Non-Human Identity: Mengelola Identitas di Luar Manusia

Bayangkan seorang staf IT di perusahaan fintech resign pada awal tahun, dan proses offboarding-nya berjalan sesuai prosedur. Akun emailnya langsung dinonaktifkan, laptopnya dikembalikan ke kantor, tapi tiga skrip otomatis yang pernah ia buat untuk menyinkronkan data pelanggan tetap berjalan dengan kredensial API yang sama persis selama delapan bulan berikutnya, tanpa ada satu orang pun yang menyadarinya.

Kasus seperti ini jauh lebih umum daripada yang dibayangkan kebanyakan tim keamanan. Menurut laporan Cybersecurity Considerations 2026 dari KPMG, identitas non-manusia di lingkungan perusahaan kini melampaui jumlah pengguna manusia dengan rasio 82 banding 1 (KPMG, 2026).

Artinya, untuk setiap satu karyawan yang login ke sistem perusahaan, ada puluhan bahkan ratusan akun mesin, API, bot, dan agen AI yang bekerja diam-diam di belakang layar. Fenomena inilah yang dikenal dengan istilah non-human identity, sebuah kategori identitas digital yang perlahan menjadi titik buta terbesar dalam strategi keamanan perusahaan modern.

Istilah non-human identity, atau sering disingkat NHI, semakin sering muncul dalam rapat tim keamanan siber sejak adopsi otomatisasi dan agen AI meningkat tajam. Pertanyaannya sederhana namun jarang bisa dijawab dengan cepat oleh sebagian besar organisasi: sudahkah perusahaan Anda benar-benar tahu siapa, atau lebih tepatnya “apa”, yang mengakses sistem Anda setiap hari?

Apa Itu Non-Human Identity?

Non-human identity adalah identitas digital yang dimiliki oleh entitas selain manusia, seperti aplikasi, service account, API key, bot, container, hingga agen AI, untuk mengakses sistem dan data secara otomatis. Berbeda dari akun manusia yang login dengan kombinasi username dan password lalu logout setelah pekerjaan selesai, NHI beroperasi nyaris tanpa henti, dua puluh empat jam sehari, tujuh hari seminggu, tanpa ada seorang pun yang secara aktif mengawasi setiap tindakannya.

Ada tiga elemen yang membedakan NHI dari identitas manusia biasa, dan memahami perbedaan ini penting sebelum masuk ke strategi pengelolaannya. Ringkasannya ada pada penjelasan singkat berikut.

Perbedaan Singkat dengan Identitas Manusia

NHI umumnya memegang kredensial statis seperti API key atau token yang jarang diganti, bukan password yang bisa direset kapan saja oleh pemiliknya sendiri. Satu NHI juga bisa “dimiliki” oleh beberapa sistem atau tim sekaligus, sehingga sering kali sulit dilacak siapa yang sebenarnya bertanggung jawab ketika terjadi masalah.

Aktivitas NHI pun berlangsung di kecepatan mesin, bukan kecepatan manusia, sehingga satu kesalahan konfigurasi kecil bisa berdampak ke ribuan transaksi hanya dalam hitungan detik. Sebagai gambaran, kesalahan izin akses pada satu API key pembayaran bisa memicu ribuan transaksi gagal dalam waktu kurang dari semenit, sesuatu yang mustahil terjadi jika kesalahan yang sama dilakukan manual oleh satu karyawan.

Perbedaan ini penting dipahami karena kerangka keamanan yang selama ini dipakai kebanyakan perusahaan dirancang untuk manusia, bukan mesin. Kebijakan seperti wajib ganti password setiap tiga bulan atau autentikasi dua faktor saat login jarang bisa diterapkan langsung ke NHI, sehingga banyak organisasi akhirnya membiarkan celah ini terbuka begitu saja tanpa kontrol yang setara.

Contoh paling sederhana ada di sekitar Anda sekarang juga. Setiap kali aplikasi CRM perusahaan menarik data dari sistem akuntansi secara otomatis pada tengah malam, di balik proses itu ada satu service account dengan kredensial permanen yang bekerja tanpa perlu ada manusia menekan tombol apa pun, dan jika kredensial itu bocor, dampaknya bisa jauh lebih besar dibanding akun karyawan biasa yang diretas.

Jenis-Jenis Non-Human Identity di Lingkungan Perusahaan

Sebelum bisa mengelola NHI dengan tepat, tim keamanan perlu mengenali dulu bentuk-bentuk konkretnya di lapangan. Setiap jenis memiliki karakteristik risiko yang berbeda, sehingga pendekatan pengamanannya pun tidak bisa disamaratakan begitu saja.

Enam jenis berikut adalah yang paling umum ditemukan di lingkungan perusahaan, mulai dari yang paling sederhana sampai yang paling kompleks perilakunya.

Service Account

Service account adalah akun yang dibuat khusus untuk menjalankan aplikasi atau proses otomatis, bukan untuk dipakai manusia secara langsung. Contohnya, akun yang digunakan sistem backup perusahaan untuk mengakses server database setiap tengah malam tanpa campur tangan admin sama sekali.

API Key dan Token

API key dan token berfungsi sebagai “kunci masuk” yang memungkinkan satu aplikasi berkomunikasi dengan aplikasi lain secara otomatis. Sebuah aplikasi pembayaran, misalnya, memakai API key untuk memverifikasi transaksi ke gateway bank setiap kali ada pembelian, tanpa perlu ada proses login manual.

OAuth App dan Integrasi Pihak Ketiga

OAuth app adalah aplikasi pihak ketiga yang diberi izin mengakses data di platform lain atas nama pengguna, tanpa perlu tahu password aslinya. Contohnya, ketika sebuah aplikasi manajemen proyek diberi izin membaca dan menulis kalender Google milik karyawan, izin itu tetap berjalan terus meskipun karyawan tersebut sudah lupa pernah menyetujuinya bertahun-tahun lalu.

Bot dan RPA (Robotic Process Automation)

Bot dan RPA menjalankan tugas repetitif, seperti input data atau rekonsiliasi laporan, yang biasanya dikerjakan manusia secara manual. Di sebuah perusahaan asuransi, bot RPA bisa memproses ribuan klaim sederhana setiap hari tanpa melibatkan staf klaim sama sekali, sepanjang klaim tersebut masuk kategori standar.

Cloud Workload Identity (Container dan Virtual Machine)

Cloud workload identity melekat pada unit komputasi seperti container, virtual machine, atau fungsi serverless yang umurnya bisa sangat singkat namun terus bermunculan dalam jumlah besar. Dalam satu pipeline CI/CD saja, ratusan container bisa dibuat dan dihapus otomatis setiap hari, masing-masing membawa kredensial sementara untuk mengakses registry image dan penyimpanan cloud.

AI Agent

AI agent adalah jenis NHI paling baru sekaligus paling cepat berkembang, karena mampu mengambil keputusan dan mengeksekusi tindakan secara mandiri, bukan sekadar menjalankan skrip tetap. Gartner memproyeksikan bahwa 40 persen aplikasi enterprise akan dilengkapi agen AI khusus tugas pada akhir 2026, melonjak tajam dari kurang dari 5 persen pada tahun sebelumnya (Gartner, 2026).

Bayangkan sebuah agen AI diberi akses penuh ke sistem HR untuk memproses pengajuan cuti karyawan secara otomatis. Jika tidak diawasi dengan baik, agen tersebut bisa saja menyetujui permintaan di luar kebijakan perusahaan tanpa ada yang menyadarinya sampai laporan bulanan keluar.

Mengapa Non-Human Identity Menjadi Risiko Keamanan yang Sulit Diabaikan

Banyak tim IT masih memperlakukan NHI sebagai urusan teknis semata. Padahal, risikonya sudah bergeser menjadi masalah bisnis yang pantas naik ke meja diskusi manajemen, bukan cuma dibahas sebatas forum developer.

Kredensial yang Jarang Diputar (Rotated)

Banyak organisasi membuat API key sekali, menempelkannya langsung ke dalam kode, lalu membiarkannya begitu saja selama bertahun-tahun tanpa proses penggantian berkala. Laporan State of Secrets Sprawl 2026 dari GitGuardian mencatat 28,65 juta kredensial baru terekspos di repositori publik GitHub sepanjang 2025, naik 34 persen dibanding tahun sebelumnya (GitGuardian, 2026).

Kepemilikan yang Tidak Jelas

Ketika seorang developer resign, service account yang pernah ia buat sering kali tidak ikut “resign” bersamanya. Tidak jarang tim keamanan baru menyadari sebuah akun mesin masih aktif justru setelah insiden terjadi, bukan sebelum insiden itu muncul ke permukaan.

Hak Akses yang Berlebihan

NHI sering diberi izin akses jauh lebih luas daripada yang sebenarnya dibutuhkan, demi kepraktisan saat awal implementasi sistem. Sebuah skrip laporan keuangan yang sebetulnya hanya perlu membaca data penjualan, misalnya, bisa saja diberi akses tulis ke seluruh database karena tim developer enggan mengatur izin secara lebih rinci.

Tidak Terlihat oleh Tools IAM Tradisional

Sebagian besar tools Identity and Access Management dirancang di era ketika mayoritas identitas yang perlu diawasi adalah manusia dengan pola login yang bisa diprediksi. Ketika diterapkan ke NHI, tools semacam ini sering gagal mendeteksi anomali karena pola akses mesin memang dirancang untuk aktif terus-menerus, sehingga aktivitas mencurigakan mudah tenggelam di antara jutaan permintaan akses yang sah.

Risiko Khusus pada AI Agent

AI agent membawa lapisan risiko baru karena tidak hanya mengakses data, tetapi juga bisa mengambil keputusan dan mengeksekusi tindakan atas nama sistem yang ia layani. Sebuah agen AI customer service yang diberi akses ke sistem refund, misalnya, berpotensi menyetujui pengembalian dana di luar kebijakan jika instruksinya dimanipulasi melalui teknik prompt injection, sesuatu yang tidak akan terjadi pada service account biasa yang hanya menjalankan skrip tetap.

Dampak Bisnis Jika Non-Human Identity Dibiarkan Tidak Terkelola

Risiko NHI tidak berhenti di ranah teknis saja. Begitu satu kredensial mesin disalahgunakan, dampaknya bisa merembet cepat ke operasional bisnis, kepatuhan regulasi, hingga kondisi keuangan perusahaan secara langsung.

Tiga area berikut biasanya yang paling terasa dampaknya begitu insiden NHI benar-benar terjadi.

Kebocoran Data

Kredensial mesin yang bocor sering menjadi pintu masuk favorit penyerang, karena aksesnya biasanya luas dan jarang dipantau ketat. Ambil contoh perusahaan e-commerce yang service account gudangnya diretas melalui API key lama yang tidak pernah dicabut, sehingga dalam hitungan jam penyerang bisa mengubah data stok dan alamat pengiriman pelanggan secara massal.

Pelanggaran Kepatuhan (SOC 2, ISO 27001, GDPR)

Standar kepatuhan seperti SOC 2, ISO 27001, dan GDPR kini secara eksplisit menuntut perusahaan menunjukkan kontrol atas seluruh siklus hidup identitas, termasuk identitas mesin, bukan hanya identitas karyawan. Auditor semakin sering menanyakan siapa pemilik sebuah service account, kapan kredensialnya terakhir diputar, dan apakah akses yang diberikan sudah sesuai prinsip least privilege, pertanyaan yang sulit dijawab perusahaan tanpa sistem governance NHI yang rapi.

Kerugian Finansial

Di luar denda regulasi yang bisa mencapai persentase tertentu dari pendapatan tahunan, insiden NHI juga memicu biaya pemulihan sistem, investigasi forensik, dan potensi hilangnya pelanggan yang kehilangan kepercayaan. Untuk perusahaan skala menengah ke atas, biaya-biaya semacam ini bisa jauh melebihi investasi yang sebenarnya dibutuhkan untuk membangun tata kelola NHI yang baik sejak awal.

Cara Mengelola Non-Human Identity secara Efektif

Mengelola NHI membutuhkan pendekatan yang berbeda dari mengelola akun karyawan biasa, karena skala dan kecepatan pergerakannya jauh lebih besar. Berikut empat langkah dasar yang bisa mulai diterapkan perusahaan Anda sejak sekarang, tanpa harus menunggu insiden terjadi lebih dulu.

1. Lakukan Inventarisasi Menyeluruh

Anda tidak bisa mengamankan sesuatu yang keberadaannya saja tidak Anda ketahui. Mulailah dengan memetakan semua service account, API key, dan bot yang aktif di seluruh sistem, lengkap dengan siapa pemiliknya dan kapan terakhir kali dipakai.

2. Terapkan Prinsip Least Privilege

Setiap NHI seharusnya hanya diberi akses yang benar-benar diperlukan untuk menjalankan fungsinya, tidak lebih dari itu. Jika sebuah bot hanya bertugas membaca data stok gudang, jangan berikan izin untuk mengubah atau menghapus data tersebut.

3. Otomatiskan Rotasi dan Penghapusan Kredensial

Kredensial NHI harus diganti secara berkala, dan segera dicabut begitu sistem atau proyek yang menggunakannya sudah tidak aktif lagi. Praktik ini jauh lebih aman dibanding mengandalkan tim IT untuk mengingat secara manual kredensial mana saja yang sudah kedaluwarsa.

4. Pantau dan Audit Aktivitas secara Berkelanjutan

Setiap aktivitas NHI perlu tercatat dalam audit trail yang bisa ditelusuri kapan pun dibutuhkan tim keamanan. Dengan begitu, ketika muncul aktivitas mencurigakan, misalnya login dari lokasi asing pada tengah malam, tim keamanan bisa langsung menyelidikinya tanpa harus menebak-nebak dari mana masalah itu bermula.

Kesimpulan

Non-human identity bukan lagi topik yang bisa ditunda pembahasannya sampai “nanti kalau ada waktu”. Semakin banyak proses bisnis yang bergantung pada otomatisasi dan agen AI, semakin besar pula permukaan serangan yang tidak terlihat oleh tim keamanan tradisional.

Dari skenario karyawan resign di awal artikel ini, sampai proyeksi Gartner soal lonjakan agen AI di aplikasi enterprise, benang merahnya sama. Identitas mesin akan terus bertambah jumlahnya, dan pertanyaannya bukan lagi apakah perusahaan Anda perlu mengelolanya, melainkan seberapa cepat Anda mulai melakukannya.

Perusahaan yang berhasil mengelola NHI dengan baik bukan berarti mereka menghindari otomatisasi. Mereka justru tetap mengadopsi otomatisasi secara luas, tetapi dengan visibilitas dan kontrol yang dibangun sejak awal, sehingga selalu jelas siapa memiliki apa, kapan terakhir digunakan, dan seberapa besar akses yang benar-benar diperlukan.

Di sinilah Adaptist Prime dari Adaptist Consulting dapat membantu perusahaan Anda. Sebagai solusi Identity and Access Management (IAM) dengan Identity Governance and Administration (IGA) yang terintegrasi, Adaptist Prime memberikan visibilitas penuh atas seluruh identitas di perusahaan, baik manusia maupun non-manusia, sekaligus mengotomatiskan penerapan least-privilege access dan audit trail lengkap untuk mendukung kepatuhan terhadap regulasi. Hubungi tim Adaptist Consulting untuk mendiskusikan bagaimana Adaptist Prime dapat membantu perusahaan Anda mengelola non-human identity secara lebih aman dan terkontrol.

FAQ