Perbedaan IAM dan IGA: 7 Poin Perbandingan beserta Contohnya

Seorang staf keuangan dipindahkan ke divisi pemasaran, tetapi akses ke sistem pembayaran miliknya tetap aktif berbulan-bulan. Tidak ada yang menyadarinya sampai auditor datang dan menanyakan alasannya.

Masalah seperti ini makin sering muncul karena penyerang kini lebih suka mencuri identitas daripada mencari celah perangkat lunak. Laporan Sophos Active Adversary Report 2026 mencatat bahwa 67% insiden yang ditangani tim respons insiden dan MDR mereka pada tahun lalu berakar pada serangan terkait identitas.

Karena itu, banyak organisasi mulai membenahi cara mereka mengelola identitas pengguna, dan dua istilah yang selalu muncul adalah IAM dan IGA. Keduanya sering dianggap sama, padahal perbedaan IAM dan IGA cukup mendasar, dan artikel ini membahasnya satu per satu.

Apa Itu IAM (Identity and Access Management)?

Sebelum membandingkan keduanya, Anda perlu tahu dulu tugas masing-masing. Pembahasan dimulai dari IAM, istilah yang lebih lama dikenal tim IT.

IAM adalah singkatan dari Identity and Access Management, atau manajemen identitas dan akses. Ini sekumpulan kebijakan, proses, dan teknologi yang memastikan hanya pengguna sah yang bisa masuk ke aplikasi, sistem, dan data perusahaan.

Pengguna di sini bisa karyawan, mitra, pelanggan, atau aplikasi lain yang saling terhubung. Semuanya perlu dikenali identitasnya sebelum diizinkan melakukan apa pun.

Inti kerja IAM ada pada dua pertanyaan: siapa yang sedang mencoba masuk, dan apa yang boleh ia buka setelah berhasil masuk. Pertanyaan pertama dijawab lewat autentikasi, sedangkan pertanyaan kedua dijawab lewat otorisasi.

Autentikasi adalah proses membuktikan identitas, misalnya dengan kata sandi, kode OTP, atau sidik jari. Otorisasi adalah penentuan hak akses setelah identitas terbukti, misalnya staf HR boleh membuka data gaji sedangkan staf gudang tidak.

Dua fitur yang paling sering ditemui adalah single sign-on (SSO) dan multi-factor authentication (MFA). SSO membuat karyawan cukup login sekali untuk membuka banyak aplikasi, sementara MFA meminta bukti tambahan seperti kode dari ponsel.

Contoh sehari-harinya sederhana. Ketika Anda membuka email kantor lalu diminta memasukkan kode dari aplikasi autentikator, itulah IAM yang sedang bekerja.

Tanpa IAM, setiap aplikasi menyimpan akun dan kata sandinya sendiri. Akibatnya karyawan memakai kata sandi yang sama di banyak tempat, dan satu kebocoran bisa membuka semuanya.

Apa Itu IGA (Identity Governance and Administration)?

Jika IAM mengatur pintu masuk, siapa yang memastikan daftar pemegang kuncinya masih benar? Di sinilah IGA berperan.

IGA adalah singkatan dari Identity Governance and Administration, atau tata kelola dan administrasi identitas. Ini lapisan pengawasan yang memeriksa apakah hak akses yang sudah diberikan masih tepat, siapa yang menyetujuinya, dan apakah semuanya bisa dibuktikan saat audit.

Kalau IAM mengurus proses masuk, IGA mengurus kelayakan akses itu sendiri. Seseorang bisa lolos autentikasi dengan sempurna, tetapi tetap memegang akses yang seharusnya sudah dicabut.

Elemen kunci IGA ada lima. Masing-masing menjawab masalah yang berbeda:

• Pengajuan dan persetujuan akses. Karyawan meminta akses lewat alur resmi, lalu atasan menyetujuinya. Contohnya, analis baru mengajukan akses ke dasbor penjualan dan atasannya menyetujui dalam satu hari.
• Tinjauan akses berkala. Manajer memeriksa ulang daftar akses anggota timnya secara rutin. Contohnya, setiap kuartal kepala divisi menerima daftar akses timnya dan mencoret yang sudah tidak relevan.
• Pengelolaan peran. Akses dikelompokkan berdasarkan jabatan agar pemberiannya konsisten. Contohnya, peran kasir otomatis mendapat akses kasir tanpa akses ke laporan keuangan.
• Pengelolaan siklus hidup identitas. Akses ikut berubah saat karyawan masuk, pindah, atau keluar. Contohnya, akun staf yang resign dinonaktifkan pada hari terakhir ia bekerja.
• Audit dan pelaporan. Sistem mencatat siapa memegang akses apa dan siapa yang menyetujuinya. Contohnya, auditor meminta bukti akses pengguna sistem pembayaran, dan laporannya tersedia dalam hitungan menit.

Standar seperti ISO 27001, GDPR, SOX, dan PCI DSS menuntut organisasi menunjukkan bahwa akses dikendalikan dengan benar. IGA menghasilkan bukti yang dicari auditor itu.

Masalah yang paling sering ditangani IGA adalah akses yang menumpuk. Karyawan yang berpindah tiga divisi dalam lima tahun bisa memegang akses dari ketiganya, padahal pekerjaannya sekarang hanya butuh satu.

Istilah teknisnya privilege creep, dan masalah ini nyaris tak terlihat tanpa tinjauan akses berkala. Semakin lama karyawan bekerja di perusahaan, semakin besar kemungkinan akunnya menyimpan hak akses yang sudah tidak diperlukan.

Bayangkan gedung perkantoran. IAM adalah petugas di lobi yang memeriksa kartu akses, sedangkan IGA adalah tim yang memastikan kartu hanya dipegang orang berhak dan menarik kartu milik mantan karyawan.

Perbedaan IAM dan IGA

Kedua sistem sama-sama menjaga akses, sehingga wajar jika sering tertukar. Tujuh perbedaan berikut menunjukkan titik pembedanya, lengkap dengan contoh singkat.

1. Tujuan Utama

IAM bertujuan membuat akses aman sekaligus nyaman bagi pengguna yang sah. IGA bertujuan memastikan akses yang dipegang pengguna sesuai dengan kebijakan dan perannya.

Contohnya, IAM membuat karyawan baru bisa login ke semua aplikasi dengan satu akun. IGA lalu memeriksa apakah karyawan itu memang perlu akses ke aplikasi penggajian.

2. Pertanyaan yang Dijawab

IAM bertanya: siapa Anda, dan apakah Anda boleh masuk? IGA bertanya: apakah akses yang Anda pegang memang pantas untuk jabatan Anda?

Misalnya, seorang admin gudang berhasil login dengan MFA, jadi IAM sudah puas. IGA tetap mempertanyakan mengapa akun yang sama bisa menyetujui pembayaran vendor.

3. Waktu Kerja: Saat Masuk atau Sepanjang Masa Akun

IAM bekerja pada momen akses, yaitu setiap kali pengguna mencoba login atau membuka sumber daya. IGA bekerja sepanjang usia akun, dari karyawan bergabung, pindah divisi, sampai keluar.

Karyawan yang pindah dari tim sales ke HR tetap bisa login seperti biasa. Hanya IGA yang menandai bahwa akses ke data calon pelanggan sudah tidak relevan lagi.

4. Cakupan Fitur

IAM berisi autentikasi, MFA, SSO, dan login tanpa kata sandi (passwordless). IGA berisi alur persetujuan, tinjauan akses, pengelolaan peran, pengelolaan siklus hidup, dan pelaporan audit.

Fitur login dengan sidik jari ada di sisi IAM. Fitur mengirim daftar akses ke manajer untuk ditinjau ada di sisi IGA.

5. Pihak yang Terlibat

IAM biasanya dikelola tim IT dan keamanan karena sifatnya teknis. IGA melibatkan lebih banyak pihak, yaitu manajer, pemilik data, HR, dan tim kepatuhan.

Dalam tinjauan akses, manajer penjualan yang memutuskan apakah anggota timnya masih perlu membuka CRM. Tim IT hanya menjalankan keputusan itu.

6. Kebutuhan Kepatuhan dan Audit

IAM mengurangi peluang orang tidak berhak masuk, tetapi tidak otomatis menghasilkan bukti untuk auditor. IGA mencatat siapa yang meminta, menyetujui, dan memegang setiap akses.

Misalnya, auditor bertanya mengapa 12 karyawan bisa melihat data pelanggan. Tanpa IGA, tim IT harus mengumpulkan jawabannya secara manual dari banyak sistem selama berhari-hari.

7. Ukuran Keberhasilan

Keberhasilan IAM diukur dari kelancaran dan keamanan login, seperti jumlah login gagal, persentase pengguna yang memakai MFA, dan lama pemulihan akun yang terkunci. Keberhasilan IGA diukur dari kerapian hak akses, seperti persentase tinjauan akses yang selesai tepat waktu dan jumlah akun dengan akses berlebih.

Jika 95% pengguna sudah memakai MFA, IAM terlihat sehat. Jika pada saat yang sama masih ada 200 akun dengan akses berlebih, masalahnya ada di sisi IGA.

Bagaimana IAM dan IGA Bekerja Bersama

Meski berbeda tugas, IAM dan IGA tidak berjalan sendiri-sendiri. Tiga skenario berikut menunjukkan bagaimana keduanya saling mengisi dalam satu alur.

Secara sederhana, IGA memutuskan siapa yang berhak memegang akses, lalu IAM menegakkan keputusan itu setiap kali pengguna masuk. Catatan IAM tentang siapa mengakses apa kembali ke IGA sebagai bahan tinjauan dan audit.

Skenario 1: Karyawan Baru Bergabung

Saat HR memasukkan data karyawan baru, IGA membuat permintaan akses sesuai perannya dan meminta persetujuan atasan. Setelah disetujui, IAM membuatkan akun, menyiapkan MFA, dan membuka SSO ke aplikasi yang relevan.

Contohnya, staf akuntansi baru mendapat email, aplikasi jurnal, dan dasbor pajak pada hari pertama. Ia tidak otomatis mendapat akses ke data penggajian.

Skenario 2: Karyawan Pindah Divisi

Perubahan jabatan di sistem HR memicu IGA menghitung ulang akses yang pantas. Akses lama dicabut, akses baru diajukan, lalu IAM menjalankan perubahannya di semua aplikasi.

Contohnya, staf logistik yang dipromosikan menjadi staf pengadaan kehilangan akses ke gudang dan mendapat akses ke sistem vendor. Tanpa alur ini, kedua set akses itu menumpuk di satu akun.

Skenario 3: Karyawan Keluar atau Ada Aktivitas Janggal

Saat kontrak berakhir, IGA menandai akun untuk dinonaktifkan dan IAM menutup sesi login yang masih aktif. Jika IAM mencatat login mencurigakan, tim keamanan bisa meminta IGA menunjukkan siapa pemilik akses itu dan siapa yang menyetujuinya.

Contohnya, akun mantan karyawan mencoba login tengah malam dari luar negeri. IAM menolak login itu, sedangkan IGA memastikan akun tersebut memang seharusnya sudah tidak ada.

Kapan Perusahaan Butuh IGA, Bukan Hanya IAM?

IAM biasanya terpasang lebih dulu, sehingga IGA terasa seperti tambahan yang bisa ditunda. Lima tanda berikut menunjukkan bahwa penundaan itu mulai berisiko.

• Pembuatan dan pencabutan akun masih manual. Admin IT memproses permintaan dari email atau chat satu per satu. Contohnya, akun karyawan yang resign baru dinonaktifkan dua minggu setelah hari terakhirnya.
• Tidak ada yang tahu persis siapa memegang akses apa. Jawabannya tersebar di spreadsheet dan tiket lama. Contohnya, tim keamanan butuh tiga hari untuk mendata siapa saja yang bisa membuka data pelanggan.
• Auditor mulai meminta bukti akses. Yang dicari adalah jejak persetujuan dan hasil tinjauan, bukan sekadar daftar pengguna. Contohnya, audit ISO 27001 menanyakan kapan terakhir hak akses karyawan ditinjau.
• Perpindahan orang tinggi. Rotasi, kontrak jangka pendek, dan pekerja pihak ketiga membuat akses cepat usang. Contohnya, perusahaan dengan ratusan vendor harus memastikan akun vendor mati saat proyek selesai.
• Ada pemisahan tugas yang harus dijaga. Satu orang tidak boleh memegang akses yang saling bertabrakan. Contohnya, staf yang bisa mendaftarkan vendor baru sekaligus menyetujui pembayarannya membuka peluang kecurangan.

Jika dua atau tiga tanda di atas sudah terasa, IGA layak masuk rencana tahun ini. Mulailah dari proses yang paling sering bermasalah, misalnya pencabutan akses karyawan keluar, lalu perluas secara bertahap.

Kesimpulan

IAM memastikan orang yang tepat bisa masuk dengan aman, sedangkan IGA memastikan akses yang dipegang orang itu tetap pantas dari waktu ke waktu. Perbedaan IAM dan IGA terletak pada tujuan, waktu kerja, pihak yang terlibat, dan jenis bukti yang dihasilkan.

Langkah praktisnya, mulailah dari IAM yang kuat. Tambahkan IGA saat jumlah pengguna, perpindahan peran, atau tuntutan audit mulai sulit ditangani secara manual.

FAQ