Jangan menguji sistem orang lain tanpa izin tertulis; «niat baik» dan «melapor setelahnya» bukan alasan untuk bebas dari pidana

Biaya

Tidak berbiaya. Sebelum ikut SRC atau pengujian massal dari pabrikan, dapatkan dulu dokumen yang menyebutkan ruang lingkup izin, daftar target, dan waktu pengujian yang diperbolehkan. SRC adalah pusat respons keamanan yang dibuat pabrikan sendiri, khusus menerima celah yang dilaporkan dari luar. Setelah celahnya terbukti ada, berhentilah. Yang sulit adalah melepaskan dorongan «sekalian coba sebentar».

Yang Anda dapat

Sistem komputer milik perusahaan dan perorangan biasa termasuk sistem informasi komputer di luar urusan negara, pertahanan nasional, dan bidang teknologi ilmu pengetahuan mutakhir. Menyusup ke sistem seperti ini, atau memakai cara teknis lain untuk memperoleh data yang disimpan, diproses, dan dikirim di dalamnya, jika berat hukumannya hingga 3 tahun penjara atau penahanan singkat, dengan penjara disertai denda atau hanya denda. Jika sangat berat, 3 hingga 7 tahun dan denda. «Keadaan berat» punya beberapa standar: memperoleh informasi identifikasi (akun kata sandi dan sejenisnya) untuk layanan keuangan daring seperti pembayaran, transaksi saham, atau transaksi berjangka, 10 kelompok atau lebih; informasi identifikasi lain 500 kelompok atau lebih; menguasai 20 unit sistem komputer atau lebih; keuntungan ilegal 5.000 yuan atau lebih, atau kerugian ekonomi 10.000 yuan atau lebih. Lima kali atau lebih dari angka-angka itu disebut «keadaan sangat berat». Contoh resmi: Kasus teladan nomor 36 menetapkan kalimat: «Menggunakan akun dan kata sandi untuk login ke sistem informasi komputer di luar ruang lingkup izin termasuk perbuatan menyusup ke sistem informasi komputer». Artinya, meski sudah memegang akun dan kata sandi, memakainya di luar izin sudah termasuk penyusupan. Dalam kasus ini tiga orang memakai akun, kata sandi, dan token yang mereka dapat saat bekerja untuk login dari tempat lain ke sistem internal perusahaan, mengunduh data di luar lingkup pekerjaan, dan menjualnya di internet dengan keuntungan ilegal 37.000 yuan. Ketiganya dijatuhi 4 tahun, 3 tahun 9 bulan, dan 4 tahun, masing-masing denda 40.000 yuan (nasional).

Catatan

Kasus teladan nomor 36 itu sendiri adalah kasus menjual data untuk keuntungan. Dikutip hanya untuk kalimat «login di luar izin juga penyusupan»; ini bukan berarti pengujian dengan niat baik akan dihukum sama beratnya. Apa yang Anda maksudkan dan apakah Anda melapor setelahnya tidak bisa menghapus tuduhan; hal itu hanya memengaruhi berat hukuman atau keputusan tidak menuntut. Pabrikan yang berterima kasih lalu kemudian melapor ke polisi, dua hal itu tidak bertentangan; ucapan terima kasih tidak sama dengan izin. Pada 2016, seorang peretas topi putih mengirimkan celah situs Jiayuan ke platform celah pihak ketiga, lalu Jiayuan melapor ke polisi dan ia ditangkap. Jiayuan mengatakan kepada wartawan bahwa mereka melapor karena ada data yang diambil orang, dan saat itu belum tahu bahwa orang yang mengambil data itu adalah yang melaporkan celah tersebut. Kasus ini hanya ada di pemberitaan media, tanpa putusan dan tanpa pengumuman resmi, jadi tidak ada keterangan resmi tentang bagaimana akhirnya ditangani. Tidak ditemukan contoh yang bisa dicocokkan kata demi kata dari situs Mahkamah Agung dan Kejaksaan Agung tentang pengujian dengan niat baik, jadi butir ini hanya dinilai berdasarkan pasal dan standar hukuman. Jika ingin melakukan, lewati SRC terbuka yang diumumkan pabrikan, atau pengujian yang ditugaskan secara tertulis, dan tuliskan ruang lingkup, target, dan jendela waktu dalam dokumen. Untuk membuktikan adanya celah, gunakan bukti sesedikit mungkin, dan jangan mengambil data secara massal. Bahkan yang belum mencapai pidana tetap dikenai hukuman administrasi keamanan publik dan larangan bekerja; jumlah denda dan lamanya sama dengan §11.8 (jangan menjalankan program sendiri di komputer orang lain). Apa yang harus dilakukan setelah menemukan celah, lihat §11.10 (laporkan celah sesuai aturan).

Tingkat bukti

A : Angka konkret dari meta-analisis, kohort besar, atau uji acak; untuk hukum dan kebijakan, teks resminya.

Sumber

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

Diterjemahkan dari naskah asli berbahasa Tionghoa. Buku asli, bagian 11, saran 9. Bagian ini menjelaskan aturan hukum, terutama di Tiongkok daratan. Isinya informasi umum, bukan nasihat hukum. Isinya bisa sudah usang dan aturan berbeda di tiap tempat. Saat mengurus sesuatu, berobat, atau berperkara, ikuti petunjuk instansi, dokter, atau pengacara. Penafian