Apa itu manajemen akses?

Manajemen akses dan manajemen identitas bersama-sama membentuk dua pilar disiplin keamanan siber yang lebih luas —manajemen identitas dan akses (IAM). IAM menangani penyediaan dan perlindungan identitas digital dan izin pengguna dalam sistem TI.

Manajemen identitas melibatkan pembuatan dan pemeliharaan identitas untuk semua pengguna dalam suatu sistem, termasuk pengguna manusia (karyawan, pelanggan, atau kontraktor) dan pengguna bukan manusia (agen AI, IoT, dan perangkat titik akhir atau beban kerja otomatis).

Manajemen akses melibatkan memfasilitasi akses aman bagi pengguna ini ke data organisasi, sumber daya lokal, serta aplikasi dan aset berbasis cloud. Fungsi utama manajemen akses meliputi pengelolaan kebijakan akses pengguna, verifikasi identitas pengguna, dan pemberian izin kepada pengguna yang sah untuk melakukan tindakan tertentu dalam sistem.

Dengan munculnya komputasi cloud, solusi perangkat lunak sebagai layanan (SaaS), pekerjaan jarak jauh, dan AI generatif, manajemen akses telah menjadi komponen inti dari keamanan jaringan. Organisasi harus memungkinkan lebih banyak jenis pengguna untuk mengakses lebih banyak jenis sumber daya di lebih banyak lokasi, sekaligus mencegah pelanggaran data dan menjauhkan pengguna yang tidak sah. 

Menurut Institut Standar dan Teknologi Nasional (NIST), fungsi manajemen akses inti meliputi:

• Administrasi kebijakan
• Autentikasi
• Otorisasi

Kebijakan akses granular mengatur izin akses pengguna di sebagian besar sistem manajemen akses. Organisasi dapat mengambil beberapa pendekatan berbeda untuk menetapkan kebijakan akses mereka.

Salah satu kerangka kerja kontrol akses yang umum adalah kontrol akses berbasis peran (RBAC), di mana hak istimewa pengguna didasarkan pada fungsi pekerjaan mereka. RBAC membantu mempermudah proses penetapan izin pengguna dan mengurangi risiko pemberian hak akses yang lebih tinggi daripada yang diperlukan.

Misalnya, katakanlah administrator sistem sedang mengatur izin untuk firewall jaringan.

• Seorang perwakilan penjualan kemungkinan besar tidak akan memiliki akses sama sekali, karena peran pengguna tersebut tidak memerlukannya.
  
  
• Seorang analis keamanan tingkat junior mungkin dapat melihat konfigurasi firewall, tetapi tidak dapat mengubahnya.
  
  
• Chief Information Security Officer (CISO) akan memiliki akses administratif penuh.
  
  
• Antarmuka pemrograman aplikasi (API) untuk  informasi keamanan dan sistem manajemen peristiwa (SIEM) terintegrasi mungkin dapat membaca log aktivitas firewall.

Organisasi dapat menggunakan kerangka kerja kontrol akses lain sebagai alternatif untuk, atau bersama dengan, RBAC. Kerangka kerja tersebut termasuk:

• Kontrol akses wajib (MAC) menerapkan kebijakan yang ditetapkan secara terpusat pada semua pengguna, berdasarkan tingkat izin atau skor kepercayaan.
  
  
• Kontrol akses diskresioner (DAC) memungkinkan pemilik sumber daya untuk menetapkan aturan kontrol akses mereka sendiri untuk sumber daya tersebut. 
  
  
• Kontrol akses berbasis atribut (ABAC) menganalisis atribut pengguna, objek, dan tindakan untuk menentukan apakah akses akan diberikan. Atribut ini meliputi nama pengguna, jenis sumber daya, dan waktu.

Sebagian besar kerangka kerja kontrol akses organisasi mengikuti prinsip hak istimewa paling rendah. Sering dikaitkan dengan strategi keamanan zero trust, prinsip hak istimewa paling sedikit menyatakan bahwa pengguna seharusnya hanya memiliki izin terendah yang diperlukan untuk menyelesaikan tugas. Hak istimewa harus dicabut ketika tugas dilakukan untuk membantu mencegah risiko keamanan di masa depan.

Autentikasi adalah proses memverifikasi bahwa pengguna adalah orang yang mereka klaim.

Ketika pengguna masuk ke sistem atau meminta akses ke sumber daya, mereka mengirimkan kredensial—disebut “faktor autentikasi” —untuk menjamin identitas mereka. Misalnya, pengguna manusia mungkin memasukkan kata sandi atau pemindaian sidik jari biometrik, sementara pengguna bukan manusia mungkin berbagi sertifikat digital.

Alat manajemen akses memeriksa faktor yang dikirim terhadap kredensial yang mereka miliki di file untuk pengguna. Jika cocok, pengguna diberikan akses.

Kata sandi adalah bentuk autentikasi paling dasar, tetapi juga salah satu yang paling lemah. Sebagian besar alat manajemen akses saat ini menggunakan metode autentikasi yang lebih canggih. Metode-metode ini meliputi:

• Autentikasi dua faktor (2FA) dan autentikasi multifaktor (MFA), di mana pengguna harus menyediakan setidaknya dua bukti untuk membuktikan identitas mereka.
  
  
• Otentikasi tanpa kata sandi, yang menggunakan kredensial selain kata sandi, seperti faktor biometrik atau kunci sandi FIDO.
  
  
• Sistem masuk tunggal (SSO), yang memungkinkan pengguna mengakses beberapa aplikasi dan layanan dengan satu set kredensial masuk. Sistem SSO sering kali menggunakan protokol terbuka seperti Security Assertion Markup Language (SAML) dan OpenID Connect (OIDC) untuk berbagi data autentikasi antar layanan.
  
  
• Autentikasi adaptif, yang menggunakan kecerdasan buatan (AI) dan machine learning (ML) untuk menganalisis tingkat risiko pengguna berdasarkan faktor-faktor seperti perilaku,postur keamanan perangkat, dan waktu. Persyaratan autentikasi berubah secara real-time sesuai dengan perubahan tingkat risiko, dengan login yang lebih berisiko memerlukan autentikasi yang lebih kuat.

Otorisasi adalah proses pemberian pengguna terverifikasi tingkat akses yang sesuai ke suatu sumber daya.

Autentikasi dan otorisasi sangat terkait, dan autentikasi biasanya merupakan prasyarat untuk otorisasi. Setelah identitas pengguna terbukti, sistem manajemen akses memeriksa hak istimewa pengguna berdasarkan kebijakan akses yang telah ditentukan yang dicatat dalam database pusat atau mesin kebijakan. Sistem kemudian mengizinkan pengguna untuk memiliki hak istimewa tertentu selama sesi mereka.

Dengan membatasi izin pengguna berdasarkan kebijakan akses, alat manajemen akses dapat membantu mencegah ancaman orang dalam yang secara jahat menyalahgunakan hak istimewa mereka dan pengguna yang bermaksud baik yang secara tidak sengaja menyalahgunakan hak mereka.

Jika validasi identitas pengguna gagal, sistem manajemen akses tidak memberikan izin kepada mereka, sehingga mereka tidak dapat menggunakan hak akses yang terkait dengan akun mereka. Ini membantu mencegah penyerang luar membajak dan menyalahgunakan hak istimewa pengguna yang sah.

Solusi manajemen akses dapat diklasifikasikan secara luas dalam dua kategori: alat yang mengontrol akses untuk pengguna internal, seperti karyawan, dan alat yang mengontrol akses untuk pengguna eksternal, seperti pelanggan. 

Pengguna internal suatu organisasi—karyawan, manajer, administrator—seringkali memerlukan akses ke berbagai sistem, termasuk aplikasi bisnis, aplikasi pesan, basis data perusahaan, sistem HR, dan lainnya.

Hampir semua sumber daya internal perusahaan dianggap sensitif, membutuhkan perlindungan dari peretas jahat. Tetapi tidak setiap pengguna internal membutuhkan akses sebanyak mungkin ke setiap sumber daya internal. Organisasi memerlukan alat manajemen akses yang canggih yang memungkinkan mereka mengontrol izin akses pengguna secara detail.

Alat manajemen akses internal yang umum meliputi:

Platform IAM adalah solusi komprehensif yang mengintegrasikan fungsi inti manajemen identitas dan akses dalam satu sistem. Fitur umum platform IAM termasuk direktori pengguna, alat otentikasi, administrasi kebijakan akses, dan kemampuan deteksi dan respons ancaman identitas (ITDR).

Manajemen hak akses istimewa (PAM) adalah bagian dari manajemen akses yang mengatur dan mengamankan akun pengguna dengan hak akses istimewa tinggi (seperti akun admin) dan aktivitas dengan hak akses istimewa (seperti bekerja dengan data sensitif).

Dalam banyak sistem TI, akun dengan hak akses tinggi diberikan perlindungan khusus karena akun-akun ini merupakan target bernilai tinggi yang dapat dimanfaatkan oleh pelaku jahat untuk menyebabkan kerusakan serius.

Alat PAM mengisolasi identitas istimewa dari yang lain dengan menggunakan brankas kredensial dan protokol akses tepat waktu (JIT). JIT memberikan akses istimewa kepada pengguna yang berwenang ke sumber daya tertentu untuk jangka waktu terbatas atas permintaan, daripada memberikan izin tingkat tinggi secara permanen kepada pengguna.

Alat tata kelola dan administrasi identitas (IGA) membantu memastikan bahwa kebijakan akses dan kontrol akses organisasi memenuhi persyaratan keamanan dan mandat peraturan.

Solusi IGA menawarkan alat untuk menentukan dan menerapkan kebijakan akses yang sesuai di seluruh siklus hidup setiap pengguna. Beberapa alat IGA juga dapat membantu mengotomatiskan alur kerja kepatuhan utama, seperti onboarding pengguna dan penyediaan, tinjauan akses, permintaan akses baru, dan deprovisioning untuk pengguna offboard. Fungsi-fungsi ini memberikan organisasi lebih banyak pengawasan atas izin pengguna dan aktivitas mereka, yang memudahkan untuk deteksi—dan menghentikan penyalahgunaan hak istimewa.

Solusi ZTNA adalah alat akses jarak jauh yang mengikuti prinsip zero-trust "jangan pernah percaya, selalu verifikasi."

Alat akses jarak jauh tradisional, seperti jaringan pribadi virtual (VPN), menghubungkan pengguna jarak jauh ke seluruh jaringan korporat. Sebaliknya, ZTNA menghubungkan pengguna hanya ke aplikasi dan sumber daya tertentu yang memiliki izin untuk diakses.

Selain itu, dalam model ZTNA, pengguna tidak pernah secara implisit dipercaya. Setiap permintaan akses untuk setiap sumber daya harus diverifikasi dan divalidasi, tanpa memandang identitas atau lokasi pengguna. 

Organisasi harus sering memfasilitasi akses aman ke sumber daya untuk pengguna eksternal. Pelanggan mungkin memerlukan akses ke akun mereka di platform e-commerce. Vendor mungkin memerlukan akses ke sistem faktur. Mitra bisnis mungkin memerlukan akses ke data bersama. Alat manajemen akses eksternal secara khusus melayani pengguna eksternal ini.

Beberapa organisasi menggunakan alat yang sama untuk manajemen akses internal dan eksternal, tetapi strategi ini tidak selalu dapat diterapkan. Kebutuhan pengguna internal dan eksternal dapat berbeda. Misalnya, pengguna eksternal seringkali lebih mengutamakan kenyamanan daripada keamanan, sementara pengguna internal memiliki hak akses yang lebih tinggi yang memerlukan perlindungan yang lebih kuat.

Alat Manajemen Identitas dan Akses Pelanggan (CIAM) mengatur identitas digital dan keamanan akses untuk pelanggan dan pengguna lain di luar organisasi.

Seperti alat manajemen akses lainnya, sistem CIAM membantu mengautentikasi pengguna dan memfasilitasi akses aman ke layanan digital. Perbedaan utamanya adalah alat CIAM menekankan pengalaman pengguna melalui pembuatan profil progresif (memungkinkan pengguna untuk melengkapi profil mereka dari waktu ke waktu), login sosial, dan fitur ramah pengguna lainnya. 

Alat manajemen akses membantu organisasi memfasilitasi akses aman ke sumber daya sensitif bagi pengguna yang berwenang, terlepas dari lokasi mereka.

Hasilnya adalah jaringan yang lebih aman dan lebih efisien. Pengguna memiliki akses tanpa gangguan yang mereka butuhkan untuk melakukan pekerjaan mereka, sementara aktor ancaman dan pengguna yang tidak sah dijauhkan.