Apa itu privilege creep?
Privilege creep adalah akumulasi hak akses secara bertahap yang melebihi kebutuhan individu untuk melakukan pekerjaannya. Dalam IT, privilege adalah hak yang diberikan kepada pengguna tertentu untuk mengakses sumber daya sistem, seperti folder file atau mesin virtual (VM).
Apa penyebab privilege creep?
Privilege creep sering terjadi ketika seorang karyawan mengubah tanggung jawab pekerjaannya di dalam organisasi dan diberikan hak akses baru. Meskipun karyawan tersebut mungkin memerlukan hak akses lama selama masa transisi, hak akses tersebut jarang dicabut dan akhirnya menyebabkan akumulasi hak akses yang tidak diperlukan.
Mengapa privilege creep menjadi masalah?
Privilege creep, yang merupakan masalah umum di berbagai organisasi, menciptakan risiko keamanan ganda. Pertama, karyawan dengan hak akses berlebih mungkin tergoda untuk menyalahgunakan hak tersebut. Kedua, jika seorang penyusup berhasil mendapatkan akses ke akun pengguna dan pengguna tersebut memiliki hak akses berlebih, penyusup tersebut juga akan mendapatkan hak akses berlebih. Kedua situasi ini berisiko mengakibatkan kehilangan data atau pencurian data.
Risiko keamanan yang disebabkan oleh ketidaksesuaian hak akses ini sangat besar hingga FBI dan Departemen Keamanan Dalam Negeri mengeluarkan sebuah pengumuman layanan publik. Pengumuman tersebut memperingatkan bahwa peningkatan ancaman dari dalam, seperti dari karyawan yang tidak puas atau mantan karyawan, sering kali berhubungan dengan privilege creep dan akses yang tidak sah ke informasi sensitif serta jaringan.
Bagaimana cara mengatasi privilege creep?
Privilege creep dapat diminimalkan dengan menerapkan prinsip least privilege (POLP) dan membatasi hak akses hanya pada tingkat minimal yang diperlukan karyawan untuk melakukan pekerjaannya.
Privilege creep juga dapat diminimalkan dengan melakukan tinjauan berkala terhadap hak akses. Proses ini melibatkan pemilik sistem dan manajer untuk memastikan setiap karyawan hanya memiliki akses yang benar-benar diperlukan, serta mencabut hak akses yang berlebihan. Sistem manajemen identitas dan akses (IAM) dapat membantu memfasilitasi tinjauan ini dan memberikan kemampuan kepada administrator untuk melihat dan mengubah hak akses.