Tinjauan akses adalah pemeriksaan berkala untuk memastikan setiap akun masih diperlukan, memiliki penanggung jawab yang berwenang, memakai pemulihan yang terkendali, dan tidak memiliki sesi atau aplikasi yang tidak dapat dijelaskan. Hasil yang berguna bukan sekadar tangkapan layar atau kesan bahwa semuanya baik, melainkan keputusan bertanggal untuk setiap akun—pertahankan, ubah, tangguhkan, atau nonaktifkan—serta bukti bahwa perubahan telah selesai.
Daftar ini ditujukan untuk operasi sah agensi, QA, riset, dan otomatisasi internal yang memakai banyak akun Gmail, Yahoo, atau Outlook. Daftar ini melengkapi panduan keamanan akun: panduan tersebut menjelaskan kontrol, sedangkan daftar ini menunjukkan cara memeriksanya dan menutup celah tanggung jawab dari waktu ke waktu.
Tentukan tinjauan sebelum membuka akun
Mulai dari cakupan, peninjau, bukti, dan tenggat. Tentukan apakah tinjauan mencakup klien, proyek, penyedia, lingkungan, atau semua akun. Tetapkan penanggung jawab bisnis untuk menilai kebutuhan dan peninjau teknis untuk memeriksa keamanan. Dalam tim kecil, satu orang dapat menjalankan keduanya, tetapi keputusan dan bukti tetap dicatat terpisah.
Panduan Microsoft untuk merencanakan tinjauan meminta organisasi menetapkan sumber daya, populasi, frekuensi, peninjau, tenggat, dan tindakan. Model yang sama berguna untuk akun terpisah: tentukan apa yang ditinjau, siapa yang memutuskan, dan apa yang terjadi bila tidak ada jawaban.
| Kolom | Pertanyaan | Bukti yang aman |
|---|---|---|
| Tujuan dan penanggung jawab | Mengapa akun ada dan siapa yang bertanggung jawab? | Permintaan yang disetujui, catatan proyek, atau konfirmasi |
| Penyedia dan status | Aktif, ditangguhkan, disengketakan, atau nonaktif? | Layar penyedia atau catatan bertanggal |
| Pemulihan | Bisakah tim memulihkan tanpa perangkat pribadi seseorang? | Metode dan kustodian terverifikasi; jangan simpan kode |
| Sesi dan perangkat | Apakah semua akses saat ini diharapkan? | Daftar yang ditinjau dengan pengecualian tercatat |
| Aplikasi terhubung | Apakah setiap integrasi masih memiliki tujuan? | Daftar yang disetujui dan catatan penghapusan |
| Keputusan | Pertahankan, ubah, tangguhkan, atau nonaktifkan? | Peninjau, alasan, pelaksana, dan penyelesaian |
Jauhkan rahasia dari spreadsheet
Catatan boleh memuat alamat, penanggung jawab, status, dan referensi vault. Jangan memasukkan kata sandi, passkey, kode pemulihan, kunci API, atau ekspor lengkap. Simpan rahasia di pengelola yang disetujui atau vault terenkripsi dengan log.
Jalankan tinjauan akses
- 1Bekukan cakupan. Salin catatan saat ini, beri tanggal, dan cegah baris baru masuk tanpa terlihat.
- 2Hubungkan setiap akun dengan tujuan dan penanggung jawab. Tandai akun tanpa proyek, orang yang bertanggung jawab, atau kewenangan terkini.
- 3Verifikasi pemulihan dan autentikasi. Pastikan kustodian memiliki akses dan metode terkuat digunakan tanpa mengumpulkan kode.
- 4Periksa aktivitas, perangkat, dan sesi terbaru di halaman keamanan. Selidiki akses yang tidak dikenal.
- 5Tinjau aplikasi serta akses yang didelegasikan. Hapus integrasi, kata sandi aplikasi, penerusan, atau delegasi tanpa penggunaan yang disetujui.
- 6Catat keputusan dan tetapkan perbaikan. Setiap perubahan, penangguhan, atau penonaktifan harus memiliki pelaksana dan tenggat.
- 7Konfirmasi penyelesaian. Periksa kembali di penyedia, simpan bukti minimum, lalu jadwalkan tinjauan atau pemicu berikutnya.
Jangan gunakan aktivitas terakhir sebagai satu-satunya aturan. Akun bisa sengaja tidak aktif untuk pengujian, pemulihan insiden, atau proyek musiman. Aktivitas terbaru juga tidak membuktikan kewenangan. Gabungkan aktivitas dengan tujuan yang jelas, keputusan penanggung jawab, dan integrasi yang diharapkan.
Kumpulkan bukti khusus dari penyedia
Untuk Google, panduan perangkat menunjukkan cara meninjau perangkat dan sesi serta mengakhiri akses yang tidak dipercaya. Google juga menyediakan tinjauan aplikasi terhubung. Catat hasilnya, bukan salinan konten sensitif.
Untuk Microsoft, periksa aktivitas masuk terbaru dan konfirmasi metode pada informasi keamanan. Microsoft menyarankan agar informasi tetap mutakhir; alamat kerja yang hilang saat penyerahan bukan jalur pemulihan yang tahan lama.
Untuk Yahoo, panduan aktivitas keamanan mengarahkan Anda meninjau login, koneksi eksternal, dan perubahan terbaru. Menghapus koneksi mungkin juga memerlukan penghapusan kata sandi aplikasinya. Konfirmasi integrasi yang dimaksud agar tidak menghentikan alur yang sah tanpa rencana.
Tampilan setiap penyedia berbeda
Gunakan label dan alur terbaru dari setiap penyedia. Jangan memaksa bukti Gmail, Yahoo, dan Outlook masuk ke kolom identik ketika model sesi, aplikasi, alias, dan pemulihannya berbeda.
Ubah temuan menjadi tindakan terkendali
| Keputusan | Kapan digunakan | Tindak lanjut |
|---|---|---|
| Pertahankan | Tujuan, penanggung jawab, akses, dan keamanan masih mutakhir | Catat peninjau dan pemicu berikutnya |
| Ubah | Akun diperlukan tetapi tanggung jawab, pemulihan, sesi, atau aplikasi salah | Tetapkan perbaikan dan verifikasi kondisi baru |
| Tangguhkan | Penggunaan tidak jelas, disengketakan, atau sedang diselidiki | Simpan bukti yang diperlukan dan blokir sesuai kebijakan |
| Nonaktifkan | Tujuan selesai atau tidak ada penanggung jawab berwenang | Hapus integrasi, cabut akses, terapkan retensi, dan tutup baris |
Perlakukan akses yang tidak diharapkan sebagai peristiwa keamanan, bukan pembersihan rutin. Ikuti proses pemulihan dan akun disusupi milik penyedia, beri tahu penanggung jawab internal, dan simpan hanya bukti yang diperlukan. Jangan melewati tantangan keamanan, membuat akun pengganti yang mirip, atau mengulangi percobaan yang diblokir.
Pilih frekuensi berdasarkan risiko
Tidak ada interval universal. Tentukan frekuensi berdasarkan nilai akun, jumlah operator, sistem terhubung, komitmen klien, dan persyaratan hukum atau kontrak. Akun berdampak tinggi dan kumpulan bersama perlu ditinjau lebih sering daripada akun uji yang terisolasi dan sementara.
- Lakukan tinjauan berbasis peristiwa saat penanggung jawab, kontraktor, klien, atau proyek berubah
- Tinjau segera setelah dugaan kompromi, pemulihan tanpa penjelasan, atau sesi tak dikenal
- Tinjau akun sementara pada akhir siklus atau periode retensi yang disetujui
- Tentukan peninjau cadangan dan eskalasi untuk baris tanpa keputusan
- Ukur penyelesaian berdasarkan tindakan yang terverifikasi, bukan kotak yang awalnya dicentang
Untuk kebersihan kata sandi dan autentikasi, NIST menyarankan kata sandi unik, pengelola kata sandi, dan MFA dalam panduan kata sandinya. Tinjauan harus memastikan kontrol tersebut tanpa mengekspos rahasia.
Masukkan akun MailCreator baru ke dalam siklus
MailCreator menyediakan pembuatan Gmail, Yahoo, dan Outlook berbasis tugas dengan nama, pemulihan, status, serta CSV. Setelah batch berwenang selesai, pindahkan file ke penyimpanan aman, rekonsiliasi setiap akun dengan daftar yang disetujui, dan tambahkan tujuan, penanggung jawab, kustodian, status, serta pemicu berikutnya ke catatan. Hapus salinan kerja bila aturan retensi mengizinkan.
Saat meresmikan operasi, mulai dengan alur penyediaan akun, lalu gunakan daftar ini sebagai kontrol berkala. Setelah daftar siap, bandingkan paket atau buat akun untuk uji coba terkendali.
Pembuatan akun tidak pernah mengizinkan spam, penyamaran, identitas menyesatkan, atau upaya menghindari perlindungan. Gunakan setiap akun hanya untuk tujuan yang disetujui dan patuhi ketentuan, privasi, retensi, serta aturan komunikasi yang berlaku.