Seiring meningkatnya digitalisasi layanan kesehatan, keamanan sistem informasi menjadi krusial, terutama pada website rumah sakit yang mengelola data sensitif pasien. Penelitian ini bertujuan untuk mengidentifikasi dan mengevaluasi kerentanan keamanan pada website rumah sakit yang dikembangkan oleh PT XYZ. Metodologi yang digunakan mengacu pada standar NIST SP 800-115, yang mencakup empat tahap utama: planning, discovery, attacking, dan reporting, serta dipadukan dengan kerangka OWASP Top 10 versi 2021 untuk mengklasifikasikan jenis kerentanan. Pengujian dilakukan terhadap domain https://simrs.[REDACTED].co.id menggunakan berbagai tools seperti Nmap, WhatWeb, SQLMap, dan OWASP ZAP. Hasil pengujian menunjukkan adanya beberapa kerentanan dengan tingkat risiko tinggi dan kritis, seperti Broken Access Control, Injection, serta penggunaan Vulnerable and Outdated Components. Setiap temuan telah dianalisis berdasarkan skor CVSS 3.1 dan diberikan rekomendasi mitigasi guna meningkatkan keamanan sistem secara menyeluruh. Penelitian ini diharapkan dapat menjadi acuan dalam penerapan penetration testing berbasis standar industri untuk pengamanan sistem informasi kesehatan.