Tata Kelola Akses Tamu di Microsoft 365: Panduan Lengkap

By Mirko Peters · 2026-02-24 · Updated 2026-09-13

Kelola akses tamu Microsoft 365 di Teams dan SharePoint dengan proses orientasi, tinjauan akses, Conditional Access, kontrol siklus hidup, dan proses pencabutan akses tamu.

Automatically translated with AI from the original post. Read the English original

Jujur saja, menyeimbangkan kolaborasi eksternal dengan keamanan yang ketat adalah salah satu tantangan terbesar dalam menggunakan Microsoft 365 di organisasi mana pun yang serius. Akses tamu memungkinkan Anda membuka Teams, SharePoint, dan rangkaian produk M365 lainnya kepada mitra, kontraktor, dan klien, tetapi setiap pintu yang terbuka berpotensi menjadi risiko. Karena itu, tata kelola akses tamu bukan sekadar daftar periksa, melainkan strategi yang berkelanjutan.

Panduan ini membahas hal-hal esensial, mulai dari dasar makna akses tamu di Microsoft 365, kontrol keamanan, pengelolaan siklus hidup, penilaian risiko tingkat lanjut, hingga otomatisasi. Jika Anda bertanggung jawab atas keamanan, kepatuhan, atau operasional TI Microsoft 365, Anda akan menemukan saran praktis di sini untuk tetap kolaboratif sekaligus menjaga pintu tetap terkunci rapat di titik yang penting. Tanpa basa-basi, hanya strategi yang jelas untuk melindungi data dan reputasi Anda sambil tetap produktif.

1. Tamu dapat ditambahkan ke Azure AD dan tampil seperti pengguna biasa: akun tamu (userType=Guest) ada di Azure AD dan muncul dalam daftar pengguna, keanggotaan grup, serta tinjauan akses. Hal ini berdampak pada lisensi dan visibilitas tata kelola.
2. Akun tamu tidak memerlukan lisensi Microsoft 365 untuk mengakses sebagian besar sumber daya: tamu dapat menggunakan sumber daya Teams, SharePoint, dan OneDrive tanpa mengonsumsi lisensi pengguna penuh, meskipun beberapa fitur mungkin terbatas.
3. Kolaborasi B2B mendukung identitas eksternal selain akun Microsoft: tamu dapat masuk menggunakan berbagai identitas email (kantor, sekolah, Gmail) melalui Azure AD B2B dan penyedia identitas terfederasi.
4. Tamu dapat dikenai Conditional Access: Anda dapat menerapkan MFA, kepatuhan perangkat, dan pembatasan lokasi untuk proses masuk tamu menggunakan kebijakan Conditional Access, sehingga keamanan bagi kolaborator eksternal meningkat.
5. Tinjauan akses dapat otomatis menghapus tamu yang tidak aktif: Azure AD Access Reviews dapat mencakup pengguna tamu dan menghapus mereka setelah periode yang dapat dikonfigurasi, untuk mengurangi akses eksternal yang sudah usang.
6. Pengaturan berbagi tamu dikelola di beberapa lapisan: pengaturan Azure AD tingkat penyewa, kebijakan berbagi SharePoint/OneDrive, dan pengaturan tamu Teams saling berinteraksi dan dapat menghasilkan hasil akses yang tidak terduga jika tidak selaras.
7. Akses tamu dapat dibatasi oleh label sensitivitas: label sensitivitas Microsoft Information Protection dapat mencegah berbagi atau membatasi akses eksternal, meskipun akses tamu diaktifkan pada situs atau tim.
8. Tamu dapat ditemukan melalui Microsoft Graph: pengguna tamu beserta aktivitasnya dapat dikueri dan dikelola secara terprogram, sehingga tugas tata kelola seperti pelaporan dan remediasi dapat diotomatisasi.
9. Tamu di saluran privat Teams berbeda dengan tamu tim: keanggotaan saluran privat lebih terbatas dan secara historis memiliki perilaku serta implikasi pengelolaan tamu yang berbeda dibandingkan dengan keanggotaan tim penuh.
10. Tamu yang diundang menciptakan relasi kolaborasi eksternal yang bertahan: ketika Anda mengundang tamu, Azure AD membuat relasi kolaborasi eksternal dan terkadang metadata penyewa asal, yang berarti mengundang ulang email yang sama dapat menggunakan kembali relasi dan izin sebelumnya.

Memahami Akses Tamu di Lingkungan Microsoft 365

Ketika Anda membuka Microsoft 365 kepada pengguna eksternal, platform menjadi jauh lebih fleksibel, tetapi juga lebih kompleks. Akses tamu adalah cara resmi untuk memungkinkan orang dari luar organisasi Anda bekerja pada proyek, dokumen, dan percakapan Anda. Baik Anda sedang rapat jarak jauh dengan vendor di Teams maupun berbagi folder di SharePoint dengan konsultan, akses tamu adalah yang membuat kolaborasi lintas perusahaan tetap berjalan.

Namun, fleksibilitas yang besar juga disertai risiko yang lebih besar. Kesalahan konfigurasi, akun yang terlupakan, dan hak tamu yang terlalu longgar dapat menyebabkan pelanggaran keamanan dan masalah kepatuhan. Karena itu, memahami mekanisme inti cara kerja akses tamu, serta titik-titik yang bisa bermasalah, sangat penting bagi siapa pun yang bertugas mengelola tata kelola Microsoft 365.

Anda akan melihat bahwa Microsoft 365 menyediakan alat untuk melacak dan mengelola pengguna tamu, tetapi Anda sendiri yang harus merancang kerangka kerja yang sesuai dengan selera risiko dan kebutuhan kolaborasi organisasi Anda. Mulai dari izin hingga manajemen siklus hidup, Anda memerlukan pendekatan yang menjaga semuanya tetap rapi. Jika Anda belum yakin tentang risiko tersembunyi atau pentingnya proses offboarding yang terstruktur, ada baiknya membaca ulasan tentang bahaya tersembunyi dari akun tamu yang tertinggal, yang menegaskan betapa krusialnya tata kelola pengguna eksternal. Selanjutnya, mari kita uraikan dasar-dasarnya dan melihat bagaimana akses tamu terhubung dengan layanan seperti Teams dan SharePoint.

Dasar-Dasar Akses Tamu dan Penjelasan Izin

Akses tamu di Microsoft 365 pada dasarnya memungkinkan orang di luar organisasi Anda, seperti mitra, kontraktor, pemasok, atau klien, untuk berkolaborasi di dalam lingkungan digital Anda. "Tamu" ini dapat diundang untuk menggunakan layanan seperti Teams, SharePoint, dan beban kerja Microsoft 365 lainnya, tetapi aksesnya dirancang lebih terbatas dibandingkan karyawan atau anggota penuh.

Intinya begini: ketika Anda mengundang tamu, mereka akan mendapatkan akun di direktori organisasi Anda. Namun, berbeda dengan anggota, akun tamu biasanya memiliki izin yang lebih sedikit. Mereka dapat berpartisipasi dalam tim, bergabung dalam rapat, mengakses berkas bersama, mengobrol, dan berinteraksi dengan konten yang memang dibagikan kepada mereka. Namun, mereka tidak dapat, misalnya, membuat tim baru atau mengakses sumber daya internal yang sensitif, kecuali Anda telah melonggarkan kontrol default.

Alurnya dimulai dengan undangan, yang biasanya dikirim oleh admin atau pengguna yang memiliki hak delegasi. Tamu yang diundang melakukan autentikasi (menggunakan kredensial perusahaan atau pribadi mereka sendiri) dan diatur oleh kebijakan organisasi Anda, mulai dari masa berlaku akses hingga autentikasi multifaktor. Satu hal yang perlu diwaspadai: tanpa manajemen siklus hidup yang kuat, akun tamu dapat menumpuk dan menciptakan permukaan risiko yang berantakan. Sebagaimana dijelaskan dalam kajian mendalam tentang risiko akun tamu ini, akun yang tertinggal dari proyek yang sudah selesai menjadi sumber masalah kepatuhan dan sekaligus target pelanggaran keamanan nyata.

Peran tamu dan anggota memang dirancang berbeda. Anggota memiliki hak penuh yang diatur oleh kebijakan internal, sementara tamu umumnya hanya dibatasi pada tim, situs, atau sumber daya yang secara khusus ditetapkan untuk mereka. Izin dapat dibuat rinci atau luas, tergantung pada cara Anda mengonfigurasi pengaturan di tingkat penyewa, grup, atau situs. Aturan emasnya? Selalu batasi pengguna eksternal hanya pada akses minimum yang dibutuhkan untuk peran mereka, dan terapkan tinjauan rutin serta izin dengan batas waktu untuk mengurangi permukaan ancaman.

Cara Akses Tamu Terintegrasi dengan Teams dan SharePoint

Microsoft Teams dan SharePoint adalah titik awal sebagian besar interaksi tamu di Microsoft 365. Keterpaduannya terjadi karena cara kedua aplikasi ini terhubung dengan mekanisme akses tamu yang lebih luas di seluruh platform. Ketika Anda menambahkan tamu ke sebuah tim, mereka dapat memposting di saluran, bergabung dalam rapat, membagikan berkas, dan menggunakan obrolan, tetapi kemampuan mereka tidak mencakup hal-hal seperti mengubah pengaturan seluruh organisasi atau membuat tim tingkat atas yang baru. Dengan begitu, struktur tata kelola inti Anda tetap utuh sementara kolaborasi tetap berjalan.

Di SharePoint, akses tamu berarti pengguna eksternal dapat mengakses situs, pustaka, atau berkas dan folder tertentu jika Anda telah membagikannya, bahkan bekerja berdampingan dengan karyawan Anda. Namun, ada satu peringatan penting: fleksibilitas SharePoint adalah kekuatan sekaligus risiko. Jika Anda kurang berhati-hati, tombol "Bagikan" dapat memicu penyebaran konten yang tidak disengaja, izin yang lemah, atau akses eksternal ke data yang seharusnya lebih terkunci. Inilah alasan banyak organisasi terjebak dalam siklus tata kelola tanpa pernah benar-benar merasa memegang kendali penuh, sebuah dinamika yang dibahas dalam episode tentang ilusi kendali dalam tata kelola Teams ini.

Dan yang paling mengejutkan? Setiap kali Anda menghubungkan Teams dan SharePoint (karena Teams menggunakan SharePoint untuk penyimpanan file), Anda ikut mewarisi kelemahan tata kelola dari kedua platform. Tamu Teams secara otomatis mendapatkan akses ke dokumen SharePoint yang mendasarinya. Jika Anda membangun aplikasi di atas SharePoint Lists untuk pengguna tamu, berhati-hatilah. Seperti dibahas di sini, SharePoint Lists bisa berubah menjadi mimpi buruk tata kelola jika digunakan untuk solusi yang kompleks, sensitif, atau berumur panjang. Admin memiliki kontrol untuk membatasi izin tamu, tetapi semuanya bergantung pada penegakan kebijakan dan tinjauan berkelanjutan.

Pendekatan Tata Kelola Akses dan Kepatuhan untuk Akses Pengguna Eksternal

Tantangan tata kelola tidak berhenti pada proses onboarding tamu. Begitu Anda mengundang pihak luar untuk berkolaborasi di Microsoft 365, Anda bertanggung jawab atas pemeriksaan berkala, pemantauan berkelanjutan, dan kepatuhan terhadap regulasi apa pun yang berlaku di industri Anda. Itulah sebabnya strategi tata kelola akses yang jelas adalah separuh lainnya dari persamaan ini.

Tantangan utamanya? Menjaga agar akses tamu tetap selaras dengan kebutuhan bisnis yang nyata, mencegah privilege creep (penumpukan hak akses), dan menghindari jebakan ketika akun tamu lama menumpuk dan berubah menjadi temuan audit atau celah keamanan. Organisasi harus mengaitkan alur kerja operasional, seperti onboarding, tinjauan, dan penghapusan, secara erat dengan aktivitas kepatuhan.

Mengelola hak entitlement pengguna eksternal dan melakukan tinjauan akses secara berkala kini menjadi praktik terbaik, bukan lagi pilihan. Dengan regulator dan pimpinan bisnis yang mengawasi dengan saksama, Anda harus memastikan bahwa Anda dapat membuktikan kapan saja siapa yang memiliki akses ke apa, mengapa mereka mendapatkannya, dan kapan aksesnya akan berakhir. Policy drift, izin yang terlupakan, atau kejadian offboarding yang terlewat dapat dengan cepat menimbulkan masalah kepatuhan, terutama jika perilaku terkait pembuatan konten atau fitur autosave menyembunyikan kondisi sebenarnya dari data Anda. Untuk wawasan tentang risiko kepatuhan tersembunyi di Microsoft 365, simak episode podcast ini tentang compliance drift, yang menjelaskan mengapa Anda perlu mengukur perilaku pengguna, bukan hanya hasil kebijakan, untuk tata kelola yang andal.

Bagian berikutnya membahas proses untuk tinjauan akses berulang, manajemen siklus hidup yang kokoh, serta penggunaan entitlement management sebagai kerangka kerja untuk mengotomatisasi dan mengendalikan siapa yang mendapatkan akses ke apa, untuk berapa lama, dan dalam kondisi apa.

Membangun Proses Tinjauan Akses dan Manajemen Siklus Hidup

1. Jadwalkan Tinjauan Akses Secara Berkala: Tetapkan ritme (bulanan, kuartalan, atau per proyek/kegiatan) untuk meninjau tamu mana saja yang memiliki akses ke lingkungan M365 Anda. Gunakan fitur tinjauan akses bawaan di Entra ID untuk mengotomatisasi pengingat dan mengumpulkan tanggapan dari pemilik sumber daya atau admin sistem.
2. Lakukan Onboarding Tamu dengan Justifikasi dan Cakupan Terbatas: Selama onboarding, pastikan setiap undangan tamu didukung oleh kebutuhan bisnis dan hanya dibatasi pada sumber daya yang mereka perlukan, tidak lebih dan tidak kurang. Hindari akses menyeluruh atau izin tanpa batas waktu sedapat mungkin.
3. Otomatiskan Notifikasi Siklus Hidup dan Masa Berlaku: Konfigurasikan kebijakan kedaluwarsa untuk akun tamu dan siapkan notifikasi untuk tamu maupun sponsor. Saat masa berlaku habis, blokir atau cabut akses kecuali diperpanjang secara manual, sehingga risiko akun yang terlupakan dan masih aktif dapat dikurangi.
4. Tinjau dan Tindak Lanjuti Temuan Tinjauan Akses: Setelah setiap tinjauan, analisis hasilnya dan segera ambil tindakan. Cabut atau sesuaikan izin untuk tamu yang tidak aktif atau berlebihan, dan pastikan akses selaras dengan kondisi operasional bisnis saat ini.
5. Dokumentasikan Semua Tindakan untuk Kesiapan Audit: Gunakan Microsoft Purview Audit atau alat setara untuk mencatat tinjauan akses, persetujuan, penghapusan, dan peristiwa perubahan. Seperti dijelaskan dalam panduan audit aktivitas ini, menjaga jejak audit yang kuat memperkuat kepatuhan dan postur keamanan ketika regulator datang memeriksa.

Mengaktifkan Entitlement Management untuk Pengguna Eksternal

Entitlement management di Microsoft 365 memungkinkan Anda mengemas sumber daya, seperti Teams, situs SharePoint, atau aplikasi, ke dalam paket akses dan mengelolanya sebagai satu kesatuan. Untuk pengguna eksternal, proses ini menjadi lebih ringkas: tamu meminta atau mendapatkan paket yang ditetapkan, persetujuan dilakukan secara otomatis atau diarahkan sesuai kebutuhan, dan akses mereka diatur oleh kebijakan yang telah ditetapkan (misalnya durasi atau pemicu tinjauan). Dengan cara ini, Anda dapat mengontrol dan melacak secara tepat data dan alat yang dapat diakses setiap tamu, mengurangi penyediaan manual, menekan risiko izin berlebih, dan sekaligus meningkatkan kemampuan audit.

Microsoft Entra ID Governance dan Kolaborasi B2B yang Aman

Ketika Anda ingin meningkatkan pengelolaan akses tamu dari sekadar "berjalan dengan baik" menjadi "aman dan dapat diskalakan," Microsoft Entra ID menjadi andalan. Layanan identitas berbasis cloud ini menopang seluruh autentikasi pengguna dan tamu untuk Microsoft 365, sehingga Anda dapat memusatkan kontrol, persetujuan, dan manajemen risiko. Entra menawarkan fitur tata kelola bawaan yang membantu Anda memperketat siapa yang dapat masuk, tetap memantau apa yang terjadi, dan menerapkan aturan di seluruh organisasi tanpa menghambat kolaborasi yang sah.

Kebijakan Entra ID yang kuat adalah fondasi untuk kolaborasi B2B (business-to-business) yang aman. Platform ini menyediakan alat tidak hanya untuk melacak dan mengaudit, tetapi juga untuk membatasi kebocoran data, mengotomatiskan alur kerja entitlement, serta menetapkan batasan untuk skenario tamu yang bersifat sekali pakai maupun berulang. Perlu merespons ancaman yang terus berkembang dengan cepat atau mencegah identity drift? Kebijakan dan integrasi Entra memungkinkan Anda beradaptasi tanpa mengganggu operasional bisnis.

Tentu saja, identitas sebagai control plane tidak sempurna. Jika pengecualian dibiarkan menumpuk atau tinjauan kebijakan terlambat dilakukan, "identity debt" dapat muncul diam-diam dan menimbulkan risiko yang sulit diprediksi. Untuk saran praktis dalam mengendalikan risiko identitas, lihat episode ini tentang loop keamanan conditional access Entra. Berikutnya: pembahasan tentang cara Entra menangani identity governance secara langsung, dilanjutkan dengan taktik nyata untuk manajemen tamu B2B.

Kemampuan Identity Governance di Microsoft Entra

Microsoft Entra ID menghadirkan kemampuan identity governance yang kuat, baik untuk akun internal maupun eksternal. Anda dapat mengontrol akses menggunakan kebijakan, alur persetujuan, dan logika kondisional yang menyesuaikan dengan aturan organisasi Anda. Dengan Entra, Anda dapat menerapkan autentikasi berbasis risiko, mengotomatiskan tinjauan akses, dan menyiapkan rantai persetujuan untuk sumber daya sensitif. Hal ini membantu memastikan bahwa hanya pengguna yang tepat, termasuk tamu, yang memiliki akses yang tepat, dengan setiap permintaan dan perubahan tercatat untuk keperluan keterlacakan dan kepatuhan di cloud Microsoft.

Kolaborasi B2B dan Pengelolaan Pengguna Eksternal secara Efektif

Kolaborasi B2B yang efektif di Microsoft 365 dimulai dengan proses onboarding tamu yang terkontrol. Anda dapat mendelegasikan proses undangan kepada sponsor internal yang tepercaya, atau mengotomatiskannya berdasarkan kebutuhan bisnis yang terdokumentasi, dengan selalu memastikan pemeriksaan keamanan dan persetujuan sudah berjalan. Undangan yang aman umumnya memanfaatkan Entra B2B, sehingga tamu dapat menggunakan kredensial mereka sendiri sekaligus tetap berada di bawah payung kepatuhan Anda.

Pengelolaan yang baik tidak berhenti pada tahap onboarding. Kelola akses tamu secara sistematis dengan membatasi peran, menetapkan izin yang berbatas waktu, dan meninjau kondisi akses saat ini secara berkala. Penting untuk menghindari penyediaan izin berlebih, karena terlalu banyak hak dapat membuka celah penyalahgunaan atau pelanggaran di lingkungan Anda. Otomatisasi dapat membantu, tetapi pengawasan manusia memastikan tanggung jawab tetap berada di tempatnya.

Ketika sebuah proyek selesai, offboarding harus dilakukan dengan cepat: cabut akses, hapus dari grup atau situs, dan bersihkan entitlement lama. Akun yang masih aktif dapat luput dari pantauan, sehingga menimbulkan celah kepatuhan dan risiko keamanan. Untuk panduan mendalam tentang menjaga akses tamu tetap terkendali, termasuk cara menangani akun yang tidak aktif atau terlupakan, lihat strategi berikut untuk tata kelola akun tamu secara berkelanjutan.

Mengamankan Akses Tamu dengan Conditional Access dan Penegakan Kebijakan

Dengan pengguna eksternal yang bebas beraktivitas di lingkungan Microsoft 365 Anda, penegakan kebijakan yang kuat adalah garis pertahanan pertama dan terakhir. Akses bersyarat dan autentikasi multifaktor merupakan tulang punggung kontrol keamanan modern, yang memungkinkan Anda menerapkan kebijakan berbasis risiko tanpa menghentikan kolaborasi yang sah. Pengaturan akses lintas penyewa menambahkan lapisan lain dengan menentukan tamu mana yang boleh masuk dan dalam keadaan apa.

Pilihan kebijakan Anda menentukan apakah tamu boleh mengakses data dari perangkat, lokasi geografis tertentu, atau hanya ketika sinyal risiko tertentu terpenuhi. Intinya adalah menjaga keseimbangan: cukup ketat untuk menangkal ancaman, tetapi cukup fleksibel agar bisnis tetap berjalan tanpa gangguan terus-menerus.

Namun, perhatikan: kebijakan harus selalu diperbarui. Pengecualian yang terlalu luas, peringatan yang diabaikan, atau “jalan pintas” dalam kepatuhan dapat merusak seluruh konfigurasi dan membuka penyewa Anda terhadap ancaman atau kebocoran data. Untuk pembahasan yang lugas tentang jebakan dan solusi akses bersyarat, silakan baca pembahasan tentang masalah kepercayaan pada akses bersyarat ini. Sekarang, mari kita praktikkan akses bersyarat untuk tamu dan strategi pengelolaan akses lintas penyewa.

Menerapkan Akses Bersyarat dan Autentikasi Multifaktor untuk Tamu

• Terapkan Kebijakan Akses Bersyarat Dasar: Siapkan aturan default agar semua pengguna tamu memenuhi standar keamanan dasar, misalnya melakukan autentikasi dari perangkat yang patuh atau jaringan yang disetujui. Jangan terjebak pengecualian yang terlalu luas. Pengecualian semacam ini merupakan sumber utama celah keamanan yang tidak terlihat, sebagaimana dijelaskan dalam analisis tentang masalah kepercayaan pada akses bersyarat ini.
• Wajibkan Autentikasi Multifaktor (MFA): Wajibkan MFA untuk semua proses masuk tamu. Tamu harus memastikan identitasnya dengan faktor kedua saat mengakses konten atau alat yang sensitif. Langkah ini mengurangi risiko jika kredensial utama tamu berhasil dibobol.
• Gunakan Filter Lokasi dan Perangkat: Atur aturan akses bersyarat berdasarkan lokasi geografis atau status perangkat. Tamu yang mencoba mengakses dari negara berisiko atau dari perangkat yang tidak patuh dapat diblokir atau diminta melakukan verifikasi tambahan.
• Manfaatkan Pemicu Berbasis Risiko: Mesin risiko Microsoft Entra dapat mendeteksi pola masuk yang mencurigakan, misalnya peramban yang tidak dikenal atau perjalanan yang mustahil secara waktu, lalu meminta pemeriksaan tambahan atau memblokir akses sepenuhnya untuk akun tamu tersebut.
• Pantau Efektivitas Kebijakan dan Lakukan Penyesuaian: Tinjau log keamanan, autentikasi yang berhasil maupun gagal, serta aktivitas tamu secara berkala untuk memastikan konfigurasi akses bersyarat Anda menangkal ancaman tanpa menimbulkan kendala yang tidak perlu bagi pengguna eksternal yang sah.

Mengelola Kebijakan Akses Lintas Penyewa dan Kontrol Akses

Kebijakan akses lintas penyewa di Microsoft 365 memungkinkan Anda menetapkan aturan terperinci untuk tamu dari organisasi atau domain tertentu. Dengan kontrol ini, Anda dapat menentukan sumber daya apa saja yang boleh diakses pengguna eksternal tertentu, membatasi kolaborasi pada tim atau proyek tertentu, serta memblokir pembagian yang tidak sah. Akses yang dikendalikan secara granular menjaga data sensitif Anda tetap terlindungi dari pihak yang tidak seharusnya melihatnya, sambil tetap mempertahankan hubungan B2B yang produktif. Kebijakan ini mendukung prinsip inti “Zero Trust by Design”, sebuah pola pikir yang diulas dalam episode tentang zero trust di Microsoft 365 ini.

Mengaudit dan Memantau Akses Tamu untuk Keamanan dan Kepatuhan

Tata kelola akses tamu tidak berakhir setelah kebijakan awal dibuat. Keamanan harian dan kepatuhan jangka panjang bergantung pada pemantauan cara pengguna eksternal berinteraksi dengan lingkungan Microsoft 365 Anda. Audit proaktif dan pemantauan yang cermat membantu Anda menemukan masalah sebelum berkembang menjadi besar, baik itu perilaku berbagi yang berisiko, pola aktivitas yang mencurigakan, maupun tamu yang seharusnya sudah lama dicabut aksesnya.

Menyiapkan jejak audit yang tepat dan tinjauan akses berbasis identitas adalah pertahanan terbaik Anda jika terjadi sesuatu yang tidak beres. Anda perlu mengetahui bukan hanya siapa yang mengakses apa, tetapi juga kapan, dari mana, dan (idealnya) mengapa. Pemantauan berkelanjutan ini memungkinkan Anda mengidentifikasi penggunaan yang tidak wajar atau akun yang tidak aktif, yang dapat menimbulkan risiko kepatuhan maupun risiko dari orang dalam.

Logging dan pemberitahuan standar memang ada gunanya, tetapi keduanya bisa kurang memadai untuk mendeteksi peristiwa yang bersifat halus atau bergantung pada konteks tertentu. Untuk menutup celah tersebut, pengauditan yang lebih lengkap, seperti yang Anda dapatkan dengan Microsoft Purview, wajib dimiliki di lingkungan yang lebih besar dan diatur ketat. Untuk pembahasan praktis tentang cara menyiapkan pemantauan aktivitas yang efektif, lihat panduan lengkap tentang penggunaan Microsoft Purview Audit ini. Selanjutnya, kita akan membahas cara melacak riwayat akses tamu dan merespons akun tamu yang tidak aktif atau berisiko tinggi.

Menggunakan Jejak Audit dan Tinjauan Akses untuk Melacak Aktivitas Tamu

Jejak audit di Microsoft 365, didukung oleh platform seperti Microsoft Purview, mencatat rincian siapa yang mengakses apa dan kapan, termasuk akun tamu. Dengan mengaktifkan log ini dan mengekspor laporan secara rutin, Anda dapat melacak aktivitas tamu di Teams, SharePoint, dan layanan lainnya. Tinjauan akses, baik otomatis maupun manual, melengkapi log audit dengan meminta pemilik sumber daya untuk mengonfirmasi atau mencabut izin tamu yang berlaku saat ini, sehingga mendukung alur kerja kepatuhan dan investigasi forensik. Mulailah dengan panduan audit langkah demi langkah dalam artikel tentang audit aktivitas dengan Microsoft Purview ini.

Mendeteksi Pengguna Tidak Aktif dan Risiko Eksfiltrasi Data

Akun tamu yang tidak aktif menjadi sasaran empuk untuk disalahgunakan atau mengalami kebocoran data. Dengan memanfaatkan laporan aktivitas bawaan dan solusi pemantauan di Microsoft 365, Anda dapat menandai akun yang tidak pernah masuk atau berinteraksi dengan sumber daya selama jangka waktu tertentu. Selain itu, alat pemantauan ancaman membantu mengidentifikasi pola unduhan atau pembagian yang tidak wajar yang bisa mengindikasikan upaya eksfiltrasi data. Kebijakan otomatis kemudian dapat menonaktifkan atau menghapus akun yang tidak aktif, sehingga hak akses eksternal tetap terkontrol ketat. Langkah-langkah ini juga sangat penting untuk mengamankan platform seperti Dataverse, sebagaimana diuraikan dalam panduan untuk mencegah kebocoran eksternal di Dataverse ini.

Membawa Tata Kelola Akses Tamu ke Tingkat Berikutnya: Penilaian Risiko dan Otomasi

Jika Anda memiliki puluhan, bahkan ratusan, kolaborator eksternal, tata kelola manual tidak akan lagi memadai. Strategi lanjutan seperti penilaian risiko dan otomasi adalah kunci untuk meningkatkan penegakan kebijakan dan mengurangi kesalahan manusia di lingkungan multipenyewa yang kompleks. Teknik-teknik ini melampaui kontrol akses statis, sehingga lingkungan Anda dapat merespons faktor risiko nyata dan perubahan bisnis secara dinamis.

Tata kelola tamu berbasis risiko dimulai dengan menganalisis perilaku pengguna dan mengklasifikasikan aktivitas berdasarkan sensitivitasnya. Otomasi, yang didukung alat seperti Azure Logic Apps, mengambil alih tugas-tugas berulang, mulai dari memulai tinjauan akses, mengirim pemberitahuan, hingga merampingkan alur kerja onboarding dan offboarding. Bersama-sama, pendekatan ini membantu menjaga akses tetap selaras dengan kebutuhan bisnis dan praktik keamanan terbaik, tanpa memperlambat tim Anda atau membebani admin dengan tinjauan yang melelahkan.

Terlalu banyak organisasi yang terjebak pada dasbor atau pelaporan seragam untuk semua kondisi tanpa benar-benar meningkatkan kematangan tata kelola mereka. Untuk menghindari jebakan tersebut dan benar-benar mencapai kontrol akses tamu yang tangguh dan dapat diskalakan, pertimbangkan kerangka kerja dan teknologi yang dirancang untuk lingkungan dinamis berbasis risiko. Untuk perspektif ke depan tentang tata kelola dalam skala besar (termasuk risiko agen AI yang tidak dikelola dan pentingnya bidang kontrol yang stabil), lihat episode tentang tantangan tata kelola agen AI ini.

Menerapkan Penilaian Risiko Akses Tamu dan Pemrofilan Perilaku

• Analisis Frekuensi Aktivitas: Lacak seberapa sering pengguna tamu masuk dan berinteraksi dengan konten bersama. Aktivitas yang jarang atau lonjakan mendadak dapat memicu tinjauan yang lebih ketat.
• Nilai Sensitivitas Data: Petakan izin tamu ke klasifikasi data yang diakses (misalnya, publik, internal, rahasia) untuk menerapkan prinsip hak akses minimum.
• Pantau Pelanggaran Kebijakan: Gunakan analitik perilaku untuk mendeteksi dan menilai tanda-tanda perilaku tamu yang berisiko, seperti unduhan berlebihan, kegagalan login, atau upaya melewati kontrol.
• Perbarui Profil Risiko Secara Dinamis: Skor risiko tamu sebaiknya menyesuaikan diri ketika aktivitas atau kebutuhan akses berubah, sehingga Anda dapat menerapkan kontrol yang lebih ketat atau meluncurkan tinjauan terfokus bila diperlukan.

Mengotomatiskan Tinjauan Akses dan Tata Kelola melalui Azure Logic Apps

1. Picu Tinjauan Akses Otomatis: Bangun alur kerja Azure Logic Apps yang menjadwalkan dan memberi tahu pemilik sumber daya untuk meninjau akses tamu berdasarkan masa keanggotaan, ketidakaktifan, atau risiko yang meningkat. Pemicu dinamis berarti Anda meninjau akses pada saat yang tepat, bukan hanya berdasarkan kalender.
2. Sederhanakan Onboarding dan Offboarding: Hubungkan Logic Apps ke platform identitas Anda untuk menangani undangan tamu baru, mengarahkan persetujuan, dan mengotomatiskan penghapusan saat paket akses kedaluwarsa atau ambang risiko terlampaui.
3. Integrasikan Pemberitahuan dan Respons Insiden: Atur alur kerja untuk mengirim pemberitahuan real-time ke tim keamanan TI ketika aktivitas tamu yang mencurigakan terdeteksi, seperti percobaan masuk yang gagal berulang kali atau upaya mengakses data sensitif, sehingga respons terhadap ancaman menjadi lebih cepat.
4. Otomatiskan Pelaporan Kepatuhan: Gunakan Logic Apps untuk mengumpulkan dan menyusun bukti bagi auditor, seperti log tinjauan yang telah selesai, akun yang kedaluwarsa, atau perubahan pada paket akses, sehingga membantu Anda menunjukkan kehati-hatian dan efektivitas tata kelola.
5. Skalakan di Seluruh Penyewa dan Beban Kerja: Terapkan templat otomatisasi yang mencakup beberapa penyewa dan beban kerja Microsoft 365, sehingga tata kelola tetap konsisten di mana pun tanpa menguras sumber daya admin Anda. Jika Anda membutuhkan inspirasi (atau gambaran realistis) tentang jebakan otomatisasi, lihat diskusi tata kelola dalam episode podcast M365 FM terbaru yang membahas tantangan otomatisasi perusahaan, meskipun konten khusus untuk topik ini belum tersedia.

Pertanyaan Umum akses tamu: lakukan tinjauan akses untuk mengelola akses tamu dan mengamankan pengguna tamu

Apa itu tata kelola akses tamu di M365 dan mengapa hal itu penting?

Tata kelola akses tamu di Microsoft 365 adalah kumpulan kebijakan dan proses yang digunakan untuk mengelola akses pengguna tamu ke tim, situs SharePoint, grup Microsoft 365, dan aplikasi. Hal ini penting karena tamu (usertype of guest) sering membutuhkan akses sementara atau terbatas. Tanpa kontrol seperti tinjauan akses berkala terhadap tamu dan proses penghapusan akses, Anda berisiko menghadapi izin berlebihan, paparan data, dan kegagalan kepatuhan.

Bagaimana cara melakukan tinjauan akses untuk tamu menggunakan Microsoft Entra?

Anda melakukan tinjauan akses dengan menggunakan tinjauan akses Microsoft Entra (di pusat admin Microsoft Entra atau melalui integrasi dengan pusat admin Microsoft 365). Buat tinjauan akses atau tinjauan akses berkala untuk tamu dengan memilih grup atau aplikasi, lalu menentukan peninjau, frekuensi, dan opsi keputusan. Tinjauan akan meminta peninjau melalui email dari Microsoft Entra ID atau menampilkannya di panel akses untuk memastikan apakah anggota pengguna tamu harus tetap memiliki akses.

Kapan saya harus membuat dan melakukan tinjauan akses untuk grup yang memiliki pengguna tamu?

Buat dan lakukan tinjauan akses ketika Anda menemukan grup dengan pengguna tamu, setelah proyek besar berakhir, atau sesuai jadwal rutin (bulanan/triwulanan) sebagai praktik terbaik. Tinjauan akses grup secara rutin membantu memastikan kebutuhan akses pengguna tetap berlanjut serta mengurangi izin yang tidak bertuan atau tidak perlu di grup Microsoft 365 dan grup di Microsoft Entra ID.

Peninjau mana yang sebaiknya ditugaskan untuk tinjauan akses pengguna tamu?

Tugaskan peninjau yang memahami sumber daya, yaitu pemilik grup, pemilik aplikasi, atau administrator kepatuhan yang ditunjuk. Anda juga dapat menugaskan tinjauan mandiri kepada pengguna tamu atau tinjauan otomatis menggunakan tinjauan akses Microsoft Entra. Pilih peninjau yang menyeimbangkan akuntabilitas dan beban kerja, serta mendukung pengelolaan akses di berbagai aplikasi dengan akses Microsoft Entra.

Bagaimana tinjauan akses membantu menghapus akses tamu atau menghapus akun tamu secara aman?

Tinjauan akses menampilkan akses pengguna tamu yang sudah tidak diperlukan. Selama tinjauan, peninjau dapat menghapus akses atau menandainya untuk dipertahankan. Ketika tamu dihapus dari grup Microsoft 365 atau aplikasi, aksesnya dicabut tanpa menghapus akun pengguna yang mendasarinya di penyewa organisasi. Gunakan fitur lisensi tata kelola untuk mengotomatiskan tindakan seperti menghapus tamu atau mencabut akses ke grup atau aplikasi setelah tinjauan.

Apakah saya memerlukan lisensi khusus untuk tinjauan akses dan tata kelola Microsoft Entra?

Beberapa fitur lanjutan dari tata kelola Microsoft Entra ID dan tinjauan akses Microsoft Entra mungkin memerlukan lisensi tata kelola Microsoft Entra ID atau SKU Microsoft 365. Tinjau dasar-dasar lisensi tata kelola Microsoft Entra ID di Microsoft Learn untuk memastikan apakah penyewa Anda memerlukan lisensi tambahan untuk fitur seperti remediasi otomatis, pelaporan lanjutan, dan integrasi penugasan paket akses.

Bagaimana cara mengelola akses pengguna tamu secara efektif di seluruh grup Microsoft 365 dan aplikasi?

Gunakan kombinasi kebijakan: batasi hak undangan di pusat admin Microsoft 365 atau pusat admin Microsoft Entra, gunakan manajemen hak dengan penugasan paket akses untuk proses orientasi yang terkendali, dan jadwalkan tinjauan akses berkala untuk meninjau akses ke grup atau aplikasi. Pantau juga akses pengguna dan tamu melalui log audit, dan minta peninjau untuk mengonfirmasi akses pengguna dengan tinjauan akses pada pengguna tamu.

Langkah apa yang sebaiknya Anda ikuti untuk mengamankan akun pengguna tamu beserta aksesnya?

Mulailah dengan mengklasifikasikan sumber daya yang mengizinkan akses tamu, terapkan hak akses minimum, aktifkan akses bersyarat untuk akses pengguna tamu, dan wajibkan MFA jika diperlukan. Gunakan tinjauan akses untuk memvalidasi akses tamu, cabut akses saat tidak lagi diperlukan, dan dokumentasikan keputusan di tinjauan akses organisasi Anda dalam proses tata kelola Anda. Sertakan tautan ke tinjauan akses dalam komunikasi kepada peninjau dan panel akses untuk menyederhanakan alur kerja peninjau.

Apakah tinjauan akses dapat menangani grup Microsoft 365 dengan tamu dan akses aplikasi?

Ya. Tinjauan akses Microsoft Entra mendukung tinjauan akses grup dan akses ke grup atau aplikasi. Anda dapat menargetkan grup Microsoft 365, grup dengan pengguna tamu, dan aplikasi perusahaan (aplikasi dengan akses Microsoft Entra) untuk meninjau anggota pengguna tamu dan penugasan aplikasi dalam satu alur kerja tata kelola.

Di mana saya dapat mempelajari lebih lanjut atau menemukan panduan langkah demi langkah untuk membuat dan melakukan tinjauan akses?

Microsoft Learn menyediakan dokumentasi dan tutorial tentang penggunaan Microsoft Entra ID dan tinjauan akses Microsoft Entra, termasuk cara membuat tinjauan akses, mengonfigurasi tinjauan akses berulang untuk tamu, dan terintegrasi dengan manajemen hak. Konsultasikan panduan Microsoft Learn serta topik bantuan di pusat admin Microsoft 365 atau pusat admin Microsoft Entra untuk instruksi langkah demi langkah.