Audit Akses Admin, Password Policy, dan MFA Sistem Internal
Akses admin adalah pintu paling sensitif di sistem internal. Kalau akun biasa bermasalah, dampaknya biasanya terbatas. Kalau akun admin bocor atau dibiarkan aktif tanpa kontrol, ceritanya bisa jauh lebih mahal: data berubah, user terkunci, konfigurasi ikut berantakan.
Tutorial ini membahas urutan kerja yang praktis untuk memeriksa siapa saja yang punya hak admin, merapikan aturan kata sandi, lalu memastikan MFA benar-benar dipakai. Contoh menunya bisa berbeda antara Windows Server, Linux, Google Workspace, Microsoft 365, VPN, atau aplikasi internal, tetapi pola auditnya sama.
Prasyarat
- Akun dengan hak baca konfigurasi atau hak administrator pada sistem yang akan diaudit.
- Daftar pegawai, vendor, dan tim yang memang masih aktif.
- Akses ke log login atau laporan autentikasi, minimal 30 hari terakhir.
- Jadwal perubahan yang disepakati. Jangan langsung mencabut akses di jam operasional tanpa cek dampaknya.
- Jalur pemulihan akun, misalnya break-glass account yang disimpan dan diawasi dengan benar.
Langkah 1: Tentukan Sistem dan Batas Audit
Mulai dari daftar sistem yang benar-benar penting: domain controller, server aplikasi, panel cloud, database, VPN, firewall, email admin, dan aplikasi keuangan atau HR. Jangan hanya fokus ke server; panel SaaS sering justru menjadi titik masuk paling mudah karena bisa diakses dari internet.
Buat tabel sederhana berisi nama sistem, pemilik layanan, grup admin, dan metode login. Tujuannya supaya audit tidak berhenti di daftar akun yang panjang tanpa konteks.
Langkah 2: Tarik Daftar Akun dan Grup Administrator
Buka pengaturan identitas atau akses pada masing-masing sistem.
Ekspor daftar akun yang punya role seperti Administrator, Owner, Root, Superuser, Global Admin, atau hak setara.
Periksa juga grup turunan. Sering ada akun yang tidak terlihat sebagai admin secara langsung, tetapi masuk ke grup yang punya hak penuh.
Catat akun layanan, akun vendor, dan akun darurat secara terpisah dari akun manusia.
Bagian grup ini penting. Di lapangan, akses berlebih sering muncul bukan karena seseorang sengaja diberi role admin, melainkan karena ia masuk ke grup lama yang tidak pernah dibersihkan.
Langkah 3: Cocokkan Akses dengan Kebutuhan Kerja
Untuk setiap akun admin, tanyakan tiga hal: siapa pemiliknya, untuk pekerjaan apa akses itu dipakai, dan kapan terakhir kali digunakan. Jika salah satu jawabannya tidak jelas, akun tersebut masuk daftar tindak lanjut.
- Pegawai pindah tim atau keluar: cabut aksesnya setelah konfirmasi ke pemilik sistem.
- Admin harian: gunakan akun standar untuk pekerjaan biasa, lalu akun terpisah untuk tugas administratif.
- Akun vendor: beri masa berlaku, batasi jam akses bila memungkinkan, dan hindari kredensial bersama.
- Akun layanan: jangan dipakai untuk login interaktif. Simpan secret di vault dan rotasi sesuai kemampuan aplikasinya.
Prinsipnya sederhana: hak admin harus secukupnya, bukan sekadar karena “dulu pernah butuh”.
Langkah 4: Audit Akun Tidak Aktif dan Akses Berisiko
Urutkan akun admin berdasarkan login terakhir. Akun yang tidak dipakai lebih dari 30 sampai 90 hari perlu diperiksa. Jangan langsung hapus; bisa saja itu akun untuk proses bulanan. Namun akun semacam itu tetap harus punya pemilik dan alasan yang terdokumentasi.
Cari juga kondisi berikut:
- Akun admin tanpa nama pemilik yang jelas.
- Satu akun dipakai bersama oleh beberapa orang.
- Akun lokal admin yang password-nya tidak pernah dirotasi.
- Admin yang masih bisa login dari jaringan publik tanpa VPN atau pembatasan lokasi.
- Role admin diberikan permanen padahal tugasnya hanya sesekali.
Langkah 5: Terapkan Password Policy yang Masuk Akal
Password policy tidak perlu dibuat menyiksa sampai pengguna menulis password di kertas. Fokusnya adalah mencegah password lemah, dipakai ulang, atau mudah ditebak.
Tetapkan panjang minimum minimal 12 karakter untuk akun biasa dan 14 karakter atau lebih untuk akun admin.
Blokir password umum, nama perusahaan, nama produk, pola seperti Password123, serta variasi yang mudah ditebak.
Pastikan password lama tidak dapat langsung dipakai ulang. Riwayat 10 sampai 24 password biasanya cukup untuk banyak lingkungan.
Gunakan password manager untuk akun admin. Ini jauh lebih aman daripada meminta admin menghafal password panjang yang berbeda-beda.
Jangan memaksa ganti password terlalu sering tanpa indikasi risiko. Rotasi wajib tetap cocok untuk akun istimewa dan akun layanan, tetapi penggantian berkala yang buta sering menghasilkan password yang hanya berubah satu angka.
Kalau sistem mendukungnya, gunakan pemeriksaan password bocor. Password panjang tetap bukan jaminan jika sudah pernah tersebar dari layanan lain.
Langkah 6: Wajibkan MFA, Prioritaskan Akun Admin
MFA adalah lapisan yang paling terasa manfaatnya ketika password berhasil dicuri. Mulailah dari semua akun admin, lalu lanjutkan ke VPN, email, dan aplikasi internal yang menyimpan data sensitif.
Aktifkan kebijakan MFA untuk role administrator terlebih dahulu.
Pilih metode yang realistis: aplikasi authenticator atau security key lebih baik daripada SMS bila tersedia.
Daftarkan minimal dua metode pemulihan yang diawasi. Contohnya authenticator utama dan security key cadangan.
Simpan recovery code di password manager atau vault perusahaan, bukan di chat pribadi.
Untuk akun darurat, gunakan pengecualian hanya jika benar-benar diperlukan. Aksesnya harus sangat dibatasi, kredensial disimpan aman, dan setiap pemakaian wajib direview.
Catatan teknisi: jangan mengaktifkan MFA massal tanpa pilot. Uji dulu pada beberapa admin dan satu unit kecil agar masalah perangkat, zona waktu, atau integrasi aplikasi lama ketahuan lebih awal.
Langkah 7: Aktifkan Pencatatan dan Review Berkala
Audit yang baik bukan pekerjaan sekali selesai. Aktifkan log untuk login berhasil, login gagal, perubahan role, reset password, perubahan metode MFA, dan penggunaan akun darurat. Simpan log sesuai kebijakan perusahaan dan pastikan ada orang yang benar-benar memeriksanya.
Jadwalkan review akses admin minimal setiap tiga bulan. Untuk sistem kritis, review bulanan lebih sehat. Sertakan pemilik aplikasi dalam proses persetujuan karena tim IT tidak selalu tahu perubahan peran di tiap departemen.
Cara Cek Hasil
- Semua akun admin memiliki pemilik, alasan akses, dan status aktif yang jelas.
- Tidak ada mantan pegawai atau vendor lama di grup administrator.
- Akun admin memakai password policy yang sesuai dan tidak menggunakan password bersama.
- MFA tercatat aktif untuk seluruh admin, termasuk admin cloud dan VPN.
- Login tanpa MFA ditolak sesuai kebijakan yang diuji.
- Log perubahan akses dan login admin dapat ditemukan saat dibutuhkan.
- Akun darurat bisa digunakan sesuai prosedur, tetapi tidak dipakai untuk pekerjaan rutin.
Kalau Masih Gagal
MFA membuat admin tidak bisa masuk
Gunakan prosedur pemulihan yang sudah disiapkan, bukan menonaktifkan MFA untuk semua orang. Periksa waktu perangkat, aplikasi authenticator, metode recovery, dan conditional access yang mungkin memblokir lokasi atau perangkat.
Aplikasi lama tidak mendukung MFA
Jangan langsung dibiarkan terbuka. Letakkan aksesnya di belakang VPN, batasi IP sumber, gunakan jump host, atau integrasikan dengan identity provider jika memungkinkan. Buat rencana penggantian karena pengecualian seperti ini cenderung menjadi utang keamanan.
Akun layanan rusak setelah password dirotasi
Periksa dependensi aplikasi sebelum rotasi. Idealnya, gunakan secret vault dan mekanisme rotasi otomatis. Jika belum memungkinkan, dokumentasikan service yang memakai akun tersebut dan lakukan perubahan dalam window pemeliharaan.
Tips Operasional
- Gunakan penamaan akun admin yang mudah dibedakan dari akun harian, misalnya akhiran -admin.
- Terapkan akses admin sementara atau just-in-time untuk pekerjaan yang tidak dilakukan setiap hari.
- Jangan kirim password, recovery code, atau token MFA melalui grup chat.
- Review perubahan role setelah ada mutasi pegawai, bukan menunggu audit kuartalan.
- Buat satu owner untuk tiap sistem. Kalau semua merasa bertanggung jawab, biasanya tidak ada yang benar-benar menutup celahnya.
Penutup
Merampikan akses admin, password policy, dan MFA memang terlihat administratif, tetapi ini salah satu kontrol dengan dampak paling besar. Mulai dari akun admin yang paling kritis, rapikan dokumentasinya, uji perubahan dalam skala kecil, lalu jadikan review akses sebagai rutinitas. Sistem internal jadi lebih sulit disalahgunakan tanpa membuat operasional harian ikut tersendat.
