Semua organisasi wajib menjaga dan memastikan keamanan sistem informasi. Serangan saat ini dapat menargetkan aplikasi, jaringan, server, API, dan infrastruktur TI. Oleh karena itu, organisasi harus melakukan pengujian rutin terhadap keamanan sistem mereka. Vulnerability Assessment dan Penetration Testing (Pentest) adalah dua metode yang sering digunakan dalam sebuah perusahaan. Bersama-sama, mereka memungkinkan organisasi untuk mengungkap kelemahan keamanan. Namun, tujuan, metode, dan dampaknya berbeda satu sama lain. Pengujian keamanan di bidang keuangan juga semakin penting. OJK dan Bank Indonesia telah menyerukan peningkatan tata kelola TI, manajemen risiko TI, dan ketahanan siber. Hal ini tercermin dalam POJK 11/2022, SEOJK 29/2022, POJK 34/2025, dan PBI 2/2024.
Apa Itu Vulnerability Assessment dan Penetration Testing?
Vulnerability Assesment membantu dalam menemukan masalah keamanan dalam sistem informasi. Proses tersebut biasanya mengandalkan tools otomatis dan beberapa pemeriksaan teknis. Dengan melakukan hal tersebut, organisasi dapat menemukan daftar kelemahan dalam sistem. Organisasi juga dapat menghitung tingkat risiko dari setiap celah keamanan. Namun, Vulnerability Assessment tidak memungkinkan tim penguji untuk mengetahui secara langsung apakah penyerang dapat mengeksploitasi celah tersebut. Ini lebih berorientasi pada penemuan, pengkategorian, dan peringkat kerentanan. Oleh karena itu, Vulnerability Assessment ini cocok untuk pemantauan keamanan secara berkala. Organisasi dapat menggunakannya sebagai dasar perbaikan sistem secara cepat.
Penetration Testing Adalah proses pengujian keamanan yang mensimulasikan serangan secara terkendali. Penguji yang melakukan Penetration Testing di sebut Pentester. Pentester akan mencoba mengeksploitasi celah keamanan seperti penyerang nyata. Oleh karena itu, Penetration Testing tidak hanya mengidentifikasi celah keamanan. Pendekatan ini juga menggambarkan konsekuensi nyata jika celah tersebut dapat dieksploitasi. Pentester dapat melakukan semua jenis Penetration Testing pada situs web, aplikasi seluler, API, jaringan dan server.
Baca Juga: Kapan Perlu Vulnerability Assessment dan Penetration Testing?
Perbedaan Utama Vulnerability Assessment dan Penetration Testing
1. Perbedaan dari Sisi Tujuan
Vulnerability Assessment bertujuan menemukan sebanyak mungkin celah keamanan, sedangkan Penetration Testing fokus membuktikan celah yang dapat dieksploitasi secara nyata.
Dengan kata lain, Vulnerability Assessment menjawab pertanyaan “Apa saja celahnya?”. Sedangkan Pengujian Penetrasi menjawab pertanyaan “apa dampaknya jika celah tersebut diserang?”.
2. Perbedaan dari Sisi Pendekatan
Vulnerability Assessment melakukan pemindaian otomatis dengan beberapa validasi dasar. Di sisi lain, Penetration Testing menggunakan kombinasi tools, analisis, dan simulasi serangan. Oleh karena itu, pentester harus memiliki pengetahuan teknis lebih dalam.
3. Perbedaan dari Sisi Kedalaman Pengujian
Pentest menawarkan analisis yang lebih mendalam dan mendetail dibandingkan dengan vulnerability assessment. Dalam pentest, para penguji akan mencoba berbagai teknik dan tools untuk benar-benar mengeksploitasi kerentanan, dan menguji ketahanan sistem terhadap serangan nyata.
Vulnerability assessment, di sisi lain, cenderung memberikan pandangan yang lebih luas tetapi kurang mendalam. Metode ini mengidentifikasi kerentanan tanpa menguji batasan dari setiap kerentanan secara rinci. Hasilnya adalah daftar komprehensif dari semua potensi kerentanan yang ada dalam sistem.
4. Perbedaan dari Sisi Hasil Akhir
Vulnerability Assessment menghasilkan daftar kerentanan beserta tingkat risikonya. Sementara itu, Penetration Testing menghasilkan bukti eksploitasi dan skenario serangan. Laporan pentest juga menjelaskan dampak bisnis dari celah yang ditemukan.
5. Perbedaan dari Sisi Waktu Pelaksanaan
Vulnerability Assessment dapat dilakukan lebih sering sebagai pemantauan rutin.
Misalnya, organisasi dapat melakukannya setelah perubahan konfigurasi atau pembaruan sistem. Namun, Penetration Testing paling sering dilakukan pada moment strategis. Seperti, sebelum aplikasi diluncurkan, setelah perubahan besar, atau untuk kebutuhan audit, misalnya.
Mengapa Keduanya Sama-Sama Penting?
Vulnerability Assessment dan Penetration Testing adalah konsep yang saling melengkapi. Pertama, Vulnerability Assessment memungkinkan organisasi untuk mengungkap celah yang luas. Kemudian, melalui Pentest organisasi dapat membuktikan risiko mereka dengan cara yang lebih realistis. Kombinasi ini memungkinkan organisasi untuk menentukan prioritas perbaikan yang lebih tepat.
