Akses: autentikasi, otorisasi, dan hak minimum

Autentikasi adalah memverifikasi identitas pengguna, proses, atau perangkat, dan menjadi prasyarat sebelum akses ke sumber daya diberikan. Otorisasi adalah hak akses yang diberikan kepada pengguna, program, atau proses, sekaligus tindakan memberikannya. Urutannya selalu sama: sistem memastikan siapa kamu, lalu menentukan apa yang boleh kamu lakukan. Kata sandi dan MFA memperkuat autentikasi; keduanya tidak menentukan menu mana yang boleh dibuka.

Tiga prinsip mengatur otorisasi. Hak akses minimum (least privilege): sistem membatasi hak pengguna, atau proses yang bertindak atas namanya, sampai sebatas yang dibutuhkan untuk tugasnya. Kontrol akses berbasis peran (RBAC): tindakan yang diizinkan dilekatkan pada peran, bukan pada identitas orang per orang, sehingga karyawan baru cukup diberi perannya. Pemisahan tugas: tidak ada pengguna yang punya hak cukup untuk menyalahgunakan sistem sendirian; NIST mencontohkan orang yang menyetujui gaji tidak boleh juga yang menyiapkannya. OWASP Top 10:2025 menaruh pelanggaran hak minimum di kategori A01 Broken Access Control.