Pentest pertama sebuah organisasi hampir selalu molor, bukan karena pengujiannya lama, tapi karena persiapannya. Kredensial uji baru dibuat H+3, PIC teknis susah dihubungi, dan tiba-tiba ada sistem pihak ketiga di dalam scope yang ternyata tidak boleh disentuh.
Semua itu bisa dicegah. Berikut checklist-nya, urut dari yang paling menentukan.
1. Tentukan kenapa sebelum apa
Alasan pengujian menentukan bentuknya. Jawab dulu satu pertanyaan: hasil pentest ini akan dipakai untuk apa?
- Audit atau regulator → cakupan dan format laporan harus cocok dengan requirement audit. Minta auditor menyebutkan standar yang mereka acu.
- Sebelum go-live → fokus ke aplikasi/fitur yang akan rilis, jadwal mundur dari tanggal rilis, dan sisakan waktu untuk remediasi + retest.
- Keamanan proaktif → mulai dari aset yang paling berharga (data pelanggan, pembayaran, sistem inti), bukan dari yang paling mudah diuji.
2. Buat daftar aset yang jujur
Vendor hanya bisa menguji yang dia tahu. Siapkan:
- Daftar aplikasi/domain/IP yang masuk scope, beserta yang eksplisit di luar scope.
- Sistem pihak ketiga yang menempel (payment gateway, SaaS, API partner). Ini sering jadi masalah hukum: menguji sistem milik pihak lain butuh izin pihak itu, bukan hanya izin Anda.
- Environment yang diuji: production, staging, atau keduanya. Staging yang identik dengan production adalah pilihan paling aman untuk pengujian agresif.
3. Pahami tiga dokumen yang akan ditandatangani
Tidak perlu jadi ahli hukum, cukup tahu fungsi masing-masing:
- NDA: kerahasiaan dua arah. Tandatangani sebelum Anda membagikan detail sistem.
- SoW (Statement of Work): apa yang dikerjakan, berapa lama, apa deliverable-nya.
- RoE (Rules of Engagement): batas teknis pengujian: jam berapa boleh menguji, teknik apa yang dilarang (mis. denial of service), dan jalur eskalasi kalau ada kejadian tak terduga.
Kalau vendor tidak menyodorkan RoE, itu tanda bahaya: artinya batas pengujian tidak pernah disepakati tertulis.
4. Siapkan orang, bukan hanya dokumen
- Satu PIC teknis yang bisa dihubungi cepat selama masa pengujian, untuk buka akses, jawab pertanyaan arsitektur, dan terima eskalasi temuan kritis.
- Kredensial uji disiapkan sebelum kickoff: akun per role untuk aplikasi (user biasa, admin, dst.), akses VPN bila pengujian internal.
- Beri tahu pihak yang perlu tahu. Tim infra dan SOC sebaiknya tahu ada pengujian (kecuali memang red team yang menguji deteksi mereka). Kalau server di-hosting pihak ketiga, cek apakah kontrak hosting mensyaratkan notifikasi.
5. Rencanakan yang terjadi setelah laporan
Laporan pentest yang tidak ditindaklanjuti hanya dokumen mahal. Sebelum pengujian mulai, pastikan:
- Ada slot di sprint tim dev untuk remediasi; temuan critical/high biasanya butuh aksi dalam hitungan hari, bukan kuartal.
- Jadwal retest disepakati sejak awal, supaya penutupan temuan terverifikasi dan Anda pegang bukti tertulisnya untuk audit.
- Ringkasan eksekutif sampai ke pemilik anggaran, supaya pentest berikutnya tidak perlu diperjuangkan dari nol.
Ringkasan satu layar
Sebelum kickoff, pastikan Anda punya: tujuan pengujian yang jelas · daftar aset dalam dan luar scope · keputusan environment · NDA + SoW + RoE ditandatangani · PIC teknis + kredensial uji siap · slot remediasi dan jadwal retest.
Kalau semua itu siap, pengujian 2 minggu benar-benar selesai dalam 2 minggu, dan hasilnya bisa langsung dipakai, bukan jadi PDF yang mengendap di folder audit.