2FA Wajib di Layanan Digital Pemerintah: Keamanan Tak Cukup Berhenti pada Kata Sandi

JAKARTA — Langkah Kementerian Komunikasi dan Digital mewajibkan verifikasi dua langkah pada e-Telekomunikasi dan Panel patut dibaca lebih luas daripada sekadar perubahan cara login. Ini adalah pengingat bahwa layanan pemerintah yang menyimpan dokumen perizinan, identitas penanggung jawab, dan data usaha tidak semestinya bergantung pada satu lapisan kata sandi.

Komdigi menjelaskan pengguna nantinya harus memasukkan kata sandi dan kode enam angka dari aplikasi autentikator. Portal utama e-Telekomunikasi saat ini menyebut pemberlakuan wajib mulai 24 Agustus 2026, meski halaman panduan yang terbit 13 Agustus masih mencantumkan 18 Agustus. Perbedaan tanggal pada kanal resmi itu sendiri menunjukkan pentingnya konsistensi komunikasi ketika kebijakan keamanan menyentuh banyak pengguna.

2FA menutup satu celah, bukan semua celah

Verifikasi dua langkah membuat kata sandi yang bocor tidak lagi cukup untuk mengambil alih akun. Namun perlindungan itu akan kehilangan banyak manfaat bila organisasi masih berbagi satu akun kepada banyak orang, menyimpan kode cadangan secara sembarangan, atau tidak memiliki prosedur pemulihan ketika perangkat hilang.

Karena itu, kebijakan 2FA seharusnya berjalan bersama tata kelola identitas: satu orang satu akun bila memungkinkan, hak akses sesuai tugas, pencatatan aktivitas, peninjauan akun yang tidak lagi digunakan, dan kanal pemulihan yang dapat diverifikasi.

Keamanan adalah kebiasaan organisasi

Transformasi digital pemerintah sering dinilai dari jumlah layanan yang dipindahkan ke daring. Padahal ukuran yang sama pentingnya adalah seberapa baik layanan tersebut melindungi pengguna ketika terjadi kebocoran kredensial, phishing, pergantian pegawai, atau kehilangan perangkat.

2FA adalah langkah praktis dan relatif murah, tetapi nilai sebenarnya muncul ketika ia menjadi bagian dari budaya keamanan yang konsisten. Pemerintah juga perlu memastikan panduan mudah dipahami, tanggal pemberlakuan tidak membingungkan, dan pengguna memiliki jalur bantuan yang jelas agar peningkatan keamanan tidak berubah menjadi hambatan layanan.

Implementasi yang baik juga perlu menyediakan pilihan pemulihan ketika pengguna kehilangan perangkat atau nomor autentikasi tanpa melemahkan keamanan akun. Prosedur pemulihan yang terlalu mudah dapat menjadi celah serangan, sedangkan prosedur yang terlalu rumit dapat mengunci pengguna sah dari layanan. Karena itu, desain 2FA perlu disertai verifikasi berlapis, pencatatan perubahan akun, pemberitahuan aktivitas penting, dan dukungan petugas yang dapat diakses ketika proses otomatis gagal.

Pengguna juga perlu mengetahui apa yang harus dilakukan ketika menduga akun telah diambil alih. Layanan sebaiknya menyediakan kanal pelaporan yang jelas, kemampuan mencabut sesi aktif, notifikasi perubahan kredensial, dan prosedur untuk memulihkan akses secara aman. Fitur-fitur tersebut membuat 2FA bekerja sebagai bagian dari sistem pertahanan berlapis, bukan sebagai satu penghalang yang dianggap cukup untuk seluruh risiko keamanan akun.