Pengujian Penetrasi - Penguji
Ada masalah melindungi data organisasi yang paling penting; Oleh karena itu, peran penguji penetrasi sangat penting, kesalahan kecil dapat membahayakan kedua belah pihak (penguji dan kliennya).
Oleh karena itu, bab ini membahas berbagai aspek penguji penetrasi termasuk kualifikasi, pengalaman, dan tanggung jawabnya.
Kualifikasi Penguji Penetrasi
Tes ini hanya dapat dilakukan oleh penguji penetrasi yang memenuhi syarat; oleh karena itu, kualifikasi penguji penetrasi sangat penting.
Baik pakar internal berkualifikasi atau pakar eksternal berkualifikasi dapat melakukan uji penetrasi sampai mereka independen secara organisasi. Ini berarti bahwa penguji penetrasi harus independen secara organisasi dari manajemen sistem target. Misalnya, jika perusahaan pihak ketiga terlibat dalam pemasangan, pemeliharaan, atau dukungan sistem target, maka pihak tersebut tidak dapat melakukan pengujian penetrasi.
Berikut adalah beberapa pedoman yang akan membantu Anda saat memanggil penguji penetrasi.
Sertifikasi
Seseorang yang bersertifikat dapat melakukan pengujian penetrasi. Sertifikasi yang dipegang oleh penguji merupakan indikasi dari keahlian dan kompetensi penguji penetrasi yang mampu.
Berikut adalah contoh penting dari sertifikasi pengujian penetrasi -
Certified Ethical Hacker (CEH).
Profesional Tersertifikasi Keamanan Ofensif (OSCP).
Sertifikasi Pengujian Penetrasi CREST.
Sertifikasi Layanan Pemeriksaan Kesehatan TI Communication Electronic Security Group (CESG).
Sertifikasi Global Information Assurance Certification (GIAC) misalnya, GIAC Certified Penetration Tester (GPEN), GIAC Web Application Penetration Tester (GWAPT), Advance Penetration Tester (GXPN), dan GIAC Exploit Researcher.
Pengalaman Masa Lalu
Pertanyaan-pertanyaan berikut akan membantu Anda menyewa penguji penetrasi yang efektif -
Berapa tahun pengalaman yang dimiliki penguji penetrasi?
Apakah dia seorang penguji penetrasi independen atau bekerja untuk suatu organisasi?
Dengan berapa perusahaan dia bekerja sebagai penguji penetrasi?
Apakah dia telah melakukan pengujian penetrasi untuk organisasi mana pun, yang memiliki ukuran dan cakupan yang sama seperti milik Anda?
Jenis pengalaman apa yang dimiliki penguji penetrasi? Misalnya, melakukan pengujian penetrasi lapisan jaringan, dll
Anda juga dapat meminta referensi dari pelanggan lain untuk siapa dia bekerja.
Saat menyewa penguji penetrasi, penting untuk mengevaluasi pengalaman pengujian tahun lalu dari organisasi tempat dia (penguji) bekerja karena terkait dengan teknologi yang secara khusus digunakan olehnya dalam lingkungan target.
Selain hal di atas, untuk situasi yang kompleks dan persyaratan klien yang khas, direkomendasikan untuk mengevaluasi kemampuan penguji untuk menangani lingkungan yang serupa di proyek sebelumnya.
Peran Penguji Penetrasi
Penguji penetrasi memiliki peran berikut -
Identifikasi alokasi alat dan teknologi yang tidak efisien.
Pengujian di seluruh sistem keamanan internal.
Tentukan eksposur untuk melindungi data paling penting.
Temukan pengetahuan yang tak ternilai tentang kerentanan dan risiko di seluruh infrastruktur.
Melaporkan dan memprioritaskan rekomendasi remediasi untuk memastikan bahwa tim keamanan menggunakan waktu mereka dengan cara yang paling efektif, sekaligus melindungi celah keamanan terbesar.