Keadaan Pentesting pada 2025: Mengapa Validasi Keamanan yang Didorong AI Sekarang Menjadi Imperatif Strategis

Laporan Survei Keadaan Pentesting 2025 oleh Pentera menggambarkan gambaran yang mencolok dari lanskap keamanan siber yang sedang dikepung—dan berkembang dengan cepat. Ini bukan hanya sebuah cerita tentang mempertahankan perbatasan digital; ini adalah biru cetak tentang bagaimana perusahaan mengubah pendekatan mereka terhadap keamanan, didorong oleh otomatisasi, alat berbasis AI, dan tekanan nyata dari ancaman dunia nyata.

Pelanggaran Keamanan Berlanjut Meskipun Stack Keamanan yang Lebih Besar

Meskipun menggelar tumpukan keamanan yang semakin kompleks, 67% perusahaan AS melaporkan mengalami pelanggaran dalam 24 bulan terakhir. Ini bukan insiden kecil—76% melaporkan dampak langsung pada kerahasiaan, integritas, atau ketersediaan data, dan 36% mengalami waktu henti yang tidak terencana, sementara 28% menghadapi kerugian keuangan.

Korelasi ini jelas: ketika kompleksitas tumpukan meningkat, maka peringatan juga meningkat—dan pelanggaran. Perusahaan yang menggunakan lebih dari 100 alat keamanan mengalami rata-rata 3.074 peringatan mingguan, sementara mereka yang menggunakan antara 76-100 alat menghadapi 2.048 peringatan per minggu

Namun, banjir data ini sering kali membanjiri tim keamanan, memperlambat waktu respons, dan memungkinkan ancaman nyata untuk terlewatkan.

Asuransi Keamanan Siber Membentuk Adopsi Teknologi

Perusahaan asuransi keamanan siber telah menjadi penggerak inovasi keamanan siber yang tidak terduga. Sebuah survei menunjukkan bahwa 59% perusahaan AS menerapkan alat keamanan baru khusus atas permintaan asurannya, dan 93% CISO melaporkan bahwa asuransi mempengaruhi postur keamanan mereka. Dalam banyak kasus, rekomendasi ini melampaui kepatuhan—mereka membentuk strategi teknologi.

Munculnya Pengujian Keamanan Berbasis Perangkat Lunak

Pengujian keamanan manual tidak lagi menjadi default. Lebih dari 55% organisasi sekarang mengandalkan pengujian keamanan berbasis perangkat lunak dalam program internal mereka, dengan 49% lainnya menggunakan penyedia pihak ketiga. Sebaliknya, hanya 17% yang masih mengandalkan pengujian manual internal saja.

Transisi ini ke pengujian lawan berbasis perangkat lunak mencerminkan tren yang lebih luas: kebutuhan akan validasi yang dapat diukur, diulang, dan waktu nyata dalam era ancaman yang terus berkembang. Platform otomatis ini mensimulasikan serangan yang berkisar dari malware tanpa file hingga eskalasi privilegi, memungkinkan perusahaan untuk menilai ketahanan mereka secara terus-menerus dan tanpa gangguan.

Anggaran Keamanan Tumbuh—Cepat

Keamanan tidak menjadi lebih murah, tetapi organisasi tetap memprioritaskannya. Rata-rata anggaran pengujian keamanan tahunan adalah $187.000, yang mencakup 10,5% dari total pengeluaran keamanan TI. Perusahaan yang lebih besar (10.000+ karyawan) menghabiskan lebih banyak—rata-rata $216.000 per tahun.

Pada 2025, 50% perusahaan berencana untuk meningkatkan anggaran pengujian keamanan mereka, dan 47,5% mengharapkan untuk meningkatkan pengeluaran keamanan secara keseluruhan. Hanya 10% yang mengantisipasi penurunan investasi. Angka-angka ini menyoroti peningkatan keamanan dari kebutuhan operasional menjadi prioritas ruang rapat.

Pengujian Keamanan Masih Bermain Menangkap

Ini adalah diskoneksi yang mengejutkan: 96% perusahaan melaporkan perubahan infrastruktur setidaknya setiap tiga bulan, tetapi hanya 30% melakukan pengujian keamanan dengan frekuensi yang sama. Hasilnya? Kerentanan baru terlewatkan melalui perubahan yang tidak diuji, memperluas permukaan serangan dengan setiap pembaruan perangkat lunak atau konfigurasi.

Hanya 13% perusahaan besar dengan lebih dari 10.000 karyawan melakukan pengujian keamanan setiap tiga bulan. Sementara itu, hampir setengahnya masih melakukan pengujian hanya sekali setahun—penundaan yang berbahaya dalam lingkungan ancaman yang dinamis saat ini.

Pengaturan Risiko Lebih Tajam dari Pernah

Menggembirakan, pemimpin keamanan fokus melakukan pengujian di mana pelanggaran keamanan sebenarnya terjadi. Hampir 57% memprioritaskan aset yang menghadap web, diikuti oleh server internal, API, infrastruktur cloud, dan perangkat IoT. Pembenaran ini mencerminkan kesadaran yang meningkat bahwa pelaku ancaman tidak membedakan—mereka mengeksploitasi kerentanan yang tersedia di seluruh permukaan serangan.

API, khususnya, telah muncul sebagai target prioritas tinggi, baik bagi pelaku ancaman maupun pembela. Antarmuka ini semakin penting bagi operasi bisnis tetapi sering kali kekurangan visibilitas dan pemantauan standar, membuatnya rentan dieksploitasi.

Mengoperasikan Hasil Pengujian Keamanan

Laporan pengujian keamanan tidak lagi disimpan. Sebaliknya, 62% perusahaan segera memindahkan temuan ke TI untuk prioritas perbaikan, sementara 47% membagikan hasil dengan manajemen senior dan 21% melaporkan langsung kepada dewan atau regulator.

Perubahan ini menuju tindakan mencerminkan integrasi yang lebih dalam dari pengujian keamanan ke dalam manajemen risiko strategis—bukan hanya memeriksa kepatuhan. Validasi keamanan menjadi bagian dari percakapan bisnis.

Apa yang Menghambat Kemajuan yang Lebih Cepat?

Sementara trennya positif, penghambat kunci tetap ada. Dua penghambat utama untuk pengujian keamanan yang lebih sering adalah keterbatasan anggaran (44%) dan kurangnya pentester yang tersedia (48%)—yang terakhir mencerminkan kekurangan 4 juta profesional keamanan siber global, menurut Forum Ekonomi Dunia.

Risiko operasional, seperti ketakutan akan gangguan selama pengujian, tetap menjadi kekhawatiran bagi 30% CISO.

Dari Kewajiban Kepatuhan ke Senjata Strategis

Pengujian keamanan telah berkembang jauh melampaui asalnya sebagai persyaratan regulasi. Sekarang, ini mendukung inisiatif strategis, termasuk due diligence M&A dan pengambilan keputusan tingkat eksekutif. Hampir satu-third responden sekarang menyebutkan “mandat eksekutif” dan “persiapan M&A” sebagai alasan utama melakukan pengujian keamanan.

Ini menandai transformasi mendasar: dari pemeriksaan reaktif ke ukuran ketahanan siber yang proaktif dan terus-menerus.

Pemikiran Akhir

Laporan Survei Keadaan Pentesting 2025 lebih dari sekadar pembaruan status—ini adalah panggilan bangun. Ketika permukaan serangan tumbuh dan pelaku ancaman menjadi lebih canggih, organisasi tidak lagi dapat mempertahankan pendekatan keamanan yang lambat, manual, atau terisolasi. Pengujian keamanan berbasis perangkat lunak yang didorong AI sedang mengisi kesenjangan ini dengan kecepatan, skala, dan wawasan.

Organisasi yang akan berkembang dalam era baru ini akan menjadi mereka yang memperlakukan validasi keamanan tidak hanya sebagai kebutuhan teknis, tetapi sebagai imperatif strategis.

Untuk wawasan lebih lanjut, unduh Laporan Survei Keadaan Pentesting 2025 lengkap dari Pentera.