Keamanan Akun Password dan 2FA: Panduan Praktis untuk Kantor dan Instansi

Keamanan akun password dan 2FA bertumpu pada tiga kebiasaan: memakai password yang panjang dan unik untuk setiap akun, menyimpannya di pengelola kata sandi, lalu menyalakan verifikasi dua langkah (2FA). Dengan tiga lapis ini, password yang bocor saja tidak cukup bagi penyerang untuk masuk ke akun Anda.

Poin penting

• Panjang password lebih penting daripada simbol yang rumit. Frasa sandi empat sampai lima kata acak lebih kuat dan lebih mudah diingat.
• Satu password untuk satu akun. Bila satu layanan bocor, akun lain tetap aman.
• Pengelola kata sandi membuat password unik bisa dipakai tanpa harus dihafal.
• Aktifkan 2FA, utamakan aplikasi autentikator, kunci keamanan, atau passkey dibanding kode SMS.
• Di kantor, hindari akun bersama. Setiap orang punya akun sendiri dengan hak akses sesuai tugas.

Mengapa akun mudah dibobol

Sebagian besar pembobolan akun tidak memakai teknik canggih. Penyerang cukup memanfaatkan kebiasaan buruk yang sangat umum.

• Password dipakai ulang. Daftar email dan password dari situs yang bocor dicoba otomatis ke layanan lain, misalnya email kantor atau aplikasi keuangan.
• Password mudah ditebak. Nama, tanggal lahir, nama instansi ditambah tahun, atau pola keyboard termasuk yang paling cepat ditebak.
• Phishing. Pengguna diarahkan ke halaman login palsu dan mengetik password sendiri. Pelajari cirinya di artikel cara mengenali phishing.
• Kode OTP dibagikan. Penipu menelepon atau mengirim pesan dan meminta kode verifikasi dengan berbagai alasan.

Karena itu, password kuat saja tidak cukup. Perlu lapisan kedua yang tetap melindungi akun saat password sudah diketahui orang lain.

Cara membuat password yang benar-benar kuat

Pedoman identitas digital NIST SP 800-63B revisi 4 (Agustus 2025) dari Amerika Serikat, yang banyak dijadikan acuan, menekankan panjang password dan pengecekan terhadap daftar password yang bocor. Pedoman itu tidak lagi menganjurkan aturan wajib campuran simbol dan penggantian password berkala tanpa alasan.

Pakai frasa sandi

Gabungkan beberapa kata acak yang tidak berhubungan, misalnya empat sampai lima kata, lalu tambahkan pemisah. Hasilnya panjang, sulit ditebak mesin, tetapi masih bisa diingat. Hindari kutipan terkenal, lirik lagu, atau kalimat yang mudah ditemukan di internet.

Hindari pola yang mudah ditebak

• Data pribadi: nama, nama anak, tanggal lahir, nomor kendaraan.
• Nama kantor atau aplikasi ditambah angka tahun.
• Kata umum dengan huruf diganti angka, seperti huruf o menjadi 0. Pola ini sudah dikenal alat peretas.

Ganti bila ada tanda bocor

Ganti password segera bila layanan mengumumkan kebocoran, Anda menerima notifikasi login mencurigakan, atau Anda sempat mengetik password di halaman yang ternyata palsu. Mengganti password setiap bulan tanpa alasan justru sering membuat orang memilih pola yang mudah ditebak.

Pengelola kata sandi: menghafal satu, aman semuanya

Tidak ada orang yang sanggup menghafal puluhan password panjang yang berbeda. Di sinilah pengelola kata sandi (password manager) berperan. Aplikasi ini membuat, menyimpan, dan mengisi password secara otomatis. Anda cukup mengingat satu kata sandi utama yang sangat kuat.

Pengelola kata sandi juga membantu melawan phishing. Fitur isi otomatis hanya muncul di alamat situs yang benar, sehingga bila tidak muncul, itu tanda untuk curiga.

• Pilih penyedia yang tepercaya dan rutin diperbarui. Pengelola bawaan browser atau sistem operasi pun jauh lebih baik daripada tidak memakai sama sekali.
• Lindungi akun pengelola kata sandi dengan 2FA.
• Simpan kode pemulihan di tempat aman yang terpisah, misalnya dicetak dan disimpan di lemari terkunci.
• Untuk tim, gunakan fitur brankas bersama agar kredensial tidak dikirim lewat chat.

Jenis 2FA dan mana yang paling aman

2FA (two-factor authentication) atau MFA (multi-factor authentication) meminta bukti tambahan selain password. Bukti itu bisa berupa sesuatu yang Anda miliki (ponsel, kunci keamanan) atau sesuatu yang melekat pada Anda (sidik jari, wajah). Tidak semua jenis 2FA sama kuatnya.

Aturan emasnya sederhana: kode OTP hanya untuk Anda. Petugas bank, admin aplikasi, atau atasan yang sah tidak akan meminta kode verifikasi Anda.

Kebijakan akun di kantor dan instansi

Keamanan akun di organisasi tidak bisa diserahkan pada kesadaran pribadi saja. Perlu kebijakan tertulis yang sederhana dan dijalankan bersama oleh pimpinan, tim TI, dan pegawai.

Hentikan kebiasaan akun bersama

Akun bersama, misalnya satu akun admin dipakai lima orang, membuat jejak aktivitas tidak jelas dan password menyebar ke banyak pihak. Saat seseorang pindah tugas, akun itu tetap bisa ia akses. Solusinya, buat akun per orang dengan peran dan hak akses sesuai tugas. Bila akun bersama tidak terhindarkan, misalnya akun media sosial kantor, simpan di brankas pengelola kata sandi tim dan ganti password setiap ada anggota yang keluar.

Daftar periksa kebijakan akun

• Wajib 2FA untuk email kantor, panel admin website, aplikasi keuangan, dan sistem kepegawaian.
• Panjang minimal password ditetapkan, dan password baru dicek terhadap daftar password yang umum atau bocor.
• Prinsip hak akses minimum: pegawai hanya membuka menu yang dibutuhkan untuk tugasnya.
• Prosedur saat pegawai masuk, pindah, dan keluar, termasuk penonaktifan akun di hari yang sama.
• Pencatatan login dan aktivitas penting, serta peringatan bila ada login dari lokasi atau perangkat tak biasa.
• Saluran pelaporan yang jelas bila pegawai merasa akunnya disalahgunakan atau terlanjur mengisi halaman palsu.
• Pelatihan singkat berkala, terutama tentang phishing dan penipuan minta kode OTP.

Kebijakan ini juga berkaitan dengan kewajiban menjaga data pribadi warga, pegawai, atau pelanggan. Penjelasan lengkapnya ada di artikel UU PDP untuk sistem informasi.

Prosedur bila akun terlanjur dibobol

1. Segera ganti password dari perangkat yang bersih, lalu ganti juga di akun lain yang memakai password sama.
2. Keluarkan semua sesi aktif dan perangkat yang tidak dikenal dari pengaturan akun.
3. Aktifkan atau atur ulang 2FA, dan periksa apakah email atau nomor pemulihan diubah penyerang.
4. Periksa aturan penerusan email, aplikasi pihak ketiga yang terhubung, dan pesan yang terkirim atas nama Anda.
5. Laporkan ke tim TI atau admin sistem, dan beri tahu kontak yang mungkin menerima pesan palsu.

Langkah berikutnya

Mulailah dari akun yang paling berharga: email utama, akun keuangan, dan panel admin. Pasang pengelola kata sandi, aktifkan 2FA, lalu susun kebijakan akun kantor secara bertahap. Untuk sisi sistemnya, baca juga panduan keamanan website instansi pemerintah.

Bila aplikasi internal Anda belum mendukung 2FA, pembagian hak akses per peran, atau log aktivitas, fitur tersebut bisa dirancang sejak awal saat membangun sistem informasi. Tim Rajonet siap membantu meninjau kebutuhannya lewat konsultasi gratis.