Belajar Penetration Tester - Hukum, Scope & Rules of Engagement

#Pendahuluan

Setelah di episode 1 kita memahami peran pentester dan mengapa etika serta legalitas menjadi fondasi profesi ini, pada episode ini kita masuk lebih dalam ke aspek operasional hukum — bagaimana hukum mempengaruhi pekerjaan pentester, cara mendefinisikan scope, dan menyusun Rules of Engagement (RoE) yang menjadi perisai legal kalian selama engagement.

Tanpa pemahaman hukum yang solid, bahkan pentester terbaik pun bisa menghadapi tuntutan pidana atau perdata. Episode ini adalah jembatan antara "memahami etika" menjadi "mampu beroperasi secara legal di dunia nyata."

#Kerangka Hukum Pentesting

#Di Indonesia

Regulasi utama yang mempengaruhi penetration testing di Indonesia:

• UU ITE (UU No. 11/2008, diubah UU No. 19/2016): mengatur akses ilegal ke sistem komputer (Pasal 30-32). Tanpa authorization, aktivitas yang dilakukan pentester bisa dikategorikan sebagai tindak pidana.
• UU PDP (UU No. 27/2022): perlindungan data pribadi — pentester yang mengakses data sensitif harus memahami kewajiban kerahasiaan.
• Peraturan BSSN: standar keamanan siber nasional yang merekomendasikan security assessment berkala.

#Di Internasional

Kuncinya: selalu dapatkan written authorization sebelum memulai apapun. Di banyak yurisdiksi, "authorization" harus berupa dokumen tertulis yang ditandatangani oleh pihak yang berwenang atas sistem yang akan diuji.

#Mendefinisikan Scope

Scope adalah batasan eksplisit dari apa yang boleh dan tidak boleh diserang. Scope yang buruk adalah penyebab utama masalah legal dalam pentesting.

#Komponen Scope

1. Target sistem/jaringan: IP address, domain, URL, aplikasi spesifik
2. Out-of-scope: sistem yang TIDAK BOLEH disentuh (misal: production database, sistem pihak ketiga)
3. Metode yang diizinkan: active scanning, exploitation, social engineering
4. Metode yang dilarang: DoS, destructive testing, physical access
5. Timing: jam operasional, blackout periods (misal: tidak saat maintenance window)
6. Tim: siapa saja yang terlibat dan kontak darurat

#Contoh Scope Document

title: "Penetration Test Scope - PT Contoh Sejahtera"
engagement_date: "2026-09-01 to 2026-09-15"
client_contact: "security@contoh.co.id"
 
in_scope:
  - 203.0.113.0/24
  - app.contoh.co.id
  - api.contoh.co.id
 
out_of_scope:
  - 10.0.0.0/8 (internal network)
  - *.contoh.co.id (except listed above)
  - Third-party SaaS (AWS console, Google Workspace)
 
methods_allowed:
  - Network scanning (Nmap, vulnerability scan)
  - Web application testing (OWASP Top 10)
  - Manual exploitation
  - Social engineering (pre-approved)
 
methods_prohibited:
  - Denial of Service (DoS/DDoS)
  - Physical access testing
  - Social engineering targeting C-level without approval

#Rules of Engagement (RoE)

RoE adalah dokumen kontrak yang mendefinisikan bagaimana penetration testing akan dilakukan. Ini bukan sekadar formalitas — RoE adalah perisai legal kalian.

#Struktur RoE yang Baik

1. Authorization Statement: pernyataan tegas bahwa klien mengizinkan testing
2. Scope & Objectives: apa yang diuji dan mengapa
3. Testing Window: kapan testing boleh dilakukan
4. Communication Protocol: bagaimana menghubungi klien jika ada issue
5. Escalation Procedure: langkah jika menemukan kerentanan kritis selama testing
6. Handling of Findaries: bagaimana menangani data sensitif yang ditemukan
7. Reporting Requirements: format, deadline, dan penerima laporan
8. Legal Liability: pembagian tanggung jawab
9. Confidentiality/NDA: kerahasiaan temuan

#Template RoE Singkat

RULES OF ENGAGEMENT
====================
 
1. Authorization
   Pihak [CLIENT] dengan ini mengizinkan [PENTESTER/COMPANY]
   untuk melakukan penetration testing terhadap sistem-sistem
   yang tercantum dalam dokumen Scope (Lampiran A).
 
2. Testing Window
   Testing hanya dilakukan pada hari kerja, jam 09:00-17:00 WIB,
   kecuali disepakati lain secara tertulis.
 
3. Communication
   Kontak darurat: [NAMA] - [HP] - [EMAIL]
   Jika menemukan kerentanan kritis, segera hubungi kontak di atas
   sebelum melakukan exploitation lebih lanjut.
 
4. Data Handling
   Semua data sensitif yang ditemukan selama testing akan
   dienkripsi dan dihancurkan setelah delivery laporan final.
 
5. Reporting
   Laporan draft: H+3 setelah testing selesai.
   Laporan final: H+7 setelah review client.
 
6. Legal
   [PENTESTER/COMPANY] dibebaskan dari tanggung jawab atas
   kerusakan yang terjadi akibat exploitation yang dilakukan
   sesuai dengan scope dan RoE ini.

#Praktik: Buat RoE untuk Engagement Fiktif

Untuk mempraktikkan pemahaman kalian, buatlah dokumen RoE sederhana untuk skenario berikut:

Kalian di-hire oleh perusahaan e-commerce Indonesia untuk menguji website dan API mereka selama 2 minggu. Target: website utama dan API endpoint. Tidak boleh menyentuh database production atau sistem payment gateway.

Poin-poin yang harus ada:

1. Authorization statement
2. Scope in/out
3. Testing window
4. Kontak darurat
5. Metode yang diizinkan dan dilarang
6. Reporting format

Simpan dokumen ini — di episode 3 kita akan menghubungkannya dengan metodologi pentest.

#Penutup

Inti yang harus dibawa pulang:

• Hukum Indonesia (UU ITE, UU PDP) mengatur akses ilegal ke sistem — tanpa authorization, pentesting bisa dikategorikan tindak pidana.
• Scope harus spesifik: target, out-of-scope, metode, timing, dan tim.
• RoE adalah perisai legal kalian: authorization statement, communication protocol, data handling, dan legal liability.
• Praktik: buat dokumen RoE untuk engagement fiktif sebagai latihan.

Di episode 3 selanjutnya, kita akan mempelajari metodologi penetration testing — framework seperti PTES, OWASP, dan Cyber Kill Chain yang memberikan struktur pada serangan kalian. Mulai dari reconnaissance hingga reporting, setiap tahap punya tujuan dan tool spesifik. Siapkan mental — mulai episode depan kita masuk ke teknik!