Pintu yang Terbuka Selama 27 Hari: Mengapa Penetration Testing Kini Urusan Direksi

Waktu penyerang menemukan dan mengeksploitasi kerentanan baru5 hari

Waktu organisasi menuntaskan perbaikannya32 hari

Hari 010203040

27 hari Rentang ketika kerentanan sudah bisa dipakai menyerang, tetapi sistem Anda kemungkinan besar masih terbuka.

Bayangkan sebuah gedung kantor. Seseorang menemukan bahwa kunci pintu belakang bisa dibuka dengan trik tertentu, lalu mengumumkannya di forum publik. Dalam lima hari, informasi itu sudah beredar dan ada yang mulai mencobanya. Petugas keamanan gedung baru mengganti kunci itu sebulan kemudian.

Tidak ada yang benar-benar salah dalam prosedur gedung tersebut. Pengadaan kunci baru butuh waktu, ada persetujuan anggaran, ada jadwal teknisi. Semuanya berjalan sesuai aturan. Masalahnya hanya satu: selama 27 hari, pintu itu terbuka bagi siapa pun yang tahu triknya — dan tidak ada satu pun sistem yang memberi tahu bahwa hal itu sedang terjadi.

Inilah situasi yang dihadapi hampir setiap organisasi digital hari ini, hanya saja tidak dengan satu pintu, melainkan dengan ratusan. Dan tidak sekali setahun, melainkan setiap kali ada kerentanan baru dipublikasikan.

Artikel ini membahas satu praktik yang secara khusus dirancang untuk menemukan pintu-pintu itu lebih dulu: penetration testing. Tapi fokusnya bukan pada sisi teknisnya. Fokusnya pada pertanyaan yang jauh lebih jarang ditanyakan — mengapa hal yang terdengar seperti urusan tim IT ini justru menentukan apakah bisnis Anda masih berjalan enam bulan dari sekarang.

Teknologi selalu lebih cepat daripada pengamanannya

Ada pola yang berulang selama tiga dekade terakhir, dan pola itu menjelaskan hampir semua hal tentang keamanan siber modern: setiap teknologi diadopsi lebih dulu, baru kemudian dipikirkan cara mengamankannya.

Perusahaan pindah ke internet, lalu muncul serangan terhadap aplikasi web. Perusahaan pindah ke cloud, lalu muncul kasus penyimpanan data yang tidak sengaja terbuka untuk publik. Tim pengembang memecah aplikasi menjadi puluhan layanan kecil yang saling bicara lewat API, lalu muncul API yang tak seorang pun ingat pernah dibuat. Pandemi memaksa semua orang bekerja dari rumah, lalu perangkat VPN dan akses jarak jauh menjadi pintu masuk favorit penyerang. Dan sekarang, ketika organisasi mulai menempelkan agen kecerdasan buatan ke dalam sistem produksi, muncul kelas risiko yang bahkan belum punya nama baku.

Jeda antara "kami sudah memakai ini" dan "kami sudah tahu cara mengamankannya" bukanlah kelalaian. Ia adalah konsekuensi wajar dari bergerak cepat. Tapi jeda itu punya biaya, dan biayanya kini bisa dihitung.

Yang berubah adalah kecepatannya

Dulu, jeda tersebut relatif aman. Ketika sebuah kerentanan diumumkan, tim keamanan punya waktu berminggu-minggu sebelum ada yang benar-benar mencoba memanfaatkannya. Menambal setiap kuartal terasa masuk akal.

Itu tidak lagi berlaku.

Waktu hingga eksploitasi

Dari 63 hari menjadi 5 hari dalam lima tahun

Median jarak waktu antara sebuah kerentanan diumumkan dan percobaan eksploitasi pertama yang teramati.

Angka lima hari itu baru bermakna ketika ditempelkan pada realitas di sisi sebaliknya. Verizon menemukan bahwa untuk kerentanan pada perangkat tepi dan VPN — justru kategori yang paling sering dieksploitasi — organisasi butuh waktu median 32 hari untuk benar-benar menuntaskan perbaikan. Dan hanya sekitar separuh yang tuntas sepanjang tahun.

Selisihnya itulah yang saya sebut di awal sebagai pintu yang terbuka. Bukan karena tidak ada yang peduli, tapi karena menemukan pintu mana yang terbuka, di antara ratusan sistem, ternyata jauh lebih sulit daripada yang terlihat dari luar.

Di sisi lain, pekerjaan penyerang justru semakin mudah. Ransomware kini beroperasi seperti bisnis berlangganan, lengkap dengan afiliasi dan pembagian hasil. Verizon mencatat ransomware muncul pada 44% pelanggaran data yang mereka analisis. Begitu sebuah kerentanan diumumkan, perkakas otomatis memindai seluruh internet untuk mencari sistem yang belum ditambal — dalam hitungan menit, bukan hari.

Tidak ada yang secara khusus menargetkan Anda. Itu justru masalahnya. Mereka menargetkan semua orang sekaligus, dan Anda kebetulan termasuk yang belum sempat menutup pintu.

Ongkos yang sebenarnya, dan siapa yang membayarnya

Setiap tahun, IBM bersama Ponemon Institute menghitung berapa biaya rata-rata sebuah pelanggaran data. Studi ini sudah berjalan lebih dari dua dekade dan menjadi rujukan yang paling banyak dikutip industri. Edisi 2025 mencatat angka USD 4,44 juta per insiden secara global.

Menariknya, itu adalah penurunan pertama dalam lima tahun. Tapi penurunan itu menyembunyikan dua hal. Pertama, di Amerika Serikat biayanya justru mencetak rekor baru, USD 10,22 juta. Kedua, penurunannya terjadi bukan karena serangan berkurang, melainkan karena organisasi menjadi sedikit lebih cepat menyadari bahwa mereka sedang diserang.

Biaya per insiden

Rata-rata global biaya satu pelanggaran data

Dalam juta dolar AS, seluruh industri dan wilayah, 2019–2025.

Angka rata-rata memang selalu punya keterbatasan. Sebuah startup dengan lima puluh karyawan jelas tidak akan mengalami kerugian empat juta dolar. Tapi yang lebih berguna dari angka absolutnya adalah komposisinya — dan di sinilah kebanyakan orang keliru menebak.

Ketika membayangkan biaya pelanggaran data, kebanyakan orang membayangkan biaya teknis: server yang harus dibangun ulang, konsultan forensik, sistem yang harus dipulihkan. Padahal itu bukan bagian terbesarnya.

Ke mana uangnya pergi

Sebagian besar kerugian terjadi di luar ruang server

Komponen biaya rata-rata per insiden, dalam juta dolar AS.

Dua komponen terbesar adalah deteksi dan investigasi serta kehilangan bisnis. Yang pertama adalah jam kerja: forensik, penasihat hukum, tim krisis, rapat yang tidak berujung. Yang kedua adalah pelanggan yang diam-diam pindah, kontrak yang tidak diperpanjang, dan calon pelanggan yang mendadak minta waktu untuk "mempertimbangkan kembali".

Perbedaannya penting. Biaya teknis muncul sekali dan selesai. Kehilangan kepercayaan bekerja perlahan selama beberapa kuartal, tidak pernah muncul sebagai satu baris dalam laporan keuangan, dan justru karena itu paling sering diremehkan saat menyusun anggaran.

Bagaimana sebenarnya mereka masuk

Kalau angka biaya menjelaskan mengapa ini penting, maka pertanyaan berikutnya adalah di mana sebaiknya perhatian diarahkan. Untungnya, ini termasuk hal yang sudah cukup terang datanya.

Setiap tahun Verizon menganalisis puluhan ribu insiden nyata dan memetakan dari mana penyerang pertama kali masuk. Hasilnya konsisten dan, jujur saja, agak membosankan — dalam artian yang baik. Tidak ada teknik eksotis. Hanya tiga cara yang sama, berulang-ulang.

Titik masuk

Tiga cara yang menjelaskan sebagian besar pelanggaran

Persentase pelanggaran data dengan titik masuk yang berhasil diidentifikasi, 2025.

Kredensial yang bocor. Kerentanan yang belum ditambal. Karyawan yang tertipu.

Perhatikan bahwa ketiganya punya satu kesamaan yang tidak menyenangkan: tidak ada produk yang bisa Anda beli untuk menghilangkannya. Tidak ada perangkat lunak yang menjamin tak satu pun kata sandi karyawan pernah bocor. Tidak ada sistem yang menjamin setiap server sudah ditambal. Dan tidak ada pelatihan yang membuat tingkat klik phishing menjadi nol persen.

Karena ketiganya tidak bisa dicegah sepenuhnya, pertanyaannya bergeser. Bukan lagi "bagaimana caranya agar tidak pernah terjadi?" melainkan "kalau salah satunya terjadi hari ini, seberapa jauh kerusakannya bisa menyebar?"

Dan pertanyaan itu — seberapa jauh kerusakan bisa menyebar — tidak bisa dijawab dengan dokumen kebijakan, diagram arsitektur, atau daftar perangkat yang sudah dibeli. Ia hanya bisa dijawab dengan mencobanya.

Jadi, apa sebenarnya penetration testing itu?

Perbedaan itu terdengar kecil, tapi konsekuensinya besar. Sebuah pemindai bisa melaporkan tiga ratus temuan dan meninggalkan Anda dengan pertanyaan mana yang benar-benar berbahaya. Seorang penguji akan melaporkan dua belas temuan, tetapi menunjukkan bahwa tiga di antaranya bisa dirangkai menjadi satu jalur menuju sistem pembayaran Anda.

Yang pertama menghasilkan pekerjaan rumah. Yang kedua menghasilkan prioritas.

Apa saja yang biasanya diuji

Ruang lingkupnya sebaiknya ditentukan oleh apa yang paling berharga bagi bisnis Anda, bukan oleh kebiasaan tahun lalu. Berikut gambaran singkat dari masing-masing jenis.

Empat hal yang sering tertukar

Salah satu penyebab paling umum kekecewaan terhadap program keamanan adalah membeli satu hal sambil mengira mendapat hal lain. Keempat pendekatan berikut sering dianggap bisa saling menggantikan, padahal masing-masing menjawab pertanyaan yang berbeda.

Pendekatan	Menjawab pertanyaan	Yang Anda dapatkan
Pemindaian kerentanan	Celah apa saja yang mungkin ada di sistem kami?	Daftar panjang temuan otomatis, sebagian besar tidak relevan, tapi murah dan bisa dijalankan sesering mungkin
Penetration testing	Celah mana yang benar-benar bisa dimanfaatkan, dan sampai sejauh mana?	Bukti nyata, jalur serangan yang lengkap, dan prioritas perbaikan yang bisa langsung dikerjakan
Red teaming	Apakah tim kami sadar kalau sedang diserang?	Penilaian kemampuan deteksi dan respons, bukan sekadar daftar celah. Butuh tim keamanan yang sudah matang
Validasi berkelanjutan	Apakah pertahanan kami masih bekerja hari ini?	Pemantauan efektivitas kontrol secara terus-menerus, pelengkap yang baik untuk pengujian mendalam berkala

Kenapa ini bukan lagi urusan tim IT saja

Sebuah kerentanan pada aplikasi web adalah temuan teknis. Berhentinya layanan selama sembilan hari, hilangnya empat belas persen pelanggan korporat, dan tertundanya penutupan pendanaan adalah peristiwa bisnis. Bagian ini tentang bagaimana yang pertama berubah menjadi yang kedua — melalui lima jalur yang berbeda.

Bisnis berhenti berjalan

Ransomware modern tidak sekadar mengunci berkas. Ia menghentikan operasi. Yang berhenti bukan server, melainkan pengiriman barang, penerbitan tagihan, pelayanan pasien, dan penyelesaian transaksi. Setiap jam berhenti adalah pendapatan yang tidak pernah kembali, ditambah pelanggan yang selama itu belajar bahwa pesaing Anda juga bisa melayani mereka.

Pengujian dari sisi dalam secara khusus menjawab skenario ini: seberapa cepat penyerang bisa berpindah dari satu laptop yang terinfeksi menuju sistem yang benar-benar penting. Jawabannya menentukan apakah insiden Anda akan berupa gangguan satu hari, atau krisis satu bulan.

Pelanggan diam-diam pergi

Seperti terlihat pada data biaya tadi, kehilangan bisnis adalah komponen kerugian terbesar. Mekanismenya berlapis dan pelan: sebagian pelanggan pindah, sebagian kontrak tidak diperpanjang tanpa penjelasan, biaya mendapatkan pelanggan baru naik karena nama Anda sekarang muncul bersama kata "kebocoran data" di hasil pencarian.

Berbeda dari denda yang dibayar sekali lalu selesai, erosi kepercayaan bekerja selama beberapa kuartal dan tidak pernah tampil sebagai satu baris yang bisa ditunjuk dalam laporan keuangan.

Regulator berubah dari meminta niat menjadi meminta bukti

Ini pergeseran yang paling sering terlewat. Aturan yang dulu meminta organisasi melakukan "upaya yang wajar" kini meminta bukti terdokumentasi bahwa upaya itu benar-benar dilakukan.

Di Indonesia, Undang-Undang Perlindungan Data Pribadi mengatur sanksi administratif hingga dua persen dari pendapatan tahunan. Di sektor keuangan, ketentuan OJK mewajibkan pengujian keamanan berkala. Bagi siapa pun yang memproses kartu pembayaran, standar PCI DSS menyebut kewajiban pengujian penetrasi secara eksplisit — minimal setahun sekali, dan setiap kali ada perubahan besar.

Konsekuensi praktisnya sederhana: ketika sesuatu terjadi, pertanyaan pertama yang diajukan adalah apa yang Anda lakukan sebelumnya. Laporan pengujian yang terjadwal rapi, lengkap dengan bukti perbaikannya, adalah salah satu jawaban terkuat yang bisa Anda miliki.

Pintu masuk ke pasar korporat

Ini jalur yang paling jarang dibahas, padahal paling mudah dihitung. Kalau perusahaan Anda menjual perangkat lunak atau layanan kepada perusahaan besar atau instansi pemerintah, kemungkinan besar Anda sudah pernah menerima kuesioner keamanan vendor yang panjangnya puluhan halaman. Salah satu pertanyaannya hampir selalu sama: apakah Anda melakukan penetration testing secara berkala, dan bisakah kami melihat ringkasan hasilnya?

Tanpa dokumen itu, siklus penjualan melambat berminggu-minggu. Kadang berhenti sama sekali. Bagi banyak perusahaan, laporan pengujian tahunan pada praktiknya berfungsi sebagai izin untuk bermain di pasar korporat — dan biayanya hampir selalu lebih kecil daripada nilai satu kontrak yang tertunda.

Asuransi, pendanaan, dan valuasi

Perusahaan asuransi siber semakin menuntut bukti pengujian sebelum bersedia menjamin, dan pernyataan yang tidak akurat dalam formulir pengajuan bisa menjadi dasar penolakan klaim di kemudian hari. Dalam proses akuisisi, pemeriksaan keamanan sudah menjadi bagian standar dari uji tuntas, dan temuan yang material bisa menurunkan harga atau memunculkan klausul penahanan dana. Bagi perusahaan rintisan yang sedang menggalang pendanaan, tidak adanya program pengujian sudah cukup untuk memperlambat proses.

Berapa sebenarnya nilainya

Argumen keamanan yang disampaikan dengan bahasa kecemasan jarang memenangkan anggaran. Argumen yang sama, disampaikan dalam angka, biasanya menang. Untungnya risiko siber bisa dihitung dengan cara yang sama persis seperti risiko operasional lainnya.

Logikanya cuma satu baris: kerugian yang bisa diperkirakan setahun = kemungkinan terjadi × besarnya dampak. Program pengujian tidak menghilangkan kemungkinan itu, tapi menurunkannya, sekaligus memperkecil dampak dengan membatasi seberapa jauh kerusakan bisa menyebar. Selisih antara sebelum dan sesudah adalah nilai ekonomi program tersebut.

Silakan sesuaikan asumsinya dengan kondisi Anda. Setiap angka di bawah ini bisa diperdebatkan — dan justru itu gunanya. Alat ini dirancang untuk memindahkan diskusi dari "apakah ini perlu?" menjadi "asumsi mana yang menurut Anda keliru?"

Interaktif

Perkirakan nilai program pengujian Anda

Geser masing-masing parameter untuk melihat bagaimana angkanya berubah.

Perkiraan dampak satu insiden besar

Rp 25 miliar

Termasuk operasi yang berhenti, pemulihan, bantuan hukum, denda, dan pelanggan yang hilang. Pembanding global: USD 4,44 juta; ASEAN sekitar USD 3,23 juta.

Kemungkinan terjadi dalam 12 bulan

12%

Sesuaikan dengan sektor dan seberapa banyak sistem Anda terbuka ke internet. Keuangan, kesehatan, dan sektor publik umumnya di rentang atas.

Penurunan risiko dari program pengujian

35%

Perkiraan konservatif ada di kisaran 25–40%. Gunakan angka lebih rendah kalau perbaikan temuan belum berjalan disiplin.

Biaya program per tahun

Rp 450 juta

Termasuk pengujian berkala, pengujian ulang setelah perbaikan, dan waktu tim internal untuk mengerjakan perbaikannya.

Perkiraan kerugian tanpa program

Rp 3,00 miliar

Perkiraan kerugian dengan program

Rp 1,95 miliar

Kerugian yang dihindari per tahun

Rp 1,05 miliar

Selisih bersih setelah biaya

Rp 600 juta

Setiap Rp 1 yang dibelanjakan menghindari Rp 2,33 kerugian yang diperkirakan.

Perhatikan bentuk angkanya, bukan angkanya sendiri. Bahkan dengan asumsi yang sangat berhati-hati, biaya program pengujian hampir selalu berada satu sampai dua tingkat besaran di bawah dampak satu insiden tunggal. Ini ciri khas investasi yang tidak simetris: biayanya kecil dan pasti, untuk menghindari kerugian yang besar dan belum tentu terjadi.

Argumen yang sama berlaku untuk pemadam kebakaran di gedung kantor. Tidak ada yang menghitung tingkat pengembaliannya, karena semua orang paham bentuk risikonya.

Di Indonesia, taruhannya sedang naik

Indonesia termasuk pasar digital dengan pertumbuhan tercepat di dunia. Ratusan juta pengguna internet, ekosistem pembayaran digital yang sangat hidup, dan adopsi layanan daring yang merata sampai ke kota kecil. Skala itu membawa dua hal sekaligus: peluang yang besar, dan permukaan yang sama besarnya untuk diserang.

Pada Juni 2024, serangan ransomware terhadap Pusat Data Nasional Sementara mengganggu layanan yang menaungi ratusan instansi pemerintah, termasuk sistem keimigrasian di bandara. Pelaku dilaporkan menuntut tebusan sekitar delapan juta dolar.

Yang paling banyak disorot dalam evaluasi setelahnya bukanlah kecanggihan serangannya. Justru sebaliknya — yang disorot adalah betapa mendasarnya hal yang tidak siap, terutama keterbatasan cadangan data yang benar-benar bisa dipulihkan.

Pelajarannya berlaku jauh melampaui sektor publik. Asumsi tentang ketahanan yang tidak pernah diuji cenderung keliru justru pada saat paling dibutuhkan. Latihan pemulihan dan pengujian dari sisi dalam adalah cara menemukan kekeliruan itu ketika taruhannya masih rendah — bukan saat semua orang sedang panik.

Apa saja yang sudah mewajibkan

Bagi organisasi yang beroperasi di Indonesia, tuntutan pengujian datang dari beberapa arah sekaligus, dan sebagian besar sudah berlaku hari ini.

Aturan atau standar	Apa yang dituntut	Kalau tidak dipenuhi
UU No. 27/2022 tentang Perlindungan Data Pribadi	Langkah teknis untuk melindungi data pribadi; pengujian keamanan menjadi bukti bahwa langkah itu nyata	Sanksi administratif hingga 2% pendapatan tahunan, dan potensi pidana untuk pelanggaran tertentu
Ketentuan OJK untuk sektor jasa keuangan	Pengujian keamanan sistem elektronik secara berkala dan manajemen risiko teknologi informasi	Sanksi administratif, temuan audit, hingga pembatasan kegiatan usaha
PCI DSS v4.0.1	Pengujian penetrasi eksternal dan internal minimal setahun sekali dan setelah perubahan besar	Denda dari jaringan kartu, hingga hilangnya hak memproses pembayaran
ISO/IEC 27001:2022	Manajemen kerentanan teknis dan pengujian keamanan dalam proses pengembangan	Temuan ketidaksesuaian, risiko sertifikat dicabut
Kuesioner keamanan pelanggan korporat	Ringkasan hasil pengujian terkini sebagai syarat sebelum kontrak ditandatangani	Kesepakatan tertunda berminggu-minggu, atau batal sama sekali

Ada satu pola yang menyatukan seluruh baris di tabel itu: pergeseran dari kewajiban punya kontrol menjadi kewajiban membuktikan kontrol itu bekerja. Dokumen kebijakan dan diagram arsitektur tidak lagi cukup. Yang diminta adalah jejak pengujian — ruang lingkupnya apa, temuannya apa, sudah diperbaiki atau belum, dan siapa yang memverifikasi.

Cara memulainya tanpa kewalahan

Kesalahan paling umum dalam menjalankan ini adalah memperlakukannya sebagai acara tahunan. Sebuah pengujian dipesan, laporan diterima, dokumen diarsipkan, dan setahun kemudian prosesnya diulang dari nol. Organisasi yang mendapat manfaat nyata melakukannya secara berbeda: mereka menjalankannya sebagai siklus yang berputar — menemukan, memperbaiki, lalu memverifikasi bahwa perbaikannya benar-benar bekerja.

Sebelum masuk ke urutan langkahnya, ada baiknya tahu posisi Anda sekarang.

Interaktif

Di mana posisi organisasi Anda?

Delapan pertanyaan, kurang dari dua menit. Tidak ada data yang dikirim ke mana pun.

—

Jawab semua pertanyaan untuk melihat hasilnya

Setiap pertanyaan mewakili satu kebiasaan yang secara konsisten membedakan program yang benar-benar menurunkan risiko dari program yang hanya memenuhi formalitas.

Tiga bulan pertama

Mulailah dengan mengetahui apa yang Anda miliki. Terdengar sepele, tapi hampir setiap pengujian pertama menemukan sesuatu yang tidak ada dalam daftar aset siapa pun — subdomain lama, server uji coba yang lupa dimatikan, atau panel admin yang seharusnya tidak pernah terbuka ke internet. Anda tidak bisa melindungi apa yang tidak Anda ketahui keberadaannya.

Setelah itu, petakan sistem mana yang kalau berhenti selama satu hari akan langsung menghentikan pendapatan atau melanggar kewajiban regulasi. Daftar pendek itulah yang menentukan prioritas pengujian pertama Anda. Lalu jalankan satu pengujian dari luar, karena di situlah eksposur terbesar dan hasilnya paling cepat terlihat.

Satu hal yang harus disiapkan sejak hari pertama, sebelum laporan apa pun datang: setiap temuan harus punya nama penanggung jawab dan tanggal jatuh tempo. Tanpa itu, laporan pengujian hanya akan menjadi dokumen yang rapi dan tidak berguna.

Enam bulan berikutnya

Perluas ke aplikasi dan API yang menangani data pribadi atau uang. Tambahkan pengujian dari sisi dalam untuk melihat seberapa jauh penyerang bisa bergerak setelah berhasil masuk. Jalankan simulasi phishing pertama — dan ingat, ukur tingkat pelaporannya, bukan tingkat kliknya.

Yang paling penting di fase ini adalah pengujian ulang. Sebuah temuan belum selesai ketika tiketnya ditutup; ia selesai ketika ada yang memverifikasi bahwa celahnya benar-benar tertutup. Banyak organisasi melewatkan langkah ini, lalu terkejut menemukan temuan yang sama muncul lagi tahun berikutnya.

Menuju berjalan sendiri

Setelah siklusnya stabil, integrasikan pengujian ke dalam proses rilis sehingga perubahan besar otomatis memicu pemeriksaan, bukan menunggu kalender. Tetapkan tenggat perbaikan berdasarkan tingkat risiko — misalnya kritis tujuh hari, tinggi tiga puluh hari, sedang sembilan puluh hari. Lalu perluas ke rantai pasok: mintalah bukti pengujian dari vendor yang paling kritis bagi Anda, dengan standar yang sama seperti yang diminta pelanggan Anda kepada Anda.

Memilih penyedia jasa

Kualitas penetration testing sangat bervariasi, dan perbedaannya sulit dinilai kalau Anda bukan orang teknis. Enam pertanyaan berikut cukup efektif memisahkan pengujian sungguhan dari pemindaian otomatis yang dikemas ulang.

1. Berapa persen temuan yang berasal dari pengujian manual? Kalau jawabannya di bawah setengah, Anda kemungkinan membeli hasil pemindai dengan sampul yang lebih rapi.
2. Boleh lihat contoh laporan yang sudah disamarkan? Laporan yang baik menceritakan jalur serangan dan menjelaskan dampaknya bagi bisnis, bukan sekadar mendaftar kode kerentanan dan skornya.
3. Apakah pengujian ulang sudah termasuk? Kalau ditagih terpisah dengan harga penuh, insentifnya tidak sejalan dengan kepentingan Anda.
4. Siapa yang akan menguji, dan apa pengalamannya? Sertifikasi seperti OSCP atau CREST adalah indikator awal yang wajar, tapi pengalaman di sektor Anda lebih menentukan.
5. Apa yang terjadi kalau menemukan sesuatu yang kritis di tengah pengujian? Harus ada jalur untuk memberi tahu Anda saat itu juga, bukan menunggu laporan tiga minggu kemudian.
6. Apa yang tidak akan Anda uji? Penyedia yang kredibel akan menyebutkan batasannya dengan jelas. Yang menjanjikan segalanya biasanya tidak memeriksa apa pun secara mendalam.

Apa yang layak dilaporkan ke atas

Jumlah kerentanan yang ditemukan adalah angka yang menyesatkan. Ia bisa naik justru karena pengujian Anda membaik, dan turun karena ruang lingkupnya dipersempit. Melaporkannya ke direksi menciptakan kesan bahwa banyak temuan berarti kegagalan — yang pada gilirannya mendorong orang untuk mencari lebih sedikit.

Yang benar-benar ingin diketahui pimpinan sebenarnya cuma satu hal: apakah kita menjadi lebih sulit diserang dibanding tahun lalu? Enam angka berikut menjawabnya.

Yang diukur	Kenapa penting	Arah yang diinginkan
Waktu menutup temuan kritis	Seberapa cepat organisasi bereaksi terhadap hal yang paling berbahaya	Turun, idealnya di bawah 7 hari
Cakupan aset kritis yang diuji	Apakah masih ada sistem penting yang belum pernah diperiksa sama sekali	Menuju 100%
Temuan yang muncul kembali	Menunjukkan perbaikan hanya menutup gejala, bukan akar masalahnya	Turun, di bawah 10%
Waktu penguji mencapai aset penting	Ukuran paling jujur apakah pertahanan berlapis Anda benar-benar berlapis	Naik setiap siklus
Seberapa banyak aktivitas penguji terdeteksi	Menguji kemampuan melihat, bukan hanya kemampuan mencegah	Naik setiap siklus
Tingkat pelaporan simulasi phishing	Karyawan yang melapor jauh lebih berharga daripada karyawan yang tidak mengklik	Naik, di atas 60%

Kesalahan yang paling sering terjadi

Setelah semua yang dibahas di atas, ada baiknya menutup dengan hal-hal yang membuat program pengujian gagal memberi manfaat meski anggarannya sudah keluar.

Menguji untuk mencentang kotak. Ruang lingkup sengaja dipersempit supaya laporannya terlihat bersih. Hasilnya adalah dokumen yang lolos audit, dan organisasi yang tetap rentan. Ini bentuk pemborosan yang paling halus, karena terlihat seperti kepatuhan.

Laporan yang tidak ditindaklanjuti. Seluruh nilai pengujian ada pada perbaikannya, bukan pada penemuannya. Temuan tanpa penanggung jawab dan tenggat waktu akan tetap terbuka setahun kemudian, dan biasanya ditemukan lagi oleh penguji berikutnya.

Menguji setahun sekali sambil merilis setiap minggu. Kalau sistem Anda berubah jauh lebih cepat daripada jadwal pengujiannya, hasil pengujian sudah usang sebelum laporannya selesai dibaca. Frekuensinya harus mengikuti laju perubahan sistem, bukan tahun anggaran.

Memilih semata berdasarkan harga termurah. Selisih biaya antara pengujian yang sungguh-sungguh dan pemindaian yang dikemas ulang biasanya jauh lebih kecil daripada selisih risiko yang ditinggalkan keduanya.

Menghukum tim yang temuannya banyak. Kalau banyak temuan berujung pada teguran, orang akan belajar untuk mencari lebih sedikit. Insentifnya berubah dari memperbaiki masalah menjadi menyembunyikannya — dan itu jauh lebih mahal.

Berhenti di batas organisasi sendiri. Dengan tiga puluh persen pelanggaran melibatkan pihak ketiga, ruang lingkup yang berhenti di pagar kantor Anda sudah tidak memadai. Postur keamanan Anda kini mencakup vendor Anda, apakah Anda suka atau tidak.

Kembali ke pintu yang terbuka

Mari kembali ke gedung di awal tulisan ini.

Yang membuat cerita itu meresahkan bukanlah adanya pintu yang bisa dibuka. Setiap gedung punya kelemahan; itu wajar. Yang meresahkan adalah tidak ada seorang pun yang tahu pintu itu ada, sampai seseorang dari luar menemukannya lebih dulu.

Penetration testing pada dasarnya cuma satu hal: membayar seseorang untuk menemukan pintu itu sebelum orang lain menemukannya, lalu memberi tahu Anda. Ia tidak membuat gedung Anda kebal. Ia hanya memastikan bahwa daftar kelemahan Anda ditulis oleh pihak yang bekerja untuk Anda, bukan oleh pihak yang menyimpannya sampai terlambat.

Kalau organisasi Anda belum pernah melakukannya sama sekali, langkah pertamanya tidak perlu besar. Satu pengujian terhadap sistem yang terbuka ke internet, dengan komitmen untuk memperbaiki setiap temuan serius dalam tiga puluh hari, akan memberi Anda gambaran yang jauh lebih akurat tentang posisi keamanan Anda dibanding bertahun-tahun rapat kebijakan.

Pertanyaan yang sering muncul

Apa itu penetration testing?

Penetration testing adalah simulasi serangan siber terhadap sistem, jaringan, atau aplikasi milik sendiri, dilakukan oleh penguji profesional dengan izin tertulis. Tujuannya membuktikan kelemahan mana yang benar-benar bisa dimanfaatkan penyerang dan seberapa besar dampaknya bagi bisnis, bukan sekadar mendaftar potensi celah.

Apa bedanya dengan vulnerability assessment?

Vulnerability assessment adalah pemindaian otomatis yang menghasilkan daftar dugaan kerentanan, dengan cukup banyak temuan yang sebenarnya tidak relevan. Penetration testing melangkah lebih jauh: penguji manusia mencoba benar-benar memanfaatkan celah itu, merangkainya menjadi jalur serangan, dan membuktikan dampaknya. Keduanya saling melengkapi — pemindaian untuk cakupan luas dan rutin, pengujian penetrasi untuk kedalaman dan bukti.

Seberapa sering sebaiknya dilakukan?

Standar minimum yang berlaku luas adalah setahun sekali dan setiap kali ada perubahan besar pada sistem, yang juga merupakan persyaratan eksplisit PCI DSS. Namun idealnya frekuensi mengikuti laju perubahan sistem Anda. Organisasi yang merilis perubahan setiap minggu sebaiknya memadukan pengujian mendalam tahunan dengan pemeriksaan yang menyatu dalam proses rilis.

Berapa biayanya?

Sangat bervariasi tergantung ruang lingkup dan kedalaman pengujian, dari satu aplikasi web saja hingga seluruh infrastruktur. Pembanding yang lebih berguna daripada harga absolut adalah proporsinya: biaya program tahunan umumnya jauh di bawah dampak satu insiden tunggal, yang secara global rata-rata mencapai USD 4,44 juta menurut IBM pada 2025. Mintalah beberapa penawaran dengan ruang lingkup yang benar-benar identik agar bisa dibandingkan secara adil.

Apakah perusahaan kecil juga perlu?

Perlu, terutama kalau memproses data pribadi atau pembayaran. Penyerang modern memindai secara otomatis dan memilih target berdasarkan kemudahan, bukan ukuran perusahaan. Perusahaan kecil juga biasanya punya cadangan modal lebih tipis untuk bertahan dari gangguan operasional. Yang perlu disesuaikan adalah skala pengujiannya, bukan ada atau tidaknya.

Apakah legal dilakukan di Indonesia?

Legal, selama ada izin tertulis yang jelas dari pemilik sistem, mencakup ruang lingkup, jangka waktu, dan batasan aktivitas. Tanpa izin tersebut, aktivitas yang persis sama bisa masuk kategori akses ilegal terhadap sistem elektronik. Pastikan kontrak memuat surat izin pengujian, klausul kerahasiaan, dan aturan penanganan data yang ditemukan selama pengujian.

Apakah akan mengganggu sistem yang sedang berjalan?

Pengujian yang direncanakan baik dirancang untuk meminimalkan gangguan, melalui jendela waktu yang disepakati, batasan pada aktivitas berisiko tinggi, dan jalur komunikasi darurat. Sebagian organisasi memilih menguji di lingkungan yang meniru produksi. Yang perlu diingat, risiko gangguan terkendali selama beberapa jam jauh lebih kecil daripada gangguan tak terkendali berhari-hari akibat serangan sungguhan.

Apa yang harus dilakukan setelah menerima laporannya?

Tetapkan penanggung jawab dan tenggat untuk setiap temuan sesuai tingkat risikonya — umumnya kritis tujuh hari, tinggi tiga puluh hari, sedang sembilan puluh hari. Perbaiki akar masalahnya, bukan hanya gejalanya, karena satu pola kesalahan biasanya berulang di banyak tempat. Lalu lakukan pengujian ulang untuk memastikan perbaikannya benar-benar bekerja. Laporan tanpa perbaikan yang terverifikasi tidak menurunkan risiko sama sekali.

Apakah ini menjamin sistem menjadi aman?

Tidak. Penetration testing menghasilkan potret keamanan pada satu titik waktu dengan ruang lingkup tertentu. Sistem yang bersih hari ini bisa menjadi rentan setelah perubahan konfigurasi atau rilis fitur baru. Karena itu ia perlu dipadukan dengan manajemen kerentanan berkelanjutan, pemantauan, dan rencana respons insiden. Ia bagian yang diperlukan, bukan yang mencukupi.

Catatan sumber

• IBM Security & Ponemon Institute — Cost of a Data Breach Report, edisi 2019 hingga 2025. Sumber angka biaya pelanggaran data, waktu deteksi, dan komposisi biaya.
• Verizon — Data Breach Investigations Report 2025. Sumber data titik masuk serangan, keterlibatan pihak ketiga, prevalensi ransomware, dan waktu perbaikan kerentanan.
• Mandiant / Google Cloud — analisis time-to-exploit dan laporan M-Trends. Sumber tren waktu hingga eksploitasi.
• Republik Indonesia — Undang-Undang No. 27 Tahun 2022 tentang Perlindungan Data Pribadi.
• Otoritas Jasa Keuangan — ketentuan penyelenggaraan teknologi informasi dan manajemen risiko bagi lembaga jasa keuangan.
• PCI Security Standards Council — PCI DSS v4.0.1, Persyaratan 11.4 tentang pengujian penetrasi.
• ISO/IEC — Standar 27001:2022, kendali A.8.8 dan A.8.29.
• NIST — SP 800-115 dan Cybersecurity Framework 2.0.
• OWASP Foundation — Web Security Testing Guide, Mobile Application Security Testing Guide, dan API Security Top 10.
• Laporan media dan evaluasi publik atas insiden Pusat Data Nasional Sementara, Juni 2024.