8.5.2 Executive Summary

Pendahuluan

Executive Summary adalah bagian paling penting dari laporan penetration testing - karena ini adalah satu-satunya bagian yang dibaca oleh manajemen non-teknis, direktur, dan pemangku kepentingan yang membuat keputusan. Ringkasan ini harus menyampaikan temuan kritis, tingkat risiko, dan dampak bisnis dalam bahasa yang bebas jargon teknis.

Tujuan utama Executive Summary:

• Memberikan gambaran menyeluruh tentang postur keamanan organisasi
• Mengomunikasikan risiko dalam konteks bisnis, bukan teknis
• Mendorong tindakan perbaikan berdasarkan prioritas
• Membantu manajemen mengalokasikan sumber daya untuk remediation

1. Struktur Executive Summary

Executive Summary yang efektif mengikuti struktur piramida terbalik - informasi paling penting di awal.

Format standar Executive Summary:

1. Pendahuluan Engagement - ruang lingkup, tujuan, metodologi singkat
2. Ringkasan Temuan Utama - masalah paling kritis yang ditemukan
3. Risk Ratings - skor risiko dalam bahasa bisnis
4. Business Impact - dampak terhadap operasional, finansial, reputasi
5. Metrics & Visualisasi - data ringkas dalam bentuk grafik
6. Rekomendasi Prioritas - langkah konkret yang harus diambil
7. ROI Remediasi - nilai investasi perbaikan keamanan

2. Pendahuluan Engagement

Bagian ini menjelaskan konteks engagement secara ringkas:

Contoh:

Nama Klien:        PT Teknologi Maju
Engagement Type:   External Penetration Testing
Scope:             app.teknologimaju.com, api.teknologimaju.com
Periode:           1 Januari - 15 Januari 2026
Metodologi:        NIST SP 800-115, OWASP Testing Guide v5
Tim:               3 pentesters (Budi, Siti, Andi)

Tulis dalam paragraf naratif, bukan bullet point:

"Pada Januari 2026, tim keamanan kami melakukan penetration testing eksternal terhadap aplikasi web dan API PT Teknologi Maju. Pengujian mencakup dua domain utama - app.teknologimaju.com dan api.teknologimaju.com - menggunakan metodologi standar NIST SP 800-115 dan OWASP Testing Guide. Selama dua minggu engagement, tim menemukan total 12 kerentanan dengan tingkat keparahan bervariasi dari Low hingga Critical."

3. Ringkasan Temuan Utama

Sampaikan temuan paling kritis terlebih dahulu. Gunakan analogi bisnis untuk menjelaskan kerentanan teknis.

Contoh ringkasan temuan untuk Chief Information Security Officer (CISO):

"Pengujian mengidentifikasi 12 kerentanan: 3 Critical, 4 High, 3 Medium, dan 2 Low. Temuan paling signifikan adalah SQL Injection pada halaman login yang memungkinkan penyerang mengakses seluruh database pengguna - setara dengan memberikan kunci gudang data utama kepada orang asing. Selain itu, miskonfigurasi server memungkinkan penyerang menjalankan kode berbahaya di server produksi."

Hindari frasa teknis seperti:

• "Blind time-based SQLi via boolean-based inference"
• "RCE melalui deserialization gadget chain"
• "Privilege escalation via CVE-2024-xxxx kernel exploit"

Gunakan padanan bisnis:

• "Celah akses database" → bukan "SQL injection"
• "Kontrol akses yang lemah" → bukan "Broken Access Control"
• "Kerentanan eksekusi kode jarak jauh" → dijelaskan sebagai "penyerang bisa mengambil alih server"

4. Risk Ratings

Terjemahkan skor teknis CVSS ke dalam bahasa risiko bisnis.

CVSS ke Risk Rating:

Contoh penjelasan risiko ke manajemen:

SQL Injection (CVSS 9.8 - Critical) Skor 9.8 dari 10 menunjukkan kerentanan ini sangat kritis. Dampaknya mencakup kebocoran data 50.000+ catatan pengguna, potensi denda regulasi hingga Rp 2 miliar berdasarkan UU PDP, serta kerusakan reputasi yang signifikan. Eksploitasi membutuhkan keahlian teknis rendah dan tool otomatis sudah tersedia publik.

5. Business Impact

Hubungkan setiap temuan dengan dampak bisnis konkret. Manajemen perlu memahami apa arti kerentanan ini dalam dollar dan reputasi.

Dampak Finansial:

Dampak Operasional:

• Waktu pemulihan dari SQL Injection: 3 - 7 hari (dengan IR plan yang baik)
• Waktu pemulihan dari RCE: 2 - 5 hari (rebuild server + audit)
• Dampak SLA: potensi pelanggaran SLA jika downtime melebihi 4 jam

Dampak Reputasi:

• Kehilangan kepercayaan pelanggan (survei menunjukkan 65% pelanggan pindah setelah breach)
• Liputan media negatif
• Penurunan harga saham (rata-rata -3.5% untuk perusahaan publik setelah breach)

6. Metrics & Visualisasi

Sajikan data dalam format visual yang mudah dicerna. Untuk laporan cetak, gunakan tabel dan diagram ASCII. Untuk laporan digital, sertakan grafik dari tool seperti Excel atau Google Sheets.

Distribusi Temuan berdasarkan Severity:

Temuan Berdasarkan Tingkat Keparahan
═══════════════════════════════════

  Critical     ████████████████▌   3 temuan
  High         ████████████████████████▌  4 temuan
  Medium       ██████████████████▌   3 temuan
  Low          ███████████▌          2 temuan

  Total: 12 temuan

Temuan berdasarkan Kategori OWASP Top 10:

Kategori Kerentanan
═══════════════════════
  Injection (A03)         ████████████████████████████▌  3 temuan
  Broken Access Control   ██████████████████████▌  2 temuan
  Security Misconfig      ████████████████████████████▌  3 temuan
  XSS                     ██████████▌  1 temuan
  Cryptographic Failures  ██████████▌  1 temuan
  Vulnerable Components   ██████████████████▌  2 temuan

Metrik tambahan yang disertakan:

• Finding Density: 6 temuan per aplikasi (rata-rata industri: 8)
• Critical/High Findings: 58% dari total (rata-rata industri: 40%)
• Remediation Rate (engagement sebelumnya): 72% - perlu ditingkatkan
• Mean Time to Remediate (industri): 60 hari untuk High, 180 hari untuk Medium

7. Rekomendasi Prioritas

Prioritas rekomendasi didasarkan pada kombinasi severity, ease of exploitation, dan business impact. Jangan memberikan 20 rekomendasi sekaligus - fokus pada 3-5 prioritas utama.

Contoh rekomendasi prioritas:

Tulis rekomendasi dalam bahasa bisnis:

Prioritas 1: Perbaiki Celah Akses Database pada Halaman Login Halaman login aplikasi utama memiliki celah yang memungkinkan penyerang mengakses database. Perbaikan harus dilakukan dalam 7 hari karena risiko kebocoran data pelanggan sangat tinggi. Biaya estimasi Rp 5-10 juta untuk pengembangan dan pengujian patch.

Prioritas 2: Implementasi Firewall Aplikasi Web (WAF) WAF akan memberikan lapisan perlindungan tambahan terhadap serangan injection dan serangan web umum lainnya. Implementasi membutuhkan waktu 30 hari dan biaya Rp 50-100 juta untuk lisensi dan konfigurasi.

8. ROI Remediasi

Hitung Return on Investment dari perbaikan keamanan untuk meyakinkan manajemen bahwa biaya remediasi lebih kecil daripada potensi kerugian.

Contoh kalkulasi ROI:

Biaya remediasi SQL Injection:
  - Developer time: Rp 7.000.000
  - Testing & QA: Rp 3.000.000
  - Biaya total: Rp 10.000.000

Potensi kerugian jika tidak diperbaiki:
  - Denda UU PDP: Rp 2.000.000.000 (2% dari pendapatan tahunan)
  - Biaya notifikasi pelanggan: Rp 500.000.000
  - Forensik & pemulihan: Rp 300.000.000
  - Kehilangan pelanggan (5% churn): Rp 1.000.000.000
  - Total potensi kerugian: Rp 3.800.000.000

ROI remediasi: (3.800.000.000 - 10.000.000) / 10.000.000 × 100% = 37.900%

Kesimpulan: Setiap Rp 1 yang diinvestasikan untuk memperbaiki kerentanan SQL Injection ini menyelamatkan potensi kerugian hingga Rp 379. Ini adalah investasi dengan return tertinggi yang bisa dilakukan tim keamanan tahun ini.

ROI untuk setiap temuan utama:

9. Bahasa yang Tepat untuk Executive Summary

Gunakan:

• "Kerentanan" atau "celah keamanan" → bukan "vulnerability" (terlalu teknis)
• "Mengakses data" → bukan "mengeksekusi query"
• "Mengambil alih server" → bukan "reverse shell"
• "Password lemah" → bukan "credential stuffing vector"
• "Aplikasi web" → bukan "web app"
• "Kebocoran data" → bukan "data exfiltration"

Hindari:

• Akronim teknis tanpa penjelasan (SQLi, XSS, RCE, LFI)
• Skor CVSS mentah tanpa konteks bisnis
• Nama tool spesifik (Burp Suite, Metasploit, Nmap)
• Path file dan konfigurasi teknis
• Source code atau payload contoh

10. Contoh Executive Summary Lengkap (Template)

Berikut adalah template yang bisa diadaptasi untuk setiap engagement:

┌─────────────────────────────────────────────────────────┐
│              EXECUTIVE SUMMARY                          │
│    Penetration Testing Report - PT Teknologi Maju       │
│                  Januari 2026                            │
└─────────────────────────────────────────────────────────┘

1. PENDAHULUAN
   PT Teknologi Maju menugaskan tim keamanan kami untuk
   melakukan penetration testing eksternal pada aplikasi web
   utama dan API publik. Engagement dilaksanakan pada 1-15
   Januari 2026 menggunakan metodologi OWASP dan NIST.

2. RINGKASAN EKSEKUTIF
   Dari 12 kerentanan yang ditemukan, 3 di antaranya bersifat
   Critical dan membutuhkan perhatian segera. Kerentanan paling
   serius adalah celah pada halaman login yang memungkinkan
   akses ke seluruh database pengguna - risiko kebocoran data
   massal yang dapat mengakibatkan kerugian finansial hingga
   Rp 3.8 miliar dan kerusakan reputasi jangka panjang.

3. RISK OVERVIEW
   Critical: 3 | High: 4 | Medium: 3 | Low: 2
   58% temuan berada di kategori Critical atau High.

4. BUSINESS IMPACT
   - Potensi denda UU PDP: Rp 2 miliar
   - Potensi kehilangan pelanggan: 5-10%
   - Downtime potensial: 3-7 hari
   - Biaya forensik dan pemulihan: Rp 300-500 juta

5. REKOMENDASI UTAMA
   P1: Patch celah akses database pada login page (7 hari)
   P2: Implementasi WAF dan input validation (30 hari)
   P3: Hardening konfigurasi server dan patch RCE (14 hari)

6. ROI REMEDIASI
   Investasi Rp 100 juta untuk perbaikan semua temuan Critical
   dan High menyelamatkan potensi kerugian hingga Rp 5 miliar
 - ROI lebih dari 4.900%.

Kesimpulan

Executive Summary adalah jembatan antara temuan teknis dan keputusan bisnis. Tulis dengan bahasa yang jelas, fokus pada dampak bisnis, dan prioritaskan rekomendasi yang actionable. Manajemen yang baik akan menggunakan executive summary untuk mengalokasikan sumber daya, sementara tim teknis akan merujuk pada laporan teknis untuk detail implementasi. Keduanya sama pentingnya dalam siklus perbaikan keamanan organisasi.