Apa itu tata kelola dan administrasi identitas (IGA)?

Ketika organisasi mengelola ribuan akun pengguna di seluruh sistem on-premise, layanan cloud, dan aplikasi perangkat lunak sebagai layanan (SaaS), melacak siapa yang memiliki akses ke apa yang menjadi makin kompleks.

Setiap identitas digital—baik mewakili pengguna, perangkat, atau aplikasi—adalah gerbang potensial menuju sistem penting dan data sensitif. Tanpa tata kelola yang tepat, ekosistem yang luas ini menciptakan risiko keamanan yang signifikan dan tantangan kepatuhan.

Menurut Laporan Biaya Pelanggaran Data IBM®, kredensial yang dicuri atau disusupi adalah vektor serangan awal yang paling umum, yang bertanggung jawab atas 16% pelanggaran data. Ketika peretas mendapatkan kredensial yang sah, mereka dapat pindah melalui jaringan, mengakses data dan sistem sensitif.

Solusi tata kelola dan administrasi identitas membantu melindungi dari serangan berbasis identitas dan mencegah pelanggaran data yang berpotensi terjadi.

Alat IGA dapat mengotomatisasi proses penyediaan pengguna, menerapkan kebijakan akses, dan melakukan ulasan akses secara berkala sepanjang siklus hidup identitas, mulai dari proses onboarding hingga deprovisioning saat offboarding. Fungsi-fungsi ini memberikan organisasi lebih banyak pengawasan atas izin pengguna dan aktivitas mereka, yang memudahkan untuk deteksi—dan menghentikan—penyalahgunaan dan penyalahgunaan hak istimewa.

Solusi IGA juga membantu memastikan kepatuhan terhadap peraturan yang berkelanjutan dengan mandat seperti General Data Protection Regulation (GDPR), Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA), dan Undang-Undang Sarbanes-Oxley (SOX). IGA membantu memastikan bahwa akses ke sistem dan data sensitif dialokasikan dengan benar dan secara rutin diulas, sambil menghasilkan jejak audit untuk mendukung audit internal dan eksternal.

IGA dan manajemen identitas dan akses (IAM) adalah kerangka kerja yang terkait tetapi berbeda dalam keamanan identitas. IAM berurusan dengan cara pengguna mengakses sumber daya digital, sementara IGA membantu memastikan bahwa orang menggunakan akses mereka dengan tepat. 

IAM menangani aspek operasional keamanan identitas, seperti manajemen kata sandi, autentikasi, otorisasi akses sehari-hari dan mengelola akun. IGA memperluas IAM dengan menambahkan kemampuan tata kelola, termasuk fungsi pengawasan, penegakan kebijakan, dan kepatuhan.

IAM dan IGA dapat dipandang sebagai solusi untuk sekelompok pertanyaan yang saling melengkapi:

• IAM: Bagaimana pengguna mengakses sumber daya, dan apa yang dapat mereka lakukan dengan sumber daya tersebut?

• IGA: Haruskah pengguna memiliki akses ini, dan dapatkah kami membuktikan bahwa kontrol kami memenuhi persyaratan kepatuhan?

Dalam praktiknya, organisasi menerapkan alat IAM dan IGA bersama-sama. Misalnya, jika seorang analis keuangan pindah ke departemen pemasaran, IAM menangani aspek teknis perubahan hak akses, sementara IGA memastikan bahwa perubahan tersebut sesuai dengan kebijakan perusahaan.

Solusi IGA muncul untuk membantu organisasi mengelola kompleksitas yang makin meningkat dalam lingkungan IT perusahaan, pergeseran lanskap ancaman siber, dan persyaratan kepatuhan yang terus berkembang.

Jaringan perusahaan saat ini mencakup sistem on-premises, penyedia cloud pribadi dan publik, workstation jarak jauh, dan berbagai aplikasi SaaS. Kompleksitas ini membuat tata kelola identitas manual hampir tidak mungkin, dan ini meningkatkan risiko keamanan.

Solusi IGA membantu mengatasi lingkungan TI yang kompleks melalui visibilitas terpusat, konektor yang menghubungkan sistem yang berbeda dan otomatisasi alur kerja inti.

Banyak solusi tata kelola identitas menyediakan dasbor terpadu dan konsol manajemen yang memungkinkan visibilitas dan kontrol terpusat di berbagai lingkungan.

Misalnya, organisasi sering menggunakan alat IGA untuk melihat semua izin pengguna di seluruh layanan cloud, sistem on premises dan aplikasi pihak ketiga dari satu antarmuka. Hal ini membantu memastikan bahwa organisasi dapat mempertahankan kebijakan akses yang konsisten terlepas dari lokasi hosting aplikasi.

Solusi IGA mencakup konektor, antarmuka bawaan yang menghubungkan aplikasi dan platform dalam tumpukan teknologi organisasi untuk membantu memungkinkan tata kelola identitas terpadu. Konektor membantu menyinkronkan data pengguna, mengonversi kebijakan akses antar sistem, dan mempertahankan kontrol yang konsisten di seluruh aplikasi yang sebelumnya bersilo.

Misalnya, perusahaan jasa keuangan dapat menggunakan konektor untuk mengintegrasikan sistem perbankan inti, platform manajemen hubungan pelanggan (CRM), dan database SDM dengan alat IGA pusat. Integrasi ini memudahkan untuk menyesuaikan hak akses di semua sistem saat peran karyawan berubah.

Solusi IGA menggunakan otomatisasi untuk merampingkan alur kerja manajemen identitas, menghilangkan proses manual yang memakan waktu, dan mengurangi jumlah tiket meja bantuan yang harus dikerjakan tim TI. Alat IGA biasanya mendukung:

• Permintaan akses layanan mandiri, memungkinkan pengguna untuk meminta akses ke data dan sistem sensitif melalui portal intuitif.
  
  
• Alur kerja penyediaan otomatis, menghilangkan proses manual untuk alur kerja rutin seperti pembuatan akun, penetapan izin, dan peninjauan akses.
  
  
• Optimasi peran, memberikan saran perbaikan pada definisi peran dan hak akses default berdasarkan cara pengguna sebenarnya menggunakan izin mereka.

Tanpa solusi IGA, staf IT harus membuat akun pengguna secara manual di beberapa sistem saat melakukan onboarding karyawan baru. Alat IGA dapat mempermudah proses ini dengan secara otomatis membuat akun di semua sistem yang diperlukan secara real-time berdasarkan peran pengguna.

Serangan siber telah berkembang, dengan aktor ancaman makin sering menargetkan identitas daripada infrastruktur jaringan. Keamanan perimeter tradisional tidak lagi memadai ketika pengguna dapat mengakses sumber daya perusahaan dari mana saja, menggunakan perangkat apa pun.

Menurut IBM X-Force® Threat Intelligence Index, penyalahgunaan akun yang valid adalah salah satu cara paling umum yang dilakukan peretas untuk membobol jaringan perusahaan, yang menyumbang 30% dari serangan siber.

Solusi IGA dapat membantu mengurangi permukaan serangan dan membatasi kerusakan dengan menegakkan prinsip hak istimewa paling rendah. Artinya, pengguna hanya memiliki akses yang diperlukan untuk melakukan fungsi pekerjaan mereka—tidak lebih, tidak kurang.

Solusi IGA juga dapat membantu meningkatkan postur keamanan organisasi dengan cara lain:

• Deprovisioning otomatis dan penegakan kebijakan: Menghapus akses secara otomatis ketika pengguna meninggalkan organisasi atau melanggar kebijakan keamanan.
  
  
• Ulasan akses rutin: Mengidentifikasi dan mencabut izin yang berlebihan, seperti menemukan bahwa pengembang masih memiliki akses administratif ke sistem produksi setelah proyek selesai.
  
  
• Implementasi Zero Trust: Mendukung arsitektur Zero Trust dengan memastikan pengguna hanya memiliki akses yang diperlukan sesuai dengan peran mereka.
  
  
• Dasbor risiko akses: Memvisualisasikan potensi kerentanan keamanan untuk meningkatkan pengambilan keputusan, seperti menyoroti kapan pengguna mengakses data keuangan sensitif di luar jam kerja normal.

Untuk lebih melindungi akun istimewa berisiko tinggi dengan hak akses yang tinggi, organisasi sering mengintegrasikan IGA dengan alat manajemen akses istimewa (PAM), yang berfokus khusus pada pengamanan akun istimewa, seperti akun admin.

Beberapa solusi IGA juga menyediakan kemampuan deteksi ancaman dan remediasi real-time untuk membantu mencegah pelanggaran kepatuhan dan pelanggaran data.

Persyaratan kepatuhan seperti GDPR, HIPAA, SOX, dan mandat lainnya memberlakukan aturan tentang bagaimana organisasi menangani data. Hukuman untuk ketidakpatuhan bisa signifikan. Misalnya, pelanggaran GDPR dapat mengakibatkan denda hingga USD 22 juta atau 4% dari pendapatan tahunan global, mana yang lebih tinggi.

Solusi IGA menyediakan kontrol dan dokumentasi yang dapat digunakan organisasi untuk merampingkan kepatuhan:

• Penegakan kebijakan otomatis: Memastikan izin akses dan otorisasi sesuai dengan persyaratan regulasi.
  
  
• Jejak audit komprehensif: Mencatat semua aktivitas yang terkait dengan akses untuk bukti kepatuhan yang dapat digunakan dalam audit.
  
  
• Sertifikasi akses reguler: Meninjau hak akses pengguna untuk membantu memastikan bahwa hak tersebut masih ditetapkan dengan tepat untuk peran dan tanggung jawab setiap pengguna.
  
  
• Dasbor kepatuhan: Memberikan visibilitas real-time terhadap status kepatuhan akun pengguna.

Penyedia layanan kesehatan, misalnya, dapat menggunakan alat IGA untuk memastikan kepatuhan terhadap HIPAA dengan membatasi akses ke catatan pasien berdasarkan tanggung jawab pekerjaan dan menjaga catatan detail tentang siapa yang mengakses catatan tersebut.

Alat dan praktik IGA berfokus pada pengelolaan identitas digital dan izin akses sepanjang siklus hidup pengguna, mulai dari onboarding hingga offboarding.

Dua komponen utama IGA termasuk manajemen siklus hidup identitas dan tata kelola akses.

Pengelolaan siklus hidup identitas mencakup pembuatan, modifikasi, dan penonaktifan identitas pengguna saat karyawan bergabung, berpindah, atau meninggalkan suatu organisasi. Hal ini dapat memastikan bahwa pengguna baru mendapatkan akses yang sesuai sejak hari pertama dan akses tersebut segera dihapus saat proses offboarding.

Jika seorang karyawan berganti peran, alat IGA dapat secara otomatis mencabut izin yang kedaluwarsa dan menetapkan izin baru berdasarkan tanggung jawab yang diperbarui. 

Proses manajemen siklus hidup identitas utama meliputi:

• Onboarding: Menyediakan akun pengguna dan akses awal.
  
  
• Perubahan atribut: Pembaruan hak akses saat atribut pengguna—seperti tingkat keamanan, departemen, atau penugasan proyek—berubah.
  
  
• Offboarding: Pencabutan akses saat pengguna meninggalkan organisasi.

Tata kelola akses mengawasi siapa yang memiliki akses ke sumber daya apa dan membantu memastikan bahwa akses tetap sesuai seiring berjalannya waktu. Tata kelola akses ini menyediakan lapisan pengawasan untuk manajemen identitas, dengan fokus pada penegakan kebijakan, tinjauan akses, dan kepatuhan.

Fungsi tata kelola akses utama meliputi:

• Kontrol akses berbasis peran (RBAC)
• Penegakan pemisahan tugas (SoD)
• Akses sertifikasi dan ulasan
• Manajemen hak

Kontrol akses berbasis peran (RBAC) memberikan izin kepada pengguna berdasarkan peran organisasi daripada menetapkan izin individual untuk setiap pengguna. Sebagai contoh, peran keuangan dapat mengizinkan pengguna untuk melakukan pembelian, sementara peran sumber daya manusia dapat mengizinkan pengguna untuk melihat file personalia.

Kemampuan manajemen peran dalam solusi IGA membantu organisasi mendefinisikan, mengelola, dan memelihara peran seiring berjalannya waktu.

Dengan RBAC, solusi IGA dapat mengelola akses untuk ribuan pengguna tanpa perlu memberikan izin secara individual satu per satu. Ketika seorang karyawan bergabung, pindah departemen, atau keluar, administrator dapat dengan mudah mengaktifkan atau menonaktifkan peran standar daripada harus mengatur ulang puluhan izin sistem yang terpisah.

Pemisahan tugas (SoD), juga dikenal sebagai segregasi tugas, adalah prinsip keamanan yang mencegah konflik kepentingan dengan memastikan tidak ada satu orang pun yang memiliki hak akses berlebihan.

Solusi IGA membantu menerapkan pemisahan tugas (SoD) dengan mengidentifikasi dan mencegah kombinasi hak akses yang dapat menyebabkan penipuan atau penyalahgunaan.

Dalam proses pengadaan, misalnya, orang yang sama tidak boleh dapat menambahkan vendor baru ke sistem dan menyetujui pembayaran ke vendor tersebut. Solusi IGA dapat menandai pengaturan ini sebagai pelanggaran SoD dan memblokirnya sepenuhnya atau memerlukan persetujuan tambahan.

Sertifikasi akses melibatkan peninjauan hak akses pengguna secara berkala untuk memastikannya tetap sesuai dari waktu ke waktu. Peninjauan ini biasanya melibatkan manajer atau pemilik sumber daya yang memastikan bahwa anggota tim masih memerlukan hak akses mereka saat ini.

Solusi IGA dapat membantu merampingkan peninjauan akses dengan secara otomatis memulai peninjauan secara teratur. Hak akses berisiko tinggi—seperti akses ke sistem keuangan—mungkin akan ditinjau lebih sering daripada izin akses berisiko rendah.

Beberapa solusi IGA juga dapat memberikan rekomendasi untuk perubahan akses berdasarkan pola penggunaan, seperti menandai izin yang tidak digunakan yang mungkin tidak diperlukan oleh pengguna.

Pengelolaan hak akses adalah komponen yang lebih terperinci dari tata kelola akses, yang berfokus pada izin yang dimiliki pengguna dalam sistem. Dengan kata lain: Pengelolaan akses mengawasi apa yang dapat diakses oleh pengguna, sementara pengelolaan hak akses mengawasi apa yang dapat dilakukan pengguna dengan akses tersebut.

Misalnya, dalam sistem akuntansi, manajemen akses akan menangani kontrol yang sangat detail, seperti pengguna mana yang dapat melihat catatan keuangan, pengguna mana yang dapat mengeditnya, dan pengguna mana yang dapat menghapusnya.

Kemampuan manajemen hak tambahan meliputi:

• Katalog hak: Mengelola inventaris izin pengguna.
  
  
• Penilaian risiko akses: Mengevaluasi risiko yang terkait dengan hak tertentu, seperti kemampuan untuk mengubah batas kredit pelanggan.
  
  
• Kontrol berbasis kebijakan: Menerapkan kebijakan keamanan selama permintaan akses untuk menjaga prinsip hak akses minimal, seperti mengharuskan persetujuan atasan untuk mengakses data keuangan sensitif.
  
  
• Analitik akses: Memberikan insight tentang pola akses untuk membantu organisasi secara proaktif mengatasi potensi risiko keamanan, seperti mendeteksi pengguna yang memiliki izin yang berlebihan untuk sistem penting.

Kemajuan dalam kecerdasan buatan (AI) membawa tantangan baru dan peluang baru ke IGA.

Aktor ancaman menggunakan alat AI generatif baru untuk menargetkan alur kerja IGA dan kontrol. Contoh, dengan menggunakan AI untuk menghasilkan deepfake dan pesan phishing yang meyakinkan, penyerang dapat mengelabui pengguna yang sah agar menyerahkan kredensial mereka. Aktor yang lebih canggih bahkan mungkin menggunakan alat machine learning (ML) untuk menganalisis struktur izin dan mengidentifikasi peluang untuk menghindari kebijakan dan melewati kontrol IGA.  

Pada saat yang sama, penyedia layanan menggunakan kecerdasan buatan (AI) untuk mengubah solusi IGA mereka dari titik pemeriksaan kepatuhan statis menjadi sistem manajemen risiko yang adaptif. Beberapa contoh bagaimana solusi IGA menggunakan AI meliputi:

• Rekomendasi akses cerdas: Menggunakan alat ML untuk menganalisis peran pengguna, fungsi pekerjaan, dan kelompok rekan kerja guna secara otomatis menyarankan hak akses yang sesuai selama proses onboarding dan transfer, sehingga meningkatkan proses RBAC tradisional.
  
  
• Deteksi anomali berbasis AI: Membangun pola perilaku pengguna dasar melalui algoritma AI untuk secara otomatis mengidentifikasi aktivitas mencurigakan yang mungkin terlewatkan oleh kontrol IGA standar.
  
  
• Peninjauan yang ditingkatkan AI: Mengevaluasi dan menilai hak berdasarkan tingkat hak istimewa, penggunaan, dan dampak SoD, sehingga sistem IGA dapat memprioritaskan akses berisiko tinggi untuk peninjauan manual dan mengotomatiskan keputusan berisiko rendah.