Memilih vendor pentest tidak sama dengan membeli barang. Anda tidak bisa memeriksa hasilnya sebelum membayar, dan kualitas pekerjaannya baru terlihat ketika laporan diserahkan. Lebih buruk lagi, laporan pentest yang dangkal bisa terlihat meyakinkan bagi orang yang tidak terbiasa membacanya.
Itulah kenapa proses seleksi sebelum kontrak sangat menentukan. Berikut sepuluh pertanyaan yang sebaiknya diajukan ke setiap calon vendor, beserta jawaban yang perlu Anda waspadai.
Daftar Isi
1. “Metodologi apa yang Anda gunakan?”
Vendor yang serius akan menyebut kerangka yang diakui, misalnya OWASP Web Security Testing Guide untuk aplikasi web, OWASP Mobile Application Security untuk aplikasi mobile, atau PTES untuk pengujian penetrasi secara umum, lalu menjelaskan bagaimana kerangka itu diterapkan pada sistem Anda.
Waspadai: jawaban yang hanya menyebut nama alat (“kami pakai tools X dan Y”) tanpa menjelaskan proses.
2. “Berapa porsi pengujian manual dibanding otomatis?”
Pemindaian otomatis memang bagian dari pentest, tapi bukan intinya. Celah paling berbahaya, seperti kesalahan logika bisnis dan pembobolan hak akses, hampir selalu ditemukan lewat pengujian manual.
Waspadai: vendor yang tidak bisa menjelaskan apa yang dikerjakan manusia setelah alat selesai bekerja. Perbedaan keduanya dijelaskan di artikel Biaya Pentest: 7 Faktor yang Menentukan Harga Penetration Testing.
3. “Siapa yang akan mengerjakan, dan apa pengalamannya?”
Tanyakan nama atau profil tenaga ahli yang akan ditugaskan, bukan profil perusahaan secara umum. Tanyakan juga pengalamannya menguji sistem sejenis, misalnya aplikasi keuangan, sistem pemerintahan, atau aplikasi mobile.
Waspadai: vendor yang menampilkan sertifikasi tenaga ahli senior saat presentasi, tapi pekerjaannya diserahkan ke tim junior tanpa pengawasan.
4. “Boleh kami lihat contoh laporan?”
Contoh laporan, tentu dengan data klien yang disamarkan, adalah cara terbaik menilai kualitas vendor. Laporan yang baik memuat ringkasan eksekutif untuk manajemen, rincian setiap temuan dengan bukti, tingkat risiko, dan langkah perbaikan yang bisa dikerjakan developer.
Waspadai: laporan yang isinya hanya hasil ekspor alat pemindai, dengan ratusan halaman temuan tanpa penjelasan konteks.
5. “Bagaimana Anda menentukan ruang lingkup?”
Vendor yang baik akan bertanya banyak sebelum memberi harga: berapa aplikasi, berapa fitur, berapa peran pengguna, apakah ada API, lingkungan mana yang diuji. Pertanyaan-pertanyaan itu tanda bahwa mereka menghitung usaha yang sebenarnya.
Waspadai: harga paket yang langsung diberikan tanpa satu pun pertanyaan tentang sistem Anda.
6. “Apa yang Anda lakukan jika menemukan celah kritis di tengah pengujian?”
Jawaban yang benar: mereka segera memberi tahu kontak yang ditunjuk, tidak menunggu laporan akhir. Celah kritis yang dibiarkan berminggu-minggu sambil menunggu laporan adalah risiko yang tidak perlu.
7. “Bagaimana Anda menjaga sistem kami tetap berjalan selama pengujian?”
Pengujian bisa membebani sistem atau memicu alarm keamanan. Tanyakan kapan pengujian dilakukan, bagaimana koordinasinya dengan tim IT Anda, dan apa yang dihindari pada sistem produksi.
Waspadai: vendor yang tidak menanyakan apakah yang diuji adalah sistem produksi atau staging.
8. “Bagaimana data kami dilindungi?”
Selama pengujian, vendor bisa mengakses data sensitif. Tanyakan bagaimana data itu disimpan, siapa yang bisa mengaksesnya, dan kapan dihapus setelah proyek selesai. Pastikan ada perjanjian kerahasiaan (NDA) sebelum pekerjaan dimulai.
9. “Apakah termasuk retest?”
Setelah tim Anda memperbaiki temuan, perlu ada pengujian ulang untuk memastikan perbaikannya benar. Tanyakan berapa kali retest termasuk dalam harga dan dalam jangka waktu berapa lama setelah laporan.
10. “Apakah laporan bisa dipakai untuk kebutuhan audit atau regulator?”
Jika perusahaan Anda diatur regulator, misalnya bank umum yang tunduk pada SEOJK Nomor 29/SEOJK.03/2022 tentang Ketahanan dan Keamanan Siber bagi Bank Umum, laporan pentest mungkin perlu memenuhi format atau isi tertentu. Pastikan vendor memahami kebutuhan itu sejak awal, bukan setelah laporan selesai.
Cara Membandingkan Jawaban Antar-Vendor
Agar perbandingan adil, siapkan tabel sederhana:
| Aspek | Vendor A | Vendor B | Vendor C |
|---|---|---|---|
| Metodologi jelas | |||
| Porsi pengujian manual | |||
| Pengalaman tim di sistem sejenis | |||
| Kualitas contoh laporan | |||
| Retest termasuk | |||
| Pemahaman kebutuhan regulasi | |||
| Harga |
Letakkan harga di baris terakhir dengan sengaja. Harga baru bermakna setelah Anda tahu apa yang sebenarnya ditawarkan.
Tanda Vendor Pentest yang Layak Dipertimbangkan
Secara ringkas, vendor yang layak biasanya:
- banyak bertanya sebelum memberi harga;
- bisa menjelaskan metodologi tanpa bersembunyi di balik istilah teknis;
- bersedia menunjukkan contoh laporan;
- jelas soal siapa yang mengerjakan;
- punya prosedur untuk temuan kritis dan perlindungan data;
- memasukkan retest dalam penawarannya.
Sebelum mulai mencari vendor, pastikan juga Anda paham apakah yang dibutuhkan memang pentest atau cukup vulnerability assessment. Bedanya dijelaskan di Pentest vs Vulnerability Assessment, dan contoh penerapannya bisa dilihat di Studi Kasus Pentest: Mengungkap Celah Keamanan pada Aplikasi Perusahaan.
Pertanyaan yang Sering Diajukan
Apakah vendor pentest harus punya sertifikasi tertentu?
Tidak ada satu sertifikasi yang wajib untuk semua kasus, tapi sertifikasi yang diakui industri menunjukkan dasar kompetensi. Yang tidak kalah penting adalah pengalaman nyata menguji sistem sejenis.
Sebaiknya memakai vendor yang sama setiap tahun?
Ada keuntungan memakai vendor yang sudah memahami sistem Anda, tapi berganti vendor sesekali memberi sudut pandang baru. Banyak perusahaan merotasi vendor atau setidaknya tim pengujinya.
Berapa lama proses seleksi vendor yang wajar?
Untuk proyek pertama, dua sampai empat minggu cukup untuk meminta penawaran, mengajukan pertanyaan di atas, dan membandingkan jawaban.
Kesimpulan
Vendor pentest yang baik terlihat dari pertanyaan yang mereka ajukan dan transparansi jawaban mereka, bukan dari harga atau presentasi yang mengesankan. Sepuluh pertanyaan di atas membantu Anda memisahkan pengujian yang sungguh-sungguh dari sekadar pemindaian otomatis yang dikemas sebagai pentest.
Sedang mencari vendor pentest?
NEMA Academy menyediakan jasa penetration testing untuk aplikasi web, mobile, dan jaringan. Silakan ajukan sepuluh pertanyaan di atas kepada kami juga.