Penelitian ini melakukan penetration testing pada aplikasi web Human Resources (HR) multi-tenant milik PT XYZ yang menyimpan data sensitif, seperti informasi karyawan dan aset perusahaan. Pengujian dilakukan dengan metode gray box menggunakan standar Penetration Testing Execution Standard (PTES) serta mengacu pada OWASP Top 10 (2021) sebagai kerangka evaluasi keamanan aplikasi web. Proses pengujian mencakup beberapa tahapan utama, yaitu pengumpulan informasi, analisis kerentanan, dan eksploitasi yang dilakukan secara terkendali dan aman. Dalam pelaksanaannya, penelitian ini memanfaatkan berbagai tools keamanan, antara lain OWASP ZAP, WhatWeb, SQLMap, dan Burp Suite, untuk mengidentifikasi serta memvalidasi potensi celah keamanan pada sistem. Hasil pengujian menunjukkan adanya beberapa kerentanan, seperti Broken Access Control (IDOR), security misconfiguration, penggunaan komponen server yang sudah usang, serta tidak diterapkannya mekanisme rate limiting pada proses autentikasi. Kerentanan tersebut berpotensi menyebabkan kebocoran data sensitif dan pengambilalihan akun pengguna. Oleh karena itu, penelitian ini merekomendasikan penerapan kontrol akses yang lebih ketat, pembaruan komponen sistem, serta penguatan konfigurasi keamanan guna meningkatkan postur keamanan web PT. XYZ..