Passkey Lulus Audit? Begini Cara Memetakannya

Auditor meminta bukti MFA. Tim security bilang passkey sudah aktif. Tim compliance tetap bertanya, “ini masuk kontrol NIST, PCI DSS, dan cyber insurance yang mana?” Kalau jawabanmu masih berupa screenshot tombol login, audit bisa jadi panjang.

Passkey compliance mapping membantu kamu menerjemahkan WebAuthn dan passkeys ke bahasa kontrol, bukti, risiko, dan kebijakan. Jadi, bukan cuma “login tanpa password”, tetapi kontrol autentikasi yang bisa dijelaskan ke auditor, insurer, dan manajemen.

Jawaban Singkat / Key Takeaways

Passkeys bisa membantu memenuhi requirement MFA, phishing-resistant authentication, dan kontrol akses kuat, terutama untuk admin, payment systems, dan akun berisiko tinggi. Namun, kamu tetap perlu mapping bukti: enrollment policy, recovery flow, device lifecycle, logging, dan exception handling.

Kenapa Passkey Butuh Mapping Compliance?

Passkey bekerja memakai WebAuthn dan kriptografi public key. Artinya, secret tidak diketik, tidak dikirim ke server, dan jauh lebih tahan phishing dibanding password plus OTP biasa.

Namun, compliance tidak menilai teknologi dari klaim vendor saja. Auditor biasanya mencari tiga hal:

• Kontrol: requirement mana yang dipenuhi?
• Bukti: log, policy, konfigurasi, dan prosedur apa yang tersedia?
• Risiko sisa: apa yang masih bisa gagal, lalu bagaimana mitigasinya?

Karena itu, passkey compliance mapping harus dimulai dari proses, bukan dari fitur login.

Framework Praktis: Ubah Passkey Jadi Bahasa Audit

Pakai kerangka Control, Evidence, Exception, Recovery. Singkatnya, setiap requirement harus punya kontrol utama, bukti teknis, aturan pengecualian, dan jalur pemulihan akun.

1. Control: Apa yang Passkey Lindungi?

Mulai dari akun paling kritis. Misalnya admin ecommerce, finance, developer, support, dan akun yang bisa mengakses data pelanggan.

Untuk ecommerce, prioritasnya jelas: admin WooCommerce, payment gateway dashboard, akun fulfillment, dan customer support. Kalau kamu memakai WordPress, baca juga panduan passkeys untuk WooCommerce agar login pelanggan nggak jadi titik bocor.

2. Evidence: Bukti Apa yang Bisa Kamu Tunjukkan?

Passkey yang bagus tetap lemah kalau tidak punya bukti audit. Minimal, siapkan:

• Policy yang mewajibkan passkey untuk role tertentu.
• Log enrollment, login sukses, login gagal, dan perubahan credential.
• Daftar user yang sudah punya passkey aktif.
• Bukti disable OTP lemah untuk akun privileged, jika sudah siap.
• Dokumentasi recovery akun dan approval flow.

3. Exception: Siapa yang Boleh Tidak Pakai Passkey?

Ini bagian yang sering dilupakan. Compliance jarang gagal karena kontrol utama, tetapi sering jatuh karena exception terlalu longgar.

Jangan tulis “user tertentu boleh pakai OTP”. Tulis lebih spesifik: siapa approver-nya, berapa lama exception berlaku, faktor pengganti apa yang dipakai, dan kapan review ulang dilakukan.

4. Recovery: Jangan Biarkan Reset Akun Mengalahkan Passkey

Passkey bisa sangat kuat, tetapi recovery akun yang buruk bisa merusak semuanya. Kalau helpdesk bisa reset admin hanya lewat email biasa, penyerang tidak perlu membobol WebAuthn.

Gunakan recovery berbasis verifikasi berlapis, approval, delay untuk akun privileged, dan log yang bisa diaudit. Untuk pola teknisnya, cek artikel account recovery tanpa melemahkan passkey.

Mapping Passkeys ke NIST

NIST SP 800-63B membahas digital identity dan authenticator assurance. Passkeys berbasis WebAuthn biasanya relevan karena memakai public key cryptography dan bisa memberi perlindungan phishing-resistant, tergantung implementasi dan authenticator.

Rujukan resminya bisa kamu cek di NIST SP 800-63B. Untuk mapping internal, pakai pola ini:

• Requirement: autentikasi kuat untuk user berisiko tinggi.
• Passkey control: WebAuthn credential dengan origin binding dan private key yang tidak dibagikan ke server.
• Evidence: policy MFA, attestation atau authenticator policy jika digunakan, log login, dan daftar enrollment.
• Residual risk: device sharing, recovery abuse, session hijacking, dan fallback login.

Catatan penting: jangan menjual passkey sebagai obat semua risiko NIST. Passkey memperkuat autentikasi, tetapi session management, device security, dan identity proofing tetap perlu kontrol sendiri.

Mapping Passkeys ke PCI DSS

PCI DSS menekan kontrol akses, MFA, dan proteksi environment yang memproses data kartu. Kalau ecommerce-mu menyentuh cardholder data environment, passkey bisa membantu memperkuat akses admin dan sistem terkait pembayaran.

Lihat sumber resmi PCI Security Standards Council untuk detail requirement terbaru. Dalam dokumen audit, mapping-nya bisa seperti ini:

• Scope: akun admin, payment ops, integrasi gateway, server, dashboard order.
• Control: MFA phishing-resistant memakai passkey untuk akses privileged.
• Evidence: konfigurasi enforced MFA, log akses admin, review user berkala.
• Exception: break-glass account disimpan, dipantau, dan diuji.

Selain itu, jangan lupa hardening endpoint login. Passkey tidak otomatis menghentikan bot yang tetap menghajar halaman login. Kalau kamu pakai WordPress, lanjutkan dengan login endpoint hardening setelah passkey aktif.

Mapping Passkeys ke Cyber Insurance

Banyak cyber insurance questionnaire meminta MFA untuk email, VPN, admin panel, remote access, dan privileged accounts. Namun, form mereka sering memakai bahasa umum, bukan istilah WebAuthn.

Jawaban terbaik bukan “kami pakai passwordless”. Jawaban yang lebih kuat:

• “Privileged accounts wajib memakai phishing-resistant MFA berbasis passkeys.”
• “Fallback OTP dibatasi, diaudit, dan butuh approval.”
• “Account recovery untuk admin memakai verifikasi berlapis dan logging.”
• “Enrollment dan revocation passkey ditinjau berkala.”

Dengan begitu, insurer melihat kontrol yang bisa diverifikasi, bukan hanya klaim keamanan.

Kesalahan yang Bikin Mapping Passkey Terlihat Lemah

• Menyamakan passkey dengan semua jenis MFA. Padahal, kualitas MFA berbeda-beda.
• Mengabaikan fallback. OTP, email reset, dan backup code bisa jadi jalur serangan.
• Tidak punya inventory credential. Kamu perlu tahu siapa punya passkey, kapan dibuat, dan kapan dicabut.
• Tidak membedakan role. Admin, finance, support, dan pelanggan punya risiko berbeda.
• Melupakan device lifecycle. Device hilang, resign, shared laptop, dan MDM perlu aturan jelas.

Template Ringkas untuk Dokumen Compliance

Kamu bisa salin struktur ini ke GRC tool, spreadsheet, atau dokumen audit:

Control Name: Phishing-resistant authentication with passkeys
Scope: Privileged users, ecommerce admin, payment operations
Standard Mapping: NIST SP 800-63B, PCI DSS MFA, cyber insurance MFA requirement
Implementation: WebAuthn/passkeys enforced for selected roles
Evidence: Enrollment logs, login logs, MFA policy, user access review
Exceptions: Time-bound, approved, monitored, reviewed monthly
Recovery: Multi-step verification, admin approval, audit log
Residual Risk: Device compromise, session theft, weak fallback
Owner: Security / IAM / Compliance

Triknya, jangan tunggu audit baru membuat mapping. Buat sejak rollout. Dengan begitu, setiap perubahan passkey langsung punya jejak compliance.

FAQ

Apakah passkey otomatis memenuhi MFA compliance?

Tidak selalu. Passkey bisa memenuhi atau mendukung requirement MFA tertentu, terutama phishing-resistant authentication, tetapi hasilnya bergantung pada scope, policy, fallback, dan bukti audit.

Apakah passkey cukup untuk PCI DSS?

Passkey bisa membantu kontrol akses dan MFA untuk akun privileged. Namun, PCI DSS tetap membutuhkan kontrol lain seperti logging, segmentation, vulnerability management, dan review akses.

Apa bukti paling penting untuk auditor?

Yang paling penting adalah policy enforced, daftar user yang tercakup, log enrollment, log autentikasi, exception record, dan prosedur recovery akun.

Apakah cyber insurance menerima passkey?

Biasanya bisa diterima sebagai kontrol autentikasi kuat, terutama jika kamu menjelaskan bahwa passkey adalah phishing-resistant MFA berbasis WebAuthn. Tetap cocokkan jawaban dengan wording questionnaire insurer.

Penutup: Passkey Kuat, Mapping Membuatnya Terbukti

Passkey memberi lompatan besar untuk keamanan login. Namun, compliance butuh lebih dari teknologi yang bagus. Kamu perlu mapping yang jelas, bukti yang rapi, dan recovery yang tidak merusak kontrol utama.

Kalau timmu sedang menyiapkan audit, renewal cyber insurance, atau rollout passkey untuk ecommerce, mulai dari mapping kecil dulu: role kritis, requirement, bukti, exception, recovery. Setelah itu, baru perluas ke seluruh organisasi.