Sebelum pentest: apa yang perlu disiapkan?

Penetration test yang baik dimulai jauh sebelum tester mengirim request pertama. Persiapan yang matang membuat waktu pengujian terpakai untuk menemukan risiko nyata, bukan menunggu akses.

1. Tentukan tujuan bisnis

• Apa yang ingin dibuktikan? Kepatuhan (ISO 27001, PCI DSS), peluncuran aplikasi baru, atau validasi setelah insiden?
• Skenario apa yang paling dikhawatirkan? Kebocoran data pelanggan, penipuan transaksi, atau pengambilalihan akun?

2. Sepakati scope secara tertulis

• Daftar URL, IP, API endpoint, atau aplikasi mobile yang masuk scope
• Daftar aset yang tidak boleh diuji
• Lingkungan pengujian: production, staging, atau keduanya
• Jenis pengujian: black-box, grey-box, atau white-box
• Batasan aktivitas: denial-of-service, social engineering, brute force

3. Siapkan akses dan dukungan

• Akun uji untuk setiap peran (user biasa, admin, role khusus)
• Whitelist IP tester pada WAF/IPS jika diperlukan
• Kontak eskalasi teknis yang dapat dihubungi selama pengujian
• Backup terbaru, terutama bila pengujian dilakukan di production

4. Legal dan jadwal

Pastikan ada izin tertulis (Rules of Engagement) yang ditandatangani pihak berwenang, jadwal pengujian, serta perjanjian kerahasiaan.

5. Rencanakan tindak lanjut

Setelah pengujian, sepakati prioritas remediasi dan jadwal retest agar temuan dapat ditutup dengan bukti yang jelas. Laporan tanpa tindak lanjut hanya menjadi dokumen.