Berapakah Kos Ujian Penembusan di Malaysia? Panduan Harga 2026
Kos ujian penembusan di Malaysia ditentukan oleh skop, kerumitan teknikal dan tahap pematuhan yang diperlukan. Bagi aplikasi web bersaiz sederhana, julat lazim ialah RM18,000 hingga RM45,000 bagi setiap penglibatan, manakala pasukan merah (red team) boleh mencecah RM150,000 ke atas. Panduan ini memperincikan harga mengikut jenis ujian, menjelaskan apa yang sebenarnya anda bayar, dan menggariskan situasi apabila BNM RMiT dan PCI-DSS mewajibkan pentest tahunan dan PDPA menjadikannya keperluan praktikal. Matlamatnya: membantu pemilik perniagaan dan ketua IT di Malaysia memilih skop yang betul tanpa berbelanja melebihi belanjawan atau memperuntukkan belanjawan yang tidak mencukupi.
Apakah yang sebenarnya anda bayar dalam satu penglibatan pentest?
Sebut harga pentest bukan sekadar kos jam kerja jurutera. Ia merangkumi perancangan skop, kebenaran (peraturan penglibatan), pengujian aktif, analisis manual, dokumentasi penemuan, sesi laporan eksekutif untuk lembaga pengarah, dan, bagi sesetengah pembekal, satu pusingan ujian semula selepas pembaikan. Di Malaysia, kebanyakan firma yang berpangkalan di Kuala Lumpur (KL) atau Cyberjaya menyusun pakej berdasarkan 'hari jurutera' (engineer-day), dan satu penglibatan aplikasi web biasanya memerlukan antara 8 hingga 20 hari jurutera.
Faktor seperti penggunaan penguji bersijil CREST CRT atau OSCP dan kewajipan menggunakan persekitaran terkunci (kerana data perbankan atau kesihatan) turut menambah kos. Cara pengiraan yang paling jujur ialah meminta pembekal memecahkan sebut harga kepada tiga baris: perancangan, ujian aktif, serta pelaporan dan ujian semula.
Pembekal yang menawarkan harga lebih murah daripada RM12,000 untuk aplikasi web bersaiz sederhana biasanya menjalankan imbasan automatik tanpa pengujian manual yang mendalam. Untuk memenuhi kriteria CREST atau pelaporan kepada BNM, hasil seperti ini selalunya tidak akan diluluskan oleh juruaudit dalaman.
Julat harga 2026 mengikut jenis ujian
Jadual di bawah menggambarkan julat harga lazim bagi pasaran Malaysia berdasarkan penglibatan yang kami lihat dalam tempoh 18 bulan yang lalu. Harga ini ialah anggaran pasaran bagi pembekal peringkat pertengahan hingga premium yang memenuhi kriteria CREST atau setara, bukan harga pembekal berasaskan volum yang bergantung pada alat automatik.
Perhatikan bahawa harga di hujung bawah julat biasanya untuk skop kecil (contohnya 50 titik akhir atau kurang, satu peranan pengguna). Harga di hujung atas mencerminkan aplikasi perusahaan dengan API yang kompleks, beberapa peranan, dan keperluan pemodelan ancaman.
| Jenis Ujian | Julat Harga (RM) | Tempoh Lazim | Relevan untuk |
|---|---|---|---|
| Aplikasi Web (sederhana) | 18,000 – 45,000 | 2–3 minggu | BNM RMiT, PDPA, PCI-DSS |
| Aplikasi Mudah Alih (iOS+Android) | 25,000 – 55,000 | 2–4 minggu | Bank digital, e-dompet |
| Ujian API (REST/GraphQL) | 15,000 – 38,000 | 1.5–3 minggu | Perbankan terbuka, teknologi kewangan (fintech) |
| Rangkaian Dalaman/Luaran | 22,000 – 60,000 | 2–4 minggu | ISO 27001, BNM RMiT |
| Awan (AWS/Azure/GCP) | 25,000 – 70,000 | 2–4 minggu | Garis dasar awan RMiT |
| Pasukan Merah (dipacu risikan) | 150,000 – 400,000+ | 6–12 minggu | Bank peringkat 1, syarikat berkaitan kerajaan (GLC) kritikal |
| Penilaian Rangkaian Tanpa Wayar | 12,000 – 28,000 | 1–2 minggu | Cawangan runcit, kilang |
| Kejuruteraan Sosial / Simulasi Pancingan Data (Phishing) | 10,000 – 35,000 | 2–6 minggu | Latihan kesedaran |
Faktor utama yang menentukan harga
Skop ialah penentu kos yang terbesar. Bilangan aplikasi, titik akhir API, peranan pengguna dan persekitaran (DEV/STAGING/PROD) semuanya menambah hari jurutera. Aplikasi dengan logik perniagaan yang kompleks, misalnya pengiraan caruman KWSP, sistem pinjaman ansuran atau pemprosesan tuntutan insurans, memerlukan masa yang lebih lama untuk pengujian manual daripada aplikasi CRUD (cipta, baca, kemas kini, padam) yang ringkas.
Kerumitan teknikal juga penting. Aplikasi monolitik PHP lama selalunya lebih cepat diuji daripada perkhidmatan mikro (microservices) Kubernetes moden dengan jaringan perkhidmatan seperti Istio. Hal ini kerana aplikasi moden mungkin mempunyai lebih banyak permukaan serangan (bekas sampingan atau sidecar, jaringan perkhidmatan, aliran token OIDC) yang memerlukan pakar khusus.
Faktor lain termasuk keperluan pengujian pada waktu malam (selepas waktu perniagaan), penggunaan VPN khusus dan kotak lompat (jumpbox) berasaskan pengurusan akses istimewa (PAM), keperluan liputan ujian semula selepas pembaikan, dan sama ada laporan perlu dipetakan kepada kawalan tertentu (BNM RMiT 10.x, Keperluan 11.3 PCI-DSS, ISO 27001 A.12.6).
Dalaman berbanding penyumberan luar: pengiraan kos sebenar
Banyak organisasi di Malaysia mempertimbangkan untuk membina kapasiti pentest dalaman. Bagi pasukan lengkap dua orang, iaitu seorang jurutera kanan dan seorang jurutera muda, kos tahunan tipikal di KL ialah gaji RM480,000, kursus dan sijil (OSCP, OSWE, GPEN) RM35,000, alat berlesen (Burp Suite Pro, Cobalt Strike, Tenable) RM65,000, serta kos pengurusan tambahan. Jumlahnya kerap menghampiri RM700,000 setahun untuk dua jurutera.
Bagi kebanyakan PKS dan syarikat bersaiz sederhana, penyumberan luar kepada firma pentest bersijil lebih menjimatkan. Malah bagi perusahaan besar, banyak organisasi menggunakan model hibrid: pasukan dalaman menjalankan penilaian kerentanan berterusan, manakala firma luar dijemput untuk pentest tahunan dan pasukan merah, sebahagiannya untuk memenuhi keperluan kebebasan yang diminta oleh juruaudit dan pengawal selia.
Satu lagi pertimbangan: pengawal selia seperti BNM sering menjangkakan 'jaminan bebas' (independent assurance), yang dalam amalan bermaksud pasukan luar yang tidak melapor kepada Ketua Pegawai Maklumat (CIO). Pentest dalaman semata-mata jarang mencukupi untuk audit RMiT.
Apakah yang perlu ditanya sebelum menandatangani skop kerja (SOW)?
Sebelum menerima sebut harga, dapatkan jawapan bertulis kepada beberapa soalan kritikal. Pertama, siapakah yang sebenarnya akan melakukan kerja itu: penguji bersijil atau pihak ketiga yang diberi kerja itu melalui subkontrak? Kedua, berapa peratus masa yang diperuntukkan untuk ujian manual berbanding imbasan automatik? Pembekal yang berkualiti biasanya menjalankan 60–80% ujian secara manual bagi aplikasi web.
Ketiga, adakah ujian semula selepas pembaikan termasuk dalam harga, dan berapa pusingan? Standard industri ialah satu pusingan ujian semula dalam tempoh 30–90 hari. Keempat, format laporan: adakah terdapat laporan teknikal terperinci, ringkasan eksekutif untuk lembaga, dan pemetaan kepada kawalan pengawal selia yang relevan?
Akhir sekali, periksa terma kerahsiaan dan pengendalian penemuan. Penemuan kritikal sepatutnya dimaklumkan dalam tempoh 24 jam, bukan menunggu laporan akhir. Pastikan SOW menyatakan klausa eskalasi yang jelas.
- Siapakah pemilik penemuan? Anda atau pembekal?
- Bolehkah laporan dikongsi dengan juruaudit luar dan pengawal selia?
- Adakah liabiliti dan insurans indemniti profesional (PI) pembekal mencukupi (biasanya minimum RM5 juta)?
- Bagaimanakah data anda disimpan selepas penglibatan tamat (tempoh pengekalan, lokasi)?
Keperluan pengawal selia yang mewajibkan atau menjangkakan pentest tahunan
Bank Negara Malaysia melalui dokumen Pengurusan Risiko dalam Teknologi (RMiT) menjangkakan institusi kewangan menjalankan pentest tahunan untuk aplikasi kritikal yang terdedah kepada internet dan untuk perubahan besar. Audit luar oleh BNM kerap meminta bukti pentest yang dilakukan oleh pasukan bebas dengan sijil yang diiktiraf.
Akta Perlindungan Data Peribadi 2010 (PDPA, Akta 709) tidak menyebut 'pentest' secara jelas, tetapi prinsip keselamatannya menuntut langkah teknikal yang munasabah. Dalam amalan, syarikat yang memproses data peribadi berskala besar (telekomunikasi, e-dagang, kesihatan) menggunakan pentest sebagai bukti usaha wajar.
Keperluan 11.3 PCI-DSS mewajibkan pentest secara jelas sekurang-kurangnya setahun sekali dan selepas perubahan yang ketara. Bagi peniaga yang memproses kad, ini bukan pilihan. Standard tambahan seperti ISO 27001 (kawalan A.12.6.1) dan rangka kerja NACSA di bawah Akta Keselamatan Siber 2024 juga merujuk pengujian keselamatan berkala.
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Adakah pentest sekali setahun mencukupi untuk bank digital?
Bagi bank digital di bawah lesen BNM, sekali setahun ialah minimum mutlak. Dalam amalan, kebanyakan bank digital di Malaysia menjalankan pentest selepas setiap pelancaran ciri utama, ditambah dengan pasukan merah tahunan dan PTaaS berterusan untuk perubahan kecil. Hal ini kerana RMiT menjangkakan pengujian yang setimpal dengan risiko, dan kadar perubahan dalam fintech jauh lebih tinggi daripada perbankan tradisional. Jika anda hanya menjalankan satu pentest setahun untuk aplikasi yang dikeluarkan setiap bulan, penemuan anda pasti tertangguh sehingga 6–12 bulan.
Mengapakah pembekal murah dengan harga RM6,000 boleh memberi 'laporan pentest'?
Pembekal pada harga itu hampir sentiasa menjalankan imbasan automatik Nessus atau OpenVAS, mengeksport laporan PDF dan menamakannya 'pentest'. Tiada eksploitasi sebenar, tiada pengesahan kerentanan dan tiada penemuan logik perniagaan. Untuk audit BNM atau PCI-DSS, laporan jenis ini biasanya ditolak. Lebih buruk lagi, ia memberi rasa selamat yang palsu: anda menganggap aplikasi telah diuji, sedangkan kebanyakan kerentanan kritikal (IDOR, pengesahan identiti yang rosak, keadaan perlumbaan atau race condition) hanya boleh ditemui melalui pengujian manual oleh jurutera yang berpengalaman.
Berapakah kos ujian semula dan adakah ia diperlukan?
Ujian semula selepas pembaikan ialah amalan standard. Ia kadangkala dimasukkan dalam pakej asas, iaitu satu pusingan ujian semula dalam tempoh 30–90 hari, dan kadangkala dikenakan caj berasingan. Jika dikenakan secara berasingan, ujian semula tipikal berharga 20–35% daripada kos penglibatan asal. Ia diperlukan kerana laporan tanpa ujian semula hanya menunjukkan kerentanan yang ditemui pada satu titik masa; juruaudit dan pengawal selia mahu melihat bukti bahawa pembaikan benar-benar berkesan. Tanpa ujian semula, anda hanya boleh berkata 'kami telah membaikinya', tetapi tidak boleh berkata 'pembaikan kami berfungsi'.
Bolehkah saya menggunakan jurutera di luar negara yang lebih murah?
Secara teknikal boleh, tetapi terdapat tiga risiko praktikal di Malaysia. Pertama, BNM dan beberapa juruaudit menjangkakan data anda diuji dalam bidang kuasa yang mematuhi PDPA; pentest yang memindahkan data sampel ke luar negara mungkin melanggar dasar anda sendiri. Kedua, sokongan zon masa untuk komunikasi insiden dan ujian semula selalunya menjadi masalah. Ketiga, kefahaman konteks tempatan (sistem perbankan, FPX, DuitNow, integrasi MyKad) sering kurang. Model hibrid, iaitu pengurusan tempatan dengan jurutera serantau, ialah pilihan yang munasabah.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.
Artikel Berkaitan
Ujian Penembusan dan Penilaian Keselamatan
Harga Pentest Mengikut Saiz Syarikat: Syarikat Permulaan, PKS dan Perusahaan Besar di Malaysia
Ujian Penembusan dan Penilaian Keselamatan
Apakah Ujian Penembusan Aplikasi Web? Panduan Keselamatan untuk PKS Malaysia
Ujian Penembusan dan Penilaian Keselamatan