Kata sandi untuk kunci sandi: Tetap mematuhi ISO 27001 di era tanpa kata sandi

Suatu pagi, Anda bangun dan menyadari bahwa bisnis Anda telah berkembang ke titik di mana Anda tidak mampu lagi membeli subkompak diesel yang sudah tua dan usang itu. Sebaliknya, Anda menjadwalkan test drive kendaraan listrik anyar. Transisi bisnis dari keamanan berbasis kata sandi ke teknologi kunci sandi juga mengalami perubahan serupa. Sekarang, mari selami detailnya dan uraikan secara menyeluruh!

Kata sandi telah mendukung autentikasi digital selama beberapa dekade — seperti subkompak diesel lama yang terus menyala setiap pagi. Tapi mesinnya terbatuk-batuk. Pintunya tidak terkunci dengan benar. Siapa pun yang mengetahui triknya dapat menggoyangkan pegangannya dan masuk.

Penelitian menunjukkan hal itu 49% insiden keamanan melibatkan kata sandi yang dibobolmenurut Laporan Investigasi Pelanggaran Data Verizon tahun 2023, sementara 84% pengguna mengaku menggunakan kembali kata sandi yang sama di beberapa akun — sehingga menciptakan serangkaian kerentanan. Ini bukanlah ketidaknyamanan kecil – ini adalah lampu peringatan yang berkedip di dasbor, menandakan adanya risiko sistemik.

Otentikasi tanpa kata sandi, khususnya melalui kunci sandi, ibarat melakukan upgrade ke mobil peluru berteknologi tinggi: lebih cepat, lebih ramping, dan hampir mustahil untuk tergelincir. Perjalanannya lebih mulus, lebih senyap, dan jauh lebih sulit untuk dibajak.

Bagi organisasi yang menerapkan ISO/IEC 27001, peralihan dari kata sandi ke kunci sandi bukan sekadar peningkatan biasa, melainkan lebih seperti merombak seluruh armada maskapai penerbangan untuk memenuhi standar keselamatan baru yang ketat. Hal ini memerlukan kepastian bahwa drivetrain baru selaras dengan pengendalian yang telah ditetapkan, rencana penanganan risiko, dan kewajiban dokumentasi.

Artikel ini membahas bagaimana organisasi dapat beralih ke kunci sandi sambil mempertahankan kepatuhan ISO/IEC 27001 — mencakup dasar-dasar teknis dan menawarkan panduan praktis bagi profesional TI dalam menjalani perjalanan modernisasi ini.

Cara kerja autentikasi tanpa kata sandi: Dasar-dasar teknis

Otentikasi tanpa kata sandi menghilangkan beban kognitif dalam mengingat kata sandi. Otentikasi bergantung pada kunci kriptografi, biometrik, atau faktor berbasis kepemilikan — apa yang Anda miliki atau siapa diri Anda.

Kunci sandi mewakili implementasi paling matang dari pendekatan ini. Kunci sandi, dibuat berdasarkan standar FIDO2 dan WebAuthn, seperti teknologi GPS terkini — kunci sandi memandu Anda dengan aman ke tujuan tanpa risiko tersesat atau salah belok.

Saat Anda membuat kunci sandi, perangkat Anda menghasilkan pasangan kunci kriptografi: kunci pribadi yang tetap terkunci di perangkat Anda, dan kunci publik yang terdaftar pada layanan. Selama autentikasi, layanan mengirimkan tantangan, perangkat Anda menandatanganinya dengan kunci pribadi, dan layanan memverifikasi tanda tangan tersebut. Karena kunci pribadi tidak pernah meninggalkan perangkat Anda, penyerang tidak dapat mencegat atau melakukan phishing.

Pedoman Identitas Digital NIST (SP 800-63B) mengklasifikasikan metode otentikasi berdasarkan Authenticator Assurance Level (AAL). Kunci sandi biasanya memenuhi persyaratan AAL2 atau AAL3, yang menunjukkan peningkatan keamanan yang signifikan dibandingkan autentikasi berbasis kata sandi tradisional.

Kunci sandi modern hadir dalam dua bentuk: terikat perangkat (disimpan dalam perangkat keras seperti kunci keamanan) dan dapat disinkronkan (dicadangkan di seluruh perangkat melalui layanan cloud terenkripsi). Panduan NIST yang diperbarui mulai Agustus 2024 secara eksplisit membahas pengautentikasi yang dapat disinkronkan, menyadari bahwa pengguna yang kehilangan satu-satunya metode autentikasi menghadapi tantangan pemulihan akses yang signifikan.

Angka adopsi menunjukkan kisah yang menarik. FIDO Alliance melaporkan bahwa lebih dari 15 miliar akun online kini mendukung kunci sandi — dua kali lipat angkanya dibandingkan tahun 2023. Amazon telah membuat 175 juta kunci sandi, sementara itu Google melaporkan 800 juta akun dengan kunci sandi diaktifkan. Revolusi sudah berlangsung.

Persyaratan kepatuhan ISO/IEC 27001

ISO/IEC 27001 seperti peta jalan terperinci untuk menavigasi medan risiko keamanan informasi yang kompleks, memastikan Anda tidak mengambil jalan yang salah. Revisi tahun 2022 mengatur ulang pengendalian Lampiran A menjadi empat tema: organisasi, manusia, fisik, dan teknologi.

Otentikasi terutama berada di bawah tiga kontrol:

• Lampiran A 5.15 (Kontrol Akses) mendefinisikan aturan dan hak untuk mengakses informasi dan sistem. Organisasi harus menetapkan kebijakan yang mencakup otentikasi pengguna, otorisasi, penyediaan akses, dan prosedur pencabutan akses.

• Lampiran A 5.17 (Informasi Otentikasi) memerlukan prosedur seluruh organisasi untuk mengalokasikan dan mengelola kredensial otentikasi, termasuk mendokumentasikan metode otentikasi dan melindungi data otentikasi.

• Lampiran A 8.5 (Otentikasi Aman) menentukan persyaratan implementasi teknis, termasuk autentikasi multifaktor untuk akses istimewa.

Untuk organisasi dengan sertifikasi ISO/IEC 27001, penggunaan kunci sandi memerlukan bukti bahwa metode otentikasi baru memenuhi atau melampaui tujuan pengendalian yang ada, bahwa risiko telah dinilai dengan benar, dan bahwa penerapannya didokumentasikan secara menyeluruh.

Memetakan penerapan tanpa kata sandi ke kontrol ISO/IEC 27001

Transisi ke kunci sandi menyentuh beberapa kontrol ISO/IEC 27001. Berikut cara menyelaraskan penerapan Anda:

A 5.15 (Kontrol Akses)

• Tentukan cakupan kunci sandi berdasarkan tingkat risiko: kunci sandi yang terikat perangkat untuk akun dengan hak istimewa (AAL3), kunci sandi yang dapat disinkronkan untuk pengguna standar (AAL2)

• Dokumentasikan prosedur fallback untuk skenario kehilangan perangkat

• Tetapkan kebijakan yang jelas tentang kapan dan bagaimana pengguna dapat mengautentikasi tanpa kunci sandi selama masa transisi

A 5.17 (Informasi Otentikasi)

• Dokumentasikan seluruh proses pendaftaran, termasuk siapa yang memulai pendaftaran dan langkah verifikasi identitas apa yang diperlukan

• Tentukan persyaratan enkripsi untuk database yang menyimpan kunci publik

• Tentukan pemicu pendaftaran ulang: penyusupan perangkat, insiden keamanan, kehilangan perangkat, atau perubahan peran

• Tetapkan kontrol akses untuk manajemen data otentikasi

A 8.5 (Otentikasi Aman)

• Tunjukkan kepatuhan MFA dengan mendokumentasikan bagaimana kunci sandi memberikan dua faktor: kepemilikan (perangkat) ditambah biometrik atau PIN perangkat

• Jelaskan bagaimana pengikatan kriptografi ke domain tertentu mencegah penggunaan di situs phishing

• Detail implementasi teknis protokol WebAuthn dan standar FIDO2

Penilaian dan pengobatan risiko

• Dokumen menghilangkan risiko: pencurian kredensial melalui phishing, penggunaan ulang kata sandi di seluruh layanan, serangan brute force, penjejalan kredensial

• Mengatasi risiko baru: kehilangan atau pencurian perangkat, penguncian vendor dengan kunci sandi yang dapat disinkronkan, kerumitan pemulihan, serangan penurunan versi di mana penyerang memanipulasi antarmuka untuk memaksa autentikasi fallback

• Tetapkan prosedur pemantauan untuk mendeteksi dan merespons vektor serangan baru

Organisasi harus memprioritaskan kunci sandi yang terikat perangkat (AAL3) untuk akun dengan hak istimewa dan kunci sandi yang dapat disinkronkan (AAL2) untuk pengguna standar. Prosedur fallback dokumen, standar enkripsi, dan pemicu pendaftaran ulang untuk memenuhi persyaratan auditor.

Manfaat kunci sandi

Data implementasi di dunia nyata mengungkapkan manfaat di luar pemodelan ancaman teoritis. Google melaporkan bahwa kunci sandi sepenuhnya menghilangkan serangan berbasis kata sandi untuk akun yang menggunakannya secara eksklusif, dengan peningkatan tingkat keberhasilan autentikasi sebesar 30% dan waktu masuk 20% lebih cepat. Sony PlayStation mengamati tingkat konversi sebesar 88% untuk pengguna yang mulai mendaftar.

Manajemen kata sandi menimbulkan biaya operasional berkelanjutan melalui panggilan layanan bantuan untuk pengaturan ulang kata sandi, penguncian akun, biaya administrasi, penggantian oli, ban baru, Anda mengerti? Gartner melaporkan bahwa masalah terkait kata sandi menyumbang 20-40% dari seluruh panggilan layanan bantuan, dan setiap penyetelan ulang memerlukan biaya rata-rata $70 untuk waktu dukungan langsung bagi organisasi.

Peralihan Microsoft ke kunci sandi sebagai metode masuk default untuk semua akun baruyang mendukung lebih dari 1 miliar pengguna, mewakili langkah industri yang signifikan untuk melepaskan diri dari beban dukungan ini. Biaya-biaya ini terakumulasi dengan cepat di lingkungan perusahaan dengan ribuan pengguna.

Kunci sandi secara alami selaras dengan beberapa persyaratan kepatuhan: autentikasi tahan phishing NIST AAL2/AAL3, autentikasi multifaktor PCI DSS 4.0, GDPR mengurangi paparan data pribadi, dan kontrol akses SOC 2 yang kuat. Untuk organisasi yang menjalankan berbagai kerangka kepatuhan, kunci sandi memberikan kontrol teknis tunggal yang memenuhi persyaratan di seluruh standar.

Tantangan dan kesalahpahaman

Kunci sandi secara signifikan meningkatkan keamanan, namun penerapannya memerlukan pemahaman akan keterbatasannya. Karena kendaraan listrik tidak akan membawa Anda sejauh 1.000 mil dengan sekali pengisian daya seperti halnya kendaraan diesel. Teknologi modern memerlukan infrastruktur modern — stasiun pengisian daya, jaringan layanan, teknisi terlatih. Kunci sandi menghadapi ketergantungan serupa.

Kunci sandi tidak sepenuhnya anti phishing

Meskipun kunci sandi menolak phishing kredensial tradisional, penyerang beradaptasi. Serangan penurunan versi memaksa pengguna kembali ke kata sandi dengan memanipulasi halaman autentikasi. Phishing kode perangkat dan serangan persetujuan OAuth mengabaikan perlindungan kunci sandi sepenuhnya.

Serangan ini tidak membahayakan kriptografi kunci sandi — serangan ini mengeksploitasi pilihan implementasi dan perilaku pengguna. Organisasi harus:

• Pantau upaya penurunan versi

• Nonaktifkan penggantian kata sandi jika memungkinkan

• Latih pengguna untuk mengenali alur autentikasi yang mencurigakan

Kompleksitas pemulihan akun

Jika pengguna kehilangan perangkatnya dan belum mencadangkan kunci sandinya, mereka kehilangan kredensial autentikasinya. Pendekatan pemulihan meliputi:

• Pemulihan berbasis email (memperkenalkan kembali kompromi email sebagai vektor serangan)

• Kunci sandi cadangan di beberapa perangkat

• Verifikasi identitas manual oleh administrator

• Kode pemulihan dihasilkan pada saat pendaftaran

Setiap pendekatan memiliki implikasi keamanan yang harus ditangani secara rinci oleh dokumentasi ISO/IEC 27001 Anda.

Lingkungan otentikasi campuran

Hanya sedikit organisasi yang bisa sepenuhnya tanpa kata sandi dalam semalam. Selama masa transisi, Anda akan mengoperasikan lingkungan campuran di mana beberapa pengguna mengautentikasi dengan kunci sandi sementara yang lain menggunakan kata sandi. Hal ini menciptakan:

• Postur keamanan yang tidak konsisten — Sistem Anda yang paling sensitif mungkin bergantung pada kunci sandi sementara aplikasi lama masih menerima kata sandi yang lemah, sehingga menciptakan celah yang dapat dieksploitasi.

• Tantangan penegakan kebijakan — Metode autentikasi yang berbeda memerlukan kebijakan keamanan yang berbeda, sehingga sulit untuk mempertahankan kontrol akses yang seragam di seluruh organisasi.

• Kompleksitas jejak audit — Tim keamanan harus melacak dan menghubungkan peristiwa autentikasi di berbagai sistem, sehingga mempersulit penyelidikan insiden dan pelaporan kepatuhan.

• Kebingungan pengguna — Karyawan kesulitan mengingat akun mana yang menggunakan kunci sandi dan mana yang masih memerlukan kata sandi, sehingga menyebabkan panggilan dukungan dan hilangnya produktivitas.

Pertimbangan implementasi perusahaan

Platform manajemen kata sandi perusahaan harus mendukung:

• Otentikasi berbasis WebAuthn melalui pembaca sidik jari, ID Wajah, kode PIN, dan kunci keamanan perangkat keras

• Otentikasi fleksibel kebijakan yang memungkinkan administrator menerapkan autentikasi tanpa kata sandi untuk kelompok pengguna tertentu sambil mempertahankan autentikasi berbasis kata sandi untuk kelompok pengguna lain selama masa transisi

• Verifikasi dan otentikasi email untuk memastikan mekanisme pemulihan akun menjangkau penerima yang sah

• Jalur audit dan pemantauan melacak peristiwa otentikasi, pendaftaran kunci sandi, dan modifikasi

Kemampuan ini memungkinkan migrasi bertahap dengan tetap menjaga kepatuhan ISO/IEC 27001.

Praktik terbaik untuk implementasi

• Prioritaskan berdasarkan risiko — Mulai dengan akun istimewa (administrator, d pengembang dengan akses produksi, pengguna yang menangani data sensitif). Dokumentasikan alasan prioritas Anda untuk menunjukkan pemikiran berbasis risiko yang dituntut ISO/IEC 27001.

• Pertahankan pertahanan secara mendalam — Kunci sandi harus menjadi satu lapisan dalam strategi keamanan yang komprehensif. Kombinasikan dengan manajemen sesi yang kuat, pemantauan pola autentikasi, dan persyaratan keamanan perangkat (enkripsi, kunci layar).

• Rencanakan transisi — Tentukan jadwal migrasi yang jelas dengan tenggat waktu penerapan kunci sandi berdasarkan populasi pengguna. Lacak pengguna mana yang terus menggunakan autentikasi lama. Perjelas bahwa ini adalah keadaan sementara dengan tanggal akhir yang ditentukan.

• Tangani pemulihan akun secara proaktif — Memerlukan beberapa opsi pemulihan selama pendaftaran. Uji prosedur pemulihan secara teratur. Pantau penggunaan pemulihan untuk lonjakan tidak biasa yang mungkin mengindikasikan kampanye phishing.

• Dokumentasikan secara menyeluruh — ISO/IEC 27001 memerlukan informasi terdokumentasi untuk penerapan pengendalian. Menyimpan catatan arsitektur teknis, pembaruan kebijakan, penilaian risiko, prosedur operasional, dan materi pelatihan. Dokumentasi ini menunjukkan kepatuhan selama audit dan menciptakan pengetahuan institusional yang mampu bertahan dalam pergantian karyawan.

Test drive selesai: Waktunya menandatangani surat-surat?

Otentikasi berbasis kata sandi lama Anda masih membawa Anda dari titik A ke titik B — namun apakah sudah siap untuk perjalanan besok? Kunci sandi tidak menghilangkan semua risiko autentikasi, namun organisasi yang membangun kerangka autentikasi yang dapat disesuaikan saat ini akan memiliki posisi yang lebih baik untuk menggabungkan teknologi baru sambil mempertahankan tata kelola keamanan yang ketat.

Kunci sandi mewakili perubahan mendasar dalam keamanan autentikasi, menawarkan peningkatan terukur dalam keamanan, pengalaman pengguna, dan efisiensi operasional. Untuk organisasi yang mematuhi ISO/IEC 27001, kesuksesan memerlukan penentuan prioritas berbasis risiko, dokumentasi komprehensif, dan manajemen masa transisi yang bijaksana.

Siap memperkuat keamanan autentikasi Anda?

Passwork sebagai pengelola kata sandi menyediakan dukungan kunci sandi tingkat perusahaan bersama dengan manajemen kredensial terpusat, log audit terperinci, dan kemampuan berbagi aman yang dirancang untuk kepatuhan ISO/IEC 27001.

Temukan transisi bebas risiko: bantuan migrasi gratis dan dukungan implementasi, tidak perlu membayar apa pun saat langganan Anda saat ini berjalan — lalu dapatkan diskon 20% saat Anda siap untuk beralih.

Coba Passwork gratis selama 1 bulan dan lihat seberapa efektif pengelolaan kata sandi dapat mengubah kebiasaan keamanan tim Anda.

Disponsori dan ditulis oleh Passwork.