Menerapkan Tanpa Kata Sandi di Salah Satu Bank Terbesar di Dunia dengan RSA ID Plus
Salah satu bank terbesar di dunia telah memilih RSA ID Plus untuk membangun landasan menuju masa depan yang sepenuhnya bebas kata sandi—menghilangkan kerentanan yang terkait dengan kata sandi di kalangan karyawan internal, kontraktor, dan pelanggan bernilai tinggi. Pendekatan yang diterapkan bank, alat otentikasi yang mereka pilih, serta persyaratan implementasinya dijelaskan secara lengkap dalam studi kasus ini.
Simak terus untuk mengetahui pertanyaan-pertanyaan kunci yang menjadi kerangka acuan bagi setiap inisiatif perbankan tanpa kata sandi berskala besar, kerangka kerja implementasi yang didasarkan pada bagaimana penerapan semacam ini sebenarnya berlangsung, atau unduh studi kasus selengkapnya.
FIDO2 adalah standar terbuka yang memungkinkan proses masuk tanpa kata sandi yang tahan terhadap serangan phishing. Saat pengguna mendaftarkan perangkat FIDO2, sepasang kunci kriptografi unik akan dihasilkan: kunci pribadi tidak pernah meninggalkan perangkat, sedangkan kunci publik didaftarkan ke aplikasi. Saat login, perangkat menandatangani tantangan yang terikat secara kriptografis dengan situs web yang sah—sehingga meskipun pengguna tertipu untuk berinteraksi dengan halaman palsu, respons otentikasi tersebut tidak dapat digunakan di sana.
Kunci akses yang terikat pada perangkat memperluas hal ini lebih jauh: kredensial tersebut terikat pada satu perangkat fisik dan tidak dapat diekspor atau dikloning. Untuk lingkungan perbankan di mana ancaman dari dalam dan praktik berbagi perangkat merupakan masalah nyata, tingkat keterikatan ini memberikan jaminan tertinggi yang tersedia. Keterlibatan RSA yang telah berlangsung lama dalam Aliansi FIDO menjadikannya sebagai inti dari proses pengembangan dan penerapan standar-standar tersebut.
Populasi pengguna sebuah bank tidaklah seragam. Karyawan internal, kontraktor, nasabah dengan kekayaan bersih tinggi, dan pekerja lapangan masing-masing memiliki akses perangkat, persyaratan keamanan, serta tingkat toleransi terhadap kendala yang berbeda-beda. Penerapan sistem tanpa kata sandi yang berfungsi bagi para pedagang di workstation tetap, namun gagal bagi kontraktor yang menggunakan perangkat bersama, atau bagi nasabah yang menggunakan perangkat seluler, bukanlah solusi yang lengkap.
RSA ID Plus menangani hal ini dengan mendukung seluruh jenis sistem tanpa kata sandi dan MFA tahan phishing metode—kunci keamanan perangkat keras, kunci akses seluler yang terikat pada perangkat, dan token perangkat keras—di lingkungan cloud, hibrida, dan lokal. Failover hibrida memastikan bahwa proses otentikasi tetap dapat dilakukan meskipun konektivitas terputus, suatu persyaratan penting bagi operasional layanan keuangan.
Penerapan sistem tanpa kata sandi dalam skala besar tidak bisa dilakukan dalam semalam. Bagi sebuah bank yang memiliki puluhan ribu pengguna di berbagai sistem dan wilayah geografis, peralihan dari akses berbasis kata sandi ke otentikasi yang sepenuhnya tahan terhadap serangan phishing merupakan program yang dilakukan dalam beberapa tahap. Berikut ini adalah gambaran umum bagaimana penerapan dalam skala sebesar ini biasanya berlangsung.
Tahap 1. Penilaian dan perencanaan
Sebelum menerapkan teknologi apa pun, tim identitas dan keamanan bank memetakan setiap kelompok pengguna, sistem, dan skenario otentikasi. Hal ini berarti mengidentifikasi pengguna mana yang memerlukan kunci perangkat keras dibandingkan kunci akses seluler, sistem lama mana yang memerlukan solusi jembatan, serta apa rencana pemulihan jika suatu metode gagal di lingkungan tertentu. Perencanaan pada tahap ini mencegah munculnya celah yang terungkap di tengah proses penerapan dan memaksa dilakukannya pengerjaan ulang yang mahal.
Fase 2. Pelaksanaan uji coba
Sebuah kelompok pengguna yang telah ditentukan—biasanya satu unit bisnis atau kelompok uji coba lintas fungsi—menerapkan alat otentikasi baru tersebut dalam lingkungan yang terkendali. Tujuannya bukan hanya validasi teknis, tetapi juga validasi alur kerja: apakah pengalaman otentikasi ini sesuai dengan cara kerja pengguna tersebut dalam praktiknya? Masalah terkait penyediaan, proses layanan bantuan, dan komunikasi dengan pengguna jauh lebih murah untuk diselesaikan dalam tahap uji coba daripada saat diterapkan secara luas.
Fase 3. Peluncuran bertahap dalam skala penuh
Peluncuran dilakukan secara bertahap, departemen demi departemen atau peran demi peran, dengan memprioritaskan kelompok pengguna berisiko tertinggi terlebih dahulu—akun akses istimewa, staf lantai perdagangan, serta pengguna sistem kepatuhan. Setiap gelombang penerapan mengintegrasikan pelajaran yang dipetik dari gelombang sebelumnya. Bagi bank dalam studi kasus ini, RSA Professional Services memberikan dukungan di lokasi selama fase ini, memastikan proses penerapan tetap berjalan sesuai rencana di setiap tahap.
Sebagian besar bank melakukan transisi secara bertahap, dimulai dari kelompok pengguna dengan risiko tertinggi—pengguna dengan hak istimewa, staf ruang perdagangan, dan pengguna sistem kepatuhan—sebelum diperluas ke seluruh karyawan dan pada akhirnya ke nasabah. Transisi ini tidak mengharuskan penggantian MFA di semua tempat sekaligus: RSA ID Plus mendukung metode MFA dan metode tanpa kata sandi secara bersamaan, sehingga bank dapat melakukan migrasi sesuai jadwal masing-masing tanpa mengganggu akses selama proses migrasi.
Kunci akses yang terikat perangkat mengaitkan kredensial otentikasi dengan perangkat fisik tertentu, yang berarti kunci tersebut tidak dapat diekspor, dibagikan, atau digunakan dari perangkat lain mana pun—bahkan jika seorang penyerang berhasil memperoleh akses ke kredensial akun pengguna. Untuk layanan keuangan Di lingkungan di mana pencurian kredensial merupakan vektor serangan utama, pengikatan ini menghilangkan kategori risiko yang masih terbuka pada metode MFA tradisional.
RSA ID Plus Mendukung berbagai jenis otentikator tanpa kata sandi—termasuk kunci keamanan perangkat keras untuk pengguna yang bekerja di workstation dan kunci akses seluler yang terikat perangkat untuk pengguna yang mengandalkan ponsel pintar—sehingga setiap kelompok pengguna mendapatkan metode yang sesuai dengan cara kerja mereka yang sebenarnya. Hal ini sangat penting terutama di sektor perbankan, di mana para pedagang, staf cabang, kontraktor, dan nasabah memiliki lingkungan otentikasi yang berbeda-beda, yang tidak dapat dilayani secara seragam oleh satu metode saja.
Bagi sebuah bank yang melayani puluhan ribu pengguna dan beroperasi di berbagai wilayah geografis, penerapan sistem tanpa kata sandi secara penuh biasanya memakan waktu 18–24 bulan jika direncanakan secara bertahap. Jangka waktu tersebut sangat bergantung pada kompleksitas infrastruktur identitas yang ada, jumlah kelompok pengguna yang berbeda-beda, serta seberapa banyak integrasi sistem lama yang diperlukan. Studi kasus ini merinci pendekatan dan jadwal yang diikuti oleh bank tersebut.
FIDO2 menggunakan kriptografi kunci publik untuk mengikat proses otentikasi ke perangkat dan aplikasi terdaftar tertentu, yang berarti respons otentikasi tidak dapat diulang di situs penipuan—sehingga secara teknis membuat serangan phishing menjadi tidak efektif, bukan sekadar lebih sulit. Bank yang menangani transaksi bernilai tinggi dan data pelanggan yang sensitif memerlukan tingkat jaminan kriptografi ini; metode MFA lama yang didasarkan pada rahasia bersama tidak dapat memberikan jaminan tersebut, terlepas dari seberapa rumit rahasia tersebut.
RSA menawarkan tiga opsi alat otentikasi yang tahan terhadap serangan phishing dan sesuai untuk berbagai kelompok pengguna layanan perbankan: yaitu Seri iShield Key 2 kunci perangkat keras (FIDO2 + bersertifikasi FIPS 140-3, untuk lingkungan dengan tingkat jaminan tertinggi), kode sandi yang terikat pada perangkat melalui aplikasi RSA Authenticator (untuk pengguna yang mengutamakan perangkat seluler), dan Token perangkat keras DS100 (mendukung baik sistem FIDO2 tanpa kata sandi maupun OTP untuk lingkungan yang memerlukan opsi cadangan).
Studi kasus ini menjelaskan secara rinci alat otentikasi apa saja yang dipilih oleh bank ini dan alasannya.
Termasuk