Pertahanan yang diperkuat AI, diuji oleh penyerang nyata.

Penetration test memiliki scope dan jangka waktu yang tetap. Tujuannya adalah menemukan dan mendokumentasikan sebanyak mungkin kerentanan di dalam batas itu. Engagement red team lebih luas dan berorientasi tujuan. Kami menyimulasikan kampanye serangan realistis dan melihat apakah pertahanan Anda benar-benar menangkapnya. Jadi pentest memberi tahu Anda di mana titik lemah Anda, sementara engagement red team memberi tahu apakah blue team Anda bisa mengenali serangan yang sedang berlangsung.

Ya, dan sebagian besar penilaian kami memang seperti itu. Kami membutuhkan kredensial akses, dokumentasi, dan otorisasi tertulis dari Anda. Kami tidak perlu telah membangun sistemnya untuk menemukan celah di dalamnya.

Dengan retainer, kami melakukan kontak awal dalam kurang dari satu jam, kapan pun waktunya. Tanpa retainer, kami menargetkan untuk terlibat dalam empat jam. Jika Anda sedang mengalami insiden aktif saat ini, hubungi kami via WhatsApp.

Laporan tertulis lengkap, bukan dump scan mentah. Mencakup executive summary yang ditulis dalam bahasa risiko bisnis yang sederhana, temuan berskor CVSS dengan bukti, langkah untuk mereproduksi masing-masing, dan panduan cara memperbaikinya. Kami juga menyertakan jendela re-test setelah Anda menyelesaikan perbaikannya.

Ya. Kami menguji seluruh permukaan AI terhadap OWASP LLM Top 10: prompt injection (langsung dan tidak langsung), jailbreak, kebocoran training-data, model denial of service, risiko supply-chain pada model weights dan embeddings, pengungkapan informasi sensitif melalui RAG, desain plugin dan tool-use yang tidak aman, serta sistem agentic dengan otonomi berlebihan. Laporan mencakup model, prompt, lapisan retrieval, tools yang bisa dipanggil agent, dan data yang bisa dijangkaunya.

Kami menerapkan SIEM dengan deteksi anomali machine-learning sehingga behavioural baseline menangkap serangan lambat dan senyap yang terlewat oleh aturan signature. Di atas itu kami memasang triage alert bertenaga LLM: setiap alert dirangkum dalam bahasa sederhana, diurutkan berdasarkan kemungkinan tingkat keparahan, dan dikelompokkan dengan event terkait, yang biasanya memangkas volume triage sebesar 60 hingga 80%. Tujuannya adalah mengurangi noise agar analis menghabiskan waktu mereka untuk insiden nyata, bukan untuk menyingkirkan false positive.

Kami mendefinisikan scope bersama selama fase perencanaan, sebelum pengujian apa pun dimulai. Anda memberi tahu kami aset mana yang terlibat (domain, rentang IP, aplikasi, API, aplikasi mobile, akun cloud), dan mana yang secara eksplisit dilarang. Kami menuliskan target yang disepakati, rules of engagement, dan jendela pengujian ke dalam dokumen yang ditandatangani, sehingga tidak ada yang tersentuh di luar batas itu dan tidak ada kejutan.

Untuk sebagian besar penilaian, kami merekomendasikan grey-box: Anda memberi kami akun uji di setiap level hak akses, akses jaringan, serta dokumentasi atau source code yang relevan, yang membuat pengujian lebih cepat dan lebih menyeluruh. Anda mendapatkan cakupan yang lebih dalam dengan anggaran yang sama, karena kami tidak menghabiskan berhari-hari untuk reconnaissance yang pada akhirnya akan diselesaikan juga oleh penyerang yang gigih. Sebaliknya, pengujian black-box dimulai tanpa pengetahuan dari dalam sama sekali. Kami merekomendasikan level yang sesuai dengan risiko dan anggaran Anda.

Setiap temuan diberi skor dengan CVSS (Common Vulnerability Scoring System) dan dipetakan ke kategori bahasa sederhana: critical, high, medium, low, atau informational. Rating mencerminkan baik dampak teknis maupun seberapa mudah masalah itu dieksploitasi dalam konteks spesifik Anda, bukan sekadar angka mentah. Itu memungkinkan Anda memprioritaskan remediasi berdasarkan risiko bisnis nyata alih-alih menebak temuan mana yang benar-benar penting.

Ya. Setiap engagement menyertakan jendela retest setelah Anda menyelesaikan perbaikan, biasanya dalam 30 hingga 60 hari sejak laporan awal. Kami menjalankan ulang pengujian yang sama terhadap setiap temuan yang sudah diremediasi dan memastikan apakah temuan itu benar-benar tertutup atau hanya termitigasi sebagian. Anda menerima laporan yang diperbarui yang menunjukkan status penyelesaian setiap item, yang sering kali ingin dilihat oleh auditor dan pelanggan.

Ya. Kami menyelaraskan pengujian dan pelaporan kami dengan framework yang Anda butuhkan, baik itu ISO 27001, SOC 2, PCI DSS, maupun regulasi Indonesia seperti OJK dan Undang-Undang Perlindungan Data Pribadi (UU PDP). Laporan disusun sehingga auditor Anda bisa memetakan temuan langsung ke kontrol yang relevan. Jika Anda sedang mengejar sertifikasi, kami bisa menyusun scope penilaian agar memenuhi persyaratan penetration testing dan manajemen kerentanan yang ditetapkan standar tersebut.

Default kami adalah menguji tanpa mengganggu operasi Anda. Sebisa mungkin kami bekerja terhadap lingkungan staging atau pra-produksi yang mencerminkan produksi, dan kami menyepakati jendela pengujian di awal untuk apa pun yang live. Pemeriksaan intrusif seperti denial-of-service atau load testing hanya dijalankan dengan persetujuan tertulis eksplisit dari Anda, dan kami menjaga kontak langsung tetap terbuka selama pengujian sehingga apa pun yang tak terduga bisa segera dihentikan.