Penetration testing untuk operator telekomunikasi Indonesia

Operator telekomunikasi tidak bisa menunggu terjadinya insiden untuk tahu apakah basis data pelanggan atau lapisan signalling miliknya bisa dieksploitasi. Sistem yang menyimpan identitas pelanggan dan membawa lalu lintas otentikasi justru yang pertama diintai penyerang, dan Kominfo kini menuntut operator menjalankan penilaian keamanan tahunan serta memelihara rencana respons insiden yang diuji. Menguji sistem itu sebelum penyerang melakukannya adalah cara operator mengubah tuntutan itu menjadi bukti. Halaman ini membahas apa yang harus masuk cakupan untuk operator telekomunikasi secara spesifik, mengapa pekerjaannya berbeda dari pengujian enterprise, dan bagaimana kami menjalankannya. Untuk cara kerja penetration testing secara umum, lihat halaman layanan penetration testing kami.

Mengapa pengujian berbeda untuk operator telekomunikasi

Jaringan telekomunikasi bukan sekadar jaringan enterprise yang lebih besar. Ia punya lapisan yang hanya dijalankan operator, dan masing-masing membawa risikonya sendiri yang tidak akan dijangkau pengujian generik.

Pola pelanggaran di balik sebagian besar hal ini konsisten dan layak disebut. Data pelanggan terekspos lewat sistem terhubung internet yang tidak ditambal, retensi data berlebih yang menyimpan rekaman jauh setelah tidak dibutuhkan, dan kontrol akses yang lemah pada basis data pelanggan. Penetration test dirancang untuk menemukan ketiganya sebelum penyerang melakukannya, karena masing-masing adalah cara yang sudah dikenal untuk memulai pelanggaran basis data pelanggan, bukan sekadar kemungkinan.

Apa yang kami uji dan cara kami menjalankannya

Permukaan serangan operator telekomunikasi lebih luas dari satu aplikasi web saja, sehingga penentuan cakupan harus memperhitungkan setiap lapisan yang menjangkau data pelanggan atau membawa lalu lintas otentikasi.

Setiap penugasan mencakup satu kali retest gratis setelah perbaikan dilakukan, karena laporan yang menyatakan "sudah diperbaiki" baru berarti sesuatu kalau ada yang memeriksanya kembali. Bagian yang paling penting bagi operator telekomunikasi adalah segmentasi antara IT korporat dan core signalling: pertanyaan sebenarnya adalah apakah sistem kantor yang berhasil dikompromikan bisa menjangkau jaringan yang membawa lalu lintas pelanggan, dan batas itu diuji, bukan diasumsikan. Jika Anda sedang menimbang antara pemindaian kerentanan yang lebih ringan dengan pengujian penuh, halaman kami tentang vulnerability assessment vs penetration testing menjelaskan di mana masing-masing cocok, dan halaman kami tentang berapa lama penetration testing berlangsung menjelaskan mengapa cakupan telekomunikasi berjalan lebih lama daripada enterprise.

Apa yang dikatakan angka tentang sektor ini

Lebih dari 350 juta koneksi seluler berarti basis data pelanggan adalah salah satu konsentrasi data pribadi terbesar di negeri ini, sehingga kontrol akses yang tidak pernah diuji di dalamnya adalah risiko berskala nasional, bukan lokal. Dengan cakupan 5G yang masih sekitar 15 persen penduduk pada akhir 2023, sebagian besar operator menguji jaringan hibrida di mana core 5G cloud-native yang terus tumbuh berdampingan dengan signalling lawas, dan keduanya harus masuk cakupan. Tenggat notifikasi UU PDP yang singkat adalah alasan menemukan celah yang bisa dieksploitasi lebih dulu, lewat pengujian, lebih murah daripada menemukannya lewat pelanggaran.

Jika penilaian keamanan tahunan Anda akan datang dan Anda ingin cakupannya benar-benar menyentuh sistem pelanggan, signalling, dan 5G Anda alih-alih daftar periksa generik, tim kami dapat menyusun langkah berikutnya yang konkret.