Perusahaan A dan Perusahaan B sama-sama melakukan penetration testing terhadap aplikasi web. Namun, ketika menerima penawaran dari vendor, estimasi biaya keduanya bisa berbeda cukup jauh. Mengapa hal ini bisa terjadi?
Biaya penetration testing tidak hanya ditentukan oleh jenis sistem yang diuji. Cakupan aset, kompleksitas fitur, jumlah peran pengguna, pendekatan pengujian, hingga kebutuhan retest turut memengaruhi besarnya upaya yang diperlukan.
Artikel ini akan membantu Anda memahami faktor yang memengaruhi biaya pentest serta memperkirakan anggaran yang perlu disiapkan sebelum mengajukan pengujian keamanan.
Berapa Biaya Penetration Testing?
Penetration testing atau pentest adalah pengujian keamanan yang dilakukan untuk mencari dan memvalidasi celah pada sistem melalui simulasi serangan terkontrol.
Sistem yang diuji dalam pentest dapat berbeda-beda. Pengujian bisa mencakup aplikasi web, aplikasi mobile, API, jaringan, server, atau kombinasi beberapa aset sekaligus.
Cakupan di dalam satu aset pun belum tentu sama.
Sebagai contoh, sebuah aplikasi web sederhana dengan satu jenis pengguna membutuhkan skenario pengujian yang berbeda dengan aplikasi yang memiliki fitur transaksi, integrasi pihak ketiga, serta beberapa peran pengguna seperti pelanggan, staf, dan administrator.
Perbedaan tersebut membuat upaya pengujian setiap perusahaan tidak sama. Vendor perlu mempertimbangkan beberapa hal, seperti:
- jenis dan jumlah aset yang diuji
- fitur dan alur bisnis
- jumlah peran pengguna
- akses yang diberikan kepada penguji
- lingkungan pengujian
- kedalaman pemeriksaan
- target waktu pelaksanaan
- kebutuhan laporan dan retest
Karena itu, biaya penetration testing tidak memiliki satu harga yang berlaku untuk semua sistem. Estimasi umumnya disusun setelah vendor memahami cakupan dan kebutuhan pengujian perusahaan.
Di Digital Solusi Grup (DSG), kebutuhan tersebut dibahas terlebih dahulu bersama tim sebelum estimasi biaya disusun. Anda dapat menyampaikan gambaran awal sistem yang ingin diuji sebagai dasar untuk menentukan scope pengujian.
Saat membandingkan penawaran pentest, jangan hanya melihat nominal akhirnya. Periksa juga cakupan aset, kedalaman pengujian, laporan, dan layanan lanjutan yang termasuk di dalam penawaran.
Baca Juga : Cegah Data Bocor, 7 Manfaat Penetration Testing untuk Bisnis
Faktor yang Memengaruhi Biaya Penetration Testing
Biaya penetration testing dapat berbeda pada setiap perusahaan karena vendor perlu menyesuaikan pengujian dengan sistem, cakupan, dan kebutuhan masing-masing. Berikut faktor yang umumnya memengaruhi estimasi harga pentest.
1. Jenis dan Jumlah Aset
Pentest dapat dilakukan pada berbagai aset, seperti:
- aplikasi web
- aplikasi mobile
- API
- jaringan
- server
Semakin banyak aset yang masuk dalam scope, semakin besar area yang perlu diperiksa. Hal ini dapat menambah waktu dan sumber daya yang dibutuhkan sehingga memengaruhi biaya pengujian.
2. Kompleksitas Sistem
Harga pentest juga dipengaruhi oleh kompleksitas sistem, bukan hanya jumlah aset.
Beberapa hal yang dapat menambah kompleksitas pengujian antara lain:
- banyaknya fitur dan alur transaksi
- integrasi dengan sistem pihak ketiga
- jumlah peran atau level akses pengguna
- proses bisnis yang kompleks
Semakin banyak skenario yang perlu diperiksa, semakin besar pula upaya pengujiannya.
3. Scope dan Pendekatan Pengujian
Vendor perlu mengetahui seberapa luas dan dalam pengujian akan dilakukan.
Hal yang biasanya ditentukan dalam scope meliputi:
- bagian sistem yang boleh diuji
- akses yang diberikan kepada pentester
- lingkungan pengujian
- batas tindakan selama pengujian
Scope yang lebih luas atau pemeriksaan yang lebih mendalam umumnya membutuhkan upaya kerja lebih besar sehingga memengaruhi estimasi biaya.
Baca Juga : 7 Cara Menentukan Scope Pentest Sesuai Risiko Perusahaan
4. Waktu dan Sumber Daya Pengujian
Biaya juga berkaitan dengan waktu dan tenaga ahli yang dibutuhkan untuk menyelesaikan pentest.
Vendor dapat menghitung upaya kerja menggunakan satuan person-day. Semakin banyak waktu atau pentester yang perlu dialokasikan, semakin besar sumber daya yang dibutuhkan dalam proyek.
5. Laporan dan Retest
Harga yang ditawarkan vendor juga perlu dilihat bersama layanan setelah proses pengujian.
Periksa apakah penawaran sudah mencakup:
- laporan hasil pengujian/pentest report
- rekomendasi perbaikan
- sesi pembahasan hasil
- retest setelah perbaikan
Ketentuan layanan tersebut dapat berbeda pada setiap vendor dan memengaruhi nilai akhir penawaran.
Karena itu, dua penawaran dengan nominal berbeda belum tentu memberikan cakupan layanan yang sama. Bandingkan harga bersama scope, kedalaman pengujian, dan layanan yang termasuk di dalamnya.
Apa yang Perlu Dicek dalam Penawaran Biaya Pentest?
Estimasi biaya pentest akan lebih akurat jika vendor memahami kebutuhan perusahaan sejak awal. Di sisi lain, perusahaan juga perlu memastikan bahwa penawaran yang diterima memiliki cakupan yang sesuai.
Sebelum meminta estimasi, siapkan beberapa informasi berikut:
- aset yang ingin diuji, seperti aplikasi web, mobile, API, server, atau jaringan
- fitur dan alur bisnis utama
- jenis atau peran pengguna
- lingkungan pengujian, seperti staging atau production
- tujuan pengujian
- target waktu pelaksanaan
- batas operasional yang perlu dipatuhi
Informasi tersebut membantu vendor menentukan scope dan memperkirakan sumber daya yang dibutuhkan.
Setelah menerima penawaran, jangan hanya membandingkan nominal biaya. Periksa pula beberapa komponen berikut:
| Komponen | Hal yang Perlu Dipastikan |
| Scope | Aset, platform, peran pengguna, dan bagian sistem yang diuji |
| Pelaksanaan | Pendekatan, lingkungan pengujian, jadwal, dan batas tindakan |
| Laporan | Bukti temuan, tingkat risiko, dampak, dan rekomendasi |
| Retest | Jumlah, periode, dan cakupan pemeriksaan ulang |
| Pembahasan hasil | Ketersediaan sesi diskusi bersama tim |
| Biaya tambahan | Pajak, kebutuhan onsite, perubahan scope, atau layanan lain |
Karena itu, dua proposal dengan harga berbeda belum tentu menawarkan nilai yang sama. Anda perlu membandingkan biaya berdasarkan scope, keluaran, dan layanan yang benar-benar termasuk dalam penawaran.
Cara Menyesuaikan Pentest dengan Anggaran Perusahaan
Bagaimana jika anggaran perusahaan terbatas?
Berikut beberapa saran DSG untuk menyesuaikan Pentest agar tetap aman dan sesuai anggaran perusahaan:
1. Prioritaskan Aset dengan Risiko Tertinggi
Coba cek sistem mana yang berdampak besar jika mengalami gangguan atau kebocoran. Anda perlu memprioritaskan aset yang:
- menyimpan atau memproses data sensitif
- mendukung transaksi penting
- dapat diakses melalui internet
- berpengaruh langsung terhadap operasional
- baru mengalami perubahan atau penambahan fitur besar
Dengan prioritas yang jelas, anggaran dapat difokuskan pada aset yang paling membutuhkan pengujian.
2. Lakukan Pentest Secara Bertahap
Jika seluruh aset belum dapat diuji sekaligus, Anda bisa mendiskusikan kemungkinan pentest bertahap bersama vendor. Namun, pembagian scope tetap perlu mempertimbangkan hubungan antar-sistem.
Sebagai contoh, aplikasi mobile yang bergantung pada API utama sebaiknya tidak diuji tanpa mempertimbangkan API tersebut. Jika komponen penting dikeluarkan dari scope, hasil pentest dapat memberikan gambaran keamanan yang kurang utuh.
Baca Juga : Pentest Mobile App: Menguji Keamanan Aplikasi Android & iOS
3. Tentukan Scope Sejak Awal
Scope yang berubah di tengah proses dapat memengaruhi waktu dan biaya pengujian. Maka sebelum pentest dimulai, pastikan perusahaan telah menentukan:
- aset yang akan diuji
- lingkungan pengujian
- batas tindakan pentester
- akses yang tersedia
- target waktu pelaksanaan
Scope pentest yang jelas akan membantu vendor untuk memperkirakan kebutuhan sumber daya dengan lebih tepat.
4. Bandingkan Penawaran dengan Cakupan yang Setara
Jangan membandingkan vendor hanya dari nominal harga. Bisa jadi Anda mendapatkan penawaran harga pentest murah, namun ternyata setelah ditelusuri, scope lebih sempit, jumlah retest berbeda, atau layanan setelah pengujian yang lebih terbatas.
Oleh karena itu, bandingkan juga biaya berdasarkan cakupan pengujian, keluaran laporan, retest, dan layanan yang termasuk dalam penawaran.
5. Siapkan Anggaran untuk Tindak Lanjut Temuan
Setelah proses pentest dan Anda menerima laporan, perusahaan tetap membutuhkan sumber daya untuk:
- memperbaiki kerentanan
- menentukan penanggung jawab
- menjadwalkan remediasi
- melakukan retest atau verifikasi perbaikan
Maka, jangan habiskan alokasi anggaran hanya untuk proses pengujian, tetapi juga untuk tindak lanjut setelah temuan ditemukan.
Diskusikan Kebutuhan Pentest Perusahaan Anda bersama DSG
Biaya penetration testing akan lebih mudah diperkirakan ketika perusahaan sudah memahami aset, risiko, dan cakupan pengujian yang dibutuhkan.
Jika Anda masih menentukan scope yang tepat, DSG siap membantu mendiskusikan kebutuhan pentest perusahaan Anda.
Dengan cakupan yang lebih jelas, perusahaan dapat memperoleh estimasi biaya yang lebih sesuai, menghindari pengujian yang terlalu luas, dan tetap memprioritaskan area dengan risiko paling penting.
Diskusikan kebutuhan penetration testing perusahaan Anda bersama tim DSG untuk mendapatkan scope pengujian dan estimasi biaya yang sesuai.
FAQ tentang Biaya Penetration Testing
Apakah Biaya Pentest Sudah Termasuk Retest?
Belum tentu. Ketentuannya bergantung pada layanan masing-masing vendor dan Anda perlu cek sebelum menyetujui penawaran.
Apakah Perbaikan Kerentanan Termasuk dalam Harga Jasa Pentest?
Tidak selalu. Rekomendasi perbaikan dalam laporan dan implementasi remediasi merupakan dua pekerjaan berbeda. Anda perlu memastikan bentuk dukungan vendor setelah pengujian tercantum dalam penawaran.
Apakah Penetration Testing Bisa Dilakukan Bertahap?
Bisa, Perusahaan dapat mendiskusikan pengujian bertahap bersama vendor. Namun, pastikan pembagian scope tidak menghilangkan komponen penting yang memengaruhi keamanan sistem secara keseluruhan.
Mengapa Harga Pentest dari Setiap Vendor Bisa Berbeda?
Perbedaan harga dapat berasal dari cakupan aset, kompleksitas sistem, jumlah skenario pengujian, kebutuhan tenaga ahli, metodologi, bentuk laporan, hingga ketentuan retest.
