Persiapan Pentest Website: Checklist Sebelum Pengujian

Persiapan pentest website dimulai dari kejelasan tujuan, izin, ruang lingkup, akun uji, dan batas dampak terhadap operasional. Sebelum pengujian berjalan, pemilik bisnis perlu mengetahui sistem mana yang boleh diperiksa, siapa yang dapat menghentikan kegiatan, serta bagaimana temuan akan ditindaklanjuti. Informasi tersebut membantu penguji bekerja sesuai kebutuhan dan membantu tim internal memahami tanggung jawabnya.

Panduan ini ditujukan bagi pemilik UMKM, pengelola website, dan tim yang sedang merencanakan pengujian keamanan. Fokusnya adalah menyiapkan pekerjaan dan keputusan bisnis, tanpa memberikan instruksi menyerang sistem. Checklist dapat disesuaikan bersama penyedia layanan; kebutuhan akhir tetap mengikuti aplikasi dan kewenangan yang tersedia.

Apa tujuan persiapan pentest website?

Mulailah dengan pertanyaan bisnis yang ingin dijawab. Apakah akun pelanggan perlu dipisahkan dari akun staf? Apakah proses pemesanan baru akan diluncurkan? Apakah perusahaan ingin memeriksa kembali perbaikan temuan sebelumnya? Tujuan yang jelas membantu menentukan bagian aplikasi yang perlu mendapat perhatian.

Tuliskan juga hal yang dianggap kritis oleh bisnis, misalnya pembayaran, akses data pelanggan, atau pemulihan akun. Daftar tersebut bukan kesimpulan bahwa fitur itu rentan. Daftar itu menjelaskan dampak yang perlu dipertimbangkan saat menyusun pengujian. Hindari meminta penilaian seluruh sistem jika inventaris dan batas pekerjaannya belum dipahami.

Tentukan aset yang masuk dan keluar dari cakupan

Siapkan daftar domain, aplikasi, endpoint API, dan lingkungan yang ingin diperiksa. Cantumkan pemilik atau penanggung jawabnya. Domain yang terlihat berhubungan belum tentu berada dalam kewenangan pengelola website yang sama.

Untuk setiap aset, tandai apakah lingkungan tersebut produksi, staging, atau pengembangan. Jelaskan integrasi yang terlibat: layanan pembayaran, email, penyimpanan, atau penyedia identitas. Akses ke website Anda tidak otomatis memberikan izin menguji infrastruktur pihak ketiga.

Gunakan daftar kerja sederhana:

• Aset yang disertakan: alamat dan fungsi yang disepakati untuk pengujian.
• Pengecualian: sistem, akun, data, atau aktivitas yang tidak boleh disentuh.
• Pemilik keputusan: orang yang dapat mengonfirmasi ruang lingkup.
• Ketergantungan: layanan lain yang perlu diperhatikan agar transaksi tidak terpicu tanpa sengaja.

Daftar ini menjadi bahan pembahasan cakupan, bukan izin pengujian dengan sendirinya.

Sepakati izin dan aturan pelaksanaan secara tertulis

Aturan pelaksanaan, sering disebut rules of engagement, membantu menjelaskan kewenangan dan batas kegiatan sebelum pengujian dimulai. Sebagai rujukan perencanaan, NIST SP 800-115 menyediakan contoh struktur yang mencakup tujuan, ruang lingkup, risiko, kontak, dan jadwal. Dokumen tersebut terbit pada 2008; gunakan bagian perencanaannya sesuai konteks, bukan sebagai daftar alat terbaru.

Dalam pembahasan, minta penjelasan aktivitas yang diizinkan, pembatasan dampak, serta cara menyetujui perubahan cakupan. Pengujian yang dapat mengganggu ketersediaan, perubahan akun, dan akses data nyata perlu dibahas secara khusus. Jangan menganggap semuanya termasuk hanya karena penawarannya menggunakan kata pentest.

Pilih lingkungan pengujian dengan memahami perbedaannya

Staging dapat membantu menyediakan tempat latihan dan data uji yang lebih terkendali. Namun, hasil pada staging tidak otomatis menggambarkan produksi jika konfigurasi, versi aplikasi, atau kontrol aksesnya berbeda. Catat perbedaan yang diketahui agar batas kesimpulan tetap jelas.

Jika ada kebutuhan menguji produksi, sepakati batas dampak dan jadwal bersama penanggung jawab operasional. Sediakan kontak yang benar-benar dapat merespons selama kegiatan berlangsung. Anda juga perlu mengetahui layanan bisnis yang harus dipantau dan siapa yang dapat mengambil keputusan bila muncul gangguan.

Pemilihan lingkungan adalah keputusan bersama berdasarkan tujuan dan risiko, bukan jaminan bahwa pengujian tidak memiliki kemungkinan dampak.

Siapkan akun uji yang mewakili peran pengguna

Catat peran yang tersedia dalam aplikasi, seperti pelanggan, staf, pengelola cabang, dan administrator. Tanyakan peran mana yang dibutuhkan untuk cakupan yang disepakati. Menguji hanya satu peran dapat meninggalkan batas penilaian yang berbeda dari pengujian beberapa peran.

Buat akun khusus dengan data yang sesuai untuk pengujian. Hindari membagikan akun pribadi yang digunakan untuk pekerjaan harian. Sepakati cara penyerahan akses, masa berlakunya, dan siapa yang bertanggung jawab mencabutnya setelah kegiatan selesai.

Informasi yang berguna mencakup langkah masuk, prasyarat autentikasi tambahan, serta alur akun yang memang diharapkan. Password dan token tidak perlu dimasukkan dalam brief penawaran atau artikel publik. Penyerahannya dilakukan melalui saluran yang disepakati dengan pihak yang berwenang.

Jelaskan alur bisnis dan data yang perlu dilindungi

Berikan penjelasan singkat tentang cara pelanggan menggunakan website. Contohnya, pelanggan membuat akun, memilih layanan, mengirim permintaan, lalu menerima konfirmasi. Ini adalah ilustrasi alur, bukan gambaran semua bisnis.

Tandai langkah yang mengirim email, membuat tagihan, mengurangi stok, atau memicu tindakan di layanan lain. Dengan informasi itu, tim dapat merencanakan penggunaan data dan transaksi uji secara lebih terarah. Jelaskan pula kategori data yang sensitif dan batas pengambilannya.

Pembahasan ini membantu memastikan pembuktian temuan tidak mengumpulkan informasi lebih banyak daripada yang diperlukan. Jika sebuah langkah belum dipahami atau kewenangannya belum jelas, minta klarifikasi sebelum melanjutkan.

Pastikan jalur pemulihan dan kontak operasional tersedia

Catat cadangan apa yang tersedia dan apa cakupannya. Cadangan file website dapat berbeda dari cadangan database. Pastikan tim mengetahui siapa yang dapat melakukan pemulihan dan bagaimana prosedurnya diperiksa. Keberadaan file backup saja belum membuktikan bahwa pemulihan sudah pernah diuji.

Sediakan daftar kontak teknis dan bisnis yang relevan. Hindari bergantung pada satu orang yang tidak tersedia selama jadwal pengujian. Jelaskan cara melaporkan masalah mendesak, informasi minimum yang harus disampaikan, dan saluran komunikasi yang digunakan.

Untuk pekerjaan pada sistem penting, minta pembahasan jalur pemulihan sebelum jadwal dimulai. Jangan menunggu sampai terjadi gangguan untuk mencari pemilik akses hosting atau database.

Tentukan kapan kegiatan harus dihentikan

Sepakati kondisi penghentian yang dapat diamati. Contohnya adalah gangguan pada transaksi utama, akses yang ternyata melewati cakupan, atau perubahan perilaku sistem yang belum dapat dijelaskan. Contoh ini perlu disesuaikan bersama tim, bukan dipakai sebagai ambang universal.

Tentukan siapa yang memberi instruksi berhenti, bagaimana penguji mengonfirmasi penerimaannya, dan siapa yang boleh menyetujui kegiatan dilanjutkan. Simpan catatan waktu serta tindakan yang dilakukan agar pemeriksaan berikutnya memiliki konteks.

Hindari meminta penguji melanjutkan pembuktian hanya demi menambah bukti ketika langkah berikutnya dapat melampaui izin atau berdampak pada data pelanggan. Temuan yang belum aman diverifikasi perlu dilaporkan dengan batasnya.

Sepakati metode, laporan, dan tindak lanjut

Tanyakan bagaimana penguji memilih pemeriksaan yang relevan untuk aplikasi Anda. OWASP Web Security Testing Guide menyediakan kerangka pengujian aplikasi web, bukan sekadar daftar yang otomatis cocok untuk setiap sistem. Penyebutan OWASP dalam proposal belum membuktikan seluruh pemeriksaan sudah dilakukan.

Untuk hasil akhirnya, mintalah ringkasan yang dapat dipahami pemilik bisnis serta rincian yang bisa digunakan tim teknis. Panduan pelaporan OWASP menekankan pentingnya laporan yang jelas dan perlindungan dokumen. Bahas isi laporan, penerimanya, serta cara pengirimannya sejak awal.

Daftar kebutuhan Anda dapat mencakup aset yang diuji, batas pemeriksaan, temuan beserta bukti yang disanitasi, dampak, rekomendasi, dan status verifikasi. Sepakati pula mekanisme retest setelah perbaikan. Temuan yang ditutup perlu dibedakan dari bagian yang belum diperiksa atau masih menunggu bukti.

Brief yang dapat disiapkan sebelum konsultasi

Untuk memulai pembahasan dengan layanan keamanan siber Nusantara Secure, siapkan informasi berikut tanpa menyertakan password:

• Nama dan fungsi aplikasi yang ingin diperiksa.
• Daftar aset yang diketahui beserta penanggung jawabnya.
• Tujuan bisnis dan alur yang dianggap penting.
• Pilihan lingkungan serta perbedaan staging dan produksi yang diketahui.
• Jenis peran pengguna dan ketersediaan akun uji.
• Integrasi pihak ketiga yang perlu diperhatikan.
• Batas waktu, kebutuhan komunikasi, dan kontak operasional.
• Format laporan serta kebutuhan pembahasan perbaikan dan retest.

Jika bisnis Anda berada di Medan, halaman jasa pentest Medan dapat menjadi pintu pembahasan kebutuhan. Konfirmasikan ruang lingkup dan metode pelaksanaan yang benar-benar tersedia; jangan menyimpulkan cakupan layanan hanya dari lokasi bisnis.

Pertanyaan umum sebelum pengujian

Apakah persiapan pentest website harus lengkap sebelum meminta penawaran?

Anda dapat memulai dengan informasi yang sudah diketahui. Tandai bagian yang belum jelas dan minta bantuan untuk merumuskannya. Namun, kegiatan pengujian aktif perlu menunggu kewenangan, cakupan, batas dampak, dan koordinasi yang memadai. Brief awal tidak menggantikan persetujuan pelaksanaan.

Apakah penggunaan scanner sudah cukup?

Tanyakan apa yang sebenarnya dinilai dan bagaimana kandidat temuan diverifikasi. Hasil alat perlu dipahami dalam konteks aplikasi. Daftar peringatan otomatis dan laporan temuan yang sudah diperiksa memiliki cakupan bukti berbeda; pilih layanan berdasarkan tujuan pemeriksaan yang disepakati.

Apakah hasil tanpa temuan berarti website aman sepenuhnya?

Tidak. Hasil penilaian dibatasi oleh cakupan, kondisi aplikasi, akses, metode, dan waktu pemeriksaan. Mintalah batas tersebut dijelaskan dalam laporan. Pemeliharaan, perubahan aplikasi, serta perbaikan keamanan tetap perlu dikelola setelah pengujian selesai.

Apa yang dilakukan setelah laporan diterima?

Tentukan pemilik perbaikan dan urutan tindak lanjut berdasarkan konteks risiko bisnis. Bahas hal yang belum dipahami dengan penguji, simpan bukti perubahan, lalu rencanakan retest sesuai kesepakatan. Setelah kegiatan berakhir, tinjau kembali akun uji dan akses yang diberikan.

Untuk menyusun kebutuhan awal, hubungi Nusantara Secure tentang persiapan pentest. Sertakan fungsi aplikasi, aset yang ingin dibahas, dan tujuan pemeriksaan agar konsultasi dapat dimulai dari kebutuhan yang jelas.