Pada bulan Mei 2024, serangan terhadap email bisnis dalam layanan keuangan meningkat sebesar 21%[1]. Penjahat dunia maya menggunakan rekayasa sosial dan malware untuk mengakses akun email bisnis yang sah. Dengan semakin maraknya operasi perbankan digital dan meningkatnya ancaman keuangan yang canggih, kebutuhan akan langkah-langkah keamanan yang kuat menjadi lebih penting dari sebelumnya.
Manajemen identitas dan akses (IAM) memainkan peran penting dalam konteks di atas dengan melindungi data keuangan dan pribadi pelanggan yang penting serta memastikan akses yang aman dan sesuai bagi karyawan.
Blog ini membahas pentingnya IAM bagi industri BFSI, fitur-fitur utamanya, dan praktik terbaik untuk menerapkan manajemen risiko yang efektif. Strategi IAM.
Mengapa Manajemen Identitas dan Akses penting untuk layanan keuangan?
Di industri BFSI (Perbankan, Jasa Keuangan, dan Asuransi), di mana kepercayaan dan keamanan sangat penting, identitas dan manajemen akses (IAM) Hal ini sangat penting untuk mengelola akses dan menjaga keamanan data. Bank, lembaga keuangan, dan perusahaan asuransi menangani sejumlah besar data sensitif yang beragam—mulai dari informasi kartu kredit pelanggan hingga catatan keuangan dan pembayaran yang penting.
Untuk mengamankan data sensitif tersebut, organisasi yang merupakan bagian dari industri BFSI perlu mematuhi peraturan industri tertentu seperti Peraturan Uni Eropa PSD 2 (Payment Services Directive) dan PCI DSS (Payment Card Industry Security Standards Standard) dari Payment Card Industry Standards Council yang berfokus pada perlindungan informasi pembayaran sensitif. Selain itu, bank harus mematuhi prinsip-prinsip GDPR seperti keabsahan, keadilan, transparansi, dan minimisasi data, serta menjunjung tinggi hak-hak nasabah, termasuk akses, perbaikan, dan penghapusan data pribadi.
Organisasi yang gagal mematuhi peraturan industri akan dikenakan denda besar dan menghadapi tuntutan pidana serta kerusakan reputasi, yang akan memengaruhi kredibilitas dan kinerja. Menurut data tahun 2023, perusahaan bursa mata uang kripto yang berbasis di AS, Binance, harus membayar $4.3 miliar karena melanggar peraturan kerahasiaan bank.[2].
IAM sangat penting bagi bank untuk mengamankan data nasabah dan keuangan, mencegah penipuan, dan mematuhi persyaratan regulasi. IAM memperkuat postur keamanan lembaga keuangan, memastikan integritas dan kerahasiaan sistem keuangan yang penting.
Fitur utama IAM untuk BFSI
1. Manajemen pengguna terpusat
solusi IAM menyederhanakan manajemen pengguna dalam industri BFSI dengan membuat direktori terpusat. Mereka sering memanfaatkan perangkat lunak milik sendiri atau pihak ketiga yang dirancang khusus untuk lembaga keuangan. Dengan menggabungkan identitas pengguna, IAM menyederhanakan pemantauan dan memastikan penegakan kebijakan yang konsisten di seluruh karyawan.
Administrasi akun pengguna disederhanakan karena IAM menyediakan satu titik kontrol akses, yang sangat penting untuk mematuhi regulasi keuangan yang ketat dan menjaga keamanan data keuangan sensitif.
2. Manajemen identitas
Manajemen identitas perbankan meliputi penerimaan karyawan baru, penyediaan akses yang sesuai ke sistem keuangan berdasarkan peran mereka, peninjauan dan pembaruan hak akses ke basis data nasabah yang sensitif secara berkala, dan penghentian akses saat karyawan meninggalkan organisasi, semuanya dari satu konsol. Proses ini memastikan kepatuhan terhadap kebijakan internal BFSI dan persyaratan peraturan sekaligus mempertahankan protokol keamanan yang optimal untuk melindungi aset keuangan dan informasi nasabah.
3. Kontrol akses
Kontrol akses terperinci yang diberlakukan oleh solusi IAM memastikan bahwa hanya individu yang berwenang yang dapat mengakses sumber daya perbankan tertentu dan melakukan operasi keuangan yang ditentukan. Hal ini menjamin bahwa izin yang benar ditetapkan untuk setiap karyawan, perangkat, dan aplikasi BFSI.
4. Otentikasi pengguna
Solusi IAM menyediakan berbagai metode autentikasi untuk memverifikasi identitas pengguna yang mengakses layanan perbankan, seperti autentikasi multifaktor (MFA), yang memastikan bahwa hanya pengguna resmi yang dapat mengakses data keuangan.
Bergantian, sistem masuk tunggal (SSO) Kemampuan ini memungkinkan pengguna untuk mengakses beberapa perangkat lunak dan aplikasi perbankan dengan satu set kredensial, meningkatkan pengalaman pengguna dan mengurangi risiko kelelahan kata sandi. SSO meningkatkan keamanan dengan memusatkan proses autentikasi dan meminimalkan serangan oleh vektor jahat.
Manfaat IAM untuk BFSI
1. Meningkatkan postur keamanan
IAM memastikan bahwa hanya personel yang diautentikasi dan diberi wewenang yang mengakses sistem dan data perbankan yang sensitif dengan mengikuti prinsip keamanan zero-trustPrinsip ini secara signifikan mengurangi risiko pelanggaran data dan penipuan, serta meningkatkan postur keamanan organisasi secara keseluruhan.
2. Skalabilitas
Seiring dengan pertumbuhan dan perkembangan lembaga keuangan, solusi IAM dapat ditingkatkan untuk mengakomodasi peningkatan jumlah pengguna, transaksi, dan integrasi pihak ketiga. Hanya pengguna terautentikasi dengan domain resmi yang dapat mengakses aplikasi dan perangkat perbankan yang digunakan untuk bekerja dengan metode autentikasi seperti SSO.
Skalabilitas memastikan manajemen akses tetap aman dan efisien, bahkan saat operasi organisasi berkembang. Hal ini memungkinkan bank beradaptasi dengan cepat terhadap perubahan kebutuhan bisnis dan persyaratan peraturan tanpa mengorbankan keamanan.
3. Memastikan kepatuhan
Solusi IAM memfasilitasi kepatuhan dengan menyediakan kontrol akses yang kuat, autentikasi pengguna, dan pemantauan aktivitas. Hal ini memastikan kepatuhan terhadap peraturan seperti GDPR, CCPA, dan PCI-DSS.
Badan pengatur seperti Otoritas Pengatur Industri Keuangan (FINRA), Jaringan Penegakan Kejahatan Keuangan (FinCEN), dan Komisi Sekuritas dan Bursa (SEC) mengamanatkan penerapan praktik IAM secara sistematis untuk melindungi informasi pelanggan dan menjaga integritas sistem keuangan.
4. Meningkatkan efisiensi
Solusi IAM mengotomatiskan banyak aspek proses manajemen akses yang khusus untuk industri BFSI, termasuk penyediaan dan pencabutan penyediaan penggunaDengan satu domain resmi atau email kantor, karyawan di perusahaan BFSI terhindar dari entri kata sandi berulang.
Fitur seperti kontrol akses memungkinkan admin TI untuk menetapkan tingkat akses berdasarkan peran dan tanggung jawab, sehingga mengurangi beban kerja mereka secara signifikan. Kemampuan ini menghilangkan kebutuhan berulang untuk memberikan izin secara manual, manfaat penting dalam memastikan kepatuhan terhadap persyaratan regulasi yang ketat seperti PCI-DSS atau GDPR. Dengan menyederhanakan tugas administratif ini, IAM meningkatkan efisiensi operasional dan meminimalkan potensi kesalahan manusia, yang dapat menyebabkan kerentanan keamanan yang signifikan di lingkungan BFSI.
5. Meningkatkan pengalaman pengguna
IAM meningkatkan pengalaman pengguna bagi karyawan yang bekerja di industri BFSI dengan menyederhanakan proses login dan mengurangi kebutuhan akan banyak kata sandi. Fitur seperti Solusi SSO memungkinkan pengguna untuk mengakses beberapa aplikasi dengan satu set kredensial, mengurangi kelelahan kata sandi dan meningkatkan produktivitas.
Praktik terbaik untuk menerapkan IAM untuk BFSI
1. Mengadopsi pendekatan zero trust terhadap keamanan
Prinsip zero-trust—jangan pernah percaya, selalu verifikasi, asumsikan pelanggaran, dan ajukan akses dengan hak istimewa paling rendah—memastikan keamanan yang kuat dengan terus mengautentikasi pengguna sebelum memberikan akses ke sumber daya perbankan. Model ini terintegrasi dengan lancar dengan alat IAM terbaik, menerapkan kebijakan akses yang ketat dan menyederhanakan autentikasi tanpa mengganggu operasi bisnis.
Mengidentifikasi dan mengamankan aset bernilai tinggi (HVA), seperti rahasia dagang dan PII pelanggan, sangatlah penting. Sangat penting untuk memutuskan di mana HAV ini akan disimpan dan apa serta siapa yang akan memiliki akses ke aset tersebut.
Dengan memanfaatkan prinsip-prinsip least-privilege, lembaga keuangan dapat membatasi izin, mengaudit akses secara berkala, dan mengurangi hak istimewa yang tidak perlu terhadap data nasabah dan sistem keuangan. Pendekatan ini meminimalkan risiko akses tidak sah dan potensi pelanggaran.
Baca juga: Mengapa Zero Trust penting?
2. Terapkan kebijakan kata sandi yang kuat
Teknologi IAM bergantung pada praktik kata sandi yang efektif. Administrator harus terapkan kebijakan kata sandi yang kuat, konfigurasikan kerumitan dan penggunaan ulang kata sandi, dan tetapkan periode untuk memperbarui kata sandi. Dengan memprioritaskan praktik kata sandi yang kuat, lembaga perbankan secara signifikan mengurangi risiko akses tidak sah dan pelanggaran data, memastikan perlindungan yang lebih baik untuk informasi keuangan penting.
3. Gunakan Otentikasi Multi-Faktor (MFA)
Otentikasi multifaktor (MFA) menyederhanakan proses autentikasi dengan mengharuskan dua atau lebih bentuk validasi untuk mengonfirmasi identitas pengguna. MFA mencakup penggunaan kata sandi, nomor identifikasi pribadi (PIN) empat atau enam digit, biometrik (seperti sidik jari dan pengenalan wajah), kata sandi sekali pakai (OTP), dan pertanyaan keamanan.
4. Terapkan Akses Tepat Waktu
Akses tepat waktu berarti akses sementara ke sistem, perangkat lunak, data, atau aplikasi untuk jangka waktu tertentu sesuai kebutuhan. Misalnya, ketika petugas kepatuhan perlu meninjau catatan keuangan yang disimpan dalam basis data yang aman, administrator TI dapat memberikan akses sementara untuk periode audit dan mencabutnya setelah audit selesai. Hal ini memastikan pekerjaan terus berjalan lancar tanpa mengorbankan keamanan, sehingga mengurangi risiko paparan data sensitif dalam jangka panjang.
5. Memanfaatkan kebijakan kontrol akses
Kebijakan kontrol akses harus ditegakkan untuk menetapkan, mengelola, dan mencabut akses ke data.
Admin TI di lembaga perbankan dan keuangan dapat menggunakan berbagai kontrol akses:
- Kontrol Akses Berbasis Peran (RBAC): Memberikan izin berdasarkan peran dan tanggung jawab pengguna untuk meminimalkan akses tidak sah dan menyederhanakan operasi.
- Kontrol Akses Berbasis Atribut (ABAC): Menggunakan atribut seperti profil pengguna, jenis sumber daya, dan lingkungan untuk menyediakan kontrol akses real-time yang terperinci.
- Kontrol Akses Wajib (MAC): Membatasi akses berdasarkan label sensitivitas yang telah ditentukan sebelumnya dan tingkat izin pengguna untuk perlindungan data tingkat tinggi.
- Kontrol Akses Diskresi (DAC): Memungkinkan pemilik sumber daya untuk mengonfigurasi izin akses, menawarkan fleksibilitas dan otonomi dalam manajemen akses.
- Kontrol Akses Berbasis Kebijakan (PBAC): Menggabungkan kebijakan bisnis dengan kontrol akses, menyediakan izin dinamis dan waktu nyata berdasarkan berbagai faktor seperti lokasi dan peran.
6. Melakukan audit akses ke sumber daya secara berkala
Audit sangat penting dalam industri BFSI untuk memastikan kontrol akses mematuhi prinsip hak istimewa paling rendah, dengan hanya memberikan izin penting yang diperlukan untuk peran spesifik pengguna. Praktik ini sangat penting dalam mengurangi risiko penyediaan berlebihan, di mana karyawan dapat memperoleh hak akses yang tidak perlu dari waktu ke waktu.
Lebih jauh lagi, saat organisasi BFSI mengintegrasikan perangkat keuangan dan aplikasi regulasi baru ke dalam sistem mereka, audit menjadi sangat penting untuk mengidentifikasi dan memperbaiki akun yang tidak terpakai atau hak akses yang tidak digunakan. Dengan memeriksa log penggunaan dan izin akses secara berkala, tim TI dapat segera mencabut akses yang tidak diperlukan, meminimalkan permukaan serangan, dan memperkuat postur keamanan lembaga secara keseluruhan.
7. Mengadopsi solusi UEM dengan kemampuan IAM
Mengadopsi solusi UEM terintegrasi dengan kemampuan IAM meningkatkan keamanan dalam industri BFSI dengan memungkinkan administrator TI mengelola dan mengamankan perangkat yang mengakses jaringan perbankan dan data keuangan sensitif secara terpusat. Ini termasuk menegakkan enkripsi, menerapkan kebijakan kata sandi yang ketat, dan menghapus data dari jarak jauh jika terjadi kehilangan atau pencurian perangkat.
Bersamaan dengan IAM, yang mengatur identitas pengguna dan hak akses, UEM melengkapinya dengan memastikan akses ini terjadi melalui perangkat seluler dan titik akhir yang aman dan patuh yang digunakan dalam lembaga keuangan.
Integrasi UEM dan IAM ini memperkuat keamanan secara keseluruhan dan menyederhanakan administrasi dengan menyediakan platform terpadu untuk mengelola identitas pengguna dan kebijakan keamanan perangkat yang khusus untuk persyaratan peraturan industri BFSI.
Melindungi industri BFSI dari kesalahan dengan IAM
Integrasi IAM sangat penting untuk menjaga masa depan industri BFSI. Integrasi ini membantu membangun kepercayaan pelanggan dan menjaga integritas data keuangan yang sensitif. Penyedia layanan keuangan harus mengambil langkah proaktif untuk menjadikan IAM sebagai komponen mendasar dari strategi keamanan mereka.
Penerapan solusi manajemen identitas dan akses yang kuat sangat penting karena pelanggaran data keuangan terus meningkat. Lembaga keuangan harus memprioritaskan sistem IAM yang canggih untuk melindungi privasi pelanggan, meningkatkan efisiensi operasional, dan memastikan akses yang aman ke informasi penting.
Referensi:
1. Forbes
2. Enzuzo
