Cara memilih vendor pentest dan membandingkan penawaran

Mulai dari pekerjaan yang akan dibeli

Pilih vendor pentest berdasarkan kesesuaian lingkup dan kemampuan membuktikan hasil pengujian. Harga baru dapat dibandingkan setelah aset, akses, metode, hasil pekerjaan, dan pengujian ulang (retest) dijelaskan. Daftar alat atau logo pelanggan belum menjawab semua itu.

Siapkan ringkasan aplikasi: kegunaannya, fitur penting, peran pengguna, API (antarmuka pertukaran data), serta lingkungan pengujian. Kirim ringkasan yang sama kepada calon vendor. Jangan mengirim kata sandi, kode sumber, atau data pelanggan bersama permintaan penawaran awal.

Jika tujuannya belum jelas, baca pengantar pentest untuk bisnis terlebih dahulu.

Pertanyaan apa yang perlu diajukan?

Hal yang diperiksa	Pertanyaan untuk vendor
Penguji	Siapa yang mengerjakan dan meninjau hasil? Apa pengalaman mereka dengan jenis aplikasi ini?
Lingkup	Apakah API, akun admin, dan pembatasan akses antarorganisasi termasuk? Apa yang dikecualikan?
Metode	Bagian mana memakai alat otomatis, dan bagian mana diperiksa manual? Bagaimana dugaan celah dikonfirmasi?
Batas tindakan	Apa yang dapat mengganggu layanan? Kapan pengujian dihentikan dan siapa yang dihubungi?
Data	Siapa boleh mengakses bukti dan laporan, di mana disimpan, serta kapan dihapus atau dikembalikan?
Hasil pekerjaan	Apakah laporan menjelaskan temuan dengan bukti, dampak, dan saran perbaikan yang bisa dipakai tim?
Tindak lanjut	Apakah ada pembahasan hasil dan retest? Berapa kali, sampai kapan, dan apa batas lingkupnya?

Mintalah contoh laporan yang sudah disamarkan atau dibuat khusus sebagai contoh. Jangan meminta laporan rahasia pelanggan lain. Periksa apakah tim pengembang Anda bisa memahami tindakan yang perlu dilakukan dari contoh itu.

Sertifikasi individu dapat menjadi salah satu bahan penilaian. Tetap tanyakan pengalaman yang sesuai dan siapa yang benar-benar ditugaskan; satu sertifikat atau nama metode tidak menjelaskan seluruh kemampuan tim.

Contoh membandingkan dua penawaran

Contoh fiktif Kompli: tim hendak menguji aplikasi pesanan dengan akun pelanggan, admin, dan API. Kedua penawaran memakai judul “Pentest Website”.

Bagian	Penawaran A	Penawaran B
Aset	Halaman publik satu domain	Halaman publik, dua peran akun, dan API yang didaftar
Pemeriksaan	Pemindaian; pemeriksaan lanjutan belum dijelaskan	Pemeriksaan manual akses akun dan konfirmasi temuan dijelaskan
Laporan	Daftar hasil alat	Temuan dengan bukti, dampak, dan saran perbaikan
Retest	Tidak disebut	Satu putaran untuk temuan dalam laporan, dengan tenggat yang disepakati

Penawaran A belum menjawab kebutuhan aplikasi pada contoh ini. Minta penjelasan atau revisi lingkup sebelum mengambil keputusan. Penawaran B lebih jelas, tetapi kemampuan penguji, izin, pengamanan data, dan ketentuan kerjanya tetap perlu diperiksa. Tabel ini bukan penilaian vendor nyata atau patokan harga pasar.

Apa yang harus tertulis sebelum mulai?

Simpan kesepakatan tentang daftar aset dan pengecualian, pihak yang memberi izin, waktu pengujian, kontak darurat, serta penanganan gangguan. Jika aplikasi menggunakan infrastruktur pihak lain, periksa izin dan ketentuan penyedianya. Persetujuan pemilik aplikasi belum tentu mencakup seluruh sistem yang terhubung.

Jelaskan apakah vendor memakai subkontraktor dan siapa yang mendapat akses. Tentukan cara mengirim laporan, penerimanya, masa simpan bukti, serta pencabutan akun setelah pekerjaan selesai. Perjanjian kerahasiaan perlu disertai cara kerja yang jelas.

Untuk biaya, minta pemisahan antara pengujian, laporan, pembahasan, retest, dan pekerjaan tambahan. Tanyakan apa yang terjadi jika fitur atau jumlah aset berubah. Halaman ini tidak menetapkan tarif atau lama pengerjaan yang berlaku untuk semua aplikasi.

Bagaimana menerima hasilnya?

Cocokkan hasil dengan kesepakatan. Periksa apakah ada bagian yang tidak dapat diuji dan alasannya. Tetapkan orang yang menangani setiap temuan, lalu sepakati bukti yang perlu disiapkan saat retest.

Temuan mendesak perlu memiliki jalur komunikasi selama pekerjaan berlangsung. Jika muncul tanda insiden nyata, koordinasikan melalui rencana penanganan insiden; jangan menganggap semua kejadian pasti berasal dari penguji.

Hindari memilih hanya karena janji “pasti aman”, hasil harus tanpa temuan, atau dokumen yang disebut sertifikat tanpa penjelasan. Pentest membantu menemukan dan menindaklanjuti kelemahan pada lingkup tertentu; tidak menjamin seluruh sistem bebas risiko.

Pertanyaan dan tabel di atas adalah alat bantu pengadaan dari Kompli, dengan rujukan teknis NIST dan OWASP. Ini bukan daftar penyedia yang direkomendasikan atau persyaratan hukum seragam. Setelah vendor dipilih, gunakan checklist persiapan pentest bersama tim.

Gunakan contoh lingkup website dan API untuk menyamakan permintaan, panduan biaya dan waktu untuk merinci penawaran, serta panduan laporan dan retest saat menerima hasil.