Hukum = peta - menunjukkan batas yang tidak boleh dilanggar
- Skill teknis = kendaraan - alat untuk mencapai tujuan
- Reputasi = bahan bakar - tanpa ini, perjalanan berhenti
Tanpa kompas (etika), Anda bisa tersesat. Tanpa peta (hukum), Anda bisa jatuh ke jurang. Tanpa kendaraan (skill), Anda tidak akan sampai. Tanpa bahan bakar (reputasi), perjalanan berhenti.
- Kasus Baiq Nuril - Arsip media nasional 2018-2019
- Kasus Prita Mulyasari - Arsip media 2009-2010
- Greenwald, G. (2014). No Place to Hide: Edward Snowden, the NSA, and the U.S. Surveillance State
- Kasus Tokopedia - Konfirmasi resmi Tokopedia 2020
- WannaCry - Laporan BSSN & WHO 2017
- Kasus Ferdy Sambo - Putusan pengadilan 2023
- Knopper, S. (2016). The Boy Who Could Change the World: Aaron Swartz
DIAGNOSTIK KOMPETENSI
Uji pemahaman Anda tentang Bab 05! Target minimal: 70% untuk melanjutkan ke Fase 2.
- Total 10 pertanyaan pilihan ganda
- Klik opsi untuk menjawab - feedback langsung
- Benar = HIJAU, salah = MAGENTA
- Penjelasan muncul setelah menjawab
- Klik "LIHAT HASIL AKHIR" untuk skor final
-
- Floridi, L. - The Ethics of Information
- (ISC)² - Code of Ethics
- ACM - Code of Ethics and Professional Conduct
- EC-Council - Code of Ethics for CEH
- EU GDPR & UU No. 27/2022 (UU PDP)
- UU No. 11/2008 jo. UU No. 19/2016 (UU ITE)
- UU No. 28/2014 - Hak Cipta
- Budapest Convention on Cybercrime (2001)
- ISO/IEC 29147:2018 - Vulnerability Disclosure
- RFC 9116 - security.txt
- BSSN, Kominfo, DJKI - Peraturan & Pedoman Nasional