Mengapa Penetration Testing Kini Menjadi Urusan Strategis?
Keamanan Siber · Analisis
Pintu yang Terbuka Selama 27 Hari: Mengapa Penetration Testing Kini Urusan Direksi
Penyerang butuh lima hari untuk mengeksploitasi sebuah kerentanan. Organisasi rata-rata butuh 32 hari untuk menutupnya. Yang terjadi di antara keduanya menentukan jauh lebih banyak hal daripada yang disadari kebanyakan pimpinan bisnis.
Bayangkan sebuah gedung kantor. Seseorang menemukan bahwa kunci pintu belakang bisa dibuka dengan trik tertentu, lalu mengumumkannya di forum publik. Dalam lima hari, informasi itu sudah beredar dan ada yang mulai mencobanya. Petugas keamanan gedung baru mengganti kunci itu sebulan kemudian.
Tidak ada yang benar-benar salah dalam prosedur gedung tersebut. Pengadaan kunci baru butuh waktu, ada persetujuan anggaran, ada jadwal teknisi. Semuanya berjalan sesuai aturan. Masalahnya hanya satu: selama 27 hari, pintu itu terbuka bagi siapa pun yang tahu triknya — dan tidak ada satu pun sistem yang memberi tahu bahwa hal itu sedang terjadi.
Inilah situasi yang dihadapi hampir setiap organisasi digital hari ini, hanya saja tidak dengan satu pintu, melainkan dengan ratusan. Dan tidak sekali setahun, melainkan setiap kali ada kerentanan baru dipublikasikan.
Artikel ini membahas satu praktik yang secara khusus dirancang untuk menemukan pintu-pintu itu lebih dulu: penetration testing. Tapi fokusnya bukan pada sisi teknisnya. Fokusnya pada pertanyaan yang jauh lebih jarang ditanyakan — mengapa hal yang terdengar seperti urusan tim IT ini justru menentukan apakah bisnis Anda masih berjalan enam bulan dari sekarang.
Teknologi selalu lebih cepat daripada pengamanannya
Ada pola yang berulang selama tiga dekade terakhir, dan pola itu menjelaskan hampir semua hal tentang keamanan siber modern: setiap teknologi diadopsi lebih dulu, baru kemudian dipikirkan cara mengamankannya.
Perusahaan pindah ke internet, lalu muncul serangan terhadap aplikasi web. Perusahaan pindah ke cloud, lalu muncul kasus penyimpanan data yang tidak sengaja terbuka untuk publik. Tim pengembang memecah aplikasi menjadi puluhan layanan kecil yang saling bicara lewat API, lalu muncul API yang tak seorang pun ingat pernah dibuat. Pandemi memaksa semua orang bekerja dari rumah, lalu perangkat VPN dan akses jarak jauh menjadi pintu masuk favorit penyerang. Dan sekarang, ketika organisasi mulai menempelkan agen kecerdasan buatan ke dalam sistem produksi, muncul kelas risiko yang bahkan belum punya nama baku.
Jeda antara "kami sudah memakai ini" dan "kami sudah tahu cara mengamankannya" bukanlah kelalaian. Ia adalah konsekuensi wajar dari bergerak cepat. Tapi jeda itu punya biaya, dan biayanya kini bisa dihitung.
Yang berubah adalah kecepatannya
Dulu, jeda tersebut relatif aman. Ketika sebuah kerentanan diumumkan, tim keamanan punya waktu berminggu-minggu sebelum ada yang benar-benar mencoba memanfaatkannya. Menambal setiap kuartal terasa masuk akal.
Itu tidak lagi berlaku.
Waktu hingga eksploitasi
Dari 63 hari menjadi 5 hari dalam lima tahun
Median jarak waktu antara sebuah kerentanan diumumkan dan percobaan eksploitasi pertama yang teramati.
Angka lima hari itu baru bermakna ketika ditempelkan pada realitas di sisi sebaliknya. Verizon menemukan bahwa untuk kerentanan pada perangkat tepi dan VPN — justru kategori yang paling sering dieksploitasi — organisasi butuh waktu median 32 hari untuk benar-benar menuntaskan perbaikan. Dan hanya sekitar separuh yang tuntas sepanjang tahun.
Selisihnya itulah yang saya sebut di awal sebagai pintu yang terbuka. Bukan karena tidak ada yang peduli, tapi karena menemukan pintu mana yang terbuka, di antara ratusan sistem, ternyata jauh lebih sulit daripada yang terlihat dari luar.
Penyerang tidak perlu mengalahkan pertahanan Anda. Mereka hanya perlu menemukan satu tempat yang belum sempat diperiksa.
Di sisi lain, pekerjaan penyerang justru semakin mudah. Ransomware kini beroperasi seperti bisnis berlangganan, lengkap dengan afiliasi dan pembagian hasil. Verizon mencatat ransomware muncul pada 44% pelanggaran data yang mereka analisis. Begitu sebuah kerentanan diumumkan, perkakas otomatis memindai seluruh internet untuk mencari sistem yang belum ditambal — dalam hitungan menit, bukan hari.
Tidak ada yang secara khusus menargetkan Anda. Itu justru masalahnya. Mereka menargetkan semua orang sekaligus, dan Anda kebetulan termasuk yang belum sempat menutup pintu.
Ongkos yang sebenarnya, dan siapa yang membayarnya
Setiap tahun, IBM bersama Ponemon Institute menghitung berapa biaya rata-rata sebuah pelanggaran data. Studi ini sudah berjalan lebih dari dua dekade dan menjadi rujukan yang paling banyak dikutip industri. Edisi 2025 mencatat angka USD 4,44 juta per insiden secara global.
Menariknya, itu adalah penurunan pertama dalam lima tahun. Tapi penurunan itu menyembunyikan dua hal. Pertama, di Amerika Serikat biayanya justru mencetak rekor baru, USD 10,22 juta. Kedua, penurunannya terjadi bukan karena serangan berkurang, melainkan karena organisasi menjadi sedikit lebih cepat menyadari bahwa mereka sedang diserang.
Biaya per insiden
Rata-rata global biaya satu pelanggaran data
Dalam juta dolar AS, seluruh industri dan wilayah, 2019–2025.
Angka rata-rata memang selalu punya keterbatasan. Sebuah startup dengan lima puluh karyawan jelas tidak akan mengalami kerugian empat juta dolar. Tapi yang lebih berguna dari angka absolutnya adalah komposisinya — dan di sinilah kebanyakan orang keliru menebak.
Ketika membayangkan biaya pelanggaran data, kebanyakan orang membayangkan biaya teknis: server yang harus dibangun ulang, konsultan forensik, sistem yang harus dipulihkan. Padahal itu bukan bagian terbesarnya.
Ke mana uangnya pergi
Sebagian besar kerugian terjadi di luar ruang server
Komponen biaya rata-rata per insiden, dalam juta dolar AS.
Dua komponen terbesar adalah deteksi dan investigasi serta kehilangan bisnis. Yang pertama adalah jam kerja: forensik, penasihat hukum, tim krisis, rapat yang tidak berujung. Yang kedua adalah pelanggan yang diam-diam pindah, kontrak yang tidak diperpanjang, dan calon pelanggan yang mendadak minta waktu untuk "mempertimbangkan kembali".
Perbedaannya penting. Biaya teknis muncul sekali dan selesai. Kehilangan kepercayaan bekerja perlahan selama beberapa kuartal, tidak pernah muncul sebagai satu baris dalam laporan keuangan, dan justru karena itu paling sering diremehkan saat menyusun anggaran.
Bagaimana sebenarnya mereka masuk
Kalau angka biaya menjelaskan mengapa ini penting, maka pertanyaan berikutnya adalah di mana sebaiknya perhatian diarahkan. Untungnya, ini termasuk hal yang sudah cukup terang datanya.
Setiap tahun Verizon menganalisis puluhan ribu insiden nyata dan memetakan dari mana penyerang pertama kali masuk. Hasilnya konsisten dan, jujur saja, agak membosankan — dalam artian yang baik. Tidak ada teknik eksotis. Hanya tiga cara yang sama, berulang-ulang.
Titik masuk
Tiga cara yang menjelaskan sebagian besar pelanggaran
Persentase pelanggaran data dengan titik masuk yang berhasil diidentifikasi, 2025.
Kredensial yang bocor. Kerentanan yang belum ditambal. Karyawan yang tertipu.
Perhatikan bahwa ketiganya punya satu kesamaan yang tidak menyenangkan: tidak ada produk yang bisa Anda beli untuk menghilangkannya. Tidak ada perangkat lunak yang menjamin tak satu pun kata sandi karyawan pernah bocor. Tidak ada sistem yang menjamin setiap server sudah ditambal. Dan tidak ada pelatihan yang membuat tingkat klik phishing menjadi nol persen.
Karena ketiganya tidak bisa dicegah sepenuhnya, pertanyaannya bergeser. Bukan lagi "bagaimana caranya agar tidak pernah terjadi?" melainkan "kalau salah satunya terjadi hari ini, seberapa jauh kerusakannya bisa menyebar?"
Satu kata sandi yang bocor seharusnya menjadi insiden kecil. Kalau ia berujung pada seluruh basis data pelanggan, yang bermasalah bukan kata sandinya.
Dan pertanyaan itu — seberapa jauh kerusakan bisa menyebar — tidak bisa dijawab dengan dokumen kebijakan, diagram arsitektur, atau daftar perangkat yang sudah dibeli. Ia hanya bisa dijawab dengan mencobanya.
Jadi, apa sebenarnya penetration testing itu?
Penetration testing adalah simulasi serangan siber yang dilakukan secara sah terhadap sistem Anda sendiri, oleh penguji profesional yang Anda bayar, untuk menemukan kelemahan sebelum orang lain menemukannya.
Perbedaan pentingnya dari pemindaian keamanan otomatis: pemindai menghasilkan daftar dugaan, sementara penetration testing menghasilkan bukti. Penguji tidak berhenti pada "ada celah di sini", melainkan melanjutkan sampai bisa mengatakan "lewat celah ini kami memperoleh akses administrator dan bisa mengunduh empat puluh ribu data pelanggan dalam sembilan puluh menit."
Perbedaan itu terdengar kecil, tapi konsekuensinya besar. Sebuah pemindai bisa melaporkan tiga ratus temuan dan meninggalkan Anda dengan pertanyaan mana yang benar-benar berbahaya. Seorang penguji akan melaporkan dua belas temuan, tetapi menunjukkan bahwa tiga di antaranya bisa dirangkai menjadi satu jalur menuju sistem pembayaran Anda.
Yang pertama menghasilkan pekerjaan rumah. Yang kedua menghasilkan prioritas.
Apa saja yang biasanya diuji
Ruang lingkupnya sebaiknya ditentukan oleh apa yang paling berharga bagi bisnis Anda, bukan oleh kebiasaan tahun lalu. Berikut gambaran singkat dari masing-masing jenis.
Menguji jaringan menjawab dua pertanyaan berbeda. Dari luar: bisakah orang asing menembus perimeter Anda? Dari dalam: kalau satu laptop karyawan terinfeksi, seberapa jauh penyerang bisa melangkah sebelum tertahan?
Yang biasanya ditemukan adalah hal-hal yang membosankan tetapi mematikan — layanan lama yang lupa dimatikan, kata sandi bawaan yang tidak pernah diganti, dan pemisahan jaringan yang ternyata hanya ada di diagram, tidak di kenyataan.
Menguji aplikasi web berfokus pada apa yang pelanggan Anda gunakan setiap hari. Bagian paling berharga dari pengujian ini adalah pemeriksaan logika izin akses — area yang hampir selalu luput dari alat otomatis karena membutuhkan pemahaman tentang bagaimana bisnis Anda seharusnya bekerja.
Contoh klasiknya sederhana: apakah pengguna A bisa melihat data pengguna B hanya dengan mengubah satu angka di alamat URL? Mesin tidak tahu bahwa itu salah. Manusia tahu.
Menguji API sering kali paling terabaikan sekaligus paling penting, karena di lapisan inilah data sesungguhnya bergerak. Masalah terbesarnya bukan API yang lemah, melainkan API yang tidak seorang pun ingat masih hidup — versi lama yang sudah digantikan tetapi tidak pernah dimatikan.
Temuan yang paling sering muncul adalah endpoint yang mengembalikan lebih banyak data daripada yang seharusnya, dan pemeriksaan izin yang dilakukan di satu tempat tapi terlewat di tempat lain.
Menguji aplikasi mobile berarti memeriksa dua hal sekaligus: apa yang tersimpan di dalam perangkat pengguna, dan bagaimana aplikasi berbicara dengan server Anda.
Temuan yang paling umum sekaligus paling mudah dihindari adalah kunci akses yang tertanam di dalam kode aplikasi. Siapa pun yang mengunduh aplikasi Anda dari toko aplikasi bisa membongkarnya dan menemukannya — dan itu memang rutin dilakukan.
Menguji lingkungan cloud bukan berarti menguji pusat data penyedia layanan; itu tanggung jawab mereka dan umumnya sudah sangat baik. Yang diuji adalah bagaimana Anda mengonfigurasinya, dan di situlah hampir semua masalah berasal.
Pertanyaan yang paling sering membuka temuan besar: berapa banyak akun layanan di lingkungan Anda yang punya hak akses jauh melebihi kebutuhannya, dan apa yang terjadi kalau salah satunya jatuh ke tangan yang salah?
Menguji lapisan manusia dilakukan lewat simulasi phishing atau upaya menelepon meja bantuan sambil berpura-pura menjadi orang lain. Selalu dengan izin tertulis, dan selalu dengan batas etis yang jelas.
Satu catatan penting soal cara mengukurnya: metrik yang benar bukan berapa banyak karyawan yang tertipu, melainkan berapa banyak yang melaporkannya. Organisasi yang menghukum karyawan karena mengklik akan mendapatkan satu hal — karyawan yang berhenti melapor ketika serangan sungguhan datang.
Empat hal yang sering tertukar
Salah satu penyebab paling umum kekecewaan terhadap program keamanan adalah membeli satu hal sambil mengira mendapat hal lain. Keempat pendekatan berikut sering dianggap bisa saling menggantikan, padahal masing-masing menjawab pertanyaan yang berbeda.
| Pendekatan | Menjawab pertanyaan | Yang Anda dapatkan |
|---|---|---|
| Pemindaian kerentanan | Celah apa saja yang mungkin ada di sistem kami? | Daftar panjang temuan otomatis, sebagian besar tidak relevan, tapi murah dan bisa dijalankan sesering mungkin |
| Penetration testing | Celah mana yang benar-benar bisa dimanfaatkan, dan sampai sejauh mana? | Bukti nyata, jalur serangan yang lengkap, dan prioritas perbaikan yang bisa langsung dikerjakan |
| Red teaming | Apakah tim kami sadar kalau sedang diserang? | Penilaian kemampuan deteksi dan respons, bukan sekadar daftar celah. Butuh tim keamanan yang sudah matang |
| Validasi berkelanjutan | Apakah pertahanan kami masih bekerja hari ini? | Pemantauan efektivitas kontrol secara terus-menerus, pelengkap yang baik untuk pengujian mendalam berkala |
Yang tidak bisa dilakukan penetration testing
Supaya adil, ini juga perlu dikatakan. Penetration testing tidak memberi jaminan keamanan, tidak menggantikan pemantauan harian, dan tidak berlaku selamanya. Hasilnya adalah potret pada satu waktu tertentu dengan ruang lingkup tertentu. Sistem yang bersih di bulan Januari bisa saja rentan di bulan Maret setelah tiga rilis fitur baru.
Jadi ia bukan solusi tunggal. Ia adalah satu bagian yang diperlukan dari program yang lebih besar — bukan bagian yang mencukupi. Siapa pun yang menjualnya sebagai jaminan keamanan sedang melebih-lebihkan.
Kenapa ini bukan lagi urusan tim IT saja
Sebuah kerentanan pada aplikasi web adalah temuan teknis. Berhentinya layanan selama sembilan hari, hilangnya empat belas persen pelanggan korporat, dan tertundanya penutupan pendanaan adalah peristiwa bisnis. Bagian ini tentang bagaimana yang pertama berubah menjadi yang kedua — melalui lima jalur yang berbeda.
Bisnis berhenti berjalan
Ransomware modern tidak sekadar mengunci berkas. Ia menghentikan operasi. Yang berhenti bukan server, melainkan pengiriman barang, penerbitan tagihan, pelayanan pasien, dan penyelesaian transaksi. Setiap jam berhenti adalah pendapatan yang tidak pernah kembali, ditambah pelanggan yang selama itu belajar bahwa pesaing Anda juga bisa melayani mereka.
Pengujian dari sisi dalam secara khusus menjawab skenario ini: seberapa cepat penyerang bisa berpindah dari satu laptop yang terinfeksi menuju sistem yang benar-benar penting. Jawabannya menentukan apakah insiden Anda akan berupa gangguan satu hari, atau krisis satu bulan.
Pelanggan diam-diam pergi
Seperti terlihat pada data biaya tadi, kehilangan bisnis adalah komponen kerugian terbesar. Mekanismenya berlapis dan pelan: sebagian pelanggan pindah, sebagian kontrak tidak diperpanjang tanpa penjelasan, biaya mendapatkan pelanggan baru naik karena nama Anda sekarang muncul bersama kata "kebocoran data" di hasil pencarian.
Berbeda dari denda yang dibayar sekali lalu selesai, erosi kepercayaan bekerja selama beberapa kuartal dan tidak pernah tampil sebagai satu baris yang bisa ditunjuk dalam laporan keuangan.
Regulator berubah dari meminta niat menjadi meminta bukti
Ini pergeseran yang paling sering terlewat. Aturan yang dulu meminta organisasi melakukan "upaya yang wajar" kini meminta bukti terdokumentasi bahwa upaya itu benar-benar dilakukan.
Di Indonesia, Undang-Undang Perlindungan Data Pribadi mengatur sanksi administratif hingga dua persen dari pendapatan tahunan. Di sektor keuangan, ketentuan OJK mewajibkan pengujian keamanan berkala. Bagi siapa pun yang memproses kartu pembayaran, standar PCI DSS menyebut kewajiban pengujian penetrasi secara eksplisit — minimal setahun sekali, dan setiap kali ada perubahan besar.
Konsekuensi praktisnya sederhana: ketika sesuatu terjadi, pertanyaan pertama yang diajukan adalah apa yang Anda lakukan sebelumnya. Laporan pengujian yang terjadwal rapi, lengkap dengan bukti perbaikannya, adalah salah satu jawaban terkuat yang bisa Anda miliki.
Pintu masuk ke pasar korporat
Ini jalur yang paling jarang dibahas, padahal paling mudah dihitung. Kalau perusahaan Anda menjual perangkat lunak atau layanan kepada perusahaan besar atau instansi pemerintah, kemungkinan besar Anda sudah pernah menerima kuesioner keamanan vendor yang panjangnya puluhan halaman. Salah satu pertanyaannya hampir selalu sama: apakah Anda melakukan penetration testing secara berkala, dan bisakah kami melihat ringkasan hasilnya?
Tanpa dokumen itu, siklus penjualan melambat berminggu-minggu. Kadang berhenti sama sekali. Bagi banyak perusahaan, laporan pengujian tahunan pada praktiknya berfungsi sebagai izin untuk bermain di pasar korporat — dan biayanya hampir selalu lebih kecil daripada nilai satu kontrak yang tertunda.
Asuransi, pendanaan, dan valuasi
Perusahaan asuransi siber semakin menuntut bukti pengujian sebelum bersedia menjamin, dan pernyataan yang tidak akurat dalam formulir pengajuan bisa menjadi dasar penolakan klaim di kemudian hari. Dalam proses akuisisi, pemeriksaan keamanan sudah menjadi bagian standar dari uji tuntas, dan temuan yang material bisa menurunkan harga atau memunculkan klausul penahanan dana. Bagi perusahaan rintisan yang sedang menggalang pendanaan, tidak adanya program pengujian sudah cukup untuk memperlambat proses.
Setiap rupiah yang tidak dibelanjakan untuk pengujian bukanlah penghematan. Ia adalah risiko yang dipindahkan ke masa depan, dengan bunga.
Berapa sebenarnya nilainya
Argumen keamanan yang disampaikan dengan bahasa kecemasan jarang memenangkan anggaran. Argumen yang sama, disampaikan dalam angka, biasanya menang. Untungnya risiko siber bisa dihitung dengan cara yang sama persis seperti risiko operasional lainnya.
Logikanya cuma satu baris: kerugian yang bisa diperkirakan setahun = kemungkinan terjadi × besarnya dampak. Program pengujian tidak menghilangkan kemungkinan itu, tapi menurunkannya, sekaligus memperkecil dampak dengan membatasi seberapa jauh kerusakan bisa menyebar. Selisih antara sebelum dan sesudah adalah nilai ekonomi program tersebut.
Silakan sesuaikan asumsinya dengan kondisi Anda. Setiap angka di bawah ini bisa diperdebatkan — dan justru itu gunanya. Alat ini dirancang untuk memindahkan diskusi dari "apakah ini perlu?" menjadi "asumsi mana yang menurut Anda keliru?"
Interaktif
Perkirakan nilai program pengujian Anda
Geser masing-masing parameter untuk melihat bagaimana angkanya berubah.
Termasuk operasi yang berhenti, pemulihan, bantuan hukum, denda, dan pelanggan yang hilang. Pembanding global: USD 4,44 juta; ASEAN sekitar USD 3,23 juta.
Sesuaikan dengan sektor dan seberapa banyak sistem Anda terbuka ke internet. Keuangan, kesehatan, dan sektor publik umumnya di rentang atas.
Perkiraan konservatif ada di kisaran 25–40%. Gunakan angka lebih rendah kalau perbaikan temuan belum berjalan disiplin.
Termasuk pengujian berkala, pengujian ulang setelah perbaikan, dan waktu tim internal untuk mengerjakan perbaikannya.
Setiap Rp 1 yang dibelanjakan menghindari Rp 2,33 kerugian yang diperkirakan.
Perhatikan bentuk angkanya, bukan angkanya sendiri. Bahkan dengan asumsi yang sangat berhati-hati, biaya program pengujian hampir selalu berada satu sampai dua tingkat besaran di bawah dampak satu insiden tunggal. Ini ciri khas investasi yang tidak simetris: biayanya kecil dan pasti, untuk menghindari kerugian yang besar dan belum tentu terjadi.
Argumen yang sama berlaku untuk pemadam kebakaran di gedung kantor. Tidak ada yang menghitung tingkat pengembaliannya, karena semua orang paham bentuk risikonya.
Di Indonesia, taruhannya sedang naik
Indonesia termasuk pasar digital dengan pertumbuhan tercepat di dunia. Ratusan juta pengguna internet, ekosistem pembayaran digital yang sangat hidup, dan adopsi layanan daring yang merata sampai ke kota kecil. Skala itu membawa dua hal sekaligus: peluang yang besar, dan permukaan yang sama besarnya untuk diserang.
Pada Juni 2024, serangan ransomware terhadap Pusat Data Nasional Sementara mengganggu layanan yang menaungi ratusan instansi pemerintah, termasuk sistem keimigrasian di bandara. Pelaku dilaporkan menuntut tebusan sekitar delapan juta dolar.
Yang paling banyak disorot dalam evaluasi setelahnya bukanlah kecanggihan serangannya. Justru sebaliknya — yang disorot adalah betapa mendasarnya hal yang tidak siap, terutama keterbatasan cadangan data yang benar-benar bisa dipulihkan.
Pelajarannya berlaku jauh melampaui sektor publik. Asumsi tentang ketahanan yang tidak pernah diuji cenderung keliru justru pada saat paling dibutuhkan. Latihan pemulihan dan pengujian dari sisi dalam adalah cara menemukan kekeliruan itu ketika taruhannya masih rendah — bukan saat semua orang sedang panik.
Apa saja yang sudah mewajibkan
Bagi organisasi yang beroperasi di Indonesia, tuntutan pengujian datang dari beberapa arah sekaligus, dan sebagian besar sudah berlaku hari ini.
| Aturan atau standar | Apa yang dituntut | Kalau tidak dipenuhi |
|---|---|---|
| UU No. 27/2022 tentang Perlindungan Data Pribadi | Langkah teknis untuk melindungi data pribadi; pengujian keamanan menjadi bukti bahwa langkah itu nyata | Sanksi administratif hingga 2% pendapatan tahunan, dan potensi pidana untuk pelanggaran tertentu |
| Ketentuan OJK untuk sektor jasa keuangan | Pengujian keamanan sistem elektronik secara berkala dan manajemen risiko teknologi informasi | Sanksi administratif, temuan audit, hingga pembatasan kegiatan usaha |
| PCI DSS v4.0.1 | Pengujian penetrasi eksternal dan internal minimal setahun sekali dan setelah perubahan besar | Denda dari jaringan kartu, hingga hilangnya hak memproses pembayaran |
| ISO/IEC 27001:2022 | Manajemen kerentanan teknis dan pengujian keamanan dalam proses pengembangan | Temuan ketidaksesuaian, risiko sertifikat dicabut |
| Kuesioner keamanan pelanggan korporat | Ringkasan hasil pengujian terkini sebagai syarat sebelum kontrak ditandatangani | Kesepakatan tertunda berminggu-minggu, atau batal sama sekali |
Ada satu pola yang menyatukan seluruh baris di tabel itu: pergeseran dari kewajiban punya kontrol menjadi kewajiban membuktikan kontrol itu bekerja. Dokumen kebijakan dan diagram arsitektur tidak lagi cukup. Yang diminta adalah jejak pengujian — ruang lingkupnya apa, temuannya apa, sudah diperbaiki atau belum, dan siapa yang memverifikasi.
Cara memulainya tanpa kewalahan
Kesalahan paling umum dalam menjalankan ini adalah memperlakukannya sebagai acara tahunan. Sebuah pengujian dipesan, laporan diterima, dokumen diarsipkan, dan setahun kemudian prosesnya diulang dari nol. Organisasi yang mendapat manfaat nyata melakukannya secara berbeda: mereka menjalankannya sebagai siklus yang berputar — menemukan, memperbaiki, lalu memverifikasi bahwa perbaikannya benar-benar bekerja.
Sebelum masuk ke urutan langkahnya, ada baiknya tahu posisi Anda sekarang.
Interaktif
Di mana posisi organisasi Anda?
Delapan pertanyaan, kurang dari dua menit. Tidak ada data yang dikirim ke mana pun.
Setiap pertanyaan mewakili satu kebiasaan yang secara konsisten membedakan program yang benar-benar menurunkan risiko dari program yang hanya memenuhi formalitas.
Skor rendah biasanya bukan soal anggaran, melainkan soal kemampuan tim yang belum terbentuk.
Lihat jalur pelatihannya→Tiga bulan pertama
Mulailah dengan mengetahui apa yang Anda miliki. Terdengar sepele, tapi hampir setiap pengujian pertama menemukan sesuatu yang tidak ada dalam daftar aset siapa pun — subdomain lama, server uji coba yang lupa dimatikan, atau panel admin yang seharusnya tidak pernah terbuka ke internet. Anda tidak bisa melindungi apa yang tidak Anda ketahui keberadaannya.
Setelah itu, petakan sistem mana yang kalau berhenti selama satu hari akan langsung menghentikan pendapatan atau melanggar kewajiban regulasi. Daftar pendek itulah yang menentukan prioritas pengujian pertama Anda. Lalu jalankan satu pengujian dari luar, karena di situlah eksposur terbesar dan hasilnya paling cepat terlihat.
Satu hal yang harus disiapkan sejak hari pertama, sebelum laporan apa pun datang: setiap temuan harus punya nama penanggung jawab dan tanggal jatuh tempo. Tanpa itu, laporan pengujian hanya akan menjadi dokumen yang rapi dan tidak berguna.
Enam bulan berikutnya
Perluas ke aplikasi dan API yang menangani data pribadi atau uang. Tambahkan pengujian dari sisi dalam untuk melihat seberapa jauh penyerang bisa bergerak setelah berhasil masuk. Jalankan simulasi phishing pertama — dan ingat, ukur tingkat pelaporannya, bukan tingkat kliknya.
Yang paling penting di fase ini adalah pengujian ulang. Sebuah temuan belum selesai ketika tiketnya ditutup; ia selesai ketika ada yang memverifikasi bahwa celahnya benar-benar tertutup. Banyak organisasi melewatkan langkah ini, lalu terkejut menemukan temuan yang sama muncul lagi tahun berikutnya.
Menuju berjalan sendiri
Setelah siklusnya stabil, integrasikan pengujian ke dalam proses rilis sehingga perubahan besar otomatis memicu pemeriksaan, bukan menunggu kalender. Tetapkan tenggat perbaikan berdasarkan tingkat risiko — misalnya kritis tujuh hari, tinggi tiga puluh hari, sedang sembilan puluh hari. Lalu perluas ke rantai pasok: mintalah bukti pengujian dari vendor yang paling kritis bagi Anda, dengan standar yang sama seperti yang diminta pelanggan Anda kepada Anda.
Memilih penyedia jasa
Kualitas penetration testing sangat bervariasi, dan perbedaannya sulit dinilai kalau Anda bukan orang teknis. Enam pertanyaan berikut cukup efektif memisahkan pengujian sungguhan dari pemindaian otomatis yang dikemas ulang.
- Berapa persen temuan yang berasal dari pengujian manual? Kalau jawabannya di bawah setengah, Anda kemungkinan membeli hasil pemindai dengan sampul yang lebih rapi.
- Boleh lihat contoh laporan yang sudah disamarkan? Laporan yang baik menceritakan jalur serangan dan menjelaskan dampaknya bagi bisnis, bukan sekadar mendaftar kode kerentanan dan skornya.
- Apakah pengujian ulang sudah termasuk? Kalau ditagih terpisah dengan harga penuh, insentifnya tidak sejalan dengan kepentingan Anda.
- Siapa yang akan menguji, dan apa pengalamannya? Sertifikasi seperti OSCP atau CREST adalah indikator awal yang wajar, tapi pengalaman di sektor Anda lebih menentukan.
- Apa yang terjadi kalau menemukan sesuatu yang kritis di tengah pengujian? Harus ada jalur untuk memberi tahu Anda saat itu juga, bukan menunggu laporan tiga minggu kemudian.
- Apa yang tidak akan Anda uji? Penyedia yang kredibel akan menyebutkan batasannya dengan jelas. Yang menjanjikan segalanya biasanya tidak memeriksa apa pun secara mendalam.
Apa yang layak dilaporkan ke atas
Jumlah kerentanan yang ditemukan adalah angka yang menyesatkan. Ia bisa naik justru karena pengujian Anda membaik, dan turun karena ruang lingkupnya dipersempit. Melaporkannya ke direksi menciptakan kesan bahwa banyak temuan berarti kegagalan — yang pada gilirannya mendorong orang untuk mencari lebih sedikit.
Yang benar-benar ingin diketahui pimpinan sebenarnya cuma satu hal: apakah kita menjadi lebih sulit diserang dibanding tahun lalu? Enam angka berikut menjawabnya.
| Yang diukur | Kenapa penting | Arah yang diinginkan |
|---|---|---|
| Waktu menutup temuan kritis | Seberapa cepat organisasi bereaksi terhadap hal yang paling berbahaya | Turun, idealnya di bawah 7 hari |
| Cakupan aset kritis yang diuji | Apakah masih ada sistem penting yang belum pernah diperiksa sama sekali | Menuju 100% |
| Temuan yang muncul kembali | Menunjukkan perbaikan hanya menutup gejala, bukan akar masalahnya | Turun, di bawah 10% |
| Waktu penguji mencapai aset penting | Ukuran paling jujur apakah pertahanan berlapis Anda benar-benar berlapis | Naik setiap siklus |
| Seberapa banyak aktivitas penguji terdeteksi | Menguji kemampuan melihat, bukan hanya kemampuan mencegah | Naik setiap siklus |
| Tingkat pelaporan simulasi phishing | Karyawan yang melapor jauh lebih berharga daripada karyawan yang tidak mengklik | Naik, di atas 60% |
Kesalahan yang paling sering terjadi
Setelah semua yang dibahas di atas, ada baiknya menutup dengan hal-hal yang membuat program pengujian gagal memberi manfaat meski anggarannya sudah keluar.
Menguji untuk mencentang kotak. Ruang lingkup sengaja dipersempit supaya laporannya terlihat bersih. Hasilnya adalah dokumen yang lolos audit, dan organisasi yang tetap rentan. Ini bentuk pemborosan yang paling halus, karena terlihat seperti kepatuhan.
Laporan yang tidak ditindaklanjuti. Seluruh nilai pengujian ada pada perbaikannya, bukan pada penemuannya. Temuan tanpa penanggung jawab dan tenggat waktu akan tetap terbuka setahun kemudian, dan biasanya ditemukan lagi oleh penguji berikutnya.
Menguji setahun sekali sambil merilis setiap minggu. Kalau sistem Anda berubah jauh lebih cepat daripada jadwal pengujiannya, hasil pengujian sudah usang sebelum laporannya selesai dibaca. Frekuensinya harus mengikuti laju perubahan sistem, bukan tahun anggaran.
Memilih semata berdasarkan harga termurah. Selisih biaya antara pengujian yang sungguh-sungguh dan pemindaian yang dikemas ulang biasanya jauh lebih kecil daripada selisih risiko yang ditinggalkan keduanya.
Menghukum tim yang temuannya banyak. Kalau banyak temuan berujung pada teguran, orang akan belajar untuk mencari lebih sedikit. Insentifnya berubah dari memperbaiki masalah menjadi menyembunyikannya — dan itu jauh lebih mahal.
Berhenti di batas organisasi sendiri. Dengan tiga puluh persen pelanggaran melibatkan pihak ketiga, ruang lingkup yang berhenti di pagar kantor Anda sudah tidak memadai. Postur keamanan Anda kini mencakup vendor Anda, apakah Anda suka atau tidak.
Kembali ke pintu yang terbuka
Mari kembali ke gedung di awal tulisan ini.
Yang membuat cerita itu meresahkan bukanlah adanya pintu yang bisa dibuka. Setiap gedung punya kelemahan; itu wajar. Yang meresahkan adalah tidak ada seorang pun yang tahu pintu itu ada, sampai seseorang dari luar menemukannya lebih dulu.
Penetration testing pada dasarnya cuma satu hal: membayar seseorang untuk menemukan pintu itu sebelum orang lain menemukannya, lalu memberi tahu Anda. Ia tidak membuat gedung Anda kebal. Ia hanya memastikan bahwa daftar kelemahan Anda ditulis oleh pihak yang bekerja untuk Anda, bukan oleh pihak yang menyimpannya sampai terlambat.
Kalau organisasi Anda belum pernah melakukannya sama sekali, langkah pertamanya tidak perlu besar. Satu pengujian terhadap sistem yang terbuka ke internet, dengan komitmen untuk memperbaiki setiap temuan serius dalam tiga puluh hari, akan memberi Anda gambaran yang jauh lebih akurat tentang posisi keamanan Anda dibanding bertahun-tahun rapat kebijakan.
Sistem Anda akan diuji, cepat atau lambat. Satu-satunya yang masih bisa Anda pilih adalah siapa yang melakukannya, dan apakah mereka akan memberi tahu hasilnya.
Langkah berikutnya
Bangun kemampuannya di dalam tim Anda
Program pengujian yang benar-benar berjalan membutuhkan orang yang paham cara kerja penyerang — bukan hanya laporan tahunan dari pihak luar. Expert Track Workshop dari Inixindo Jogja menyusun pembelajaran keamanan siber sebagai jalur bertahap, dengan porsi praktik yang besar.
Lihat Expert Track Workshop→Silakan periksa jadwal, silabus, dan jalur kelas terkini di halaman program.
Pertanyaan yang sering muncul
Apa itu penetration testing?
Penetration testing adalah simulasi serangan siber terhadap sistem, jaringan, atau aplikasi milik sendiri, dilakukan oleh penguji profesional dengan izin tertulis. Tujuannya membuktikan kelemahan mana yang benar-benar bisa dimanfaatkan penyerang dan seberapa besar dampaknya bagi bisnis, bukan sekadar mendaftar potensi celah.
Apa bedanya dengan vulnerability assessment?
Vulnerability assessment adalah pemindaian otomatis yang menghasilkan daftar dugaan kerentanan, dengan cukup banyak temuan yang sebenarnya tidak relevan. Penetration testing melangkah lebih jauh: penguji manusia mencoba benar-benar memanfaatkan celah itu, merangkainya menjadi jalur serangan, dan membuktikan dampaknya. Keduanya saling melengkapi — pemindaian untuk cakupan luas dan rutin, pengujian penetrasi untuk kedalaman dan bukti.
Seberapa sering sebaiknya dilakukan?
Standar minimum yang berlaku luas adalah setahun sekali dan setiap kali ada perubahan besar pada sistem, yang juga merupakan persyaratan eksplisit PCI DSS. Namun idealnya frekuensi mengikuti laju perubahan sistem Anda. Organisasi yang merilis perubahan setiap minggu sebaiknya memadukan pengujian mendalam tahunan dengan pemeriksaan yang menyatu dalam proses rilis.
Berapa biayanya?
Sangat bervariasi tergantung ruang lingkup dan kedalaman pengujian, dari satu aplikasi web saja hingga seluruh infrastruktur. Pembanding yang lebih berguna daripada harga absolut adalah proporsinya: biaya program tahunan umumnya jauh di bawah dampak satu insiden tunggal, yang secara global rata-rata mencapai USD 4,44 juta menurut IBM pada 2025. Mintalah beberapa penawaran dengan ruang lingkup yang benar-benar identik agar bisa dibandingkan secara adil.
Apakah perusahaan kecil juga perlu?
Perlu, terutama kalau memproses data pribadi atau pembayaran. Penyerang modern memindai secara otomatis dan memilih target berdasarkan kemudahan, bukan ukuran perusahaan. Perusahaan kecil juga biasanya punya cadangan modal lebih tipis untuk bertahan dari gangguan operasional. Yang perlu disesuaikan adalah skala pengujiannya, bukan ada atau tidaknya.
Apakah legal dilakukan di Indonesia?
Legal, selama ada izin tertulis yang jelas dari pemilik sistem, mencakup ruang lingkup, jangka waktu, dan batasan aktivitas. Tanpa izin tersebut, aktivitas yang persis sama bisa masuk kategori akses ilegal terhadap sistem elektronik. Pastikan kontrak memuat surat izin pengujian, klausul kerahasiaan, dan aturan penanganan data yang ditemukan selama pengujian.
Apakah akan mengganggu sistem yang sedang berjalan?
Pengujian yang direncanakan baik dirancang untuk meminimalkan gangguan, melalui jendela waktu yang disepakati, batasan pada aktivitas berisiko tinggi, dan jalur komunikasi darurat. Sebagian organisasi memilih menguji di lingkungan yang meniru produksi. Yang perlu diingat, risiko gangguan terkendali selama beberapa jam jauh lebih kecil daripada gangguan tak terkendali berhari-hari akibat serangan sungguhan.
Apa yang harus dilakukan setelah menerima laporannya?
Tetapkan penanggung jawab dan tenggat untuk setiap temuan sesuai tingkat risikonya — umumnya kritis tujuh hari, tinggi tiga puluh hari, sedang sembilan puluh hari. Perbaiki akar masalahnya, bukan hanya gejalanya, karena satu pola kesalahan biasanya berulang di banyak tempat. Lalu lakukan pengujian ulang untuk memastikan perbaikannya benar-benar bekerja. Laporan tanpa perbaikan yang terverifikasi tidak menurunkan risiko sama sekali.
Apakah ini menjamin sistem menjadi aman?
Tidak. Penetration testing menghasilkan potret keamanan pada satu titik waktu dengan ruang lingkup tertentu. Sistem yang bersih hari ini bisa menjadi rentan setelah perubahan konfigurasi atau rilis fitur baru. Karena itu ia perlu dipadukan dengan manajemen kerentanan berkelanjutan, pemantauan, dan rencana respons insiden. Ia bagian yang diperlukan, bukan yang mencukupi.
Catatan sumber
Semua angka dalam tulisan ini berasal dari laporan yang terbit tahunan, sehingga nilainya berubah setiap edisi. Sebelum mengutipnya untuk presentasi, publikasi, atau pengambilan keputusan formal, periksa langsung ke dokumen aslinya. Ringkasan regulasi bersifat orientasi dan bukan nasihat hukum.
- IBM Security & Ponemon Institute — Cost of a Data Breach Report, edisi 2019 hingga 2025. Sumber angka biaya pelanggaran data, waktu deteksi, dan komposisi biaya.
- Verizon — Data Breach Investigations Report 2025. Sumber data titik masuk serangan, keterlibatan pihak ketiga, prevalensi ransomware, dan waktu perbaikan kerentanan.
- Mandiant / Google Cloud — analisis time-to-exploit dan laporan M-Trends. Sumber tren waktu hingga eksploitasi.
- Republik Indonesia — Undang-Undang No. 27 Tahun 2022 tentang Perlindungan Data Pribadi.
- Otoritas Jasa Keuangan — ketentuan penyelenggaraan teknologi informasi dan manajemen risiko bagi lembaga jasa keuangan.
- PCI Security Standards Council — PCI DSS v4.0.1, Persyaratan 11.4 tentang pengujian penetrasi.
- ISO/IEC — Standar 27001:2022, kendali A.8.8 dan A.8.29.
- NIST — SP 800-115 dan Cybersecurity Framework 2.0.
- OWASP Foundation — Web Security Testing Guide, Mobile Application Security Testing Guide, dan API Security Top 10.
- Laporan media dan evaluasi publik atas insiden Pusat Data Nasional Sementara, Juni 2024.
