Kata sandi masih menjadi salah satu titik masuk utama ke email, aplikasi administrasi, penyimpanan cloud, dan akun media sosial perusahaan. Masalahnya, kata sandi dapat bocor melalui phishing, penggunaan ulang, perangkat yang terinfeksi, atau penyimpanan yang tidak aman.

Multi-factor authentication atau MFA menambahkan lapisan verifikasi kedua setelah kata sandi. Dengan demikian, kredensial yang bocor tidak langsung memberikan akses kepada pihak yang tidak berwenang.

MFA bukan lagi fitur tambahan

CISA menempatkan penggunaan MFA sebagai salah satu tindakan dasar untuk meningkatkan keamanan akun. Bagi organisasi, prioritas penerapan sebaiknya dimulai dari email, administrator, keuangan, sumber daya manusia, dan sistem yang menyimpan data pribadi.

Aplikasi autentikator, security key, dan passkey umumnya lebih tahan terhadap serangan dibandingkan kode SMS. Sesuaikan pilihan dengan risiko dan kemampuan pengguna.

Sementara itu, akun dengan hak tinggi dapat mengubah konfigurasi, membuat pengguna baru, dan mengakses banyak data. MFA untuk akun ini harus menjadi persyaratan minimum.

Siapkan pemulihan akun

Simpan recovery code secara aman dan tetapkan prosedur verifikasi ketika pengguna kehilangan perangkat. Proses pemulihan yang lemah dapat menjadi jalan pintas bagi penyerang.

Dalam praktiknya, notifikasi login, lokasi yang tidak biasa, percobaan berulang, dan perangkat baru perlu ditinjau. MFA bekerja lebih efektif jika didukung pemantauan dan respons insiden.

Agar tidak berhenti pada rencana, tim perlu menginventarisasi seluruh layanan yang menggunakan akun perusahaan dan mengaktifkan MFA pada akun kritis dan akun administrator. Setelah itu, tim dapat melakukan sosialisasi agar pengguna tidak menyetujui permintaan login yang tidak mereka mulai. Upaya untuk meninjau laporan login dan mencabut sesi yang mencurigakan dibutuhkan agar penerapannya tetap terkendali.

Untuk melihat hasil penerapan, pengelola perlu memeriksa sejumlah kondisi: email perusahaan memakai MFA, akun admin tidak dipakai untuk aktivitas harian, recovery code disimpan aman, perangkat lama sudah dicabut serta prosedur kehilangan perangkat tersedia. Hasil pemeriksaan berkala akan menunjukkan bagian yang masih membutuhkan perhatian.

MFA tidak menghilangkan seluruh risiko, tetapi secara nyata mempersempit peluang penyalahgunaan kata sandi. Penerapannya relatif cepat dan dapat dimulai dari akun dengan dampak terbesar.

Rujukan redaksi: CISA Secure Our World.