Tata Kelola Identitas dan Nol Kepercayaan: Cara Mengamankan Tempat Kerja Hibrida

Blog ini pertama kali diterbitkan pada tahun 2021 dan telah diperbarui. 

Keamanan identitas dimulai dengan autentikasi: membuktikan bahwa Anda adalah orang yang Anda klaim adalah langkah pertama dalam menegakkan keamanan organisasi, tetapi ini bukan yang terakhir. Bagi banyak organisasi, apa yang terjadi setelah autentikasi adalah titik buta utama. Akses menjadi disediakan. Akun-akun menumpuk izin. Orang-orang berganti peran atau keluar. Dan tanpa pemahaman yang jelas dan terus menerus ditegakkan tentang siapa yang seharusnya memiliki akses ke apa, kapan, dan mengapa, celah-celah itu bertambah dengan sendirinya.

Pandemi ini meningkatkan hampir tiga kali lipat pekerjaan jarak jauh, yang menyebabkan lonjakan permintaan akses yang signifikan. Skala tersebut membuat kesenjangan yang ada semakin sulit untuk diabaikan. Peretas membobol jaringan Colonial Pipeline menggunakan akun VPN yang sudah tidak aktif digunakan. Itu bukan eksploitasi yang canggih. Itu adalah kegagalan tata kelola akses, dan persis seperti tata kelola identitas dan administrasi (IGA) dirancang khusus untuk mencegah. Karena pekerjaan hibrida menjadi standar, mendapatkan hak keamanan pasca-autentikasi tidak lagi opsional.

Pekerjaan hibrida tidak hanya mengubah tempat orang bekerja. Hal ini juga mengubah apa yang harus dipertahankan oleh organisasi. Ketika karyawan mengakses sumber daya perusahaan dari jaringan rumah, kedai kopi, dan ruang kerja bersama, batas keamanan tradisional tidak lagi berarti. Pertanyaannya bukan lagi “apakah orang ini berada di dalam jaringan?” Melainkan “haruskah orang ini memiliki akses ke sumber daya ini, saat ini, dari konteks ini?” Pergeseran itu memperkenalkan serangkaian tantangan yang tidak pernah dirancang untuk ditangani oleh keamanan berbasis perimeter.

Akses yang luas 

Pekerjaan jarak jauh melonjak hampir dalam semalam selama pandemi, dan bersamaan dengan itu, muncullah banjir permintaan akses baru. Karyawan membutuhkan VPN, aplikasi SaaS, sumber daya cloud, dan alat kolaborasi, sering kali sekaligus. Tim keamanan menyediakan akses dengan cepat agar bisnis tetap berjalan. Tetapi akses yang disediakan dengan cepat jarang ditinjau dengan cermat. Hasilnya adalah penyimpangan hak. Pengguna menumpuk izin yang tidak lagi mereka perlukan, di seluruh sistem yang tidak dapat dilihat sepenuhnya oleh tim keamanan.

Rekening yatim piatu dan tidak aktif

Penyerang tidak perlu masuk ketika sebuah pintu dibiarkan terbuka. Akun tidak aktif, kredensial yang masih ada lama setelah seorang karyawan keluar atau berganti peran, adalah jenis pintu yang terbuka. Pembobolan Colonial Pipeline merupakan contoh yang terdokumentasi dengan baik: penyerang mendapatkan akses melalui akun VPN yang sudah tidak lagi digunakan secara aktif. Itu bukan eksploitasi yang canggih. Itu adalah kegagalan tata kelola akses. Dan itu jauh dari unik.

Akses pihak ketiga dan kontraktor

Tenaga kerja hibrida jarang beroperasi secara terpisah. Vendor, kontraktor, dan mitra secara teratur membutuhkan akses ke sistem internal untuk melakukan pekerjaan mereka. Akses tersebut biasanya diberikan sesuai kebutuhan dan jarang ditinjau kembali. Organisasi berakhir dengan kredensial pihak ketiga yang berada di luar siklus penyediaan dan peninjauan normal, menciptakan jenis kepercayaan implisit yang dirancang untuk dihilangkan oleh zero trust.

Risiko pergerakan lateral

Setelah penyerang memiliki satu set kredensial yang valid, pertanyaan sebenarnya adalah seberapa jauh mereka bisa melangkah. Di lingkungan dengan batas akses yang lemah, jawabannya sering kali: sangat jauh. Pergerakan lateral, menggunakan akses yang sah untuk menavigasi lebih dalam ke dalam jaringan, merupakan salah satu pola yang paling umum dalam pelanggaran perusahaan. Pertahanan terbaik bukanlah deteksi yang lebih baik setelah kejadian. Melainkan memastikan bahwa akun yang disusupi tidak dapat menjangkau sistem yang tidak seharusnya disentuh.

Kesenjangan visibilitas

Anda tidak bisa mengatur apa yang tidak bisa Anda lihat. Dalam lingkungan hibrida, data identitas jarang sekali berada di satu tempat. Karyawan mengautentikasi ke dalam sistem lokal, aplikasi cloud, alat SaaS, dan platform infrastruktur, sering kali melalui direktori dan kontrol akses yang berbeda. Tanpa pandangan terpadu tentang siapa yang memiliki akses ke apa, tim keamanan akan membuat keputusan akses dengan informasi yang tidak lengkap, dan tinjauan akses menjadi tebakan terbaik, bukan kontrol yang dapat diandalkan.

Menyeimbangkan keamanan dan privasi

Mendapatkan keamanan yang tepat dalam lingkungan hybrid berarti memungkinkan akses, bukan hanya membatasinya. Tujuan dari tata kelola identitas bukanlah untuk mengunci semuanya, melainkan untuk memastikan orang yang tepat memiliki akses yang tepat tanpa menimbulkan gesekan bagi mereka yang melakukan apa yang seharusnya. Keseimbangan tersebut membutuhkan kebijakan, otomatisasi, dan tata kelola yang bekerja bersama, bukan hanya pembatasan yang lebih ketat.

Program tata kelola identitas yang matang menjawab tantangan ini dengan membangun keamanan secara langsung ke dalam bagaimana akses diberikan, dipantau, dan dicabut. Komponen-komponen intinya meliputi:

• Tata kelola dan administrasi identitas (IGA). Lapisan dasar. IGA mendefinisikan siapa yang harus memiliki akses ke apa, mengotomatiskan penyediaan dan penghentian akses, serta membuat catatan yang dapat diaudit dari setiap keputusan akses.
• Kontrol akses berbasis peran (RBAC). Menetapkan izin berdasarkan fungsi pekerjaan, bukan negosiasi individu. RBAC membatasi radius ledakan dari setiap akun yang disusupi dan membuat peninjauan akses menjadi lebih cepat.
• Ulasan akses berkelanjutan. Sertifikasi berkala yang memverifikasi apakah hak saat ini masih sesuai dengan tanggung jawab pekerjaan saat ini, sehingga dapat menangkap hak istimewa yang merayap sebelum menjadi kewajiban.
• Penghentian penyediaan otomatis. Mencabut akses secara instan ketika karyawan keluar, berganti peran, atau offline akan menghilangkan risiko akun tidak aktif yang memungkinkan terjadinya pembobolan Colonial Pipeline.
• Deteksi anomali dan analisis perilaku. Mengidentifikasi pola akses yang tidak biasa yang mungkin mengindikasikan adanya kredensial yang disusupi atau ancaman dari orang dalam, bahkan ketika login itu sendiri terlihat sah.
• Akses jaringan tanpa kepercayaan (ZTNA). Menggantikan kepercayaan implisit berdasarkan lokasi jaringan dengan verifikasi identitas, kesehatan perangkat, dan konteks yang berkelanjutan sebelum memberikan akses ke sumber daya apa pun.

Membangun program tata kelola dan administrasi identitas yang matang (IGA) dimulai dengan memahami kesenjangan pasca autentikasi dan menutupnya. IGA memberikan keamanan pasca-autentikasi yang dibutuhkan bisnis saat ini untuk menjaga produktivitas sambil tetap memastikan keamanan.

Itu berarti memberi tim keamanan alat untuk mengotomatiskan keputusan akses, mengungkapkan anomali, dan mengontrol bidang identitas pada skala yang dituntut oleh pekerjaan hibrida.

Dalam praktiknya, seperti itulah yang terlihat:

• Memahami apa yang terjadi ketika penguji pena dapat memperoleh akses dan bergerak secara lateral dalam jaringan perusahaan, dan bagaimana IGA dapat membatasi pergerakan tersebut.
• Mengevaluasi apakah identitas yang berpusat pada pengguna masih memungkinkan dan bagaimana hal ini sejalan dengan IGA.
• Menggunakan kontrol akses berbasis peran untuk mengautentikasi pengguna, sistem, aplikasi, dan data dengan cara yang cukup tepat untuk melindungi bisnis tanpa memperlambatnya.

RSA ID Plus dapat mendukung pengguna di seluruh lingkungan, termasuk dalam konfigurasi cloud, hybrid, dan di tempat. Pelajari lebih lanjut tentang solusi ini atau mulai uji coba gratis ID Plus Anda sekarang.