Foto oleh Zulfugar Karimov di Unsplash
Karyawan yang sudah resign tetapi akunnya masih aktif dapat membuka celah keamanan yang sulit terlihat dalam aktivitas sehari-hari. Risiko serupa juga terjadi saat pengguna memiliki akses melebihi kebutuhan pekerjaannya.
Lewat artikel ini, Anda dapat memahami ruang lingkup IAM, cara mengevaluasi hak akses pengguna, hingga checklist audit yang membantu perusahaan memperkuat pengendalian akses.
Mengapa Audit Hak Akses Sistem Penting bagi Perusahaan?
Audit hak akses sistem membantu perusahaan memverifikasi apakah kontrol akses yang tertulis di kebijakan benar-benar berjalan sesuai kondisi aktual di lapangan.
Tanpa audit berkala, kesenjangan antara kebijakan dan praktik sering tidak terdeteksi hingga muncul insiden, seperti akses tidak sah, kebocoran data, atau penyalahgunaan wewenang oleh pihak internal.
Pengertian Audit Hak Akses Sistem dan Identity Governance
Audit hak akses sistem adalah proses pemeriksaan terhadap identitas pengguna, peran, serta hak akses yang dimiliki setiap akun dalam sistem TI perusahaan.
Identity governance mencakup kerangka kebijakan yang mengatur bagaimana akses diberikan, ditinjau, dan dicabut sepanjang siklus hidup seorang pengguna dalam organisasi.
Audit ini membandingkan kondisi aktual, siapa punya akses ke apa, dengan kebijakan dan kebutuhan pekerjaan yang seharusnya berlaku.
Risiko Keamanan Akibat Penyalahgunaan Akses Pengguna
Akses yang tidak terkontrol dapat membuka jalan bagi kebocoran data, manipulasi transaksi, atau penyalahgunaan sistem oleh pihak yang tidak berwenang.
Beberapa risiko yang umum ditemukan dalam audit hak akses meliputi:
- Akun mantan karyawan yang belum dinonaktifkan.
- Hak akses berlebihan yang menumpuk seiring waktu (privilege creep).
- Akun bersama tanpa kejelasan penanggung jawab.
- Akses administrator yang tidak tercatat atau tidak diawasi.
- Kredensial yang bocor atau digunakan tanpa otorisasi.
Setiap celah tersebut memperbesar permukaan serangan perusahaan, terutama jika tidak ada mekanisme peninjauan akses secara rutin.
Apa Saja Ruang Lingkup Audit Identity and Access Management (IAM)?
Audit Identity and Access Management atau IAM mencakup pemeriksaan menyeluruh terhadap bagaimana identitas dikelola, mulai dari pemberian akses hingga pencabutannya.
Ruang lingkup audit biasanya meliputi evaluasi kebijakan akses, struktur peran, mekanisme otentikasi, hingga proses provisioning dan deprovisioning akun.
Evaluasi Hak Akses Berbasis Peran (Role-Based Access Control)
Role-Based Access Control atau RBAC memberikan akses berdasarkan peran pengguna dalam organisasi, bukan berdasarkan individu secara langsung.
Auditor perlu memeriksa apakah setiap peran memiliki hak akses yang sesuai dengan tanggung jawab pekerjaannya, tanpa kelebihan izin yang tidak diperlukan.
Pemeriksaan juga mencakup konsistensi penerapan RBAC di seluruh sistem, karena penyimpangan sering muncul ketika satu aplikasi menerapkan aturan berbeda dari sistem lainnya.
Peninjauan Akun Privilege dan Akses Administrator
Akun dengan hak istimewa (privileged account), seperti akses administrator atau superuser, membutuhkan pengawasan lebih ketat karena dampak penyalahgunaannya jauh lebih besar.
Auditor perlu memeriksa siapa saja pemegang akun privilege, alasan pemberian akses tersebut, serta apakah penggunaannya tercatat dan dipantau secara berkala.
Perusahaan sebaiknya menerapkan prinsip least privilege, memberikan akses seminimal mungkin sesuai kebutuhan, untuk mengurangi risiko dari akun bertingkat tinggi ini.
Bagaimana Cara Evaluasi Hak Akses Pengguna Secara Efektif?
Foto oleh Ewan Buck di Unsplash
Evaluasi hak akses perlu dilakukan secara sistematis supaya auditor dapat membandingkan kondisi aktual dengan kebijakan yang berlaku secara objektif.
Identifikasi Akun Dormant dan Privilege Creep
Akun dormant adalah akun yang sudah lama tidak digunakan tetapi masih aktif dalam sistem. Akun semacam ini rawan disalahgunakan karena jarang dipantau.
Privilege creep terjadi ketika pengguna mengumpulkan hak akses tambahan seiring waktu, misalnya setelah pindah divisi atau naik jabatan tanpa pencabutan akses lama yang sudah tidak relevan.
Auditor dapat mengidentifikasi kedua kondisi ini dengan membandingkan log aktivitas login, riwayat perubahan peran, dan daftar akses aktif setiap akun.
Verifikasi Otentikasi dan Otorisasi dalam Sistem TI
Otentikasi memastikan identitas pengguna benar-benar valid, sedangkan otorisasi menentukan apa saja yang boleh dilakukan pengguna tersebut setelah masuk ke sistem.
Auditor perlu memeriksa penerapan mekanisme otentikasi seperti kata sandi yang memadai, autentikasi berlapis (MFA), serta kebijakan penguncian akun setelah percobaan login yang gagal.
Pemeriksaan otorisasi mencakup validasi apakah setiap izin akses telah disetujui melalui alur persetujuan yang benar dan terdokumentasi.
Menyusun Checklist Audit Akses TI untuk Kepatuhan
Checklist audit membantu tim memastikan setiap aspek penting hak akses telah diperiksa secara konsisten. Beberapa poin yang umum dimasukkan meliputi:
- Inventarisasi seluruh akun pengguna dan sistem yang terhubung.
- Verifikasi kesesuaian hak akses dengan peran dan kebutuhan pekerjaan.
- Identifikasi akun dormant, akun bersama, dan akun mantan karyawan.
- Pemeriksaan penerapan multi-factor authentication (MFA).
- Peninjauan akses administrator dan akun privilege.
- Evaluasi proses provisioning dan deprovisioning akses.
- Pemeriksaan log aktivitas dan jejak audit (audit trail).
- Dokumentasi temuan, tingkat risiko, dan tindak lanjut.
Checklist ini juga membantu perusahaan memenuhi kebutuhan kepatuhan terhadap standar dan regulasi keamanan informasi yang berlaku.
Perkuat Keamanan dan Audit Akses TI Bersama Sekawan Media
Audit hak akses yang terstruktur membantu perusahaan menutup celah keamanan sebelum berkembang menjadi insiden yang merugikan.
Audithink membantu tim audit dan keamanan TI mengelola pemeriksaan hak akses, dokumentasi temuan, hingga monitoring tindak lanjut dalam satu sistem terintegrasi.
Jadwalkan demo Audithink dan bangun proses audit IAM yang lebih terukur serta selaras dengan kebutuhan keamanan perusahaan Anda.
FAQ
Apa itu audit hak akses sistem?
Audit hak akses sistem adalah pemeriksaan terhadap identitas pengguna, peran, dan hak akses dalam sistem TI untuk memastikan kesesuaiannya dengan kebijakan dan kebutuhan pekerjaan.
Apa yang dimaksud dengan privilege creep?
Privilege creep adalah kondisi ketika pengguna mengumpulkan hak akses tambahan seiring waktu tanpa pencabutan akses lama yang sudah tidak lagi relevan.
Mengapa akun dormant berbahaya bagi keamanan sistem?
Akun dormant jarang dipantau sehingga rawan disalahgunakan, terutama jika kredensialnya bocor atau masih terhubung ke sistem penting perusahaan.
Apa perbedaan otentikasi dan otorisasi dalam audit IAM?
Otentikasi memverifikasi identitas pengguna, sedangkan otorisasi menentukan apa saja yang boleh diakses atau dilakukan pengguna tersebut dalam sistem.
Seberapa sering audit hak akses sistem perlu dilakukan?
Frekuensinya bergantung pada tingkat risiko, jumlah pengguna, kompleksitas sistem, serta kebutuhan kepatuhan regulasi yang berlaku bagi perusahaan.
