Perkembangan teknologi digital telah mengubah cara organisasi beroperasi, termasuk dalam sektor kesehatan yang sangat bergantung pada pengelolaan informasi dan basis data. Informasi menjadi aset berharga yang harus dilindungi dari ancaman pihak tidak berwenang. Serangan siber terhadap institusi kesehatan berpotensi menimbulkan kerugian finansial, kebocoran data, serta gangguan layanan penting. Untuk memitigasi risiko tersebut, penetration testing memiliki peran krusial dalam mengidentifikasi kerentanan sistem sebelum dimanfaatkan oleh penyerang. Penelitian ini menggunakan kerangka kerja ISSAF serta OWASP Web Security Testing Guide (WSTG) sebagai acuan metodologis, dengan dukungan perangkat OWASP Zed Attack Proxy (ZAP) untuk simulasi dan deteksi kelemahan keamanan. Proses pengujian dilakukan melalui enam tahapan utama: Gathering Publicly Available Information, Network Scanning, System Profiling, Service Profiling, Application Testing, serta Vulnerability Identification/Assessment. Hasil pengujian menunjukkan adanya tiga kerentanan utama pada website institusi XYZ, yaitu Identified Viruses, File Extensions That Have Sensitive Information, dan Default Credentials. Berdasarkan hasil pengujian tambahan menggunakan OWASP ZAP, ditemukan 2 kerentanan dengan tingkat risiko tinggi, 4 berisiko sedang, 5 berisiko rendah, dan 3 bersifat informasional. Temuan ini menegaskan bahwa penerapan framework ISSAF dan OWASP efektif dijadikan pedoman penetration testing, terutama jika dikombinasikan dengan instrumen OWASP WSTG. Penelitian ini merekomendasikan 12 langkah perbaikan keamanan untuk memperkuat pertahanan website, serta menegaskan pentingnya asesmen keamanan yang sistematis demi menjamin integritas, kerahasiaan, dan ketersediaan data pada institusi kesehatan di era digital.