[owasp-indonesia] Solution to "Penetration testing is obsolete"?

[Ganius Tanuel]

2011/6/16 Tedi Heriyanto <tedi.heriyanto at gmail.com>:
> Rekan-rekan,
>
> Saya mohon pencerahannya untuk kejadian yang menimpa Citi terkait
> dengan pentest.

Tedi, maaf, saya dalam posisi yang berpotensi konflik untuk bisa
memberikan komentar/informasi terlalu banyak.


[dipotong]
> Saya sedang bingung dengan kejadian yang menimpa Citi. Sebagai orang
> yang berada di luar perusahaan Citi, saya menganggap kejadian tersebut
> tidak mungkin terjadi untuk perusahaan sekelas Citi yang pasti
> security awareness sudah tinggi dan sudah ada manajemen risiko.
>
> Tapi ternyata mereka masih "kecolongan" juga. Penyebabnya adalah
> kerentanan pada websitenya :
>
[dipotong]
>
> Sumber URL : http://www.theregister.co.uk/2011/06/14/citigroup_website_hack_simple/
>
> Kalau sudah begini, apakah Citi tidak melakukan pentest ? Saya yakin
> Citi pasti melakukan pentest.

Citi melakukan pen test.


> Tapi kenapa kerentanan umum tersebut
> (kalau informasi di artikel di atas benar)  masih bisa lolos ?

Bisa karena berbagai faktor/alasan. Saya sendiri juga orang luar dan
mengetahui detilnya. Namun, secara "sederhana", perusahaan seukuran
Citi memiliki tantangan yang memiliki skala sebanding dalam manajemen
keamanan.

Regards,
GT