Berapa lama penetration testing berlangsung dan apakah mengganggu operasional

Dua pertanyaan muncul sebelum hampir setiap penetration testing: berapa lama prosesnya, dan apakah akan menjatuhkan sesuatu? Kedua jawabannya bermuara pada hal yang sama, yaitu cakupan dan perencanaan, bukan keberuntungan. Versi singkat untuk keperluan perencanaan: pengujian yang fokus dihitung dalam hari, yang luas dalam minggu, dan siklus penuh dari scoping sampai laporan final dalam satu hingga dua bulan. Sisa halaman ini memberi angka untuk tiap cakupan dan menunjukkan di mana angka itu biasanya molor.

Estimasi durasi per cakupan

Cakupan adalah pengungkit terbesar: berapa banyak target, seberapa dalam pengujiannya, dan jenis pengujian apa. Gaya pengujian juga berpengaruh. Black-box test, di mana tester mulai tanpa pengetahuan dari dalam, butuh waktu lebih lama untuk menemukan pijakan ketimbang grey-box atau white-box test di mana Anda berbagi sebagian akses di awal. Berikut rentang perencanaan yang kami pakai saat scoping.

Ini panduan perencanaan dari pengujian yang kami cakup, bukan penawaran harga. Angka sebenarnya muncul dari percakapan scoping tempat Anda menyepakati target, kedalaman, dan aturannya. Lingkungan OT berada di ujung terlama bukan tanpa alasan: menguji sistem industri yang hidup secara aman butuh metode yang berbeda sama sekali, dan itu dibahas di OT VAPT vs IT VAPT.

Berapa lama pemindaian kerentanan berlangsung

Pemindaian kerentanan dan penetration testing menjawab pertanyaan yang berbeda dan berjalan pada jam yang berbeda. Pemindaian sebagian besar adalah waktu mesin: perkakas memeriksa host Anda terhadap basis data kelemahan yang sudah dikenal lalu melaporkan yang cocok. Pengujian sebagian besar adalah waktu manusia, dipakai untuk membuktikan kelemahan mana yang benar-benar bisa dirangkai menjadi akses. Itulah sebabnya pemindaian atas satu estate selesai dalam hitungan jam sementara pengujian atas estate yang sama makan waktu hari sampai minggu. SEOJK 29/2022 angka VII.2 menggambarkan urutannya persis begitu: identifikasi kerentanan dilakukan lebih dulu, baru dilanjutkan dengan penetration test.

Sama seperti tabel pengujian di atas, angka-angka ini panduan perencanaan dari pekerjaan yang kami cakup, bukan penawaran. Angka ini juga waktu jalan pemindai, bukan waktu proyek, dan jarak antara keduanya adalah tempat jadwal biasanya meleset. Laporan pemindai yang belum disaring pada jaringan ukuran menengah bisa mencapai ribuan baris, sebagian besar bersifat informasional atau berulang di banyak host, dan mengubahnya menjadi daftar prioritas yang bisa dikerjakan orang biasanya makan waktu lebih lama daripada pemindaiannya sendiri. Kami menganggarkan satu sampai tiga hari analisis untuk pemindaian penuh yang pertama, dan lebih singkat setelah lingkungannya tertata.

Yang diminta regulator Indonesia

Soal frekuensi, jawabannya berbeda tergantung siapa yang mengawasi Anda, dan dua aturan di bawah ini kerap dikutip keliru.

Bagi pihak yang diatur Bank Indonesia, PBI 2/2024 Pasal 30 huruf c mewajibkan pemantauan yang mencakup "pemindaian Kerentanan Siber, secara konsisten dan berkelanjutan". Pemindaian di sini bukan acara terjadwal dengan durasi, melainkan proses yang berjalan terus, dan penjelasan pasal itu memasukkan uji penetrasi sebagai bagian dari kegiatan pemindaian kerentanan yang sama.

Bagi bank umum, POJK 11/2022 memecah pengujian menjadi dua aliran dengan kewajiban yang berbeda. Pasal 24 ayat (1) mewajibkan pengujian berdasarkan analisis kerentanan "secara berkala" tanpa menyebut interval, dan Pasal 24 ayat (2) mengirim hasilnya ke OJK sebagai bagian dari laporan kondisi terkini penyelenggaraan TI bank. Angka minimal setahun sekali yang begitu sering dikutip ada di Pasal 25 ayat (1), dan berlaku untuk pengujian berdasarkan skenario, bukan untuk analisis kerentanan. SEOJK 29/2022 angka VII.2 menyerahkan interval analisis kerentanan pada evaluasi intern bank, dengan kritikalitas sistem dan perubahan arsitektur yang menaikkan eksposur risiko sebagai faktor penimbangnya.

Setiap Penyelenggara Sistem Elektronik, lingkup publik maupun privat, juga memikul kewajiban terpisah menurut PP 71/2019 Pasal 34 ayat (1) untuk melakukan Uji Kelaikan Sistem Elektronik, yang menurut Pasal 1 angka 14 adalah penilaian objektif atas setiap komponen sistem, dilakukan secara mandiri dan/atau oleh institusi yang berwenang dan berkompeten.

Tahapannya, dari awal sampai akhir

Penetration testing bukan sekadar satu minggu pengujian langsung, dan merencanakan linimasa hanya di sekitar bagian itu adalah tempat jadwal mulai meleset.

Scoping menetapkan target dan aturan main. Pengujian adalah bagian langsungnya. Laporan mengubah temuan mentah menjadi sesuatu yang bisa ditindaklanjuti tim Anda, dan biasanya terbit sekitar seminggu setelah pengujian selesai. Anda melakukan remediasi, lalu retest memastikan perbaikan benar-benar berhasil. Sediakan waktu untuk kedua ujungnya, bukan hanya pengujiannya.

Apa yang membuat linimasa molor

Di lapangan, empat hal membuat jadwal pentest molor jauh lebih sering daripada pengujiannya sendiri.

Yang pertama scoping yang berlarut. Daftar aset yang tidak lengkap, persetujuan yang menunggu tanda tangan orang yang sedang cuti, atau pertanyaan yang belum diputuskan soal apakah aplikasi mobile masuk cakupan bisa menambah berminggu-minggu sebelum tester menyentuh apa pun. Yang kedua akses lingkungan: akun uji belum dibuat, akses VPN belum diberikan, IP sumber belum di-whitelist, atau salinan staging masih dibangun. Setiap hari tester menunggu akses adalah satu hari tambahan di jadwal.

Yang ketiga kalender bisnis. Pembekuan perubahan menjelang tutup buku bulanan, akhir tahun, dan musim Lebaran lazim di perusahaan Indonesia, dan pengujian yang tidak boleh berjalan selama pembekuan harus dipesan mengitarinya. Yang keempat siklus retest: jeda antara menerima laporan dan menyelesaikan remediasi sepenuhnya ada di tangan Anda, dan inilah fase yang paling sering diremehkan tim. Kalau tujuannya laporan bersih untuk auditor, waktu remediasi harus masuk rencana sejak hari pertama.

Apakah akan mengganggu sistem kami

Inilah ketakutan yang membuat banyak tim ragu, dan untuk pengujian yang dikelola baik, ketakutan itu sebagian besar tidak beralasan. Tester yang tepercaya merencanakan di sekitar operasional Anda: pemeriksaan yang merusak atau berat ditandai di awal, dijalankan pada jendela pemeliharaan, atau diarahkan ke salinan staging alih-alih produksi. Tester menjaga jalur kontak tetap terbuka selama pengujian dan berhenti jika ada yang terlihat rapuh. Tujuannya menemukan kelemahan seperti yang dilakukan penyerang, tanpa berperilaku seperti penyerang yang ingin merusak.

Sebagian besar perlindungan itu dibangun dalam percakapan scoping, bukan saat pengujian. Sepakati target dan aturan main, tetapkan jendela waktu, tandai sistem yang rapuh, putuskan apa yang dijalankan di produksi versus staging, dan tunjuk kontak darurat di kedua sisi.

Merencanakan di sekitar tenggat kepatuhan atau sertifikasi

Kebanyakan penetration testing di Indonesia terikat pada sebuah tanggal. Untuk bank umum, POJK 11/2022 Pasal 25 ayat (1) mewajibkan pengujian keamanan siber berdasarkan skenario paling sedikit satu kali dalam satu tahun, dengan hasilnya dilaporkan ke OJK paling lambat sepuluh hari kerja setelah selesai sesuai Pasal 25 ayat (3). Operator infrastruktur informasi vital membawa ekspektasi asesmennya sendiri di bawah Perpres 82/2022, dan audit sertifikasi ISO 27001 rutin meminta laporan pengujian terkini beserta bukti temuannya sudah diperbaiki.

Menghitung mundur dari tanggal yang sudah pasti, rencana yang aman kira-kira begini: satu hingga dua minggu untuk scoping dan kontrak, satu hingga dua minggu antrean penyedia sebelum pengujian mulai, jendela pengujiannya sendiri, seminggu untuk laporan, dua hingga empat minggu bagi tim Anda melakukan remediasi, lalu retest singkat supaya auditor melihat temuan yang sudah tertutup. Totalnya kurang lebih sepuluh hingga dua belas minggu. Tim yang memesan pengujian sebulan sebelum audit biasanya berakhir menyodorkan laporan penuh temuan terbuka. Tim yang memesan satu kuartal di muka menyodorkan laporan yang sudah tertutup, dan bedanya terlihat jelas di mata regulator.

Kalau pengujian tahunan itu bagian dari program yang lebih luas, ia berpasangan dengan pemindaian yang berulang; pembagian peran keduanya dibahas di perbedaan vulnerability assessment dan penetration testing.

Kalau Anda memberi tahu kami apa yang ingin diuji, apa yang Anda khawatirkan rusak, dan tanggal berapa hasilnya harus tiba, kami bisa mencakup pengujian yang menjawab ketiganya. Lihat cakupan lengkap layanan penetration testing di Indonesia kami untuk metodologi, target, dan pelaporan.