Sudah Pakai MFA di Microsoft 365, Apakah Akun Benar-benar Aman?

Password masih bisa menjadi sasaran phishing karena dapat digunakan berulang pada beberapa layanan saat jatuh ke tangan orang lain. Di sinilah MFA Microsoft 365 memberikan lapisan perlindungan tambahan karena proses login membutuhkan lebih dari satu bentuk verifikasi. Dilansir support.microsoft.com, MFA dapat meminta kombinasi sesuatu yang diketahui pengguna, seperti password atau security key. Verifikasi juga dapat memanfaatkan faktor biometrik, seperti sidik jari dan pengenalan wajah. Pilihan yang tersedia bergantung pada kebijakan keamanan organisasi.

Microsoft 365 mendukung sejumlah metode verifikasi, termasuk Microsoft Authenticator, passkey, Windows Hello for business, SMS, panggilan suara, hingga token perangkat keras atau perangkat lunak. Setelah dikonfigurasi, Microsoft Entra ID juga dapat meminta autentikasi tambahan dalam kondisi tertentu. Misalnya, ketika kamu masuk melalui perangkat baru atau berada di luar jaringan perusahaan. Namun, MFA bukan jaminan bahwa seluruh akses terhadap data akun otomatis aman. Sebab, risiko keamanan tidak hanya berasal dari seseorang yang mencoba login menggunakan password kamu.

Saat menggunakan akun Microsoft 365, kamu mungkin pernah menghubungkannya dengan aplikasi pihak ketiga. Persoalannya, aplikasi tersebut dapat meminta permission tertentu terhadap data atau layanan yang berada di dalam lingkungan organisasi. Menurut learn.microsoft.com, administrator disarankan membatasi persetujuan pengguna hanya untuk aplikasi dari penerbit terverifikasi dan permission yang telah dipilih. Microsoft juga merekomendasikan audit terhadap aplikasi dan izin yang diberikan guna memastikan tidak ada aplikasi yang tidak diperlukan atau mencurigakan memperoleh akses ke data organisasi.

Tingkat aksesnya pun tidak selalu sama. Microsoft membagi izin aplikasi menjadi dua jenis.

Karena itu, jangan langsung memberikan persetujuan hanya karena nama aplikasinya terlihat familier. Microsoft menyarankan pengguna atau administrator memahami permission yang diminta, memeriksa penerbit aplikasi, serta memastikan izin tersebut sesuai dengan fungsi aplikasinya. Jika sebuah aplikasi meminta akses lebih luas daripada yang dibutuhkan, sebaiknya izin tidak langsung diberikan.

MFA sebaiknya dipandang sebagai salah satu lapisan keamanan, bukan perlindungan tunggal. Selain memastikan MFA Microsoft 365 tetap aktif, kamu perlu memperhatikan aplikasi dan layanan yang mempunyai akses terhadap akun, terutama jika akun digunakan untuk pekerjaan atau menyimpan data penting. Bagi lingkungan organisasi, Microsoft merekomendasikan audit dan pemantauan aplikasi beserta permission yang telah diberikan. 

Administrator juga dapat membuat inventaris aplikasi berdasarkan aktivitas sign in atau pemberian izin. Lalu, mengevaluasi aplikasi yang banyak digunakan sebelum memberikan persetujuan pada tingkat organisasi. Izin yang sudah tidak diperlukan juga dapat ditinjau dan dicabut. Dari sisi pengguna, perhatikan juga tiap permintaan akses yang muncul ketika menghubungkan aplikasi baru. Jangan memberikan izin jika kamu tidak memahami alasan aplikasi membutuhkan data tertentu. Metode verifikasi MFA juga perlu diperbarui ketika mengganti nomor telepon atau perangkat.

Jadi, keamanan akun Microsoft 365 tidak berhenti setelah MFA diaktifkan. MFA memang membuat autentikasi lebih kuat ketika password jatuh ke tangan orang lain. Namun, pengawasan terhadap izin aplikasi tetap perlu diperhatikan untuk membantu mengurangi risiko dari akses pihak ketiga. Kombinasi keduanya tentu membuat perlindungan akun lebih menyeluruh dibanding hanya mengandalkan password dan MFA tanpa pernah memeriksa siapa saja yang sudah memiliki akses.