Materi
Separuh pekerjaan uji penetrasi adalah laporan. WSTG membagi laporan menjadi dua pembaca. Ringkasan eksekutif untuk manajemen: tujuan uji, kebutuhan bisnis di baliknya, temuan utama dalam konteks bisnis (mis. risiko kepatuhan atau reputasi), dan rekomendasi strategis — tanpa jargon dan detail teknis. Rincian temuan untuk tim teknis: tiap temuan diberi ID rujukan, judul, tingkat kemungkinan/eksploitabilitas, dampak pada sistem, tingkat risiko (mis. Informational hingga Critical, bila diminta disertai skor CVSS), deskripsi lengkap, dan langkah perbaikan yang cukup rinci untuk ditindaklanjuti.
NIST SP 800-115 menambahkan bahwa laporan bernilai bila disertai rekomendasi mitigasi untuk tiap temuan, termasuk hasil analisis akar masalah — sebab di balik gejala, seperti manajemen tambalan yang lemah atau tidak adanya baseline konfigurasi. Setelah perbaikan dipasang, dilakukan uji ulang (retest) untuk memverifikasi temuan benar-benar tertutup; SP 800-115 menegaskan verifikasi hanya sahih bila uji yang sama diulang. WSTG juga menyarankan menyertakan disclaimer bahwa uji adalah potret pada satu titik waktu. Satu lagi yang tetap: bukti di laporan menyamarkan data sensitif (kata sandi, data pribadi).
| Bagian laporan | Isi utama |
|---|---|
| Ringkasan eksekutif | Tujuan, dampak bisnis, rekomendasi strategis — tanpa jargon |
| Rincian temuan | ID, judul, kemungkinan, dampak, risiko/CVSS, bukti, langkah perbaikan |
| Akar masalah | Sebab di balik gejala (mis. tambalan lemah, tanpa baseline) |
| Uji ulang | Mengulang uji yang sama untuk memverifikasi perbaikan |
