Pentingnya Penetration Testing dalam Implementasi ISO 27001

Ditengah maraknya kasus serangan siber yang terjadi belakangan ini, organisasi harus selalu berhati-hati dalam menjaga data dan informasi penting yang bersifat rahasia. Peningkatan dan evaluasi berkala pada sistem keamanan informasi harus dilakukan secara konsisten. Hal ini sejalan dengan risiko serangan siber yang terus berkembang jenis dan metodenya.

ISO atau international organization of standardization mempunyai standar internasional yang bermanfaat untuk organisasi, terutama dalam menangani serangan siber yaitu standar ISO 27001. Standar ini ditujukan untuk membantu organisasi melindungi, menerapkan, dan meningkatkan sistem manajemen keamanan informasi dengan efektif dan efisien. 

Penetration Testing

Dalam penerapan ISO 27001, salah satu cara organisasi menjaga keamanan informasinya adalah dengan melakukan penetration testing secara berkala. Hal ini dilakukan untuk mengidentifikasi apakah sistem yang diterapkan sudah memenuhi standar keamanan ISO 27001 dan memastikan efektifitasnya dalam meminimalisir risiko serangan siber.

Penetration testing atau uji penetrasi adalah salah satu cara untuk menguji keamanan sistem informasi dari segala bentuk serangan. Tujuannya adalah untuk mengidentifikasi kerentanan atau celah keamanan pada sistem informasi dan memberikan rekomendasi untuk memperbaikinya. Dalam penerapannya, apakah penetration testing diwajibkan dalam standar ISO 27001? Simak penjelasan berikut ini.

Baca juga: Menerapkan pengendalian keamanan teknis sesuai ISO 27001

Apakah ISO 27001 membutuhkan penetration testing?

Sebetulnya hal ini akan disesuaikan kembali dengan kebutuhan organisasi, karena untuk sistem dengan fungsionalitas standar dan arsitektur umum organisasi mungkin dapat memenuhi persyaratan ini hanya dengan menerapkan standar sistem manajemen keamanan informasi ISO 27001. Namun, untuk sistem yang lebih kompleks seperti aplikasi web khusus, penetration testing diperlukan untuk memastikan apakah sistem keamanan sudah memadai untuk perlindungan data dan menjaganya dari serangan siber.

Aplikasi web standar mungkin tidak efektif dalam mengidentifikasi sejumlah kerentanan yang ada, seperti kontrol akses yang rusak, penyalahgunaan logika bisnis, serangan peniruan, atau kerentanan non-standar. Jadi, dalam berbagai situasi penetration testing diperlukan untuk memverifikasi semua aspek keamanan informasi.

Baca juga : Peran Sertifikasi ISO 27001 untuk Sistem Keamanan Data Center

Proses penetration testing dalam implementasi ISO 27001

Proses pentest terdiri dari beberapa tahapan, diantaranya:

1. Perencanaan (Planning)

Proses pertama, organisasi harus melakukan persiapan yang terdiri menentukan sasaran pentest termasuk identifikasi risiko, analisis kerentanan, dan juga menetapkan ruang lingkup.

2. Pemetaan (Mapping)

Melakukan pemetaan terhadap jaringan dan sistem yang ingin diuji.

3. Pengujian (Testing)

Menguji keamanan pada sistem dan jaringan dengan menggunakan berbagai serangan yang biasa dilakukan oleh peretas.

4. Analisis (Analysis)

Setelah melakukan pengujian, selanjutnya perlu dilakukan analisis terkait temuan-temuan yang ada dan lakukan perbaikan.

5. Pelaporan (Reporting)

Tahap terakhir adalah melakukan pelaporan termasuk rekomendasi dan strategi untuk memperbaiki kerentanan.

Baca juga : Penerapan ISO 27001:2022 dalam Cyber Security