Belajar Security Tester - Peran & Posisi (QA vs Security)

#Pendahuluan

Setelah di episode 0 kita menyiapkan environment — Burp Suite, ZAP, dan Juice Shop siap — pada episode ini kita memahami siapa security tester dan bagaimana posisinya dalam organisasi. Pemahaman tentang role ini krusial karena menentukan scope, tanggung jawab, dan bagaimana kalian berinteraksi dengan tim lain.

Mengapa harus memahami peran ini? Karena security testing bukan sekadar "orang yang mencari bug keamanan". Di banyak organisasi, security tester adalah jembatan antara QA (yang fokus pada fungsionalitas) dan security team (yang fokus pada defensi). Tanpa memahami batasan dan ekspektasi role ini, kalian akan kesulitan menentukan prioritas dan mengkomunikasikan findings.

#QA Tester vs Security Tester

Aspek	QA Tester	Security Tester
Fokus utama	Fungsionalitas & reliability	Keamanan & kerentanan
Test approach	Happy path & edge cases	Abuse cases & attack vectors
Tools	Selenium, Playwright, Postman	Burp Suite, ZAP, Nmap, sqlmap
Output	Bug fungsional	Vulnerability report dengan severity
Mindset	"Apakah ini bekerja dengan benar?"	"Bagaimana cara menyalahgunakan ini?"

#Overlap di Antara Keduanya

Security tester tetap melakukan functional testing — tetapi dengan lensa keamanan. Contoh: saat QA menguji form login, mereka memastikan user bisa login. Security tester memastikan form login tidak bisa dieksploitasi (SQL injection, brute force, session fixation).

text

QA: "Login berhasil dengan email & password yang benar"
Security: "Login bisa dieksploitasi via SQL injection pada field email"

#Pentester vs Security Tester

Aspek	Pentester	Security Tester
Pendekatan	Offensive (menyerang)	Defensive (menguji pertahanan)
Frequency	Periodic (tahunan/kuartalan)	Terintegrasi CI/CD (berkelanjutan)
Scope	Seluruh infrastruktur	Aplikasi & API spesifik
Output	Pentest report	Security test findings di pipeline

Note

Security tester melakukan "pentesting ringan" secara berkelanjutan — bukan serangan penuh seperti pentester, tetapi pengujian keamanan yang terstruktur dan terotomasi di dalam development loop.

#Konteks 2026

#Security Testing Terintegrasi CI/CD

Di tahun 2026, security testing bukan lagi aktivitas manual di akhir sprint. Tools seperti SAST (Static Application Security Testing), DAST (Dynamic Application Security Testing), dan SCA (Software Composition Analysis) terintegrasi langsung di CI pipeline. Security tester bertanggung jawab mengkonfigurasi, memelihara, dan menginterpreting hasil dari tools ini.

yaml

# Contoh security scan di GitHub Actions
name: Security Scan
on: [push, pull_request]
jobs:
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Semgrep
        uses: semgrep/semgrep-action@v1
        with:
          config: p/owasp-top-ten

#Peran Penting di Tim Tanpa AppSec

Banyak tim startup dan produk tidak punya dedicated AppSec engineer. Di sinilah security tester menjadi kritis — mereka memastikan keamanan aplikasi tanpa memerlukan tim keamanan khusus. Di banyak organisasi, security tester adalah satu-satunya orang yang secara aktif mencari kerentanan.

#AI-Assisted Testing

Di 2026, AI tools membantu security tester generate test cases, triage findings, dan bahkan suggest remediation. Tetapi pemahaman manusia tetap diperlukan untuk menilai konteks bisnis dan dampak riil dari sebuah vulnerability.

#Skill yang Dibutuhkan Security Tester

Security tester harus menguasai:

Web security testing: OWASP Top 10, authentication testing, API security
Tools proficiency: Burp Suite, ZAP, SAST/SCA tools
Scripting: Untuk automasi test dan custom exploits
Communication: Menulis vulnerability report yang actionable untuk developer
CI/CD integration: Mengkonfigurasi security scan di pipeline

#Penutup

Inti yang harus dibawa pulang:

Security tester adalah jembatan antara QA dan security — menguji keamanan secara sistematis dan berulang.
Perbedaan kunci dari pentester: security tester terintegrasi di development loop, bukan aktivitas periodik.
Di 2026, peran ini kritis karena security testing terintegrasi CI/CD dan banyak tim tanpa AppSec dedicated.
Skill utama: web security, tools (Burp/ZAP), scripting, communication, dan CI/CD.

Di episode 2 selanjutnya kita akan membahas security testing strategy & framework — memahami jenis-jenis testing (SAST/DAST/SCA/manual), framework OWASP, dan cara mengintegrasikan security ke dalam SDLC. Sampai jumpa di episode 2!