Metodologi Penetration Testing
Terakhir diperbarui: 14 Oktober 2026.
Halaman ini menjelaskan cara kami menguji keamanan sistem Anda, dari kesepakatan awal sampai uji ulang.
Sebelum pengujian dimulai
- Ruang lingkup tertulis. Kita sepakati alamat, aplikasi, dan server mana yang boleh diuji, dan mana yang tidak boleh disentuh sama sekali.
- Izin tertulis dari pihak yang berwenang atas sistem itu. Kalau sistemnya berjalan di layanan pihak lain (cloud, hosting, atau aplikasi SaaS), kami pastikan pengujiannya sesuai aturan penyedia tersebut.
- Aturan main. Jadwal pengujian, kontak darurat dari kedua pihak, alamat IP yang kami pakai untuk menguji, dan hal-hal yang dilarang.
- Perjanjian kerahasiaan sebelum kami melihat apa pun dari sistem Anda.
Tanpa keempat hal ini, pengujian tidak dimulai.
Standar yang kami pakai
- Aplikasi web dan API: OWASP Web Security Testing Guide dan OWASP Top 10. Kami menguji autentikasi, hak akses, logika bisnis, penanganan input, dan konfigurasi.
- Infrastruktur dan jaringan: pemetaan layanan yang terbuka, pemeriksaan konfigurasi dan pembaruan keamanan, lalu pengujian manual pada bagian yang paling berisiko.
- Tingkat keparahan setiap temuan dinilai dengan CVSS, lalu kami jelaskan dampaknya bagi bisnis Anda dalam bahasa yang mudah dipahami.
Alat otomatis hanya membantu. Setiap temuan kami periksa dan buktikan secara manual, jadi laporan Anda tidak penuh alarm palsu.
Selama pengujian
- Kami hanya menguji yang ada di ruang lingkup, dari alamat IP yang sudah kami beri tahu sebelumnya.
- Pengujian dirancang agar bisnis Anda tetap jalan: tanpa serangan yang sengaja membuat sistem mati, dan tanpa menghapus atau mengubah data asli. Kalau ada langkah yang berisiko, kami tanya Anda dulu.
- Kalau kami menemukan celah kritis, misalnya data pelanggan bisa dibuka siapa saja, kami langsung kabari Anda saat itu juga, tanpa menunggu laporan akhir.
- Kalau ada tanda bahwa sistem Anda sudah pernah dibobol orang lain, kami hentikan pengujian di bagian itu dan segera memberi tahu Anda.
Data Anda
- Data yang kami lihat selama pengujian hanya dipakai untuk membuktikan celah. Kami ambil seperlunya, misalnya satu contoh, bukan seluruh database, dan contoh itu kami samarkan di laporan.
- Semua data dan bukti pengujian (contoh data, tangkapan layar, dan catatan alat) kami hapus paling lambat 30 hari setelah uji ulang selesai. Laporan akhir kami simpan terenkripsi selama satu tahun sebagai acuan pengujian berikutnya, kecuali Anda meminta dihapus lebih cepat.
- Temuan tentang sistem Anda tidak pernah kami terbitkan. Riset yang kami publikasikan hanya berasal dari website kami sendiri dan dari celah yang sudah diumumkan secara resmi.
Isi laporan
- Ringkasan untuk manajemen: risiko utama dan prioritas perbaikannya, tanpa istilah teknis yang berlebihan.
- Daftar temuan, diurutkan dari risiko tertinggi. Setiap temuan berisi tingkat keparahan, dampak bagi bisnis, langkah untuk membuktikannya, dan cara memperbaikinya.
- Yang sudah baik juga kami catat, supaya Anda tahu bagian mana yang tidak perlu diubah.
- Laporan tersedia dalam Bahasa Indonesia atau Inggris.
Uji ulang
Setelah celahnya Anda perbaiki, kami uji ulang temuan yang sama satu kali tanpa biaya tambahan, selama dalam 60 hari setelah laporan kami serahkan. Hasilnya kami tambahkan ke laporan, jadi Anda punya catatan bahwa celahnya sudah tertutup.
Yang tidak kami lakukan
- Menguji tanpa izin tertulis, atau di luar ruang lingkup yang disepakati.
- Serangan yang sengaja membuat sistem mati (DoS).
- Social engineering ke karyawan Anda, seperti email phishing atau telepon palsu. Ini belum termasuk layanan kami.
- Menyimpan, menjual, atau membagikan data Anda.
Pertanyaan
Ingin tahu apakah pengujian cocok untuk sistem Anda? Hubungi kami lewat halaman kontak. Kalau Anda menemukan celah keamanan di website kami sendiri, kabari kami di security@digimasi.com.