Bagaimana mengurangi kerentanan identitas karyawan?

Melindungi identitas karyawan saat ini jauh lebih dari sekadar masalah kata sandi. Setiap klik, setiap akses jarak jauh, dan setiap data pribadi yang dikelola oleh Sumber Daya Manusia dapat menjadi pintu gerbang menuju insiden serius. Kerentanan identitas karyawan telah menjadi salah satu area yang paling banyak ditargetkan oleh penjahat siber , dan banyak perusahaan masih kekurangan strategi keamanan siber perusahaan yang kuat untuk mengurangi risiko ini.

Selain itu, sekadar menerapkan teknologi mahal saja tidak cukup. Identitas digital setiap karyawan bersinggungan dengan proses SDM, akses vendor, pertimbangan privasi hukum, dan budaya internal perusahaan . Jika salah satu tautan ini gagal, seluruh sistem akan goyah. Oleh karena itu, mengurangi kerentanan identitas membutuhkan pendekatan holistik: orang, proses, dan alat semuanya bekerja sama menuju tujuan yang sama.

Apa yang dimaksud dengan identitas digital karyawan dan mengapa hal itu sangat penting?

Ketika kita berbicara tentang identitas digital karyawan, kita tidak hanya merujuk pada nama pengguna dan kata sandi mereka. Identitas digital adalah kumpulan data, kredensial, izin, dan jejak yang mewakili seseorang dalam sistem perusahaan : nama, alamat email, peran, aplikasi yang mereka akses, riwayat aktivitas, sertifikat, token, biometrik, dan sebagainya.

Identitas ini memiliki beberapa karakteristik yang menjelaskan mengapa identitas ini sangat sensitif. Setiap identitas bersifat unik, bertahan lama, dan sangat terdigitalisasi , sehingga dapat digunakan dalam berbagai sistem, terkadang internal dan terkadang di cloud atau pada layanan pihak ketiga. Selain itu, identitas ini diautentikasi menggunakan berbagai mekanisme, mulai dari kata sandi hingga sertifikat atau faktor biometrik.

Pada saat yang sama, manajemen identitas harus menyeimbangkan keamanan dan privasi . Perusahaan perlu memverifikasi siapa pengguna tersebut dan apa yang dapat mereka lakukan, tetapi juga berkewajiban untuk melindungi data pribadi mereka dan mematuhi peraturan seperti GDPR. Dan semua ini hanya berfungsi dengan manajemen yang baik: pembuatan, modifikasi, dan penghapusan akun yang terkontrol dengan baik, tanpa akun yang terlupakan atau akses yang tidak proporsional.

Elemen kunci lainnya adalah interoperabilitas. Saat ini, seorang karyawan menggunakan puluhan aplikasi, banyak di antaranya di cloud, yang harus mempercayai identitas yang sama . Tanpa manajemen terpusat, organisasi akan berakhir dengan kumpulan akun yang tidak terkendali, di mana kredensial duplikat, izin duplikat, dan akun yatim piatu berkembang biak, menjadikannya sasaran empuk bagi penyerang mana pun.

Prinsip dan praktik terbaik keamanan siber untuk kehidupan sehari-hari karyawan.

Seberapa canggih pun teknologi suatu perusahaan, jika karyawan tidak menerapkan kebiasaan keamanan siber dasar, identitas mereka akan tetap rentan . Akan sangat membantu jika teori tersebut diterjemahkan ke dalam panduan praktis sepuluh poin yang dapat diterapkan siapa pun tanpa merasa kewalahan, berdasarkan prinsip-prinsip kewarganegaraan digital dan keamanan siber.

Pertama, kata sandi. Sangat penting untuk menggunakan kata sandi yang kuat, unik untuk setiap layanan, dan, jika memungkinkan, dikombinasikan dengan otentikasi dua faktor atau multi-faktor . Tidak boleh menggunakan "123456," tanggal lahir, atau menggunakan kata sandi yang sama untuk semuanya. Pengelola kata sandi praktis wajib untuk mewujudkan hal ini dan mengurangi godaan untuk menuliskannya di catatan atau email.

Kebiasaan penting kedua adalah penguncian sesi. Membiarkan laptop atau ponsel tidak terkunci sama seperti membiarkan pintu kantor terbuka . Mengunci layar setiap kali karyawan pergi, bahkan hanya sebentar, mencegah siapa pun mengirim email atas nama mereka, menyalin dokumen, atau mengubah kredensial.

Lingkungan fisik juga perlu dilindungi. Kebijakan "meja bersih" yang terkenal bukan hanya sekadar formalitas: mengikuti aturan keamanan untuk folder bersama secara signifikan mengurangi risiko. Apa pun yang berisi informasi rahasia harus disimpan di lokasi terkunci dan dimusnahkan secara aman ketika tidak lagi dibutuhkan (mesin penghancur kertas, penghapusan aman, dll.).

Perangkat penyimpanan eksternal—USB drive, hard drive eksternal, kartu memori—adalah contoh klasik dari ancaman malware. Sebelum menghubungkan apa pun, perangkat tersebut harus diotorisasi sesuai kebijakan perusahaan dan dipindai dengan program antivirus terbaru . Perangkat penyimpanan yang tidak dikenal, yang diberikan secara cuma-cuma di acara-acara atau dikirim melalui kurir, merupakan titik masuk umum bagi malware.

Penggunaan jaringan juga penting. Terhubung ke Wi-Fi publik yang tidak aman untuk mengakses email perusahaan, ERP, atau VPN membuka peluang terjadinya penyadapan kredensial . Sebisa mungkin, gunakan jaringan pribadi, VPN perusahaan , atau, sebagai upaya terakhir, data seluler.

Terakhir, penting untuk mengakui bahwa mata rantai terlemah seringkali adalah unsur manusia. Rekayasa sosial, dalam segala bentuknya (phishing, vishing, smishing, pesan media sosial), bertujuan untuk mencuri identitas dengan menipu karyawan . Berhati-hati terhadap email yang tidak terduga dengan tautan atau lampiran, memverifikasi alamat pengirim, tidak membagikan kode atau kata sandi melalui telepon, dan melaporkan setiap upaya mencurigakan adalah rutinitas yang secara drastis mengurangi kerentanan dan membantu meminimalkan jejak digital Anda.

Manajemen identitas dan akses (IAM): perimeter keamanan baru.

Model klasik "segala sesuatu di dalam jaringan dapat dipercaya" tidak lagi berfungsi. Dengan komputasi awan, kerja jarak jauh, dan kolaborasi dengan pihak ketiga, identitas telah menjadi perimeter sebenarnya yang perlu dilindungi . Di sinilah Manajemen Identitas dan Akses (IAM) dan keamanan siber berbasis AI berperan.

IAM (Identity and Access Management) adalah serangkaian kebijakan, proses, dan teknologi yang memungkinkan pembuatan, pengelolaan, dan pengendalian identitas digital (baik manusia maupun mesin) serta aksesnya ke aplikasi, sistem, dan data . Yang membuatnya semakin kompleks adalah kita tidak lagi hanya berbicara tentang manusia: identitas mesin (API, layanan, sertifikat, robot perangkat lunak) jauh melampaui identitas manusia.

Hal ini memaksa perusahaan untuk beralih dari fokus tradisional pada SDM dan pengguna akhir ke manajemen kredensial, token, sertifikat, dan rahasia teknis yang besar dan otomatis . Pada saat yang sama, serangan berbasis identitas telah meningkat pesat: pencurian kata sandi, pembajakan akun, penyalahgunaan hak akses administratif, dan sebagainya.

Oleh karena itu, identitas disebut sebagai "perimeter baru." Prinsip operasinya adalah selalu memberikan hak akses sesedikit mungkin dan terus menerus memverifikasi bahwa orang (atau mesin) yang meminta akses adalah orang yang mereka klaim dan benar-benar membutuhkannya . Tidak ada akses permanen "hanya untuk berjaga-jaga," atau akun administrator bersama tanpa kemampuan untuk dilacak.

Platform IAM modern menggabungkan beberapa komponen: direktori pengguna terpusat, federasi identitas untuk menggunakan satu akun di berbagai aplikasi, otentikasi yang kuat, single sign-on (SSO), tata kelola siklus hidup akun (IGA), dan, secara paralel, manajemen akses istimewa (PAM) untuk melindungi kredensial yang paling sensitif.

Alat-alat utama untuk mengurangi kerentanan identitas

Di luar kebijakan, pengurangan risiko yang sebenarnya melibatkan penerapan seperangkat alat teknologi yang dirancang dengan matang yang mencakup seluruh siklus hidup identitas.

Komponen pertama adalah manajemen direktori terpusat dan federasi. Repositori seperti Active Directory atau Microsoft Entra ID memungkinkan sumber kebenaran tunggal terkait identitas dan hak akses . Standar seperti SAML, OAuth, dan OIDC memungkinkan federasi identitas, memungkinkan pengguna yang sama untuk melakukan autentikasi secara aman di berbagai layanan tanpa menduplikasi akun di mana-mana.

Autentikasi multi-faktor ( MFA ) adalah elemen kunci lainnya. Persyaratan setidaknya dua faktor verifikasi (sesuatu yang Anda ketahui, sesuatu yang Anda miliki, atau sesuatu yang Anda miliki secara fisik) secara drastis mengurangi keberhasilan serangan pencurian kredensial . Hal ini dapat dilakukan dengan kode sekali pakai, aplikasi autentikasi, kunci fisik FIDO2, atau biometrik.

Terdapat kemajuan yang semakin meningkat menuju autentikasi tanpa kata sandi, yang menggabungkan kunci kriptografi yang terhubung ke perangkat atau biometrik. Menghilangkan kata sandi sebagai elemen utama membuat phishing lebih sulit dan sangat meningkatkan pengalaman pengguna , karena pengguna tidak perlu lagi menghafal rangkaian kata sandi yang kompleks.

Single sign-on (SSO) juga membantu. Dengan satu login yang kuat, karyawan dapat mengakses semua aplikasi yang diizinkan. Ini mengurangi jumlah kata sandi yang perlu mereka kelola, menyederhanakan pencabutan akses, dan memberi tim keamanan satu titik kendali dan pemantauan.

Tata kelola identitas (IGA) menangani bagian utama lain dari masalah ini: memastikan bahwa akun dibuat, dimodifikasi, dan dihapus sesuai dengan aturan yang jelas dan tanpa penundaan . Ini melibatkan otomatisasi pembuatan akun ketika orang baru bergabung, menyesuaikan izin mereka jika mereka mengubah peran, dan menonaktifkan semuanya segera setelah mereka keluar, menghilangkan akun "hantu" yang aktif, dan mengandalkan dokumentasi infrastruktur TI.

Terakhir, manajemen akses istimewa (PAM) menangani akun-akun yang paling berkuasa—administrator, root, domain, dan akun layanan penting. Kredensial ini disimpan dalam brankas terenkripsi, dirotasi secara berkala, dan hanya dilepaskan jika benar-benar diperlukan, di bawah pengawasan, dan untuk waktu yang terbatas . Sesi juga dicatat atau diaudit untuk memberikan bukti jika terjadi kesalahan, dan disarankan untuk menggunakan simulator serangan untuk menguji kontrol keamanan.

Privasi, SDM, dan perlindungan data pribadi karyawan

Identitas karyawan bukan hanya masalah teknis; ini juga masalah hukum dan kepercayaan. Departemen Sumber Daya Manusia mengelola sejumlah besar data sensitif: riwayat pekerjaan, informasi medis, tinjauan kinerja, detail bank, tindakan disiplin, dan banyak lagi.

Di Eropa, kerangka acuannya adalah GDPR, yang didukung oleh undang-undang ketenagakerjaan masing-masing negara. Dasar hukum yang biasa digunakan untuk memproses sebagian besar data ini adalah pelaksanaan kontrak kerja dan kewajiban hukum pemberi kerja , tetapi itu bukan berarti kebebasan mutlak. Pemrosesan harus dibatasi pada apa yang diperlukan, dan langkah-langkah keamanan yang sesuai dengan sensitivitas informasi harus diterapkan.

Kasus nyata pelanggaran data karyawan di perusahaan besar telah menunjukkan dampak reputasi dan finansial dari kegagalan keamanan SDM. Untuk mencegah hal ini, kontrol akses yang ketat, enkripsi data saat disimpan dan saat ditransmisikan, serta audit rutin tentang siapa yang mengakses apa dan untuk tujuan apa sangat direkomendasikan.

Selain itu, kebijakan internal harus transparan. Karyawan perlu mengetahui data apa yang dikumpulkan, untuk tujuan apa, berapa lama, dan hak apa yang dapat mereka gunakan (akses, koreksi, penghapusan, keberatan, dll.). Mengintegrasikan prinsip-prinsip Privasi Berdasarkan Desain (Privacy by Design) membantu memastikan bahwa setiap proses atau alat baru dirancang dengan privasi yang terintegrasi sejak awal.

Semua ini juga membutuhkan pelatihan khusus. Staf SDM dan mereka yang memiliki akses ke file harus menerima pelatihan berkelanjutan tentang perlindungan data, manajemen dokumen yang aman, dan respons insiden . Bahkan sekadar mengirimkan spreadsheet Excel yang berisi informasi penggajian kepada penerima yang salah merupakan pelanggaran keamanan.

Kerahasiaan dan siklus kerja: dari perekrutan hingga pengunduran diri

Identitas seorang karyawan melewati beberapa tahapan: proses perekrutan, perubahan internal, potensi konflik, dan akhirnya, pengunduran diri. Setiap fase ini menghadirkan risiko berbeda yang dapat membahayakan identitas karyawan atau informasi terkait.

Selama proses perekrutan, pemeriksaan latar belakang merupakan praktik umum. Pemeriksaan ini (riwayat pekerjaan, referensi, kelayakan kredit, pemeriksaan catatan kriminal jika diizinkan oleh hukum) harus dilakukan secara proporsional, transparan, dan dengan jaminan privasi . Tujuannya adalah untuk mengelola risiko, bukan untuk melanggar privasi secara sembarangan.

Ketegangan dapat muncul selama masa kerja: ulasan kinerja negatif, harapan untuk kenaikan jabatan pupus, pemotongan gaji, atau konflik dengan manajemen. Jika situasi ini tidak dikelola dengan baik, dapat menimbulkan rasa tidak puas di tempat kerja, yang dapat menyebabkan demotivasi, kebocoran data, atau bahkan sabotase . Lingkungan kerja yang beracun merupakan lahan subur bagi ancaman internal.

Itulah mengapa sangat penting untuk memiliki saluran formal untuk menyampaikan keluhan, layanan dukungan karyawan, dan kebijakan yang jelas terhadap pelecehan atau diskriminasi. Karyawan yang merasa didengar, dihargai, dan diperlakukan secara adil memiliki insentif yang lebih kecil untuk mengambil tindakan terhadap organisasi , bahkan jika mereka tidak senang dengan keputusan tertentu.

Waktu keberangkatan sangat penting. Sangat penting untuk memiliki prosedur penghentian layanan yang mencakup pencabutan akses digital dan fisik secara lengkap dan cepat , pengambilan perangkat, peninjauan aktivitas terkini, dan pengingat perjanjian kerahasiaan.

Sebaiknya juga dikomunikasikan secara internal, dengan hormat namun jelas, bahwa orang tersebut tidak lagi menjadi bagian dari organisasi, untuk mencegah rekan kerja terus berbagi dokumen atau informasi sensitif dengan seseorang yang seharusnya tidak lagi menerimanya. Sebuah kalimat sederhana seperti "X tidak lagi bekerja di perusahaan; mohon jangan berbagi informasi perusahaan dengannya" dapat menghindari banyak kesalahpahaman.

Ancaman internal (orang dalam) dan faktor manusia yang membahayakan identitas.

Tidak semua risiko berasal dari luar. Orang dalam adalah siapa pun yang memiliki akses sah ke sistem atau informasi yang, secara sengaja atau tidak sengaja, menyebabkan kerugian bagi organisasi . Ini bisa berupa karyawan, peserta magang, konsultan, vendor dengan akses jarak jauh, atau bahkan mantan karyawan yang akunnya tidak dinonaktifkan tepat waktu.

Motivasinya beragam: balas dendam karena dipecat, hutang, ideologi, kelalaian sederhana, atau kurangnya pelatihan. Di luar kasus ekstrem sabotase atau pencurian rahasia, kesalahan manusia sehari-hari (melampirkan file yang salah, mengunggah data ke cloud pribadi, menggunakan perangkat yang tidak sah) menciptakan celah serangan yang sangat besar.

Program manajemen ancaman internal yang serius biasanya mencakup beberapa tahapan pekerjaan. Pertama, mengidentifikasi dan memprioritaskan aset-aset penting yang harus dilindungi dengan segala cara : basis data pelanggan, algoritma kepemilikan, informasi keuangan, rencana strategis, dan lain sebagainya. Tanpa peta ini, mustahil untuk memantau apa yang penting.

Selanjutnya, dirancang sebuah program formal yang menetapkan peran, tanggung jawab, proses pelaporan, dan prosedur untuk menanggapi perilaku mencurigakan. Sangat penting untuk memiliki mekanisme rahasia untuk melaporkan perilaku anomali tanpa takut akan pembalasan , dan sebuah komite untuk menganalisis informasi tersebut secara cermat, dengan juga mempertimbangkan hak-hak individu yang dituduh.

Pelatihan dan kesadaran adalah elemen kunci lainnya. Sangat penting untuk menjelaskan jenis perilaku apa yang mengkhawatirkan (akses data besar-besaran, unduhan yang tidak biasa sebelum mengundurkan diri, penggunaan akun generik, dll.) dan bagaimana cara melaporkannya . Pada saat yang sama, penting untuk menumbuhkan budaya dukungan, pengakuan, dan insentif positif, karena karyawan yang terlibat cenderung melindungi organisasi, bukan merugikannya.

Kebijakan akun, kata sandi, BYOD, dan akses jarak jauh

Salah satu aspek nyata dari kerentanan identitas berasal dari manajemen akun dan perangkat yang buruk. Tanpa inventaris dan aturan yang jelas, akun "pintu belakang", kredensial bersama, perangkat pribadi yang dipenuhi data perusahaan, dan akses jarak jauh yang tidak terkendali akan muncul.

Kebijakan akun dan kata sandi harus menetapkan persyaratan teknis minimum (panjang, kompleksitas, masa berlaku jika berlaku, penguncian setelah upaya gagal) dan, yang terpenting, melarang penggunaan kredensial bersama. Setiap tindakan yang relevan harus dapat dikaitkan secara jelas dengan pengguna tertentu . Jika tidak, keterlacakan akan terputus dan investigasi insiden akan menjadi mimpi buruk.

Disarankan untuk melakukan audit secara berkala untuk mendeteksi akun yang tidak aktif, pengguna dengan izin yang tidak lagi mereka butuhkan, akun vendor yang seharusnya sudah ditutup, dan akses istimewa yang tidak beralasan. Semakin sedikit akun aktif, dan semakin selaras akun tersebut dengan fungsi sebenarnya, semakin kecil potensi kerentanan keamanan.

Terkait BYOD (Bring Your Own Device) dan kerja jarak jauh, kita perlu bersikap realistis: perangkat pribadi memang berguna, tetapi jika tidak dikelola dengan benar, perangkat tersebut akan menjadi sumber kebocoran data yang konstan . Idealnya, akses yang paling sensitif harus dibatasi pada perangkat yang dikelola perusahaan dengan enkripsi, antivirus perusahaan, VPN, dan kebijakan keamanan yang diterapkan oleh MDM atau solusi serupa, atau dengan mengikuti rekomendasi perusahaan untuk BYOD yang aman.

Jika mengizinkan BYOD tidak dapat dihindari, setidaknya harus diterapkan langkah-langkah keamanan minimum: penguncian PIN atau biometrik, sistem yang diperbarui, enkripsi disk, dan tidak ada sinkronisasi informasi perusahaan yang tidak terkontrol oleh akun pribadi. Selain itu, harus didefinisikan dengan jelas apa yang boleh dan tidak boleh dilakukan dari perangkat yang juga digunakan untuk keperluan pribadi.

Terkait akses jarak jauh, disarankan untuk menerapkan beberapa lapisan pertahanan: VPN yang aman, MFA (Multi-Factor Authentication) wajib, pembatasan waktu dan lokasi jika diperlukan, dan, untuk administrator, akses jarak jauh yang sangat terbatas atau dinonaktifkan sepenuhnya kecuali dalam kasus-kasus luar biasa dan terkontrol. Seorang administrator yang terhubung dari jaringan Wi-Fi publik dengan laptop yang belum diperbarui adalah resep untuk bencana.

Pemantauan, analisis perilaku, dan respons terhadap insiden.

Tidak peduli berapa banyak kontrol pencegahan yang diterapkan, akan selalu ada tingkat risiko tertentu. Pemantauan terus-menerus terhadap identitas, akses, dan perilaku adalah hal yang memungkinkan deteksi anomali tepat waktu dan penyelesaian masalah sebelum meningkat menjadi pelanggaran yang lebih besar.

Pada tingkat teknis, organisasi biasanya mengandalkan sistem Security Information and Event Management (SIEM), solusi User Activity Monitoring (UAM), dan alat User and Entity Behavior Analysis (UEBA). Sistem-sistem ini mengumpulkan log dari berbagai sumber—direktori, aplikasi, firewall, endpoint, basis data—dan mencari pola anomali.

Contoh umum dari tanda bahaya meliputi login dari negara yang tidak terduga, pengunduhan data besar-besaran di luar jam kerja, akses ke sumber daya yang tidak sesuai dengan peran pengguna, atau pembuatan akun istimewa baru tanpa mengikuti proses resmi. Ketika sistem mendeteksi anomali, sistem dapat menghasilkan peringatan, meminta verifikasi tambahan, atau bahkan secara otomatis memblokir akses.

Semua ini harus menjadi bagian dari rencana respons insiden. Tidak cukup hanya menerima peringatan: kita perlu mengetahui siapa yang melakukan apa, dalam jangka waktu berapa lama, dan menurut kriteria apa . Ini mencakup segala hal mulai dari analisis teknis awal hingga komunikasi internal dan eksternal, serta kewajiban untuk memberi tahu otoritas perlindungan data ketika data pribadi dikompromikan.

Setelah suatu insiden teratasi, sangat penting untuk melakukan tinjauan tindak lanjut: apa yang terjadi, kontrol mana yang gagal, dan apa yang dapat ditingkatkan. Keamanan identitas bukanlah proyek sekali jadi, melainkan proses pembelajaran dan penyesuaian berkelanjutan seiring dengan berkembangnya ancaman, teknologi, dan organisasi itu sendiri.

Mengurangi kerentanan identitas karyawan secara efektif melibatkan penggabungan kebiasaan sehari-hari yang aman, pengelolaan data pribadi yang serius, kebijakan akses yang jelas, arsitektur IAM modern, kewaspadaan terhadap ancaman dari dalam, dan penggunaan pemantauan dan analisis perilaku yang cerdas; ketika orang, proses, dan teknologi selaras, identitas tidak lagi menjadi titik lemah dan menjadi salah satu pertahanan terkuat perusahaan.

Artikel terkait:

Hal-hal yang perlu diperhatikan setelah insiden keamanan siber di perusahaan Anda

Isaac

Penulis yang bersemangat tentang dunia byte dan teknologi secara umum. Saya suka berbagi ilmu melalui tulisan, dan itulah yang akan saya lakukan di blog ini, menunjukkan kepada Anda semua hal paling menarik tentang gadget, perangkat lunak, perangkat keras, tren teknologi, dan banyak lagi. Tujuan saya adalah membantu Anda menavigasi dunia digital dengan cara yang sederhana dan menghibur.