Uji Keamanan & Penetrasi TI

Data audit keamanan TI mencakup laporan uji penetrasi, hasil pemindaian kerentanan, temuan audit keamanan informasi, dan catatan insiden keamanan yang menunjukkan postur keamanan siber suatu organisasi. Tes penetrasi mensimulasikan serangan dunia nyata untuk mengidentifikasi kerentanan yang dapat dieksploitasi. Pemindaian kerentanan memberikan identifikasi otomatis atas kerentanan yang diketahui dalam sistem dan perangkat lunak. Laporan audit ISO 27001 memberikan penilaian independen terhadap sistem manajemen keamanan informasi. Respons insiden mencatat peristiwa keamanan aset dan kemampuan respons organisasi. Bukti ini diwajibkan oleh Undang-Undang Ketahanan Siber UE, DORA, Pasal 32 GDPR, dan peraturan keamanan siber khusus sektor.

Peraturan keamanan siber semakin memerlukan bukti tertulis mengenai praktik keamanan – bukan hanya kebijakan dan prosedur. Undang-Undang Ketahanan Siber UE mewajibkan produsen untuk melakukan pengujian kerentanan dan menyimpan catatan hasil pengujian. DORA mewajibkan entitas keuangan untuk melakukan penilaian risiko TIK secara berkala, pengujian penetrasi, dan manajemen kerentanan – semuanya dengan bukti yang tercatat. Pasal 32 GDPR mewajibkan tindakan teknis dan organisasi yang tepat — bukti audit keamanan menunjukkan tindakan apa yang sudah diterapkan dan efektivitasnya. Tanpa bukti audit keamanan TI yang tercatat, organisasi tidak dapat membuktikan bahwa mereka telah memenuhi kewajiban keamanan sibernya.

Laporan pengujian penetrasi mencatat metodologi pengujian pentest internal dan eksternal, temuan, jalur eksploitasi, bukti, dan status remediasi — yang diperlukan untuk pelaporan kerentanan CRA dan pengujian penetrasi yang dipicu oleh ancaman (TLPT) DORA. Hasil pemindaian kerentanan dari alat seperti aset Nessus, Qualys, OpenVAS, dan Rapid7 mendeteksi kerentanan dengan peringkat tingkat keparahan, sistem yang terpengaruh, dan pelacakan remediasi. Laporan audit ISO 27001 dari lembaga sertifikasi terakreditasi memberikan penilaian independen terhadap penerapan dan efektivitas SMKI. Respons insiden mencatat garis waktu insiden keamanan aset, metode deteksi, penilaian dampak, tindakan penahanan, dan tinjauan pasca-insiden — memberikan bukti deteksi insiden dan kemampuan respons yang diperlukan oleh GDPR, DORA, dan CRA.

Laporan audit keamanan, temuan uji penetrasi, ekspor pemindaian kerentanan, dan catatan respons insiden diunggah ke Sustalium. Hasil dipetakan ke kerangka kepatuhan keamanan siber yang relevan: temuan pentest terhadap catatan kepatuhan CRA dan daftar risiko ICT DORA, pemindaian kerentanan terhadap persyaratan manajemen kerentanan DORA dan bukti tindakan pencegahan ISO 27001, catatan insiden terhadap kesiapan pemberitahuan pelanggaran GDPR dan kewajiban pemantauan purna jual CRA. Sustalium melacak tenggat waktu remediasi dan jadwal pengujian ulang, memastikan bahwa kerentanan yang teridentifikasi telah diatasi dalam jangka waktu yang diperlukan dan bahwa bukti remediasi dicatat.

Undang-Undang Ketahanan Siber (Cyber ​​Resilience Act/CRA) UE mewajibkan produsen untuk melakukan pengujian kerentanan dan menyimpan bukti rekaman manajemen kerentanan selama periode dukungan produk. DORA (Digital Operational Resilience Act) mewajibkan penilaian risiko TIK secara berkala, pengujian penetrasi, dan manajemen kerentanan untuk entitas keuangan. Pasal 32 GDPR mewajibkan pencatatan langkah-langkah keamanan yang sesuai dengan risiko pemrosesan data pribadi. Undang-undang AI UE mewajibkan bukti pengujian keamanan untuk sistem AI yang berisiko tinggi. ISO 27001 memerlukan audit internal, tinjauan manajemen, dan bukti tindakan perbaikan. Peraturan khusus sektor (jasa keuangan, layanan kesehatan, infrastruktur penting) memiliki persyaratan audit dan pengujian keamanan siber tambahan. Pembeli perusahaan semakin memerlukan bukti audit keamanan sebagai syarat pengadaan.