Sebagian besar bisnis tidak menyadari adanya masalah kata sandi hingga sebuah isu memaksa untuk mengakuinya, seperti kata sandi admin yang disimpan dalam spreadsheet, atau kredensial masuk yang tetap aktif bagi anggota tim yang telah meninggalkan perusahaan bertahun-tahun lalu.

Ini adalah kejadian yang umum. Di Inggris Raya, Cyber Security Breaches Survey 2024(jendela baru) pemerintah menemukan bahwa 50% bisnis mengidentifikasi adanya pembobolan atau serangan keamanan siber dalam 12 bulan sebelumnya, meningkat menjadi 70% bisnis menengah dan 74% bisnis besar.

Dalam situasi ini, audit kata sandi adalah salah satu tindakan paling berharga yang dapat diambil bisnis agar tetap aman. Ini adalah cara praktis untuk mengungkap risiko kredensial yang cenderung menumpuk secara diam-diam di latar belakang melalui kata sandi lemah, akses tidak sah, akun tidak aktif, dan masuk yang tersimpan di luar sistem yang disetujui.

Khusus untuk organisasi kecil dan menengah, tinjauan semacam ini dapat membantu membuat peningkatan keamanan yang berarti tanpa mengeluarkan uang atau melakukan program transformasi yang rumit.

Artikel ini menjelaskan cara melakukan audit kata sandi untuk bisnis, apa yang harus dicari, dan cara mengubah proses dari pembersihan sekali saja menjadi praktik keamanan yang lebih konsisten.

Apa itu audit kata sandi?

Audit kata sandi adalah tinjauan sistematis terhadap kata sandi, akun, dan izin akses yang digunakan di seluruh bisnis. Tujuannya adalah untuk mengidentifikasi risiko terkait kredensial seperti kata sandi lemah, kata sandi yang digunakan kembali, masuk yang kedaluwarsa, akun tidak aktif, akses berlebihan, dan kredensial yang tersimpan di luar sistem yang disetujui.

Dalam praktiknya, audit kata sandi tidak sekadar memeriksa apakah kata sandi cukup kuat. Audit ini juga melihat:

  • Bagaimana kata sandi dikelola di seluruh organisasi
  • Siapa yang memiliki akses ke apa dan apakah akses tersebut masih diperlukan
  • Bagaimana kata sandi disimpan dan dibagikan
  • Apakah bisnis memiliki visibilitas yang cukup untuk mendeteksi risiko sebelum menjadi isu keamanan

Cakupan yang luas ini membuat audit kata sandi menjadi berguna. Di sebagian besar organisasi, risiko kredensial tidak tercipta dari satu kata sandi yang buruk saja. Risiko ini menumpuk secara bertahap melalui kegagalan kecil dalam pengawasan, kontrol akses yang tidak konsisten, kebiasaan penyimpanan yang buruk, dan akun yang tetap aktif lama setelah seharusnya ditinjau atau dihapus.

Audit kata sandi yang efektif membantu memunculkan isu-isu tersebut. Ini memberikan pemahaman yang lebih jelas bagi bisnis tentang higiene kata sandi saat ini dan menciptakan landasan praktis untuk meningkatkan kontrol akses, memperketat manajemen kredensial, dan mengurangi paparan yang dapat dihindari dari waktu ke waktu. Tinjauan semacam ini jauh lebih mudah dilakukan saat menggunakan pengelola kata sandi bisnis dengan alat admin yang mendukung visibilitas, tinjauan akses, dan penegakan kebijakan.

Cara menjalankan audit keamanan kata sandi: kerangka kerja lima langkah yang praktis

Audit kata sandi yang berguna tidak perlu dimulai dengan peta sempurna dari setiap akun, alat, dan jalur akses dalam bisnis. Proses ini hanya membutuhkan struktur yang jelas dan sistem terkontrol untuk mengelola kredensial. Tanpa kedua hal ini, prosesnya dapat dengan cepat menjadi terlalu luas dan terlalu mudah untuk ditunda.

Cara untuk menghentikan siklus menghindari audit kata sandi adalah dengan memusatkan manajemen kata sandi, menentukan kepemilikan, dan meninjau akses melalui satu alur kerja yang disetujui.

Berikut adalah panduan mendalam untuk menjalankan audit kata sandi sendiri:

Langkah 1: Buat inventaris kredensial lengkap

Mulailah dengan membangun inventaris kerja dari sistem yang diandalkan oleh bisnis. Itu termasuk platform utama yang jelas, seperti:

  • Email
  • Alat keuangan
  • Penyimpanan cloud
  • Perangkat lunak kolaborasi
  • Sistem CRM
  • Konsol admin
  • Lingkungan apa pun yang menyimpan data perusahaan atau pelanggan

Ini juga harus mencakup alat dan layanan yang kurang jelas yang beroperasi di dalam jaringan:

  • Akun sosial yang dibagikan
  • Langganan SaaS yang tidak aktif
  • Alat kontraktor
  • Lingkungan pengujian
  • Layanan yang diadopsi oleh tim individu tanpa pengawasan pusat

Mencatat setiap alat sangat penting karena sebagian besar risiko kredensial dimulai dari visibilitas yang tidak lengkap. Jika tidak mengetahui alat mana yang digunakan, maka tidak dapat meninjau bagaimana akses dikelola di seluruh alat tersebut.

Bisnis yang sudah menggunakan pengelola kata sandi bisnis seperti Proton Pass for Business memulai audit kata sandi mereka dengan keuntungan praktis karena kredensial berada di dalam brankas terenkripsi.

Langkah 2: Petakan akses terhadap kebutuhan bisnis

Setelah memiliki pandangan yang lebih jelas tentang sistem, langkah berikutnya adalah memeriksa akses. Perlu ditinjau apakah orang yang tepat masih memiliki tingkat akses yang tepat ke alat yang tepat.

Mulailah dengan melihat setiap sistem utama dan tanyakan siapa yang saat ini memiliki akses, apakah itu mencerminkan tanggung jawab saat ini, dan apakah ada akun yang membawa izin lebih luas daripada yang diperlukan.

Di banyak bisnis, akses berkembang secara bertahap seiring waktu. Hak admin yang luas dapat diberikan untuk kenyamanan dan tidak pernah dihapus, misalnya. Kontraktor dapat mempertahankan akses setelah proyek berakhir, atau anggota tim dapat mengubah peran dan mempertahankan izin dari peran sebelumnya.

Pergeseran semacam itu meningkatkan risiko bahkan ketika kata sandi itu sendiri kuat. Panduan NCSC(jendela baru) tentang kontrol akses menyarankan untuk menetapkan akun hanya kepada individu yang berwenang, dan memberikan pengguna akses serta izin minimum yang mereka butuhkan, karena siapa saja bisa menjadi liabilitas. Oleh karena itu, audit kata sandi harus memeriksa alasan di balik setiap tingkat akses.

Langkah 3: Lakukan pemeriksaan kesehatan kata sandi

Tahap audit kata sandi ini adalah untuk mengidentifikasi kata sandi yang digunakan kembali atau lemah, autentikasi dua faktor (2FA) yang tidak aktif, masuk yang kedaluwarsa, dan kebiasaan penyimpanan yang tidak aman yang membuat kompromi lebih mungkin terjadi.

Pada titik ini, tinjauan harus fokus pada beberapa pertanyaan praktis:

  • Apakah kata sandi unik untuk setiap akun?
  • Apakah ada kata sandi yang lemah atau mudah ditebak?
  • Apakah kredensial lama masih digunakan dan tidak dipertanggungjawabkan?,
  • Apakah karyawan menuliskan kata sandi mereka di penyimpanan peramban atau aplikasi pencatat, alih-alih sistem yang disetujui bisnis?
  • Apakah 2FA diaktifkan di mana pun yang memungkinkan?

Proton Pass for Business membantu dengan Pass Monitor, yang mencakup:

  • Alat pemeriksaan kesehatan kata sandi untuk mendeteksi secara otomatis kata sandi yang berulang atau lemah serta 2FA yang tidak aktif
  • Monitoring Dark Web untuk memberikan peringatan jika kredensial terlibat dalam pembobolan
  • Proton Sentinel untuk mendeteksi dan memblokir aktivitas masuk mencurigakan yang dapat menyebabkan pengambilalihan akun

Langkah 4: Tinjau akun yang tidak aktif

Salah satu cara tercepat untuk mengurangi risiko kredensial adalah dengan menghapus apa yang tidak lagi perlu ada. Sebagian besar bisnis mengumpulkan akun tidak aktif seiring waktu. Sebagai contoh:

  • Mantan karyawan yang masih memiliki akses ke alat perusahaan
  • Platform SaaS lama yang tetap terikat dengan kredensial perusahaan yang valid lama setelah penggunaannya menurun
  • Akun bersama yang dirancang untuk penggunaan jangka pendek tetapi akhirnya tetap aktif selama berbulan-bulan atau bertahun-tahun karena tidak ada yang tahu siapa pemiliknya

Akun-akun ini kurang menarik perhatian dibandingkan akun aktif, yang membuatnya sangat mudah diabaikan. Tinjauan ini juga sangat selaras dengan disiplin kepatuhan yang lebih luas.

Tinjauan kata sandi bisnis yang kuat perlu menyertakan upaya sengaja untuk:

  • Hapus akses yang tidak aktif
  • Tutup akun yang usang
  • Konfirmasi kepemilikan yang jelas untuk sistem yang tersisa

Proton Pass for Business membantu mengurangi hambatan yang sering kali membuat akun-akun ini tetap aktif dengan memperjelas kepemilikan, mempermudah peninjauan akses, dan memudahkan pengelolaan perubahan kredensial saat orang pergi atau peran berubah.

Langkah 5: Remediasi dan standardisasi

Langkah terakhir adalah mengubah apa yang ditemukan menjadi tindakan. Audit kata sandi hanya meningkatkan keamanan organisasi jika isu-isu yang terungkap ditangani dengan cara yang terstruktur.

Setelah mengidentifikasi kesenjangan, paket yang sistematis dapat dibuat alih-alih bersikap reaktif. Berikut adalah daftar periksa audit kata sandi sederhana:

  • Segera ubah kredensial yang lemah atau terekspos.
  • Ganti kata sandi yang digunakan kembali dengan yang unik.
  • Aktifkan 2FA di mana saja, dimulai dengan akun penting.
  • Hapus akun yang tidak aktif atau tidak diperlukan.
  • Cabut hak istimewa yang berlebihan.
  • Pindahkan kredensial keluar dari spreadsheet, dokumen, atau penyimpanan peramban.
  • Konsolidasikan penyimpanan kata sandi ke dalam sistem bisnis yang disetujui.
  • Perbarui kebijakan kata sandi dan akses.

Ini juga merupakan momen yang tepat untuk menyelaraskan tindakan teknis dengan kebijakan. Jika kebijakan kata sandi saat ini tidak jelas, tidak diterapkan, atau tidak realistis, audit hanya akan memunculkan masalah yang sama lagi dalam enam bulan.

Audit kata sandi dan kebijakan kata sandi bekerja sangat baik bersama-sama: panduan Proton untuk membuat kebijakan kata sandi adalah sumber daya pendamping yang kuat. Dan dapat memulai dengan mudah menggunakan templat kebijakan kata sandi.

Remediasi harus diprioritaskan berdasarkan risiko, bukan kerapian. Mulailah dengan akun admin, sistem yang berisi data sensitif, layanan yang terekspos secara eksternal, dan kredensial bersama dengan kepemilikan yang buruk. Kemudian lanjutkan ke bagian luar.

Mengapa bisnis melewati audit kata sandi?

Jika audit kata sandi sangat berguna, mengapa begitu banyak bisnis tidak repot-repot melakukannya? Prosesnya bisa terasa lebih sulit untuk dimulai daripada yang sebenarnya.

Di banyak organisasi, kredensial disimpan di terlalu banyak lokasi untuk ditinjau dengan mudah. Beberapa karyawan menyimpan kata sandi di peramban. Yang lain menyimpannya di spreadsheet, dokumen yang dibagikan, aplikasi catatan, atau pesan internal.

Tim yang berbeda mungkin menggunakan alat mereka sendiri, membeli perangkat lunak secara mandiri, atau mengelola akses secara informal. Akibatnya, bisnis dapat kehilangan jejak tentang sistem apa saja yang sedang digunakan dan siapa saja yang memiliki akses ke sistem tersebut, sehingga sulit untuk mengidentifikasi dan mengatasi risiko keamanan.

Tidak adanya sistem terpusat membuat hal ini menjadi lebih sulit. Tanpa satu lokasi untuk mengelola kredensial bisnis, audit keamanan kata sandi dasar pun dapat berubah menjadi latihan manual yang mengandalkan dugaan, tangkapan layar, dan ingatan individu. Banyak UKM menunda peninjauan praktik kata sandi mereka karena berasumsi bahwa hal itu akan membutuhkan proyek keamanan berskala penuh. Kenyataannya, langkah pertama hanyalah membuat struktur di sekitar apa yang sudah ada.

Audit kata sandi juga sering diabaikan karena risiko kredensial cenderung menumpuk secara diam-diam. Berbeda dengan gangguan perangkat lunak atau insiden phishing, higiene kata sandi yang buruk tidak selalu terlihat jelas. Kata sandi lemah, akses yang tidak perlu, akun tidak aktif, dan praktik berbagi yang informal dapat tetap ada selama berbulan-bulan tanpa menarik perhatian. Pada saat disadari, hal-hal tersebut sering kali sudah tersemat secara mendalam dalam operasional sehari-hari.

Audit kata sandi memunculkan risiko tersembunyi ini ke permukaan. Audit ini mengumpulkan bukti dan memberikan visibilitas serta kepemilikan yang dibutuhkan organisasi untuk memperkuat kontrol akses, meningkatkan praktik penyimpanan, dan membuat keputusan keamanan yang lebih konsisten.

Ubah audit kata sandi menjadi kontrol berkelanjutan

Audit kata sandi menjadi jauh lebih berharga jika menjadi bagian dari praktik berkelanjutan, bukan sekadar tinjauan sekali saja. Risiko kredensial terus berkembang jika tidak ditangani. Akses berubah seiring bertambahnya, keluarnya, atau berubahnya peran orang, diadopsinya alat baru, atau saat bekerja dengan mitra eksternal untuk jangka waktu terbatas. Jika tinjauan hanya terjadi sekali, temuan tersebut akan mulai usang dalam waktu singkat.

Manajemen kata sandi terpusat adalah investasi terbaik. Ini memberikan tim IT lebih dari sekadar tempat yang aman untuk menyimpan kredensial. Ini menciptakan visibilitas dan kontrol yang diperlukan untuk meninjau akses secara lebih konsisten, menegakkan standar yang lebih kuat, dan merespons lebih cepat ketika ada sesuatu yang memerlukan perhatian.

Memilih pengelola kata sandi untuk tim IT mendukung model operasional ini melalui dasbor admin yang efektif, administrasi terpusat, kebijakan tim, akses berbasis peran, provisi SCIM, SSO, dan log audit, mengubah manajemen kata sandi menjadi kontrol operasional dan kepatuhan yang lebih kuat.