Panduan

Apa Saja yang Menentukan Biaya Jasa Pentest

Dua penawaran dengan harga berbeda jauh sering kali bukan soal kualitas, tetapi soal cakupan yang tidak pernah dituliskan dengan jelas. Ini komponen yang menentukan biayanya.

Program perkenalan

Audit keamanan gratis

Kami mengerjakan satu audit penuh tanpa biaya — standar dan kedalaman yang sama seperti engagement berbayar. Sebagai gantinya kami meminta satu hal: recognition, berupa izin mencantumkan engagement ini sebagai referensi portofolio cyberagent.id. Identitas kamu boleh tetap anonim.

← Semua artikel

1. Jumlah aset yang benar-benar diuji

Satu aplikasi web berbeda jauh dari lima aplikasi ditambah API dan panel admin. Yang dihitung bukan jumlah halaman tampilan, tetapi jumlah permukaan yang harus dipahami dan diuji satu per satu.

2. Kedalaman pengujian

Pemindaian otomatis dengan laporan standar adalah pekerjaan berjam-jam. Pengujian manual dengan rangkaian serangan, penyusunan bukti, dan pengujian ulang setelah perbaikan adalah pekerjaan berhari-hari. Dua hal yang tampak mirip di proposal bisa berada di ujung yang berbeda.

3. Akses yang diberikan

Pengujian dengan kotak hitam (hanya alamat aplikasi) memerlukan lebih banyak waktu untuk pemetaan. Pengujian dengan source code dan akun uji memberi hasil lebih dalam karena penguji bisa menelusuri alur langsung di kode. Sering kali penyerahan source code menurunkan biaya sekaligus menaikkan mutu temuan.

4. Apakah ada pengujian ulang

Pengujian ulang setelah perbaikan memastikan temuan benar-benar tertutup, bukan hanya ditandai selesai. Ini pekerjaan tambahan yang memakan waktu, dan sebaiknya disepakati sejak awal agar tidak menjadi perdebatan di akhir proyek.

5. Kebutuhan kepatuhan

Kalau hasilnya akan dipakai untuk audit standar tertentu, laporan harus memuat bukti, tingkat dampak, dan pemetaan ke kerangka kerja yang diminta. Format laporan yang menyesuaikan kebutuhan ini menambah waktu, tetapi menghemat pekerjaan ulang saat audit berlangsung.

6. Tenggat

Jadwal yang dipercepat biasanya memerlukan penguji tambahan atau jam kerja di luar jam normal. Wajar kalau harganya berbeda, tapi tanyakan apa yang dikurangi agar tenggat itu tercapai.

7. Kerahasiaan dan lingkungan pengujian

Kalau pengujian harus dilakukan di lingkungan terpisah dengan data tersamarkan, ada pekerjaan persiapan yang perlu diperhitungkan. Kalau pengujian dilakukan di produksi, batasan non-destruktif juga memengaruhi berapa banyak yang bisa diuji dalam satu kunjungan.

Cara menilai penawaran dengan adil

Pastikan cakupan tertulis sebagai daftar aset, bukan frasa umum seperti "satu website".
Tanyakan metode: berapa banyak waktu manual dibanding otomatis.
Tanyakan apakah pengujian ulang termasuk, dan berapa kali.
Minta contoh kerangka laporan, bukan contoh temuan.
Pastikan ada kontak yang bisa dihubungi saat pengujian berlangsung.

Yang perlu diwaspadai

Penawaran yang jauh lebih murah dari yang lain biasanya mengurangi salah satu dari tiga hal: kedalaman pengujian, pengujian ulang, atau kualitas bukti. Laporan tanpa bukti reproduksi sulit dipakai tim pengembang, sehingga biaya perbaikannya justru bertambah. Sebaliknya, penawaran mahal tanpa cakupan yang jelas juga tidak menjamin apa pun.

Cara paling aman: minta satu penugasan kecil dengan cakupan sempit terlebih dahulu, lalu nilai kualitas laporan dan kecepatan komunikasinya sebelum memperluas.

Pertanyaan yang sering muncul

Apakah harga ditentukan oleh jumlah temuan?

Umumnya tidak. Yang dibayar adalah waktu dan kedalaman pengujian, bukan jumlah temuan. Sistem yang matang bisa menghabiskan waktu lebih lama dengan temuan lebih sedikit, dan itu hasil yang wajar.

Apakah penugasan kecil bisa jadi pilihan awal?

Bisa, dan itu cara yang baik untuk menilai cara kerja penguji: satu aplikasi, cakupan terbatas, laporan dengan bukti. Setelah itu cakupan bisa diperluas.

Apa yang membuat pengujian ulang penting?

Tanpa pengujian ulang, tidak ada cara memastikan perbaikan benar-benar menutup masalah. Sering kali perbaikan menutup satu jalur tetapi meninggalkan jalur lain dengan penyebab yang sama.