Kebijakan ini mengatur standar pengelolaan akses dan kata sandi untuk seluruh sistem informasi Divistant. Disusun berdasarkan ISO 27001 Annex A.9 (Access Control), prinsip SOC 2 — CC6 (Logical and Physical Access Controls), dan best practices keamanan siber.
Akses yang tepat ke informasi yang tepat adalah fondasi keamanan dan produktivitas. Dengan semangat Integrity dan Adaptability, kami menerapkan prinsip least privilege — memberikan akses secukupnya untuk menjalankan tugas, tidak lebih.
Ruang Lingkup
Aspek
Keterangan
Berlaku untuk
Seluruh sistem informasi, aplikasi, dan infrastruktur IT Divistant
Cakupan
Manajemen akses, standar password, MFA, session management, privileged access, audit
Pihak terkait
Seluruh karyawan, contractor, vendor yang mengakses sistem Divistant
Definisi Istilah
Istilah
Definisi
Least Privilege
Prinsip pemberian akses minimum yang diperlukan untuk menjalankan tugas
RBAC
Role-Based Access Control — pemberian akses berdasarkan peran/jabatan dalam organisasi
MFA
Multi-Factor Authentication — autentikasi menggunakan dua atau lebih faktor verifikasi
Privileged Account
Akun dengan hak istimewa (admin, root, service account) yang memerlukan kontrol tambahan
Provisioning
Proses pemberian akses sistem kepada pengguna baru
Deprovisioning
Proses pencabutan seluruh akses sistem saat karyawan offboarding
Pernyataan Kebijakan
Divistant menerapkan kontrol akses berbasis prinsip least privilege dan need-to-know untuk melindungi kerahasiaan, integritas, dan ketersediaan sistem informasi. Seluruh akses dikelola melalui lifecycle yang terstruktur (provisioning, modification, review, deprovisioning) dengan MFA wajib untuk sistem kritis dan audit berkala untuk memastikan kepatuhan.
Prinsip Dasar
Prinsip
Penjelasan
Least Privilege
Akses diberikan hanya untuk yang diperlukan dalam menjalankan tugas
Need-to-Know
Informasi hanya diakses oleh pihak yang membutuhkan
Separation of Duties
Tugas kritis dipisahkan antar individu untuk mencegah fraud
Defense in Depth
Lapisan keamanan berganda untuk melindungi aset kritis
Standar Password
Aspek
Persyaratan
Panjang minimum
12 karakter
Kompleksitas
Kombinasi huruf besar, huruf kecil, angka, dan simbol
Password history
Tidak boleh menggunakan 5 password terakhir
Masa berlaku
Maksimal 90 hari untuk akun standar; 60 hari untuk akun admin
Lockout
Akun terkunci setelah 5 kali percobaan login gagal
Recovery
Reset melalui IT dengan verifikasi identitas
Password yang Dilarang
Larangan
Contoh
Informasi pribadi
Nama, tanggal lahir, nomor telepon
Kata umum
"password", "123456", "divistant"
Sequential/repetitive
"abcdef", "111111", "qwerty"
Password yang sama
Menggunakan password yang sama di beberapa sistem
Multi-Factor Authentication (MFA)
Sistem
MFA Wajib?
Metode
Email perusahaan (Google Workspace)
✅ Wajib
Authenticator app atau security key
Source code repository
✅ Wajib
Authenticator app
Cloud infrastructure
✅ Wajib
Authenticator app atau hardware token
VPN
✅ Wajib
Authenticator app
HR/Payroll system
✅ Wajib
Authenticator app
Internal tools (non-critical)
⚠️ Recommended
Authenticator app
Sistem klien
Sesuai kebijakan klien
Sesuai requirement klien
Manajemen Akses
Lifecycle Akses
Fase
Proses
Penanggung Jawab
Provisioning (New hire)
Request akses berdasarkan role → approval manager → IT setup
People Ops + IT
Modification (Role change)
Request perubahan akses → approval manager baru → IT update
Manager + IT
Review (Periodic)
Quarterly access review — validasi bahwa akses masih sesuai
Manager + IT
Deprovisioning (Offboarding)
Revoke seluruh akses dalam 24 jam setelah last day
People Ops + IT
Role-Based Access Control (RBAC)
Level Akses
Deskripsi
Contoh Role
Admin
Full access ke sistem dan konfigurasi
IT Lead, Director
Manager
Akses ke data tim dan approval workflow
Team Lead, PM
Standard
Akses operasional sehari-hari
Developer, Consultant
Limited
Akses terbatas untuk kebutuhan spesifik
Intern, Contractor
Guest
Akses read-only atau sangat terbatas
External auditor, Visitor
Akses ke Sistem Klien
Aspek
Ketentuan
Approval
Akses ke sistem klien memerlukan approval Project Manager dan klien
Scope
Akses terbatas pada scope pekerjaan yang disepakati