Tinjauan akses pengguna yang memuaskan setiap auditor
Tinjauan akses adalah salah satu kontrol yang paling sering gagal dalam audit, jarang karena tidak ada yang melakukannya dan biasanya karena tidak ada yang dapat membuktikan bahwa tinjauan tersebut dilakukan dengan benar.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Sedikit kontrol yang bersifat universal sekaligus sering gagal seperti tinjauan akses pengguna. Setiap kerangka kerja mengharapkan seseorang memeriksa secara berkala bahwa setiap orang masih membutuhkan akses yang dimilikinya. Sebagian besar organisasi melakukan tinjauan tersebut. Jauh lebih sedikit yang dapat menunjukkan kepada auditor bahwa tinjauan itu lengkap, independen, dan ditindaklanjuti.
Yang disyaratkan kerangka kerja
| Kerangka kerja | Kontrol Akses | Tautan |
|---|---|---|
| NIST CSF 2.0 | PR.AA-01PR.AA-05 | Definisi topik |
| ISO 27001 | A.5.15A.5.16A.5.18A.8.3 | Crosswalk |
| CIS v8.1 | CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5 | Crosswalk |
| SOC 2 | CC6.1CC6.2CC6.3 | Editorial |
| PCI DSS | 7.2.17.2.27.2.48.2.1 | Crosswalk |
| CMMC | AC.L2-3.1.1AC.L2-3.1.2 | Crosswalk |
| 800-53 | AC-2AC-3 | Crosswalk |
| HIPAA | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d) | Crosswalk |
| GDPR | Art.25(2)Art.32(1)(b) | Editorial |
| NIS2 | 11.111.211.5 | Crosswalk |
| Essential Eight | — | Tidak ada pemetaan dalam data kami |
Detail lengkap dan alasan untuk setiap tautan: Kontrol Akses di seluruh kerangka kerja →
PCI DSS adalah satu-satunya yang memiliki frekuensi tetap: semua akun pengguna dan hak istimewa ditinjau minimal setiap enam bulan (7.2.4), dan akun aplikasi serta sistem juga (7.2.5.1). Auditor SOC 2 menguji bahwa akses diotorisasi, diubah, dan dihapus secara tepat (CC6.2, CC6.3), dan mencari tinjauan berkala sebagai bukti. ISO 27001 mensyaratkan hak akses ditinjau pada interval yang teratur (A.5.18). HIPAA mensyaratkan manajemen akses informasi dan peninjauan aktivitas (§164.308(a)(4)). CMMC mengharapkan akses dibatasi bagi pengguna dan fungsi yang berwenang (AC.L2-3.1.1, 3.1.2) serta prinsip hak akses minimum (least privilege).
Tinjauan yang lolos
- Populasi lengkap. Ambil daftar pengguna langsung dari sistem (berupa ekspor, bukan spreadsheet yang dipelihara seseorang), termasuk akun layanan dan akun bersama.
- Peninjau yang tepat. Pemilik sistem atau data, atau manajer masing-masing pengguna, bukan administrator yang memberikan akses tersebut.
- Konteks yang memadai. Tunjukkan kepada peninjau peran dan tingkat akses setiap pengguna, agar "setujui" menjadi keputusan yang terinformasi.
- Satu keputusan per akun. Pertahankan, ubah, atau hapus, beserta nama dan tanggal peninjau.
- Perubahan benar-benar dilakukan. Buat tiket untuk penghapusan dan simpan bukti bahwa tiket tersebut diselesaikan.
- Bukti disimpan. Ekspor, keputusan, tiket, dan persetujuan, disimpan bersama-sama.
Frekuensi
Gunakan enam bulan dari PCI DSS sebagai dasar untuk semua sistem dalam lingkup, dan tinjau akses istimewa setiap kuartal. Jika Anda memiliki SOC 2 Type II, pastikan setidaknya satu tinjauan (idealnya dua) jatuh di setiap periode observasi.
Yang ditemukan auditor
- Persetujuan tanpa tinjauan: setiap akun disetujui dalam hitungan menit oleh seseorang yang tidak mungkin mengetahui kondisinya.
- Populasi tidak lengkap: tinjauan mencakup aplikasi tetapi bukan basis data, atau akun manusia tetapi bukan akun layanan.
- Tinjauan mandiri: administrator menyetujui aksesnya sendiri.
- Penghapusan tidak diselesaikan: tinjauan memutuskan untuk dihapus; akunnya masih ada berbulan-bulan kemudian.
- Karyawan yang keluar terdeteksi oleh tinjauan: tanda bahwa proses offboarding Anda gagal, yang akan diuji auditor secara terpisah.
Poin utama
- Tinjauan gagal dalam audit karena bukti, bukan karena usaha: populasi tidak lengkap, tinjauan mandiri, dan penghapusan yang tidak pernah diselesaikan.
- Gunakan ekspor sistem, peninjau yang tepat, satu keputusan per akun, dan bukti perubahan.
- Tinjauan enam-bulanan (aturan PCI DSS) dan tinjauan kuartalan untuk akses istimewa memenuhi setiap kerangka kerja.
- Batasi lingkup pada sistem yang penting, dan otomatiskan mekanismenya.
Membuat prosesnya berkelanjutan
Otomatiskan ekspor dan pengingat, tinjau per sistem, bukan per pengguna, dan batasi lingkup pada sistem yang penting: produksi, data pelanggan, alat istimewa, dan apa pun dalam lingkup kerangka kerja. Tinjauan yang lebih kecil namun terdokumentasi dengan baik lebih baik daripada tinjauan yang luas tetapi selalu terlambat.
Lihat halaman topik Kontrol Akses dan Akses Istimewa untuk setiap persyaratan beserta sumbernya, dan tulisan kami tentang penggunaan ulang bukti lintas SOC 2, ISO 27001, dan PCI DSS.
Pertanyaan
Seberapa sering akses pengguna harus ditinjau?
PCI DSS mensyaratkan akun pengguna dan hak akses ditinjau minimal setiap enam bulan (7.2.4). Sebagian besar kerangka kerja lain mensyaratkan tinjauan berkala dengan frekuensi yang Anda tentukan; setiap kuartal untuk akses istimewa dan setiap enam bulan untuk yang lain adalah dasar yang umum.
Siapa yang harus melakukan tinjauan akses?
Pemilik sistem atau data, atau manajer pengguna, bukan administrator yang memberikan akses tersebut. Auditor mencari independensi dan peninjau yang terinformasi.
Apakah akun layanan perlu ditinjau aksesnya?
Ya. Auditor semakin sering memasukkan akun layanan, akun bersama, dan akun API ke dalam populasi tinjauan; PCI DSS secara eksplisit mensyaratkan tinjauan berkala terhadap akun aplikasi dan sistem (7.2.5.1).
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-13Persyaratan MFA dibandingkan di 11 kerangka kerja keamananKerangka kerja mana yang mewajibkan MFA, untuk siapa, dan seberapa ketat: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, dan HIPAA dibandingkan berdampingan.
Analisis · 2026-09-29Aturan Keamanan HIPAA melalui kacamata NIST CSF 2.0Program NIST CSF 2.0 memetakan hampir setiap persyaratan Aturan Keamanan HIPAA. Apa yang tetap berlaku, dua yang tidak, dan apa yang ditambahkan CSF di luar HIPAA.