Keamanan Siber
Vulnerability Assessment atau Penetration Testing: Mana yang Dibutuhkan Perusahaan Anda?
Vulnerability assessment memetakan sebanyak mungkin celah tanpa mengeksploitasinya, sedangkan penetration testing membuktikan seberapa jauh satu celah bisa dimanfaatkan. Berikut cara memilih di antara keduanya.
SEO and Content Specialist
5 menit baca Ditinjau oleh Tim Keamanan Siber Legia
Jawaban singkat: pilih vulnerability assessment bila Anda butuh gambaran menyeluruh atas banyak aset (website, aplikasi, server, cloud) atau pemeriksaan berkala. Pilih penetration testing bila Anda perlu bukti seberapa jauh satu celah bisa dimanfaatkan, misalnya sebelum rilis besar atau atas permintaan klien. Banyak perusahaan memakai keduanya bergantian.
Dua istilah ini sering muncul bersamaan di permintaan audit, dokumen tender, atau rapat direksi setelah ada kabar kebocoran data. Keduanya memang sama-sama mencari kelemahan keamanan, tetapi pertanyaan yang dijawab berbeda, sehingga hasil, risiko, dan biayanya juga berbeda. Artikel ini membantu tim IT dan manajemen memutuskan mana yang dibutuhkan lebih dulu.
Apa itu vulnerability assessment?
Vulnerability assessment adalah pemeriksaan untuk memetakan celah keamanan seluas mungkin pada aset yang disepakati, lewat pemindaian otomatis dan verifikasi manual, tanpa mengeksploitasi celah yang ditemukan. Pertanyaan yang dijawab: celah apa saja yang ada, dan mana yang perlu diperbaiki lebih dulu?
Hasilnya berupa daftar temuan yang diurutkan menurut tingkat keparahan, lengkap dengan langkah perbaikan. Karena celah tidak dieksploitasi, risiko terhadap sistem yang sedang berjalan kecil, dan pemeriksaannya bisa diulang secara berkala.
Apa itu penetration testing?
Penetration testing (pentest) adalah pengujian manual yang benar-benar mencoba menembus sistem seperti yang akan dilakukan penyerang, dalam batasan yang disepakati tertulis. Pertanyaan yang dijawab: kalau satu celah dimanfaatkan, seberapa jauh penyerang bisa masuk, dan apa dampaknya?
Hasilnya bukan sekadar daftar, tetapi alur serangan dan bukti dampak nyata dari celah tertentu, misalnya data apa yang bisa dibaca atau akun mana yang bisa diambil alih. Karena pengujinya aktif mencoba menembus, batasan, jadwal, dan kontak darurat dikunci di awal.
Perbedaan vulnerability assessment dan penetration testing
| Aspek | Vulnerability assessment | Penetration testing |
|---|---|---|
| Pertanyaan yang dijawab | Celah apa saja yang ada? | Seberapa jauh satu celah bisa dimanfaatkan? |
| Cara kerja | Pemindaian dan verifikasi manual, tanpa eksploitasi | Pengujian manual dengan mencoba menembus |
| Cakupan | Luas: banyak aset sekaligus | Dalam: aset atau alur tertentu |
| Hasil | Daftar temuan bertingkat prioritas dan langkah perbaikan | Alur serangan dan bukti dampak |
| Risiko bagi sistem | Kecil | Lebih besar, sehingga batasan dikunci tertulis |
| Waktu di Legia | 2 sampai 4 minggu, bisa diulang tiap bulan | 3 sampai 6 minggu |
Perbedaan paling praktis ada di baris terakhir dan baris hasil. Vulnerability assessment cocok dijadikan rutinitas, sedangkan penetration testing adalah pengujian mendalam yang dijalankan pada momen tertentu.
Kapan perusahaan membutuhkan vulnerability assessment?
Vulnerability assessment lebih tepat bila salah satu kondisi ini berlaku:
- Asetnya banyak dan belum pernah diperiksa. Anda belum tahu kondisi keamanan website, aplikasi internal, server, dan layanan cloud yang dimiliki, sehingga butuh peta lengkap lebih dulu.
- Perubahan sistem sering terjadi. Pembaruan plugin, versi server, atau konfigurasi cloud setiap bulan bisa membuka celah baru, dan pemeriksaan berkala menangkapnya lebih awal.
- Anggaran terbatas dan Anda perlu prioritas. Daftar bertingkat membantu tim memperbaiki yang paling berbahaya dulu.
Kapan perusahaan membutuhkan penetration testing?
Penetration testing lebih tepat bila:
- Ada rilis besar. Aplikasi baru atau fitur yang menyentuh data pelanggan sebaiknya diuji sebelum dibuka ke publik.
- Klien, mitra, atau auditor meminta bukti. Mereka umumnya ingin tahu apakah celah benar-benar bisa dimanfaatkan, bukan sekadar daftar hasil pemindaian.
- Vulnerability assessment sudah berjalan. Setelah celah umum dibereskan, pentest menguji apakah kombinasi celah kecil masih bisa dirangkai menjadi serangan.
Urutan yang disarankan
Bagi perusahaan yang baru mulai, urutan yang biasanya paling efisien adalah:
- Vulnerability assessment untuk memetakan seluruh aset dan membereskan celah yang mudah ditemukan.
- Perbaikan dan uji ulang, supaya setiap temuan dipastikan sudah tertutup, bukan hanya dinyatakan selesai.
- Penetration testing pada aset yang paling kritis, misalnya aplikasi yang menyimpan data pribadi.
- Pemeriksaan berkala untuk menjaga kondisi setelah perubahan sistem.
Di Legia, uji ulang termasuk dalam paket vulnerability assessment maupun penetration testing, karena temuan yang belum diverifikasi belum bisa dianggap selesai.
Pendekatan black box, grey box, dan white box
Penetration testing bisa dijalankan dengan tiga tingkat informasi awal. Black box: penguji mulai tanpa informasi apa pun, seperti penyerang dari luar. Grey box: penguji diberi akses terbatas, misalnya akun pengguna biasa. White box: penguji diberi akses luas, termasuk dokumentasi atau kode. Grey box sering menjadi titik awal yang seimbang, karena mencerminkan risiko dari pengguna yang sudah punya akun tanpa menghabiskan waktu menebak hal yang bisa diberikan langsung.
Acuan yang dipakai
Dalam pengujian website dan aplikasi web, Legia memakai OWASP Top 10 dan OWASP ASVS sebagai acuan daftar periksa, dan CVSS untuk menilai tingkat keparahan tiap temuan. Acuan ini bukan sertifikasi, tetapi membuat temuan bisa dibandingkan dan diperiksa ulang oleh tim lain.
Yang perlu disiapkan sebelum memesan
Apa pun pilihannya, pengujian berjalan lebih cepat dan hasilnya lebih berguna bila hal berikut sudah siap:
- Daftar aset yang akan diperiksa: alamat website, aplikasi, alamat IP server, dan layanan cloud.
- Batasan pengujian: aset yang tidak boleh disentuh, jam yang dihindari, dan kontak darurat bila layanan terganggu.
- Akun uji untuk pendekatan grey box, terpisah dari akun pengguna sungguhan.
- Penanggung jawab perbaikan di tim Anda atau vendor, supaya temuan tidak berhenti di laporan.
Pertanyaan yang sering diajukan
Apakah vulnerability assessment bisa menggantikan penetration testing?
Tidak sepenuhnya. Vulnerability assessment menemukan celah yang diketahui, sedangkan penetration testing membuktikan dampaknya dan bisa menemukan rangkaian celah yang tidak tertangkap pemindaian. Keduanya saling melengkapi.
Apakah penetration testing bisa mengganggu sistem yang sedang berjalan?
Risikonya ada, karena penguji benar-benar mencoba menembus. Karena itu batasan, jadwal, dan kontak darurat disepakati tertulis sebelum pengujian dimulai, dan pengujian berisiko tinggi bisa dijadwalkan di luar jam sibuk.
Berapa lama masing-masing berlangsung?
Di Legia, vulnerability assessment berlangsung 2 sampai 4 minggu dan bisa diulang setiap bulan, sedangkan penetration testing 3 sampai 6 minggu, tergantung jumlah aset dan kedalaman pengujian.
Apakah hasilnya rahasia?
Ya. Temuan keamanan bersifat rahasia dan hanya diserahkan kepada pihak yang disepakati di awal.
Sumber
- OWASP Top 10owasp.org
- OWASP Application Security Verification Standard (ASVS)owasp.org
- FIRST, Common Vulnerability Scoring System (CVSS)first.org
Rincian cakupan dan prosesnya ada di halaman Vulnerability Assessment dan Penetration Testing, atau lihat seluruh layanan Keamanan Siber Legia.
Diminta menyerahkan hasil pengujian keamanan untuk audit atau rilis? Lihat layanan Keamanan Siber Legia, atau jadwalkan konsultasi lewat halaman kontak.
