Yang Harus Ditanyakan CISO Sebelum Memilih Penyedia Jasa Penetration Testing di 2026

Pendahuluan

Berapa persen dari laporan pentest terakhir Anda yang benar-benar terbukti dapat dieksploitasi, dan berapa persen yang hanya daftar temuan hasil scanner otomatis yang tidak pernah divalidasi siapa pun? Sebagian besar CISO tidak bisa menjawab pertanyaan ini dengan yakin, dan itulah masalahnya. Buyers guide yang terbit tahun ini menunjukkan pola yang layak direnungkan. Jika penawaran penetration testing datang dengan harga empat sampai lima ribu dolar atau kurang, kemungkinan besar itu adalah automated vulnerability scan yang dibungkus label pentest, bukan pekerjaan manual yang dilakukan tester berpengalaman. Kesenjangan antara apa yang dijual sebagai penetration test dan apa yang sebenarnya diberikan inilah yang membuat proses seleksi jauh lebih penting daripada yang biasanya diperlakukan oleh tim procurement. ITSEC Asia, perusahaan keamanan siber terkemuka di Indonesia, bekerja sama dengan organisasi di Indonesia, Singapura, Australia, dan UAE yang telah melalui proses evaluasi seperti ini, dan pertanyaan yang membedakan engagement yang benar-benar berguna dari sekadar checkbox exercise yang mahal jauh lebih spesifik daripada yang biasanya ditanyakan dalam RFP.

Sumber: Six Questions to Ask a Penetration Testing Vendor

Pertanyaan yang Sebenarnya Membedakan Real Testing dari Scan yang Dikemas Ulang

Sebelum CISO bertanya soal biaya atau timeline, pertanyaan pertama yang layak diajukan adalah seberapa besar porsi engagement yang berupa manual testing yang dilakukan manusia, dan seberapa besar yang berupa automated tooling yang berjalan di belakang layar. Penyedia yang tidak bisa menjawab secara spesifik, atau yang malah mengalihkan jawaban ke daftar nama tools alih-alih menjelaskan apa yang sebenarnya dilakukan tester dengan hasil tools tersebut, biasanya lebih berat ke sisi scanner meski dibungkus laporan yang tampak rapi.

• Scanner bekerja dengan mencocokkan apa yang terdeteksi dengan signature yang sudah dikenal, sehingga andal menemukan software versi lama atau endpoint yang terekspos, tetapi tidak bisa menalar attack path multi-tahap sebagaimana yang dilakukan penyerang manusia, misalnya menguji apakah satu authenticated user bisa diam-diam mengakses data user lain.

• Penyedia yang serius harus mampu menjelaskan bagaimana tester mereka menyusun hipotesis atas sebuah kelemahan, merangkainya dengan temuan lain, lalu mencoba controlled exploitation untuk memastikan risikonya nyata, bukan sekadar teoretis.

• Menanyakan tester spesifik mana yang akan ditugaskan untuk engagement tersebut, dan sertifikasi apa yang dimiliki masing-masing individu (bukan sekadar rujukan umum ke "tim bersertifikat") cenderung mengungkap banyak hal hanya dari satu jawaban.

• Perusahaan yang bersertifikasi ISO 27001 di level korporat tidak menjamin bahwa individu yang ditugaskan pada proyek tersebut mampu menemukan SQL injection nyata atau broken access control chain, dan penyedia yang percaya diri dengan timnya akan menyebutkan nama mereka tanpa ragu.

Kesenjangan antara scanner yang menandai anomali dan tester yang benar-benar membuktikannya dapat dieksploitasi adalah faktor penentu apakah laporan pentest benar-benar actionable, atau sekadar checklist yang tampak meyakinkan di atas kertas.

Sumber: Why Automated Scanners Miss Real Vulnerabilities · Autonomous AI Agents for Penetration Testing: A Complete Guide

Apa yang Harus Bisa Dibuktikan oleh Penyedia yang Kredibel

Setelah metodologi disepakati, percakapan harus bergeser ke pembuktian, bukan janji. Cara yang berguna adalah meminta sample report sebelum menandatangani apa pun, karena format laporan mengungkap lebih banyak soal kualitas testing daripada sales call mana pun.

• Sample yang kuat mencakup proof of concept untuk setiap temuan, screenshot yang menunjukkan akses yang benar-benar berhasil didapat, dan narasi jelas soal bagaimana temuan-temuan dirangkai menjadi attack path yang realistis, bukan sekadar daftar datar dengan skor severity generik.

• Scoping adalah area lain di mana jawaban penyedia serius dan price generator sangat berbeda; penawaran yang dibuat tanpa scoping call singkat, yang menanyakan berapa banyak aplikasi, user role, dan API yang terlibat, pada dasarnya hanyalah tebakan.

• Penawaran tanpa scoping yang tepat biasanya berarti penyedia menambah buffer untuk hal-hal yang tidak diketahui, atau change request akan muncul di tengah engagement.

• Layak ditanyakan langsung apa yang terjadi antara pengiriman laporan dan retesting, karena penyedia berkualitas biasanya menyediakan dukungan remediasi selama tiga puluh sampai sembilan puluh hari, sementara red flag terlihat dari laporan yang dikirim lewat email tanpa debrief dan tanpa jalur kembali ke tester yang menemukan masalah tersebut.

Tidak satu pun dari pertanyaan ini membutuhkan kefasihan teknis mendalam untuk diajukan, yang dibutuhkan hanyalah memperlakukan evaluasi ini sebagai scorecard yang diterapkan konsisten ke setiap penyedia di shortlist, bukan mempercayai begitu saja jaminan yang tertulis di homepage.

Sumber: 10 Questions to Ask Before Hiring a Penetration Testing Provider · Six Questions to Ask a Penetration Testing Vendor

Mengapa Keputusan Ini Berbobot Lebih Besar dalam Iklim Kepatuhan Indonesia

Bagi organisasi yang beroperasi di Indonesia, proses seleksi ini bukan lagi sekadar praktik baik, melainkan sudah masuk ke dalam lanskap regulasi yang semakin ketat. UU PDP, Undang-Undang Perlindungan Data Pribadi Indonesia, telah melewati masa transisinya dan kini membawa eksposur penegakan hukum yang nyata, dan ketentuannya mengharapkan organisasi untuk secara rutin mengidentifikasi dan meremediasi kerentanan, bukan memperlakukan security assessment sebagai formalitas tahunan. Regulator sektoral menambah lapisan lain di atas baseline tersebut, dengan OJK mewajibkan scenario based cybersecurity testing minimal setahun sekali bagi bank umum, dan mengharapkan bukti audit grade dari penyedia sistem pembayaran dan aset keuangan digital. Eksposur Indonesia juga semakin besar, dengan pengguna internet naik dari sekitar 221,6 juta di 2024 menjadi sekitar 229,4 juta di 2025 menurut APJII, yang memperluas attack surface yang kini dipertanyakan oleh setiap regulator dan anggota dewan. Memilih penyedia yang bisa menghasilkan dokumentasi audit ready dan timestamped soal apa yang ditemukan dan apa yang benar-benar diperbaiki, kini menjadi pembeda antara lolos regulatory review dan kelabakan menjelaskan celah bukti di kemudian hari.

Sumber: Top Penetration Testing Companies in Indonesia 2026 · From Policy to Practice: How Indonesia's UU PDP 2022 Shapes Cybersecurity Readiness in 2025

Pilih Penyedia yang Jawabannya Bisa Anda Verifikasi

Penyedia penetration testing yang tepat bukanlah yang punya sales pitch paling meyakinkan, melainkan yang klaimnya soal metodologi, tester, dan validasi tetap teruji ketika benar-benar Anda periksa. ITSEC Asia telah menghabiskan lebih dari satu dekade bekerja bersama organisasi di Indonesia, Singapura, Australia, dan UAE untuk jenis evaluasi seperti ini, dan Bronyx, platform continuous penetration testing berbasis AI dari ITSEC Asia, dibangun berdasarkan prinsip yang sama yang terus diulang artikel ini: temuan harus divalidasi sebelum dilaporkan, bukan setelah klien bertanya mengapa insiden bisa terjadi meski hasil scan bersih.

Kunjungi bronyx.ai untuk melihat bagaimana continuous, AI-powered penetration testing bekerja, atau hubungi tim ITSEC Asia langsung di itsec.asia/contact untuk membahas seperti apa evaluasi yang sesungguhnya bagi organisasi Anda.