Pukul 02.15 sebuah proses batch berhenti. Seorang teknisi masuk ke server produksi memakai akun root, menjalankan beberapa perintah, dan layanan kembali normal sebelum jam kerja dimulai. Insiden selesai, pelanggan tidak merasakan apa pun, dan tidak ada tiket yang perlu dibuka. Di organisasi yang belum menerapkan privileged access management, malam seperti ini berlalu tanpa meninggalkan jejak sama sekali.
Tiga bulan kemudian muncul anomali pada konfigurasi server yang sama. Tim mencoba menelusuri perubahan terakhir yang pernah terjadi di sana. Log sistem mencatat akun root. Password akun root diketahui lima orang. Tidak ada satu pun catatan yang menghubungkan sesi malam itu dengan seseorang yang dapat ditanyai.
Di sinilah letak persoalan yang ditangani privileged access management. Akun dengan kewenangan penuh jarang menjadi masalah saat dipakai. Ia menjadi masalah beberapa bulan kemudian, ketika tim perlu memahami apa yang terjadi dan menemukan bahwa riwayatnya tidak pernah direkam dengan cara yang bisa dibaca manusia.
Mengapa akun istimewa menumpuk tanpa disadari
Tidak ada organisasi yang merencanakan penumpukan akun istimewa. Penumpukan itu terjadi sedikit demi sedikit, dan hampir selalu karena alasan yang masuk akal pada saat kejadian.
Sebuah migrasi sistem membutuhkan akses penuh selama dua minggu, lalu proyeknya selesai dan tidak ada yang mencabutnya. Seorang anggota tim pindah ke divisi lain dengan membawa hak akses lama, karena mencabutnya berarti membuka tiket dan menunggu. Sebuah aplikasi lama hanya berjalan bila terhubung ke basis data memakai akun administratif, dan menggantinya dengan akun berhak terbatas memerlukan pengujian ulang yang tidak pernah dapat prioritas.
Lingkungan cloud mempercepat prosesnya. Setiap akun penyedia layanan membawa peran administratifnya sendiri, setiap pipeline otomatisasi memerlukan kredensial untuk bekerja, dan setiap integrasi baru menambah satu identitas yang memiliki kewenangan lebih besar daripada kelihatannya. Enam bulan setelah sebuah lingkungan dibangun, hampir tidak ada orang yang bisa menyebutkan dari ingatan berapa banyak identitas di dalamnya yang mampu menghapus data produksi.
Empat tempat kredensial admin biasanya berakhir
Ada satu pertanyaan yang biasanya lebih cepat mengungkap kondisi sebenarnya daripada menghitung jumlah akun, yaitu di mana kredensial administratif itu disimpan hari ini. Dalam praktik, jawabannya hampir selalu mencakup salah satu dari empat tempat berikut.
Berkas spreadsheet bersama. Rapi, mudah dicari, dan biasanya tersimpan di folder yang dapat diakses lebih banyak orang daripada yang dibayangkan pemiliknya.
Riwayat aplikasi pesan. Password yang dikirim sekali saat keadaan mendesak akan tetap berada di sana bertahun-tahun, ikut berpindah ke perangkat baru setiap kali seseorang mengganti ponsel.
Di dalam kode aplikasi. Kredensial yang ditanam langsung pada berkas konfigurasi atau skrip otomatisasi ikut tersalin ke setiap repositori, setiap cadangan, dan setiap lingkungan pengujian yang pernah dibuat dari sana.
Di kepala satu orang. Ini yang paling berisiko sekaligus paling sulit dibicarakan, karena biasanya orang tersebut adalah anggota tim paling berpengalaman dan paling dipercaya. Persoalannya sama sekali tidak berkaitan dengan kepercayaan. Pertanyaan yang perlu dijawab adalah apa yang terjadi pada hari ia mengambil cuti panjang atau memutuskan pindah kerja.
Akses yang tidak pernah dicabut
Pemberian akses hampir selalu berjalan mulus karena ada orang yang menunggu dan ada pekerjaan yang tertunda. Pencabutan akses tidak punya pendorong serupa. Tidak ada yang mengeluh ketika sebuah hak akses dibiarkan aktif terlalu lama, sehingga pekerjaan itu terus tergeser oleh hal lain yang terasa lebih mendesak.
Akibatnya terlihat pada tiga titik yang sama di hampir semua organisasi. Mantan pegawai yang akun administratifnya masih berfungsi beberapa minggu setelah hari terakhir. Anggota tim yang sudah tiga kali berpindah peran dan kini memegang gabungan kewenangan dari ketiga peran tersebut. Akun layanan yang dibuat untuk sebuah proyek percobaan dua tahun lalu, masih aktif, dan tidak ada yang berani menonaktifkannya karena tidak ada yang tahu persis apa yang akan rusak.
Pendekatan yang berkelanjutan adalah membalik asumsinya. Alih-alih memberikan akses permanen lalu mencabutnya kelak, akses administratif diberikan untuk jangka waktu tertentu dan berakhir dengan sendirinya. Prinsip inilah yang mendasari sebagian besar penerapan privileged access management, dan dampaknya langsung terasa: pencabutan tidak lagi bergantung pada ingatan seseorang atau pada proses offboarding yang berjalan rapi.
Vendor dan kontraktor memegang kunci yang sama
Pada banyak organisasi, kewenangan tertinggi atas sistem produksi justru dipegang dari luar, yaitu oleh konsultan implementasi, vendor aplikasi inti, atau tim dukungan prinsipal yang masuk saat ada gangguan.
Akses semacam ini punya karakter yang berbeda dari akses pegawai. Ia sering diberikan dengan cepat karena sedang ada masalah yang harus segera selesai. Ia sering dipakai di luar jam kerja. Orang yang memakainya bisa berganti tanpa pemberitahuan, karena yang terikat kontrak adalah perusahaannya, bukan individunya. Dan ketika proyek berakhir, tidak selalu jelas siapa di pihak Anda yang bertanggung jawab memastikan aksesnya ditutup.
Konsekuensi praktisnya sederhana. Setiap sesi administratif milik pihak luar sebaiknya diperlakukan sebagai sesi yang suatu saat akan ditanyakan kembali: siapa yang memintanya, siapa yang menyetujuinya, berapa lama berlaku, dan apa yang dikerjakan selama sesi itu berlangsung. Keempat hal tersebut jauh lebih mudah dikumpulkan saat sesi berjalan daripada direkonstruksi setelahnya.
Yang berubah setelah privileged access management berjalan
Manfaat pertama terasa saat insiden. Ketika sebuah layanan bermasalah dan tim perlu tahu apa yang berubah dalam dua puluh empat jam terakhir, riwayat sesi administratif memangkas waktu investigasi secara langsung. Tanpa riwayat itu, sebagian besar waktu pemulihan habis untuk menebak, bukan untuk memperbaiki.
Manfaat kedua terasa saat tidak ada insiden. Tim yang tahu bahwa setiap tindakan administratif tercatat cenderung bekerja lebih hati-hati, dan yang lebih penting, perdebatan tentang siapa yang melakukan apa berhenti sebelum dimulai. Catatan yang netral melindungi orang yang tidak melakukan kesalahan sama efektifnya dengan menemukan orang yang melakukannya.
Manfaat ketiga muncul pada perencanaan. Begitu organisasi dapat melihat siapa saja yang memegang kewenangan tinggi dan seberapa sering kewenangan itu benar-benar dipakai, pengurangan hak akses berlebih berhenti menjadi perdebatan dan menjadi perhitungan.
Lima pertanyaan sebelum memilih platform privileged access management
Apakah setiap sesi istimewa dapat ditelusuri ke satu orang? Ini uji yang paling cepat. Bila jawabannya adalah nama akun, bukan nama orang, pekerjaan belum selesai.
Berapa lama sebuah akses administratif berlaku? Akses yang dibiarkan permanen hanya karena pencabutannya merepotkan adalah akses yang suatu hari akan ditemukan masih aktif pada mantan pegawai.
Di mana kredensial administratif disimpan hari ini? Bila jawabannya termasuk salah satu dari empat tempat di atas, perbaikan di titik ini biasanya memberi hasil paling cepat.
Siapa yang menyetujui akses pihak luar, dan apakah persetujuan itu tercatat? Persetujuan lewat percakapan singkat tidak meninggalkan apa pun yang bisa dibaca kembali enam bulan kemudian.
Apakah log aktivitas administrator tersimpan di luar jangkauan administrator itu sendiri? Riwayat yang dapat dihapus oleh orang yang aktivitasnya direkam bukan riwayat, melainkan catatan sementara.
Komponen yang biasanya direncanakan bersamaan
Layanan PAM dari Indonesian Cloud menyebut enam kemampuan privileged access management pada laman produknya:
- penyimpanan kredensial admin dalam brankas terenkripsi
- akses Just-In-Time yang diberikan hanya saat dibutuhkan, dalam jangka waktu terbatas
- perekaman dan pemantauan sesi admin secara langsung
- penerapan least privilege, yaitu pembatasan hak akses pada yang benar-benar diperlukan
- kontrol akses pihak ketiga yang dikelola terpisah dan dibatasi waktu
- penemuan dan rotasi kredensial yang selama ini tertanam di dalam aplikasi
Laman tersebut juga menjelaskan akun break-glass, yaitu akun darurat untuk keadaan kritis yang diamankan dengan otorisasi multi-pihak. Keberadaan jalur darurat yang dirancang sejak awal biasanya lebih aman daripada jalur darurat dadakan yang muncul karena prosedur normal terasa terlalu lambat pada pukul dua pagi.
Dua komponen pendamping umumnya perlu masuk dalam rencana yang sama. Identity and Access Management menangani populasi pengguna reguler, mencakup single sign-on, multi-factor authentication adaptif, hak akses berbasis peran, serta pencabutan akses otomatis ketika seseorang berpindah peran. SIEM mengumpulkan log dari berbagai sumber ke satu titik, mengorelasikannya, dan menyimpannya agar dapat ditelusuri kembali. Bagi organisasi yang tidak memiliki tim pemantau internal, Security Operation Center menjalankan fungsi pengawasan tersebut sepanjang waktu.
Satu pertanyaan tetap layak diajukan kepada vendor mana pun, termasuk kepada kami: berapa lama rekaman sesi dan log akses disimpan secara bawaan, dan di fasilitas mana. Periode penyimpanan sebaiknya ditentukan lebih dahulu oleh kebutuhan investigasi dan kebijakan internal Anda, lalu infrastruktur menyesuaikan, bukan sebaliknya.
Pertanyaan yang sering diajukan
Apa beda privileged access management dengan IAM? IAM mengelola identitas dan hak akses seluruh pengguna dalam operasi sehari-hari. PAM menangani sekelompok kecil akun berkewenangan tinggi, seperti administrator sistem, administrator basis data, dan akun layanan, yang dampak penyalahgunaannya jauh lebih besar. Keduanya dipakai bersama, bukan saling menggantikan.
Apakah PAM hanya relevan untuk perusahaan besar? Tidak. Yang menentukan kebutuhan adalah jumlah orang yang memegang kewenangan penuh dan jumlah sistem yang mereka sentuh, bukan ukuran perusahaan. Tim kecil dengan lima administrator dan tiga vendor eksternal sering kali punya permukaan risiko yang lebih besar daripada yang disadari.
Apakah penerapannya akan memperlambat kerja tim IT? Penerapan yang baik justru mengurangi langkah manual, karena kredensial tidak lagi dicari di tempat lain dan permintaan akses tidak lagi menunggu balasan pesan. Yang perlu dijaga adalah tersedianya jalur darurat yang jelas, agar tim tidak mencari jalan pintas saat sedang menangani gangguan.
Berapa lama rekaman sesi administratif sebaiknya disimpan? Tidak ada angka tunggal. Pertimbangannya adalah berapa lama ke belakang tim Anda realistis perlu menelusuri saat terjadi masalah, dan berapa biaya penyimpanannya. Tetapkan angkanya lebih dahulu, lalu rancang kapasitasnya mengikuti angka tersebut.
Bicarakan dengan spesialis Indonesian Cloud
Ada satu latihan singkat yang biasanya cukup untuk mengukur kesiapan. Ambil satu perubahan konfigurasi pada sistem produksi Anda bulan lalu, lalu coba jawab empat hal: siapa yang mengerjakannya, siapa yang menyetujuinya, kewenangan apa yang dipakai, dan apakah kewenangan itu sudah dicabut. Waktu yang Anda butuhkan untuk menjawabnya menunjukkan pekerjaan yang tersisa.
Tim kami membantu perusahaan di berbagai sektor menerapkan privileged access management di atas infrastruktur yang berada dan didukung di Indonesia, pada fasilitas bersertifikasi Tier III dan Tier IV dengan dukungan lokal sepanjang waktu.