Harga Pentest Mengikut Saiz Syarikat: Syarikat Permulaan, PKS dan Perusahaan Besar di Malaysia

Mengapa Saiz Syarikat Menentukan Skop, Bukan Hanya Bajet

Ramai pemilik perniagaan bertanya, 'Berapakah kos pentest?', tanpa mengaitkannya dengan saiz syarikat dan profil risiko. Jawapan sebenar bergantung pada bilangan aplikasi yang terdedah kepada internet, jumlah pelanggan yang datanya anda pegang dan beban peraturan yang anda hadapi. Sebuah syarikat permulaan teknologi kewangan (fintech) sebelum pusingan Siri A dengan 200 pengguna ujian memerlukan jenis pentest yang sangat berbeza daripada bank digital berlesen BNM dengan 500,000 pengguna aktif.

Saiz syarikat juga menentukan penerima laporan pentest. Bagi syarikat permulaan, laporan biasanya untuk pengasas dan ketua pegawai teknologi (CTO) sahaja. Bagi PKS, laporan mungkin untuk lembaga pengarah dan juruaudit luar. Bagi perusahaan besar, laporan akan disemak oleh CISO, jawatankuasa risiko, juruaudit dalaman, juruaudit luar empat firma besar (Big 4) dan kadangkala pengawal selia. Tahap pemformatan, ringkasan eksekutif dan pemetaan kepada kawalan ISO/NIST/RMiT yang diperlukan berbeza dengan ketara.

Akhir sekali, saiz menentukan kekerapan yang munasabah. Syarikat permulaan mungkin hanya mampu melakukan satu pentest tahunan kerana bajet. PKS yang berkembang mungkin mampu melakukan pentest tahunan serta pentest ad hoc selepas pelancaran besar. Perusahaan besar biasanya menggabungkan beberapa kaedah: pentest tahunan bagi setiap aplikasi kritikal, PTaaS untuk perubahan berterusan dan pasukan merah setiap 12–18 bulan.

Lingkungan 1: Syarikat Permulaan (RM8,000 – RM25,000)

Bagi syarikat permulaan sebelum pusingan Siri A atau yang belum menjana hasil dan mempunyai satu produk perisian sebagai perkhidmatan (SaaS), satu aplikasi mudah alih awal atau API yang masih dalam beta persendirian, harga RM8,000 hingga RM25,000 mencukupi untuk pentest awal yang berguna. Skop lazim ialah satu aplikasi web dengan 1–2 peranan pengguna, atau satu API dengan kurang daripada 30 titik akhir. Tempoh: 5–10 hari jurutera.

Pada harga ini, anda mendapat ujian manual berdasarkan OWASP Top 10 dan OWASP API Security Top 10, pengesahan terhadap kerentanan biasa (rujukan objek langsung tidak selamat (IDOR), pengesahan identiti yang rosak, suntikan SQL, pemalsuan permintaan sisi pelayan (SSRF)), satu laporan teknikal dan biasanya satu sesi pembentangan penemuan. Anda biasanya tidak akan mendapat ujian logik perniagaan yang mendalam, pemodelan ancaman secara formal, ujian terhadap konfigurasi infrastruktur awan atau ujian semula selepas pembaikan (selalunya dijual berasingan).

Bagi syarikat permulaan yang mahu kekal dalam lingkungan ini, tumpukan skop pada permukaan serangan yang paling berisiko: portal pembayaran, sistem pengesahan identiti dan titik akhir pentadbir. Tinggalkan halaman pemasaran statik dan halaman dokumentasi awam. Pembekal yang baik akan membantu menetapkan skop yang ketat, tetapi pembekal yang murah akan menerima apa sahaja yang anda tawarkan dan menghantar laporan generik.

• Sesuai untuk: syarikat permulaan sebelum pusingan Siri A, produk berdaya maju minimum (MVP) awal dan satu aplikasi web dengan tidak lebih daripada 50 titik akhir.
• Termasuk: OWASP Top 10 secara manual, laporan teknikal dan sesi taklimat penemuan.
• Tidak termasuk: pasukan merah, pemodelan ancaman secara formal, ujian semula, pengujian teknologi operasi (OT) dan Internet Benda (IoT) serta ujian fizikal.
• Kekerapan: sekali setahun, atau selepas perubahan ketara pada pelan langganan atau pembayaran.

Lingkungan 2: PKS yang Berkembang (RM18,000 – RM60,000)

Bagi Sdn Bhd yang mempunyai 20–500 pekerja, hasil tahunan RM2 juta hingga RM50 juta dan produk yang sudah mempunyai pelanggan korporat berbayar, harga RM18,000 hingga RM60,000 adalah standard. Skop lazim ialah satu aplikasi web utama, API dan satu aplikasi mudah alih (atau gabungan yang setara). Tempoh: 12–20 hari jurutera. Biasanya termasuk ujian manual yang mendalam, pengesahan logik perniagaan, satu pusingan ujian semula dalam tempoh 60 hari dan laporan eksekutif dalam bahasa Malaysia dan bahasa Inggeris.

PKS dalam lingkungan ini selalunya menghadapi tekanan daripada pelanggan perniagaan ke perniagaan (B2B) mereka untuk membuktikan postur keselamatan. Soal selidik pembekal daripada pelanggan perusahaan sering meminta bukti pentest tahunan. Jika anda menjual kepada bank, syarikat berkaitan kerajaan (GLC) atau syarikat multinasional, anda memerlukan laporan pentest yang boleh dikongsi (dengan butiran kritikal disamarkan) sebagai sebahagian daripada pakej dokumen keselamatan.

Dalam lingkungan ini, pilih pembekal yang memetakan penemuan kepada rangka kerja yang relevan dengan pelanggan B2B anda, biasanya ISO 27001 (kawalan A.12.6.1), SOC 2 atau, jika melibatkan data perbankan, BNM RMiT. Pembekal yang baik juga akan menyediakan templat surat perakuan (attestation letter) yang boleh anda hantar kepada bakal pelanggan atau pelanggan sedia ada.

• Sesuai untuk: PKS dengan 20–500 pekerja dan produk SaaS dengan pelanggan korporat berbayar.
• Termasuk: web, aplikasi mudah alih dan API, ujian manual, satu ujian semula, laporan dwibahasa dan surat perakuan.
• Tidak termasuk: pasukan merah sepenuhnya, pengujian OT dan ujian fizikal di cawangan.
• Kekerapan: tahunan serta ujian ad hoc selepas pelancaran besar.

Lingkungan 3: Perusahaan Besar dan Institusi Kewangan (RM80,000 hingga Lebih RM500,000)

Bagi syarikat besar yang mempunyai lebih daripada 500 pekerja, GLC, institusi kewangan berlesen BNM, syarikat tersenarai di Bursa dan pengendali NCII di bawah Akta Keselamatan Siber 2024, harga RM80,000 hingga lebih daripada RM500,000 adalah lazim. Skop ini merangkumi pelbagai aplikasi (selalunya 5–15), persekitaran awan sepenuhnya (audit AWS/Azure/GCP), Active Directory dan lapisan identiti, ujian rangkaian dalaman/luaran serta kadangkala OT/SCADA bagi sektor utiliti atau pembuatan.

Bagi institusi kewangan, BNM RMiT mensyaratkan ujian penembusan tahunan yang dilakukan oleh pihak ketiga yang bebas dan mempunyai kelayakan tertentu (CREST CRT, OSCE/OSEE atau setara). Laporan mesti dipetakan kepada kawalan RMiT yang spesifik dan disertakan dalam Laporan Postur Risiko Siber (Cyber Risk Posture Report, CRPR) tahunan yang diserahkan kepada BNM. Pembekal harus menyediakan templat pemetaan ini sebagai sebahagian daripada laporan.

Tugasan pasukan merah ialah ujian yang melibatkan pasukan penyerang yang cuba mencapai 'permata mahkota' tertentu (contohnya akses kepada pangkalan data pelanggan utama) melalui gabungan pancingan data (phishing), eksploitasi teknikal dan kejuruteraan sosial. Harganya biasanya RM150,000 hingga RM400,000 untuk tugasan selama 6–10 minggu. Bank peringkat 1 dan GLC kritikal selalunya menjalankannya setiap 12–18 bulan.

• Sesuai untuk: GLC, bank berlesen BNM, syarikat tersenarai di Bursa, pengendali NCII dan syarikat multinasional (MNC) yang beroperasi di Malaysia.
• Termasuk: 5–15 aplikasi, audit awan, AD/identiti, rangkaian dalaman/luaran, ujian semula berbilang pusingan, pemetaan RMiT/ISO dan ringkasan untuk lembaga pengarah.
• Tambahan pilihan: pasukan merah, ujian fizikal di cawangan, OT/SCADA dan ujian wayarles di cawangan berbilang lokasi.
• Kekerapan: pentest tahunan, PTaaS berterusan dan pasukan merah setiap 12–18 bulan.

Jadual Perbandingan Lingkungan Harga 2026

Jadual berikut meringkaskan perbezaan utama antara tiga lingkungan harga. Gunakan jadual ini sebagai panduan awal untuk menyusun bajet, bukan sebagai sebut harga muktamad.

Kos Tersembunyi yang Sering Tertinggal dalam Sebut Harga

Beberapa item kerap tidak dimasukkan dalam sebut harga awal tetapi diperlukan dalam projek sebenar. Tanyakan dengan jelas semasa peringkat sebut harga: (a) ujian semula selepas pembaikan, yang jika tidak termasuk biasanya berharga 20–35% daripada kos asal; (b) surat perakuan untuk pelanggan B2B atau juruaudit, yang dikenakan oleh sesetengah pembekal dengan bayaran tambahan RM1,500–RM5,000; (c) laporan dwibahasa atau terjemahan ringkasan eksekutif, yang selalunya diperlukan jika anda berurusan dengan lembaga pengarah atau pengawal selia di Malaysia; (d) sesi pembentangan penemuan kepada lembaga pengarah secara bersemuka; dan (e) sokongan untuk soal selidik pembekal daripada pelanggan B2B anda selepas laporan diserahkan.

Item (b) hingga (e) boleh menambah 15–25% kepada harga 'asas', manakala ujian semula dalam (a) menambah 20–35% lagi jika tidak termasuk. Pembekal yang telus akan membentangkan semuanya dari awal, manakala pembekal yang tidak telus akan mengejutkan anda dengan invois tambahan kemudian.

Bilakah Anda Perlu Naik Taraf ke Lingkungan yang Lebih Tinggi?

Tanda-tanda anda perlu naik taraf daripada lingkungan syarikat permulaan kepada lingkungan PKS: anda baru sahaja memperoleh pembiayaan Siri A atau berkembang melebihi 50 pekerja; anda mula menjual kepada pelanggan korporat (bank, GLC) yang meminta bukti pentest; anda memperkenalkan modul pembayaran atau memproses lebih daripada 10,000 rekod pelanggan.

Tanda-tanda anda perlu naik taraf daripada lingkungan PKS kepada lingkungan perusahaan besar: anda mendapat lesen dalam sektor yang dikawal selia (BNM, KKM, MCMC); anda dikelaskan sebagai NCII di bawah Akta 854; anda menjalani usaha wajar bagi akuisisi atau tawaran awam permulaan (IPO); anda mengalami insiden keselamatan yang menarik perhatian lembaga pengarah; atau pelanggan B2B utama anda mula meminta laporan SOC 2 Type II.

Naik taraf ialah perkara yang baik kerana ia bermakna perniagaan anda berkembang. Namun, rancang peralihan dengan pembekal secara berperingkat. Lompatan terus daripada pakej RM15,000 kepada pakej RM150,000 tanpa garis dasar akan menghasilkan laporan yang penuh dengan penemuan kritikal. Hal ini bukan kerana anda tiba-tiba kurang selamat, tetapi kerana skop yang lebih mendalam mendedahkan perkara yang sentiasa wujud.