Orphaned account bisa menjadi jalan masuk bagi peretas dan mantan karyawan ke sistem perusahaan. Setiap kali karyawan keluar atau proyek berakhir, peluang munculnya akun seperti ini bertambah.
Pada Februari 2024, lembaga keamanan siber dari lima negara melaporkan bahwa peretas Dinas Intelijen Luar Negeri Rusia (SVR) menyasar akun mantan karyawan yang masih tersisa di sistem korban. Laporan itu juga menyarankan agar akun yang tidak lagi diperlukan dinonaktifkan dan akun tidak aktif ditinjau secara berkala.
Artikel ini membahas pengertian orphaned account dan perbedaannya dengan dormant account, lalu jenis, penyebab, risiko, dan cara mendeteksinya.
Apa Itu Orphaned Account?
Orphaned account, juga disebut orphan account, adalah akun pengguna yang masih aktif di sebuah sistem, tetapi tidak lagi memiliki pemilik yang sah. Pemilik yang sah adalah orang atau tim penanggung jawab akun itu, misalnya karyawan pemakai akun atau manajer yang menyetujui aksesnya.
Akun yang dipakai aplikasi atau vendor juga perlu punya pemilik di dalam perusahaan, sama seperti akun karyawan.
Perbedaan Orphaned Account dengan Dormant Account
Orphaned account dinilai dari ada tidaknya pemilik yang sah, sedangkan dormant account dinilai dari lamanya akun tidak dipakai. Dormant account adalah akun yang lama tidak digunakan untuk masuk, baik pemiliknya masih ada maupun sudah tidak ada.
| Kepemilikan akun | Dipakai secara rutin | Lama tidak dipakai |
|---|---|---|
| Ada pemilik yang sah | Akun normal | Dormant account saja, misalnya akun karyawan yang sedang cuti panjang |
| Tidak ada pemilik yang sah | Orphaned account saja, misalnya akun yang dipakai aplikasi untuk saling terhubung, tetapi pembuatnya sudah keluar dan tidak ada penggantinya | Orphaned sekaligus dormant, misalnya akun mantan karyawan yang tidak pernah dipakai lagi |
Kepemilikan menentukan status orphaned, bukan seberapa sering akun dipakai. Karena itu, data login terakhir saja tidak cukup untuk menemukan orphaned account, sebab akun yang aktif setiap hari pun bisa tidak punya pemilik.
Baca juga: Ancaman Akun Zombie di IAM dan Cara Mengatasinya
Jenis Orphaned Account dan Contohnya
Orphaned account terbagi menjadi lima jenis berdasarkan asalnya, yaitu akun mantan karyawan, akun pihak ketiga, akun layanan, akun lokal di aplikasi non-SSO, dan akun warisan proyek lama. Aplikasi non-SSO adalah aplikasi yang tidak terhubung ke login terpusat (single sign-on, SSO), sehingga punya daftar pengguna sendiri.
| Jenis | Contoh | Mengapa sering terlewat |
|---|---|---|
| Akun mantan karyawan | Akun email, akses jarak jauh, dan aplikasi milik karyawan yang sudah mengundurkan diri atau pensiun | Kabar pemutusan hubungan kerja dari HR tidak sampai ke semua tim pengelola aplikasi |
| Akun pihak ketiga | Akun vendor, kontraktor, atau peserta magang yang kontraknya sudah berakhir | Akun dibuat tanpa tanggal berakhir dan tidak tercatat di data karyawan |
| Akun layanan (service account) | Akun yang dipakai aplikasi, skrip, atau integrasi untuk saling terhubung | Tidak dimiliki orang tertentu, dan pembuatnya sudah pindah tugas atau keluar |
| Akun lokal di aplikasi non-SSO | Akun di aplikasi SaaS (perangkat lunak berlangganan) atau sistem lama yang punya daftar pengguna sendiri | Proses offboarding (prosedur karyawan keluar) hanya menjangkau sistem utama seperti email dan direktori pengguna |
| Akun warisan proyek lama | Akun uji coba, akun hasil migrasi, atau akun dari perusahaan yang diakuisisi | Tidak ada yang merasa bertanggung jawab setelah proyeknya selesai |
Akun mantan karyawan paling mudah dilacak karena bisa dicocokkan dengan data HR. Akun layanan, akun pihak ketiga, dan akun warisan lebih sulit dilacak karena tidak ada di data karyawan, sehingga daftar karyawan saja belum cukup.
Penyebab Orphaned Account Muncul di Perusahaan
Orphaned account muncul ketika perubahan status seseorang atau proyek tidak diikuti perubahan akunnya di semua sistem. Tiga kondisi berikut memicunya.
1. Offboarding Manual dan Terlambat
Jika offboarding masih manual, HR memberi tahu tim IT lewat email atau tiket. Tim IT lalu sering hanya menonaktifkan akun email dan direktori pengguna, yaitu basis data pusat yang menyimpan akun karyawan.
Tanpa daftar yang memastikan semuanya sudah dicabut, akun di aplikasi lain tertinggal. Keterlambatan kabar dari HR memperpanjang waktu akun tetap aktif, sebab tim IT baru bertindak setelah menerima kabar itu.
2. Aplikasi dan Akun yang Tersebar
Departemen sering berlangganan aplikasi SaaS sendiri, dan setiap aplikasi menyimpan daftar penggunanya secara terpisah. Saat karyawan keluar, akun di aplikasi yang belum terhubung ke login terpusat tidak ikut dinonaktifkan secara otomatis.
Semakin sering departemen berlangganan aplikasi tanpa sepengetahuan tim IT, semakin sulit memastikan akun karyawan yang keluar sudah dicabut di semuanya.
3. Tidak Ada Pemilik dan Tanggal Berakhir
Akun layanan dan akun pihak ketiga sering dibuat cepat untuk kebutuhan proyek, tanpa mencatat penanggung jawab atau tanggal berakhirnya. Ketika pembuatnya pindah tugas atau proyeknya selesai, akun itu tetap aktif tanpa ada yang mengurusnya.
Merger dan migrasi sistem menambah masalah ini, karena daftar pengguna lama sering digabungkan tanpa dibersihkan lebih dulu.
Risiko Orphaned Account bagi Keamanan dan Bisnis
Orphaned account berisiko karena bisa dipakai tanpa ada pemilik yang menyadari aktivitas janggal. Dampaknya mencakup pembobolan sistem, akses berlebih, temuan audit, dan biaya lisensi yang terbuang.
Celah Masuk bagi Peretas dan Mantan Karyawan
Pada April 2021, peretas masuk ke jaringan Colonial Pipeline, perusahaan pipa bahan bakar di Amerika Serikat, lewat akun akses jarak jauh (VPN) yang sudah tidak dipakai tetapi masih aktif. Menurut Charles Carmakal dari perusahaan keamanan siber Mandiant, akun itu tidak memakai autentikasi multifaktor (MFA, verifikasi selain kata sandi), jadi satu kata sandi yang bocor sudah cukup untuk masuk.
Akun tanpa pemilik berada dalam posisi yang sama, yaitu masih aktif dan tidak dipantau siapa pun. Mantan karyawan yang masih menyimpan kata sandi lama bisa memanfaatkannya untuk mengunduh daftar pelanggan atau menghapus data.
Akses Berlebih dan Kebijakan Keamanan yang Tertinggal
Hak akses terakhir pengguna tetap melekat pada akun tanpa pemilik, termasuk akses administrator bagi mantan pengelola sistem. Akses itu bisa menumpuk akibat privilege creep, yaitu akses lama yang terbawa ketika karyawan berganti peran.
Akun yang dibuat bertahun-tahun lalu juga bisa luput dari kebijakan baru, seperti kewajiban MFA. Setelah masuk lewat akun seperti ini, peretas dapat berpindah ke sistem lain dan menaikkan hak aksesnya selama tidak ada yang memantau akun itu.
Temuan Audit dan Risiko Hukum
Dalam audit akses, auditor menanyakan siapa pemilik sebuah akun dan mengapa aksesnya masih diperlukan. Akun tanpa pemilik tidak punya jawaban atas pertanyaan itu, sehingga sulit dipertanggungjawabkan.
Jika akun itu dapat mengakses data pribadi, perusahaan berisiko melanggar Pasal 39 ayat (1) UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Pasal itu mewajibkan pengendali data pribadi, yaitu pihak yang menentukan tujuan dan mengendalikan pemrosesan data, mencegah data diakses secara tidak sah.
Pelanggaran pasal itu dapat dikenai sanksi administratif, termasuk denda paling tinggi 2 persen dari pendapatan tahunan terhadap variabel pelanggaran (Pasal 57 UU PDP).
Biaya Lisensi yang Terbuang
Aplikasi SaaS dengan tagihan per pengguna umumnya tetap menghitung akun yang masih aktif, meskipun tidak dipakai siapa pun. Akun sisa menambah tagihan langganan tanpa memberi manfaat apa pun.
Cara Mendeteksi Orphaned Account
Anda mendeteksi orphaned account dengan mencocokkan daftar akun di setiap sistem terhadap data pihak yang berhak memilikinya, yaitu karyawan aktif, kontraktor aktif, dan penanggung jawab akun layanan. Akun tanpa padanan menjadi kandidat untuk diperiksa lebih lanjut.
Lima langkah berikut bisa dijalankan tanpa alat khusus pada tahap awal:
- Ekspor daftar karyawan dan kontraktor aktif dari sistem HR, lengkap dengan tanggal berakhir kontrak.
- Ekspor daftar akun dari direktori pengguna, email, VPN, serta aplikasi yang menyimpan data pelanggan atau keuangan.
- Cocokkan kedua daftar, lalu tandai akun yang tidak punya pemilik di data HR sebagai kandidat.
- Tambahkan data login terakhir untuk membedakan akun yang sudah lama tidak dipakai dari akun yang masih dipakai tetapi tanpa pemilik, misalnya akun layanan.
- Minta manajer atau pemilik aplikasi memverifikasi setiap kandidat, lalu catat keputusannya (dipertahankan, dinonaktifkan, atau diberi pemilik baru).
Prioritaskan akun dengan hak administrator dan aplikasi yang menyimpan data pelanggan atau keuangan, karena penyalahgunaan di sana paling merugikan.
Bila jumlah aplikasinya terlalu besar untuk dicocokkan manual, gunakan platform identity and access management (IAM). Platform ini mengelola identitas dan hak akses pengguna, termasuk membandingkan data HR dengan akun di setiap aplikasi.
Baca juga: Apa Itu User Access Review? Pengertian dan Mengapa Penting
Kesimpulan
Orphaned account adalah akun aktif tanpa pemilik yang sah, dan akun seperti ini berisiko karena bisa dipakai masuk tanpa terdeteksi. Penyebab utamanya adalah offboarding manual, aplikasi yang tersebar, dan akun yang dibuat tanpa penanggung jawab.
Langkah yang bisa Anda mulai minggu ini adalah mencocokkan daftar karyawan dan kontraktor aktif dengan akun di email, VPN, dan aplikasi yang paling sensitif. Hasilnya menunjukkan akun mana yang perlu diberi pemilik baru atau dinonaktifkan.
Siap Mengelola Identitas Digital sebagai Strategi Keamanan Bisnis?
Request demo sekarang dan pelajari bagaimana solusi IAM membantu memusatkan proses login pengguna melalui Single Sign-On (SSO), mengotomatisasi onboarding karyawan, serta melindungi data perusahaan dari akses tidak sah tanpa mengganggu produktivitas akibat login berulang.
FAQ
HR memberi tahu perubahan status karyawan tepat waktu, tim IT mencabut aksesnya, dan pemilik aplikasi memverifikasi daftar penggunanya. Akun layanan menjadi tanggung jawab pemilik sistem yang memakainya.
Idealnya pada hari kerja terakhir, atau saat itu juga jika karyawan diberhentikan mendadak atau memegang akses administrator. Tetapkan batas waktunya dalam kebijakan offboarding agar bisa diaudit.
Frekuensinya mengikuti tingkat risiko. Sistem yang menyimpan data pelanggan, data keuangan, atau akses administrator perlu ditinjau lebih sering, misalnya setiap kuartal, daripada aplikasi berisiko rendah.
Mulailah dari daftar periksa offboarding yang wajib ditandatangani HR, tim IT, dan atasan, ditambah daftar semua aplikasi beserta penanggung jawabnya. Tinjau daftar itu secara berkala dan nonaktifkan akun yang tidak punya pemilik.
