Keamanan organisasi

Capgo menyediakan kontrol keamanan komprehensif yang memungkinkan admin organisasi untuk menerapkan kebijakan keamanan ke seluruh anggota. Fitur-fitur ini membantu Anda memenuhi persyaratan kepatuhan, melindungi data sensitif, dan menjaga postur keamanan yang kuat.

Ikhtisar

Pengaturan Keamanan Organisasi memungkinkan super admin mengatur:

• Penerapan Two-Factor Authentication (2FA) - Wajibkan semua anggota mengaktifkan 2FA
• Kebijakan Kata Sandi - Atur persyaratan kompleksitas kata sandi
• Keamanan Kunci API - Terapkan kunci API yang aman dan kebijakan kedaluwarsa
• SSO (Khusus Enterprise) - SAML 2.0 single sign-on untuk domain Anda. Tersedia di paket Enterprise. Lihat panduan setup SSO.

Halaman Keamanan dibagi menjadi bagian-bagian yang berlabel jelas:

1. Tab Keamanan - Akses semua pengaturan keamanan dari sidebar pengaturan Organisasi
2. Penegakan 2FA - Toggle dan tampilan status untuk persyaratan two-factor authentication
3. Kebijakan Kata Sandi - Konfigurasikan aturan kompleksitas password untuk anggota organisasi
4. Kebijakan Kunci API - Pengaturan untuk kunci API yang aman dan persyaratan kedaluwarsa
5. Kedaluwarsa Kunci API - Atur apakah kunci API wajib memiliki tanggal kedaluwarsa

Catatan

Hanya pengguna dengan role super_admin yang dapat mengatur setelan keamanan organisasi. Anggota lain dapat melihat status kepatuhan mereka tetapi tidak bisa mengubah kebijakan.

Mengakses Setelan Keamanan

1. Buka setelan organisasi Anda dengan mengklik Pengaturan di sidebar
2. Klik pada Organisasi tab di bagian atas halaman settings
3. Pilih Keamanan tab dari navigation bar organisasi (ditandai dengan ikon shield)

Penerapan Two-Factor Authentication (2FA)

Enforcement 2FA mewajibkan semua anggota organisasi untuk mengaktifkan two-factor authentication pada akun mereka. Ini menambah lapisan keamanan krusial dengan mewajibkan password dan code verifikasi.

Apa yang Terjadi Saat 2FA Diaktifkan

• Anggota tanpa 2FA akan langsung diblokir dari akses ke aplikasi organisasi
• Baik web dashboard maupun CLI menerapkan persyaratan ini
• Member baru wajib mengaktifkan 2FA sebelum bisa mengakses resource organisasi
• Sistem melacak member mana saja yang sudah mengaktifkan 2FA secara real-time

Memahami Panel Status 2FA

Halaman Security menampilkan panel Status 2FA Member komprehensif yang menunjukkan:

• Total Member - Total jumlah member di organisasi Anda
• 2FA Aktif (indikator hijau) - Member yang telah berhasil mengaktifkan two-factor authentication
• 2FA Belum Aktif (indikator peringatan oranye) - Anggota yang belum mengatur 2FA

Jika anggota belum mengaktifkan 2FA, mereka akan muncul di Anggota Tanpa 2FA kotak peringatan. Kotak ini menampilkan:

• Alamat email setiap anggota dan peran mereka di organisasi
• Sebuah Salin Daftar Email tombol untuk menyalin semua alamat email terdampak untuk komunikasi

Mengaktifkan Kewajiban 2FA

1. Buka Pengaturan Organisasi > Keamanan
2. Temukan Wajibkan 2FA untuk semua anggota bagian di atas halaman
3. Tinjau Status 2FA Anggota panel untuk melihat anggota mana yang akan terdampak
4. Jika ada anggota tanpa 2FA, gunakan Salin Daftar Email tombol untuk memberi tahu mereka sebelum mengaktifkan
5. Alihkan switch di samping Wajibkan 2FA untuk semua anggota untuk mengaktifkan penerapan
6. Toggle akan menampilkan Nonaktif atau Aktif status di sisi kanan

Peringatan

Sebelum mengaktifkan penerapan 2FA:

• Beri tahu anggota yang terdampak terlebih dahulu dan bagikan panduan setup 2FA
• Beri mereka waktu untuk mengaktifkan 2FA di akun mereka
• Member tanpa 2FA akan langsung kehilangan akses saat Anda mengaktifkan penegakan aturan
• Pertimbangkan untuk menghubungi member yang terdaftar di kotak peringatan “Members Without 2FA”

Dukungan Paksaan 2FA untuk CLI

Anda juga bisa mengelola penegakan 2FA melalui CLI:

# Enable 2FA enforcement
npx @capgo/cli organization set YOUR_ORG_ID --enforce-2fa

# Disable 2FA enforcement
npx @capgo/cli organization set YOUR_ORG_ID --no-enforce-2fa

# Check member 2FA status
npx @capgo/cli organization members YOUR_ORG_ID

Untuk informasi detail mengenai penegakan 2FA, lihat panduan 2FA Enforcement.

Kebijakan Kata Sandi

Password policy memungkinkan Anda mewajibkan standar kompleksitas password bagi seluruh member organisasi. Jika password member tidak memenuhi syarat, mereka wajib memperbaruinya sebelum bisa mengakses resource organisasi.

Bagian Password Policy (ditandai dengan indikator 3 pada gambar overview) menyediakan toggle sederhana untuk menerapkan aturan password di seluruh organisasi Anda.

Cara Kerja Password Policy

Saat Anda mengaktifkan password policy:

• Semua anggota organisasi wajib memenuhi persyaratan kompleksitas password
• User yang tidak memenuhi syarat akan terkunci hingga mereka memperbarui password mereka
• Kebijakan ini berlaku untuk semua anggota tanpa memandang role mereka

Mengaktifkan Password Policy

1. Buka Pengaturan Organisasi > Keamanan
2. Scroll ke bawah untuk menemukan Kebijakan Kata Sandi bagian
3. Baca deskripsinya: “Wajibkan anggota organisasi menggunakan kata sandi yang memenuhi persyaratan kompleksitas tertentu”
4. Alihkan Terapkan Kebijakan Kata Sandi switch untuk mengaktifkannya
5. Deskripsi toggle berbunyi: “Jika diaktifkan, semua anggota organisasi harus memenuhi persyaratan kata sandi untuk mengakses organisasi”

Persyaratan Kata Sandi yang Tersedia

Pengaturan	Deskripsi	Rentang
Panjang Minimum	Jumlah karakter minimum yang dibutuhkan	6-128 karakter
Wajibkan Huruf Kapital	Password harus mengandung minimal satu huruf kapital (A-Z)	Aktif/Nonaktif
Wajibkan Angka	Password harus mengandung minimal satu angka (0-9)	Aktif/Nonaktif
Wajibkan Karakter Spesial	Password harus mengandung minimal satu karakter spesial (!@#$%^&*, dll.)	Aktif/Nonaktif

Pelacakan Kepatuhan Member

Saat kebijakan password aktif, Anda dapat memantau kepatuhannya:

• Total Member: Jumlah member di organisasi Anda
• Patuh: Member yang password-nya memenuhi syarat kebijakan
• Tidak Patuh: Member yang perlu memperbarui password mereka

Member yang tidak patuh akan terdaftar beserta alamat email mereka. Anda dapat menyalin daftar email tersebut untuk memberi tahu mereka tentang kebijakan dan perubahan password yang diperlukan.

Tips

Saat mengaktifkan kebijakan password untuk pertama kalinya, anggota dengan password yang tidak sesuai akan diminta untuk mengubah password mereka saat login berikutnya. Mereka tidak akan langsung terkunci, tetapi akses mereka mungkin dibatasi sampai mereka mematuhinya.

Best Practices untuk Kebijakan Password

• Mulai dengan persyaratan yang wajar: Minimal 10-12 karakter dengan kombinasi huruf besar-kecil dan angka memberikan keamanan yang baik tanpa terlalu membatasi
• Komunikasikan perubahan: Beritahu tim Anda sebelum mengaktifkan persyaratan password baru
• Berikan waktu transisi: Berikan waktu bagi anggota untuk memperbarui password mereka
• Pertimbangkan password manager: Sarankan anggota tim untuk menggunakan password manager guna membuat dan menyimpan password yang kuat

Keamanan Kunci API

Capgo menyediakan dua kontrol keamanan untuk kunci API: mewajibkan kunci API yang aman (hashed) dan mewajibkan tanggal kedaluwarsa. Bagian Kebijakan Kunci API (ditandai dengan indikator 4 pada gambar ringkasan) diidentifikasi dengan ikon kunci.

Wajibkan Kunci API yang Aman

Opsi pertama di bagian Kebijakan Kunci API adalah Wajibkan Kunci API yang Aman. Jika diaktifkan, pengaturan ini mewajibkan semua kunci API di organisasi Anda dibuat menggunakan format secure/hashed.

Kunci API yang di-hash lebih aman karena:

• Nilai kunci asli tidak pernah disimpan di server kami
• Hanya Anda (dan sistem Anda) yang memiliki akses ke kunci lengkap
• Bahkan jika database kami disusupi, kunci Anda tetap tidak bisa digunakan

Deskripsi toggle menyatakan: “Saat diaktifkan, hanya kunci API yang aman (hashed) yang dapat mengakses organisasi ini. Kunci API dalam bentuk plain-text akan ditolak.”

Catatan

Kunci API lama (non-hashed) yang sudah ada akan tetap berfungsi, tetapi anggota tidak akan bisa membuat kunci non-hashed baru saat kebijakan ini diaktifkan.

Mengaktifkan Kunci API yang Aman

1. Buka Pengaturan Organisasi > Keamanan
2. Scroll ke bawah untuk menemukan Kebijakan Kunci API bagian (cari ikon kunci)
3. Temukan Wajibkan Key API yang Aman toggle
4. Aktifkan switch untuk mewajibkan penggunaan key API yang aman
5. Key yang sudah ada tidak terpengaruh; kebijakan ini berlaku untuk pembuatan key baru

Kebijakan Kedaluwarsa Key API

Opsi kedua (ditandai dengan indikator 5 pada gambar ringkasan) adalah Wajibkan Kedaluwarsa Key API. Anda dapat mewajibkan semua key API memiliki tanggal kedaluwarsa untuk membatasi masa berlakunya.

Ini adalah praktik keamanan terbaik yang:

• Membatasi jendela paparan jika sebuah kunci terkompromi
• Memastikan rotasi kunci dilakukan secara rutin
• Membantu memenuhi persyaratan kepatuhan manajemen kredensial

Deskripsi toggle menyatakan: “Jika diaktifkan, semua kunci API untuk organisasi ini harus memiliki tanggal kedaluwarsa”

Konfigurasi Kebijakan Kedaluwarsa

1. Buka Pengaturan Organisasi > Keamanan
2. Temukan Kebijakan Kunci API bagian
3. Temukan Wajibkan Kedaluwarsa Kunci API aktifkan (di bawah Enforce Secure API Keys)
4. Geser switch untuk mengaktifkan syarat kedaluwarsa
5. Setelah aktif, atur Maksimal hari kedaluwarsa (1-365 hari)
   • Ini membatasi seberapa jauh tanggal kedaluwarsa dapat diatur ke masa mendatang
   • Contoh: Setel 90 hari berarti kunci maksimal kedaluwarsa 90 hari setelah dibuat

Peringatan

Saat Anda mengaktifkan syarat kedaluwarsa:

• Kunci API baru wajib memiliki tanggal kedaluwarsa
• Key lama tanpa masa kedaluwarsa tetap berfungsi
• Pertimbangkan untuk audit key yang ada dan rotasi key tanpa masa kedaluwarsa

Rekomendasi Kebijakan Key API

Kasus Penggunaan	Keamanan Kunci	Expiration	Maksimal Hari
Pengembangan	Recommended	Opsional	30-90
Pipeline CI/CD	Wajib	Wajib	90-180
Produksi	Wajib	Wajib	30-90
Enterprise/Kepatuhan	Wajib	Wajib	30-60

Kepatuhan dan Audit

Fitur keamanan organisasi membantu Anda memenuhi berbagai persyaratan kepatuhan:

Standar	Fitur Relevan
SOC 2	Enforcement 2FA, kebijakan password, kontrol kunci API
ISO 27001	Semua fitur keamanan membantu kontrol akses
HIPAA	Autentikasi kuat dan manajemen akses
GDPR	Perlindungan data melalui kontrol akses
PCI DSS	Multi-factor authentication, password kuat

Pantau Status Kepatuhan

Dashboard Security menampilkan secara real-time:

• Jumlah member yang sudah mengaktifkan 2FA
• Kepatuhan kebijakan password di seluruh organisasi Anda
• Adopsi keamanan key API

Gunakan fitur “Copy email list” untuk mengekspor daftar member yang tidak patuh agar komunikasi lebih terarah.

Pemecahan Masalah

“Akses Ditolak: Kebijakan keamanan tidak terpenuhi”

Masalah: Seorang member tidak dapat mengakses organisasi.

Solusi:

1. Cek apakah 2FA diwajibkan - member harus mengaktifkan 2FA
2. Cek apakah kebijakan password aktif - member perlu memperbarui password mereka
3. Verifikasi status kepatuhan member di dashboard Security

Tidak dapat mengaktifkan fitur keamanan

Masalah: Toggle keamanan dinonaktifkan atau tidak merespons.

Solusi:

• Pastikan Anda memiliki super_admin peran dalam organisasi
• Periksa koneksi jaringan Anda
• Coba refresh halaman
• Hubungi support jika masalah berlanjut

Pembuatan key API gagal

Masalah: Tidak dapat membuat key API baru.

Solusi:

• Jika secure key diwajibkan, pastikan Anda menggunakan alur pembuatan secure key
• Jika masa berlaku diwajibkan, atur tanggal kedaluwarsa dalam rentang yang diizinkan
• Periksa pengaturan maksimum hari kedaluwarsa

Langkah Berikutnya

• Atur 2FA pada akun Anda
• Pelajari detail penegakan 2FA
• Kelola kunci API
• Manajemen organisasi

Lanjutkan dari Keamanan Organisasi

Jika Anda menggunakan Keamanan organisasi untuk merencanakan keamanan dan kepatuhan, hubungkan dengan Enkripsi untuk detail implementasi pada Encryption, Kepatuhan untuk detail implementasi pada Compliance, Capgo Pemindai Keamanan untuk alur kerja produk di Capgo Security Scanner, Keamanan Capgo untuk alur kerja produk di Capgo Security, dan Capgo Pusat Kepercayaan untuk workflow produk di Capgo Trust Center.