Apa itu Identity Security Posture Management (ISPM)?

Tim penulis merupakan konsultan yang menangani langsung implementasi IAM dan IGA untuk berbagai perusahaan enterprise di Indonesia. Artikel ini disusun berdasarkan riset industri terkini dan bersifat edukatif; untuk asesmen spesifik pada infrastruktur perusahaan Anda, tetap disarankan berkonsultasi dengan tim ahli.

Bayangkan seorang karyawan mengundurkan diri dari perusahaan pada awal tahun. Tiga bulan kemudian, akunnya di sistem CRM ternyata masih aktif dan bisa diakses dari luar kantor tanpa ada yang menyadari.

Risiko semacam inilah yang coba diatasi lewat Identity Security Posture Management (ISPM), pendekatan yang membantu perusahaan terus memantau dan memperbaiki kondisi keamanan identitas di seluruh sistemnya. Bukan sekadar alat tambahan, ISPM mulai jadi kebutuhan dasar bagi organisasi yang serius menjaga data dan aksesnya.

Kasus semacam ini bukan cerita fiksi. Tim keamanan sering baru sadar ada akun “hantu” seperti itu setelah insiden kebocoran data sudah terjadi, bukan sebelumnya.

Data terbaru memperlihatkan seberapa luas masalah ini sebenarnya. Menurut State of Identity Security 2026 dari Sophos, sebuah survei terhadap 5.000 pemimpin TI dan keamanan siber di 17 negara pada kuartal pertama 2026, 71 persen organisasi mengalami setidaknya satu insiden keamanan terkait identitas dalam setahun terakhir, dengan rata-rata tiga serangan per organisasi yang terdampak.

Angka dari laporan Sophos Active Adversary 2026 juga tidak kalah mengkhawatirkan. Sebanyak 67 persen insiden yang ditangani tim respons Sophos berakar dari kredensial yang dicuri atau disalahgunakan, dan menurut catatan SecurityToday atas Cloudflare Security Report 2026, tiga dari empat pelanggaran keamanan tahun ini dimulai dari identitas yang sudah dibobol, bukan dari celah teknis baru.

Kondisi-kondisi inilah yang membuat ISPM makin banyak dibahas oleh tim keamanan perusahaan tahun ini.

Apa itu Identity Security Posture Management (ISPM)?

Secara sederhana, ISPM adalah kerangka kerja yang membantu perusahaan mengetahui, hampir secara real time, seberapa aman kondisi identitas mereka pada satu waktu tertentu. Bukan cuma soal siapa yang punya akses ke apa, melainkan seberapa besar risiko yang menempel pada setiap identitas tersebut.

ISPM bekerja lewat empat proses yang berjalan terus-menerus: menemukan seluruh identitas yang ada termasuk yang selama ini tersembunyi, menilai risiko pada masing-masing identitas, memantau perilakunya dari waktu ke waktu, lalu memicu perbaikan begitu ada risiko yang terdeteksi. Keempat proses ini tidak berhenti setelah dijalankan sekali, melainkan berulang setiap hari.

Contohnya begini. Seorang admin sistem yang biasanya login dari kantor Jakarta antara jam delapan pagi sampai lima sore, tiba-tiba masuk dari luar negeri pukul dua dini hari dengan hak akses penuh ke database pelanggan. ISPM akan menandai pola ini sebagai anomali dan mengirim peringatan sebelum data benar-benar sempat diakses.

Banyak orang menyamakan ISPM dengan Identity and Access Management (IAM) atau Identity Governance and Administration (IGA), padahal ketiganya punya fokus yang berbeda. IAM lebih mengurus mekanisme login harian, misalnya siapa yang boleh masuk ke aplikasi apa, sementara IGA menangani siklus hidup identitas dari proses onboarding karyawan baru sampai pencabutan akses saat resign.

ISPM berdiri di lapisan yang lebih atas dari keduanya. Ia terus mengevaluasi kondisi keseluruhan dari sistem IAM dan IGA yang sudah berjalan, lalu mencari celah yang mungkin terlewat oleh kontrol akses dasar sekalipun.

Sebagai gambaran, sebuah perusahaan bisa saja sudah punya IAM dan IGA yang rapi di atas kertas, tapi tetap punya ratusan service account dengan password yang tidak pernah diganti sejak dibuat bertahun-tahun lalu. ISPM yang akan menemukan celah semacam ini, jauh sebelum jadi pintu masuk bagi penyerang.

Baca juga: Zero Trust Security untuk Enterprise untuk memahami prinsip yang biasa berjalan berdampingan dengan ISPM.

Mengapa ISPM Penting bagi Keamanan Perusahaan?

ISPM penting karena menutup celah yang tidak tersentuh kontrol keamanan dasar, mulai dari kredensial sah yang disalahgunakan, rendahnya visibilitas identitas di lingkungan cloud, tuntutan kepatuhan yang makin ketat, sampai identitas non-manusia yang jarang diawasi. Keempat celah ini konsisten muncul di hampir semua insiden identitas yang tercatat pada laporan-laporan tahun ini.

Identitas Sah Jadi Pintu Masuk Favorit Peretas

Peretas modern jarang lagi mengandalkan malware canggih untuk menembus sistem perusahaan. Mereka cukup mencuri satu kredensial yang valid, lalu login layaknya karyawan biasa.

Misalnya, kredensial seorang staf finance yang bocor lewat phishing dipakai untuk masuk ke sistem ERP tengah malam. Karena kredensial tersebut sah secara sistem, alat keamanan dasar sering tidak menganggapnya mencurigakan.

Visibilitas Identitas yang Rendah di Lingkungan Cloud

Semakin banyak aplikasi cloud yang dipakai, semakin sulit tim IT mengetahui berapa persis identitas yang benar-benar aktif saat ini. Banyak perusahaan bahkan tidak sadar ada akun lama yang seharusnya sudah dihapus jauh-jauh hari.

Contohnya, tim IT baru menyadari ada 40 akun mantan karyawan yang masih aktif di aplikasi CRM setelah audit tahunan dijalankan, bukan sejak karyawan itu resign.

Tuntutan Kepatuhan yang Makin Ketat

Regulasi seperti UU Perlindungan Data Pribadi menuntut bukti nyata bahwa akses ke data sensitif benar-benar terkendali. Auditor tidak lagi puas hanya dengan pernyataan lisan bahwa akses “sudah dibatasi”.

Saat audit berlangsung, perusahaan yang menjalankan ISPM bisa langsung menunjukkan laporan siapa saja yang mengakses data pelanggan dalam tiga bulan terakhir, lengkap dengan skor risikonya masing-masing.

Ancaman dari Identitas Non-Manusia

Selain akun manusia, perusahaan juga punya ribuan service account, API key, dan workload otomatis yang saling terhubung satu sama lain. Identitas jenis ini justru paling sering luput dari rotasi password dan review akses rutin.

Sebuah API key yang ditulis langsung di kode program dan tidak pernah diganti selama dua tahun bisa jadi celah besar begitu kode tersebut bocor ke repositori publik. Dalam pengalaman tim Adaptist Consulting mendampingi implementasi IAM/IGA di berbagai perusahaan, celah jenis ini justru lebih sering ditemukan pada layer non-manusia semacam ini dibanding pada akun karyawan aktif yang biasanya lebih rutin diaudit.

Apa Saja Komponen Utama ISPM?

ISPM tersusun dari lima komponen yang saling melengkapi: visibilitas identitas menyeluruh, penilaian risiko berkelanjutan, deteksi dan pemantauan perilaku, kontrol akses berbasis risiko, dan otomatisasi tata kelola. Kelima komponen ini bekerja sebagai satu siklus yang saling mengisi, bukan modul yang berdiri sendiri-sendiri.

Visibilitas Identitas Menyeluruh

Komponen ini memastikan semua identitas, baik manusia maupun non-manusia, terpetakan dalam satu tampilan yang sama. Tanpa visibilitas ini, tim keamanan pada dasarnya bekerja dengan mata tertutup.

Dashboard ISPM, misalnya, bisa menampilkan bahwa dari 5.000 akun aktif, ada 200 akun yang tidak pernah login lebih dari 90 hari terakhir dan layak diperiksa ulang.

Penilaian Risiko Berkelanjutan

Bagian ini menganalisis konfigurasi identitas serta jalur akses yang berpotensi disalahgunakan. Penilaiannya berjalan terus-menerus, bukan cuma sekali setahun saat musim audit tiba.

Sistem bisa saja memberi skor risiko tinggi pada satu akun yang punya hak admin di tiga sistem berbeda sekaligus, karena akun tersebut jadi target jauh lebih menggiurkan bagi penyerang.

Deteksi dan Pemantauan Perilaku

Komponen ini membangun pola aktivitas normal untuk tiap identitas, lalu menandai penyimpangan begitu terjadi. Prosesnya berjalan secara real time, bukan lewat laporan bulanan yang telat.

Kalau seorang manajer HR biasanya cuma membuka data payroll timnya sendiri, lalu tiba-tiba mengunduh seluruh data payroll perusahaan, sistem akan langsung memicu peringatan.

Kontrol Akses Berbasis Risiko

Bagian ini menerapkan prinsip least privilege, akses just-in-time, dan autentikasi kontekstual. Intinya, hak akses diberikan seminimal dan sesingkat mungkin sesuai kebutuhan aktual saat itu.

Seorang kontraktor IT, misalnya, hanya diberi akses ke satu server tertentu selama dua jam untuk mengerjakan perbaikan, dan akses itu otomatis dicabut begitu waktunya habis.

Otomatisasi Tata Kelola

Komponen terakhir menangani proses rutin seperti pembuatan, perubahan, dan penghapusan identitas secara otomatis. Review akses berkala juga masuk dalam cakupan ini, tanpa harus menunggu inisiatif manual dari tim IT.

Ketika seorang karyawan pindah divisi, sistem otomatis mencabut akses lama dari divisi sebelumnya begitu perpindahan tercatat, tanpa harus menunggu tiket dibuka terlebih dahulu.

Bagaimana Cara Menerapkan ISPM secara Efektif?

Penerapan ISPM yang efektif berjalan lewat enam tahap bertingkat, mulai dari asesmen kondisi awal sampai peninjauan berkala. Berikut uraiannya satu per satu.

1. Lakukan Asesmen Kondisi Identitas Saat Ini

Langkah pertama adalah memetakan kondisi eksisting, mulai dari berapa banyak identitas yang ada, mana yang tidak terpakai, dan mana yang punya akses berlebihan. Proses ini biasanya membuka banyak temuan yang selama ini tidak disadari.

Sebuah perusahaan ritel, misalnya, baru sadar punya 300 akun vendor lama yang masih aktif setelah menjalankan asesmen pertama kalinya.

2. Bangun Visibilitas dan Kontrol Dasar

Setelah asesmen selesai, perusahaan perlu memasang alat discovery untuk memetakan seluruh identitas secara otomatis. Autentikasi multi-faktor (MFA) juga perlu diterapkan di tahap ini sebagai lapisan pertahanan dasar.

Contohnya, seluruh akun dengan akses ke sistem keuangan diwajibkan memakai MFA sejak hari pertama kebijakan berlaku, tanpa pengecualian.

3. Aktifkan Pemantauan Berkelanjutan

Begitu fondasi dasar siap, tim keamanan bisa mengaktifkan pemantauan perilaku secara real time. Baseline aktivitas normal dibangun pada tahap ini, agar sistem tahu kapan sesuatu benar-benar tidak biasa.

Login dari lokasi baru yang tidak pernah tercatat sebelumnya, misalnya, akan langsung memicu verifikasi tambahan sebelum akses diberikan.

4. Otomatisasi Siklus Hidup Identitas

Proses onboarding, perubahan peran, dan offboarding sebaiknya berjalan otomatis sepenuhnya. Ini mengurangi ketergantungan pada tiket manual yang sering tertunda berhari-hari, bahkan berminggu-minggu.

Saat sistem HR mencatat status karyawan berubah jadi “resign”, akses ke seluruh aplikasi terkait langsung dicabut pada hari yang sama.

5. Selaraskan dengan Prinsip Zero Trust

ISPM akan jauh lebih efektif kalau diselaraskan dengan pendekatan Zero Trust, di mana setiap permintaan akses diverifikasi ulang berdasarkan konteksnya. Integrasi antar sistem, dari IGA sampai monitoring, juga perlu dijaga agar tidak berjalan sendiri-sendiri.

Sebagai contoh, permintaan akses ke server produksi tetap diverifikasi ulang meski permintaan itu datang dari akun admin yang sudah dikenal sistem.

6. Ukur dan Tinjau Secara Berkala

Terakhir, kemajuan penerapan ISPM perlu diukur lewat metrik konkret, seperti jumlah akses berlebih yang berhasil dicabut atau kecepatan respons terhadap anomali. Tinjauan rutin inilah yang memastikan program tidak berhenti di tahap awal saja.

Tim keamanan bisa, misalnya, menetapkan target menurunkan jumlah akun dormant sebesar 30 persen dalam enam bulan, lalu meninjau pencapaiannya setiap kuartal.

Penting dicatat, ISPM bukan solusi yang otomatis menghilangkan seluruh risiko begitu dipasang. Efektivitasnya sangat bergantung pada kedisiplinan tim menindaklanjuti setiap rekomendasi remediasi, bukan sekadar membiarkannya menumpuk sebagai notifikasi di dashboard.

Waktunya Perusahaan Mengelola Risiko Identitas Secara Serius

Ancaman siber hari ini jarang datang dari celah teknis yang rumit. Paling sering, penyerang cuma butuh satu kredensial yang lupa dinonaktifkan, atau satu service account yang tidak pernah diawasi sejak awal dibuat.

ISPM memberi perusahaan cara untuk terus memantau kondisi ini, alih-alih hanya mengandalkan audit tahunan yang sudah terlambat begitu dijalankan. Dengan visibilitas penuh, penilaian risiko yang berjalan terus-menerus, dan kontrol akses yang ketat, celah-celah semacam ini bisa ditutup sebelum berubah jadi insiden nyata.

Sebagai bagian dari langkah ini, Adaptist PRIME dari Accelist Adaptist Consulting hadir sebagai platform IAM dan IGA terpadu yang mendukung visibilitas akses, kontrol berbasis Zero Trust, hingga deteksi ancaman lewat fitur Threat Insights dan Audit Trail. Sebagai catatan, Adaptist PRIME adalah produk dari Adaptist Consulting selaku penerbit artikel ini, dan disebutkan karena relevan langsung dengan pembahasan ISPM di atas.

Ajukan demo Adaptist PRIME atau jadwalkan sesi asesmen postur keamanan identitas bersama tim kami untuk melihat langsung penerapannya di lingkungan perusahaan Anda. Hubungi tim Adaptist Consulting di sini.

FAQ