Izin uji penetrasi menurut KUHP baru: Pasal 332 menggantikan UU ITE Pasal 30 dan 46, surat izin, dan aturan pelaksanaan

Uji penetrasi pada dasarnya adalah mengakses sistem orang lain dengan teknik penyerang, sehingga yang membedakannya dari kejahatan adalah hak: izin tertulis dari pemilik sistem dengan ruang lingkup yang jelas. Sejak KUHP baru (UU 1/2023) berlaku pada 2 Januari 2026, akses ilegal ke komputer atau sistem elektronik diatur dalam KUHP Pasal 332. Pasal 622 ayat (1) huruf r KUHP mencabut sejumlah ketentuan UU ITE, termasuk Pasal 30 (akses ilegal) dan Pasal 46 (ancaman pidananya). Unsur kuncinya adalah perbuatan dilakukan "tanpa hak atau melawan hukum". Rumusan Pasal 332 sebagaimana diubah UU 1/2026 tentang Penyesuaian Pidana, yang juga berlaku 2 Januari 2026, tidak lagi memuat frasa "dengan sengaja", sedangkan ancaman pidananya tetap. Karena itu, sebelum penguji mulai bekerja, pastikan surat izin, aturan pelaksanaan, dan persetujuan pemilik aset pihak ketiga sudah ditandatangani. Ini bukan nasihat hukum.

Panduan ini bagian dari pola kegagalan layanan keamanan terkelola. Harga dan ruang lingkup teknis dibahas di biaya uji penetrasi, dan uji coba penyedia MDR di uji tuntas penyedia. Daftar tempat membaca peraturan ada di sumber resmi.

Perubahan dasar hukum: dari UU ITE ke KUHP

Tiga tingkat dalam Pasal 332: (1) mengakses komputer atau sistem elektronik milik orang lain dengan cara apa pun; (2) mengakses dengan tujuan memperoleh informasi atau dokumen elektronik; (3) mengakses dengan melanggar, menerobos, melampaui, atau menjebol sistem pengamanan. Uji penetrasi hampir selalu menyentuh tingkat ketiga, karena tujuannya memang menembus pengamanan.

UU 1/2026 (Pasal VII angka 35) mengubah rumusan Pasal 332 dan juga mengubah Pasal 622, tetapi daftar pencabutan UU ITE dalam huruf r tetap memuat Pasal 30 dan Pasal 46. Cek teks konsolidasi terbaru sebelum mengutip dalam kontrak. Ketentuan UU ITE lain yang tidak tercantum dalam daftar pencabutan, misalnya tentang mengubah atau merusak informasi elektronik dan mengganggu sistem elektronik, tetap perlu diperhatikan, karena uji yang ceroboh bisa mengubah data atau menjatuhkan layanan.

Isi surat izin uji penetrasi

Surat izin ditandatangani oleh pihak yang berwenang atas sistem, biasanya direksi atau pejabat yang diberi kuasa, bukan hanya staf TI. Isinya minimal:

1. Identitas pemberi izin dan penyedia penguji, termasuk nama penguji.
2. Daftar aset dalam lingkup: domain, URL, alamat IP, aplikasi, akun cloud, lokasi fisik.
3. Daftar aset yang dikecualikan.
4. Jendela waktu pengujian, termasuk tanggal dan jam.
5. Teknik yang diizinkan dan yang dilarang, misalnya tanpa serangan penolakan layanan, tanpa rekayasa sosial kepada pelanggan.
6. Kontak darurat dua arah dan prosedur menghentikan pengujian.
7. Perlakuan data yang ditemukan, termasuk data pribadi: tidak diunduh lebih dari yang diperlukan untuk bukti, disimpan terenkripsi, dihapus setelah laporan.
8. Pernyataan bahwa pemberi izin berhak memberi izin atas aset tersebut.

Aturan pelaksanaan (rules of engagement)

Aset pihak ketiga: hosting, cloud, dan SaaS

Anda mungkin pemilik aplikasi, tetapi bukan pemilik server tempatnya berjalan. Penyedia hosting, cloud, dan aplikasi SaaS memiliki kebijakan pengujian sendiri; sebagian mengizinkan pengujian atas sumber daya milik pelanggan dengan pembatasan, sebagian mensyaratkan pemberitahuan atau melarang teknik tertentu. Cek kebijakan setiap penyedia dan simpan salinannya bersama surat izin. Jangan menguji aplikasi SaaS milik vendor lain hanya karena Anda berlangganan; itu sistem milik orang lain.

Simulasi phishing dan rekayasa sosial

Simulasi email phishing kepada karyawan juga memerlukan persetujuan manajemen dan kebijakan yang jelas, karena menyentuh data pribadi karyawan dan bisa menimbulkan masalah hubungan kerja. Jangan pernah mengarahkan simulasi kepada pelanggan atau pihak luar. Hasilnya dipakai untuk pelatihan, bukan untuk menghukum individu.

Bila penguji menemukan sesuatu di luar lingkup

Kadang penguji menemukan celah pada sistem yang tidak termasuk izin, misalnya server mitra yang terhubung. Prosedur yang aman: berhenti, catat, dan laporkan kepada kontak yang disepakati. Pemberi izin kemudian menghubungi pemilik sistem itu. Penguji tidak boleh melanjutkan tanpa izin baru.

Contoh alur persetujuan internal

1. Pemilik sistem atau kepala divisi mengajukan kebutuhan uji, beserta alasan dan tanggal yang diinginkan.
2. Tim TI menyusun daftar aset dan memastikan pemilik setiap aset, termasuk aset di penyedia hosting atau cloud.
3. Bagian hukum memeriksa surat izin dan kebijakan pengujian pihak ketiga.
4. Pejabat berwenang menandatangani surat izin dan aturan pelaksanaan.
5. Penyedia MDR dan pihak yang perlu tahu diberi informasi sesuai keputusan di aturan pelaksanaan.
6. Setelah selesai, laporan dan bukti disimpan terbatas, dan data uji dihapus sesuai kesepakatan.

Pertanyaan yang sering diajukan

Apakah kontrak MDR otomatis memberi izin uji penetrasi?

Tidak. Kontrak pemantauan berbeda dengan izin pengujian. Buat izin terpisah untuk setiap uji, atau lampiran kontrak yang memuat lingkup dan jadwalnya.

Apakah peneliti keamanan yang melaporkan celah tanpa diminta dilindungi?

Tidak ada pengecualian umum dalam rumusan pasal akses ilegal. Bila Anda ingin menerima laporan celah dari luar, buat kebijakan pengungkapan kerentanan yang menjelaskan apa yang diizinkan.

Apakah denda dalam UU ITE lama masih berlaku untuk kasus 2025?

Peralihan hukum pidana untuk perbuatan sebelum KUHP baru berlaku diatur sendiri. Konsultasikan dengan penasihat hukum.

Siapa yang menyimpan surat izin?

Kedua pihak. Penguji sebaiknya membawa salinannya selama bekerja, terutama bila datang ke lokasi.

Sumber resmi

• Pasal.id — KUHP (UU 1/2023) Pasal 79, 332, 622, dan 624, UU ITE beserta perubahannya, dan UU 1/2026
• Peraturan.go.id — teks resmi undang-undang
• BSSN — panduan pelaporan kerentanan dan keamanan sistem elektronik