Kebijakan Manajemen Akun dan Kredensial
1. Tujuan
Menetapkan persyaratan untuk mengelola akun pengguna, akun layanan, dan kredensial guna memastikan tata kelola identitas dan kontrol akses yang tepat di seluruh sistem informasi [ORGANIZATION].
2. Ruang Lingkup
Kebijakan ini berlaku untuk seluruh akun pengguna, akun layanan, akun bersama, dan kredensial terkait untuk seluruh sistem informasi, aplikasi, dan layanan [ORGANIZATION].
3. Kebijakan
3.1 Manajemen Siklus Hidup Akun
Proses manajemen akun terpusat harus ditetapkan yang mencakup siklus hidup lengkap: permintaan, persetujuan, penyediaan, peninjauan, modifikasi, dan pencabutan akun.
Pembuatan akun memerlukan otorisasi terdokumentasi dari manajer pengguna dan, untuk akun istimewa, dari [CUSTOMIZE: CISO/Direktur TI].
Pencabutan akun harus dilakukan dalam waktu [CUSTOMIZE: 24 jam] setelah pemisahan personel (pemutusan, pengunduran diri, atau akhir kontrak).
Akun yang tidak aktif selama [CUSTOMIZE: 45/60/90] hari harus dinonaktifkan secara otomatis. Akun yang dinonaktifkan yang tidak diaktifkan kembali dalam waktu [CUSTOMIZE: 30] hari harus dihapus.
Seluruh tindakan penyediaan, modifikasi, dan pencabutan akun harus dicatat dan dapat diaudit.
3.2 Persyaratan Kata Sandi dan Kredensial
Kata sandi harus memenuhi persyaratan minimum berikut: panjang minimum [CUSTOMIZE: 12/14/16] karakter, tidak cocok dengan daftar kata sandi yang diketahui telah dikompromikan, tidak mengandung nama pengguna atau kata kamus umum, dan harus segera diubah jika dicurigai telah dikompromikan.
Kredensial unik diperlukan untuk setiap pengguna. Akun bersama dilarang kecuali jika secara teknis tidak dapat dihindari, dalam hal ini harus didokumentasikan dengan kontrol kompensasi.
Kredensial akun layanan harus dikelola melalui solusi manajemen rahasia, dirotasi setidaknya [CUSTOMIZE: triwulanan/tahunan], dan tidak disematkan dalam kode sumber.
Kredensial bawaan pada seluruh sistem dan aplikasi harus diubah sebelum penerapan ke produksi.
3.3 Autentikasi Multi-Faktor
Autentikasi multi-faktor (MFA) harus diwajibkan untuk: seluruh koneksi akses jarak jauh, seluruh akses akun istimewa, akses ke data Rahasia dan Terbatas, konsol administratif layanan cloud, dan koneksi VPN.
Metode MFA harus menggunakan setidaknya dua dari: sesuatu yang Anda ketahui (kata sandi), sesuatu yang Anda miliki (token, kartu pintar, telepon), atau sesuatu yang melekat pada Anda (biometrik).
MFA berbasis SMS tidak disarankan. Aplikasi autentikator, token perangkat keras, atau FIDO2/WebAuthn lebih diutamakan.
MFA harus ditegakkan untuk seluruh aplikasi yang dapat diakses secara eksternal dalam waktu [CUSTOMIZE: 6/12] bulan sejak tanggal efektif kebijakan ini.
3.4 Peninjauan Akses
Hak akses pengguna harus ditinjau setidaknya [CUSTOMIZE: triwulanan/dua kali setahun] oleh manajer pemilik akun untuk memverifikasi kesesuaian yang berkelanjutan.
Akses istimewa harus ditinjau setidaknya [CUSTOMIZE: triwulanan] oleh [CUSTOMIZE: CISO/Tim Keamanan TI].
Temuan peninjauan akses yang memerlukan remediasi harus ditangani dalam waktu [CUSTOMIZE: 14/30] hari.
4. Kepatuhan
Kepatuhan terhadap kebijakan ini wajib bagi seluruh personel dalam cakupannya. Kepatuhan akan dipantau melalui audit berkala, kontrol otomatis, dan tinjauan manajemen.
Pengecualian terhadap kebijakan ini harus didokumentasikan dengan justifikasi bisnis, disetujui oleh [CUSTOMIZE: CISO/Tim Keamanan], dan ditinjau setidaknya setiap tahun.
5. Penegakan
Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner hingga dan termasuk pemutusan hubungan kerja atau kontrak, dan dapat mengakibatkan sanksi perdata atau pidana jika hukum yang berlaku telah dilanggar.
[ORGANIZATION] berhak mengaudit kepatuhan terhadap kebijakan ini kapan saja, dengan atau tanpa pemberitahuan.
6. Tinjauan dan Revisi
Kebijakan ini harus ditinjau setidaknya setiap tahun oleh [CUSTOMIZE: CISO/Pemilik Kebijakan] dan diperbarui seperlunya untuk mencerminkan perubahan dalam lanskap ancaman, persyaratan regulasi, atau struktur organisasi.
Semua revisi harus didokumentasikan dengan nomor versi, tanggal, penulis, dan deskripsi perubahan.
Persetujuan Kebijakan
Disetujui Oleh
Jabatan
Tanggal
Kontrol Dokumen