Apa Itu MFA (Multi-Factor Authentication) dan Mengapa Wajib untuk Perusahaan

Virtuenet Prasetia
3 hari yang lalu
7 menit membaca

Satu kata sandi yang bocor saja cukup untuk membuka akses ke email kerja, sistem HR, atau ERP perusahaan Anda, kalau itu satu-satunya lapisan pertahanan yang terpasang. MFA adalah singkatan dari multi-factor authentication, metode verifikasi login yang mewajibkan pengguna membuktikan identitas lewat lebih dari satu faktor berbeda sebelum mendapat akses. Password saja sudah lama tidak memadai, sebab jutaan kredensial bocor beredar dan diperjualbelikan murah di forum peretas. Artikel ini membahas definisi MFA, tiga faktor autentikasi, metode-metode yang umum dipakai beserta kelemahannya, perbedaan MFA dengan 2FA, konsep phishing-resistant MFA, dan cara rollout yang tidak mengganggu produktivitas tim Anda.

Apa Itu MFA (Multi-Factor Authentication)? Definisi Singkat

MFA adalah pendekatan keamanan login yang mewajibkan pengguna membuktikan identitas lewat kombinasi dua atau lebih faktor dari jenis yang berbeda, bukan sekadar mengulang faktor sejenis dua kali. Istilah ini kerap disamakan begitu saja dengan 2FA, padahal ada perbedaan penting yang dibahas di bagian selanjutnya. Lapisan identitas seperti inilah yang paling sering jadi titik masuk insiden siber, seperti dibahas lebih luas di panduan keamanan siber perusahaan.

Prinsipnya sederhana. Jika satu faktor bocor, misalnya password yang dicuri lewat phishing, penyerang tetap butuh faktor kedua yang jauh lebih sulit didapat dari jarak jauh. Microsoft mencatat MFA dapat memblokir lebih dari 99,9% percobaan pengambilalihan akun otomatis, menjadikannya kontrol dengan rasio biaya-manfaat terbaik di seluruh lapisan keamanan siber.

Bagi direksi, keputusan mewajibkan MFA bukan sekadar urusan teknis IT. Satu akun eksekutif yang diambil alih bisa berujung pada pencurian data pelanggan atau transfer dana ilegal, risiko yang dibahas lebih lanjut di keamanan data untuk direksi. Itulah sebabnya MFA makin sering jadi syarat dasar keamanan, bukan fitur tambahan yang opsional.

Tiga Faktor Autentikasi dalam MFA

MFA dibangun di atas tiga kategori faktor yang berbeda. Kombinasi yang benar-benar kuat harus mengambil dari minimal dua kategori berbeda, bukan dua contoh dari kategori yang sama.

Faktor Pengetahuan (Knowledge)

Sesuatu yang hanya diketahui pengguna, seperti password, PIN, atau jawaban keamanan. Faktor ini paling murah diterapkan, tapi juga paling mudah dicuri lewat phishing atau kebocoran data.

Faktor Kepemilikan (Possession)

Sesuatu yang dimiliki secara fisik oleh pengguna, seperti ponsel, hardware token, atau kartu pintar. Faktor ini lebih sulit diduplikasi dari jarak jauh, meski tetap punya celah seperti SIM swap, dibahas di bagian SMS OTP.

Faktor Inheren (Inherence)

Sesuatu yang melekat pada diri pengguna, seperti sidik jari, wajah, atau suara. Faktor ini sulit dicuri lewat internet, tapi konsekuensinya berbeda jika bocor, sebab data biometrik tak bisa "diganti" seperti password.

Metode-Metode MFA yang Umum Dipakai Perusahaan

Faktor kepemilikan dan inheren diwujudkan lewat beberapa metode teknis, masing-masing dengan trade-off berbeda antara kemudahan dan tingkat keamanan.

Authenticator App (TOTP)

Menghasilkan kode numerik yang berubah tiap 30 detik dari kunci rahasia tersimpan di perangkat, seperti Google Authenticator atau Microsoft Authenticator. Metode ini tetap berfungsi tanpa sinyal seluler, tapi pengguna harus mengatur ulang akses saat berganti perangkat, dan kodenya tetap bisa direkam situs phishing yang meniru halaman login asli.

Hardware Security Key

Perangkat fisik USB atau NFC yang dicolokkan atau didekatkan ke perangkat saat login. Kuncinya memakai kriptografi yang terikat ke domain resmi, sehingga tak bisa dipakai di situs palsu sekalipun tampilannya identik. Sifat inilah yang membuat hardware key masuk kategori phishing-resistant, dibahas di bagian berikutnya, meski kelemahannya ada di biaya pengadaan dan risiko perangkat hilang.

Biometrik

Verifikasi lewat sidik jari atau pemindaian wajah lewat sensor bawaan laptop atau ponsel, tanpa perlu mengingat atau membawa apa pun tambahan. Namun tidak semua perangkat kerja punya sensor biometrik, dan data yang bocor tidak bisa diganti semudah password.

SMS OTP

Kode sekali pakai dikirim lewat SMS ke nomor terdaftar, metode paling familiar yang tak butuh aplikasi tambahan sehingga masih banyak dipakai layanan perbankan dan publik di Indonesia. Sayangnya SMS OTP juga metode MFA paling lemah, rentan phishing real-time, celah protokol SS7, dan terutama SIM swap, yaitu pengambilalihan nomor ponsel korban lewat pergantian kartu SIM. Kasus figur publik Ilham Bintang, yang akunnya sempat diambil alih lewat SIM swap saat berada di luar negeri, jadi contoh nyata bagaimana kartu SIM bisa berpindah tangan tanpa sepengetahuan pemiliknya. CISA merekomendasikan SMS/voice OTP hanya sebagai solusi transisi, bukan standar jangka panjang.

Metode	Tingkat Keamanan	Kemudahan Pakai	Kelemahan Utama
Authenticator App	Tinggi	Sedang, perlu instal aplikasi	Perlu setup ulang saat ganti perangkat
Hardware Security Key	Sangat tinggi (phishing-resistant)	Sedang, perlu bawa perangkat fisik	Biaya pengadaan, risiko hilang
Biometrik	Tinggi, tergantung perangkat	Tinggi, tanpa perlu mengingat apa pun	Butuh sensor khusus, sensitif jika bocor
SMS OTP	Rendah-sedang	Tinggi, tanpa aplikasi tambahan	Rentan SIM swap, SS7, dan phishing real-time

MFA vs 2FA: Apa Bedanya?

Dua istilah ini sering dipakai bergantian, padahal cakupannya berbeda. 2FA (two-factor authentication) secara spesifik memakai tepat dua faktor. MFA (multi-factor authentication) istilah yang lebih luas, bisa mencakup dua faktor atau lebih tergantung tingkat risiko sistem yang dilindungi.

Semua 2FA adalah bagian dari MFA, tapi tidak semua MFA berhenti di dua faktor. Sistem dengan data sangat sensitif, misalnya akses admin ERP, kadang menambah faktor ketiga seperti hardware key. Yang lebih penting daripada jumlah faktor adalah keberagaman jenisnya, sebab dua faktor dari kategori berbeda jauh lebih kuat dibanding tiga faktor yang semuanya berbasis pengetahuan.

Apa Itu Phishing-Resistant MFA?

Tidak semua metode MFA punya perlindungan sama terhadap phishing. CISA (Cybersecurity and Infrastructure Security Agency) di Amerika Serikat menyebut phishing-resistant MFA, terutama berbasis standar FIDO2/WebAuthn, sebagai "gold standard" otentikasi karena kredensialnya terikat secara kriptografis ke domain resmi, sehingga tak bisa dipakai ulang di situs palsu sekalipun korban tertipu memasukkannya.

Sebaliknya, kode OTP lewat aplikasi atau SMS, serta notifikasi push tanpa pencocokan angka, tetap bisa ditembus lewat phishing real-time. Pelaku membuat halaman login palsu yang meneruskan kredensial dan kode OTP korban ke sistem asli dalam hitungan detik sebelum kode kedaluwarsa. Notifikasi push polos juga rentan "push bombing", membanjiri korban dengan permintaan approval berulang hingga tanpa sadar menyetujui salah satunya.

Phishing-resistant MFA idealnya diprioritaskan lebih dulu untuk akun berisiko tinggi seperti direksi, tim keuangan, dan admin IT. Pendekatan ini selaras dengan prinsip zero-trust security, yang tak pernah mempercayai satu sinyal verifikasi tanpa lapisan tambahan.

Cara Rollout MFA Tanpa Mengganggu Produktivitas

Kekhawatiran paling umum soal MFA adalah risiko mengganggu alur kerja karyawan, terutama jika login berulang kali dalam sehari. Lima langkah berikut membantu rollout berjalan mulus tanpa memicu penolakan tim.

Mulai dari akun paling berisiko. Prioritaskan email korporat, admin sistem, dan akun keuangan lebih dulu.
Uji coba dengan tim IT lebih dulu. Temukan kendala teknis dan proses pemulihan sebelum rollout massal ke seluruh perusahaan.
Pilih metode sesuai kemampuan perangkat karyawan. Authenticator app cocok untuk sebagian besar tim, hardware key lebih pas untuk akun berisiko tinggi yang jumlahnya terbatas.
Terapkan autentikasi adaptif. Verifikasi tambahan cukup dipicu saat ada sinyal risiko, seperti perangkat baru atau lokasi tidak biasa, sehingga login rutin dari perangkat tepercaya tetap cepat.
Siapkan jalur pemulihan yang jelas. Kode cadangan dan verifikasi ulang lewat help desk mencegah karyawan terkunci total, sekaligus mencegah lonjakan tiket dukungan di awal rollout.

Komunikasikan alasan di balik kebijakan ini secara terbuka, bukan sekadar instruksi teknis tanpa konteks. Karyawan yang memahami risikonya biasanya jauh lebih kooperatif.

Kombinasikan MFA dengan SSO agar Login Tetap Praktis

MFA yang diterapkan sendiri-sendiri di setiap aplikasi justru berisiko menambah friksi, terutama jika karyawan memakai belasan aplikasi berbeda setiap hari. Single sign-on (SSO) menyatukan proses login ke satu titik verifikasi terpusat, sehingga karyawan cukup melewati MFA satu kali untuk mengakses seluruh aplikasi yang terhubung.

Kombinasi ini juga menguntungkan tim IT dari sisi kontrol akses. Begitu ada indikasi akun dikompromikan, tim IT bisa mencabut akses secara terpusat lewat satu sistem SSO, tanpa memeriksa dan mengganti kredensial satu per satu di tiap aplikasi. Bagi perusahaan dengan banyak aplikasi SaaS, kombinasi MFA dan SSO sering jadi fondasi paling praktis sebelum melangkah ke kontrol identitas yang lebih kompleks.

FAQ

Apakah MFA bisa diretas?

Secara teori bisa, tapi jauh lebih sulit dan mahal dibanding membobol akun yang hanya dilindungi password. Metode phishing-resistant seperti hardware key jauh lebih tahan dibanding SMS OTP, sehingga pemilihan metode tetap penting.

Apakah UU PDP mewajibkan MFA secara eksplisit?

UU PDP tidak menyebut MFA secara eksplisit, tapi mewajibkan perusahaan menerapkan langkah keamanan teknis yang memadai untuk melindungi data pribadi. Karena murah dan berdampak besar menurunkan risiko, MFA umumnya dianggap kontrol dasar untuk memenuhi kewajiban itu.

Apakah SMS OTP masih aman dipakai?

SMS OTP lebih baik dibanding tanpa verifikasi tambahan sama sekali, tapi tergolong metode MFA paling lemah karena rentan SIM swap dan phishing real-time. Untuk akun berisiko tinggi, beralihlah ke authenticator app atau hardware key begitu memungkinkan.

Berapa lama proses rollout MFA di perusahaan?

Tergantung jumlah karyawan dan aplikasi yang perlu diintegrasikan, tapi akun paling kritis seperti email dan admin sistem idealnya bisa diaktifkan dalam hitungan hari, bukan bulan. Rollout menyeluruh ke semua aplikasi biasanya butuh waktu lebih panjang, apalagi jika dikombinasikan dengan SSO.

Apa yang terjadi jika karyawan kehilangan perangkat MFA?

Karyawan bisa memakai kode cadangan yang disiapkan saat aktivasi awal, atau menghubungi help desk IT untuk verifikasi identitas manual dan reset akses. Proses pemulihan yang jelas perlu disiapkan sebelum rollout dimulai, bukan setelah insiden kehilangan perangkat terjadi.

Kesimpulan

MFA adalah kontrol keamanan yang mengubah satu kredensial bocor dari bencana penuh menjadi percobaan yang gagal. Tiga faktor autentikasi, yaitu pengetahuan, kepemilikan, dan inheren, memberi banyak pilihan metode sesuai kebutuhan dan anggaran perusahaan, dari authenticator app hingga hardware key yang phishing-resistant. Yang membedakan perusahaan yang benar-benar terlindungi bukan sekadar mengaktifkan MFA, melainkan memilih metode yang tepat untuk setiap tingkat risiko dan merancang rollout yang tidak membebani karyawan.

Kombinasikan MFA dengan SSO agar keamanan dan kenyamanan login berjalan beriringan, bukan saling mengorbankan satu sama lain. Semakin cepat kontrol ini diterapkan di akun-akun paling kritis, semakin kecil peluang satu password bocor berubah menjadi insiden besar bagi perusahaan Anda.

Perkuat Identitas dan Akses dengan Modul SealSuite

Menerapkan MFA secara terpisah dari sistem manajemen identitas lain sering menyulitkan tim IT saat harus memantau atau mencabut akses secara cepat. Modul Identity & Access SealSuite menyatukan MFA, SSO, identity management dan federation, serta manajemen peran statis dan dinamis dalam satu platform berarsitektur zero-trust, sehingga satu kredensial yang bocor tidak otomatis berarti akses penuh ke seluruh sistem perusahaan. Dengan lebih dari 1.000 template integrasi siap pakai, rollout MFA dan SSO ke aplikasi yang sudah dipakai perusahaan Anda dapat berjalan lebih cepat, dan klien enterprise seperti Xiaomi, Tokopedia, serta Klook tercantum di situs SealSuite sebagai penggunanya.

Hubungi tim Virtuenet via WhatsApp atau virtuenet.id/contact untuk konsultasi dan demo gratis.

Referensi

Microsoft Security Blog - https://www.microsoft.com/en-us/security/blog/2019/08/20/one-simple-action-you-can-take-to-prevent-99-9-percent-of-account-attacks/
CISA - Implementing Phishing-Resistant MFA - https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
detikInet (Eksploitasi OTP SMS dan Antisipasinya) - https://inet.detik.com/security/d-7263545/eksploitasi-otp-sms-dan-antisipasinya
SealSuite (situs resmi produk) - https://www.sealsuite.com/