Apa itu uji penetrasi?
Secara sederhana, uji penetrasi (sebenarnya, kami lebih suka istilah penilaian keamanan) adalah proses mengevaluasi langkah-langkah keamanan informasi Anda secara aktif. Perhatikan penekanan pada penilaian ‘aktif’; sistem informasi akan diuji untuk menemukan masalah keamanan, bukan audit berbasis teori atau berbasis kertas semata.
Hasil penilaian kemudian akan didokumentasikan dalam sebuah laporan, yang harus dipresentasikan pada sesi tanya jawab, di mana pertanyaan dapat dijawab dan strategi perbaikan dapat didiskusikan secara bebas.
Mengapa melakukan uji penetrasi?
Dari perspektif bisnis, pengujian penetrasi membantu melindungi organisasi Anda dari kegagalan, melalui:
Mencegah kerugian finansial melalui penipuan (peretas, pemeras, dan karyawan yang tidak puas) atau melalui hilangnya pendapatan karena sistem dan proses bisnis yang tidak dapat diandalkan.
Membuktikan uji tuntas dan kepatuhan kepada regulator industri, pelanggan, dan pemegang saham Anda. Ketidakpatuhan dapat mengakibatkan organisasi Anda kehilangan bisnis, menerima denda besar, mendapatkan PR yang buruk, atau akhirnya gagal. Pada tingkat pribadi, hal ini juga dapat berarti kehilangan pekerjaan, tuntutan hukum, dan terkadang bahkan penjara.
Lindungi merek Anda dengan menghindari hilangnya kepercayaan konsumen dan reputasi bisnis.
Dari perspektif operasional, pengujian penetrasi membantu membentuk strategi keamanan informasi melalui:
Mengidentifikasi kerentanan dan mengukur dampak serta kemungkinannya sehingga dapat dikelola secara proaktif; anggaran dapat dialokasikan dan tindakan perbaikan diterapkan.
Apa yang dapat diuji?
Semua bagian dari cara organisasi Anda menangkap, menyimpan, dan memproses informasi dapat dinilai; sistem tempat informasi disimpan, saluran transmisi yang mengangkutnya, serta proses dan personel yang mengelolanya. Contoh area yang umumnya diuji adalah:
Produk siap pakai (sistem operasi, aplikasi, basis data, peralatan jaringan, dll.)
Pengembangan khusus (situs web dinamis, aplikasi internal, dll.)
Telepon (panggilan perang, akses jarak jauh, dll.)
Nirkabel (WIFI, Bluetooth, IR, GSM, RFID, dll.)
Personel (proses penyaringan, rekayasa sosial, dll.)
Fisik (kontrol akses, pencarian tempat sampah, dll.)
Apa yang harus diuji?
Idealnya, organisasi Anda seharusnya sudah melakukan penilaian risiko, sehingga akan menyadari ancaman utama (seperti kegagalan komunikasi, kegagalan e-commerce, hilangnya informasi rahasia, dll.), dan sekarang dapat menggunakan penilaian keamanan untuk mengidentifikasi kerentanan yang terkait dengan ancaman ini. Jika Anda belum melakukan penilaian risiko, maka biasanya dimulai dengan area yang paling banyak terpapar, seperti sistem yang dihadapi publik; situs web, gerbang email, platform akses jarak jauh, dll.