Dalam dunia bisnis yang serba cepat, tekanan dari manajemen atau tuntutan kepatuhan (compliance) seringkali memaksa tim IT untuk melakukan penetration testing sesegera mungkin.
Namun, realitanya, melakukan pentest secara terburu-buru hanya akan mengakibatkan celah keamanan kritis terlewat, yang pada akhirnya justru membahayakan perusahaan.
Oleh karena itu artikel ini akan membahas estimasi waktu pentest yang realistis agar ekspektasi semua pihak selaras. Yuk, bedah satu per satu fase yang ada di dalamnya.
Timeline Audit Pentest: 5 Fase yang Tidak Bisa Dilewati
Bisa jadi, manajemen menganggap penetration testing sebagai proses instan yang bisa selesai dalam semalam.
Padahal, bagi profesional, proses ini adalah rangkaian prosedur teknis yang saling berkesinambungan. Memotong durasi di salah satu fase bukan sekadar mempercepat waktu, tapi merusak akurasi temuan yang bisa berakibat fatal bagi keamanan data perusahaan.
Berikut lima tahapan yang perlu dilalui ketika melakukan proses pentest
1. Pre-Engagement & Perencanaan
Fase pertama dalam audit keamanan siber adalah Pre-Engagement dan Perencanaan. Di tahap ini vendor keamanan dan perusahaan Anda duduk bersama untuk menentukan apa saja yang boleh dan tidak boleh dilakukan selama pengetesan berlangsung.
Tujuan utamanya adalah menyelaraskan ekspektasi antara tim pentester dan pemilik bisnis. Beberapa aktivitasnya meliputi:
- Penentuan Ruang Lingkup (Scope): Mendata aset mana saja yang akan diuji, misalnya URL website tertentu, aplikasi mobile di Android/iOS, atau seluruh jaringan internal kantor.
- Penetapan Metode: Memilih apakah pengujian dilakukan secara Black Box (pentester tidak tahu apa-apa tentang sistem), Grey Box, atau White Box (pentester diberi akses penuh ke dokumentasi dan kode).
- Aturan Main (Rules of Engagement): Menentukan waktu pengujian (apakah boleh dilakukan di jam kerja atau harus malam hari saat trafik rendah) dan membatasi jenis serangan yang dilarang agar tidak mengganggu operasional.
- Legalitas: Penandatanganan NDA (Non-Disclosure Agreement) untuk memastikan semua temuan kerentanan tetap bersifat rahasia dan tidak bocor ke pihak luar.
Baca Juga : 3 Metode Pentest yang Bermanfaat untuk Keamanan Bisnis
2. Reconnaissance & Information Gathering
Fase ini merupakan tahap pengumpulan informasi sebanyak-banyaknya mengenai target sebelum serangan dilakukan. Tujuannya adalah untuk memahami ekosistem digital perusahaan dan menemukan pintu masuk yang mungkin terabaikan oleh tim IT internal.
Apa yang Dilakukan di Tahap Ini?
- Pemetaan Aset digital: Mencari alamat IP, nama domain, hingga sub-domain yang aktif.
- Identifikasi Layanan: Mendata aplikasi atau layanan apa saja yang berjalan di server (misal: database, web server, atau mail server).
- Analisis Jejak Digital: Mengumpulkan data publik dari media sosial, forum, atau dokumen yang tidak sengaja terindeks mesin pencari (OSINT).
3. Scanning & Vulnerability Analysis
Fase ini berfokus pada identifikasi kelemahan teknis menggunakan alat pemindai otomatis yang diikuti dengan verifikasi manual. Langkah ini sangat krusial untuk memisahkan ancaman nyata dari temuan yang sifatnya hanya gangguan kecil.
Apa yang Dilakukan di Tahap Ini?
- Vulnerability Scanning: Menjalankan pemindai otomatis untuk mencari celah keamanan yang sudah dikenal secara global (seperti celah pada versi software lama).
- Analisis Celah: Memeriksa hasil scan secara manual untuk memastikan celah tersebut benar-benar bisa dieksploitasi atau hanya kesalahan deteksi (false positive).
- Prioritas Ancaman: Mengelompokkan temuan berdasarkan tingkat bahaya (Kritis, Tinggi, Sedang, atau Rendah).
Apa yang perlu dilakukan perusahaan?
- Memberikan izin Akses Firewall: Memastikan IP pentester tidak diblokir oleh sistem keamanan otomatis agar pengujian berjalan lancar.
- Pemantauan Sistem: Tim IT internal perlu memantau kinerja server agar jika terjadi lonjakan beban saat pemindaian, bisa dikoordinasikan secara langsung.
4. Eksploitasi & Post-Exploitation
Di fase ini pentester mencoba membuktikan kelemahan yang ditemukan sebelumnya dengan masuk ke dalam sistem. Di tahap post-exploitation, pentester mengukur seberapa jauh kerusakan yang bisa ditimbulkan oleh penyerang.
Berikut beberapa hal yang dilakukan pada tahap keempat:
- Penembusan Sistem: Mencoba masuk ke dalam server atau aplikasi menggunakan teknik serangan manual seperti SQL Injection atau pembobolan kata sandi.
- Privilege Escalation: Mencoba naik tingkat dari akun pengguna biasa menjadi akun administrator agar bisa mengendalikan seluruh sistem.
- Data Exfiltration Simulation: Menghitung seberapa banyak data sensitif yang bisa diambil tanpa terdeteksi oleh sistem keamanan perusahaan.
Perusahaan perlu menyiapkan akun dengan berbagai level hak akses agar pentester tidak perlu meretas akun asli milik karyawan atau pelanggan. Selain itu, pastikan data penting sudah dicadangkan sebagai antisipasi jika terjadi kegagalan sistem saat simulasi serangan.
Baca Juga : Pentest Report: Contoh Laporan Pentest untuk Perusahaan
5. Reporting
Fase terakhir adalah penyusunan laporan dari seluruh kegiatan audit. Laporan ini bukan hanya berisi daftar teknis, melainkan panduan strategis bagi manajemen untuk mengambil langkah perbaikan.
- Penyusunan Executive Summary: Membuat ringkasan singkat untuk jajaran direksi mengenai risiko bisnis yang dihadapi perusahaan.
- Detail Temuan Teknis: Menjelaskan langkah demi langkah bagaimana celah tersebut ditemukan dan cara memperbaikinya (remediation).
- Review Meeting: Mempresentasikan hasil temuan kepada tim IT dan manajemen agar tidak ada salah paham mengenai tingkat risiko.
Pastikan perusahaan menyiapkan kehadiran stakeholder untuk sesi diskusi laporan. Selanjutnya menyiapkan anggaran atau sumber daya untuk segera melakukan perbaikan berdasarkan rekomendasi yang diberikan dalam laporan.
Faktor yang Mempengaruhi Estimasi Waktu Pentest
Durasi pengerjaan penetration testing tidak bisa dipukul rata. Ada beberapa variabel teknis dan non-teknis yang secara signifikan dapat memperpanjang atau memperpendek timeline proyek. Berikut adalah faktor-faktor utamanya:
1. Kompleksitas dan Ukuran Sistem
Semakin banyak jumlah endpoint, alamat IP, atau fitur dalam sebuah aplikasi, semakin lama pula waktu yang dibutuhkan untuk pengujian menyeluruh.
Menguji website profil perusahaan tentu jauh lebih cepat dibandingkan menguji aplikasi perbankan yang memiliki ratusan fitur transaksi dan integrasi pihak ketiga.
2. Metode Pengujian yang Digunakan
Pilihan metode sangat menentukan kecepatan kerja pentester. Jika memilih metode Black Box, maka pentester memulai dari nol tanpa informasi apa pun sehingga membutuhkan waktu lebih lama di fase awal.
Sebaliknya, metode White Box bisa menjadikan proses pengujian menjadi lebih cepat di awal karena semua dokumentasi sudah tersedia, namun durasi total bisa bertambah karena analisis dilakukan hingga ke level kode program.
3. Koordinasi dan Responsivitas Klien
Faktor ini juga sering menjadi penyebab utama timeline molor. Misalnya seperti keterlambatan dalam memberikan izin akses, akun uji yang tidak bisa digunakan, hingga lambatnya respons tim IT internal saat koordinasi teknis.
4. Lingkungan Sistem dan Infrastruktur
Menguji sistem yang berjalan di infrastruktur Cloud (seperti AWS atau Azure) memiliki tantangan dan prosedur yang berbeda dengan sistem On-Premise.
Selain itu, sistem yang memiliki proteksi ketat seperti WAF (Web Application Firewall) yang sangat sensitif akan membutuhkan waktu lebih bagi pentester untuk melakukan penyesuaian agar pengujian tetap akurat tanpa terblokir otomatis.
5. Temuan Celah Kritis yang Kompleks
Jika di tengah pengujian ditemukan celah keamanan yang sangat serius dan berlapis, maka pentester perlu melakukan pendetailan.
Hal ini dilakukan untuk memastikan sejauh mana penyerang bisa masuk ke dalam jaringan perusahaan (lateral movement). Penemuan celah yang tidak terduga ini seringkali membutuhkan waktu pengujian tambahan agar laporan akhir benar-benar komprehensif.
Jadi, Berapa Estimasi Waktu Pentest yang Realistis?
Memberikan jawaban “tergantung” sering kali tidak membantu manajemen dalam menyusun anggaran atau jadwal kerja.
Berdasarkan standar industri dan pengalaman tim DSG di lapangan, berikut adalah estimasi durasi rata-rata yang bisa dijadikan acuan untuk perusahaan di Indonesia:
- Aplikasi Bisnis Umum atau Web Profil: 1–2 minggu untuk sistem dengan fitur interaksi pengguna yang terbatas.
- SaaS atau Dashboard Internal: 10–14 hari kerja karena adanya pengujian pada hak akses pengguna (role-based access) dan berbagai fungsi manajemen data.
- Fintech atau E-commerce Besar: 3–4 minggu karena mencakup pengujian integrasi gerbang pembayaran (payment gateway), keamanan transaksi, dan data pelanggan yang masif.
- Infrastruktur Jaringan Enterprise: 2–4 minggu. Tergantung pada jumlah perangkat jaringan, server, dan titik akses yang harus diaudit secara menyeluruh.
Mengapa Kualitas Pentest Lebih Utama dari Sekadar Kecepatan
Dalam pelaksanaan penetration testing, efektivitas hasil sering kali bergantung pada kedalaman analisis yang dilakukan.
Pentest yang dilakukan secara terperinci bertujuan untuk memberikan cakupan penilaian keamanan yang komprehensif, guna mengidentifikasi risiko kebocoran data yang mungkin tertinggal dan berpotensi berdampak pada kelangsungan bisnis.
Timeline yang terencana dengan baik mencerminkan proses peninjauan aset yang teliti. Memahami alur pengujian siber secara utuh dapat membantu perusahaan membangun pertahanan yang tangguh serta memenuhi standar regulasi yang berlaku.
Tim keamanan DSG yang tersertifikasi CEH dan CSCU hadir untuk membantu perusahaan Anda menyusun jadwal pengujian yang terstruktur dan realistis.
Hubungi tim kami untuk menjadwalkan konsultasi gratis terkait kebutuhan pentest di perusahaan Anda. Kami berkomitmen untuk melakukan analisis mendalam dengan tetap menjaga kelancaran operasional bisnis harian Anda.
