Bisakah Seorang QA Tester Pindah ke Cyber Security?

QA tester sudah berpikir seperti penyerang lebih dari yang mereka sadari. Memecahkan software, menemukan edge case, menulis langkah repro yang presisi, dan melacak defect hingga root cause adalah instink yang sama yang dibutuhkan tim security. Transisi dari QA ke security bukanlah lompatan besar seperti, misalnya, beralih dari accounting, tapi Anda memang perlu mengisi gap spesifik tertentu.

Apa yang sudah bisa ditransfer

Jika Anda sudah menghabiskan waktu di QA, Anda sudah memiliki:

• Keterampilan test case design yang langsung bisa dipetakan ke penulisan security test plan dan abuse case
• Keakraban dengan SDLC dan CI/CD yang membantu Anda memahami di mana security check perlu dimasukkan (SAST, DAST, dependency scanning)
• Disiplin bug tracking dalam tools seperti Jira, yang hampir identik dengan workflow vulnerability management
• Habit regression testing yang diterjemahkan dengan baik untuk memverifikasi fix dari vulnerability yang dilaporkan
• Pengalaman API dan UI testing menggunakan Postman, Selenium, atau Cypress, yang banyak tumpang tindih dengan cara AppSec tester menyelidik injection, broken auth, dan logic flaw

Jika Anda pernah melakukan exploratory atau negative testing (deliberately mengirim input malformed, menguji boundary condition, mencoba memecahkan validation logic), Anda sudah melakukan bentuk kasar security testing tanpa labelnya.

Gap yang perlu Anda tutup

QA testing umumnya mengasumsikan application seharusnya bekerja dengan cara tertentu dan Anda sedang memeriksa functional correctness. Security testing mengasumsikan adversary sedang aktif mencoba mengubah logic itu. Anda perlu membangun:

• HTTP fundamental pada level lebih dalam — status code, header, cookie, CORS, dan bagaimana session benar-benar bekerja di balik layar
• OWASP Top 10 hafal: SQL injection, XSS, SSRF, broken access control, insecure deserialization
• Basic networking: TCP/IP, DNS, TLS handshake, bagaimana proxy seperti Burp Suite intercept dan manipulate traffic
• Scripting, idealnya Python atau Bash, jadi Anda bisa automate repetitive testing dan tulis small exploit PoC
• Linux command line comfort karena kebanyakan security tooling mengasumsikan Anda tidak takut terminal

Pathway studi yang konkret

Mulai dengan PortSwigger's Web Security Academy — gratis dan walk through setiap kategori OWASP dengan hands-on lab menggunakan Burp Suite. Pasangkan itu dengan TryHackMe's