Blog Single

Apa itu Penetration Testing? Penetration testing merupakan cara dalam mengevaluasi sistem keamanan perangkat dengan mensimulasikan serangan siber secara nyata. Metode ini dilakukan oleh orang yang disebut dengan Pentester. Tujuan penetration testing adalah untuk mengidentifikasi kerentanan serta celah keamanan pada sistem informasi dan memberikan rekomendasi untuk memperbaikinya. . 

Baca juga: Peran Analisa Risiko Keamanan Informasi ISO 27001 dalam Menjaga Keamanan Data Perusahaan 

ISO 27001 merupakan standar internasional yang memberikan kerangka kerja untuk keamanan informasi yang efektif serta dapat diintegrasi dengan standar sistem manajemen lainnya. Standar ini mengarah pada praktik terbaik yang bisa membantu organisasi untuk mengamankan aset informasi. Dalam implementasi ISO 27001, penetration testing atau lebih sering disebut dengan pentest menjadi salah satu bagian penting untuk menjaga keamanan informasi

Apa Persyaratan Penetration Testing ISO 27001?

Pengujian penetrasi dalam konteks sertifikasi ISO 27001, yang merupakan standar manajemen keamanan informasi memiliki beberapa persyaratan, seperti:

• Pemahaman ruang lingkup 

Kamu harus menentukan ruang lingkup penetration testing seperti sistem, jaringan, dan aplikasi yang akan diuji. Ruang lingkup ini harus sama dengan batasan sistem manajemen keamanan informasi (ISMS) 27001. 

• Otorisasi 

Memahami otorisasi yang benar dari pihak berkepentingan termasuk manajemen dan pemilik data sebelum melakukan penetration testing. Hal ini berguna untuk memastikan transparansi dan kepatuhan terhadap pertimbangan etis. 

• Aturan keterlibatan 

Syarat ini bertujuan untuk menjelaskan proses apa yang diperbolehkan selama penetration testing. Hal ini bisa membantu mencegah gangguan yang tidak perlu dan memastikan bahwa pengujian sejalan dengan toleransi risiko perusahaan. 

• Penilaian risiko 

Melakukan penilaian risiko untuk mengidentifikasi dan memprioritaskan potensi kerentanan. Langkah ini dapat membantu dalam fokus pada area kritis dan sama dengan kerangka manajemen ISO 27001. 

• Kepatuhan terhadap kebijakan 

Pastikan aktivitas penetration testing mematuhi kebijakan dan prosedur keamanan informasi organisasi dan persyaratan ISO 27001. 

• Dokumentasi 

Dokumentasi secara menyeluruh proses penetration testing, termasuk metodologi dan temuan. Dokumentasi ini sangat penting untuk tujuan audit dan perbaikan berkelanjutan. 

• Pelaporan 

Perusahaan harus memberikan laporan hasil penetration testing yang jelas, mencakup kerentanan yang teridentifikasi, tingkat keparahannya, dan rekomendasi untuk perbaikan. 

• Perbaikan sistem pasca pengujian

Menerapkan tindakan pengujian berdasarkan temuan penetration testing. Hal ini akan melibatkan pembaruan kontrol keamanan, kebijakan atau prosedur untuk mengatasi kerentanan yang teridentifikasi. 

• Tindakan lanjutan 

Hal ini bisa memastikan bahwa SMKI berkembang untuk mengatasi ancaman dan kerentanan yang ada. 

• Kepatuhan hukum dan peraturan 

Pastikan aktivitas pengujian penetrasi mematuhi persyaratan hukum dan peraturan yang relevan.  Hal ini penting untuk menghindari masalah hukum dan menjaga integritas proses sertifikasi ISO 27001.

Pentingnya penetration testing untuk implementasi ISO 27001

Pelaksanaan pengujian penetrasi digunakan untuk memenuhi persyaratan kontrol A.12.16. Pengujian penetrasi dilaksanakan sesuai dengan kebutuhan spesifik, seperti memberikan analisis mendalam tentang kerentanan spesifik. Selain itu, Pengujian penetrasi juga membantu memvalidasi kepatuhan terhadap persyaratan ISO 27001 dan memberikan jaminan kepada pihak-pihak berkepentingan bahwa perusahaan berkomitmen terhadap keamanan informasi. Penetration testing dinilai mampu meningkatkan ketahanan keamanan informasi perusahaan secara keseluruhan.