Autentikasi multifaktor (MFA) bukan lagi sekadar rekomendasi keamanan untuk perusahaan besar. Ini adalah salah satu cara paling praktis bagi bisnis untuk mengurangi risiko pengambilalihan akun dan membuat kata sandi yang dicuri menjadi kurang berguna. Seiring dengan penyebaran akses ke sistem bisnis di berbagai aplikasi cloud, tim jarak jauh, perangkat yang dibagikan, dan platform pihak ketiga, MFA menjadi alat yang semakin berguna.
Namun selama implementasi, manajer IT menghadapi tantangan untuk dapat menilai apakah MFA berguna atau efektif. Membuat MFA berfungsi di seluruh organisasi memerlukan banyak keputusan: Akun mana yang membutuhkannya terlebih dahulu? Metode MFA mana yang harus diizinkan? Bagaimana cara menghindari penolakan karyawan? Bagaimana cara memastikan MFA benar-benar diterapkan, bukan hanya sekadar dianjurkan?
Panduan ini ditulis untuk membantu menyukseskan implementasi MFA bisnis Anda. Panduan ini menjelaskan apa itu MFA, mengapa kata sandi saja tidak lagi cukup, bagaimana perbandingan metode MFA umum untuk penggunaan bisnis, dan bagaimana cara menerapkan MFA dengan cara yang dapat diadopsi oleh tim. Panduan ini juga menunjukkan bagaimana pengelola kata sandi bisnis dengan dukungan 2FA bawaan dapat membuat praktik autentikasi yang lebih kuat menjadi lebih mudah dikelola dalam skala besar.
Apa itu autentikasi multifaktor?
Mengapa kata sandi saja tidak lagi cukup
Di mana implementasi MFA gagal
Cara menerapkan MFA di seluruh bisnis
Bagaimana Proton Pass for Business membuat MFA mudah dikelola
Apa itu autentikasi multifaktor?
MFA adalah proses keamanan yang memerlukan lebih dari satu jenis verifikasi identitas untuk mengakses akun. Alih-alih hanya mengandalkan kata sandi tradisional, MFA meminta faktor tambahan yang membuat akses tidak sah menjadi lebih sulit.
Tiga faktor autentikasi umum adalah:
- Sesuatu yang diketahui, seperti kata sandi atau PIN.
- Sesuatu yang dimiliki, seperti ponsel, aplikasi autentikator, kunci keamanan perangkat keras, atau perangkat tepercaya.
- Sesuatu yang melekat pada diri, seperti sidik jari atau pengenalan wajah.
Dalam praktiknya, MFA biasanya berarti karyawan memasukkan kata sandi lalu memverifikasi masuk melalui metode lain, seperti kode berbasis waktu (atau TOTP), persetujuan push, kunci sandi, atau kunci perangkat keras. Tujuannya sederhana: jika kata sandi dicuri, ditebak, di-phish, atau digunakan kembali, penyerang masih memerlukan faktor lain untuk masuk.
Autentikasi multifaktor dalam lingkungan bisnis
Bagi bisnis, menerapkan MFA adalah cara untuk memperkuat keamanan akun dengan kontrol akses tambahan, bukan hanya untuk mengganti kata sandi. Dalam lingkungan bisnis, tantangannya adalah memutuskan di mana metode tersebut paling dibutuhkan dan bagaimana menerapkannya secara konsisten di berbagai sistem, peran, dan tingkat risiko berbeda.
Namun demikian, tidak semua MFA sama kuatnya. Kode yang dikirim melalui SMS lebih baik daripada kata sandi saja, tetapi tidak menawarkan perlindungan yang sama dengan kunci keamanan perangkat keras atau kunci sandi yang diterapkan dengan baik. Pilihan yang tepat bergantung pada risiko, kegunaan, akses perangkat, kebutuhan kepatuhan, dan seberapa besar kontrol administratif yang dapat dipertahankan oleh bisnis.
Mengapa kata sandi saja tidak lagi cukup
Kata sandi yang kuat tetap penting, tetapi tidak lagi cukup jika berdiri sendiri. Karyawan mengelola lebih banyak akun daripada sebelumnya, dan penyerang tahu bahwa akses bisnis sering kali dimulai dengan satu kredensial yang dikompromikan.
Kata sandi dapat terekspos melalui phishing, malware(jendela baru), pembobolan data, credential stuffing, penggunaan kembali kata sandi, atau berbagi yang tidak aman. Begitu penyerang memiliki nama pengguna dan kata sandi yang sah, aktivitas mereka mungkin terlihat seperti upaya masuk yang normal kecuali jika diperlukan lapisan verifikasi lain.
Inilah sebabnya perlindungan pembobolan data untuk bisnis perlu mencakup kontrol kredensial, keamanan endpoint, dan pelatihan karyawan. Kebijakan kata sandi yang kuat membantu, tetapi tidak dapat menghentikan setiap kata sandi yang dicuri agar tidak diuji terhadap email, penyimpanan cloud, alat keuangan, portal admin, atau sistem pelanggan.
Taruhannya sangat besar secara finansial. Laporan Biaya Pembobolan Data 2025 IBM(jendela baru) menempatkan rata-rata biaya global dari pembobolan data sebesar $4,4 juta. MFA tidak dapat menghilangkan risiko pembobolan, tetapi mengurangi salah satu jalur paling umum ke dalam sistem bisnis: akses tidak sah melalui kredensial yang dikompromikan.
MFA sangat penting untuk akun yang mengontrol akun lain. Email, penyedia identitas, pengelola kata sandi, konsol admin, platform pengembang, alat penggajian, dan sistem keuangan harus diperlakukan sebagai prioritas tinggi karena mendapatkan akses ke layanan tersebut dapat membuka akses lebih lanjut di tempat lain.
Jenis MFA dan kompromi bisnis
Implementasi MFA yang baik dimulai dengan memilih metode yang tepat. Opsi terbaik tidak selalu sama untuk setiap bisnis, tim, atau sistem. Manajer IT, misalnya, perlu menyeimbangkan kekuatan keamanan, kegunaan bagi karyawan, ketersediaan perangkat, beban administratif, dan kebutuhan dukungan.
Kata sandi sekali pakai SMS
SMS kata sandi sekali pakai (OTP) mengirimkan kode ke nomor telepon saat masuk. Ini adalah salah satu metode MFA yang paling mudah dipahami oleh karyawan, dan dapat berguna jika opsi yang lebih baik tidak tersedia.
Sisi negatifnya adalah keamanan. SMS dapat rentan terhadap pertukaran SIM, intersepsi, rekayasa sosial, dan serangan pemulihan nomor telepon. Ini juga menimbulkan masalah operasional ketika karyawan mengubah nomor telepon, bepergian ke luar negeri, memiliki sinyal buruk, atau menggunakan ponsel pribadi untuk bekerja.
Bagi bisnis, OTP SMS paling baik diperlakukan sebagai opsi cadangan daripada metode MFA pilihan. Ini masih lebih baik daripada kata sandi saja, tetapi tidak boleh menjadi bawaan untuk akun berisiko tinggi.
Aplikasi autentikator dan kode TOTP
Karyawan membuka aplikasi autentikator, seperti Proton Authenticator, menyalin kode yang dibuat untuk layanan yang dimasuki, lalu memasukkannya saat masuk.
Ini biasanya lebih kuat daripada SMS karena kodenya dibuat di perangkat dan tidak bergantung pada jaringan seluler. Metode ini juga didukung secara luas di berbagai alat bisnis, menjadikannya standar praktis untuk banyak penerapan MFA.
Komprominya adalah kegunaan dan pemulihan. Karyawan harus menyiapkan aplikasi dengan benar, menjaga akses ke perangkat mereka, dan memahami cara kerja pemulihan jika ponsel hilang atau diganti. Tim IT juga perlu membuat kebijakan yang jelas untuk kode cadangan, perubahan perangkat, dan offboarding.
TOTP berfungsi dengan baik sebagai metode MFA bisnis umum, terutama jika dipadukan dengan pengelolaan kata sandi yang kuat dan proses admin yang jelas.
Kunci keamanan perangkat keras
Kunci keamanan perangkat keras, seperti YubiKey, memberikan autentikasi yang kuat karena karyawan harus memiliki kunci tersebut secara fisik untuk mendapatkan akses ke akun bisnis. Banyak kunci keamanan juga melindungi dari phishing karena memverifikasi bahwa situs web itu sendiri sah sebelum menyelesaikan autentikasi.
Untuk peran berisiko tinggi, kunci perangkat keras dapat menjadi salah satu opsi MFA terkuat. Kunci ini sangat berguna untuk administrator, eksekutif, tim keuangan, pengembang, dan siapa saja yang memiliki akses ke sistem sensitif.
Komprominya adalah kompleksitas penerapan. Bisnis perlu membeli kunci, mendistribusikannya, melatih karyawan, mengelola cadangan, dan menangani perangkat yang hilang atau rusak. Strategi kunci perangkat keras juga memerlukan proses pemulihan yang tidak melemahkan manfaat keamanan.
Kunci sandi
Kunci sandi menggunakan autentikasi kriptografi alih-alih kata sandi tradisional. Dalam banyak kasus, karyawan membuka kunci sandi dengan sidik jari, pengenalan wajah, PIN, atau persetujuan perangkat. Kunci pribadi tetap berada di perangkat, yang membuat kunci sandi lebih tahan terhadap phishing daripada banyak metode autentikasi lama.
Bagi bisnis, kunci sandi dapat meningkatkan keamanan dan kegunaan. Kunci sandi mengurangi ketergantungan pada rahasia yang dibagikan dan dapat membuat masuk lebih cepat bagi karyawan. Tantangan utamanya adalah kesiapan ekosistem. Belum semua alat bisnis mendukung kunci sandi, dan tim IT memerlukan kebijakan untuk pendaftaran perangkat, pemulihan, workstation yang dibagikan, dan offboarding karyawan.
Bagi banyak organisasi, solusi praktisnya adalah model hibrida: gunakan kunci sandi jika didukung, pertahankan kata sandi yang kuat dan MFA jika masih diperlukan, dan kelola keduanya melalui kebijakan akses yang jelas.
| Metode MFA | Kekuatan keamanan | Kesesuaian bisnis | Skenario penggunaan terbaik |
| SMS OTP | Dasar | Mudah diadopsi, tetapi lebih lemah daripada metode MFA lainnya | Opsi cadangan ketika MFA yang lebih kuat tidak tersedia |
| Aplikasi autentikator | Sedang hingga kuat | Bawaan praktis untuk banyak tim | Akun bisnis sehari-hari dan alat SaaS |
| Kunci keamanan perangkat keras | Sangat kuat | Terbaik untuk peran berisiko tinggi, tetapi memerlukan manajemen perangkat | Admin, eksekutif, tim keuangan, dan sistem sensitif |
| Kunci sandi | Sangat kuat | Aman dan ramah pengguna jika didukung | Aplikasi modern, alur kerja tanpa kata sandi, dan akses tahan phishing |
Di mana implementasi MFA gagal
MFA masih bisa gagal bahkan setelah bisnis menerapkannya. Kualitas implementasi sebenarnya sama pentingnya dengan metode MFA itu sendiri. Beberapa alasan kegagalan dapat mencakup:
- Pemulihan yang lemah. Jika karyawan dapat melewati MFA melalui pemulihan akun yang mudah, pintasan help desk, atau kode cadangan yang kurang terlindungi, penyerang mungkin menargetkan proses atur ulang alih-alih layar masuk.
- Penegakan yang tidak konsisten. MFA mungkin diaktifkan untuk beberapa alat tetapi dibiarkan opsional untuk email, akun admin, sistem keuangan, akun operasional yang dibagikan, atau karyawan tertentu. Dalam situasi tersebut, MFA menjadi aspirasi semata alih-alih kontrol, dan penyerang masih dapat mencari jalur terlemah yang tersedia.
- Kegunaan yang buruk. Jika karyawan terus-menerus terganggu, terkunci, atau tidak jelas tentang apa yang harus disetujui, mereka mungkin menjadi frustrasi dan lebih rentan melakukan kesalahan. Kejenuhan push adalah salah satu contoh: perintah persetujuan yang berulang-ulang dapat melatih orang untuk menerima permintaan tanpa berpikir.
Penerapan MFA yang kuat memerlukan penegakan, monitoring, dan dukungan. Seharusnya mudah bagi karyawan untuk melakukan hal yang benar dan sulit untuk membiarkan akun penting tidak terlindungi.
Masalah penolakan karyawan
Penolakan karyawan adalah salah satu hambatan terbesar dalam penerapan MFA. Karyawan mungkin menganggapnya sebagai langkah ekstra, penghambat produktivitas, atau aturan keamanan lain yang ditambahkan tanpa konteks.
Reaksi ini dapat dimaklumi, terutama jika MFA diperkenalkan secara mendadak atau dengan instruksi yang tidak jelas.
Solusi untuk masalah ini adalah membuat MFA mudah diprediksi dan diikuti. Jelaskan kepada karyawan bahwa ini melindungi akun bisnis bahkan jika kata sandi dicuri, mulailah dengan alat yang familier seperti email dan platform bisnis yang dibagikan, berikan langkah-langkah pengaturan yang jelas, dan dukung karyawan melalui perubahan perangkat.
Hindari membingkai MFA sebagai hukuman atau tanda ketidakpercayaan. Ini harus terasa seperti pengaman praktis untuk perusahaan, kliennya, dan akun kerja karyawan sendiri.
Kebijakan membawa perangkat sendiri (BYOD) juga membantu. Jika karyawan menggunakan perangkat pribadi untuk bekerja, aturan yang jelas untuk aplikasi autentikasi, keamanan perangkat, pelaporan perangkat yang hilang, dan pencabutan akses membuat penerapan MFA menjadi lebih lancar.
Cara menerapkan MFA di seluruh bisnis
Penerapan MFA yang sukses adalah proyek manajemen perubahan. Manajer IT perlu memutuskan apa yang dilindungi terlebih dahulu, bagaimana penegakan akan berjalan, bagaimana pengecualian akan ditangani, dan bagaimana adopsi akan diukur.
Langkah 1: Petakan akun dan tingkat risiko
Mulailah dengan inventarisasi akses. Identifikasi sistem yang diandalkan oleh bisnis dan akun yang menimbulkan risiko terbesar jika dikompromikan.
Prioritaskan:
- Akun email dan penyedia identitas.
- Akun admin dan peran berhak istimewa.
- Akun pengelola kata sandi.
- Alat keuangan, penggajian, dan penagihan.
- Penyimpanan cloud dan berbagi file.
- Sistem pengembang, infrastruktur, dan produksi.
- Platform data pelanggan dan CRM.
Ini menciptakan urutan penerapan untuk bisnis yang didasarkan pada risiko, bukan kenyamanan.
Langkah 2: Pilih metode MFA yang disetujui
Tentukan metode MFA mana yang akan diizinkan oleh bisnis. Bagi banyak tim, aplikasi autentikator atau kunci sandi dapat menjadi bawaan, sementara kunci keamanan perangkat keras dicadangkan untuk peran berisiko tinggi. SMS dapat tetap menjadi cadangan jika diperlukan, tetapi tidak boleh menjadi metode pilihan untuk sistem sensitif.
Dokumentasikan keputusan tersebut dengan jelas. Karyawan harus tahu metode mana yang disetujui, mana yang tidak dianjurkan, dan apa yang harus dilakukan jika mereka kehilangan perangkat.
Langkah 3: Lakukan uji coba sebelum menegakkannya di mana saja
Jalankan uji coba dengan IT, operasional, keuangan, kepemimpinan, atau grup lain yang dapat memberikan masukan yang berguna. Tujuannya adalah untuk menguji proses pengaturan, dokumentasi dukungan, alur pemulihan, dan pengaturan kebijakan sebelum penerapan menjangkau seluruh organisasi.
Uji coba juga membantu mengidentifikasi di mana perintah MFA terlalu sering muncul, di mana karyawan membutuhkan instruksi yang lebih jelas, dan sistem mana yang memerlukan penanganan khusus.
Langkah 4: Tegakkan MFA untuk akun berisiko tinggi terlebih dahulu
Anjuran saja tidak cukup untuk sistem penting. Setelah uji coba selesai, tegakkan MFA untuk akun yang menimbulkan risiko tertinggi.
Ini mencakup akun admin, email, sistem identitas, pengelola kata sandi, dan alat keuangan. Jika akun-akun ini tetap opsional, penyerang mungkin masih menemukan jalur ke dalam bisnis.
Kuncinya adalah menegakkannya dengan memberikan dukungan. Berikan pemberitahuan awal kepada karyawan, panduan pengaturan, jam kerja khusus, dan instruksi pemulihan. Penegakan berjalan paling baik ketika orang-orang tidak terkejut olehnya.
Langkah 5: Perluas ke seluruh organisasi
Setelah akun berisiko tinggi terlindungi, perluas MFA ke alat bisnis yang tersisa. Ini dapat dilakukan berdasarkan departemen, kategori alat, atau tingkat risiko.
Pantau adopsi seiring berjalannya waktu:
- Akun mana saja yang telah mengaktifkan MFA?
- Karyawan mana saja yang belum mendaftar?
- Sistem mana saja yang masih mengizinkan akses hanya dengan kata sandi?
- Pengecualian mana saja yang terbuka, dan siapa pemiliknya?
Sebuah pengelola kata sandi bisnis dapat mendukung proses ini dengan memberikan visibilitas kepada tim tentang akun mana yang sudah mengaktifkan MFA dan mana yang masih memerlukan autentikasi yang lebih kuat.
Di sinilah banyak penerapan tersendat atau gagal. MFA membutuhkan tata kelola berkelanjutan setelah tanggal penerapan.
Langkah 6: Tinjau pengecualian dan jalur pemulihan
Setiap pengecualian harus memiliki pemilik, alasan, dan tanggal kedaluwarsa. Jika MFA tidak dapat diaktifkan untuk suatu alat, dokumentasikan alasannya dan putusun apakah kontrol kompensasi diperlukan.
Pemulihan juga patut ditinjau secara berkala. Kode cadangan, alur pemulihan akun, pengabaian admin, dan atur ulang perangkat dapat menjadi titik lemah jika tidak dikontrol. Implementasi MFA harus membuat pemulihan aman, bukan hanya sekadar nyaman.
Bagaimana Proton Pass for Business membuat MFA mudah dikelola
Penerapan MFA menjadi lebih mudah ketika manajemen kredensial sudah dikontrol. Jika kata sandi digunakan kembali, dibagikan secara informal, tersimpan di peramban, atau tersebar di berbagai spreadsheet, MFA menjadi lebih sulit untuk ditegakkan secara konsisten.
Pengelola kata sandi bisnis seperti Proton Pass for Business membantu dengan melakukan lebih dari sekadar memperkuat lapisan kata sandi. Ini juga dapat mendukung faktor kedua secara langsung. Dukungan 2FA bawaan berarti tim dapat menyimpan kode TOTP dengan aman dan menggunakan pengelola kata sandi itu sendiri sebagai perangkat MFA, yang membuat autentikasi yang lebih kuat lebih mudah diadopsi dan lebih mudah dibagikan dengan aman jika diperlukan. Karyawan dapat membuat kata sandi unik yang kuat, menyimpannya di brankas terenkripsi, mengisi otomatis proses masuk, menggunakan dukungan 2FA bawaan untuk kode TOTP, dan mengelola kunci sandi jika didukung.
Ini juga meningkatkan visibilitas. Administrator perlu mengetahui tidak hanya apakah karyawan memiliki kata sandi yang kuat, tetapi juga akun mana yang sudah mengaktifkan 2FA dan mana yang masih mengandalkan akses hanya dengan kata sandi. Proton Pass dapat membantu admin IT menampilkan informasi tersebut, membuat adopsi MFA lebih mudah dipantau di seluruh organisasi.
Kunci sandi juga merupakan pertimbangan penting. Seiring langkah bisnis menuju autentikasi yang lebih kuat dan tahan terhadap phishing, pengelola kata sandi yang mendukung kunci sandi seperti Proton Pass membantu tim mengelola alur MFA tradisional dan metode tanpa kata sandi yang lebih baru di satu tempat. Hal itu membuat penerapan menjadi lebih praktis di lingkungan campuran tempat beberapa sistem masih menggunakan kata sandi dan TOTP, sementara sistem lainnya siap untuk kunci sandi.
Bagi tim IT, Proton Pass for Business mendukung manajemen terpusat, kebijakan, berbagi yang aman, serta visibilitas melalui pelaporan dan log. Hal ini membuat MFA lebih realistis secara operasional karena tim dapat mengurangi penyebaran kata sandi sekaligus membuat autentikasi yang lebih kuat lebih mudah diterapkan dan diatur di seluruh organisasi.
Pengelola kata sandi bisnis tidak menggantikan MFA. Hal ini membuat MFA jauh lebih mudah diterapkan karena memperkuat faktor pertama, mendukung faktor kedua, dan memberi bisnis jalur yang lebih mudah dikelola menuju autentikasi yang lebih kuat secara keseluruhan.
