Tujuan VDP

1. Menyediakan kanal komunikasi yang aman dan terstruktur bagi pelaporan kerentanan.
2. Mengurangi risiko keamanan melalui perbaikan dini.
3. Mendorong praktik responsible disclosure.

Ruang Lingkup

1. Aset dalam Ruang Lingkup

1. Domain dan subdomain resmi Perusahaan seperti *.akulakufinance.co.id, *.akulakufinance.id, *.akucredit.com
2. Mobile Application Android
3. Mobile Application iOS

2. Aset di Luar Ruang Lingkup

1. Sistem milik pihak ketiga (vendor) yang tidak dikelola langsung oleh Perusahaan
2. Serangan berbasis social engineering (phishing, vishing, smishing)
3. Denial of Service (DoS/DDoS) dan stress testing
4. Physical attack dan insider threat

Tata Cara Pelaporan

1. Pelaporan temuan celah keamanan dapat dilakukan melalui email resmi : vdp@akulakufinance.co.id
2. Laporan minimal mencakup:
   1. Identitas Researcher (nama/alias dan email)
   2. Aset yang terdampak
   3. Deskripsi kerentanan
   4. Langkah reproduksi dan/atau POC
   5. Estimasi dampak
3. Format laporan berupa dokumen (PDF/DOC) atau teks email terstruktur.

Proses Penanganan Kerentanan

1. Acknowledgement: Perusahaan akan memberikan konfirmasi penerimaan laporan maksimal 5 hari kerja.
2. Triage & Validasi: Tim keamanan akan menilai validitas dan tingkat keparahan laporan.
3. Remediasi: Kerentanan valid akan diperbaiki sesuai prioritas risiko.
4. Closure: Researcher akan diinformasikan ketika kerentanan telah ditangani.

Aturan bagi Researcher

1. Melakukan pengujian secara etis dan tidak merusak sistem.
2. Tidak mengakses, mengubah, atau menghapus data pengguna.
3. Tidak melakukan eksploitasi berulang atau eskalasi di luar kebutuhan pembuktian.
4. Tidak mengungkapkan kerentanan kepada publik sebelum ada persetujuan tertulis dari Perusahaan.

Safe Harbor Policy

1. Perusahaan memberikan Safe Harbor kepada Researcher dengan ketentuan berikut:
   1. Researcher bertindak dengan itikad baik dan mematuhi VDP ini.
   2. Aktivitas pengujian dilakukan hanya pada aset dalam ruang lingkup.
   3. Tidak ada upaya pemerasan, monetisasi, atau penyalahgunaan data.
2. Selama ketentuan di atas dipenuhi:
   1. Perusahaan tidak akan menempuh tindakan hukum atau perdata terhadap Researcher.
   2. Aktivitas Researcher dianggap sebagai aktivitas yang sah dan diizinkan.
3. Jika terjadi pelanggaran yang tidak disengaja, Researcher diharapkan segera menghentikan aktivitas dan melaporkannya.

Kerahasiaan dan Pengungkapan

1. Semua laporan akan diperlakukan sebagai informasi rahasia.
2. Pengungkapan publik (blog, media sosial, konferensi) hanya dapat dilakukan setelah ada persetujuan tertulis dari Perusahaan.

No Bug Bounty Policy

Kepatuhan Regulasi

Perubahan Kebijakan