Kontrol akses adalah kebijakan, alat dan proses yang mengatur akses pengguna ke data sensitif, sistem komputer, lokasi, dan sumber daya lainnya.
Kontrol akses fisik—seperti gerbang dan pintu terkunci—mengontrol akses ke lokasi fisik. Kontrol akses logis—seperti sistem deteksi dan pencegahan intrusi—mengontrol akses ke sistem komputer. Artikel ini terutama membahas kontrol akses logis.
Dalam istilah manajemen akses, entitas yang membutuhkan akses dikenal sebagai “subjek”. Subjek ini mencakup pengguna manusia dan identitas non-manusia, seperti bot, aplikasi, beban kerja otomatis, dan agen AI.
Faktanya, seiring dengan pertumbuhan pesat agen AI—yang didorong oleh perkembangan infrastruktur cloud, kehadiran DevOps, dan adopsi alat kecerdasan buatan tingkat lanjut—pengguna non-manusia menjadi fokus utama kontrol akses.
Hal-hal yang perlu diakses oleh subjek—antara lain antarmuka pemrograman aplikasi (application programming interface, API), pengaturan sistem operasi, informasi sensitif dalam database cloud—disebut sebagai “objek”.
Penerapan kontrol akses dalam jaringan perusahaan biasanya melibatkan pembuatan dan penegakan kontrol akses, yang menentukan hak akses setiap subjek dalam suatu sistem. Kebijakan kontrol akses menentukan apakah subjek dapat mengakses objek (misalnya, dokumen) dan izinnya sehubungan dengan objek tersebut (dalam hal dokumen: akses hanya baca, baca dan tulis, serta kontrol administratif penuh).
Kontrol akses adalah landasan keamanan identitas. Sebagai contoh, arsitektur jaringan zero-trust mengandalkan kontrol akses yang kuat untuk mencegah akses tidak sah sekaligus menyederhanakan akses bagi pengguna yang berwenang. Dalam jaringan cloud-native, di mana identitas adalah perimeter baru, kontrol akses sangat penting untuk upaya keamanan siber secara lebih luas.
Pada saat yang sama, kontrol akses adalah titik lemah bagi banyak sistem. Kontrol akses yang rusak berada di urutan pertama dalam daftar OWASP Top 10 mengenai risiko keamanan aplikasi web yang paling genting. Selain itu, menurut IBM X-Force Threat Intelligence Index, serangan berbasis identitas—di mana pelaku ancaman membajak akun pengguna yang sah untuk menyalahgunakan hak akses mereka—mencakup hampir sepertiga dari pelanggaran keamanan.
Jadi, sementara manajemen akses memainkan peran penting dalam postur keamanan organisasi, data yang tersedia menunjukkan masih ada ruang untuk perbaikan.
Bergabunglah dengan para pemimpin keamanan yang mengandalkan Buletin Think untuk berita yang dikurasi tentang AI, keamanan siber, data, dan otomatisasi. Pelajari dengan cepat dari tutorial pakar dan penjelas—dikirimkan langsung ke kotak masuk Anda. Lihat Pernyataan Privasi IBM®.
Kontrol akses biasanya berbasis kebijakan. Administrator sistem—bekerja sama dengan pemangku kepentingan lain, jika diperlukan—menyusun kebijakan kontrol akses yang memerinci izin subjek. Sistem kontrol akses, seperti platform manajemen identitas dan akses (IAM) dan manajemen akses istimewa (PAM), secara otomatis menegakkan kebijakan keamanan ini.
Sistem kontrol akses menggunakan proses autentikasi dua langkah dan otorisasi untuk membantu memastikan bahwa hanya subjek terverifikasi yang dapat mengakses objek, dan bahwa subjek tersebut hanya dapat bertindak dengan cara yang disetujui.
Kebijakan akses menentukan objek yang dapat diakses subjek: bucket S3 yang dapat dilihat pengembang, API yang dapat dipanggil aplikasi, kumpulan data yang dapat diserap oleh model bahasa besar (LLM). Yang terpenting, kebijakan ini juga menentukan apa yang dapat dilakukan pengguna individu dengan suatu objek. Apakah LLM dapat melakukan penulisan ke kumpulan data? Apakah pengembang dapat mengubah pengaturan bucket S3? Kebijakan akses menentukan jawaban atas pertanyaan-pertanyaan ini.
Meskipun kebijakan pasti berbeda dari satu sistem ke sistem lain—dan dari satu sumber daya ke sumber daya lain—sebagian besar organisasi mengikuti model kontrol akses yang sudah mapan, seperti kontrol akses berbasis peran (RBAC) atau kontrol akses berbasis atribut (ABAC). (Untuk mendapatkan informasi selengkapnya, lihat “Jenis kontrol akses”.)
Terlepas dari modelnya, banyak kebijakan akses organisasi mengikuti prinsip hak istimewa terendah: gagasan bahwa pengguna seharusnya hanya memiliki tingkat izin terendah yang diperlukan untuk melakukan pekerjaannya, dan izin harus dicabut ketika tugas selesai.
Kebijakan akses dapat “disimpan” dalam sistem dengan beberapa cara.
Ketika subjek ingin mengakses sumber daya yang dilindungi oleh sistem kontrol akses,subjek tersebut terlebih dahulu memverifikasi identitasnya melalui proses autentikasi.
Untuk pengguna manusia, autentikasi biasanya memerlukan penyajian serangkaian kredensial, seperti kombinasi nama pengguna dan kata sandi. Namun, kata sandi dianggap sebagai salah satu kredensial terlemah karena pelaku ancaman dapat dengan mudah menebak atau mencurinya.
Sebagian besar sistem saat ini mengandalkan langkah-langkah yang lebih substansial, seperti biometrika dan autentikasi multifaktor (MFA). MFA memerlukan dua bukti atau lebih untuk membuktikan identitas pengguna (misalnya, pemindaian sidik jari dan kata sandi satu kali yang dihasilkan oleh aplikasi autentikasi).
Perangkat, beban kerja, agen AI, dan identitas non-manusia lainnya biasanya menggunakan kredensial seperti sertifikat dan kunci enkripsi untuk verifikasi. Meskipun subjek non-manusia tidak dapat menggunakan MFA, solusi manajemen rahasia dapat membantu melindungi kredensialnya melalui vaulting, rotasi otomatis, dan tindakan lainnya.
Otorisasi adalah proses pemberian tingkat akses yang sesuai kepada subjek yang telah terverifikasi.
Proses otorisasi bergantung pada sistem kontrol akses yang ada.
Misalnya, jika sistem menggunakan ACL, sistem tersebut akan memeriksa daftar dan menetapkan izin yang ditemukan dalam daftar tersebut kepada subjek.
Jika sistem menggunakan mesin kebijakan, mesin tersebut akan memberikan hak istimewa pengguna berdasarkan konteks permintaan akses.
Dalam sistem yang menggunakan protokol OAuth—kerangka kerja otorisasi standar terbuka yang memberikan akses aman kepada aplikasi ke sumber daya yang terlindungi milik pengguna akhir—otorisasi diberikan melalui token.
Meskipun setiap objek dalam jaringan dapat memiliki sistem kontrol aksesnya sendiri, hal ini umumnya tidak dianggap sebagai praktik terbaik. Kesenjangan dan ketidaksesuaian antara sistem ini dapat menciptakan kerentanan bagi penyerang untuk melakukan eksploitasi, serta menghambat pengguna yang berwenang dalam melakukan pekerjaan mereka.
Sebaliknya, organisasi seperti National Institute of Standards and Technology (NIST) dan OWASP merekomendasikan implementasi sistem kontrol akses terpusat, biasanya sebagai bagian dari kain identitas yang menyeluruh.
Sistem terpusat ini antara lain menggunakan teknologi dan alat berikut:
Solusi IAM dapat merampingkan dan mengotomatiskan tugas kontrol akses utama. Kemampuannya bisa bervariasi, tetapi fitur IAM yang umum mencakup layanan direktori, autentikasi dan otorisasi alur kerja, manajemen kredensial, dan tata kelola identitas.
Alat solusi manajemen akses hak istimewa (privileged access management, PAM) memfasilitasi akses aman untuk akun pengguna dengan hak sangat istimewa, seperti admin sistem. Alat PAM menggunakan fitur seperti vault kredensial dan protokol akses tepat waktu untuk melindungi akun istimewa tersebut dari penyalahgunaan yang tidak disengaja, ancaman orang dalam yang berniat jahat, dan pelaku ancaman eksternal.
Sistem masuk tunggal (single sign-on, SSO) adalah skema autentikasi yang memungkinkan pengguna untuk masuk satu kali menggunakan serangkaian kredensial, dan mengakses beberapa aplikasi dalam sesi yang sama. SSO menyederhanakan autentikasi pengguna, meningkatkan pengalaman pengguna, dan meningkatkan keamanan jika diterapkan dengan benar.
Beberapa organisasi mengharuskan pengguna masuk ke VPN perusahaan untuk mengakses data perusahaan, perangkat lunak, dan sumber daya lainnya. Dalam hal ini, VPN bertindak sebagai kontrol akses: Pengguna dapat mengakses objek perusahaan hanya melalui jaringan khusus ini, bukan internet publik.
Dalam beberapa hal, alat akses jaringan zero trust (zero-trust network access, ZTNA) adalah versi zero-trust dari VPN. ZTNA menyediakan akses jarak jauh ke aplikasi dan layanan, tetapi menghubungkan pengguna hanya ke sumber daya yang dapat mereka akses, alih-alih menghubungkan pengguna ke seluruh jaringan.
Sama halnya di bidang lain, organisasi mengintegrasikan alat AI generatif dan AI agen dalam kontrol akses mereka.
Misalnya, chatbot AI generatif dapat digunakan untuk menyederhanakan proses manajemen identitas, misalnya penyediaan. Dengan melatih chatbot LLM tentang kebijakan kontrol akses organisasi, dan menghubungkannya dengan dokumentasi dan sumber daya yang sesuai, organisasi dapat membuat alat IAM mandiri yang aman. Ketika pengguna baru membutuhkan akses ke suatu sistem, atau pengguna lama memerlukan izin yang diperbarui, mereka dapat mengajukan permintaan melalui chatbot.
Katakanlah sebuah organisasi perlu membuat dan menerapkan kontrol akses untuk database rahasia yang berisi data pelanggan.
Pertama, administrator sistem dan pemangku kepentingan terkait lainnya akan menentukan subjek mana—orang, aplikasi, atau agen AI—yang seharusnya memiliki akses ke database. Mungkin mereka memutuskan bahwa siapa pun yang memiliki peran penjualan atau pemasaran harus dapat mengakses data tersebut, begitu pula dengan perangkat lunak manajemen hubungan pelanggan (CRM) dan pemasaran. Setiap agen AI yang dimiliki oleh pengguna manusia resmi juga bisa mendapatkan akses.
Selanjutnya, pemangku kepentingan menentukan tindakan mana yang dapat diambil oleh setiap pengguna resmi dalam database. Mungkin perwakilan penjualan membutuhkan akses baca dan tulis karena mereka membangun dan memelihara hubungan dengan pelanggan ini dari waktu ke waktu. Sementara itu, peran pemasaran hanya dapat membaca database karena peran tersebut hanya menggunakan data demografis pelanggan untuk memberikan informasi terkait kampanye. Mungkin semua agen AI—terlepas dari pemiliknya—memiliki akses hanya baca untuk membantu memastikan bahwa manusia selalu mengikuti perkembangan saat memperbarui database.
Untuk menerapkan kebijakan akses ini, organisasi menggunakan mesin kebijakan terpusat, dengan logika kontrol akses terperinci. Selain identitas pengguna, mesin mempertimbangkan faktor kontekstual ketika menentukan apakah akan menyetujui permintaan akses.
Misalnya, katakanlah seorang perwakilan penjualan ingin mengakses database untuk memperbarui alamat email pelanggan. Pertama, perwakilan penjualan tersebut membuktikan identitasnya dengan memberikan faktor autentikasi yang tepat. Kemudian, permintaannya dievaluasi oleh mesin kebijakan, yang mempertimbangkan:
Berdasarkan faktor-faktor ini, permintaan akses dari perwakilan penjualan tersebut dikabulkan.
Organisasi dapat menerapkan berbagai jenis model kontrol akses berdasarkan kebutuhan mereka. Jenis yang umum meliputi:
Sistem kontrol akses diskresioner (discretionary access control, DAC) memungkinkan pemilik sumber daya untuk menetapkan aturan akses bagi sumber daya tersebut. Pemilik objek bahkan dapat meneruskan hak istimewa tingkat administratif ke pengguna lain dalam model DAC ini. Jika pemilik objek memberikan hak istimewa admin kepada pengguna lain, pengguna tersebut juga dapat menetapkan aturan akses untuk objek tersebut.
Sistem kontrol akses wajib (mandatory access control, MAC) menerapkan kebijakan kontrol akses yang ditentukan secara terpusat kepada semua pengguna.
Sistem ini sering beroperasi melalui tingkat izin, seperti di pemerintahan atau militer. Setiap subjek mendapat tingkat izin, dan setiap objek memiliki peringkat izin atau tingkat klasifikasi yang sesuai. Subjek dapat mengakses objek apa pun pada atau di bawah tingkat izin mereka.
Meskipun semua kontrol akses bersifat wajib, yang berarti bahwa setiap subjek harus mematuhinya, kata “wajib” dalam MAC mengacu pada fakta bahwa pengguna individu tidak dapat mengubah atau menetapkan izin. MAC berbeda dengan model DAC diskresioner, di mana pemilik objek memiliki kontrol atas aturan akses untuk objek mereka.
Dalam kontrol akses berbasis peran (role-based access control, RBAC), hak istimewa pengguna didasarkan pada peran mereka dalam organisasi.
Peran dalam sistem RBAC tidak sama dengan jabatan, meskipun dalam beberapa implementasi dapat berhubungan satu sama lain. Namun, dalam konteks ini, “peran” mengacu pada hal yang dilakukan seseorang dalam organisasi—dan izin yang dibutuhkannya untuk melakukan hal-hal tersebut. Peran RBAC didasarkan pada beberapa kriteria, termasuk jabatan, tingkat keterampilan, tanggung jawab, dan banyak lagi.
Misalnya, katakanlah administrator sistem sedang menetapkan izin untuk firewall jaringan. Perwakilan penjualan sama sekali tidak akan memiliki akses. Analis keamanan tingkat junior mungkin dapat melihat konfigurasi firewall, tetapi tidak dapat mengubahnya. Sementara itu, analis tingkat senior mungkin memiliki akses administratif. API untuk sistem manajemen informasi dan peristiwa keamanan (security information and event management (SIEM) mungkin dapat membaca log aktivitas firewall.
RBAC adalah salah satu dari dua model kontrol akses yang direkomendasikan oleh OWASP.
Model kontrol akses kedua yang direkomendasikan oleh OWASP, kontrol akses berbasis atribut (attribute-based access control, ABAC) menggunakan mesin kebijakan untuk menganalisis atribut setiap permintaan akses secara real time. Hanya permintaan yang memenuhi kriteria yang tepat yang akan dikabulkan.
Secara garis besar, “atribut” adalah karakteristik subjek, objek, dan tindakan yang terlibat dalam permintaan. Atribut dapat mencakup hal-hal seperti nama dan peran pengguna, jenis sumber daya, tingkat risiko tindakan yang diminta, dan waktu permintaan.
Misalnya, dalam sistem ABAC, pengguna mungkin dapat mengakses data sensitif hanya selama jam kerja dan hanya jika mereka memiliki tingkat senioritas tertentu.
Perbedaan antara RBAC dan ABAC adalah bahwa ABAC secara dinamis menentukan izin akses saat setiap permintaan diajukan berdasarkan beberapa faktor kontekstual. Sebaliknya, RBAC memberikan izin secara ketat sesuai dengan peran pengguna yang telah ditentukan sebelumnya.
Kontrol akses berbasis aturan (rule-based access control, RuBac) adalah sistem di mana akses didasarkan pada aturan kontekstual bersyarat. Misalnya: Permintaan yang berasal dari subjek X pada waktu Y akan dikabulkan.
“Kontrol akses berbasis aturan” adalah istilah yang kurang tepat dan cukup usang. Sering kali, istilah ini digunakan sebagai sinonim untuk ABAC, atau sebagai sebutan untuk bentuk ABAC yang lebih awal dan lebih sederhana. Terkadang, istilah ini digunakan untuk menunjukkan sistem RBAC yang menjalankan permintaan akses melalui lapisan logika tambahan (peran + aturan).
Kontrol akses merupakan inti dari keamanan tingkat perusahaan dalam lebih dari satu hal. OWASP mencantumkannya sebagai risiko terbesar ketika rusak dan kontrol proaktif teratas ketika berfungsi dengan baik.
Kontrol akses yang efektif dapat membantu melindungi aset organisasi, mengoptimalkan nilai data perusahaan, dan mengamankan serta memberdayakan teknologi agen AI yang sedang berkembang. Kontrol akses yang rusak dapat menggagalkan semua upaya ini dan menjadi pintu masuk bagi peretas.
Kontrol akses adalah dasar dari keamanan siber itu sendiri, karena identitas adalah inti dari upaya keamanan saat ini.
Jaringan perusahaan rata-rata menampung makin banyak pengguna manusia dan non-manusia. Mereka tersebar di berbagai lokasi serta membutuhkan akses aman ke aplikasi dan sumber daya, baik secara lokal maupun berbasis cloud.
Langkah-langkah keamanan berbasis perimeter tidak efektif di lingkungan ini. Sebaliknya, organisasi memfokuskan kontrol keamanan mereka pada pengguna dan sumber daya individu—atau dalam istilah manajemen akses: subjek dan objek.
Kita ambil contoh pendekatan zero-trust untuk keamanan jaringan. Alih-alih mengautentikasi pengguna sekali saja, zero-trust mengautentikasi setiap permintaan akses dari setiap pengguna. Dengan kata lain: setiap permintaan melewati bidang kontrol akses.
Pertimbangkan pula bagaimana kontrol akses mendukung CIA Triad untuk keamanan informasi berikut:
Kontrol akses juga dapat membantu organisasi mendapatkan nilai tambah dari data eksklusif dengan tetap menjaga keamanan data.
Menurut Studi CDO 2025 dari IBM Institute for Business Value, 78% CDOs mengatakan bahwa memanfaatkan data eksklusif adalah tujuan bisnis strategis yang membedakan organisasi mereka. Lebih jauh lagi, 82% CDO percaya bahwa data “akan sia-sia” jika karyawan tidak dapat menggunakannya dengan mudah untuk mengambil keputusan berbasis data.
Selain itu, akses data aman menjadi makin penting ketika agen AI bergabung dengan tenaga kerja digital. Agen membutuhkan data perusahaan agar dapat berfungsi secara efisien dan efektif.
Kontrol akses yang efektif membantu pengguna manusia dan agen AI mengakses data perusahaan dengan aman untuk penggunaan yang disetujui. Menurut Studi CDO tersebut, para CDO dari organisasi yang mencetak ROI lebih tinggi pada investasi AI dan data biasanya menggunakan langkah-langkah keamanan seperti RBAC untuk mengelola akses pengguna ke data perusahaan.
Pada salah satu episode podcast IBM Security Intelligence, Dave McGinnis, mitra global di grup penawaran manajemen ancaman siber IBM, menyebut agen AI sebagai “ancaman orang dalam yang paling membantu”. McGinnis mengacu pada kapasitas agen untuk menghasilkan keuntungan yang luar biasa sekaligus kerugian yang luar biasa.
Untuk melakukan pekerjaan bermakna, agen membutuhkan akses yang sangat istimewa ke sistem dan data perusahaan. Namun, agen juga bersifat nondeterministik. Tanpa pedoman yang tepat, agen ini dapat menggunakan aksesnya dengan cara baru yang tidak sepenuhnya disetujui.
Sebagaimana telah dijelaskan oleh Seth Glasgow, executive advisor di IBM Cyber Range, dalam Security Intelligence, penggunaan kontrol akses yang bijaksana adalah kunci untuk mengaktifkan agen AI, sekaligus memitigasi risiko penyalahgunaan hak akses:
Penerapan standar [agen AI] adalah bahwa agen dapat melihat segalanya, bukan? Dengan kata lain, agen ini menangani semua hal. ... Namun, di situlah saya telah menciptakan aset bernilai sangat tinggi. Aplikasi tersebut disiapkan untuk mengakses sejumlah besar data sensitif.
Jadi, hal pertama yang harus kita lakukan dari perspektif IAM adalah mulai mengelompokkannya. Kita tidak membutuhkan satu agen yang bisa melakukan semua hal. Agen tersebut harus lebih selaras dengan contoh penggunaan tertentu, dan perlu memiliki izin yang memang selaras dengan tugas yang harus dilakukan agen tersebut.
Tiga faktor utama yang dapat memicu rusaknya kontrol akses: pemberian hak yang berlebihan, kurangnya sentralisasi, dan kelemahan desain.
Bagi organisasi, memberikan tingkat izin yang lebih tinggi daripada yang benar-benar dibutuhkan subjek sudah menjadi praktik yang umum. Ini dilakukan demi memastikan subjek tidak mengalami hambatan apa pun saat mencoba bekerja. Pemberian hak yang berlebihan kerap terjadi pada identitas non-manusia yang digunakan untuk mengotomatiskan alur kerja, karena organisasi biasanya membutuhkan identitas tersebut agar memerlukan intervensi sesedikit mungkin.
Kontrol akses yang efektif—seperti RBAC dan ABAC—dapat membantu menyelaraskan pengalaman pengguna, operasi bisnis, dan kebutuhan keamanan. Alih-alih memberikan hak istimewa yang berlebihan, organisasi menyesuaikan akses secara sempit pada tingkat yang dibutuhkan setiap subjek—tidak lebih dan tidak kurang.
Dalam sistem yang tidak memiliki kontrol akses terpusat, objek yang berbeda dapat memiliki sistem kontrol yang berbeda pula. Kesenjangan antara sistem ini dapat menghambat subjek saat mengakses sumber daya yang mereka butuhkan, dan hanya perlu satu sistem yang lemah untuk membahayakan seluruh jaringan.
Dengan menerapkan kain identitas menyeluruh dan menggunakan alat orkestrasi identitas untuk mengintegrasikan berbagai sistem yang berbeda, organisasi dapat menutup celah keamanan sekaligus merampingkan akses untuk pengguna yang berwenang.
Terakhir, seperti yang dicatat oleh OWASP, aplikasi sering kali memiliki kelemahan desain dalam sistem kontrol aksesnya. Kelemahan ini dapat mencakup berbagai masalah, antara lain kemampuan untuk melewati kontrol dengan memodifikasi URL halaman, tidak adanya kontrol API, dan JSON Web Token yang tidak aman, sehingga rentan terhadap gangguan.
Edukasi bagi pengembang, persyaratan kontrol akses yang lebih ketat, dan praktik DevSecOps dapat membantu organisasi membangun keamanan identitas langsung ke dalam aplikasi.