Dahulu kala, keamanan itu cuma soal gembok pintu ruang server.
Sekarang? Data kita tersebar di mana mana, dari cloud sampai smartphone. Makanya, kita butuh Identity and Access Management (IAM).
Kalau networking itu "jalan raya" nya data, maka IAM adalah "Security Guard & ID Card System" yang memastikan cuma orang (atau mesin) yang bener yang boleh lewat.
Kunci Utama: Authentication vs. Authorization
Banyak orang ketuker dua hal ini.
Biar gampang, bayangin kita mau nonton konser:
Authentication (Siapa kita?): kita tunjukin tiket dan KTP ke satpam. Satpam ngecek, "Bener nggak ini nama yang di tiket?" (Username, password, sidik jari).
Authorization (Apa yang Bisa kita Lakuin?): Setelah lolos masuk, kita punya tiket Festival atau VIP? Kalau tiketmu Festival, kita nggak boleh masuk ke area VIP untuk foto bareng artisnya. Ini adalah hak aksesmu.
Active Directory (AD): "Buku Telepon" Perusahaan
Di dunia kerja, ada yang namanya Active Directory (AD). Ini adalah database sentral tempat semua akun karyawan disimpan.
AD itu kayak sistem administrasi kependudukan dalam sebuah negara kecil (perusahaan).
Pakai protokol Kerberos, AD bakal "ngobrol" sama komputer dan server untuk mastiin kalau user yang masuk itu beneran karyawan yang terdaftar. Sekarang udah banyak yang pake Azure AD supaya akses ke cloud (Office 365, aplikasi web) jadi seamless lewat Single Sign On (SSO) cukup login sekali, semua aplikasi terbuka
Strategi Keamanan: RBAC & Least Privilege
Jangan pernah kasih akses "Admin" ke semua orang. Itu resep bencana
RBAC (Role Based Access Control): Alih alih ngatur akses satu satu buat 1000 karyawan, kita kelompokin berdasarkan Peran (Role).
Role Editor: Cuma bisa nulis dan edit.
Role Viewer: Cuma bisa baca.
Role Admin: Bisa semuanya.
Jadi kalau ada karyawan baru, tinggal masukin ke grup "Editor", beres
Principle of Least Privilege (PoLP): Ini aturan emas: "Kasih akses secukupnya, jangan lebih." Kalau kurir cuma perlu akses pintu belakang, ya kasih kunci pintu belakang aja. Jangan kasih kunci brankas bos. Jadi kalau akun si kurir kena hack, si hacker cuma bisa akses pintu belakang, nggak bisa nguras isi brankas.
MFA (Multi Factor Authentication): Benteng Terakhir
Password itu udah nggak cukup. Hacker pinter banget nyuri password lewat phishing.
Kita butuh MFA
MFA itu kombinasi dari 3 hal:
- Something you know: Password atau PIN.
- Something you have: HP kita (buat kode OTP/Authenticator App).
- Something you are: Sidik jari atau face recognition.
Kalau cuma tau password tapi nggak punya HP mu, hacker tetep nggak bisa masuk. MFA adalah "sahabat terbaik" orang IT buat ngecegah 99% serangan hacker.
IAM di Era Modern: Zero Trust
Dulu, kita percaya sama siapa pun yang ada di dalam kantor (inside the firewall). Sekarang? Kita pake konsep Zero Trust: "Never trust, always verify."Mau dia bos besar, mau dia admin sistem, semua harus diverifikasi identitas dan konteks aksesnya setiap kali mereka mau masuk ke sistem yang sensitif.
IAM modern bukan cuma buat manusia, tapi juga buat Machine Identities (aplikasi yang ngobrol sama aplikasi lain).
IAM bukan cuma soal bikin password susah. IAM adalah tentang Digital Trust. Tanpa manajemen identitas yang bener, secanggih apa pun server nya, dia cuma nunggu waktu buat disusupi.
Least Privilege dan MFA harus selalu diterapin, karena keamanan itu bukan produk, tapi sebuah proses.
