Jangan menunggu peretas menemukan kelemahan sistem Anda. Temukan dan perbaiki lebih dulu.

Bayangkan perusahaan telah menginvestasikan banyak dana untuk membangun keamanan TI:

Firewall ✓
Antivirus/EDR ✓
MFA ✓
Backup ✓
SOC ✓

Manajemen kemudian merasa: "Seharusnya perusahaan sudah cukup aman."

Tetapi apakah benar? Ada satu pertanyaan yang sering terlupakan:

"Kalau seorang peretas mencoba menyerang perusahaan kita hari ini, apakah mereka masih bisa menemukan jalan masuk?"

Inilah fungsi Penetration Testing (Pentest).

Pentest bukan sekadar aktivitas teknis untuk "mencari kesalahan IT". Pentest adalah cara bagi perusahaan untuk menguji apakah investasi keamanan yang sudah dimiliki benar-benar mampu menghadapi pola serangan nyata.

NIST SP 800-115 menjelaskan penetration testing sebagai bagian dari pengujian keamanan yang dapat digunakan untuk menemukan kelemahan pada sistem/jaringan sekaligus membantu organisasi menganalisis temuan dan menentukan strategi mitigasi.

1. Apa Itu Penetration Testing?

Secara sederhana:

Penetration Testing adalah simulasi serangan siber yang dilakukan secara terkontrol dan dengan izin untuk menemukan serta memvalidasi kelemahan keamanan sebelum dimanfaatkan oleh penyerang sebenarnya.

Bayangkan perusahaan memiliki sebuah gedung. Anda tidak hanya memasang:

     ^^ pagar,

     ^^ CCTV,

     ^^ alarm,

     ^^ satpam,

     ^^ pintu dengan kunci.

Anda juga dapat meminta security assessor mencoba masuk secara resmi untuk mengetahui:

"Apakah masih ada pintu atau jalur yang bisa digunakan seseorang untuk masuk?"

Konsepnya sama dalam dunia digital.

PERUSAHAAN

│

┌──────────┴──────────┐

│                     │

SISTEM IT              APLIKASI

│                     │

└──────────┬──────────┘

▼

PENTESTER

│

"Berpikir seperti

penyerang"

│

▼

TEMUKAN CELAH

│

▼

VALIDASI RISIKO

│

▼

PERBAIKI CELAH

Tujuannya bukan merusak system, melainkan menemukan kelemahan sebelum orang yang berniat jahat menemukannya.

2. Mengapa Vulnerability Scan Saja Tidak Cukup?

Ini salah satu kesalahpahaman yang umum. Perusahaan sering mengatakan: "Kami sudah melakukan vulnerability scanning."

Bagus….. Tetapi vulnerability assessment dan penetration testing bukan hal yang sama.

Vulnerability Assessment

Lebih berfokus pada: "Apa saja kelemahan yang terdeteksi?"

Penetration Testing, Lebih jauh:

"Apakah kelemahan tersebut benar-benar dapat dieksploitasi dan seberapa jauh dampaknya?", Contohnya:

Sebuah scanner menemukan: Vulnerability: Critical

Pentester kemudian mencoba memvalidasi: Apakah vulnerability tersebut dapat digunakan untuk mendapatkan akses?

Jika berhasil:

   ✓ Initial Access

Kemudian:

  ✓ Privilege Escalation

Kemudian:

  ✓ Lateral Movement

Kemudian:

  ✓ Mengakses sistem/data penting

Di sinilah nilai pentest menjadi jauh lebih strategis.

3. Pentest Bukan Sekadar "Mencari Bug"

Pentest yang baik mencoba melihat keamanan dari perspektif seorang penyerang.

OWASP menjelaskan penetration testing sebagai pendekatan untuk mengevaluasi keamanan aplikasi dengan menguji kelemahan secara aktif dan menyampaikan temuan beserta dampak serta rekomendasi mitigasinya kepada pemilik sistem.

Secara sederhana:

Vulnerability

↓

"Apakah bisa dieksploitasi?"

↓

"Kalau berhasil, apa yang bisa diperoleh?"

↓

"Bisakah penyerang bergerak lebih jauh?"

↓

"Data/sistem apa yang akhirnya dapat terdampak?"

Itulah yang membuat pentest berbeda dari sekadar scanning.

4. Contoh Sederhana: Perusahaan Memiliki Web Application

Bayangkan perusahaan memiliki aplikasi: www.perusahaan-anda.com, Aplikasi tersebut memiliki:

     -- login,

     -- database pelanggan,

     -- dashboard administrator,

     -- API,

     -- sistem pembayaran.

Secara visual:

INTERNET

│

▼

WEB APPLICATION

│

┌─────────┼─────────┐

▼         ▼         ▼

LOGIN      API      PAYMENT

│         │         │

└─────────┼─────────┘

▼

DATABASE

Pentester kemudian menguji:

     Ö authentication,

     Ö authorization,

     Ö session management,

     Ö API security,

     Ö input validation,

     Ö business logic,

     Ö configuration,

     Ö sensitive data exposure.

OWASP Web Security Testing Guide mencakup area-area seperti authentication, authorization, session management, input validation, cryptography, business logic, API/web services, dan berbagai aspek keamanan aplikasi modern.

5. Bagaimana Jika Celah Ditemukan?

Misalnya pentest menemukan bahwa:

User biasa dapat mengakses fungsi yang seharusnya hanya dimiliki administrator.

Ini bukan sekadar masalah teknis, bayangkan dampaknya:

User biasa

↓

Akses fungsi administrator

↓

Mengubah data

↓

Mengakses informasi sensitif

↓

Potensi fraud

↓

Kerugian bisnis

Dengan demikian, pentest mengubah: "Masalah IT" menjadi: "Risiko bisnis yang dapat dipahami manajemen."

6. Apa Saja yang Bisa Diuji?

Pentest tidak hanya untuk website, tergantung kebutuhan dan scope, perusahaan dapat melakukan:

## External Network Pentest (Menguji sistem yang dapat diakses dari internet), contohnya:

    ^ firewall,

    ^ VPN,

    ^ public server, 

    ^ remote access,

    ^ exposed services.

## Internal Network Pentest (Menguji apa yang dapat dilakukan penyerang setelah berhasil masuk ke jaringan internal), misalnya:

"Jika satu laptop karyawan berhasil dikompromikan, apakah penyerang bisa mencapai server penting?"

## Web Application Pentest (Menguji aplikasi web)

## API Pentest, (Semakin penting karena banyak aplikasi modern menggunakan API sebagai penghubung antar-sistem)

## Mobile Application Pentest (Menguji aplikasi Android/iOS)

## Cloud Pentest (Menguji aspek keamanan lingkungan cloud sesuai scope dan aturan provider)

## Wireless Pentest (Menguji keamanan jaringan wireless)

## Social Engineering, (Dalam scope yang disetujui, pengujian dapat mencakup aspek manusia seperti phishing simulation)

## Red Team Exercise, Lebih luas daripada pentest biasa. Tujuannya mensimulasikan kemampuan adversary tertentu untuk menguji kemampuan organisasi dalam mendeteksi dan merespons serangan.

CIS menjelaskan bahwa red team exercise memiliki fokus yang berbeda dari penetration testing biasa: red team mensimulasikan TTP adversary tertentu untuk mengevaluasi ketahanan lingkungan organisasi.

7. Bagaimana Proses Pentest?

Salah satu referensi yang banyak digunakan adalah Penetration Testing Execution Standard (PTES).

OWASP merangkum tujuh fase PTES:

1. Pre-engagement

↓

2. Intelligence Gathering

↓

3. Threat Modeling

↓

4. Vulnerability Analysis

↓

5. Exploitation

↓

6. Post-Exploitation

↓

7. Reporting

Dengan demikian, pentest profesional bukan sekadar:

"Scan → ketemu vulnerability → selesai."

Ada proses perencanaan, analisis, validasi, dan pelaporan.

8. Pentest Harus Memiliki Scope yang Jelas

Ini sangat penting bagi manajemen. Sebelum pengujian dimulai harus jelas:

Apa yang boleh diuji?

Contoh:

     --- IP address tertentu,

     --- domain tertentu,

     --- aplikasi tertentu,

     --- API tertentu,

     --- jaringan internal tertentu.

Apa yang tidak boleh diuji? Contoh:

     Ö production database tertentu,

     Ö sistem pihak ketiga,

     Ö perangkat kritis,

     Ö sistem yang dapat mengganggu operasional.

Kapan pengujian dilakukan? Misalnya: 22.00–04.00, mengapa?  untuk mengurangi risiko terhadap operasional. Apa batasannya? Misalnya:

Tidak diperbolehkan melakukan destructive testing. Ini penting karena pentest harus terkontrol dan memiliki otorisasi.

9. Mengapa Pentest Harus Dilakukan Berkala?

Infrastruktur IT tidak pernah benar-benar statis. Perusahaan terus:

     -- menambah server,

     -- membuat aplikasi baru,

     -- membuka API,

     -- berpindah ke cloud,

     -- mengganti firewall,

     -- menambah remote access,

     -- mengubah konfigurasi,

     -- menambah pengguna,

     -- melakukan integrasi dengan vendor.

Artinya: Sistem yang aman enam bulan lalu belum tentu aman hari ini.

CIS Controls v8.1 memasukkan Penetration Testing sebagai Control 18 dan menyatakan bahwa organisasi perlu memiliki program pentest yang sesuai dengan ukuran, kompleksitas, industri, dan tingkat kematangannya. CIS juga menetapkan pengujian eksternal secara periodik dengan frekuensi tidak kurang dari sekali setahun untuk safeguard terkait.

10. Pentest Setelah Perubahan Besar

Selain jadwal berkala, pentest juga idealnya dipertimbangkan setelah perubahan signifikan seperti:

     -- implementasi aplikasi baru,

     -- migrasi cloud,

     -- perubahan arsitektur jaringan,

     -- merger/acquisition,

     -- perubahan sistem pembayaran,

     -- perubahan IAM,

     -- implementasi API baru,

     -- perubahan besar pada data center.

Mengapa? Karena perubahan teknologi dapat menciptakan attack surface baru.

11. Pentest Membantu Menjawab Pertanyaan CEO

CEO mungkin tidak perlu mengetahui: "CVE apa yang digunakan?" Tetapi perlu mengetahui:

"Apa risiko yang bisa terjadi pada bisnis?", Contohnya: Temuan, Administrator dapat diambil alih.

Risiko bisnis, Penyerang dapat mengubah data pelanggan dan mengakses sistem kritis.

Dampak

     ✓ fraud,

     ✓ kebocoran data,

     ✓ downtime,

      ✓ kerugian finansial,

      ✓ reputasi.

Prioritas; Critical — segera diperbaiki.

Inilah cara hasil pentest seharusnya disampaikan kepada manajemen.

12. Jangan Hanya Melihat Jumlah Vulnerability

Misalnya laporan mengatakan: 100 vulnerabilities ditemukan. Apakah itu berarti perusahaan sangat tidak aman? Belum tentu. Sebaliknya: 5 vulnerabilities ditemukan. Apakah berarti aman? Juga belum tentu. Yang lebih penting adalah:

Exploitability + Business Impact + Asset Criticality

Contohnya:

Jadi manajemen jangan hanya bertanya: "Berapa banyak vulnerability?"

Tetapi: "Mana vulnerability yang paling berbahaya bagi bisnis?"

13. Pentest Harus Berakhir dengan Remediation

Kesalahan terbesar adalah: Pentest → laporan → selesai. Seharusnya:

PENTEST

↓

TEMUAN

↓

RISK RATING

↓

REMEDIATION

↓

PATCH / CONFIGURATION

↓

RETEST

↓

VALIDATED

CIS Control 18 secara eksplisit mencakup remediation of penetration test findings dan validasi kembali security measures setelah pengujian.

Dengan kata lain:

Nilai pentest bukan pada banyaknya temuan, tetapi pada berapa banyak risiko yang berhasil dikurangi setelah temuan tersebut ditemukan.

14. Bagaimana CEO/CIO Menilai Vendor Pentest?

Jangan hanya bertanya: "Berapa harga pentest?" Pertanyaan yang lebih penting:

## Siapa pentesternya? Apakah memiliki pengalaman dan kompetensi yang relevan?

## Metodologi apa yang digunakan?

Contohnya:

     ✓ NIST SP 800-115,

     ✓ OWASP WSTG,

     ✓ PTES.

## Apa scope pengujiannya? External? Internal? Web? API? Cloud?

## Apakah ada manual testing? Jangan hanya mengandalkan automated scanner.

## Apakah ada retest? Temuan yang sudah diperbaiki perlu divalidasi kembali.

## Bagaimana laporan disampaikan? Idealnya tersedia:

Executive Report + Technical Report.

15. Executive Report vs Technical Report

Ini penting untuk perusahaan yang memiliki manajemen non-teknis.

Executive Report

Untuk:

     ✓ CEO,

     ✓ Direktur,

     ✓ Board,

     ✓ CIO.

Fokus pada:

     ✓ risiko,

     ✓ dampak bisnis,

     ✓ prioritas,

     ✓ rekomendasi,

     ✓ roadmap.

Technical Report

Untuk:

     ✓ IT,

     ✓ Security,

     ✓ Network,

     ✓ Developer,

     ✓ SOC.

Fokus pada:

Dengan demikian:

CEO tidak perlu membaca ratusan halaman teknis untuk memahami risiko perusahaan.

16. Pentest dan Cybersecurity Architecture

Pentest juga dapat menjadi feedback loop untuk security architecture.

Misalnya:

SECURITY ARCHITECTURE

↓

IMPLEMENTATION

↓

PENTEST

↓

FINDINGS

↓

REMEDIATION

↓

ARCHITECTURE IMPROVEMENT

↓

PENTEST KEMBALI

Ini membuat cybersecurity menjadi proses continuous improvement, bukan proyek satu kali.

17. Pentest dalam Strategi Cyber Resilience

Pentest sebaiknya tidak berdiri sendiri. Ia dapat menjadi bagian dari ekosistem:

CYBER RESILIENCE

│

┌───────────────┼───────────────┐

│               │               │

PREVENT         DETECT          RECOVER

│               │               │

IAM / PAM       SOC / SIEM       BACKUP

Firewall        EDR / XDR        DR

Hardening       Monitoring       BCP

│               │               │

└─────────── PENTEST ───────────┘

Pentest membantu memastikan bahwa kontrol yang dibangun perusahaan benar-benar diuji dari perspektif penyerang.

CIS sendiri mendefinisikan Control 18 sebagai pengujian efektivitas dan resiliency enterprise assets melalui identifikasi dan eksploitasi kelemahan pada people, processes, dan technology.

18. Berapa Kali Pentest Harus Dilakukan?

Tidak ada satu angka yang cocok untuk seluruh perusahaan. Frekuensi sebaiknya mempertimbangkan:

     ✓ tingkat risiko,

     ✓ industri,

     ✓ regulasi,

     ✓ perubahan infrastruktur,

     ✓ perubahan aplikasi,

     ✓ exposure internet,

     ✓ criticality sistem,

     ✓ hasil pentest sebelumnya.

Sebagai baseline, CIS Controls v8.1 menetapkan external penetration testing secara periodik, tidak kurang dari sekali setahun, untuk safeguard terkait.

Untuk aplikasi yang sangat dinamis, pengujian dapat dilakukan lebih sering dan diintegrasikan ke siklus pengembangan.

19. Checklist Pentest untuk CEO & CIO

Cobalah menjawab:

     ✓ Apakah perusahaan memiliki program penetration testing?

     ✓ Kapan terakhir external pentest?

     ✓ Kapan terakhir internal pentest?

     ✓ Apakah aplikasi kritis pernah diuji?

     ✓ Apakah API pernah diuji?

     ✓ Apakah cloud environment pernah diuji?

     ✓ Apakah hasil pentest memiliki risk rating?

     ✓ Apakah temuan Critical/High sudah diperbaiki?

     ✓ Apakah remediation sudah dilakukan?

     ✓ Apakah dilakukan retest?

     ✓ Apakah hasilnya dilaporkan kepada manajemen?

     ✓ Apakah pentest dilakukan kembali setelah perubahan besar?

Jika sebagian besar jawabannya "belum", mungkin sudah waktunya perusahaan mengevaluasi kembali keamanan infrastrukturnya.

Kesimpulan

Tidak ada sistem yang sempurna. Bahkan perusahaan dengan investasi cybersecurity yang besar tetap dapat memiliki celah. Karena itu, pendekatan terbaik bukan:

"Kita sudah memiliki banyak security tools, berarti kita aman."

Tetapi:

"Mari kita buktikan apakah security controls kita benar-benar mampu menghadapi serangan."

Penetration Testing memberikan kesempatan bagi perusahaan untuk menemukan kelemahan sebelum penyerang menemukan dan memanfaatkannya.

Dan yang lebih penting, pentest bukan tujuan akhir, siklus yang benar adalah:

TEST → FIND → PRIORITIZE → FIX → RETEST → IMPROVE

Executive Insight

"Jangan menunggu peretas melakukan penetration testing terhadap perusahaan Anda."

Pentest yang dilakukan secara legal, terencana, dan berkala memungkinkan perusahaan menemukan kelemahan saat perusahaan masih memiliki kendali atas situasi tersebut.

Bagi CEO, Direktur, pemilik bisnis, dan CIO:

Biaya menemukan celah sebelum insiden hampir selalu lebih mudah dikendalikan daripada biaya menghadapi kebocoran data, ransomware, downtime, fraud, dan kerusakan reputasi setelah celah tersebut dimanfaatkan.

Call to Action

Sudahkah Anda mengetahui seberapa mudah infrastruktur perusahaan Anda dapat ditembus?

PT. GLOBAL INTIKARYA SEJAHTERA (GIS) dapat membantu organisasi melakukan:

     ✓ External Network Penetration Testing

     ✓ Internal Network Penetration Testing

     ✓ Web Application Penetration Testing

     ✓ API Security Testing

     ✓ Mobile Application Security Testing

     ✓ Cloud Security Assessment

     ✓ Wireless Security Testing

     ✓ Vulnerability Assessment

     ✓ Red Team / Security Testing

     ✓ Pentest Retest & Remediation Validation

     ✓ Cybersecurity Assessment

Dengan pendekatan berbasis NIST, OWASP, dan praktik penetration testing yang terstruktur, hasil pengujian tidak berhenti pada daftar vulnerability, tetapi diterjemahkan menjadi prioritas risiko dan rekomendasi perbaikan yang relevan bagi bisnis.

Referensi

1. NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment

   Salah satu referensi resmi yang sangat baik untuk memahami perencanaan, pelaksanaan, analisis hasil, dan mitigasi dari security testing. NIST secara eksplisit mencantumkan penetration testing, vulnerability assessment, dan security testing sebagai bagian dari cakupannya.

2. OWASP Web Security Testing Guide

   Referensi utama untuk pengujian keamanan web application dan web services. OWASP menyediakan metodologi dan teknik untuk pengujian yang konsisten, dapat direproduksi, dan terdokumentasi.

3. CIS Critical Security Controls v8.1 — Control 18: Penetration Testing

   CIS Control 18 secara khusus mengatur program penetration testing, pengujian eksternal dan internal secara periodik, remediation temuan, serta validasi kembali kontrol keamanan.

4. Georgia Weidman — Penetration Testing: A Hands-On Introduction to Hacking

   Buku ini memberikan pengantar praktis mengenai penetration testing, mulai dari information gathering, vulnerability discovery, exploitation, post-exploitation, hingga pengujian web application dan berbagai lingkungan lainnya.

5. David Kennedy, Mati Aharoni, Devon Kearns, Jim O'Gorman & Daniel G. Graham — Metasploit: The Penetration Tester's Guide, 2nd Edition

   Edisi kedua yang terbit pada 2025 membahas penetration testing modern, termasuk Active Directory dan cloud penetration testing, serta metodologi yang selaras dengan PTES.

6. Dafydd Stuttard & Marcus Pinto — The Web Application Hacker's Handbook

   Referensi klasik yang mendalam mengenai pengujian dan eksploitasi kelemahan aplikasi web, termasuk authentication, injection, logic flaws, dan compromise terhadap pengguna.

Firewall melindungi. EDR mendeteksi. SOC memantau. Backup memulihkan. Tetapi pentest membantu menjawab satu pertanyaan penting:

"Apakah semua pertahanan tersebut benar-benar mampu menghentikan seorang penyerang?"

Temukan celah sebelum peretas menemukannya. Test. Fix. Retest. Protect.