Nama : Isalora Simanjuntak
Nim :2681498454
QUESTIONS!
1. Why is MFA significantly more secure than a password alone?
2. Explain Role-Based Access Control (RBAC) and how it helps enforce the principle of least privilege.
3. What are the security risks associated with not deactivating employee accounts immediately after they leave the company?
Answer 1
Multi-Faktor Authentikasi (MFA) lebih aman daripada hanya menggunakan password karena menambahkan lapisan verifikasi tambahan, sehingga akses tidak hanya bergantung pada satu faktor yang bisa disusupi saja.
1. Menggabungkan beberapa faktor autentikasi
MFA menggunakan minimal dua dari tiga faktor:
Sesuatu yang diketahui → password/PIN
Yang dimiliki adalah OTP di ponsel, token.
Sesuatu yang melekat → biometrik (sidik jari, wajah).
Meski ada kebocoran password, penyerang tetap tidak bisa masuk tanpa faktor kedua.
2. Melindungi dari serangan umum
Password saja rentan terhadap:
Phishing (penipuan untuk mencuri password)
Brute force (menebak password)
Credential stuffing adalah cara orang mencoba masuk ke akun kita dengan menggunakan password yang bocor dari tempat lain.
MFA menghentikan serangan tersebut karena penyerang perlu verifikasi tambahan yang sulit diperoleh.
3. Mengurangi dampak kebocoran kredensial
Kebocoran data database atau penggunaan kata sandi yang sama di berbagai akun sering terjadi.
Dengan MFA:
Password saja tidak cukup untuk akses
Risiko pembobolan akun turun drastis
4. Memberikan perlindungan real-time
Kode OTP atau autentikasi biasanya:
Bersifat sementara (expired dalam hitungan detik/menit)
Unik setiap login
Ini membuatnya lebih sulit untuk dimanipulasi.
5. Meningkatkan keamanan tanpa kompleksitas besar
MFA memberikan peningkatan keamanan signifikan tanpa harus:
Mengingat password yang sangat rumit
Mengubah kebiasaan secara drastis
Kesimpulan
MFA lebih aman karena:
Tidak bergantung pada satu titik kegagalan (password)
Menambahkan lapisan perlindungan tambahan
Efektif mencegah sebagian besar serangan yang menggunakan kredensial.
Dengan MFA, meskipun seseorang mengetahui kata sandi Anda, akun Anda tetap aman.
Answer 2
Role-Based Access Control (RBAC) adalah cara mengelola akses ke informasi atau sistem di mana hak akses diberikan sesuai dengan peran yang dimiliki oleh seorang pengguna di dalam organisasi, bukan diberikan langsung kepada setiap orang secara individu.
1. Cara kerja RBAC
Setiap peran (misalnya: admin, developer, staf HR) memiliki daftar izin yang diperbolehkan.
Pengguna cukup ditetapkan ke role tertentu
Secara otomatis, pengguna akan mendapatkan akses berdasarkan peran yang ditentukan.
Contoh:
Role “HR” → akses data karyawan
Role “Developer” → akses server & aplikasi
Role “Admin” → akses penuh
2. Hubungan RBAC dengan prinsip least privilege
Prinsip least privilege berarti:
Setiap pengguna hanya diberi akses yang secukupnya saja untuk menyelesaikan pekerjaannya.
RBAC membantu menerapkan prinsip ini dengan cara:
Standarisasi akses → setiap peran sudah dibuat dengan izin terkecil yang dibutuhkan.
Menghindari akses yang terlalu banyak → tidak perlu memberi izin satu persatu yang bisa menyebabkan akses berlebihan.
Mengurangi kesalahan manusia → admin tidak memberi akses sembarangan karena cukup memilih peran.
3. Keuntungan RBAC dalam keamanan
Lebih terkontrol → akses jelas sesuai dengan tugas kerja.
Mudah dikelola → cukup ubah izin di tingkat peran, maka semua pengguna akan langsung terperbarui.
Audit lebih mudah karena bisa melihat siapa saja yang memiliki akses apa saja.
Mengurangi risiko ancaman dari dalam perusahaan → pengguna tidak diberi akses lebih dari yang diperlukan.
4. Contoh penerapan least privilege dengan RBAC
Tanpa RBAC:
User mungkin diberi akses yang luas “supaya lebih mudah saja”.
Dengan RBAC:
Staf marketing hanya bisa melihat data campaign
Tidak bisa menghubungi database keuangan atau server bagian belakang.
Kesimpulan
RBAC mempermudah penerapan least privilege dengan:
Mengelompokkan akses berdasarkan peran
Memberikan hanya izin yang diperlukan
Mengurangi risiko akses berlebihan dan kesalahan konfigurasi
Hasilnya: sistem jadi lebih aman, teratur, dan lebih mudah dikendalikan.
Answer 3
Jika akun karyawan tidak langsung dinonaktifkan setelah mereka meninggalkan perusahaan, maka terdapat risiko keamanan yang serius karena akun tersebut masih bisa digunakan untuk mengakses sistem perusahaan.
1. Akses tidak sah ke sistem (unauthorized access)
Mantan karyawan masih bisa:
Login ke email, aplikasi internal, atau cloud
Mengakses data perusahaan tanpa izin
Ini membuka celah kebocoran informasi.
2. Kebocoran data sensitif
Akun yang masih aktif bisa digunakan untuk:
Mengunduh data pelanggan
Mengambil dokumen internal
Mengekspor informasi rahasia perusahaan
Risiko ini dapat menyebabkan kerugian finansial dan merusak reputasi.
3. Penyalahgunaan akun (account misuse)
Jika informasi pengakuan jatuh ke orang lain (misalnya tidak diganti atau dibagikan):
Hacker atau pihak yang tidak bertanggung jawab mungkin menggunakan akun tersebut.
Bisa dilakukan aktivitas berbahaya seolah-olah pengguna asli
4. Ancaman insider threat
Mantan karyawan yang masih punya akses bisa:
Sengaja merusak data
Menghapus file penting
Mengganggu sistem perusahaan
5. Pelanggaran kepatuhan (compliance)
Banyak standar keamanan (ISO, GDPR, dll) mewajibkan:
Penghapusan akses segera setelah karyawan keluar
Jika tidak dilakukan, perusahaan bisa terkena:
Denda
Audit gagal
Masalah hukum
6. Penyalahgunaan akses ke layanan cloud atau SaaS
Akun lama bisa tetap memiliki:
Akses ke cloud storage
Akses ke dashboard administrasi
Akses ke sistem pihak ketiga
Ini meningkatkan kemungkinan serangan dari luar dan dalam.
Kesimpulan
Tidak menonaktifkan akun karyawan yang sudah tidak bekerja lagi bisa menyebabkan:
Akses tidak sah
Kebocoran data
Penyalahgunaan akun
Risiko hukum dan kepatuhan
Oleh karena itu, deprovisi akun harus dilakukan segera setelah karyawan dikeluarkan dari perusahaan untuk menjaga keamanan.