Data merupakan aset penting yang harus dilindungi dengan ketat dalam setiap organisasi. Setiap kali pengguna mengakses data di berbagai lingkungan cloud atau on-premises, otentikasi dan otorisasi harus dijalankan secara tepat. Otentikasi memastikan identitas pengguna yang sah, sedangkan otorisasi menetapkan batasan tindakan dan visibilitas terhadap data. Dengan mekanisme kontrol akses yang tepat, perusahaan dapat menjaga kerahasiaan informasi sensitif sekaligus mematuhi prinsip hak istimewa minimal.
Model kontrol akses tradisional seperti Role-Based Access Control (RBAC) mempermudah pemberian hak akses berdasarkan peran pengguna. Namun seiring pertumbuhan kebutuhan dan kompleksitas data, RBAC bisa menjadi kaku dan sulit dikelola. Attribute-Based Access Control (ABAC) hadir sebagai solusi yang lebih dinamis dengan mempertimbangkan atribut pengguna, dataset, dan kondisi lingkungan. Melalui ABAC, administrator dapat mengimplementasikan kebijakan keamanan yang lebih halus dan kontekstual.
Dalam platform modern seperti Denodo (link), kebijakan keamanan global dapat diterapkan untuk mengelola kontrol akses dengan konsisten. Denodo menyediakan fitur Global Security Policies (GSPs) yang memanfaatkan tag dan variabel sesi untuk menyaring akses data. Implementasi ABAC di Denodo memanfaatkan pemetaan atribut dari penyedia identitas eksternal, seperti LDAP, Kerberos, atau OAuth. Kombinasi fitur tersebut memungkinkan kontrol akses secara terpusat dan otomatis di seluruh sumber data virtual.
Model Kontrol Akses Berbasis Atribut (RBAC)
Pada model RBAC, hak akses diberikan kepada peran tertentu tanpa mempertimbangkan konteks lainnya. Ketika seorang pengguna berpindah fungsi, administrator perlu menyesuaikan peran dan hak aksesnya satu per satu. Model ini efektif untuk organisasi dengan struktur yang stabil, namun kurang fleksibel saat dihadapkan pada skenario yang melibatkan kondisi khusus. ABAC memperluas konsep ini dengan menambahkan variabel atribut untuk menyaring dan menentukan hak akses secara real time.
ABAC bekerja dengan mengevaluasi atribut utama yang berkaitan dengan pengguna (Who), data (What), dan lingkungan (Where). Atribut pengguna bisa berupa organisasi, divisi, atau lokasi, sedangkan atribut data diwakili oleh tag yang diterapkan pada view atau kolom. Lingkungan atau kondisi waktu tertentu juga dapat dijadikan dasar keputusan akses, misalnya jam kerja atau alamat IP. Dengan memadukan ketiga aspek ini, ABAC dapat menerapkan aturan yang lebih rumit tanpa menambah jumlah peran.
Penggunaan ABAC mengurangi kerumitan dalam manajemen daftar akses dan grup peran, karena aturan diatur berdasarkan kebijakan global. Kebijakan ini dapat dibangun menggunakan tag untuk memperluas cakupan proteksi ke view atau kolom baru hanya dengan menambahkan tag. Kombinasi nilai atribut sesi dan tag dataset memudahkan administrator dalam mengubah kebijakan tanpa perlu mengubah konfigurasi peran satu per satu. Dengan demikian, ABAC menawarkan kontrol akses yang lebih halus dan mudah disesuaikan.
Implementasi ABAC di Platform Denodo
Denodo Platform mendukung implementasi model ABAC melalui fitur Global Security Policies yang terintegrasi dengan Denodo Design Studio. Administrator dapat menetapkan variabel sesi (session attributes) yang dipetakan dari token keamanan Denodo untuk berbagai protokol otentikasi. Nilai atribut tersebut diambil dari Identity Provider seperti Okta, Active Directory, atau sistem OAuth lainnya. Setelah sesi terjaga, kebijakan keamanan global dapat dirancang berdasarkan nilai-nilai atribut ini.
Sebelum membuat kebijakan, administrator perlu mendefinisikan tag (dataset attributes) pada view dan kolom di Virtual DataPort (VDP). Tag dapat berupa kategori seperti master_data, sensitive, country, atau custom sesuai kebutuhan organisasi. Dengan pemilihan tag, kebijakan dapat diterapkan kepada sekumpulan view yang relevan tanpa harus memilih elemen data satu per satu. Hal ini mempercepat proses konfigurasi dan mengurangi kemungkinan kesalahan manusia.
Selanjutnya, administrator menyusun Global Security Policies di antarmuka GSP Editor, memilih peran target, menentukan atribut sesi, serta menetapkan tag untuk objek data yang dilindungi. Restriksi dapat berupa penyaringan baris (row-level filtering), masking kolom (column masking), atau deny execution untuk menghentikan permintaan query. Kebijakan ini berlaku di seluruh database virtual yang ditentukan, sehingga konsistensi kontrol akses terjamin.
Skenario Penerapan Kebijakan Keamanan Global
Bayangkan sebuah organisasi dengan tiga pengguna utama: manager internal, analyst internal, dan analyst eksternal. Setiap pengguna memiliki atribut sesi seperti organisasi (Internal/External), divisi (HeadQuarter/Marketing/Finance), dan negara asal. Misalnya, manager internal berada di Portugal, analyst internal di Spanyol, dan analyst eksternal di Italia. Atribut-atribut tersebut diambil dari Identity Provider dan diteruskan dalam Denodo Security Token.
Administrator Denodo mengaktifkan token otentikasi dan memetakan atribut seperti login, email, country, division, dan organization pada konfigurasi server. Tahapan ini dilakukan sekali pada Virtual DataPort Server Configuration. Setelah pemetaan selesai, fungsi VQL getvar() dapat digunakan untuk mengambil nilai atribut sesi selama eksekusi query atau saat mendefinisikan kebijakan keamanan global.
Selanjutnya, tag diterapkan pada view bv_customer di database virtual db_test_abac. Kolom c_birth_country diberi tag country, sedangkan kolom c_first_name dan c_last_name diberi tag sensitive. Tag master_data dan customer_id juga diterapkan pada view dan kolom yang relevan. Dengan persiapan atribut sesi dan tag dataset, administrator siap membuat skenario kebijakan keamanan sesuai kebutuhan organisasi.
Contoh Kebijakan Keamanan Global
Kebijakan pertama (country_segmentation) menetapkan bahwa pengguna dengan peran manager atau analyst hanya dapat melihat baris data master customer yang nilai kolom country sama dengan atribut country sesi mereka. Restriksi ini diimplementasikan melalui filter ‘country = getvar(‘country’,’text’)’, sehingga pengguna hanya melihat data pelanggan di wilayahnya. Dengan rule ini, setiap analyst internal di Spanyol hanya mendapatkan data pelanggan Spanyol saja. Kebijakan bersifat global dan diterapkan pada semua view bertag master_data.
Kebijakan kedua (hash_customer_id) mengatur masking kolom customer_id untuk pengguna yang berperan manager atau analyst dan berada di divisi Marketing. Ketika session attribute division bernilai Marketing, kolom customer_id akan diubah menggunakan fungsi hash(customer_id) sehingga nilai aslinya tersembunyi. Masking ini berlaku hanya pada kolom yang diberi tag customer_id di view bv_customer. Dengan demikian, analyst Marketing tetap dapat melihat informasi lain tanpa memperlihatkan identitas unik pelanggan.
Kebijakan ketiga (restrict_external_users) memblokir akses seluruh data master customer untuk pengguna eksternal (session attribute organization = External) dengan peran manager atau analyst. Restriksi deny execution langsung mencegah eksekusi query pada objek bertag master_data. Dengan aturan ini, analyst eksternal sama sekali tidak mendapatkan hasil query, sehingga data sensitif aman dari pihak luar organisasi. Skema deny execution memberikan lapisan perlindungan tertinggi bagi pengguna yang tidak berwenang.
Manfaat dan Keunggulan ABAC di Denodo Platform
Penerapan ABAC di Denodo Platform menawarkan beberapa keunggulan utama. Pertama, ABAC memberikan granularitas yang tinggi karena mengombinasikan berbagai atribut untuk menentukan hak akses secara dinamis. Kedua, kebijakan berbasis tag memudahkan administrator untuk memperluas atau memodifikasi aturan tanpa mengubah konfigurasi peran secara manual. Ketiga, ABAC mengurangi kompleksitas manajemen peran, sehingga organisasi dapat merespons kebutuhan bisnis dan regulasi dengan lebih cepat.
Dengan Global Security Policies dan fungsi VQL, Denodo menyederhanakan pembuatan dan pengelolaan kebijakan keamanan yang kompleks. Administrator dapat menguji dan menerapkan kebijakan tanpa downtime, serta memantau hasilnya secara real time. Fleksibilitas ini memperkecil potensi human error dan memberikan visibilitas penuh atas kontrol akses data. Secara keseluruhan, ABAC di Denodo mengoptimalkan keseimbangan antara keamanan, performa, dan kemudahan administrasi.
Penutup
Implementasi Attribute-Based Access Control dengan Global Security Policies di Denodo Platform memudahkan organisasi untuk menerapkan kebijakan keamanan data yang dinamis dan terpusat. Melalui pemetaan atribut sesi dan tag dataset, administrator dapat mengelola keistimewaan akses secara akurat dan sesuai konteks. Pendekatan ini tidak hanya meningkatkan proteksi data sensitif, tetapi juga mempercepat proses administrasi keamanan. Dengan ABAC, perusahaan mampu menjaga konsistensi dan kepatuhan sambil tetap fleksibel menghadapi perubahan kebutuhan bisnis.
Segera optimalkan visualisasi data Anda dengan menggunakan jasa visualisasi data dari Visidata atau ikuti bootcamp seminar Visidata untuk mempelajari lebih dalam teknik dan praktik terbaik dalam pengelolaan data dan keamanan.