Organisasi Anda tidak lagi bisa membiarkan keamanan kata sandi bergantung pada masing-masing anggota tim. Meskipun berniat baik, manusia cenderung memilih kebiasaan bawaan yang praktis tetapi berisiko, seperti menyimpan kredensial di peramban, spreadsheet, atau catatan tempel.
Kebijakan kata sandi yang kuat menetapkan standar yang jelas dan dapat ditegakkan tentang bagaimana kata sandi dibuat, tersimpan, dibagikan, ditinjau, dan dilindungi di seluruh organisasi Anda. Kebijakan modern mengurangi risiko berbasis kredensial, mendukung kepatuhan, dan menghadirkan konsistensi pada keamanan akses di berbagai sistem, tim, dan alur kerja.
Ini bukan sesuatu yang dapat diabaikan oleh bisnis. Laporan Investigasi Pembobolan Data 2025 dari Verizon menemukan bahwa penyalahgunaan kredensial menyumbang 22% dari vektor serangan awal utama dalam pembobolan yang terkonfirmasi. Dampak finansial dari keamanan kredensial yang buruk juga terlihat dalam gangguan operasional, paparan regulasi, kerusakan reputasi, dan waktu henti berkepanjangan yang terjadi saat tim berupaya memulihkan akses yang hilang atau dikompromikan.
Selain membuat kebijakan kata sandi, organisasi Anda membutuhkan sistem dan alat yang membuat kebiasaan aman mudah diterapkan. Aturan saja tidak cukup untuk menjamin keamanan operasional karena jika ada hambatan, profesional yang berniat baik sekalipun akan mengambil pintasan. Tujuannya adalah menjadikan kebersihan kata sandi sebagai jalur dengan hambatan terkecil.
Templat kebijakan kata sandi di bawah ini dapat membantu bisnis tetap berpegang pada praktik terbaik saat ini dan panduan yang selaras dengan NIST. Templat ini dapat disesuaikan menjadi kebijakan internal, buku panduan keamanan, atau kendali tata kelola untuk organisasi yang membutuhkan sesuatu yang lebih praktis daripada saran umum.
Templat kebijakan kata sandi (sampel)
| Bagian | Persyaratan kebijakan (contoh bahasa) | Catatan implementasi |
| Cakupan | Kebijakan ini berlaku untuk semua karyawan, kontraktor, vendor, dan pihak ketiga yang mengakses sistem atau data perusahaan menggunakan autentikasi berbasis kata sandi. Kebijakan ini mencakup semua sistem, termasuk platform SaaS, layanan cloud, alat internal, endpoint, dan lingkungan administratif. | Pastikan tidak ada sistem atau grup pengguna yang berada di luar cakupan. Sertakan vendor dan lingkungan yang dibagikan. |
| Tanggung jawab pengguna | Semua pengguna harus membuat, menyimpan, dan mengelola kata sandi sesuai dengan kebijakan ini. Pengguna tidak boleh membagikan kredensial, menggunakan kembali kata sandi, atau menyimpannya di lokasi yang tidak disetujui. Dugaan kompromi kredensial harus segera dilaporkan. | Sertakan dalam onboarding dan pelatihan keamanan. |
| Tanggung jawab manajemen | Manajer harus memastikan komunikasi yang tepat waktu mengenai onboarding, perubahan peran, dan offboarding untuk mengaktifkan kontrol akses dan pembaruan kredensial yang tepat. | Integrasikan ke dalam alur kerja HR. |
| Tanggung jawab IT dan keamanan | Tim IT dan keamanan bertanggung jawab untuk menegakkan kebijakan ini, menyetujui alat pengelola kata sandi, memantau kepatuhan, dan merespons insiden terkait kredensial. | Tetapkan kepemilikan yang jelas secara internal. |
| Panjang kata sandi | Kata sandi harus memenuhi panjang minimum berikut: 15 karakter (akun standar), 16 karakter (akun dengan hak istimewa), dan 20 karakter (akun bersama atau akun layanan jika memungkinkan). | Sistem harus mendukung kata sandi panjang (idealnya hingga 64 karakter.) |
| Pembuatan kata sandi | Kata sandi harus dibuat secara acak menggunakan pengelola kata sandi bisnis yang disetujui organisasi. Kata sandi yang dibuat pengguna berdasarkan pola, data pribadi, atau struktur yang dapat diprediksi tidak diizinkan. | Proton Pass for Business dapat mengotomatiskan pembuatan kata sandi yang kuat dan acak. |
| Keunikan kata sandi | Kata sandi harus unik untuk setiap akun, sistem, dan layanan. Penggunaan kembali di seluruh sistem kerja, akun pribadi, atau lingkungan klien sangat dilarang. | Tegakkan melalui alat dan pelatihan, bukan hanya ingatan. |
| Pengujian kekuatan kata sandi | Kata sandi tidak boleh lemah, digunakan kembali, atau sebelumnya terekspos dalam pembobolan data yang diketahui. | Gunakan sistem yang mendukung deteksi kata sandi yang dibobol jika memungkinkan. |
| Praktik yang dilarang | Berikut ini dilarang: penggunaan kembali kata sandi; penggunaan istilah pribadi atau terkait perusahaan; pola yang dapat diprediksi; menyimpan kata sandi dalam teks biasa; membagikan kredensial melalui email, obrolan, atau catatan. | Buat bagian ini eksplisit untuk menghapus ambiguitas. |
| Autentikasi multifaktor (MFA) | MFA harus diaktifkan pada semua sistem yang mendukungnya, terutama untuk email, penyedia identitas, akses jarak jauh, sistem keuangan, platform HR, dan akun administratif. | Prioritaskan sistem berisiko tinggi terlebih dahulu. |
| Penyimpanan kata sandi | Semua kredensial hanya boleh disimpan di pengelola kata sandi yang disetujui organisasi. Penyimpanan di peramban atau alat lokal tidak diizinkan kecuali dikelola secara terpusat dan disetujui. | Proton Pass for Business menyediakan brankas terenkripsi dengan akses terkontrol. |
| Metode penyimpanan yang dilarang | Kata sandi tidak boleh disimpan dalam spreadsheet, dokumen, draf email, sistem tiket, drive bersama, atau catatan pribadi. | Lakukan audit untuk hal ini secara berkala karena sangat umum terjadi. |
| Berbagi kata sandi | Kata sandi tidak boleh dibagikan melalui kanal informal. Jika berbagi diperlukan, hal itu harus dilakukan melalui sistem aman yang disetujui yang mendukung kontrol akses, audit, dan pencabutan. | Proton Pass for Business mengaktifkan berbagi kredensial secara aman tanpa mengekspos kata sandi itu sendiri. |
| Akun bersama | Kredensial akun bersama atau akun layanan harus memiliki pemilik yang ditentukan, akses terbatas, penyimpanan aman, dan peninjauan berkala. Kredensial harus dirotasi ketika terjadi perubahan personel atau jika dicurigai adanya kompromi. | Utamakan akun individu jika memungkinkan. |
| Pelatihan dan kesadaran | Semua pengguna harus menyelesaikan pelatihan keamanan kata sandi dan kredensial saat onboarding dan secara berkala setelahnya. Pelatihan harus mencakup pengelolaan kata sandi, penggunaan MFA, kesadaran phishing, dan pelaporan insiden. | Pastikan pelatihan tetap praktis dan mutakhir. |
| Respons insiden | Setiap dugaan atau kompromi kredensial yang terkonfirmasi harus segera dilaporkan. Kredensial yang terdampak harus diatur ulang, sesi dicabut, dan akses ditinjau. Insiden harus didokumentasikan. | Kecepatan merespons lebih penting daripada kesempurnaan. |
| Persyaratan pelaporan | Pengguna harus melaporkan dugaan paparan kredensial melalui kanal pelaporan yang ditentukan. Tidak ada tindakan disipliner yang akan timbul dari pelaporan dengan niat baik. | Mendorong pelaporan awal. |
| Monitoring dan pencatatan log | Aktivitas autentikasi harus dicatat dalam log jika memungkinkan, termasuk upaya masuk, perubahan kredensial, dan akses dengan hak istimewa. Log harus ditinjau secara berkala untuk mendeteksi anomali. | Fokus pada sistem berisiko tinggi terlebih dahulu. |
| Offboarding dan pencabutan akses | Setelah perubahan peran atau pemutusan hubungan kerja, akses harus segera dihapus. Kredensial bersama harus ditinjau dan dirotasi jika perlu. | Sangat penting, karena ini adalah salah satu titik kegagalan paling umum bagi organisasi. |
| Penyelarasan kepatuhan | Kebijakan ini mendukung kepatuhan organisasi terhadap kerangka kerja yang diakui seperti persyaratan kontrol akses NIST dan ISO 27001. | Berguna untuk audit dan tata kelola. |
| Penegakan | Kegagalan untuk mematuhi kebijakan ini dapat mengakibatkan pelatihan ulang, pembatasan akses, atau tindakan disipliner tergantung pada tingkat keparahannya. | Terapkan secara konsisten. |
| Siklus peninjauan | Kebijakan ini harus ditinjau setidaknya setiap tahun atau setelah terjadi perubahan signifikan pada sistem, risiko, atau persyaratan regulasi. | Tetapkan pemilik untuk pembaruan. |
Apa itu kebijakan kata sandi? Definisi, maksud, dan tujuan
Kebijakan kata sandi adalah serangkaian aturan formal yang menetapkan bagaimana kredensial dibuat, dikelola, disimpan, dan dilindungi di seluruh sistem organisasi.
Konsep kebijakan kata sandi terdengar sederhana, tetapi dampaknya luas. Ini jauh lebih dari sekadar mewajibkan penggunaan pengelola kata sandi bisnis untuk kredensial bisnis. Dalam organisasi modern, kebijakan kata sandi berfungsi sebagai fondasi keamanan identitas.
Tanpa kebijakan konsisten yang mengatur bagaimana kredensial ditangani di berbagai sistem, praktik kata sandi cenderung terfragmentasi, dan organisasi secara bertahap kehilangan visibilitas tentang bagaimana akses sebenarnya dikelola.
Tujuan dari kebijakan kata sandi yang kuat
Kebijakan kata sandi yang terdefinisi dengan baik mengatasi celah keamanan dengan menetapkan ekspektasi yang jelas tentang bagaimana kredensial harus ditangani di seluruh organisasi Anda. Kebijakan ini menetapkan standar yang konsisten untuk pembuatan, penyimpanan, pembagian, dan manajemen siklus hidup kata sandi.
Kebijakan kata sandi juga memainkan peran penting dalam tata kelola dan kepatuhan. Kerangka kerja keamanan seperti Panduan Identitas Digital NIST(jendela baru) dan standar seperti ISO 27001(jendela baru) menekankan pentingnya praktik autentikasi yang kuat sebagai bagian dari kontrol akses modern.
Organisasi yang menangani data sensitif, terutama informasi pribadi, catatan keuangan, atau informasi bisnis hak milik, semakin dituntut untuk menunjukkan bahwa akses ke sistem tersebut diatur oleh kontrol keamanan yang terdokumentasi.
Dengan kebijakan kata sandi, organisasi Anda menentukan persyaratan minimum untuk membuat, menyimpan, membagikan, dan mengelola kata sandi yang digunakan untuk mengakses sistem, layanan, perangkat, aplikasi, dan data perusahaan.
Apa yang harus dilakukan oleh kebijakan kata sandi?
Dokumen kebijakan kata sandi ditujukan untuk:
- Mengurangi insiden keamanan terkait kata sandi
- Mencegah penggunaan kembali kata sandi dan praktik penyimpanan yang tidak aman
- Mewajibkan pembuatan kata sandi yang aman dan praktik pengelolaan
- Mendukung akses aman bagi karyawan, vendor, dan sistem
- Memperkuat kesiapan audit dan tata kelola akses
- Menentukan prosedur respons untuk kredensial yang terkompromi
Secara bersama-sama, tujuan-tujuan ini membantu memastikan bahwa keamanan kata sandi diperlakukan sebagai standar operasional, bukan sekadar ekspektasi informal.
Kebijakan kata sandi: cakupan, peran, dan tanggung jawab
Kebijakan kata sandi yang kuat harus memperjelas dua hal. Pertama, kebijakan tersebut harus mendefinisikan secara jelas pengguna, sistem, dan data mana yang harus mematuhi kebijakan tersebut.
Kedua, kebijakan tersebut harus memperjelas siapa yang bertanggung jawab untuk mengikuti, menerapkan, dan memelihara standar tersebut di seluruh organisasi Anda.
Tentukan cakupan kebijakan kata sandi Anda
Dalam organisasi modern, akses jarang sekali terbatas pada karyawan penuh waktu di jaringan internal. Kontraktor, vendor, dan penyedia layanan mungkin semuanya memerlukan akses ke sistem perusahaan, sehingga kebijakan ini harus berlaku bagi siapa saja yang berinteraksi dengan sistem atau data perusahaan melalui autentikasi berbasis kata sandi.
Kebijakan ini juga harus diterapkan di seluruh lingkungan teknologi, termasuk:
- Platform cloud
- Alat SaaS
- Sistem internal
- Lingkungan pengembangan
- Konsol administratif
- Akun operasional bersama
Ini penting karena penyerang jarang membedakan antara sistem utama dan sekunder saat mencari titik masuk.
Tentukan peran dan tanggung jawab dalam kebijakan kata sandi Anda
Tanpa kepemilikan yang jelas, pengelolaan kata sandi menjadi terfragmentasi. Karyawan menganggap IT menangani keamanan secara otomatis, sedangkan IT menganggap pengguna mengikuti praktik terbaik secara mandiri. Keamanan kredensial yang efektif membutuhkan koordinasi di seluruh organisasi Anda.
Sementara karyawan dan kontraktor menjaga keamanan kata sandi dalam interaksi sehari-hari mereka dengan sistem, manajer mengawasi tata kelola akses selama onboarding, perubahan peran, dan offboarding. Tim IT dan keamanan akan bertanggung jawab untuk menerapkan kontrol teknis dan memantau kepatuhan. Pemilik sistem juga akan memastikan standar ditegakkan di dalam aplikasi dan lingkungan yang mereka kelola.
Panduan kebijakan kata sandi tentang panjang minimum kata sandi dan persyaratan entropi
Panjang kata sandi adalah salah satu faktor terpenting dalam menentukan kekuatan kredensial. Kata sandi yang lebih panjang secara dramatis meningkatkan jumlah kemungkinan kombinasi yang perlu diuji oleh penyerang selama serangan brute-force.
Bahkan, NIST merekomendasikan(jendela baru) untuk memprioritaskan panjang kata sandi daripada aturan komposisi yang ketat. Alih-alih memaksa pengguna untuk menyertakan kombinasi simbol, angka, dan huruf besar tertentu, kebijakan modern berfokus untuk memastikan kata sandi cukup panjang dan disaring dari kredensial terkompromi yang diketahui.
Oleh karena itu, organisasi juga harus memastikan bahwa sistem mereka mendukung kata sandi yang lebih panjang dan kompleks jika memungkinkan secara teknis. Hal ini memungkinkan tim keamanan untuk menerapkan standar kredensial yang lebih kuat dari waktu ke waktu dan memastikan organisasi Anda siap memenuhi persyaratan keamanan yang terus berkembang di masa mendatang.
Kata sandi yang kuat harus memenuhi atau melebihi persyaratan utama berikut:
- Panjang yang cukup untuk menahan brute-force dan upaya pembobolan otomatis
- Unik untuk satu akun atau layanan, mencegah penggunaan kembali kredensial di berbagai sistem
- Sulit ditebak, menghindari informasi pribadi, referensi perusahaan, atau pola yang dapat diprediksi
- Acak atau sangat tidak dapat diprediksi, idealnya dibuat oleh pengelola kata sandi yang disetujui
- Sebelumnya tidak terekspos dalam pembobolan data yang diketahui atau terdaftar dalam daftar kata sandi umum
Perhatikan bahwa kata sandi yang didasarkan pada nama, hari ulang tahun, istilah perusahaan, atau pola papan ketik sederhana sering kali dapat dibobol dengan cepat menggunakan alat pembobol kata sandi otomatis, berapa pun panjangnya. Lihat panduan terperinci kami tentang persyaratan kata sandi yang kuat baik untuk individu maupun bisnis.
Keacakan dan kompleksitas kata sandi
Kerangka kerja keamanan modern merekomendasikan pembuatan kata sandi secara acak daripada meminta pengguna membuatnya secara manual. Kata sandi acak yang dibuat oleh alat pengelola kata sandi yang disetujui memberikan perlindungan yang jauh lebih kuat karena menghindari pola yang dapat diprediksi dan dapat dibuat dengan panjang yang tidak praktis untuk diingat.
Sebagai contoh, pembuat kata sandi yang aman dan praktik pengelolaan kredensial aman yang terintegrasi dalam Proton Pass dapat digunakan. Secara bersama-sama, alat ini membantu membuat kata sandi yang kuat dan tidak dapat diprediksi sekaligus mengatasi tantangan umum seputar penyimpanan, pembagian, dan manajemen siklus hidup kata sandi.
Persyaratan minimum berikut dapat disertakan dalam kebijakan kata sandi untuk mencegah kata sandi yang lemah atau digunakan kembali:
- Panjang kata sandi akun pengguna standar harus minimal 15 karakter.
- Panjang kata sandi akun dengan hak istimewa atau administrator harus minimal 16 karakter.
- Kredensial akun bersama atau akun layanan harus memiliki panjang minimal 20 karakter jika secara teknis memungkinkan.
- Sistem harus mendukung kata sandi minimal 64 karakter jika memungkinkan.
- Frasa sandi yang panjang dapat digunakan jika didukung dan sesuai.
- Kata sandi harus memenuhi persyaratan kekuatan dan penyaringan yang disetujui organisasi sebelum digunakan.
Penggunaan kata sandi unik untuk setiap sistem atau layanan
Penggunaan kembali kata sandi adalah salah satu penyebab paling umum dari insiden keamanan berbasis kredensial. Ketika kata sandi yang sama digunakan di beberapa layanan, satu pembobolan saja dapat mengekspos akses ke beberapa sistem sekaligus.
Penyerang secara rutin mengeksploitasi perilaku ini menggunakan teknik yang dikenal sebagai credential stuffing, di mana nama pengguna dan kata sandi yang dicuri dari satu layanan secara otomatis diuji di platform lain.
Oleh karena itu, keunikan adalah persyaratan mutlak. Setiap akun, layanan, dan sistem harus memiliki kata sandi tersendiri yang tidak pernah digunakan kembali di tempat lain.
Mengelola puluhan atau ratusan kata sandi unik tidak akan realistis tanpa dukungan alat pengelolaan kata sandi yang aman. Alat pengelolaan kata sandi perusahaan membuat persyaratan ini praktis dengan membuat kata sandi yang kuat secara otomatis dan menyimpannya dengan aman, sehingga karyawan dapat mempertahankan kredensial unik tanpa mengandalkan ingatan.
Persyaratan autentikasi multifaktor (MFA)
Autentikasi multifaktor (MFA) is salah satu cara paling efektif untuk mengurangi risiko akses tanpa izin, terutama di lingkungan di mana kredensial mungkin terekspos melalui phishing, malware(jendela baru), atau pembobolan data eksternal.
MFA bekerja dengan mewajibkan pengguna memverifikasi identitas mereka melalui setidaknya dua faktor independen sebelum mendapatkan akses ke akun. Faktor-faktor ini meliputi:
- Sesuatu yang diketahui pengguna (kata sandi)
- Sesuatu yang dimiliki (seperti kunci keamanan, aplikasi autentikasi, atau perangkat seluler)
- Sesuatu yang menjadi identitas mereka (autentikasi biometrik seperti sidik jari atau pengenalan wajah).
Karena penyerang jarang memiliki akses ke semua faktor ini secara bersamaan, MFA secara signifikan mengurangi kemungkinan kredensial yang dicuri dapat digunakan untuk mengompromikan akun.
Panduan dari organisasi seperti NIST dan CISA sangat menganjurkan(jendela baru) penggunaan autentikasi multifaktor di mana pun akses berbasis kata sandi digunakan, terutama untuk sistem yang berisi data sensitif atau menyediakan hak administratif.
Memasukkan MFA ke dalam kebijakan kata sandi Anda
Organisasi Anda dapat lebih memperkuat adopsi MFA dengan menggunakan alat yang membuat autentikasi dua faktor lebih mudah diterapkan dan dikelola di berbagai akun. Misalnya, Proton Pass dapat menyimpan dan mengisi otomatis kata sandi sekali pakai berbasis waktu (TOTP) bersama dengan kredensial yang disimpan, menyederhanakan alur kerja masuk sekaligus menjaga data autentikasi tetap terenkripsi.
Bagi organisasi yang lebih memilih untuk memisahkan faktor autentikasi, Proton juga menawarkan aplikasi Proton Authenticator khusus yang menghasilkan kode verifikasi enam digit yang aman dan dapat menyinkronkannya di berbagai perangkat menggunakan enkripsi end-to-end. Aplikasi autentikator ini berfungsi secara luring dan bersifat open source, memungkinkan organisasi menerapkan MFA di seluruh akun bisnis sambil mempertahankan transparansi dan perlindungan privasi yang kuat
Praktik berbagi kata sandi secara aman
Meskipun banyak panduan keamanan menyarankan untuk tidak membagikan kata sandi sama sekali, lingkungan bisnis di dunia nyata masih membutuhkannya. Akun layanan, akses vendor, dan prosedur darurat terkadang mengharuskan beberapa pengguna resmi untuk mengakses kredensial yang sama.
Ketika pembagian terjadi secara informal, seperti melalui email, obrolan, atau komunikasi verbal, kredensial menjadi terekspos dan sulit dikontrol. Setelah dibagikan melalui kanal-kanal ini, biasanya tidak ada cara andal untuk melacak siapa yang memiliki akses atau mencabutnya di kemudian hari.
Oleh karena itu, kebijakan kata sandi harus menentukan bagaimana dan kapan pembagian diizinkan. Di sebagian besar organisasi, pembagian ini hanya boleh dilakukan melalui alat pengelolaan kredensial yang disetujui yang menyediakan kontrol akses, audit, dan kemampuan untuk mencabut akses bila diperlukan.
Prosedur offboarding dan pencabutan akses
Ketika karyawan berganti peran, meninggalkan organisasi, atau hubungan vendor berakhir, akses harus segera ditinjau dan disesuaikan. Kegagalan untuk mencabut kredensial secara tepat waktu adalah salah satu sumber paling umum dari akses tidak sah.
Kebijakan kata sandi yang kuat harus terintegrasi dengan proses onboarding dan offboarding, memastikan hak akses segera diperbarui untuk mencerminkan perubahan peran atau pengunduran diri, termasuk menonaktifkan akun, memutar kredensial bersama, dan mencabut akses sistem yang tidak diperlukan.
Jika beberapa individu memiliki akses ke akun layanan bersama, kata sandi harus dirotasi segera setelah terjadi perubahan personel untuk mencegah mantan karyawan atau kontraktor mempertahankan akses setelah akun mereka dinonaktifkan.
Menjembatani celah antara kebijakan kata sandi dan kebiasaan manusia
Kebijakan kata sandi hanya efektif jika dipatuhi.
Di sebagian besar organisasi, kegagalan tidak terjadi karena kebijakan tidak ada; melainkan karena kebijakan tersebut tidak tersemat ke dalam alur kerja sehari-hari. Karyawan mengambil pintasan ketika proses tidak jelas, alat tidak memadai, atau ekspektasi tidak diperkuat. Ketika diterapkan dengan benar (dan dikombinasikan dengan pengelola kata sandi bisnis), kebijakan kata sandi yang kuat menggantikan kebiasaan informal dengan kontrol yang konsisten, mengurangi risiko terkait kredensial, dan menjadikan manajemen akses yang aman sebagai bagian dari operasi sehari-hari, bukan sekadar pelengkap.
