Berapa lama penetration testing berlangsung dan apakah mengganggu operasional

Dua pertanyaan muncul sebelum hampir setiap penetration testing: berapa lama prosesnya, dan apakah akan menjatuhkan sesuatu? Kedua jawabannya bermuara pada hal yang sama, yaitu cakupan dan perencanaan, bukan keberuntungan. Versi singkat untuk keperluan perencanaan: pengujian yang fokus dihitung dalam hari, yang luas dalam minggu, dan siklus penuh dari scoping sampai laporan final dalam satu hingga dua bulan. Sisa halaman ini memberi angka untuk tiap cakupan dan menunjukkan di mana angka itu biasanya molor.

Estimasi durasi per cakupan

Cakupan adalah pengungkit terbesar: berapa banyak target, seberapa dalam pengujiannya, dan jenis pengujian apa. Gaya pengujian juga berpengaruh. Black-box test, di mana tester mulai tanpa pengetahuan dari dalam, butuh waktu lebih lama untuk menemukan pijakan ketimbang grey-box atau white-box test di mana Anda berbagi sebagian akses di awal. Berikut rentang perencanaan yang kami pakai saat scoping.

Ini panduan perencanaan dari pengujian yang kami cakup, bukan penawaran harga. Angka sebenarnya muncul dari percakapan scoping tempat Anda menyepakati target, kedalaman, dan aturannya. Lingkungan OT berada di ujung terlama bukan tanpa alasan: menguji sistem industri yang hidup secara aman butuh metode yang berbeda sama sekali, dan itu dibahas di OT VAPT vs IT VAPT.

Tahapannya, dari awal sampai akhir

Penetration testing bukan sekadar satu minggu pengujian langsung, dan merencanakan linimasa hanya di sekitar bagian itu adalah tempat jadwal mulai meleset.

Scoping menetapkan target dan aturan main. Pengujian adalah bagian langsungnya. Laporan mengubah temuan mentah menjadi sesuatu yang bisa ditindaklanjuti tim Anda, dan biasanya terbit sekitar seminggu setelah pengujian selesai. Anda melakukan remediasi, lalu retest memastikan perbaikan benar-benar berhasil. Sediakan waktu untuk kedua ujungnya, bukan hanya pengujiannya.

Apa yang membuat linimasa molor

Di lapangan, empat hal membuat jadwal pentest molor jauh lebih sering daripada pengujiannya sendiri.

Yang pertama scoping yang berlarut. Daftar aset yang tidak lengkap, persetujuan yang menunggu tanda tangan orang yang sedang cuti, atau pertanyaan yang belum diputuskan soal apakah aplikasi mobile masuk cakupan bisa menambah berminggu-minggu sebelum tester menyentuh apa pun. Yang kedua akses lingkungan: akun uji belum dibuat, akses VPN belum diberikan, IP sumber belum di-whitelist, atau salinan staging masih dibangun. Setiap hari tester menunggu akses adalah satu hari tambahan di jadwal.

Yang ketiga kalender bisnis. Pembekuan perubahan menjelang tutup buku bulanan, akhir tahun, dan musim Lebaran lazim di perusahaan Indonesia, dan pengujian yang tidak boleh berjalan selama pembekuan harus dipesan mengitarinya. Yang keempat siklus retest: jeda antara menerima laporan dan menyelesaikan remediasi sepenuhnya ada di tangan Anda, dan inilah fase yang paling sering diremehkan tim. Kalau tujuannya laporan bersih untuk auditor, waktu remediasi harus masuk rencana sejak hari pertama.

Apakah akan mengganggu sistem kami

Inilah ketakutan yang membuat banyak tim ragu, dan untuk pengujian yang dikelola baik, ketakutan itu sebagian besar tidak beralasan. Tester yang tepercaya merencanakan di sekitar operasional Anda: pemeriksaan yang merusak atau berat ditandai di awal, dijalankan pada jendela pemeliharaan, atau diarahkan ke salinan staging alih-alih produksi. Tester menjaga jalur kontak tetap terbuka selama pengujian dan berhenti jika ada yang terlihat rapuh. Tujuannya menemukan kelemahan seperti yang dilakukan penyerang, tanpa berperilaku seperti penyerang yang ingin merusak.

Sebagian besar perlindungan itu dibangun dalam percakapan scoping, bukan saat pengujian. Sepakati target dan aturan main, tetapkan jendela waktu, tandai sistem yang rapuh, putuskan apa yang dijalankan di produksi versus staging, dan tunjuk kontak darurat di kedua sisi.

Merencanakan di sekitar tenggat kepatuhan atau sertifikasi

Kebanyakan penetration testing di Indonesia terikat pada sebuah tanggal. Untuk bank umum, SEOJK 29/2022 di bawah POJK 11/2022 mewajibkan pengujian keamanan siber minimal setahun sekali, dengan hasil pengujian berbasis skenario dilaporkan ke OJK paling lambat sepuluh hari kerja setelah selesai. Operator infrastruktur informasi vital membawa ekspektasi asesmennya sendiri di bawah Perpres 82/2022, dan audit sertifikasi ISO 27001 rutin meminta laporan pengujian terkini beserta bukti temuannya sudah diperbaiki.

Menghitung mundur dari tanggal yang sudah pasti, rencana yang aman kira-kira begini: satu hingga dua minggu untuk scoping dan kontrak, satu hingga dua minggu antrean penyedia sebelum pengujian mulai, jendela pengujiannya sendiri, seminggu untuk laporan, dua hingga empat minggu bagi tim Anda melakukan remediasi, lalu retest singkat supaya auditor melihat temuan yang sudah tertutup. Totalnya kurang lebih sepuluh hingga dua belas minggu. Tim yang memesan pengujian sebulan sebelum audit biasanya berakhir menyodorkan laporan penuh temuan terbuka. Tim yang memesan satu kuartal di muka menyodorkan laporan yang sudah tertutup, dan bedanya terlihat jelas di mata regulator.

Kalau pengujian tahunan itu bagian dari program yang lebih luas, ia berpasangan dengan pemindaian yang berulang; pembagian peran keduanya dibahas di perbedaan vulnerability assessment dan penetration testing.

Kalau Anda memberi tahu kami apa yang ingin diuji, apa yang Anda khawatirkan rusak, dan tanggal berapa hasilnya harus tiba, kami bisa mencakup pengujian yang menjawab ketiganya. Lihat cakupan lengkap layanan penetration testing di Indonesia kami untuk metodologi, target, dan pelaporan.