Biaya Pentest: 7 Faktor yang Menentukan Harga Penetration Testing

Perusahaan yang pertama kali meminta penawaran pentest sering bingung. Tiga vendor diminta menguji aplikasi yang sama, tapi angka yang datang bisa berbeda berkali-kali lipat. Yang paling murah belum tentu paling hemat, dan yang paling mahal belum tentu paling teliti.

Perbedaan itu hampir selalu berasal dari satu hal: setiap vendor membayangkan pekerjaan yang berbeda. Ada yang membayangkan pemindaian otomatis selama dua hari, ada yang membayangkan pengujian manual oleh dua orang selama dua minggu.

Artikel ini menjelaskan tujuh faktor yang menentukan biaya pentest, supaya Anda bisa membaca penawaran dengan lebih jernih dan membandingkan vendor secara adil.

Kenapa Tidak Ada Harga Pentest yang Baku

Pentest dihitung berdasarkan usaha, biasanya dalam satuan hari kerja tenaga ahli (man-day). Biaya akhir kurang lebih adalah jumlah hari kerja dikalikan tarif tenaga ahli, ditambah biaya laporan, retest, dan kebutuhan khusus lainnya.

Jumlah hari kerja itulah yang sangat dipengaruhi oleh ruang lingkup dan kedalaman pengujian. Karena itu, vendor yang serius akan meminta informasi dulu sebelum memberi angka. Vendor yang langsung memberi harga paket tanpa bertanya apa pun patut dipertanyakan.

7 Faktor yang Menentukan Biaya Pentest

1. Ruang Lingkup (Scope)

Faktor terbesar. Ruang lingkup menjawab pertanyaan: apa saja yang diuji?

• Berapa aplikasi web, aplikasi mobile, atau API?
• Berapa halaman, fitur, atau endpoint di setiap aplikasi?
• Untuk pengujian jaringan: berapa alamat IP atau server?

Aplikasi dengan 10 halaman statis jelas berbeda usahanya dengan aplikasi perbankan yang punya puluhan alur transaksi, beberapa peran pengguna, dan integrasi ke sistem lain.

2. Jenis Target

Setiap jenis target butuh teknik dan alat berbeda:

• Aplikasi web: pengujian celah seperti yang tercantum dalam OWASP Top 10.
• Aplikasi mobile: selain aplikasinya, juga cara aplikasi menyimpan data di perangkat dan berkomunikasi dengan server.
• API: autentikasi, otorisasi per endpoint, dan validasi data.
• Jaringan eksternal: apa yang terlihat dan bisa diserang dari internet.
• Jaringan internal: apa yang bisa dilakukan penyerang yang sudah berada di dalam jaringan kantor.
• Cloud: konfigurasi layanan dan hak akses di penyedia cloud.

Menguji web dan mobile sekaligus berarti dua pekerjaan, bukan satu.

3. Pendekatan: Black Box, Grey Box, atau White Box

• Black box: penguji tidak diberi informasi apa pun, seperti penyerang dari luar.
• Grey box: penguji diberi akun pengguna dan sebagian informasi sistem.
• White box: penguji mendapat akses lebih luas, termasuk dokumentasi atau kode sumber.

Black box terdengar paling realistis, tapi sering kali kurang efisien: banyak waktu habis untuk mencari tahu hal yang sebenarnya bisa diberitahukan. Grey box adalah pilihan paling umum untuk aplikasi bisnis karena memberi cakupan pengujian yang lebih dalam dengan waktu yang sama.

4. Kedalaman Pengujian: Otomatis atau Manual

Di sinilah selisih harga paling besar sering muncul.

Pemindaian otomatis memakai alat untuk mendeteksi celah yang sudah dikenal. Cepat dan murah, tapi tidak bisa menemukan celah logika bisnis, misalnya pengguna biasa yang bisa melihat data pengguna lain hanya dengan mengganti angka di alamat URL.

Pengujian manual dilakukan tenaga ahli yang mencoba berpikir seperti penyerang. Lebih lama, lebih mahal, tapi menemukan celah yang paling berbahaya.

Penawaran yang sangat murah biasanya hanya berisi pemindaian otomatis. Itu bukan pentest, melainkan vulnerability assessment. Bedanya dijelaskan lengkap di Pentest vs Vulnerability Assessment: Apa Perbedaannya dan Mana yang Dibutuhkan Perusahaan?

5. Kualifikasi Tim Penguji

Tenaga ahli dengan pengalaman dan sertifikasi diakui tentu bertarif lebih tinggi. Yang perlu ditanyakan bukan hanya sertifikatnya, tapi juga pengalaman menguji sistem sejenis dengan milik Anda, misalnya aplikasi keuangan atau sistem pemerintahan.

6. Kebutuhan Regulasi dan Format Laporan

Beberapa sektor wajib melakukan pengujian keamanan secara berkala dan melaporkan hasilnya ke regulator. Bank umum, misalnya, diatur dalam SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum, yang mewajibkan pengujian keamanan dan pelaporan hasilnya kepada OJK.

Kalau laporan pentest akan diserahkan ke regulator atau auditor, laporan biasanya perlu disusun lebih rinci dan mengikuti format tertentu. Itu menambah usaha, dan biasanya juga biaya.

7. Retest dan Dukungan Setelah Pentest

Setelah celah ditemukan dan diperbaiki, perlu ada pengujian ulang (retest) untuk memastikan perbaikannya benar. Sebagian vendor memasukkan satu kali retest dalam harga, sebagian lagi menghitungnya terpisah. Tanyakan juga apakah tersedia sesi penjelasan temuan untuk tim developer.

Faktor Tambahan yang Sering Terlupa

• Waktu pengujian. Pengujian di luar jam kerja agar tidak mengganggu operasional bisa menambah biaya.
• Lokasi. Pengujian jaringan internal kadang harus dilakukan di lokasi.
• Lingkungan uji. Menguji sistem produksi butuh kehati-hatian lebih dibanding menguji lingkungan staging.

Tanda Bahaya dalam Penawaran Pentest

Waspadai penawaran yang:

1. memberi harga tanpa menanyakan ruang lingkup sama sekali;
2. tidak menjelaskan metodologi pengujian;
3. menjanjikan hasil dalam waktu yang terlalu singkat untuk ruang lingkup yang besar;
4. tidak memberi contoh format laporan;
5. tidak menyebut apakah ada retest.

Siapkan Informasi Ini Agar Penawaran Bisa Dibandingkan

Supaya penawaran dari beberapa vendor bisa dibandingkan secara adil, berikan informasi yang sama kepada semuanya:

1. daftar aplikasi atau sistem yang akan diuji, beserta perkiraan jumlah fitur atau endpoint;
2. jenis target: web, mobile, API, jaringan, atau cloud;
3. pendekatan yang diinginkan: black box, grey box, atau white box;
4. apakah pengujian dilakukan di lingkungan produksi atau staging;
5. kebutuhan regulasi atau standar yang harus dipenuhi;
6. tenggat waktu laporan;
7. kebutuhan retest.

Dengan informasi yang sama, perbedaan harga yang tersisa benar-benar mencerminkan perbedaan kualitas dan kedalaman, bukan perbedaan asumsi.

Pertanyaan yang Sering Diajukan

Apakah pentest perlu dilakukan setiap tahun?
Untuk sistem yang terus dikembangkan, pengujian berkala sangat disarankan, terutama setelah ada perubahan besar. Beberapa sektor seperti perbankan bahkan diwajibkan regulator untuk menguji secara berkala.

Lebih hemat mana, pentest atau vulnerability assessment?
Vulnerability assessment lebih murah, tapi hanya menemukan celah yang sudah dikenal. Untuk sistem yang menangani data sensitif atau transaksi keuangan, pentest manual lebih sepadan dengan risikonya.

Berapa lama pentest biasanya berlangsung?
Tergantung ruang lingkup. Aplikasi kecil bisa selesai dalam hitungan hari, sistem besar dengan banyak komponen bisa memakan beberapa minggu, belum termasuk penyusunan laporan.

Kesimpulan

Biaya pentest ditentukan oleh seberapa banyak yang diuji, seberapa dalam pengujiannya, siapa yang menguji, dan apa yang dibutuhkan setelahnya. Angka yang terlihat murah sering kali hanya berarti pekerjaan yang lebih dangkal. Cara paling aman adalah menyiapkan ruang lingkup yang jelas, memberikannya ke beberapa vendor, lalu membandingkan metodologi dan contoh laporannya, bukan hanya angkanya.

Butuh penawaran pentest untuk aplikasi atau jaringan perusahaan Anda?
NEMA Academy menyediakan jasa penetration testing sekaligus training keamanan untuk tim IT internal. Ceritakan sistem yang ingin diuji, dan kami bantu menyusun ruang lingkupnya.

Konsultasi via WhatsApp