Departmen Teknologi Maklumat dan Komunikasi pada 14 Januari telah mengeluarkan surat edaran jabatan HRA-002, yang menetapkan garis panduan, peraturan, dan undang-undang baharu serta disusun semula berkaitan pelaporan kelemahan sistem dan dasar pelaburan selamat negara serta program ganjaran pepijat.
Sekretaris DICT, Henry Aguda, malah turut menghadiri persidangan penggodaman Rootcon tahun lalu untuk mempromosikan perkembangan ini, dengan menyatakan bahawa para penggodam negara seharusnya menggunakan kemahiran mereka “untuk melindungi, bukannya untuk merosakkan.”
Dengan itu, pelaksanaan Dasar Pelaburan Selamat dan Program Ganjaran Pepijat (SHPBBP) diharapkan menjadi berita gembira bagi mereka yang memiliki kemahiran yang tepat, kerana program ini bertujuan untuk memberi galakan kepada pelaporan keselamatan siber secara bertanggungjawab terhadap perkhidmatan kerajaan.
Mari kita lihat apa maksud semua ini, terutama jika anda belum pernah mendengar tentang perkembangan ini.
Penggodaman etika ialah proses di mana seorang pakar keselamatan siber, juga dikenali sebagai penggodam topi putih, mengenal pasti dan membantu memperbaiki kelemahan dalam aplikasi, sistem, atau teknologi sebelum kelemahan tersebut dapat disalahgunakan oleh penggodam tidak bertanggungjawab, atau penggodam topi hitam.
Oleh itu, penggodaman etika mensimulasikan serangan siber sebenar untuk menilai risiko sesuatu sistem, supaya sistem yang ada dapat diperbaiki atau diperkukuh dari segi keselamatan.
Bagi menjadikan penggodaman etika lebih bermakna dan menguntungkan bagi penggodam topi putih, program ganjaran pepijat merupakan struktur organisasi yang ditubuhkan untuk menilai dan menawarkan ganjaran kewangan bagi usaha mengesan serta melaporkan kelemahan secara bertanggungjawab kepada pihak yang membangunkan sistem yang digodam. Tujuannya adalah untuk meningkatkan tahap keselamatan sistem tersebut.
Program ganjaran pepijat biasanya dilengkapi dengan perlindungan bagi para penggodam agar mereka dapat menjalankan tugas dengan selamat.
Dasar pelaburan selamat ini direka bentuk untuk melindungi penggodam topi putih atau penyelidik keselamatan daripada sebarang tanggungjawab pentadbiran, sivil, mahupun jenayah sekiranya mereka menemui sesuatu semasa proses mengesan pepijat, selagi mereka melaporkan hasil penyelidikan mereka dengan betul mengikut butiran spesifik program ganjaran pepijat yang berkenaan.
SHPBBP DICT menetapkan perlindungan dan keperluan yang perlu dipenuhi untuk menyertai program ganjaran pepijat DICT.
Mungkin anda tertanya-tanya, adakah sesiapa sahaja boleh menyertai program ganjaran pepijat?
Menurut surat edaran DICT, sekurang-kurangnya anda perlu menjadi penyelidik keselamatan siber profesional untuk menyertai program ini. Anda juga perlu mendaftar diri melalui prosedur Kenali Kontributor Anda (KYC) untuk layak menerima ganjaran daripada program ganjaran pepijat.
Namun begitu, surat edaran tersebut menyatakan bahawa ia terpakai kepada:
Sementara itu, perlindungan pelaburan selamat hanya akan terpakai jika anda ialah penyelidik keselamatan yang hanya menguji sistem-sistem yang telah dinyatakan dalam skop program ganjaran pepijat; anda tidak melakukan sebarang aktiviti eksploitasi data tanpa kebenaran, mengubah suai, atau mengganggu perkhidmatan; anda melaporkan kelemahan secara bertanggungjawab dan secara sulit kepada DICT atau entiti yang dibenarkan; serta anda mengekalkan kerahsiaan terhadap temuan anda dan tidak mendedahkannya sehingga isu yang anda temui telah diselesaikan atau anda dibenarkan untuk membincangkannya secara terbuka.
Mungkin anda ingin tahu bagaimana perkara ini berlaku dalam amalan sebenar. Secara umumnya, inilah cara ia beroperasi:
Penyelidik keselamatan membuat permohonan untuk menyertai inisiatif DICT melalui prosedur Kenali Pelanggan Anda yang disebutkan di atas. Mereka perlu melengkapkan keseluruhan proses dan diterima untuk layak menerima ganjaran tunai. Konflik kepentingan – misalnya, kakitangan DICT dan pembekal perkhidmatan pihak ketiga yang bekerjasama dengan DICT – akan menyebabkan pemohon tidak layak menyertai program ganjaran pepijat ini.
Program ganjaran pepijat akan menetapkan jumlah ganjaran berdasarkan keperluan entiti yang menyertainya, iaitu agensi kerajaan yang memerlukan bantuan, atau rakan kerajaan yang ingin menawarkan ganjaran sendiri. Peruntukan untuk menjayakan surat edaran ini “akan dibebankan ke atas bajet sedia ada agensi atau institusi yang terlibat, serta sumber kewangan lain yang sesuai yang dapat dikenal pasti oleh Jabatan Belanjawan dan Pengurusan, selaras dengan undang-undang, peraturan, dan garis panduan yang berkenaan.”
Ganjaran-ganjaran ini – termasuk laman web atau perkhidmatan yang perlu diuji, serta aspek-aspek tertentu dalam laman web dan perkhidmatan tersebut – akan disenaraikan di portal program pelaporan kelemahan (VDPP), sebuah laman web yang didedikasikan untuk mengesan pepijat dan melaporkannya. Portal ini dihos dan diselenggara oleh Biro Keselamatan Siber DICT.
Kelemahan dan isu yang dilaporkan dengan betul kepada VDPP boleh dikategorikan mengikut empat senario keselamatan: Kritikal, Tinggi, Sederhana, dan Rendah, dengan bayaran yang berbeza-beza mengikut kadar industri, bergantung pada laporan dan tahap keparahannya.
Biro Keselamatan Siber DICT akan mengesahkan laporan-laporan tersebut, dan bagi mereka yang laporan mereka telah disahkan, DICT akan memberikan “sijil/penyertaan yang sesuai sebagai pengiktirafan atas sumbangan penyelidik dalam melaporkan dan/atau
menyelesaikan kelemahan yang telah disahkan.” Entiti sektor swasta yang menyertai program ini, selepas berkoordinasi dengan Biro Keselamatan Siber DICT, boleh memberikan ganjaran kewangan atau insentif yang sesuai berdasarkan mekanisme insentif terstruktur yang ditetapkan dalam VDPP.
Selain ganjaran kewangan, penyertaan dalam program ini juga membawa pengiktirafan apabila laporan yang bertanggungjawab mendapat perhatian kerajaan. Ganjaran tersebut termasuk sijil digital dan cetak, pengiktirafan awam di VDPP, serta penyenaraian dalam kutipan DICT yang lain, seperti yang dinyatakan dalam surat edaran.
Program ganjaran pepijat nasional yang mempunyai peraturan yang jelas untuk mengikuti proses ini merupakan berita baik dan satu perkembangan yang sangat diperlukan dalam bidang keselamatan siber, kerana program ini diharapkan dapat memberi galakan kepada penggodaman etika dalam jangka masa panjang sambil memperbaiki sistem kerajaan pada masa kini.
Jika anda baru menceburkan diri dalam bidang keselamatan siber, program ini boleh menjadi satu cara yang baik untuk memasuki industri ini, selagi anda tahu apa yang anda lakukan dan melaksanakan kerja yang diperlukan untuk melaporkan secara bertanggungjawab.
Sila rujuk surat edaran yang dipautkan di sini untuk maklumat lanjut dan sertailah program ini. Anda mungkin dapat membantu melindungi keselamatan kerajaan daripada pihak-pihak yang tidak bertanggungjawab. – Rappler.com
/
