Penetration testing tahunan yang berfokus pada perbaikan kerentanan rutin sering kali gagal menjawab pertanyaan krusial: apakah organisasi Anda mampu bertahan menghadapi serangan canggih yang ditargetkan secara khusus?
Ancaman nyata berasal dari aktor yang memahami bisnis Anda, menargetkan proses kritikal, dan menggunakan teknik yang dirancang khusus untuk menembus infrastruktur Anda.
Threat-Led Penetration Testing (TLPT) hadir untuk mengatasi celah tersebut melalui pendekatan berbasis intelijen ancaman yang kini mulai menjadi standar regulasi global.
Di Eropa, DORA (Digital Operational Resilience Act) melalui Pasal 26 mewajibkan entitas keuangan signifikan melakukan TLPT setidaknya setiap tiga tahun. Di Inggris, framework CBEST sudah menerapkan konsep serupa sejak 2014. Dan gelombang regulasi ini mulai merambat ke Asia, termasuk berpotensi ke Indonesia melalui RUU KKS dan regulasi sektoral OJK.
Perbedaan TLPT dan Pentest Konvensional
Menyebut TLPT sebagai “pentest yang lebih canggih” sebenarnya agak menyesatkan. Perbedaannya bukan hanya soal tingkat kecanggihan teknis, tapi filosofi dan pendekatan yang secara fundamental berbeda.
Pentest konvensional biasanya bersifat scope-driven. Klien mendefinisikan scope: “Tes aplikasi web ini,” atau “Tes jaringan internal di segmen ini.” Tim pentest bekerja dalam batasan scope tersebut, mencari kerentanan, mengeksploitasinya kalau diizinkan, dan melaporkan hasilnya. Durasinya biasanya satu sampai tiga minggu. Tujuan utamanya adalah menemukan kerentanan teknis.
TLPT bersifat intelligence-driven. Prosesnya dimulai bukan dari scope teknis, tapi dari threat intelligence: siapa aktor ancaman yang paling mungkin menyerang organisasi ini? Apa motivasinya? Teknik apa yang mereka gunakan? Sistem dan proses bisnis mana yang menjadi target paling berharga? Dari intelligence inilah skenario serangan dirancang, dan dieksekusi terhadap sistem produksi yang berjalan, bukan lingkungan uji coba.
| Aspek | Pentest Konvensional | Threat-Led Penetration Testing |
| Titik awal | Scope teknis yang didefinisikan klien | Threat intelligence tentang aktor ancaman nyata |
| Durasi | 1-3 minggu | 3-6 bulan (termasuk fase intelligence) |
| Lingkungan | Sering di staging/test environment | Sistem produksi (live) |
| Tim yang terlibat | Tim pentest | Threat intelligence provider + Red team + Blue/Purple team |
| Pengetahuan internal | Tim internal tahu ada pentest (scope disepakati) | Hanya beberapa orang yang tahu (untuk menguji deteksi nyata) |
| Output utama | Daftar kerentanan dan rekomendasi | Evaluasi menyeluruh: apakah organisasi bisa mendeteksi, merespons, dan memulihkan diri dari serangan targeted |
| Frekuensi | Tahunan | Setiap 3 tahun (DORA) |
| Keterlibatan regulator | Tidak ada | Regulator mengawasi dan menerima laporan |
| Standar | OWASP, PTES, OSSTMM | TIBER-EU, CBEST, iCAST, DORA RTS |
Perbedaan paling mendasar terletak pada pertanyaan yang dijawab. Pentest konvensional menjawab: “Kerentanan apa yang ada di sistem kami?” TLPT menjawab: “Kalau aktor ancaman canggih menyerang kami secara targeted, apakah kami bisa mendeteksi, merespons, dan pulih?”
Baca juga: Alasan Brain Cipher Retas PDNS: Saatnya Perusahaan Anda Adopsi ISO/IEC 27001:2022
3 Pilar Utama Tahapan TLPT
TLPT terdiri dari tiga fase utama yang melibatkan pihak-pihak berbeda. Pemisahan ini bukan formalitas, melainkan desain yang memastikan objektivitas dan kedalaman pengujian.
1. Threat Intelligence
Fase ini dilakukan oleh threat intelligence provider, pihak yang terpisah dari red team. Tujuannya: membangun profil ancaman yang realistis dan spesifik untuk organisasi yang diuji.
Threat intelligence provider menganalisis: aktor ancaman mana yang aktif menargetkan industri dan geografi organisasi? Teknik, taktik, dan prosedur (TTP) apa yang mereka gunakan? Apa critical functions dan critical assets organisasi yang paling berharga bagi aktor ancaman?
Output-nya adalah Targeted Threat Intelligence Report (TTIR), dokumen yang mendefinisikan skenario serangan berdasarkan ancaman nyata, bukan hipotesis generik. Misalnya: “Kelompok APT-X yang aktif menargetkan sektor keuangan di Asia Tenggara kemungkinan akan menggunakan spear phishing terhadap staf treasury, mengeksploitasi kerentanan di sistem SWIFT, dan berupaya melakukan unauthorized fund transfer.”
2. Red Team Testing
Berdasarkan skenario dalam TTIR, red team, yang harus merupakan pihak terpisah dari threat intelligence provider, merancang dan mengeksekusi serangan. Red team mensimulasikan perilaku aktor ancaman serealistis mungkin, menggunakan TTP yang didefinisikan dalam threat intelligence.
Poin kritis: pengujian dilakukan terhadap sistem produksi yang sedang berjalan, dan hanya segelintir orang di organisasi yang mengetahui pengujian berlangsung. Tim security operasional (blue team / SOC) tidak diberitahu. Ini yang membuat TLPT bisa menguji kemampuan deteksi dan respons yang sesungguhnya, bukan kemampuan deteksi “ketika tim SOC tahu sedang diuji.”
Fase ini berlangsung berminggu-minggu sampai beberapa bulan. Red team bisa menggunakan social engineering, eksploitasi teknis, physical access testing, atau kombinasinya, tergantung skenario TTIR.
3. Purple Team dan Evaluasi Akhir
Setelah red team exercise selesai, fase purple team dimulai. Di sinilah red team dan blue team duduk bersama, sering untuk pertama kalinya blue team mengetahui bahwa ada TLPT yang berlangsung.
Purple team session bertujuan: mana yang terdeteksi dan mana yang tidak? Di titik mana deteksi seharusnya terjadi tapi gagal? Apa penyebab kegagalan, kurang log, alert yang di-ignore, prosedur yang tidak diikuti, atau gap dalam teknologi? Bagaimana respons bisa diperbaiki?
Output akhir TLPT bukan sekadar daftar kerentanan. Ini adalah evaluasi holistik tentang kemampuan organisasi menghadapi ancaman nyata, mencakup people, process, dan technology.
| Fase | Pelaku | Durasi | Output |
| Threat Intelligence | Threat intelligence provider (independen) | 4-6 minggu | Targeted Threat Intelligence Report (TTIR) |
| Red Team Testing | Red team (terpisah dari TI provider) | 8-12 minggu | Laporan red team: skenario yang dieksekusi, apa yang berhasil/gagal |
| Purple Team & Closure | Red team + Blue team + Management | 2-4 minggu | Remediation plan, improvement roadmap |
| Total | 3-6 bulan | Evaluasi menyeluruh kematangan pertahanan siber |
Baca juga: Punya ISO 27001 tapi Masih Kebobolan? Ini yang Salah Dipahami Soal Compliance
Standar Regulasi DORA dan Pasal 26
DORA (Digital Operational Resilience Act) mulai berlaku penuh di Uni Eropa pada Januari 2025. Pasal 26 secara spesifik mengatur TLPT untuk entitas keuangan yang dianggap signifikan, bank besar, perusahaan asuransi, infrastruktur pasar keuangan, dan penyedia layanan TI kritikal.
Beberapa ketentuan kunci DORA terkait TLPT yang penting dipahami.
TLPT wajib setiap 3 tahun untuk entitas yang ditentukan otoritas pengawas. Bukan opsional, bukan “best practice”, melainkan kewajiban regulasi dengan konsekuensi enforcement.
Framework acuan: TIBER-EU. DORA merujuk TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) sebagai framework untuk pelaksanaan TLPT. TIBER-EU dikembangkan oleh European Central Bank dan sudah diadopsi di berbagai negara Eropa sejak 2018.
Harus menggunakan external testers. Organisasi tidak bisa melakukan TLPT sepenuhnya secara internal. Red team dan threat intelligence provider harus dari pihak eksternal yang qualified. Beberapa yurisdiksi bahkan mensyaratkan testers tersertifikasi.
Regulator menerima laporan. Hasil TLPT dilaporkan kepada otoritas pengawas. Regulator bisa menggunakan hasilnya untuk menilai kematangan operational resilience organisasi, dan bisa meminta remediation jika hasilnya mengkhawatirkan.
Pooled testing dimungkinkan. Untuk organisasi yang menggunakan penyedia layanan TI yang sama, DORA memperbolehkan pooled TLPT, di mana beberapa organisasi bersama-sama menguji penyedia layanan yang mereka gunakan.
Meskipun DORA adalah regulasi Eropa, dampaknya melampaui batas geografi. Bank-bank dan lembaga keuangan Indonesia yang memiliki operasi di Eropa, atau yang menjadi mitra entitas Eropa, kemungkinan akan diminta menunjukkan tingkat resilience operasional yang setara. Dan OJK, yang secara konsisten mengadopsi best practice internasional, sangat mungkin mengeluarkan regulasi serupa dalam beberapa tahun ke depan.
Framework TLPT Global (TIBER-EU, CBEST, FEER)
TIBER-EU bukan satu-satunya framework TLPT yang ada. Beberapa negara sudah mengembangkan versi mereka sendiri, yang semuanya berbagi prinsip dasar yang sama tapi disesuaikan dengan konteks lokal.
| Framework | Negara/Region | Sejak | Sektor Utama | Ciri Khas |
| TIBER-EU | Uni Eropa | 2018 | Keuangan | Framework acuan DORA, paling banyak diadopsi |
| CBEST | Inggris | 2014 | Keuangan | Pioneer TLPT, diawasi Bank of England |
| iCAST | Hong Kong | 2016 | Keuangan | Diadaptasi dari CBEST untuk konteks Asia |
| AASE | Australia | 2020 | Keuangan | Australian version of TIBER |
| FEER | Singapura | 2018 | Keuangan | MAS-supervised, ketat |
| CSTAR | Arab Saudi | 2019 | Keuangan | SAMA-supervised |
Indonesia belum memiliki framework TLPT nasional. Tapi dengan RUU KKS yang sedang dibahas dan OJK yang aktif meningkatkan standar resilience operasional di sektor keuangan, adopsi konsep TLPT hanyalah masalah waktu. Organisasi yang sudah familiar dengan metodologinya akan jauh lebih siap ketika regulasi tiba.
Tantangan Implementasi TLPT dan Solusinya
TLPT bukan undertaking yang sederhana. Ada beberapa tantangan yang harus dipertimbangkan.
Risiko terhadap sistem produksi. Karena TLPT dieksekusi di lingkungan produksi, ada risiko nyata terhadap ketersediaan layanan. Mitigasinya: skenario harus didesain dengan hati-hati, ada mekanisme “kill switch” yang bisa menghentikan pengujian segera jika dampak operasional tidak terkendali, dan pihak manajemen senior harus aware dan memberikan otorisasi.
Keterbatasan penyedia jasa berkualitas. TLPT memerlukan threat intelligence provider dan red team yang benar-benar mumpuni, bukan sekadar pentest firm yang rebranding. Di Indonesia, jumlah penyedia jasa dengan kapabilitas TLPT masih sangat terbatas. Ini bisa menjadi bottleneck, tapi juga peluang bagi penyedia jasa yang berinvestasi membangun kapabilitas ini.
Biaya yang signifikan. TLPT jauh lebih mahal dari pentest konvensional, berkali-kali lipat. Ini karena durasi yang lebih panjang, tim yang lebih besar, dan kedalaman analisis yang jauh lebih mendalam. Tapi pertimbangkan cost-benefit-nya: biaya TLPT mungkin setara dengan satu hari downtime akibat serangan ransomware yang sebenarnya bisa dideteksi lebih awal kalau kemampuan deteksi sudah diuji.
Kematangan organisasi. TLPT paling bernilai bagi organisasi yang sudah memiliki tingkat kematangan keamanan siber tertentu, setidaknya sudah punya SOC atau kemampuan monitoring, sudah menerapkan kontrol dasar, dan sudah punya incident response plan. Organisasi yang belum sampai di level ini mungkin lebih baik fokus membangun fondasi dulu sebelum investasi di TLPT.
Sensitivitas hasil. Laporan TLPT mengandung informasi yang sangat sensitif, detail kerentanan, jalur serangan yang berhasil, kelemahan deteksi. Distribusi harus sangat terkontrol. Kebocoran laporan TLPT menjadi roadmap bagi aktor ancaman nyata.
Baca juga: Pelajaran Penting Insiden Siber Bank Daerah: Mengapa Rentan Diserang & Cara Mencegahnya
Pentingnya TLPT untuk Organisasi di Indonesia
Meskipun Indonesia belum memiliki regulasi wajib TLPT, ada beberapa alasan kuat untuk mulai mempertimbangkannya.
Pertama, ancaman yang makin canggih. Data BSSN menunjukkan bahwa serangan siber di Indonesia makin sophisticated. Kelompok APT yang menargetkan sektor keuangan dan pemerintahan di Asia Tenggara menggunakan teknik yang hanya bisa dideteksi oleh organisasi dengan kemampuan pertahanan yang teruji, bukan yang hanya mengandalkan pentest tahunan.
Kedua, tekanan regulasi yang bergerak cepat. OJK konsisten mengadopsi standar internasional. DORA sudah menjadi benchmark. RUU KKS membuka jalan bagi standar keamanan siber yang lebih tinggi. Organisasi yang sudah familiar dengan TLPT ketika regulasi datang tidak perlu berlari mengejar ketertinggalan.
Ketiga, nilai bisnis yang nyata. Di luar compliance, TLPT memberikan insight yang tidak bisa diberikan oleh metode pengujian lain. Mengetahui bahwa SOC Anda gagal mendeteksi lateral movement di jaringan, sebelum aktor ancaman sungguhan mengeksploitasinya, bernilai jauh lebih tinggi daripada daftar CVE dari automated scanner.
Keempat, diferensiasi kompetitif. Bagi lembaga keuangan, kemampuan menunjukkan bahwa organisasi telah melalui TLPT menjadi differentiator, terhadap regulator, mitra bisnis, dan pelanggan. Ini menunjukkan komitmen terhadap resilience yang melampaui minimum compliance.
Kesimpulan
Pentest konvensional tetap penting, sebagai baseline assessment untuk menemukan kerentanan teknis. Tapi untuk organisasi yang menghadapi ancaman canggih dan bertarget, pentest saja tidak cukup.
TLPT menjawab pertanyaan yang lebih fundamental: apakah organisasi bisa mendeteksi, merespons, dan pulih dari serangan nyata? Jawabannya sering tidak senyaman yang diharapkan, tapi justru itulah nilainya. Lebih baik menemukan kelemahan melalui TLPT yang terkontrol daripada mengetahuinya dari insiden sungguhan yang menyebabkan kerugian finansial dan reputasi.
Regulasi global sudah bergerak ke arah TLPT wajib. Indonesia akan mengikuti. Organisasi yang mempersiapkan diri sekarang, memahami konsepnya, membangun kematangan fondasi keamanan, dan mulai merencanakan exercise pertama, akan berada di posisi yang jauh lebih kuat.
Layanan Threat-Led Penetration Testing Proxsis IT
Proxsis IT membantu organisasi membangun dan menguji ketahanan siber mereka secara komprehensif. Dari implementasi ISO 27001 sebagai fondasi, Cyber Security Maturity Assessment untuk mengukur kesiapan, hingga pengembangan kemampuan deteksi dan respons, kami mendampingi Anda memastikan organisasi tidak hanya compliant, tapi benar-benar resilient terhadap ancaman siber yang makin canggih.
Konsultasikan Strategi Keamanan Siber Perusahaan Anda →
Pertanyaan Umum (FAQ) Seputar TLPT
Apakah TLPT Menggantikan Penetration Testing Biasa?
Tidak. TLPT melengkapi, bukan menggantikan. Pentest konvensional tetap diperlukan sebagai baseline assessment untuk menemukan kerentanan teknis. TLPT menguji sesuatu yang berbeda, kemampuan organisasi mendeteksi dan merespons serangan targeted. Keduanya memiliki peran masing-masing.
Berapa Biaya Pelaksanaan TLPT?
TLPT bisa beberapa kali lebih mahal karena durasi yang lebih panjang (3-6 bulan vs 1-3 minggu), tim yang lebih besar (threat intelligence provider + red team), dan kedalaman analisis yang jauh lebih mendalam. Untuk lembaga keuangan besar, biaya ini sepadan dengan insight yang dihasilkan.
Apakah TLPT Wajib bagi Perusahaan di Indonesia?
Belum ada kewajiban regulasi eksplisit untuk TLPT di Indonesia saat ini. Namun RUU KKS dan peningkatan standar OJK mengarah ke adopsi konsep serupa. Organisasi yang mempersiapkan diri lebih awal akan memiliki keunggulan.
Apa Risiko TLPT Terhadap Operasional Perusahaan?
Karena dilakukan di lingkungan produksi, ada risiko gangguan layanan. Namun risiko ini dimitigasi dengan desain skenario yang hati-hati, mekanisme kill switch, dan otorisasi manajemen senior. TLPT yang dilakukan oleh tim berpengalaman memiliki track record keamanan operasional yang baik.
Sumber utama
Referensi utama untuk kerangka TLPT dan regulasi dalam artikel ini.
