Isi Laporan Pentest dan Cara Membacanya untuk Manajemen
Bagian laporan pentest, arti skor CVSS dan tingkat keparahan, serta langkah manajemen mengubah temuan menjadi keputusan dan tenggat perbaikan.
Jawaban singkat
Laporan pentest umumnya berisi ringkasan eksekutif, lingkup dan metodologi, daftar temuan dengan tingkat keparahan, bukti, dan rekomendasi. Manajemen cukup memahami lingkup, dampak bisnis tiap temuan, lalu menetapkan pemilik, tenggat perbaikan, dan jadwal uji ulang.
Daftar isi
Laporan pentest baru saja masuk ke email kamu, tebalnya puluhan halaman, penuh istilah seperti CVSS, IDOR, dan PoC. Apa yang sebenarnya perlu kamu baca sebagai manajer atau pemilik usaha, dan keputusan apa yang harus diambil?
Kabar baiknya, manajemen tidak perlu memahami setiap detail teknis. Tugasmu adalah memastikan tiga hal: pengujiannya mencakup sistem yang benar, risiko terbesar dipahami dampaknya bagi bisnis, dan setiap temuan punya pemilik serta tenggat perbaikan. Panduan berikut membantu kamu membaca laporan dengan urutan yang tepat.
Bagian apa saja yang ada di laporan pentest?
Format tiap penyedia berbeda, tetapi laporan yang baik hampir selalu memuat bagian berikut:
- Ringkasan eksekutif. Satu sampai dua halaman tentang gambaran risiko secara keseluruhan, temuan paling serius, dan rekomendasi utama, ditulis untuk pembaca non-teknis.
- Lingkup dan metodologi. Sistem apa yang diuji, kapan, dengan pendekatan apa (black box, grey box, atau white box), dan acuan yang dipakai, misalnya OWASP.
- Ringkasan temuan. Tabel atau grafik jumlah temuan per tingkat keparahan.
- Detail temuan. Untuk setiap celah: judul, tingkat keparahan, skor (sering memakai CVSS), deskripsi, dampak, bukti atau langkah reproduksi, rekomendasi perbaikan, dan referensi seperti nomor CWE.
- Lampiran. Daftar alat, hasil mentah, dan catatan teknis tambahan.
Langkah membaca laporan pentest untuk manajemen
- Periksa lingkupnya lebih dulu. Pastikan semua sistem yang kamu anggap penting benar-benar diuji. Laporan "bersih" untuk lingkup yang sempit tidak berarti sistem lain aman. Perhatikan juga batasan yang ditulis penguji, misalnya fitur yang tidak bisa diuji karena akun tidak tersedia.
- Baca ringkasan eksekutif sampai selesai. Catat dua atau tiga risiko terbesar dengan bahasa bisnis, misalnya "pelanggan bisa melihat data pelanggan lain" atau "akun admin bisa diambil alih".
- Pahami arti tingkat keparahan. Banyak laporan memakai skala CVSS dari FIRST: 0,1 sampai 3,9 rendah, 4,0 sampai 6,9 sedang, 7,0 sampai 8,9 tinggi, dan 9,0 sampai 10,0 kritis. Skor ini mengukur tingkat keparahan teknis, belum tentu risiko bagi bisnismu.
- Tanyakan dampak bisnis tiap temuan tinggi dan kritis. Data apa yang terdampak, berapa banyak pengguna, apakah celah bisa dipakai tanpa login, dan apakah ada tanda pernah dieksploitasi. Temuan "sedang" di sistem pembayaran bisa lebih mendesak daripada temuan "tinggi" di server uji yang tidak menyimpan data.
- Tetapkan pemilik dan tenggat. Setiap temuan harus punya satu penanggung jawab dan tanggal target. Tanpa ini, laporan cenderung berakhir di folder arsip.
- Putuskan perlakuan risiko. Sebagian besar temuan diperbaiki. Bila ada yang tidak bisa segera diperbaiki, misalnya karena menunggu vendor, catat kontrol pengganti sementara dan siapa yang menyetujui menerima risiko itu.
- Jadwalkan uji ulang. Minta penguji memverifikasi perbaikan, lalu simpan laporan uji ulang. Dokumen ini sering diminta klien, auditor, atau mitra sebagai bukti.
Contoh menerjemahkan temuan ke bahasa bisnis
Misalkan laporan mencantumkan temuan berjudul "Insecure Direct Object Reference pada endpoint pesanan" dengan tingkat tinggi. Terjemahan bisnisnya kira-kira: pelanggan yang login bisa melihat detail pesanan pelanggan lain, termasuk nama, alamat, dan nomor HP, hanya dengan mengubah nomor pesanan di alamat URL. Dari kalimat itu manajemen langsung paham bahwa ini menyangkut data pribadi, sehingga juga relevan dengan kewajiban keamanan dalam UU PDP.
Minta tim teknis atau penguji menuliskan terjemahan seperti ini untuk setiap temuan tinggi dan kritis. Satu kalimat dampak sering lebih berguna untuk rapat direksi daripada skor angka.
Seberapa cepat temuan perlu diperbaiki?
UU dan standar umum tidak menetapkan satu tenggat yang berlaku untuk semua organisasi. Yang lazim adalah perusahaan menetapkan kebijakan internal berdasarkan tingkat keparahan, lalu menjalankannya secara konsisten. Contoh kebijakan yang sering dipakai sebagai titik awal:
| Tingkat keparahan | Rentang skor CVSS | Contoh target perbaikan internal | Siapa yang perlu tahu |
|---|---|---|---|
| Kritis | 9,0 sampai 10,0 | Secepatnya, dalam hitungan hari | Direksi dan pemilik sistem |
| Tinggi | 7,0 sampai 8,9 | Dalam beberapa minggu | Manajer TI dan pemilik sistem |
| Sedang | 4,0 sampai 6,9 | Dalam satu sampai tiga bulan | Tim teknis |
| Rendah | 0,1 sampai 3,9 | Pada siklus pemeliharaan berikutnya | Tim teknis |
Angka di kolom target hanya contoh. Sesuaikan dengan kemampuan tim dan risiko bisnis, lalu tuliskan sebagai kebijakan agar tidak diperdebatkan setiap kali laporan masuk. Bila kontrak klien atau standar yang kamu ikuti menetapkan tenggat sendiri, ikuti yang tertulis itu.
Pertanyaan yang layak diajukan ke penguji
Sesi presentasi hasil (debrief) adalah kesempatan terbaik untuk mengklarifikasi. Pertanyaan yang membantu manajemen antara lain: temuan mana yang paling mungkin dipakai penyerang sungguhan, apakah beberapa temuan sedang bisa digabung menjadi serangan yang lebih serius, apa yang tidak sempat diuji, dan perbaikan mana yang memberi dampak terbesar dengan usaha paling kecil. Bila kamu belum yakin pendekatan pengujian mana yang dipakai, baca dulu bedanya pentest black box, grey box, dan white box.
Pertanyaan yang sering diajukan
Apakah laporan tanpa temuan kritis berarti sistem aman?
Belum tentu. Artinya penguji tidak menemukan celah kritis dalam lingkup dan waktu pengujian tersebut. Sistem di luar lingkup dan celah yang muncul setelah pengujian tidak tercakup.
Bolehkah laporan pentest dibagikan ke klien?
Laporan lengkap berisi detail teknis yang bisa dimanfaatkan penyerang, jadi sebaiknya dibatasi. Untuk klien, banyak penyedia menyiapkan surat keterangan atau ringkasan eksekutif yang lebih aman dibagikan.
Apa itu temuan informasional?
Catatan yang tidak langsung bisa dieksploitasi, misalnya versi perangkat lunak terlihat di header. Tidak mendesak, tetapi berguna untuk memperketat konfigurasi.
Apa beda CVSS versi 3.1 dan 4.0?
CVSS 4.0 dirilis FIRST pada 2023 dengan metrik yang lebih rinci. Rentang skor dan label tingkat keparahannya tetap sama, jadi cukup pastikan laporan menyebut versi yang dipakai.
Berapa lama laporan pentest perlu disimpan?
Simpan setidaknya sampai pentest berikutnya dan selama diperlukan untuk audit atau kontrak. Simpan di tempat dengan akses terbatas karena isinya sensitif.
Checklist singkat setelah laporan diterima:
- Lingkup sudah dicek dan sesuai sistem yang penting.
- Dua sampai tiga risiko utama sudah dirumuskan dalam bahasa bisnis.
- Setiap temuan punya pemilik dan tanggal target.
- Risiko yang diterima sementara sudah disetujui dan dicatat.
- Uji ulang sudah dijadwalkan.
- Laporan disimpan dengan akses terbatas.
